Технический аудит · 2026-07-02

info.gouv.fr

Официальный информационный портал правительства Франции

Официальный информационный портал правительства Франции — 83 запроса, инфраструктура на собственных доменах. Политика прямо относит аудиторное измерение к требующему согласия. Но Eulerian через first-party субдомен zhsv.info.gouv.fr отправляет beacon с разрешением экрана, компонентами страницы и сегментом контента до согласия, а в политике не назван. Множество других сервисов (GTM, DoubleClick, WonderPush, видеоплееры) прописаны в consent-менеджере, но до согласия не срабатывают.

Хронология утечки

+0 мс · загрузка портала

Контент и ресурсы с www.info.gouv.fr. Consent-менеджер TarteAuCitron присутствует.

+411 мс · скрипт трекера

zhsv.info.gouv.fr/ufU302.js — скрипт Eulerian, отданный с first-party субдомена (Server EWS).

+1315 мс · сервис поиска

cdn-1.keia.io/www.info.gouv.fr/_root.json — конфигурация сервиса поиска по сайту Keia (Scaleway, Франция). Не трекер.

+1547 мс · передача данных без согласия

zhsv.info.gouv.fr/col657a — beacon Eulerian передаёт разрешение экрана, список компонентов страницы и сегмент контента.

Декларация против факта

✓ Cookies аудиторного измерения — заявлены как требующие согласия («soumis à votre consentement») — заявлен

✓ Service de notification « push » — заявлен — заявлен

✓ Конкретный аудиторный инструмент не назван — заявлен

+ Eulerian (zhsv.info.gouv.fr) — фактический аудиторный трекер, в политике не назван; CNAME-размещение не раскрыто; срабатывает до согласия — не заявлен

+ Keia (cdn-1.keia.io) — сервис поиска по сайту, в политике не назван (Scaleway, Франция; наблюдение) — не заявлен

Тайминги передачи

+411 мс zhsv.info.gouv.fr

Eulerian ufU302.js через CNAME-субдомен. Server EWS.

+1315 мс cdn-1.keia.io

Keia — сервис поиска по сайту. Scaleway, Франция. Не трекер.

+1547 мс zhsv.info.gouv.fr

Eulerian beacon col657a. Разрешение экрана + компоненты страницы + сегмент контента.

Зафиксированные трекеры

Eulerian (zhsv.info.gouv.fr — CNAME, сигнатура сервера EWS)
Keia (cdn-1.keia.io) — сервис поиска по сайту

Признаки несоответствия GDPR

Art. 82 Loi Informatique et Libertés (ePrivacy) — согласие вопреки собственному правилу политики

Политика прямо относит cookie аудиторного измерения к согласия-требующим: «Ces cookies n'étant pas strictement nécessaires, ils sont soumis à votre consentement... à donner ou à refuser à l'occasion de votre première visite». Освобождение CNIL при этом не заявлено. В замере Eulerian (zhsv.info.gouv.fr, Server EWS) отправляет beacon col657a на +1547 мс при состоянии без согласия: Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Аудиторный трекер срабатывает до согласия, которого требует сама политика.
GDPR Art. 13(1)(e) — раскрытие получателей

Политика упоминает cookie аудиторного измерения обобщённо и не называет инструмента. Фактически работает Eulerian, размещённый на first-party субдомене zhsv.info.gouv.fr по схеме CNAME (сигнатура сервера EWS, скрипт ufU302.js, beacon col657a). Ни Eulerian, ни субдомен zhsv, ни CNAME-размещение в политике не раскрыты.

Контекст

info.gouv.fr — официальный информационный портал правительства Франции, публикующий сообщения и разъяснения о деятельности правительства. Ответственный за обработку — Service d’information du Gouvernement (SIG). Политика конфиденциальности объёмом около 9 000 символов, актуальна на декабрь 2025 года. Замер: 83 запроса, инфраструктура на собственных доменах, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Eulerian (через first-party субдомен zhsv.info.gouv.fr) — разрешение экрана, список компонентов страницы, сегмент контента.

Заявленное против фактического

Политика info.gouv.fr в вопросе аудиторного измерения занимает более строгую позицию, чем ряд других государственных сайтов: она не ссылается на освобождение CNIL, а прямо относит cookie измерения аудитории к не строго необходимым и, следовательно, требующим согласия — «ils sont soumis à votre consentement que vous êtes invité à donner ou à refuser à l’occasion de votre première visite». То есть по собственному правилу сайта аудиторное измерение должно активироваться только после явного согласия.

Замер показывает обратное. Субдомен zhsv.info.gouv.fr, на первый взгляд принадлежащий порталу, отдаёт скрипт ufU302.js и отправляет beacon col657a. Заголовок ответа Server: EWS и схема параметров соответствуют платформе Eulerian, размещённой по схеме CNAME-делегирования. Beacon уходит на +1547 мс и передаёт разрешение экрана (1920x1080), полный список UI-компонентов страницы и сегмент контента. Состояние сеанса при этом — без согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан. Таким образом аудиторный трекер срабатывает до согласия, которое требует сама политика, а инструмент (Eulerian) и его CNAME-размещение в политике не названы.

Отдельно стоит отметить, что многие сервисы — Google Tag Manager, DoubleClick, WonderPush, плееры YouTube, Dailymotion, Vimeo — прописаны в конфигурации consent-менеджера TarteAuCitron, но в замере до согласия ни один из них не сработал: реальных сетевых обращений к ним нет. Это корректное поведение блокировки. Единственный внешний непервичный вызов помимо Eulerian — cdn-1.keia.io, конфигурация сервиса поиска по сайту Keia (инфраструктура Scaleway, Франция); это не трекер, отмечается как наблюдение о полноте раскрытия.

Тайминг относительно согласия

Скрипт Eulerian загружается на +411 мс, передающий данные beacon — на +1547 мс. Consent-менеджер на странице присутствует, аудиторное измерение заявлено как требующее согласия, однако передача данных Eulerian происходит до какого-либо выбора пользователя.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Идентификация инструмента как Eulerian опирается на сигнатуру сервера EWS, схему параметров и имя скрипта. Прочие сервисы, прописанные в consent-менеджере, до согласия не срабатывали — их поведение после согласия по данному сеансу не наблюдается. Keia отнесён к сервису поиска с получателем во Франции. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Портал info.gouv.fr в политике сам устанавливает, что аудиторное измерение требует согласия, и не заявляет никакого освобождения. Тем не менее Eulerian, размещённый через CNAME-субдомен zhsv.info.gouv.fr и оттого выглядящий как собственная инфраструктура, отправляет beacon с разрешением экрана, компонентами страницы и сегментом контента до согласия. Инструмент в политике не назван. В отличие от случаев, где сайт ссылался на освобождение CNIL, здесь налицо прямое расхождение с собственным правилом сайта о согласии на аудиторное измерение, дополненное нераскрытием инструмента и его маскировкой под first-party домен. Прочие трекеры при этом корректно удержаны consent-менеджером до согласия. Устранение: подчинить срабатывание Eulerian результату выбора в модуле согласия, как это уже сделано для остальных сервисов, и раскрыть инструмент и его CNAME-размещение в политике.

Готовое письмо для подачи жалобы

Куда подавать: CNIL — Национальная комиссия по информатике и свободам — cnil.fr

Кому: CNIL — Национальная комиссия по информатике и свободам
От: [Ваше имя], [контактный email]

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом info.gouv.fr.

2. Обстоятельства
Я посетил сайт info.gouv.fr и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 02.07.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Политика прямо относит cookie аудиторного измерения к согласия-требующим: «Ces cookies n'étant pas strictement nécessaires, ils sont soumis à votre consentement... à donner ou à refuser à l'occasion de votre première visite». Освобождение CNIL при этом не заявлено. В замере Eulerian (zhsv.info.gouv.fr, Server EWS) отправляет beacon col657a на +1547 мс при состоянии без согласия: Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Аудиторный трекер срабатывает до согласия, которого требует сама политика.

2) Политика упоминает cookie аудиторного измерения обобщённо и не называет инструмента. Фактически работает Eulerian, размещённый на first-party субдомене zhsv.info.gouv.fr по схеме CNAME (сигнатура сервера EWS, скрипт ufU302.js, beacon col657a). Ни Eulerian, ни субдомен zhsv, ни CNAME-размещение в политике не раскрыты.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/fr-info-gouv-fr/

3. Нарушенные положения
Art. 82 Loi Informatique et Libertés (ePrivacy) — согласие вопреки собственному правилу политики; GDPR Art. 13(1)(e) — раскрытие получателей

4. Требование
Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256
и цитата из политики конфиденциальности сайта, документирующая
указанное противоречие — опубликована и проверяема по ссылке
в пункте 2 выше.

[Дата] [Подпись/имя]