Технический аудит · 16.06.2026

nos.nl

Сайт общественного вещателя Нидерландов

Nos.nl — сайт общественного вещателя Нидерландов. Замер главной страницы: 135 обращений, 12 доменов. Набор принципиально отличается от коммерческих медиа: ни Google Analytics, ни Facebook, ни рекламных бирж Google. Реклама контекстная — её ведёт рекламный дом общественного вещателя, перешедший в 2020 году на показ без поведенческой слежки, и приватный контекстный партнёр. Это сильная сторона сайта. Но собственная система измерения вещателя присваивает посетителю первичный идентификатор и отправляет его ещё до того, как предъявлена полоса согласия, а система событий вещателя отправляет событие с идентификатором. То есть реклама приватная, а измерение присваивает идентификатор раньше выбора пользователя.

Хронология обращений

1358 мс · мониторинг ошибок

Загружается Sentry — мониторинг ошибок. Технический инструмент отслеживания сбоев.

1897 мс · контекстная реклама Ster

Загружается рекламный скрипт рекламного дома общественного вещателя. С 2020 года реклама здесь контекстная — без поведенческой слежки.

1901 мс · измерение с идентификатором посетителя

Собственная система измерения вещателя отправляет обращение с присвоенным первичным идентификатором посетителя. Это измерение с устойчивым идентификатором, и оно происходит до согласия.

1958 мс · событие Topspin с идентификатором

Собственная система событий вещателя (Topspin) отправляет событие с идентификатором в параметрах. До согласия.

2448–3115 мс · контекстный рекламный партнёр

Загружается приватный контекстный рекламный партнёр и проводит аукцион показа. Реклама контекстная — без персональных данных и поведенческого профилирования.

Декларация против факта

✓ Ster — заявлен

✓ Piano (измерение) — заявлен

+ Topspin — не заявлен

Зафиксированные трекеры

Измерение NPO (Piano / AT Internet)
Topspin NPO
Ster (контекстная реклама)
OptOut Advertising (контекстная)
Sentry

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR и ст. 11.7a Telecommunicatiewet — измерение присваивает идентификатор посетителя до согласия
На сайте есть собственный баннер согласия, но его полоса выбора предъявляется лишь на третьей-пятой секунде. А до этого собственная система измерения вещателя (на платформе Piano, ранее AT Internet) отправляет обращение с присвоенным первичным идентификатором посетителя — то есть это не обезличенный счётчик, а измерение с устойчивым идентификатором, и оно срабатывает раньше согласия. Параллельно собственная система событий вещателя (Topspin) отправляет событие с идентификатором в параметрах. По нидерландскому закону о cookie присвоение и чтение такого идентификатора требует согласия, если измерение не настроено как строго обезличенное. Здесь идентификатор присваивается до выбора пользователя. Важно отметить, что рекламная часть устроена принципиально иначе и в пользу сайта: реклама контекстная, без поведенческой слежки, — поэтому претензия касается именно измерения с идентификатором, а не рекламы.

Контекст

www.nos.nl — сайт общественного вещателя Нидерландов (новости, спорт, видео). Контролёр данных — NOS, часть системы общественного вещания NPO. Сайт информационный, с рекламными блоками, продажу которых ведёт рекламный дом общественного вещателя.

Замер: 135 обращений к 12 доменам, главная страница, снят на чистом браузере Edge без VPN и блокировщика. На сайте есть собственный баннер согласия. Технический стек заметно отличается от коммерческих медиа: коммерческой рекламной слежки в нём нет.

Кто получает данные

Тут были замечены: система измерения NPO (на платформе Piano), рекламный дом Ster.

Измерение вещателя построено на платформе Piano (ранее AT Internet) и собирает статистику с присвоением первичного идентификатора посетителя. Дополнительно работает собственная система событий вещателя (Topspin). Рекламу ведут рекламный дом общественного вещателя и приватный контекстный партнёр — оба в контекстном режиме, без поведенческой слежки. Google Analytics, Facebook и рекламных бирж Google в замере нет.

Был ли баннер согласия

Да, на сайте есть собственный баннер согласия, но его полоса выбора предъявляется лишь к третьей-пятой секунде. К этому моменту измерение с идентификатором уже отработало.

Здесь важно разделить две части. Рекламная часть устроена приватно: с 2020 года рекламный дом общественного вещателя показывает рекламу контекстно, без поведенческого профилирования, и приватный партнёр работает так же. Контекстная реклама не использует персональных данных, поэтому согласия не требует. А вот измерение присваивает посетителю идентификатор — и это уже выходит за рамки обезличенной статистики.

Что срабатывает до согласия

До предъявления полосы согласия отрабатывает:

система измерения вещателя — с присвоением первичного идентификатора посетителя;
система событий вещателя (Topspin) — с идентификатором в параметрах;
контекстная реклама (рекламный дом вещателя и приватный партнёр);
мониторинг ошибок Sentry (технический).

Контекстная реклама согласия не требует, и это в пользу сайта. Но измерение с устойчивым идентификатором — это не обезличенный счётчик: по нидерландскому закону о cookie присвоение такого идентификатора требует согласия, если измерение не настроено строго обезличенным. Здесь идентификатор присваивается до выбора пользователя.

Что в пользу сайта

Это стоит подчеркнуть, потому что для медиа результат нетипично хороший. Коммерческой рекламной слежки на сайте нет: ни Google Analytics, ни пикселей соцсетей, ни рекламных бирж с поведенческим таргетингом. Реклама переведена в контекстный режим — без профилирования пользователя. То есть основной риск медиа-сайтов — россыпь рекламных трекеров — здесь устранён по существу.

Вывод

Nos.nl — показательный случай общественного вещателя с приватной рекламной моделью. Реклама контекстная, без поведенческой слежки, коммерческих рекламных бирж и пикселей соцсетей нет — это выгодно отличает сайт от коммерческих медиа. Единственная узкая претензия касается измерения: собственная система статистики присваивает посетителю идентификатор и отправляет его до того, как предъявлена полоса согласия, а система событий отправляет событие с идентификатором. Главное, что должен вынести читатель: перевод рекламы в контекстный режим снимает основную проблему медиа-сайтов, но измерение с устойчивым идентификатором всё же должно либо дожидаться согласия, либо быть строго обезличенным. Достаточно настроить измерение как обезличенное или перевести его в режим ожидания согласия — и сайт станет полностью чистым."

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: nl/nos-nl-2026-06-16.har

SHA-256: bfe4d5342647b6ce94d1d28a015bd1443ef66d85ac6739d1b4e4c470e64897da

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — nos.nl

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта nos.nl.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте есть собственный баннер согласия, но его полоса выбора предъявляется лишь на третьей-пятой секунде. А до этого собственная система измерения вещателя (на платформе Piano, ранее AT Internet) отправляет обращение с присвоенным первичным идентификатором посетителя — то есть это не обезличенный счётчик, а измерение с устойчивым идентификатором, и оно срабатывает раньше согласия. Параллельно собственная система событий вещателя (Topspin) отправляет событие с идентификатором в параметрах. По нидерландскому закону о cookie присвоение и чтение такого идентификатора требует согласия, если измерение не настроено как строго обезличенное. Здесь идентификатор присваивается до выбора пользователя. Важно отметить, что рекламная часть устроена принципиально иначе и в пользу сайта: реклама контекстная, без поведенческой слежки, — поэтому претензия касается именно измерения с идентификатором, а не рекламы.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-nos-nl/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — nos.nl

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website nos.nl.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site has its own consent banner, but its choice bar only appears at the three-to-five-second mark. Before that, the broadcaster's own measurement system (on the Piano platform, formerly AT Internet) sends a request carrying a primary visitor identifier — meaning this is not an anonymized counter, but measurement with a persistent identifier, and it fires before consent. In parallel, the broadcaster's own event system (Topspin) sends an event with an identifier in its parameters. Under Dutch cookie law, assigning and reading such an identifier requires consent unless the measurement is configured as strictly anonymized. Here, the identifier is assigned before the user's choice. It's worth noting that the advertising portion is set up on fundamentally different grounds and works in the site's favor: advertising is contextual, with no behavioral tracking — so the concern applies specifically to identifier-based measurement, not advertising.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/nl-nos-nl/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AP — Голландский орган по защите данных — autoriteitpersoonsgegevens.nl

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — nos.nl

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом nos.nl.

2. Обстоятельства
Я посетил сайт nos.nl и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 16.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте есть собственный баннер согласия, но его полоса выбора предъявляется лишь на третьей-пятой секунде. А до этого собственная система измерения вещателя (на платформе Piano, ранее AT Internet) отправляет обращение с присвоенным первичным идентификатором посетителя — то есть это не обезличенный счётчик, а измерение с устойчивым идентификатором, и оно срабатывает раньше согласия. Параллельно собственная система событий вещателя (Topspin) отправляет событие с идентификатором в параметрах. По нидерландскому закону о cookie присвоение и чтение такого идентификатора требует согласия, если измерение не настроено как строго обезличенное. Здесь идентификатор присваивается до выбора пользователя. Важно отметить, что рекламная часть устроена принципиально иначе и в пользу сайта: реклама контекстная, без поведенческой слежки, — поэтому претензия касается именно измерения с идентификатором, а не рекламы.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/nl-nos-nl/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR и ст. 11.7a Telecommunicatiewet — измерение присваивает идентификатор посетителя до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — nos.nl

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website nos.nl.

2. Circumstances
I visited the website nos.nl and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 16 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has its own consent banner, but its choice bar only appears at the three-to-five-second mark. Before that, the broadcaster's own measurement system (on the Piano platform, formerly AT Internet) sends a request carrying a primary visitor identifier — meaning this is not an anonymized counter, but measurement with a persistent identifier, and it fires before consent. In parallel, the broadcaster's own event system (Topspin) sends an event with an identifier in its parameters. Under Dutch cookie law, assigning and reading such an identifier requires consent unless the measurement is configured as strictly anonymized. Here, the identifier is assigned before the user's choice. It's worth noting that the advertising portion is set up on fundamentally different grounds and works in the site's favor: advertising is contextual, with no behavioral tracking — so the concern applies specifically to identifier-based measurement, not advertising.

Full technical documentation is published at: https://gdpru.eu/audits/nl-nos-nl/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR and art. 11.7a Telecommunicatiewet — measurement assigns a visitor identifier before consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]