Юридический информационный портал Diritto.it (издательская группа Maggioli). 169 запросов, 13 доменов. Баннера согласия на сайте нет вовсе, а с первой секунды запускается полноценная платформа маркетинг-автоматизации SalesManago с постоянным идентификатором посетителя и веб-пушем, плюс брокер данных ShareThis и ещё несколько трекеров. Доступная политика при этом написана под кодекс до GDPR.
Хронология обращений
Декларация против факта
Зафиксированные трекеры
- SalesManago — платформа маркетинг-автоматизации, постоянный uuid посетителя, веб-пуш
- ShareThis — виджет шеринга и брокер данных
- Parse.ly — аналитика контента
- WordPress Stats / Jetpack (Automattic)
- Cloudflare Insights
- Google Tag Manager + Firebase (веб-пуш)
Признаки несоответствия GDPR
- Art. 6(1)(a) GDPR — слежка с первой секунды без согласияМеханизма согласия на сайте нет вообще — ни одного известного баннера, ни собственной реализации. При этом сразу при загрузке страницы запускается полноценная платформа маркетинг-автоматизации SalesManago: трекинг-пиксель несёт постоянный идентификатор посетителя (uuid), а вместе с ним работают модули истории посещений, определения источника трафика, веб-пуш-уведомлений и персонализации. Параллельно в первые же миллисекунды грузятся ShareThis, Parse.ly, WordPress Stats, Cloudflare Insights и Google Tag Manager. Характерная деталь: собственная форма согласия SalesManago подгружается на +1465 мс — уже после того, как трекинг-пиксель с идентификатором отправлен (+1079 мс).
- Art. 13 GDPR — политика из эпохи до GDPRДоступный документ написан под старый национальный кодекс о данных (196/2003) и не содержит ни одного упоминания действующего регламента 679/2016. Формально политика не актуализирована под нынешнее законодательство.
- Art. 13(1)(e) GDPR — получатели не названыCookie описаны только обобщённо — «необходимые» и «таргетинговые/рекламные», — и признаётся, что данные передаются рекламодателям. Но ни один реальный инструмент (SalesManago, ShareThis, Parse.ly, WordPress Stats, Cloudflare, Google) в документе не назван.
Контекст
www.diritto.it — итальянский юридический информационный портал, принадлежащий издательской группе Maggioli. Сюда приходят читать о правовых вопросах — а это тема, по которой интересы посетителя видны довольно много. В замере 169 обращений к 13 доменам. Ответственным за обработку данных верно указано само издательство. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.
Случай системный: проблема не в одном просчёте, а в сочетании сразу трёх — нет согласия, нет актуальной политики, и при этом работает серьёзная машина слежки.
Кто получает данные
Тут были замечены: SalesManago, ShareThis, Parse.ly, Automattic, Cloudflare, Google.
Был ли баннер согласия
Баннера нет вообще. На сайте отсутствует какой-либо механизм согласия — ни одной из распространённых систем, ни собственной реализации. Единственное, что отдалённо напоминает согласие, — встроенная форма самой платформы SalesManago, но и она подгружается поздно, уже после того, как трекинг отработал и идентификатор посетителя отправлен. То есть согласие здесь отсутствует на уровне сайта и запаздывает даже внутри самого маркетингового инструмента.
Полноценная платформа слежки с первой секунды
Главное, что стоит понять про этот сайт: SalesManago — это не форма подписки, а развёрнутая платформа маркетинг-автоматизации. Она ведёт трекинг событий, хранит историю посещений, определяет источник трафика, умеет слать веб-пуш-уведомления и персонализировать контент. И ключевое — её пиксель несёт постоянный идентификатор посетителя, по которому человека можно узнавать между визитами. Всё это запускается сразу при заходе, без какого-либо согласия. Рядом с первых же миллисекунд работают ещё несколько сторонних сервисов, и среди них ShareThis — виджет кнопок «поделиться», который по своей бизнес-модели ещё и собирает данные о посетителях для рекламного рынка. В сумме это серьёзный объём слежки, включающийся раньше, чем пользователь успевает что-либо понять.
Политика из эпохи до GDPR
Доступный документ примечателен своим возрастом. Он написан под старый национальный кодекс о персональных данных и не содержит ни единого упоминания действующего европейского регламента, вступившего в силу в 2018 году. То есть за прошедшие годы политику формально не привели в соответствие с нынешним законом. Содержательно она описывает лишь обобщённые категории — «необходимые» и «рекламные» cookie — и честно признаёт, что данные передаются рекламодателям, но не называет ни одного конкретного получателя из тех, что реально работают на сайте.
Чего по замеру утверждать нельзя
Несколько честных оговорок. Возможно, у сайта есть и более свежая версия политики; то, что доступно для сверки, — документ догдпровской эпохи. Роль ShareThis как сборщика данных — это его известная бизнес-модель, а не вывод из самого замера; в замере я вижу лишь факт загрузки его виджета. Идентификатор посетителя виден прямо в параметрах трекинг-пикселя. Замер охватывает главную страницу.
Вывод
Это системный случай, где совпали сразу три проблемы. На сайте нет механизма согласия как такового. Действующей, приведённой под нынешний закон политики тоже нет — доступен только документ многолетней давности, не называющий ни одного реального инструмента. А на этом фоне с первой же секунды работает полноценная платформа поведенческой слежки с постоянным идентификатором посетителя и веб-пушем, плюс брокер данных и ещё несколько трекеров. Главное, что должен вынести читатель: на портале, куда заходят разбираться со своими юридическими проблемами, его узнают и начинают вести с порога — молча, без спроса и без актуального документа, который хотя бы объяснил, кто за этим стоит.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
546a8142ad5c99148dcd9c11f2855eb5a25b8e55909ac2c25f9a07c2c2dd6e1aХотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — diritto.it Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта diritto.it. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) Механизма согласия на сайте нет вообще — ни одного известного баннера, ни собственной реализации. При этом сразу при загрузке страницы запускается полноценная платформа маркетинг-автоматизации SalesManago: трекинг-пиксель несёт постоянный идентификатор посетителя (uuid), а вместе с ним работают модули истории посещений, определения источника трафика, веб-пуш-уведомлений и персонализации. Параллельно в первые же миллисекунды грузятся ShareThis, Parse.ly, WordPress Stats, Cloudflare Insights и Google Tag Manager. Характерная деталь: собственная форма согласия SalesManago подгружается на +1465 мс — уже после того, как трекинг-пиксель с идентификатором отправлен (+1079 мс). 2) Доступный документ написан под старый национальный кодекс о данных (196/2003) и не содержит ни одного упоминания действующего регламента 679/2016. Формально политика не актуализирована под нынешнее законодательство. 3) Cookie описаны только обобщённо — «необходимые» и «таргетинговые/рекламные», — и признаётся, что данные передаются рекламодателям. Но ни один реальный инструмент (SalesManago, ShareThis, Parse.ly, WordPress Stats, Cloudflare, Google) в документе не назван. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-diritto-it/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — diritto.it To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website diritto.it. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) There is no consent mechanism on the site at all — not a single known banner, nor an in-house implementation. Yet immediately on page load a full-fledged SalesManago marketing-automation platform launches: the tracking pixel carries a persistent visitor identifier (uuid), and alongside it the modules for visit history, traffic-source detection, web-push notifications and personalisation work. In parallel, in the very first milliseconds, ShareThis, Parse.ly, WordPress Stats, Cloudflare Insights and Google Tag Manager load. A characteristic detail: SalesManago's own consent form loads at +1465 ms — after the tracking pixel with the identifier has already been sent (+1079 ms). 2) The available document is written for the old national data code (196/2003) and contains not a single mention of the regulation in force (679/2016). Formally the policy is not updated to the current legislation. 3) The cookies are described only in general terms — «necessary» and «targeting/advertising» — and it is acknowledged that data is transferred to advertisers. But not a single actual tool (SalesManago, ShareThis, Parse.ly, WordPress Stats, Cloudflare, Google) is named in the document. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-diritto-it/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — diritto.it 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом diritto.it. 2. Обстоятельства Я посетил сайт diritto.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) Механизма согласия на сайте нет вообще — ни одного известного баннера, ни собственной реализации. При этом сразу при загрузке страницы запускается полноценная платформа маркетинг-автоматизации SalesManago: трекинг-пиксель несёт постоянный идентификатор посетителя (uuid), а вместе с ним работают модули истории посещений, определения источника трафика, веб-пуш-уведомлений и персонализации. Параллельно в первые же миллисекунды грузятся ShareThis, Parse.ly, WordPress Stats, Cloudflare Insights и Google Tag Manager. Характерная деталь: собственная форма согласия SalesManago подгружается на +1465 мс — уже после того, как трекинг-пиксель с идентификатором отправлен (+1079 мс). 2) Доступный документ написан под старый национальный кодекс о данных (196/2003) и не содержит ни одного упоминания действующего регламента 679/2016. Формально политика не актуализирована под нынешнее законодательство. 3) Cookie описаны только обобщённо — «необходимые» и «таргетинговые/рекламные», — и признаётся, что данные передаются рекламодателям. Но ни один реальный инструмент (SalesManago, ShareThis, Parse.ly, WordPress Stats, Cloudflare, Google) в документе не назван. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-diritto-it/ 3. Положения GDPR, соблюдение которых прошу проверить Art. 6(1)(a) GDPR — слежка с первой секунды без согласия; Art. 13 GDPR — политика из эпохи до GDPR; Art. 13(1)(e) GDPR — получатели не названы 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — diritto.it 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website diritto.it. 2. Circumstances I visited the website diritto.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications: 1) There is no consent mechanism on the site at all — not a single known banner, nor an in-house implementation. Yet immediately on page load a full-fledged SalesManago marketing-automation platform launches: the tracking pixel carries a persistent visitor identifier (uuid), and alongside it the modules for visit history, traffic-source detection, web-push notifications and personalisation work. In parallel, in the very first milliseconds, ShareThis, Parse.ly, WordPress Stats, Cloudflare Insights and Google Tag Manager load. A characteristic detail: SalesManago's own consent form loads at +1465 ms — after the tracking pixel with the identifier has already been sent (+1079 ms). 2) The available document is written for the old national data code (196/2003) and contains not a single mention of the regulation in force (679/2016). Formally the policy is not updated to the current legislation. 3) The cookies are described only in general terms — «necessary» and «targeting/advertising» — and it is acknowledged that data is transferred to advertisers. But not a single actual tool (SalesManago, ShareThis, Parse.ly, WordPress Stats, Cloudflare, Google) is named in the document. Full technical documentation is published at: https://gdpru.eu/audits/it-diritto-it/ 3. GDPR provisions I ask you to examine Art. 6(1)(a) GDPR — tracking from the first second without consent; Art. 13 GDPR — a policy from the pre-GDPR era; Art. 13(1)(e) GDPR — recipients not named 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]