Технический аудит · 15.06.2026

rgs.mef.gov.it

Главное казначейство — Минфин Италии

Rgs.mef.gov.it — сайт Главного казначейства (Ragioneria Generale dello Stato), структуры Министерства экономики и финансов Италии. Замер главной страницы: 106 обращений, всего 2 домена. Внешне это образец сдержанности: коммерческих трекеров, Google, Meta, рекламы и соцплагинов нет вовсе, cookie за сеанс не выставлено ни одной, а единственный внешний адрес — государственная ИТ-компания Минфина Sogei. Но именно её аналитика Matomo до согласия делает больше, чем обезличенную статистику: записывает просмотр с идентификатором посетителя, держит включённой запись сессий и тепловые карты и отслеживает взаимодействие с формой согласия. Это поведенческое наблюдение, требующее согласия, тогда как политика называет сбор «анонимным». Данные при этом не уходят к коммерческим третьим сторонам — всё остаётся в госинфраструктуре, поэтому случай мягкий, но нарушение по существу есть.

Хронология обращений

82 мс · модуль баннера согласия

Загружается собственный модуль баннера согласия (разработка Sogei). То есть механизм согласия на сайте предусмотрен.

152–439 мс · просмотр с идентификатором посетителя

Аналитика Matomo на инфраструктуре Sogei загружается и записывает просмотр страницы с присвоением идентификатора посетителя — то есть не как обезличенный агрегат. Это происходит до выбора пользователя.

482 мс · запись сессий и тепловые карты

Инициализируется плагин записи сессий и тепловых карт (Heatmap & Session Recording): запрашивается его конфигурация для этой страницы. Это поведенческое наблюдение за пользователем, и оно разворачивается до согласия.

2987 мс · форм-аналитика на форме согласия

Форм-аналитика Matomo фиксирует взаимодействие пользователя с самой формой согласия. То есть отслеживается даже то, как человек ведёт себя на баннере выбора.

Декларация против факта

+ Session Recording / Heatmap — не заявлен

+ Form Analytics — не заявлен

Зафиксированные трекеры

Matomo на инфраструктуре Sogei
Session Recording / Heatmap (Matomo)
Form Analytics (Matomo)

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR — поведенческая аналитика и запись сессий стартуют до согласия
На сайте есть собственный баннер согласия (модуль Sogei), но аналитика Matomo на инфраструктуре Sogei отрабатывает раньше любого решения пользователя. Уже на 0,4 секунды записывается просмотр страницы с идентификатором посетителя (а не как обезличенный агрегат), на 0,5 секунды инициализируется плагин записи сессий и тепловых карт (Heatmap & Session Recording), а позже форм-аналитика фиксирует взаимодействие с самой формой согласия. Запись сессий и тепловые карты — это поведенческое, индивидуальное наблюдение за пользователем, а не агрегированная статистика, и по правилам Garante оно требует предварительного согласия. Здесь же эти инструменты разворачиваются до того, как пользователь сделал выбор. Важно: всё остаётся на государственной инфраструктуре Sogei (ИТ-компания Минфина), коммерческих получателей и передачи к рекламным третьим сторонам нет — то есть это не утечка вовне, а избыточность собственной аналитики до согласия.
Art. 13 GDPR — заявленная «обезличенная статистика» не соответствует фактической записи поведения
Политика описывает аналитический сбор как обработку статистики «in forma anonima» — в обезличенной форме. Однако фактически Matomo присваивает идентификатор посетителя и держит включёнными плагины записи сессий, тепловых карт и форм-аналитики — то есть ведёт индивидуальное поведенческое наблюдение, которое обезличенной агрегатной статистикой не является. Ни запись сессий, ни тепловые карты, ни форм-аналитика в политике не названы. Таким образом документ занижает то, что реально собирается: пользователю обещают анонимную статистику, а инструментарий настроен на поведенческое отслеживание.

Контекст

www.rgs.mef.gov.it — сайт Главного казначейства Италии (Ragioneria Generale dello Stato), подразделения Министерства экономики и финансов, отвечающего за государственный бюджет и учёт. Контролёр данных — структура МЭФ; технический оператор — государственная ИТ-компания Sogei S.p.A. Сайт информационно-документальный: бюджетные документы, нормативные акты, отчётность.

Замер: 106 обращений всего к 2 доменам, главная страница, снят на чистом браузере Edge без VPN и блокировщика. Из двух доменов один — собственный, второй — аналитика на инфраструктуре Sogei. Никаких коммерческих трекеров, Google, рекламы или соцплагинов.

Кто получает данные

Тут был замечен: Sogei — государственная ИТ-компания Министерства экономики и финансов.

Это ключевая особенность случая: данные не уходят к коммерческим третьим сторонам. Аналитика развёрнута на инфраструктуре Sogei, то есть остаётся внутри государственного ИТ-контура. Ни Google Analytics, ни рекламных сетей, ни пикселей соцсетей, ни сторонних бирж в замере нет. Cookie не выставлено ни одной.

Был ли баннер согласия

Да, у сайта есть собственный модуль баннера согласия (разработка Sogei), он загружается на 82-й миллисекунде. Но в чистом сеансе видно, что аналитика его не дожидается: поведенческие инструменты стартуют раньше любого решения пользователя.

Что срабатывает до согласия

Несмотря на наличие баннера, до выбора пользователя успевает отработать:

запись просмотра страницы с присвоением идентификатора посетителя (не обезличенный агрегат);
инициализация записи сессий и тепловых карт (Heatmap & Session Recording);
форм-аналитика, фиксирующая взаимодействие с формой согласия.

Разница принципиальная. Обезличенная агрегатная статистика по правилам Garante может работать без согласия. Но запись сессий и тепловые карты — это индивидуальное поведенческое наблюдение (движения, клики, прокрутка), а присвоение идентификатора посетителя связывает обращения в рамках визита. Такой инструментарий требует предварительного согласия — а здесь он разворачивается до него.

Заявлено «анонимно» — на деле поведенческое наблюдение

Отдельная нестыковка — между политикой и фактом. Документ описывает аналитический сбор как обработку статистики «в обезличенной форме». Но фактически включены запись сессий, тепловые карты и форм-аналитика, а просмотр записывается с идентификатором посетителя — это не анонимная агрегированная статистика. Ни один из этих поведенческих инструментов в политике не назван. То есть пользователю обещают анонимную статистику, а настроено индивидуальное отслеживание поведения.

Вывод

Rgs.mef.gov.it — поучительный промежуточный случай. С одной стороны, по гигиене внешних связей это образец: ни коммерческих трекеров, ни Google, ни рекламы, ни соцплагинов, ни cookie; единственный адрес — государственная ИТ-компания Sogei, и данные не покидают госконтур. С другой — собственная аналитика на этой инфраструктуре до согласия делает больше, чем обещано: записывает просмотр с идентификатором посетителя, разворачивает запись сессий и тепловые карты и отслеживает поведение на форме согласия, хотя политика называет сбор анонимным. Главное, что должен вынести читатель: «свой сервер» и отсутствие сторонних получателей — это хорошо, но не индульгенция. Поведенческая запись сессий требует согласия независимо от того, чья инфраструктура её обслуживает, а документ должен честно называть то, что собирает. Достаточно отложить эти инструменты до согласия и привести политику в соответствие с фактом.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/rgs-mef-gov-it-2026-06-15.har

SHA-256: 44245b256aef3c9aa1a12ef7b674ec66e3c1ef2a465ba27083837f8d9364f44b

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — rgs.mef.gov.it

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта rgs.mef.gov.it.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте есть собственный баннер согласия (модуль Sogei), но аналитика Matomo на инфраструктуре Sogei отрабатывает раньше любого решения пользователя. Уже на 0,4 секунды записывается просмотр страницы с идентификатором посетителя (а не как обезличенный агрегат), на 0,5 секунды инициализируется плагин записи сессий и тепловых карт (Heatmap & Session Recording), а позже форм-аналитика фиксирует взаимодействие с самой формой согласия. Запись сессий и тепловые карты — это поведенческое, индивидуальное наблюдение за пользователем, а не агрегированная статистика, и по правилам Garante оно требует предварительного согласия. Здесь же эти инструменты разворачиваются до того, как пользователь сделал выбор. Важно: всё остаётся на государственной инфраструктуре Sogei (ИТ-компания Минфина), коммерческих получателей и передачи к рекламным третьим сторонам нет — то есть это не утечка вовне, а избыточность собственной аналитики до согласия.

2) Политика описывает аналитический сбор как обработку статистики «in forma anonima» — в обезличенной форме. Однако фактически Matomo присваивает идентификатор посетителя и держит включёнными плагины записи сессий, тепловых карт и форм-аналитики — то есть ведёт индивидуальное поведенческое наблюдение, которое обезличенной агрегатной статистикой не является. Ни запись сессий, ни тепловые карты, ни форм-аналитика в политике не названы. Таким образом документ занижает то, что реально собирается: пользователю обещают анонимную статистику, а инструментарий настроен на поведенческое отслеживание.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-rgs-mef-gov-it/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — rgs.mef.gov.it

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website rgs.mef.gov.it.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site has its own consent banner (a Sogei module), but the Matomo analytics on Sogei's infrastructure fires before any user decision. Already at 0.4 seconds a page view is recorded with a visitor identifier (rather than as a de-identified aggregate), at 0.5 seconds the session-recording and heatmap plugin (Heatmap & Session Recording) initialises, and later form analytics records interaction with the consent form itself. Session recording and heatmaps are behavioural, individual observation of the user rather than aggregate statistics, and by Garante's rules they require prior consent. Here, however, these tools deploy before the user made a choice. Importantly: everything stays on Sogei's government infrastructure (the Ministry of Finance's IT company), there are no commercial recipients and no transfer to advertising third parties — that is, this is not a leak outward, but a redundancy of the own analytics before consent.

2) The policy describes the analytics collection as processing of statistics «in forma anonima» — in de-identified form. However, in fact Matomo assigns a visitor identifier and keeps the session-recording, heatmap and form-analytics plugins on — that is, it conducts individual behavioural observation, which is not de-identified aggregate statistics. Neither the session recording, nor the heatmaps, nor the form analytics is named in the policy. Thus the document understates what is actually collected: the user is promised anonymous statistics, while the toolkit is configured for behavioural tracking.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-rgs-mef-gov-it/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — rgs.mef.gov.it

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом rgs.mef.gov.it.

2. Обстоятельства
Я посетил сайт rgs.mef.gov.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте есть собственный баннер согласия (модуль Sogei), но аналитика Matomo на инфраструктуре Sogei отрабатывает раньше любого решения пользователя. Уже на 0,4 секунды записывается просмотр страницы с идентификатором посетителя (а не как обезличенный агрегат), на 0,5 секунды инициализируется плагин записи сессий и тепловых карт (Heatmap & Session Recording), а позже форм-аналитика фиксирует взаимодействие с самой формой согласия. Запись сессий и тепловые карты — это поведенческое, индивидуальное наблюдение за пользователем, а не агрегированная статистика, и по правилам Garante оно требует предварительного согласия. Здесь же эти инструменты разворачиваются до того, как пользователь сделал выбор. Важно: всё остаётся на государственной инфраструктуре Sogei (ИТ-компания Минфина), коммерческих получателей и передачи к рекламным третьим сторонам нет — то есть это не утечка вовне, а избыточность собственной аналитики до согласия.

2) Политика описывает аналитический сбор как обработку статистики «in forma anonima» — в обезличенной форме. Однако фактически Matomo присваивает идентификатор посетителя и держит включёнными плагины записи сессий, тепловых карт и форм-аналитики — то есть ведёт индивидуальное поведенческое наблюдение, которое обезличенной агрегатной статистикой не является. Ни запись сессий, ни тепловые карты, ни форм-аналитика в политике не названы. Таким образом документ занижает то, что реально собирается: пользователю обещают анонимную статистику, а инструментарий настроен на поведенческое отслеживание.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-rgs-mef-gov-it/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR — поведенческая аналитика и запись сессий стартуют до согласия; Art. 13 GDPR — заявленная «обезличенная статистика» не соответствует фактической записи поведения

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — rgs.mef.gov.it

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website rgs.mef.gov.it.

2. Circumstances
I visited the website rgs.mef.gov.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has its own consent banner (a Sogei module), but the Matomo analytics on Sogei's infrastructure fires before any user decision. Already at 0.4 seconds a page view is recorded with a visitor identifier (rather than as a de-identified aggregate), at 0.5 seconds the session-recording and heatmap plugin (Heatmap & Session Recording) initialises, and later form analytics records interaction with the consent form itself. Session recording and heatmaps are behavioural, individual observation of the user rather than aggregate statistics, and by Garante's rules they require prior consent. Here, however, these tools deploy before the user made a choice. Importantly: everything stays on Sogei's government infrastructure (the Ministry of Finance's IT company), there are no commercial recipients and no transfer to advertising third parties — that is, this is not a leak outward, but a redundancy of the own analytics before consent.

2) The policy describes the analytics collection as processing of statistics «in forma anonima» — in de-identified form. However, in fact Matomo assigns a visitor identifier and keeps the session-recording, heatmap and form-analytics plugins on — that is, it conducts individual behavioural observation, which is not de-identified aggregate statistics. Neither the session recording, nor the heatmaps, nor the form analytics is named in the policy. Thus the document understates what is actually collected: the user is promised anonymous statistics, while the toolkit is configured for behavioural tracking.

Full technical documentation is published at: https://gdpru.eu/audits/it-rgs-mef-gov-it/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR — behavioural analytics and session recording start before consent; Art. 13 GDPR — the declared «de-identified statistics» does not match the actual behaviour recording

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]