Технический аудит · 2026-07-02

ansm.sante.fr

Национальное агентство безопасности лекарств и медицинской продукции Франции

Национальное агентство безопасности лекарств Франции — 49 запросов, 4 домена. Политика 12 раз заявляет об отсутствии любой передачи данных за пределы ЕС. Замер фиксирует обратное: IP посетителя уходит в Google (шрифты) и Fastly (jQuery) до инициализации баннера согласия. Аналитика Matomo при этом корректно удержана до согласия, cookie не выставлено ни одной.

Хронология утечки

+0 мс · загрузка портала

Контент, стили и скрипты — с ansm.sante.fr. Хостинг за Varnish, заголовок X-Varnish присутствует.

+292 мс · до согласия

fonts.googleapis.com — CSS Google Fonts (Roboto). IP посетителя уходит в Google LLC (США). Баннер ещё не готов.

+321 мс · до согласия

fonts.gstatic.com — файлы шрифтов Roboto (woff2). IP уходит в Google LLC (США).

+376 мс · до согласия

code.jquery.com — библиотека jQuery 1.12.4 через CDN Fastly (США). IP уходит в Fastly Inc.

Matomo — не активирован

Аналитика Piwik/Matomo в замере не сработала ни разу — корректно удержана до согласия, как и обещает политика. Set-Cookie — ноль.

Декларация против факта

✓ TarteAuCitron — consent-менеджер (собственный хостинг) — заявлен

✓ PHPSESSID — сессионный cookie, технический — заявлен

✓ Matomo / Piwik — аналитика, только после согласия, «данные анонимны» — заявлен

✓ YouTube, Dailymotion — cookie сторонних видеоплееров — заявлен

✓ Facebook, LinkedIn, X — соцкнопки, «cookie не ставится» — заявлен

✓ «Aucun transfert de données hors UE» — заявлено прямо, 12 раз — заявлен

+ Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — передача IP в Google LLC, США — не заявлен

+ jQuery / Fastly (code.jquery.com) — передача IP в Fastly Inc, США — не заявлен

Тайминги передачи

+292 мс fonts.googleapis.com

Google Fonts CSS. Google LLC, США.

+321 мс fonts.gstatic.com

Google Fonts woff2. Google LLC, США.

+376 мс code.jquery.com

jQuery 1.12.4. Fastly Inc, США.

Зафиксированные трекеры

Google Fonts (fonts.googleapis.com, fonts.gstatic.com)
jQuery CDN (code.jquery.com / Fastly)
TarteAuCitron CMP (собственный хостинг)

Признаки несоответствия GDPR

GDPR Art. 44 (Chapter V) — трансграничная передача

Политика 12 раз повторяет: «Aucun transfert de données hors de l'Union européenne n'est réalisé». Замер фиксирует передачу IP посетителя в fonts.googleapis.com (142.251.38.74) и fonts.gstatic.com (216.58.198.195) — Google LLC — и в code.jquery.com (151.101.1.155) — Fastly Inc. Обе компании американские. Заявление о полном отсутствии передачи за пределы ЕС прямо опровергается замером.
GDPR Art. 13(1)(e) — раскрытие получателей

Google Fonts и jQuery/Fastly не упомянуты в политике ни разу. Политика перечисляет получателей (Matomo, YouTube, Dailymotion, соцсети), но два реально сработавших получателя IP отсутствуют в списке.
GDPR Art. 5(1)(a) — прозрачность

Внешние вызовы к Google Fonts (+292 мс) и jQuery (+376 мс) срабатывают раньше, чем баннер согласия TarteAuCitron завершает инициализацию (services-файл на +679 мс). Передача IP за пределы ЕС происходит до какого-либо выбора пользователя.

Контекст

ANSM (Agence nationale de sécurité du médicament et des produits de santé) — национальное агентство безопасности лекарств и медицинской продукции Франции. Отвечает за надзор за оборотом лекарств, фармаконадзор, отзыв препаратов. Ответственный за обработку данных — сам ANSM. Политика конфиденциальности предоставлена в виде отдельного документа объёмом около 28 500 символов, охватывает все обработки на портале. Замер: 49 запросов, 4 домена, снят на чистом браузере без VPN и блокировщика.

Кому уходят данные напрямую (до согласия)

Google LLC (США) — через Google Fonts; Fastly Inc (США) — через jQuery CDN.

Заявленное против фактического

Политика содержит недвусмысленную и многократно повторённую формулу: передача данных за пределы Европейского союза не осуществляется. Она приведена 12 раз — по одному разу для каждой описанной обработки. Это категорическое утверждение, не оговорка.

Замер фиксирует три внешних вызова, каждый из которых передаёт IP-адрес посетителя получателю за пределами ЕС. CSS и файлы шрифтов Google Fonts загружаются с fonts.googleapis.com и fonts.gstatic.com — инфраструктура Google LLC, компании США. Библиотека jQuery загружается с code.jquery.com — CDN Fastly Inc, также США. Ни один из этих трёх вызовов не упомянут в политике: перечень получателей включает Matomo, YouTube, Dailymotion и соцсети, но Google Fonts и jQuery в нём отсутствуют.

Таким образом расхождение не в том, что забыли перечислить cookie — Google Fonts и jQuery cookie не ставят. Расхождение в том, что заявление «за пределы ЕС ничего не уходит» опровергается фактом: IP посетителя уходит в две американские компании.

Тайминг относительно согласия

Ядро consent-менеджера TarteAuCitron загружается на +278 мс, однако конфигурация сервисов баннера завершается только на +679 мс. Оба вызова Google Fonts (+292 мс и +321 мс) и вызов jQuery (+376 мс) срабатывают в промежутке между ними — то есть до того, как баннер готов принять выбор пользователя. Согласие на момент передачи IP физически не могло быть дано.

Что сделано корректно

Существенная часть заявленного политикой соблюдается по факту. Аналитика Matomo/Piwik в замере не активировалась ни разу — она корректно удержана до согласия, ровно как политика и обещает. За весь сеанс не выставлено ни одной cookie. Consent-менеджер присутствует и загружается с собственного домена агентства. Видеоплееры и соцкнопки не активированы на главной странице. Нарушение локализовано в трёх внешних вызовах и заявлении о трансграничной передаче — оно не затрагивает аналитический контур, который выстроен правильно.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Поведение Matomo после нажатия «принять», а также вызовы YouTube и Dailymotion на страницах с видео по одному сеансу главной страницы не наблюдаются. Серверные IP из замера принадлежат Google и Fastly; вывод о нахождении получателя за пределами ЕС основан на юридической принадлежности этих компаний (США), а не на геолокации конкретного edge-узла. Обработка на стороне сервера (Protokolldateien, логи) в браузерном замере не проявляется.

Вывод

ANSM выстроил аналитический контур правильно: Matomo удерживается до согласия, cookie не пишутся, consent-менеджер на собственном хостинге. Но политика содержит категорическое, 12 раз повторённое заявление об отсутствии любой передачи данных за пределы ЕС — и это заявление опровергается замером: IP посетителя уходит в Google (через шрифты) и Fastly (через jQuery), обе компании американские, оба вызова до готовности баннера согласия. Для национального органа в сфере здравоохранения расхождение между прямым заявлением «hors UE — aucun transfert» и фактической передачей IP в США составляет нарушение прозрачности и правил трансграничной передачи. Устранение простое: разместить шрифты и jQuery локально на собственном домене — инфраструктура для этого уже есть.

Готовое письмо для подачи жалобы

Куда подавать: CNIL — Национальная комиссия по информатике и свободам — cnil.fr

Кому: CNIL — Национальная комиссия по информатике и свободам
От: [Ваше имя], [контактный email]

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом ansm.sante.fr.

2. Обстоятельства
Я посетил сайт ansm.sante.fr и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 02.07.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Политика 12 раз повторяет: «Aucun transfert de données hors de l'Union européenne n'est réalisé». Замер фиксирует передачу IP посетителя в fonts.googleapis.com (142.251.38.74) и fonts.gstatic.com (216.58.198.195) — Google LLC — и в code.jquery.com (151.101.1.155) — Fastly Inc. Обе компании американские. Заявление о полном отсутствии передачи за пределы ЕС прямо опровергается замером.

2) Google Fonts и jQuery/Fastly не упомянуты в политике ни разу. Политика перечисляет получателей (Matomo, YouTube, Dailymotion, соцсети), но два реально сработавших получателя IP отсутствуют в списке.

3) Внешние вызовы к Google Fonts (+292 мс) и jQuery (+376 мс) срабатывают раньше, чем баннер согласия TarteAuCitron завершает инициализацию (services-файл на +679 мс). Передача IP за пределы ЕС происходит до какого-либо выбора пользователя.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/fr-ansm-sante-fr/

3. Нарушенные положения
GDPR Art. 44 (Chapter V) — трансграничная передача; GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 5(1)(a) — прозрачность

4. Требование
Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256
и цитата из политики конфиденциальности сайта, документирующая
указанное противоречие — опубликована и проверяема по ссылке
в пункте 2 выше.

[Дата] [Подпись/имя]