Google Analytics на сайте — это трансграничная передача данных?

Да.

Google Analytics передаёт данные пользователей на серверы Google за пределами России. Это трансграничная передача персональных данных по ФЗ-152.

Что передаётся

Cookie-идентификаторы, IP-адрес (даже усечённый — в связке с cookie это персональные данные), параметры устройства, действия на сайте. РКН квалифицирует связку cookie + IP как персональные данные.

Что говорит закон

Первичная запись и хранение ПДн граждан РФ должны выполняться с использованием баз данных на территории РФ (ч. 5 ст. 18 ФЗ-152). Трансграничная передача возможна, но после уведомления РКН и при соблюдении ст. 12 ФЗ-152.

Штраф — до 6 млн рублей по ч. 8 ст. 13.11 КоАП. Один из самых крупных штрафов в области ПДн.

Три варианта решения

Вариант 1 — убрать GA, поставить Яндекс.Метрику. Данные обрабатывает ООО «Яндекс», серверы в РФ. Трансграничной передачи нет.

Вариант 2 — оставить GA, но подать уведомление в РКН о трансграничной передаче, указать Google в политике ПДн, обосновать передачу по ст. 12 ФЗ-152. Сложнее, рисков больше.

Вариант 3 — self-hosted аналитика (Matomo, Plausible). Данные на вашем сервере в РФ. Полный контроль, никакой зависимости от третьих лиц.

Что ещё проверить

Meta Pixel, TikTok Pixel, Hotjar, Intercom, HubSpot, любые зарубежные чат-виджеты. Каждый такой скрипт — отдельный канал передачи данных за рубеж.