RU EN
www.
Технический аудит · 29.08.2026

ast.lv

Сайт оператора магистральных электросетей Латвии
LV

Корпоративный сайт латвийского оператора магистральных электросетей — одна запись, 49 запросов, пять узлов. Активной аналитики и рекламы нет: ни Google Analytics, ни Tag Manager, ни рекламных сервисов, ни социальных пикселей. Но три сторонних узла всё же получают адрес IP посетителя без согласия и без раскрытия: Google Fonts (шрифт Open Sans), виджет кнопок «поделиться» AddToAny и телеметрия Cloudflare. При этом заявление о конфиденциальности называет получателем только Google Analytics — которого в записи как раз нет, — а фактических получателей не упоминает. Браузер при съёмке отправлял заголовок DNT: 1.

Хронология обращений

+0 мс · навигация
Открытие сайта. Переход с http на https (307), затем на языковую версию /lv (301→200). Приложение на Drupal 11, отдача через Cloudflare (cf-ray …-TLL, Таллинн). Заголовки: Referrer-Policy same-origin, X-Frame-Options SAMEORIGIN, X-Content-Type-Options nosniff, X-XSS-Protection, Expect-CT enforce; на части ответов присутствует Content-Security-Policy в режиме отчёта. Браузер отправлял заголовок DNT: 1.
+467 мс · Google Fonts
fonts.googleapis.com/css?family=Open+Sans — описание шрифта, инициировано разметкой страницы /lv. Следом, на +752…+1100 мс, три файла шрифта .woff2 с fonts.gstatic.com. При этих обращениях адрес IP посетителя становится виден Google.
+561 мс · AddToAny
static.addtoany.com/menu/page.js — скрипт виджета кнопок «поделиться», далее его модуль core.js и меню sm.25.html. Виджет загружает только собственную статику; исходящих обращений с идентификаторами или пикселей от него в записи нет. Адрес IP посетителя при загрузке скрипта виден серверу AddToAny.
механизма согласия для сторонних ресурсов нет
Заявление о конфиденциальности указывает, что согласие на cookie не запрашивается, так как сайт «не отслеживает привычки пользователей». Обращения к Google Fonts и AddToAny уходят автоматически из разметки до какого-либо действия пользователя; платформы управления согласием или выбора для сторонних ресурсов в записи нет. Обращений к аналитике или рекламе нет вовсе.
+562 мс · телеметрия и защита провайдера
static.cloudflareinsights.com/beacon.min.js — RUM Cloudflare; далее /cdn-cgi/challenge-platform (проверка на бота) и /cdn-cgi/rum (204). Это инфраструктура провайдера отдачи, первая сторона по домену.
+ходе сеанса · внутренние данные
Повторные обращения /lv/ajax/charts/imports-exports — внутренний AJAX сайта, данные для графиков импорта-экспорта электроэнергии. Первая сторона, наружу не уходит.

Декларация против факта

✓ Контролёр — АО «Augstsprieguma tīkls» (AST), Rīga, Dārzciema iela 86; специалист по защите данных DPO@ast.lv — заявлен
✓ Cookie используются для функциональности сайта, статистики посещений (число посетителей, время на сайте) и повышения эффективности работы — заявлен
✓ Сервер регистрирует запросы посетителя (открытые адреса, устройство и браузер, адрес IP, время доступа) исключительно в технических целях — заявлен
✓ AST не использует cookie для отслеживания привычек пользователей, поэтому информирует о cookie, но не запрашивает согласие на их размещение — заявлен
✓ Сайт может содержать сторонние cookie, в частности google analytics; инструмент принадлежит Google Inc. (США), присоединившейся к принципам EU-US Privacy — заявлен
✓ Возможна передача данных за пределы ЕС при использовании внешних решений хранения; в этом случае применяются типовые договорные условия — заявлен
+ Google Fonts — передача адреса IP посетителя Google при загрузке шрифта Open Sans; получатель не назван — не заявлен
+ AddToAny — сторонний виджет кнопок «поделиться»; получатель не назван — не заявлен
+ Cloudflare — RUM-телеметрия и защита от ботов провайдера отдачи; не названы — не заявлен
+ Google Analytics, названный в политике как используемый, в записи фактически отсутствует — не заявлен

Тайминги передачи

+467 мс fonts.googleapis.com

Описание шрифта Open Sans. Адрес IP посетителя виден Google.

+561 мс static.addtoany.com

Скрипт виджета «поделиться». Адрес IP виден серверу AddToAny; исходящих данных с идентификаторами нет.

+562 мс static.cloudflareinsights.com

beacon.min.js — RUM Cloudflare, первая сторона по инфраструктуре.

+752 мс fonts.gstatic.com

Файлы шрифта .woff2 Open Sans. Адрес IP посетителя виден Google.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

ast.lv — корпоративный сайт АО «Augstsprieguma tīkls» (AST), латвийского оператора передачи электроэнергии (магистральные высоковольтные сети). Контролёр, адрес Rīga, Dārzciema iela 86, LV-1073; контакт специалиста по защите данных — DPO@ast.lv. Сайт построен на Drupal 11 и отдаётся через Cloudflare (cf-ray с меткой TLL — Таллинн). Набор заголовков безопасности на главной странице приличный: Referrer-Policy same-origin, X-Frame-Options SAMEORIGIN, X-Content-Type-Options nosniff, X-XSS-Protection, Expect-CT в режиме enforce; на части ответов присутствует политика безопасности содержимого в режиме отчёта.

Обработку описывает заявление о конфиденциальности AST (двуязычное, английская и латышская части). Сайту напрямую посвящены разделы «Cookies» и «Cookies of third parties».

Замер состоит из одной записи: главная страница с переходом на языковую версию /lv. Сорок девять запросов, пять узлов. Запись сделана 15 июня 2026 года.

Кому уходят данные напрямую

Google (Fonts), AddToAny; Cloudflare — как провайдер отдачи. Активной аналитики или рекламы в записи нет.

Заявленное против фактического

Раздел о cookie в заявлении описывает обработку узко: cookie используются для функциональности, статистики посещений и повышения эффективности; сервер регистрирует технические данные запроса (адрес, устройство, браузер, IP, время) в технических целях; согласие на cookie не запрашивается, поскольку AST «не отслеживает привычки пользователей». Отдельный раздел о сторонних cookie называет ровно один внешний инструмент: «сайт может содержать сторонние cookie, в частности google analytics», с указанием, что инструмент принадлежит Google Inc., США.

Замер даёт расхождение сразу в две стороны.

Названный получатель в записи не работает. Ни одного обращения к google-analytics.com или googletagmanager.com, ни одного идентификатора измерения (ресурсы вида G-, AW-, UA-, GTM-) в записи нет. Google Analytics, единственный поимённо названный в политике сторонний инструмент, фактически на наблюдаемой странице не задействован.

Фактические получатели не названы. Вместо этого в записи присутствуют три других внешних узла. Первый — Google Fonts: на +467 мс из разметки страницы запрашивается описание шрифта Open Sans с fonts.googleapis.com, следом на +752…+1100 мс — три файла шрифта с fonts.gstatic.com. При этих обращениях адрес IP посетителя становится виден Google. Второй — AddToAny: на +561 мс подгружается скрипт виджета кнопок «поделиться» (static.addtoany.com/menu/page.js), его модуль и меню; виджет загружает только собственную статику и никаких исходящих обращений с идентификаторами или пикселей в записи не делает, но при загрузке его скрипта адрес IP посетителя виден серверу AddToAny. Третий — телеметрия Cloudflare (static.cloudflareinsights.com) и её же защита от ботов (/cdn-cgi/challenge-platform, /cdn-cgi/rum), инфраструктура провайдера отдачи. Ни Google Fonts, ни AddToAny, ни Cloudflare в заявлении о конфиденциальности не упомянуты.

Согласие для сторонних обращений отсутствует. Политика прямо снимает вопрос согласия, ссылаясь на отсутствие отслеживания привычек. Но обращения к Google Fonts и AddToAny уходят автоматически при разборе страницы, до любого действия пользователя, и передают адрес IP сторонним сервисам. Механизма выбора или согласия для этих обращений на сайте нет. Это не аналитический трекинг с идентификатором пользователя, но передача адреса IP третьим сторонам без раскрытия и без согласия налицо.

Внутренние обращения /lv/ajax/charts/imports-exports — это AJAX самого сайта (данные для графиков импорта-экспорта электроэнергии), первая сторона, наружу они не уходят.

Согласие: что доказано и что нет

Доказано: активной сторонней аналитики и рекламы в записи нет. Обращений к Google Analytics, Google Tag Manager, рекламным сервисам, социальным сетям или RTB-инфраструктуре не возникает; идентификаторы измерения в адресах отсутствуют.

Доказано: сторонние ресурсы загружаются без согласия. Google Fonts (+467 мс) и AddToAny (+561 мс) запрашиваются из разметки страницы автоматически, прежде чем пользователь мог бы сделать какой-либо выбор; платформы управления согласием в записи нет.

Доказано: адрес IP посетителя становится доступен Google и AddToAny. Это следует из самого факта обращений браузера к fonts.gstatic.com, fonts.googleapis.com и static.addtoany.com — при любом сетевом запросе адрес IP отправителя виден принимающему серверу.

Не доказано и не утверждается: аналитическая нагрузка AddToAny. В записи виджет только загружает свою статику и не отправляет обращений с идентификаторами. Собирает ли AddToAny данные иными путями вне наблюдаемой страницы, браузерным замером не устанавливается и в вывод не входит.

Отдельно: браузер при съёмке отправлял заголовок DNT: 1. На состав обращений это не повлияло.

Границы наблюдения

Замер охватывает одну страницу — главную с переходом на языковую версию. Наблюдение фиксирует поведение браузера, не внутреннюю сторону сервисов: серверная обработка и договорные отношения с получателями браузерным замером не проверяются. Правовую оценку выносит компетентный орган — в Латвии это Datu valsts inspekcija.

Файл опубликован очищенным по «постному» профилю: удалены значения cookie в запросах, вырезаны заголовки Cookie и Set-Cookie, тела ответов и статические ресурсы. Заголовки ответов в этом файле сохранены, поэтому набор защитных заголовков и состав узлов проверяются по записи напрямую. Полные адреса и идентификаторы в разборе не приводятся; вывод о видимости адреса IP сторонним серверам опирается на сам факт сетевых обращений к их доменам.

Идентификация сервисов опирается на домены и схему адресов: Google Fonts — по fonts.googleapis.com и fonts.gstatic.com с путём шрифта Open Sans; AddToAny — по static.addtoany.com и путям виджета /menu/; Cloudflare — по cloudflareinsights.com и путям /cdn-cgi/. Отсутствие Google Analytics установлено по отсутствию обращений к его доменам и идентификаторов измерения в адресах.

Вывод

Корпоративный сайт латвийского оператора электросетей не ведёт активной аналитики и рекламы: ни Google Analytics, ни Tag Manager, ни рекламных сервисов, ни социальных пикселей в записи нет. Однако три сторонних узла всё же получают адрес IP посетителя без согласия и без раскрытия: Google Fonts при загрузке шрифта Open Sans, виджет кнопок «поделиться» AddToAny и телеметрия Cloudflare. Заявление о конфиденциальности при этом называет единственным сторонним инструментом Google Analytics — которого в записи как раз нет, — а фактических веб-получателей не упоминает вовсе; названо не то, что работает, и не названо то, что работает. Согласие для сторонних обращений не запрашивается, хотя они уходят автоматически при открытии страницы.

Устранение: разместить шрифт Open Sans на собственном домене, чтобы прекратить передачу адреса IP в Google Fonts, либо поставить его загрузку под управление согласием; назвать в заявлении о конфиденциальности фактических сторонних получателей веб-данных — Google Fonts, AddToAny, Cloudflare — с указанием характера передачи, и убрать из документа Google Analytics, который на сайте не используется, либо привести документ в соответствие с фактическим составом сервисов; для сторонних ресурсов, передающих адрес IP, предусмотреть механизм согласия или отказаться от их загрузки до согласия.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: lv/ast-lv-2026-06-15.har
SHA-256: 4e34a2b537b3e15592eb37e683a1e0a917066140fe887a323bf3bef68bbf0bfe
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — ast.lv

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта ast.lv.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Заявление о конфиденциальности называет из сторонних веб-получателей только Google Analytics («сайт может содержать сторонние cookie, в частности google analytics»). Фактически в записи Google Analytics отсутствует вовсе — ни одного обращения к google-analytics.com или googletagmanager.com, ни одного идентификатора измерения. Зато в записи присутствуют три других внешних узла, ни один из которых в документе не назван: Google Fonts (fonts.googleapis.com, fonts.gstatic.com), которому при загрузке шрифта Open Sans уходит адрес IP посетителя; AddToAny (static.addtoany.com), виджет кнопок «поделиться», чьему серверу при загрузке его скрипта также виден адрес IP; и телеметрия Cloudflare. Названный в политике получатель в записи не работает, а фактические веб-получатели не раскрыты.

2) Заявление о конфиденциальности прямо указывает, что согласие на cookie не запрашивается, поскольку сайт «не отслеживает привычки пользователей». Однако сторонние ресурсы Google Fonts и AddToAny подгружаются автоматически из разметки страницы на +467…+561 мс, до какого-либо взаимодействия с пользователем, и при этом адрес IP посетителя становится доступен Google и AddToAny. Механизма согласия или выбора для этих сторонних обращений на сайте нет. Само по себе это не аналитический трекинг, но передача адреса IP сторонним сервисам происходит без согласия и без раскрытия.

3) Шрифт Open Sans подгружается с серверов Google (fonts.googleapis.com, fonts.gstatic.com), что влечёт передачу адреса IP посетителя Google. Заявление о конфиденциальности упоминает возможную передачу данных за пределы ЕС в общем виде и со ссылкой на типовые договорные условия, но применительно к загрузке шрифтов Google этот механизм не раскрыт, а сам получатель (Google Fonts) не назван. Размещение шрифта на собственном домене устранило бы эту передачу полностью.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/lv-ast-lv/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: DVI — Государственная инспекция данных Латвии — dvi.gov.lv

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — ast.lv

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом ast.lv.

2. Обстоятельства
Я посетил сайт ast.lv и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.08.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Заявление о конфиденциальности называет из сторонних веб-получателей только Google Analytics («сайт может содержать сторонние cookie, в частности google analytics»). Фактически в записи Google Analytics отсутствует вовсе — ни одного обращения к google-analytics.com или googletagmanager.com, ни одного идентификатора измерения. Зато в записи присутствуют три других внешних узла, ни один из которых в документе не назван: Google Fonts (fonts.googleapis.com, fonts.gstatic.com), которому при загрузке шрифта Open Sans уходит адрес IP посетителя; AddToAny (static.addtoany.com), виджет кнопок «поделиться», чьему серверу при загрузке его скрипта также виден адрес IP; и телеметрия Cloudflare. Названный в политике получатель в записи не работает, а фактические веб-получатели не раскрыты.

2) Заявление о конфиденциальности прямо указывает, что согласие на cookie не запрашивается, поскольку сайт «не отслеживает привычки пользователей». Однако сторонние ресурсы Google Fonts и AddToAny подгружаются автоматически из разметки страницы на +467…+561 мс, до какого-либо взаимодействия с пользователем, и при этом адрес IP посетителя становится доступен Google и AddToAny. Механизма согласия или выбора для этих сторонних обращений на сайте нет. Само по себе это не аналитический трекинг, но передача адреса IP сторонним сервисам происходит без согласия и без раскрытия.

3) Шрифт Open Sans подгружается с серверов Google (fonts.googleapis.com, fonts.gstatic.com), что влечёт передачу адреса IP посетителя Google. Заявление о конфиденциальности упоминает возможную передачу данных за пределы ЕС в общем виде и со ссылкой на типовые договорные условия, но применительно к загрузке шрифтов Google этот механизм не раскрыт, а сам получатель (Google Fonts) не назван. Размещение шрифта на собственном домене устранило бы эту передачу полностью.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/lv-ast-lv/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 13(1)(e) — раскрытие получателей; ePrivacy — Директива 2002/58/EC, ст. 5(3) / GDPR Art. 6(1)(a) — согласие для сторонних ресурсов; GDPR Art. 44 — передача в третью страну (в части Google Fonts)

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]