dtu.dk

Контекст

dtu.dk — официальный сайт Датского технического университета (Danmarks Tekniske Universitet, DTU), государственного технического вуза. Ответственный за обработку — DTU. Политика конфиденциальности объёмом около 8 500 символов. Замер: 45 запросов, 7 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — событие page_view с заголовком, URL и постоянным рекламным идентификатором (auid) через Google Ads и Campaign Manager.

Заявленное против фактического

Политика упоминает использование cookie обобщённо и обработку на основании согласия в отдельных случаях, но не называет ни одного конкретного стороннего сервиса измерения или рекламы.

Замер показывает развёрнутый рекламный стек Google, срабатывающий до согласия. На +456 мс запускается контейнер Google Tag Manager (GTM-W25B4BH). Через него на +514–520 мс активируются четыре рекламных идентификатора: два Google Ads (AW-16759074303, AW-11476363041) и два DoubleClick / Campaign Manager (DC-13694846, DC-15979278). Затем, на +586–733 мс, эндпоинт www.google.com/ccm/collect пять раз получает событие page_view с заголовком страницы (Danmarks Tekniske Universitet - DTU), её URL и постоянным рекламным идентификатором (auid). Это рекламное измерение, а не освобождённое от согласия аудиторное.

Consent-менеджер на сайте — Cookie-Script (cdn.cookie-script.com), но он загружается только на +585 мс, то есть уже после того, как рекламные теги отработали, а часть событий page_view уходит одновременно с ним и позже. За весь сеанс не выставлено ни одной cookie, согласие не дано — тем не менее реклама сработала. Ни Google Tag Manager, ни Google Ads, ни DoubleClick, ни шрифты Adobe Typekit в политике не названы.

Тайминг относительно согласия

Рекламные теги активируются на +514–520 мс, события page_view уходят на +586–733 мс, а consent-менеджер Cookie-Script загружается на +585 мс — позже начала рекламного стека. Порядок загрузки таков, что согласие технически не могло предшествовать срабатыванию рекламы; фактически согласие в сеансе и не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Рекламный идентификатор в публикации полностью не приводится. Panopto (panopto.dtu.dk) — собственный видеосервис университета, сторонним получателем не является. Вывод о рекламном характере тегов основан на префиксах идентификаторов (AW — Google Ads, DC — Campaign Manager) и на эндпоинте ccm/collect. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт Датского технического университета через Google Tag Manager до согласия поднимает рекламный стек Google — Google Ads и DoubleClick/Campaign Manager, — после чего Google получает событие page_view с заголовком, URL и постоянным рекламным идентификатором. Consent-менеджер Cookie-Script на сайте есть, но загружается уже после срабатывания рекламных тегов и их не удерживает. Ни один из этих сервисов в политике не назван. Передача рекламных событий с постоянным идентификатором в Google (США) до согласия составляет нарушение требований о предварительном согласии на рекламные трекеры, о раскрытии получателей и о трансграничной передаче. Устранение: подчинить срабатывание GTM и всех рекламных тегов результату выбора в Cookie-Script (загружать их только после согласия), раскрыть используемые сервисы в политике и исключить передачу рекламного идентификатора до согласия.