Сайт городской метрополии Милана. 65 запросов, 5 доменов. Аналитика — государственная, анонимная, и в отдельной cookie-политике она названа. Но основная политика категорично обещает не передавать данные за пределы ЕЭЗ — а шрифты Google уводят IP посетителя в США, причём полными семействами и нигде не названные.
Хронология обращений
Декларация против факта
Зафиксированные трекеры
- Государственная аналитика Web Analytics Italia (Matomo) — несёт идентификатор посетителя, названа в cookie-политике
- Google Fonts (полные семейства Roboto и др.) — передают IP в США, нигде не названы
Признаки несоответствия GDPR
- Art. 13(1)(f) и Art. 44 GDPR — передача IP в США вопреки обещанию «только ЕЭЗ»Основная политика прямо и категорично заявляет: «данные не передаются в третьи страны за пределы Европейской экономической зоны». При этом шрифты (Roboto и другие семейства) подгружаются напрямую с серверов Google — и описание стилей, и сами файлы шрифтов, — а каждое такое обращение передаёт IP-адрес посетителя в Google, компанию США. Google Fonts не назван ни в основной политике, ни в отдельной cookie-странице. Это прямое расхождение обещания с фактом. Именно такую практику — подгрузку шрифтов Google с серверов Google — европейские суды уже признавали неправомерной передачей IP-адреса.
- Art. 13(1)(e) GDPR — в выгруженном документе раздел о cookie отсутствуетОсновная политика не содержит ни слова о cookie. Справедливости ради: у сайта есть отдельная cookie-страница, доступная на самом ресурсе, и в ней государственная аналитика Web Analytics Italia названа и описана как анонимная. Так что аналитика по сути раскрыта — пробел в выгрузке, а не на сайте. Не раскрыт нигде только Google Fonts.
Контекст
www.cittametropolitana.mi.it — сайт городской метрополии Милана, уровня местного самоуправления между регионом и муниципалитетами. Сделан на устаревшей системе OpenCms с характерной легаси-структурой адресов. В замере 65 обращений к пяти доменам: самому сайту и его служебному поддомену, государственной аналитике и серверам шрифтов Google. Ответственным за обработку данных политика верно указывает саму метрополию. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.
Это снова знакомый по серии случай, и снова с уточнением в пользу точности, которое всплыло при сверке с живым сайтом.
Был ли баннер согласия
Баннера согласия нет. Государственная анонимная аналитика по итальянским правилам приравнена к техническим средствам и согласия не требует, так что само по себе отсутствие баннера здесь не нарушение. Стоит лишь отметить, что замер аналитики несёт идентификатор посетителя, поэтому «анонимность» тут, как и на ряде других госсайтов, означает скорее обезличивание с маскировкой IP, чем полную безличность. А вот шрифты Google при этом грузятся безусловно, ни от какого согласия не завися.
Что выяснилось про политику
Здесь важная поправка к первому впечатлению. Выгруженный документ — основная политика — действительно не содержит ни слова о cookie. Но это не значит, что раздела нет вовсе: у сайта есть отдельная cookie-страница, доступная на самом ресурсе, и в ней государственная аналитика Web Analytics Italia названа прямо и описана как анонимная статистика, приравненная к техническим cookie. То есть аналитический слой и раскрыт, и реализован корректно — пробел был в выгрузке, а не на сайте. Это надо зафиксировать честно, чтобы не записать в нарушения то, что на деле раскрыто.
Google Fonts уводит IP в США — а политика обещает «только ЕЭЗ»
А вот это — настоящий и подтверждённый изъян. Основная политика содержит категоричное обещание: данные не передаются в третьи страны за пределы Европейской экономической зоны. Между тем шрифты сайт подгружает не со своего сервера, а напрямую с серверов Google — причём по полной программе: и описание стилей шрифтов, и сами файлы семейств (Roboto и другие). А любое такое обращение передаёт IP-адрес посетителя в Google, американскую компанию.
Тут два совпавших расхождения. Во-первых, это прямо противоречит обещанию держать данные в пределах ЕЭЗ. Во-вторых, Google как получатель не назван нигде — ни в основной политике, ни в отдельной cookie-странице. И это не теоретическая придирка: европейские суды уже выносили решения, что именно такая подгрузка шрифтов Google с его серверов — это неправомерная передача IP-адреса пользователя, и единственный законный путь в отсутствие согласия — положить шрифты на свой сервер. Здесь же они тянутся из Google полными семействами.
Чего по замеру утверждать нельзя
Несколько честных оговорок. Отдельную cookie-страницу я читал по доступной публикации, а не выгружал целиком, поэтому ручаюсь, что государственная аналитика там названа, но не могу со стопроцентной полнотой утверждать, что Google Fonts не упомянут вообще нигде в её тексте — в той части, что я видел, его нет. Про маскировку IP в аналитике я опираюсь на её настройку по умолчанию; в замере виден идентификатор посетителя, но не cookie. Замер охватывает главную страницу; точные адреса серверов в облегчённой выгрузке не сохранены.
Вывод
Как и в случае с регулятором энергетики из этой серии, первое впечатление пришлось уточнить: государственная аналитика на самом деле раскрыта — на отдельной cookie-странице, которой не было в выгрузке. Но категоричное обещание основной политики — «данные не покидают ЕЭЗ» — прямо опровергается шрифтами Google, которые уводят IP посетителя в США, причём полными семействами и без единого упоминания где-либо. Изъян по объёму невелик и чинится одним движением — переносом шрифтов на свой сервер, — но это именно то расхождение слова и дела, на которое уже есть судебная практика в Европе. Главное, что должен вынести читатель: почти всё здесь по-европейски и раскрыто честно, кроме шрифтов, которые молча отправляют ваш IP за океан вопреки прямому обещанию обратного.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
cb1d7f07da2d6c4ab2a78bb111654240fe4a48492ff8ae82305994cf0c61134cХотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — cittametropolitana.mi.it Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта cittametropolitana.mi.it. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) Основная политика прямо и категорично заявляет: «данные не передаются в третьи страны за пределы Европейской экономической зоны». При этом шрифты (Roboto и другие семейства) подгружаются напрямую с серверов Google — и описание стилей, и сами файлы шрифтов, — а каждое такое обращение передаёт IP-адрес посетителя в Google, компанию США. Google Fonts не назван ни в основной политике, ни в отдельной cookie-странице. Это прямое расхождение обещания с фактом. Именно такую практику — подгрузку шрифтов Google с серверов Google — европейские суды уже признавали неправомерной передачей IP-адреса. 2) Основная политика не содержит ни слова о cookie. Справедливости ради: у сайта есть отдельная cookie-страница, доступная на самом ресурсе, и в ней государственная аналитика Web Analytics Italia названа и описана как анонимная. Так что аналитика по сути раскрыта — пробел в выгрузке, а не на сайте. Не раскрыт нигде только Google Fonts. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-cittametropolitana-mi-it/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — cittametropolitana.mi.it To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website cittametropolitana.mi.it. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) The main policy explicitly and categorically states: «data is not transferred to third countries outside the European Economic Area». Yet the fonts (Roboto and other families) are loaded directly from Google's servers — both the style description and the font files themselves — and every such request transmits the visitor's IP address to Google, a US company. Google Fonts is named neither in the main policy nor on the separate cookie page. This is a direct divergence of promise from fact. It is precisely this practice — loading Google fonts from Google's servers — that European courts have already found to be an unlawful transfer of the IP address. 2) The main policy contains not a word about cookies. In fairness: the site has a separate cookie page, available on the resource itself, and on it the Web Analytics Italia government analytics is named and described as anonymous. So the analytics is essentially disclosed — the gap is in the export, not on the site. The only thing disclosed nowhere is Google Fonts. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-cittametropolitana-mi-it/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — cittametropolitana.mi.it 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом cittametropolitana.mi.it. 2. Обстоятельства Я посетил сайт cittametropolitana.mi.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) Основная политика прямо и категорично заявляет: «данные не передаются в третьи страны за пределы Европейской экономической зоны». При этом шрифты (Roboto и другие семейства) подгружаются напрямую с серверов Google — и описание стилей, и сами файлы шрифтов, — а каждое такое обращение передаёт IP-адрес посетителя в Google, компанию США. Google Fonts не назван ни в основной политике, ни в отдельной cookie-странице. Это прямое расхождение обещания с фактом. Именно такую практику — подгрузку шрифтов Google с серверов Google — европейские суды уже признавали неправомерной передачей IP-адреса. 2) Основная политика не содержит ни слова о cookie. Справедливости ради: у сайта есть отдельная cookie-страница, доступная на самом ресурсе, и в ней государственная аналитика Web Analytics Italia названа и описана как анонимная. Так что аналитика по сути раскрыта — пробел в выгрузке, а не на сайте. Не раскрыт нигде только Google Fonts. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-cittametropolitana-mi-it/ 3. Положения GDPR, соблюдение которых прошу проверить Art. 13(1)(f) и Art. 44 GDPR — передача IP в США вопреки обещанию «только ЕЭЗ»; Art. 13(1)(e) GDPR — в выгруженном документе раздел о cookie отсутствует 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — cittametropolitana.mi.it 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website cittametropolitana.mi.it. 2. Circumstances I visited the website cittametropolitana.mi.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications: 1) The main policy explicitly and categorically states: «data is not transferred to third countries outside the European Economic Area». Yet the fonts (Roboto and other families) are loaded directly from Google's servers — both the style description and the font files themselves — and every such request transmits the visitor's IP address to Google, a US company. Google Fonts is named neither in the main policy nor on the separate cookie page. This is a direct divergence of promise from fact. It is precisely this practice — loading Google fonts from Google's servers — that European courts have already found to be an unlawful transfer of the IP address. 2) The main policy contains not a word about cookies. In fairness: the site has a separate cookie page, available on the resource itself, and on it the Web Analytics Italia government analytics is named and described as anonymous. So the analytics is essentially disclosed — the gap is in the export, not on the site. The only thing disclosed nowhere is Google Fonts. Full technical documentation is published at: https://gdpru.eu/audits/it-cittametropolitana-mi-it/ 3. GDPR provisions I ask you to examine Art. 13(1)(f) and Art. 44 GDPR — transmission of the IP to the USA against the «EEA only» promise; Art. 13(1)(e) GDPR — the cookie section is absent from the exported document 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]