dati.terna.it

Контекст

dati.terna.it — портал открытых данных компании Terna, оператора национальной сети передачи электроэнергии Италии. Сделан на CMS Sitecore, основное содержимое — несколько встроенных интерактивных отчётов Power BI. В замере 501 обращение к 19 доменам, и подавляющее большинство из них — это инфраструктура Power BI и сопутствующей телеметрии Microsoft, то есть рабочая начинка дашбордов, ради которых портал и существует. Ответственным за обработку данных политика указывает саму Terna — верно и однозначно.

Замер, как и вся серия, снят на чистом браузере Edge — без VPN и без блокировщика рекламы. Это сознательный метод: блокирующий браузер просто вырезал бы трекеры и показал бы пустую картину, а задача — увидеть ровно то, что сайт делает обычному посетителю с настройками по умолчанию. Поэтому всё, что описано ниже, — это поведение сайта в реальном, типовом визите, а не в искусственно «очищенных» условиях.

Был ли баннер согласия

Баннер есть — это система Cookiebot. Её скрипт инициализируется на +1010 мс. Но ключевая деталь: и Google Tag Manager, и агент мониторинга Dynatrace загружаются раньше — на +793 мс, ещё до того, как баннер вообще появляется на странице. То есть к моменту, когда пользователю показывают выбор, часть инструментов уже подгружена.

Само решение по cookie фиксируется на +5835 мс. И здесь интересное: хотя в логе оно помечено как «принято», по факту это отказ — отдельные категории (статистика, маркетинг, предпочтения) записаны как отклонённые. Иначе говоря, разрешено только строго необходимое. Это и есть та планка, по которой дальше надо мерить поведение трекеров.

Google Analytics повёл себя правильно

Отдам должное там, где заслужено. После записи отказа Google Analytics отправил ровно один замер — и сделал это в режиме отклонённого согласия: с признаком обезличивания, без персонализации и, главное, не поставив ни одного cookie. То есть аналитика Google здесь уважает отказ пользователя: она не начинает полноценную слежку, а шлёт единичный обезличенный сигнал. Это правильная, современная реализация — и важно её не путать с нарушением.

Dynatrace, наоборот, отказ игнорирует

А вот здесь реальная проблема. Мониторинг Dynatrace — инструмент, который следит за тем, как пользователь ведёт себя на странице и насколько быстро она работает, — за сессию отправил тринадцать телеметрических пакетов. Восемь из них ушли ещё до того, как пользователь зафиксировал решение, и пять — уже после. И эти «после» особенно показательны: согласие-то записано как отказ от статистики, а Dynatrace всё равно продолжает слать данные. То есть он работает безусловно — и до выбора, и вопреки ему.

Существенное смягчение: Dynatrace здесь развёрнут первопартийно, на самом домене Terna, и телеметрия уходит туда же, а не какому-то стороннему рекламному игроку. Наружу, в чужие руки, данные не утекают. Но по правилам регулятора поведенческо-аналитический мониторинг — это не «строго необходимый» инструмент, и запускать его следовало бы только с согласия. А он его не спрашивает.

Ни одного cookie за всю сессию

Отдельно стоит отметить: за все 501 обращение сайт не установил ни одного cookie. Совсем. Слежка, где она есть, идёт без сохранения меток на устройстве пользователя — это заметно лучше, чем у большинства разобранных коммерческих сайтов.

Политика ссылается на таблицу, которой нет

Текст политики, в отличие от многих, написан грамотно: он корректно разбирает категории cookie по рекомендациям регулятора 2021 года и честно признаёт, что передача данных за рубеж возможна и опирается на предусмотренные GDPR гарантии, — то есть ложного обещания «никуда не передаём» здесь нет. Но в одном месте документ обрывается: раздел о cookie прямо отсылает к «таблице, которая следует ниже», где должны быть перечислены провайдеры и ссылки на их условия, — а самой таблицы в документе нет. Сразу за обещанием идёт следующий раздел. Из-за этого пропуска ни один реально работающий инструмент — ни Dynatrace, ни Google, ни Microsoft, ни Cookiebot — по имени так и не назван. Обещание прозрачности есть, а самой прозрачности на этом месте нет.

Шрифты и инфраструктура Microsoft

Два момента для полноты. Во-первых, шрифты подгружаются с серверов Google, а значит IP посетителя уходит в Google ещё до согласия — тот же механизм, что и на ряде других сайтов; но поскольку политика трансфер за рубеж в принципе признаёт, отдельным ложным обещанием это здесь не является. Во-вторых, основная масса запросов — это Power BI и телеметрия Microsoft (Application Insights), которая включается уже глубоко в сессии, на 16-й секунде, по мере загрузки самих дашбордов. Это функциональная начинка отчётов, ради которых портал и сделан; отмечаю её как телеметрию Microsoft, но к разряду скрытой слежки не отношу.

Чего по замеру утверждать нельзя

Честные оговорки. Замер охватывает одну страницу с дашбордами — поведение остальных разделов отсюда не видно. Я не вижу, что именно сконфигурировано внутри контейнера Google Tag Manager, — только то, что вниз по цепочке аналитика отработала в режиме отказа. В этой облегчённой выгрузке нет IP-адресов серверов, так что географию беру по доменам. И, поскольку решение по cookie в автоматическом замере никто не нажимал вручную, зафиксированный статус «отклонено» отражает поведение по умолчанию, а не сознательный выбор живого человека — но именно это и видит обычный посетитель в первые секунды.

Вывод

Это аккуратно собранный сайт с одним конкретным изъяном. В плюс ему: современный режим согласия, ни одного поставленного cookie, корректно отработавшая в режиме отказа аналитика Google, верно указанный титуляр и честное признание трансфера данных за рубеж. В минус — мониторинг Dynatrace, который работает независимо от согласия (и до баннера, и вопреки отказу в статистике), и обещанная, но отсутствующая в политике таблица провайдеров, из-за чего ни один инструмент не назван по имени. Главное, что должен вынести читатель: здесь нет хищной рекламной слежки, как на иных сайтах, — проблема точечная и в основном техническая, но согласие на этом портале пока работает наполовину.