Технический аудит · 15.06.2026

arera.it

Регулятор энергетики, сетей и окружающей среды Италии

Сайт регулятора энергетики, сетей и окружающей среды Италии (ARERA). 124 запроса, 3 домена. Аналитика — государственная, анонимная, и в cookie-политике она описана. Большинство шрифтов свои. Но иконочный шрифт грузится с серверов Google и уводит IP посетителя в США — прямо вопреки обещанию основной политики, что данные не покидают ЕС.

Хронология обращений

+0–2170 мс · загрузка портала

Портал на TYPO3, на типовой государственной теме. Основные шрифты (roboto, zilla-slab) грузятся со своего домена.

+2172–3556 мс · шрифт Google и аналитика раньше модуля согласия

На +2172 мс уходит запрос за иконочным шрифтом Material Symbols к серверам Google — единственное обращение наружу к Google. Государственная аналитика загружается на +2221 мс и отправляет замер на +3184 мс — причём замер несёт идентификатор посетителя. Модуль управления cookie подключается только на +3541–3556 мс, уже после того, как аналитика отработала.

не применимо

Остальная часть сессии — статические ресурсы темы. Ни одного cookie за весь сеанс.

Декларация против факта

✓ Государственная аналитика Web Analytics Italia (описана в отдельной cookie-политике как анонимная) — заявлен

+ Google Fonts (иконочный шрифт Material Symbols) — передача IP в США, не названа нигде — не заявлен

Зафиксированные трекеры

Государственная аналитика Web Analytics Italia (Matomo) — несёт идентификатор посетителя, описана в cookie-политике
Google Fonts (иконочный шрифт Material Symbols) — передаёт IP в США, нигде не назван

Признаки несоответствия GDPR

Art. 13(1)(f) GDPR — передача IP в США вопреки обещанию «только ЕС»
Основная политика прямо заявляет, что персональные данные обрабатываются в пределах Европейского союза и хранятся на серверах внутри ЕС. При этом сайт подгружает иконочный шрифт Material Symbols напрямую с серверов Google (fonts.googleapis.com), а каждое такое обращение передаёт IP-адрес посетителя в Google — компанию США. Этот сервис не назван ни в основной политике, ни в отдельной cookie-политике. То есть обещание «данные не покидают ЕС» расходится с фактом, и получатель не раскрыт.
Art. 13(1)(e) GDPR — в выгруженном документе раздел о cookie отсутствует
Основная политика отсылает к разделу Cookie Policy «ниже», но в выгруженном документе он отсутствует — текст обрывается на правах субъекта. Справедливости ради: отдельная cookie-политика у сайта всё же есть, она доступна на самом ресурсе и описывает анонимную аналитику. Так что речь о неполноте именно выгрузки, а не об отсутствии раздела как такового.

Контекст

www.arera.it — сайт ARERA, итальянского регулятора в сфере энергетики, сетей и окружающей среды: тарифы на электричество, газ, воду, обращение с отходами. Сделан на TYPO3. В замере 124 обращения к трём доменам: самому сайту, государственной аналитике и серверам шрифтов Google. Ответственным за обработку данных политика верно указывает само ведомство. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.

Сразу отмечу хорошее: основную типографику сайт держит у себя — шрифты roboto и zilla-slab грузятся со своего домена, а не из Google. Наружу к Google уходит только один запрос — за иконочным шрифтом. И именно он создаёт единственную, но настоящую проблему.

Был ли баннер согласия

Модуль управления cookie на сайте есть, но подключается он поздно — на +3541 мс, уже после того, как государственная аналитика отправила свой замер (+3184 мс). Для анонимной государственной статистики, приравненной к техническим средствам, согласие не требуется, поэтому само по себе это не нарушение. Стоит лишь отметить, что замер аналитики несёт идентификатор посетителя, так что «анонимность» здесь, как и на ряде других госсайтов, скорее «обезличенность с маскировкой IP», чем полная безличность.

Что сделано в основном правильно

Аналитика здесь — государственная платформа на национальной инфраструктуре, с маскировкой IP по умолчанию, и ни одного cookie за сеанс она не ставит. И, в отличие от того, что показалось по неполной выгрузке, отдельная cookie-политика у сайта есть: на самом ресурсе она доступна и описывает эту анонимную аналитику как технические cookie, не требующие согласия. То есть аналитический слой и раскрыт, и реализован корректно. Это надо зафиксировать честно.

Google Fonts уводит IP в США — а политика обещает «только ЕС»

А вот единственный реальный изъян. Основная политика содержит недвусмысленное обещание: персональные данные обрабатываются в пределах Европейского союза и хранятся на серверах внутри ЕС. Между тем иконочный шрифт Material Symbols сайт подгружает не со своего сервера, а напрямую с серверов Google. И любое такое обращение передаёт IP-адрес посетителя в Google — американскую компанию.

Тут сходятся два расхождения. Во-первых, это прямо противоречит обещанию, что данные не покидают ЕС. Во-вторых, Google как получатель не назван нигде — ни в основной политике, ни в отдельной cookie-политике. И заметнее всего то, что чинится это элементарно: основную-то типографику сайт уже разместил у себя, так что положить рядом и иконочный шрифт — дело одного шага, после которого последнее обращение к Google исчезнет.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Про маскировку IP в аналитике я опираюсь на её настройку по умолчанию и на cookie-политику; в самом замере виден идентификатор посетителя, но не cookie. Отдельную cookie-политику я читал по доступной публикации, а не выгружал целиком, поэтому ручаюсь за описание анонимной аналитики, но не за исчерпывающий список всех упомянутых там сервисов. Замер охватывает главную страницу; точные адреса серверов в облегчённой выгрузке не сохранены.

Вывод

По сути сайт сделан в основном правильно: государственная анонимная аналитика, описанная в отдельной cookie-политике, и почти вся типографика на своём домене. Единственное, что выбивается, — иконочный шрифт, который тянется с серверов Google и уводит IP посетителя в США, прямо вопреки обещанию политики держать данные в пределах ЕС, и без упоминания где-либо. Изъян маленький и чинится одним движением, но на сайте регулятора, обещающего «только ЕС», даже одна такая утечка — это расхождение слова и дела. Главное, что должен вынести читатель: почти всё здесь честно и по-европейски, кроме одной строки кода, которая отправляет ваш IP за океан.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/www-arera-it-2026-06-15.har

SHA-256: cbdc0449fa27ca6ae788c0517257697ed701059457413b479ff3fb1e0694d728

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — arera.it

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта arera.it.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Основная политика прямо заявляет, что персональные данные обрабатываются в пределах Европейского союза и хранятся на серверах внутри ЕС. При этом сайт подгружает иконочный шрифт Material Symbols напрямую с серверов Google (fonts.googleapis.com), а каждое такое обращение передаёт IP-адрес посетителя в Google — компанию США. Этот сервис не назван ни в основной политике, ни в отдельной cookie-политике. То есть обещание «данные не покидают ЕС» расходится с фактом, и получатель не раскрыт.

2) Основная политика отсылает к разделу Cookie Policy «ниже», но в выгруженном документе он отсутствует — текст обрывается на правах субъекта. Справедливости ради: отдельная cookie-политика у сайта всё же есть, она доступна на самом ресурсе и описывает анонимную аналитику. Так что речь о неполноте именно выгрузки, а не об отсутствии раздела как такового.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-arera-it/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — arera.it

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website arera.it.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The main policy explicitly states that personal data is processed within the European Union and stored on servers inside the EU. Yet the site loads the Material Symbols icon font directly from Google's servers (fonts.googleapis.com), and every such request transmits the visitor's IP address to Google — a US company. This service is named neither in the main policy nor in the separate cookie policy. That is, the promise «data does not leave the EU» diverges from the fact, and the recipient is not disclosed.

2) The main policy refers to the Cookie Policy section «below», but in the exported document it is absent — the text breaks off at the data-subject rights. In fairness: the site does have a separate cookie policy, it is available on the resource itself and describes anonymous analytics. So this is about the incompleteness of the export specifically, not the absence of the section as such.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-arera-it/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — arera.it

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом arera.it.

2. Обстоятельства
Я посетил сайт arera.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Основная политика прямо заявляет, что персональные данные обрабатываются в пределах Европейского союза и хранятся на серверах внутри ЕС. При этом сайт подгружает иконочный шрифт Material Symbols напрямую с серверов Google (fonts.googleapis.com), а каждое такое обращение передаёт IP-адрес посетителя в Google — компанию США. Этот сервис не назван ни в основной политике, ни в отдельной cookie-политике. То есть обещание «данные не покидают ЕС» расходится с фактом, и получатель не раскрыт.

2) Основная политика отсылает к разделу Cookie Policy «ниже», но в выгруженном документе он отсутствует — текст обрывается на правах субъекта. Справедливости ради: отдельная cookie-политика у сайта всё же есть, она доступна на самом ресурсе и описывает анонимную аналитику. Так что речь о неполноте именно выгрузки, а не об отсутствии раздела как такового.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-arera-it/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 13(1)(f) GDPR — передача IP в США вопреки обещанию «только ЕС»; Art. 13(1)(e) GDPR — в выгруженном документе раздел о cookie отсутствует

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — arera.it

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website arera.it.

2. Circumstances
I visited the website arera.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The main policy explicitly states that personal data is processed within the European Union and stored on servers inside the EU. Yet the site loads the Material Symbols icon font directly from Google's servers (fonts.googleapis.com), and every such request transmits the visitor's IP address to Google — a US company. This service is named neither in the main policy nor in the separate cookie policy. That is, the promise «data does not leave the EU» diverges from the fact, and the recipient is not disclosed.

2) The main policy refers to the Cookie Policy section «below», but in the exported document it is absent — the text breaks off at the data-subject rights. In fairness: the site does have a separate cookie policy, it is available on the resource itself and describes anonymous analytics. So this is about the incompleteness of the export specifically, not the absence of the section as such.

Full technical documentation is published at: https://gdpru.eu/audits/it-arera-it/

3. GDPR provisions I ask you to examine
Art. 13(1)(f) GDPR — transmission of the IP to the USA against the «EU only» promise; Art. 13(1)(e) GDPR — the cookie section is absent from the exported document

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]