Портал строительного администрирования Венгрии (É-Építés, оператор — Lechner Tudásközpont) — 174 запроса, 6 доменов. Сайт на Drupal 11 с consent-менеджером cookiesjsr. Но до того, как этот менеджер успевает инициализироваться, уже загружаются Google Tag Manager, Google Analytics и Hotjar (запись сессий). GA в политике объявлен, а вот Hotjar — нет вовсе. Скрипты трекеров срабатывают раньше consent-менеджера, передавая IP в Google (США), Hotjar (Мальта/ЕС) и Cloudflare (США).
Хронология обращений
Декларация против факта
Тайминги передачи
progress-tracker, js-cookie, cookiesjsr. Оператор Prospect One, ЕС.
select2 (css+js). Cloudflare, США.
gtm.js (GTM-NT38F4N) и gtag.js (GA4 G-G2LYMG4368). Google, США.
Hotjar id 3725915 — запись сессий, тепловые карты. Hotjar, Мальта/ЕС.
Модули Hotjar. В политике не назван.
Зафиксированные трекеры
- Hotjar (static.hotjar.com, script.hotjar.com — id 3725915, запись сессий и тепловые карты) — до согласия, в политике не назван
- Google Analytics 4 через Google Tag Manager (GTM-NT38F4N, gtag G-G2LYMG4368) — раньше инициализации consent-менеджера; в политике объявлен
- jsDelivr (cdn.jsdelivr.net — progress-tracker, js-cookie, cookiesjsr) — до согласия, в политике не назван
- cdnjs / Cloudflare (cdnjs.cloudflare.com — select2) — до согласия, в политике не назван
Признаки несоответствия GDPR
- GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и трансграничная передачаДо согласия загружаются Hotjar (static.hotjar.com на +391 мс и script.hotjar.com на +520 мс — сервис записи сессий и тепловых карт), Google Tag Manager и GA4 (gtm.js на +273 мс, gtag.js на +390 мс), а также библиотеки с jsDelivr (progress-tracker, js-cookie, cookiesjsr) и select2 с cdnjs.cloudflare.com. Все они передают IP посетителя: в Hotjar (Мальта/ЕС), в Google (США) и в Cloudflare (США). Cookie-таблица портала объявляет только сессионную cookie, cookie consent-менеджера cookiesjsr и Google Analytics через GTM; Hotjar как получателя не называет вовсе.
- ePrivacy (венгерская имплементация) — трекеры раньше consent-менеджераНа сайте установлен consent-менеджер cookiesjsr, но он загружается на +597–687 мс — уже после Google Tag Manager (+273 мс), GA4 (+390 мс) и Hotjar (+391–520 мс). То есть скрипты трекеров подключаются раньше, чем инициализируется механизм, который должен ими управлять. Set-Cookie за весь сеанс ноль; выбор пользователя не зафиксирован, но обращения к трекерам и передача IP их провайдерам уже состоялись.
Контекст
e-epites.hu — официальный портал строительного администрирования Венгрии (É-Építés Portál), часть Национального строительного реестра (Országos Építésügyi Nyilvántartás). Профессиональное содержание готовит профильное министерство, а эксплуатацию ведёт Lechner Tudásközpont Nonprofit Kft. — государственное некоммерческое предприятие. Через портал доступны информация по строительным разрешениям, электронный строительный журнал и связанные реестровые сервисы (часть — после регистрации). Сайт построен на Drupal 11 (Apache, PHP 8.3). Замер: 174 запроса, 6 доменов, снят на чистом браузере.
Кому уходят данные напрямую (до согласия)
Google (США) — IP посетителя через Google Tag Manager и GA4. Hotjar (Мальта/ЕС) — IP посетителя через скрипты записи сессий. Cloudflare (США) — IP посетителя через select2 с cdnjs. jsDelivr (ЕС) — IP посетителя через загрузку библиотек.
Заявленное против фактического
Портал сделал то, чего не сделали более простые сайты: у него есть настоящий consent-менеджер — открытый cookiesjsr, и cookie-таблица честно перечисляет собственную сессионную cookie, cookie самого consent-менеджера и Google Analytics, загружаемый через Google Tag Manager. То есть намерение управлять согласием налицо, и аналитика раскрыта.
Замер, однако, выявляет две проблемы. Первая — порядок загрузки. Consent-менеджер cookiesjsr подключается только на +597–687 мс, тогда как Google Tag Manager загружается на +273 мс, GA4 — на +390 мс, а Hotjar — на +391–520 мс. Иными словами, скрипты трекеров подключаются раньше, чем инициализируется механизм, который должен ими управлять; к моменту старта consent-менеджера обращения к Google и Hotjar уже отправлены, а вместе с ними — IP посетителя их провайдерам.
Вторая, и более серьёзная — Hotjar. Это не статистический счётчик, а сервис записи пользовательских сессий и построения тепловых карт: он фиксирует перемещения курсора, клики, прокрутку и способен захватывать взаимодействие с элементами страницы. В cookie-таблице портала Hotjar не упомянут вовсе — при том что Google Analytics в ней назван поимённо. Таким образом, на портале работает необъявленный трекер поведения, причём загружается он до согласия. Дополнительно IP посетителя уходит в Cloudflare (select2 с cdnjs) и в jsDelivr при загрузке библиотек — эти CDN в политике также не названы.
Тайминг относительно согласия
Все внешние обращения идут на +174–687 мс. Ключевое здесь — что трекеры (GTM +273 мс, GA4 +390 мс, Hotjar +391–520 мс) загружаются раньше consent-менеджера cookiesjsr (+597 мс). Механизм согласия физически не мог удержать то, что подключилось до него. Действительного согласия в сеансе не зафиксировано (Set-Cookie ноль).
Чего по замеру утверждать нельзя
Скрипты GTM, GA4 и Hotjar в замере загружены — это уже передало IP их провайдерам, — однако отдельного аналитического обращения GA /g/collect в окне замера нет, и по HAR нельзя утверждать, начал ли Hotjar фактическую запись сессии до согласия; это зависит от конфигурации consent-mode, которая в браузерном замере не видна. Сам факт передачи IP при загрузке скриптов состоялся в любом случае. Hotjar (Hotjar Ltd, Мальта; материнская Contentsquare, Франция) — получатель в ЕС, поэтому по нему вопрос трансграничной передачи в третьи страны слабее, а основная претензия — нераскрытие и запись поведения до согласия; Google и Cloudflare — компании США. Google и Cloudflare могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателя, а не о месте узла. Замер снят в облегчённом виде без тел ответов, поэтому визуальное состояние баннера по нему не восстанавливается — вывод о порядке опирается на тайминги обращений. Серверная обработка в браузерном замере не видна.
Вывод
Портал строительного администрирования Венгрии выстроен аккуратнее среднего: у него есть consent-менеджер cookiesjsr, а Google Analytics в cookie-таблице объявлен. Тем не менее реализация даёт сбой сразу в двух местах. Во-первых, скрипты трекеров — Google Tag Manager, GA4 и Hotjar — загружаются раньше, чем инициализируется сам consent-менеджер, поэтому до согласия IP посетителя уже уходит их провайдерам. Во-вторых, Hotjar — сервис записи сессий — в политике не раскрыт вовсе, хотя это трекер поведения более чувствительный, чем объявленная статистика. Передача IP нераскрытому получателю (Hotjar), а также в Google и Cloudflare до фактического согласия, при наличии, но неэффективной работе механизма согласия, указывает на несоблюдение требований о раскрытии получателей и о порядке получения согласия. Устранение в руках оператора: загружать GTM, GA4 и Hotjar только после инициализации consent-менеджера и только при согласии, внести Hotjar (и используемые CDN) в cookie-таблицу как получателей, а по возможности разместить библиотеки локально.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
e4409a1fcdd4c2ef1d3893ff26e712af3bb38158be0a289a3db9cfe21afe800aХотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — e-epites.hu Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта e-epites.hu. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) До согласия загружаются Hotjar (static.hotjar.com на +391 мс и script.hotjar.com на +520 мс — сервис записи сессий и тепловых карт), Google Tag Manager и GA4 (gtm.js на +273 мс, gtag.js на +390 мс), а также библиотеки с jsDelivr (progress-tracker, js-cookie, cookiesjsr) и select2 с cdnjs.cloudflare.com. Все они передают IP посетителя: в Hotjar (Мальта/ЕС), в Google (США) и в Cloudflare (США). Cookie-таблица портала объявляет только сессионную cookie, cookie consent-менеджера cookiesjsr и Google Analytics через GTM; Hotjar как получателя не называет вовсе. 2) На сайте установлен consent-менеджер cookiesjsr, но он загружается на +597–687 мс — уже после Google Tag Manager (+273 мс), GA4 (+390 мс) и Hotjar (+391–520 мс). То есть скрипты трекеров подключаются раньше, чем инициализируется механизм, который должен ими управлять. Set-Cookie за весь сеанс ноль; выбор пользователя не зафиксирован, но обращения к трекерам и передача IP их провайдерам уже состоялись. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/hu-e-epites-hu/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — e-epites.hu To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website e-epites.hu. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) Prior to consent, Hotjar loads (static.hotjar.com at +391 ms and script.hotjar.com at +520 ms — a session-recording and heatmap service), along with Google Tag Manager and GA4 (gtm.js at +273 ms, gtag.js at +390 ms), as well as libraries from jsDelivr (progress-tracker, js-cookie, cookiesjsr) and select2 from cdnjs.cloudflare.com. All of these transmit the visitor's IP address: to Hotjar (Malta/EU), to Google (USA), and to Cloudflare (USA). The portal's cookie table declares only the session cookie, the consent manager's own cookiesjsr cookie, and Google Analytics via GTM; it does not name Hotjar as a recipient at all. 2) The site has a consent manager, cookiesjsr, installed, but it loads at +597–687 ms — already after Google Tag Manager (+273 ms), GA4 (+390 ms), and Hotjar (+391–520 ms). In other words, tracker scripts connect before the mechanism intended to govern them has initialized. Set-Cookie across the entire session is zero; no user choice is recorded, but the calls to the trackers and the transfer of the IP address to their providers have already taken place. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/hu-e-epites-hu/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: NAIH — Венгерский орган по защите данных — подать жалобу онлайн →
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — e-epites.hu 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом e-epites.hu. 2. Обстоятельства Я посетил сайт e-epites.hu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) До согласия загружаются Hotjar (static.hotjar.com на +391 мс и script.hotjar.com на +520 мс — сервис записи сессий и тепловых карт), Google Tag Manager и GA4 (gtm.js на +273 мс, gtag.js на +390 мс), а также библиотеки с jsDelivr (progress-tracker, js-cookie, cookiesjsr) и select2 с cdnjs.cloudflare.com. Все они передают IP посетителя: в Hotjar (Мальта/ЕС), в Google (США) и в Cloudflare (США). Cookie-таблица портала объявляет только сессионную cookie, cookie consent-менеджера cookiesjsr и Google Analytics через GTM; Hotjar как получателя не называет вовсе. 2) На сайте установлен consent-менеджер cookiesjsr, но он загружается на +597–687 мс — уже после Google Tag Manager (+273 мс), GA4 (+390 мс) и Hotjar (+391–520 мс). То есть скрипты трекеров подключаются раньше, чем инициализируется механизм, который должен ими управлять. Set-Cookie за весь сеанс ноль; выбор пользователя не зафиксирован, но обращения к трекерам и передача IP их провайдерам уже состоялись. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/hu-e-epites-hu/ 3. Положения GDPR, соблюдение которых прошу проверить GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и трансграничная передача; ePrivacy (венгерская имплементация) — трекеры раньше consent-менеджера 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — e-epites.hu 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website e-epites.hu. 2. Circumstances I visited the website e-epites.hu and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 29 May 2026 (open methodology, reproducible measurements) documents the following indications: 1) Prior to consent, Hotjar loads (static.hotjar.com at +391 ms and script.hotjar.com at +520 ms — a session-recording and heatmap service), along with Google Tag Manager and GA4 (gtm.js at +273 ms, gtag.js at +390 ms), as well as libraries from jsDelivr (progress-tracker, js-cookie, cookiesjsr) and select2 from cdnjs.cloudflare.com. All of these transmit the visitor's IP address: to Hotjar (Malta/EU), to Google (USA), and to Cloudflare (USA). The portal's cookie table declares only the session cookie, the consent manager's own cookiesjsr cookie, and Google Analytics via GTM; it does not name Hotjar as a recipient at all. 2) The site has a consent manager, cookiesjsr, installed, but it loads at +597–687 ms — already after Google Tag Manager (+273 ms), GA4 (+390 ms), and Hotjar (+391–520 ms). In other words, tracker scripts connect before the mechanism intended to govern them has initialized. Set-Cookie across the entire session is zero; no user choice is recorded, but the calls to the trackers and the transfer of the IP address to their providers have already taken place. Full technical documentation is published at: https://gdpru.eu/audits/hu-e-epites-hu/ 3. GDPR provisions I ask you to examine GDPR Art. 13(1)(e) + Chapter V — disclosure of recipients and cross-border transfer; ePrivacy (Hungarian implementation) — trackers loading before the consent manager 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]