cittametropolitana.mi.it

Контекст

www.cittametropolitana.mi.it — сайт городской метрополии Милана, уровня местного самоуправления между регионом и муниципалитетами. Сделан на устаревшей системе OpenCms с характерной легаси-структурой адресов. В замере 65 обращений к пяти доменам: самому сайту и его служебному поддомену, государственной аналитике и серверам шрифтов Google. Ответственным за обработку данных политика верно указывает саму метрополию. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.

Это снова знакомый по серии случай, и снова с уточнением в пользу точности, которое всплыло при сверке с живым сайтом.

Был ли баннер согласия

Баннера согласия нет. Государственная анонимная аналитика по итальянским правилам приравнена к техническим средствам и согласия не требует, так что само по себе отсутствие баннера здесь не нарушение. Стоит лишь отметить, что замер аналитики несёт идентификатор посетителя, поэтому «анонимность» тут, как и на ряде других госсайтов, означает скорее обезличивание с маскировкой IP, чем полную безличность. А вот шрифты Google при этом грузятся безусловно, ни от какого согласия не завися.

Что выяснилось про политику

Здесь важная поправка к первому впечатлению. Выгруженный документ — основная политика — действительно не содержит ни слова о cookie. Но это не значит, что раздела нет вовсе: у сайта есть отдельная cookie-страница, доступная на самом ресурсе, и в ней государственная аналитика Web Analytics Italia названа прямо и описана как анонимная статистика, приравненная к техническим cookie. То есть аналитический слой и раскрыт, и реализован корректно — пробел был в выгрузке, а не на сайте. Это надо зафиксировать честно, чтобы не записать в нарушения то, что на деле раскрыто.

Google Fonts уводит IP в США — а политика обещает «только ЕЭЗ»

А вот это — настоящий и подтверждённый изъян. Основная политика содержит категоричное обещание: данные не передаются в третьи страны за пределы Европейской экономической зоны. Между тем шрифты сайт подгружает не со своего сервера, а напрямую с серверов Google — причём по полной программе: и описание стилей шрифтов, и сами файлы семейств (Roboto и другие). А любое такое обращение передаёт IP-адрес посетителя в Google, американскую компанию.

Тут два совпавших расхождения. Во-первых, это прямо противоречит обещанию держать данные в пределах ЕЭЗ. Во-вторых, Google как получатель не назван нигде — ни в основной политике, ни в отдельной cookie-странице. И это не теоретическая придирка: европейские суды уже выносили решения, что именно такая подгрузка шрифтов Google с его серверов — это неправомерная передача IP-адреса пользователя, и единственный законный путь в отсутствие согласия — положить шрифты на свой сервер. Здесь же они тянутся из Google полными семействами.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Отдельную cookie-страницу я читал по доступной публикации, а не выгружал целиком, поэтому ручаюсь, что государственная аналитика там названа, но не могу со стопроцентной полнотой утверждать, что Google Fonts не упомянут вообще нигде в её тексте — в той части, что я видел, его нет. Про маскировку IP в аналитике я опираюсь на её настройку по умолчанию; в замере виден идентификатор посетителя, но не cookie. Замер охватывает главную страницу; точные адреса серверов в облегчённой выгрузке не сохранены.

Вывод

Как и в случае с регулятором энергетики из этой серии, первое впечатление пришлось уточнить: государственная аналитика на самом деле раскрыта — на отдельной cookie-странице, которой не было в выгрузке. Но категоричное обещание основной политики — «данные не покидают ЕЭЗ» — прямо опровергается шрифтами Google, которые уводят IP посетителя в США, причём полными семействами и без единого упоминания где-либо. Изъян по объёму невелик и чинится одним движением — переносом шрифтов на свой сервер, — но это именно то расхождение слова и дела, на которое уже есть судебная практика в Европе. Главное, что должен вынести читатель: почти всё здесь по-европейски и раскрыто честно, кроме шрифтов, которые молча отправляют ваш IP за океан вопреки прямому обещанию обратного.