honvedelem.hu

Контекст

honvedelem.hu — официальный портал Министерства обороны и вооружённых сил Венгрии. Оператор и ответственный за обработку — HM Zrínyi Térképészeti és Kommunikációs Szolgáltató Nonprofit Kft. (картографическо-коммуникационное общество при Министерстве обороны). Сайт обслуживается через сеть Cloudflare. Ведомство публикует cookie-политику («Sütikezelés tájékoztató»). Замер: 98 запросов, 13 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — Analytics (три счётчика), Ads/ремаркетинг, Tag Manager, Fonts. Meta/Facebook (США) — SDK. ShareThis — сторонний трекинг-пиксель с хостнеймом honvedelem.hu.

Заявленное против фактического

Cookie-политика Министерства обороны формулирует условие ясно. Она разделяет cookie на не требующие согласия (аутентификация, мультимедиа, балансировка нагрузки, интерфейсные и пользовательские cookie безопасности) и требующие согласия, о которых, как сказано, посетителя уведомляют при первом визите и запрашивают его согласие. Более того, политика прямо заявляет: общество «не применяет и не разрешает сторонние cookie, с помощью которых третьи лица могли бы собирать данные без согласия посетителя». Из сервисов по имени названы Google Analytics (с указанным правовым основанием «законный интерес»), Google Ads и Facebook.

Замер показывает иную картину, причём по нескольким пунктам сразу. Во-первых, баннера согласия или consent-менеджера на странице нет вовсе — то, что политика описывает как «уведомление и запрос согласия при первом визите», в замере не появляется. Во-вторых, аналитика и трекеры срабатывают сразу на загрузке: Google Tag Manager и Facebook SDK на +316 мс, счётчики Google Analytics (GA4 G-L9J1SX4H20 плюс legacy-счётчики UA-144750657-1 и UA-174562729-1) на +316–466 мс. Google Analytics при этом отправляет данные с сигналом gcs=G100, что соответствует состоянию «согласие не дано», и с параметром dma=1. В-третьих, активируется рекламный ремаркетинг Google Ads — обращения к stats.g.doubleclick.net/g/collect и google.ee/ads/ga-audiences, — то есть данные посетителя используются для рекламных аудиторий, а не только для статистики.

Отдельная проблема — сторонний виджет ShareThis. Он загружается на +316 мс (platform-api.sharethis.com), а на +1025 мс отправляет трекинг-пиксель l.sharethis.com/pview, передающий хостнейм honvedelem.hu. Этот сервис в cookie-политике не назван вовсе — что прямо противоречит утверждению политики об отсутствии сторонних сборщиков данных без согласия. Дополнительно до согласия загружается Google Fonts, передавая IP посетителя в Google.

Тайминг относительно согласия

Facebook SDK, GTM и ShareThis — на +316 мс, Google Fonts — на +346 мс, счётчики Google Analytics — на +465 мс, трекинг-пиксель ShareThis — на +1025 мс, ремаркетинг Google Ads — на +1087–1346 мс. Баннера согласия, который мог бы этому предшествовать, на странице нет. Согласие в сеансе не давалось (Set-Cookie ноль), и Google Analytics прямо помечает данные как отправленные без согласия. То есть все трекеры срабатывают по умолчанию, при каждом заходе.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу в состоянии до согласия. Set-Cookie в снятых заголовках отсутствует; вывод сделан по факту загрузки скриптов (GA, Facebook SDK, ShareThis, ремаркетинг) и по сигналу согласия в запросах Google Analytics, а не по заголовкам cookie. Google и Meta могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США), а не о физическом местоположении узлов. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Портал Министерства обороны Венгрии запускает Google Analytics (три счётчика, включая устаревшие), Facebook SDK, рекламный ремаркетинг Google Ads и сторонний трекер ShareThis сразу на загрузке страницы, без какого-либо баннера согласия, а Google Analytics прямо помечает данные как отправленные без согласия. Cookie-политика при этом заявляет обратное: требующие согласия трекеры активируются только после запроса согласия, а сторонние сборщики данных без согласия не допускаются. Расхождение прямое и по нескольким основаниям: заявленный механизм согласия отсутствует, ремаркетинг и трекер ShareThis не раскрыты, а передача данных сторонним получателям в США происходит по умолчанию. Для сайта профильного оборонного ведомства запуск аналитики, рекламного ремаркетинга и стороннего трекинга при каждом заходе и вне механизма согласия составляет нарушение требований о правовом основании обработки, о раскрытии получателей и о трансграничной передаче. Устранение: внедрить работающий баннер согласия и удерживать до согласия все необязательные трекеры, убрать или раскрыть ShareThis, разместить шрифты локально.