Технический аудит · 16.06.2026

rotterdam.nl

Официальный сайт города Роттердам

Rotterdam.nl — официальный сайт города Роттердам. Замер главной страницы: 59 обращений, 5 доменов. Большая часть — собственные ресурсы и функциональные сервисы: чат-бот помощи муниципалитета и инструмент озвучки для доступности. Но до какого-либо выбора пользователя на странице инициализируется сторонняя платформа A/B-тестирования и персонализации, назначение которой — профилировать поведение посетителя ради подбора вариантов страницы. Отдельного видимого механизма согласия в трафике не обнаружено, и в политике эта платформа не названа. Сторонней рекламы, аналитики Google и пикселей соцсетей в замере при этом нет.

Хронология обращений

519 мс · платформа экспериментов и персонализации

Загружается и инициализируется движок сторонней платформы A/B-тестирования и персонализации. Её назначение — присваивать код посетителю и подстраивать содержимое, то есть профилировать поведение. Это происходит на первой секунде, до согласия.

706 мс · озвучка для доступности

Загружается инструмент озвучки страницы — функция доступности, не трекинг.

1256 мс · чат-бот помощи

Загружается виджет чат-бота помощи муниципалитета — функциональный инструмент для вопросов посетителей.

Декларация против факта

+ Kameleoon — не заявлен

Зафиксированные трекеры

Kameleoon (A/B-тесты и персонализация)
Чат-бот муниципалитета (функциональный)
ReadSpeaker (озвучка, функциональный)

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR и ст. 11.7a Telecommunicatiewet — платформа экспериментов и персонализации инициализируется до согласия
До какого-либо выбора пользователя на странице загружается и инициализируется сторонняя платформа A/B-тестирования и персонализации. Назначение такой платформы — присваивать посетителю код, оценивать варианты страницы и подстраивать содержимое, то есть профилировать поведение. В этом замере наблюдается загрузка её движка на первой же секунде; отдельного видимого механизма сбора согласия в трафике не обнаружено, и cookie за сеанс не выставлено. Платформа персонализации — нетехническая цель, требующая согласия: даже на этапе инициализации она запускает логику профилирования. По нидерландскому закону о cookie такая платформа должна дожидаться согласия, а здесь её движок разворачивается раньше выбора. Функциональные сервисы на странице — чат-бот помощи и инструмент озвучки — к этому отношения не имеют и относятся к работе сайта.
Art. 13 GDPR — платформа экспериментов и персонализации в политике не названа
Политика сайта не упоминает стороннюю платформу A/B-тестирования и персонализации. То есть сервис, назначение которого — профилировать поведение посетителя ради подбора вариантов страницы, в перечне получателей и используемых средств не раскрыт.

Контекст

www.rotterdam.nl — официальный сайт города Роттердам (Gemeente Rotterdam): муниципальные услуги, информация для жителей, обращения в городские службы. Контролёр данных — муниципалитет Роттердама. Сайт информационный и сервисный.

Замер: 59 обращений к 5 доменам, главная страница, снят на чистом браузере Edge без VPN и блокировщика. Технический стек включает функциональные сервисы и одну стороннюю платформу персонализации.

Кто получает данные

Тут была замечена платформа A/B-тестирования и персонализации.

Большая часть обращений — к собственному домену. Из стороннего работают платформа экспериментов и персонализации, чат-бот помощи муниципалитета и инструмент озвучки для доступности. Платформа персонализации по назначению профилирует поведение посетителя, чтобы подбирать варианты страницы. Чат-бот и озвучка — функциональные сервисы. Ни Google Analytics, ни рекламных сетей, ни пикселей соцсетей, ни записи сессий в замере нет.

Был ли баннер согласия

Отдельного видимого механизма сбора согласия в трафике не обнаружено, и cookie за сеанс не выставлено ни одной. При этом платформа персонализации инициализируется уже на первой секунде — то есть раньше любого возможного выбора.

Что срабатывает до согласия

До выбора пользователя инициализируется сторонняя платформа A/B-тестирования и персонализации. В замере наблюдается загрузка её движка; назначение платформы — профилировать поведение для подбора вариантов страницы. Функциональные сервисы — чат-бот и озвучка — относятся к работе сайта и доступности, а не к профилированию.

Важно отметить корректно: в этом замере виден факт загрузки и инициализации платформы, а не отдельный маяк с данными. Но сама инициализация платформы персонализации — это запуск логики профилирования, которая требует согласия.

Нераскрытый сервис

Отдельный пункт. Политика сайта не называет стороннюю платформу A/B-тестирования и персонализации. То есть сервис, профилирующий поведение посетителя ради подбора вариантов страницы, в перечне используемых средств не раскрыт.

Вывод

Rotterdam.nl — умеренный случай. Сторонней рекламы, аналитики Google и пикселей соцсетей на сайте нет, а чат-бот и озвучка функциональны — это в пользу сайта. Но до согласия инициализируется сторонняя платформа A/B-тестирования и персонализации, профилирующая поведение, и в политике она не названа. Главное, что должен вынести читатель: платформа персонализации — не функциональный сервис, а средство профилирования, и её следует либо запускать после согласия, либо раскрывать в политике и держать в режиме ожидания согласия. Достаточно отложить инициализацию платформы до согласия и внести её в перечень используемых средств."

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: nl/rotterdam-nl-2026-06-16.har

SHA-256: 0cc8a757e0ab52431a7f0f49f7469273378fa71adc5c5ee95a4289b1a5d5203c

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — rotterdam.nl

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта rotterdam.nl.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) До какого-либо выбора пользователя на странице загружается и инициализируется сторонняя платформа A/B-тестирования и персонализации. Назначение такой платформы — присваивать посетителю код, оценивать варианты страницы и подстраивать содержимое, то есть профилировать поведение. В этом замере наблюдается загрузка её движка на первой же секунде; отдельного видимого механизма сбора согласия в трафике не обнаружено, и cookie за сеанс не выставлено. Платформа персонализации — нетехническая цель, требующая согласия: даже на этапе инициализации она запускает логику профилирования. По нидерландскому закону о cookie такая платформа должна дожидаться согласия, а здесь её движок разворачивается раньше выбора. Функциональные сервисы на странице — чат-бот помощи и инструмент озвучки — к этому отношения не имеют и относятся к работе сайта.

2) Политика сайта не упоминает стороннюю платформу A/B-тестирования и персонализации. То есть сервис, назначение которого — профилировать поведение посетителя ради подбора вариантов страницы, в перечне получателей и используемых средств не раскрыт.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-rotterdam-nl/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — rotterdam.nl

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website rotterdam.nl.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) Before the user makes any choice, a third-party A/B-testing and personalization platform loads and initializes on the page. The purpose of such a platform is to assign the visitor a code, evaluate page variants, and tailor content — that is, to profile behavior. In this scan, its engine is observed loading within the very first second; no separate visible consent-collection mechanism was found in the traffic, and no cookies are set during the session. A personalization platform is a non-technical purpose requiring consent: even at the initialization stage, it launches profiling logic. Under Dutch cookie law, such a platform must wait for consent, yet here its engine deploys before the choice is made. The functional services on the page — the help chatbot and the text-to-speech tool — are unrelated to this and relate to the site's operation.

2) The site's policy does not mention the third-party A/B-testing and personalization platform. In other words, a service whose purpose is to profile visitor behavior in order to select page variants is not disclosed in the list of recipients and tools used.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/nl-rotterdam-nl/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AP — Голландский орган по защите данных — autoriteitpersoonsgegevens.nl

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — rotterdam.nl

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом rotterdam.nl.

2. Обстоятельства
Я посетил сайт rotterdam.nl и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 16.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) До какого-либо выбора пользователя на странице загружается и инициализируется сторонняя платформа A/B-тестирования и персонализации. Назначение такой платформы — присваивать посетителю код, оценивать варианты страницы и подстраивать содержимое, то есть профилировать поведение. В этом замере наблюдается загрузка её движка на первой же секунде; отдельного видимого механизма сбора согласия в трафике не обнаружено, и cookie за сеанс не выставлено. Платформа персонализации — нетехническая цель, требующая согласия: даже на этапе инициализации она запускает логику профилирования. По нидерландскому закону о cookie такая платформа должна дожидаться согласия, а здесь её движок разворачивается раньше выбора. Функциональные сервисы на странице — чат-бот помощи и инструмент озвучки — к этому отношения не имеют и относятся к работе сайта.

2) Политика сайта не упоминает стороннюю платформу A/B-тестирования и персонализации. То есть сервис, назначение которого — профилировать поведение посетителя ради подбора вариантов страницы, в перечне получателей и используемых средств не раскрыт.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/nl-rotterdam-nl/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR и ст. 11.7a Telecommunicatiewet — платформа экспериментов и персонализации инициализируется до согласия; Art. 13 GDPR — платформа экспериментов и персонализации в политике не названа

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — rotterdam.nl

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website rotterdam.nl.

2. Circumstances
I visited the website rotterdam.nl and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 16 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) Before the user makes any choice, a third-party A/B-testing and personalization platform loads and initializes on the page. The purpose of such a platform is to assign the visitor a code, evaluate page variants, and tailor content — that is, to profile behavior. In this scan, its engine is observed loading within the very first second; no separate visible consent-collection mechanism was found in the traffic, and no cookies are set during the session. A personalization platform is a non-technical purpose requiring consent: even at the initialization stage, it launches profiling logic. Under Dutch cookie law, such a platform must wait for consent, yet here its engine deploys before the choice is made. The functional services on the page — the help chatbot and the text-to-speech tool — are unrelated to this and relate to the site's operation.

2) The site's policy does not mention the third-party A/B-testing and personalization platform. In other words, a service whose purpose is to profile visitor behavior in order to select page variants is not disclosed in the list of recipients and tools used.

Full technical documentation is published at: https://gdpru.eu/audits/nl-rotterdam-nl/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR and art. 11.7a Telecommunicatiewet — the experimentation and personalization platform initializes before consent; Art. 13 GDPR — the experimentation and personalization platform is not named in the policy

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]