Технический аудит · 2026-05-29

ced.bg

Комиссия по защите от дискриминации Болгарии

Политика изменена — посмотреть, что именно · 2026-07-11 →

Комиссия по защите от дискриминации Болгарии — 85 запросов, 12 доменов. До согласия и без consent-менеджера работают Google Analytics (сразу Universal и GA4), встроенный Facebook Page-плагин, виджет AddThis и Google Fonts. IP посетителя уходит в Google и Meta (США).

Хронология утечки

+794 мс · шрифты и шеринг

fonts.googleapis.com (Google Fonts) и s7.addthis.com (виджет шеринга AddThis).

+874 мс · Universal Analytics

www.google-analytics.com/analytics.js — устаревший Universal Analytics (UA-402758-1).

+908 мс · Facebook Page-плагин

www.facebook.com/plugins/page.php?href=…/cedbgsofia — встроенная лента Facebook. IP уходит в Meta (США).

+1119–1485 мс · GA4 до согласия

GTM подгружает GA4 (G-BK73G0WE89), который отправляет page_view на region1.google-analytics.com.

+1695–3131 мс · ресурсы Facebook

static.xx.fbcdn.net и scontent.*.fbcdn.net — загрузка ресурсов и изображений ленты Facebook (более 25 обращений).

Декларация против факта

✓ Политика в комплекте не предоставлена; на сайте присутствует раздел «Поверителност и бисквитки» — заявлен

+ Google Analytics (UA-402758-1 и GA4), Facebook Page-плагин, AddThis, Google Fonts — до согласия, IP в Google и Meta (США) — не заявлен

+ Consent-менеджер отсутствует — не заявлен

Тайминги передачи

+908 мс www.facebook.com

Facebook Page-плагин (cedbgsofia). Meta, США.

+1069 мс www.google-analytics.com

Universal Analytics hit (UA-402758-1). Google, США.

+1485 мс region1.google-analytics.com

GA4 page_view (G-BK73G0WE89). Google, США.

+800 мс s7.addthis.com

AddThis — виджет шеринга с трекингом.

Зафиксированные трекеры

Google Analytics (Universal UA-402758-1 + GA4 G-BK73G0WE89) + GTM
Facebook Page-плагин (www.facebook.com, fbcdn.net)
AddThis (s7.addthis.com)
Google Fonts (fonts.googleapis.com, fonts.gstatic.com)

Признаки несоответствия GDPR

ePrivacy (болгарская имплементация) + GDPR Art. 6(1) — трекеры до согласия

Consent-менеджер на сайте отсутствует. До согласия срабатывают сразу две версии Google Analytics — устаревший Universal Analytics (UA-402758-1, hit на +1069 мс) и GA4 (G-BK73G0WE89, событие page_view на +1485 мс), — а также встроенный Facebook Page-плагин (plugins/page.php для страницы cedbgsofia, +908 мс, с 25+ обращениями к fbcdn.net), виджет шеринга AddThis (s7.addthis.com) и Google Fonts. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.
GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача

IP посетителя и данные о просмотре передаются в Google (США, GA обеих версий и шрифты) и в Meta (США, Facebook-плагин) до согласия. В комплекте политика не предоставлена; на сайте присутствует раздел «Поверителност и бисквитки», однако раскрытие в нём конкретных сервисов в рамках сверки не подтверждено.

Контекст

ced.bg — сайт Комиссии по защите от дискриминации (Комисия за защита от дискриминация, КЗД) Болгарии, национального органа по равенству и квазисудебного административного органа, рассматривающего случаи дискриминации. Ответственный за обработку — КЗД. Политика конфиденциальности в комплекте не предоставлена; на сайте присутствует раздел «Поверителност и бисквитки». Замер: 85 запросов, 12 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — Google Analytics обеих версий и шрифты; Meta (США) — встроенный Facebook Page-плагин.

Заявленное против фактического

Отдельная политика в рамках аудита не предоставлена, на сайте есть раздел о конфиденциальности и cookie; поскольку его текст в сверке не участвовал, оценка проводится по замеру.

Замер показывает развёрнутый набор сторонних сервисов, срабатывающих до согласия при полном отсутствии consent-менеджера. Google Analytics присутствует сразу в двух версиях: устаревший Universal Analytics (UA-402758-1) отправляет hit на +1069 мс, а GA4 (G-BK73G0WE89) — событие page_view на +1485 мс. На +908 мс загружается встроенный Facebook Page-плагин, отображающий ленту официальной страницы КЗД (cedbgsofia); за ним следует более двадцати пяти обращений к доменам fbcdn.net за ресурсами и изображениями ленты. Эти обращения передают IP-адрес посетителя в Meta (США). Дополнительно работают виджет шеринга AddThis (s7.addthis.com) и Google Fonts. Состояние сеанса — без согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан.

Таким образом реклама и аналитика двух поколений, социальный плагин и виджет шеринга передают данные в Google и Meta до согласия и без механизма согласия. Наличие тега устаревшего Universal Analytics, прекращённого Google в 2023 году, указывает на давнюю и не пересматривавшуюся настройку.

Тайминг относительно согласия

Первые сторонние обращения (шрифты, AddThis) идут на +794–800 мс, Universal Analytics — на +1069 мс, Facebook-плагин — на +908 мс, GA4 — на +1485 мс. Механизм согласия отсутствует; передача данных в Google и Meta происходит до и вне какого-либо выбора пользователя (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Идентификаторы посетителя не публикуются. Universal Analytics в 2026 году штатно данные не собирает, однако его тег загружается и обращается к серверам Google. Facebook Page-плагин отображает публичную ленту; объём передаваемых им данных о посетителе замер детально не раскрывает, но факт обращения к Meta зафиксирован. Раздел «Поверителность и бисквитки» сайта в сверке не участвовал. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт Комиссии по защите от дискриминации до согласия и без consent-менеджера запускает Google Analytics сразу двух версий, встроенный Facebook Page-плагин, виджет шеринга AddThis и Google Fonts, передавая IP посетителя в Google и Meta (США). Для национального органа по равенству, наделённого квазисудебными полномочиями, срабатывание рекламных, аналитических и социальных сервисов до согласия и передача данных получателям в США составляют нарушение требований о предварительном согласии, о раскрытии получателей и о трансграничной передаче. Устранение: внедрить consent-менеджер, удерживающий все нетехнические сервисы до согласия; удалить устаревший Universal Analytics; заменить встроенный Facebook-плагин на статическую ссылку и убрать AddThis; разместить шрифты локально; раскрыть используемые сервисы в политике cookie.

Готовое письмо для подачи жалобы

Куда подавать: CPDP — Комиссия по защите персональных данных — подать жалобу онлайн →

Кому: CPDP — Комиссия по защите персональных данных
От: [Ваше имя], [контактный email]

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом ced.bg.

2. Обстоятельства
Я посетил сайт ced.bg и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Consent-менеджер на сайте отсутствует. До согласия срабатывают сразу две версии Google Analytics — устаревший Universal Analytics (UA-402758-1, hit на +1069 мс) и GA4 (G-BK73G0WE89, событие page_view на +1485 мс), — а также встроенный Facebook Page-плагин (plugins/page.php для страницы cedbgsofia, +908 мс, с 25+ обращениями к fbcdn.net), виджет шеринга AddThis (s7.addthis.com) и Google Fonts. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.

2) IP посетителя и данные о просмотре передаются в Google (США, GA обеих версий и шрифты) и в Meta (США, Facebook-плагин) до согласия. В комплекте политика не предоставлена; на сайте присутствует раздел «Поверителност и бисквитки», однако раскрытие в нём конкретных сервисов в рамках сверки не подтверждено.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/bg-ced-bg/

3. Нарушенные положения
ePrivacy (болгарская имплементация) + GDPR Art. 6(1) — трекеры до согласия; GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача

4. Требование
Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256
и цитата из политики конфиденциальности сайта, документирующая
указанное противоречие — опубликована и проверяема по ссылке
в пункте 2 выше.

[Дата] [Подпись/имя]