www.bis.org

Контекст

www.bis.org — сайт Банка международных расчётов, международной организации, координирующей центральные банки, со штаб-квартирой в Базеле. У организации особый статус: она работает под собственным внутренним регламентом защиты персональных данных и пользуется иммунитетами, то есть напрямую под европейский регламент или швейцарский закон не подпадает. В замере 41 обращение к трём доменам. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.

Из-за особого правового статуса я оцениваю этот сайт не по конкретным статьям регламента, а по принципу прозрачности, который организация сама декларирует. И по нему есть к чему присмотреться.

Кто получает данные

Тут был замечен: InnoCraft (Matomo Cloud).

Был ли баннер согласия

Уведомления о согласии на странице нет. Аналитика и запись сессий отрабатывают сразу, независимо от какого-либо выбора пользователя.

Облачный Matomo — данные уходят внешнему процессору

Здесь главное отличие от государственных сайтов итальянской части серии. Там Matomo обычно размещался на собственной или государственной инфраструктуре — данные «оставались в доме». А тут используется облачный Matomo: библиотека грузится с облачного CDN, а замеры уходят на облачный поддомен, которым управляет внешняя компания — оператор сервиса. То есть данные посетителя передаются стороннему процессору за пределами организации. Правовой статус от этого меняется: это уже не внутренняя обработка, а передача внешнему поставщику.

Запись сессий — снова, но в облаке

Помимо обычного замера активен модуль записи сессий — тот самый, что многократно встречался в итальянской части серии. Но здесь он работает не на государственной инфраструктуре, а в коммерческом облаке. Это значит, что запись поведения посетителя — куда он смотрит, как перемещается по странице — уходит внешнему процессору наравне с обычной статистикой. На фоне итальянских госсайтов, где та же запись хотя бы оставалась внутри государственной инфраструктуры, здесь измерение поведения покидает организацию.

Документ и юрисдикция

Privacy Notice у BIS лаконичный. О сборе онлайн-данных он говорит одной общей фразой — упоминает cookie и IP-адрес, — без отдельного раздела о cookie и без названия инструмента. Передачу третьим лицам он описывает обобщённо: организация делится данными с поставщиками и сервис-провайдерами при условии «эквивалентного уровня защиты». Это в принципе покрывает облачного процессора, но не называет его — как не называет и саму запись сессий. Для организации, которая сама обязалась держать стандарт «эквивалентный» лучшим практикам, минимум прозрачности — назвать, кто обрабатывает данные посетителей и что именно записывается.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Об активности записи сессий я сужу по успешному ответу её модуля; содержимое записи в замере не видно. Общая оговорка политики об «эквивалентной защите» формально покрывает использование внешнего процессора, поэтому речь о прозрачности — кто и что, — а не о запрете как таковом. BIS не подпадает напрямую под европейский регламент, и я это учитываю. Идентификатор посетителя виден прямо в замере. Замер охватывает главную страницу.

Вывод

Банк международных расчётов использует облачный Matomo с активной записью сессий, и данные посетителя — включая запись его поведения — уходят внешнему коммерческому процессору за пределы организации. Privacy Notice при этом упоминает cookie одной общей фразой и не называет ни процессора, ни самой записи сессий. Любопытен контраст с итальянской частью серии: модуль записи сессий тот же самый, но там он оставался внутри государственной инфраструктуры, а здесь выходит в коммерческое облако. BIS не связан европейским регламентом напрямую — он живёт по собственному стандарту, — но именно этот стандарт и предполагает, что посетителю стоит назвать, кто за его данными стоит. Главное, что должен вынести читатель: один и тот же технический приём приватнее или рискованнее в зависимости от того, куда уходят данные, — и здесь они уходят дальше, чем у государственных сайтов из той же серии.