italia.it

Контекст

www.italia.it — официальный национальный туристический портал Италии, ответственным за который выступает Министерство туризма. Через него страна представляет себя путешественникам со всего мира. В замере 199 обращений к 26 доменам — это насыщенный сайт с поиском, картами, встроенным аудиогидом, входом и аналитикой. На сайте установлена система согласия OneTrust с функцией автоблокировки. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.

Случай показателен тем, что механизм согласия здесь не просто присутствует, а заявлен в усиленном варианте — с автоблокировкой, — и тем заметнее, что он не срабатывает как должен.

Кто получает данные

Тут были замечены: Adobe, Google, Hotjar, Gigya, Loquis, Algolia.

Был ли баннер согласия

Баннер есть, и это OneTrust с включённой автоблокировкой — режимом, который должен физически удерживать сторонние теги до согласия. Но в замере он не справляется. Видимая часть баннера дорисовывается одной из последних, к +2432 мс, а запрос, который легко принять за согласие, — это всего лишь геоопределение региона. Зафиксированного решения пользователя в замере нет. И, главное, к моменту появления баннера ключевые трекеры уже отработали.

Трекеры до согласия, несмотря на автоблокировку

Вот суть. Несмотря на заявленную автоблокировку, до появления баннера успевают сработать сразу три серьёзных сервиса. Adobe Experience Cloud отправляет реальный сбор данных о визите. Google снимает свой замер. А система Hotjar, ведущая запись сессий и тепловые карты, загружается ещё раньше остальных. Профилирование сама политика относит к обработке, требующей согласия, — но эти сервисы согласия не дожидаются. То есть усиленный механизм согласия здесь присутствует на бумаге и в коде, но фактически своей задачи не выполняет.

«За рубеж не передаём» — против Adobe и Google в США

Отдельная и более жёсткая находка. Политика содержит категоричное заявление: контролёр не передаёт персональные данные в третьи страны или международные организации. Между тем среди получателей — Adobe и Google, американские компании. Каждое обращение к их сервисам передаёт данные посетителя за пределы ЕС. Это прямое противоречие между прямым обещанием документа и фактическим поведением национального портала.

Получатели в отдельной cookie-политике

Основная политика называет цели обработки, включая профилирование, но конкретных получателей не перечисляет, отсылая к отдельной cookie-политике, опубликованной на сайте. В выгрузку эта отдельная часть не вошла, поэтому названы ли там Adobe, Google и Hotjar, я подтвердить не могу — фиксирую, что в основном документе их нет.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Обращение Adobe — это реальный вызов сбора данных; о записи сессий Hotjar я сужу по загрузке её системы. Автоблокировка OneTrust присутствует, но в этом сеансе перечисленные сервисы её не дождались. Отдельную cookie-политику я не выгружал. Hotjar размещён в ЕС, поэтому к нему претензия о передаче за рубеж не относится — она касается Adobe и Google. Замер охватывает главную страницу.

Вывод

Официальный туристический портал страны несёт тяжёлый стек — Adobe, Google, Hotjar с записью сессий, идентификацию, аудиогид, поиск, — и ключевые трекеры отрабатывают раньше, чем появляется баннер согласия, при том что на сайте включена усиленная автоблокировка, которая должна была их удержать. А политика при этом прямо обещает не передавать данные за рубеж — тогда как Adobe и Google находятся в США. Главное, что должен вынести читатель: даже усиленный механизм согласия — это лишь обещание, пока он не проверен на деле; здесь автоблокировка стоит, а Adobe, Google и запись сессий всё равно срабатывают до спроса, и категоричное «данные не покидают ЕС» не выдерживает сверки.