Технический аудит · 15.06.2026

difesa.it

Министерство обороны Италии

Сайт Министерства обороны Италии. 141 запрос, 12 доменов. Собственная аналитика реализована образцово — с маскировкой IP и без cookie, как и обещано. Но политика прямо заявляет, что данные за пределы ЕС не уходят, тогда как два видео YouTube в обычном режиме отдают IP посетителя в Google (США), а карта операций — американскому картографу Esri. Всё это до согласия, которого в замере нет.

Хронология обращений

+0–815 мс · загрузка стека

Сайт на стандартной теме итальянских госсайтов. Основной код и шрифты — со своего домена. Скрипты баннера согласия загружены в общем бандле на +652–655 мс.

+2535–5798 мс · аналитика, карта в США, YouTube и реклама Google

Своя аналитика отправляет замеры (+2571, +3308 мс) — с маскировкой IP, без cookie. Параллельно карта операций тянет тайлы с серверов Esri / ArcGIS в США (+2535 мс). Два видео YouTube в обычном режиме (+2882 мс) подтягивают рекламный DoubleClick (+4035 мс), его скрипт статуса рекламы (+4046 мс) и служебный домен Google (+5540 мс). Чуть позже YouTube досылает события логирования (+7718, +8737 мс). Всё это без зафиксированного согласия.

Декларация против факта

✓ YouTube (перечислен в списке сторонних сервисов) — заявлен

✓ Своя аналитика с маскировкой IP (соответствует политике) — заявлен

+ Google DoubleClick (рекламная инфраструктура) — не заявлен

+ Служебный домен Google (WAA) — не заявлен

+ Картографические тайлы Esri / ArcGIS (США) — не заявлен

+ Передача IP в США (политика обещает обратное) — не заявлен

Зафиксированные трекеры

Собственная аналитика Web Analytics Italia с маскировкой IP — соответствует политике
YouTube (обычный режим, не приватный)
Google DoubleClick (реклама)
Google WAA (служебный домен)
Картографические тайлы ArcGIS / Esri (США)

Признаки несоответствия GDPR

Art. 13(1)(f) и Глава V GDPR — передача в США вопреки прямому обещанию
Политика прямо заявляет, что данные не передаются ни третьим лицам сверх перечисленных, ни в третьи страны за пределами ЕС. На деле при открытии главной страницы IP-адрес посетителя уходит в США сразу по двум направлениям: к Google — через встроенные в обычном режиме видео YouTube, которые подтягивают рекламный DoubleClick и служебные домены Google, — и к американской картографической компании Esri, чьи тайлы загружает интерактивная карта операций. Оба получателя — компании США, и ни о какой такой передаче политика не предупреждает. Для сайта оборонного ведомства это расхождение особенно весомо.
Собственная политика сайта / Art. 6(1)(a) GDPR — сторонний контент раньше согласия
Политика обещает, что нетехнические и сторонние сервисы активируются только после согласия пользователя через баннер. В замере видео YouTube и связанные с ними рекламные и служебные домены Google активны на +2882–5798 мс, при этом никакого зафиксированного согласия в замере нет: скрипты баннера загружены, но событие принятия отсутствует, и встроенные ролики он не задерживает.
Art. 25 GDPR — приватность не заложена в конструкцию
Видео встроены в обычном режиме YouTube вместо приватного. Именно из-за этого простое открытие главной страницы — без всякого запуска видео — автоматически подтягивает рекламную инфраструктуру Google. Приватный режим встраивания этого бы не делал.
Art. 13(1)(e) GDPR — часть получателей не названа
YouTube и соцсети в политике перечислены, но рекламный DoubleClick, служебный домен Google и картографический сервис Esri / ArcGIS не упомянуты ни по имени, ни как категории получателей данных.

Контекст

difesa.it — официальный портал Министерства обороны Италии. Сделан на стандартной теме итальянских госсайтов, с интерактивной картой операций. В замере 141 обращение к 12 доменам. Ответственным за обработку данных политика верно указывает само министерство. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика — то есть отражает то, что видит обычный посетитель.

И сразу скажу главное наблюдение: этот сайт показывает два совершенно разных уровня аккуратности в пределах одной страницы. Одну вещь здесь сделали образцово. А другую — ровно наоборот, и тем заметнее на фоне первой.

Аналитика — сделана правильно

Начну с похвалы. Веб-аналитика на сайте — собственная, на государственной платформе, развёрнутая на поддомене самого министерства. Политика честно описывает, что именно собирается: IP-адрес, причём маскированный — последние два байта обнуляются, так что точного посетителя по нему не вычислить, — а также тип браузера, системы и устройства. Замер это подтверждает: аналитика не ставит ни одного cookie и не присваивает посетителю постоянной метки. Здесь обещанное и сделанное совпадают.

YouTube подтягивает рекламную машину Google

А вот дальше — расхождение. На главной встроены два видео с YouTube, и встроены они в обычном режиме, а не в приватном. Разница принципиальная: обычный режим, едва страница открылась, сам по себе подтягивает рекламную инфраструктуру Google — домен DoubleClick, его скрипт статуса рекламы и служебные домены Google, — даже если посетитель не нажимал «play». Именно это и видно в замере: реклама Google активна с четвёртой секунды. Чуть позже YouTube ещё и досылает события логирования о просмотре. Политика же обещает, что подобные сторонние сервисы включаются только после согласия через баннер, — а согласия в замере нет вовсе, и баннер эти ролики ничем не задерживает.

Карта операций уводит IP в США

То, что легко пропустить за более заметным YouTube. Интерактивная карта на сайте загружает свою подложку — картографические тайлы — с серверов компании Esri (сервис ArcGIS), а это американский поставщик. Происходит это уже на +2535 мс, в момент отрисовки карты, и при каждом таком обращении IP-адрес посетителя уходит в США. Карта функциональна и нужна сайту, но получатель данных — иностранная компания, и в политике он не назван.

Политика обещает не передавать данные за рубеж — а передаёт

Здесь всё сходится в одну точку, и это самое серьёзное. Политика министерства прямо заявляет две вещи: что данные не передаются третьим лицам сверх перечисленных и что они не передаются в страны за пределами ЕС. Перечислены при этом только YouTube и соцсети. А по факту IP посетителя в первые же секунды уходит в США сразу двумя потоками — в Google (через рекламную начинку YouTube) и в Esri (через карту). Ни рекламный Google, ни Esri в списке нет, и обещание «за пределы ЕС не передаём» расходится с реальностью напрямую. На сайте оборонного ведомства, где чувствителен даже сам факт того, кто его читает, такое расхождение нельзя считать формальностью.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Содержимое замеров собственной аналитики уходит не в адресе запроса, а в теле, которое в этой облегчённой выгрузке не сохранено, — поэтому про маскировку IP я опираюсь на текст политики, и он согласуется с тем, что cookie и идентификатор отсутствуют. Отсутствие события согласия в замере может означать как то, что баннер не получил нажатия, так и то, что он в принципе не задерживает сторонний контент, — но для итога это не меняет картину: сторонние домены сработали независимо. Замер охватывает главную страницу, точные IP-адреса серверов в выгрузке не сохранены, географию беру по принадлежности доменов и компаний.

Вывод

В пределах одного сайта — два разных подхода к приватности. Аналитику министерство сделало образцово: своя, с маскировкой IP, без cookie, ровно как написано в политике. Но рядом с этим главная страница в первые секунды отдаёт IP посетителя в Google — через видео YouTube в обычном режиме, тянущие за собой рекламный DoubleClick, — и американскому картографу Esri через карту операций. И всё это прямо вопреки собственному обещанию политики не передавать данные ни лишним третьим лицам, ни за пределы ЕС, и до какого-либо согласия. Главное, что должен вынести читатель: министерство, очевидно, умеет делать правильно — оно доказало это своей аналитикой, — а значит, утечка читателей оборонного портала в Google и в США это не неумение, а недосмотр, который тем более стоило бы устранить.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/difesa-it-2026-06-15.har

SHA-256: a7f4340c338d5444488836f8e762e9ce1335c0fce9731e0366946d12f7105952

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — difesa.it

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта difesa.it.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Политика прямо заявляет, что данные не передаются ни третьим лицам сверх перечисленных, ни в третьи страны за пределами ЕС. На деле при открытии главной страницы IP-адрес посетителя уходит в США сразу по двум направлениям: к Google — через встроенные в обычном режиме видео YouTube, которые подтягивают рекламный DoubleClick и служебные домены Google, — и к американской картографической компании Esri, чьи тайлы загружает интерактивная карта операций. Оба получателя — компании США, и ни о какой такой передаче политика не предупреждает. Для сайта оборонного ведомства это расхождение особенно весомо.

2) Политика обещает, что нетехнические и сторонние сервисы активируются только после согласия пользователя через баннер. В замере видео YouTube и связанные с ними рекламные и служебные домены Google активны на +2882–5798 мс, при этом никакого зафиксированного согласия в замере нет: скрипты баннера загружены, но событие принятия отсутствует, и встроенные ролики он не задерживает.

3) Видео встроены в обычном режиме YouTube вместо приватного. Именно из-за этого простое открытие главной страницы — без всякого запуска видео — автоматически подтягивает рекламную инфраструктуру Google. Приватный режим встраивания этого бы не делал.

4) YouTube и соцсети в политике перечислены, но рекламный DoubleClick, служебный домен Google и картографический сервис Esri / ArcGIS не упомянуты ни по имени, ни как категории получателей данных.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-difesa-it/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — difesa.it

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website difesa.it.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The policy explicitly states that data is transferred neither to third parties beyond those listed, nor to third countries outside the EU. In fact, when the home page opens, the visitor's IP address goes to the USA in two directions at once: to Google — via the YouTube videos embedded in regular mode, which pull in the DoubleClick advertising and Google utility domains — and to the American mapping company Esri, whose tiles are loaded by the interactive operations map. Both recipients are US companies, and the policy warns of no such transfer. For the site of a defence ministry this discrepancy is especially weighty.

2) The policy promises that non-technical and third-party services are activated only after the user's consent via the banner. In the capture the YouTube videos and the associated Google advertising and utility domains are active at +2882–5798 ms, while there is no recorded consent in the capture: the banner scripts are loaded, but the acceptance event is absent, and it does not hold back the embedded clips.

3) The videos are embedded in regular YouTube mode instead of privacy mode. It is precisely because of this that simply opening the home page — without playing any video — automatically pulls in Google's advertising infrastructure. Privacy-mode embedding would not do this.

4) YouTube and social networks are listed in the policy, but the DoubleClick advertising, the Google utility domain and the Esri / ArcGIS mapping service are mentioned neither by name nor as categories of data recipients.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-difesa-it/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — difesa.it

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом difesa.it.

2. Обстоятельства
Я посетил сайт difesa.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Политика прямо заявляет, что данные не передаются ни третьим лицам сверх перечисленных, ни в третьи страны за пределами ЕС. На деле при открытии главной страницы IP-адрес посетителя уходит в США сразу по двум направлениям: к Google — через встроенные в обычном режиме видео YouTube, которые подтягивают рекламный DoubleClick и служебные домены Google, — и к американской картографической компании Esri, чьи тайлы загружает интерактивная карта операций. Оба получателя — компании США, и ни о какой такой передаче политика не предупреждает. Для сайта оборонного ведомства это расхождение особенно весомо.

2) Политика обещает, что нетехнические и сторонние сервисы активируются только после согласия пользователя через баннер. В замере видео YouTube и связанные с ними рекламные и служебные домены Google активны на +2882–5798 мс, при этом никакого зафиксированного согласия в замере нет: скрипты баннера загружены, но событие принятия отсутствует, и встроенные ролики он не задерживает.

3) Видео встроены в обычном режиме YouTube вместо приватного. Именно из-за этого простое открытие главной страницы — без всякого запуска видео — автоматически подтягивает рекламную инфраструктуру Google. Приватный режим встраивания этого бы не делал.

4) YouTube и соцсети в политике перечислены, но рекламный DoubleClick, служебный домен Google и картографический сервис Esri / ArcGIS не упомянуты ни по имени, ни как категории получателей данных.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-difesa-it/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 13(1)(f) и Глава V GDPR — передача в США вопреки прямому обещанию; Собственная политика сайта / Art. 6(1)(a) GDPR — сторонний контент раньше согласия; Art. 25 GDPR — приватность не заложена в конструкцию; Art. 13(1)(e) GDPR — часть получателей не названа

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — difesa.it

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website difesa.it.

2. Circumstances
I visited the website difesa.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The policy explicitly states that data is transferred neither to third parties beyond those listed, nor to third countries outside the EU. In fact, when the home page opens, the visitor's IP address goes to the USA in two directions at once: to Google — via the YouTube videos embedded in regular mode, which pull in the DoubleClick advertising and Google utility domains — and to the American mapping company Esri, whose tiles are loaded by the interactive operations map. Both recipients are US companies, and the policy warns of no such transfer. For the site of a defence ministry this discrepancy is especially weighty.

2) The policy promises that non-technical and third-party services are activated only after the user's consent via the banner. In the capture the YouTube videos and the associated Google advertising and utility domains are active at +2882–5798 ms, while there is no recorded consent in the capture: the banner scripts are loaded, but the acceptance event is absent, and it does not hold back the embedded clips.

3) The videos are embedded in regular YouTube mode instead of privacy mode. It is precisely because of this that simply opening the home page — without playing any video — automatically pulls in Google's advertising infrastructure. Privacy-mode embedding would not do this.

4) YouTube and social networks are listed in the policy, but the DoubleClick advertising, the Google utility domain and the Esri / ArcGIS mapping service are mentioned neither by name nor as categories of data recipients.

Full technical documentation is published at: https://gdpru.eu/audits/it-difesa-it/

3. GDPR provisions I ask you to examine
Art. 13(1)(f) and Chapter V GDPR — transfer to the USA against an explicit promise; The site's own policy / Art. 6(1)(a) GDPR — third-party content before consent; Art. 25 GDPR — privacy is not built into the design; Art. 13(1)(e) GDPR — some recipients are not named

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]