Сайт самого итальянского регулятора по защите данных. 110 запросов, 3 домена. Собственная аналитика реализована образцово — на своём домене, без следящего идентификатора, с маскировкой IP ровно так, как описано в политике. Единственная зацепка — сервис озвучивания текста ReadSpeaker: он европейский, cookie не ставит, но как сторонний получатель IP в политике не упомянут — притом что именно этот орган обязывает всех остальных такие сервисы перечислять.
Хронология обращений
Декларация против факта
Зафиксированные трекеры
- Matomo на собственном домене Garante (gpdp.it) — без следящего идентификатора, IP маскируется на 2 байта, задекларирован
- ReadSpeaker — озвучивание текста для незрячих, на европейском CDN, без cookie, в политике не упомянут
Признаки несоответствия GDPR
- Art. 13(1)(e) GDPR — сторонний сервис не указан в списке получателейПолитика категорично заявляет, что сторонние cookie не устанавливаются, и приводит закрытый список из шести конкретных получателей данных, designated Garante. Среди них нет сервиса ReadSpeaker (озвучивание текста вслух), который загружается при каждом визите и получает IP-адрес посетителя. Формально заявление про cookie верно — ReadSpeaker их не ставит, — но как сторонний получатель данных он в документе не назван вовсе. Сервис европейский и функция у него вспомогательная, поэтому это вопрос полноты декларации, а не утечки данных.
Контекст
garanteprivacy.it — официальный сайт Garante per la protezione dei dati personali, то есть самого итальянского надзорного органа по защите данных. Того самого, который пишет правила декларирования третьих сторон для всех остальных сайтов страны. Сделан на платформе Liferay. В замере 110 обращений к трём доменам. Политика верно указывает титуляром сам Garante и перечисляет полтора десятка относящихся к нему доменов, включая gpdp.it. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.
Поскольку это сайт регулятора, к нему особый интерес: соблюдает ли автор правил собственные требования. По большей части — да, и весьма аккуратно. Но одна деталь выбивается.
Аналитика — образцово
Сначала о том, что сделано правильно. Веб-аналитика здесь — на собственном домене Garante, а не на стороннем сервисе. Замер показывает то же, что и политика: IP-адрес маскируется обнулением двух последних байтов — ровно как написано в документе, — постоянный идентификатор посетителю не присваивается, и ни одного cookie за сеанс не ставится. Это аккуратная, приватная по конструкции аналитика, и обещанное полностью совпадает с фактом. На этом участке регулятор практикует ровно то, что проповедует.
ReadSpeaker — единственная незадекларированная сторона
А теперь зацепка. На сайте работает сервис ReadSpeaker — инструмент, который озвучивает текст страницы вслух, нужный прежде всего людям с нарушениями зрения. Он загружается в начале визита, и при этом IP-адрес посетителя уходит на серверы этого сервиса.
Здесь важно соблюсти пропорцию и не раздуть находку. Во-первых, ReadSpeaker — европейский сервис, его адрес прямо указывает на европейскую инфраструктуру, так что утечки данных за пределы ЕС тут нет. Во-вторых, это не рекламный и не поведенческий трекер, а вспомогательный инструмент доступности — вещь скорее похвальная. В-третьих, cookie он в этом сеансе не ставит, поэтому буквальное утверждение политики «сторонние cookie не устанавливаются» формально остаётся верным.
Проблема узкая, но настоящая: политика приводит закрытый список из шести конкретных получателей данных, и ReadSpeaker в него не входит — как не упомянут он и нигде в тексте. А он сторонний получатель IP-адреса посетителя. То есть декларация неполна.
Ирония — и почему это всё-таки стоит отметить
Сам по себе пропуск маленький и чинится одной строкой в документе. Но место находки придаёт ей вес: именно Garante — тот орган, чьи рекомендации обязывают каждый итальянский сайт перечислять все сторонние сервисы, получающие данные пользователей. И на собственном сайте у него один такой сервис в перечне отсутствует. По сути это не лицемерие — функция у ReadSpeaker благая, утечки нет, — а скорее недосмотр. Но недосмотр символичный: автор правила сам его на одну позицию недовыполнил.
Чего по замеру утверждать нельзя
Несколько честных оговорок. Содержимое замера аналитики уходит не в адресе запроса, поэтому про маскировку IP я опираюсь на политику — и она согласуется с тем, что cookie и постоянного идентификатора в замере нет. Принадлежность ReadSpeaker к европейской инфраструктуре я определяю по его домену; точное расположение сервера в облегчённой выгрузке не зафиксировано. Замер охватывает главную страницу.
Вывод
Сайт регулятора по большей части показывает именно то, что регулятор требует от других: собственная аналитика на своём домене, без следящего идентификатора, с маскировкой IP с точностью до байта, как и записано в политике. Единственное пятно — сервис озвучивания ReadSpeaker, который получает IP посетителя, но в списке получателей данных не значится. Он европейский, безвредный по функции и не ставит cookie, так что речь о неполноте декларации, а не об утечке. Главное, что должен вынести читатель: даже у образцового в основе сайта — и даже у самого органа по защите данных — находится незакрытая мелочь; и тем ценнее, что здесь это действительно мелочь, а не скрытая слежка, как на иных разобранных сайтах.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
455c1b44c2b8552792cc047270477f0152665cff3fee2139fa455d276d668807Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — garanteprivacy.it Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта garanteprivacy.it. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) Политика категорично заявляет, что сторонние cookie не устанавливаются, и приводит закрытый список из шести конкретных получателей данных, designated Garante. Среди них нет сервиса ReadSpeaker (озвучивание текста вслух), который загружается при каждом визите и получает IP-адрес посетителя. Формально заявление про cookie верно — ReadSpeaker их не ставит, — но как сторонний получатель данных он в документе не назван вовсе. Сервис европейский и функция у него вспомогательная, поэтому это вопрос полноты декларации, а не утечки данных. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-garanteprivacy-it/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — garanteprivacy.it To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website garanteprivacy.it. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) The policy categorically states that no third-party cookies are set and provides a closed list of six specific data recipients designated by Garante. Among them there is no ReadSpeaker service (reading text aloud), which loads on every visit and receives the visitor's IP address. Formally the statement about cookies is correct — ReadSpeaker does not set them — but as a third-party data recipient it is not named in the document at all. The service is European and its function is auxiliary, so this is a question of the completeness of the declaration, not a data leak. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-garanteprivacy-it/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — garanteprivacy.it 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом garanteprivacy.it. 2. Обстоятельства Я посетил сайт garanteprivacy.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) Политика категорично заявляет, что сторонние cookie не устанавливаются, и приводит закрытый список из шести конкретных получателей данных, designated Garante. Среди них нет сервиса ReadSpeaker (озвучивание текста вслух), который загружается при каждом визите и получает IP-адрес посетителя. Формально заявление про cookie верно — ReadSpeaker их не ставит, — но как сторонний получатель данных он в документе не назван вовсе. Сервис европейский и функция у него вспомогательная, поэтому это вопрос полноты декларации, а не утечки данных. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-garanteprivacy-it/ 3. Положения GDPR, соблюдение которых прошу проверить Art. 13(1)(e) GDPR — сторонний сервис не указан в списке получателей 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — garanteprivacy.it 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website garanteprivacy.it. 2. Circumstances I visited the website garanteprivacy.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications: 1) The policy categorically states that no third-party cookies are set and provides a closed list of six specific data recipients designated by Garante. Among them there is no ReadSpeaker service (reading text aloud), which loads on every visit and receives the visitor's IP address. Formally the statement about cookies is correct — ReadSpeaker does not set them — but as a third-party data recipient it is not named in the document at all. The service is European and its function is auxiliary, so this is a question of the completeness of the declaration, not a data leak. Full technical documentation is published at: https://gdpru.eu/audits/it-garanteprivacy-it/ 3. GDPR provisions I ask you to examine Art. 13(1)(e) GDPR — a third-party service is not listed among the recipients 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]