curia.europa.eu
Суд ЕС транслирует заседания через Microsoft Azure. Matomo Cloud (Новая Зеландия) вместо self-hosted. Сессия захватила прямую трансляцию заседания от 7 мая 2026 года — данные каждого зрителя уходят в американскую инфраструктуру.
Хронология утечки
Декларация против факта
Тайминги передачи
Зафиксированные трекеры
- Matomo Cloud (curia.matomo.cloud)
Зафиксированные нарушения
-
Regulation 2018/1725 Art. 5, Art. 48Matomo Cloud (+216 мс) — облачная версия Matomo управляемая InnoCraft Ltd. (Новая Зеландия). В отличие от self-hosted Matomo у EBA и eu-LISA, данные аналитики Суда ЕС передаются третьей стороне за пределами ЕС. Без баннера согласия.
-
Regulation 2018/1725 Art. 15, Chapter VТрансляция заседаний Суда ЕС осуществляется через Microsoft Azure: amcpwe-curia-cc-apim.azure-api.net (Azure API Management), amcpwecuriahls.azurewebsites.net (Azure HLS видео), azurefd.net (Azure Front Door CDN). IP каждого зрителя передаётся в Microsoft (США).
Контекст
Суд Европейского союза (Court of Justice of the European Union, CJEU) — высшая судебная инстанция ЕС, толкует право Союза и обеспечивает его единообразное применение. Именно CJEU вынес решения Schrems I (2015) и Schrems II (2020) — признавшие незаконной передачу данных в США без надлежащих гарантий. Регулируется Regulation (EU) 2018/1725. HAR: 76 запросов, 7 доменов. Сессия захватила встроенную трансляцию заседания.
Schrems II и Azure
Решение Schrems II, вынесенное этим же судом в июле 2020 года, признало механизм Privacy Shield недостаточным для передачи данных из ЕС в США. Суд постановил что американское законодательство о слежке не обеспечивает эквивалентный уровень защиты данных европейских граждан.
HAR показывает что сам Суд ЕС транслирует заседания через Microsoft Azure — американскую облачную инфраструктуру. IP каждого зрителя трансляций проходит через azure-api.net, azurewebsites.net и azurefd.net. Данные обрабатываются Microsoft (США) без явного согласия посетителей.
curia.connectedviews.eu — собственный домен, чужая инфраструктура
curia.connectedviews.eu выглядит как собственный домен Суда. Но за ним стоит платформа ConnectedViews — сервис трансляции судебных заседаний, работающий на Microsoft Azure. Домен curia., но данные в Azure.
Matomo Cloud vs self-hosted
EBA и eu-LISA используют self-hosted Matomo на собственных серверах — данные аналитики остаются в инфраструктуре агентства. Суд ЕС использует curia.matomo.cloud — облачную версию управляемую InnoCraft Ltd. (Веллингтон, Новая Зеландия). Это передача аналитических данных третьей стороне за пределами ЕС. Self-hosted Matomo решил бы проблему — исходный код открытый, развернуть можно на собственных серверах.
CSP — широкие разрешения
default-src https://* gap-iab://* wss://* data: blob: 'unsafe-inline' 'unsafe-eval' — это максимально широкий CSP, фактически разрешающий любые HTTPS-запросы. В отличие от Европола с жёстким CSP ограничивающим только self и europa.eu — Суд ЕС разрешает загрузку с любого HTTPS-домена.
Вывод
Суд вынесший Schrems II — сам использует Microsoft Azure для трансляции публичных заседаний и Matomo Cloud за пределами ЕС. Архитектурные решения которые суд признал недостаточными для частного сектора — применяются в собственной инфраструктуре. Self-hosted Matomo и европейская альтернатива для видеотрансляций (как собственный PeerTube у ENISA) решили бы обе проблемы.
Куда подавать: EDPS — Европейский инспектор по защите данных — edps.europa.eu
Кому: EDPS — Европейский инспектор по защите данных От: [Ваше имя], [контактный email] 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом curia.europa.eu. 2. Обстоятельства Я посетил сайт curia.europa.eu и обнаружил, что мои персональные данные обрабатывались с нарушением требований GDPR. Технический разбор, опубликованный на gdpru.eu 13.05.2026 (открытая методология, воспроизводимые измерения), документирует следующее: 1) Matomo Cloud (+216 мс) — облачная версия Matomo управляемая InnoCraft Ltd. (Новая Зеландия). В отличие от self-hosted Matomo у EBA и eu-LISA, данные аналитики Суда ЕС передаются третьей стороне за пределами ЕС. Без баннера согласия. 2) Трансляция заседаний Суда ЕС осуществляется через Microsoft Azure: amcpwe-curia-cc-apim.azure-api.net (Azure API Management), amcpwecuriahls.azurewebsites.net (Azure HLS видео), azurefd.net (Azure Front Door CDN). IP каждого зрителя передаётся в Microsoft (США). Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/eu-curia-europa-eu/ 3. Нарушенные положения Regulation 2018/1725 Art. 5, Art. 48; Regulation 2018/1725 Art. 15, Chapter V 4. Требование Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. [Дата] [Подпись/имя]