Google Analytics, reCAPTCHA и Google Fonts на сайте: риски по 152‑ФЗ и чем заменить

Почему подключение сервиса Google считается передачей данных

Когда браузер посетителя загружает скрипт, шрифт или виджет с сервера Google, он передаёт IP-адрес, сведения о браузере и устройстве, адрес страницы, а часто и cookie. Вместе с идентификаторами cookie эти сведения позволяют выделить конкретного человека, поэтому их рассматривают как персональные данные (ПДн). Получатель — американская компания Google LLC, значит, это трансграничная передача по ст. 12 152‑ФЗ.

США нет в перечне стран с адекватной защитой (приказ Роскомнадзора № 128). Поэтому до подключения сервиса нужно подать уведомление о трансграничной передаче и подождать 10 рабочих дней. Минцифры в письме от 12.05.2025 № П25‑44929 прямо назвало использование Google Analytics трансграничной передачей. Прямого запрета Google Analytics в законе нет: нарушением становится передача без уведомления, правового основания и описания в документах.

Практика уже есть. С февраля 2025 года Роскомнадзор (РКН) направлял владельцам сайтов письма о Google Analytics с требованием убрать счётчик или оформить передачу в течение 10 рабочих дней. Порядок оформления подробно описан в статье о трансграничной передаче персональных данных.

Сравнение: что уходит в Google и чем заменить

Российский сервис снимает вопрос трансграничной передачи, но обработка ПДн остаётся. Яндекс Метрика и SmartCaptcha тоже используют cookie и данные о поведении, поэтому их нужно описать в политике и в cookie-уведомлении.

Google Analytics и Tag Manager

Для большинства российских сайтов замена — Яндекс Метрика: ООО «Яндекс» — российская компания, и трансграничной передачи при её использовании не возникает. Если нужна аналитика без внешнего сервиса вообще, подойдёт Matomo, развёрнутый на своём сервере в России: данные никуда не уходят.

1. Выгрузите из Google Analytics отчёты, которые понадобятся для сравнения с прошлыми периодами.
2. Установите Метрику, настройте цели и электронную коммерцию. В Вебвизоре скройте поля форм, чтобы запись сессий не сохраняла введённые данные — подробнее в статье Яндекс Метрика и 152‑ФЗ.
3. Удалите код Google Analytics из шаблонов, модулей CMS и менеджера тегов. Частая ситуация: компания давно перешла на Метрику, а старый тег годами загружается через плагин темы.
4. Разберите Google Tag Manager: сам контейнер тоже обращается к серверам Google, поэтому нужные теги лучше подключить напрямую и удалить контейнер.
5. Обновите политику и cookie-уведомление: перечислите сервисы, которые остались.

Google reCAPTCHA

reCAPTCHA особенно чувствительна: она стоит на формах, где человек оставляет имя, телефон и почту, а версия v3 часто подключается на все страницы сайта. Загружать её только после согласия на cookie не получится — без капчи форма не отправится.

Yandex SmartCaptcha работает в инфраструктуре Yandex Cloud. Есть чекбокс «Я не робот», задания и невидимый режим, при котором проверку видят только посетители с подозрительным поведением. Платят за успешные проверки, небольшой объём в месяц не тарифицируется — актуальные условия смотрите в тарифах Yandex Cloud. Для замены нужно получить ключи, поставить новый виджет на формы и перенастроить проверку токена на сервере.

Небольшому сайту с умеренным спамом часто хватает серверных мер без внешнего сервиса: скрытое поле-ловушка, которое заполняют только боты, ограничение частоты отправки с одного адреса, проверка времени заполнения формы.

Google Fonts

Шрифты — самый незаметный источник передачи. Если стили подключают шрифт с fonts.googleapis.com, браузер каждого посетителя обращается к серверам Google, хотя аналитику вы не включали. Решение бесплатное: большинство шрифтов из каталога Google Fonts распространяются по открытой лицензии SIL Open Font License и разрешают размещение на своём сервере.

1. Найдите в коде и настройках темы обращения к fonts.googleapis.com и fonts.gstatic.com.
2. Скачайте файлы в формате WOFF2 — только нужные начертания и наборы символов с кириллицей.
3. Разместите файлы на своём сервере и опишите их через @font-face с параметром font-display: swap.
4. Удалите старые ссылки на Google Fonts и проверьте во вкладке «Сеть» инструментов разработчика, что запросов к Google не осталось.

Во фреймворке Next.js модуль next/font сам скачивает шрифты при сборке и отдаёт их с вашего домена. В WordPress шрифты Google часто подключают тема и плагины — проверяйте сайт после каждого обновления. Иконочные шрифты вроде Material Icons, а также встроенные карты и видео тоже тянут ресурсы с серверов Google.

Другие подключения, которые часто забывают

• рекламные пиксели зарубежных платформ; отдельный риск у Meta Pixel — деятельность Meta запрещена в России;
• сервисы записи сессий и тепловых карт вроде Hotjar и Microsoft Clarity — их заменяют Вебвизор и карты Метрики;
• иностранные онлайн-чаты и конструкторы форм, которые принимают контакты посетителя;
• JavaScript-библиотеки с зарубежных CDN — каждый такой запрос тоже передаёт IP-адрес;
• кнопки и виджеты иностранных соцсетей, виджет Google Translate.

Как найти иностранные подключения на сайте

1. Откройте сайт в режиме инкогнито и включите инструменты разработчика, вкладку «Сеть».
2. Пройдите по главной, карточкам товаров, корзине, страницам с формами и личному кабинету.
3. Ищите домены google-analytics.com, googletagmanager.com, googleapis.com, gstatic.com, recaptcha.net, youtube.com, ytimg.com, doubleclick.net, а также facebook.net, hotjar.com, clarity.ms.
4. Повторите проверку до и после согласия в cookie-баннере: необязательные счётчики не должны загружаться до согласия.
5. Проверьте шаблоны, модули CMS и контейнер менеджера тегов — часть подключений срабатывает только на отдельных страницах.

Быстрее начать с бесплатной проверки сайта: она показывает иностранные счётчики, капчи, шрифты и виджеты, а заодно проверяет политику и cookie-уведомление.

Если отказаться от сервиса нельзя

Иногда иностранный сервис действительно нужен — из‑за требований зарубежного партнёра или функций, которых нет у аналогов. Тогда его использование оформляют полностью:

1. соберите сведения о мерах защиты из документов Google: политики конфиденциальности, условий обработки данных, описания мер безопасности;
2. подайте в Роскомнадзор уведомление о трансграничной передаче по ст. 12 152‑ФЗ и подождите 10 рабочих дней — США нет в перечне;
3. опишите сервис в политике: получатель, страна, цели, состав данных;
4. загружайте необязательные сервисы только после согласия посетителя в cookie-баннере;
5. убедитесь, что данные из форм сначала записываются в базу в России.

Роскомнадзор в течение 10 рабочих дней с поступления уведомления вправе запретить или ограничить передачу, поэтому держите запасной вариант.