Технический аудит · 31.05.2026

pa.media

PA Media Group — британское национальное информационное агентство

Политика изменена — посмотреть, что именно · 2026-10-13 →

Национальное информационное агентство Великобритании. 72 запроса, 19 доменов. Termly заявлен как блокировщик до согласия — HAR показывает восемь трекеров, активированных раньше или одновременно с загрузкой баннера. Google Ads, LinkedIn, Twitter, Hotjar, Pardot, Clarity — все до согласия. Плюс один неидентифицируемый домен.

Хронология обращений

+86 мс · до баннера

pro.fontawesome.com — Font Awesome Pro (три запроса). Внешний CDN шрифтов.

+88 мс · до баннера

cdnjs.cloudflare.com — iframe-resizer. Cloudflare CDN.

+92 мс · до баннера

widget.superchat.de — чат-виджет Superchat загружается немедленно.

+113 мс · до баннера

www.googletagmanager.com (GTM-WDCHHZ) — контейнер тегов запущен.

+170 мс · до баннера

fonts.googleapis.com — Google Fonts (Noto Serif). IP пользователя уходит на серверы Google.

+312 мс · баннер начинает загрузку

app.termly.io/resource-blocker (autoBlock=on) — Termly CMP начинает инициализацию. К этому моменту GTM уже работает 200 мс.

+318–362 мс · до/во время баннера

Через GTM активируются: Google Ads AW-1009477198 (+318 мс), Google Ads AW-11504754099 (+319 мс), GA4 G-ESM5SQ98CM (+346 мс), LinkedIn Insight (+348 мс), Hotjar (+350 мс), Twitter Pixel (+351 мс), Pardot aid=315511 (+356 мс), Microsoft Clarity (+357 мс), secure.7-operation.com (+358 мс), Google ccm/collect (+362 мс).

+486–693 мс

pagead2.googlesyndication.com — три запроса Google Ads conversion. region1.google-analytics.com — GA4 трекинговый запрос с полным fingerprint браузера.

Декларация против факта

✓ Google Analytics — упомянут в политике — заявлен

✓ Pardot — упомянут в политике — заявлен

✓ Hotjar — упомянут в политике (заявлен как 'based inside the EU') — заявлен

✓ Twitter — упомянут в политике — заявлен

✓ Facebook — упомянут в политике — заявлен

+ Google Ads (AW-1009477198, AW-11504754099) — не упомянут поимённо — не заявлен

+ Microsoft Clarity — не упомянут — не заявлен

+ secure.7-operation.com — не упомянут, владелец неидентифицирован — не заявлен

+ Superchat (widget.superchat.de) — не упомянут — не заявлен

+ pro.fontawesome.com — не упомянут — не заявлен

+ LinkedIn Insight — не упомянут (LinkedIn упомянут только в контексте соцсетей) — не заявлен

Тайминги передачи

+113 мс www.googletagmanager.com

GTM-WDCHHZ — контейнер. США.

+312 мс Баннер согласия появился

+318 мс www.googletagmanager.com

Google Ads AW-1009477198. США.

+319 мс www.googletagmanager.com

Google Ads AW-11504754099. США.

+346 мс www.googletagmanager.com

GA4 G-ESM5SQ98CM. США.

+348 мс snap.licdn.com

LinkedIn Insight Tag. США.

+350 мс static.hotjar.com

Hotjar 3334206. Запись сессии. ЕС/США.

+351 мс static.ads-twitter.com

Twitter/X Ads пиксель. США.

+356 мс pi.pardot.com

Pardot/Salesforce aid=315511. США.

+357 мс www.clarity.ms

Microsoft Clarity omjxj42f0d. США.

+358 мс secure.7-operation.com

Неидентифицированный JS-скрипт 813407.js.

+693 мс region1.google-analytics.com

GA4 g/collect — полный трекинговый запрос. США.

Зафиксированные трекеры

Показать получателей (15)

Google Tag Manager (www.googletagmanager.com, GTM-WDCHHZ)
Google Ads (AW-1009477198, AW-11504754099)
Google Analytics GA4 (G-ESM5SQ98CM, region1.google-analytics.com)
Google Ads Conversion (www.google.com/ccm/collect, pagead2.googlesyndication.com)
LinkedIn Insight (snap.licdn.com)
Twitter/X Pixel (static.ads-twitter.com)
Hotjar (static.hotjar.com)
Pardot / Salesforce (pi.pardot.com)
Microsoft Clarity (www.clarity.ms)
Termly CMP (app.termly.io)
Superchat виджет (widget.superchat.de, api.superchat.de, file-cdn.superchat.de)
Google Fonts (fonts.googleapis.com)
Font Awesome Pro (pro.fontawesome.com)
Cloudflare cdnjs (cdnjs.cloudflare.com)
secure.7-operation.com

Признаки несоответствия GDPR

GDPR Art. 6(1), Art. 5(1)(a)
GTM (GTM-WDCHHZ) загружается на +113 мс. Через GTM активируются два Google Ads ID (AW-1009477198 на +318 мс, AW-11504754099 на +319 мс), GA4 (G-ESM5SQ98CM на +346 мс), LinkedIn Insight (+348 мс), Hotjar (+350 мс), Twitter Pixel (+351 мс), Pardot (+356 мс), Microsoft Clarity (+357 мс), secure.7-operation.com (+358 мс) — все до появления и взаимодействия с баннером Termly. Termly resource-blocker загружается на +312 мс, но не предотвращает запуск трекеров.
GDPR Art. 7; ePrivacy Regulations
Termly задекларирован как инструмент управления согласием с параметром autoBlock=on. Однако HAR фиксирует, что восемь трекеров активируются раньше завершения загрузки Termly баннера (+312 мс) или одновременно с ним. Механизм блокировки до согласия не функционирует.
GDPR Art. 5(1)(e) — ограничение хранения; Art. 13
secure.7-operation.com — домен без публичной идентификации владельца, загружающий JS-скрипт (813407.js). В политике конфиденциальности не упомянут. Характер обработки данных этим доменом неустановим из HAR.

Контекст

PA Media Group — британское национальное информационное агентство, основанное в 1868 году. Обслуживает новостные редакции Великобритании и Ирландии. Штаб-квартира в Лондоне. HAR: 72 запроса, 19 доменов. 31 запрос — к собственному pa.media, остальные 41 — к 18 внешним доменам.

Termly с autoBlock=on — и восемь трекеров до согласия

Сайт использует Termly в режиме resource-blocker с параметром autoBlock=on — это должно означать автоматическую блокировку скриптов до получения согласия. HAR показывает иную картину.

GTM-WDCHHZ загружается на +113 мс. Termly начинает инициализацию на +312 мс — спустя 200 мс после запуска GTM-контейнера. За промежуток между +318 мс и +362 мс через GTM активируются девять внешних сервисов: два Google Ads, GA4, LinkedIn Insight, Hotjar, Twitter/X Pixel, Pardot, Microsoft Clarity, secure.7-operation.com. Баннер согласия в этот момент ещё загружается. Пользователь не сделал никакого выбора.

Termly с autoBlock=on не заблокировал ни один из девяти трекеров. Либо GTM-контейнер сконфигурирован так, что обходит блокировщик, либо порядок загрузки скриптов на странице не соответствует задокументированной архитектуре согласия.

secure.7-operation.com — неидентифицированный домен

На +358 мс загружается secure.7-operation.com/js/813407.js. Домен не имеет публичной страницы, не раскрывает владельца, в политике конфиденциальности PA Media не упомянут. Характер обработки данных этим скриптом из HAR неустановим. По Art. 13(1)(e) субъект данных должен знать всех получателей своих данных; анонимный домен этому требованию не соответствует.

Политика конфиденциальности: частичное соответствие

Политика упоминает Google Analytics, Pardot, Hotjar, Twitter, Facebook. Hotjar охарактеризован как «аналитический провайдер based inside the EU» — фактически Hotjar имеет офисы на Мальте, но обрабатывает данные на серверах AWS в США. Google Ads (два отдельных ID), Microsoft Clarity, LinkedIn Insight, Superchat, secure.7-operation.com в политике не упомянуты.

При 19 активных внешних доменах ни один из 72 запросов в HAR не зафиксировал Set-Cookie. Cookies отсутствуют и в исходящих запросах. Трекеры работают через fingerprinting и параметры URL без установки cookies — это не делает обработку данных менее реальной, но делает её менее очевидной для стандартных инструментов анализа cookies.

Вывод

pa.media использует Termly как инструмент управления согласием, но конфигурация не предотвращает запуск трекеров до согласия. Девять внешних сервисов — включая рекламные пиксели LinkedIn, Twitter, Google Ads и инструмент записи сессий Hotjar — активируются в промежутке 318–362 мс после загрузки страницы, когда баннер согласия ещё не отрендерился. Присутствие неидентифицированного домена secure.7-operation.com добавляет признак несоответствия Art. 13. Архитектура требует исправления порядка загрузки: GTM должен запускаться только после фиксации выбора пользователя в Termly, а не параллельно с его загрузкой.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: ie/pa-media-2026-05-31.har

SHA-256: 36f940ee5186a8eeda28f3815109269d13b7bc319cf6a446a4fae335115fa747

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — pa.media

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта pa.media.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) GTM (GTM-WDCHHZ) загружается на +113 мс. Через GTM активируются два Google Ads ID (AW-1009477198 на +318 мс, AW-11504754099 на +319 мс), GA4 (G-ESM5SQ98CM на +346 мс), LinkedIn Insight (+348 мс), Hotjar (+350 мс), Twitter Pixel (+351 мс), Pardot (+356 мс), Microsoft Clarity (+357 мс), secure.7-operation.com (+358 мс) — все до появления и взаимодействия с баннером Termly. Termly resource-blocker загружается на +312 мс, но не предотвращает запуск трекеров.

2) Termly задекларирован как инструмент управления согласием с параметром autoBlock=on. Однако HAR фиксирует, что восемь трекеров активируются раньше завершения загрузки Termly баннера (+312 мс) или одновременно с ним. Механизм блокировки до согласия не функционирует.

3) secure.7-operation.com — домен без публичной идентификации владельца, загружающий JS-скрипт (813407.js). В политике конфиденциальности не упомянут. Характер обработки данных этим доменом неустановим из HAR.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ie-pa-media/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — pa.media

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website pa.media.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) GTM (GTM-WDCHHZ) loads at +113 ms. Via GTM, two Google Ads IDs activate (AW-1009477198 at +318 ms, AW-11504754099 at +319 ms), followed by GA4 (G-ESM5SQ98CM at +346 ms), LinkedIn Insight (+348 ms), Hotjar (+350 ms), the Twitter Pixel (+351 ms), Pardot (+356 ms), Microsoft Clarity (+357 ms), and secure.7-operation.com (+358 ms) — all before the Termly banner appears or is interacted with. Termly's resource-blocker loads at +312 ms but does not prevent the trackers from firing.

2) Termly is declared as the consent management tool, configured with autoBlock=on. Yet the HAR records eight trackers activating before Termly's banner finishes loading (+312 ms) or simultaneously with it. The pre-consent blocking mechanism does not function.

3) secure.7-operation.com is a domain with no publicly identified owner, loading a JS script (813407.js). It is not mentioned in the privacy policy. The nature of the data processing this domain performs cannot be established from the HAR.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ie-pa-media/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: DPC — Ирландская комиссия по защите данных — dataprotection.ie

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — pa.media

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом pa.media.

2. Обстоятельства
Я посетил сайт pa.media и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 31.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) GTM (GTM-WDCHHZ) загружается на +113 мс. Через GTM активируются два Google Ads ID (AW-1009477198 на +318 мс, AW-11504754099 на +319 мс), GA4 (G-ESM5SQ98CM на +346 мс), LinkedIn Insight (+348 мс), Hotjar (+350 мс), Twitter Pixel (+351 мс), Pardot (+356 мс), Microsoft Clarity (+357 мс), secure.7-operation.com (+358 мс) — все до появления и взаимодействия с баннером Termly. Termly resource-blocker загружается на +312 мс, но не предотвращает запуск трекеров.

2) Termly задекларирован как инструмент управления согласием с параметром autoBlock=on. Однако HAR фиксирует, что восемь трекеров активируются раньше завершения загрузки Termly баннера (+312 мс) или одновременно с ним. Механизм блокировки до согласия не функционирует.

3) secure.7-operation.com — домен без публичной идентификации владельца, загружающий JS-скрипт (813407.js). В политике конфиденциальности не упомянут. Характер обработки данных этим доменом неустановим из HAR.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ie-pa-media/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 6(1), Art. 5(1)(a); GDPR Art. 7; ePrivacy Regulations; GDPR Art. 5(1)(e) — ограничение хранения; Art. 13

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — pa.media

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website pa.media.

2. Circumstances
I visited the website pa.media and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 31 May 2026 (open methodology, reproducible measurements) documents the following indications:

1) GTM (GTM-WDCHHZ) loads at +113 ms. Via GTM, two Google Ads IDs activate (AW-1009477198 at +318 ms, AW-11504754099 at +319 ms), followed by GA4 (G-ESM5SQ98CM at +346 ms), LinkedIn Insight (+348 ms), Hotjar (+350 ms), the Twitter Pixel (+351 ms), Pardot (+356 ms), Microsoft Clarity (+357 ms), and secure.7-operation.com (+358 ms) — all before the Termly banner appears or is interacted with. Termly's resource-blocker loads at +312 ms but does not prevent the trackers from firing.

2) Termly is declared as the consent management tool, configured with autoBlock=on. Yet the HAR records eight trackers activating before Termly's banner finishes loading (+312 ms) or simultaneously with it. The pre-consent blocking mechanism does not function.

3) secure.7-operation.com is a domain with no publicly identified owner, loading a JS script (813407.js). It is not mentioned in the privacy policy. The nature of the data processing this domain performs cannot be established from the HAR.

Full technical documentation is published at: https://gdpru.eu/audits/ie-pa-media/

3. GDPR provisions I ask you to examine
GDPR Art. 6(1), Art. 5(1)(a); GDPR Art. 7; ePrivacy Regulations; GDPR Art. 5(1)(e) — storage limitation; Art. 13

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]