Технический аудит · 16.06.2026

uva.nl

Сайт Амстердамского университета

Политика изменена — посмотреть, что именно · 2026-09-30 →

Uva.nl — сайт Амстердамского университета. Замер главной страницы: 35 обращений, 9 доменов. На сайте есть собственный баннер согласия, но до него уже отрабатывает собственная аналитическая система университета — причём не как обезличенный счётчик. На первой же секунде она присваивает посетителю постоянный идентификатор и запускает модуль записи сессий и тепловых карт, фиксирующий поведение на странице. Дополнительно аналитика Google отправляет обращение с разрешённой аналитикой. То, что измерение развёрнуто на собственном поддомене, не делает его освобождённым: при постоянном идентификаторе и записи сессий это полноценный поведенческий сбор, требующий согласия, а он происходит раньше выбора пользователя.

Хронология обращений

171 мс · собственный баннер согласия

Загружается собственный баннер согласия университета. Механизм согласия предусмотрен — значит то, что отрабатывает раньше выбора, происходит до согласия.

194–320 мс · собственная аналитика с постоянным идентификатором

Собственная аналитическая система университета отправляет просмотр и присваивает посетителю постоянный идентификатор. Это не обезличенный счётчик, а измерение с устойчивым идентификатором, и оно происходит до согласия.

417 мс · запись сессий и тепловые карты

Запускается модуль записи сессий и тепловых карт — фиксация поведения пользователя на странице. До согласия.

833 мс · приватная аналитика

Загружается приватная аналитика Siteimprove, работающая без cookie. Эта часть устроена сдержанно.

6067 мс · аналитика Google с разрешённой аналитикой

Аналитика Google отправляет просмотр с сигналом «аналитика разрешена». Рекламная часть при этом отклонена.

Декларация против факта

✓ Siteimprove (приватная аналитика) — заявлен

+ Запись сессий (собственный Matomo) — не заявлен

Зафиксированные трекеры

Собственный Matomo с записью сессий (до согласия)
Google Analytics 4 (аналитика разрешена)
Siteimprove (приватная аналитика)

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR и ст. 11.7a Telecommunicatiewet — собственная аналитика с записью сессий и постоянным идентификатором работает до согласия
На сайте есть собственный баннер согласия, но до него уже отрабатывает собственная аналитическая система университета. И она настроена не как обезличенный счётчик: на первой же секунде она присваивает посетителю постоянный идентификатор и отправляет его на свои серверы, а также запускает модуль записи сессий и тепловых карт, фиксирующий поведение пользователя на странице. То, что аналитика развёрнута на собственном поддомене университета, не делает её освобождённой: при постоянном идентификаторе и записи сессий это полноценный поведенческий сбор, требующий согласия. Дополнительно аналитика Google отправляет обращение с разрешённой аналитикой. Запись сессий и поведенческая аналитика с устойчивым идентификатором — нетехнические цели, требующие согласия, а здесь они отрабатывают раньше выбора пользователя. Собственная политика при этом указывает, что cookie ставятся после согласия, когда это необходимо, — но измерение с идентификатором и запись сессий запускаются до него.

Контекст

www.uva.nl — сайт Амстердамского университета (Universiteit van Amsterdam): информация об образовании, исследованиях, поступлении. Контролёр данных — университет. Сайт информационный, с выходом на сервисы для студентов и сотрудников.

Замер: 35 обращений к 9 доменам, главная страница, снят на чистом браузере Edge без VPN и блокировщика. На сайте есть собственный баннер согласия. Аналитический стек включает собственную систему измерения, приватную аналитику и аналитику Google.

Кто получает данные

Тут была замечена аналитика Google, а также собственная аналитическая система университета.

Собственная система измерения развёрнута на собственном поддомене университета и работает на движке с открытым кодом. Она присваивает посетителю постоянный идентификатор и ведёт запись сессий с тепловыми картами. Дополнительно работают приватная аналитика, не ставящая cookie, и аналитика Google. Рекламных сетей и пикселей соцсетей в замере нет.

Был ли баннер согласия

Да, на сайте есть собственный баннер согласия. Но до него уже отрабатывает собственная аналитическая система с постоянным идентификатором и записью сессий. Собственная политика указывает, что cookie ставятся после согласия, когда это необходимо, — однако измерение с идентификатором и запись сессий запускаются раньше выбора.

Что срабатывает до согласия

До выбора пользователя отрабатывает:

собственная аналитика — с присвоением постоянного идентификатора;
модуль записи сессий и тепловых карт — фиксация поведения;
приватная аналитика Siteimprove (без cookie).

Приватная аналитика здесь не претензия — она обезличена и без cookie. Узловой момент — собственная система измерения: при постоянном идентификаторе и записи сессий это полноценный поведенческий сбор, и развёртывание на собственном поддомене не делает его освобождённым.

Почему «собственный поддомен» — не индульгенция

Это важно для понимания. То, что аналитика работает на инфраструктуре университета, действительно лучше, чем передача данных стороннему сервису. Но юридически вопрос не в том, чья инфраструктура, а в характере сбора. Постоянный идентификатор посетителя и запись сессий — это поведенческое профилирование, требующее согласия. Запуск его до согласия противоречит и правилу, и собственной политике сайта, которая обещает ставить cookie после согласия.

Вывод

Uva.nl — случай, когда собственная аналитика университета настроена слишком плотно. На сайте есть баннер согласия, приватная аналитика обезличена, рекламных сетей нет — это в пользу сайта. Но собственная система измерения присваивает постоянный идентификатор и ведёт запись сессий ещё до выбора пользователя, а аналитика Google работает с разрешённой аналитикой. Главное, что должен вынести читатель: размещение аналитики на собственном поддомене не отменяет требования согласия, если она присваивает устойчивый идентификатор и записывает сессии. Достаточно перевести измерение с идентификатором и запись сессий в режим ожидания согласия — как это уже сделано для приватной аналитики."

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: nl/uva-nl-2026-06-16.har

SHA-256: 762af1737a4ffc55f19fe77023e8c53b4b7edd8424b522c4d3cc6caf3ad8452f

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — uva.nl

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта uva.nl.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте есть собственный баннер согласия, но до него уже отрабатывает собственная аналитическая система университета. И она настроена не как обезличенный счётчик: на первой же секунде она присваивает посетителю постоянный идентификатор и отправляет его на свои серверы, а также запускает модуль записи сессий и тепловых карт, фиксирующий поведение пользователя на странице. То, что аналитика развёрнута на собственном поддомене университета, не делает её освобождённой: при постоянном идентификаторе и записи сессий это полноценный поведенческий сбор, требующий согласия. Дополнительно аналитика Google отправляет обращение с разрешённой аналитикой. Запись сессий и поведенческая аналитика с устойчивым идентификатором — нетехнические цели, требующие согласия, а здесь они отрабатывают раньше выбора пользователя. Собственная политика при этом указывает, что cookie ставятся после согласия, когда это необходимо, — но измерение с идентификатором и запись сессий запускаются до него.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-uva-nl/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — uva.nl

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website uva.nl.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site has its own consent banner, but the university's own analytics system already fires before it. And it is not configured as an anonymized counter: within the very first second, it assigns the visitor a persistent identifier and sends it to its own servers, and also launches a session-recording and heatmap module that captures the user's on-page behavior. The fact that the analytics is deployed on the university's own subdomain does not exempt it: with a persistent identifier and session recording, this is full-fledged behavioral data collection requiring consent. Additionally, Google Analytics sends a request with analytics granted. Session recording and behavioral analytics with a persistent identifier are non-technical purposes requiring consent, and here they fire before the user's choice. The site's own policy states that cookies are set after consent, when required — yet identifier-based measurement and session recording launch before it.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/nl-uva-nl/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AP — Голландский орган по защите данных — autoriteitpersoonsgegevens.nl

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — uva.nl

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом uva.nl.

2. Обстоятельства
Я посетил сайт uva.nl и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 16.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте есть собственный баннер согласия, но до него уже отрабатывает собственная аналитическая система университета. И она настроена не как обезличенный счётчик: на первой же секунде она присваивает посетителю постоянный идентификатор и отправляет его на свои серверы, а также запускает модуль записи сессий и тепловых карт, фиксирующий поведение пользователя на странице. То, что аналитика развёрнута на собственном поддомене университета, не делает её освобождённой: при постоянном идентификаторе и записи сессий это полноценный поведенческий сбор, требующий согласия. Дополнительно аналитика Google отправляет обращение с разрешённой аналитикой. Запись сессий и поведенческая аналитика с устойчивым идентификатором — нетехнические цели, требующие согласия, а здесь они отрабатывают раньше выбора пользователя. Собственная политика при этом указывает, что cookie ставятся после согласия, когда это необходимо, — но измерение с идентификатором и запись сессий запускаются до него.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/nl-uva-nl/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR и ст. 11.7a Telecommunicatiewet — собственная аналитика с записью сессий и постоянным идентификатором работает до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — uva.nl

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website uva.nl.

2. Circumstances
I visited the website uva.nl and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 16 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has its own consent banner, but the university's own analytics system already fires before it. And it is not configured as an anonymized counter: within the very first second, it assigns the visitor a persistent identifier and sends it to its own servers, and also launches a session-recording and heatmap module that captures the user's on-page behavior. The fact that the analytics is deployed on the university's own subdomain does not exempt it: with a persistent identifier and session recording, this is full-fledged behavioral data collection requiring consent. Additionally, Google Analytics sends a request with analytics granted. Session recording and behavioral analytics with a persistent identifier are non-technical purposes requiring consent, and here they fire before the user's choice. The site's own policy states that cookies are set after consent, when required — yet identifier-based measurement and session recording launch before it.

Full technical documentation is published at: https://gdpru.eu/audits/nl-uva-nl/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR and art. 11.7a Telecommunicatiewet — in-house analytics with session recording and a persistent identifier operates before consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]