Сайт парламента Люксембурга — 48 запросов, пять узлов. Единственный внешний получатель — аналитическая платформа TWIPLA, но работает она в полном объёме: устойчивый идентификатор посетителя, служба опросов и постоянное соединение по протоколу WebSocket, открытое на 2711-й миллисекунде. Механизма согласия на сайте не обнаружено. Уведомление о защите данных описывает сбор только через формы и петиции, а об обработке при простом просмотре не сообщает ничего — ни слова cookie, ни слова аналитика в нём нет.
Хронология обращений
Декларация против факта
Тайминги передачи
main.js с идентификатором площадки.
Настройки наблюдения для площадки.
POST worker-log, ответ 201.
ssr-worker.js.
Адрес страницы и устойчивый идентификатор посетителя в открытом виде в адресе запроса.
Соединение по протоколу WebSocket, код 101.
Зафиксированные трекеры
- TWIPLA / Visitor Analytics (app-worker.visitor-analytics.io, visits.visitor-analytics.io, lb-api.visitor-analytics.io) — девять обращений, включая постоянное соединение по протоколу WebSocket
Признаки несоответствия GDPR
- ePrivacy — Loi du 30 mai 2005, ст. 4 (в связке с GDPR Art. 6(1)(a))Механизма управления согласием на сайте не обнаружено: за все 48 запросов не встречается ни одного обращения к платформе согласия и ни одного сценария с признаками баннера. Аналитическая платформа TWIPLA при этом отрабатывает полностью: сценарий на +1726 мс, запрос настроек площадки на +1996 мс, отправка журнала на +2363 мс, второй сценарий на +2523 мс, обращение к службе опросов на +2527 мс и, наконец, установление постоянного соединения по протоколу WebSocket на +2711 мс с кодом 101 — то есть канал открыт и держится.
- GDPR Art. 13(1)(e) — раскрытие получателейУведомление о защите данных не называет ни одного получателя веб-данных. Перечень адресатов в нём состоит из подрядчиков по рассылке отчётов, других органов публичной администрации Люксембурга и Центра информационных технологий государства — последний только в связи с проверкой записи в национальном реестре при подаче публичной петиции. Аналитическая платформа, которой в замере уходят данные каждого посетителя главной страницы, в документе отсутствует.
- GDPR Art. 5(1)(a) и Art. 13(1)(c) — прозрачность и цели обработкиУведомление описывает сбор персональных данных исчерпывающим перечнем: через форму обратной связи, при оформлении подписки на материалы палаты и на стенограммы, при обращении по электронной почте, а также при подаче и подписании петиций. Об обработке, происходящей при простом просмотре сайта, документ не сообщает ничего: слова cookie, аналитика, статистика посещений в нём не встречаются ни разу. Между тем при открытии главной страницы во внешнюю платформу передаётся устойчивый идентификатор посетителя вместе с адресом просматриваемой страницы.
Контекст
chd.lu — сайт Палаты депутатов Люксембурга, однопалатного парламента Великого Герцогства. Публикует парламентские досье, вопросы депутатов, стенограммы пленарных заседаний, материалы о петициях и образовательные разделы. Ответственный за обработку — сама Палата, улица Марше-о-Эрб, 23, Люксембург; функцию специалиста по защите данных исполняет внешний подрядчик от Deloitte Tax & Consulting. Платформа — Drupal с собственной темой.
Замер: 48 запросов, пять узлов. Тридцать девять обращений к собственным доменам, девять — к аналитической платформе. Продолжительность записи — 2,7 секунды, полная загрузка страницы завершилась на 2003 мс. Снят 15 июня 2026 года на главной странице во французской версии.
Обработку описывает единственный документ — уведомление о защите персональных данных.
Кому уходят данные напрямую
TWIPLA (Visitor Analytics).
Заявленное против фактического
Расхождение здесь не в деталях, а в самом предмете описания.
Документ не знает, что у сайта есть посетители. Уведомление построено вокруг ситуаций, когда человек сам обращается к парламенту: заполняет форму обратной связи, подписывается на парламентские досье или стенограммы, пишет по электронной почте, подаёт или подписывает петицию. Для каждой ситуации честно перечислены категории данных — вплоть до места и даты рождения при публичной петиции, — указаны основания и сроки хранения, названы получатели, включая Центр информационных технологий государства для сверки с национальным реестром.
Об обработке, которая происходит при простом открытии страницы, документ не сообщает ничего. Слова cookie в нём нет ни разу. Слов «аналитика», «статистика посещений», «измерение аудитории» — тоже. Раздел о том, какие данные собираются, начинается с указания на форму обратной связи и подписку, то есть очерчивает сбор исчерпывающе и не оставляет места для наблюдения за читателем.
Наблюдение при этом ведётся, и в развёрнутом виде. С 1726-й миллисекунды разворачивается платформа TWIPLA, известная также под прежним названием Visitor Analytics. Последовательность такая: сценарий с идентификатором площадки, запрос настроек наблюдения для этой площадки, отправка журнала методом POST с ответом 201 — запись на стороне платформы создана, второй сценарий, обращение к службе таргетирования опросов и установление постоянного соединения.
Два элемента заслуживают отдельного внимания.
Первый — обращение к службе опросов на +2527 мс. В адресе этого запроса открытым текстом, в виде обычных параметров, передаются адрес просматриваемой страницы и устойчивый идентификатор посетителя. Идентификатор представляет собой строку фиксированной длины в кодировке base64 и служит для узнавания того же посетителя при последующих визитах. Полностью в разборе он не приводится.
Второй — соединение на +2711 мс. Запрос уходит по протоколу WebSocket и получает код 101, что означает переключение протокола: канал установлен и остаётся открытым, пока страница открыта. Это принципиально иной режим, чем разовая отправка события: по такому каналу данные могут передаваться непрерывно, в обе стороны, без отдельных видимых запросов.
Второй сценарий платформы носит имя ssr-worker.js. В наборе возможностей TWIPLA присутствует запись сеансов, и сокращение в имени файла соответствует этому назначению, однако по браузерному замеру, где тела ответов не сохранены, утверждать это как факт нельзя — фиксируется имя файла и наличие постоянного канала.
Механизма согласия нет. За все 48 запросов не обнаружено ни одного обращения к платформе управления согласием и ни одного сценария с соответствующими признаками. Проверялись имена известных платформ и общие признаки в адресах — совпадений ноль.
Что стоит отметить в пользу сайта. Внешних получателей всего один. Шрифты, изображения, сценарии темы и служебные запросы идут исключительно на собственные домены — ни картографических библиотек, ни сторонних наборов значков, ни встроенных проигрывателей. Набор защитных заголовков присутствует: строгий транспорт, запрет вложения в кадр с чужого источника, запрет угадывания типа содержимого, ограничительная политика реферера и отдельный заголовок, отключающий когортную рекламную технологию браузера. Заголовок Content-Security-Policy при этом не выставлен.
Отдельно про третьи страны. Уведомление прямо заявляет, что в рамках перечисленных обработок передачи за пределы Европейского союза не производится. TWIPLA — берлинская компания, и по её собственным заявлениям обработка ведётся в пределах Союза; браузерным замером это не проверяется. Как нарушение правил о трансграничной передаче наблюдение не фиксируется — оговорка «в рамках перечисленных обработок» к веб-аналитике попросту не относится, поскольку она в перечень не входит.
Согласие: что доказано и что нет
Доказано: механизма согласия в записи нет. Ни одного обращения к платформе управления согласием, ни одного сценария с соответствующими признаками за все 48 запросов.
Доказано: аналитика отработала полностью и передала данные. Отправка журнала получила ответ 201, то есть запись на стороне платформы создана. Обращение к службе опросов несёт идентификатор посетителя и адрес страницы. Постоянное соединение установлено с кодом 101.
Доказано: загрузка от выбора пользователя не зависит. Инициатором сценария платформы записан сценарий собственной темы сайта, подгружаемый из подвала страницы, — то есть вызов встроен в код сайта и выполняется при его исполнении. Никакого условия, связанного с выбором пользователя, перед ним нет.
Не доказано и не требуется: отсутствие текстового уведомления в разметке. Тела ответов из опубликованного файла удалены, поэтому наличие информационной плашки в HTML по нему не проверяется. Вывод построен не на этом, а на том, что аналитика запускается из кода темы и ни от какой плашки не зависит, и что платформы, способной ею управлять, на странице нет.
Отдельно: браузер при съёмке отправлял заголовок DNT: 1. На состав и объём передач это не повлияло.
Границы наблюдения
Замер охватывает одну страницу — главную во французской версии, в одном состоянии. Разделы петиций, где по документам собираются имя, дата и место рождения, в замер не входили, и утверждений о них разбор не делает.
Наблюдение фиксирует поведение браузера, не внутреннюю кухню сервисов: обработка на стороне платформы, её договорные отношения с парламентом, состав хранимых ею данных и география обработки браузерным замером не проверяются. Правовую оценку выносит компетентный орган — Commission nationale pour la protection des données.
Файл опубликован очищенным от личных данных: удалены заголовки cookie, тела ответов, заголовок вкладки и тело отправленного журнала. Устойчивый идентификатор посетителя в разборе не приводится полностью. Состав cookie на устройстве по опубликованному файлу не восстанавливается, и ни один вывод разбора на него не опирается: все утверждения держатся на адресах запросов, их порядке, кодах ответов и зафиксированных инициаторах.
Содержимое, передаваемое по постоянному соединению, в браузерной записи такого рода не сохраняется — фиксируется сам факт установления канала и код ответа. Назначение сценария ssr-worker.js определяется по имени файла и по известным возможностям платформы; проверить его по замеру нельзя.
Идентификация сервиса опирается на домены visitor-analytics.io, схему адресов с идентификатором площадки и заголовки ответов узлов платформы.
Вывод
Уведомление о защите данных Палаты депутатов Люксембурга написано аккуратно и подробно — для тех, кто пишет парламенту письма, подписывается на стенограммы или подаёт петиции. Для тех, кто просто открывает сайт почитать новости, в нём нет ни строчки: слово cookie не встречается ни разу, аналитика не упомянута, обработка при просмотре не описана как явление.
Между тем при открытии главной страницы разворачивается внешняя аналитическая платформа: запрашивает настройки наблюдения, отправляет журнал, передаёт в адресе запроса устойчивый идентификатор посетителя вместе с адресом просматриваемой страницы и открывает постоянное соединение, которое держится всё время, пока страница открыта. Механизма согласия на сайте не обнаружено — ни баннера, ни платформы, ни сохранённого выбора.
В остальном сайт устроен сдержанно: единственный внешний получатель, собственные шрифты и изображения, разумный набор защитных заголовков. Тем заметнее разрыв между этой сдержанностью и полным молчанием документа о том единственном наблюдении, которое всё-таки ведётся.
Устранение: ввести механизм согласия, управляющий загрузкой аналитической платформы, и не запускать её из кода темы до выбора посетителя; дополнить уведомление разделом об обработке при посещении сайта — с указанием платформы, передаваемых полей, включая идентификатор посетителя, целей, срока хранения и правового основания; описать назначение постоянного соединения и службы опросов.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
06a00fceddcbe439097f2098bc5af64fdb52d611949b983be467a921f9555728Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — chd.lu Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта chd.lu. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) Механизма управления согласием на сайте не обнаружено: за все 48 запросов не встречается ни одного обращения к платформе согласия и ни одного сценария с признаками баннера. Аналитическая платформа TWIPLA при этом отрабатывает полностью: сценарий на +1726 мс, запрос настроек площадки на +1996 мс, отправка журнала на +2363 мс, второй сценарий на +2523 мс, обращение к службе опросов на +2527 мс и, наконец, установление постоянного соединения по протоколу WebSocket на +2711 мс с кодом 101 — то есть канал открыт и держится. 2) Уведомление о защите данных не называет ни одного получателя веб-данных. Перечень адресатов в нём состоит из подрядчиков по рассылке отчётов, других органов публичной администрации Люксембурга и Центра информационных технологий государства — последний только в связи с проверкой записи в национальном реестре при подаче публичной петиции. Аналитическая платформа, которой в замере уходят данные каждого посетителя главной страницы, в документе отсутствует. 3) Уведомление описывает сбор персональных данных исчерпывающим перечнем: через форму обратной связи, при оформлении подписки на материалы палаты и на стенограммы, при обращении по электронной почте, а также при подаче и подписании петиций. Об обработке, происходящей при простом просмотре сайта, документ не сообщает ничего: слова cookie, аналитика, статистика посещений в нём не встречаются ни разу. Между тем при открытии главной страницы во внешнюю платформу передаётся устойчивый идентификатор посетителя вместе с адресом просматриваемой страницы. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/lu-chd-lu/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — chd.lu To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website chd.lu. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) No consent-management mechanism was found on the site: across all 48 requests, there is not a single request to a consent platform and not a single script bearing the hallmarks of a banner. The TWIPLA analytics platform, meanwhile, runs in full: a script at +1726 ms, a request for site settings at +1996 ms, a log transmission at +2363 ms, a second script at +2523 ms, a request to the polls service at +2527 ms, and finally, establishment of a persistent WebSocket connection at +2711 ms with a 101 status code — meaning the channel is opened and held open. 2) The data protection notice names no web-data recipients at all. Its list of recipients consists of report-mailing contractors, other Luxembourg public administration bodies, and the State Information Technology Centre — the latter only in connection with checking a national-register entry when a public petition is filed. The analytics platform, to which every homepage visitor's data goes out in the scan, is absent from the document. 3) The notice describes personal-data collection with an exhaustive list: via the contact form, when subscribing to Chamber materials and transcripts, when writing by email, and when filing or signing petitions. The document says nothing about processing that occurs simply by browsing the site: the words cookie, analytics, and visitor statistics do not appear in it once. Meanwhile, on opening the homepage, a persistent visitor identifier is transmitted to an external platform along with the address of the page being viewed. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/lu-chd-lu/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: CNPD — Национальная комиссия по защите данных Люксембурга — cnpd.lu
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — chd.lu 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом chd.lu. 2. Обстоятельства Я посетил сайт chd.lu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) Механизма управления согласием на сайте не обнаружено: за все 48 запросов не встречается ни одного обращения к платформе согласия и ни одного сценария с признаками баннера. Аналитическая платформа TWIPLA при этом отрабатывает полностью: сценарий на +1726 мс, запрос настроек площадки на +1996 мс, отправка журнала на +2363 мс, второй сценарий на +2523 мс, обращение к службе опросов на +2527 мс и, наконец, установление постоянного соединения по протоколу WebSocket на +2711 мс с кодом 101 — то есть канал открыт и держится. 2) Уведомление о защите данных не называет ни одного получателя веб-данных. Перечень адресатов в нём состоит из подрядчиков по рассылке отчётов, других органов публичной администрации Люксембурга и Центра информационных технологий государства — последний только в связи с проверкой записи в национальном реестре при подаче публичной петиции. Аналитическая платформа, которой в замере уходят данные каждого посетителя главной страницы, в документе отсутствует. 3) Уведомление описывает сбор персональных данных исчерпывающим перечнем: через форму обратной связи, при оформлении подписки на материалы палаты и на стенограммы, при обращении по электронной почте, а также при подаче и подписании петиций. Об обработке, происходящей при простом просмотре сайта, документ не сообщает ничего: слова cookie, аналитика, статистика посещений в нём не встречаются ни разу. Между тем при открытии главной страницы во внешнюю платформу передаётся устойчивый идентификатор посетителя вместе с адресом просматриваемой страницы. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/lu-chd-lu/ 3. Положения GDPR, соблюдение которых прошу проверить ePrivacy — Loi du 30 mai 2005, ст. 4 (в связке с GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 5(1)(a) и Art. 13(1)(c) — прозрачность и цели обработки 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — chd.lu 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website chd.lu. 2. Circumstances I visited the website chd.lu and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications: 1) No consent-management mechanism was found on the site: across all 48 requests, there is not a single request to a consent platform and not a single script bearing the hallmarks of a banner. The TWIPLA analytics platform, meanwhile, runs in full: a script at +1726 ms, a request for site settings at +1996 ms, a log transmission at +2363 ms, a second script at +2523 ms, a request to the polls service at +2527 ms, and finally, establishment of a persistent WebSocket connection at +2711 ms with a 101 status code — meaning the channel is opened and held open. 2) The data protection notice names no web-data recipients at all. Its list of recipients consists of report-mailing contractors, other Luxembourg public administration bodies, and the State Information Technology Centre — the latter only in connection with checking a national-register entry when a public petition is filed. The analytics platform, to which every homepage visitor's data goes out in the scan, is absent from the document. 3) The notice describes personal-data collection with an exhaustive list: via the contact form, when subscribing to Chamber materials and transcripts, when writing by email, and when filing or signing petitions. The document says nothing about processing that occurs simply by browsing the site: the words cookie, analytics, and visitor statistics do not appear in it once. Meanwhile, on opening the homepage, a persistent visitor identifier is transmitted to an external platform along with the address of the page being viewed. Full technical documentation is published at: https://gdpru.eu/audits/lu-chd-lu/ 3. GDPR provisions I ask you to examine ePrivacy — Loi du 30 mai 2005, Art. 4 (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Art. 5(1)(a) and Art. 13(1)(c) — transparency and purposes of processing 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]