RU EN
www.
Технический аудит · 29.05.2026

bmwsb.bund.de

Федеральное министерство жилищного строительства и городского развития
DE

Политика изменена — посмотреть, что именно · 2026-09-10 →

Федеральное министерство жилищного строительства и городского развития. 50 запросов, 2 домена. GSB-платформа, Apache. BundesSchrift v3 и Fira Sans — локально. Instagram CDN загружается до баннера без согласия. Политика описывает Instagram как внешний канал, не упоминая встраивание ленты. Set-Cookie — ноль.

Хронология обращений

+0 мс · главная страница
www.bmwsb.bund.de/ — GSB, Apache. CSP разрешает широкий набор сервисов для внутренних страниц: *.intercom.io, *.castr.com, *.itzbund.de, *.newsletter2go.com — на главной не активны.
+90 мс · стили GSB
GSB CSS-бандлы (small, medium, large, xlarge, xxlarge, xxxlarge, custom, addon_usability) — все локально. BMWSB — один из немногих GSB-сайтов с xxlarge и xxxlarge брейкпоинтами.
+219 мс · шрифты
BundesSchrift-v3-014: BundesSansWeb (Regular, Italic, Bold) и FiraSans-v4-301/Roman/FiraSans-Regular — четыре woff-файла, все локально.
+250 мс · Instagram CDN — до баннера
scontent-dus1-1.cdninstagram.com — шесть JPEG-изображений Instagram-аккаунта BMWSB загружаются напрямую с серверов Meta. Встроенная Instagram-лента на главной странице. До GSB cookie-баннера.
+564 мс · GSB cookie-баннер
www.bmwsb.bund.de/SiteGlobals/Modules/CookieBanner/DE/Allgemein/CookieBanner.html — собственный GSB-баннер. К моменту появления баннера Instagram CDN уже выполнил шесть запросов.

Декларация против факта

✓ Matomo (piwik.itzbund.de) — упомянут в политике с opt-out, только по согласию — заявлен
✓ Instagram — упомянут в политике Social Media как внешний канал (без встраивания на сайте) — заявлен
✓ YouTube, Twitter/X, LinkedIn, Mastodon (social.bund.de) — упомянуты как внешние каналы — заявлен
+ Instagram CDN (scontent-*.cdninstagram.com) — встраивание ленты на главной не описано в политике — не заявлен

Тайминги передачи

+250 мс scontent-dus1-1.cdninstagram.com

Meta / Instagram CDN. Düsseldorf edge. Шесть изображений ленты. До баннера.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

BMWSB (Bundesministerium für Wohnen, Stadtentwicklung und Bauwesen) — Федеральное министерство жилищного строительства, городского развития и строительства. GSB-платформа, Apache. HAR: 50 запросов, 2 домена.

Instagram CDN до баннера — политика не описывает встраивание

На +250 мс с scontent-dus1-1.cdninstagram.com (Meta CDN, дата-центр Дюссельдорф) загружаются шесть JPEG-изображений Instagram-ленты BMWSB. GSB cookie-баннер появляется на +564 мс — Instagram CDN опережает его на ~314 мс. IP-адрес посетителя передаётся на серверы Meta при каждом посещении главной страницы.

Политика конфиденциальности BMWSB содержит раздел по Social Media, где Instagram описывается как внешний канал, которым пользователи управляют самостоятельно: «Nutzerinnen und Nutzer nutzen diese Dienste in eigener Verantwortung». Встраивание Instagram-ленты непосредственно на главную страницу сайта министерства в политике не упомянуто — это существенное расхождение между задекларированным и фактическим поведением.

BundesSchrift v3 и Fira Sans — локально

BundesSansWeb v3-014 (Regular, Italic, Bold) и FiraSans v4-301 Regular — четыре woff-файла из /static/fonts/. Нет Google Fonts.

CSP — богатый стек для внутренних страниц

Content-Security-Policy разрешает *.intercom.io и js.intercomcdn.com (Intercom — чат поддержки), *.castr.com (видеостриминг), *.newsletter2go.com (рассылки), multiplatform-f.akamaihd.net (Akamai CDN), hls-hd.myrasec.de (Myra Security). Всё это на главной странице не активно.

Вывод

www.bmwsb.bund.de не соблюдает TDDDG §25(1): Instagram CDN загружается до баннера согласия. Политика конфиденциальности описывает Instagram только как внешний канал, не раскрывая факт встраивания ленты на главной странице.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: de/bmwsb-bund-de-2026-05-29.har
SHA-256: 7853ab424a383f7aeaf5a9a5bb1eeae3fd3a3127e7b88fd0c10733085ff4df1b
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — bmwsb.bund.de

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта bmwsb.bund.de.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) scontent-dus1-1.cdninstagram.com загружает шесть изображений из Instagram-аккаунта BMWSB (+250–251 мс) — до GSB cookie-баннера (+564 мс). IP-адрес посетителя передаётся на серверы Meta Platforms в США при каждой загрузке страницы. Политика конфиденциальности описывает Instagram исключительно как внешний канал и не упоминает встраивание Instagram-ленты на главной странице сайта.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/de-bmwsb-bund-de/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: BfDI — Федеральный уполномоченный по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — bmwsb.bund.de

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом bmwsb.bund.de.

2. Обстоятельства
Я посетил сайт bmwsb.bund.de и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) scontent-dus1-1.cdninstagram.com загружает шесть изображений из Instagram-аккаунта BMWSB (+250–251 мс) — до GSB cookie-баннера (+564 мс). IP-адрес посетителя передаётся на серверы Meta Platforms в США при каждой загрузке страницы. Политика конфиденциальности описывает Instagram исключительно как внешний канал и не упоминает встраивание Instagram-ленты на главной странице сайта.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/de-bmwsb-bund-de/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 5(1)(a); TDDDG § 25(1)

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]