Политика изменена — посмотреть, что именно · 2026-10-10 →
Мэрия Будапешта (официальный портал столицы Венгрии) — 110 запросов, единственный домен. Все ресурсы, включая шрифты, размещены локально на собственном домене; внешних обращений, трекеров и cookie в замере нет. Заявленная в политике аналитика Matomo (собственный хостинг matomo.budapest.hu) до согласия не срабатывает. Нарушений не зафиксировано.
Хронология обращений
Декларация против факта
Контекст
budapest.hu — официальный портал города Будапешта. Ответственный за обработку — Главное мэрское управление столицы Будапешта (Budapest Főváros Főpolgármesteri Hivatal). Сайт построен на Next.js. Портал раскрывает cookie-политику с разделением на строго необходимые и аналитические cookie. Замер: 110 запросов, единственный домен, снят на чистом браузере.
Заявленное против фактического
Cookie-политика разделяет cookie на две категории. Строго необходимые (cc_cookie для хранения настроек согласия и сессионный cookiesession1) устанавливаются автоматически на основании выполнения задачи общественного интереса. Аналитические же cookie объявлены необязательными: политика прямо указывает, что их установка требует добровольного согласия посетителя (правовое основание — GDPR ст. 6(1)(a)), и это cookie аналитики Matomo (_pk_id, _pk_ses, _pk_ref) на собственном хостинге.
Замер подтверждает заявленную модель. Все 110 запросов идут к единственному домену budapest.hu; ни одного внешнего домена в замере нет — ни шрифтовых сервисов, ни аналитики, ни рекламных пикселей, ни карт. Аналитика Matomo в сеансе без согласия не срабатывает: обращений к matomo.budapest.hu в замере нет. Скрипты, стили, шрифты и изображения раздаются локально через оптимизацию Next.js. Cookie не выставлены (Set-Cookie ноль).
Политика безопасности контента (CSP) сайта перечисляет ряд разрешённых доменов для встраиваемого контента — среди них собственный Matomo, а также Facebook, TikTok, YouTube, Google, Spotify и Office/Forms. Это допустимые источники для встраиваемых элементов (видео, карты, формы) на отдельных страницах, но на главной странице в состоянии до согласия ни один из них не вызывается: перечень в CSP описывает потенциально разрешённое, а не фактически загруженное.
Таким образом расхождения «заявленное против фактического» не возникает: аналитика заявлена как согласная и до согласия не активируется, внешних обращений в замере нет вовсе.
Тайминг относительно согласия
Все обращения идут к собственному домену. Аналитические cookie до согласия не ставятся, сторонних ресурсов на главной странице нет; cookie не выставляются. Для муниципального портала это ожидаемое и корректное поведение.
Чего по замеру утверждать нельзя
Замер охватывает главную страницу в состоянии до согласия. Поведение Matomo после нажатия «принять», а также встраиваемый контент (видео YouTube/TikTok, карты, формы Office), разрешённый политикой безопасности на внутренних страницах, данный замер не охватывает; при корректной настройке и с согласия их срабатывание было бы правомерным. Обработка на стороне сервера в браузерном замере не видна.
Вывод
Официальный портал Будапешта демонстрирует чистую по замеру конфигурацию: все ресурсы, включая шрифты, размещены локально на собственном домене, внешних обращений нет вовсе, трекеры и cookie отсутствуют, а заявленная аналитика Matomo на собственном хостинге до согласия не срабатывает. Аналитика корректно объявлена в политике как необязательная и согласная. Заявленное совпадает с фактическим поведением. Нарушений в замере не зафиксировано.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
d1c8d1e0cd3a5f3bf08fc31130eecfa55a052c96370e164d5bc6d6999ec51737Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — budapest.hu Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта budapest.hu. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) Прошу предоставить информацию по всем категориям, целям и получателям обработки моих данных на этом сайте — независимо от того, выявлены ли на сегодняшний день какие-либо несоответствия. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/hu-budapest-hu/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — budapest.hu To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website budapest.hu. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) I request information on all categories, purposes, and recipients of my data processed on this site — regardless of whether any non-compliance has been identified to date. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/hu-budapest-hu/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]