Технический аудит · 15.06.2026

mediaworld.it

Розничная сеть бытовой электроники и техники

MediaWorld (контролёр Mediamarket S.p.A., часть европейской группы MediaMarktSaturn) — крупнейшая в Италии розничная сеть бытовой электроники. 178 обращений, всего 6 доменов, и это самый сдержанный сайт серии: тяжёлых трекеров до согласия здесь нет. Ни передачи данных в Google Analytics, ни рекламных пикселей, ни сторонних бирж в сеансе не сработало. До согласия отрабатывают лишь сторонний сервис измерения скорости SpeedCurve (США, на 155-й миллисекунде), загрузка систем тегов Google и присвоение собственного идентификатора посетителя. Случай пограничный и мягкий, но формально обращения к сторонним сервисам до согласия здесь есть.

Хронология обращений

155 мс · сервис измерения скорости раньше всех

Самым первым из стороннего загружается SpeedCurve — внешний инструмент, замеряющий скорость загрузки страниц. Он стартует ещё до того, как загрузился собственный механизм согласия сайта. Серверы SpeedCurve находятся в США.

555 мс · собственный механизм согласия

Загружаются собственные модули сайта, отвечающие за сбор согласия. Механизм здесь свой, встроенный, а не сторонняя платформа согласия.

1218 мс · присвоение идентификатора посетителю

Сайт через свой же адрес присваивает посетителю постоянный идентификатор. Это происходит до того, как пользователь сделал выбор по cookie.

1248 мс и далее · четыре системы тегов Google

Сайт обращается к домену Google и в первые секунды загружает четыре контейнера системы управления тегами (Google Tag Manager). Это обращение передаёт Google адрес посетителя и сведения о странице — но дальнейших отправок данных тегами (в аналитику или рекламу) в сеансе не последовало.

5260 мс · собственная служебная телеметрия

Начинается поток служебных сообщений на внутренний адрес самого сайта. Это его собственная телеметрия событий; содержимое сообщений в выгрузке отредактировано, поэтому что именно в них — установить нельзя.

6545 мс · сообщение сервису SpeedCurve

На серверы SpeedCurve уходит служебное сообщение — то есть сторонний сервис не просто загрузился, но и отправил данные, по-прежнему без зафиксированного решения пользователя по согласию.

Декларация против факта

+ SpeedCurve — не заявлен

+ Google Tag Manager — не заявлен

Зафиксированные трекеры

SpeedCurve (cdn.speedcurve.com, beacon.speedcurve.com)
Google Tag Manager — система управления тегами Google
Собственный постоянный идентификатор посетителя
Собственный поток служебных событий сайта на внутренний адрес

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR — сторонний сервис измерения скорости работает до согласия
В чистом сеансе самым первым из всего стороннего загружается SpeedCurve — внешний инструмент, измеряющий скорость загрузки страниц и фиксирующий ошибки. Он запускается на 155-й миллисекунде, ещё до того как успевает загрузиться собственный механизм согласия сайта, а позже, примерно на шестой секунде, отправляет на свои серверы служебное сообщение. SpeedCurve — сторонняя компания с серверами в США, и его запуск и обращения происходят раньше любого решения пользователя о cookie. Сбор таких данных о производительности нередко оправдывают технической необходимостью, но фактически это сторонний получатель, отрабатывающий до согласия.
Art. 6(1)(a) GDPR — загрузка систем тегов Google до согласия
В первые секунды визита, ещё до выбора пользователя, сайт обращается к домену Google и загружает четыре контейнера Google Tag Manager — это система, через которую обычно подключают аналитику и рекламные теги. Само такое обращение передаёт Google адрес посетителя и сведения о странице. Важная оговорка в пользу сайта: дальше этого дело не пошло — ни одной отправки данных в Google Analytics, рекламные сети или пиксели соцсетей в этом сеансе не зафиксировано. То есть до согласия загрузилась лишь инфраструктура для тегов, но сами теги данные не собирали.
Art. 13(1)(e) GDPR — сторонний сервис SpeedCurve не назван в политике
Контролёр данных — Mediamarket S.p.A. (Верано-Брианца). Политика по cookie называет Google Analytics и в общих словах описывает сторонние cookie для рекламы, персонализации и статистики, отсылая к сайтам третьих сторон. Однако сервис SpeedCurve, который реально отрабатывает на сайте, в ней не упомянут — то есть один из фактически работающих сторонних получателей в документе отсутствует.

Контекст

www.mediaworld.it — итальянский сайт сети MediaWorld, крупнейшей в стране розничной сети бытовой электроники и техники, входящей в европейскую группу MediaMarktSaturn. Контролёр данных — компания Mediamarket S.p.A. с единственным участником, юридический адрес — Верано-Брианца. Это интернет-магазин с каталогом, корзиной и оформлением заказа.

Замер: 178 обращений всего к 6 доменам, снят на чистом браузере Edge без VPN и блокировщика. Половина этих доменов — собственные ресурсы самой группы. Сторонних сервисов по сути два: система тегов Google и сервис измерения скорости SpeedCurve. Механизм сбора согласия у сайта собственный, встроенный, а не сторонняя платформа. На общем фоне серии это самый аккуратный сайт.

Кто получает данные

Тут были замечены: SpeedCurve, Google.

Важная оговорка: тяжёлых рекламно-аналитических получателей — отправки данных в Google Analytics, рекламные сети, пиксели соцсетей — в этом сеансе не зафиксировано вовсе. Google присутствует лишь как загрузка систем тегов с его домена, а SpeedCurve — как сторонний инструмент измерения скорости. Единственное, что внешне похоже на «соцсеть», — иконка Facebook, но это просто изображение с собственного хранилища сайта, а не пиксель отслеживания.

Был ли баннер согласия

Да, и механизм здесь собственный — модуль сбора согласия загружается на 555-й миллисекунде, сторонней платформы согласия нет. Само согласие в этом сеансе не давалось: замер снят в чистом визите, до выбора пользователя, и именно это позволяет увидеть, что отрабатывает «по умолчанию».

Контролёр данных — Mediamarket S.p.A. (Верано-Брианца). Политика по cookie называет Google Analytics и в общих словах описывает сторонние cookie для рекламы, персонализации и статистики; сервис SpeedCurve в ней не упомянут.

Что срабатывает до согласия

Картина мягкая, и в этом её ценность для серии — как противоположный пример. До согласия отрабатывает немногое:

сторонний сервис измерения скорости SpeedCurve — раньше даже собственного механизма согласия сайта, а позже отправляет на свои серверы служебное сообщение;
загрузка четырёх систем тегов Google с его домена;
присвоение посетителю собственного постоянного идентификатора сайта;
собственная служебная телеметрия сайта (её содержимое в выгрузке скрыто).

Ключевой и честный момент: дальше этого дело не идёт. Ни одной отправки данных в Google Analytics, рекламные сети, DoubleClick или соцсети в сеансе не зафиксировано. То есть до согласия загрузилась лишь инфраструктура — измерение скорости и системы тегов, — но сам сбор рекламными и аналитическими тегами не происходил. Это поведение заметно ближе к должному, чем у остальных сайтов серии.

Вывод

MediaWorld выделяется на фоне серии тем, что тяжёлый рекламно-аналитический слой до согласия здесь не запускается: нет ни отправок в Google Analytics, ни рекламных пикселей, ни сторонних бирж — системы тегов Google загрузились, но данные ими не собирались. То, что всё же срабатывает до согласия, — это сторонний сервис измерения скорости SpeedCurve (США, на 155-й миллисекунде, раньше собственного механизма согласия) и присвоение собственного идентификатора посетителю. Главное, что должен вынести читатель: это пример относительно сдержанного поведения, где претензии точечные — сторонний сервис, отрабатывающий до согласия и не названный в политике, и загрузка систем тегов с домена Google до выбора пользователя, — а не массовый сбор данных без основания. Именно такие сайты показывают, что сдержанная настройка технически возможна..

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/mediaworld-it-2026-06-15.har

SHA-256: 727c9863f2a8aa83ea8fff4ea943370ffb57cf15b2de67d950d1d1cdc0d042a3

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — mediaworld.it

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта mediaworld.it.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) В чистом сеансе самым первым из всего стороннего загружается SpeedCurve — внешний инструмент, измеряющий скорость загрузки страниц и фиксирующий ошибки. Он запускается на 155-й миллисекунде, ещё до того как успевает загрузиться собственный механизм согласия сайта, а позже, примерно на шестой секунде, отправляет на свои серверы служебное сообщение. SpeedCurve — сторонняя компания с серверами в США, и его запуск и обращения происходят раньше любого решения пользователя о cookie. Сбор таких данных о производительности нередко оправдывают технической необходимостью, но фактически это сторонний получатель, отрабатывающий до согласия.

2) В первые секунды визита, ещё до выбора пользователя, сайт обращается к домену Google и загружает четыре контейнера Google Tag Manager — это система, через которую обычно подключают аналитику и рекламные теги. Само такое обращение передаёт Google адрес посетителя и сведения о странице. Важная оговорка в пользу сайта: дальше этого дело не пошло — ни одной отправки данных в Google Analytics, рекламные сети или пиксели соцсетей в этом сеансе не зафиксировано. То есть до согласия загрузилась лишь инфраструктура для тегов, но сами теги данные не собирали.

3) Контролёр данных — Mediamarket S.p.A. (Верано-Брианца). Политика по cookie называет Google Analytics и в общих словах описывает сторонние cookie для рекламы, персонализации и статистики, отсылая к сайтам третьих сторон. Однако сервис SpeedCurve, который реально отрабатывает на сайте, в ней не упомянут — то есть один из фактически работающих сторонних получателей в документе отсутствует.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-mediaworld-it/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — mediaworld.it

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website mediaworld.it.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) In a clean session, the very first of everything third-party to load is SpeedCurve — an external tool that measures page-load speed and records errors. It launches at the 155th millisecond, before the site's own consent mechanism manages to load, and later, at around the sixth second, sends a utility message to its servers. SpeedCurve is a third-party company with servers in the USA, and its launch and requests happen before any user cookie decision. The collection of such performance data is often justified by technical necessity, but in fact it is a third-party recipient firing before consent.

2) In the first seconds of the visit, before the user's choice, the site reaches out to a Google domain and loads four Google Tag Manager containers — the system through which analytics and advertising tags are usually connected. This request itself transmits the visitor's address and page information to Google. An important caveat in the site's favour: it did not go further than this — not a single data transmission to Google Analytics, advertising networks or social-network pixels was recorded in this session. That is, before consent only the infrastructure for tags loaded, but the tags themselves collected no data.

3) The data controller is Mediamarket S.p.A. (Verano Brianza). The cookie policy names Google Analytics and describes in general terms the third-party cookies for advertising, personalisation and statistics, referring to third-party sites. However, the SpeedCurve service, which actually fires on the site, is not mentioned in it — that is, one of the actually working third-party recipients is absent from the document.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-mediaworld-it/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — mediaworld.it

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом mediaworld.it.

2. Обстоятельства
Я посетил сайт mediaworld.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) В чистом сеансе самым первым из всего стороннего загружается SpeedCurve — внешний инструмент, измеряющий скорость загрузки страниц и фиксирующий ошибки. Он запускается на 155-й миллисекунде, ещё до того как успевает загрузиться собственный механизм согласия сайта, а позже, примерно на шестой секунде, отправляет на свои серверы служебное сообщение. SpeedCurve — сторонняя компания с серверами в США, и его запуск и обращения происходят раньше любого решения пользователя о cookie. Сбор таких данных о производительности нередко оправдывают технической необходимостью, но фактически это сторонний получатель, отрабатывающий до согласия.

2) В первые секунды визита, ещё до выбора пользователя, сайт обращается к домену Google и загружает четыре контейнера Google Tag Manager — это система, через которую обычно подключают аналитику и рекламные теги. Само такое обращение передаёт Google адрес посетителя и сведения о странице. Важная оговорка в пользу сайта: дальше этого дело не пошло — ни одной отправки данных в Google Analytics, рекламные сети или пиксели соцсетей в этом сеансе не зафиксировано. То есть до согласия загрузилась лишь инфраструктура для тегов, но сами теги данные не собирали.

3) Контролёр данных — Mediamarket S.p.A. (Верано-Брианца). Политика по cookie называет Google Analytics и в общих словах описывает сторонние cookie для рекламы, персонализации и статистики, отсылая к сайтам третьих сторон. Однако сервис SpeedCurve, который реально отрабатывает на сайте, в ней не упомянут — то есть один из фактически работающих сторонних получателей в документе отсутствует.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-mediaworld-it/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR — сторонний сервис измерения скорости работает до согласия; Art. 6(1)(a) GDPR — загрузка систем тегов Google до согласия; Art. 13(1)(e) GDPR — сторонний сервис SpeedCurve не назван в политике

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — mediaworld.it

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website mediaworld.it.

2. Circumstances
I visited the website mediaworld.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) In a clean session, the very first of everything third-party to load is SpeedCurve — an external tool that measures page-load speed and records errors. It launches at the 155th millisecond, before the site's own consent mechanism manages to load, and later, at around the sixth second, sends a utility message to its servers. SpeedCurve is a third-party company with servers in the USA, and its launch and requests happen before any user cookie decision. The collection of such performance data is often justified by technical necessity, but in fact it is a third-party recipient firing before consent.

2) In the first seconds of the visit, before the user's choice, the site reaches out to a Google domain and loads four Google Tag Manager containers — the system through which analytics and advertising tags are usually connected. This request itself transmits the visitor's address and page information to Google. An important caveat in the site's favour: it did not go further than this — not a single data transmission to Google Analytics, advertising networks or social-network pixels was recorded in this session. That is, before consent only the infrastructure for tags loaded, but the tags themselves collected no data.

3) The data controller is Mediamarket S.p.A. (Verano Brianza). The cookie policy names Google Analytics and describes in general terms the third-party cookies for advertising, personalisation and statistics, referring to third-party sites. However, the SpeedCurve service, which actually fires on the site, is not mentioned in it — that is, one of the actually working third-party recipients is absent from the document.

Full technical documentation is published at: https://gdpru.eu/audits/it-mediaworld-it/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR — a third-party speed-measurement service works before consent; Art. 6(1)(a) GDPR — loading of Google tag systems before consent; Art. 13(1)(e) GDPR — the third-party service SpeedCurve is not named in the policy

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]