italotreno.com

Контекст

www.italotreno.com — сайт компании Italo, крупнейшего частного высокоскоростного железнодорожного перевозчика Италии и первого в Европе частного оператора на высокоскоростной сети. Через сайт продаются билеты, поэтому здесь есть и поиск рейсов, и оплата, и витрина акций.

Замер компактный: 111 обращений к 9 доменам, снят на чистом браузере Edge без VPN и блокировщика. На сайте стоит платформа сбора согласия Didomi, а рекламные cookie в этом сеансе действительно отключены. На первый взгляд — аккуратная картина. Интерес в том, что основная аналитика спрятана так, чтобы выглядеть как «своя».

Кто получает данные

Тут были замечены: Google, Didomi, Skeepers, Akamai.

Оговорка по ролям: Didomi — это сама платформа сбора согласия, её присутствие ожидаемо и претензией не является. Skeepers — платформа отзывов покупателей. Akamai — мониторинг производительности и защита от ботов. Центральная фигура разбора — Google: именно его аналитика замаскирована под собственный домен Italo.

Был ли баннер согласия

Да, это Didomi, и его видимая часть дорисовывается примерно на 1,9 секунды. Но в этом сеансе пользователь не нажал ничего: за весь замер сайт не установил ни одной cookie, то есть cookie согласия не появилась. Это чистый первый контакт — и именно в нём видно поведение «по умолчанию».

Google Analytics, замаскированный под собственный домен

Главная находка. Основной поток аналитики идёт не на привычный домен Google, а на адрес analytics.italotreno.com — то есть на поддомен самого Italo. Но содержимое этого потока не оставляет сомнений: это Google Analytics — тот же счётчик и тот же формат данных, что у Google, лишь пропущенные через собственный домен сайта (физически — серверы Microsoft Azure). Это распространённый приём: аналитику Google заворачивают на свой адрес, чтобы она выглядела как «первая сторона» — так она обходит блокировщики и ограничения браузеров и перестаёт «выглядеть» как передача данных Google.

Эффект двойной. Технический — данные всё равно попадают в Google. И юридический — о нём ниже.

Аналитика ушла до согласия, при разрешении, включённом по умолчанию

Примерно на 4,6 секунды этот поток отправляет полноценную запись о просмотре страницы. В ней — постоянный идентификатор посетителя (присвоенный в этом же сеансе), адрес и заголовок страницы. А технический сигнал согласия, который сопровождает запрос, показывает: разрешение на рекламу отключено, а вот разрешение на аналитику — включено по умолчанию, до любого выбора пользователя. Следом уходит событие о просмотре акции, а затем — сигналы активности на 11-й, 19-й и 27-й секундах.

Поскольку браузер чистый и cookie согласия нет, единственное непротиворечивое объяснение: разрешение на аналитику стоит «включено» по умолчанию, и Google Analytics собирает данные с первого экрана, не дожидаясь решения.

«Анонимно и технически» — против постоянного идентификатора

Освобождение этой аналитики от согласия политика обосновывает прямо: аналитические cookie она относит к «приравненным к техническим», описывая их как сбор «в анонимной и агрегированной форме», который «не идентифицирует пользователя», — и потому «согласие не требуется». Вся конструкция держится на слове «анонимно».

Замер это слово снимает. Google Analytics передаёт постоянный идентификатор посетителя — устойчивую метку браузера, по которой одного человека отличают от другого (на ней же построен и подсчёт «уникальных пользователей»). Это не анонимные и не агрегированные данные. А раз так — основание «технический cookie, согласие не нужно» под этим конкретным потоком не стоит: для аналитики с постоянным идентификатором, уходящей третьей стороне, требуется согласие.

«За пределы ЕС не передаём» — против Google в США

И вот где маскировка под собственный домен бьёт по самой политике. Документ обещает: для собственных cookie сайта (Italo) передача за пределы ЕС не предусмотрена, а по сторонним — «смотрите таблицу или политику третьей стороны». Поскольку аналитика отдаётся с поддомена самого italotreno.com, она и предъявляется как «собственная» — то есть как раз тот случай, где «передачи за рубеж нет».

Но содержимое этого «собственного» потока — Google Analytics, и его конечный получатель — Google. То есть вид собственного домена создаёт ровно то впечатление, которое политика и закрепляет словами — «это наше, за рубеж не уходит», — тогда как фактически данные о визите идут в Google. Обещание и факт расходятся, и расходятся не случайно, а именно за счёт этой обёртки.

Получатели не названы

Ни cookie-политика сайта, ни основная политика конфиденциальности не называют поимённо ни Google и Google Analytics, ни Didomi, ни Skeepers, ни Akamai. Вместо этого — общие формулы про «третьи стороны, занимающиеся веб-аналитикой, рекламой и соцсетями» и отсылка к «таблице или политике третьей стороны». Из самих документов узнать фактических получателей нельзя.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Отдельную таблицу cookie, на которую ссылается политика, я не проверял по полному тексту — возможно, в ней Google и другие поименованы; фиксирую лишь, что в теле обеих политик их нет. Почему именно разрешение на аналитику оказалось включено — настройка по умолчанию или трактовка аналитики как «технической» — по замеру однозначно сказать нельзя; доказан факт: на чистом браузере без cookie согласия Google Analytics отправил данные с включённым разрешением на аналитику. Поддомен analytics.italotreno.com физически на серверах Microsoft Azure — это промежуточное звено; конечный получатель аналитики — Google, и именно к нему относится вопрос передачи за рубеж. Skeepers сработал раньше всех — это отмечаю как факт очерёдности, не как доказанную передачу профиля. Akamai с его мониторингом и сенсорами — функция производительности и защиты от ботов, защитимая как техническая, хотя сама компания американская и данные уходят до согласия. Замер охватывает главную страницу.

Вывод

Italo выглядит как «хороший ученик»: платформа согласия на месте, рекламные cookie выключены, число сторонних сведено к минимуму. Но основная аналитика — это Google Analytics, завёрнутый на собственный поддомен (физически на серверах Microsoft Azure), который отправляет запись о визите с постоянным идентификатором посетителя ещё до того, как человек что-либо выбрал, при включённом по умолчанию разрешении на аналитику. А политика этот же поток описывает дважды неверно: называет аналитику «анонимной, приравненной к технической» (тогда как она несёт уникальный идентификатор) и обещает, что для собственных cookie сайта передачи за пределы ЕС нет (тогда как это Google, уходящий в США). Главное, что должен вынести читатель: маскировка трекера под собственный домен — это не «приватность по умолчанию», а обратное; она лишь делает стороннюю передачу неотличимой от «своей» на глаз, и ровно на этой неотличимости держатся оба обещания политики, которых замер не подтверждает.