Технический аудит · 2026-05-26

belga.be

Национальное информационное агентство Бельгии (Belga)

Национальное информационное агентство Бельгии — 79 запросов, 18 доменов. Полный рекламно-аналитический стек — Google Ads и GA4, LinkedIn Ads, запись сессий Contentsquare, идентификация по IP Lead Forensics, Sentry — срабатывает до согласия. Consent-менеджер CookieYes загружается позже старта трекеров и их не удерживает. Ни один сервис в политике не назван.

Хронология утечки

+0 мс · загрузка портала

Контент с belga.be и первопартийного бэкенда www-bo.belga.be.

+497 мс · Google Tag Manager

www.googletagmanager.com — контейнер тегов, поднимающий Google Ads (AW-1005663691) и GA4 (G-X90HZ8CS30).

+531–550 мс · LinkedIn и Sentry

snap.licdn.com — LinkedIn Insight; o4505089785921536.ingest.sentry.io — мониторинг ошибок Sentry.

+858–1197 мс · реклама и запись сессий

Contentsquare (t.contentsquare.net, c.ba.contentsquare.net); Google ccm/collect page_view с auid; LinkedIn Ads px.ads.linkedin.com (pid 4472417).

+1419–1454 мс · GA4 и идентификация по IP

region1.google-analytics.com/g/collect (GA4, cid); secure.leadforensics.com/Track/Capture.aspx (B2B-идентификация, аккаунт 97305).

Декларация против факта

✓ Политика упоминает cookie (многократно) и согласие обобщённо, рекламу — вскользь — заявлен

✓ Конкретные сервисы и сторонние получатели не названы — заявлен

+ Google Ads + GA4 + GTM — реклама и аналитика, до согласия, не названы — не заявлен

+ LinkedIn Ads (px.ads.linkedin.com) — реклама, до согласия, не названа — не заявлен

+ Contentsquare — запись сессий/поведение, до согласия, не названа — не заявлен

+ Lead Forensics — идентификация по IP, до согласия, не названа — не заявлен

+ Sentry, CookieYes, Whizeo — не названы — не заявлен

Тайминги передачи

+878 мс www.google.com

ccm/collect page_view с рекламным идентификатором (auid). Google Ads AW-1005663691, США.

+1197 мс px.ads.linkedin.com

LinkedIn Ads attribution/collect, pid 4472417. США.

+1131 мс c.ba.contentsquare.net

Contentsquare pageview — запись поведения (uu).

+1419 мс region1.google-analytics.com

GA4 g/collect page_view (cid). G-X90HZ8CS30.

+1454 мс secure.leadforensics.com

Lead Forensics — идентификация посетителя по IP. Аккаунт 97305.

Зафиксированные трекеры

Google Ads + GA4 + GTM (AW-1005663691, G-X90HZ8CS30)
LinkedIn Ads (px.ads.linkedin.com, pid 4472417)
Contentsquare — запись сессий/поведение
Lead Forensics — B2B-идентификация по IP (97305)
Sentry — мониторинг ошибок
CookieYes — CMP (не гейтит)
Whizeo — новостная контент-платформа (наблюдение)

Признаки несоответствия GDPR

ePrivacy (бельгийская имплементация) + GDPR Art. 6(1) — трекеры до согласия

Consent-менеджер CookieYes загружается на +686 мс — уже после старта рекламных и аналитических сервисов — и их не удерживает. До согласия срабатывают: Google Tag Manager с Google Ads (AW-1005663691) и GA4 (G-X90HZ8CS30), отправляющие page_view «Belga - Homepage» с рекламным идентификатором (auid) и идентификатором клиента (cid); LinkedIn Ads (snap.licdn.com и px.ads.linkedin.com, pid 4472417); Contentsquare (запись сессий и поведения); Lead Forensics (идентификация B2B-посетителя по IP, аккаунт 97305); Sentry. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.
GDPR Art. 13(1)(e) — раскрытие получателей

Политика Belga упоминает cookie и согласие обобщённо, но не называет ни одного фактического сервиса: ни Google, ни LinkedIn, ни Contentsquare, ни Lead Forensics, ни Sentry, ни сам consent-менеджер CookieYes. Получатели данных не раскрыты.
GDPR Chapter V — трансграничная передача

До согласия данные передаются получателям за пределами ЕС: page_view, рекламный и клиентский идентификаторы уходят в Google (США), рекламные события — в LinkedIn (США), поведенческие данные — в Contentsquare, идентификация по IP — в Lead Forensics. Передача происходит без согласия.
Особый характер — идентификация по IP

Lead Forensics специализируется на деанонимизации корпоративных посетителей по IP-адресу (эндпоинт Track/Capture.aspx, аккаунт 97305). На сайте национального информационного агентства это позволяет соотносить визиты, в том числе журналистов и организаций, с конкретными компаниями — до согласия и без раскрытия.

Контекст

belga.be — сайт Belga News Agency (Belga), национального информационного агентства Бельгии, поставщика новостей для СМИ страны. Ответственный за обработку — Belga News Agency NV. Политика конфиденциальности сравнительно короткая (около 5 700 символов). Замер: 79 запросов, 18 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США), LinkedIn (США), Contentsquare, Lead Forensics, Sentry.

Заявленное против фактического

Политика Belga многократно упоминает cookie и в общих словах — согласие и третьи стороны, а рекламу затрагивает вскользь. Ни одного конкретного сервиса измерения, рекламы или идентификации она не называет.

Замер показывает развёрнутый стек, срабатывающий до согласия. Показателен порядок загрузки: рекламные и аналитические сервисы стартуют раньше, чем появляется consent-менеджер. Google Tag Manager (+497 мс) поднимает Google Ads (AW-1005663691) и GA4 (G-X90HZ8CS30); эндпоинт www.google.com/ccm/collect четырежды получает событие page_view с заголовком «Belga - Homepage», адресом страницы и рекламным идентификатором (auid), а region1.google-analytics.com/g/collect — событие GA4 с идентификатором клиента (cid). Параллельно работает LinkedIn Ads (snap.licdn.com и px.ads.linkedin.com, pid 4472417), сервис записи сессий и поведения Contentsquare (t.contentsquare.net, c.ba.contentsquare.net), мониторинг ошибок Sentry и — отдельно значимо — Lead Forensics (secure.leadforensics.com/Track/Capture.aspx, аккаунт 97305), сервис деанонимизации корпоративных посетителей по IP-адресу.

Consent-менеджер CookieYes загружается лишь на +686 мс, то есть уже после старта части трекеров, и в замере их не удерживает: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан, а сервисы тем не менее срабатывают. Ни один из перечисленных сервисов — Google, LinkedIn, Contentsquare, Lead Forensics, Sentry, CookieYes — в политике не назван. Множество обращений к доменам whizeo.com относится к новостной контент-платформе Belga; их роль как средства отслеживания отдельно не устанавливается и в основание нарушения не кладётся.

Тайминг относительно согласия

Трекеры стартуют с +497 мс, consent-менеджер — с +686 мс, а передающие данные события продолжаются до +4456 мс. Порядок загрузки таков, что согласие технически не могло предшествовать срабатыванию рекламы и аналитики; фактически согласие в сеансе и не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Идентификаторы посетителя (auid, cid, идентификатор Contentsquare) в публикации полностью не приводятся; идентификаторы аккаунтов сервисов (AW-1005663691, G-X90HZ8CS30, LinkedIn pid 4472417, Lead Forensics 97305) относятся к настройкам сайта, а не к посетителю. Роль платформы Whizeo отнесена к доставке новостного контента. Google, LinkedIn и Contentsquare могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт национального информационного агентства Бельгии до согласия запускает полный коммерческий стек: рекламу Google Ads и LinkedIn Ads, аналитику GA4, запись сессий Contentsquare, мониторинг Sentry и — наиболее чувствительное — идентификацию посетителей по IP через Lead Forensics. Consent-менеджер CookieYes на сайте присутствует, но загружается позже старта трекеров и их не удерживает, а ни один сервис в политике не назван. Совокупность срабатывания рекламных и идентифицирующих сервисов до согласия, передачи данных получателям в США и полного отсутствия их раскрытия составляет нарушение требований о предварительном согласии, о раскрытии получателей и о трансграничной передаче. Устранение: перевести CookieYes в режим действительной блокировки, чтобы все нетехнические сервисы удерживались до согласия; исключить срабатывание Google, LinkedIn, Contentsquare и Lead Forensics до выбора пользователя; раскрыть все фактически используемые сервисы в политике.

Готовое письмо для подачи жалобы

Куда подавать: APD — Орган по защите данных Бельгии — подать жалобу онлайн →

Кому: APD — Орган по защите данных Бельгии
От: [Ваше имя], [контактный email]

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом belga.be.

2. Обстоятельства
Я посетил сайт belga.be и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 26.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Consent-менеджер CookieYes загружается на +686 мс — уже после старта рекламных и аналитических сервисов — и их не удерживает. До согласия срабатывают: Google Tag Manager с Google Ads (AW-1005663691) и GA4 (G-X90HZ8CS30), отправляющие page_view «Belga - Homepage» с рекламным идентификатором (auid) и идентификатором клиента (cid); LinkedIn Ads (snap.licdn.com и px.ads.linkedin.com, pid 4472417); Contentsquare (запись сессий и поведения); Lead Forensics (идентификация B2B-посетителя по IP, аккаунт 97305); Sentry. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.

2) Политика Belga упоминает cookie и согласие обобщённо, но не называет ни одного фактического сервиса: ни Google, ни LinkedIn, ни Contentsquare, ни Lead Forensics, ни Sentry, ни сам consent-менеджер CookieYes. Получатели данных не раскрыты.

3) До согласия данные передаются получателям за пределами ЕС: page_view, рекламный и клиентский идентификаторы уходят в Google (США), рекламные события — в LinkedIn (США), поведенческие данные — в Contentsquare, идентификация по IP — в Lead Forensics. Передача происходит без согласия.

4) Lead Forensics специализируется на деанонимизации корпоративных посетителей по IP-адресу (эндпоинт Track/Capture.aspx, аккаунт 97305). На сайте национального информационного агентства это позволяет соотносить визиты, в том числе журналистов и организаций, с конкретными компаниями — до согласия и без раскрытия.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/be-belga-be/

3. Нарушенные положения
ePrivacy (бельгийская имплементация) + GDPR Art. 6(1) — трекеры до согласия; GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Chapter V — трансграничная передача; Особый характер — идентификация по IP

4. Требование
Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256
и цитата из политики конфиденциальности сайта, документирующая
указанное противоречие — опубликована и проверяема по ссылке
в пункте 2 выше.

[Дата]                                    [Подпись/имя]