Технический аудит · 2026-05-26

belnet.be

Национальная научно-образовательная сеть Бельгии

Национальная научно-образовательная сеть Бельгии (Belnet) — 17 запросов, 4 домена. Аналитика Matomo размещена самостоятельно на собственной сети — это сделано правильно. Но до согласия и без consent-менеджера загружаются JS-библиотеки с unpkg и файл шрифта Google с gstatic, передавая IP посетителя в CDN unpkg и в Google (США). Эти сервисы в политике не названы.

Хронология утечки

+0 мс · загрузка портала

Контент и изображения с собственного домена belnet.be.

+149 мс · Matomo (self-hosted)

analytics.belnet.be/matomo.php?idsite=18 — аудиторное измерение Matomo на собственной инфраструктуре Belnet.

+206 мс · библиотеки с unpkg

unpkg.com — JS-библиотеки Masonry и imagesLoaded с внешнего CDN (Cloudflare, США).

+383 мс · Google-шрифт до согласия

fonts.gstatic.com — файл шрифта Roboto с серверов Google. IP посетителя уходит в Google (США).

Декларация против факта

✓ Общая политика обработки персональных данных (упомянуто согласие как основание) — заявлен

✓ Отдельного раздела о cookie в предоставленной политике нет — заявлен

+ Google Fonts (fonts.gstatic.com) — файл шрифта, IP в Google (США), до согласия, не назван — не заявлен

+ unpkg.com — CDN JS-библиотек (США), до согласия, не назван — не заявлен

+ Matomo (analytics.belnet.be) — self-hosted аудитория, до согласия; в политике не назван — не заявлен

Тайминги передачи

+149 мс analytics.belnet.be

Matomo на собственной сети Belnet. idsite=18.

+206 мс unpkg.com

JS-библиотеки Masonry/imagesLoaded. CDN unpkg (Cloudflare), США.

+383 мс fonts.gstatic.com

Файл шрифта Roboto. Google, США.

Зафиксированные трекеры

Matomo (analytics.belnet.be) — self-hosted
Google Fonts (fonts.gstatic.com)
unpkg (unpkg.com) — CDN JS-библиотек

Признаки несоответствия GDPR

GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача

До согласия загружаются два внешних ресурса из США: JS-библиотеки Masonry и imagesLoaded с unpkg.com (+206 мс, инфраструктура Cloudflare) и файл шрифта Roboto с fonts.gstatic.com (+383 мс, Google). Обе загрузки передают IP посетителя за пределы собственной инфраструктуры — в Google (США) и в CDN unpkg (США). Ни один из этих сервисов в политике не назван; отдельного раздела о cookie в предоставленной политике нет.
ePrivacy (бельгийская имплементация) — сторонние ресурсы до согласия

Consent-менеджер на сайте отсутствует. Самостоятельно размещённая аналитика Matomo (analytics.belnet.be, собственная сеть Belnet) срабатывает на +149 мс, а внешние Google-шрифт и библиотеки unpkg — на +206–383 мс, всё до какого-либо выбора. Set-Cookie за весь сеанс ноль.

Контекст

belnet.be — сайт Belnet, национальной научно-образовательной сети Бельгии (государственная служба, обеспечивающая интернет-инфраструктуру для университетов, исследовательских центров и госорганов; именно в сети Belnet размещены многие бельгийские государственные сайты). Ответственный за обработку — Belnet. Политика обработки персональных данных (около 7 100 символов) отдельного раздела о cookie не содержит. Замер: 17 запросов, 4 домена, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP через файл Google-шрифта; unpkg / Cloudflare (США) — IP через JS-библиотеки.

Заявленное против фактического

Аудиторную часть Belnet реализует правильно: инструмент Matomo размещён самостоятельно на собственном субдомене analytics.belnet.be в собственной сети (IP из адресного пространства Belnet), без обращения к внешним аналитическим сервисам. Это образцовое размещение аналитики.

Однако два внешних ресурса передают данные за пределы собственной инфраструктуры и до согласия. На +206 мс с unpkg.com загружаются JS-библиотеки Masonry и imagesLoaded — это CDN npm-пакетов на инфраструктуре Cloudflare (США). На +383 мс с fonts.gstatic.com загружается файл шрифта Roboto — сервер Google (США). Обе загрузки сообщают IP-адрес посетителя соответствующему получателю. Consent-менеджер на сайте отсутствует, за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан — все обращения происходят до согласия. Ни Google, ни unpkg, ни Matomo в политике не названы, а отдельного раздела о cookie в ней нет.

Тайминг относительно согласия

Matomo (self-hosted) срабатывает на +149 мс, библиотеки unpkg — на +206 мс, Google-шрифт — на +383 мс. Механизм согласия отсутствует; передача IP внешним получателям в США происходит безусловно, до и вне какого-либо выбора пользователя.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Google и Cloudflare (unpkg) могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США), а не о физическом местоположении узлов. Самостоятельно размещённый Matomo при соответствующей настройке может подпадать под освобождение от согласия; предметом наблюдения являются внешние обращения к Google и unpkg. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Belnet правильно размещает аналитику Matomo на собственной инфраструктуре, но до согласия и при отсутствии consent-менеджера подгружает JS-библиотеки с unpkg (США) и файл шрифта с серверов Google (США), передавая обоим IP посетителя. Эти сервисы в политике не названы, а отдельного раздела о cookie в ней нет. Передача IP внешним получателям в США до согласия составляет нарушение требований о раскрытии получателей и о трансграничной передаче. Устранение минимально и не затрагивает уже корректный аналитический контур: разместить файлы шрифтов и JS-библиотеки локально на собственном домене — тогда единственными обращениями останутся собственный контент и self-hosted Matomo.

Готовое письмо для подачи жалобы

Куда подавать: APD — Орган по защите данных Бельгии — подать жалобу онлайн →

Кому: APD — Орган по защите данных Бельгии
От: [Ваше имя], [контактный email]

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом belnet.be.

2. Обстоятельства
Я посетил сайт belnet.be и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 26.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) До согласия загружаются два внешних ресурса из США: JS-библиотеки Masonry и imagesLoaded с unpkg.com (+206 мс, инфраструктура Cloudflare) и файл шрифта Roboto с fonts.gstatic.com (+383 мс, Google). Обе загрузки передают IP посетителя за пределы собственной инфраструктуры — в Google (США) и в CDN unpkg (США). Ни один из этих сервисов в политике не назван; отдельного раздела о cookie в предоставленной политике нет.

2) Consent-менеджер на сайте отсутствует. Самостоятельно размещённая аналитика Matomo (analytics.belnet.be, собственная сеть Belnet) срабатывает на +149 мс, а внешние Google-шрифт и библиотеки unpkg — на +206–383 мс, всё до какого-либо выбора. Set-Cookie за весь сеанс ноль.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/be-belnet-be/

3. Нарушенные положения
GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача; ePrivacy (бельгийская имплементация) — сторонние ресурсы до согласия

4. Требование
Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256
и цитата из политики конфиденциальности сайта, документирующая
указанное противоречие — опубликована и проверяема по ссылке
в пункте 2 выше.

[Дата] [Подпись/имя]