RU EN
www.
Технический аудит · 15.06.2026

bns.lt

Балтийское информационное агентство
LT

Балтийское информационное агентство BNS — 106 запросов, 10 доменов. Две property Google Analytics, аудиторное измерение Gemius и Google Fonts срабатывают до согласия; consent-менеджер Cookie-Script загружается уже после старта трекеров. Ни один из этих сервисов в короткой политике не назван.

Хронология обращений

+254 мс · шрифты и библиотеки
fonts.googleapis.com (Google Fonts) и cdnjs.cloudflare.com — шрифты и библиотека.
+265 мс · GTM и Gemius
www.googletagmanager.com/gtm.js (GTM-N8JLV9HQ) и galv.hit.gemius.pl/xgemius.min.js — контейнер тегов и аудиторное измерение Gemius.
+714 мс · Sentry
o4507460727930880.ingest.de.sentry.io — мониторинг ошибок Sentry (европейский ingest).
+1226 мс · consent-менеджер (с опозданием)
cdn.cookie-script.com — Cookie-Script загружается уже после старта трекеров и их не удерживает.
состояние сеанса — без согласия
Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.
+2063–2090 мс · GA4 page_view до согласия
region1.google-analytics.com/g/collect — событие page_view для двух property (G-TMK7NHF6XW, G-EPNPX5ZP4G) уходит в Google (США).

Декларация против факта

✓ Короткая политика: сессионный cookie и агрегированная статистика по IP — заявлен
✓ Конкретные сервисы (GA4, Gemius, Sentry, Cookie-Script, Google Fonts) не названы — заявлен
+ GA4 (G-TMK7NHF6XW, G-EPNPX5ZP4G) — page_view до согласия, не назван — не заявлен
+ Gemius (galv.hit.gemius.pl) — аудиторное измерение до согласия, не назван — не заявлен
+ Google Fonts, Sentry — до согласия, не названы — не заявлен
+ Cookie-Script CMP загружается после старта трекеров — не заявлен

Тайминги передачи

+266 мс galv.hit.gemius.pl

Gemius — аудиторное измерение.

+714 мс ingest.de.sentry.io

Sentry — мониторинг ошибок. Европейский ingest.

+2063 мс region1.google-analytics.com

GA4 page_view (две property). Google, США.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

bns.lt — сайт агентства BNS (Baltic News Service), одного из ведущих информационных агентств стран Балтии. Оператор — UAB BNS. Предоставлены правила приватности (privatumo taisyklės) объёмом около 3 800 символов, распространяющиеся на bns.lt и bnsplius.lt. Замер: 106 запросов, 10 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — событие page_view GA4 и шрифты; Gemius (Польша/ЕС) — аудиторное измерение.

Заявленное против фактического

Правила приватности BNS коротки и в части cookie ограничиваются упоминанием сессионного cookie, который браузер удаляет по завершении сессии, и указанием, что IP фиксируется для сохранения статистики посещаемости и используется только в обобщённом статистическом виде. Ни одного стороннего инструмента измерения или рекламы политика не называет и механизма согласия на cookie не описывает.

Замер показывает существенно более широкий набор сервисов, срабатывающих до согласия. На +265 мс запускается Google Tag Manager (GTM-N8JLV9HQ), на +266 мс — аудиторное измерение Gemius (galv.hit.gemius.pl), на +714 мс — мониторинг ошибок Sentry (европейский ingest), параллельно загружаются Google Fonts и библиотека с cdnjs. На +2063–2090 мс две property Google Analytics 4 (G-TMK7NHF6XW и G-EPNPX5ZP4G) отправляют событие page_view с адресом bns.lt и идентификатором клиента. Consent-менеджер Cookie-Script при этом загружается лишь на +1226 мс — уже после старта GTM, Gemius, Sentry и шрифтов — и в замере их не удерживает. Состояние сеанса — без согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан. Ни один из этих сервисов в политике не назван.

Тайминг относительно согласия

Трекеры стартуют с +265 мс, consent-менеджер — только с +1226 мс, события GA4 уходят на +2063 мс. Порядок загрузки таков, что согласие технически не могло предшествовать срабатыванию части сервисов; фактически согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Идентификатор клиента GA4 в публикации полностью не приводится. Gemius (инфраструктура в Польше) и Sentry (европейский ingest) обрабатываются в ЕС; вопрос трансграничной передачи в США относится прежде всего к Google. Получатели могут использовать edge-узлы в ЕС, поэтому вывод сделан об их принадлежности. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт агентства BNS до согласия запускает две property Google Analytics, аудиторное измерение Gemius, мониторинг Sentry и Google Fonts, тогда как consent-менеджер Cookie-Script загружается уже после старта трекеров и их не удерживает. Короткая политика приватности упоминает лишь сессионный cookie и обобщённую статистику и ни один из фактических сервисов не называет. Срабатывание аналитики и аудиторного измерения до согласия, передача данных в Google (США) и отсутствие раскрытия сервисов указывают на несоблюдение требований о согласии, о раскрытии получателей и о трансграничной передаче. Устранение: перенастроить Cookie-Script так, чтобы он загружался первым и действительно удерживал GTM, GA4, Gemius, Sentry и шрифты до согласия; разместить шрифты локально; расширить политику перечнем фактически используемых сервисов.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: lt/bns-lt-2026-06-15.har
SHA-256: fd5cf3eeaff56d458aa184420949537bbd0eafb175dccdc3d548a33e61eed702
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — bns.lt

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта bns.lt.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Consent-менеджер Cookie-Script загружается только на +1226 мс — уже после старта трекеров. До него срабатывают Google Tag Manager (GTM-N8JLV9HQ, +265 мс), аудиторное измерение Gemius (galv.hit.gemius.pl, +266 мс), Sentry и Google Fonts, а на +2063–2090 мс две property Google Analytics 4 (G-TMK7NHF6XW и G-EPNPX5ZP4G) отправляют событие page_view. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.

2) IP и данные события page_view передаются в Google (США) через GA4 и шрифты, аудиторные данные — в Gemius. Политика BNS коротка и упоминает лишь сессионный cookie и агрегированную статистику по IP; ни Google Analytics, ни Gemius, ни Sentry, ни Cookie-Script, ни Google Fonts в ней не названы.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/lt-bns-lt/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: ADA — Государственная инспекция защиты данных Литвы — ada.lt

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — bns.lt

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом bns.lt.

2. Обстоятельства
Я посетил сайт bns.lt и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Consent-менеджер Cookie-Script загружается только на +1226 мс — уже после старта трекеров. До него срабатывают Google Tag Manager (GTM-N8JLV9HQ, +265 мс), аудиторное измерение Gemius (galv.hit.gemius.pl, +266 мс), Sentry и Google Fonts, а на +2063–2090 мс две property Google Analytics 4 (G-TMK7NHF6XW и G-EPNPX5ZP4G) отправляют событие page_view. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.

2) IP и данные события page_view передаются в Google (США) через GA4 и шрифты, аудиторные данные — в Gemius. Политика BNS коротка и упоминает лишь сессионный cookie и агрегированную статистику по IP; ни Google Analytics, ни Gemius, ни Sentry, ни Cookie-Script, ни Google Fonts в ней не названы.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/lt-bns-lt/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy (литовская имплементация) + GDPR Art. 6(1) — трекеры до согласия; GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]