Генератор152ФЗ · Журнал
АналитикаОбработка cookie-файлов с использованием метрических программ: поручение оператора и согласие субъекта персональных данных
На примере Яндекс Метрики и типового Пользовательского соглашения
Аннотация
Исследован правовой механизм обработки cookie-файлов через метрические программы (на примере Яндекс Метрики) в контексте 152-ФЗ. Рассмотрены три уровня правоотношений: оператор сайта и посетитель, оператор и правообладатель метрики, условия сервиса веб-аналитики. Проведено толкование ч. 3 ст. 6 Закона и разбор пользовательского соглашения и условий Яндекс Метрики. Установлено, что поручение обработки cookie реализуется через акцепт соглашения и договор оператора с правообладателем. Обосновано разграничение технических и статистических cookie и порядок получения согласия через баннер.
Ключевые слова: персональные данные, cookie-файлы, метрическая программа, поручение оператора, Яндекс Метрика, пользовательское соглашение, согласие субъекта, обработка персональных данных, 152-ФЗ.
Abstract
Abstract. The legal mechanism of processing cookie files through metric programs (using Yandex Metrica as an example) in the context of Federal Law No. 152-FZ was examined. Three levels of legal relations were analysed: website operator and visitor, operator and metric rightholder, and terms of the web analytics service. Part 3 of Article 6 of the Law was interpreted and the user agreement and Yandex Metrica terms were reviewed. It was established that entrustment of cookie-related processing is implemented through acceptance of the agreement and the operator's contract with the rightholder. The distinction between technical and statistical cookies and consent via a banner was substantiated.
Keywords: personal data, cookie files, metric program, operator’s instruction, Yandex Metrica, user agreement, subject’s consent, personal data processing, Federal Law No. 152-FZ.
Введение
Распространение метрических программ (веб-аналитики) – таких как «Яндекс Метрика», Google Analytics и др. – обусловило необходимость правового осмысления обработки cookie-файлов, содержащих сведения о поведении пользователей на сайтах. Cookie (небольшие текстовые файлы) могут включать информацию, которая при определённых условиях признаётся персональными данными (IP-адрес, уникальные идентификаторы, данные о местоположении, параметры устройства и др.). В соответствии с п. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о ПДн) персональные данные – это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Следовательно, если оператор сайта имеет возможность (даже теоретическую) связать cookie-идентификатор с конкретным лицом, такая информация подпадает под регулирование Закона о ПДн.
Особенность обработки cookie с использованием метрических программ состоит в том, что фактически сбор и анализ данных осуществляет не сам оператор сайта, а стороннее лицо – правообладатель метрической программы (например, ООО «ЯНДЕКС»). При этом оператор сайта получает лишь обобщённые статистические отчёты. Возникает вопрос о соответствии такой модели требованиям ст. 6 Закона о ПДн, в частности – о правовой природе поручения обработки персональных данных другому лицу.
Настоящая статья ставит целью на основе предоставленного Пользовательского соглашения оператора (типовой формы) и Условий использования сервиса «Яндекс Метрика» проанализировать юридическую конструкцию, позволяющую легально передавать cookie-данные третьему лицу (Яндексу) с соблюдением прав субъектов персональных данных. См. также: согласие на передачу cookie для обработки метрическими программами.
1. Три уровня правоотношений при использовании метрической программы
При интеграции на сайт счётчика Яндекс Метрики возникают три взаимосвязанных, но юридически самостоятельных блока отношений:
- Отношения между оператором сайта (Администратором) и посетителем (Пользователем сайта). Они регулируются Пользовательским соглашением, размещённым на сайте, и определяют условия использования сайта, в том числе – обработку cookie-файлов.
- Отношения между оператором сайта и правообладателем метрической программы (Яндексом). Они строятся на основании договора (соглашения) об использовании сервиса, который заключается при регистрации и размещении кода счётчика. В терминах Закона о ПДн Яндекс выступает лицом, осуществляющим обработку персональных данных по поручению оператора.
- Отношения между Яндексом и посетителем сайта как субъектом персональных данных, однако они опосредованы поручением оператора, поэтому непосредственное согласие посетителя на обработку его данных Яндексу не требуется – оно даётся оператору, а оператор уже поручает обработку Яндексу (ч. 4 ст. 6 Закона о ПДн).
Представленное Пользовательское соглашение (п. 1.2.7, 4.6–4.12) и Условия использования Яндекс Метрики (п. 5.4) прямо закрепляют указанную конструкцию.
2. Правовое основание обработки персональных данных: пользовательское соглашение как оферта и акцепт
Согласно п. 5 ч. 1 ст. 6 Закона о ПДн, обработка персональных данных допускается, если она необходима для исполнения договора, стороной которого является субъект персональных данных. Посетитель сайта, начиная использовать сайт, заключает с оператором (Администратором) договор присоединения – Пользовательское соглашение, которое является публичной офертой (п. 2.4 Соглашения). В п. 1.5 указано: «Использование Сайта означает присоединение к Пользовательскому соглашению». Таким образом, сам факт использования сайта (конклюдентные действия) признаётся акцептом оферты.
Пункт 4.5 Соглашения дополнительно конкретизирует: «Пользователь Сайта, продолжая использовать Сайт, соглашается с настоящим Пользовательским соглашением, а также с использованием технологии Cookie, необходимой для обеспечения корректной работы Сайта (обязательные (технические) cookies)». Для статистических cookie предусмотрен отдельный механизм – всплывающий баннер с текстом: «На сайте осуществляется обработка cookie-файлов с использованием Яндекс Метрики. Нажимая кнопку «Принять», Вы даёте согласие на обработку статистических cookie-файлов с использованием Яндекс Метрики в соответствии с Пользовательским соглашением». Следовательно, согласие на обработку статистических cookie получается путём активного действия (нажатия кнопки), что соответствует требованию ч. 1 ст. 9 Закона о ПДн о том, что согласие должно быть конкретным, информированным и однозначным.
3. Поручение обработки Яндекс Метрике: договор между оператором и правообладателем
Ключевой элемент конструкции – договор оператора с Яндексом. При регистрации в сервисе «Яндекс Метрика» и размещении кода счётчика на своём сайте оператор принимает Условия использования, которые содержат в п. 5.4 прямое указание:
«В отношении персональных данных посетителей сайта Пользователя … Пользователь является оператором персональных данных, а Яндекс – лицом, действующим по поручению оператора персональных данных по смыслу ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Яндекс вправе совершать по поручению Пользователя следующие действия с персональными данными для предоставления Сервиса: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение».
Этот договор является основанием поручения обработки в смысле ч. 3 ст. 6 Закона о ПДн. Важно отметить, что, согласно предоставленным Условиям, поручение оформляется в письменной форме (электронный договор) и содержит все необходимые элементы: перечень персональных данных (IP-адрес, данные об устройстве, cookie-идентификаторы и пр.), перечень действий (операций), цели обработки (составление статистических отчётов), а также обязанность Яндекса соблюдать конфиденциальность и меры безопасности (п. 5.4.3 Условий). Таким образом, договор с Яндексом полностью соответствует требованиям ч. 3 ст. 6 Закона о ПДн.
4. Разграничение обязательных (технических) и статистических cookie: соотношение согласия и законного интереса
Согласно п. 4.6 Пользовательского соглашения, cookie делятся на:
- Обязательные (технические) – необходимы для корректной работы сайта (сохранение настроек безопасности, аутентификация). Их обработка не требует согласия субъекта, поскольку она необходима для исполнения договора (использование сайта) и для осуществления законных интересов оператора (обеспечение функционирования). Это прямо вытекает из п. 5 и п. 7 ч. 1 ст. 6 Закона о ПДн.
- Статистические – собирают обезличенную информацию для улучшения работы сайта. Для них необходимо отдельное согласие, получаемое через баннер с кнопкой «Принять». При этом отказ от статистических cookie не делает сайт недоступным (п. 4.10 Соглашения), что соответствует принципу добровольности согласия.
Такое разграничение согласуется с позицией Роскомнадзора и Европейского суда (дело Planet49), согласно которым предварительное активное согласие требуется для cookie, не являющихся строго необходимыми для функционирования сайта.
5. Системная связь с ч. 3 ст. 6 Закона о ПДн: четыре альтернативных основания поручения
Ранее в юридической литературе высказывалось мнение, что поручение обработки всегда требует одновременного наличия согласия субъекта и договора с обработчиком. Однако грамматическое и системное толкование ч. 3 ст. 6 Закона о ПДн (в редакции от 24.06.2025) позволяет выделить четыре самостоятельных, альтернативных основания для поручения: (1) с согласия субъекта; (2) когда иное предусмотрено федеральным законом (поручение без согласия); (3) на основании договора (контракта) с обработчиком; (4) на основании акта государственного или муниципального органа. Подробный анализ этой конструкции приведён в отдельной статье о ч. 3 ст. 6 152-ФЗ.
Применительно к cookie-файлам мы наблюдаем смешанную конструкцию:
- Для обязательных (технических) cookie поручение Яндексу осуществляется на основании договора (п. 3 ч. 3 ст. 6) и в силу федерального закона – п. 5 ч. 1 ст. 6 (исполнение договора с субъектом). Согласие субъекта на поручение не требуется, так как обработка осуществляется в рамках договорных отношений.
- Для статистических cookie поручение основано на договоре с Яндексом, но дополнительно требуется согласие субъекта (п. 1 ч. 3 ст. 6), получаемое через акцепт оферты (использование сайта) и нажатие кнопки «Принять» в баннере. При этом само согласие на поручение даётся в момент акцепта Пользовательского соглашения, где прямо указано, что статистические cookie обрабатываются Яндексом (п. 4.5 и п. 4.12).
Таким образом, представленная модель полностью соответствует любому из возможных прочтений ч. 3 ст. 6, в том числе альтернативному, поскольку основание поручения (договор) всегда присутствует, а согласие субъекта добавляется лишь для той категории cookie, где это необходимо.
6. Информирование субъекта и право на отказ
Пользовательское соглашение (п. 4.9–4.10) и баннер обеспечивают выполнение требований ст. 9 Закона о ПДн: субъекту предоставляется полная информация об обработке cookie (типы, цели, сроки хранения, возможность отключения). Пользователь может в любой момент отказаться от статистических cookie, изменив настройки браузера или используя специальные блокировщики. Это соответствует праву субъекта на отзыв согласия (ч. 2 ст. 9 Закона о ПДн). Кроме того, п. 9 ч. 7 ст. 14 Закона о ПДн гарантирует субъекту право получить информацию о лице, осуществляющем обработку по поручению (т.е. о Яндексе). В Пользовательском соглашении (п. 4.12) указаны реквизиты Яндекса (ООО «ЯНДЕКС», ИНН 7736207543), что позволяет субъекту реализовать это право.
Заключение
Использование метрических программ (на примере Яндекс Метрики) для сбора cookie-файлов может быть признано законным при соблюдении следующих условий:
- Оператор сайта заключает Пользовательское соглашение с посетителем (оферта акцептуется использованием сайта), в котором подробно описываются типы cookie, цели обработки и лицо, которому поручается обработка (Яндекс).
- Для статистических cookie требуется активное согласие субъекта (нажатие кнопки «Принять» во всплывающем баннере), тогда как обязательные (технические) cookie могут обрабатываться без отдельного согласия на основании исполнения договора.
- Оператор и Яндекс заключают договор об использовании метрической программы, который является поручением оператора в смысле ч. 3 ст. 6 Закона о ПДн и содержит все необходимые элементы (перечень данных, перечень операций, цели, обязанности по безопасности).
- Субъекту обеспечивается возможность отказа от статистических cookie (отзыв согласия) и получения информации об обработчике.
Предложенная правовая конструкция полностью соответствует альтернативному толкованию ч. 3 ст. 6 Закона о ПДн, поскольку поручение обработки основано на договоре, а согласие субъекта добавляется как самостоятельное условие для отдельных категорий cookie. Такой подход уравновешивает интересы оператора (получение статистики) и права субъекта (контроль над своими данными).
Список литературы
- Федеральный закон от 27.07.2006 № 152-ФЗ (ред. от 24.06.2025) «О персональных данных» // Доступ из справ.-правовой системы «КонсультантПлюс».
- Пользовательское соглашение (шаблон комплекта документов тарифа «Базовый», Генератор152ФЗ). – URL: https://генератор152фз.рф/#pricing (дата обращения: 12.05.2026).
- Условия использования сервиса Яндекс Метрика и AppMetrica. URL: https://yandex.ru/legal/metrica_termsofuse (дата обращения: 12.05.2026).
- Определение Суда Европейского Союза от 01.10.2019 по делу C‑673/17 (Planet49). – Текст: электронный.
- Разъяснения Роскомнадзора по вопросам обработки cookie-файлов. – URL: https://rkn.gov.ru/ (дата обращения: 12.05.2026).