Ретаргетинг и пиксели на сайте: что можно собирать по закону

Ретаргетинг и персональные данные связаны напрямую: чтобы показать рекламу человеку, который уже был на сайте, рекламная система должна его узнать по cookie или другому идентификатору, а при загрузке списка клиентов она получает email или телефон. Закон такой механизм не запрещает, но требует основания для обработки, информирования людей и аккуратности при передаче данных площадке. Ниже я собрал, что реально собирают пиксели, куда это уходит и как настроить без лишнего риска. Я разработчик, а не юрист: спорные места помечены, итоговое решение стоит сверить с юристом. Условия площадок читал 14 октября 2026 года, они меняются.

Ретаргетинг и персональные данные: что собирает пиксель

Пиксель VK Рекламы, по справке VK, это JavaScript-код на страницах сайта. Он передаёт просмотры страниц вместе с адресом и источником перехода, глубину и длительность сессии, а также события: клики по телефону и email, отправку формы, начало оформления заказа. Из события можно собрать аудиторию, по умолчанию за 365 дней.

Счётчик Яндекс Метрики ставит cookie, например _ym_uid со сроком один год, который различает посетителей. Любая цель Метрики в Директе может стать условием ретаргетинга и подбора аудитории. Вебвизор записывает действия на странице, и по условиям Метрики владелец сам включает его и сам отвечает за поля ввода, которые не закрыл специальным CSS-классом.

Бывший myTarget теперь часть VK Рекламы, Яндекс Аудитории на дату проверки работают. Ни один пиксель не берёт ФИО или телефон сам по себе. Они уходят туда, куда вы их положили: в адрес страницы, параметр события или список клиентов.

Какие данные уходят куда

Что стоит	Что собирает	Куда уходит	Роль по условиям площадки
Счётчик Метрики	cookie с идентификатором, адреса страниц, действия, при Вебвизоре запись сессии	Яндекс	Владелец оператор, Яндекс обрабатывает по его поручению (п. 5.4 условий Метрики)
Пиксель VK Рекламы	просмотры с адресом и источником, метрики сессии, события и автоцели	VK	Условия я не нашёл в справке пикселя, читайте оферту кабинета
Список клиентов в Аудиториях	email, телефон, ID устройства в хеше или открытом виде	Яндекс	Стороны самостоятельные операторы, поручения нет (п. 6.2)
Список в VK Рекламе	email, телефон, ID ВКонтакте и Одноклассников	VK	Не проверено, см. правила размещения рекламы
Зарубежные пиксели	идентификаторы и события посетителя	серверы за рубежом	Трансграничная передача, ст. 12 152-ФЗ

Роли разные, и это стоит знать. В условиях Метрики владелец назван оператором, а Яндекс работает по поручению. В условиях сервиса «Аудитории» стороны названы самостоятельными операторами: ни одна не поручает другой обработку (п. 6.2).

Списки клиентов: загрузка email и телефонов

Правила Яндекса из справки: файл CSV не меньше 100 записей, данные можно загружать хешированными, а MD5 для новых загрузок уже не принимается, нужен SHA-256. В VK Рекламе справка допускает email и телефоны в открытом или хешированном виде, MD5 доступен, SHA-256 только для телефонов без соли, для списка нужно не меньше 100 уникальных записей. Многие считают, что хеш делает данные безличными. Прямой нормы на этот счёт я не нашёл, и моё толкование такое: площадка по хешу находит человека в своей базе, поэтому хеш защищает данные при передаче, но основание для обработки не заменяет.

В условиях сервиса «Аудитории» клиент заверяет, что получил все согласия людей, которые требует закон (п. 4.1.4), обязан уведомить их о передаче данных Яндексу (п. 6.5.2) и по запросу показать подтверждение (п. 6.7). То есть ответственность за законность загрузки лежит на вас. Значит, в список попадают только согласившиеся на рекламу и передачу площадке, отозвавших убирайте.

Отдельно про рассылки. Реклама по электронной почте, телефону и в мессенджерах идёт по ст. 18 закона о рекламе: нужно предварительное согласие адресата, а доказывать его получение должен рекламораспространитель (письмо ФАС от 04.06.2013 № АК/21587/13). Показ баннеров по загруженному списку рассылкой не считается, но если вы пишете этим людям письма и SMS, согласие на рекламную рассылку должно быть отдельным.

Пиксель на сайте и закон: что спорно

Основа в 152-ФЗ такая. Обработка допустима при наличии основания по ст. 6: чаще всего это согласие, иногда законный интерес. Согласие по ст. 9 должно быть конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года по закону № 156-ФЗ его оформляют отдельно от других документов, а официальных разъяснений, как применять это к баннеру, комментаторы не нашли. Ст. 18.1 требует, чтобы политика обработки была доступна, на сайте её публикуют, как я показывал в разборе cookie-баннера. Как оформить само согласие, я собрал в статье про согласие на обработку данных.

Спорные места, которые я помечаю как спорные:

• Cookie это персональные данные или нет. Роскомнадзор в пересказе юристов исходит из того, что cookie с идентификатором может быть персональными данными и согласие на него допустимо при информировании. Другой автор в Право.ру считает, что сам файл персональными данными не является, ими бывает его содержимое. В подборке КонсультантПлюс приведено решение Второго кассационного суда общей юрисдикции от 26.12.2022 № 16-9987/2022 по Speedtest.net, где cookie и идентификаторы устройства отнесены к персональным данным. Это пересказ в научной статье, текст решения я не читал.
• Законный интерес вместо согласия. Как основание для рекламных пикселей применять его рискованно, по пересказу позиции регулятора он годится, когда других оснований нет.

Мой вывод: считать риск реальным, показывать баннер с выбором, не запускать пиксели до ответа и перечислить их в политике.

Маркировка, Meta* и зарубежные пиксели

Ретаргетинговое объявление остаётся рекламой, и erid на него нужен так же, как на любой креатив в интернете. Порядок я разобрал в статье про маркировку рекламы в ОРД.

С Meta* проще. С 1 сентября 2025 года по закону № 72-ФЗ реклама на ресурсах запрещённой организации запрещена, для юрлиц штраф по ст. 14.3 КоАП от 100 000 до 500 000 рублей. Пиксель, который кормит такую рекламу, смысла не имеет. Отдельного запрета на сам код на сайте я не нашёл, но он отправляет данные за рубеж. О пометках я писал в статье про Meta* на сайте. Google Ads и TikTok: доступность кабинетов и оплаты для российского рекламодателя я не проверял по первоисточнику, поэтому не утверждаю. Любой зарубежный пиксель добавляет вопросы трансграничной передачи и локализации, их я разбирал в статье про Google Fonts, reCAPTCHA и YouTube.

Как я это делаю

Аудит пикселей я делаю по такой схеме.

1. Чистый профиль браузера. Открываю сайт без cookie и расширений, записываю сетевые запросы до ответа в баннере и после. Так видно, что реально стартует раньше согласия.
2. Инвентаризация. Выписываю все счётчики, пиксели и теги, включая то, что подтягивает Tag Manager. На каждый: зачем нужен, кто получатель, где страна.
3. Сокращение. Оставляю Метрику и пиксель одной российской площадки, где реально идёт реклама. Остальное удаляю.
4. События без персональных данных. Передаю тип события и цель: заявка, корзина, оплата. В адрес страницы «спасибо», параметры и названия событий не попадают email, телефон, ФИО. В Вебвизоре закрываю поля ввода.
5. Запуск после согласия. Пиксели грузятся скриптом после ответа в баннере. Отказ их действительно отключает, это проверяю тем же методом.
6. Списки клиентов. Собираю только согласившихся, хеширую по правилам площадки, веду учёт отзывов.

Как выглядит такая проверка с доказательствами, показано в кейсе аудит сайта с доказательствами: там счётчики стартовали до согласия, а отказ ничего не менял. Цели, которые потом кормят ретаргетинг, я настраиваю по схеме из статьи окупаемость рекламы и цели в Метрике. Если нужна проверка вашего сайта, это аудит сайта по 152-ФЗ от 15 000 ₽, а исправления под ключ входят в приведение сайта в порядок от 30 000 ₽. Настройку Директа я веду отдельно, цены на странице цен.

Чек-лист: что оставить, что убрать

1. Составьте список счётчиков и пикселей, для каждого запишите цель, получателя и страну, лишние удалите.
2. Замените зарубежные счётчики российскими там, где это возможно.
3. Включите загрузку рекламных пикселей только после согласия.
4. Добавьте в политику перечень пикселей, цели и получателей.
5. Уберите персональные данные из адресов страниц и параметров событий.
6. Закройте поля ввода в Вебвизоре.
7. В списки для загрузки включайте только давших согласие на рекламу.
8. Проверьте маркировку каждого креатива.

Что вынести на юриста

Три вопроса, которые я не решаю за вас. Первый: достаточно ли вашего баннера как формы согласия на рекламные пиксели с учётом новой редакции ст. 9. Второй: нужно ли в вашем случае уведомление о трансграничной передаче, если остаётся зарубежный пиксель. Третий: как оформить загрузку базы клиентов, если согласия собирались давно и в другой формулировке. Юристу я готовлю технический список: что стоит, что собирает, куда уходит.

Частые вопросы

Нужно ли согласие на ретаргетинг и пиксель на сайте?

Однозначного ответа в законе нет, потому что спорно, считаются ли cookie персональными данными. Осторожный путь: показывать баннер, запускать рекламные пиксели после согласия и описывать их в политике.

Ретаргетинг и персональные данные: можно ли загрузить базу клиентов в рекламный кабинет?

Можно, если у вас есть основание передавать данные площадке. По условиям Яндекса вы гарантируете, что получили согласия, и отвечаете за это. Загружайте только тех, кто согласился на рекламу.

Хеширование email и телефона снимает вопросы по 152-ФЗ?

Нет оснований так считать. По хешу площадка находит человека в своей базе. Хеш защищает данные при передаче, согласие он не заменяет. Это моё толкование, проверьте у юриста.

Пиксель на сайте: закон разрешает Facebook* Pixel и Google?

Прямого запрета на код я не нашёл. Но реклама на ресурсах Meta* запрещена с 1 сентября 2025 года, а зарубежные пиксели добавляют вопросы трансграничной передачи. Сначала решите, зачем пиксель нужен.

Нужна ли маркировка ретаргетинговой рекламы?

Да, это интернет-реклама, и к ней применяются общие правила маркировки с erid.

Что писать в политике и баннере про пиксели?

В политике перечислите пиксели, цели, категории данных и получателей. В баннере дайте категорию «Маркетинг» отдельным выбором, с кнопкой отказа такого же размера.

Коротко о главном

Ретаргетинг можно вести законно, если собирать минимум, не класть персональные данные в события, запускать рекламные пиксели после согласия и загружать в кабинеты только тех клиентов, кто согласился на рекламу. Спорные вопросы про cookie и хеш лучше решить с юристом заранее, а не после проверки.

Я проверяю сайт по записи сетевых запросов, убираю лишние счётчики и настраиваю события без персональных данных. Подробности на странице цифрового маркетинга. Напишите мне в Telegram кодовое слово «ПИКСЕЛЬ», и я скажу, какие счётчики на вашем сайте стоит оставить, а какие убрать.