Технический аудит · 15.06.2026

cortedicassazione.it

Верховный кассационный суд Италии

Сайт Верховного кассационного суда Италии. 29 запросов, 3 домена. Политика подробная и аккуратная, но без раздела о сторонних сервисах: встроенный на главной странице плеер YouTube не назван, а работает он в обычном режиме и уводит IP посетителя в Google, США.

Хронология обращений

+0–248 мс · загрузка портала

Собственная система управления контентом на платформе Министерства юстиции. В общем потоке страницы подключается вендорный скрипт плеера YouTube.

+322 мс · инфраструктура YouTube, обычный режим

Загружается интерфейс плеера с www.youtube.com — обычный, не приватный режим. Уже это обращение передаёт IP посетителя в Google.

+450–455 мс · замер аналитики и плеер

Государственная аналитика отправляет замер посещения (несёт идентификатор посетителя), следом догружается программная часть плеера YouTube. Ни одного Set-Cookie за весь сеанс.

Декларация против факта

✓ Государственная аналитика Web Analytics Italia — по имени не названа, но описана как анонимная статистика навигации — заявлен

+ YouTube (обычный режим, www.youtube.com) — не заявлен

Зафиксированные трекеры

Web Analytics Italia / Matomo (ingestion.webanalytics.italia.it) — несёт идентификатор посетителя
YouTube в обычном режиме (www.youtube.com) — передаёт IP в Google, США

Признаки несоответствия GDPR

Art. 13(1)(e) GDPR — встроенный YouTube не задекларирован
Подробная политика разбирает сессионные и функциональные cookie, отрицает профилирование и описывает статистику как анонимную, но раздела о сторонних сервисах в ней нет вовсе. На главной странице (медиацентр) при этом встроен видеоплеер YouTube, который в документе не упомянут ни разу.
Art. 13(1)(f) GDPR — передача IP в Google США через обычный YouTube
Видео встроено в обычном режиме (www.youtube.com), а не в приватном (youtube-nocookie.com). Уже сама загрузка инфраструктуры плеера передаёт IP-адрес посетителя в Google, американскую компанию. Политика о такой передаче молчит и при этом утверждает, что через cookie не передаётся информация личного характера, — что плохо вяжется с обращением к Google. Исправляется заменой обычного встраивания на приватный режим.

Контекст

www.cortedicassazione.it — сайт Верховного кассационного суда Италии, высшей судебной инстанции страны. Сделан на собственной системе управления контентом на платформе Министерства юстиции. В замере 29 обращений к трём доменам. Ответственным за обработку данных верно указан сам суд. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.

Случай в целом аккуратный: короткий замер, государственная аналитика, подробная политика. Но есть один пробел, и он касается Google.

Кто получает данные

Тут были замечены: Google.

Был ли баннер согласия

На сайте есть уведомление о cookie — его стили подгружаются в начале визита. Государственная аналитика приравнена к техническим средствам и согласия не требует, поэтому само по себе её срабатывание не нарушение. Стоит лишь отметить, что её замер несёт идентификатор посетителя, так что «анонимность» здесь, как и на других государственных сайтах, с оговоркой. А вот плеер YouTube запускается независимо от уведомления — и это главный сюжет.

Подробная политика — но без раздела о третьих сторонах

Документ тщательно разбирает категории cookie: сессионные, функциональные, прямо отрицает профилирование и постоянные cookie, а статистику называет анонимной. Сделано подробно и грамотно. Но раздела о сторонних сервисах в политике нет совсем — а на главной странице, в медиацентре, встроен видеоплеер YouTube. Он в документе не упомянут ни разу, хотя это сторонний сервис, который получает данные посетителя.

YouTube в обычном режиме уводит IP в Google

Здесь и кроется изъян. Видео можно встроить двумя способами: в обычном режиме и в приватном, специально предназначенном для того, чтобы не обращаться к Google до запуска видео и не ставить отслеживающие cookie. На этом сайте выбран обычный режим. А значит, уже сама загрузка плеера обращается к инфраструктуре Google и передаёт IP-адрес посетителя в США. Получается двойное несоответствие: сторонний сервис не назван в политике, и при этом документ утверждает, что через cookie не передаётся информация личного характера, — тогда как обращение к Google происходит. Чинится это просто, заменой обычного встраивания на приватный режим, после чего обращение к Google до запуска видео исчезает.

Чего по замеру утверждать нельзя

Несколько честных оговорок. В замере видна загрузка интерфейса и программной части плеера; более тяжёлые обращения к серверам Google происходят при запуске видео, и в этом сеансе их нет — но даже загрузка плеера в обычном режиме уже передаёт IP. Про маскировку IP в государственной аналитике я сужу по её настройке по умолчанию; идентификатор посетителя при этом виден прямо в замере. Политика, к слову, опирается на старый национальный кодекс о данных, а не на действующий регламент, — деталь, говорящая о возрасте документа. Замер охватывает главную страницу.

Вывод

Аккуратная и подробная политика с двумя связанными пробелами, и оба про одно — про молчаливое обращение к Google. Встроенный плеер YouTube работает в обычном режиме и передаёт IP посетителя в США, нигде в документе не названный, а сам документ при этом обещает, что личных данных через cookie не передаётся. Плюс государственная аналитика, описанная как анонимная, на деле несёт идентификатор посетителя. Ни то ни другое не катастрофа, и чинится в пару движений. Главное, что должен вынести читатель: даже на сайте высшего суда одно невинное встроенное видео способно тихо отправлять ваш IP в Google — ровно потому, что выбран обычный режим вместо приватного.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/www-cortedicassazione-it-2026-06-15.har

SHA-256: c9d1b2b735d2ab0a3a02a1b5e562cc2952d56931ad60ae49a8c5de6ba51241ed

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — cortedicassazione.it

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта cortedicassazione.it.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Подробная политика разбирает сессионные и функциональные cookie, отрицает профилирование и описывает статистику как анонимную, но раздела о сторонних сервисах в ней нет вовсе. На главной странице (медиацентр) при этом встроен видеоплеер YouTube, который в документе не упомянут ни разу.

2) Видео встроено в обычном режиме (www.youtube.com), а не в приватном (youtube-nocookie.com). Уже сама загрузка инфраструктуры плеера передаёт IP-адрес посетителя в Google, американскую компанию. Политика о такой передаче молчит и при этом утверждает, что через cookie не передаётся информация личного характера, — что плохо вяжется с обращением к Google. Исправляется заменой обычного встраивания на приватный режим.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-cortedicassazione-it/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — cortedicassazione.it

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website cortedicassazione.it.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The detailed policy examines session and functional cookies, denies profiling and describes the statistics as anonymous, but there is no section on third-party services in it at all. On the home page (the media centre), meanwhile, a YouTube video player is embedded, which is not mentioned in the document even once.

2) The video is embedded in regular mode ([www.youtube.com](https://www.youtube.com)), not privacy mode (youtube-nocookie.com). The very loading of the player infrastructure already transmits the visitor's IP address to Google, an American company. The policy stays silent about such a transfer and at the same time asserts that no personal information is transmitted via cookies — which sits poorly with the request to Google. It is fixed by replacing the regular embedding with privacy mode.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-cortedicassazione-it/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — cortedicassazione.it

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом cortedicassazione.it.

2. Обстоятельства
Я посетил сайт cortedicassazione.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Подробная политика разбирает сессионные и функциональные cookie, отрицает профилирование и описывает статистику как анонимную, но раздела о сторонних сервисах в ней нет вовсе. На главной странице (медиацентр) при этом встроен видеоплеер YouTube, который в документе не упомянут ни разу.

2) Видео встроено в обычном режиме (www.youtube.com), а не в приватном (youtube-nocookie.com). Уже сама загрузка инфраструктуры плеера передаёт IP-адрес посетителя в Google, американскую компанию. Политика о такой передаче молчит и при этом утверждает, что через cookie не передаётся информация личного характера, — что плохо вяжется с обращением к Google. Исправляется заменой обычного встраивания на приватный режим.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-cortedicassazione-it/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 13(1)(e) GDPR — встроенный YouTube не задекларирован; Art. 13(1)(f) GDPR — передача IP в Google США через обычный YouTube

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — cortedicassazione.it

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website cortedicassazione.it.

2. Circumstances
I visited the website cortedicassazione.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The detailed policy examines session and functional cookies, denies profiling and describes the statistics as anonymous, but there is no section on third-party services in it at all. On the home page (the media centre), meanwhile, a YouTube video player is embedded, which is not mentioned in the document even once.

2) The video is embedded in regular mode ([www.youtube.com](https://www.youtube.com)), not privacy mode (youtube-nocookie.com). The very loading of the player infrastructure already transmits the visitor's IP address to Google, an American company. The policy stays silent about such a transfer and at the same time asserts that no personal information is transmitted via cookies — which sits poorly with the request to Google. It is fixed by replacing the regular embedding with privacy mode.

Full technical documentation is published at: https://gdpru.eu/audits/it-cortedicassazione-it/

3. GDPR provisions I ask you to examine
Art. 13(1)(e) GDPR — the embedded YouTube is not declared; Art. 13(1)(f) GDPR — transmission of the IP to Google USA via regular YouTube

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]