arera.it

Контекст

www.arera.it — сайт ARERA, итальянского регулятора в сфере энергетики, сетей и окружающей среды: тарифы на электричество, газ, воду, обращение с отходами. Сделан на TYPO3. В замере 124 обращения к трём доменам: самому сайту, государственной аналитике и серверам шрифтов Google. Ответственным за обработку данных политика верно указывает само ведомство. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.

Сразу отмечу хорошее: основную типографику сайт держит у себя — шрифты roboto и zilla-slab грузятся со своего домена, а не из Google. Наружу к Google уходит только один запрос — за иконочным шрифтом. И именно он создаёт единственную, но настоящую проблему.

Был ли баннер согласия

Модуль управления cookie на сайте есть, но подключается он поздно — на +3541 мс, уже после того, как государственная аналитика отправила свой замер (+3184 мс). Для анонимной государственной статистики, приравненной к техническим средствам, согласие не требуется, поэтому само по себе это не нарушение. Стоит лишь отметить, что замер аналитики несёт идентификатор посетителя, так что «анонимность» здесь, как и на ряде других госсайтов, скорее «обезличенность с маскировкой IP», чем полная безличность.

Что сделано в основном правильно

Аналитика здесь — государственная платформа на национальной инфраструктуре, с маскировкой IP по умолчанию, и ни одного cookie за сеанс она не ставит. И, в отличие от того, что показалось по неполной выгрузке, отдельная cookie-политика у сайта есть: на самом ресурсе она доступна и описывает эту анонимную аналитику как технические cookie, не требующие согласия. То есть аналитический слой и раскрыт, и реализован корректно. Это надо зафиксировать честно.

Google Fonts уводит IP в США — а политика обещает «только ЕС»

А вот единственный реальный изъян. Основная политика содержит недвусмысленное обещание: персональные данные обрабатываются в пределах Европейского союза и хранятся на серверах внутри ЕС. Между тем иконочный шрифт Material Symbols сайт подгружает не со своего сервера, а напрямую с серверов Google. И любое такое обращение передаёт IP-адрес посетителя в Google — американскую компанию.

Тут сходятся два расхождения. Во-первых, это прямо противоречит обещанию, что данные не покидают ЕС. Во-вторых, Google как получатель не назван нигде — ни в основной политике, ни в отдельной cookie-политике. И заметнее всего то, что чинится это элементарно: основную-то типографику сайт уже разместил у себя, так что положить рядом и иконочный шрифт — дело одного шага, после которого последнее обращение к Google исчезнет.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Про маскировку IP в аналитике я опираюсь на её настройку по умолчанию и на cookie-политику; в самом замере виден идентификатор посетителя, но не cookie. Отдельную cookie-политику я читал по доступной публикации, а не выгружал целиком, поэтому ручаюсь за описание анонимной аналитики, но не за исчерпывающий список всех упомянутых там сервисов. Замер охватывает главную страницу; точные адреса серверов в облегчённой выгрузке не сохранены.

Вывод

По сути сайт сделан в основном правильно: государственная анонимная аналитика, описанная в отдельной cookie-политике, и почти вся типографика на своём домене. Единственное, что выбивается, — иконочный шрифт, который тянется с серверов Google и уводит IP посетителя в США, прямо вопреки обещанию политики держать данные в пределах ЕС, и без упоминания где-либо. Изъян маленький и чинится одним движением, но на сайте регулятора, обещающего «только ЕС», даже одна такая утечка — это расхождение слова и дела. Главное, что должен вынести читатель: почти всё здесь честно и по-европейски, кроме одной строки кода, которая отправляет ваш IP за океан.