Технический аудит · 26.05.2026

belga.be

Национальное информационное агентство Бельгии (Belga)

Национальное информационное агентство Бельгии — 79 запросов, 18 доменов. Полный рекламно-аналитический стек — Google Ads и GA4, LinkedIn Ads, запись сессий Contentsquare, идентификация по IP Lead Forensics, Sentry — срабатывает до согласия. Consent-менеджер CookieYes загружается позже старта трекеров и их не удерживает. Ни один сервис в политике не назван.

Хронология обращений

+0 мс · загрузка портала

Контент с belga.be и первопартийного бэкенда www-bo.belga.be.

+497 мс · Google Tag Manager

www.googletagmanager.com — контейнер тегов, поднимающий Google Ads (AW-1005663691) и GA4 (G-X90HZ8CS30).

+531–550 мс · LinkedIn и Sentry

snap.licdn.com — LinkedIn Insight; o4505089785921536.ingest.sentry.io — мониторинг ошибок Sentry.

+858–1197 мс · реклама и запись сессий

Contentsquare (t.contentsquare.net, c.ba.contentsquare.net); Google ccm/collect page_view с auid; LinkedIn Ads px.ads.linkedin.com (pid 4472417).

+1419–1454 мс · GA4 и идентификация по IP

region1.google-analytics.com/g/collect (GA4, cid); secure.leadforensics.com/Track/Capture.aspx (B2B-идентификация, аккаунт 97305).

Декларация против факта

✓ Политика упоминает cookie (многократно) и согласие обобщённо, рекламу — вскользь — заявлен

✓ Конкретные сервисы и сторонние получатели не названы — заявлен

+ Google Ads + GA4 + GTM — реклама и аналитика, до согласия, не названы — не заявлен

+ LinkedIn Ads (px.ads.linkedin.com) — реклама, до согласия, не названа — не заявлен

+ Contentsquare — запись сессий/поведение, до согласия, не названа — не заявлен

+ Lead Forensics — идентификация по IP, до согласия, не названа — не заявлен

+ Sentry, CookieYes, Whizeo — не названы — не заявлен

Тайминги передачи

+878 мс www.google.com

ccm/collect page_view с рекламным идентификатором (auid). Google Ads AW-1005663691, США.

+1197 мс px.ads.linkedin.com

LinkedIn Ads attribution/collect, pid 4472417. США.

+1131 мс c.ba.contentsquare.net

Contentsquare pageview — запись поведения (uu).

+1419 мс region1.google-analytics.com

GA4 g/collect page_view (cid). G-X90HZ8CS30.

+1454 мс secure.leadforensics.com

Lead Forensics — идентификация посетителя по IP. Аккаунт 97305.

Зафиксированные трекеры

Google Ads + GA4 + GTM (AW-1005663691, G-X90HZ8CS30)
LinkedIn Ads (px.ads.linkedin.com, pid 4472417)
Contentsquare — запись сессий/поведение
Lead Forensics — B2B-идентификация по IP (97305)
Sentry — мониторинг ошибок
CookieYes — CMP (не гейтит)
Whizeo — новостная контент-платформа (наблюдение)

Признаки несоответствия GDPR

ePrivacy (бельгийская имплементация) + GDPR Art. 6(1) — трекеры до согласия
Consent-менеджер CookieYes загружается на +686 мс — уже после старта рекламных и аналитических сервисов — и их не удерживает. До согласия срабатывают: Google Tag Manager с Google Ads (AW-1005663691) и GA4 (G-X90HZ8CS30), отправляющие page_view «Belga - Homepage» с рекламным идентификатором (auid) и идентификатором клиента (cid); LinkedIn Ads (snap.licdn.com и px.ads.linkedin.com, pid 4472417); Contentsquare (запись сессий и поведения); Lead Forensics (идентификация B2B-посетителя по IP, аккаунт 97305); Sentry. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.
GDPR Art. 13(1)(e) — раскрытие получателей
Политика Belga упоминает cookie и согласие обобщённо, но не называет ни одного фактического сервиса: ни Google, ни LinkedIn, ни Contentsquare, ни Lead Forensics, ни Sentry, ни сам consent-менеджер CookieYes. Получатели данных не раскрыты.
GDPR Chapter V — трансграничная передача
До согласия данные передаются получателям за пределами ЕС: page_view, рекламный и клиентский идентификаторы уходят в Google (США), рекламные события — в LinkedIn (США), поведенческие данные — в Contentsquare, идентификация по IP — в Lead Forensics. Передача происходит без согласия.
Особый характер — идентификация по IP
Lead Forensics специализируется на деанонимизации корпоративных посетителей по IP-адресу (эндпоинт Track/Capture.aspx, аккаунт 97305). На сайте национального информационного агентства это позволяет соотносить визиты, в том числе журналистов и организаций, с конкретными компаниями — до согласия и без раскрытия.

Контекст

belga.be — сайт Belga News Agency (Belga), национального информационного агентства Бельгии, поставщика новостей для СМИ страны. Ответственный за обработку — Belga News Agency NV. Политика конфиденциальности сравнительно короткая (около 5 700 символов). Замер: 79 запросов, 18 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США), LinkedIn (США), Contentsquare, Lead Forensics, Sentry.

Заявленное против фактического

Политика Belga многократно упоминает cookie и в общих словах — согласие и третьи стороны, а рекламу затрагивает вскользь. Ни одного конкретного сервиса измерения, рекламы или идентификации она не называет.

Замер показывает развёрнутый стек, срабатывающий до согласия. Показателен порядок загрузки: рекламные и аналитические сервисы стартуют раньше, чем появляется consent-менеджер. Google Tag Manager (+497 мс) поднимает Google Ads (AW-1005663691) и GA4 (G-X90HZ8CS30); эндпоинт www.google.com/ccm/collect четырежды получает событие page_view с заголовком «Belga - Homepage», адресом страницы и рекламным идентификатором (auid), а region1.google-analytics.com/g/collect — событие GA4 с идентификатором клиента (cid). Параллельно работает LinkedIn Ads (snap.licdn.com и px.ads.linkedin.com, pid 4472417), сервис записи сессий и поведения Contentsquare (t.contentsquare.net, c.ba.contentsquare.net), мониторинг ошибок Sentry и — отдельно значимо — Lead Forensics (secure.leadforensics.com/Track/Capture.aspx, аккаунт 97305), сервис деанонимизации корпоративных посетителей по IP-адресу.

Consent-менеджер CookieYes загружается лишь на +686 мс, то есть уже после старта части трекеров, и в замере их не удерживает: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан, а сервисы тем не менее срабатывают. Ни один из перечисленных сервисов — Google, LinkedIn, Contentsquare, Lead Forensics, Sentry, CookieYes — в политике не назван. Множество обращений к доменам whizeo.com относится к новостной контент-платформе Belga; их роль как средства отслеживания отдельно не устанавливается и в основание нарушения не кладётся.

Тайминг относительно согласия

Трекеры стартуют с +497 мс, consent-менеджер — с +686 мс, а передающие данные события продолжаются до +4456 мс. Порядок загрузки таков, что согласие технически не могло предшествовать срабатыванию рекламы и аналитики; фактически согласие в сеансе и не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Идентификаторы посетителя (auid, cid, идентификатор Contentsquare) в публикации полностью не приводятся; идентификаторы аккаунтов сервисов (AW-1005663691, G-X90HZ8CS30, LinkedIn pid 4472417, Lead Forensics 97305) относятся к настройкам сайта, а не к посетителю. Роль платформы Whizeo отнесена к доставке новостного контента. Google, LinkedIn и Contentsquare могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт национального информационного агентства Бельгии до согласия запускает полный коммерческий стек: рекламу Google Ads и LinkedIn Ads, аналитику GA4, запись сессий Contentsquare, мониторинг Sentry и — наиболее чувствительное — идентификацию посетителей по IP через Lead Forensics. Consent-менеджер CookieYes на сайте присутствует, но загружается позже старта трекеров и их не удерживает, а ни один сервис в политике не назван. Совокупность срабатывания рекламных и идентифицирующих сервисов до согласия, передачи данных получателям в США и полного отсутствия их раскрытия указывает на несоблюдение требований о предварительном согласии, о раскрытии получателей и о трансграничной передаче. Устранение: перевести CookieYes в режим действительной блокировки, чтобы все нетехнические сервисы удерживались до согласия; исключить срабатывание Google, LinkedIn, Contentsquare и Lead Forensics до выбора пользователя; раскрыть все фактически используемые сервисы в политике.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: be/belga-be-2026-05-26.har

SHA-256: 924ebfd9ad07d219dc3e64db18d1fd08e48f18335333ab08861409c83e3fb781

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — belga.be

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта belga.be.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Consent-менеджер CookieYes загружается на +686 мс — уже после старта рекламных и аналитических сервисов — и их не удерживает. До согласия срабатывают: Google Tag Manager с Google Ads (AW-1005663691) и GA4 (G-X90HZ8CS30), отправляющие page_view «Belga - Homepage» с рекламным идентификатором (auid) и идентификатором клиента (cid); LinkedIn Ads (snap.licdn.com и px.ads.linkedin.com, pid 4472417); Contentsquare (запись сессий и поведения); Lead Forensics (идентификация B2B-посетителя по IP, аккаунт 97305); Sentry. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.

2) Политика Belga упоминает cookie и согласие обобщённо, но не называет ни одного фактического сервиса: ни Google, ни LinkedIn, ни Contentsquare, ни Lead Forensics, ни Sentry, ни сам consent-менеджер CookieYes. Получатели данных не раскрыты.

3) До согласия данные передаются получателям за пределами ЕС: page_view, рекламный и клиентский идентификаторы уходят в Google (США), рекламные события — в LinkedIn (США), поведенческие данные — в Contentsquare, идентификация по IP — в Lead Forensics. Передача происходит без согласия.

4) Lead Forensics специализируется на деанонимизации корпоративных посетителей по IP-адресу (эндпоинт Track/Capture.aspx, аккаунт 97305). На сайте национального информационного агентства это позволяет соотносить визиты, в том числе журналистов и организаций, с конкретными компаниями — до согласия и без раскрытия.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/be-belga-be/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — belga.be

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website belga.be.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The CookieYes consent manager loads at +686 ms — after the advertising and analytics services have already started — and does not hold them back. Before consent, the following fire: Google Tag Manager with Google Ads (AW-1005663691) and GA4 (G-X90HZ8CS30), sending a page_view event 'Belga - Homepage' with an advertising identifier (auid) and a client identifier (cid); LinkedIn Ads (snap.licdn.com and px.ads.linkedin.com, pid 4472417); Contentsquare (session and behavior recording); Lead Forensics (B2B visitor identification by IP, account 97305); Sentry. Zero Set-Cookie headers for the entire session — no user choice was made.

2) Belga's policy mentions cookies and consent in general terms, but names not a single actual service: not Google, not LinkedIn, not Contentsquare, not Lead Forensics, not Sentry, not even the CookieYes consent manager itself. Data recipients are not disclosed.

3) Before consent, data is transmitted to recipients outside the EU: the page_view event, advertising identifier, and client identifier go to Google (USA); advertising events go to LinkedIn (USA); behavioral data goes to Contentsquare; IP-based identification goes to Lead Forensics. The transfer occurs without consent.

4) Lead Forensics specializes in de-anonymizing corporate visitors by IP address (endpoint Track/Capture.aspx, account 97305). On the website of a national news agency, this allows visits — including those of journalists and organizations — to be linked to specific companies, before consent and without disclosure.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/be-belga-be/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: APD — Орган по защите данных Бельгии — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — belga.be

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом belga.be.

2. Обстоятельства
Я посетил сайт belga.be и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 26.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Consent-менеджер CookieYes загружается на +686 мс — уже после старта рекламных и аналитических сервисов — и их не удерживает. До согласия срабатывают: Google Tag Manager с Google Ads (AW-1005663691) и GA4 (G-X90HZ8CS30), отправляющие page_view «Belga - Homepage» с рекламным идентификатором (auid) и идентификатором клиента (cid); LinkedIn Ads (snap.licdn.com и px.ads.linkedin.com, pid 4472417); Contentsquare (запись сессий и поведения); Lead Forensics (идентификация B2B-посетителя по IP, аккаунт 97305); Sentry. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.

2) Политика Belga упоминает cookie и согласие обобщённо, но не называет ни одного фактического сервиса: ни Google, ни LinkedIn, ни Contentsquare, ни Lead Forensics, ни Sentry, ни сам consent-менеджер CookieYes. Получатели данных не раскрыты.

3) До согласия данные передаются получателям за пределами ЕС: page_view, рекламный и клиентский идентификаторы уходят в Google (США), рекламные события — в LinkedIn (США), поведенческие данные — в Contentsquare, идентификация по IP — в Lead Forensics. Передача происходит без согласия.

4) Lead Forensics специализируется на деанонимизации корпоративных посетителей по IP-адресу (эндпоинт Track/Capture.aspx, аккаунт 97305). На сайте национального информационного агентства это позволяет соотносить визиты, в том числе журналистов и организаций, с конкретными компаниями — до согласия и без раскрытия.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/be-belga-be/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy (бельгийская имплементация) + GDPR Art. 6(1) — трекеры до согласия; GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Chapter V — трансграничная передача; Особый характер — идентификация по IP

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — belga.be

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website belga.be.

2. Circumstances
I visited the website belga.be and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 26 May 2026 (open methodology, reproducible measurements) documents the following indications:

1) The CookieYes consent manager loads at +686 ms — after the advertising and analytics services have already started — and does not hold them back. Before consent, the following fire: Google Tag Manager with Google Ads (AW-1005663691) and GA4 (G-X90HZ8CS30), sending a page_view event 'Belga - Homepage' with an advertising identifier (auid) and a client identifier (cid); LinkedIn Ads (snap.licdn.com and px.ads.linkedin.com, pid 4472417); Contentsquare (session and behavior recording); Lead Forensics (B2B visitor identification by IP, account 97305); Sentry. Zero Set-Cookie headers for the entire session — no user choice was made.

2) Belga's policy mentions cookies and consent in general terms, but names not a single actual service: not Google, not LinkedIn, not Contentsquare, not Lead Forensics, not Sentry, not even the CookieYes consent manager itself. Data recipients are not disclosed.

3) Before consent, data is transmitted to recipients outside the EU: the page_view event, advertising identifier, and client identifier go to Google (USA); advertising events go to LinkedIn (USA); behavioral data goes to Contentsquare; IP-based identification goes to Lead Forensics. The transfer occurs without consent.

4) Lead Forensics specializes in de-anonymizing corporate visitors by IP address (endpoint Track/Capture.aspx, account 97305). On the website of a national news agency, this allows visits — including those of journalists and organizations — to be linked to specific companies, before consent and without disclosure.

Full technical documentation is published at: https://gdpru.eu/audits/be-belga-be/

3. GDPR provisions I ask you to examine
ePrivacy (Belgian implementation) + GDPR Art. 6(1) — trackers before consent; GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Chapter V — cross-border transfer; Distinctive nature — IP-based identification

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]