hirado.hu

Контекст

hirado.hu — новостной портал общественного вещателя Венгрии. Оператор и ответственный за обработку — Duna Médiaszolgáltató Nonprofit Zrt. (DMSZ, центральная структура венгерского общественного телевидения и радио, производство MTVA). Сайт публикует подробную cookie-политику с разделением на категории и использует consent-менеджер InMobi на базе стандарта IAB TCF v2. Замер: 303 запроса, 33 домена, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — Analytics, Ad Manager (GPT), Tag Manager, Fonts. Meta/Facebook (США) — SDK и пиксель. Twitter/X (США), InMobi — встраивания и consent-инфраструктура. atmedia, Publisher1st, GeoEdge — рекламная обвязка prebid и верификация.

Заявленное против фактического

Cookie-политика hirado.hu построена подробно: она разделяет cookie на строго необходимые (сессионные, аутентификационные, балансировки нагрузки), аналитические (измерение посещаемости), рекламные (включая внешние операционные cookie для частотного капинга, партнёрства, выявления кликфрода, маркетингового анализа) и социальные (трекинг через плагины соцсетей). На сайте работает consent-менеджер InMobi на базе IAB TCF v2, а по венгерскому праву все необязательные категории — аналитика, реклама, соцсети — активируются только после согласия посетителя.

Замер показывает, что механизм согласия присутствует, но реклама и трекеры его не дожидаются. Рекламная и социальная обвязка стартует ещё до появления баннера: prebid-скрипты венгерских сетей atmedia и Publisher1st грузятся на +157–398 мс, Facebook SDK с пикселем (connect.facebook.net/fbevents.js) — на +400 мс, рекламный тег Google Publisher Tag (securepubads.g.doubleclick.net/tag/js/gpt.js) — на +515 мс, а верификатор рекламы GeoEdge — в том же интервале. Только на +558 мс подгружается сам consent-менеджер InMobi (choice.js, cmp2.js, список вендоров TCF). То есть рекламный тег Google и Facebook-пиксель отрабатывают раньше, чем посетитель вообще видит запрос на согласие.

Ключевой признак несобранного согласия виден в самом трафике Google Analytics: обращение к region1.google-analytics.com (идентификатор G-GK73FHZ3TH) содержит сигнал gcs=G100, что соответствует состоянию «согласие не дано». При этом телеметрия всё равно отправляется. Далее, без собранного согласия, активируются встраивания Facebook (www.facebook.com, fbcdn.net), Twitter/X (syndication.twitter.com) и YouTube (в режиме youtube-nocookie), а также Google Tag Manager. Дополнительно на +210–409 мс загружается Google Fonts, передавая IP посетителя в Google.

Таким образом consent-менеджер IAB TCF на сайте присутствует, но фактическая передача данных рекламным и аналитическим получателям от него не зависит и происходит до выбора пользователя.

Тайминг относительно согласия

Prebid и Facebook-пиксель — на +157–400 мс, рекламный тег Google — на +515 мс, баннер InMobi — на +558 мс, Google Analytics с флагом «согласие не дано» — на +3159 мс. Реклама и социальные трекеры предшествуют баннеру, а аналитика уходит уже после его появления, но без собранного согласия. Set-Cookie в снятых заголовках ноль; выбор пользователем не сделан.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу в состоянии до согласия. Set-Cookie в снятых заголовках отсутствует; вывод о трекинге сделан по факту загрузки скриптов (GPT, fbevents.js, GA) и по сигналу согласия в запросе Google Analytics, а не по заголовкам cookie. YouTube загружается в режиме youtube-nocookie, снижающем cookie-слежение. Google, Meta и Twitter могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США), а не о физическом местоположении узлов. Поведение после нажатия «принять» или «отклонить» в данном сеансе не наблюдается. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Новостной портал общественного вещателя Венгрии снабжён consent-менеджером InMobi по стандарту IAB TCF, но реклама, Facebook-пиксель и аналитика запускаются, не дожидаясь согласия: рекламный тег Google и prebid-обвязка стартуют раньше баннера, Facebook SDK загружается до согласия, а Google Analytics отправляет данные с сигналом «согласие не дано». Cookie-политика при этом относит эти сервисы к необязательным категориям, требующим согласия. Расхождение принципиальное: механизм согласия присутствует как баннер, но не управляет реальной передачей данных. Для портала общественного, публично финансируемого вещателя передача IP и поведения аудитории рекламным и социальным получателям (в значительной части в США) до собранного согласия и вне механизма согласия составляет нарушение требований о правовом основании обработки, о раскрытии получателей и о трансграничной передаче. Устранение: удерживать рекламный тег, Facebook-пиксель, prebid и аналитику до фактического согласия через уже установленный consent-менеджер, разместить шрифты и библиотеки локально и раскрыть состав рекламных получателей.