Технический аудит · 02.07.2026

ansm.sante.fr

Национальное агентство безопасности лекарств и медицинской продукции Франции

Национальное агентство безопасности лекарств Франции — 49 запросов, 4 домена. Политика 12 раз заявляет об отсутствии любой передачи данных за пределы ЕС. Замер фиксирует обратное: IP посетителя уходит в Google (шрифты) и Fastly (jQuery) до инициализации баннера согласия. Аналитика Matomo при этом корректно удержана до согласия, cookie не выставлено ни одной.

Хронология обращений

+0 мс · загрузка портала

Контент, стили и скрипты — с ansm.sante.fr. Хостинг за Varnish, заголовок X-Varnish присутствует.

+292 мс · до согласия

fonts.googleapis.com — CSS Google Fonts (Roboto). IP посетителя уходит в Google LLC (США). Баннер ещё не готов.

+321 мс · до согласия

fonts.gstatic.com — файлы шрифтов Roboto (woff2). IP уходит в Google LLC (США).

+376 мс · до согласия

code.jquery.com — библиотека jQuery 1.12.4 через CDN Fastly (США). IP уходит в Fastly Inc.

Matomo — не активирован

Аналитика Piwik/Matomo в замере не сработала ни разу — корректно удержана до согласия, как и обещает политика. Set-Cookie — ноль.

Декларация против факта

✓ TarteAuCitron — consent-менеджер (собственный хостинг) — заявлен

✓ PHPSESSID — сессионный cookie, технический — заявлен

✓ Matomo / Piwik — аналитика, только после согласия, «данные анонимны» — заявлен

✓ YouTube, Dailymotion — cookie сторонних видеоплееров — заявлен

✓ Facebook, LinkedIn, X — соцкнопки, «cookie не ставится» — заявлен

✓ «Aucun transfert de données hors UE» — заявлено прямо, 12 раз — заявлен

+ Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — передача IP в Google LLC, США — не заявлен

+ jQuery / Fastly (code.jquery.com) — передача IP в Fastly Inc, США — не заявлен

Тайминги передачи

+292 мс fonts.googleapis.com

Google Fonts CSS. Google LLC, США.

+321 мс fonts.gstatic.com

Google Fonts woff2. Google LLC, США.

+376 мс code.jquery.com

jQuery 1.12.4. Fastly Inc, США.

Зафиксированные трекеры

Google Fonts (fonts.googleapis.com, fonts.gstatic.com)
jQuery CDN (code.jquery.com / Fastly)
TarteAuCitron CMP (собственный хостинг)

Признаки несоответствия GDPR

GDPR Art. 44 (Chapter V) — трансграничная передача
Политика 12 раз повторяет: «Aucun transfert de données hors de l'Union européenne n'est réalisé». Замер фиксирует передачу IP посетителя в fonts.googleapis.com (142.251.38.74) и fonts.gstatic.com (216.58.198.195) — Google LLC — и в code.jquery.com (151.101.1.155) — Fastly Inc. Обе компании американские. Заявление о полном отсутствии передачи за пределы ЕС прямо опровергается замером.
GDPR Art. 13(1)(e) — раскрытие получателей
Google Fonts и jQuery/Fastly не упомянуты в политике ни разу. Политика перечисляет получателей (Matomo, YouTube, Dailymotion, соцсети), но два реально сработавших получателя IP отсутствуют в списке.
GDPR Art. 5(1)(a) — прозрачность
Внешние вызовы к Google Fonts (+292 мс) и jQuery (+376 мс) срабатывают раньше, чем баннер согласия TarteAuCitron завершает инициализацию (services-файл на +679 мс). Передача IP за пределы ЕС происходит до какого-либо выбора пользователя.

Контекст

ANSM (Agence nationale de sécurité du médicament et des produits de santé) — национальное агентство безопасности лекарств и медицинской продукции Франции. Отвечает за надзор за оборотом лекарств, фармаконадзор, отзыв препаратов. Ответственный за обработку данных — сам ANSM. Политика конфиденциальности предоставлена в виде отдельного документа объёмом около 28 500 символов, охватывает все обработки на портале. Замер: 49 запросов, 4 домена, снят на чистом браузере без VPN и блокировщика.

Кому уходят данные напрямую (до согласия)

Google LLC (США) — через Google Fonts; Fastly Inc (США) — через jQuery CDN.

Заявленное против фактического

Политика содержит недвусмысленную и многократно повторённую формулу: передача данных за пределы Европейского союза не осуществляется. Она приведена 12 раз — по одному разу для каждой описанной обработки. Это категорическое утверждение, не оговорка.

Замер фиксирует три внешних вызова, каждый из которых передаёт IP-адрес посетителя получателю за пределами ЕС. CSS и файлы шрифтов Google Fonts загружаются с fonts.googleapis.com и fonts.gstatic.com — инфраструктура Google LLC, компании США. Библиотека jQuery загружается с code.jquery.com — CDN Fastly Inc, также США. Ни один из этих трёх вызовов не упомянут в политике: перечень получателей включает Matomo, YouTube, Dailymotion и соцсети, но Google Fonts и jQuery в нём отсутствуют.

Таким образом расхождение не в том, что забыли перечислить cookie — Google Fonts и jQuery cookie не ставят. Расхождение в том, что заявление «за пределы ЕС ничего не уходит» опровергается фактом: IP посетителя уходит в две американские компании.

Тайминг относительно согласия

Ядро consent-менеджера TarteAuCitron загружается на +278 мс, однако конфигурация сервисов баннера завершается только на +679 мс. Оба вызова Google Fonts (+292 мс и +321 мс) и вызов jQuery (+376 мс) срабатывают в промежутке между ними — то есть до того, как баннер готов принять выбор пользователя. Согласие на момент передачи IP физически не могло быть дано.

Что сделано корректно

Существенная часть заявленного политикой соблюдается по факту. Аналитика Matomo/Piwik в замере не активировалась ни разу — она корректно удержана до согласия, ровно как политика и обещает. За весь сеанс не выставлено ни одной cookie. Consent-менеджер присутствует и загружается с собственного домена агентства. Видеоплееры и соцкнопки не активированы на главной странице. Нарушение локализовано в трёх внешних вызовах и заявлении о трансграничной передаче — оно не затрагивает аналитический контур, который выстроен правильно.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Поведение Matomo после нажатия «принять», а также вызовы YouTube и Dailymotion на страницах с видео по одному сеансу главной страницы не наблюдаются. Серверные IP из замера принадлежат Google и Fastly; вывод о нахождении получателя за пределами ЕС основан на юридической принадлежности этих компаний (США), а не на геолокации конкретного edge-узла. Обработка на стороне сервера (Protokolldateien, логи) в браузерном замере не проявляется.

Вывод

ANSM выстроил аналитический контур правильно: Matomo удерживается до согласия, cookie не пишутся, consent-менеджер на собственном хостинге. Но политика содержит категорическое, 12 раз повторённое заявление об отсутствии любой передачи данных за пределы ЕС — и это заявление опровергается замером: IP посетителя уходит в Google (через шрифты) и Fastly (через jQuery), обе компании американские, оба вызова до готовности баннера согласия. Для национального органа в сфере здравоохранения расхождение между прямым заявлением «hors UE — aucun transfert» и фактической передачей IP в США указывает на несоблюдение требований о прозрачности и правил трансграничной передачи. Устранение простое: разместить шрифты и jQuery локально на собственном домене — инфраструктура для этого уже есть.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: fr/ansm-sante-fr-2026-07-02.har

SHA-256: 5d28652a0880ec436f83ea7161127aeded410b2637d4723d6e2c61ebd2c5c00a

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — ansm.sante.fr

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта ansm.sante.fr.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Политика 12 раз повторяет: «Aucun transfert de données hors de l'Union européenne n'est réalisé». Замер фиксирует передачу IP посетителя в fonts.googleapis.com (142.251.38.74) и fonts.gstatic.com (216.58.198.195) — Google LLC — и в code.jquery.com (151.101.1.155) — Fastly Inc. Обе компании американские. Заявление о полном отсутствии передачи за пределы ЕС прямо опровергается замером.

2) Google Fonts и jQuery/Fastly не упомянуты в политике ни разу. Политика перечисляет получателей (Matomo, YouTube, Dailymotion, соцсети), но два реально сработавших получателя IP отсутствуют в списке.

3) Внешние вызовы к Google Fonts (+292 мс) и jQuery (+376 мс) срабатывают раньше, чем баннер согласия TarteAuCitron завершает инициализацию (services-файл на +679 мс). Передача IP за пределы ЕС происходит до какого-либо выбора пользователя.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/fr-ansm-sante-fr/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — ansm.sante.fr

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website ansm.sante.fr.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The policy states 12 times: 'Aucun transfert de données hors de l'Union européenne n'est réalisé.' The measurement records the visitor's IP address being transmitted to fonts.googleapis.com (142.251.38.74) and fonts.gstatic.com (216.58.198.195) — Google LLC — and to code.jquery.com (151.101.1.155) — Fastly Inc. Both companies are American. The claim of a complete absence of transfer outside the EU is directly contradicted by the measurement.

2) Google Fonts and jQuery/Fastly are not mentioned in the policy even once. The policy lists recipients (Matomo, YouTube, Dailymotion, social networks), but the two recipients that actually received the IP address are absent from that list.

3) External calls to Google Fonts (+292 ms) and jQuery (+376 ms) fire before the TarteAuCitron consent banner finishes initializing (the services file loads at +679 ms). The IP address is transmitted outside the EU before any user choice is made.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/fr-ansm-sante-fr/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: CNIL — Национальная комиссия по информатике и свободам — cnil.fr

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — ansm.sante.fr

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом ansm.sante.fr.

2. Обстоятельства
Я посетил сайт ansm.sante.fr и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 02.07.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Политика 12 раз повторяет: «Aucun transfert de données hors de l'Union européenne n'est réalisé». Замер фиксирует передачу IP посетителя в fonts.googleapis.com (142.251.38.74) и fonts.gstatic.com (216.58.198.195) — Google LLC — и в code.jquery.com (151.101.1.155) — Fastly Inc. Обе компании американские. Заявление о полном отсутствии передачи за пределы ЕС прямо опровергается замером.

2) Google Fonts и jQuery/Fastly не упомянуты в политике ни разу. Политика перечисляет получателей (Matomo, YouTube, Dailymotion, соцсети), но два реально сработавших получателя IP отсутствуют в списке.

3) Внешние вызовы к Google Fonts (+292 мс) и jQuery (+376 мс) срабатывают раньше, чем баннер согласия TarteAuCitron завершает инициализацию (services-файл на +679 мс). Передача IP за пределы ЕС происходит до какого-либо выбора пользователя.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/fr-ansm-sante-fr/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 44 (Chapter V) — трансграничная передача; GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 5(1)(a) — прозрачность

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — ansm.sante.fr

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website ansm.sante.fr.

2. Circumstances
I visited the website ansm.sante.fr and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 2 July 2026 (open methodology, reproducible measurements) documents the following indications:

1) The policy states 12 times: 'Aucun transfert de données hors de l'Union européenne n'est réalisé.' The measurement records the visitor's IP address being transmitted to fonts.googleapis.com (142.251.38.74) and fonts.gstatic.com (216.58.198.195) — Google LLC — and to code.jquery.com (151.101.1.155) — Fastly Inc. Both companies are American. The claim of a complete absence of transfer outside the EU is directly contradicted by the measurement.

2) Google Fonts and jQuery/Fastly are not mentioned in the policy even once. The policy lists recipients (Matomo, YouTube, Dailymotion, social networks), but the two recipients that actually received the IP address are absent from that list.

3) External calls to Google Fonts (+292 ms) and jQuery (+376 ms) fire before the TarteAuCitron consent banner finishes initializing (the services file loads at +679 ms). The IP address is transmitted outside the EU before any user choice is made.

Full technical documentation is published at: https://gdpru.eu/audits/fr-ansm-sante-fr/

3. GDPR provisions I ask you to examine
GDPR Art. 44 (Chapter V) — cross-border transfer; GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Art. 5(1)(a) — transparency

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]