Общественное радио Болгарии (БНР) — 520 запросов, 113 доменов. Полноценная рекламная монетизация: рекламный тег Google (GPT) стартует на +902 мс, ещё до появления баннера согласия (+1826 мс), после чего IP и идентификаторы посетителя расходятся по более чем 100 сторонним рекламным платформам. Согласие в сеансе не собрано: партнёрам уходит пустой плейсхолдер TCF-строки и сигнал gdpr=0, а Google Analytics шлёт данные с флагом «согласие не дано». Cookie-политика при этом заявляет, что рекламные cookies используются только с согласия.
Хронология обращений
Декларация против факта
Тайминги передачи
Google Publisher Tag (GPT). Google, США. Запускается раньше CMP.
Первая синхронизация идентификаторов. Далее — лавина cookie-sync.
Google Analytics G-FDKFTKB3MV. Телеметрия с флагом «согласие не дано».
Зафиксированные трекеры
- Google Ad Manager / GPT (securepubads.g.doubleclick.net) — рекламный тег до баннера согласия
- Google Analytics (region1.google-analytics.com, G-FDKFTKB3MV) — с сигналом denied
- Google Funding Choices (fundingchoicesmessages.google.com) — CMP, появляется после запуска рекламы
- Prebid / header bidding: bidmatic, sparteo, onetag, adtelligent, smilewanted, media.net, creativecdn и др.
- RTB/DSP/SSP и cookie-sync: Criteo, Rubicon (Magnite), PubMatic, OpenX, Xandr, Index Exchange, Teads, Outbrain, Adform, Smart/Equativ, 33Across, ID5, InMobi, TripleLift, Sharethrough, RTB House, Smaato, LoopMe, Eskimi, BidSwitch, Opera Ads и десятки других
- Temu (temu.com) — рекламодатель
Признаки несоответствия GDPR
- GDPR Art. 6 + ePrivacy — обработка рекламных cookie и передача данных без согласияCookie-политика БНР прямо заявляет, что рекламные и таргетинговые cookies используются только с согласия посетителя. В замере же рекламная машина отрабатывает без собранного согласия: рекламный тег Google (GPT, securepubads.g.doubleclick.net/tag/js/gpt.js) загружается на +902 мс, ещё до появления баннера CMP (Google Funding Choices, +1826 мс), а следом стартует аукцион и синхронизация идентификаторов с более чем 100 сторонними доменами. TCF-строка согласия партнёрам не передаётся — вместо неё уходит неподставленный плейсхолдер gdpr_consent={gdpr_consent}, а в 177 запросах передаётся gdpr=0 (сигнал «GDPR не применяется»). Google Analytics (G-FDKFTKB3MV) при этом отправляет телеметрию с сигналом gcs=G100 (согласие не дано).
- GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и трансграничная передачаIP-адрес и идентификаторы посетителя до какого-либо согласия расходятся по более чем 100 сторонним рекламным получателям, включая Google (США) и крупные RTB-платформы. Политика называет лишь Google DoubleClick for Publishers и обобщённо «рекламодателей и рекламные сети»; поимённый список из десятков получателей (Criteo, Rubicon, PubMatic, OpenX, Xandr, Teads, Outbrain, Adform, 33Across, ID5, InMobi и др.) не раскрыт. Значительная часть этих компаний находится в США.
Контекст
bnr.bg — сайт Болгарского национального радио (Българско национално радио, БНР), общественного вещателя страны, одного из трёх общественных медиа Болгарии наряду с национальным телевидением и телеграфным агентством. Ответственный за обработку — БНР. Сайт построен на Next.js. У вещателя есть политика конфиденциальности и отдельная политика о cookie. Замер: 520 запросов, 113 доменов, снят на чистом браузере.
Кому уходят данные напрямую (до согласия)
Google (США) — рекламный тег GPT, Google Analytics, Funding Choices. Criteo, Rubicon (Magnite), PubMatic, OpenX, Xandr, Index Exchange, Teads, Outbrain, Adform, Smart/Equativ, Media.net, 33Across, ID5, InMobi, TripleLift, Sharethrough, RTB House, Smaato, LoopMe, Eskimi, BidSwitch, Opera Ads, Temu — IP и идентификаторы через рекламный аукцион и cookie-sync (всего более 100 сторонних доменов).
Заявленное против фактического
Cookie-политика БНР формулирует прямо: cookies для рекламы и таргетинга регистрируют посещение и используются для показа персонализированной рекламы, а для их использования необходимо согласие посетителя. Политика конфиденциальности это подтверждает: обработка через cookies основывается на согласии, выраженном на сайте. Из конкретных получателей политика называет по имени лишь платформу Google DoubleClick for Publishers, а остальных описывает обобщённо — «рекламодатели и рекламные сети».
Замер показывает принципиально иную картину. Рекламная монетизация запускается практически сразу и без оглядки на согласие. На +902 мс, сразу после загрузки бандла Next.js, стартует рекламный тег Google Publisher Tag (securepubads.g.doubleclick.net/tag/js/gpt.js) и prebid-обёртка bidmatic. Баннер согласия — Google Funding Choices — появляется только на +1826 мс, то есть рекламный тег Google отрабатывает раньше, чем посетитель вообще видит запрос на согласие.
Далее разворачивается полноценный рекламный аукцион и синхронизация идентификаторов: IP-адрес и идентификаторы посетителя расходятся по более чем 100 сторонним доменам — это крупнейшие RTB-, DSP- и SSP-платформы (Criteo, Rubicon, PubMatic, OpenX, Xandr, Index Exchange, Teads, Outbrain, Adform, Smart/Equativ, Media.net, 33Across, ID5, InMobi, TripleLift, RTB House и десятки других). Синхронизация идёт цепочками редиректов — в замере их 91.
Ключевое: согласие в сеансе не собрано, и это видно по самим запросам. В обращениях к партнёрам TCF-строка согласия не подставлена — уходит неизменённый программный плейсхолдер gdpr_consent={gdpr_consent}. В 177 запросах передаётся gdpr=0, то есть партнёрам сигналят, что GDPR к обработке не применяется. Google Analytics (идентификатор G-FDKFTKB3MV) отправляет телеметрию с сигналом gcs=G100, что соответствует состоянию «согласие не дано». Иными словами, механизм согласия на сайте присутствует в виде баннера, но фактическая передача данных рекламным партнёрам от него не зависит и происходит независимо от выбора пользователя.
Тайминг относительно согласия
Рекламный тег Google загружается на +902 мс, баннер согласия — только на +1826 мс. Синхронизация идентификаторов начинается с +2959 мс и продолжается волной до конца загрузки. Всё это происходит при несобранном согласии: плейсхолдер TCF-строки не заполнен, передаётся gdpr=0, Google Analytics помечает данные как отправленные без согласия. То есть от появления баннера до фактической передачи данных сотне партнёров реальной паузы для выбора пользователя нет — данные уходят вне зависимости от согласия.
Чего по замеру утверждать нельзя
Замер охватывает главную страницу в состоянии до согласия. Set-Cookie в снятых заголовках отсутствует — синхронизация идентификаторов в этом замере видна через цепочки редиректов и параметры запросов, а не через заголовки Set-Cookie. Многие рекламные компании используют edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (в значительной части — компании США), а не о физическом местоположении узлов. Поведение после нажатия «принять» или «отклонить» в данном сеансе не наблюдается; замер фиксирует состояние до выбора. Обработка на стороне сервера в браузерном замере не видна.
Вывод
Сайт общественного радио Болгарии запускает полноценную рекламную монетизацию до того, как посетитель может дать согласие: рекламный тег Google стартует раньше баннера, а затем IP-адрес и идентификаторы посетителя расходятся по более чем 100 сторонним рекламным платформам. При этом согласие фактически не собрано — партнёрам уходит пустой плейсхолдер TCF-строки и сигнал gdpr=0, а Google Analytics помечает данные как отправленные без согласия. Cookie-политика БНР прямо заявляет обратное: рекламные и таргетинговые cookies используются только с согласия. Расхождение между заявленным и фактическим здесь принципиальное, а не техническое: механизм согласия присутствует как баннер, но не управляет реальной передачей данных. Для общественного вещателя, финансируемого публично, передача данных аудитории сотне рекламных получателей без собранного согласия и без раскрытия поимённого списка получателей указывает на несоблюдение требований о правовом основании обработки, о раскрытии получателей и о трансграничной передаче.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
c29d5e67dd7ce11fd97b21bf7daeb3225309476cb0e658d96e8da4262cbf40a5Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — bnr.bg
Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]
Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта bnr.bg.
1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:
1) Cookie-политика БНР прямо заявляет, что рекламные и таргетинговые cookies используются только с согласия посетителя. В замере же рекламная машина отрабатывает без собранного согласия: рекламный тег Google (GPT, securepubads.g.doubleclick.net/tag/js/gpt.js) загружается на +902 мс, ещё до появления баннера CMP (Google Funding Choices, +1826 мс), а следом стартует аукцион и синхронизация идентификаторов с более чем 100 сторонними доменами. TCF-строка согласия партнёрам не передаётся — вместо неё уходит неподставленный плейсхолдер gdpr_consent={gdpr_consent}, а в 177 запросах передаётся gdpr=0 (сигнал «GDPR не применяется»). Google Analytics (G-FDKFTKB3MV) при этом отправляет телеметрию с сигналом gcs=G100 (согласие не дано).
2) IP-адрес и идентификаторы посетителя до какого-либо согласия расходятся по более чем 100 сторонним рекламным получателям, включая Google (США) и крупные RTB-платформы. Политика называет лишь Google DoubleClick for Publishers и обобщённо «рекламодателей и рекламные сети»; поимённый список из десятков получателей (Criteo, Rubicon, PubMatic, OpenX, Xandr, Teads, Outbrain, Adform, 33Across, ID5, InMobi и др.) не раскрыт. Значительная часть этих компаний находится в США.
2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/bg-bnr-bg/
3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.
С уважением,
[Ваше имя]
[контактный email]
[Страна]
[Дата]Subject: Data access request (GDPR Art. 15) — bnr.bg
To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]
I request access to my personal data processed in connection with the website bnr.bg.
1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:
1) BNR's Cookie Policy states directly that advertising and targeting cookies are used only with the visitor's consent. The capture, however, shows the advertising machinery operating without consent having been collected: the Google advertising tag (GPT, securepubads.g.doubleclick.net/tag/js/gpt.js) loads at +902 ms, before the CMP banner (Google Funding Choices, +1826 ms) even appears, after which an auction and identifier synchronization begin with more than 100 third-party domains. No TCF consent string is passed to partners — instead, an unsubstituted placeholder, gdpr_consent={gdpr_consent}, is sent, and 177 requests carry gdpr=0 (a signal that 'GDPR does not apply'). Google Analytics (G-FDKFTKB3MV) meanwhile transmits telemetry with the signal gcs=G100 (consent not given).
2) The visitor's IP address and identifiers are dispersed to more than 100 third-party advertising recipients prior to any consent, including Google (USA) and major RTB platforms. The policy names only Google DoubleClick for Publishers and refers generically to 'advertisers and advertising networks'; a named list of the dozens of recipients (Criteo, Rubicon, PubMatic, OpenX, Xandr, Teads, Outbrain, Adform, 33Across, ID5, InMobi, and others) is not disclosed. A significant proportion of these companies are located in the USA.
2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/bg-bnr-bg/
3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.
Sincerely,
[Your name]
[contact email]
[Country]
[Date]RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: CPDP — Комиссия по защите персональных данных — подать жалобу онлайн →
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — bnr.bg
1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом bnr.bg.
2. Обстоятельства
Я посетил сайт bnr.bg и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:
1) Cookie-политика БНР прямо заявляет, что рекламные и таргетинговые cookies используются только с согласия посетителя. В замере же рекламная машина отрабатывает без собранного согласия: рекламный тег Google (GPT, securepubads.g.doubleclick.net/tag/js/gpt.js) загружается на +902 мс, ещё до появления баннера CMP (Google Funding Choices, +1826 мс), а следом стартует аукцион и синхронизация идентификаторов с более чем 100 сторонними доменами. TCF-строка согласия партнёрам не передаётся — вместо неё уходит неподставленный плейсхолдер gdpr_consent={gdpr_consent}, а в 177 запросах передаётся gdpr=0 (сигнал «GDPR не применяется»). Google Analytics (G-FDKFTKB3MV) при этом отправляет телеметрию с сигналом gcs=G100 (согласие не дано).
2) IP-адрес и идентификаторы посетителя до какого-либо согласия расходятся по более чем 100 сторонним рекламным получателям, включая Google (США) и крупные RTB-платформы. Политика называет лишь Google DoubleClick for Publishers и обобщённо «рекламодателей и рекламные сети»; поимённый список из десятков получателей (Criteo, Rubicon, PubMatic, OpenX, Xandr, Teads, Outbrain, Adform, 33Across, ID5, InMobi и др.) не раскрыт. Значительная часть этих компаний находится в США.
Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/bg-bnr-bg/
3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 6 + ePrivacy — обработка рекламных cookie и передача данных без согласия; GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и трансграничная передача
4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.
5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.
С уважением,
[Ваше имя]
[контактный email]
[Страна]
[Дата]Subject: Complaint regarding personal data processing — bnr.bg
1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website bnr.bg.
2. Circumstances
I visited the website bnr.bg and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 29 May 2026 (open methodology, reproducible measurements) documents the following indications:
1) BNR's Cookie Policy states directly that advertising and targeting cookies are used only with the visitor's consent. The capture, however, shows the advertising machinery operating without consent having been collected: the Google advertising tag (GPT, securepubads.g.doubleclick.net/tag/js/gpt.js) loads at +902 ms, before the CMP banner (Google Funding Choices, +1826 ms) even appears, after which an auction and identifier synchronization begin with more than 100 third-party domains. No TCF consent string is passed to partners — instead, an unsubstituted placeholder, gdpr_consent={gdpr_consent}, is sent, and 177 requests carry gdpr=0 (a signal that 'GDPR does not apply'). Google Analytics (G-FDKFTKB3MV) meanwhile transmits telemetry with the signal gcs=G100 (consent not given).
2) The visitor's IP address and identifiers are dispersed to more than 100 third-party advertising recipients prior to any consent, including Google (USA) and major RTB platforms. The policy names only Google DoubleClick for Publishers and refers generically to 'advertisers and advertising networks'; a named list of the dozens of recipients (Criteo, Rubicon, PubMatic, OpenX, Xandr, Teads, Outbrain, Adform, 33Across, ID5, InMobi, and others) is not disclosed. A significant proportion of these companies are located in the USA.
Full technical documentation is published at: https://gdpru.eu/audits/bg-bnr-bg/
3. GDPR provisions I ask you to examine
GDPR Art. 6 + ePrivacy — processing of advertising cookies and data transfer without consent; GDPR Art. 13(1)(e) + Chapter V — disclosure of recipients and cross-border transfer
4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.
5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.
Sincerely,
[Your name]
[contact email]
[Country]
[Date]