cso.ie

Контекст

CSO (Central Statistics Office) — государственный орган Ирландии, отвечающий за сбор, обработку и публикацию официальной статистики. Находится в Корке. HAR: 122 запроса, 11 доменов. Из них 53 запроса к собственному www.cso.ie, 2 к cdn.cso.ie — и 67 к девяти внешним доменам, семь из которых американские.

Google Tag Manager до согласия

На отметке +126 мс, раньше любого взаимодействия пользователя с баннером, загружается www.googletagmanager.com с ID G-M5K0ZBH6F8. GTM — это контейнер: он может активировать Google Analytics, пиксели ремаркетинга и другие скрипты в зависимости от конфигурации тега. Факт загрузки GTM до согласия означает передачу IP-адреса пользователя на серверы Google в США без правового основания по Art. 6(1) GDPR.

Google Fonts без согласия

На +154 мс — fonts.googleapis.com, на +264 мс — fonts.gstatic.com. Загружаются два семейства шрифтов: Roboto Slab и Roboto. Каждый запрос к серверам Google передаёт IP-адрес посетителя. Начиная с решения Мюнхенского суда (2022) и последующих позиций немецких и австрийских надзорных органов, подключение Google Fonts без согласия и без локального хостинга рассматривается как нарушение Art. 6(1). Оба шрифта можно размещать локально — технического препятствия нет.

Семь внешних CDN вне политики

Политика конфиденциальности CSO упоминает ровно двух получателей данных: Google Analytics и Highcharts (с пояснением о cookie __cfduid от Cloudflare). Семь других внешних доменов — jsDelivr, cdnjs.cloudflare.com, code.jquery.com, maxcdn.bootstrapcdn.com, cdn.datatables.net, fonts.googleapis.com, fonts.gstatic.com — в политике не упомянуты. По Art. 13(1)(e) субъект данных должен получить информацию обо всех получателях или категориях получателей его данных. Семь неупомянутых доменов — это семь неназванных получателей.

Архитектурный выбор

46 запросов к jsDelivr загружают стек визуализации: Chart.js, Leaflet, Highcharts, PapaParse, Turf.js, Moment.js, Esri Leaflet и собственный PxWidget CSO. Эти библиотеки обслуживают интерактивные инфографики и карты — функциональность, которая реально нужна на страницах с визуализацией. На главной странице их загрузка означает, что все посетители, включая тех, кто пришёл за новостями или контактами, оставляют след в логах девяти внешних серверов. Технически это вопрос ленивой загрузки: библиотеки можно подключать только на страницах, где они используются.

Set-Cookie — ноль

При всей внешней нагрузке ни один из 122 запросов в HAR не устанавливает cookie через Set-Cookie. Cookies отсутствуют и в исходящих запросах. GTM загружен, но cookie в HAR не зафиксированы — возможно, блокировка реализована на уровне конфигурации GTM. Это частично смягчает картину, но не устраняет факт загрузки внешних ресурсов до согласия.

Вывод

CSO — государственный орган, работающий с данными по роду деятельности. Политика конфиденциальности составлена в 2020 году и не отражает реальный состав внешних зависимостей сайта: из девяти внешних доменов упомянуты два. Google Tag Manager загружается до согласия. Google Fonts передаёт IP-адреса на серверы в США без согласия. Cookie при этом не устанавливаются — это фиксируемый факт. Исправление требует трёх шагов: перенос GTM за баннер согласия, локальный хостинг шрифтов, обновление политики конфиденциальности с полным списком получателей.