Технический аудит · 15.06.2026

registroimprese.it

Официальный реестр предприятий Италии

Registroimprese.it — официальный реестр предприятий Италии, который ведёт InfoCamere (ИТ-компания торговых палат). Замер главной страницы: 165 обращений, 11 доменов. Для государственного реестра набор сторонних сервисов неожиданно коммерческий: Google Analytics, рекламный тег Google AdSense, SDK Facebook, бот-защита Google reCAPTCHA Enterprise, плюс CMP Didomi. В пользу сайта: рекламный слой Google соблюдает согласие — состояние «не дано», реклама неперсонализированная, cookie не выставлено. Но контакты с США всё равно происходят до согласия: GA4 шлёт просмотр и прокрутку, AdSense-тег пингует, SDK Facebook грузится (IP уходит в Meta), reCAPTCHA собирает данные устройства. И это при том, что правовые условия сайта прямо обещают использовать сторонние трекеры только после согласия.

Хронология обращений

183 мс · шрифты Google Fonts

Загружаются стили шрифтов с домена Google. Статический ресурс, но IP посетителя уходит в Google.

211 мс · платформа согласия Didomi

Загружается платформа сбора согласия Didomi. То есть механизм согласия на сайте предусмотрен.

384 мс · бот-защита Google reCAPTCHA Enterprise

Подключается reCAPTCHA Enterprise от Google: загружается скрипт и запускается фоновый обработчик. Это обычно оправдывают защитой от ботов, но сервис собирает характеристики устройства и обращается к Google ещё до согласия.

498 мс · рекламный тег Google AdSense

Рекламный тег Google AdSense отправляет служебный пинг. Согласие при этом помечено как «не дано», реклама неперсонализированная — Google режим согласия учитывает.

875 мс · Google Analytics шлёт просмотр

Google Analytics отправляет событие просмотра страницы. Сигнал согласия — «не дано», передача обезличенная, но факт визита уходит в Google.

1021 мс · загрузка SDK Facebook

Загружается программный модуль (SDK) Facebook. Отдельного события пикселя не зафиксировано, но само обращение передаёт в Meta IP посетителя — и происходит до согласия.

6021 мс · Google Analytics шлёт прокрутку

Google Analytics отправляет событие прокрутки страницы — то есть отслеживается и поведение, по-прежнему в режиме «согласие не дано».

Декларация против факта

+ Google Analytics — не заявлен

+ Google AdSense — не заявлен

+ Facebook SDK — не заявлен

+ reCAPTCHA Enterprise — не заявлен

Зафиксированные трекеры

Google Analytics 4
Google AdSense (тег)
Facebook SDK
reCAPTCHA Enterprise
Google Tag Manager
Didomi
Google Fonts

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR — сторонние сервисы контактируют до согласия, вопреки собственному обещанию политики
Правовые условия сайта прямо обещают: сторонние cookie и инструменты отслеживания используются «solo previo consenso» — только после предварительного согласия. Тем не менее в чистом сеансе, до какого-либо решения и при стоящем баннере Didomi, до согласия успевают обратиться сразу несколько сторонних сервисов в США. В пользу сайта надо честно сказать: рекламно-аналитический слой Google настроен на соблюдение согласия — Google Consent Mode передаёт состояние «не дано», реклама помечена как неперсонализированная, cookie за сеанс не выставлено ни одной. Но это не отменяет самих контактов: Google Analytics отправляет события просмотра страницы и прокрутки, рекламный тег Google AdSense шлёт служебный пинг, загружается SDK Facebook (то есть IP уходит в Meta), а также работает бот-защита Google reCAPTCHA Enterprise, собирающая характеристики устройства. Все эти обращения к Google и Meta происходят до согласия, которое политика сама объявляет обязательным условием для сторонних инструментов.

Контекст

www.registroimprese.it — официальный публичный реестр предприятий Италии: данные обо всех зарегистрированных компаниях, их руководителях, акционерах, балансах. Технический оператор и контролёр — InfoCamere S.C.p.A., ИТ-компания системы торговых палат. Это высокочувствительная категория: реестр содержит персональные данные множества физических лиц, связанных с компаниями.

Замер: 165 обращений к 11 доменам, главная страница, снят на чистом браузере Edge без VPN и блокировщика. Стоит платформа сбора согласия Didomi. Технический стек включает заметный коммерческий слой Google и Meta.

Кто получает данные

Тут были замечены: Google, Meta / Facebook.

Google присутствует сразу несколькими сервисами: аналитика (Google Analytics), рекламный тег (AdSense), система тегов (Tag Manager), бот-защита (reCAPTCHA Enterprise) и шрифты (Google Fonts). Meta — через загрузку SDK Facebook. Оба — получатели в США. Платформа согласия Didomi — европейская (Дания) и сама по себе претензией не является.

Важно по-честному: рекламно-аналитический слой Google настроен на соблюдение согласия. Состояние согласия передаётся как «не дано», реклама помечена неперсонализированной, отслеживающие cookie за сеанс не выставлены. То есть Google здесь не игнорирует отказ — в отличие от ряда коммерческих сайтов серии.

Был ли баннер согласия

Да, баннер Didomi присутствует и загружается на 211-й миллисекунде. Решение «принять/отклонить» в этом визите не делалось — замер снят в чистом сеансе.

И именно на этом фоне видна нестыковка с собственным документом. Правовые условия сайта прямо обещают: сторонние cookie и инструменты отслеживания используются только после предварительного согласия («solo previo consenso»). А по замеру до согласия уже происходят обращения к Google и Meta.

Что срабатывает до согласия

До какого-либо решения пользователя успевает отработать:

Google Analytics — события просмотра страницы и прокрутки (обезличенно, но факт визита уходит в Google);
рекламный тег Google AdSense — служебный пинг (в неперсонализированном режиме);
SDK Facebook — загрузка модуля, при которой IP уходит в Meta;
reCAPTCHA Enterprise — бот-защита Google со сбором характеристик устройства;
Google Fonts — загрузка шрифтов с передачей IP в Google.

Ключевой момент в разделении. Часть из этого Google держит в «согласие не дано» — без cookie и без персонализации, и это засчитываем сайту. Но контакты как таковые всё равно случаются: загрузка SDK Facebook не привязана к режиму согласия Google и просто отправляет обращение в Meta, а аналитика и reCAPTCHA обращаются к Google. Для сайта, который сам обещал не задействовать сторонние инструменты до согласия, это расхождение между обещанным и происходящим.

Чем это особенно чувствительно

Это официальный реестр предприятий — ресурс с большим объёмом персональных данных физических лиц. Наличие на нём рекламного тега AdSense и SDK Facebook само по себе показательно: коммерческая рекламно-социальная инфраструктура на государственном реестре. Даже при том что Google соблюдает согласие, а событие пикселя Facebook не сработало, присутствие этих сервисов и их обращения до согласия плохо сочетаются с ролью официального реестра.

Вывод

Registroimprese.it — смешанный случай. Положительная часть реальна: рекламно-аналитический слой Google настроен на соблюдение согласия — «не дано», без cookie, реклама неперсонализированная, и это выгодно отличает сайт от тех, кто отказ игнорирует. Но картина не чистая: до согласия всё равно загружается SDK Facebook (IP в Meta), Google Analytics шлёт просмотр и прокрутку, рекламный тег AdSense пингует, а reCAPTCHA собирает данные устройства — притом что собственные правовые условия обещают задействовать сторонние инструменты только после согласия. Главное, что должен вынести читатель: даже корректная настройка согласия для одного поставщика (Google) не делает страницу чистой, если рядом до согласия грузится сторонний социальный SDK и работает рекламно-аналитический слой, а официальный реестр персональных данных — последнее место, где уместны рекламный тег и инфраструктура соцсети.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/registroimprese-it-2026-06-15.har

SHA-256: 5e4a2e30a54ac3bef1ba66b84a409dda1f9140ff24d1a0b5e8a8033e6f7f6ce9

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — registroimprese.it

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта registroimprese.it.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Правовые условия сайта прямо обещают: сторонние cookie и инструменты отслеживания используются «solo previo consenso» — только после предварительного согласия. Тем не менее в чистом сеансе, до какого-либо решения и при стоящем баннере Didomi, до согласия успевают обратиться сразу несколько сторонних сервисов в США. В пользу сайта надо честно сказать: рекламно-аналитический слой Google настроен на соблюдение согласия — Google Consent Mode передаёт состояние «не дано», реклама помечена как неперсонализированная, cookie за сеанс не выставлено ни одной. Но это не отменяет самих контактов: Google Analytics отправляет события просмотра страницы и прокрутки, рекламный тег Google AdSense шлёт служебный пинг, загружается SDK Facebook (то есть IP уходит в Meta), а также работает бот-защита Google reCAPTCHA Enterprise, собирающая характеристики устройства. Все эти обращения к Google и Meta происходят до согласия, которое политика сама объявляет обязательным условием для сторонних инструментов.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-registroimprese-it/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — registroimprese.it

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website registroimprese.it.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site's legal terms explicitly promise: third-party cookies and tracking tools are used «solo previo consenso» — only after prior consent. Nevertheless, in a clean session, before any decision and with the Didomi banner in place, several third-party services in the USA manage to make contact before consent. In the site's favour it must be said honestly: Google's advertising-and-analytics layer is configured to observe consent — Google Consent Mode transmits the state «not given», the advertising is marked as non-personalised, not a single cookie was set during the session. But this does not cancel the contacts themselves: Google Analytics sends page-view and scroll events, the Google AdSense advertising tag sends a utility ping, the Facebook SDK loads (that is, the IP goes to Meta), and the Google reCAPTCHA Enterprise bot protection works, collecting device characteristics. All these requests to Google and Meta happen before consent, which the policy itself declares an obligatory condition for third-party tools.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-registroimprese-it/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — registroimprese.it

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом registroimprese.it.

2. Обстоятельства
Я посетил сайт registroimprese.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Правовые условия сайта прямо обещают: сторонние cookie и инструменты отслеживания используются «solo previo consenso» — только после предварительного согласия. Тем не менее в чистом сеансе, до какого-либо решения и при стоящем баннере Didomi, до согласия успевают обратиться сразу несколько сторонних сервисов в США. В пользу сайта надо честно сказать: рекламно-аналитический слой Google настроен на соблюдение согласия — Google Consent Mode передаёт состояние «не дано», реклама помечена как неперсонализированная, cookie за сеанс не выставлено ни одной. Но это не отменяет самих контактов: Google Analytics отправляет события просмотра страницы и прокрутки, рекламный тег Google AdSense шлёт служебный пинг, загружается SDK Facebook (то есть IP уходит в Meta), а также работает бот-защита Google reCAPTCHA Enterprise, собирающая характеристики устройства. Все эти обращения к Google и Meta происходят до согласия, которое политика сама объявляет обязательным условием для сторонних инструментов.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-registroimprese-it/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR — сторонние сервисы контактируют до согласия, вопреки собственному обещанию политики

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — registroimprese.it

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website registroimprese.it.

2. Circumstances
I visited the website registroimprese.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site's legal terms explicitly promise: third-party cookies and tracking tools are used «solo previo consenso» — only after prior consent. Nevertheless, in a clean session, before any decision and with the Didomi banner in place, several third-party services in the USA manage to make contact before consent. In the site's favour it must be said honestly: Google's advertising-and-analytics layer is configured to observe consent — Google Consent Mode transmits the state «not given», the advertising is marked as non-personalised, not a single cookie was set during the session. But this does not cancel the contacts themselves: Google Analytics sends page-view and scroll events, the Google AdSense advertising tag sends a utility ping, the Facebook SDK loads (that is, the IP goes to Meta), and the Google reCAPTCHA Enterprise bot protection works, collecting device characteristics. All these requests to Google and Meta happen before consent, which the policy itself declares an obligatory condition for third-party tools.

Full technical documentation is published at: https://gdpru.eu/audits/it-registroimprese-it/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR — third-party services make contact before consent, against the policy's own promise

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]