Технический аудит · 15.06.2026

dt.mef.gov.it

Департамент казначейства Минэкономики и финансов Италии

Сайт Департамента казначейства Министерства экономики и финансов Италии (управление госдолгом и финансовыми рынками). 57 запросов, 2 домена. Аналитика заявлена как анонимная агрегированная статистика, но фактически работает модуль записи сессий на той же государственной инфраструктуре Sogei, что и у ряда других госсайтов серии. За пределы страны при этом не уходит ничего.

Хронология обращений

+0–85 мс · загрузка портала и модуля согласия

Собственная система управления контентом на инфраструктуре Sogei. В общем потоке подключается типовой модуль согласия AGID (cookie_consent.js) — но, как видно дальше, аналитику он не задерживает.

+1064–1068 мс · замер и запись сессий одновременно

Замер посещения (idsite=54, несёт идентификатор посетителя) и сразу следом активация модуля записи сессий — почти в одну миллисекунду. Ни одного Set-Cookie за весь сеанс.

Декларация против факта

+ Matomo на инфраструктуре Sogei — с записью сессий — не заявлен

Зафиксированные трекеры

Matomo на инфраструктуре Sogei (aaws-aanalytics.sogei.it, idsite=54) — несёт идентификатор посетителя, с активным модулем записи сессий

Признаки несоответствия GDPR

Art. 13(1)(e) и Art. 5(1)(a) GDPR — запись сессий не задекларирована
Политика описывает аналитические cookie как приравненные к техническим, собирающие данные в агрегированном виде, и отрицает профилирование, не называя конкретного инструмента. Фактически наряду с обычным замером посещения активен модуль записи сессий (HeatmapSessionRecording, configs.php отвечает 200) на государственной инфраструктуре Sogei. Это фиксация поведения посетителя, а не агрегированная статистика, и в документе она не упомянута. Тот же модуль на той же инфраструктуре Sogei уже подтверждён в серии на сайтах налоговой службы, агентства кибербезопасности, правительства и департамента финансов.
Art. 6(1)(a) GDPR / рекомендации регулятора — запись поведения без согласия
Типовой модуль согласия AGID на сайте установлен, но аналитику и запись сессий он не задерживает — они отрабатывают независимо от него. По позиции итальянского регулятора мониторинг поведения требует согласия и не может проходить как технический cookie.

Контекст

www.dt.mef.gov.it — сайт Департамента казначейства (Dipartimento del Tesoro), входящего в структуру Министерства экономики и финансов Италии: управление государственным долгом и финансовыми рынками. Сделан на системе управления контентом государственного подрядчика Sogei. В замере 57 обращений к двум доменам: самому сайту и аналитике Sogei. Ответственным за обработку данных верно указан сам департамент. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.

К этому моменту серии случай уже знакомый до детали: государственный сайт на инфраструктуре Sogei — и всё тот же модуль записи сессий.

Кто получает данные

Тут была замечена: Sogei (государственная, Италия). Иностранных и коммерческих получателей нет.

Был ли баннер согласия

Типовой модуль согласия AGID на сайте установлен, его код загружается в начале визита. Но аналитику и запись сессий он не задерживает — они отрабатывают независимо. Базовый анонимный подсчёт по итальянским правилам можно вести без согласия, а вот запись поведения под это послабление не подпадает. Замер при этом несёт идентификатор посетителя, так что «анонимность» здесь с оговоркой.

Тот же модуль записи сессий — снова

Помимо обычного замера на сайте активен модуль записи сессий: запрос к нему проходит успешно, то есть он реально работает. Это тот же инструмент на той же инфраструктуре Sogei, что уже встречался в серии на сайтах налоговой службы, агентства кибербезопасности, правительства и департамента финансов. Повторяемость на разных ведомствах однозначно указывает: это не настройка отдельного сайта, а свойство общей государственной платформы.

Куда уходят данные — никуда за рубеж

Существенный плюс. Вся аналитика — на государственной инфраструктуре Sogei, за пределы страны не уходит ничего. Проблема здесь не в трансфере, а в том, что о записи поведения умалчивают и не спрашивают согласия.

Чего по замеру утверждать нельзя

Об активности записи сессий я сужу по успешному ответу её модуля; содержимое самой записи в замере не видно. Идентификатор посетителя виден прямо в замере. Аналитика государственная, поэтому вопрос географии серверов не стоит. Замер охватывает главную страницу.

Вывод

Ещё один государственный сайт с тем же системным пробелом: аналитика обещана как анонимная и агрегированная, а на деле наряду с подсчётом ведётся запись сессий, и счётчик помечает посетителя идентификатором. Всё это остаётся в государственной инфраструктуре — реальный плюс, — но системный модуль записи сессий Sogei всплывает в очередной раз, теперь на казначействе. Главное, что должен вынести читатель: это уже не совпадение, а закономерность платформы, и закрывать пробел нужно на её уровне — либо описать запись сессий в политиках, либо спрашивать на неё согласие.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/www-dt-mef-gov-it-2026-06-15.har

SHA-256: dae99f01f4ea99106a394e34cb158209eebabbda3413091110357ce26b49e3dd

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — dt.mef.gov.it

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта dt.mef.gov.it.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Политика описывает аналитические cookie как приравненные к техническим, собирающие данные в агрегированном виде, и отрицает профилирование, не называя конкретного инструмента. Фактически наряду с обычным замером посещения активен модуль записи сессий (HeatmapSessionRecording, configs.php отвечает 200) на государственной инфраструктуре Sogei. Это фиксация поведения посетителя, а не агрегированная статистика, и в документе она не упомянута. Тот же модуль на той же инфраструктуре Sogei уже подтверждён в серии на сайтах налоговой службы, агентства кибербезопасности, правительства и департамента финансов.

2) Типовой модуль согласия AGID на сайте установлен, но аналитику и запись сессий он не задерживает — они отрабатывают независимо от него. По позиции итальянского регулятора мониторинг поведения требует согласия и не может проходить как технический cookie.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-dt-mef-gov-it/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — dt.mef.gov.it

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website dt.mef.gov.it.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The policy describes the analytics cookies as equated to technical ones, collecting data in aggregate form, and denies profiling, without naming a specific tool. In fact, alongside the ordinary visit measurement a session-recording module is active (HeatmapSessionRecording, configs.php responds 200) on Sogei's government infrastructure. This is the recording of visitor behaviour, not aggregate statistics, and it is not mentioned in the document. The same module on the same Sogei infrastructure has already been confirmed in the series on the sites of the tax authority, the cybersecurity agency, the government and the finance department.

2) The standard AGID consent module is installed on the site, but it does not hold back the analytics and session recording — they fire independently of it. By the Italian regulator's position, behaviour monitoring requires consent and cannot pass as a technical cookie.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-dt-mef-gov-it/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — dt.mef.gov.it

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом dt.mef.gov.it.

2. Обстоятельства
Я посетил сайт dt.mef.gov.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Политика описывает аналитические cookie как приравненные к техническим, собирающие данные в агрегированном виде, и отрицает профилирование, не называя конкретного инструмента. Фактически наряду с обычным замером посещения активен модуль записи сессий (HeatmapSessionRecording, configs.php отвечает 200) на государственной инфраструктуре Sogei. Это фиксация поведения посетителя, а не агрегированная статистика, и в документе она не упомянута. Тот же модуль на той же инфраструктуре Sogei уже подтверждён в серии на сайтах налоговой службы, агентства кибербезопасности, правительства и департамента финансов.

2) Типовой модуль согласия AGID на сайте установлен, но аналитику и запись сессий он не задерживает — они отрабатывают независимо от него. По позиции итальянского регулятора мониторинг поведения требует согласия и не может проходить как технический cookie.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-dt-mef-gov-it/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 13(1)(e) и Art. 5(1)(a) GDPR — запись сессий не задекларирована; Art. 6(1)(a) GDPR / рекомендации регулятора — запись поведения без согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — dt.mef.gov.it

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website dt.mef.gov.it.

2. Circumstances
I visited the website dt.mef.gov.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The policy describes the analytics cookies as equated to technical ones, collecting data in aggregate form, and denies profiling, without naming a specific tool. In fact, alongside the ordinary visit measurement a session-recording module is active (HeatmapSessionRecording, configs.php responds 200) on Sogei's government infrastructure. This is the recording of visitor behaviour, not aggregate statistics, and it is not mentioned in the document. The same module on the same Sogei infrastructure has already been confirmed in the series on the sites of the tax authority, the cybersecurity agency, the government and the finance department.

2) The standard AGID consent module is installed on the site, but it does not hold back the analytics and session recording — they fire independently of it. By the Italian regulator's position, behaviour monitoring requires consent and cannot pass as a technical cookie.

Full technical documentation is published at: https://gdpru.eu/audits/it-dt-mef-gov-it/

3. GDPR provisions I ask you to examine
Art. 13(1)(e) and Art. 5(1)(a) GDPR — session recording not declared; Art. 6(1)(a) GDPR / regulator's guidance — behaviour recording without consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]