kozbeszerzes.hu

Контекст

kozbeszerzes.hu — портал Управления по государственным закупкам Венгрии (Közbeszerzési Hatóság), органа, отвечающего за надзор и регулирование сферы госзакупок и публикацию соответствующей статистики. Ответственный за обработку — Közbeszerzési Hatóság. Замер: 66 запросов, 4 домена, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя через загрузку Google Fonts. Аналитика Matomo размещена на поддомене самого ведомства и внешнему получателю данные не передаёт.

Заявленное против фактического

Доступная политика обработки данных ведомства подробно описывает мобильное приложение: push-уведомления, статистику и отчёты об ошибках через сервисы Google Firebase (Analytics, Crashlytics, Cloud Messaging), с правовым основанием «согласие субъекта». Обработка данных, как заявлено, ведётся в необходимом объёме, а персональные данные третьим лицам сверх необходимого не передаются.

Замер относится к веб-порталу и показывает две вещи, происходящие до какого-либо согласия. Во-первых, на сайте работает self-hosted аналитика Matomo (analytics.kozbeszerzes.hu) — то есть на собственной инфраструктуре ведомства, что само по себе приватностно предпочтительнее внешних аналитических облаков. Однако запрос analytics.kozbeszerzes.hu/matomo.php содержит параметр rec=1, означающий фактическую регистрацию визита, вместе с уникальным идентификатором посетителя, названием страницы и полным URL. То есть визит записывается, а не просто загружается скрипт. Баннера согласия или consent-менеджера на странице при этом нет вовсе, а признаков анонимизации IP в параметрах трекинга не видно.

Во-вторых, на +116–204 мс загружается Google Fonts: CSS с fonts.googleapis.com и файлы шрифтов Source Sans 3 с fonts.gstatic.com. Обе загрузки передают IP-адрес посетителя в Google (США). Этот сервис в доступных материалах ведомства не раскрыт.

Cookie в сеансе не выставлены (Set-Cookie ноль). Иных трекеров — Google Analytics, рекламных пикселей, соцсетей — в замере нет; внешние обращения ограничены Matomo на собственном поддомене и Google Fonts.

Тайминг относительно согласия

Google Fonts — на +116 мс, загрузка Matomo — на +200 мс, регистрация визита в Matomo (matomo.php, rec=1) — на +259 мс. Всё до какого-либо выбора пользователя. Баннера согласия, который мог бы этому предшествовать, на странице нет. Согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает главную страницу в состоянии до согласия. Matomo размещён на собственном поддомене ведомства, поэтому данные аналитики стороннему получателю не уходят; вопрос здесь — правовое основание записи визита до согласия, а не трансграничная передача. По параметрам трекинга нельзя определить, включена ли на стороне сервера анонимизация IP или иные приватностные настройки Matomo. Google может использовать edge-узлы в ЕС, поэтому вывод о Google Fonts сделан о принадлежности получателя (компания США), а не о местоположении узла. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Портал Управления по госзакупкам Венгрии использует приватностно предпочтительную self-hosted аналитику Matomo на собственном поддомене, но регистрирует визит посетителя (rec=1, с идентификатором и полным URL) сразу на загрузке страницы, без какого-либо баннера согласия. Дополнительно до согласия загружается Google Fonts, передавая IP посетителя в Google (США). Для государственного надзорного органа запись визита аналитикой и передача IP стороннему получателю в США по умолчанию, при каждом заходе и вне механизма согласия, составляют нарушение требований о правовом основании обработки, а в части шрифтов — о раскрытии получателей и трансграничной передаче. Устранение простое: показывать баннер согласия и удерживать регистрацию визитов Matomo до согласия (либо перевести Matomo в режим полностью анонимной статистики без cookie и идентификаторов), а шрифты разместить локально на собственном домене.