cortedicassazione.it

Контекст

www.cortedicassazione.it — сайт Верховного кассационного суда Италии, высшей судебной инстанции страны. Сделан на собственной системе управления контентом на платформе Министерства юстиции. В замере 29 обращений к трём доменам. Ответственным за обработку данных верно указан сам суд. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.

Случай в целом аккуратный: короткий замер, государственная аналитика, подробная политика. Но есть один пробел, и он касается Google.

Кто получает данные

Тут были замечены: Google.

Был ли баннер согласия

На сайте есть уведомление о cookie — его стили подгружаются в начале визита. Государственная аналитика приравнена к техническим средствам и согласия не требует, поэтому само по себе её срабатывание не нарушение. Стоит лишь отметить, что её замер несёт идентификатор посетителя, так что «анонимность» здесь, как и на других государственных сайтах, с оговоркой. А вот плеер YouTube запускается независимо от уведомления — и это главный сюжет.

Подробная политика — но без раздела о третьих сторонах

Документ тщательно разбирает категории cookie: сессионные, функциональные, прямо отрицает профилирование и постоянные cookie, а статистику называет анонимной. Сделано подробно и грамотно. Но раздела о сторонних сервисах в политике нет совсем — а на главной странице, в медиацентре, встроен видеоплеер YouTube. Он в документе не упомянут ни разу, хотя это сторонний сервис, который получает данные посетителя.

YouTube в обычном режиме уводит IP в Google

Здесь и кроется изъян. Видео можно встроить двумя способами: в обычном режиме и в приватном, специально предназначенном для того, чтобы не обращаться к Google до запуска видео и не ставить отслеживающие cookie. На этом сайте выбран обычный режим. А значит, уже сама загрузка плеера обращается к инфраструктуре Google и передаёт IP-адрес посетителя в США. Получается двойное несоответствие: сторонний сервис не назван в политике, и при этом документ утверждает, что через cookie не передаётся информация личного характера, — тогда как обращение к Google происходит. Чинится это просто, заменой обычного встраивания на приватный режим, после чего обращение к Google до запуска видео исчезает.

Чего по замеру утверждать нельзя

Несколько честных оговорок. В замере видна загрузка интерфейса и программной части плеера; более тяжёлые обращения к серверам Google происходят при запуске видео, и в этом сеансе их нет — но даже загрузка плеера в обычном режиме уже передаёт IP. Про маскировку IP в государственной аналитике я сужу по её настройке по умолчанию; идентификатор посетителя при этом виден прямо в замере. Политика, к слову, опирается на старый национальный кодекс о данных, а не на действующий регламент, — деталь, говорящая о возрасте документа. Замер охватывает главную страницу.

Вывод

Аккуратная и подробная политика с двумя связанными пробелами, и оба про одно — про молчаливое обращение к Google. Встроенный плеер YouTube работает в обычном режиме и передаёт IP посетителя в США, нигде в документе не названный, а сам документ при этом обещает, что личных данных через cookie не передаётся. Плюс государственная аналитика, описанная как анонимная, на деле несёт идентификатор посетителя. Ни то ни другое не катастрофа, и чинится в пару движений. Главное, что должен вынести читатель: даже на сайте высшего суда одно невинное встроенное видео способно тихо отправлять ваш IP в Google — ровно потому, что выбран обычный режим вместо приватного.