Технический аудит · 02.07.2026

interieur.gouv.fr

Министерство внутренних дел Франции

Министерство внутренних дел Франции — 53 запроса, один внешний домен. Политика заявляет, что cookie ставятся только после согласия и что данные не передаются за пределы ЕС, а конкретный аудиторный инструмент не называет. В замере работает Cloudflare Web Analytics (beacon.min.js плюс RUM-запрос) до согласия; загрузка передаёт IP посетителя Cloudflare Inc — американской компании, не названной в политике.

Хронология обращений

+0 мс · загрузка портала

Контент и ресурсы с www.interieur.gouv.fr.

+219 мс · аналитический маяк

static.cloudflareinsights.com/beacon.min.js — загрузка скрипта Cloudflare Web Analytics. IP посетителя уходит Cloudflare Inc (США).

RUM-запрос

POST на /cdn-cgi/rum — передача данных Real User Monitoring Cloudflare (проксируется через собственный домен, обрабатывается Cloudflare).

Декларация против факта

✓ Аудиторное измерение упомянуто обобщённо («mesurer sa fréquentation»); конкретный инструмент не назван — заявлен

✓ «Les cookies ne sont déposés que si vous les acceptez» — cookie только после согласия — заявлен

✓ «Ces données ne font pas l'objet d'un transfert en dehors du territoire de l'UE» — заявлено прямо — заявлен

+ Cloudflare Web Analytics (static.cloudflareinsights.com) — фактический аналитический сервис, в политике не назван; провайдер Cloudflare Inc — американская компания — не заявлен

Тайминги передачи

+219 мс static.cloudflareinsights.com

Cloudflare Web Analytics beacon.min.js. Cloudflare Inc, США. В политике не назван.

Зафиксированные трекеры

Cloudflare Web Analytics (static.cloudflareinsights.com)

Признаки несоответствия GDPR

GDPR Art. 13(1)(e) — раскрытие получателей и инструмента
Политика упоминает аудиторное измерение обобщённо («mesurer sa fréquentation») и не называет ни одного конкретного инструмента. В замере работает Cloudflare Web Analytics: beacon.min.js загружается с static.cloudflareinsights.com на +219 мс, данные RUM уходят POST-запросом на /cdn-cgi/rum. Фактический аналитический сервис и его провайдер (Cloudflare Inc) в политике не раскрыты.
GDPR Art. 44 (Chapter V) + Art. 5(1)(a) — трансграничная передача и прозрачность
Политика прямо заявляет: «Ces données ne font pas l'objet d'un transfert en dehors du territoire de l'Union européenne». Загрузка beacon.min.js с static.cloudflareinsights.com передаёт IP посетителя Cloudflare Inc — американской компании — до согласия. Абсолютное заявление об отсутствии передачи за пределы ЕС вступает в противоречие с фактической передачей данных получателю из США.

Контекст

interieur.gouv.fr — официальный сайт Министерства внутренних дел Франции (Ministère de l’Intérieur), отвечающего за полицию, жандармерию, гражданскую безопасность, выборы. Ответственный за обработку — délégué à l’Information et à la communication министерства. Политика конфиденциальности предоставлена и сверена с действующей редакцией на сайте. Замер: 53 запроса, один внешний домен, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Cloudflare Inc (США) — IP посетителя через загрузку beacon.min.js аналитики Cloudflare.

Заявленное против фактического

Политика в разделе о cookie формулирует два прямых обещания. Первое: cookie ставятся только при их принятии («Les cookies ne sont déposés que si vous les acceptez»). Второе, в разделе о данных: передачи за пределы территории Европейского союза не происходит («Ces données ne font pas l’objet d’un transfert en dehors du territoire de l’Union européenne»). Аудиторное измерение упомянуто обобщённо — «mesurer sa fréquentation», — но конкретный инструмент измерения в политике не назван.

Замер показывает работу неназванного инструмента. На +219 мс загружается beacon.min.js с домена static.cloudflareinsights.com — это Cloudflare Web Analytics, сервис компании Cloudflare Inc (США). Затем данные Real User Monitoring уходят POST-запросом на /cdn-cgi/rum. Первое обещание о cookie формально соблюдено: Cloudflare Web Analytics работает без cookie, и за весь сеанс не выставлено ни одной cookie. Однако сама загрузка beacon.min.js передаёт IP-адрес посетителя Cloudflare — американской компании, — что вступает в противоречие со вторым обещанием об отсутствии передачи за пределы ЕС. Кроме того, фактически работающий аналитический сервис в политике не назван: указано лишь обобщённое «mesurer sa fréquentation» без идентификации инструмента и его провайдера.

Тайминг относительно согласия

Загрузка аналитического маяка Cloudflare происходит на +219 мс, в самом начале сеанса, до какого-либо выбора пользователя. Поскольку сервис не использует cookie, буквальное условие «cookie только после согласия» не нарушается — но передача данных американскому получателю происходит независимо от согласия.

Чего по замеру утверждать нельзя

Cloudflare Web Analytics не использует cookie, поэтому нарушения условия о cookie в замере нет; предметом расхождения являются нераскрытие фактического инструмента и заявление об отсутствии передачи за пределы ЕС. Cloudflare Inc — компания из США; при этом инфраструктура Cloudflare широко использует edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателя (американская компания), а не о физическом местоположении конкретного узла обработки. Полный состав данных RUM-запроса из облегчённого дампа детально не восстанавливается. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Министерство внутренних дел в политике обещает, что cookie ставятся только после согласия и что данные не покидают ЕС, но конкретный аудиторный инструмент не называет. В замере работает Cloudflare Web Analytics — сервис американской компании Cloudflare Inc: его маяк загружается до согласия и передаёт IP посетителя Cloudflare. Условие о cookie формально соблюдено, поскольку сервис cookieless, но фактический инструмент в политике не раскрыт, а обещание об отсутствии передачи за пределы ЕС вступает в противоречие с передачей данных получателю из США. Для сайта профильного силового ведомства нераскрытие фактического аналитического сервиса и расхождение с заявлением о непередаче за пределы ЕС указывают на несоблюдение требований о прозрачности и требований о трансграничной передаче. Устранение: назвать фактический инструмент аудиторного измерения и его провайдера в политике, привести заявление о непередаче за пределы ЕС в соответствие с фактом (либо разместить аналитику на инфраструктуре в ЕС без участия американского получателя), и включить сервис в механизм согласия.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: fr/interieur-gouv-fr-2026-07-02.har

SHA-256: 0c782052c523f1bdc031bbbcf3d433fcfbe6beb8956c75f4c4fb0cca6146a45c

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — interieur.gouv.fr

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта interieur.gouv.fr.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Политика упоминает аудиторное измерение обобщённо («mesurer sa fréquentation») и не называет ни одного конкретного инструмента. В замере работает Cloudflare Web Analytics: beacon.min.js загружается с static.cloudflareinsights.com на +219 мс, данные RUM уходят POST-запросом на /cdn-cgi/rum. Фактический аналитический сервис и его провайдер (Cloudflare Inc) в политике не раскрыты.

2) Политика прямо заявляет: «Ces données ne font pas l'objet d'un transfert en dehors du territoire de l'Union européenne». Загрузка beacon.min.js с static.cloudflareinsights.com передаёт IP посетителя Cloudflare Inc — американской компании — до согласия. Абсолютное заявление об отсутствии передачи за пределы ЕС вступает в противоречие с фактической передачей данных получателю из США.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/fr-interieur-gouv-fr/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — interieur.gouv.fr

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website interieur.gouv.fr.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The policy mentions audience measurement in general terms ('mesurer sa fréquentation') and names no specific tool. In the measurement, Cloudflare Web Analytics is at work: beacon.min.js loads from static.cloudflareinsights.com at +219 ms, with RUM data sent via a POST request to /cdn-cgi/rum. The actual analytics service and its provider (Cloudflare Inc) are not disclosed in the policy.

2) The policy states directly: 'Ces données ne font pas l'objet d'un transfert en dehors du territoire de l'Union européenne.' Loading beacon.min.js from static.cloudflareinsights.com transmits the visitor's IP address to Cloudflare Inc — a US company — before consent. The absolute claim of no transfer outside the EU is contradicted by the actual data transfer to a recipient in the USA.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/fr-interieur-gouv-fr/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: CNIL — Национальная комиссия по информатике и свободам — cnil.fr

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — interieur.gouv.fr

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом interieur.gouv.fr.

2. Обстоятельства
Я посетил сайт interieur.gouv.fr и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 02.07.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Политика упоминает аудиторное измерение обобщённо («mesurer sa fréquentation») и не называет ни одного конкретного инструмента. В замере работает Cloudflare Web Analytics: beacon.min.js загружается с static.cloudflareinsights.com на +219 мс, данные RUM уходят POST-запросом на /cdn-cgi/rum. Фактический аналитический сервис и его провайдер (Cloudflare Inc) в политике не раскрыты.

2) Политика прямо заявляет: «Ces données ne font pas l'objet d'un transfert en dehors du territoire de l'Union européenne». Загрузка beacon.min.js с static.cloudflareinsights.com передаёт IP посетителя Cloudflare Inc — американской компании — до согласия. Абсолютное заявление об отсутствии передачи за пределы ЕС вступает в противоречие с фактической передачей данных получателю из США.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/fr-interieur-gouv-fr/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 13(1)(e) — раскрытие получателей и инструмента; GDPR Art. 44 (Chapter V) + Art. 5(1)(a) — трансграничная передача и прозрачность

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — interieur.gouv.fr

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website interieur.gouv.fr.

2. Circumstances
I visited the website interieur.gouv.fr and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 2 July 2026 (open methodology, reproducible measurements) documents the following indications:

1) The policy mentions audience measurement in general terms ('mesurer sa fréquentation') and names no specific tool. In the measurement, Cloudflare Web Analytics is at work: beacon.min.js loads from static.cloudflareinsights.com at +219 ms, with RUM data sent via a POST request to /cdn-cgi/rum. The actual analytics service and its provider (Cloudflare Inc) are not disclosed in the policy.

2) The policy states directly: 'Ces données ne font pas l'objet d'un transfert en dehors du territoire de l'Union européenne.' Loading beacon.min.js from static.cloudflareinsights.com transmits the visitor's IP address to Cloudflare Inc — a US company — before consent. The absolute claim of no transfer outside the EU is contradicted by the actual data transfer to a recipient in the USA.

Full technical documentation is published at: https://gdpru.eu/audits/fr-interieur-gouv-fr/

3. GDPR provisions I ask you to examine
GDPR Art. 13(1)(e) — disclosure of recipients and the tool; GDPR Art. 44 (Chapter V) + Art. 5(1)(a) — cross-border transfer and transparency

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]