Технический аудит · 29.05.2026

birosag.hu

Судебная система Венгрии

Судебная система Венгрии (портал судов, оператор — Государственное судебное управление OBH) — 40 запросов, 3 домена. Баннера согласия на странице нет вовсе: аналитика Matomo и — что серьёзнее — плагин записи сессий (Heatmap & Session Recording) срабатывают сразу на загрузке, до какого-либо выбора. Cookie-политика при этом заявляет, что статистические cookie применяются только после нажатия «Принимаю».

Хронология обращений

+0 мс · загрузка портала

Разметка, стили, скрипты и шрифты — с собственного домена birosag.hu (Drupal, отдаётся через CloudFront). Часть шрифтов локальные.

+204 мс · Font Awesome до согласия

use.fontawesome.com — скрипты Font Awesome 5.13.1 (all.js, v4-shims.js), отдаётся через Cloudflare. IP посетителя уходит стороннему получателю.

+226 мс · Matomo до согласия

birosaghu.matomo.cloud/matomo.js — загрузка аналитики Matomo (idsite=1, trackerid 0c6n5A). Хостинг Matomo Cloud, отдаётся через CloudFront (Amazon, США).

+319 мс · запись сессий до согласия

birosaghu.matomo.cloud/plugins/HeatmapSessionRecording/configs.php — конфигурация плагина записи сессий Matomo (тепловые карты, движения курсора, клики). Активируется на загрузке, до согласия.

иных трекеров нет

Google Analytics, GTM, рекламных пикселей и cookie-sync в замере нет. Внешние обращения ограничены Matomo и Font Awesome.

Декларация против факта

✓ Cookie-политика («Süti tájékoztató») — статистические cookie применяются только после нажатия «Elfogadom» («Принимаю»), с согласия посетителя — заявлен

✓ Общая политика — обработка на основе добровольного, предварительного, информированного согласия пользователя — заявлен

✓ Заявлено использование аналитической системы Matomo для статистики посещаемости — заявлен

+ Matomo Heatmap & Session Recording — модуль записи сессий (движения курсора, клики), в политике отдельно не назван; срабатывает до согласия — не заявлен

+ use.fontawesome.com (через Cloudflare) — сторонний получатель IP, до согласия, в политике не назван — не заявлен

+ Хостинг Matomo Cloud через CloudFront (Amazon, США) — не заявлен

Тайминги передачи

+204 мс use.fontawesome.com

Font Awesome 5.13.1. Отдаётся через Cloudflare. IP посетителя.

+226 мс birosaghu.matomo.cloud

Matomo matomo.js. Matomo Cloud через CloudFront (Amazon, США).

+319 мс birosaghu.matomo.cloud

Плагин HeatmapSessionRecording — тепловые карты и запись сессий.

Зафиксированные трекеры

Matomo (birosaghu.matomo.cloud) — аналитика, срабатывает до согласия
Matomo Heatmap & Session Recording — запись сессий, активна до согласия
Font Awesome (use.fontawesome.com, через Cloudflare) — до согласия

Признаки несоответствия GDPR

GDPR Art. 6 + ePrivacy (венгерская имплементация) — аналитика и запись сессий до согласия
На загрузке страницы, без какого-либо баннера согласия, срабатывает аналитика Matomo (birosaghu.matomo.cloud/matomo.js на +226 мс). Следом, на +319 мс, загружается конфигурация плагина Matomo HeatmapSessionRecording — модуля записи сессий (движения курсора, клики, поведение посетителя). Consent-менеджера или баннера согласия в замере нет вовсе. Cookie-политика суда прямо заявляет, что статистические cookie применяются только по нажатию кнопки «Elfogadom» («Принимаю») и лишь с согласия посетителя, — фактически же Matomo и запись сессий стартуют до какого-либо выбора.
GDPR Art. 13(1)(e) + Chapter V — сторонний получатель до согласия
Font Awesome загружается с use.fontawesome.com (отдаётся через Cloudflare) на +204 мс, до согласия, передавая IP посетителя стороннему получателю. В политике этот сервис не назван. Matomo размещён в облаке matomo.cloud и отдаётся через CloudFront (инфраструктура Amazon, США).

Контекст

birosag.hu — центральный портал судебной системы Венгрии (Magyarország Bíróságai). Оператор и ответственный за обработку — Государственное судебное управление (Országos Bírósági Hivatal, OBH). Сайт построен на Drupal и отдаётся через сеть CloudFront. У ведомства есть общая политика обработки данных и отдельная cookie-политика («Süti tájékoztató»). Замер: 40 запросов, 3 домена, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Matomo Cloud через CloudFront (Amazon, США) — IP и поведение посетителя через аналитику и запись сессий. Cloudflare — IP посетителя через раздачу Font Awesome.

Заявленное против фактического

Cookie-политика суда описывает разные категории cookie и формулирует условие прямо: помимо строго необходимых, все прочие — включая статистические — применяются только после того, как посетитель нажмёт кнопку «Elfogadom» («Принимаю»), то есть с явного согласия. Общая политика обработки данных подтверждает, что основанием служит добровольное, предварительное и информированное согласие пользователя. Аналитическая система Matomo в разъяснительных материалах ведомства названа как инструмент статистики посещаемости, ориентированный на приватность.

Замер показывает иную последовательность. Баннера согласия или consent-менеджера на странице нет вовсе. Аналитика Matomo (birosaghu.matomo.cloud/matomo.js) срабатывает уже на +226 мс, сразу на загрузке. Ещё существеннее следующий запрос: на +319 мс загружается конфигурация плагина Matomo HeatmapSessionRecording — модуля записи сессий, который фиксирует движения курсора, клики и поведение посетителя на странице, то есть заметно более инвазивен, чем обычный подсчёт посещений. Оба обращения происходят до какого-либо выбора пользователя. Кроме того, на +204 мс загружаются скрипты Font Awesome с use.fontawesome.com (отдаётся через Cloudflare), передавая IP посетителя стороннему получателю; этот сервис в политике не назван.

Таким образом расхождение прямое: политика обещает статистику и прочие необязательные cookie только по нажатию «Принимаю», а фактически аналитика и запись сессий активируются автоматически, без баннера и без согласия. Сам хостинг Matomo расположен в облаке Matomo Cloud и отдаётся через CloudFront (инфраструктура Amazon, США).

Тайминг относительно согласия

Font Awesome загружается на +204 мс, Matomo — на +226 мс, конфигурация записи сессий — на +319 мс. Баннера согласия, который мог бы предшествовать этим обращениям, на странице нет — блокировать их нечему. Согласие в сеансе не давалось. То есть все внешние обращения, включая инвазивную запись сессий, происходят по умолчанию, при каждом заходе.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу в состоянии до согласия. Set-Cookie в снятых заголовках отсутствует; наличие плагина записи сессий установлено по загрузке его конфигурации, а не по факту передачи записанного трафика в данном сеансе. Matomo поддерживает режимы анонимизации IP и отказа от отслеживания — по браузерному замеру нельзя определить, включены ли они на стороне сервера. Cloudflare и Amazon могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США), а не о физическом местоположении узлов. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Портал судебной системы Венгрии активирует аналитику Matomo и — что серьёзнее — плагин записи сессий (тепловые карты, движения курсора, клики) сразу на загрузке страницы, без какого-либо баннера согласия. Cookie-политика ведомства прямо заявляет обратное: статистические и прочие необязательные cookie применяются только после нажатия «Принимаю». Дополнительно до согласия загружается Font Awesome через Cloudflare, передавая IP стороннему получателю и не будучи назван в политике, а сам Matomo размещён в облаке через инфраструктуру Amazon (США). Для сайта органа судебной власти запуск аналитики и записи поведения посетителей по умолчанию, при каждом заходе и вне механизма согласия, указывает на несоблюдение требований о правовом основании обработки, о раскрытии получателей и о трансграничной передаче. Устранение: удерживать Matomo и плагин записи сессий до фактического согласия через баннер, разместить Font Awesome локально и раскрыть в политике получателей и место хостинга.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: hu/birosag-hu-2026-05-29.har

SHA-256: b8c3d040c67a4517305fe55d61dd0e023588d4bef44a04bb1860f08c44f567d4

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — birosag.hu

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта birosag.hu.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На загрузке страницы, без какого-либо баннера согласия, срабатывает аналитика Matomo (birosaghu.matomo.cloud/matomo.js на +226 мс). Следом, на +319 мс, загружается конфигурация плагина Matomo HeatmapSessionRecording — модуля записи сессий (движения курсора, клики, поведение посетителя). Consent-менеджера или баннера согласия в замере нет вовсе. Cookie-политика суда прямо заявляет, что статистические cookie применяются только по нажатию кнопки «Elfogadom» («Принимаю») и лишь с согласия посетителя, — фактически же Matomo и запись сессий стартуют до какого-либо выбора.

2) Font Awesome загружается с use.fontawesome.com (отдаётся через Cloudflare) на +204 мс, до согласия, передавая IP посетителя стороннему получателю. В политике этот сервис не назван. Matomo размещён в облаке matomo.cloud и отдаётся через CloudFront (инфраструктура Amazon, США).


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/hu-birosag-hu/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — birosag.hu

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website birosag.hu.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) On page load, without any consent banner whatsoever, Matomo analytics fires (birosaghu.matomo.cloud/matomo.js at +226 ms). This is followed, at +319 ms, by the loading of the configuration for the Matomo HeatmapSessionRecording plugin — a session-recording module (cursor movements, clicks, visitor behavior). No consent management platform or consent banner is present in the capture whatsoever. The court's Cookie Policy states directly that statistical cookies are applied only upon clicking the 'Elfogadom' ('I accept') button and only with the visitor's consent — in fact, however, Matomo and session recording start before any choice is made.

2) Font Awesome loads from use.fontawesome.com (served via Cloudflare) at +204 ms, prior to consent, transmitting the visitor's IP address to a third-party recipient. This service is not named in the policy. Matomo is hosted on matomo.cloud and served via CloudFront (Amazon infrastructure, USA).

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/hu-birosag-hu/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: NAIH — Венгерский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — birosag.hu

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом birosag.hu.

2. Обстоятельства
Я посетил сайт birosag.hu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На загрузке страницы, без какого-либо баннера согласия, срабатывает аналитика Matomo (birosaghu.matomo.cloud/matomo.js на +226 мс). Следом, на +319 мс, загружается конфигурация плагина Matomo HeatmapSessionRecording — модуля записи сессий (движения курсора, клики, поведение посетителя). Consent-менеджера или баннера согласия в замере нет вовсе. Cookie-политика суда прямо заявляет, что статистические cookie применяются только по нажатию кнопки «Elfogadom» («Принимаю») и лишь с согласия посетителя, — фактически же Matomo и запись сессий стартуют до какого-либо выбора.

2) Font Awesome загружается с use.fontawesome.com (отдаётся через Cloudflare) на +204 мс, до согласия, передавая IP посетителя стороннему получателю. В политике этот сервис не назван. Matomo размещён в облаке matomo.cloud и отдаётся через CloudFront (инфраструктура Amazon, США).

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/hu-birosag-hu/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 6 + ePrivacy (венгерская имплементация) — аналитика и запись сессий до согласия; GDPR Art. 13(1)(e) + Chapter V — сторонний получатель до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — birosag.hu

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website birosag.hu.

2. Circumstances
I visited the website birosag.hu and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 29 May 2026 (open methodology, reproducible measurements) documents the following indications:

1) On page load, without any consent banner whatsoever, Matomo analytics fires (birosaghu.matomo.cloud/matomo.js at +226 ms). This is followed, at +319 ms, by the loading of the configuration for the Matomo HeatmapSessionRecording plugin — a session-recording module (cursor movements, clicks, visitor behavior). No consent management platform or consent banner is present in the capture whatsoever. The court's Cookie Policy states directly that statistical cookies are applied only upon clicking the 'Elfogadom' ('I accept') button and only with the visitor's consent — in fact, however, Matomo and session recording start before any choice is made.

2) Font Awesome loads from use.fontawesome.com (served via Cloudflare) at +204 ms, prior to consent, transmitting the visitor's IP address to a third-party recipient. This service is not named in the policy. Matomo is hosted on matomo.cloud and served via CloudFront (Amazon infrastructure, USA).

Full technical documentation is published at: https://gdpru.eu/audits/hu-birosag-hu/

3. GDPR provisions I ask you to examine
GDPR Art. 6 + ePrivacy (Hungarian implementation) — analytics and session recording prior to consent; GDPR Art. 13(1)(e) + Chapter V — third-party recipient prior to consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]