Технический аудит · 16.08.2026

edpb.europa.eu

Европейский совет по защите данных

Политика изменена — посмотреть, что именно · 2026-08-14 →

Европейский совет по защите данных — 273 обращения, 3 узла, запись 21 секунда. Аналитику совет поставил образцово: Europa Analytics по умолчанию не отслеживает посетителя, уважает Do Not Track и маскирует адрес IP, и в этой записи трекинг не сработал. Шрифт самохостится. Единственная зацепка — библиотека js-cookie, которую сайт грузит на каждой странице со стороннего публичного CDN cdn.jsdelivr.net, уводя туда адрес IP и реферер посетителя; в политике этот сторонний источник не назван.

Хронология обращений

+0 мс · загрузка главной страницы

Запись начата на www.edpb.europa.eu/home_en. Выставлены строгий транспорт с включением поддоменов и предзагрузкой, запрет вложения в кадр SAMEORIGIN, запрет угадывания типа содержимого. Политики безопасности содержимого, реферера и разрешений нет. Браузер отправлял заголовок DNT: 1.

+80 мс · сторонний CDN и инструментарий ЕС из разметки

Из разметки главной страницы одновременно стартуют cdn.jsdelivr.net (библиотека js-cookie) и webtools.europa.eu (тема ЕС, глобальный баннер, флаги). Инициатор обоих — сама страница.

+102 мс · шрифт с собственного домена

Шрифт Onest.ttf загружается с www.edpb.europa.eu/themes/custom/frontend/assets/fonts — то есть самохостится, без обращения к внешним шрифтовым сервисам.

+6771…+20364 мс · навигация по разделам

Переходы по страницам topics, documents, news, contact и разделу для малого и среднего бизнеса (sme, be-compliant, assess-the-risks). На каждой странице заново загружается js-cookie с cdn.jsdelivr.net — девять обращений за сеанс, по одному на страницу.

Декларация против факта

✓ Контролёр — Европейский совет по защите данных (EDPB); общее уведомление о защите данных и политика cookie — заявлен

✓ Europa Analytics — корпоративный сервис Еврокомиссии на платформе Matomo, полностью контролируемый Комиссией — заявлен

✓ По умолчанию просмотр посетителей Europa Analytics НЕ отслеживается; отслеживание — только по явному согласию — заявлен

✓ При включённом Do Not Track данные для статистики не собираются — заявлен

✓ Применяется маскирование адреса IP: часть адреса обезличивается, идентификация посетителя только по IP невозможна — заявлен

✓ Вся передача аналитических данных шифруется по HTTPS; доступ к отчётам ограничен — заявлен

✓ Данные могут передаваться третьим сторонам (OLAF, Счётная палата, правоохранители) при необходимости и соразмерности — заявлен

+ cdn.jsdelivr.net — сторонний публичный CDN, с которого грузится библиотека js-cookie, не назван — не заявлен

+ Передача реферера и адреса IP на инфраструктуру jsdelivr при каждой загрузке страницы — не заявлен

Тайминги передачи

+80 мс cdn.jsdelivr.net

Библиотека js-cookie, реферер и адрес IP уходят на jsdelivr, девять обращений.

+80 мс webtools.europa.eu

Тема ЕС, глобальный баннер, флаги; отдаётся через CloudFront.

+102 мс www.edpb.europa.eu

Шрифт Onest.ttf самохостится.

Зафиксированные трекеры

cdn.jsdelivr.net — сторонний публичный CDN, отдаёт библиотеку js-cookie на каждой странице, уносит адрес IP и реферер посетителя
Europa Analytics / Matomo (webtools.europa.eu) — инструмент Еврокомиссии; в этой записи трекинг не сработал, по умолчанию отключён и уважает Do Not Track
webtools.europa.eu — визуальный инструментарий Еврокомиссии (тема ЕС, глобальный баннер, флаги), инфраструктура europa.eu

Признаки несоответствия GDPR

GDPR Art. 13(1)(e) — раскрытие получателей
На каждой странице сайта загружается библиотека js-cookie со стороннего публичного CDN cdn.jsdelivr.net. Домен jsdelivr не входит в инфраструктуру europa.eu и в этой записи отдаётся через Cloudflare. При обращении к нему уходят реферер https://www.edpb.europa.eu/ и адрес IP посетителя. Ни cdn.jsdelivr.net, ни сам факт использования стороннего CDN в общем уведомлении о защите данных и политике cookie не названы, тогда как аналитический инструмент Europa Analytics в документе раскрыт подробно.
GDPR Art. 32 — меры безопасности
Из защитных заголовков сайт выставляет строгий транспорт с включением поддоменов и признаком предзагрузки, запрет вложения в кадр SAMEORIGIN и запрет угадывания типа содержимого, но политики безопасности содержимого нет, политики реферера нет, политики разрешений нет. Отсутствие политики безопасности содержимого особенно заметно на фоне загрузки исполняемого кода со стороннего CDN: она позволила бы ограничить перечень доверенных источников сценариев.

Контекст

www.edpb.europa.eu — сайт Европейского совета по защите данных (EDPB), органа Европейского союза, обеспечивающего согласованное применение GDPR. Контролёр в уведомлении — сам EDPB. Сайт отдаётся с собственной инфраструктуры; инструментарий Еврокомиссии webtools.europa.eu — через CloudFront (Amazon), сторонний CDN cdn.jsdelivr.net — через Cloudflare.

Замер: 273 обращения, 3 узла, длительность записи 20,6 секунды, снят 16 августа 2026 года. Из 273 обращений 210 приходятся на сам EDPB, 54 — на webtools.europa.eu (визуальный инструментарий Еврокомиссии: тема ЕС, глобальный баннер, флаги — инфраструктура europa.eu), и 9 — на сторонний cdn.jsdelivr.net. Сеанс проходит по девяти страницам, включая раздел для малого и среднего бизнеса о соответствии требованиям.

Обработку описывает общее уведомление о защите данных вместе с политикой cookie EDPB.

Кому уходят данные напрямую

За пределы инфраструктуры europa.eu — только cdn.jsdelivr.net.

Заявленное против фактического

Аналитику совет поставил образцово — и это надо сказать прямо. Политика подробно описывает Europa Analytics на платформе Matomo, полностью контролируемой Еврокомиссией, и заявляет прямо: по умолчанию просмотр посетителей НЕ отслеживается, отслеживание включается только явным согласием, при включённом Do Not Track данные не собираются, а адрес IP маскируется. В этой записи браузер отправлял заголовок DNT: 1, и трекинг Europa Analytics действительно не сработал — ни одного обращения к трекеру за весь сеанс. Заявленное соответствует фактическому.

Шрифт самохостится. Шрифт Onest загружается с собственного домена EDPB (themes/custom/frontend/assets/fonts), а не с внешнего шрифтового сервиса. Адрес IP посетителя при загрузке шрифта наружу не уходит — в отличие от распространённой практики прямой подгрузки Google Fonts.

Единственная зацепка — сторонний CDN. На каждой из девяти просмотренных страниц сайт загружает библиотеку js-cookie с публичного CDN cdn.jsdelivr.net. Этот домен не входит в инфраструктуру europa.eu и в записи отдаётся через Cloudflare. При обращении к нему уходят реферер https://www.edpb.europa.eu/ и адрес IP посетителя — то есть при каждом заходе на страницу совета по защите данных сведения о посетителе получает сторонний узел доставки. В общем уведомлении и политике cookie этот источник не назван, хотя аналитический инструмент раскрыт до деталей.

Отдельного веса добавляет содержание библиотеки: js-cookie — это утилита для работы с cookie в браузере. Загрузка именно её с внешнего CDN означает, что исполняемый на странице код, управляющий cookie, поставляется третьей стороной.

Защитные заголовки выставлены частично. Сайт выставляет строгий транспорт с включением поддоменов и признаком предзагрузки, запрет вложения в кадр SAMEORIGIN и запрет угадывания типа содержимого. Но политики безопасности содержимого нет, политики реферера нет, политики разрешений нет. Именно политика безопасности содержимого позволила бы ограничить перечень доверенных источников сценариев и сделать загрузку кода со стороннего CDN явной и контролируемой.

Согласие: что доказано и что нет

Доказано: трекинг Europa Analytics в записи не производился. За 273 обращения не зафиксировано ни одного обращения к трекеру Europa Analytics и ни одного заголовка Set-Cookie. Это соответствует заявленному в политике поведению: отслеживание по умолчанию выключено и уважает Do Not Track, а браузер отправлял DNT: 1.

Доказано: сторонняя библиотека загружается независимо от согласия. Обращение к cdn.jsdelivr.net за js-cookie инициировано разметкой страницы и уходит на +80 мс, до какого-либо выбора пользователя; на каждой новой странице оно повторяется. Условия согласия перед ним нет.

Доказано: реферер и адрес IP уходят на сторонний CDN. Заголовок реферера в обращении к jsdelivr содержит https://www.edpb.europa.eu/; адрес IP передаётся самим фактом сетевого обращения к внешнему домену.

Не доказано и не утверждается: поведение Europa Analytics при данном согласии. Что собрал бы и передал трекер при явном согласии на статистику, по этой записи не устанавливается — в момент замера, при включённом Do Not Track, он не сработал.

Не доказано и не утверждается: состояние cookie на устройстве. Заголовки cookie и тела ответов из опубликованного файла удалены при очистке.

Отдельно: браузер при съёмке отправлял заголовок DNT: 1, и в данном случае это прямо повлияло на поведение сайта — трекинг Europa Analytics не производился, как и заявлено в политике.

Границы наблюдения

Замер охватывает девять страниц сайта. Наблюдение фиксирует поведение браузера, не внутреннюю кухню сервисов: обработка на стороне сервера, договорные отношения с получателями и настройки на их стороне браузерным замером не проверяются.

Инструментарий webtools.europa.eu (тема ЕС, глобальный баннер, флаги) относится к инфраструктуре Еврокомиссии, а не к сторонним получателям, и в разбор нарушений не входит; его аналитическая часть, Europa Analytics, в этой записи не активировалась. Как сторонний получатель вне домена europa.eu зафиксирован только cdn.jsdelivr.net.

Файл опубликован очищенным от личных данных: удалены заголовки cookie в запросах и тела ответов. Вывод о передаче на сторонний CDN опирается на сетевой уровень — адрес, инициатор и заголовок реферера обращения читаются по записи; вывод об отсутствии трекинга — на отсутствие обращений к трекеру Europa Analytics.

Идентификация сервисов опирается на домены и схему адресов: сторонний CDN — по cdn.jsdelivr.net и пути npm/js-cookie; инструментарий Еврокомиссии — по webtools.europa.eu; шрифт — по пути themes/custom/frontend/assets/fonts на собственном домене; провайдеры отдачи — по заголовкам via: cloudfront, server: AmazonS3 и server: cloudflare.

Вывод

Европейский совет по защите данных ведёт аналитику на своём сайте так, как и следует ожидать от органа, отвечающего за GDPR: Europa Analytics по умолчанию не отслеживает посетителя, включается только по явному согласию, уважает Do Not Track и маскирует адрес IP, а в этой записи — при включённом Do Not Track — трекинг не производился вовсе. Шрифт самохостится, адрес IP при его загрузке наружу не уходит.

Единственное расхождение — библиотека js-cookie, которую сайт на каждой странице загружает со стороннего публичного CDN cdn.jsdelivr.net, уводя туда реферер и адрес IP посетителя. Этот сторонний источник в политике не назван, тогда как аналитический инструмент раскрыт подробно. Дополнительно у сайта отсутствуют политика безопасности содержимого, политика реферера и политика разрешений, что делает загрузку кода со стороннего CDN неограниченной.

Устранение: разместить библиотеку js-cookie на собственной инфраструктуре либо инфраструктуре europa.eu, исключив передачу реферера и адреса IP посетителя стороннему CDN; при сохранении внешней загрузки — назвать cdn.jsdelivr.net в политике cookie с указанием передаваемых полей и цели; выставить политику безопасности содержимого с перечнем доверенных источников сценариев, а также политику реферера и политику разрешений.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: global/edpb-europa-eu-2026-08-16.har

SHA-256: 27796b228bcbf16f47e67642f9f05b82d58eca08fc87ab4fb3b403e43b0f99c9

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — edpb.europa.eu

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта edpb.europa.eu.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На каждой странице сайта загружается библиотека js-cookie со стороннего публичного CDN cdn.jsdelivr.net. Домен jsdelivr не входит в инфраструктуру europa.eu и в этой записи отдаётся через Cloudflare. При обращении к нему уходят реферер https://www.edpb.europa.eu/ и адрес IP посетителя. Ни cdn.jsdelivr.net, ни сам факт использования стороннего CDN в общем уведомлении о защите данных и политике cookie не названы, тогда как аналитический инструмент Europa Analytics в документе раскрыт подробно.

2) Из защитных заголовков сайт выставляет строгий транспорт с включением поддоменов и признаком предзагрузки, запрет вложения в кадр SAMEORIGIN и запрет угадывания типа содержимого, но политики безопасности содержимого нет, политики реферера нет, политики разрешений нет. Отсутствие политики безопасности содержимого особенно заметно на фоне загрузки исполняемого кода со стороннего CDN: она позволила бы ограничить перечень доверенных источников сценариев.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/eu-edpb-europa-eu/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — edpb.europa.eu

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website edpb.europa.eu.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) On every page of the site, the js-cookie library is loaded from the third-party public CDN cdn.jsdelivr.net. The jsdelivr domain is not part of the europa.eu infrastructure and in this recording is served via Cloudflare. The request transmits the referrer https://www.edpb.europa.eu/ and the visitor's IP address. Neither cdn.jsdelivr.net nor the use of a third-party CDN is named in the general data protection notice or the cookie policy, even though the Europa Analytics tool is disclosed in detail.

2) Of the protective headers, the site sets HSTS with subdomain inclusion and preload, X-Frame-Options SAMEORIGIN, and X-Content-Type-Options, but there is no Content Security Policy, no Referrer Policy, and no Permissions Policy. The absence of a Content Security Policy is particularly notable given that executable code is loaded from a third-party CDN: a CSP would restrict the list of trusted script sources.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/eu-edpb-europa-eu/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: EDPS — Европейский инспектор по защите данных — edps.europa.eu

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — edpb.europa.eu

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом edpb.europa.eu.

2. Обстоятельства
Я посетил сайт edpb.europa.eu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 16.08.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На каждой странице сайта загружается библиотека js-cookie со стороннего публичного CDN cdn.jsdelivr.net. Домен jsdelivr не входит в инфраструктуру europa.eu и в этой записи отдаётся через Cloudflare. При обращении к нему уходят реферер https://www.edpb.europa.eu/ и адрес IP посетителя. Ни cdn.jsdelivr.net, ни сам факт использования стороннего CDN в общем уведомлении о защите данных и политике cookie не названы, тогда как аналитический инструмент Europa Analytics в документе раскрыт подробно.

2) Из защитных заголовков сайт выставляет строгий транспорт с включением поддоменов и признаком предзагрузки, запрет вложения в кадр SAMEORIGIN и запрет угадывания типа содержимого, но политики безопасности содержимого нет, политики реферера нет, политики разрешений нет. Отсутствие политики безопасности содержимого особенно заметно на фоне загрузки исполняемого кода со стороннего CDN: она позволила бы ограничить перечень доверенных источников сценариев.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/eu-edpb-europa-eu/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 32 — меры безопасности

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — edpb.europa.eu

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website edpb.europa.eu.

2. Circumstances
I visited the website edpb.europa.eu and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 16 August 2026 (open methodology, reproducible measurements) documents the following indications:

1) On every page of the site, the js-cookie library is loaded from the third-party public CDN cdn.jsdelivr.net. The jsdelivr domain is not part of the europa.eu infrastructure and in this recording is served via Cloudflare. The request transmits the referrer https://www.edpb.europa.eu/ and the visitor's IP address. Neither cdn.jsdelivr.net nor the use of a third-party CDN is named in the general data protection notice or the cookie policy, even though the Europa Analytics tool is disclosed in detail.

2) Of the protective headers, the site sets HSTS with subdomain inclusion and preload, X-Frame-Options SAMEORIGIN, and X-Content-Type-Options, but there is no Content Security Policy, no Referrer Policy, and no Permissions Policy. The absence of a Content Security Policy is particularly notable given that executable code is loaded from a third-party CDN: a CSP would restrict the list of trusted script sources.

Full technical documentation is published at: https://gdpru.eu/audits/eu-edpb-europa-eu/

3. GDPR provisions I ask you to examine
GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Art. 32 — security measures

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]