eulisa.europa.eu
Агентство управляющее IT-системами Шенгена и EURODAC — Matomo на собственном субдомене, ноль рекламных трекеров. Единственное замечание: YouTube nocookie embed передаёт IP в Google при загрузке страницы до взаимодействия пользователя.
Хронология обращений
Декларация против факта
Тайминги передачи
YouTube embed — IP в Google
JS из YouTube плеера
Признаки несоответствия GDPR
- Regulation 2018/1725 Art. 5YouTube nocookie (+2666 мс) загружается без согласия при наличии видео на странице. youtube-nocookie.com не устанавливает cookies без взаимодействия, но IP посетителя передаётся в Google при загрузке embed. Google.com загружает JS (+5372 мс) в контексте YouTube плеера.
Контекст
eu-LISA — агентство ЕС управляющее крупными IT-системами в области внутренней безопасности: Шенгенская информационная система (SIS II), Визовая информационная система (VIS), EURODAC (база данных отпечатков пальцев). Обрабатывает одни из наиболее чувствительных биометрических данных граждан ЕС. Регулируется Regulation (EU) 2018/1725. HAR: 101 запрос, 6 доменов.
Matomo — правильная аналитика
eu-LISA использует Matomo на собственном субдомене (www.eulisa.europa.eu/stats/matomo.php) — 3 запроса за сессию. Данные об аналитике остаются на серверах eu-LISA, не передаются третьим сторонам. Тот же выбор что у EBA. CSP явно разрешает только https://www.eulisa.europa.eu/stats/ для connect-src.
YouTube nocookie — одно замечание
На главной странице присутствует встроенное YouTube видео (youtube-nocookie.com/embed/iY03f0ltYIc). Домен youtube-nocookie.com не устанавливает cookies без нажатия воспроизведения — отсюда название. Но IP посетителя всё равно передаётся в Google при загрузке embed, плюс Google загружает вспомогательный JS (+5372 мс) и шрифт Roboto через YouTube инфраструктуру.
CSP eu-LISA явно прописывает frame-src 'self' https://www.youtube-nocookie.com — это осознанное разрешение. Решение: отложенная загрузка embed (load on click) или замена на собственный хостинг видео.
Агентство управляющее SIS и EURODAC
Публичный сайт агентства которое управляет биометрическими данными миллионов людей — Matomo на собственном субдомене, ноль рекламных трекеров, CSP. Единственная точка передачи данных в американскую инфраструктуру — YouTube embed, и это задокументировано в CSP.
Вывод
eu-LISA близок к идеалу для агентства своего профиля: Matomo вместо Google Analytics, строгий CSP, ноль рекламных трекеров. YouTube nocookie без отложенной загрузки — единственное замечание, технически устранимое за час работы.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
cb9e043a76e4f90a7e3887eedc8444af2ddd144f2b540ad94188cead3e97cd29Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — eulisa.europa.eu Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта eulisa.europa.eu. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) YouTube nocookie (+2666 мс) загружается без согласия при наличии видео на странице. youtube-nocookie.com не устанавливает cookies без взаимодействия, но IP посетителя передаётся в Google при загрузке embed. Google.com загружает JS (+5372 мс) в контексте YouTube плеера. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/eu-eulisa-europa-eu/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — eulisa.europa.eu To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website eulisa.europa.eu. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) YouTube nocookie (+2666 ms) loads with no consent when a video is present on the page. youtube-nocookie.com does not set cookies without interaction, but the visitor's IP address is transmitted to Google when the embed loads. Google.com loads JS (+5372 ms) in the context of the YouTube player. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/eu-eulisa-europa-eu/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: EDPS — Европейский инспектор по защите данных — edps.europa.eu
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — eulisa.europa.eu 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом eulisa.europa.eu. 2. Обстоятельства Я посетил сайт eulisa.europa.eu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 13.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) YouTube nocookie (+2666 мс) загружается без согласия при наличии видео на странице. youtube-nocookie.com не устанавливает cookies без взаимодействия, но IP посетителя передаётся в Google при загрузке embed. Google.com загружает JS (+5372 мс) в контексте YouTube плеера. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/eu-eulisa-europa-eu/ 3. Положения GDPR, соблюдение которых прошу проверить Regulation 2018/1725 Art. 5 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — eulisa.europa.eu 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website eulisa.europa.eu. 2. Circumstances I visited the website eulisa.europa.eu and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 13 May 2026 (open methodology, reproducible measurements) documents the following indications: 1) YouTube nocookie (+2666 ms) loads with no consent when a video is present on the page. youtube-nocookie.com does not set cookies without interaction, but the visitor's IP address is transmitted to Google when the embed loads. Google.com loads JS (+5372 ms) in the context of the YouTube player. Full technical documentation is published at: https://gdpru.eu/audits/eu-eulisa-europa-eu/ 3. GDPR provisions I ask you to examine Regulation 2018/1725 Art. 5 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]