Нужно ли согласие на Яндекс.Метрику, рекламные пиксели и ретаргетинг и считается ли это обработкой персональных данных?

Разберите потоки. Технические cookie (корзина, авторизация, сессия) нужны для работы сайта, и по распространённой практике согласия на них не запрашивают (позиции регулятора с реквизитами не найдено). Аналитика и реклама связывают идентификатор браузера, IP, поведение и, при авторизации, данные профиля или заказа; тогда это персональные данные (п. 1 ст. 3), основанием служит согласие (ст. 6, 9), а отказ не должен ломать сайт. Яндекс как исполнитель получает данные по поручению (ч. 3 ст. 6), что нужно отразить в политике. Ретаргетинг дополнительно упирается в ст. 15: является ли баннерный показ «прямым контактом с помощью средств связи», регулятор не разъяснил, поэтому цель «реклама» лучше указывать в согласии прямо. Общий вывод о cookie: Q08.

Ответственность: обработка без основания — ч. 1 ст. 13.11 КоАП РФ (юрлицо 150–300 тыс. рублей, при повторе 300–500 тыс.); иностранная аналитика без выполнения ст. 12 и ч. 5 ст. 18 — ч. 8, 9 той же статьи (1–6 и 6–18 млн).

Практические шаги: инвентаризировать теги и пиксели; загружать неосновные скрипты после согласия в баннере (проверить во вкладке Network до клика); баннер с категориями и кнопкой отказа; описать аналитические сервисы в политике; для зарубежных счётчиков либо отказаться, либо оформить ст. 12; не передавать в счётчики телефон, email и ФИО из форм и URL.