dkh.hu

Контекст

dkh.hu — сайт компании Dunakeszi Hűtőház Kft. (холодильный склад «Дунакеси»), частного коммерческого предприятия, оказывающего услуги низкотемпературного хранения, заморозки и связанной логистики для пищевой отрасли. Ответственный за обработку — Dunakeszi Hűtőház Kft. Сайт представляет собой визитку на WordPress (разделы «О нас», «Услуги», «Галерея», «Контакты» и карта проезда); хостинг, судя по заголовку server, — Aruba. Замер: 57 запросов, 10 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя сразу через несколько сервисов: Google Analytics (Universal Analytics и GA4), встроенную карту Google Maps и Google Fonts. Иных сторонних получателей в замере нет.

Заявленное против фактического

Особенность этого случая в том, что заявлять фактически нечего. На сайте нет опубликованной политики конфиденциальности или cookie-политики: в навигации и подвале нет ни ссылки «Adatvédelem», ни «Süti tájékoztató», ни «Adatkezelési tájékoztató». Единственный элемент, относящийся к приватности, — строка внизу страницы, сообщающая, что продолжением использования сайта посетитель выражает согласие, с единственной кнопкой «Elfogadom». Ни отклонения, ни настроек, ни описания используемых сервисов.

Замер показывает, что при этом сайт активно обращается к Google. До какого-либо действия посетителя загружаются Google Fonts (шрифт Montserrat), два контейнера Google Tag Manager и Google Analytics сразу в двух вариантах: устаревший Universal Analytics (идентификатор UA-9217572-10, классический analytics.js) и современный GA4 (G-949F1D20QC), который отправляет событие page_view на region1.google-analytics.com. Помимо аналитики, на странице контактов встроена карта Google Maps — около двенадцати обращений к maps.googleapis.com плюс maps.gstatic.com и google.com/maps/embed. Все эти обращения передают IP посетителя в Google (США).

Таким образом, расхождение здесь предельное: сайт не раскрывает ни одного получателя, потому что раскрывать негде — транспарентной информации об обработке на сайте нет вовсе, а единственный механизм согласия недействителен. При этом фактически данные посетителя уходят в Google при каждом заходе.

Тайминг относительно согласия

Внешние обращения идут на +4245–6230 мс. Тайминг поздний (страница отрабатывает несколько секунд), но принципиально это ничего не меняет: все обращения происходят до любого действия с уведомлением о cookie, а само уведомление их не удерживает. Действительного согласия в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Идентификатор UA-9217572-10 относится к Universal Analytics, обработку в котором Google прекратил; контейнер и analytics.js при этом всё ещё загружаются, поэтому по замеру нельзя утверждать, что данные в UA по-прежнему обрабатываются на стороне Google, — но сам факт передачи IP в Google при загрузке этих ресурсов состоялся. GA4 обращается к региональному эндпоинту ЕС (region1) и отправляет page_view. Встроенная карта Google Maps передаёт в Google IP посетителя и факт просмотра точки; ключ карты принадлежит сайту. Google может использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателя (Google, США), а не о физическом месте узла. Заголовок server: aruba-proxy указывает на хостинг Aruba (ЕС). На момент проверки политики на сайте не обнаружено; если она размещена где-то без ссылки с сайта, в замере и на страницах она не видна. Серверная обработка в браузерном замере не видна.

Вывод

Сайт коммерческого холодильного склада «Дунакеси» до какого-либо действительного согласия передаёт IP посетителя в Google сразу через несколько сервисов: Google Analytics (причём в двух вариантах — устаревший Universal Analytics и GA4), встроенную карту Google Maps и Google Fonts. При этом опубликованной политики конфиденциальности на сайте нет вовсе, а единственный механизм согласия — строка «продолжая пользоваться сайтом, мы считаем, что вы согласны» с одной кнопкой «принять» — под GDPR недействителен, поскольку не даёт ни свободного, ни недвусмысленного выбора и не раскрывает получателей. Передача IP посетителя стороннему получателю в США по умолчанию, при каждом заходе, без раскрытия и вне действительного механизма согласия, составляет нарушение требований о прозрачности, о раскрытии получателей и о трансграничной передаче. Устранение потребует базовой работы: опубликовать политику конфиденциальности с перечнем сервисов Google, поставить нормальный баннер согласия с равноценным отклонением, разместить шрифты локально, а Google Analytics и карту подключать только после согласия; заодно стоит убрать устаревший идентификатор Universal Analytics.