economie.gouv.fr

Контекст

economie.gouv.fr — официальный портал Министерства экономики и финансов Франции (Bercy). Публикует новости экономической политики, меры поддержки, информацию для граждан и предприятий. Ответственный за обработку — министерство. Политика конфиденциальности предоставлена двумя документами: основным текстом и отдельным PDF с перечнем внутренних cookies. Замер: 47 запросов, инфраструктура на собственных доменах, снят на чистом браузере. Просматриваемая страница — статья об экономических мерах поддержки.

Кому уходят данные напрямую (до согласия)

Eulerian (через first-party субдомен nmmt.economie.gouv.fr) — заголовок читаемой статьи, content_id, разрешение экрана.

Заявленное против фактического

По раскрытию инструментов сайт ведёт себя честнее многих: политика прямо называет обе аудиторные платформы — Piano Analytics (ранее AT Internet) и Eulerian — и ссылается на освобождение CNIL от сбора согласия. Отдельный PDF детально перечисляет cookie каждого сервиса. Существование Eulerian, в отличие от ряда госсайтов, не скрыто.

Расхождение — в объёме и характере обработки против заявленной анонимности. Политика описывает аудиторные данные как анонимную статистику посещаемости: число просмотренных страниц, число визитов, их частота. Замер показывает иное. Beacon Eulerian, отданный с субдомена nmmt.economie.gouv.fr (заголовок ответа Server: EWS — сигнатура платформы Eulerian, размещённой по схеме CNAME), передаёт полный заголовок конкретной читаемой статьи, её content_id и разрешение экрана 1920x1080. Разрешение экрана — один из параметров фингерпринтинга устройства. Собственный PDF сайта описывает Eulerian как собирающий данные о терминале, браузере и взаимодействиях с рекламными элементами с хранением 13 месяцев. Совокупность этих признаков выходит за пределы анонимного аудиторного измерения, на которое опирается заявленное освобождение.

Отдельно: аналитический маяк static.cloudflareinsights.com срабатывает на +97 мс. В документации Cloudflare указан как источник cookie безопасности (cf_clearance, __cf_bm); аналитический сервис Cloudflare Web Analytics отдельной декларацией не покрыт.

Тайминг относительно согласия

Оба внешних обращения — маяк Cloudflare (+97 мс) и скрипт Eulerian (+113 мс) — происходят в самом начале сеанса, а передающий данные beacon Eulerian — на +795 мс. Состояние сеанса на этот момент — без согласия: за весь сеанс не выставлено ни одной cookie, cookie сохранения выбора согласия отсутствует.

Чего по замеру утверждать нельзя

Замер охватывает одну страницу и одно состояние — до согласия. Piano Analytics, также заявленный политикой, в этом сеансе не сработал — наблюдался только Eulerian. Идентификация Eulerian опирается на сигнатуру сервера EWS, схему параметров и имя скрипта. Освобождение CNIL, на которое ссылается политика, действительно могло быть предоставлено для аудиторного измерения; предметом наблюдения является не отмена этого освобождения, а несоответствие фактически передаваемых параметров (разрешение экрана, заголовок статьи) заявленной анонимной статистике посещаемости. Правовую оценку применимости освобождения к такому набору данных выносит компетентный орган. Обработка на стороне сервера в браузерном замере не видна.

Вывод

economie.gouv.fr раскрывает свои аудиторные инструменты честнее многих госсайтов — Eulerian и Piano Analytics названы прямо, с отдельным PDF по cookie. Но заявленная анонимность аудиторной обработки расходится с фактом: beacon Eulerian, размещённый через CNAME-субдомен nmmt.economie.gouv.fr, без согласия передаёт заголовок конкретной читаемой статьи, её идентификатор и разрешение экрана — параметр фингерпринтинга, а собственный документ сайта относит к сбору Eulerian взаимодействия с рекламными элементами и 13-месячное хранение. Дополнительно аналитический маяк Cloudflare не покрыт декларацией, где Cloudflare указан лишь как cookie безопасности. Для портала министерства расхождение между заявленной анонимной статистикой и фактически передаваемыми фингерпринт-параметрами составляет нарушение прозрачности. Устранение: привести характеристику аудиторной обработки в соответствие с реально передаваемыми полями, раскрыть CNAME-размещение Eulerian и аналитический сервис Cloudflare, и подтвердить соответствие набора данных условиям заявленного освобождения.