mit.gov.it

Контекст

mit.gov.it — официальный сайт Министерства инфраструктуры и транспорта Италии. Сделан на распространённой системе Drupal, в едином оформлении итальянских госсайтов. В снятом замере — 159 обращений к 17 разным доменам.

Политику я открыл сам, на живом сайте, и прочитал целиком. Важная деталь: страница оказалась чистой и полностью доступной — одна связная страница, без лабиринта вложенных ссылок и без блокировки доступа. Документ свежий, последнее изменение помечено апрелем 2026 года, то есть всего за пару месяцев до аудита — списать расхождения на «устаревший текст» не получится. А значит, проблема здесь не в том, что политику спрятали, а в том, что она прямо расходится с тем, что сайт делает на самом деле. Именно эти расхождения видно только при сверке полного текста с замером — и именно их ниже разбираем по пунктам.

Был ли баннер согласия — и когда

Да, баннер есть. Но появляется он не сразу, а с большой задержкой — и это один из ключевых сюжетов разбора.

• +0,6 сек — на странице уже работает виджет Twitter.
• +0,7 сек — запускается видео YouTube в обычном (не приватном) режиме.
• +0,8 сек — государственная аналитика отправляет первый замер посещения.
• +1,2 сек — подключается рекламная система Google DoubleClick.
• +2,7 сек — подключается служебный домен Google.
• +5,3 сек — и только теперь баннер согласия физически появляется на экране. До этой секунды нажать на нём что-либо невозможно.
• +12 сек — записывается решение по cookie.

Простыми словами: первые пять секунд баннера на экране нет, а пять сторонних подключений уже состоялись. Для обычного посетителя это значит, что данные о нём начали уходить раньше, чем ему вообще дали возможность согласиться или отказаться.

Данные уходят в США — а политика обещает, что за пределы ЕС они не уходят

Это самое серьёзное расхождение. В политике есть отдельный, недвусмысленный абзац: данные за пределы Европейской экономической зоны не передаются.

Замер показывает обратное. Уже в первые секунды браузер посетителя обращается к серверам Google (видео YouTube, рекламный DoubleClick, служебный домен Google) и к серверам Twitter — а это американские компании. При каждом таком обращении автоматически уходит IP-адрес посетителя и подробные параметры его браузера. И тут есть тонкость, которая делает расхождение особенно весомым: сама же политика в разделе о собираемых данных прямо называет IP-адрес персональными данными. Получается, документ обещает не передавать за пределы ЕС именно то, что по факту передаёт в первые же секунды.

«Профилирования нет, других трекеров нет» — но DoubleClick и телеметрия Twitter есть

Ещё один абзац политики утверждает: cookie для профилирования не используются и никакие другие методы отслеживания не применяются.

В замере, однако, есть рекламная система Google DoubleClick — домен, чья прямая задача связана с рекламным профилированием, — и есть событийная телеметрия Twitter, которая отдельными запросами шлёт данные о действиях на странице. Можно спорить, насколько активно они профилируют в данном конкретном случае, но само их присутствие уже опровергает фразу «других методов отслеживания не применяется». Заявление документа и поведение сайта расходятся.

Аналитику назвали не ту — и описали противоречиво

Политика обещает, что статистику собирает Google Analytics. На сайте его нет ни в каком виде — считает посетителей совсем другая система, государственная итальянская аналитика, которую документ не упоминает ни разу.

Сам этот сбор, скорее всего, в рамках закона: он государственный, обезличенный и по итальянским правилам приравнен к техническим cookie. Но в его замере видно, что вместе с фактом посещения уходят идентификатор посетителя, разрешение экрана и подробные данные о браузере — то есть это не чистый анонимный подсчёт, а как минимум обезличенный профиль устройства. Это стоит держать в уме, хотя на грань закона оно, вероятно, не выходит.

Отдельно бросается в глаза, что документ описывает аналитику сам себе противореча: в одном разделе сказано, что аналитика приравнена к техническим cookie и согласие для неё не требуется, а в другом — что аналитические cookie ставятся только после явного согласия. Две взаимоисключающие формулировки в одном тексте — посетитель при всём желании не поймёт, какое правило действует.

Цепочка: одно встроенное видео тащит за собой шесть доменов

Стоит показать, откуда вообще берётся такая россыпь сторонних подключений. Сам сайт напрямую обращается лишь к нескольким внешним адресам. Но видео YouTube, встроенное в обычном режиме (а не в приватном, который не ставит лишних cookie), работает как ворота: именно оно затем подтягивает рекламный DoubleClick, служебные домены Google и прочее. То есть значительная часть всей сторонней нагрузки — следствие одного-единственного решения: вставить ролик в обычном режиме вместо приватного. Заменили бы режим встраивания — и половина этих доменов просто не появилась бы.

Чего по замеру утверждать нельзя

Честные оговорки, чтобы отделить факты от догадок.

Во-первых, запись решения на 12-й секунде — это не доказательство, что «пользователь нажал согласие». Замер снимался автоматически, живой человек на кнопки не жал. Это решение могло быть и сохранённым с прошлого визита, и сработавшим по умолчанию.

Во-вторых, по этому замеру не видно точных сроков жизни cookie — в выгрузке не сохранены технические заголовки, которые их задают. Поэтому мы говорим о факте подключения систем, но не беремся называть, на сколько дней или месяцев они оседают в браузере.

В-третьих, у меня нет исходного кода скриптов страницы — только их вызовы. Выводы о цепочке подключений сделаны по тому, кто кого вызвал в замере, а не по разбору самого кода.

Вывод

Картина у этого сайта тяжелее, чем кажется на первый взгляд, и дело не в спрятанной политике — она как раз открытая и свежая. Дело в том, что текст противоречит поведению сразу по нескольким направлениям. Документ обещает, что данные не уходят за пределы ЕС, — а IP и параметры браузера улетают на серверы Google и Twitter в США в первые секунды. Обещает, что слежки нет, — а в замере рекламный DoubleClick и телеметрия Twitter. Называет Google Analytics, которого нет, и сам себе противоречит в вопросе согласия на аналитику. И всё стороннее подключается до того, как баннер согласия вообще появится на экране, на 5,3-й секунде. Главное, что должен вынести читатель: на этом сайте обещания политики и реальные действия — это два разных документа.