Технический аудит · 15.06.2026

finanze.gov.it

Департамент финансов Минэкономики и финансов Италии

Сайт Департамента финансов Министерства экономики и финансов Италии. 44 запроса, 2 домена. Аналитика заявлена как анонимная агрегированная статистика, но фактически работает модуль записи сессий на той же государственной инфраструктуре Sogei, что и у ряда других госсайтов серии. За пределы страны при этом не уходит ничего.

Хронология обращений

+0–206 мс · загрузка портала

Сайт на системе управления контентом от государственного подрядчика Sogei. Все ресурсы темы — со своего домена.

+301–811 мс · аналитика и запись сессий

Скрипт аналитики Sogei загружается на +301 мс. Замер посещения уходит на +801 мс (несёт идентификатор посетителя), и сразу следом, на +811 мс, активируется модуль записи сессий. Ни одного Set-Cookie за весь сеанс.

Декларация против факта

+ Matomo на инфраструктуре Sogei — с записью сессий — не заявлен

Зафиксированные трекеры

Matomo на инфраструктуре Sogei (aaws-aanalytics.sogei.it, idsite=8) — несёт идентификатор посетителя, с активным модулем записи сессий

Признаки несоответствия GDPR

Art. 13(1)(e) и Art. 5(1)(a) GDPR — запись сессий не задекларирована
Политика описывает данные навигации как используемые только для получения анонимной статистики и прямо отрицает профилирование, не называя конкретного инструмента. Фактически наряду с обычным замером посещения активен модуль записи сессий (HeatmapSessionRecording, configs.php отвечает 200) на государственной инфраструктуре Sogei. Это фиксация поведения посетителя, а не агрегированная анонимная статистика, и в документе она не упомянута. Тот же модуль Sogei уже встречался в серии на сайтах налоговой службы, агентства кибербезопасности и правительства — то есть это особенность общей государственной платформы.
Art. 6(1)(a) GDPR / рекомендации регулятора — запись поведения без согласия
Баннера согласия в замере нет. По позиции итальянского регулятора мониторинг поведения требует согласия и не может проходить как технический cookie. Здесь запись сессий запускается без какого-либо спроса.

Контекст

finanze.gov.it — сайт Департамента финансов (Dipartimento delle Finanze), структурного подразделения Министерства экономики и финансов Италии, отвечающего за налоговую и фискальную политику. Сделан на системе управления контентом государственного подрядчика Sogei. В замере 44 обращения к двум доменам: самому сайту и аналитике Sogei. Ответственным за обработку данных верно указан сам департамент. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.

Случай, который к этому моменту серии стал, к сожалению, узнаваемым: государственный сайт на инфраструктуре Sogei, и на нём всё тот же модуль записи сессий.

Кто получает данные

Тут была замечена: Sogei (государственная, Италия). Иностранных и коммерческих получателей нет.

Был ли баннер согласия

Уведомления о согласии в замере нет. Государственная анонимная статистика приравнена к техническим средствам и согласия не требует — но, как и на других сайтах с этим модулем, под это послабление подпадает только обычный подсчёт, а не запись поведения. Стоит также отметить, что замер несёт идентификатор посетителя, так что «анонимность» здесь с оговоркой.

Тот же модуль записи сессий — снова

Помимо обычного замера посещения на сайте активен модуль записи сессий — он фиксирует поведение конкретного посетителя, а не считает обезличенные визиты. Запрос к нему проходит успешно, то есть модуль реально работает. Это ровно тот же инструмент на той же инфраструктуре Sogei, что уже встречался в серии на сайтах налоговой службы, агентства кибербезопасности и самого правительства. Повторяемость на разных ведомствах указывает, что это не настройка отдельного сайта, а свойство общей государственной платформы — и оно тиражируется на все построенные на ней порталы.

Политика обещает «анонимно и без профилирования»

Документ описывает сбор как анонимный и прямо отрицает профилирование. Замер уточняет: счётчик несёт идентификатор посетителя, а вдобавок ведётся запись сессий. И то и другое плохо вяжется со словами «анонимно» и «без профилирования» — точнее было бы сказать «обезличено частично». При этом сам инструмент в политике не назван, и о записи сессий нет ни слова.

Куда уходят данные — никуда за рубеж

Существенный плюс, который надо назвать честно. Вся аналитика — на государственной инфраструктуре Sogei, и за пределы страны не уходит ничего: ни Google, ни иных иностранных получателей. На фоне коммерческих сайтов серии, отдававших данные за океан, это важное отличие. Проблема здесь не в том, куда уходят данные, а в том, что о записи поведения умалчивают и не спрашивают согласия.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Об активности записи сессий я сужу по успешному ответу её модуля; содержимое самой записи в замере не видно. Уведомление о согласии в этом сеансе не зафиксировано — возможно, оно показывается в других условиях, но к моменту замера запись уже отработала. Идентификатор посетителя виден прямо в замере. Аналитика государственная, поэтому вопрос географии серверов не стоит. Замер охватывает главную страницу.

Вывод

Ещё один государственный сайт, повторяющий знакомый по серии пробел: аналитика обещана как анонимная и без профилирования, а на деле наряду с подсчётом ведётся запись сессий, и счётчик помечает посетителя идентификатором. Важно, что всё это остаётся в государственной инфраструктуре и за рубеж не уходит, — это реальный плюс. Но системный модуль записи сессий Sogei всплывает снова, теперь на департаменте, отвечающем за фискальную политику. Главное, что должен вынести читатель: это уже не оплошность отдельного ведомства, а свойство платформы, на которой построены десятки госсайтов, — и закрывать его нужно тоже на уровне платформы: либо честно описать запись сессий в политике, либо спрашивать на неё согласие.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/finanze-gov-it-2026-06-15.har

SHA-256: 659fab1915c8fee0db0c6f8cbd54c84f1c93d6a1e0653a733a498d345d2f9136

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — finanze.gov.it

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта finanze.gov.it.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Политика описывает данные навигации как используемые только для получения анонимной статистики и прямо отрицает профилирование, не называя конкретного инструмента. Фактически наряду с обычным замером посещения активен модуль записи сессий (HeatmapSessionRecording, configs.php отвечает 200) на государственной инфраструктуре Sogei. Это фиксация поведения посетителя, а не агрегированная анонимная статистика, и в документе она не упомянута. Тот же модуль Sogei уже встречался в серии на сайтах налоговой службы, агентства кибербезопасности и правительства — то есть это особенность общей государственной платформы.

2) Баннера согласия в замере нет. По позиции итальянского регулятора мониторинг поведения требует согласия и не может проходить как технический cookie. Здесь запись сессий запускается без какого-либо спроса.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-finanze-gov-it/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — finanze.gov.it

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website finanze.gov.it.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The policy describes the navigation data as used only to obtain anonymous statistics and explicitly denies profiling, without naming a specific tool. In fact, alongside the ordinary visit measurement a session-recording module is active (HeatmapSessionRecording, configs.php responds 200) on Sogei's government infrastructure. This is the recording of visitor behaviour, not aggregate anonymous statistics, and it is not mentioned in the document. The same Sogei module has already appeared in the series on the sites of the tax authority, the cybersecurity agency and the government — that is, this is a trait of the shared government platform.

2) There is no consent banner in the capture. By the Italian regulator's position, behaviour monitoring requires consent and cannot pass as a technical cookie. Here the session recording launches without any asking.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-finanze-gov-it/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — finanze.gov.it

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом finanze.gov.it.

2. Обстоятельства
Я посетил сайт finanze.gov.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Политика описывает данные навигации как используемые только для получения анонимной статистики и прямо отрицает профилирование, не называя конкретного инструмента. Фактически наряду с обычным замером посещения активен модуль записи сессий (HeatmapSessionRecording, configs.php отвечает 200) на государственной инфраструктуре Sogei. Это фиксация поведения посетителя, а не агрегированная анонимная статистика, и в документе она не упомянута. Тот же модуль Sogei уже встречался в серии на сайтах налоговой службы, агентства кибербезопасности и правительства — то есть это особенность общей государственной платформы.

2) Баннера согласия в замере нет. По позиции итальянского регулятора мониторинг поведения требует согласия и не может проходить как технический cookie. Здесь запись сессий запускается без какого-либо спроса.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-finanze-gov-it/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 13(1)(e) и Art. 5(1)(a) GDPR — запись сессий не задекларирована; Art. 6(1)(a) GDPR / рекомендации регулятора — запись поведения без согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — finanze.gov.it

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website finanze.gov.it.

2. Circumstances
I visited the website finanze.gov.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The policy describes the navigation data as used only to obtain anonymous statistics and explicitly denies profiling, without naming a specific tool. In fact, alongside the ordinary visit measurement a session-recording module is active (HeatmapSessionRecording, configs.php responds 200) on Sogei's government infrastructure. This is the recording of visitor behaviour, not aggregate anonymous statistics, and it is not mentioned in the document. The same Sogei module has already appeared in the series on the sites of the tax authority, the cybersecurity agency and the government — that is, this is a trait of the shared government platform.

2) There is no consent banner in the capture. By the Italian regulator's position, behaviour monitoring requires consent and cannot pass as a technical cookie. Here the session recording launches without any asking.

Full technical documentation is published at: https://gdpru.eu/audits/it-finanze-gov-it/

3. GDPR provisions I ask you to examine
Art. 13(1)(e) and Art. 5(1)(a) GDPR — session recording not declared; Art. 6(1)(a) GDPR / regulator's guidance — behaviour recording without consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]