rik.cy

Контекст

rik.cy — сайт Кипрской телерадиовещательной корпорации (Ραδιοφωνικό Ίδρυμα Κύπρου), общественного вещателя республики, регистрационный номер E2218. Публикует новости, программы четырёх радиостанций и телеканалов, спортивный раздел, материалы для диаспоры. Старый адрес cybc.com.cy перенаправляет сюда.

Замер: 94 запроса, девять узлов. Тридцать четыре обращения к собственному домену, 60 наружу — из них 50 к медиа-узлам платформы Divio. Продолжительность записи — 2,76 секунды, полная загрузка страницы завершилась на 2658 мс. Снят 15 июня 2026 года на главной странице.

Обработку описывает единый документ — «Политика приватности и конфиденциальности», четырнадцать разделов, из которых работе сайта посвящён предпоследний.

Кому уходят данные напрямую

Google, CookieScript, Divio, Vimeo.

Заявленное против фактического

Документ подробен там, где речь идёт о вещательной деятельности: разобраны роли контролёра и обработчика, перечислены все шесть оснований обработки по статье 6, отдельно оговорена журналистская обработка со ссылкой на статью 85, приведён словарь терминов. Раздел о сайте на этом фоне выглядит написанным по остаточному принципу — и именно в нём сосредоточены все расхождения.

Первое — счётчик обгоняет платформу согласия. Обе строки читаются по записи прямо: тег Google запрошен разбором разметки главного документа, строка 106; платформа CookieScript — разбором той же разметки, строка 1712. Между ними полторы тысячи строк, и в порядке загрузки это выражается в девяти миллисекундах: счётчик на +551 мс, платформа на +560 мс.

Разница кажется ничтожной, но она принципиальна. Платформа управления согласием имеет смысл только тогда, когда стоит перед тем, чем управляет. Здесь она стоит после — и в момент её появления браузер уже запросил счётчик Google.

Дальше следует то, ради чего счётчик и ставят. На +1388 мс уходит событие просмотра страницы с идентификатором клиента, разрешением экрана 1536x864, платформой Windows, разрядностью и архитектурой, полным перечнем версий браузера, языком интерфейса, адресом страницы и её заголовком.

Второе — идентификатор создан прямо в этой записи. Обычно приходится оговариваться, что идентификатор мог появиться при более раннем визите. Здесь такой оговорки не требуется. В обращении выставлены признаки первого визита, нового посетителя и начала сеанса, а метка времени внутри самого идентификатора указывает на 09:25:20 — через секунду после первого запроса записи, сделанного в 09:25:19. Идентификатор создан на глазах у замера, до какого-либо выбора пользователя.

Третье — ни одного получателя по имени. Раздел о cookie содержит единственную фразу о третьих лицах: корпорация может разрешить сторонним организациям использовать cookie для оказания услуг. Ни Google, ни CookieScript, ни Divio, ни Vimeo не названы.

Про Divio стоит сказать отдельно, потому что на неё приходится больше половины всех обращений записи. Три узла — cybc-live-…aldryn-media.com для основного сайта, riknews-live-…divio-media.org для новостей и riksports-live-…divio-media.org для спорта — отдают логотипы каналов, обложки передач и иллюстрации новостных материалов, 50 запросов. Домены принадлежат платформе Divio (прежнее название Aldryn), на которой построен сайт. Формально это инфраструктура вещателя, но домены внешние, и адрес IP посетителя вместе с реферером уходит на них при каждом открытии страницы. В документах платформа не упомянута.

Четвёртое — заявленная неидентифицируемость. Политика описывает автоматически собираемые сведения и завершает описание утверждением, что эта информация не идентифицирует пользователей и служит для анализа тенденций и обобщённой демографии. Утверждение относится к журналам сервера — и в отношении них может быть верным. Но пользователь, читающий раздел о работе сайта, получает из него общее впечатление, что за ним не следят поимённо. Идентификатор клиента, который создаётся при первом визите и сохраняется для узнавания при последующих, этому впечатлению противоречит. Тем более что тремя абзацами выше тот же документ прямо пишет: постоянные cookie нужны, чтобы сайт мог узнавать посетителя.

Пятое — куда отправляют за настройками. Раздел сообщает, что браузер может принимать cookie автоматически, и предлагает обратиться к справке браузера, если пользователь хочет их отклонить. О платформе согласия, установленной на самом сайте, не сказано ничего. За дополнительными сведениями документ отсылает по двум ссылкам — на European Interactive Digital Advertising Alliance и Internet Advertising Bureau. Оба — отраслевые объединения рекламной индустрии; для общественного вещателя выбор источника, к которому отправляют читателя за разъяснениями о его правах, выглядит по меньшей мере неожиданным.

Отдельно отмечу механизм Cloudflare: на +2167 мс происходит перенаправление на служебный путь /cdn-cgi/challenge-platform, затем на +2337 мс уходит POST с телом. Это распознавание автоматических обращений, работающее через первую сторону — внешнего домена в адресной строке не видно. В документах оно не описано.

Согласие: что доказано и что нет

Доказано: платформа согласия установлена, но загружается после счётчика. Обе строки разметки зафиксированы в записи с номерами: 106 для тега Google, 1712 для платформы. Порядок обращений это подтверждает — +551 мс против +560 мс.

Доказано: загрузка счётчика от выбора пользователя не зависит. Тег вписан в сам HTML и выполняется при его разборе; условия перед ним нет, и дожидаться выбора он не может по своему устройству. Утверждение проверяется по инициатору и не зависит от того, нажимал ли кто-нибудь кнопку в баннере.

Доказано: выбор в этом сеансе не сделан, а идентификатор создан в ходе записи. Обращений, фиксирующих решение пользователя, за все 94 запроса нет. Признаки первого визита и начала сеанса выставлены в самом обращении GA4, а метка времени внутри идентификатора приходится на вторую секунду записи.

Не доказано и не требуется: отображался ли баннер на экране. Тела ответов из опубликованного файла удалены, поэтому визуальное состояние платформы по нему не восстанавливается. Для вывода это несущественно: счётчик от платформы не зависит в любом случае.

Отдельно: браузер при съёмке отправлял заголовок DNT: 1. На состав и объём передач это не повлияло. В обращении GA4 выставлены признаки неперсонализированной рекламы и режима цифровых рынков — рекламная составляющая ограничена; на аналитическую передачу с идентификатором клиента это не влияет.

Границы наблюдения

Замер охватывает одну страницу — главную, в одном состоянии. Наблюдение фиксирует поведение браузера, не внутреннюю кухню сервисов: обработка на стороне сервера, договорные отношения с получателями и настройки самих сервисов на стороне их владельцев браузерным замером не проверяются. Правовую оценку выносит компетентный орган — Γραφείο Επιτρόπου Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.

Файл опубликован очищенным от личных данных: удалены заголовки cookie, тела ответов, заголовок вкладки и идентификатор сеанса аналитики. Состав cookie на устройстве по опубликованному файлу не восстанавливается, и ни один вывод разбора на него не опирается. Факт создания идентификатора аналитики держится на другом и проверяется напрямую: идентификатор вместе с меткой времени и признаками первого визита передан в Google в теле запроса, видимом в файле.

Медиа-узлы Divio технически обслуживают собственное содержимое вещателя, а не сторонний сервис. Разбор фиксирует не их назначение, а то, что это внешние домены, получающие адрес IP и реферер посетителя, и что в документах они не описаны.

Идентификация сервисов опирается на домены, схему адресов и заголовки ответов: Google — по googletagmanager.com и google-analytics.com с номером потока; CookieScript — по cdn.cookie-script.com; Divio — по aldryn-media.com и divio-media.org с характерной схемой имён проектов; Vimeo — по i.vimeocdn.com; механизм Cloudflare — по служебному пути /cdn-cgi/challenge-platform и заголовку cf-ray.

Вывод

Общественный вещатель Кипра поставил на сайт платформу управления согласием и разместил её в разметке на 1606 строк ниже счётчика Google. В порядке загрузки это дало девять миллисекунд разницы — достаточно, чтобы весь смысл платформы обнулился: к моменту её появления браузер уже ушёл за тегом Google, а через 1388 миллисекунд в Google отправился идентификатор клиента вместе с разрешением экрана, платформой, перечнем версий браузера и языком интерфейса. Признаки в этом обращении и метка времени внутри идентификатора показывают, что он был создан прямо в ходе записи, на второй секунде первого визита.

Раздел политики, посвящённый сайту, не называет ни одного получателя. Ни Google, ни платформу согласия, ни Divio, на чьи узлы приходится больше половины всех обращений, ни Vimeo. Вместо перечня — фраза о том, что корпорация может разрешить сторонним организациям использовать cookie. Управлять этим пользователю предлагается через справку браузера, а за разъяснениями его отправляют на сайты двух рекламных объединений.

Устранение: перенести тег счётчика ниже платформы согласия в разметке и передать его загрузку под её управление; перечислить в политике всех получателей с указанием передаваемых полей, включая медиа-узлы и платформу согласия; исправить утверждение о неидентифицируемости собираемых сведений применительно к аналитике; описать в разделе об управлении cookie платформу, работающую на самом сайте, и заменить отсылки к рекламным объединениям на указание собственного механизма отзыва согласия.