Сайт Агентства национальной кибербезопасности Италии. 163 запроса, 2 домена — собственный и государственная аналитика. Базовая статистика реализована корректно, и данные за пределы ЕС действительно не уходят. Но сайт записывает индивидуальную сессию посетителя — клики, курсор, прокрутку, — а политика обещает только анонимные агрегаты и не упоминает эту запись вовсе. И всё это без баннера согласия.
Хронология обращений
Декларация против факта
Зафиксированные трекеры
- Государственная аналитика Sogei (Matomo) — передаёт идентификатор посетителя
- Matomo HeatmapSessionRecording — запись сессий и тепловые карты
Признаки несоответствия GDPR
- Art. 13(1)(e) и Art. 5(1)(a) GDPR — незадекларированная запись сессийПолитика заявляет, что сайт не использует профилирующих cookie, и описывает аналитику как анонимную агрегированную статистику — число посещённых страниц и время на сайте. В замере же активен отдельный модуль записи сессий: он фиксирует поведение конкретного посетителя — клики, движение курсора, прокрутку — под индивидуальным идентификатором сессии. Это качественно иной уровень данных, чем агрегированный счётчик, и в документе он не упомянут вообще. Тот же самый модуль обнаружен на портале Налоговой службы на той же государственной инфраструктуре Sogei — то есть это особенность общей платформы, а не оплошность одного сайта.
- Art. 6(1)(a) GDPR / рекомендации итальянского регулятора — слежка без согласияПо правилам итальянского регулятора мониторинг поведения посетителей — это не технический cookie, а отдельный инструмент отслеживания, для которого требуется согласие. На сайте баннера согласия нет вовсе: и базовая аналитика, и запись сессий трактуются как технические средства, не требующие спроса. Для записи сессий такая трактовка неверна.
Контекст
www.acn.gov.it — официальный портал Агентства национальной кибербезопасности Италии, органа, отвечающего за защиту киберпространства страны и за продвижение культуры цифровой безопасности и защиты данных. Сделан на платформе Liferay. В замере 163 обращения к двум доменам: самому порталу и государственной аналитической инфраструктуре поставщика Sogei. Ответственным за обработку данных политика верно указывает само агентство, и передачу данных за пределы ЕС она отрицает — что в данном случае правда: всё держится на национальной инфраструктуре. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.
Учитывая, чем занимается это ведомство, к нему особый спрос: уж кто-кто, а агентство кибербезопасности должно обращаться с данными посетителей образцово. По базовому слою — да. Но один слой выбивается, и тот же, что и у Налоговой службы.
Был ли баннер согласия
Баннера согласия нет. Политика относит аналитику к техническим средствам, для которых спрашивать согласие не нужно. Для анонимной агрегированной статистики такой подход допустим. Проблема в том, что ровно так же — как технический инструмент, не требующий спроса, — на сайте трактуется и запись сессий. А она под это правило не подпадает.
Базовая аналитика — в порядке
Сначала о том, что сделано верно. Базовый счётчик посещений работает на государственной платформе, на национальной инфраструктуре, IP-адрес маскируется так, как описано в политике, и ни одного cookie за сеанс не ставится. Данные за пределы ЕС не уходят — обещание политики здесь выполнено. На этом уровне всё соответствует заявленному.
Сайт записывает сессию — а политика обещает только агрегаты
А вот здесь расхождение, и оно серьёзное. Помимо обычного счётчика на сайте активен модуль записи сессий и тепловых карт. Это не подсчёт «сколько всего страниц открыли и сколько времени провели» — это фиксация поведения конкретного посетителя: куда он кликнул, как двигал курсором, как прокручивал страницу, — привязанная к индивидуальному идентификатору сессии. По своей природе это противоположность «анонимной агрегированной статистике», которую обещает политика. В документе этот модуль не упомянут ни словом — ни среди типов cookie, ни в категориях обрабатываемых данных.
И это не случайная единичная настройка: точно такой же модуль на той же государственной инфраструктуре найден на портале Налоговой службы. Совпадение на двух разных ведомствах указывает, что это особенность общей платформы поставщика, а значит, скорее всего, тиражируется и на другие госсайты, построенные на той же основе.
«Анонимно» — с оговоркой
Стоит уточнить и саму «анонимность». В отличие от ряда других госсайтов серии, где аналитика работала вовсе без идентификатора, здесь замер посещения несёт идентификатор посетителя прямо в параметрах запроса. Маскировка IP при этом действительно есть, и она снижает узнаваемость, — но идентификатор посетителя плюс запись его сессии вместе делают слово «анонимно» довольно условным. Точнее было бы сказать «обезличено частично».
По правилам регулятора это требует согласия
И последний пласт. Итальянский регулятор прямо разделяет: технические cookie — одно, а инструменты, которые ведут мониторинг поведения посетителей, — другое, и для них требуется явное согласие. Запись сессии — это ровно мониторинг поведения. Значит, относить её к «техническим, не требующим согласия» средствам неверно по позиции самого регулятора. А на сайте она именно так и работает: запускается автоматически, без баннера, без спроса.
Чего по замеру утверждать нельзя
Несколько честных оговорок. Замер охватывает публичную главную страницу портала; что происходит в разделах после входа, отсюда не видно. Серверную настройку записи сессий сверх того, что видно в замере, я не наблюдаю — вывод о её запуске сделан по самому факту обращения к модулю. Идентификатор посетителя я фиксирую прямо по параметрам запроса. Точные IP-адреса серверов в облегчённой выгрузке не сохранены, но оба домена и так относятся к государственной инфраструктуре.
Вывод
Базовый слой здесь сделан правильно: государственная аналитика, маскировка IP, никакой передачи за рубеж — и это честно отражено в политике. Но поверх него работает запись индивидуальных сессий — клики, курсор, прокрутка, — которой в политике нет вовсе, которая трактуется как не требующая согласия и которая несёт идентификатор посетителя. И находка эта не уникальна: тот же платформенный модуль уже встретился на сайте Налоговой службы. Особая горечь в том, что это сайт ведомства, чья прямая миссия — продвигать культуру кибербезопасности и защиты данных. Главное, что должен вынести читатель: даже агентство, которое учит других беречь данные, на собственном портале записывает поведение посетителей молча — и, судя по всему, не оно одно на этой платформе.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
2b5d113120a6633526bf12401f2460efcbf279b42bad5528d389689dc86eca41Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — acn.gov.it Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта acn.gov.it. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) Политика заявляет, что сайт не использует профилирующих cookie, и описывает аналитику как анонимную агрегированную статистику — число посещённых страниц и время на сайте. В замере же активен отдельный модуль записи сессий: он фиксирует поведение конкретного посетителя — клики, движение курсора, прокрутку — под индивидуальным идентификатором сессии. Это качественно иной уровень данных, чем агрегированный счётчик, и в документе он не упомянут вообще. Тот же самый модуль обнаружен на портале Налоговой службы на той же государственной инфраструктуре Sogei — то есть это особенность общей платформы, а не оплошность одного сайта. 2) По правилам итальянского регулятора мониторинг поведения посетителей — это не технический cookie, а отдельный инструмент отслеживания, для которого требуется согласие. На сайте баннера согласия нет вовсе: и базовая аналитика, и запись сессий трактуются как технические средства, не требующие спроса. Для записи сессий такая трактовка неверна. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-acn-gov-it/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — acn.gov.it To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website acn.gov.it. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) The policy states that the site uses no profiling cookies and describes its analytics as anonymous aggregate statistics — the number of pages visited and time spent on the site. In the capture, however, a separate session-recording module is active: it logs the behaviour of an individual visitor — clicks, cursor movement, scrolling — under a unique session identifier. This is a qualitatively different level of data than an aggregate counter, and the document does not mention it at all. The same module was found on the Revenue Agency portal running on the same Sogei government infrastructure — meaning this is a trait of the shared platform, not the oversight of a single site. 2) Under the Italian regulator's rules, monitoring visitor behaviour is not a technical cookie but a separate tracking tool that requires consent. The site has no consent banner at all: both the basic analytics and the session recording are treated as technical means that require no prompt. For session recording this treatment is incorrect. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-acn-gov-it/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — acn.gov.it 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом acn.gov.it. 2. Обстоятельства Я посетил сайт acn.gov.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) Политика заявляет, что сайт не использует профилирующих cookie, и описывает аналитику как анонимную агрегированную статистику — число посещённых страниц и время на сайте. В замере же активен отдельный модуль записи сессий: он фиксирует поведение конкретного посетителя — клики, движение курсора, прокрутку — под индивидуальным идентификатором сессии. Это качественно иной уровень данных, чем агрегированный счётчик, и в документе он не упомянут вообще. Тот же самый модуль обнаружен на портале Налоговой службы на той же государственной инфраструктуре Sogei — то есть это особенность общей платформы, а не оплошность одного сайта. 2) По правилам итальянского регулятора мониторинг поведения посетителей — это не технический cookie, а отдельный инструмент отслеживания, для которого требуется согласие. На сайте баннера согласия нет вовсе: и базовая аналитика, и запись сессий трактуются как технические средства, не требующие спроса. Для записи сессий такая трактовка неверна. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-acn-gov-it/ 3. Положения GDPR, соблюдение которых прошу проверить Art. 13(1)(e) и Art. 5(1)(a) GDPR — незадекларированная запись сессий; Art. 6(1)(a) GDPR / рекомендации итальянского регулятора — слежка без согласия 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — acn.gov.it 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website acn.gov.it. 2. Circumstances I visited the website acn.gov.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications: 1) The policy states that the site uses no profiling cookies and describes its analytics as anonymous aggregate statistics — the number of pages visited and time spent on the site. In the capture, however, a separate session-recording module is active: it logs the behaviour of an individual visitor — clicks, cursor movement, scrolling — under a unique session identifier. This is a qualitatively different level of data than an aggregate counter, and the document does not mention it at all. The same module was found on the Revenue Agency portal running on the same Sogei government infrastructure — meaning this is a trait of the shared platform, not the oversight of a single site. 2) Under the Italian regulator's rules, monitoring visitor behaviour is not a technical cookie but a separate tracking tool that requires consent. The site has no consent banner at all: both the basic analytics and the session recording are treated as technical means that require no prompt. For session recording this treatment is incorrect. Full technical documentation is published at: https://gdpru.eu/audits/it-acn-gov-it/ 3. GDPR provisions I ask you to examine Art. 13(1)(e) and Art. 5(1)(a) GDPR — undeclared session recording; Art. 6(1)(a) GDPR / Italian regulator's guidance — tracking without consent 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]