cnmc.es

Контекст

cnmc.es — сайт Национальной комиссии по рынкам и конкуренции, независимого административного органа Испании. Комиссия следит за конкуренцией и регулирует энергетику, электронные коммуникации, аудиовизуальный сектор, транспорт и почту; в её ведении находятся в том числе вопросы цифровых рынков. Ответственный за обработку — сама комиссия, Мадрид, улица Алькала, 47. Специалист по защите данных — dpd@cnmc.es. Платформа — Drupal 10.6.9.

Замер: 217 запросов, восемь узлов. Сто девяносто два обращения к собственному домену, 25 наружу. Продолжительность записи — 5,7 секунды, полная загрузка страницы завершилась на 927 мс. Снят 31 мая 2026 года на главной странице.

Обработку описывают два документа: политика cookie на сайте и информационный документ о защите данных.

Кому уходят данные напрямую

Google, Skynet Technologies, Font Awesome.

Заявленное против фактического

Расхождение здесь имеет необычную природу. Обычно нарушение состоит в том, что механизма согласия нет вовсе. Тут он есть, установлен грамотно и даже с профильным дополнением — а обходят его на уровне разметки.

Первое — инструмент стоит, но не работает. На сайте развёрнут модуль Drupal cookies с библиотекой cookiesjsr, а вместе с ним отдельный подмодуль cookies_ga. Существование этого подмодуля показательно: он написан ровно для одной задачи — не давать Google Analytics загрузиться, пока пользователь не сделал выбор. То есть кто-то в комиссии сознательно выбрал и установил правильный инструмент.

Работает это следующим образом. На +351 мс приходит оформление панели согласия, на +367 — её настройки, на +368 — предзагрузчик. В тот же миллисекундный интервал, на +368 мс, уходит запрос к диспетчеру тегов Google. Запись прямо указывает инициатора: разбор разметки главного документа, строка 110. Тег вписан в сам HTML и выполняется при его разборе — управлять им подмодуль не может по определению. А сам подмодуль cookies_ga.js приходит только на +389 мс, на двадцать одну миллисекунду позже, чем то, чем он должен управлять.

Итог: панель согласия отрисовывается, пользователь видит выбор, но счётчик к этому моменту уже загружен и от выбора не зависит. На +5709 мс в Google уходит событие с идентификатором клиента, разрешением экрана 1536x864, платформой Windows, разрядностью и архитектурой, полным перечнем версий браузера, языком интерфейса, адресом страницы и её заголовком. Разрешение экрана и набор клиентских подсказок браузера — параметры формирования цифрового отпечатка.

Второе — прямое отрицание передачи. Информационный документ о защите данных отвечает на вопрос о получателях коротко и однозначно: передача данных каким-либо третьим лицам не предусмотрена, кроме случаев правовой обязанности. Политика cookie тем временем начинается с заявления, что для описанных целей комиссия собирает согласие пользователя. Оба утверждения замером опровергаются: согласие не спрашивается до передачи, а передача происходит.

Третье — три нераскрытых получателя. Раздел о сторонних cookie называет только Google Analytics. Фактически на странице работает виджет доступности Skynet Technologies — семнадцать обращений на два домена, включая POST на служебный узел freeada.skynettechnologies.com с адресом сайта в теле формы, и токеном площадки в адресах сценариев. Значки Font Awesome подгружаются с внешнего узла через инфраструктуру Cloudflare. Шрифт Noto Sans тянется напрямую с серверов Google — это отдельная передача адреса IP и реферера, не связанная ни с аналитикой, ни с виджетом.

Четвёртое — политика не знает о собственной панели. Раздел об отключении cookie направляет пользователя в настройки браузера и обещает привести ссылки на популярные браузеры, но самого перечня ссылок в тексте нет. О том, что на сайте установлена панель управления согласием, где выбор можно изменить, документ не сообщает ни словом. Читатель политики отправляется настраивать браузер вместо инструмента, который уже есть на странице.

Что показывает заголовок политики безопасности содержимого

Комиссия выставляет собственный заголовок Content-Security-Policy — 1895 символов, с раздельными правилами для сценариев, кадров, изображений, шрифтов, стилей и соединений. Он показывает, чему на страницах в принципе разрешено работать.

Разрешены, помимо наблюдавшихся: проверка Cloudflare Turnstile, сети доставки сценариев cdnjs, unpkg и jsDelivr, Google Переводчик в двух вариантах адресов, reCAPTCHA, YouTube, Google Документы, Power BI, тема оформления Bootswatch, вторая площадка Skynet в зоне .us. Отдельно в правиле соединений разрешён stats.g.doubleclick.net — рекламный узел Google. В этом замере он не сработал, но разрешение на него выдано.

Согласие: что доказано и что нет

Доказано: механизм согласия установлен и загружен. Оформление, настройки и предзагрузчик библиотеки cookiesjsr приходят с собственного домена в интервале +351…+368 мс, вместе с профильным подмодулем cookies_ga на +389 мс.

Доказано: загрузка счётчика этим механизмом не управляется. Инициатор обращения к диспетчеру тегов зафиксирован в записи как разбор разметки главного документа с указанием строки. Тег стоит в самом HTML, выполняется при разборе и никакого условия перед собой не имеет. Подмодуль, предназначенный им управлять, загружается позже него. Это утверждение проверяется по порядку запросов и не зависит от того, нажимал ли кто-нибудь кнопку в панели: при любом выборе результат был бы тем же.

Доказано: выбор в панели в этом сеансе не сделан. За все 217 запросов нет ни одного обращения, фиксирующего решение пользователя.

Доказано: идентификатор записан при первом обращении к сайту. Идентификатор клиента передан в Google в теле запроса, значит, он существует на устройстве. Метка времени в его составе указывает на 09:39:17 UTC — за четыре секунды до первого запроса записи, а признаки первого сеанса в том же обращении подтверждают, что это начало посещения.

Не доказано и не требуется: отображалась ли панель на экране. Тела ответов из опубликованного файла удалены, поэтому визуальное состояние панели по нему не восстанавливается. Для вывода это несущественно: загрузка счётчика от панели не зависит в любом случае.

Отдельно: браузер при съёмке отправлял заголовок DNT: 1. На состав и объём передач это не повлияло. В обращении GA4 выставлены признаки неперсонализированной рекламы и режима цифровых рынков — рекламная составляющая ограничена; на аналитическую передачу с идентификатором клиента это не влияет.

Границы наблюдения

Замер охватывает одну страницу — главную, в одном состоянии. Наблюдение фиксирует поведение браузера, не внутреннюю кухню сервисов: обработка на стороне сервера, договорные отношения с получателями и настройки самих сервисов на стороне их владельцев браузерным замером не проверяются. Правовую оценку выносит компетентный орган — Agencia Española de Protección de Datos.

Файл опубликован очищенным от личных данных: удалены заголовки Cookie в запросах, тела ответов, заголовок страницы, токен площадки виджета доступности, адрес сайта в теле служебного обращения и идентификатор сеанса аналитики. Поэтому состав cookie на устройстве по опубликованному файлу не восстанавливается, и ни один вывод разбора на него не опирается. Факт записи идентификатора аналитики держится на другом и проверяется напрямую: идентификатор передан в Google в теле запроса, видимом в файле.

Перечень получателей, разрешённых заголовком политики безопасности содержимого, — опись возможного, а не наблюдавшегося. Рекламный узел DoubleClick в этом замере не срабатывал.

Идентификация сервисов опирается на домены, схему адресов и заголовки ответов: Google — по googletagmanager.com, analytics.google.com, fonts.googleapis.com и fonts.gstatic.com; Skynet Technologies — по skynettechnologies.com, именам сценариев набора All in One Accessibility и служебному пути api/widget-settings; Font Awesome — по use.fontawesome.com. Механизм согласия опознан по путям модуля Drupal cookies и библиотеки cookiesjsr с указанием версии.

Вывод

Испанский регулятор рынков установил на свой сайт правильный инструмент — панель управления согласием с отдельным дополнением, написанным специально для того, чтобы удерживать Google Analytics до выбора пользователя. И обошёл его собственной разметкой: тег счётчика вписан в HTML главной страницы и уходит на 368-й миллисекунде, на двадцать одну миллисекунду раньше, чем загружается то дополнение, которое должно было им управлять. Через пять секунд в Google отправляется идентификатор клиента вместе с разрешением экрана, платформой, перечнем версий браузера и языком интерфейса.

Информационный документ комиссии при этом отвечает на вопрос о получателях данных отрицанием: передача третьим лицам не предусмотрена. Политика cookie заявляет, что согласие собирается. Из четырёх внешних получателей названа одна Google Analytics — виджет доступности с семнадцатью обращениями, внешний набор значков и шрифт с серверов Google не упомянуты. Раздел об отключении cookie отсылает читателя в настройки браузера и не сообщает, что на сайте есть панель, где выбор можно изменить, а обещанный перечень ссылок на браузеры в тексте отсутствует.

Для органа, который сам надзирает за рынками и применяет правила цифрового регулирования, разрыв между установленным инструментом и его фактическим обходом составляет нарушение требований к согласию и к прозрачности. Устранение: убрать тег счётчика из разметки и передать его загрузку под управление уже установленного подмодуля; перечислить в политике всех получателей с указанием передаваемых полей; описать панель управления согласием и способ отзыва выбора, восполнив отсутствующий перечень ссылок; перенести шрифты и значки на собственную инфраструктуру; исключить из информационного документа утверждение о непредусмотренных передачах либо привести практику в соответствие с ним.