RU EN
www.
Технический аудит · 31.05.2026

dtu.dk

Датский технический университет
DK

Датский технический университет — 45 запросов, 7 доменов. Google Tag Manager до согласия поднимает рекламный стек Google Ads и DoubleClick, после чего Google получает page_view с заголовком, URL и постоянным рекламным идентификатором. Consent-менеджер Cookie-Script загружается уже после срабатывания рекламы. Ни один из этих сервисов в политике не назван.

Хронология обращений

+0 мс · загрузка портала
Контент и ресурсы с dtu.dk.
+448 мс · шрифты Adobe
p.typekit.net и use.typekit.net — Adobe Typekit (шрифты). Внешний получатель, США.
+456 мс · Google Tag Manager
www.googletagmanager.com/gtm.js?id=GTM-W25B4BH — контейнер тегов запущен.
+514–520 мс · рекламные теги
Через GTM активируются gtag Google Ads (AW-16759074303, AW-11476363041) и DoubleClick/Campaign Manager (DC-13694846, DC-15979278).
+585 мс · consent-менеджер (с опозданием)
cdn.cookie-script.com — Cookie-Script CMP загружается уже после срабатывания рекламных тегов. Set-Cookie ноль, согласие не дано.
+586–733 мс · реклама до согласия
www.google.com/ccm/collect — пять событий page_view с заголовком, URL и постоянным рекламным идентификатором (auid) уходят в Google (США).

Декларация против факта

✓ Политика упоминает cookie обобщённо и обработку на основании согласия в отдельных случаях — заявлен
✓ Конкретные сторонние сервисы (GTM, Google Ads, DoubleClick, Typekit) не названы — заявлен
+ Google Tag Manager, Google Ads, DoubleClick/Campaign Manager — рекламный стек, срабатывает до согласия, в политике не назван — не заявлен
+ Adobe Typekit (use.typekit.net) — шрифты, внешний получатель (США), не назван — не заявлен
+ Consent-менеджер Cookie-Script загружается после срабатывания рекламных тегов — не заявлен

Тайминги передачи

+456 мс www.googletagmanager.com

GTM-W25B4BH — контейнер. Google, США.

+516 мс www.googletagmanager.com

DoubleClick/Campaign Manager DC-13694846. Google, США.

+586 мс www.google.com

ccm/collect page_view с рекламным идентификатором. Google, США.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

dtu.dk — официальный сайт Датского технического университета (Danmarks Tekniske Universitet, DTU), государственного технического вуза. Ответственный за обработку — DTU. Политика конфиденциальности объёмом около 8 500 символов. Замер: 45 запросов, 7 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — событие page_view с заголовком, URL и постоянным рекламным идентификатором (auid) через Google Ads и Campaign Manager.

Заявленное против фактического

Политика упоминает использование cookie обобщённо и обработку на основании согласия в отдельных случаях, но не называет ни одного конкретного стороннего сервиса измерения или рекламы.

Замер показывает развёрнутый рекламный стек Google, срабатывающий до согласия. На +456 мс запускается контейнер Google Tag Manager (GTM-W25B4BH). Через него на +514–520 мс активируются четыре рекламных идентификатора: два Google Ads (AW-16759074303, AW-11476363041) и два DoubleClick / Campaign Manager (DC-13694846, DC-15979278). Затем, на +586–733 мс, эндпоинт www.google.com/ccm/collect пять раз получает событие page_view с заголовком страницы (Danmarks Tekniske Universitet - DTU), её URL и постоянным рекламным идентификатором (auid). Это рекламное измерение, а не освобождённое от согласия аудиторное.

Consent-менеджер на сайте — Cookie-Script (cdn.cookie-script.com), но он загружается только на +585 мс, то есть уже после того, как рекламные теги отработали, а часть событий page_view уходит одновременно с ним и позже. За весь сеанс не выставлено ни одной cookie, согласие не дано — тем не менее реклама сработала. Ни Google Tag Manager, ни Google Ads, ни DoubleClick, ни шрифты Adobe Typekit в политике не названы.

Тайминг относительно согласия

Рекламные теги активируются на +514–520 мс, события page_view уходят на +586–733 мс, а consent-менеджер Cookie-Script загружается на +585 мс — позже начала рекламного стека. Порядок загрузки таков, что согласие технически не могло предшествовать срабатыванию рекламы; фактически согласие в сеансе и не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Рекламный идентификатор в публикации полностью не приводится. Panopto (panopto.dtu.dk) — собственный видеосервис университета, сторонним получателем не является. Вывод о рекламном характере тегов основан на префиксах идентификаторов (AW — Google Ads, DC — Campaign Manager) и на эндпоинте ccm/collect. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт Датского технического университета через Google Tag Manager до согласия поднимает рекламный стек Google — Google Ads и DoubleClick/Campaign Manager, — после чего Google получает событие page_view с заголовком, URL и постоянным рекламным идентификатором. Consent-менеджер Cookie-Script на сайте есть, но загружается уже после срабатывания рекламных тегов и их не удерживает. Ни один из этих сервисов в политике не назван. Передача рекламных событий с постоянным идентификатором в Google (США) до согласия указывает на несоблюдение требований о предварительном согласии на рекламные трекеры, о раскрытии получателей и о трансграничной передаче. Устранение: подчинить срабатывание GTM и всех рекламных тегов результату выбора в Cookie-Script (загружать их только после согласия), раскрыть используемые сервисы в политике и исключить передачу рекламного идентификатора до согласия.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: dk/dtu-dk-2026-05-31.har
SHA-256: a0244b1bcbd939a7c1937cf7f22d0e9c2abad1c17cd56aa9402202f2b4352b3b
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — dtu.dk

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта dtu.dk.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Google Tag Manager (GTM-W25B4BH) на +456 мс активирует рекламный стек Google: два Google Ads (AW-16759074303, AW-11476363041) и два DoubleClick/Campaign Manager (DC-13694846, DC-15979278). Затем www.google.com/ccm/collect пять раз (+586…+733 мс) отправляет событие page_view с заголовком и URL страницы и постоянным рекламным идентификатором (auid). Consent-менеджер Cookie-Script загружается только на +585 мс — после того, как рекламные теги уже отработали. Set-Cookie за весь сеанс ноль, согласие не дано. Рекламное измерение под освобождение от согласия не подпадает.

2) Событие page_view с URL, заголовком и рекламным идентификатором передаётся в Google (США) до согласия. Ни Google Tag Manager, ни Google Ads, ни DoubleClick, ни Adobe Typekit в политике не названы. Политика упоминает cookie обобщённо и конкретных сторонних получателей не раскрывает.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/dk-dtu-dk/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: Datatilsynet — Датский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — dtu.dk

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом dtu.dk.

2. Обстоятельства
Я посетил сайт dtu.dk и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 31.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Google Tag Manager (GTM-W25B4BH) на +456 мс активирует рекламный стек Google: два Google Ads (AW-16759074303, AW-11476363041) и два DoubleClick/Campaign Manager (DC-13694846, DC-15979278). Затем www.google.com/ccm/collect пять раз (+586…+733 мс) отправляет событие page_view с заголовком и URL страницы и постоянным рекламным идентификатором (auid). Consent-менеджер Cookie-Script загружается только на +585 мс — после того, как рекламные теги уже отработали. Set-Cookie за весь сеанс ноль, согласие не дано. Рекламное измерение под освобождение от согласия не подпадает.

2) Событие page_view с URL, заголовком и рекламным идентификатором передаётся в Google (США) до согласия. Ни Google Tag Manager, ни Google Ads, ни DoubleClick, ни Adobe Typekit в политике не названы. Политика упоминает cookie обобщённо и конкретных сторонних получателей не раскрывает.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/dk-dtu-dk/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy (датская Cookiebekendtgørelse) + GDPR Art. 6(1) — реклама до согласия; GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]