Digital Law

<p>С 1 июля 2025 года гайки в сфере защиты персональных данных (ПДн) закручены окончательно. Вступили в силу новые поправки к федеральному закону №152-ФЗ «О персональных данных», а суды начали выносить реальные, а не предупредительные решения. </p>
<p>Главный удар пришелся по корпоративному сектору и e-commerce: использование зарубежных трекеров типа <strong>Google Analytics (GA4)</strong> и <strong>Google Tag Manager (GTM)</strong> теперь классифицируется как незаконная трансграничная передача персональных данных.</p>
<p>В этом разборе команда веб-аналитики NBM-IT объясняет, почему счетчики больше нельзя «спрятать» за cookie-баннером, какие штрафы грозят юрлицам и как правильно мигрировать на легитимные системы.</p>
<hr>
<h2 id="суть-проблемы-почему-ga4-теперь-вне-закона-в-рф">Суть проблемы: Почему GA4 теперь вне закона в РФ</h2>
<p>Исторически Google Analytics работает по принципу прямого сбора: скрипт <code>gtag.js</code> загружается в браузере пользователя (находящегося в РФ) и сразу отправляет пакет данных (IP-адрес, Client ID, User Agent) на американские или европейские серверы Google.</p>
<p>По новой редакции 152-ФЗ (с учетом актуальных разъяснений Роскомнадзора за 2025 год) это нарушает базовый принцип <strong>первичной локализации баз данных</strong>:</p>
<blockquote>
<p>«Сбор ПДн граждан РФ должен изначально производиться с использованием баз данных, находящихся на территории РФ».</p>
</blockquote>
<p>Даже если на сайте нет форм регистрации, Роскомнадзор давно признал связку «IP-адрес + Cookie ID + геопозиция» персональными данными, так как они позволяют однозначно идентифицировать пользователя в сети.</p>
<hr>
<h2 id="цена-риска-штрафы-2025-года">Цена риска: Штрафы 2025 года</h2>
<p>Если раньше Роскомнадзор ограничивался предписаниями, то сейчас практика стала жесткой. </p>
<ul>
<li><strong>За первичное нарушение локализации ПДн:</strong> штраф на юридическое лицо от <strong>2 000 000 до 6 000 000 рублей</strong> (<a href="https://www.consultant.ru/document/cons_doc_LAW_34661/fa21e51b1f9fa4bd4cfd6e0339d1b7eeacd61d5f/">ч. 8 ст. 13.11 КоАП РФ</a>).</li>
<li><strong>За повторное нарушение</strong> (если РКН выдал предписание убрать код, а вы его не выполнили или просто закомментировали): штраф от <strong>6 000 000 до 18 000 000 рублей</strong> (<a href="https://www.consultant.ru/document/cons_doc_LAW_34661/fa21e51b1f9fa4bd4cfd6e0339d1b7eeacd61d5f/">ч. 9 ст. 13.11 КоАП РФ</a>).</li>
</ul>
<p>Особенно жестко мониторятся сайты в сферах:</p>
<ol>
<li>Медицина и клиники.</li>
<li>E-commerce и интернет-магазины одежды.</li>
<li>Финансовые и юридические услуги.</li>
<li>Сайты государственных подрядчиков и СРО.</li>
</ol>
<hr>
<h2 id="популярные-заблуждения-маркетологов">Популярные заблуждения маркетологов</h2>
<p><strong>Миф 1: «Если мы используем GTM без Google Analytics, мы в безопасности».</strong>
Это не так. GTM сам по себе является парсером данных. Скрипт GTM инициирует HTTP-запросы на домены <code>googletagmanager.com</code>, обмениваясь системными маркерами. Для проверяющих органов наличие скрипта GTM в <code>&lt;head&gt;</code> — это «красная тряпка».</p>
<p><strong>Миф 2: «Мы включили Server-Side Tagging в Google Analytics».</strong>
Да, вы можете развернуть контейнер GTM на российском сервере Yandex Cloud, очищать данные от ПДн и отправлять в Google урезанные хиты. Технически это легитимно, но на практике доказывать инспектору РКН тонкости серверного роутинга крайне сложно. Суды часто выносят решение на основе самого факта наличия доменов Google в сетевых логах браузера.</p>
<hr>
<h2 id="план-действий-на-что-менять-google-analytics">План действий: На что менять Google Analytics</h2>
<p>Мы в NBM-IT уже перевели десятки клиентов на российские и Self-Hosted системы. Вот проверенные альтернативы:</p>
<h3>1. Яндекс Метрика (Базовый сценарий)</h3>
<p>Абсолютный лидер рунета. Серверы в РФ, полная легитимность.</p>
<ul>
<li><strong>Плюсы:</strong> Бесплатно, Вебвизор, интеграция с Яндекс Директом, e-commerce модуль.</li>
<li><strong>Минусы:</strong> Данные хранятся у Яндекса. Монополия на рынке.</li>
</ul>
<h3>2. Matomo / Piwik PRO (Self-Hosted сценарий)</h3>
<p>Идеально для корпораций, банков и компаний с жестким NDA. Matomo ставится на ваш собственный VDS-сервер в российском дата-центре.</p>
<ul>
<li><strong>Плюсы:</strong> 100% контроль над данными (Data Ownership). Интерфейс максимально похож на старый добрый Universal Analytics. Никто, кроме вас, не имеет доступа к сырым логам.</li>
<li><strong>Минусы:</strong> Требует серверных мощностей (примерно 4-8 Гб RAM для средних сайтов) и навыков DevOps для настройки и обновления.</li>
</ul>
<h3>3. Roistat / Calltouch (Углубленная сквозная аналитика)</h3>
<p>Российские системы, которые закрывают не только веб-метрики, но и когортный анализ, ROI, коллтрекинг и интеграцию с 1С/CRM.</p>
<p>[LEAD type=&quot;calculator&quot;]</p>
<hr>
<h2 id="чек-лист-как-правильно-отключить-экосистему-google">Чек-лист: Как правильно отключить экосистему Google</h2>
<p>Просто удалить скрипт из заголовка сайта — недостаточно. Вам нужно провести полноценную миграцию:</p>
<ol>
<li><strong>Экспорт старых данных.</strong> GA4 удалит проект, если вы перестанете им пользоваться. Выгрузите ключевые отчеты в BigQuery (через российские прокси) или CSV.</li>
<li><strong>Перенос UTM-разметки.</strong> Убедитесь, что ваши кампании во ВКонтакте и Директе не завязаны на макросы, понятные только Google.</li>
<li><strong>Обновление Политики конфиденциальности.</strong> В документе на сайте обязательно удалите упоминания Google LLC и добавьте ООО «ЯНДЕКС» и других текущих обработчиков.</li>
<li><strong>Снятие авторизаций (OAuth).</strong> Проверьте, не настроена ли у вас авторизация пользователей на сайте через Google-аккаунты. В ряде случаев это тоже может попасть под трактовку передачи ПДн.</li>
</ol>
<hr>
<h2 id="вывод">Вывод</h2>
<p>Запрет Google Analytics — это не временная техническая просадка, а новая законодательная реальность суверенного интернета. Чем раньше вы перенесете аналитику на российские серверы, тем больше исторических данных для ретаргетинга накопите в новой системе к высокому сезону.</p>
<p><em>Если вам нужна помощь с техническим аудитом сайта, безопасным переносом целей, настройкой e-commerce в Метрике или развертыванием собственного сервера Matomo — обращайтесь к <strong>инженерам NBM-IT</strong>.</em></p>
<p>[LEAD type=&quot;audit&quot;]</p>


Новая судебная практика по 152-ФЗ. Почему Google Analytics и Tag Manager теперь вне закона в РФ, кому грозят оборотные штрафы и как бесшовно переехать на Яндекс Метрику или Matomo.

Запрет Google Analytics с 1 июля 2025: Штрафы до 18 млн и план миграции для бизнеса

<blockquote>
<p>⚖️ Современный сайт — это не просто код. Это юридический субъект в цифровом пространстве. Нарушения в области сбора и хранения данных могут стоить компаниям миллионов рублей штрафов и утраты доверия клиентов.</p>
</blockquote>
<h2 id="зачем-вообще-соблюдать-правовые-нормы-на-сайте?">Зачем вообще соблюдать правовые нормы на сайте?</h2>
<p>По данным <a href="https://www.cisco.com/c/en/us/about/trust-center/data-privacy-benchmark-study.html">Cisco Data Privacy Benchmark Study (2025)</a>, <strong>Компании, соблюдающие требования по защите данных, получают конкурентное преимущество</strong>.</p>
<p>Около 86% международных респондентов признали положительное влияние законов о конфиденциальности на свой бизнес. Хотя соответствие требованиям требует затрат (разработка модулей согласий, найм DPO), 96% организаций сообщают, что отдача от инвестиций в приватность перевешивает расходы. </p>
<p>Сайт, который собирает заявки, e-mail, номера телефонов, cookies или использует Яндекс Метрику — <strong>уже обрабатывает персональные данные.</strong> Нарушение может привести к:</p>
<ul>
<li>штрафам от Роскомнадзора (до 500 000 ₽ за каждый случай)</li>
<li>блокировке сайта на территории РФ</li>
<li>искам от пользователей и &quot;потребительскому терроризму&quot;</li>
<li>международным санкциям при работе с резидентами ЕЭЗ (EU) или США</li>
</ul>
<p>📌 Специалисты NBM-IT реализуют комплексный <strong>compliance-аудит сайтов</strong>, включая адаптацию под 152-ФЗ, GDPR и CCPA. Мы не просто пишем «бумажки» — мы технически внедряем процессы сбора согласий в архитектуру вашего проекта.</p>
<p>[LEAD type=&quot;audit&quot;]</p>
<hr>
<h2 id="152-фз-россия-базовые-и-скрытые-требования">🇷🇺 152-ФЗ (Россия): базовые и скрытые требования</h2>
<p>Федеральный закон № 152-ФЗ «О персональных данных» — альфа и омега для сайтов в рунете. Изменения последних лет ужесточили контроль за компаниями, которые собирают данные «про запас».</p>
<p><strong>Что считается персональными данными?</strong>
Любые сведения, прямо или косвенно относящиеся к физическому лицу:</p>
<ul>
<li>Имя, телефон, email, IP-адрес, MAC-адрес устройства.</li>
<li>Данные о геолокации и поведении (идентификаторы сессий Яндекс Метрики).</li>
<li>Файлы (резюме, фото), загружаемые через формы обратной связи.</li>
</ul>
<h3>Обязательный чек-лист для сайта под 152-ФЗ:</h3>
<ol>
<li><strong>Политика обработки ПДн:</strong> Ссылка на нее должна быть доступна с любой страницы сайта (обычно в футере). Документ должен быть конкретным, а не скачанным из генератора 2015 года.</li>
<li><strong>Явное согласие (Consent):</strong> Галочка в форме обратной связи не должна быть проставлена по умолчанию (Pre-ticked box — это прямое нарушение). Пользователь должен сам нажать на нее.</li>
<li><strong>Целеполагание:</strong> Если человек оставил email для получения прайс-листа, вы <em>не имеете права</em> заносить его базу для еженедельной маркетинговой рассылки без отдельного согласия.</li>
<li><strong>Локализация баз данных:</strong> Первичный сбор и хранение данных граждан РФ обязаны происходить на серверах, физически расположенных на территории России (ст. 18 ч. 5).</li>
</ol>
<hr>
<h2 id="gdpr-евросоюз-золотой-стандарт-приватности">🇪🇺 GDPR (Евросоюз): золотой стандарт приватности</h2>
<p><strong>GDPR (General Data Protection Regulation)</strong> применяется ко всем сайтам, которые взаимодействуют с гражданами или резидентами ЕС, даже если физически компания находится в России, Казахстане или ОАЭ. Достаточно того, что вы предлагаете товары/услуги в евро или имеете версию сайта на языке страны ЕС.</p>
<h3>Ключевые отличия GDPR от 152-ФЗ:</h3>
<ul>
<li><strong>Cookie-баннеры без компромиссов:</strong> Необходим функционал выбора категорий cookie (строго необходимые, маркетинговые, аналитические). Кнопка «Отказаться от всех» должна быть такой же заметной, как «Принять все». Вариант «Продолжая использовать сайт, вы соглашаетесь...» по GDPR недействителен (решение Суда ЕС по делу Planet49).</li>
<li><strong>Право на забвение (Right to be forgotten):</strong> На сайте должен быть механизм, позволяющий пользователю в один клик запросить полное удаление своего профиля и истории покупок.</li>
<li><strong>Экспорт данных:</strong> Обязанность предоставить пользователю архив с его данными в машиночитаемом формате (JSON/CSV) по первому требованию.</li>
</ul>
<blockquote>
<p>💬 Штрафы за нарушение GDPR могут достигать <strong>€20 млн или 4% от мирового годового оборота компании</strong>. Meta была оштрафована на €1.2 млрд за незаконную трансграничную передачу данных.</p>
</blockquote>
<hr>
<h2 id="ccpa-сша-калифорния-фокус-на-коммерциализацию">🇺🇸 CCPA (США, Калифорния): фокус на коммерциализацию</h2>
<p><strong>California Consumer Privacy Act (CCPA)</strong> регулирует сайты, работающие с жителями штата Калифорния. Закон применяется даже к иностранным компаниям, если их доход превышает $25 млн или они обрабатывают данные 50 000+ жителей штата.</p>
<p><strong>Главное требование CCPA</strong> — опция <strong>«Do Not Sell My Personal Information»</strong> (Не продавайте мою личную информацию). 
Если ваш сайт передает данные рекламным сетям (например, Facebook Pixel или Google Ads для ретаргетинга) — по закону Калифорнии это классифицируется как «продажа данных», даже если деньги физически не переходят из рук в руки. </p>
<p>Сайт обязан предоставить пользователю прозрачную ссылку (часто в футере), нажатие на которую мгновенно отключает передачу его данных в рекламные трекеры.</p>
<hr>
<h2 id="как-автоматизировать-compliance-на-уровне-кода?">Как автоматизировать Compliance на уровне кода?</h2>
<p>Юридическая валидация требует технических инструментов (Consent Management Platform — CMP).
Современные методы внедрения комплаенса:</p>
<ul>
<li><strong>Google Consent Mode v2:</strong> Позволяет тегам Google (Analytics, Ads) адаптировать свое поведение на основе статуса согласия пользователя из Cookie-баннера. Если пользователь отказался от куки — отправляются анонимные пинги (Cookieless pings).</li>
<li><strong>Журналирование (Audit Logs):</strong> Ваша база данных должна хранить лог согласия: <code>user_id</code>, <code>ip_address</code>, <code>timestamp</code>, <code>consent_version_hash</code>. Только так вы докажете Роскомнадзору или суду ЕС, что конкретный человек действительно поставил галочку.</li>
<li><strong>Защита баз:</strong> Шифрование PII (Personally Identifiable Information) данных на уровне SQL (например, хэширование email-ов или токенизация телефонов).</li>
</ul>
<p>[LEAD type=&quot;calculator&quot;]</p>
<hr>
<h2 id="резюме">Резюме</h2>
<p>Compliance — это больше, чем текст в подвале сайта. Это архитектурное требование. Игнорирование 152-ФЗ, GDPR или CCPA может поставить под угрозу не только бюджет, но и существование цифрового продукта.</p>
<p><em>Нужна интеграция модуля согласий 152-ФЗ, настройка Google Consent Mode или аудит логирования данных? <a href="https://nbmit.ru/services/site-audit">Команда разработчиков NBM-IT</a> адаптирует ваш сайт под самые строгие международные правовые стандарты.</em></p>


Полный гид по правовым требованиям для сайтов в 2025 году: как соблюдать закон 152-ФЗ, GDPR и CCPA. Политика конфиденциальности, куки, формы, защита данных и штрафы.

Категория: Digital Law

Запрет Google Analytics с 1 июля 2025: Штрафы до 18 млн и план миграции для бизнеса

Юридические и compliance требования к сайту: 152-ФЗ, GDPR, CCPA

Контактная информация и реквизиты

Санкт-Петербург

Tampa, FL, US

nbm-it@mail.ru

Услуги

Разработка

Услуги

Маркетинг

О нас

Обучающий центр

Инструменты

Технологии