Технический аудит · 20.06.2026

leroymerlin.it

Магазин товаров для дома и ремонта

Leroymerlin.it — сеть магазинов товаров для дома и ремонта. Замер главной страницы: 158 обращений, 17 доменов. Стоит платформа сбора согласия OneTrust, а рекламно-аналитический слой Google держится в режиме «согласие не дано» — это в пользу сайта. Но до согласия отрабатывает собственный трекинг головной группы Adeo: он шлёт событие просмотра страницы и, главное, данные тепловой карты — фиксацию поведения пользователя на странице. Параллельно до согласия загружаются платформа клиентских данных Tealium и мониторинг сессий Datadog. При этом собственная политика сайта прямо относит и статистическую аналитику, и профилирование к обработке по согласию — то есть площадка сама объявляет согласие обязательным, а поведенческая слежка стартует раньше него.

Хронология обращений

501–790 мс · сторонний медиа-CDN

Загружаются изображения со стороннего медиа-CDN. Это статические картинки, без трекинга, но домен сторонний.

1459 мс · платформа клиентских данных Tealium

Загружается Tealium — платформа клиентских данных и управления тегами, которая оркеструет сбор и распределение данных. Это происходит до согласия.

1510 мс · мониторинг сессий Datadog

Подключается мониторинг реальных сессий Datadog. Помимо технических метрик он фиксирует взаимодействие пользователя для анализа производительности.

1569 мс · собственный трекинг Adeo

Загружается собственный трекинг головной группы Adeo (сервис Optimeeze). Это подготовка к сбору поведенческих данных.

1987–3655 мс · платформа согласия OneTrust

Загружается платформа сбора согласия OneTrust. Механизм согласия предусмотрен — значит то, что отрабатывает раньше выбора, происходит до согласия.

3701 мс · событие просмотра (статистика)

Трекинг Adeo отправляет событие просмотра страницы. По собственной политике сайта статистическая аналитика требует согласия — а оно ещё не дано.

около 18 секунд · тепловая карта поведения

Трекинг Adeo отправляет данные тепловой карты — фиксацию поведения пользователя на странице. Это поведенческое наблюдение, и оно отрабатывает примерно одновременно с фиксацией согласия, а не после явного выбора.

Декларация против факта

+ Optimeeze (Adeo) — не заявлен

+ Tealium — не заявлен

+ Datadog — не заявлен

Зафиксированные трекеры

Трекинг Adeo (Optimeeze, тепловые карты)
Tealium (CDP)
Datadog RUM
Google (denied-режим)
Caast.tv
OneTrust

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR — статистика и поведенческая тепловая карта срабатывают до согласия, вопреки собственной политике
На сайте стоит платформа сбора согласия OneTrust, и чек согласия в этом сеансе фиксируется примерно на 18-й секунде. Но ещё до него отрабатывает собственный трекинг головной группы Adeo (сервис Optimeeze): на 3,7 секунды он отправляет событие просмотра страницы, а к 18-й секунде — данные тепловой карты, то есть фиксацию поведения пользователя на странице (движения, внимание к блокам). Параллельно загружается платформа клиентских данных Tealium и мониторинг реальных сессий Datadog. Принципиально, что сама политика сайта прямо относит и статистическую аналитику, и профилирование к обработке на основании согласия (статья 6.1, буква a). То есть площадка сама объявляет согласие обязательным для этих целей — а статистика и поведенческая тепловая карта отрабатывают раньше него. Рекламно-аналитический слой Google при этом держится в режиме «согласие не дано», что засчитываем сайту, но собственный поведенческий трекинг группы этого режима не придерживается.

Контекст

www.leroymerlin.it — сеть гипермаркетов товаров для дома, строительства и ремонта (головная группа Adeo). Контролёр данных — оператор Leroy Merlin. Сайт коммерческий: каталог, поиск, корзина, услуги, личный кабинет.

Замер: 158 обращений к 17 доменам, главная страница, снят на чистом браузере Edge без VPN и блокировщика. Стоит платформа сбора согласия OneTrust. Технический стек включает собственный трекинг головной группы, платформу клиентских данных и мониторинг сессий.

Кто получает данные

Тут были замечены: Adeo (Optimeeze), Tealium, Datadog.

Собственный трекинг группы Adeo (сервис Optimeeze) собирает событие просмотра страницы и данные тепловой карты — то есть фиксацию поведения пользователя. Tealium — платформа клиентских данных, оркеструющая сбор и распределение. Datadog — мониторинг реальных сессий. Рекламно-аналитический слой Google присутствует, но держится в режиме «согласие не дано». Дополнительно работают видео-сервис покупок Caast и сторонний медиа-CDN изображений.

Был ли баннер согласия

Да, на сайте есть платформа сбора согласия OneTrust, и чек согласия в сеансе фиксируется примерно на 18-й секунде. Но к этому моменту собственный трекинг группы уже отправил событие просмотра, а тепловая карта поведения уходит примерно одновременно с фиксацией согласия — то есть не после явного выбора.

Ключевое: собственная политика сайта прямо относит и статистическую аналитику, и профилирование к обработке на основании согласия. То есть площадка сама объявляет согласие обязательным условием — а эти сборы стартуют раньше него.

Что срабатывает до согласия

До фиксации согласия отрабатывает:

собственный трекинг Adeo — событие просмотра страницы (статистика);
собственный трекинг Adeo — данные тепловой карты (поведение пользователя);
платформа клиентских данных Tealium;
мониторинг сессий Datadog.

Рекламно-аналитический слой Google при этом держится в режиме «согласие не дано» — без cookie и персонализации, и это засчитываем сайту. Но собственный поведенческий трекинг группы этого режима не придерживается: тепловая карта фиксирует поведение, а событие просмотра уходит задолго до согласия.

Расхождение с собственной политикой

Это узловой пункт. Политика сайта недвусмысленна: и статистическая аналитика производительности, и профилирование указаны как обработка на основании добровольного, отзывного согласия по статье 6.1, буква a. То есть документ сам устанавливает, что эти цели требуют согласия. А по замеру и статистическое событие просмотра, и поведенческая тепловая карта отрабатывают до фиксации согласия. Получается, что сайт не соблюдает условие, которое сам же для себя сформулировал.

Вывод

Leroymerlin.it — коммерческий случай со смешанной картиной. В пользу сайта то, что рекламно-аналитический слой Google держится в режиме «согласие не дано». Но собственный трекинг головной группы отрабатывает до согласия: отправляет событие просмотра и снимает тепловую карту поведения пользователя, а рядом до согласия загружаются платформа клиентских данных и мониторинг сессий. И всё это — притом что политика сайта прямо относит статистику и профилирование к обработке по согласию. Главное, что должен вынести читатель: когда площадка сама объявляет согласие основанием для аналитики и профилирования, запуск этих сборов раньше согласия — это расхождение не с абстрактным правилом, а с собственным обещанием сайта. Достаточно перевести собственный трекинг в режим ожидания согласия, как это уже сделано для слоя Google."

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/leroymerlin-it-2026-06-20.har

SHA-256: 59aaf439a5cff81c99090453399a096f5497b7494d2d44d7b564a17dcfc9964d

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — leroymerlin.it

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта leroymerlin.it.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте стоит платформа сбора согласия OneTrust, и чек согласия в этом сеансе фиксируется примерно на 18-й секунде. Но ещё до него отрабатывает собственный трекинг головной группы Adeo (сервис Optimeeze): на 3,7 секунды он отправляет событие просмотра страницы, а к 18-й секунде — данные тепловой карты, то есть фиксацию поведения пользователя на странице (движения, внимание к блокам). Параллельно загружается платформа клиентских данных Tealium и мониторинг реальных сессий Datadog. Принципиально, что сама политика сайта прямо относит и статистическую аналитику, и профилирование к обработке на основании согласия (статья 6.1, буква a). То есть площадка сама объявляет согласие обязательным для этих целей — а статистика и поведенческая тепловая карта отрабатывают раньше него. Рекламно-аналитический слой Google при этом держится в режиме «согласие не дано», что засчитываем сайту, но собственный поведенческий трекинг группы этого режима не придерживается.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-leroymerlin-it/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — leroymerlin.it

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website leroymerlin.it.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site has a OneTrust consent-collection platform, and the consent check in this session is recorded at around the 18th second. But before it the parent group Adeo's own tracking fires (the Optimeeze service): at 3.7 seconds it sends a page-view event, and by the 18th second — heatmap data, that is, the recording of the user's behaviour on the page (movements, attention to blocks). In parallel, the Tealium customer-data platform and Datadog real-session monitoring load. It is fundamental that the site's own policy explicitly classes both statistical analytics and profiling as processing based on consent (Article 6.1, letter a). That is, the platform itself declares consent obligatory for these purposes — while the statistics and behavioural heatmap fire before it. Google's advertising-and-analytics layer, meanwhile, is held in «consent not given» mode, which counts in the site's favour, but the group's own behavioural tracking does not adhere to this mode.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-leroymerlin-it/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — leroymerlin.it

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом leroymerlin.it.

2. Обстоятельства
Я посетил сайт leroymerlin.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 20.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте стоит платформа сбора согласия OneTrust, и чек согласия в этом сеансе фиксируется примерно на 18-й секунде. Но ещё до него отрабатывает собственный трекинг головной группы Adeo (сервис Optimeeze): на 3,7 секунды он отправляет событие просмотра страницы, а к 18-й секунде — данные тепловой карты, то есть фиксацию поведения пользователя на странице (движения, внимание к блокам). Параллельно загружается платформа клиентских данных Tealium и мониторинг реальных сессий Datadog. Принципиально, что сама политика сайта прямо относит и статистическую аналитику, и профилирование к обработке на основании согласия (статья 6.1, буква a). То есть площадка сама объявляет согласие обязательным для этих целей — а статистика и поведенческая тепловая карта отрабатывают раньше него. Рекламно-аналитический слой Google при этом держится в режиме «согласие не дано», что засчитываем сайту, но собственный поведенческий трекинг группы этого режима не придерживается.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-leroymerlin-it/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR — статистика и поведенческая тепловая карта срабатывают до согласия, вопреки собственной политике

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — leroymerlin.it

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website leroymerlin.it.

2. Circumstances
I visited the website leroymerlin.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 20 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has a OneTrust consent-collection platform, and the consent check in this session is recorded at around the 18th second. But before it the parent group Adeo's own tracking fires (the Optimeeze service): at 3.7 seconds it sends a page-view event, and by the 18th second — heatmap data, that is, the recording of the user's behaviour on the page (movements, attention to blocks). In parallel, the Tealium customer-data platform and Datadog real-session monitoring load. It is fundamental that the site's own policy explicitly classes both statistical analytics and profiling as processing based on consent (Article 6.1, letter a). That is, the platform itself declares consent obligatory for these purposes — while the statistics and behavioural heatmap fire before it. Google's advertising-and-analytics layer, meanwhile, is held in «consent not given» mode, which counts in the site's favour, but the group's own behavioural tracking does not adhere to this mode.

Full technical documentation is published at: https://gdpru.eu/audits/it-leroymerlin-it/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR — statistics and a behavioural heatmap fire before consent, against the site's own policy

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]