adiconsum.it

Контекст

Adiconsum — итальянская ассоциация защиты прав потребителей и окружающей среды со штаб-квартирой в Риме. Сайт сделан на WordPress с конструктором Elementor. В замере 125 обращений к трём доменам: самому сайту и двум внешним сервисам. И сразу бросается в глаза ирония: организация, чья прямая миссия — защищать права потребителей, в том числе цифровые, сама обращается с данными своих посетителей не так, как обещает на бумаге.

Был ли баннер согласия

Механизм согласия на сайте есть — это плагин для WordPress, чьи скрипты подгружаются на +519 мс. Но работает он только на бумаге. Дальнейшие обращения к внешним сервисам он не перекрывает: вызовы к Google и LiveChat уходят уже после загрузки этого плагина, и никакого следа того, что пользователь что-то выбрал, в замере нет. Иными словами, баннер согласия формально присутствует в коде, но реально не выполняет свою единственную задачу — не задерживает сторонние трекеры до выбора пользователя.

Что на самом деле произошло с трекерами

Здесь нужна точность, потому что на первый взгляд можно сделать неверный вывод в любую сторону. Факты замера такие: на +649 мс браузер обратился к Google Tag Manager, на +752 мс — к LiveChat. Оба обращения — раньше, чем посетитель мог как-то отреагировать на баннер.

Но оба ответа вернулись с ошибкой 403, и тело скриптов не пришло. Значит, в этой конкретной сессии сами трекеры не запустились: ни одного тега не сработало, ни одного следящего cookie не поставилось. Делать вид, что слежка тут вовсю работала, было бы преувеличением — в этом замере она именно что не сработала.

Но контейнер живой — и это меняет вывод

Чтобы понять, случайность это или сайт действительно не следит, я проверил контейнер Google напрямую, уже в ходе аудита. Контейнер GTM-WJD9NQ5 оказался живым: он отдаёт рабочий код. Это важный поворот. Значит, ошибка 403 в замере — это особенность той конкретной сессии (что-то заблокировало загрузку на стороне снятия), а вовсе не признак того, что трекер мёртв или отключён. Для обычного посетителя, у которого ничего не блокирует загрузку, этот же контейнер загрузился бы и отработал — со всеми тегами, которые в него заложены. То есть сайт настроен следить по-настоящему; данный замер просто поймал сессию, где загрузка сорвалась.

Что именно зашито внутрь контейнера — отсюда не видно: чтобы это узнать, код контейнера нужно исполнить, а по статичному замеру он не раскрывается. Поэтому я не утверждаю, какие конкретно теги (аналитика, реклама) он запускает, — только то, что он жив и предназначен работать.

Передача за рубеж, которую политика отрицает

Политика, обновлённая в сентябре 2021 года, прямо обещает: данные за рубеж не передаются. Реальность расходится с этим уже на уровне самого обращения. Даже при ошибке 403 запрос до серверов Google в США и до LiveChat успел дойти, а вместе с ним ушёл и IP-адрес посетителя — а IP по тому же GDPR относится к персональным данным. Добавим, что ни Google, ни LiveChat в политике не названы вовсе: документ ограничивается обтекаемой формулировкой про «третьих лиц и получателей» без единого конкретного имени.

Политика — устаревшая и общая

В отличие от аккуратных госсайтов, здесь нет ни таблицы cookie, ни имён, ни сроков жизни, ни назначений — только общее объяснение, что такое cookie в принципе. Документ датирован 2021 годом, тогда как нынешний набор плагинов на сайте заметно новее. Это само по себе говорит, что политику давно не сопровождают и не сверяют с тем, что реально установлено на сайте.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Во-первых, я не знаю причину ошибки 403 в замере — это мог быть сетевой блок, региональное ограничение или особенность среды снятия; по самому замеру причина не определяется. Во-вторых, я не вижу, какие теги заложены внутрь контейнера Google, — для этого его нужно исполнить. В-третьих, замер охватывает только главную страницу, а в этой облегчённой выгрузке не сохранены IP-адреса серверов, так что географию обращений я беру по принадлежности доменов, а не по адресам.

Вывод

Стек слежки тут минимальный — всего два внешних сервиса, и в этом замере оба вообще не запустились из-за ошибки. Соблазнительно было бы на этом успокоиться, но это была бы половина правды. Сайт устроен так, что обращается к Google и LiveChat в первую же секунду, до согласия; плагин согласия эти вызовы не перекрывает; контейнер Google на момент аудита живой и настроен работать; ни один из сервисов в политике не назван; а сама политика обещает то, что нарушается уже фактом обращения, — что данные не уходят за рубеж. Для организации, которая защищает права потребителей, разрыв между написанным и построенным — самая показательная часть разбора.