Технический аудит · 31.05.2026

denmark.dk

Официальный портал о Дании (МИД Дании)

Официальный портал о Дании (МИД) — 50 запросов, 7 доменов. Политика заявляет, что данные собираются только с согласия. В замере аналитика Silktide загружается и отправляет events-beacon до согласия, хотя consent-менеджер Cookiebot присутствует. Silktide и сервис поиска Cludo в тексте политики не названы. Beacon уходит на европейский эндпоинт Silktide.

Хронология обращений

+0 мс · загрузка портала

Контент и ресурсы с denmark.dk.

+163 мс · скрипт аналитики

analytics.silktide.com — загрузка трекера Silktide, одновременно с consent-менеджером.

+235 мс · сервис поиска

customer.cludo.com/scripts/bundles/search-script.min.js — скрипт поиска по сайту Cludo.

+11236 мс · передача данных без согласия

a.eu.silktide.com/v1/events/beacon — POST-событие Silktide на европейский эндпоинт, при отсутствии согласия.

Декларация против факта

✓ Данные собираются, когда посетитель принимает cookie и даёт согласие («as long as you consent») — заявлен

✓ Cookie ставятся при нажатии OK на баннере — заявлен

✓ Третьи стороны упомянуты обобщённо (Facebook, Google); есть отдельный PDF-список cookie — заявлен

+ Silktide Analytics — фактический аналитический сервис, срабатывает до согласия, в тексте политики не назван — не заявлен

+ Cludo (customer.cludo.com) — сервис поиска по сайту, не назван — не заявлен

Тайминги передачи

+163 мс analytics.silktide.com

Silktide — скрипт аналитики.

+235 мс customer.cludo.com

Cludo — сервис поиска по сайту. Не назван в политике.

+11236 мс a.eu.silktide.com

Silktide events-beacon (POST). Европейский эндпоинт (AWS).

Зафиксированные трекеры

Silktide Analytics (analytics.silktide.com, a.eu.silktide.com)
Cludo (customer.cludo.com) — поиск по сайту
Cookiebot (consent.cookiebot.eu) — CMP

Признаки несоответствия GDPR

ePrivacy (датская Cookiebekendtgørelse) + собственное правило политики
Политика denmark.dk заявляет, что данные собираются, только когда посетитель принимает cookie и даёт согласие («as long as you consent»), а cookie ставятся при нажатии OK на баннере. В замере аналитический сервис Silktide загружает скрипт на +163 мс и отправляет events-beacon (POST на a.eu.silktide.com/v1/events/beacon) на +11236 мс при состоянии без согласия: Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Consent-менеджер Cookiebot присутствует, но Silktide им не удерживается. Передача данных происходит до согласия, вопреки собственному заявлению политики.
GDPR Art. 13(1)(e) — раскрытие получателей
Политика упоминает третьи стороны обобщённо (Facebook, Google) и ссылается на отдельный PDF-список cookie, но фактически работающие сервисы — аналитику Silktide и сервис поиска Cludo (customer.cludo.com) — по имени в тексте не называет.

Контекст

denmark.dk — официальный портал о Дании, издаваемый Министерством иностранных дел Дании (Udenrigsministeriet). Публикует материалы о культуре, обществе, дизайне и фактах о стране для международной аудитории. Ответственный за обработку — МИД Дании. Действующая cookie-политика получена с сайта. Замер: 50 запросов, 7 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Silktide (events-beacon на европейский эндпоинт a.eu.silktide.com) — до согласия.

Заявленное против фактического

Политика denmark.dk формулирует условие прямо: данные собираются, когда посетитель принимает cookie и даёт согласие, а cookie ставятся при нажатии OK на баннере. Третьи стороны упомянуты обобщённо — приводятся Facebook и Google как примеры, и даётся ссылка на отдельный PDF-список cookie.

Замер показывает работу неназванного аналитического сервиса до согласия. Одновременно с загрузкой consent-менеджера Cookiebot (+162 мс) на +163 мс подгружается скрипт Silktide (analytics.silktide.com), а на +11236 мс уходит POST-событие на a.eu.silktide.com/v1/events/beacon. Состояние сеанса при этом — без согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан. Consent-менеджер присутствует, но аналитику Silktide не удерживает. Кроме того, на +235 мс загружается скрипт сервиса поиска по сайту Cludo (customer.cludo.com). Ни Silktide, ни Cludo в тексте политики по имени не названы.

Таким образом фактический сбор аналитических данных происходит до согласия, что расходится с собственным заявлением политики о сборе данных только с согласия, а фактически работающие сервисы в тексте не раскрыты.

Тайминг относительно согласия

Скрипт Silktide загружается на +163 мс, событие уходит на +11236 мс. На всём протяжении сеанса согласие не давалось (Set-Cookie ноль), однако аналитика инициализировалась и передала событие.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Silktide работает без cookie, а его beacon уходит на европейский эндпоинт (AWS в ЕС), поэтому вопрос трансграничной передачи здесь не ставится; предметом расхождения являются срабатывание до согласия вопреки заявлению политики и нераскрытие сервиса в тексте. В датской практике надзорный орган заявлял о непреоритетном контроле за согласием для простой собственной статистики — применимость этого к Silktide в данной конфигурации оценивает компетентный орган. Отдельный PDF-список cookie, на который ссылается политика, в рамках сверки текста не раскрывает Silktide и Cludo; при их наличии в этом списке сверку следует уточнить. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Официальный портал о Дании заявляет в политике, что данные собираются только с согласия посетителя, но аналитика Silktide загружается и отправляет событие до согласия, хотя consent-менеджер Cookiebot на сайте присутствует. Silktide и сервис поиска Cludo в тексте политики не названы. Silktide работает без cookie и передаёт данные на европейский эндпоинт, что смягчает вопрос передачи, — но расхождение между заявленным сбором «только с согласия» и фактической передачей события до согласия, вместе с нераскрытием сервисов, указывает на несоблюдение требований о согласии и о раскрытии получателей. Устранение: подчинить срабатывание Silktide результату выбора в Cookiebot (удерживать до согласия), назвать Silktide и Cludo в тексте политики и привести описание модели согласия в соответствие с фактическим поведением.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: dk/denmark-dk-2026-05-31.har

SHA-256: b7d986889308a68487a6af772394ca8a68d632461766780fa36e7daae209dec9

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — denmark.dk

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта denmark.dk.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Политика denmark.dk заявляет, что данные собираются, только когда посетитель принимает cookie и даёт согласие («as long as you consent»), а cookie ставятся при нажатии OK на баннере. В замере аналитический сервис Silktide загружает скрипт на +163 мс и отправляет events-beacon (POST на a.eu.silktide.com/v1/events/beacon) на +11236 мс при состоянии без согласия: Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Consent-менеджер Cookiebot присутствует, но Silktide им не удерживается. Передача данных происходит до согласия, вопреки собственному заявлению политики.

2) Политика упоминает третьи стороны обобщённо (Facebook, Google) и ссылается на отдельный PDF-список cookie, но фактически работающие сервисы — аналитику Silktide и сервис поиска Cludo (customer.cludo.com) — по имени в тексте не называет.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/dk-denmark-dk/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — denmark.dk

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website denmark.dk.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) denmark.dk's policy states that data is collected only when the visitor accepts cookies and gives consent ('as long as you consent'), and that cookies are set upon clicking OK on the banner. In the capture, the Silktide analytics service loads its script at +163 ms and sends an events beacon (a POST request to a.eu.silktide.com/v1/events/beacon) at +11236 ms in a state of no consent: Set-Cookie across the entire session is zero, and no choice has been made by the user. A Cookiebot consent management platform is present, but it does not hold back Silktide. The transfer of data occurs prior to consent, contrary to the policy's own statement.

2) The policy mentions third parties in generic terms (Facebook, Google) and refers to a separate PDF cookie list, but does not name the services actually in operation — the Silktide analytics tool and the Cludo search service (customer.cludo.com) — by name in the text.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/dk-denmark-dk/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Datatilsynet — Датский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — denmark.dk

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом denmark.dk.

2. Обстоятельства
Я посетил сайт denmark.dk и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 31.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Политика denmark.dk заявляет, что данные собираются, только когда посетитель принимает cookie и даёт согласие («as long as you consent»), а cookie ставятся при нажатии OK на баннере. В замере аналитический сервис Silktide загружает скрипт на +163 мс и отправляет events-beacon (POST на a.eu.silktide.com/v1/events/beacon) на +11236 мс при состоянии без согласия: Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Consent-менеджер Cookiebot присутствует, но Silktide им не удерживается. Передача данных происходит до согласия, вопреки собственному заявлению политики.

2) Политика упоминает третьи стороны обобщённо (Facebook, Google) и ссылается на отдельный PDF-список cookie, но фактически работающие сервисы — аналитику Silktide и сервис поиска Cludo (customer.cludo.com) — по имени в тексте не называет.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/dk-denmark-dk/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy (датская Cookiebekendtgørelse) + собственное правило политики; GDPR Art. 13(1)(e) — раскрытие получателей

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — denmark.dk

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website denmark.dk.

2. Circumstances
I visited the website denmark.dk and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 31 May 2026 (open methodology, reproducible measurements) documents the following indications:

1) denmark.dk's policy states that data is collected only when the visitor accepts cookies and gives consent ('as long as you consent'), and that cookies are set upon clicking OK on the banner. In the capture, the Silktide analytics service loads its script at +163 ms and sends an events beacon (a POST request to a.eu.silktide.com/v1/events/beacon) at +11236 ms in a state of no consent: Set-Cookie across the entire session is zero, and no choice has been made by the user. A Cookiebot consent management platform is present, but it does not hold back Silktide. The transfer of data occurs prior to consent, contrary to the policy's own statement.

2) The policy mentions third parties in generic terms (Facebook, Google) and refers to a separate PDF cookie list, but does not name the services actually in operation — the Silktide analytics tool and the Cludo search service (customer.cludo.com) — by name in the text.

Full technical documentation is published at: https://gdpru.eu/audits/dk-denmark-dk/

3. GDPR provisions I ask you to examine
ePrivacy (Danish Cookiebekendtgørelse) + the policy's own stated rule; GDPR Art. 13(1)(e) — disclosure of recipients

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]