Сайт Итальянского агентства по лекарственным средствам (AIFA). 73 запроса, 3 домена. Политика прямо обещает, что используется только государственная аналитика и никаких других методов трекинга. Фактически один и тот же визит одновременно пишут два независимых счётчика — национальный и собственный Piwik агентства, не упомянутый в документе. За рубеж при этом не уходит ничего.
Хронология обращений
Декларация против факта
Зафиксированные трекеры
- Государственная аналитика Web Analytics Italia — несёт идентификатор посетителя
- Собственный Piwik AIFA (servizionline.aifa.gov.it) — второй счётчик, в политике не упомянут
Признаки несоответствия GDPR
- Art. 13(1)(e) и Art. 5(1)(a) GDPR — два счётчика вместо обещанного одногоПолитика категорично называет единственным инструментом аналитики государственную платформу Web Analytics Italia и дословно заявляет: «другие методы трекинга и профилирования не используются». В замере же параллельно с ней работает второй, отдельный счётчик — собственный Piwik AIFA на поддомене servizionline.aifa.gov.it. Оба фиксируют один и тот же визит, в одну и ту же миллисекунду, и каждый несёт идентификатор посетителя. Второй инструмент в документе не упомянут вообще, что прямо опровергает фразу про «отсутствие других методов».
Контекст
www.aifa.gov.it — сайт Итальянского агентства по лекарственным средствам (AIFA), регулятора в сфере медикаментов. Сделан на платформе Liferay. В замере 73 обращения к трём доменам: самому сайту, его же поддомену с аналитикой и государственной аналитической платформе. Ответственным за обработку данных политика верно указывает само агентство. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.
У этого сайта чувствительная аудитория: люди приходят сюда читать про лекарства, и то, какие именно страницы о препаратах человек открывает, способно косвенно говорить о его здоровье. Поэтому точность в том, кто и как считает посетителей, тут важнее обычного.
Был ли баннер согласия
На сайте есть cookie-бар — его оформление загружается вместе со страницей. Но аналитику он не задерживает: счётчики отрабатывают независимо от него. Для государственной анонимной статистики, приравненной к техническим средствам, согласие и не требуется. Так что проблема здесь не в баннере и не в тайминге, а в том, сколько счётчиков на самом деле работает и совпадает ли это с обещанием политики.
Один и тот же визит — записан дважды
Главная находка проста и наглядна. В один и тот же момент, на +1350 мс, сайт отправляет два разных замера одного и того же посещения: один — в национальную государственную платформу Web Analytics Italia, второй — в собственный счётчик агентства на его поддомене (это Piwik, прежнее название той же системы Matomo). Два независимых инструмента аналитики фиксируют один визит параллельно.
Политика обещала только один инструмент — и «ничего больше»
А вот здесь расхождение. Политика не просто называет государственную платформу основным инструментом — она категорично добавляет, что других методов трекинга и профилирования не применяется. Это закрытая формулировка, не оставляющая места для второго счётчика. Между тем второй счётчик есть, работает на каждом визите и в документе не упомянут ни словом.
Скорее всего, за этим нет злого умысла: больше всего это похоже на старый собственный счётчик, который остался работать после перехода агентства на новую национальную платформу, — его просто забыли отключить. Но для пользователя и для буквы документа это не так уж важно: политика прямо утверждает, что других методов нет, а они есть. Обещание и факт расходятся.
«Анонимно» и «без профилирования» — с оговоркой
Стоит уточнить и про анонимность. Оба замера несут идентификатор посетителя — метку, по которой человека можно узнавать между визитами. Маскировка IP и агрегированное использование могут удерживать это в рамках технической статистики, но постоянный идентификатор, да ещё в двух системах сразу, плохо вяжется с прямым обещанием «никакого профилирования». Точнее было бы сказать, что обезличивание тут частичное.
Куда уходят данные — никуда за рубеж
Важный плюс, который надо назвать. Оба счётчика — государственные и первопартийные: один на инфраструктуре самого агентства, другой на национальной платформе. Ни Google, ни соцсетей, ни иностранных получателей в этом визите нет, и за пределы страны не уходит ничего. Сервис Google для приложения, упомянутый в политике, касается только мобильного приложения и только при подписке на уведомления — на самом сайте он не задействован.
Чего по замеру утверждать нельзя
Несколько честных оговорок. Версию про «забытый при миграции старый счётчик» я предлагаю как наиболее правдоподобное объяснение, но по замеру намерение не определяется — я фиксирую сам факт двойного учёта. Содержимое замеров уходит в теле запроса, которое в облегчённой выгрузке сохранено не полностью; идентификатор посетителя при этом виден прямо в параметрах. Замер охватывает главную страницу. Оба домена государственные, поэтому вопрос географии серверов здесь не стоит.
Вывод
Куда уходят данные — тут всё в порядке: только государственная инфраструктура, ничего за рубеж. Но категоричное обещание политики — «используется только государственная аналитика и никаких других методов трекинга» — прямо опровергается фактом: на сайте параллельно работают два независимых счётчика, и каждый несёт идентификатор посетителя. Вероятнее всего, это наследие миграции, а не умысел, — но на сайте агентства по лекарствам, где прочитанные страницы могут косвенно говорить о здоровье, расхождение между «считаем вас одним заявленным способом» и «на деле двумя, и один не назван» — именно та неточность, которая имеет значение.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
8af53d3b77403b6228435b7662acc7962db3a5d769baa8896cbebe9dc381ba56Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — aifa.gov.it Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта aifa.gov.it. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) Политика категорично называет единственным инструментом аналитики государственную платформу Web Analytics Italia и дословно заявляет: «другие методы трекинга и профилирования не используются». В замере же параллельно с ней работает второй, отдельный счётчик — собственный Piwik AIFA на поддомене servizionline.aifa.gov.it. Оба фиксируют один и тот же визит, в одну и ту же миллисекунду, и каждый несёт идентификатор посетителя. Второй инструмент в документе не упомянут вообще, что прямо опровергает фразу про «отсутствие других методов». 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-aifa-gov-it/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — aifa.gov.it To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website aifa.gov.it. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) The policy categorically names the government platform Web Analytics Italia as the sole analytics tool and states verbatim: «other tracking and profiling methods are not used». In the capture, however, a second, separate counter works in parallel with it — AIFA's own Piwik on the subdomain servizionline.aifa.gov.it. Both record the same visit, in the same millisecond, and each carries the visitor identifier. The second tool is not mentioned in the document at all, which directly refutes the phrase about the «absence of other methods». 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-aifa-gov-it/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — aifa.gov.it 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом aifa.gov.it. 2. Обстоятельства Я посетил сайт aifa.gov.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) Политика категорично называет единственным инструментом аналитики государственную платформу Web Analytics Italia и дословно заявляет: «другие методы трекинга и профилирования не используются». В замере же параллельно с ней работает второй, отдельный счётчик — собственный Piwik AIFA на поддомене servizionline.aifa.gov.it. Оба фиксируют один и тот же визит, в одну и ту же миллисекунду, и каждый несёт идентификатор посетителя. Второй инструмент в документе не упомянут вообще, что прямо опровергает фразу про «отсутствие других методов». Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-aifa-gov-it/ 3. Положения GDPR, соблюдение которых прошу проверить Art. 13(1)(e) и Art. 5(1)(a) GDPR — два счётчика вместо обещанного одного 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — aifa.gov.it 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website aifa.gov.it. 2. Circumstances I visited the website aifa.gov.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications: 1) The policy categorically names the government platform Web Analytics Italia as the sole analytics tool and states verbatim: «other tracking and profiling methods are not used». In the capture, however, a second, separate counter works in parallel with it — AIFA's own Piwik on the subdomain servizionline.aifa.gov.it. Both record the same visit, in the same millisecond, and each carries the visitor identifier. The second tool is not mentioned in the document at all, which directly refutes the phrase about the «absence of other methods». Full technical documentation is published at: https://gdpru.eu/audits/it-aifa-gov-it/ 3. GDPR provisions I ask you to examine Art. 13(1)(e) and Art. 5(1)(a) GDPR — two counters instead of the one promised 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]