Технический аудит · 15.06.2026

poliziadistato.it

Сайт Государственной полиции Италии

Политика изменена — посмотреть, что именно · 2026-07-11 →

Poliziadistato.it — официальный сайт Государственной полиции Италии. Замер главной страницы: 150 обращений, 14 доменов. Для правоохранительного ведомства набор сторонних сервисов Google тяжёлый: Google Analytics, рекламный домен DoubleClick, полноценный трекинговый эмбед YouTube с автозапуском видео, система тегов и шрифты Google. Баннер согласия на сайте есть, но согласие не дано (cookie за сеанс не выставлено), а режим согласия Google не задействован вовсе — теги работают в обычном режиме. До согласия Google Analytics шлёт просмотр, DoubleClick обращается за рекламным идентификатором, а встроенное видео автоматически запускается и больше 25 секунд отправляет в Google телеметрию просмотра. Всё это вступает в прямое противоречие с собственной политикой сайта, которая заявляет, что профилирование и иные методы отслеживания не применяются.

Хронология обращений

95 мс · система тегов Google

Загружается Google Tag Manager — менеджер тегов, через который затем запускаются остальные сервисы Google.

105 мс · баннер согласия

Загружается баннер согласия. То есть механизм согласия на сайте предусмотрен — и значит то, что отрабатывает раньше выбора, происходит до согласия.

552–631 мс · загрузка видео YouTube

Загружается встроенное видео — в том числе через полный трекинговый домен youtube.com, а не только через приватный youtube-nocookie. Плеер начинает разворачиваться до согласия.

1440–1455 мс · рекламный домен DoubleClick

Рекламный домен Google DoubleClick обращается за рекламным идентификатором и проверяет статус видеорекламы. Это инфраструктура рекламы и ремаркетинга Google.

1947 мс и далее · телеметрия воспроизведения YouTube

Эмбед YouTube начинает отправлять в Google события воспроизведения: отметки о просмотре, события плеера, служебные обращения трекинга.

5585 / 15586 / 25588 мс · время просмотра

Видео автоматически проигрывается, и YouTube периодически отправляет в Google время просмотра — на 5-й, 15-й и 25-й секундах. То есть факт и длительность просмотра отслеживаются, по-прежнему без согласия.

5623 мс · Google Analytics шлёт просмотр

Google Analytics отправляет событие просмотра страницы. Сигнала согласия Google в обращении нет — тег работает в обычном режиме.

Декларация против факта

✓ Google Analytics — заявлен

✓ YouTube — заявлен

+ DoubleClick — не заявлен

Зафиксированные трекеры

Google Analytics 4
DoubleClick (реклама Google)
YouTube (полный эмбед с трекингом)
Google Tag Manager
Google Fonts

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR — аналитика, рекламный домен и трекинговое видео срабатывают до согласия
На сайте есть баннер согласия, но в чистом сеансе, без какого-либо решения пользователя и без работающего режима согласия Google, до согласия отрабатывают сразу несколько сервисов Google. Google Analytics отправляет просмотр страницы. Рекламный домен DoubleClick обращается за рекламным идентификатором и проверяет статус видеорекламы. А встроенное видео загружается через полный трекинговый домен youtube.com (а не через приватный youtube-nocookie), автоматически запускается и в течение более чем 25 секунд отправляет в Google подробную телеметрию воспроизведения — отметки о просмотре, время просмотра, события плеера. Сигнала согласия Google (Consent Mode) в замере нет вовсе, то есть теги работают в обычном режиме, а не в режиме «согласие не дано». Всё это происходит до согласия, которое баннер на сайте предлагает запросить.
Art. 13 GDPR — политика заявляет «никаких методов отслеживания», что прямо противоречит факту
Политика сайта прямо утверждает, что профилирующие cookie не используются и иные методы отслеживания не применяются, а аналитика собирается в агрегированной форме. Однако фактически работает рекламный домен DoubleClick (обращение за рекламным идентификатором — инфраструктура рекламы и ремаркетинга Google) и полноценный трекинговый эмбед YouTube, отправляющий поминутную телеметрию просмотра. И то, и другое — методы отслеживания, наличие которых документ прямо отрицает. При этом Google Analytics и YouTube в политике названы, а DoubleClick не упомянут вовсе. Таким образом заявление «никаких методов отслеживания» не соответствует тому, что сайт реально делает.

Контекст

www.poliziadistato.it — официальный сайт Государственной полиции Италии. Контролёр данных — Министерство внутренних дел / Государственная полиция. Это правоохранительное ведомство, и сайт информационный: новости, услуги для граждан (паспорта, заявления), сведения о работе полиции.

Замер: 150 обращений к 14 доменам, главная страница, снят на чистом браузере Edge без VPN и блокировщика. На сайте есть баннер согласия. Технический стек заметно завязан на сервисы Google, включая рекламный домен и полноценный трекинговый эмбед видео.

Кто получает данные

Тут были замечены: Google, DoubleClick.

Google присутствует несколькими сервисами: аналитика (Google Analytics), система тегов (Tag Manager), встроенное видео (YouTube) и шрифты. DoubleClick — рекламно-ремаркетинговый домен Google, который обращается за рекламным идентификатором и проверяет статус видеорекламы. Встроенное видео загружается в том числе через полный трекинговый домен youtube.com, а не только через приватный youtube-nocookie, и автоматически проигрывается, отправляя в Google телеметрию просмотра.

Был ли баннер согласия

Да, баннер согласия на сайте есть, он загружается на 105-й миллисекунде. Решение «принять/отклонить» в этом визите не делалось, и cookie за сеанс не выставлено ни одной — то есть согласие не дано.

При этом важная деталь: сигнала режима согласия Google (Consent Mode) в обращениях нет вовсе. Это значит, что теги Google работают не в режиме «согласие не дано» (как на некоторых других сайтах серии, где Google придерживает данные), а в обычном режиме — и просто отправляют данные.

Что срабатывает до согласия

До какого-либо решения пользователя успевает отработать:

Google Analytics — событие просмотра страницы;
рекламный домен DoubleClick — обращение за рекламным идентификатором и проверка статуса видеорекламы;
полный трекинговый эмбед YouTube — автозапуск видео с отправкой в Google телеметрии просмотра (отметки, время просмотра на 5-й, 15-й, 25-й секундах);
система тегов Google и шрифты Google Fonts.

Ключевое — здесь нет смягчения, которое было у некоторых других сайтов. Режим согласия Google не задействован, поэтому теги не придерживают данные. Рекламный домен DoubleClick и трекинговый видеоэмбед — это полноценное отслеживание, а не обезличенная статистика.

Прямое противоречие с политикой

Это узловой пункт. Политика сайта прямо заявляет, что профилирующие cookie не используются и иные методы отслеживания не применяются, а аналитика собирается в агрегированной форме. Но фактически работают и рекламный домен DoubleClick (инфраструктура рекламы и ремаркетинга Google), и полный трекинговый эмбед YouTube с поминутной телеметрией просмотра. И то, и другое — именно методы отслеживания, наличие которых документ отрицает. Google Analytics и YouTube в политике названы, но DoubleClick не упомянут вообще. То есть обещание «никаких методов отслеживания» расходится с тем, что сайт реально делает.

Вывод

Poliziadistato.it — один из более серьёзных случаев серии, и серьёзность усиливается тем, что это правоохранительное ведомство. На сайте Государственной полиции до согласия отрабатывают Google Analytics, рекламно-ремаркетинговый домен DoubleClick и полный трекинговый эмбед YouTube, который автоматически проигрывает видео и больше 25 секунд шлёт в Google телеметрию просмотра, — притом что режим согласия Google не задействован, а сама политика прямо отрицает использование методов отслеживания. Главное, что должен вынести читатель: расхождение между обещанным и происходящим здесь не оттенок, а прямое противоречие — документ говорит «не отслеживаем», а провод показывает рекламный домен и трекинговое видео до согласия. Достаточно было перевести видео в приватный режим с запуском по клику, убрать рекламный домен и поставить теги Google за согласие — инфраструктура согласия на сайте уже есть."

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/poliziadistato-it-2026-06-15.har

SHA-256: 8fdd59b0665199fca3bbba3c30996c381845bc004df0322d6a040afd6e5338c2

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — poliziadistato.it

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта poliziadistato.it.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте есть баннер согласия, но в чистом сеансе, без какого-либо решения пользователя и без работающего режима согласия Google, до согласия отрабатывают сразу несколько сервисов Google. Google Analytics отправляет просмотр страницы. Рекламный домен DoubleClick обращается за рекламным идентификатором и проверяет статус видеорекламы. А встроенное видео загружается через полный трекинговый домен youtube.com (а не через приватный youtube-nocookie), автоматически запускается и в течение более чем 25 секунд отправляет в Google подробную телеметрию воспроизведения — отметки о просмотре, время просмотра, события плеера. Сигнала согласия Google (Consent Mode) в замере нет вовсе, то есть теги работают в обычном режиме, а не в режиме «согласие не дано». Всё это происходит до согласия, которое баннер на сайте предлагает запросить.

2) Политика сайта прямо утверждает, что профилирующие cookie не используются и иные методы отслеживания не применяются, а аналитика собирается в агрегированной форме. Однако фактически работает рекламный домен DoubleClick (обращение за рекламным идентификатором — инфраструктура рекламы и ремаркетинга Google) и полноценный трекинговый эмбед YouTube, отправляющий поминутную телеметрию просмотра. И то, и другое — методы отслеживания, наличие которых документ прямо отрицает. При этом Google Analytics и YouTube в политике названы, а DoubleClick не упомянут вовсе. Таким образом заявление «никаких методов отслеживания» не соответствует тому, что сайт реально делает.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-poliziadistato-it/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — poliziadistato.it

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website poliziadistato.it.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site has a consent banner, but in a clean session, without any user decision and without a working Google Consent Mode, several Google services fire before consent. Google Analytics sends a page view. The DoubleClick advertising domain requests an advertising identifier and checks the video-advertising status. And the embedded video loads via the full tracking domain youtube.com (rather than via the privacy youtube-nocookie), plays automatically and, over more than 25 seconds, sends detailed playback telemetry to Google — view marks, watch time, player events. There is no Google consent signal (Consent Mode) in the capture at all, that is, the tags work in the ordinary mode rather than in «consent not given» mode. All of this happens before consent, which the site's banner offers to request.

2) The site's policy explicitly asserts that profiling cookies are not used and no other tracking methods are applied, and that analytics is collected in aggregate form. However, in fact the DoubleClick advertising domain works (a request for an advertising identifier — Google's advertising and remarketing infrastructure) and a full tracking YouTube embed, sending minute-by-minute view telemetry. Both are tracking methods, whose presence the document explicitly denies. Meanwhile Google Analytics and YouTube are named in the policy, while DoubleClick is not mentioned at all. Thus the statement «no tracking methods» does not match what the site actually does.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-poliziadistato-it/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — poliziadistato.it

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом poliziadistato.it.

2. Обстоятельства
Я посетил сайт poliziadistato.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте есть баннер согласия, но в чистом сеансе, без какого-либо решения пользователя и без работающего режима согласия Google, до согласия отрабатывают сразу несколько сервисов Google. Google Analytics отправляет просмотр страницы. Рекламный домен DoubleClick обращается за рекламным идентификатором и проверяет статус видеорекламы. А встроенное видео загружается через полный трекинговый домен youtube.com (а не через приватный youtube-nocookie), автоматически запускается и в течение более чем 25 секунд отправляет в Google подробную телеметрию воспроизведения — отметки о просмотре, время просмотра, события плеера. Сигнала согласия Google (Consent Mode) в замере нет вовсе, то есть теги работают в обычном режиме, а не в режиме «согласие не дано». Всё это происходит до согласия, которое баннер на сайте предлагает запросить.

2) Политика сайта прямо утверждает, что профилирующие cookie не используются и иные методы отслеживания не применяются, а аналитика собирается в агрегированной форме. Однако фактически работает рекламный домен DoubleClick (обращение за рекламным идентификатором — инфраструктура рекламы и ремаркетинга Google) и полноценный трекинговый эмбед YouTube, отправляющий поминутную телеметрию просмотра. И то, и другое — методы отслеживания, наличие которых документ прямо отрицает. При этом Google Analytics и YouTube в политике названы, а DoubleClick не упомянут вовсе. Таким образом заявление «никаких методов отслеживания» не соответствует тому, что сайт реально делает.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-poliziadistato-it/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR — аналитика, рекламный домен и трекинговое видео срабатывают до согласия; Art. 13 GDPR — политика заявляет «никаких методов отслеживания», что прямо противоречит факту

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — poliziadistato.it

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website poliziadistato.it.

2. Circumstances
I visited the website poliziadistato.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has a consent banner, but in a clean session, without any user decision and without a working Google Consent Mode, several Google services fire before consent. Google Analytics sends a page view. The DoubleClick advertising domain requests an advertising identifier and checks the video-advertising status. And the embedded video loads via the full tracking domain youtube.com (rather than via the privacy youtube-nocookie), plays automatically and, over more than 25 seconds, sends detailed playback telemetry to Google — view marks, watch time, player events. There is no Google consent signal (Consent Mode) in the capture at all, that is, the tags work in the ordinary mode rather than in «consent not given» mode. All of this happens before consent, which the site's banner offers to request.

2) The site's policy explicitly asserts that profiling cookies are not used and no other tracking methods are applied, and that analytics is collected in aggregate form. However, in fact the DoubleClick advertising domain works (a request for an advertising identifier — Google's advertising and remarketing infrastructure) and a full tracking YouTube embed, sending minute-by-minute view telemetry. Both are tracking methods, whose presence the document explicitly denies. Meanwhile Google Analytics and YouTube are named in the policy, while DoubleClick is not mentioned at all. Thus the statement «no tracking methods» does not match what the site actually does.

Full technical documentation is published at: https://gdpru.eu/audits/it-poliziadistato-it/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR — analytics, an advertising domain and a tracking video fire before consent; Art. 13 GDPR — the policy declares «no tracking methods», which directly contradicts the fact

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]