RU EN
www.
Технический аудит · 31.05.2026

energinet.dk

Оператор энергосистемы Дании
DK

Оператор энергосистемы Дании — 70 запросов, 12 доменов. Consent-менеджер Cookie Information присутствует, но до согласия срабатывают Google Fonts (IP в Google, США), счётчик Monotype MyFonts и SDK AI-чатбота GetKarla. Чатбот в политике заявлен, а Google Fonts, MyFonts и Office CDN — нет.

Хронология обращений

+0 мс · загрузка портала
Контент и ресурсы с energinet.dk.
+92 мс · consent-менеджер
policy.app.cookieinformation.com/uc.js — загрузка Cookie Information.
+93 мс · SDK чатбота до согласия
static.karlahub.com и static.getkarla.ai — SDK AI-чатбота GetKarla (хостинг Google Cloud/Firebase).
+290 мс · счётчик шрифтов
hello.myfonts.net/count/ — счётчик лицензий Monotype MyFonts. В политике не назван.
состояние сеанса — без согласия
Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.
+1324–1902 мс · Google Fonts до согласия
fonts.googleapis.com и fonts.gstatic.com — Google Fonts (Inter). IP посетителя уходит в Google (США).
+1732 мс · API чатбота
api.getkarla.ai/v1/models/... — запрос модели чатбота до открытия чата пользователем.

Декларация против факта

✓ AI-чат-функция GetKarla.ai — заявлена в политике как поставщик чатбота — заявлен
✓ Статистика и cookie — упомянуты обобщённо; передача в третьи страны при определённых условиях — заявлен
+ Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — IP в Google (США), до согласия, не назван — не заявлен
+ MyFonts / Monotype (hello.myfonts.net) — счётчик шрифтов, до согласия, не назван — не заявлен
+ res.cdn.office.net — Microsoft Office CDN, не назван — не заявлен

Тайминги передачи

+93 мс static.karlahub.com

GetKarla SDK. Хостинг Google Cloud/Firebase.

+290 мс hello.myfonts.net

Monotype MyFonts счётчик. В политике не назван.

+1324 мс fonts.googleapis.com

Google Fonts. Google, США. Не назван.

+1732 мс api.getkarla.ai

API модели чатбота GetKarla. До открытия чата.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

energinet.dk — сайт Energinet, государственного оператора электро- и газотранспортной системы Дании, объекта критической инфраструктуры под Министерством климата, энергетики и снабжения. Ответственный за обработку — Energinet. Политика конфиденциальности обширна (около 77 000 символов). Замер: 70 запросов, 12 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP через Google Fonts; Monotype — счётчик MyFonts; GetKarla (Google Cloud) — SDK и API чатбота.

Заявленное против фактического

Политика подробна и, в частности, прямо называет чат-функцию: она предоставляется поставщиком GetKarla.ai. Это раскрытие корректно. Однако ряд других фактически работающих сервисов в политике отсутствует, и часть из них срабатывает до согласия.

На загрузке страницы, при состоянии без согласия (Set-Cookie ноль, выбор не сделан), происходит следующее. На +1324 и +1902 мс загружается Google Fonts (fonts.googleapis.com и fonts.gstatic.com, шрифт Inter), передавая IP посетителя в Google (США). На +290 мс срабатывает счётчик лицензий шрифтов Monotype MyFonts (hello.myfonts.net/count/). На +507 мс подтягиваются UI-ресурсы Microsoft Office (res.cdn.office.net). Ни Google Fonts, ни MyFonts/Monotype, ни Office CDN в политике не названы. Consent-менеджер Cookie Information на сайте присутствует (загружается на +92 мс), но эти обращения не удерживает.

Отдельно — заявленный чатбот GetKarla: его SDK загружается уже на +93 мс, а модель чатбота запрашивается через api.getkarla.ai на +1732 мс, то есть до согласия и до того, как пользователь открыл чат. Инфраструктура GetKarla размещена на Google Cloud/Firebase, поэтому даже предварительная загрузка передаёт IP посетителя провайдеру. Сама функция раскрыта, но её жадная загрузка до согласия выходит за рамки того, что пользователь инициировал. Обращения к energikort-prod.kru.so относятся к бэкенду интерактивной карты и являются функциональными.

Тайминг относительно согласия

Consent-менеджер Cookie Information загружается на +92 мс, однако SDK чатбота (+93 мс), счётчик MyFonts (+290 мс), Office CDN (+507 мс), Google Fonts (+1324 мс) и API чатбота (+1732 мс) срабатывают без ожидания выбора пользователя. Согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Google и Cloudflare (MyFonts) могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей, а не о физическом местоположении узлов. Обращения к kru.so отнесены к функциональному бэкенду карты. Точный состав данных, передаваемых чатботом при предварительной загрузке, из облегчённого дампа детально не восстанавливается; фиксируется факт загрузки SDK и запроса API до согласия. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Оператор энергосистемы Дании корректно раскрывает в политике AI-чат-функцию GetKarla, но ряд других сервисов срабатывает до согласия и в политике не назван: Google Fonts передаёт IP в Google (США), счётчик Monotype MyFonts и UI-ресурсы Microsoft Office загружаются с внешних доменов, а SDK и API самого чатбота инициализируются до открытия чата пользователем. Consent-менеджер Cookie Information присутствует, но эти обращения не удерживает. Передача IP внешним получателям, включая получателя в США, до согласия и нераскрытие части сервисов указывают на несоблюдение требований о согласии, о раскрытии получателей и о трансграничной передаче. Устранение: разместить шрифты локально и убрать счётчик MyFonts или подчинить его согласию, отложить загрузку SDK и API чатбота до открытия чата пользователем, удерживать внешние сервисы в Cookie Information до согласия и раскрыть все фактически используемые сервисы в политике.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: dk/energinet-dk-2026-05-31.har
SHA-256: 87419632983a968589dd76d977fbe1105fe36f0150d0a87fa32c0e2891195550
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — energinet.dk

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта energinet.dk.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На загрузке страницы до согласия загружается Google Fonts (fonts.googleapis.com +1324 мс, fonts.gstatic.com +1902 мс), передавая IP посетителя в Google (США). Также срабатывает счётчик Monotype MyFonts (hello.myfonts.net/count/, +290 мс) и загружаются UI-ресурсы Microsoft Office (res.cdn.office.net). Ни Google Fonts, ни MyFonts/Monotype, ни Office CDN в политике не названы. Consent-менеджер Cookie Information присутствует, но эти обращения не удерживает; Set-Cookie за весь сеанс ноль.

2) AI-чатбот GetKarla заявлен в политике как поставщик чат-функции, однако его SDK загружается на +93 мс, а модель чатбота запрашивается через api.getkarla.ai/v1/models/... на +1732 мс — до согласия и до открытия чата пользователем. Инфраструктура GetKarla размещена на Google Cloud/Firebase; уже загрузка SDK и обращение к API передают IP посетителя провайдеру до согласия.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/dk-energinet-dk/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: Datatilsynet — Датский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — energinet.dk

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом energinet.dk.

2. Обстоятельства
Я посетил сайт energinet.dk и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 31.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На загрузке страницы до согласия загружается Google Fonts (fonts.googleapis.com +1324 мс, fonts.gstatic.com +1902 мс), передавая IP посетителя в Google (США). Также срабатывает счётчик Monotype MyFonts (hello.myfonts.net/count/, +290 мс) и загружаются UI-ресурсы Microsoft Office (res.cdn.office.net). Ни Google Fonts, ни MyFonts/Monotype, ни Office CDN в политике не названы. Consent-менеджер Cookie Information присутствует, но эти обращения не удерживает; Set-Cookie за весь сеанс ноль.

2) AI-чатбот GetKarla заявлен в политике как поставщик чат-функции, однако его SDK загружается на +93 мс, а модель чатбота запрашивается через api.getkarla.ai/v1/models/... на +1732 мс — до согласия и до открытия чата пользователем. Инфраструктура GetKarla размещена на Google Cloud/Firebase; уже загрузка SDK и обращение к API передают IP посетителя провайдеру до согласия.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/dk-energinet-dk/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача; ePrivacy (датская Cookiebekendtgørelse) — сторонний сервис до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]