Технический аудит · 2026-05-29

birosag.hu

Судебная система Венгрии

Судебная система Венгрии (портал судов, оператор — Государственное судебное управление OBH) — 40 запросов, 3 домена. Баннера согласия на странице нет вовсе: аналитика Matomo и — что серьёзнее — плагин записи сессий (Heatmap & Session Recording) срабатывают сразу на загрузке, до какого-либо выбора. Cookie-политика при этом заявляет, что статистические cookie применяются только после нажатия «Принимаю».

Хронология утечки

+0 мс · загрузка портала

Разметка, стили, скрипты и шрифты — с собственного домена birosag.hu (Drupal, отдаётся через CloudFront). Часть шрифтов локальные.

+204 мс · Font Awesome до согласия

use.fontawesome.com — скрипты Font Awesome 5.13.1 (all.js, v4-shims.js), отдаётся через Cloudflare. IP посетителя уходит стороннему получателю.

+226 мс · Matomo до согласия

birosaghu.matomo.cloud/matomo.js — загрузка аналитики Matomo (idsite=1, trackerid 0c6n5A). Хостинг Matomo Cloud, отдаётся через CloudFront (Amazon, США).

+319 мс · запись сессий до согласия

birosaghu.matomo.cloud/plugins/HeatmapSessionRecording/configs.php — конфигурация плагина записи сессий Matomo (тепловые карты, движения курсора, клики). Активируется на загрузке, до согласия.

иных трекеров нет

Google Analytics, GTM, рекламных пикселей и cookie-sync в замере нет. Внешние обращения ограничены Matomo и Font Awesome.

Декларация против факта

✓ Cookie-политика («Süti tájékoztató») — статистические cookie применяются только после нажатия «Elfogadom» («Принимаю»), с согласия посетителя — заявлен

✓ Общая политика — обработка на основе добровольного, предварительного, информированного согласия пользователя — заявлен

✓ Заявлено использование аналитической системы Matomo для статистики посещаемости — заявлен

+ Matomo Heatmap & Session Recording — модуль записи сессий (движения курсора, клики), в политике отдельно не назван; срабатывает до согласия — не заявлен

+ use.fontawesome.com (через Cloudflare) — сторонний получатель IP, до согласия, в политике не назван — не заявлен

+ Хостинг Matomo Cloud через CloudFront (Amazon, США) — не заявлен

Тайминги передачи

+204 мс use.fontawesome.com

Font Awesome 5.13.1. Отдаётся через Cloudflare. IP посетителя.

+226 мс birosaghu.matomo.cloud

Matomo matomo.js. Matomo Cloud через CloudFront (Amazon, США).

+319 мс birosaghu.matomo.cloud

Плагин HeatmapSessionRecording — тепловые карты и запись сессий.

Зафиксированные трекеры

Matomo (birosaghu.matomo.cloud) — аналитика, срабатывает до согласия
Matomo Heatmap & Session Recording — запись сессий, активна до согласия
Font Awesome (use.fontawesome.com, через Cloudflare) — до согласия

Признаки несоответствия GDPR

GDPR Art. 6 + ePrivacy (венгерская имплементация) — аналитика и запись сессий до согласия

На загрузке страницы, без какого-либо баннера согласия, срабатывает аналитика Matomo (birosaghu.matomo.cloud/matomo.js на +226 мс). Следом, на +319 мс, загружается конфигурация плагина Matomo HeatmapSessionRecording — модуля записи сессий (движения курсора, клики, поведение посетителя). Consent-менеджера или баннера согласия в замере нет вовсе. Cookie-политика суда прямо заявляет, что статистические cookie применяются только по нажатию кнопки «Elfogadom» («Принимаю») и лишь с согласия посетителя, — фактически же Matomo и запись сессий стартуют до какого-либо выбора.
GDPR Art. 13(1)(e) + Chapter V — сторонний получатель до согласия

Font Awesome загружается с use.fontawesome.com (отдаётся через Cloudflare) на +204 мс, до согласия, передавая IP посетителя стороннему получателю. В политике этот сервис не назван. Matomo размещён в облаке matomo.cloud и отдаётся через CloudFront (инфраструктура Amazon, США).

Контекст

birosag.hu — центральный портал судебной системы Венгрии (Magyarország Bíróságai). Оператор и ответственный за обработку — Государственное судебное управление (Országos Bírósági Hivatal, OBH). Сайт построен на Drupal и отдаётся через сеть CloudFront. У ведомства есть общая политика обработки данных и отдельная cookie-политика («Süti tájékoztató»). Замер: 40 запросов, 3 домена, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Matomo Cloud через CloudFront (Amazon, США) — IP и поведение посетителя через аналитику и запись сессий. Cloudflare — IP посетителя через раздачу Font Awesome.

Заявленное против фактического

Cookie-политика суда описывает разные категории cookie и формулирует условие прямо: помимо строго необходимых, все прочие — включая статистические — применяются только после того, как посетитель нажмёт кнопку «Elfogadom» («Принимаю»), то есть с явного согласия. Общая политика обработки данных подтверждает, что основанием служит добровольное, предварительное и информированное согласие пользователя. Аналитическая система Matomo в разъяснительных материалах ведомства названа как инструмент статистики посещаемости, ориентированный на приватность.

Замер показывает иную последовательность. Баннера согласия или consent-менеджера на странице нет вовсе. Аналитика Matomo (birosaghu.matomo.cloud/matomo.js) срабатывает уже на +226 мс, сразу на загрузке. Ещё существеннее следующий запрос: на +319 мс загружается конфигурация плагина Matomo HeatmapSessionRecording — модуля записи сессий, который фиксирует движения курсора, клики и поведение посетителя на странице, то есть заметно более инвазивен, чем обычный подсчёт посещений. Оба обращения происходят до какого-либо выбора пользователя. Кроме того, на +204 мс загружаются скрипты Font Awesome с use.fontawesome.com (отдаётся через Cloudflare), передавая IP посетителя стороннему получателю; этот сервис в политике не назван.

Таким образом расхождение прямое: политика обещает статистику и прочие необязательные cookie только по нажатию «Принимаю», а фактически аналитика и запись сессий активируются автоматически, без баннера и без согласия. Сам хостинг Matomo расположен в облаке Matomo Cloud и отдаётся через CloudFront (инфраструктура Amazon, США).

Тайминг относительно согласия

Font Awesome загружается на +204 мс, Matomo — на +226 мс, конфигурация записи сессий — на +319 мс. Баннера согласия, который мог бы предшествовать этим обращениям, на странице нет — блокировать их нечему. Согласие в сеансе не давалось. То есть все внешние обращения, включая инвазивную запись сессий, происходят по умолчанию, при каждом заходе.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу в состоянии до согласия. Set-Cookie в снятых заголовках отсутствует; наличие плагина записи сессий установлено по загрузке его конфигурации, а не по факту передачи записанного трафика в данном сеансе. Matomo поддерживает режимы анонимизации IP и отказа от отслеживания — по браузерному замеру нельзя определить, включены ли они на стороне сервера. Cloudflare и Amazon могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США), а не о физическом местоположении узлов. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Портал судебной системы Венгрии активирует аналитику Matomo и — что серьёзнее — плагин записи сессий (тепловые карты, движения курсора, клики) сразу на загрузке страницы, без какого-либо баннера согласия. Cookie-политика ведомства прямо заявляет обратное: статистические и прочие необязательные cookie применяются только после нажатия «Принимаю». Дополнительно до согласия загружается Font Awesome через Cloudflare, передавая IP стороннему получателю и не будучи назван в политике, а сам Matomo размещён в облаке через инфраструктуру Amazon (США). Для сайта органа судебной власти запуск аналитики и записи поведения посетителей по умолчанию, при каждом заходе и вне механизма согласия, составляет нарушение требований о правовом основании обработки, о раскрытии получателей и о трансграничной передаче. Устранение: удерживать Matomo и плагин записи сессий до фактического согласия через баннер, разместить Font Awesome локально и раскрыть в политике получателей и место хостинга.

Готовое письмо для подачи жалобы

Куда подавать: NAIH — Венгерский орган по защите данных — подать жалобу онлайн →

Кому: NAIH — Венгерский орган по защите данных
От: [Ваше имя], [контактный email]

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом birosag.hu.

2. Обстоятельства
Я посетил сайт birosag.hu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На загрузке страницы, без какого-либо баннера согласия, срабатывает аналитика Matomo (birosaghu.matomo.cloud/matomo.js на +226 мс). Следом, на +319 мс, загружается конфигурация плагина Matomo HeatmapSessionRecording — модуля записи сессий (движения курсора, клики, поведение посетителя). Consent-менеджера или баннера согласия в замере нет вовсе. Cookie-политика суда прямо заявляет, что статистические cookie применяются только по нажатию кнопки «Elfogadom» («Принимаю») и лишь с согласия посетителя, — фактически же Matomo и запись сессий стартуют до какого-либо выбора.

2) Font Awesome загружается с use.fontawesome.com (отдаётся через Cloudflare) на +204 мс, до согласия, передавая IP посетителя стороннему получателю. В политике этот сервис не назван. Matomo размещён в облаке matomo.cloud и отдаётся через CloudFront (инфраструктура Amazon, США).

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/hu-birosag-hu/

3. Нарушенные положения
GDPR Art. 6 + ePrivacy (венгерская имплементация) — аналитика и запись сессий до согласия; GDPR Art. 13(1)(e) + Chapter V — сторонний получатель до согласия

4. Требование
Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256
и цитата из политики конфиденциальности сайта, документирующая
указанное противоречие — опубликована и проверяема по ссылке
в пункте 2 выше.

[Дата] [Подпись/имя]