Технический аудит · 15.06.2026

adiconsum.it

Ассоциация защиты потребителей и окружающей среды

Итальянская ассоциация защиты прав потребителей. 125 запросов, 3 домена. Сайт обращается к Google и LiveChat в первую секунду, до согласия — хотя в этом замере оба скрипта вернули ошибку и не запустились. Но контейнер Google живой, то есть для обычного посетителя слежка отработала бы. А политика 2021 года обещает, что данные за рубеж не передаются, и не называет ни одного из этих сервисов.

Хронология обращений

+0–518 мс · загрузка сайта на WordPress

Сайт на WordPress с конструктором Elementor. Весь основной код, шрифты и стили — со своего домена.

+519 мс · скрипты согласия загружены, но трекеры не остановлены

На +519 мс подгружаются скрипты плагина управления согласием. Но дальнейшие обращения к внешним сервисам они не блокируют, и ни одного следа зафиксированного решения пользователя в замере нет. То есть механизм согласия на сайте формально присутствует, но реально не перекрывает сторонние вызовы.

+649–752 мс · обращения к Google и LiveChat

На +649 мс уходит вызов к Google Tag Manager, на +752 мс — к LiveChat. Оба до любого взаимодействия с баннером. В этом замере оба вернули ошибку 403, тело скриптов не пришло — но запрос с IP-адресом посетителя на иностранные серверы уже состоялся.

Декларация против факта

+ Google Tag Manager (контейнер GTM-WJD9NQ5) — не заявлен

+ LiveChat (сервис онлайн-чата) — не заявлен

Зафиксированные трекеры

Google Tag Manager (контейнер живой, в этом замере вернул 403)
LiveChat (в этом замере вернул 403)

Признаки несоответствия GDPR

Art. 5(1)(a) и Art. 13(1)(f) GDPR — передача за рубеж, которую отрицают
Политика прямо обещает: данные за рубеж не передаются. Но при открытии страницы браузер сам обращается к серверам Google (США) и к сервису LiveChat, передавая им IP-адрес посетителя — ещё до какого-либо согласия. Даже несмотря на то, что в этом замере оба ответа вернулись с ошибкой 403 и сами скрипты не загрузились, сам запрос до иностранного сервера уже дошёл, а с ним и IP. Обещание «за рубеж не передаём» расходится уже на уровне самого факта обращения.
Art. 13(1)(e) GDPR — получатели не названы
Ни Google Tag Manager, ни LiveChat в политике не упомянуты. Документ говорит лишь об обобщённых «третьих лицах и получателях», не называя ни одного конкретного сервиса, которому уходят данные.
Рекомендации итальянского регулятора по cookie — трекеры выше согласия
Сайт устроен так, что вызовы к Google Tag Manager (+649 мс) и LiveChat (+752 мс) уходят сразу при открытии страницы, до любого взаимодействия с баннером. Плагин управления согласием загружает свои скрипты, но фактически не блокирует эти обращения. То, что в данном замере трекеры вернули 403 и не запустились, — случайность сессии, а не работа механизма согласия: сам контейнер Google Tag Manager на момент аудита живой и отдаёт рабочий код.

Контекст

Adiconsum — итальянская ассоциация защиты прав потребителей и окружающей среды со штаб-квартирой в Риме. Сайт сделан на WordPress с конструктором Elementor. В замере 125 обращений к трём доменам: самому сайту и двум внешним сервисам. И сразу бросается в глаза ирония: организация, чья прямая миссия — защищать права потребителей, в том числе цифровые, сама обращается с данными своих посетителей не так, как обещает на бумаге.

Был ли баннер согласия

Механизм согласия на сайте есть — это плагин для WordPress, чьи скрипты подгружаются на +519 мс. Но работает он только на бумаге. Дальнейшие обращения к внешним сервисам он не перекрывает: вызовы к Google и LiveChat уходят уже после загрузки этого плагина, и никакого следа того, что пользователь что-то выбрал, в замере нет. Иными словами, баннер согласия формально присутствует в коде, но реально не выполняет свою единственную задачу — не задерживает сторонние трекеры до выбора пользователя.

Что на самом деле произошло с трекерами

Здесь нужна точность, потому что на первый взгляд можно сделать неверный вывод в любую сторону. Факты замера такие: на +649 мс браузер обратился к Google Tag Manager, на +752 мс — к LiveChat. Оба обращения — раньше, чем посетитель мог как-то отреагировать на баннер.

Но оба ответа вернулись с ошибкой 403, и тело скриптов не пришло. Значит, в этой конкретной сессии сами трекеры не запустились: ни одного тега не сработало, ни одного следящего cookie не поставилось. Делать вид, что слежка тут вовсю работала, было бы преувеличением — в этом замере она именно что не сработала.

Но контейнер живой — и это меняет вывод

Чтобы понять, случайность это или сайт действительно не следит, я проверил контейнер Google напрямую, уже в ходе аудита. Контейнер GTM-WJD9NQ5 оказался живым: он отдаёт рабочий код. Это важный поворот. Значит, ошибка 403 в замере — это особенность той конкретной сессии (что-то заблокировало загрузку на стороне снятия), а вовсе не признак того, что трекер мёртв или отключён. Для обычного посетителя, у которого ничего не блокирует загрузку, этот же контейнер загрузился бы и отработал — со всеми тегами, которые в него заложены. То есть сайт настроен следить по-настоящему; данный замер просто поймал сессию, где загрузка сорвалась.

Что именно зашито внутрь контейнера — отсюда не видно: чтобы это узнать, код контейнера нужно исполнить, а по статичному замеру он не раскрывается. Поэтому я не утверждаю, какие конкретно теги (аналитика, реклама) он запускает, — только то, что он жив и предназначен работать.

Передача за рубеж, которую политика отрицает

Политика, обновлённая в сентябре 2021 года, прямо обещает: данные за рубеж не передаются. Реальность расходится с этим уже на уровне самого обращения. Даже при ошибке 403 запрос до серверов Google в США и до LiveChat успел дойти, а вместе с ним ушёл и IP-адрес посетителя — а IP по тому же GDPR относится к персональным данным. Добавим, что ни Google, ни LiveChat в политике не названы вовсе: документ ограничивается обтекаемой формулировкой про «третьих лиц и получателей» без единого конкретного имени.

Политика — устаревшая и общая

В отличие от аккуратных госсайтов, здесь нет ни таблицы cookie, ни имён, ни сроков жизни, ни назначений — только общее объяснение, что такое cookie в принципе. Документ датирован 2021 годом, тогда как нынешний набор плагинов на сайте заметно новее. Это само по себе говорит, что политику давно не сопровождают и не сверяют с тем, что реально установлено на сайте.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Во-первых, я не знаю причину ошибки 403 в замере — это мог быть сетевой блок, региональное ограничение или особенность среды снятия; по самому замеру причина не определяется. Во-вторых, я не вижу, какие теги заложены внутрь контейнера Google, — для этого его нужно исполнить. В-третьих, замер охватывает только главную страницу, а в этой облегчённой выгрузке не сохранены IP-адреса серверов, так что географию обращений я беру по принадлежности доменов, а не по адресам.

Вывод

Стек слежки тут минимальный — всего два внешних сервиса, и в этом замере оба вообще не запустились из-за ошибки. Соблазнительно было бы на этом успокоиться, но это была бы половина правды. Сайт устроен так, что обращается к Google и LiveChat в первую же секунду, до согласия; плагин согласия эти вызовы не перекрывает; контейнер Google на момент аудита живой и настроен работать; ни один из сервисов в политике не назван; а сама политика обещает то, что нарушается уже фактом обращения, — что данные не уходят за рубеж. Для организации, которая защищает права потребителей, разрыв между написанным и построенным — самая показательная часть разбора.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/adiconsum-it-2026-06-15.har

SHA-256: 46b029c3ecf900ab76235dd3399ddfd72bc9d8a2b129ffc83a0b578dbafa7795

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — adiconsum.it

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта adiconsum.it.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Политика прямо обещает: данные за рубеж не передаются. Но при открытии страницы браузер сам обращается к серверам Google (США) и к сервису LiveChat, передавая им IP-адрес посетителя — ещё до какого-либо согласия. Даже несмотря на то, что в этом замере оба ответа вернулись с ошибкой 403 и сами скрипты не загрузились, сам запрос до иностранного сервера уже дошёл, а с ним и IP. Обещание «за рубеж не передаём» расходится уже на уровне самого факта обращения.

2) Ни Google Tag Manager, ни LiveChat в политике не упомянуты. Документ говорит лишь об обобщённых «третьих лицах и получателях», не называя ни одного конкретного сервиса, которому уходят данные.

3) Сайт устроен так, что вызовы к Google Tag Manager (+649 мс) и LiveChat (+752 мс) уходят сразу при открытии страницы, до любого взаимодействия с баннером. Плагин управления согласием загружает свои скрипты, но фактически не блокирует эти обращения. То, что в данном замере трекеры вернули 403 и не запустились, — случайность сессии, а не работа механизма согласия: сам контейнер Google Tag Manager на момент аудита живой и отдаёт рабочий код.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-adiconsum-it/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — adiconsum.it

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website adiconsum.it.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The policy explicitly promises: data is not transferred abroad. But when the page opens, the browser itself reaches out to Google's servers (USA) and to the LiveChat service, passing them the visitor's IP address — before any consent. Even though in this capture both responses came back with a 403 error and the scripts themselves did not load, the request had already reached the foreign server, and with it the IP. The promise of «we do not transfer abroad» already breaks down at the level of the request itself.

2) Neither Google Tag Manager nor LiveChat is mentioned in the policy. The document speaks only of generic «third parties and recipients», without naming a single specific service to which data goes.

3) The site is built so that the calls to Google Tag Manager (+649 ms) and LiveChat (+752 ms) go out immediately when the page opens, before any interaction with the banner. The consent-management plugin loads its scripts but does not actually block these calls. The fact that in this capture the trackers returned 403 and did not run is a chance of the session, not the work of a consent mechanism: the Google Tag Manager container itself is live at the time of the audit and serves working code.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-adiconsum-it/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — adiconsum.it

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом adiconsum.it.

2. Обстоятельства
Я посетил сайт adiconsum.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Политика прямо обещает: данные за рубеж не передаются. Но при открытии страницы браузер сам обращается к серверам Google (США) и к сервису LiveChat, передавая им IP-адрес посетителя — ещё до какого-либо согласия. Даже несмотря на то, что в этом замере оба ответа вернулись с ошибкой 403 и сами скрипты не загрузились, сам запрос до иностранного сервера уже дошёл, а с ним и IP. Обещание «за рубеж не передаём» расходится уже на уровне самого факта обращения.

2) Ни Google Tag Manager, ни LiveChat в политике не упомянуты. Документ говорит лишь об обобщённых «третьих лицах и получателях», не называя ни одного конкретного сервиса, которому уходят данные.

3) Сайт устроен так, что вызовы к Google Tag Manager (+649 мс) и LiveChat (+752 мс) уходят сразу при открытии страницы, до любого взаимодействия с баннером. Плагин управления согласием загружает свои скрипты, но фактически не блокирует эти обращения. То, что в данном замере трекеры вернули 403 и не запустились, — случайность сессии, а не работа механизма согласия: сам контейнер Google Tag Manager на момент аудита живой и отдаёт рабочий код.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-adiconsum-it/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 5(1)(a) и Art. 13(1)(f) GDPR — передача за рубеж, которую отрицают; Art. 13(1)(e) GDPR — получатели не названы; Рекомендации итальянского регулятора по cookie — трекеры выше согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — adiconsum.it

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website adiconsum.it.

2. Circumstances
I visited the website adiconsum.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The policy explicitly promises: data is not transferred abroad. But when the page opens, the browser itself reaches out to Google's servers (USA) and to the LiveChat service, passing them the visitor's IP address — before any consent. Even though in this capture both responses came back with a 403 error and the scripts themselves did not load, the request had already reached the foreign server, and with it the IP. The promise of «we do not transfer abroad» already breaks down at the level of the request itself.

2) Neither Google Tag Manager nor LiveChat is mentioned in the policy. The document speaks only of generic «third parties and recipients», without naming a single specific service to which data goes.

3) The site is built so that the calls to Google Tag Manager (+649 ms) and LiveChat (+752 ms) go out immediately when the page opens, before any interaction with the banner. The consent-management plugin loads its scripts but does not actually block these calls. The fact that in this capture the trackers returned 403 and did not run is a chance of the session, not the work of a consent mechanism: the Google Tag Manager container itself is live at the time of the audit and serves working code.

Full technical documentation is published at: https://gdpru.eu/audits/it-adiconsum-it/

3. GDPR provisions I ask you to examine
Art. 5(1)(a) and Art. 13(1)(f) GDPR — a transfer abroad that is denied; Art. 13(1)(e) GDPR — recipients not named; Italian regulator's cookie guidance — trackers above consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]