Технический аудит · 26.05.2026

belnet.be

Национальная научно-образовательная сеть Бельгии

Политика изменена — посмотреть, что именно · 2026-08-12 →

Национальная научно-образовательная сеть Бельгии (Belnet) — 17 запросов, 4 домена. Аналитика Matomo размещена самостоятельно на собственной сети — это сделано правильно. Но до согласия и без consent-менеджера загружаются JS-библиотеки с unpkg и файл шрифта Google с gstatic, передавая IP посетителя в CDN unpkg и в Google (США). Эти сервисы в политике не названы.

Хронология обращений

+0 мс · загрузка портала

Контент и изображения с собственного домена belnet.be.

+149 мс · Matomo (self-hosted)

analytics.belnet.be/matomo.php?idsite=18 — аудиторное измерение Matomo на собственной инфраструктуре Belnet.

+206 мс · библиотеки с unpkg

unpkg.com — JS-библиотеки Masonry и imagesLoaded с внешнего CDN (Cloudflare, США).

+383 мс · Google-шрифт до согласия

fonts.gstatic.com — файл шрифта Roboto с серверов Google. IP посетителя уходит в Google (США).

Декларация против факта

✓ Общая политика обработки персональных данных (упомянуто согласие как основание) — заявлен

✓ Отдельного раздела о cookie в предоставленной политике нет — заявлен

+ Google Fonts (fonts.gstatic.com) — файл шрифта, IP в Google (США), до согласия, не назван — не заявлен

+ unpkg.com — CDN JS-библиотек (США), до согласия, не назван — не заявлен

+ Matomo (analytics.belnet.be) — self-hosted аудитория, до согласия; в политике не назван — не заявлен

Тайминги передачи

+149 мс analytics.belnet.be

Matomo на собственной сети Belnet. idsite=18.

+206 мс unpkg.com

JS-библиотеки Masonry/imagesLoaded. CDN unpkg (Cloudflare), США.

+383 мс fonts.gstatic.com

Файл шрифта Roboto. Google, США.

Зафиксированные трекеры

Matomo (analytics.belnet.be) — self-hosted
Google Fonts (fonts.gstatic.com)
unpkg (unpkg.com) — CDN JS-библиотек

Признаки несоответствия GDPR

GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача
До согласия загружаются два внешних ресурса из США: JS-библиотеки Masonry и imagesLoaded с unpkg.com (+206 мс, инфраструктура Cloudflare) и файл шрифта Roboto с fonts.gstatic.com (+383 мс, Google). Обе загрузки передают IP посетителя за пределы собственной инфраструктуры — в Google (США) и в CDN unpkg (США). Ни один из этих сервисов в политике не назван; отдельного раздела о cookie в предоставленной политике нет.
ePrivacy (бельгийская имплементация) — сторонние ресурсы до согласия
Consent-менеджер на сайте отсутствует. Самостоятельно размещённая аналитика Matomo (analytics.belnet.be, собственная сеть Belnet) срабатывает на +149 мс, а внешние Google-шрифт и библиотеки unpkg — на +206–383 мс, всё до какого-либо выбора. Set-Cookie за весь сеанс ноль.

Контекст

belnet.be — сайт Belnet, национальной научно-образовательной сети Бельгии (государственная служба, обеспечивающая интернет-инфраструктуру для университетов, исследовательских центров и госорганов; именно в сети Belnet размещены многие бельгийские государственные сайты). Ответственный за обработку — Belnet. Политика обработки персональных данных (около 7 100 символов) отдельного раздела о cookie не содержит. Замер: 17 запросов, 4 домена, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP через файл Google-шрифта; unpkg / Cloudflare (США) — IP через JS-библиотеки.

Заявленное против фактического

Аудиторную часть Belnet реализует правильно: инструмент Matomo размещён самостоятельно на собственном субдомене analytics.belnet.be в собственной сети (IP из адресного пространства Belnet), без обращения к внешним аналитическим сервисам. Это образцовое размещение аналитики.

Однако два внешних ресурса передают данные за пределы собственной инфраструктуры и до согласия. На +206 мс с unpkg.com загружаются JS-библиотеки Masonry и imagesLoaded — это CDN npm-пакетов на инфраструктуре Cloudflare (США). На +383 мс с fonts.gstatic.com загружается файл шрифта Roboto — сервер Google (США). Обе загрузки сообщают IP-адрес посетителя соответствующему получателю. Consent-менеджер на сайте отсутствует, за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан — все обращения происходят до согласия. Ни Google, ни unpkg, ни Matomo в политике не названы, а отдельного раздела о cookie в ней нет.

Тайминг относительно согласия

Matomo (self-hosted) срабатывает на +149 мс, библиотеки unpkg — на +206 мс, Google-шрифт — на +383 мс. Механизм согласия отсутствует; передача IP внешним получателям в США происходит безусловно, до и вне какого-либо выбора пользователя.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Google и Cloudflare (unpkg) могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США), а не о физическом местоположении узлов. Самостоятельно размещённый Matomo при соответствующей настройке может подпадать под освобождение от согласия; предметом наблюдения являются внешние обращения к Google и unpkg. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Belnet правильно размещает аналитику Matomo на собственной инфраструктуре, но до согласия и при отсутствии consent-менеджера подгружает JS-библиотеки с unpkg (США) и файл шрифта с серверов Google (США), передавая обоим IP посетителя. Эти сервисы в политике не названы, а отдельного раздела о cookie в ней нет. Передача IP внешним получателям в США до согласия указывает на несоблюдение требований о раскрытии получателей и о трансграничной передаче. Устранение минимально и не затрагивает уже корректный аналитический контур: разместить файлы шрифтов и JS-библиотеки локально на собственном домене — тогда единственными обращениями останутся собственный контент и self-hosted Matomo.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: be/belnet-be-2026-05-26.har

SHA-256: 52d877178584e125d9e81d70c1ea06ba7519e5c3d70f355eb63abb66fc719725

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — belnet.be

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта belnet.be.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) До согласия загружаются два внешних ресурса из США: JS-библиотеки Masonry и imagesLoaded с unpkg.com (+206 мс, инфраструктура Cloudflare) и файл шрифта Roboto с fonts.gstatic.com (+383 мс, Google). Обе загрузки передают IP посетителя за пределы собственной инфраструктуры — в Google (США) и в CDN unpkg (США). Ни один из этих сервисов в политике не назван; отдельного раздела о cookie в предоставленной политике нет.

2) Consent-менеджер на сайте отсутствует. Самостоятельно размещённая аналитика Matomo (analytics.belnet.be, собственная сеть Belnet) срабатывает на +149 мс, а внешние Google-шрифт и библиотеки unpkg — на +206–383 мс, всё до какого-либо выбора. Set-Cookie за весь сеанс ноль.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/be-belnet-be/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — belnet.be

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website belnet.be.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) Two external resources from the USA load before consent: the Masonry and imagesLoaded JS libraries from unpkg.com (+206 ms, Cloudflare infrastructure), and a Roboto font file from fonts.gstatic.com (+383 ms, Google). Both requests transmit the visitor's IP address outside the proprietary infrastructure — to Google (USA) and to the unpkg CDN (USA). Neither service is named in the policy; the supplied policy contains no dedicated cookie section.

2) There is no consent manager on the site. The self-hosted Matomo analytics tool (analytics.belnet.be, Belnet's own network) fires at +149 ms, while the external Google font and unpkg libraries fire at +206–383 ms, all before any choice. Zero Set-Cookie headers for the entire session.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/be-belnet-be/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: APD — Орган по защите данных Бельгии — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — belnet.be

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом belnet.be.

2. Обстоятельства
Я посетил сайт belnet.be и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 26.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) До согласия загружаются два внешних ресурса из США: JS-библиотеки Masonry и imagesLoaded с unpkg.com (+206 мс, инфраструктура Cloudflare) и файл шрифта Roboto с fonts.gstatic.com (+383 мс, Google). Обе загрузки передают IP посетителя за пределы собственной инфраструктуры — в Google (США) и в CDN unpkg (США). Ни один из этих сервисов в политике не назван; отдельного раздела о cookie в предоставленной политике нет.

2) Consent-менеджер на сайте отсутствует. Самостоятельно размещённая аналитика Matomo (analytics.belnet.be, собственная сеть Belnet) срабатывает на +149 мс, а внешние Google-шрифт и библиотеки unpkg — на +206–383 мс, всё до какого-либо выбора. Set-Cookie за весь сеанс ноль.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/be-belnet-be/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача; ePrivacy (бельгийская имплементация) — сторонние ресурсы до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — belnet.be

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website belnet.be.

2. Circumstances
I visited the website belnet.be and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 26 May 2026 (open methodology, reproducible measurements) documents the following indications:

1) Two external resources from the USA load before consent: the Masonry and imagesLoaded JS libraries from unpkg.com (+206 ms, Cloudflare infrastructure), and a Roboto font file from fonts.gstatic.com (+383 ms, Google). Both requests transmit the visitor's IP address outside the proprietary infrastructure — to Google (USA) and to the unpkg CDN (USA). Neither service is named in the policy; the supplied policy contains no dedicated cookie section.

2) There is no consent manager on the site. The self-hosted Matomo analytics tool (analytics.belnet.be, Belnet's own network) fires at +149 ms, while the external Google font and unpkg libraries fire at +206–383 ms, all before any choice. Zero Set-Cookie headers for the entire session.

Full technical documentation is published at: https://gdpru.eu/audits/be-belnet-be/

3. GDPR provisions I ask you to examine
GDPR Art. 13(1)(e) + Chapter V — disclosure of recipients and transfer; ePrivacy (Belgian implementation) — third-party resources before consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]