gnosis.aisi.gov.it
Журнал AISI — внутренней спецслужбы Италии. 15 запросов, один домен, ни одного внешнего сервиса. Старый портал на Lotus Domino. Cookie не установлено ни одного, аналитики нет вовсе. Политика разрешает даже больше, чем сайт делает, — расхождения нет, сайт просто предельно минимален.
Хронология обращений
Контекст
gnosis.aisi.gov.it — портал журнала «Gnosis», который издаёт Агентство информации и внутренней безопасности Италии (AISI), часть национальной системы безопасности страны. Сайт работает на платформе Lotus Domino — архитектура старая, но как раз поэтому предельно минималистичная. В замере 15 обращений, и все — к единственному домену. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.
С учётом того, чьё это издание, к приватности здесь особый интерес. И результат однозначный: собирать тут попросту нечего.
Был ли баннер согласия
Баннера нет, и он не нужен. На сайте — только технические сессионные cookie, причём в этом замере не появилось ни одного cookie вообще. Профилирования нет, сторонних сервисов нет. Поскольку спрашивать согласие не на что, отсутствие баннера здесь закономерно.
Полное отсутствие трекеров
За весь сеанс — ни одного внешнего домена, ни одного cookie, ни одного скрипта аналитики. Только статические ресурсы сайта: стили, изображения, библиотека jQuery — всё со своего же сервера. Соединение защищённое: первый запрос по незащищённому протоколу сразу перенаправляется на защищённый. Это самый минимальный из разобранных сайтов: даже у самых чистых из госпорталов была хотя бы собственная аналитика, а здесь нет и её.
Политика разрешает больше, чем сайт делает
Любопытная деталь при сверке. Политика у этого портала общая — единая для всей сети порталов разведывательного сообщества, написанная под зонтичный сайт. И она даже допускает использование стороннего YouTube и сбор анонимной статистики о посещениях. Но конкретно журнал Gnosis не использует ни того, ни другого: ни встроенных видео, ни аналитики, ни единого внешнего обращения. То есть сайт ведёт себя строже, чем позволяет его собственный документ. Это не расхождение в привычном смысле — обещали меньше приватности, сделали больше, — но отметить стоит: типовая политика описывает сеть в целом, а не именно этот предельно аскетичный портал.
Чего по замеру утверждать нельзя
Честные оговорки. Замер охватывает главную страницу журнала; поведение возможных внутренних разделов отсюда не видно. Политика отдельно оговаривает, что навигационные данные при необходимости могут использоваться для установления личности в рамках расследования правонарушений против сайта — это стандартная охранная норма, и в обычном визите она никак не проявляется. Точные IP-адреса серверов в облегчённой выгрузке не сохранены, но это и неважно: единственный домен принадлежит самому ведомству.
Вывод
Чистый результат без оговорок по существу: ни внешних доменов, ни трекеров, ни cookie, ни аналитики. Для портала спецслужбы такая аскетичность логична, но от этого она не менее показательна — это образец того, что сайт может вообще ничего не собирать о посетителе сверх технически необходимого. Политика даже допускает чуть больше, чем сайт себе позволяет. Главное, что должен вынести читатель: на фоне порталов, сливавших данные в Google и Meta с первой секунды, здесь нет ни единой точки, где данные посетителя уходили бы куда-либо, — и именно так выглядит предельно честная по отношению к пользователю реализация.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
35dcbe6db893f3e4f0a93969c3f1777866d99acdc52e009cd84618124a22b060Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — gnosis.aisi.gov.it Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта gnosis.aisi.gov.it. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) Прошу предоставить информацию по всем категориям, целям и получателям обработки моих данных на этом сайте — независимо от того, выявлены ли на сегодняшний день какие-либо несоответствия. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-gnosis-aisi-gov-it/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — gnosis.aisi.gov.it To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website gnosis.aisi.gov.it. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) I request information on all categories, purposes, and recipients of my data processed on this site — regardless of whether any non-compliance has been identified to date. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-gnosis-aisi-gov-it/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]