Технический аудит · 15.06.2026

gse.it

Государственный оператор услуг в сфере энергетики Италии

Политика изменена — посмотреть, что именно · 2026-07-11 →

Сайт GSE (Gestore dei Servizi Energetici), государственного оператора услуг в энергетике. 123 запроса, 10 доменов. Баннера согласия нет, а на сайте работают сразу две системы записи поведения — модуль сессий ShinyStat и тепловые карты Siteimprove, — плюс рекламный пиксель. Конфигурация трекинга при этом несёт название компании двадцатилетней давности.

Хронология обращений

+170 мс · ShinyStat бьёт первым

Сайт на платформе Microsoft SharePoint. Уже на +170 мс уходит первый замер ShinyStat — с параметром USER=grtn, то есть с аббревиатурой прежнего, до 2005 года, названия компании.

+2297–2325 мс · запись сессий и Siteimprove

ShinyStat подгружает модуль записи сессий (sesrec.min.js) и отправляет служебные замеры, а следом загружается аналитика Siteimprove.

+2887–4696 мс · тепловые карты

Siteimprove делает снимок страницы (image.aspx) и три обращения к функции тепловых карт (heat.aspx) — фиксация того, куда смотрит и где кликает посетитель.

+6392–6699 мс · полный ShinyStat

ShinyStat разворачивает полный трекинг (getcod.cgi, getsd.cgi, collect.cgi, as.cgi). В сеансе также зафиксирован запрос к рекламной сети advm.brznetwork.com. Ни одного Set-Cookie за весь сеанс.

Декларация против факта

+ ShinyStat (с записью сессий) — не заявлен

+ Siteimprove Analytics + тепловые карты — не заявлен

+ Рекламный пиксель BRZ Network — не заявлен

Зафиксированные трекеры

ShinyStat (codicebusiness/ssa/optin.shinystat.com) — счётчик с модулем записи сессий (sesrec), параметр USER=grtn
Siteimprove Analytics + тепловые карты (heat.aspx)
Рекламный пиксель BRZ Network (advm.brznetwork.com)

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR / рекомендации регулятора — запись поведения без согласия
Механизма согласия на сайте нет вовсе. При этом работают сразу два инструмента, фиксирующих поведение посетителя: ShinyStat подгружает модуль записи сессий (sesrec.min.js), а Siteimprove строит тепловые карты (три обращения к heat.aspx). По позиции итальянского регулятора мониторинг поведения — это не технический cookie, а отдельный инструмент, для которого требуется согласие. Базовый анонимный счётчик ещё мог бы работать без спроса, но запись сессий и тепловые карты под это исключение не подпадают.
Art. 13(1)(e) GDPR — рекламный пиксель и трекеры не названы
Помимо аналитики, в замере зафиксирован запрос к рекламной сети (advm.brznetwork.com) — рекламный пиксель на сайте государственного оператора. Ни он, ни ShinyStat, ни Siteimprove не названы в предоставленном документе. Политика отсылает к отдельной странице о cookie, содержание которой в выгрузку не вошло и которое подтвердить не удалось.
Art. 5(1) GDPR — конфигурация трекинга устарела
Запросы ShinyStat несут параметр USER=grtn — это аббревиатура прежнего названия компании (GRTN), действовавшего до переименования в 2005 году. Признак того, что настройка трекинга не пересматривалась около двадцати лет.

Контекст

gse.it — сайт GSE S.p.A. (Gestore dei Servizi Energetici), государственной компании, которая управляет стимулами и услугами в сфере возобновляемой энергетики в Италии. Сделан на платформе Microsoft SharePoint. В замере 123 обращения к десяти доменам. Ответственным за обработку данных верно указана сама компания. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.

На первый взгляд тут просто пара счётчиков. Но при ближайшем рассмотрении набор оказывается тяжелее, чем кажется, и работает он без всякого согласия.

Кто получает данные

Тут были замечены: ShinyStat, Siteimprove, BRZ Network.

Был ли баннер согласия

Баннера нет вовсе — никакого механизма согласия на сайте не обнаружено. Тут нужна точность: базовый анонимный счётчик посещений по итальянским правилам можно приравнять к техническим средствам и не спрашивать за него согласия. Поэтому проблема не в самом факте подсчёта, а в том, что вместе со счётчиками работают инструменты другого рода, которые под это послабление не подпадают.

Две системы записи поведения сразу

Главное. Помимо обычного подсчёта, на сайте работают сразу два инструмента, фиксирующих поведение конкретного посетителя. ShinyStat подгружает модуль записи сессий — он отслеживает действия пользователя на странице. А Siteimprove строит тепловые карты: три отдельных обращения к соответствующей функции фиксируют, куда смотрит и где кликает посетитель. Это уже не подсчёт «сколько всего визитов», а наблюдение за поведением, и по позиции итальянского регулятора для такого наблюдения требуется согласие. Согласия же здесь нет вообще. Концептуально это то же самое, что встречавшаяся в серии запись сессий на государственных сайтах, — только реализованная другими вендорами.

Рекламный пиксель на сайте госоператора

Отдельная находка. В замере есть обращение к рекламной сети — рекламный пиксель на сайте государственного оператора энергоуслуг. Что он там делает, из самого замера не следует, но его присутствие на госсайте само по себе вопрос: рекламные сети существуют, чтобы собирать аудиторию для таргетинга, а здесь для этого нет ни основания, ни упоминания в документе.

Конфигурация двадцатилетней давности

Характерная деталь. Замеры ShinyStat несут параметр с аббревиатурой прежнего названия компании, которое она носила до переименования в 2005 году. Это говорит о том, что настройку трекинга не пересматривали около двадцати лет — она просто работает по инерции с давно заведёнными параметрами.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Политика отсылает к отдельной странице о cookie, и эту страницу мне достать не удалось, поэтому подтвердить, названы ли на ней ShinyStat и Siteimprove, я не могу — речь о неполноте доступного, а не о доказанном умолчании. Оба аналитических вендора европейские и заявляют анонимизацию, так что базовый счётчик, возможно, и раскрыт там как технический; но запись сессий, тепловые карты и рекламный пиксель — иной разговор. Точное время обращения к рекламной сети я отдельно не фиксировал, отмечаю сам факт. Замер охватывает главную страницу.

Вывод

Государственный оператор энергоуслуг держит на сайте сразу две системы наблюдения за поведением — запись сессий и тепловые карты, — а также рекламный пиксель, и всё это работает без какого-либо баннера согласия, на конфигурации трекинга, не обновлявшейся около двадцати лет. Базовый подсчёт посещений сам по себе мог бы быть законным и без спроса, но наблюдение за поведением и рекламная сеть под это послабление не подпадают. Главное, что должен вынести читатель: даже там, где «всего пара счётчиков», стоит присмотреться — здесь за этой парой скрываются запись поведения и реклама, о которых посетителя не спрашивают и в доступном документе не предупреждают.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/gse-it-2026-06-15.har

SHA-256: acf29faf80b8f0be7666ca81ea1b7f51d6d37a9dbff763922891bfa6a2472ca6

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — gse.it

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта gse.it.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Механизма согласия на сайте нет вовсе. При этом работают сразу два инструмента, фиксирующих поведение посетителя: ShinyStat подгружает модуль записи сессий (sesrec.min.js), а Siteimprove строит тепловые карты (три обращения к heat.aspx). По позиции итальянского регулятора мониторинг поведения — это не технический cookie, а отдельный инструмент, для которого требуется согласие. Базовый анонимный счётчик ещё мог бы работать без спроса, но запись сессий и тепловые карты под это исключение не подпадают.

2) Помимо аналитики, в замере зафиксирован запрос к рекламной сети (advm.brznetwork.com) — рекламный пиксель на сайте государственного оператора. Ни он, ни ShinyStat, ни Siteimprove не названы в предоставленном документе. Политика отсылает к отдельной странице о cookie, содержание которой в выгрузку не вошло и которое подтвердить не удалось.

3) Запросы ShinyStat несут параметр USER=grtn — это аббревиатура прежнего названия компании (GRTN), действовавшего до переименования в 2005 году. Признак того, что настройка трекинга не пересматривалась около двадцати лет.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-gse-it/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — gse.it

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website gse.it.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) There is no consent mechanism on the site at all. Yet two tools recording the visitor's behaviour work at once: ShinyStat loads a session-recording module (sesrec.min.js), and Siteimprove builds heatmaps (three requests to heat.aspx). By the Italian regulator's position, behaviour monitoring is not a technical cookie but a separate tool for which consent is required. A basic anonymous counter could still work without asking, but session recording and heatmaps do not fall under this exception.

2) Besides analytics, a request to an advertising network (advm.brznetwork.com) was recorded in the capture — an advertising pixel on the site of a state operator. Neither it, nor ShinyStat, nor Siteimprove is named in the provided document. The policy refers to a separate cookie page, whose content did not make it into the export and could not be confirmed.

3) The ShinyStat requests carry the parameter USER=grtn — an abbreviation of the company's former name (GRTN), in effect until the 2005 renaming. A sign that the tracking setup has not been revised for about twenty years.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-gse-it/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — gse.it

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом gse.it.

2. Обстоятельства
Я посетил сайт gse.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Механизма согласия на сайте нет вовсе. При этом работают сразу два инструмента, фиксирующих поведение посетителя: ShinyStat подгружает модуль записи сессий (sesrec.min.js), а Siteimprove строит тепловые карты (три обращения к heat.aspx). По позиции итальянского регулятора мониторинг поведения — это не технический cookie, а отдельный инструмент, для которого требуется согласие. Базовый анонимный счётчик ещё мог бы работать без спроса, но запись сессий и тепловые карты под это исключение не подпадают.

2) Помимо аналитики, в замере зафиксирован запрос к рекламной сети (advm.brznetwork.com) — рекламный пиксель на сайте государственного оператора. Ни он, ни ShinyStat, ни Siteimprove не названы в предоставленном документе. Политика отсылает к отдельной странице о cookie, содержание которой в выгрузку не вошло и которое подтвердить не удалось.

3) Запросы ShinyStat несут параметр USER=grtn — это аббревиатура прежнего названия компании (GRTN), действовавшего до переименования в 2005 году. Признак того, что настройка трекинга не пересматривалась около двадцати лет.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-gse-it/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR / рекомендации регулятора — запись поведения без согласия; Art. 13(1)(e) GDPR — рекламный пиксель и трекеры не названы; Art. 5(1) GDPR — конфигурация трекинга устарела

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — gse.it

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website gse.it.

2. Circumstances
I visited the website gse.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) There is no consent mechanism on the site at all. Yet two tools recording the visitor's behaviour work at once: ShinyStat loads a session-recording module (sesrec.min.js), and Siteimprove builds heatmaps (three requests to heat.aspx). By the Italian regulator's position, behaviour monitoring is not a technical cookie but a separate tool for which consent is required. A basic anonymous counter could still work without asking, but session recording and heatmaps do not fall under this exception.

2) Besides analytics, a request to an advertising network (advm.brznetwork.com) was recorded in the capture — an advertising pixel on the site of a state operator. Neither it, nor ShinyStat, nor Siteimprove is named in the provided document. The policy refers to a separate cookie page, whose content did not make it into the export and could not be confirmed.

3) The ShinyStat requests carry the parameter USER=grtn — an abbreviation of the company's former name (GRTN), in effect until the 2005 renaming. A sign that the tracking setup has not been revised for about twenty years.

Full technical documentation is published at: https://gdpru.eu/audits/it-gse-it/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR / regulator's guidance — behaviour recording without consent; Art. 13(1)(e) GDPR — the advertising pixel and trackers are not named; Art. 5(1) GDPR — the tracking configuration is outdated

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]