bnr.bg

Контекст

bnr.bg — сайт Болгарского национального радио (Българско национално радио, БНР), общественного вещателя страны, одного из трёх общественных медиа Болгарии наряду с национальным телевидением и телеграфным агентством. Ответственный за обработку — БНР. Сайт построен на Next.js. У вещателя есть политика конфиденциальности и отдельная политика о cookie. Замер: 520 запросов, 113 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — рекламный тег GPT, Google Analytics, Funding Choices. Criteo, Rubicon (Magnite), PubMatic, OpenX, Xandr, Index Exchange, Teads, Outbrain, Adform, Smart/Equativ, Media.net, 33Across, ID5, InMobi, TripleLift, Sharethrough, RTB House, Smaato, LoopMe, Eskimi, BidSwitch, Opera Ads, Temu — IP и идентификаторы через рекламный аукцион и cookie-sync (всего более 100 сторонних доменов).

Заявленное против фактического

Cookie-политика БНР формулирует прямо: cookies для рекламы и таргетинга регистрируют посещение и используются для показа персонализированной рекламы, а для их использования необходимо согласие посетителя. Политика конфиденциальности это подтверждает: обработка через cookies основывается на согласии, выраженном на сайте. Из конкретных получателей политика называет по имени лишь платформу Google DoubleClick for Publishers, а остальных описывает обобщённо — «рекламодатели и рекламные сети».

Замер показывает принципиально иную картину. Рекламная монетизация запускается практически сразу и без оглядки на согласие. На +902 мс, сразу после загрузки бандла Next.js, стартует рекламный тег Google Publisher Tag (securepubads.g.doubleclick.net/tag/js/gpt.js) и prebid-обёртка bidmatic. Баннер согласия — Google Funding Choices — появляется только на +1826 мс, то есть рекламный тег Google отрабатывает раньше, чем посетитель вообще видит запрос на согласие.

Далее разворачивается полноценный рекламный аукцион и синхронизация идентификаторов: IP-адрес и идентификаторы посетителя расходятся по более чем 100 сторонним доменам — это крупнейшие RTB-, DSP- и SSP-платформы (Criteo, Rubicon, PubMatic, OpenX, Xandr, Index Exchange, Teads, Outbrain, Adform, Smart/Equativ, Media.net, 33Across, ID5, InMobi, TripleLift, RTB House и десятки других). Синхронизация идёт цепочками редиректов — в замере их 91.

Ключевое: согласие в сеансе не собрано, и это видно по самим запросам. В обращениях к партнёрам TCF-строка согласия не подставлена — уходит неизменённый программный плейсхолдер gdpr_consent={gdpr_consent}. В 177 запросах передаётся gdpr=0, то есть партнёрам сигналят, что GDPR к обработке не применяется. Google Analytics (идентификатор G-FDKFTKB3MV) отправляет телеметрию с сигналом gcs=G100, что соответствует состоянию «согласие не дано». Иными словами, механизм согласия на сайте присутствует в виде баннера, но фактическая передача данных рекламным партнёрам от него не зависит и происходит независимо от выбора пользователя.

Тайминг относительно согласия

Рекламный тег Google загружается на +902 мс, баннер согласия — только на +1826 мс. Синхронизация идентификаторов начинается с +2959 мс и продолжается волной до конца загрузки. Всё это происходит при несобранном согласии: плейсхолдер TCF-строки не заполнен, передаётся gdpr=0, Google Analytics помечает данные как отправленные без согласия. То есть от появления баннера до фактической передачи данных сотне партнёров реальной паузы для выбора пользователя нет — данные уходят вне зависимости от согласия.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу в состоянии до согласия. Set-Cookie в снятых заголовках отсутствует — синхронизация идентификаторов в этом замере видна через цепочки редиректов и параметры запросов, а не через заголовки Set-Cookie. Многие рекламные компании используют edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (в значительной части — компании США), а не о физическом местоположении узлов. Поведение после нажатия «принять» или «отклонить» в данном сеансе не наблюдается; замер фиксирует состояние до выбора. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт общественного радио Болгарии запускает полноценную рекламную монетизацию до того, как посетитель может дать согласие: рекламный тег Google стартует раньше баннера, а затем IP-адрес и идентификаторы посетителя расходятся по более чем 100 сторонним рекламным платформам. При этом согласие фактически не собрано — партнёрам уходит пустой плейсхолдер TCF-строки и сигнал gdpr=0, а Google Analytics помечает данные как отправленные без согласия. Cookie-политика БНР прямо заявляет обратное: рекламные и таргетинговые cookies используются только с согласия. Расхождение между заявленным и фактическим здесь принципиальное, а не техническое: механизм согласия присутствует как баннер, но не управляет реальной передачей данных. Для общественного вещателя, финансируемого публично, передача данных аудитории сотне рекламных получателей без собранного согласия и без раскрытия поимённого списка получателей составляет нарушение требований о правовом основании обработки, о раскрытии получателей и о трансграничной передаче.