Технический аудит · 29.05.2026

ced.bg

Комиссия по защите от дискриминации Болгарии

Политика изменена — посмотреть, что именно · 2026-07-11 →

Комиссия по защите от дискриминации Болгарии — 85 запросов, 12 доменов. До согласия и без consent-менеджера работают Google Analytics (сразу Universal и GA4), встроенный Facebook Page-плагин, виджет AddThis и Google Fonts. IP посетителя уходит в Google и Meta (США).

Хронология обращений

+794 мс · шрифты и шеринг

fonts.googleapis.com (Google Fonts) и s7.addthis.com (виджет шеринга AddThis).

+874 мс · Universal Analytics

www.google-analytics.com/analytics.js — устаревший Universal Analytics (UA-402758-1).

+908 мс · Facebook Page-плагин

www.facebook.com/plugins/page.php?href=…/cedbgsofia — встроенная лента Facebook. IP уходит в Meta (США).

+1119–1485 мс · GA4 до согласия

GTM подгружает GA4 (G-BK73G0WE89), который отправляет page_view на region1.google-analytics.com.

+1695–3131 мс · ресурсы Facebook

static.xx.fbcdn.net и scontent.*.fbcdn.net — загрузка ресурсов и изображений ленты Facebook (более 25 обращений).

Декларация против факта

✓ Политика в комплекте не предоставлена; на сайте присутствует раздел «Поверителност и бисквитки» — заявлен

+ Google Analytics (UA-402758-1 и GA4), Facebook Page-плагин, AddThis, Google Fonts — до согласия, IP в Google и Meta (США) — не заявлен

+ Consent-менеджер отсутствует — не заявлен

Тайминги передачи

+908 мс www.facebook.com

Facebook Page-плагин (cedbgsofia). Meta, США.

+1069 мс www.google-analytics.com

Universal Analytics hit (UA-402758-1). Google, США.

+1485 мс region1.google-analytics.com

GA4 page_view (G-BK73G0WE89). Google, США.

+800 мс s7.addthis.com

AddThis — виджет шеринга с трекингом.

Зафиксированные трекеры

Google Analytics (Universal UA-402758-1 + GA4 G-BK73G0WE89) + GTM
Facebook Page-плагин (www.facebook.com, fbcdn.net)
AddThis (s7.addthis.com)
Google Fonts (fonts.googleapis.com, fonts.gstatic.com)

Признаки несоответствия GDPR

ePrivacy (болгарская имплементация) + GDPR Art. 6(1) — трекеры до согласия
Consent-менеджер на сайте отсутствует. До согласия срабатывают сразу две версии Google Analytics — устаревший Universal Analytics (UA-402758-1, hit на +1069 мс) и GA4 (G-BK73G0WE89, событие page_view на +1485 мс), — а также встроенный Facebook Page-плагин (plugins/page.php для страницы cedbgsofia, +908 мс, с 25+ обращениями к fbcdn.net), виджет шеринга AddThis (s7.addthis.com) и Google Fonts. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.
GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача
IP посетителя и данные о просмотре передаются в Google (США, GA обеих версий и шрифты) и в Meta (США, Facebook-плагин) до согласия. В комплекте политика не предоставлена; на сайте присутствует раздел «Поверителност и бисквитки», однако раскрытие в нём конкретных сервисов в рамках сверки не подтверждено.

Контекст

ced.bg — сайт Комиссии по защите от дискриминации (Комисия за защита от дискриминация, КЗД) Болгарии, национального органа по равенству и квазисудебного административного органа, рассматривающего случаи дискриминации. Ответственный за обработку — КЗД. Политика конфиденциальности в комплекте не предоставлена; на сайте присутствует раздел «Поверителност и бисквитки». Замер: 85 запросов, 12 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — Google Analytics обеих версий и шрифты; Meta (США) — встроенный Facebook Page-плагин.

Заявленное против фактического

Отдельная политика в рамках аудита не предоставлена, на сайте есть раздел о конфиденциальности и cookie; поскольку его текст в сверке не участвовал, оценка проводится по замеру.

Замер показывает развёрнутый набор сторонних сервисов, срабатывающих до согласия при полном отсутствии consent-менеджера. Google Analytics присутствует сразу в двух версиях: устаревший Universal Analytics (UA-402758-1) отправляет hit на +1069 мс, а GA4 (G-BK73G0WE89) — событие page_view на +1485 мс. На +908 мс загружается встроенный Facebook Page-плагин, отображающий ленту официальной страницы КЗД (cedbgsofia); за ним следует более двадцати пяти обращений к доменам fbcdn.net за ресурсами и изображениями ленты. Эти обращения передают IP-адрес посетителя в Meta (США). Дополнительно работают виджет шеринга AddThis (s7.addthis.com) и Google Fonts. Состояние сеанса — без согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан.

Таким образом реклама и аналитика двух поколений, социальный плагин и виджет шеринга передают данные в Google и Meta до согласия и без механизма согласия. Наличие тега устаревшего Universal Analytics, прекращённого Google в 2023 году, указывает на давнюю и не пересматривавшуюся настройку.

Тайминг относительно согласия

Первые сторонние обращения (шрифты, AddThis) идут на +794–800 мс, Universal Analytics — на +1069 мс, Facebook-плагин — на +908 мс, GA4 — на +1485 мс. Механизм согласия отсутствует; передача данных в Google и Meta происходит до и вне какого-либо выбора пользователя (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Идентификаторы посетителя не публикуются. Universal Analytics в 2026 году штатно данные не собирает, однако его тег загружается и обращается к серверам Google. Facebook Page-плагин отображает публичную ленту; объём передаваемых им данных о посетителе замер детально не раскрывает, но факт обращения к Meta зафиксирован. Раздел «Поверителность и бисквитки» сайта в сверке не участвовал. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт Комиссии по защите от дискриминации до согласия и без consent-менеджера запускает Google Analytics сразу двух версий, встроенный Facebook Page-плагин, виджет шеринга AddThis и Google Fonts, передавая IP посетителя в Google и Meta (США). Для национального органа по равенству, наделённого квазисудебными полномочиями, срабатывание рекламных, аналитических и социальных сервисов до согласия и передача данных получателям в США указывают на несоблюдение требований о предварительном согласии, о раскрытии получателей и о трансграничной передаче. Устранение: внедрить consent-менеджер, удерживающий все нетехнические сервисы до согласия; удалить устаревший Universal Analytics; заменить встроенный Facebook-плагин на статическую ссылку и убрать AddThis; разместить шрифты локально; раскрыть используемые сервисы в политике cookie.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: bg/ced-bg-2026-05-29.har

SHA-256: e63e9f7290feec0ed50025e45af4d99bf52870175c8ec7ae7735a8df9b80c8a0

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — ced.bg

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта ced.bg.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Consent-менеджер на сайте отсутствует. До согласия срабатывают сразу две версии Google Analytics — устаревший Universal Analytics (UA-402758-1, hit на +1069 мс) и GA4 (G-BK73G0WE89, событие page_view на +1485 мс), — а также встроенный Facebook Page-плагин (plugins/page.php для страницы cedbgsofia, +908 мс, с 25+ обращениями к fbcdn.net), виджет шеринга AddThis (s7.addthis.com) и Google Fonts. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.

2) IP посетителя и данные о просмотре передаются в Google (США, GA обеих версий и шрифты) и в Meta (США, Facebook-плагин) до согласия. В комплекте политика не предоставлена; на сайте присутствует раздел «Поверителност и бисквитки», однако раскрытие в нём конкретных сервисов в рамках сверки не подтверждено.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/bg-ced-bg/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — ced.bg

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website ced.bg.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) No consent management platform is present on the site. Prior to consent, two versions of Google Analytics fire simultaneously — the deprecated Universal Analytics (UA-402758-1, a hit at +1069 ms) and GA4 (G-BK73G0WE89, a page_view event at +1485 ms) — along with an embedded Facebook Page plugin (plugins/page.php for the cedbgsofia page, +908 ms, with 25+ calls to fbcdn.net), the AddThis sharing widget (s7.addthis.com), and Google Fonts. Set-Cookie across the entire session is zero; no choice has been made by the user.

2) The visitor's IP address and viewing data are transmitted to Google (USA, both versions of GA and fonts) and to Meta (USA, Facebook plugin) prior to consent. No policy was provided as part of this package; the site does contain a 'Privacy and Cookies' section, but disclosure of specific services within it has not been confirmed as part of this review.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/bg-ced-bg/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: CPDP — Комиссия по защите персональных данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — ced.bg

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом ced.bg.

2. Обстоятельства
Я посетил сайт ced.bg и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Consent-менеджер на сайте отсутствует. До согласия срабатывают сразу две версии Google Analytics — устаревший Universal Analytics (UA-402758-1, hit на +1069 мс) и GA4 (G-BK73G0WE89, событие page_view на +1485 мс), — а также встроенный Facebook Page-плагин (plugins/page.php для страницы cedbgsofia, +908 мс, с 25+ обращениями к fbcdn.net), виджет шеринга AddThis (s7.addthis.com) и Google Fonts. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.

2) IP посетителя и данные о просмотре передаются в Google (США, GA обеих версий и шрифты) и в Meta (США, Facebook-плагин) до согласия. В комплекте политика не предоставлена; на сайте присутствует раздел «Поверителност и бисквитки», однако раскрытие в нём конкретных сервисов в рамках сверки не подтверждено.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/bg-ced-bg/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy (болгарская имплементация) + GDPR Art. 6(1) — трекеры до согласия; GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — ced.bg

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website ced.bg.

2. Circumstances
I visited the website ced.bg and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 29 May 2026 (open methodology, reproducible measurements) documents the following indications:

1) No consent management platform is present on the site. Prior to consent, two versions of Google Analytics fire simultaneously — the deprecated Universal Analytics (UA-402758-1, a hit at +1069 ms) and GA4 (G-BK73G0WE89, a page_view event at +1485 ms) — along with an embedded Facebook Page plugin (plugins/page.php for the cedbgsofia page, +908 ms, with 25+ calls to fbcdn.net), the AddThis sharing widget (s7.addthis.com), and Google Fonts. Set-Cookie across the entire session is zero; no choice has been made by the user.

2) The visitor's IP address and viewing data are transmitted to Google (USA, both versions of GA and fonts) and to Meta (USA, Facebook plugin) prior to consent. No policy was provided as part of this package; the site does contain a 'Privacy and Cookies' section, but disclosure of specific services within it has not been confirmed as part of this review.

Full technical documentation is published at: https://gdpru.eu/audits/bg-ced-bg/

3. GDPR provisions I ask you to examine
ePrivacy (Bulgarian implementation) + GDPR Art. 6(1) — trackers prior to consent; GDPR Art. 13(1)(e) + Chapter V — disclosure of recipients and transfer

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]