Полиция Литвы — 35 запросов, 5 доменов. До согласия загружаются Google Fonts (IP в Google, США) и Cloudflare Web Analytics с RUM-маяком. Платформа lrv.lt применяет модель согласия, но эти сторонние обращения её обходят.
Хронология утечки
Декларация против факта
Тайминги передачи
Google Fonts (Public Sans). Google, США.
Cloudflare Web Analytics beacon.
RUM-маяк Cloudflare (проксируется через собственный домен).
Зафиксированные трекеры
- Google Fonts (fonts.googleapis.com, fonts.gstatic.com)
- Cloudflare Web Analytics (static.cloudflareinsights.com)
Признаки несоответствия GDPR
-
GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передачаДо согласия загружается Google Fonts (fonts.googleapis.com/css2 и fonts.gstatic.com, шрифт Public Sans, +673 мс), передавая IP посетителя в Google (США), и Cloudflare Web Analytics (static.cloudflareinsights.com/beacon.min.js, +678 мс, с POST-маяком на /cdn-cgi/rum, +1204 мс). Платформа lrv.lt применяет модель согласия (необходимые cookie — без согласия, прочие — с согласия), но эти сторонние обращения к «необходимым» не относятся.
-
ePrivacy (литовская имплементация) — сторонние ресурсы до согласияGoogle Fonts и Cloudflare Web Analytics срабатывают на +673–678 мс, до какого-либо выбора. Consent-менеджер в замере не сработал, Set-Cookie за весь сеанс ноль. Политика конфиденциальности в комплекте не предоставлена.
Контекст
policija.lrv.lt — сайт Полиции Литвы (Policijos departamentas prie Vidaus reikalų ministerijos), размещённый на общей правительственной платформе lrv.lt. Короткий домен policija.lt перенаправляет на него. Ответственный за обработку — Департамент полиции. Политика конфиденциальности в комплекте не предоставлена. Замер: 35 запросов, 5 доменов, снят на чистом браузере.
Кому уходят данные напрямую (до согласия)
Google (США) — IP через Google Fonts; Cloudflare — IP и данные RUM через маяк.
Заявленное против фактического
Правительственная платформа lrv.lt, на которой размещён сайт полиции, применяет модель согласия: необходимые cookie устанавливаются автоматически, а прочие — при согласии пользователя. Отдельная политика конфиденциальности в рамках аудита не предоставлена.
Замер показывает, что до согласия срабатывают два сторонних сервиса, к «необходимым» не относящиеся. На +673 мс загружается Google Fonts (шрифт Public Sans с fonts.googleapis.com и fonts.gstatic.com), передавая IP-адрес посетителя в Google (США). На +678 мс загружается Cloudflare Web Analytics (static.cloudflareinsights.com/beacon.min.js), а данные Real User Monitoring уходят POST-запросом на /cdn-cgi/rum на +1204 мс. Состояние сеанса при этом — без согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан. Оба сервиса представляют собой передачу данных внешним получателям (Google и Cloudflare) до согласия и в доступных материалах не раскрыты.
Тайминг относительно согласия
Google Fonts и Cloudflare Web Analytics загружаются на +673–678 мс, RUM-маяк — на +1204 мс, в начале сеанса. Согласие в сеансе не давалось (Set-Cookie ноль).
Чего по замеру утверждать нельзя
Замер охватывает главную страницу. Google и Cloudflare могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США). Cloudflare Web Analytics работает без cookie; предметом расхождения являются передача IP и данных RUM внешнему получателю до согласия. Отдельная cookie-политика платформы lrv.lt может содержать перечень сервисов; в рамках данного аудита политика не предоставлена. Обработка на стороне сервера в браузерном замере не видна.
Вывод
Сайт Полиции Литвы до согласия передаёт IP посетителя в Google (через Google Fonts) и в Cloudflare (через Web Analytics с RUM-маяком). Платформа lrv.lt декларирует модель согласия, но эти сторонние обращения её обходят. Для сайта полиции передача IP внешним получателям в США до согласия составляет нарушение требований о согласии, о раскрытии получателей и о трансграничной передаче. Устранение: разместить шрифты локально на собственном домене и отказаться от внешней веб-аналитики Cloudflare до согласия либо заменить её на решение в контуре платформы, удерживаемое механизмом согласия.
Куда подавать: ADA — Государственная инспекция защиты данных Литвы — ada.lt
Кому: ADA — Государственная инспекция защиты данных Литвы От: [Ваше имя], [контактный email] 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом policija.lrv.lt. 2. Обстоятельства Я посетил сайт policija.lrv.lt и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) До согласия загружается Google Fonts (fonts.googleapis.com/css2 и fonts.gstatic.com, шрифт Public Sans, +673 мс), передавая IP посетителя в Google (США), и Cloudflare Web Analytics (static.cloudflareinsights.com/beacon.min.js, +678 мс, с POST-маяком на /cdn-cgi/rum, +1204 мс). Платформа lrv.lt применяет модель согласия (необходимые cookie — без согласия, прочие — с согласия), но эти сторонние обращения к «необходимым» не относятся. 2) Google Fonts и Cloudflare Web Analytics срабатывают на +673–678 мс, до какого-либо выбора. Consent-менеджер в замере не сработал, Set-Cookie за весь сеанс ноль. Политика конфиденциальности в комплекте не предоставлена. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/lt-policija-lrv-lt/ 3. Нарушенные положения GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача; ePrivacy (литовская имплементация) — сторонние ресурсы до согласия 4. Требование Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. [Дата] [Подпись/имя]