Сайт Верховного суда Латвии — одна запись, 70 запросов, три узла. За вычетом артефакта инструмента съёмки наружу уходит единственный сторонний ресурс — библиотека jQuery UI с публичного CDN code.jquery.com. Ни аналитики, ни рекламы, ни социальных сетей, ни Google — ни одного обращения. Сайт закрыт защитой от ботов F5 (челлендж /TSPD/). Cookie-политика заявляет только технически необходимые cookie сессии Laravel, без согласия и без идентификации, — и это совпадает с тем, что видно в записи.
Хронология обращений
Декларация против факта
Тайминги передачи
jQuery UI 1.13.1 (css/js) с публичного CDN Fastly. Единственный сторонний узел.
Челлендж F5 /TSPD/. Защитная инфраструктура, не трекинг.
Зафиксированные трекеры
- code.jquery.com (Fastly) — библиотека jQuery UI, единственный сторонний узел; функциональный ресурс, аналитики и рекламы не несёт
Контекст
at.gov.lv — сайт Верховного суда Латвии (Augstākā tiesa), администратор сайта, адрес Brīvības bulvāris 36, Рига, LV-1511, контакт at@at.gov.lv. Сайт построен на Laravel и закрыт системой защиты от автоматического трафика F5 (челлендж по путям /TSPD/).
К материалам приложено несколько документов. Сайту напрямую посвящена cookie-политика Верховного суда (двуязычная, латышская и английская, подтверждена 18 августа 2025 года руководителем отдела коммуникации). Прочие приложенные документы к этому домену прямо не относятся: политика обработки данных «TA politika» — это документ Судебной администрации (Tiesu administrācija, ta.gov.lv, Antonijas iela 6), другого органа судебной системы; Правила Кабинета министров № 445 — нормативный акт о размещении информации в интернете, на который ссылается уведомление о доступности. Отдельной сводной политики приватности именно для at.gov.lv в материалах нет; обработку при посещении сайта регулирует cookie-политика.
Замер состоит из одной записи: главная страница с переходом на языковую версию /lv. Семьдесят запросов, три узла. Запись сделана 15 июня 2026 года.
Кому уходят данные напрямую
Только code.jquery.com (CDN Fastly) — за функциональной библиотекой jQuery UI. Самостоятельных аналитических или рекламных получателей в записи нет.
Заявленное против фактического
Cookie-политика Верховного суда предельно узкая и определённая: сайт использует только технически необходимые cookie, согласие для которых не требуется, а перечислены ровно две — XSRF-TOKEN (защита от подделки межсайтовых запросов) и laravel_session (поддержание сессии); связанная с cookie информация не используется для персональной идентификации. Про сторонние ресурсы политика оговаривает, что сайт может содержать ссылки на чужие сайты с их собственными политиками, за которые суд не отвечает.
Запись это подтверждает. За 70 запросов единственный сторонний узел — code.jquery.com, откуда подгружаются стили и скрипт библиотеки jQuery UI 1.13.1 (CDN отдаётся через Fastly), инициированные разметкой самой страницы. Ни Google Analytics, ни Google Tag Manager, ни рекламных сервисов, ни социальных сетей, ни RTB-инфраструктуры в записи нет — ни одного обращения. Проверка по именам известных аналитических и рекламных платформ и по идентификаторам измерения (ресурсы вида G-, AW-, UA-, GTM-) не дала ни одного совпадения. Приложение при этом хранит собственную сессию (laravel_session, js.cookie.js в разметке) — ровно то, что описывает политика.
Значительная часть обращений приходится на систему защиты от ботов F5: последовательность /TSPD/ — это её челлендж, выдающий и проверяющий сессионный токен. Это защитная инфраструктура самого сайта, первая сторона по домену, а не сторонний получатель данных. Отдельно burp/favicon.ico в записи — служебный запрос, к сайту не относится и в выводах не учитывается.
Расхождения между заявленным и фактическим замер не выявил.
Согласие: что доказано и что нет
Доказано: сторонней аналитики, рекламы и трекинга в записи нет. За 70 запросов единственный внешний узел — публичный CDN библиотеки jQuery UI; аналитической или рекламной нагрузки он не несёт. Обращений к Google или любому иному аналитическому либо рекламному получателю не возникает.
Доказано: механизм согласия не требуется по составу cookie. Политика заявляет только технически необходимые cookie, и запись это подтверждает — платформы управления согласием в ней нет, но и согласовывать нечего: ни аналитических, ни маркетинговых cookie не наблюдается.
Не доказано и не оценивается: состояние cookie на устройстве. Значения cookie и заголовки Cookie/Set-Cookie удалены при очистке файла; наличие именно XSRF-TOKEN и laravel_session по этому файлу подтверждается разметкой и логикой приложения, а не заголовками ответов.
Отдельно: браузер при съёмке отправлял заголовок DNT: 1. Поскольку сторонних передач в записи нет, повлиять этот сигнал ни на что не мог.
Границы наблюдения
Замер охватывает одну страницу — главную с переходом на языковую версию. Наблюдение фиксирует поведение браузера, а не внутреннюю сторону сервисов: серверная обработка и договорные отношения с провайдером CDN браузерным замером не проверяются. Правовую оценку выносит компетентный орган — в Латвии это Datu valsts inspekcija.
Файл опубликован очищенным по «постному» профилю: удалены значения cookie в запросах, вырезаны заголовки Cookie и Set-Cookie, тела ответов и статические ресурсы. Очистка проредила и прочие заголовки ответов: на большинстве ответов сохранены лишь служебные поля, а из защитных заголовков в записи видны X-Frame-Options, X-Content-Type-Options и X-XSS-Protection только на ответах системы F5. По этой причине наличие или отсутствие строгого транспорта (HSTS) и политики безопасности содержимого (CSP) на самих страницах по данному файлу не устанавливается и как оговорка не фиксируется — это ограничение записи, а не свойство сайта.
Идентификация опирается на домены и схему адресов: jQuery — по code.jquery.com и пути /ui/1.13.1; защита от ботов — по путям /TSPD/, характерным для F5; служебный запрос — по узлу burp; отсутствие сторонней аналитики — по отсутствию обращений к google-analytics.com, googletagmanager.com, googlesyndication.com и к каким-либо иным аналитическим или рекламным узлам, а также по отсутствию идентификаторов измерения в адресах. Приложенная политика обработки данных «TA politika» относится к Судебной администрации (ta.gov.lv), а не к Верховному суду, и для оценки сайта at.gov.lv не использовалась; сайту соответствует cookie-политика Верховного суда.
Вывод
Сайт Верховного суда Латвии при просмотре не передаёт данные ни одному самостоятельному стороннему получателю. За 70 запросов наружу уходит единственный внешний ресурс — библиотека jQuery UI с публичного CDN, функциональная и без аналитической нагрузки; всё остальное обслуживает сам домен, включая систему защиты от ботов F5. Аналитики Google, рекламных сервисов, социальных сетей и RTB-инфраструктуры в записи нет вовсе. Cookie-политика заявляет только технически необходимые cookie сессии, для которых согласие не требуется и которые не используются для идентификации, — и это в точности соответствует наблюдаемому; заявленное совпадает с фактическим. Единственное, что можно отметить как мягкую оговорку, — библиотека jQuery UI подгружается со стороннего CDN, из-за чего адрес IP посетителя становится виден его оператору; сама cookie-политика возможность сторонних ресурсов оговаривает, а размещение библиотеки на собственном домене устранило бы и это.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
7d6dc74f12e77a3e7fd9d41b7f9786595e99b60eddeac6c53d02760bb51e4534Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — at.gov.lv Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта at.gov.lv. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) Прошу предоставить информацию по всем категориям, целям и получателям обработки моих данных на этом сайте — независимо от того, выявлены ли на сегодняшний день какие-либо несоответствия. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/lv-at-gov-lv/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — at.gov.lv To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website at.gov.lv. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) I request information on all categories, purposes, and recipients of my data processed on this site — regardless of whether any non-compliance has been identified to date. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/lv-at-gov-lv/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]