Технический аудит · 16.06.2026

rijkswaterstaat.nl

Сайт агентства инфраструктуры и водного хозяйства Нидерландов

Политика изменена — посмотреть, что именно · 2026-07-23 →

Rijkswaterstaat.nl — сайт исполнительного агентства инфраструктуры и водного хозяйства Нидерландов, отвечающего за дороги, водные пути и защиту от наводнений. Замер главной страницы: 33 обращения, 11 доменов. На сайте используется правильная обезличенная государственная статистика, но поверх неё подключены два сторонних сервиса без какого-либо механизма согласия: аналитика Google сразу в двух поколениях отправляет обращения без сигнала согласия, а сервис записи сессий и тепловых карт от Microsoft активно записывает поведение пользователя и отправляет данные. Платформы сбора согласия в замере нет. Для государственного сайта это показательно, ведь рядом уже работает обезличенная статистика, которой было бы достаточно.

Хронология обращений

807 мс · устаревшая аналитика Google загружается

Загружается устаревшее поколение аналитики Google. Этот вариант давно выведен из эксплуатации, но здесь продолжает работать.

950 мс · государственная обезличенная статистика

Загружается централизованная веб-статистика правительства в обезличенном режиме. Эта часть устроена правильно.

1646 мс · устаревшая аналитика Google отправляет просмотр

Устаревшее поколение аналитики Google отправляет обращение вообще без сигнала согласия — режим согласия не настроен.

1663 мс · запись сессий Microsoft загружается

Загружается сервис записи сессий и тепловых карт от Microsoft. Он предназначен фиксировать поведение пользователя на странице.

1924 мс · текущая аналитика Google отправляет просмотр

Текущее поколение аналитики Google отправляет просмотр страницы — также без сигнала согласия.

2486 мс · запись сессии отправляет данные

Сервис записи сессий отправляет данные о поведении пользователя на свои серверы. Без согласия.

Декларация против факта

✓ Государственная статистика Piwik PRO — заявлен

+ Microsoft Clarity (запись сессий) — не заявлен

+ Google Analytics — не заявлен

Зафиксированные трекеры

Microsoft Clarity (запись сессий, без согласия)
Google Analytics (UA и GA4, без согласия)
Государственная статистика (обезличенная)

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR и ст. 11.7a Telecommunicatiewet — аналитика Google и запись сессий Microsoft работают без согласия
На сайте используется правильная обезличенная государственная статистика, но поверх неё подключены два сторонних коммерческих сервиса, которые работают без какого-либо механизма согласия. Аналитика Google присутствует сразу в двух поколениях — устаревшем и текущем — и отправляет обращения вообще без сигнала согласия: режим согласия не настроен. Дополнительно работает сервис записи сессий и тепловых карт от Microsoft, который активно записывает поведение пользователя на странице и отправляет данные на свои серверы. Платформы сбора согласия в замере не обнаружено, cookie за сеанс не выставлено, но это не отменяет того, что аналитика и запись сессий уже передали данные сторонним сервисам. Аналитика и запись сессий — нетехнические цели, требующие согласия; здесь они отрабатывают без какого-либо согласия. Для государственного сайта это особенно показательно, поскольку рядом уже работает обезличенная государственная статистика, которой было бы достаточно.
Art. 13 GDPR — сервис записи сессий Microsoft и аналитика Google как поведенческие средства в политике не раскрыты
Политика упоминает Microsoft только как поставщика офисных продуктов, но сервис записи сессий и тепловых карт от Microsoft, который фиксирует поведение посетителя, в ней не назван. То есть сервис записи сессий, отправляющий данные о действиях пользователя, как получатель не раскрыт.

Контекст

www.rijkswaterstaat.nl — сайт исполнительного агентства инфраструктуры и водного хозяйства Нидерландов (Rijkswaterstaat): главная дорожная сеть, водные пути, управление водными системами и защита от наводнений. Контролёр данных — Rijkswaterstaat, государственное агентство. Сайт информационный.

Замер: 33 обращения к 11 доменам, главная страница, снят на чистом браузере Edge без VPN и блокировщика. Технический стек сочетает правильную государственную статистику с двумя сторонними коммерческими сервисами.

Кто получает данные

Тут были замечены: Microsoft, Google.

Аналитика Google присутствует в двух поколениях и отправляет обращения без сигнала согласия. Сервис записи сессий и тепловых карт от Microsoft активно записывает поведение пользователя и отправляет данные. Параллельно работает правильная обезличенная государственная статистика. Принципиальный момент в том, что аналитика Google и запись сессий работают без какого-либо механизма согласия.

Был ли баннер согласия

Платформы сбора согласия в замере не обнаружено. Аналитика Google отправляет обращения вообще без сигнала согласия — режим согласия не настроен, — а сервис записи сессий активно фиксирует поведение. Cookie за сеанс не выставлено, но данные аналитике и сервису записи сессий уже переданы.

Что срабатывает до согласия

Без какого-либо согласия отрабатывает:

аналитика Google — два поколения, без сигнала согласия;
запись сессий и тепловые карты Microsoft — фиксация поведения и отправка данных.

Обе цели — нетехнические, требующие согласия. Государственная обезличенная статистика, работающая рядом, к претензии отношения не имеет — она настроена правильно.

Нераскрытый получатель

Отдельный пункт. Политика упоминает Microsoft только как поставщика офисных продуктов, но сервис записи сессий и тепловых карт от Microsoft, фиксирующий поведение посетителя, в ней не назван. То есть сервис записи сессий как получатель данных не раскрыт.

Вывод

Rijkswaterstaat.nl — показательный для государственного сайта случай. Правильная обезличенная государственная статистика здесь уже есть — но поверх неё прикручены аналитика Google в двух поколениях без сигнала согласия и сервис записи сессий Microsoft, который фиксирует поведение пользователя. Платформы сбора согласия нет, а сервис записи сессий вдобавок не раскрыт в политике. Главное, что должен вынести читатель: государственному агентству вполне хватило бы уже имеющейся обезличенной статистики, а добавление коммерческой аналитики и записи сессий без согласия превращает корректную в основе конфигурацию в нарушение. Достаточно убрать запись сессий и стороннюю аналитику или поставить их за согласие, оставив обезличенную государственную статистику."

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: nl/rijkswaterstaat-nl-2026-06-16.har

SHA-256: 639acc8adb911288834b8a3e2f112a269d6178a6fa26e557331dc8f691223e7f

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — rijkswaterstaat.nl

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта rijkswaterstaat.nl.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте используется правильная обезличенная государственная статистика, но поверх неё подключены два сторонних коммерческих сервиса, которые работают без какого-либо механизма согласия. Аналитика Google присутствует сразу в двух поколениях — устаревшем и текущем — и отправляет обращения вообще без сигнала согласия: режим согласия не настроен. Дополнительно работает сервис записи сессий и тепловых карт от Microsoft, который активно записывает поведение пользователя на странице и отправляет данные на свои серверы. Платформы сбора согласия в замере не обнаружено, cookie за сеанс не выставлено, но это не отменяет того, что аналитика и запись сессий уже передали данные сторонним сервисам. Аналитика и запись сессий — нетехнические цели, требующие согласия; здесь они отрабатывают без какого-либо согласия. Для государственного сайта это особенно показательно, поскольку рядом уже работает обезличенная государственная статистика, которой было бы достаточно.

2) Политика упоминает Microsoft только как поставщика офисных продуктов, но сервис записи сессий и тепловых карт от Microsoft, который фиксирует поведение посетителя, в ней не назван. То есть сервис записи сессий, отправляющий данные о действиях пользователя, как получатель не раскрыт.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-rijkswaterstaat-nl/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — rijkswaterstaat.nl

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website rijkswaterstaat.nl.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site uses correctly configured, anonymized government statistics, but on top of that, two third-party commercial services are connected that operate with no consent mechanism whatsoever. Google Analytics is present in two generations at once — legacy and current — and sends requests without any consent signal at all: consent mode is not configured. Additionally, a session-recording and heatmap service from Microsoft runs, actively recording the user's on-page behavior and sending data to its own servers. No consent-collection platform was found in the scan, no cookies are set during the session, but this does not change the fact that analytics and session recording have already transmitted data to third-party services. Analytics and session recording are non-technical purposes requiring consent; here they operate without any consent at all. For a government site, this is especially telling, since anonymized government statistics — which would have been sufficient — already run alongside them.

2) The policy mentions Microsoft only as a provider of office products, but the Microsoft session-recording and heatmap service, which records visitor behavior, is not named in it. In other words, the session-recording service, which transmits data about user actions, is not disclosed as a recipient.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/nl-rijkswaterstaat-nl/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AP — Голландский орган по защите данных — autoriteitpersoonsgegevens.nl

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — rijkswaterstaat.nl

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом rijkswaterstaat.nl.

2. Обстоятельства
Я посетил сайт rijkswaterstaat.nl и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 16.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте используется правильная обезличенная государственная статистика, но поверх неё подключены два сторонних коммерческих сервиса, которые работают без какого-либо механизма согласия. Аналитика Google присутствует сразу в двух поколениях — устаревшем и текущем — и отправляет обращения вообще без сигнала согласия: режим согласия не настроен. Дополнительно работает сервис записи сессий и тепловых карт от Microsoft, который активно записывает поведение пользователя на странице и отправляет данные на свои серверы. Платформы сбора согласия в замере не обнаружено, cookie за сеанс не выставлено, но это не отменяет того, что аналитика и запись сессий уже передали данные сторонним сервисам. Аналитика и запись сессий — нетехнические цели, требующие согласия; здесь они отрабатывают без какого-либо согласия. Для государственного сайта это особенно показательно, поскольку рядом уже работает обезличенная государственная статистика, которой было бы достаточно.

2) Политика упоминает Microsoft только как поставщика офисных продуктов, но сервис записи сессий и тепловых карт от Microsoft, который фиксирует поведение посетителя, в ней не назван. То есть сервис записи сессий, отправляющий данные о действиях пользователя, как получатель не раскрыт.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/nl-rijkswaterstaat-nl/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR и ст. 11.7a Telecommunicatiewet — аналитика Google и запись сессий Microsoft работают без согласия; Art. 13 GDPR — сервис записи сессий Microsoft и аналитика Google как поведенческие средства в политике не раскрыты

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — rijkswaterstaat.nl

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website rijkswaterstaat.nl.

2. Circumstances
I visited the website rijkswaterstaat.nl and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 16 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site uses correctly configured, anonymized government statistics, but on top of that, two third-party commercial services are connected that operate with no consent mechanism whatsoever. Google Analytics is present in two generations at once — legacy and current — and sends requests without any consent signal at all: consent mode is not configured. Additionally, a session-recording and heatmap service from Microsoft runs, actively recording the user's on-page behavior and sending data to its own servers. No consent-collection platform was found in the scan, no cookies are set during the session, but this does not change the fact that analytics and session recording have already transmitted data to third-party services. Analytics and session recording are non-technical purposes requiring consent; here they operate without any consent at all. For a government site, this is especially telling, since anonymized government statistics — which would have been sufficient — already run alongside them.

2) The policy mentions Microsoft only as a provider of office products, but the Microsoft session-recording and heatmap service, which records visitor behavior, is not named in it. In other words, the session-recording service, which transmits data about user actions, is not disclosed as a recipient.

Full technical documentation is published at: https://gdpru.eu/audits/nl-rijkswaterstaat-nl/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR and art. 11.7a Telecommunicatiewet — Google Analytics and Microsoft session recording operate without consent; Art. 13 GDPR — the Microsoft session-recording service and Google Analytics as behavioral tools are not disclosed in the policy

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]