RU EN
www.
Технический аудит · 02.07.2026

info.gouv.fr

Официальный информационный портал правительства Франции
FR

Официальный информационный портал правительства Франции — 83 запроса, инфраструктура на собственных доменах. Политика прямо относит аудиторное измерение к требующему согласия. Но Eulerian через first-party субдомен zhsv.info.gouv.fr отправляет beacon с разрешением экрана, компонентами страницы и сегментом контента до согласия, а в политике не назван. Множество других сервисов (GTM, DoubleClick, WonderPush, видеоплееры) прописаны в consent-менеджере, но до согласия не срабатывают.

Хронология обращений

+0 мс · загрузка портала
Контент и ресурсы с www.info.gouv.fr. Consent-менеджер TarteAuCitron присутствует.
+411 мс · скрипт трекера
zhsv.info.gouv.fr/ufU302.js — скрипт Eulerian, отданный с first-party субдомена (Server EWS).
+1315 мс · сервис поиска
cdn-1.keia.io/www.info.gouv.fr/_root.json — конфигурация сервиса поиска по сайту Keia (Scaleway, Франция). Не трекер.
состояние сеанса — без согласия
Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Политика требует согласия на аудиторное измерение.
+1547 мс · передача данных без согласия
zhsv.info.gouv.fr/col657a — beacon Eulerian передаёт разрешение экрана, список компонентов страницы и сегмент контента.

Декларация против факта

✓ Cookies аудиторного измерения — заявлены как требующие согласия («soumis à votre consentement») — заявлен
✓ Service de notification « push » — заявлен — заявлен
✓ Конкретный аудиторный инструмент не назван — заявлен
+ Eulerian (zhsv.info.gouv.fr) — фактический аудиторный трекер, в политике не назван; CNAME-размещение не раскрыто; срабатывает до согласия — не заявлен
+ Keia (cdn-1.keia.io) — сервис поиска по сайту, в политике не назван (Scaleway, Франция; наблюдение) — не заявлен

Тайминги передачи

+411 мс zhsv.info.gouv.fr

Eulerian ufU302.js через CNAME-субдомен. Server EWS.

+1315 мс cdn-1.keia.io

Keia — сервис поиска по сайту. Scaleway, Франция. Не трекер.

+1547 мс zhsv.info.gouv.fr

Eulerian beacon col657a. Разрешение экрана + компоненты страницы + сегмент контента.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

info.gouv.fr — официальный информационный портал правительства Франции, публикующий сообщения и разъяснения о деятельности правительства. Ответственный за обработку — Service d’information du Gouvernement (SIG). Политика конфиденциальности объёмом около 9 000 символов, актуальна на декабрь 2025 года. Замер: 83 запроса, инфраструктура на собственных доменах, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Eulerian (через first-party субдомен zhsv.info.gouv.fr) — разрешение экрана, список компонентов страницы, сегмент контента.

Заявленное против фактического

Политика info.gouv.fr в вопросе аудиторного измерения занимает более строгую позицию, чем ряд других государственных сайтов: она не ссылается на освобождение CNIL, а прямо относит cookie измерения аудитории к не строго необходимым и, следовательно, требующим согласия — «ils sont soumis à votre consentement que vous êtes invité à donner ou à refuser à l’occasion de votre première visite». То есть по собственному правилу сайта аудиторное измерение должно активироваться только после явного согласия.

Замер показывает обратное. Субдомен zhsv.info.gouv.fr, на первый взгляд принадлежащий порталу, отдаёт скрипт ufU302.js и отправляет beacon col657a. Заголовок ответа Server: EWS и схема параметров соответствуют платформе Eulerian, размещённой по схеме CNAME-делегирования. Beacon уходит на +1547 мс и передаёт разрешение экрана (1920x1080), полный список UI-компонентов страницы и сегмент контента. Состояние сеанса при этом — без согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан. Таким образом аудиторный трекер срабатывает до согласия, которое требует сама политика, а инструмент (Eulerian) и его CNAME-размещение в политике не названы.

Отдельно стоит отметить, что многие сервисы — Google Tag Manager, DoubleClick, WonderPush, плееры YouTube, Dailymotion, Vimeo — прописаны в конфигурации consent-менеджера TarteAuCitron, но в замере до согласия ни один из них не сработал: реальных сетевых обращений к ним нет. Это корректное поведение блокировки. Единственный внешний непервичный вызов помимо Eulerian — cdn-1.keia.io, конфигурация сервиса поиска по сайту Keia (инфраструктура Scaleway, Франция); это не трекер, отмечается как наблюдение о полноте раскрытия.

Тайминг относительно согласия

Скрипт Eulerian загружается на +411 мс, передающий данные beacon — на +1547 мс. Consent-менеджер на странице присутствует, аудиторное измерение заявлено как требующее согласия, однако передача данных Eulerian происходит до какого-либо выбора пользователя.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Идентификация инструмента как Eulerian опирается на сигнатуру сервера EWS, схему параметров и имя скрипта. Прочие сервисы, прописанные в consent-менеджере, до согласия не срабатывали — их поведение после согласия по данному сеансу не наблюдается. Keia отнесён к сервису поиска с получателем во Франции. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Портал info.gouv.fr в политике сам устанавливает, что аудиторное измерение требует согласия, и не заявляет никакого освобождения. Тем не менее Eulerian, размещённый через CNAME-субдомен zhsv.info.gouv.fr и оттого выглядящий как собственная инфраструктура, отправляет beacon с разрешением экрана, компонентами страницы и сегментом контента до согласия. Инструмент в политике не назван. В отличие от случаев, где сайт ссылался на освобождение CNIL, здесь налицо прямое расхождение с собственным правилом сайта о согласии на аудиторное измерение, дополненное нераскрытием инструмента и его маскировкой под first-party домен. Прочие трекеры при этом корректно удержаны consent-менеджером до согласия. Устранение: подчинить срабатывание Eulerian результату выбора в модуле согласия, как это уже сделано для остальных сервисов, и раскрыть инструмент и его CNAME-размещение в политике.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: fr/info-gouv-fr-2026-07-02.har
SHA-256: 145f35855ce623be365a5992d5cdbed80f50e052e83482889b60616643dd0fb9
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — info.gouv.fr

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта info.gouv.fr.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Политика прямо относит cookie аудиторного измерения к согласия-требующим: «Ces cookies n'étant pas strictement nécessaires, ils sont soumis à votre consentement... à donner ou à refuser à l'occasion de votre première visite». Освобождение CNIL при этом не заявлено. В замере Eulerian (zhsv.info.gouv.fr, Server EWS) отправляет beacon col657a на +1547 мс при состоянии без согласия: Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Аудиторный трекер срабатывает до согласия, которого требует сама политика.

2) Политика упоминает cookie аудиторного измерения обобщённо и не называет инструмента. Фактически работает Eulerian, размещённый на first-party субдомене zhsv.info.gouv.fr по схеме CNAME (сигнатура сервера EWS, скрипт ufU302.js, beacon col657a). Ни Eulerian, ни субдомен zhsv, ни CNAME-размещение в политике не раскрыты.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/fr-info-gouv-fr/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: CNIL — Национальная комиссия по информатике и свободам — cnil.fr

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — info.gouv.fr

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом info.gouv.fr.

2. Обстоятельства
Я посетил сайт info.gouv.fr и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 02.07.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Политика прямо относит cookie аудиторного измерения к согласия-требующим: «Ces cookies n'étant pas strictement nécessaires, ils sont soumis à votre consentement... à donner ou à refuser à l'occasion de votre première visite». Освобождение CNIL при этом не заявлено. В замере Eulerian (zhsv.info.gouv.fr, Server EWS) отправляет beacon col657a на +1547 мс при состоянии без согласия: Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Аудиторный трекер срабатывает до согласия, которого требует сама политика.

2) Политика упоминает cookie аудиторного измерения обобщённо и не называет инструмента. Фактически работает Eulerian, размещённый на first-party субдомене zhsv.info.gouv.fr по схеме CNAME (сигнатура сервера EWS, скрипт ufU302.js, beacon col657a). Ни Eulerian, ни субдомен zhsv, ни CNAME-размещение в политике не раскрыты.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/fr-info-gouv-fr/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 82 Loi Informatique et Libertés (ePrivacy) — согласие вопреки собственному правилу политики; GDPR Art. 13(1)(e) — раскрытие получателей

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]