cnr.it

Контекст

www.cnr.it — сайт Consiglio Nazionale delle Ricerche, главного государственного научно-исследовательского учреждения Италии. Сделан на Drupal. В замере 64 обращения к трём доменам — и все три принадлежат самому CNR. Ответственным за обработку данных политика верно указывает сам совет. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.

Это интересный случай, потому что формально здесь есть к чему придраться, а по сути сайт ведёт себя едва ли не образцово. Разберу обе стороны честно.

Был ли баннер согласия

Баннера согласия нет, и он не нужен. Политика разрешает только технические сессионные cookie, для которых согласие по закону не требуется. А поскольку аналитика на этом сайте работает вообще без cookie, спрашивать согласие действительно не на что. Отсутствие баннера здесь полностью закономерно.

Два экземпляра Matomo сразу

Техническая особенность сайта: на нём параллельно работают сразу два разных, не связанных между собой счётчика Matomo — на двух разных поддоменах CNR, с разными идентификаторами площадки. Оба фиксируют один и тот же визит, практически в одну миллисекунду друг от друга. Больше всего это похоже на ситуацию, когда два подразделения большого учреждения завели каждое свой счётчик, и оба остались работать на общем сайте. Случай напоминает агентство по лекарствам из этой серии, где тоже было два Matomo, — но с двумя отличиями, и оба в пользу CNR.

Но это самый приватный вариант аналитики в серии

Вот сторона, которую важно назвать прямо. Оба счётчика здесь работают без единого cookie и без идентификатора посетителя — то есть не присваивают человеку никакой метки, по которой его можно было бы узнавать между визитами. Оба размещены на доменах самого CNR, ничего не уходит ни в Google, ни в какие-либо сторонние сервисы, за пределы учреждения не передаётся ничего. Это означает, что прямое заявление политики — «cookie для профилирования не используются» — здесь чистая правда. Из всех разобранных сайтов, где аналитика вообще работает, это, пожалуй, самая приватная её реализация: считают посещения, но не следят за человеком.

Отличие от агентства по лекарствам как раз в этом: там оба счётчика несли идентификатор посетителя, здесь — ни один. Зато там хотя бы один из двух был назван в политике, а здесь не назван ни один — и это единственная реальная придирка.

Чего не хватает — только декларации

Изъян сводится к раскрытию. Политика описывает лишь технические сессионные cookie и не выделяет статистику в отдельную категорию вообще — слова о том, что сайт ведёт аналитику пусть и анонимную, в документе нет. Поэтому формально любой аналитический инструмент здесь оказывается незадекларированным, а их к тому же два. Это вопрос точности и полноты информирования, а не безопасности данных: посетителю стоило бы знать, что его визиты считают, даже если считают предельно безобидно.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Вывод о том, что оба счётчика работают без идентификатора, я делаю по самому замеру — ни cookie, ни идентификатора посетителя в нём нет. Версия про «два подразделения, два счётчика» — наиболее правдоподобное объяснение, но намерение по замеру не определяется, я фиксирую сам факт двойного учёта. Замер охватывает главную страницу; точные адреса серверов в облегчённой выгрузке не сохранены, но все три домена и так относятся к CNR.

Вывод

В отличие от тяжёлых коммерческих случаев серии, здесь сама практика обработки данных едва ли не образцовая: два первопартийных счётчика, оба без cookie и без идентификатора, ничего не уходит за пределы CNR, профилирования нет — и это не обещание, а наблюдаемый факт. Единственное, к чему есть претензия, — что ни один из двух инструментов не назван в политике, и что аналитика не выделена в ней как отдельная категория вообще, а счётчиков при этом зачем-то два. Главное, что должен вынести читатель: бывает «не задекларировано и при этом безвредно» — и это ровно такой случай; сайту стоит лишь честно дописать в политику то, что он и так делает аккуратнее многих.