Сайт Банка Италии, центрального банка страны. 73 запроса, один домен — ни одного внешнего сервиса. На проверенной главной странице нет ни трекеров, ни cookie. Политика честно предупреждает, что на отдельных функциях сайта есть внешние платформы (YouTube, X, LinkedIn), — но на главной они не активны.
Хронология обращений
Контекст
www.bancaditalia.it — сайт Банка Италии, центрального банка страны. Сделан на собственной системе управления контентом. В замере 73 обращения, и все — к единственному домену. Ответственным за обработку данных политика верно указывает сам Банк Италии. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.
Это ещё один чистый результат — но с важной оговоркой про охват, которую делает сама же политика, поэтому остановлюсь на ней отдельно.
Был ли баннер согласия
На сайте есть собственный модуль уведомления о cookie — его стили и скрипт подгружаются в начале визита. Но за весь сеанс не поставлено ни одного cookie, так что задерживать ему по сути нечего. Это не «баннер, который не работает», а «баннер, которому на главной странице не на что срабатывать».
Полное отсутствие трекеров на проверенной странице
Картина предельно чистая: ни одного внешнего домена, ни одного cookie, ни одного скрипта аналитики за весь сеанс. Даже шрифты — собственные, а логотип YouTube в подвале это просто картинка со ссылкой на канал банка, а не встроенный проигрыватель, который тянул бы за собой инфраструктуру Google. Статистические cookie, которые политика описывает как анонимные и агрегированные, в этом замере вообще не сработали — то есть главная страница максимально аскетична.
Честная политика — и оговорка про другие страницы
Стоит отметить добросовестность самого документа. Политика прямо предупреждает: часть функций сайта живёт на внешних платформах — YouTube/Google, X, LinkedIn, — и эти третьи стороны могут собирать данные, даже если пользователь не пользуется их сервисом. Это редкая по нынешним временам честность: не «у нас всё чисто», а «вот где могут быть третьи стороны, имейте в виду».
Из этого следует и рамка моего вывода. Я проверял главную страницу, и на ней внешних платформ нет вовсе. Но я не могу утверждать, что так же чисто на страницах с встроенными видео или лентами соцсетей, — и сама политика прямо предупреждает, что там третьи стороны вероятны. Так что «чисто» здесь — про проверенную страницу, а не автоматически про весь сайт.
Чего по замеру утверждать нельзя
Несколько честных оговорок. Замер охватывает главную страницу; разделы с видео и соцсетями, о которых предупреждает политика, я не снимал и об их поведении судить не могу. Статистическая обработка, упомянутая в политике, на этой странице не проявилась — возможно, она ведётся серверно или на других разделах. Точные адреса серверов в облегчённой выгрузке не сохранены, но единственный домен и так принадлежит банку.
Вывод
На проверенной главной странице центрального банка — чистый результат: ни внешних сервисов, ни cookie, ни расхождений с политикой. Шрифты свои, аналитика не сработала, баннеру нечего задерживать. И отдельно ценно, что политика не приукрашивает: она сама честно называет страницы, где могут появиться третьи стороны. Главное, что должен вынести читатель: на главной странице Банка Италии о визите не узнаёт никто посторонний — а там, где это может быть иначе, банк честно предупреждает заранее.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
0cbaa32a6394767597bb95b41199a3e707c8cad5d1821f202977e8fd55234275Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — bancaditalia.it Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта bancaditalia.it. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) Прошу предоставить информацию по всем категориям, целям и получателям обработки моих данных на этом сайте — независимо от того, выявлены ли на сегодняшний день какие-либо несоответствия. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-bancaditalia-it/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — bancaditalia.it To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website bancaditalia.it. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) I request information on all categories, purposes, and recipients of my data processed on this site — regardless of whether any non-compliance has been identified to date. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-bancaditalia-it/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]