Технический аудит · 16.06.2026

anp.nl

Сайт национального информационного агентства Нидерландов

Anp.nl — сайт национального информационного агентства Нидерландов. Замер главной страницы: 51 обращение, 16 доменов. На сайте установлен собственный баннер согласия, но фактически он не удерживает трекеры. До выбора пользователя пиксель Facebook отправляет в Meta событие просмотра, аналитика Google работает сразу в двух поколениях — устаревшем и текущем, сторонний сервис идентификации и атрибуции обращается к своим серверам, а видеоплатформа собирает статистику плеера. Режим согласия для Google не настроен. То есть баннер присутствует, но рекламный пиксель, аналитика и идентификация срабатывают раньше выбора, и три из этих получателей в политике даже не названы.

Хронология обращений

2098 мс · собственный баннер согласия

Загружается собственный баннер согласия. По задумке он должен удерживать нетехнические сервисы до выбора пользователя.

2126 мс · сборщик тегов

Загружается сборщик тегов, через который разворачиваются аналитика и пиксели.

2663 мс · библиотека пикселя Facebook

Загружается библиотека пикселя Facebook. Рекламный сервис подключается до согласия.

2691 мс · устаревшая аналитика Google

Загружается устаревшее поколение аналитики Google и отправляет обращение. Этот вариант аналитики давно выведен из эксплуатации, но здесь продолжает работать.

3434 мс · статистика видеоплеера

Видеоплатформа собирает статистику плеера. До согласия.

3686 мс · текущая аналитика Google

Текущее поколение аналитики Google отправляет обращение без сигнала согласия — режим согласия не настроен.

3708 мс · сторонняя идентификация

Сторонний сервис идентификации и атрибуции отправляет запрос на свои серверы. До согласия.

4559 мс · событие просмотра в Meta

Пиксель Facebook отправляет в Meta событие просмотра страницы. Meta получает факт визита до согласия.

Декларация против факта

✓ Google Analytics — заявлен

+ Facebook Pixel — не заявлен

+ Vimeo (аналитика) — не заявлен

+ Bending Spoons — не заявлен

Зафиксированные трекеры

Facebook / Meta Pixel
Google Analytics (Universal + GA4)
Bending Spoons (идентификация/атрибуция)
Vimeo (аналитика плеера)

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR и ст. 11.7a Telecommunicatiewet — рекламный пиксель и аналитика срабатывают до согласия вопреки баннеру
На сайте установлен собственный баннер согласия, но фактически он не удерживает трекеры. До какого-либо выбора пользователя отрабатывает целый набор сервисов. Пиксель Facebook отправляет в Meta событие просмотра страницы. Аналитика Google работает сразу в двух поколениях — устаревшем и текущем — и отправляет свои обращения. Сторонний сервис идентификации и атрибуции отправляет запрос на свои серверы. Видеоплатформа собирает статистику плеера. Режим согласия для аналитики Google при этом не настроен — обращения уходят без сигнала согласия. То есть баннер на сайте есть, но рекламный пиксель, аналитика и идентификация срабатывают раньше выбора, как будто его нет. Все эти сервисы — нетехнические цели, требующие согласия.
Art. 13 GDPR — пиксель Facebook, аналитика видеоплатформы и сторонняя идентификация в политике не названы
Политика называет только аналитику Google. Однако пиксель Facebook, передающий визит в Meta, аналитика видеоплатформы и сторонний сервис идентификации и атрибуции в политике не упомянуты. То есть три получателя данных, включая рекламный пиксель соцсети, в перечне не раскрыты.

Контекст

www.anp.nl — сайт национального информационного агентства Нидерландов (Algemeen Nederlands Persbureau): новостная лента, фотобанк, услуги для редакций. Контролёр данных — ANP. Сайт информационный, с выходом на сервисы для медиа.

Замер: 51 обращение к 16 доменам, главная страница, снят на чистом браузере Edge без VPN и блокировщика. На сайте установлен собственный баннер согласия. Технический стек для информационного агентства насыщен трекерами.

Кто получает данные

Тут были замечены: Meta, Google, Bending Spoons, Vimeo.

Meta получает событие просмотра через пиксель Facebook. Google присутствует аналитикой сразу двух поколений. Сторонний сервис идентификации и атрибуции отправляет запрос на свои серверы. Видеоплатформа собирает статистику плеера. То есть факт визита уходит сразу нескольким сторонним сервисам.

Был ли баннер согласия

Да, на сайте установлен собственный баннер согласия. Но фактически он не удерживает трекеры: рекламный пиксель, аналитика и идентификация отрабатывают раньше выбора пользователя. Режим согласия для аналитики Google к тому же не настроен — её обращения уходят вовсе без сигнала согласия.

Иными словами, механизм согласия присутствует, но не выполняет своей задачи.

Что срабатывает до согласия

До выбора пользователя отрабатывает:

пиксель Facebook — событие просмотра в Meta;
аналитика Google — два поколения, включая устаревшее;
сторонний сервис идентификации и атрибуции;
аналитика видеоплеера.

Все эти сервисы — нетехнические цели, требующие согласия. Отдельно стоит отметить, что одно из поколений аналитики Google давно выведено из эксплуатации, но на сайте продолжает работать.

Нераскрытые получатели

Отдельный пункт. Политика называет только аналитику Google. Пиксель Facebook, передающий визит в Meta, аналитика видеоплатформы и сторонний сервис идентификации и атрибуции в политике не упомянуты. То есть три получателя данных, включая рекламный пиксель соцсети, в перечне не раскрыты.

Вывод

Anp.nl — случай, когда механизм согласия присутствует, но не работает. На сайте информационного агентства установлен баннер, однако пиксель Facebook, аналитика Google двух поколений, сторонняя идентификация и аналитика видеоплеера срабатывают раньше выбора пользователя, а режим согласия для Google не настроен. Вдобавок три из этих получателей в политике не названы. Главное, что должен вынести читатель: наличие баннера само по себе ничего не значит, если он фактически не удерживает трекеры до согласия, а в перечне получателей не хватает половины задействованных сервисов. Достаточно настроить блокировку и режим согласия так, чтобы пиксель и аналитика дожидались выбора, дополнить перечень получателей и убрать устаревшую аналитику."

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: nl/anp-nl-2026-06-16.har

SHA-256: d17b505addf51e1dfab21fd57b8fb7e16576461b43cd74ccc9904da1eaa0b4c8

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — anp.nl

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта anp.nl.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте установлен собственный баннер согласия, но фактически он не удерживает трекеры. До какого-либо выбора пользователя отрабатывает целый набор сервисов. Пиксель Facebook отправляет в Meta событие просмотра страницы. Аналитика Google работает сразу в двух поколениях — устаревшем и текущем — и отправляет свои обращения. Сторонний сервис идентификации и атрибуции отправляет запрос на свои серверы. Видеоплатформа собирает статистику плеера. Режим согласия для аналитики Google при этом не настроен — обращения уходят без сигнала согласия. То есть баннер на сайте есть, но рекламный пиксель, аналитика и идентификация срабатывают раньше выбора, как будто его нет. Все эти сервисы — нетехнические цели, требующие согласия.

2) Политика называет только аналитику Google. Однако пиксель Facebook, передающий визит в Meta, аналитика видеоплатформы и сторонний сервис идентификации и атрибуции в политике не упомянуты. То есть три получателя данных, включая рекламный пиксель соцсети, в перечне не раскрыты.

2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-anp-nl/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Data access request (GDPR Art. 15) — anp.nl

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website anp.nl.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site has its own consent banner, but in practice it does not hold trackers back. A whole set of services fires before any user choice. The Facebook pixel sends a pageview event to Meta. Google Analytics runs in two generations at once — the legacy version and the current one — and sends its own requests. A third-party identification and attribution service sends a request to its own servers. The video platform collects player statistics. Consent mode for Google Analytics is not configured — requests go out without a consent signal. In other words, the banner exists, but the advertising pixel, analytics, and identification fire before the user's choice, as if it weren't there at all. All of these services are non-technical purposes requiring consent.

2) The policy names only Google Analytics. However, the Facebook pixel transmitting the visit to Meta, the video-platform analytics, and the third-party identification and attribution service are not mentioned in the policy. In other words, three data recipients, including a social-network advertising pixel, are undisclosed in the listing.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/nl-anp-nl/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AP — Голландский орган по защите данных — autoriteitpersoonsgegevens.nl

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — anp.nl

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом anp.nl.

2. Обстоятельства
Я посетил сайт anp.nl и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 16.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/nl-anp-nl/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR и ст. 11.7a Telecommunicatiewet — рекламный пиксель и аналитика срабатывают до согласия вопреки баннеру; Art. 13 GDPR — пиксель Facebook, аналитика видеоплатформы и сторонняя идентификация в политике не названы

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — anp.nl

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website anp.nl.

2. Circumstances
I visited the website anp.nl and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 16 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has its own consent banner, but in practice it does not hold trackers back. A whole set of services fires before any user choice. The Facebook pixel sends a pageview event to Meta. Google Analytics runs in two generations at once — the legacy version and the current one — and sends its own requests. A third-party identification and attribution service sends a request to its own servers. The video platform collects player statistics. Consent mode for Google Analytics is not configured — requests go out without a consent signal. In other words, the banner exists, but the advertising pixel, analytics, and identification fire before the user's choice, as if it weren't there at all. All of these services are non-technical purposes requiring consent.

2) The policy names only Google Analytics. However, the Facebook pixel transmitting the visit to Meta, the video-platform analytics, and the third-party identification and attribution service are not mentioned in the policy. In other words, three data recipients, including a social-network advertising pixel, are undisclosed in the listing.

Full technical documentation is published at: https://gdpru.eu/audits/nl-anp-nl/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR and art. 11.7a Telecommunicatiewet — advertising pixel and analytics fire before consent despite the banner; Art. 13 GDPR — the Facebook pixel, video-platform analytics, and third-party identification are not disclosed in the policy

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]