cni.it

Контекст

www.cni.it — сайт Consiglio Nazionale degli Ingegneri, Национального совета инженеров Италии: профессионального органа публично-правового статуса, ведущего реестр инженеров. Сделан на Joomla, политика составлена по типовому шаблону конструктора. В замере 46 обращений к шести доменам. Ответственным за обработку данных политика верно указывает сам совет. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.

На первый взгляд это простой случай «назвали не тот счётчик». Но при внимательном чтении замера он оказывается интереснее — и в одном месте противоположным первому впечатлению.

Был ли баннер согласия

Баннер согласия на сайте есть, его скрипт грузится с внешнего CDN в самом начале. Но к моменту, когда подгружается его видимая часть (+289 мс), аналитика Matomo уже отправила свой замер (+275 мс). Для первопартийной аналитики, приравненной к техническим средствам, согласие не требуется, так что само по себе это не нарушение. Отмечу лишь, что замер несёт идентификатор посетителя, то есть «анонимность» здесь, как и на ряде других сайтов, с оговоркой.

Аналитика названа не та

Политика однозначно называет единственным инструментом статистики Google Analytics, причём с прямым указанием места обработки — США. А в замере нет ни одного обращения к доменам Google Analytics. Считает посетителей совсем другая система — Matomo, размещённый на домене связанного фонда (Fondazione CNI). Сама по себе эта аналитика приличная: первопартийная по сути, без установки cookie. Но в документе она не упомянута, а назван сервис, которого на сайте нет.

«Приватнее заявленного» — это не так: IP всё равно уходит в Google

Здесь и есть поправка, которую легко пропустить и которая переворачивает простую трактовку. Соблазнительно сказать: раз вместо американского Google Analytics стоит свой Matomo, значит, по факту приватнее, чем обещано. Но это неверно. В замере IP-адрес посетителя всё равно уходит в Google, в США, — только не через аналитику, а через две другие вещи: библиотеку jQuery, которую сайт тянет напрямую с серверов Google, и шрифты Google Fonts. Плюс скрипт баннера согласия подгружается с CDN компании Cloudflare. То есть передача данных за океан здесь есть, просто идёт по другим каналам, чем тот, что описан в политике.

Документ описывает не тот трансфер

Из этого складывается любопытная картина несоответствия в обе стороны. Политика предупреждает о передаче данных в США — но привязывает это предупреждение к Google Analytics, которого на сайте нет. А реальные передачи IP в Google — через jQuery и шрифты — в документе не упомянуты вовсе. Получается, посетителя предупреждают ровно о том, чего не происходит, и молчат ровно о том, что происходит. Для добросовестного информирования это хуже, чем простая опечатка в названии: документ не сходится с реальностью ни тем, что утверждает, ни тем, о чём молчит.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Про первопартийность и отсутствие cookie у Matomo я сужу по самому замеру — идентификатор посетителя в нём виден, а cookie нет. Является ли jQuery и шрифты Google «строго необходимыми техническими» компонентами — вопрос трактовки; но даже в этом случае передача IP в Google остаётся фактом, а в политике она не отражена. Замер охватывает главную страницу; точные адреса серверов в облегчённой выгрузке не сохранены.

Вывод

Сам выбор аналитики здесь скорее в плюс: вместо американского Google Analytics — свой Matomo на домене фонда, без cookie. Но документ описывает реальность неверно сразу в двух смыслах. Он называет инструментом статистики Google Analytics, которого нет, и предупреждает о связанном с ним трансфере в США — тоже несуществующем. И при этом молчит о реальных передачах IP в Google, которые на сайте всё-таки происходят, — через jQuery и шрифты. Главное, что должен вынести читатель: «приватнее на словах» и «приватнее на деле» — не одно и то же; здесь хорошая по сути аналитика соседствует с тихими утечками в Google, о которых политика не говорит, зато подробно предупреждает о том, чего на сайте нет.