gse.it

Контекст

gse.it — сайт GSE S.p.A. (Gestore dei Servizi Energetici), государственной компании, которая управляет стимулами и услугами в сфере возобновляемой энергетики в Италии. Сделан на платформе Microsoft SharePoint. В замере 123 обращения к десяти доменам. Ответственным за обработку данных верно указана сама компания. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.

На первый взгляд тут просто пара счётчиков. Но при ближайшем рассмотрении набор оказывается тяжелее, чем кажется, и работает он без всякого согласия.

Кто получает данные

Тут были замечены: ShinyStat, Siteimprove, BRZ Network.

Был ли баннер согласия

Баннера нет вовсе — никакого механизма согласия на сайте не обнаружено. Тут нужна точность: базовый анонимный счётчик посещений по итальянским правилам можно приравнять к техническим средствам и не спрашивать за него согласия. Поэтому проблема не в самом факте подсчёта, а в том, что вместе со счётчиками работают инструменты другого рода, которые под это послабление не подпадают.

Две системы записи поведения сразу

Главное. Помимо обычного подсчёта, на сайте работают сразу два инструмента, фиксирующих поведение конкретного посетителя. ShinyStat подгружает модуль записи сессий — он отслеживает действия пользователя на странице. А Siteimprove строит тепловые карты: три отдельных обращения к соответствующей функции фиксируют, куда смотрит и где кликает посетитель. Это уже не подсчёт «сколько всего визитов», а наблюдение за поведением, и по позиции итальянского регулятора для такого наблюдения требуется согласие. Согласия же здесь нет вообще. Концептуально это то же самое, что встречавшаяся в серии запись сессий на государственных сайтах, — только реализованная другими вендорами.

Рекламный пиксель на сайте госоператора

Отдельная находка. В замере есть обращение к рекламной сети — рекламный пиксель на сайте государственного оператора энергоуслуг. Что он там делает, из самого замера не следует, но его присутствие на госсайте само по себе вопрос: рекламные сети существуют, чтобы собирать аудиторию для таргетинга, а здесь для этого нет ни основания, ни упоминания в документе.

Конфигурация двадцатилетней давности

Характерная деталь. Замеры ShinyStat несут параметр с аббревиатурой прежнего названия компании, которое она носила до переименования в 2005 году. Это говорит о том, что настройку трекинга не пересматривали около двадцати лет — она просто работает по инерции с давно заведёнными параметрами.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Политика отсылает к отдельной странице о cookie, и эту страницу мне достать не удалось, поэтому подтвердить, названы ли на ней ShinyStat и Siteimprove, я не могу — речь о неполноте доступного, а не о доказанном умолчании. Оба аналитических вендора европейские и заявляют анонимизацию, так что базовый счётчик, возможно, и раскрыт там как технический; но запись сессий, тепловые карты и рекламный пиксель — иной разговор. Точное время обращения к рекламной сети я отдельно не фиксировал, отмечаю сам факт. Замер охватывает главную страницу.

Вывод

Государственный оператор энергоуслуг держит на сайте сразу две системы наблюдения за поведением — запись сессий и тепловые карты, — а также рекламный пиксель, и всё это работает без какого-либо баннера согласия, на конфигурации трекинга, не обновлявшейся около двадцати лет. Базовый подсчёт посещений сам по себе мог бы быть законным и без спроса, но наблюдение за поведением и рекламная сеть под это послабление не подпадают. Главное, что должен вынести читатель: даже там, где «всего пара счётчиков», стоит присмотреться — здесь за этой парой скрываются запись поведения и реклама, о которых посетителя не спрашивают и в доступном документе не предупреждают.