inserm.fr

Контекст

inserm.fr — официальный сайт Национального института здоровья и медицинских исследований Франции (Inserm), государственного научного учреждения в сфере биомедицины. Ответственный за обработку — Inserm. Политика конфиденциальности короткая (около 4 900 символов). Замер: 72 запроса, 5 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

WonderPush (measurements-api.wonderpush.com, POST-событие /v1/events) — до согласия.

Заявленное против фактического

Политика описывает использование cookie обобщённо: измерение аудитории, улучшение сайта и интеграция сторонних сервисов («services tiers (vidéos, etc.)»). При этом она проводит важное разграничение по правовому основанию: аудиторное измерение — без необходимости согласия, а интеграция сторонних сервисов — с согласия («autorisation»). Конкретные инструменты и сторонние получатели в политике не названы.

Замер показывает работу стороннего сервиса, который под это разграничение не подпадает. WonderPush — сервис push-уведомлений с собственной аналитикой. Его загрузчик приходит на +136 мс, полный SDK и ключи — на +3854–3989 мс, а на +4133 мс уходит POST-запрос measurements-api.wonderpush.com/v1/events — событие в измерительный API сервиса. Всё это происходит при состоянии без согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан. WonderPush — сторонний сервис, а не освобождённое от согласия аудиторное измерение; по собственному правилу политики он требует согласия, но срабатывает раньше него. Ни WonderPush, ни push-уведомления в политике не упомянуты.

Отдельно: часть контента Inserm раздаётся через inserm.b-cdn.net — это сеть доставки BunnyCDN (компания Bunny.net, ЕС). Это раздача собственных ресурсов через CDN, а не сторонний трекер; получатель находится в ЕС. В политике CDN не назван — отмечается как наблюдение о полноте, не как нарушение.

Тайминг относительно согласия

Загрузчик WonderPush срабатывает практически сразу (+136 мс), а передающее данные событие — на +4133 мс. На всём протяжении сеанса согласие не запрашивалось и не давалось (Set-Cookie ноль). Таким образом сторонний сервис инициализируется и отправляет событие до выбора пользователя.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Точный состав полезной нагрузки события /v1/events из облегчённого дампа детально не восстанавливается; фиксируется факт POST-запроса к измерительному API стороннего сервиса до согласия. WonderPush — французская компания; вопрос географии его серверной обработки по замеру не устанавливается и в основание нарушения не кладётся. BunnyCDN отнесён к раздаче собственного контента, получатель в ЕС. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт Inserm в политике сам разграничивает: аудиторное измерение — без согласия, а сторонние сервисы — с согласия. Замер показывает, что сторонний сервис WonderPush (push-уведомления с аналитикой) инициализируется и отправляет событие в свой измерительный API до какого-либо согласия, а в самой политике он не назван вовсе. Это расходится и с требованием о раскрытии получателей, и с собственным правилом сайта о согласии на сторонние сервисы. Дополнительно контент раздаётся через CDN Bunny.net, также не названный, но с получателем в ЕС — это вопрос полноты, а не нарушение. Устранение: назвать WonderPush и цель его использования в политике, включить его в механизм согласия и не инициализировать его SDK до выбора пользователя; для полноты — упомянуть используемый CDN.