Сайт Министерства инфраструктуры и транспорта Италии. 159 запросов, 17 доменов. Политику открыли целиком и сверили с замером — и она противоречит сама себе: обещает, что данные не уходят за пределы ЕС и что слежки нет, тогда как IP и параметры браузера улетают на серверы Google и Twitter в США в первые секунды, ещё до появления баннера согласия на 5,3-й секунде.
Хронология обращений
Декларация против факта
Зафиксированные трекеры
- Государственная аналитика Web Analytics Italia (Matomo, обезличенная)
- YouTube (обычный режим, не приватный)
- Google DoubleClick (реклама)
- Google WAA
- Виджеты и телеметрия Twitter/X
Признаки несоответствия GDPR
- Art. 13(1)(f) и Глава V GDPR — передача данных за пределы ЕСПолитика прямо заявляет, что персональные данные не передаются за пределы Европейской экономической зоны. На деле в первые секунды загрузки IP-адрес посетителя и параметры его браузера уходят на серверы Google (видео YouTube, рекламный DoubleClick, служебный домен Google) и Twitter — компаний США. Это и есть передача данных за пределы ЕС, прямо вопреки тексту политики. Сам же документ относит IP-адрес к персональным данным.
- Внутреннее противоречие политики — заявлено «слежки нет»Политика отдельным абзацем утверждает: профилирование не ведётся и никакие другие методы отслеживания не применяются. В замере при этом присутствует рекламная система Google DoubleClick и событийная телеметрия Twitter, которые отправляют данные о посетителе. Заявление документа не соответствует поведению сайта.
- Art. 13(1)(e) GDPR — неверно названный инструмент аналитикиПолитика обещает, что статистику собирает Google Analytics. На сайте его нет — работает другая, государственная итальянская система аналитики, не упомянутая в документе ни разу. Сам сбор, вероятно, законен, но посетителю сообщают неверные сведения о том, кто и чем его измеряет. Вдобавок документ описывает аналитику противоречиво: в одном разделе — «согласие не требуется», в другом — «только после явного согласия».
- Art. 6(1)(a) GDPR — сторонний контент раньше согласияПолитика обещает, что сторонний контент подключается только после явного согласия. На деле баннер согласия появляется на экране лишь на 5,3-й секунде, а видео YouTube, виджет Twitter и подтянутые ими системы Google устанавливают соединение уже в первую секунду — задолго до того, как человеку дали выбрать.
Контекст
mit.gov.it — официальный сайт Министерства инфраструктуры и транспорта Италии. Сделан на распространённой системе Drupal, в едином оформлении итальянских госсайтов. В снятом замере — 159 обращений к 17 разным доменам.
Политику я открыл сам, на живом сайте, и прочитал целиком. Важная деталь: страница оказалась чистой и полностью доступной — одна связная страница, без лабиринта вложенных ссылок и без блокировки доступа. Документ свежий, последнее изменение помечено апрелем 2026 года, то есть всего за пару месяцев до аудита — списать расхождения на «устаревший текст» не получится. А значит, проблема здесь не в том, что политику спрятали, а в том, что она прямо расходится с тем, что сайт делает на самом деле. Именно эти расхождения видно только при сверке полного текста с замером — и именно их ниже разбираем по пунктам.
Был ли баннер согласия — и когда
Да, баннер есть. Но появляется он не сразу, а с большой задержкой — и это один из ключевых сюжетов разбора.
- +0,6 сек — на странице уже работает виджет Twitter.
- +0,7 сек — запускается видео YouTube в обычном (не приватном) режиме.
- +0,8 сек — государственная аналитика отправляет первый замер посещения.
- +1,2 сек — подключается рекламная система Google DoubleClick.
- +2,7 сек — подключается служебный домен Google.
- +5,3 сек — и только теперь баннер согласия физически появляется на экране. До этой секунды нажать на нём что-либо невозможно.
- +12 сек — записывается решение по cookie.
Простыми словами: первые пять секунд баннера на экране нет, а пять сторонних подключений уже состоялись. Для обычного посетителя это значит, что данные о нём начали уходить раньше, чем ему вообще дали возможность согласиться или отказаться.
Данные уходят в США — а политика обещает, что за пределы ЕС они не уходят
Это самое серьёзное расхождение. В политике есть отдельный, недвусмысленный абзац: данные за пределы Европейской экономической зоны не передаются.
Замер показывает обратное. Уже в первые секунды браузер посетителя обращается к серверам Google (видео YouTube, рекламный DoubleClick, служебный домен Google) и к серверам Twitter — а это американские компании. При каждом таком обращении автоматически уходит IP-адрес посетителя и подробные параметры его браузера. И тут есть тонкость, которая делает расхождение особенно весомым: сама же политика в разделе о собираемых данных прямо называет IP-адрес персональными данными. Получается, документ обещает не передавать за пределы ЕС именно то, что по факту передаёт в первые же секунды.
«Профилирования нет, других трекеров нет» — но DoubleClick и телеметрия Twitter есть
Ещё один абзац политики утверждает: cookie для профилирования не используются и никакие другие методы отслеживания не применяются.
В замере, однако, есть рекламная система Google DoubleClick — домен, чья прямая задача связана с рекламным профилированием, — и есть событийная телеметрия Twitter, которая отдельными запросами шлёт данные о действиях на странице. Можно спорить, насколько активно они профилируют в данном конкретном случае, но само их присутствие уже опровергает фразу «других методов отслеживания не применяется». Заявление документа и поведение сайта расходятся.
Аналитику назвали не ту — и описали противоречиво
Политика обещает, что статистику собирает Google Analytics. На сайте его нет ни в каком виде — считает посетителей совсем другая система, государственная итальянская аналитика, которую документ не упоминает ни разу.
Сам этот сбор, скорее всего, в рамках закона: он государственный, обезличенный и по итальянским правилам приравнен к техническим cookie. Но в его замере видно, что вместе с фактом посещения уходят идентификатор посетителя, разрешение экрана и подробные данные о браузере — то есть это не чистый анонимный подсчёт, а как минимум обезличенный профиль устройства. Это стоит держать в уме, хотя на грань закона оно, вероятно, не выходит.
Отдельно бросается в глаза, что документ описывает аналитику сам себе противореча: в одном разделе сказано, что аналитика приравнена к техническим cookie и согласие для неё не требуется, а в другом — что аналитические cookie ставятся только после явного согласия. Две взаимоисключающие формулировки в одном тексте — посетитель при всём желании не поймёт, какое правило действует.
Цепочка: одно встроенное видео тащит за собой шесть доменов
Стоит показать, откуда вообще берётся такая россыпь сторонних подключений. Сам сайт напрямую обращается лишь к нескольким внешним адресам. Но видео YouTube, встроенное в обычном режиме (а не в приватном, который не ставит лишних cookie), работает как ворота: именно оно затем подтягивает рекламный DoubleClick, служебные домены Google и прочее. То есть значительная часть всей сторонней нагрузки — следствие одного-единственного решения: вставить ролик в обычном режиме вместо приватного. Заменили бы режим встраивания — и половина этих доменов просто не появилась бы.
Чего по замеру утверждать нельзя
Честные оговорки, чтобы отделить факты от догадок.
Во-первых, запись решения на 12-й секунде — это не доказательство, что «пользователь нажал согласие». Замер снимался автоматически, живой человек на кнопки не жал. Это решение могло быть и сохранённым с прошлого визита, и сработавшим по умолчанию.
Во-вторых, по этому замеру не видно точных сроков жизни cookie — в выгрузке не сохранены технические заголовки, которые их задают. Поэтому мы говорим о факте подключения систем, но не беремся называть, на сколько дней или месяцев они оседают в браузере.
В-третьих, у меня нет исходного кода скриптов страницы — только их вызовы. Выводы о цепочке подключений сделаны по тому, кто кого вызвал в замере, а не по разбору самого кода.
Вывод
Картина у этого сайта тяжелее, чем кажется на первый взгляд, и дело не в спрятанной политике — она как раз открытая и свежая. Дело в том, что текст противоречит поведению сразу по нескольким направлениям. Документ обещает, что данные не уходят за пределы ЕС, — а IP и параметры браузера улетают на серверы Google и Twitter в США в первые секунды. Обещает, что слежки нет, — а в замере рекламный DoubleClick и телеметрия Twitter. Называет Google Analytics, которого нет, и сам себе противоречит в вопросе согласия на аналитику. И всё стороннее подключается до того, как баннер согласия вообще появится на экране, на 5,3-й секунде. Главное, что должен вынести читатель: на этом сайте обещания политики и реальные действия — это два разных документа.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
a474b3c5e0e0be18dfdfb0d11a132cc6bed9ef42ea5a17bafd36792b0bee487eХотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — mit.gov.it Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта mit.gov.it. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) Политика прямо заявляет, что персональные данные не передаются за пределы Европейской экономической зоны. На деле в первые секунды загрузки IP-адрес посетителя и параметры его браузера уходят на серверы Google (видео YouTube, рекламный DoubleClick, служебный домен Google) и Twitter — компаний США. Это и есть передача данных за пределы ЕС, прямо вопреки тексту политики. Сам же документ относит IP-адрес к персональным данным. 2) Политика отдельным абзацем утверждает: профилирование не ведётся и никакие другие методы отслеживания не применяются. В замере при этом присутствует рекламная система Google DoubleClick и событийная телеметрия Twitter, которые отправляют данные о посетителе. Заявление документа не соответствует поведению сайта. 3) Политика обещает, что статистику собирает Google Analytics. На сайте его нет — работает другая, государственная итальянская система аналитики, не упомянутая в документе ни разу. Сам сбор, вероятно, законен, но посетителю сообщают неверные сведения о том, кто и чем его измеряет. Вдобавок документ описывает аналитику противоречиво: в одном разделе — «согласие не требуется», в другом — «только после явного согласия». 4) Политика обещает, что сторонний контент подключается только после явного согласия. На деле баннер согласия появляется на экране лишь на 5,3-й секунде, а видео YouTube, виджет Twitter и подтянутые ими системы Google устанавливают соединение уже в первую секунду — задолго до того, как человеку дали выбрать. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-mit-gov-it/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — mit.gov.it To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website mit.gov.it. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) The policy explicitly states that personal data is not transferred outside the European Economic Area. In fact, in the first seconds of loading, the visitor's IP address and browser parameters go to Google's servers (YouTube video, DoubleClick advertising, a Google utility domain) and Twitter — US companies. This is a transfer of data outside the EU, directly against the policy text. The document itself classes the IP address as personal data. 2) The policy asserts in a separate paragraph: no profiling is conducted and no other tracking methods are applied. Yet in the capture the Google DoubleClick advertising system and Twitter event telemetry are present, which send data about the visitor. The document's statement does not match the site's behaviour. 3) The policy promises that statistics is collected by Google Analytics. It is not on the site — a different, government Italian analytics system works, not mentioned in the document once. The collection itself is probably lawful, but the visitor is given incorrect information about who measures them and with what. In addition, the document describes the analytics contradictorily: in one section — «consent is not required», in another — «only after explicit consent». 4) The policy promises that third-party content is connected only after explicit consent. In fact, the consent banner appears on the screen only at 5.3 seconds, while the YouTube video, the Twitter widget and the Google systems pulled in by them establish a connection already in the first second — long before the person was given a choice. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-mit-gov-it/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — mit.gov.it 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом mit.gov.it. 2. Обстоятельства Я посетил сайт mit.gov.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) Политика прямо заявляет, что персональные данные не передаются за пределы Европейской экономической зоны. На деле в первые секунды загрузки IP-адрес посетителя и параметры его браузера уходят на серверы Google (видео YouTube, рекламный DoubleClick, служебный домен Google) и Twitter — компаний США. Это и есть передача данных за пределы ЕС, прямо вопреки тексту политики. Сам же документ относит IP-адрес к персональным данным. 2) Политика отдельным абзацем утверждает: профилирование не ведётся и никакие другие методы отслеживания не применяются. В замере при этом присутствует рекламная система Google DoubleClick и событийная телеметрия Twitter, которые отправляют данные о посетителе. Заявление документа не соответствует поведению сайта. 3) Политика обещает, что статистику собирает Google Analytics. На сайте его нет — работает другая, государственная итальянская система аналитики, не упомянутая в документе ни разу. Сам сбор, вероятно, законен, но посетителю сообщают неверные сведения о том, кто и чем его измеряет. Вдобавок документ описывает аналитику противоречиво: в одном разделе — «согласие не требуется», в другом — «только после явного согласия». 4) Политика обещает, что сторонний контент подключается только после явного согласия. На деле баннер согласия появляется на экране лишь на 5,3-й секунде, а видео YouTube, виджет Twitter и подтянутые ими системы Google устанавливают соединение уже в первую секунду — задолго до того, как человеку дали выбрать. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-mit-gov-it/ 3. Положения GDPR, соблюдение которых прошу проверить Art. 13(1)(f) и Глава V GDPR — передача данных за пределы ЕС; Внутреннее противоречие политики — заявлено «слежки нет»; Art. 13(1)(e) GDPR — неверно названный инструмент аналитики; Art. 6(1)(a) GDPR — сторонний контент раньше согласия 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — mit.gov.it 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website mit.gov.it. 2. Circumstances I visited the website mit.gov.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications: 1) The policy explicitly states that personal data is not transferred outside the European Economic Area. In fact, in the first seconds of loading, the visitor's IP address and browser parameters go to Google's servers (YouTube video, DoubleClick advertising, a Google utility domain) and Twitter — US companies. This is a transfer of data outside the EU, directly against the policy text. The document itself classes the IP address as personal data. 2) The policy asserts in a separate paragraph: no profiling is conducted and no other tracking methods are applied. Yet in the capture the Google DoubleClick advertising system and Twitter event telemetry are present, which send data about the visitor. The document's statement does not match the site's behaviour. 3) The policy promises that statistics is collected by Google Analytics. It is not on the site — a different, government Italian analytics system works, not mentioned in the document once. The collection itself is probably lawful, but the visitor is given incorrect information about who measures them and with what. In addition, the document describes the analytics contradictorily: in one section — «consent is not required», in another — «only after explicit consent». 4) The policy promises that third-party content is connected only after explicit consent. In fact, the consent banner appears on the screen only at 5.3 seconds, while the YouTube video, the Twitter widget and the Google systems pulled in by them establish a connection already in the first second — long before the person was given a choice. Full technical documentation is published at: https://gdpru.eu/audits/it-mit-gov-it/ 3. GDPR provisions I ask you to examine Art. 13(1)(f) and Chapter V GDPR — transfer of data outside the EU; Internal contradiction of the policy — «no tracking» declared; Art. 13(1)(e) GDPR — incorrectly named analytics tool; Art. 6(1)(a) GDPR — third-party content before consent 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]