Федеральное административное ведомство Германии. 58 запросов, 1 домен. GSB-платформа, Apache. BundesSchrift (BundesSans + BundesSerif) — локально. Собственный GSB cookie-баннер, только технически необходимые cookies (§25(2)(2) TDDDG). CSP резервирует piwik.itzbund.de, YouTube, googleapis, geodatenzentrum — в HAR не активны. Set-Cookie — ноль. Полное соответствие.
Хронология утечки
Декларация против факта
Контекст
BVA (Bundesverwaltungsamt) — универсальное федеральное сервисное ведомство, выполняющее около 150 задач для других федеральных органов: от выплаты BAföG и Kindergeld до управления реестрами и визовой поддержки. Крупнейшее сервисное ведомство Германии. GSB-платформа, Apache. HAR: 58 запросов, 1 домен.
BundesSchrift — пять начертаний локально
BVA использует BundesSansWeb (Regular, Bold, BoldItalic, Italic) и BundesSerifWeb-Bold — пять woff-файлов из /static/fonts/BundesSchrift/. Государственное шрифтовое семейство, хостится локально. Slick.woff для слайдера — тоже локально.
Собственный cookie-баннер — только необходимые cookies
Cookie-баннер реализован собственными средствами GSB без внешних CMP. Политика перечисляет только технически необходимые cookies: JSESSIONID (сессия), SERVERID (балансировка, истекает с сессией) и cookie-баннера (closed, сигнализирует о закрытии). Все — на основании §25(2)(2) TDDDG, без согласия. В HAR Set-Cookie — ноль.
CSP как карта возможностей, не текущего состояния
Content-Security-Policy резервирует широкий набор внешних источников для функций на внутренних страницах: piwik.itzbund.de (Matomo после согласия), *.googleapis.com и *.youtube.com (YouTube-видео), *.geodatenzentrum.de (BKG-карты), service-digitale-verwaltung.de (OZG-услуги). На главной странице ни один из этих источников не активен — в HAR нет запросов за пределы www.bva.bund.de.
Политика — детальная и актуальная
Политика конфиденциальности объёмом ~47 000 символов покрывает все упомянутые в CSP сервисы: Matomo только после согласия, YouTube с предупреждением об ответственности пользователя, BKG geodatenzentrum.de, OZG-платформу, социальные сети BVA. Cookies описаны в таблице с указанием имени, назначения и категории. Правовые ссылки актуальны: TDDDG §25 упоминается корректно.
Вывод
www.bva.bund.de не передаёт данные посетителей третьим лицам при первом посещении. Один домен, государственный шрифт, GSB cookie-баннер, детальная политика с актуальными правовыми ссылками. Нарушений GDPR на момент аудита не зафиксировано.
ed99a04583732276a988cb5af3c5065f0e15e43cd9e24de9d0f610ea18214e7f