RU EN
www.
Технический аудит · 31.05.2026

tcd.ie

Тринити-колледж Дублин — старейший университет Ирландии
IE

Политика изменена — посмотреть, что именно · 2026-10-10 →

Тринити-колледж Дублин — университет, основанный в 1592 году, обрабатывающий данные студентов, включая медицинские и данные об инвалидности. GTM загружается за 101 мс до OneTrust. YouTube на главной странице без согласия активирует DoubleClick. 70 запросов, 14 доменов.

Хронология обращений

+2594 мс · до баннера
cdnjs.cloudflare.com — tiny-slider CSS. Cloudflare CDN.
+2595 мс · до баннера
www.trumba.com — три изображения календаря событий. Trumba — американский сервис управления расписанием.
+2621 мс · до баннера
www.googletagmanager.com (GTM-KTX8CV) — GTM-контейнер загружается.
+2632 мс · до баннера
www.youtube.com/embed/V1ggffYdjzU — YouTube iframe загружается без согласия.
+2722 мс · баннер начинает загрузку
cdn.cookielaw.org (OneTrust otSDKStub.js) — OneTrust CMP инициализируется. GTM уже работает 101 мс, YouTube — 90 мс.
+3007–3011 мс · до согласия
www.youtube.com — скрипты плеера, CSS, JS (4 запроса). Roboto шрифт через fonts.gstatic.com.
+3123–3293 мс · до согласия
googleads.g.doubleclick.net/pagead/id — DoubleClick рекламная идентификация (два запроса). static.doubleclick.net/instream/ad_status.js.
+5457 мс и +21434 мс
www.youtube.com/youtubei/v1/log_event — YouTube логирует события сессии. jnn-pa.googleapis.com/GenerateIT (+18476 мс) — Google внутренний API. Set-Cookie — ноль.

Декларация против факта

✓ Cookies — упомянуты в политике со ссылкой на Cookie Register и Cookie Policy — заявлен
✓ YouTube — упомянут косвенно через описание медиаконтента — заявлен
+ Google Tag Manager (GTM-KTX8CV) — не упомянут поимённо — не заявлен
+ DoubleClick (googleads.g.doubleclick.net) — не упомянут — не заявлен
+ Trumba (www.trumba.com) — не упомянут — не заявлен
+ Cloudflare cdnjs — не упомянут — не заявлен
+ OneTrust (cdn.cookielaw.org) — не упомянут поимённо — не заявлен

Тайминги передачи

+2621 мс www.googletagmanager.com

GTM-KTX8CV. США.

+2632 мс www.youtube.com

YouTube embed V1ggffYdjzU. 9 запросов.

+2722 мс Баннер согласия появился
+2740 мс Баннер согласия появился
+3123 мс googleads.g.doubleclick.net

DoubleClick pagead/id — рекламный идентификатор. США.

+3133 мс static.doubleclick.net

DoubleClick instream/ad_status.js. США.

+18476 мс jnn-pa.googleapis.com

Google внутренний API GenerateIT. США.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

Trinity College Dublin — старейший университет Ирландии, основанный в 1592 году. Обрабатывает данные студентов, включая медицинские данные, данные об инвалидности, результаты психологического консультирования и финансовую информацию. Sensitivity — high. HAR: 70 запросов, 14 доменов. 28 запросов к www.tcd.ie, 8 к CDN pxl-tcdie.terminalfour.net — остальные 34 к двенадцати внешним доменам.

OneTrust приходит на 101 мс позже GTM

Порядок загрузки критичен: GTM-KTX8CV запускается на +2621 мс. OneTrust начинает инициализацию на +2722 мс. 101 мс — промежуток, в течение которого GTM-контейнер активен и может запускать любые настроенные в нём теги без каких-либо ограничений со стороны платформы согласия. Если в GTM настроена аналитика или реклама с триггером «All Pages», они выполнятся до того, как OneTrust успеет заблокировать их. HAR фиксирует именно этот сценарий: YouTube и связанный DoubleClick активируются в этом окне.

YouTube без согласия — и DoubleClick в комплекте

На главной странице университета встроен YouTube-видеоплеер (embed/V1ggffYdjzU). Он загружается на +2632 мс — без согласия, до появления баннера OneTrust. YouTube не является нейтральным медиаплеером: он подключает рекламную инфраструктуру Google. В HAR зафиксированы два запроса к googleads.g.doubleclick.net/pagead/id (+3123 и +3293 мс) — это DoubleClick рекламная идентификация, присваивающая посетителю рекламный идентификатор. static.doubleclick.net/instream/ad_status.js загружается на +3133 мс. Дополнительно: jnn-pa.googleapis.com/$rpc/google.internal.waa.v1.Waa/GenerateIT на +18476 мс — внутренний API Google, связанный с системой верификации рекламного трафика. Всё это происходит на сайте университета, обрабатывающего медицинские данные студентов, без их согласия.

Trumba — незадокументированный сервис событий

На +2595 мс загружаются три изображения с www.trumba.com. Trumba — американский SaaS-сервис управления расписанием событий. Каждый запрос к Trumba передаёт IP-адрес посетителя на американские серверы. В политике конфиденциальности Trumba не упомянут.

Политика ссылается на внешние документы

Политика содержит ссылки на Cookie Register и Cookie Policy как отдельные документы. Ни один из них не предоставлен в архиве. В самой политике конкретные сервисы — GTM, YouTube, DoubleClick, Trumba, OneTrust — не названы поимённо. По Art. 13(1)(e) ссылка на внешний реестр допустима, если реестр актуален и доступен; без проверки самого реестра установить, задокументированы ли там все получатели, невозможно.

Set-Cookie — ноль

Ни один из 70 запросов не устанавливает cookie через Set-Cookie. DoubleClick pagead/id вернул статус 302 (редирект) без установки cookie в HAR — однако сам запрос на идентификацию состоялся.

Вывод

tcd.ie воспроизводит паттерн, характерный для университетских сайтов: YouTube без согласия как наиболее распространённый вектор нарушения, GTM раньше CMP, Trumba без документации. Специфика — характер данных: Тринити-колледж обрабатывает медицинские данные и данные об инвалидности студентов. Это делает нарушение принципа согласия на главной странице не только юридической, но и этической проблемой. Исправление: заменить прямой YouTube embed на privacy-enhanced режим с блокировкой до согласия или статический превью с кликом для активации; перенести GTM за OneTrust; задокументировать Trumba в Cookie Register.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: ie/tcd-ie-2026-05-31.har
SHA-256: fcbadbc4891ab34d4ed1e2bd2fcf58e9e8ac1d021e417ba962ad59119775e2f6
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — tcd.ie

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта tcd.ie.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) GTM (GTM-KTX8CV) загружается на +2621 мс. OneTrust (cdn.cookielaw.org) загружается на +2722 мс — на 101 мс позже GTM. YouTube embed инициализируется на +2632 мс без согласия и активирует DoubleClick: googleads.g.doubleclick.net/pagead/id (+3123 мс), static.doubleclick.net/instream/ad_status.js (+3133 мс). DoubleClick — рекламная идентификационная система Google — запускается до любого взаимодействия пользователя с баннером OneTrust.

2) YouTube iframe (V1ggffYdjzU) встроен на главную страницу и загружается немедленно при открытии, без ожидания согласия. YouTube загружает собственные скрипты (9 запросов), активирует DoubleClick для идентификации рекламного профиля посетителя, отправляет log_event на +5457 мс и +21434 мс. jnn-pa.googleapis.com GenerateIT запрос на +18476 мс. Всё без согласия пользователя.

3) Политика ссылается на Cookie Register и Cookie Policy как отдельные документы, не предоставленные в архиве. Trumba (сервис управления календарём событий, США) загружает изображения с www.trumba.com (+2595 мс) — в политике не упомянут. Cloudflare cdnjs не упомянут.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ie-tcd-ie/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: DPC — Ирландская комиссия по защите данных — dataprotection.ie

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — tcd.ie

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом tcd.ie.

2. Обстоятельства
Я посетил сайт tcd.ie и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 31.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) GTM (GTM-KTX8CV) загружается на +2621 мс. OneTrust (cdn.cookielaw.org) загружается на +2722 мс — на 101 мс позже GTM. YouTube embed инициализируется на +2632 мс без согласия и активирует DoubleClick: googleads.g.doubleclick.net/pagead/id (+3123 мс), static.doubleclick.net/instream/ad_status.js (+3133 мс). DoubleClick — рекламная идентификационная система Google — запускается до любого взаимодействия пользователя с баннером OneTrust.

2) YouTube iframe (V1ggffYdjzU) встроен на главную страницу и загружается немедленно при открытии, без ожидания согласия. YouTube загружает собственные скрипты (9 запросов), активирует DoubleClick для идентификации рекламного профиля посетителя, отправляет log_event на +5457 мс и +21434 мс. jnn-pa.googleapis.com GenerateIT запрос на +18476 мс. Всё без согласия пользователя.

3) Политика ссылается на Cookie Register и Cookie Policy как отдельные документы, не предоставленные в архиве. Trumba (сервис управления календарём событий, США) загружает изображения с www.trumba.com (+2595 мс) — в политике не упомянут. Cloudflare cdnjs не упомянут.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ie-tcd-ie/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 6(1), Art. 7; ePrivacy Regulations (SI 336/2011); GDPR Art. 6(1) — встроенный YouTube без согласия; GDPR Art. 13(1)(e)

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]