agenziaentrate.gov.it

Контекст

www.agenziaentrate.gov.it — портал Agenzia delle Entrate, налогового ведомства Италии. Сделан на платформе Liferay. В замере всего 81 обращение к двум доменам: самому порталу и государственной аналитической инфраструктуре поставщика Sogei. Стоит сразу отдать должное: здесь нет ни Google, ни YouTube, ни виджетов соцсетей, ни передачи данных за рубеж — всё держится на государственной инфраструктуре. По этому критерию портал заметно чище многих.

Отдельно отмечу про сам документ. Живую страницу политики прочитать «в лоб» не удалось — сайт блокирует автоматический доступ защитой от ботов. Поэтому текст я сверял по официальной публикации политики и по выгрузке с сайта Wayback Machine (web.archive.org): обе версии совпадают дословно, так что формулировки ниже точны. Политика распространяется на список сайтов и приложений Агентства и называет компанию Sogei ответственной за обработку данных навигации.

И вот при такой внешней чистоте главная проблема — внутри: то, что сайт делает с посетителем, в политике не описано.

Был ли баннер согласия — и когда

Баннер есть, но к моменту его появления отслеживание уже работает.

• +0,35 сек — загружается скрипт государственной аналитики.
• +0,46 сек — уходит замер посещения.
• +0,462 сек — запускается модуль записи сессии для конкретного идентификатора.
• +0,554 сек — и только теперь подгружается код cookie-баннера.

Разрыв небольшой по времени — меньше ста миллисекунд, — но принципиальный: и аналитика, и запись поведения стартуют раньше, чем на странице вообще появляется механизм согласия. То есть к моменту, когда посетителю можно было бы что-то предложить, его сессия уже записывается.

Сайт записывает сессию — а политика обещает только анонимную статистику

Это сердцевина разбора. Политика описывает аналитику строго как сбор сведений «в агрегированной форме» — сколько всего посетителей и как они в целом ходят по сайту, — и отдельной фразой отрицает профилирование.

Но в замере работает не агрегированный счётчик. Там активен модуль записи сессий и тепловых карт — инструмент, который фиксирует поведение конкретного посетителя: куда он кликнул, как двигал курсором, как прокручивал страницу, — и привязывает это к индивидуальному идентификатору. По своей природе это противоположность «агрегированному и анонимному»: агрегат не хранит отдельные сессии, а запись сессии только этим и занимается. В документе про эту функциональность нет ни слова.

Важная деталь, что это не разовый сбой: точно такой же модуль на той же государственной инфраструктуре обнаружен и на сайте Агентства кибербезопасности. То есть это системная особенность платформы поставщика, а не оплошность одного портала, — и, скорее всего, она же тиражируется на другие госсайты на той же основе.

Слежка без единого cookie

Самое любопытное — как именно это сделано. За весь сеанс сайт не установил ни одного cookie. Ноль. И тут возникает ловушка: вся политика построена вокруг слова «cookie» — она обещает, что cookie не используются для профилирования и не передают личных данных. По букве это даже правда: cookie действительно нет.

Но отслеживание-то идёт. Просто не через cookie, а напрямую — через идентификатор посетителя и отпечаток браузера, которые передаются прямо в теле запроса при каждом замере. Получается, обещания политики формально соблюдены, потому что они касаются только cookie, — а реальная слежка просто обходит ту самую сущность, о которой политика говорит. Для обычного читателя это и есть подвох: ему рассказывают про cookie, чтобы успокоить, пока отслеживание происходит мимо cookie.

Что именно уходит в замере

Чтобы не быть голословным — вот что улетает на сервер вместе с фактом посещения: идентификатор посетителя, разрешение экрана, тип сетевого соединения и подробный список версий браузера и системы. Это уже не безличная единица в счётчике, а узнаваемый профиль устройства. Политика же отдельно заявляет, что сведения личного характера не передаются. Можно спорить, насколько такой профиль «личный» после обезличивания, — но передаётся явно больше, чем нужно для простого подсчёта голов.

По правилам регулятора это требует согласия

И ещё один пласт. Итальянский регулятор в своих рекомендациях прямо разделяет: технические cookie — это одно, а инструменты, которые ведут анализ и мониторинг поведения посетителей, — другое, и для них требуется явное согласие пользователя. Запись сессии — это ровно мониторинг поведения. Значит, относить её к «техническим, не требующим согласия» средствам неверно уже по позиции самого регулятора. А на сайте она именно так и работает: запускается автоматически, до баннера, без спроса.

Почему для налогового ведомства это серьёзнее

Замер снят с публичной главной страницы, и записанная сессия здесь — это поведение анонимного гостя на витрине. Но держим в уме контекст: это налоговое ведомство. Если тот же модуль записи сессий настроен и на страницах, куда заходят уже авторизованные пользователи со своими налоговыми данными, ценность и чувствительность такой записи становится принципиально иной. Подчеркну честно: по этому замеру я вижу только главную страницу и не могу утверждать, что запись включена и в личном кабинете. Но именно поэтому такую находку на таком ведомстве нельзя считать мелочью — её стоит проверить отдельно на авторизованных разделах.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Замер охватывает только публичную главную страницу — что происходит после входа в личный кабинет, отсюда не видно. Сроки жизни хранимых данных назвать нельзя, но в данном случае это и неважно: cookie не ставятся вовсе. Исходного кода скриптов у меня нет — выводы о запуске записи сделаны по самим запросам в замере. И, как сказано выше, живой текст политики читался не напрямую (доступ заблокирован защитой от ботов), а по совпадающим официальной публикации и выгрузке.

Вывод

Снаружи портал выглядит образцово: никаких сторонних трекеров, ничего за пределами государственной инфраструктуры. Но именно поэтому главная находка тем заметнее. Политика обещает только анонимную агрегированную статистику и отрицает профилирование — а сайт записывает индивидуальную сессию посетителя: клики, курсор, прокрутку. Делает это раньше, чем появляется баннер, и без единого cookie — обходя ту самую сущность, вокруг которой построена вся политика. По правилам регулятора такой мониторинг поведения требует согласия, которого здесь не спрашивают. Главное, что должен вынести читатель: отсутствие сторонних трекеров — не то же самое, что отсутствие слежки, и в данном случае слежка просто переехала туда, где политика её не ищет.