Технический аудит · 15.06.2026

epicentro.iss.it

Портал эпидемиологии Института здравоохранения Италии

EpiCentro — портал эпидемиологического надзора Института здравоохранения Италии (ISS). 16 запросов, 7 доменов. Заявленные в политике ShinyStat и Google Analytics в сессии не сработали, а единственный реально активный сторонний сервис — Google Fonts — не задекларирован и уводит IP в США.

Хронология обращений

+0–180 мс · только CDN-библиотеки

Стандартный фронтенд-стек: Bootstrap (BootstrapCDN), jQuery (code.jquery.com), Popper (jsDelivr), Font Awesome (Cloudflare). Трекеров на этом этапе нет.

+192–193 мс · Google Fonts

Описание стилей шрифтов с fonts.googleapis.com и сам файл шрифта с fonts.gstatic.com — единственный реально активный внешний сервис за сессию. Ни ShinyStat, ни Google Analytics, ни одного Set-Cookie.

Декларация против факта

✓ ShinyStat — заявлен, в сессии не активен — заявлен

✓ Google Analytics — заявлен, в сессии не активен — заявлен

+ Google Fonts — не заявлен

Зафиксированные трекеры

Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — передаёт IP в Google, США
CDN-библиотеки: BootstrapCDN, Cloudflare, jQuery, jsDelivr

Признаки несоответствия GDPR

Art. 13(1)(e) GDPR — заявленная аналитика не работает, реальный сервис не назван
Политика называет два инструмента статистики — ShinyStat и Google Analytics, оба с анонимизированным IP. В замере не появляется ни один из них. При этом единственный реально работающий внешний сервис — Google Fonts — в документе не упомянут вовсе. Получается двойное несоответствие: названо то, чего нет, и не названо то, что есть.
Art. 13(1)(f) GDPR — Google Fonts уводит IP в США
Шрифты Google подгружаются напрямую с серверов Google, и каждое такое обращение передаёт IP-адрес посетителя в Google (США). В политике этот сервис не назван, раздела о передаче данных за пределы ЕС в ней нет. Дополнительно несколько фронтенд-библиотек грузятся с внешних CDN, что также раскрывает IP сторонним площадкам.

Контекст

epicentro.iss.it — портал EpiCentro, ресурс эпидемиологического надзора Истинута здравоохранения Италии (ISS). Сюда заходят читать о здоровье и эпидемиологии — тема, по которой интересы посетителя кое-что говорят. В замере 16 обращений к семи доменам — сайт лёгкий. Ответственным за обработку данных верно указан сам институт, политика опирается на действующий регламент. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.

Находка здесь минорная, но характерная: документ и реальность разошлись сразу в двух направлениях.

Кто получает данные

Тут был замечен: Google.

Был ли баннер согласия

Уведомления о согласии нет. Политика прямо разрешает анонимную аналитику без предварительного согласия — со ссылкой на старое решение регулятора. Но тут есть нюанс: сама эта заявленная аналитика в замере не сработала, так что разрешать по факту нечего. А единственный реально активный сторонний сервис — Google Fonts — это не аналитика, и под разрешение для статистики он не подпадает.

Заявленная аналитика не сработала

Политика называет два инструмента статистики — ShinyStat и Google Analytics, оба с пометкой об анонимизации IP. В замере не появляется ни один из них. Это можно прочитать по-разному: либо инструменты убрали, а документ обновить забыли, либо они грузятся при каких-то условиях, не наступивших при этом заходе. Если аналитику и правда убрали — это в пользу приватности; но тогда документ стоило бы привести в соответствие. В любом случае заявленное и наблюдаемое не совпадают.

Назван не тот сервис Google

Самое любопытное — в направлении несоответствия. Документ упоминает Google Analytics, которого на сайте нет. И при этом молчит о Google Fonts, который на сайте есть и работает. То есть из двух сервисов Google назван отсутствующий, а реально работающий — пропущен. А ведь именно Google Fonts передаёт IP-адрес посетителя в Google в США при каждой загрузке страницы. Плюс несколько фронтенд-библиотек подтягиваются с внешних CDN, что тоже раскрывает IP сторонним площадкам, — мелочь на фоне остального, но в сумме картина «лёгкого» сайта оказывается чуть менее замкнутой на себя, чем кажется.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Отсутствие аналитики в этом сеансе не доказывает, что её убрали навсегда, — она могла бы грузиться при других условиях; я фиксирую лишь то, что в замере её нет. Обращение к Google Fonts уже само по себе передаёт IP, независимо от дальнейшего. Замер лёгкий, всего шестнадцать запросов, и охватывает главную страницу.

Вывод

Лёгкий сайт с устаревшей декларацией. Политика называет два инструмента аналитики, включая Google Analytics, ни один из которых в замере не работает, — а единственный реально активный сторонний сервис, Google Fonts, не назван и тихо отправляет IP посетителя в Google в США. Если аналитику убрали — это хорошо, но документ должен это отражать и заодно называть тот сервис Google, который действительно используется. Чинится всё в пару движений: перенести шрифты на свой сервер и обновить политику. Главное, что должен вынести читатель: иногда расхождение документа с реальностью работает в обе стороны — называют отсутствующее и умалчивают о присутствующем.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/epicentro-iss-it-2026-06-15.har

SHA-256: 5514b2c5e5c746dcb1c0410f85d877bbca03e31644afd57a69bbfa13f44df712

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — epicentro.iss.it

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта epicentro.iss.it.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Политика называет два инструмента статистики — ShinyStat и Google Analytics, оба с анонимизированным IP. В замере не появляется ни один из них. При этом единственный реально работающий внешний сервис — Google Fonts — в документе не упомянут вовсе. Получается двойное несоответствие: названо то, чего нет, и не названо то, что есть.

2) Шрифты Google подгружаются напрямую с серверов Google, и каждое такое обращение передаёт IP-адрес посетителя в Google (США). В политике этот сервис не назван, раздела о передаче данных за пределы ЕС в ней нет. Дополнительно несколько фронтенд-библиотек грузятся с внешних CDN, что также раскрывает IP сторонним площадкам.

2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-epicentro-iss-it/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Data access request (GDPR Art. 15) — epicentro.iss.it

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website epicentro.iss.it.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The policy names two statistics tools — ShinyStat and Google Analytics, both with an anonymised IP. Neither of them appears in the capture. Meanwhile the only actually working external service — Google Fonts — is not mentioned in the document at all. What results is a double mismatch: what is not there is named, and what is there is not named.

2) The Google fonts are loaded directly from Google's servers, and every such request transmits the visitor's IP address to Google (USA). This service is not named in the policy, and there is no section on the transfer of data outside the EU in it. Additionally, several front-end libraries load from external CDNs, which also exposes the IP to third-party platforms.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-epicentro-iss-it/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — epicentro.iss.it

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом epicentro.iss.it.

2. Обстоятельства
Я посетил сайт epicentro.iss.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-epicentro-iss-it/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 13(1)(e) GDPR — заявленная аналитика не работает, реальный сервис не назван; Art. 13(1)(f) GDPR — Google Fonts уводит IP в США

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — epicentro.iss.it

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website epicentro.iss.it.

2. Circumstances
I visited the website epicentro.iss.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The policy names two statistics tools — ShinyStat and Google Analytics, both with an anonymised IP. Neither of them appears in the capture. Meanwhile the only actually working external service — Google Fonts — is not mentioned in the document at all. What results is a double mismatch: what is not there is named, and what is there is not named.

2) The Google fonts are loaded directly from Google's servers, and every such request transmits the visitor's IP address to Google (USA). This service is not named in the policy, and there is no section on the transfer of data outside the EU in it. Additionally, several front-end libraries load from external CDNs, which also exposes the IP to third-party platforms.

Full technical documentation is published at: https://gdpru.eu/audits/it-epicentro-iss-it/

3. GDPR provisions I ask you to examine
Art. 13(1)(e) GDPR — the declared analytics does not work, the real service is not named; Art. 13(1)(f) GDPR — Google Fonts takes the IP to the USA

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]