RU EN
www.
Технический аудит · 29.05.2026

bnt.bg

Болгарское национальное телевидение
BG

Болгарское национальное телевидение — 307 запросов, 26 доменов. До согласия запускается издательский рекламный стек Google (Ad Manager, AdSense), GA4, запись сессий Microsoft Clarity и Meta Pixel. Инструмент согласия Google Funding Choices загружается уже после рекламы. Данные уходят в Google, Meta и Microsoft (США).

Хронология обращений

+3446 мс · рекламный стек и GA-тег
securepubads.g.doubleclick.net (Google Ad Manager, gpt.js), pagead2.googlesyndication.com (AdSense) и тег GA4 (G-XG1L8ND8YV) — запускаются одновременно.
+4493 мс · инструмент согласия (с опозданием)
fundingchoicesmessages.google.com — Google Funding Choices загружается уже после старта рекламного стека.
состояние сеанса — без согласия
Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.
+5723–6191 мс · GA4, Clarity, Meta до согласия
region1.analytics.google.com (GA4 page_view), www.clarity.ms и y.clarity.ms/collect (запись сессий), connect.facebook.net и facebook.com/tr (Meta Pixel PageView).
+4768–6499 мс · встроенный плеер
widget.sndcdn.com, api-widget.soundcloud.com и связанные домены — встроенный аудиоплеер SoundCloud.

Декларация против факта

✓ Политика упоминает бисквитки (cookie) и согласие обобщённо — заявлен
✓ Конкретные сервисы (Google Ad Manager, AdSense, GA4, Clarity, Meta, SoundCloud) не названы — заявлен
+ Google Ad Manager, AdSense, GA4, DoubleClick — рекламный стек до согласия, IP в Google (США) — не заявлен
+ Microsoft Clarity — запись сессий до согласия, не названа — не заявлен
+ Meta Pixel, LinkedIn, SoundCloud — до согласия, не названы — не заявлен
+ Google Funding Choices загружается после старта рекламы — не заявлен

Тайминги передачи

+3446 мс securepubads.g.doubleclick.net

Google Ad Manager (gpt.js). Google, США.

+5723 мс region1.analytics.google.com

GA4 page_view (G-XG1L8ND8YV). Google, США.

+5851 мс www.clarity.ms

Microsoft Clarity — запись сессий. США.

+6191 мс www.facebook.com

Meta Pixel PageView (752207755627662). США.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

bnt.bg — сайт Болгарского национального телевидения (Българска национална телевизия, БНТ), общественного вещателя страны. Ответственный за обработку — БНТ. Предоставлена политика защиты персональных данных БНТ (около 36 500 символов) и дополнительный документ. Замер: 307 запросов, 26 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — реклама Ad Manager и AdSense, GA4, DoubleClick; Meta (США) — Pixel; Microsoft (США) — Clarity.

Заявленное против фактического

Политика БНТ упоминает использование бисквиток (cookie) и согласие в общих формулировках (термин «съгласие» встречается многократно), но конкретных сервисов измерения, рекламы или записи сессий не называет.

Замер показывает развёрнутый издательский стек, срабатывающий до согласия. На +3446 мс одновременно запускаются Google Ad Manager (тег gpt.js с securepubads.g.doubleclick.net) и AdSense (adsbygoogle с pagead2.googlesyndication.com), а также тег GA4 (G-XG1L8ND8YV). Инструмент управления согласием — Google Funding Choices (fundingchoicesmessages.google.com) — загружается лишь на +4493 мс, то есть уже после старта рекламного стека, и потому не предшествует ему. Далее до согласия срабатывают: GA4 с событием page_view (+5723 мс), Microsoft Clarity, записывающий поведение пользователя (тег и повторяющиеся обращения y.clarity.ms/collect), Meta Pixel (идентификатор 752207755627662, событие PageView на +6191 мс), LinkedIn, а также встроенный аудиоплеер SoundCloud с набором своих доменов. Состояние сеанса — без согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан.

Таким образом реклама, аналитика, запись сессий и социальные пиксели передают данные в Google, Meta и Microsoft (все — США) до согласия, а сами сервисы в политике не раскрыты. Порядок загрузки, при котором инструмент согласия появляется позже рекламы, означает, что согласие технически не могло предшествовать монетизации.

Тайминг относительно согласия

Рекламный стек стартует на +3446 мс, инструмент согласия Google Funding Choices — на +4493 мс, событие GA4 и Meta Pixel — на +5723–6191 мс, обращения записи сессий Clarity продолжаются до +14585 мс. Согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Идентификатор клиента GA4 в публикации полностью не приводится. Google Ad Manager в отсутствие согласия может показывать неперсонализированную рекламу, однако теги загружаются и обращаются к серверам Google; факт передачи данных зафиксирован. Второй предоставленный документ (в формате .doc) в рамках сверки текстово не раскрывается. Получатели могут использовать edge-узлы в ЕС, поэтому вывод сделан об их принадлежности. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт Болгарского национального телевидения до согласия запускает издательский рекламный стек Google (Ad Manager, AdSense, DoubleClick), аналитику GA4, запись сессий Microsoft Clarity, Meta Pixel и встроенный плеер SoundCloud, передавая данные получателям в США. Инструмент согласия Google Funding Choices загружается уже после старта рекламы и её не удерживает, а ни один из сервисов в политике не назван. Срабатывание рекламы, аналитики и записи сессий до согласия и передача данных в США указывают на несоблюдение требований о предварительном согласии, о раскрытии получателей и о трансграничной передаче. Устранение: обеспечить, чтобы инструмент согласия загружался первым и действительно удерживал рекламный стек, GA4, Clarity, Meta Pixel и встроенные плееры до выбора пользователя; раскрыть все фактически используемые сервисы в политике.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: bg/bnt-bg-2026-05-29.har
SHA-256: 3a8362b772c1d1897f33a474a43acad04f7f66424c0ee80d2b9dfb532fee2a76
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — bnt.bg

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта bnt.bg.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Издательский рекламный стек Google запускается на +3446 мс: Google Ad Manager (gpt.js) и AdSense (adsbygoogle), одновременно загружается тег GA4 (G-XG1L8ND8YV). Инструмент согласия Google Funding Choices загружается только на +4493 мс — уже после старта рекламы. Далее до согласия срабатывают GA4 (событие page_view на +5723 мс), Microsoft Clarity (запись сессий, y.clarity.ms/collect), Meta Pixel (752207755627662, PageView на +6191 мс), LinkedIn и встроенный SoundCloud-плеер. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.

2) IP посетителя и данные о просмотре передаются в Google (реклама, GA4, DoubleClick), Meta (Pixel) и Microsoft (Clarity) — все получатели в США — до согласия. Политика БНТ упоминает бисквитки и согласие обобщённо, но ни Google Ad Manager, ни AdSense, ни GA4, ни Clarity, ни Meta, ни SoundCloud по имени не называет.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/bg-bnt-bg/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: CPDP — Комиссия по защите персональных данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — bnt.bg

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом bnt.bg.

2. Обстоятельства
Я посетил сайт bnt.bg и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Издательский рекламный стек Google запускается на +3446 мс: Google Ad Manager (gpt.js) и AdSense (adsbygoogle), одновременно загружается тег GA4 (G-XG1L8ND8YV). Инструмент согласия Google Funding Choices загружается только на +4493 мс — уже после старта рекламы. Далее до согласия срабатывают GA4 (событие page_view на +5723 мс), Microsoft Clarity (запись сессий, y.clarity.ms/collect), Meta Pixel (752207755627662, PageView на +6191 мс), LinkedIn и встроенный SoundCloud-плеер. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.

2) IP посетителя и данные о просмотре передаются в Google (реклама, GA4, DoubleClick), Meta (Pixel) и Microsoft (Clarity) — все получатели в США — до согласия. Политика БНТ упоминает бисквитки и согласие обобщённо, но ни Google Ad Manager, ни AdSense, ни GA4, ни Clarity, ни Meta, ни SoundCloud по имени не называет.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/bg-bnt-bg/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy (болгарская имплементация) + GDPR Art. 6(1) — трекеры до согласия; GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]