Сайт судебной власти Мальты — 74 запроса, пять узлов. Плагин управления согласием установлен, но тег Google вшит в разметку строкой 270 и грузится раньше его сценария, а шрифты оформления баннера подтягиваются только на 2972-й миллисекунде — когда все передачи уже состоялись. В Google уходят три обращения: аналитика с идентификатором клиента, рекламный узел DoubleClick и пиксель ремаркетинговых аудиторий. Политика при этом ограничивает сторонние cookie обменом в социальных сетях и встроенным содержимым.
Хронология обращений
Декларация против факта
Тайминги передачи
Таблица стилей GDPR Cookie Compliance.
gtag/js для потока GA4, разобран из разметки, строка 270.
Исполняемая часть плагина — на 30 мс позже тега Google.
page_view: идентификатор клиента, разрешение экрана, клиентские подсказки, язык, адрес и заголовок страницы.
Рекламный узел Google с тем же идентификатором клиента.
Пиксель ремаркетинговых аудиторий с тем же идентификатором клиента.
Оформление баннера дорисовывается после всех передач.
Зафиксированные трекеры
- Google Analytics 4 (G-641JJS3WVG) через www.googletagmanager.com и region1.analytics.google.com
- DoubleClick (stats.g.doubleclick.net) — рекламный узел Google
- Пиксель ремаркетинговых аудиторий Google (www.google.ee/ads/ga-audiences)
Признаки несоответствия GDPR
- GDPR Art. 5(1)(a) и Art. 13(1)(e) — прозрачность и раскрытие получателейПолитика cookie ограничивает сторонние cookie исчерпывающим перечнем: их использование на сайте ограничено и допускается только для обмена материалами через социальные сети и для встроенного на страницы содержимого сторонних сайтов. Фактически на +1300 мс уходит обращение к рекламному узлу stats.g.doubleclick.net, а на +1301 мс — к пикселю ремаркетинговых аудиторий www.google.ee/ads/ga-audiences, оба с тем же идентификатором клиента, что и аналитика. Ни аналитика Google, ни рекламные узлы в документах не названы, а заявленное ограничение ими не покрывается.
- ePrivacy — S.L. 586.01, reg. 5 (в связке с GDPR Art. 6(1)(a))Плагин управления согласием на сайте установлен: его таблица стилей запрашивается на +356 мс, сценарий на +387 мс, логотип на +388 мс. Тег Google при этом вписан в разметку главной страницы строкой 270 и запрашивается на +357 мс — раньше сценария плагина. Идентификатор клиента создан в ходе самой записи: метка времени внутри него указывает на секунду после первого запроса, а в обращении выставлены признаки первого визита, нового посетителя и начала сеанса. Шрифты оформления баннера подгружаются только на +2972 мс, то есть после того, как все три передачи уже состоялись.
- GDPR Art. 5(1)(a) — заявления, опровергаемые замеромПолитика открывается обязательством не собирать никакой персональной информации о посетителе, если он не предоставит её добровольно, и содержит два самостоятельных утверждения: что сведения посетителя не передаются третьим лицам без его согласия или законного разрешения, и что журналы адресов IP не используются для отслеживания сеанса или поведения на сайте. Обращение GA4 передаёт Google идентификатор клиента, разрешение экрана 1536x864, платформу Windows, архитектуру x86/64, перечень версий браузера, язык интерфейса, адрес и заголовок страницы; два следующих обращения передают тот же идентификатор в рекламную инфраструктуру.
Контекст
judiciary.mt — сайт судебной власти Мальты. Публикует сведения о судах и трибуналах, составе судейского корпуса, судебных процедурах, доступе к электронным сервисам правосудия, разделы о Суде Европейского союза и Европейском суде по правам человека. Специалист по защите данных — dpo.justice@gov.mt. Платформа — WordPress с темой Sydney Pro, конструктором Elementor, многоязычным модулем и плагином доступности; инфраструктура за Cloudflare.
Замер: 74 запроса, пять узлов. Семьдесят обращений к собственному домену, четыре — к Google. Продолжительность записи — 2,97 секунды, полная загрузка страницы завершилась на 1454 мс. Снят 16 июня 2026 года на главной странице.
Обработку описывает единый документ, объединяющий политику приватности и политику cookie.
Кому уходят данные напрямую
Google (аналитика, DoubleClick, ремаркетинговые аудитории).
Заявленное против фактического
Документ сформулирован в терминах ограничений — и каждое из них замер опровергает.
Первое ограничение: сторонние cookie только для двух целей. Политика cookie говорит прямо: использование сторонних cookie на этом сайте ограничено и допускается только для обмена материалами через социальные сети и для встроенного на страницы содержимого сторонних сайтов. Это исчерпывающий перечень из двух пунктов.
Фактически на +1297 мс уходит событие аналитики Google, на +1300 мс — обращение к рекламному узлу stats.g.doubleclick.net, на +1301 мс — к пикселю www.google.ee/ads/ga-audiences. Последний служит формированию рекламных аудиторий для последующего показа объявлений. Все три несут один и тот же идентификатор клиента. Ни обмен в социальных сетях, ни встроенное содержимое здесь ни при чём.
Для сайта судебной системы присутствие рекламной инфраструктуры само по себе требует объяснения. В документах его нет — там нет даже упоминания аналитики.
Второе ограничение: ничего не собираем без добровольного предоставления. Документ открывается обязательством не собирать никакой персональной информации о посетителе, если он не предоставит её сам. Обращение GA4 содержит идентификатор клиента, разрешение экрана 1536x864, платформу Windows, разрядность и архитектуру, полный перечень версий браузера, язык интерфейса, адрес страницы и её заголовок. Ничего из этого посетитель добровольно не предоставлял.
Третье ограничение: никакой передачи третьим лицам без согласия. Заявлено, что сведения, собранные от посетителя, не передаются третьим лицам иначе как с его согласия или по законному разрешению. Три обращения к Google состоялись без какого-либо выбора пользователя.
Четвёртое ограничение: журналы адресов IP не используются для отслеживания. Отдельным пунктом сказано, что журналы ведутся ограниченно, для администрирования и устранения неполадок, и не применяются для отслеживания сеанса или поведения на сайте. Формально это утверждение о журналах сервера, и в отношении них оно может быть верным. Но читатель, дошедший до этого пункта, получает недвусмысленное сообщение: за его перемещениями по сайту не следят. Событийная аналитика с устойчивым идентификатором и передачей в рекламную инфраструктуру этому сообщению противоречит.
Плагин согласия установлен — и обойдён. На сайте работает плагин GDPR Cookie Compliance: его таблица стилей запрашивается на +356 мс, сценарий на +387 мс, логотип на +388 мс. Тег Google при этом вписан в саму разметку главной страницы строкой 270 и запрашивается на +357 мс — то есть на тридцать миллисекунд раньше исполняемой части плагина, который должен был бы им управлять.
Показателен и другой признак. Шрифты оформления баннера — два начертания Nunito из состава того же плагина — подгружаются только на +2972 мс. Шрифт запрашивается браузером тогда, когда появляется текст, которым его нужно нарисовать. Все три передачи к этому моменту состоялись на 1,7 секунды раньше.
Идентификатор создан в ходе самой записи. Оговорки о более раннем визите здесь не требуется: в обращении выставлены признаки первого визита, нового посетителя и начала сеанса, а метка времени внутри идентификатора приходится на секунду после первого запроса записи. Идентификатор появился на глазах у замера.
Отдельно отмечу: в обращениях выставлены признаки неперсонализированной рекламы и усечения адреса IP. Это ограничивает рекламную составляющую, но не отменяет ни самой передачи, ни того, что рекламные узлы получили устойчивый идентификатор посетителя.
Согласие: что доказано и что нет
Доказано: плагин установлен, но загрузка счётчика им не управляется. Инициатор обращения к диспетчеру тегов зафиксирован как разбор разметки главного документа с указанием строки. Тег стоит в самом HTML, выполняется при разборе и никакого условия перед собой не имеет. Сценарий плагина приходит позже него.
Доказано: выбор в этом сеансе не сделан. За все 74 запроса нет ни одного обращения, фиксирующего решение пользователя.
Доказано: идентификатор создан при первом визите, в ходе записи. Признаки первого визита и начала сеанса выставлены в самом обращении, метка времени внутри идентификатора приходится на вторую секунду записи.
Доказано: оформление баннера дорисовано после передач. Шрифты плагина запрошены на +2972 мс, все три передачи — в интервале 1297–1301 мс.
Не доказано и не требуется: видел ли посетитель баннер и в какой момент. Тела ответов из опубликованного файла удалены, поэтому визуальное состояние страницы по нему не восстанавливается. Для вывода это несущественно: загрузка счётчика от плагина не зависит в любом случае.
Отдельно: браузер при съёмке отправлял заголовок DNT: 1. На состав и объём передач это не повлияло.
Границы наблюдения
Замер охватывает одну страницу — главную, в одном состоянии. Наблюдение фиксирует поведение браузера, не внутреннюю кухню сервисов: обработка на стороне сервера, договорные отношения с получателями и настройки самих сервисов на стороне их владельцев браузерным замером не проверяются. Правовую оценку выносит компетентный орган — Information and Data Protection Commissioner, на который ссылается сам документ.
Файл опубликован очищенным от личных данных: удалены заголовки cookie, тела ответов, заголовок вкладки и идентификатор сеанса аналитики. Состав cookie на устройстве по опубликованному файлу не восстанавливается, и ни один вывод разбора на него не опирается. Факт создания идентификатора аналитики держится на другом и проверяется напрямую: идентификатор вместе с меткой времени и признаками первого визита передан в Google в трёх запросах, видимых в файле.
Вывод о моменте отрисовки баннера опирается на время загрузки его шрифтов и является косвенным: шрифт запрашивается при появлении текста, но точный момент появления элемента по браузерной записи не устанавливается. Основной довод разбора построен не на этом, а на порядке загрузки тега и сценария плагина.
Установленный на сайте плагин социального входа в замере не срабатывал; его наличие в перечне ресурсов не означает передачи данных в этом сеансе.
Идентификация сервисов опирается на домены и схему адресов: Google — по googletagmanager.com, analytics.google.com, stats.g.doubleclick.net и пути ads/ga-audiences; плагин согласия — по пути wp-content/plugins/gdpr-cookie-compliance с указанием версии; механизм Cloudflare — по служебному пути /cdn-cgi/challenge-platform.
Вывод
Сайт судебной власти Мальты обещает посетителю четыре вещи: ничего о нём не собирать без его доброй воли, ничего не передавать третьим лицам без его согласия, не использовать журналы для слежения за поведением и допускать сторонние cookie только для двух целей — обмена в социальных сетях и встроенного содержимого. Замер опровергает все четыре.
Через 1,3 секунды после открытия главной страницы в Google уходят три обращения подряд: аналитика с идентификатором клиента, разрешением экрана и полным набором клиентских подсказок браузера, рекламный узел DoubleClick и пиксель формирования ремаркетинговых аудиторий. Идентификатор создан в ходе самой записи, при первом визите. Плагин управления согласием на сайте есть, но тег Google вписан в разметку строкой 270 и грузится на тридцать миллисекунд раньше исполняемой части плагина, а шрифты для отрисовки баннера подтягиваются лишь на 2972-й миллисекунде — когда всё уже отправлено.
Присутствие рекламной инфраструктуры на сайте органа правосудия — обстоятельство, требующее отдельного объяснения; документы такого объяснения не содержат, поскольку не упоминают ни аналитику, ни рекламу вовсе.
Устранение: убрать тег счётчика из разметки и передать его загрузку под управление уже установленного плагина; отключить связку с рекламной инфраструктурой Google либо, если она признана необходимой, раскрыть её в политике с указанием целей и правового основания; перечислить всех получателей с указанием передаваемых полей; привести формулировки об отсутствии сбора, передачи и отслеживания в соответствие с фактическим поведением сайта.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
32021ff7acd339474989b95f499e698289f6a60d1740f432223d5f1609f7ddbdХотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — judiciary.mt Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта judiciary.mt. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) Политика cookie ограничивает сторонние cookie исчерпывающим перечнем: их использование на сайте ограничено и допускается только для обмена материалами через социальные сети и для встроенного на страницы содержимого сторонних сайтов. Фактически на +1300 мс уходит обращение к рекламному узлу stats.g.doubleclick.net, а на +1301 мс — к пикселю ремаркетинговых аудиторий www.google.ee/ads/ga-audiences, оба с тем же идентификатором клиента, что и аналитика. Ни аналитика Google, ни рекламные узлы в документах не названы, а заявленное ограничение ими не покрывается. 2) Плагин управления согласием на сайте установлен: его таблица стилей запрашивается на +356 мс, сценарий на +387 мс, логотип на +388 мс. Тег Google при этом вписан в разметку главной страницы строкой 270 и запрашивается на +357 мс — раньше сценария плагина. Идентификатор клиента создан в ходе самой записи: метка времени внутри него указывает на секунду после первого запроса, а в обращении выставлены признаки первого визита, нового посетителя и начала сеанса. Шрифты оформления баннера подгружаются только на +2972 мс, то есть после того, как все три передачи уже состоялись. 3) Политика открывается обязательством не собирать никакой персональной информации о посетителе, если он не предоставит её добровольно, и содержит два самостоятельных утверждения: что сведения посетителя не передаются третьим лицам без его согласия или законного разрешения, и что журналы адресов IP не используются для отслеживания сеанса или поведения на сайте. Обращение GA4 передаёт Google идентификатор клиента, разрешение экрана 1536x864, платформу Windows, архитектуру x86/64, перечень версий браузера, язык интерфейса, адрес и заголовок страницы; два следующих обращения передают тот же идентификатор в рекламную инфраструктуру. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/mt-judiciary-mt/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — judiciary.mt To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website judiciary.mt. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) The cookie policy limits third-party cookies to an exhaustive list: their use on the site is restricted and permitted only for sharing material via social media and for third-party content embedded on the pages. In fact, at +1300 ms a request goes to the advertising node stats.g.doubleclick.net, and at +1301 ms to the remarketing-audiences pixel www.google.ee/ads/ga-audiences, both carrying the same client identifier as the analytics call. Neither Google Analytics nor the advertising nodes are named in the documents, and the disclosed restriction does not cover them. 2) A consent-management plugin is installed on the site: its stylesheet is requested at +356 ms, its script at +387 ms, its logo at +388 ms. The Google tag, meanwhile, is written into the homepage markup at line 270 and is requested at +357 ms — before the plugin's script. The client identifier is created during the capture itself: the timestamp embedded within it falls one second after the first request, and the request carries markers of a first visit, a new visitor, and a session start. The banner's display fonts only load at +2972 ms, that is, after all three transmissions had already occurred. 3) The policy opens with a commitment not to collect any personal information about the visitor unless voluntarily provided, and contains two independent statements: that visitor information is not shared with third parties without their consent or lawful authorization, and that IP address logs are not used to track sessions or on-site behavior. The GA4 request transmits to Google a client identifier, screen resolution of 1536x864, the Windows platform, x86/64 architecture, a list of browser versions, interface language, the page address, and the page title; the two subsequent requests transmit the same identifier to the advertising infrastructure. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/mt-judiciary-mt/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: IDPC — Офис комиссара по защите данных Мальты — idpc.org.mt
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — judiciary.mt 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом judiciary.mt. 2. Обстоятельства Я посетил сайт judiciary.mt и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 16.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) Политика cookie ограничивает сторонние cookie исчерпывающим перечнем: их использование на сайте ограничено и допускается только для обмена материалами через социальные сети и для встроенного на страницы содержимого сторонних сайтов. Фактически на +1300 мс уходит обращение к рекламному узлу stats.g.doubleclick.net, а на +1301 мс — к пикселю ремаркетинговых аудиторий www.google.ee/ads/ga-audiences, оба с тем же идентификатором клиента, что и аналитика. Ни аналитика Google, ни рекламные узлы в документах не названы, а заявленное ограничение ими не покрывается. 2) Плагин управления согласием на сайте установлен: его таблица стилей запрашивается на +356 мс, сценарий на +387 мс, логотип на +388 мс. Тег Google при этом вписан в разметку главной страницы строкой 270 и запрашивается на +357 мс — раньше сценария плагина. Идентификатор клиента создан в ходе самой записи: метка времени внутри него указывает на секунду после первого запроса, а в обращении выставлены признаки первого визита, нового посетителя и начала сеанса. Шрифты оформления баннера подгружаются только на +2972 мс, то есть после того, как все три передачи уже состоялись. 3) Политика открывается обязательством не собирать никакой персональной информации о посетителе, если он не предоставит её добровольно, и содержит два самостоятельных утверждения: что сведения посетителя не передаются третьим лицам без его согласия или законного разрешения, и что журналы адресов IP не используются для отслеживания сеанса или поведения на сайте. Обращение GA4 передаёт Google идентификатор клиента, разрешение экрана 1536x864, платформу Windows, архитектуру x86/64, перечень версий браузера, язык интерфейса, адрес и заголовок страницы; два следующих обращения передают тот же идентификатор в рекламную инфраструктуру. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/mt-judiciary-mt/ 3. Положения GDPR, соблюдение которых прошу проверить GDPR Art. 5(1)(a) и Art. 13(1)(e) — прозрачность и раскрытие получателей; ePrivacy — S.L. 586.01, reg. 5 (в связке с GDPR Art. 6(1)(a)); GDPR Art. 5(1)(a) — заявления, опровергаемые замером 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — judiciary.mt 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website judiciary.mt. 2. Circumstances I visited the website judiciary.mt and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 16 June 2026 (open methodology, reproducible measurements) documents the following indications: 1) The cookie policy limits third-party cookies to an exhaustive list: their use on the site is restricted and permitted only for sharing material via social media and for third-party content embedded on the pages. In fact, at +1300 ms a request goes to the advertising node stats.g.doubleclick.net, and at +1301 ms to the remarketing-audiences pixel www.google.ee/ads/ga-audiences, both carrying the same client identifier as the analytics call. Neither Google Analytics nor the advertising nodes are named in the documents, and the disclosed restriction does not cover them. 2) A consent-management plugin is installed on the site: its stylesheet is requested at +356 ms, its script at +387 ms, its logo at +388 ms. The Google tag, meanwhile, is written into the homepage markup at line 270 and is requested at +357 ms — before the plugin's script. The client identifier is created during the capture itself: the timestamp embedded within it falls one second after the first request, and the request carries markers of a first visit, a new visitor, and a session start. The banner's display fonts only load at +2972 ms, that is, after all three transmissions had already occurred. 3) The policy opens with a commitment not to collect any personal information about the visitor unless voluntarily provided, and contains two independent statements: that visitor information is not shared with third parties without their consent or lawful authorization, and that IP address logs are not used to track sessions or on-site behavior. The GA4 request transmits to Google a client identifier, screen resolution of 1536x864, the Windows platform, x86/64 architecture, a list of browser versions, interface language, the page address, and the page title; the two subsequent requests transmit the same identifier to the advertising infrastructure. Full technical documentation is published at: https://gdpru.eu/audits/mt-judiciary-mt/ 3. GDPR provisions I ask you to examine GDPR Art. 5(1)(a) and Art. 13(1)(e) — transparency and disclosure of recipients; ePrivacy — S.L. 586.01, reg. 5 (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 5(1)(a) — statements contradicted by the scan 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]