RU EN
www.
Технический аудит · 29.05.2026

hirado.hu

Новостной портал общественного вещателя Венгрии
HU

Политика изменена — посмотреть, что именно · 2026-08-14 →

Новостной портал общественного вещателя Венгрии (hirado.hu, оператор — Duna Médiaszolgáltató) — 303 запроса, 33 домена. Consent-менеджер InMobi (IAB TCF) присутствует, но реклама и трекеры его не дожидаются: рекламный тег Google, Facebook-пиксель и prebid-обвязка грузятся до и параллельно с баннером, а Google Analytics шлёт данные с флагом «согласие не дано». Cookie-политика при этом относит эти сервисы к необязательным, требующим согласия.

Хронология обращений

+0 мс · загрузка портала
Разметка и часть ресурсов — с собственного домена hirado.hu и медиа-CDN общественного вещателя (cdn.cms.mtv.hu). Библиотеки jQuery подтягиваются с внешних CDN (ajax.googleapis.com, code.jquery.com, cdnjs).
+157…+400 мс · реклама и Facebook до баннера
cdn.atmedia.hu и cdn.publisher1st.com — prebid header bidding венгерских рекламных сетей; connect.facebook.net/fbevents.js — Facebook-пиксель; rumcdn.geoedge.be — верификация рекламы. Всё до появления баннера согласия.
+515 мс · рекламный тег Google до баннера
securepubads.g.doubleclick.net/tag/js/gpt.js — Google Publisher Tag. Загружается раньше, чем готов consent-менеджер.
+558 мс · CMP InMobi появляется
cmp.inmobi.com — загрузка consent-менеджера InMobi на базе IAB TCF v2 (choice.js, cmp2.js, geoip, список вендоров). К этому моменту реклама и Facebook уже отработали.
состояние сеанса — без согласия
Set-Cookie в снятых заголовках ноль; выбор пользователем не сделан. Google Analytics (G-GK73FHZ3TH) шлёт телеметрию с gcs=G100 (согласие не дано).
+1450…+3800 мс · трекеры и встраивания без согласия
www.facebook.com, static.xx.fbcdn.net, syndication.twitter.com, www.youtube-nocookie.com, region1.google-analytics.com (+3159 мс), googletagmanager.com (+2872 мс) — всё активируется без собранного согласия.

Декларация против факта

✓ Cookie-политика («A sütik (cookie-k) alkalmazásáról») — разделение на строго необходимые, аналитические, рекламные и социальные cookie — заявлен
✓ Consent-менеджер InMobi (IAB TCF v2) — сбор согласия посетителя — заявлен
✓ Необязательные cookie (аналитика, реклама, соцсети) по венгерскому праву требуют согласия — заявлен
+ Рекламный тег Google (GPT) и Facebook-пиксель срабатывают до появления баннера согласия — не заявлен
+ Google Analytics отправляет данные с сигналом gcs=G100 (согласие не дано) — не заявлен
+ Поимённый состав рекламных партнёров prebid (atmedia, Publisher1st, GeoEdge и вендоры TCF) в политике обобщён — не заявлен

Тайминги передачи

+400 мс connect.facebook.net

Facebook SDK / пиксель (fbevents.js). Meta, США.

+515 мс securepubads.g.doubleclick.net

Google Publisher Tag (GPT). Google, США. Раньше CMP.

+558 мс Баннер согласия появился
+3159 мс region1.google-analytics.com

Google Analytics G-GK73FHZ3TH. Телеметрия с флагом «согласие не дано».

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

hirado.hu — новостной портал общественного вещателя Венгрии. Оператор и ответственный за обработку — Duna Médiaszolgáltató Nonprofit Zrt. (DMSZ, центральная структура венгерского общественного телевидения и радио, производство MTVA). Сайт публикует подробную cookie-политику с разделением на категории и использует consent-менеджер InMobi на базе стандарта IAB TCF v2. Замер: 303 запроса, 33 домена, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — Analytics, Ad Manager (GPT), Tag Manager, Fonts. Meta/Facebook (США) — SDK и пиксель. Twitter/X (США), InMobi — встраивания и consent-инфраструктура. atmedia, Publisher1st, GeoEdge — рекламная обвязка prebid и верификация.

Заявленное против фактического

Cookie-политика hirado.hu построена подробно: она разделяет cookie на строго необходимые (сессионные, аутентификационные, балансировки нагрузки), аналитические (измерение посещаемости), рекламные (включая внешние операционные cookie для частотного капинга, партнёрства, выявления кликфрода, маркетингового анализа) и социальные (трекинг через плагины соцсетей). На сайте работает consent-менеджер InMobi на базе IAB TCF v2, а по венгерскому праву все необязательные категории — аналитика, реклама, соцсети — активируются только после согласия посетителя.

Замер показывает, что механизм согласия присутствует, но реклама и трекеры его не дожидаются. Рекламная и социальная обвязка стартует ещё до появления баннера: prebid-скрипты венгерских сетей atmedia и Publisher1st грузятся на +157–398 мс, Facebook SDK с пикселем (connect.facebook.net/fbevents.js) — на +400 мс, рекламный тег Google Publisher Tag (securepubads.g.doubleclick.net/tag/js/gpt.js) — на +515 мс, а верификатор рекламы GeoEdge — в том же интервале. Только на +558 мс подгружается сам consent-менеджер InMobi (choice.js, cmp2.js, список вендоров TCF). То есть рекламный тег Google и Facebook-пиксель отрабатывают раньше, чем посетитель вообще видит запрос на согласие.

Ключевой признак несобранного согласия виден в самом трафике Google Analytics: обращение к region1.google-analytics.com (идентификатор G-GK73FHZ3TH) содержит сигнал gcs=G100, что соответствует состоянию «согласие не дано». При этом телеметрия всё равно отправляется. Далее, без собранного согласия, активируются встраивания Facebook (www.facebook.com, fbcdn.net), Twitter/X (syndication.twitter.com) и YouTube (в режиме youtube-nocookie), а также Google Tag Manager. Дополнительно на +210–409 мс загружается Google Fonts, передавая IP посетителя в Google.

Таким образом consent-менеджер IAB TCF на сайте присутствует, но фактическая передача данных рекламным и аналитическим получателям от него не зависит и происходит до выбора пользователя.

Тайминг относительно согласия

Prebid и Facebook-пиксель — на +157–400 мс, рекламный тег Google — на +515 мс, баннер InMobi — на +558 мс, Google Analytics с флагом «согласие не дано» — на +3159 мс. Реклама и социальные трекеры предшествуют баннеру, а аналитика уходит уже после его появления, но без собранного согласия. Set-Cookie в снятых заголовках ноль; выбор пользователем не сделан.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу в состоянии до согласия. Set-Cookie в снятых заголовках отсутствует; вывод о трекинге сделан по факту загрузки скриптов (GPT, fbevents.js, GA) и по сигналу согласия в запросе Google Analytics, а не по заголовкам cookie. YouTube загружается в режиме youtube-nocookie, снижающем cookie-слежение. Google, Meta и Twitter могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США), а не о физическом местоположении узлов. Поведение после нажатия «принять» или «отклонить» в данном сеансе не наблюдается. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Новостной портал общественного вещателя Венгрии снабжён consent-менеджером InMobi по стандарту IAB TCF, но реклама, Facebook-пиксель и аналитика запускаются, не дожидаясь согласия: рекламный тег Google и prebid-обвязка стартуют раньше баннера, Facebook SDK загружается до согласия, а Google Analytics отправляет данные с сигналом «согласие не дано». Cookie-политика при этом относит эти сервисы к необязательным категориям, требующим согласия. Расхождение принципиальное: механизм согласия присутствует как баннер, но не управляет реальной передачей данных. Для портала общественного, публично финансируемого вещателя передача IP и поведения аудитории рекламным и социальным получателям (в значительной части в США) до собранного согласия и вне механизма согласия указывает на несоблюдение требований о правовом основании обработки, о раскрытии получателей и о трансграничной передаче. Устранение: удерживать рекламный тег, Facebook-пиксель, prebid и аналитику до фактического согласия через уже установленный consent-менеджер, разместить шрифты и библиотеки локально и раскрыть состав рекламных получателей.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: hu/hirado-hu-2026-05-29.har
SHA-256: 14ebcf22f032c2df32c54615f38687ddf2aa702bacd48aa8533d5ccc33e43b4a
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — hirado.hu

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта hirado.hu.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На загрузке страницы, до и параллельно с появлением consent-менеджера InMobi (cmp.inmobi.com на +558 мс), срабатывают рекламные и трекерные сервисы. Рекламный тег Google (GPT, securepubads.g.doubleclick.net/tag/js/gpt.js) грузится на +515 мс, Facebook SDK/пиксель (connect.facebook.net/en_US/fbevents.js) — на +400 мс, prebid-обвязка atmedia и Publisher1st — на +157–398 мс. Google Analytics (G-GK73FHZ3TH) отправляет телеметрию с сигналом gcs=G100, что соответствует состоянию «согласие не дано». Cookie-политика hirado.hu разделяет cookie на категории и по венгерскому праву необязательные (аналитические, рекламные, социальные) требуют согласия, — фактически же они активируются до выбора пользователя.

2) До согласия IP и Referer посетителя уходят множеству сторонних получателей, в значительной части в США: Google (Analytics, Ad Manager, GTM, reCAPTCHA-инфраструктура), Meta/Facebook, Twitter/X, InMobi. Загрузка Google Fonts (fonts.googleapis.com, fonts.gstatic.com) дополнительно передаёт IP в Google. Facebook SDK (fbevents.js) загружается до согласия.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/hu-hirado-hu/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: NAIH — Венгерский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — hirado.hu

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом hirado.hu.

2. Обстоятельства
Я посетил сайт hirado.hu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На загрузке страницы, до и параллельно с появлением consent-менеджера InMobi (cmp.inmobi.com на +558 мс), срабатывают рекламные и трекерные сервисы. Рекламный тег Google (GPT, securepubads.g.doubleclick.net/tag/js/gpt.js) грузится на +515 мс, Facebook SDK/пиксель (connect.facebook.net/en_US/fbevents.js) — на +400 мс, prebid-обвязка atmedia и Publisher1st — на +157–398 мс. Google Analytics (G-GK73FHZ3TH) отправляет телеметрию с сигналом gcs=G100, что соответствует состоянию «согласие не дано». Cookie-политика hirado.hu разделяет cookie на категории и по венгерскому праву необязательные (аналитические, рекламные, социальные) требуют согласия, — фактически же они активируются до выбора пользователя.

2) До согласия IP и Referer посетителя уходят множеству сторонних получателей, в значительной части в США: Google (Analytics, Ad Manager, GTM, reCAPTCHA-инфраструктура), Meta/Facebook, Twitter/X, InMobi. Загрузка Google Fonts (fonts.googleapis.com, fonts.gstatic.com) дополнительно передаёт IP в Google. Facebook SDK (fbevents.js) загружается до согласия.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/hu-hirado-hu/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 6 + ePrivacy (венгерская имплементация) — аналитика, реклама и социальные трекеры до согласия; GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и трансграничная передача

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]