RU EN
www.
Технический аудит · 13.05.2026

eba.europa.eu

EBA — надзорный орган ЕС в банковской сфере
EU-INSTITUTIONS

Банковский надзорный орган ЕС — 7 доменов. Matomo на собственном субдомене analytics.eba.europa.eu — осознанный выбор в пользу европейской аналитики. Но Google Fonts загружается без согласия, Flourish передаёт данные в США.

Хронология обращений

+5796 мс · без согласия
Google Fonts (fonts.googleapis.com) — Open Sans. IP в Google, США. Без баннера.
+5812 мс · без согласия
Matomo (analytics.eba.europa.eu) — собственный поддомен EBA. Данные остаются в инфраструктуре EBA.
+5919 мс
webtools.europa.eu — общие компоненты ЕС.
+17345 мс
Flourish (public.flourish.studio) — SVG-визуализация с американских серверов.

Декларация против факта

+ Google Fonts (fonts.googleapis.com) — не заявлен
+ Flourish (public.flourish.studio) — не заявлен

Тайминги передачи

+5796 мс fonts.googleapis.com

Open Sans. IP в Google, США

+5812 мс analytics.eba.europa.eu

Matomo — собственный субдомен EBA

+17345 мс public.flourish.studio

Flourish визуализация. США

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

European Banking Authority (EBA) — надзорный орган ЕС в банковской сфере, разрабатывает единые стандарты для банков ЕС. Регулируется Regulation (EU) 2018/1725. HAR: 89 запросов, 7 доменов. Сессия включала переход между несколькими страницами — отсюда повторяющиеся запросы.

Matomo — правильный выбор

EBA использует Matomo (analytics.eba.europa.eu) — европейскую open-source аналитическую платформу, развёрнутую на собственном субдомене. Данные об аналитике остаются на серверах EBA и не передаются третьим сторонам. Это именно та архитектура которую рекомендует EDPS для институций ЕС: аналитика без передачи данных внешним получателям. В этой серии — редкий осознанный выбор.

Google Fonts — простое исправление

Несмотря на Matomo, EBA загружает Google Fonts (fonts.googleapis.com) — Open Sans и Kumbh Sans. IP посетителя уходит в Google (США) при каждом открытии страницы, без согласия. Самохостинг шрифтов устранил бы единственную передачу данных в США.

Flourish — американская визуализация

public.flourish.studio — CDN платформы Flourish (Canopy Lab Ltd., Лондон, с серверами в США) для интерактивных графиков и визуализаций. EBA использует Flourish для отображения данных о банковском секторе ЕС. IP посетителя передаётся в американскую инфраструктуру при просмотре этих визуализаций. Для агентства обрабатывающего чувствительные финансовые данные — нежелательная зависимость.

tools.eba.europa.eu

Флаги государств ЕС загружаются с собственного поддомена tools.eba.europa.eu — правильная самостоятельная инфраструктура для статических ресурсов.

Вывод

EBA ближе к правильной архитектуре чем большинство коммерческих сайтов серии: Matomo на собственном субдомене, инфраструктура europa.eu. Но Google Fonts и Flourish создают две точки передачи данных в США без согласия и без баннера. Самохостинг шрифтов и замена Flourish на европейскую альтернативу (Datawrapper, размещённый локально) решают обе проблемы.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: eu/eba-europa-eu-2026-05-13.har
SHA-256: 1a764ead4b206fe825ca1cd040c7e20b5f9673dc836ce3adaf672c8e398190c2
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — eba.europa.eu

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта eba.europa.eu.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Google Fonts (+5796 мс) загружается без согласия. IP посетителя передаётся в Google (США) при каждом открытии страницы. Баннер согласия отсутствует.

2) Flourish (public.flourish.studio) — американская платформа визуализации данных Canopy Lab Ltd. Загружает SVG-графику с американских серверов. Не является инфраструктурой ЕС. Механизм передачи данных не указан.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/eu-eba-europa-eu/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: EDPS — Европейский инспектор по защите данных — edps.europa.eu

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — eba.europa.eu

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом eba.europa.eu.

2. Обстоятельства
Я посетил сайт eba.europa.eu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 13.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Google Fonts (+5796 мс) загружается без согласия. IP посетителя передаётся в Google (США) при каждом открытии страницы. Баннер согласия отсутствует.

2) Flourish (public.flourish.studio) — американская платформа визуализации данных Canopy Lab Ltd. Загружает SVG-графику с американских серверов. Не является инфраструктурой ЕС. Механизм передачи данных не указан.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/eu-eba-europa-eu/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 6(1), Regulation 2018/1725 Art. 5; Regulation 2018/1725 Art. 15

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]