RU EN
www.
Технический аудит · 29.05.2026

kozbeszerzes.hu

Управление по госзакупкам Венгрии
HU

Управление по госзакупкам Венгрии (kozbeszerzes.hu) — 66 запросов, 4 домена. Баннера согласия на странице нет: self-hosted Matomo регистрирует визит (rec=1, идентификатор посетителя) сразу на загрузке, до какого-либо выбора. Дополнительно до согласия грузится Google Fonts, передавая IP в Google (США).

Хронология обращений

+0 мс · загрузка портала
Разметка, стили, скрипты и часть изображений — с собственного домена kozbeszerzes.hu. Присутствуют CSP (frame-ancestors) и HSTS с preload.
+116 мс · Google Fonts до согласия
fonts.googleapis.com (CSS) и fonts.gstatic.com (файлы шрифтов Source Sans 3). IP посетителя уходит в Google (США).
+200 мс · Matomo до согласия
analytics.kozbeszerzes.hu/matomo.js — загрузка self-hosted аналитики Matomo на поддомене самого ведомства.
баннер согласия отсутствует
Ни consent-менеджера, ни баннера согласия в замере нет. Matomo и Google Fonts срабатывают безусловно.
+259 мс · Matomo регистрирует визит без согласия
analytics.kozbeszerzes.hu/matomo.php с rec=1 — фактическая запись визита: идентификатор посетителя (_id), название страницы, полный URL. Set-Cookie за сеанс ноль; выбор пользователем не сделан.
иных трекеров нет
Google Analytics, GTM, рекламных пикселей, соцсетей и cookie-sync в замере нет. Внешние обращения ограничены Matomo (self-hosted) и Google Fonts.

Декларация против факта

✓ Заявлено (для мобильного приложения) — статистика и аналитика на основании согласия (GDPR ст. 6(1)(a)), Firebase Analytics/Crashlytics — заявлен
✓ Персональные данные третьим лицам не передаются сверх необходимого для работы сервиса — заявлен
+ Matomo (analytics.kozbeszerzes.hu) — веб-аналитика сайта, срабатывает и регистрирует визит до согласия; отдельного веб-раздела о ней в доступных материалах нет — не заявлен
+ Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — сторонний получатель IP из США, до согласия, не раскрыт — не заявлен
+ Баннер согласия на веб-портале в замере отсутствует — не заявлен

Тайминги передачи

+116 мс fonts.googleapis.com

Google Fonts CSS (Source Sans 3). Google, США.

+200 мс analytics.kozbeszerzes.hu

Matomo matomo.js. Self-hosted, поддомен ведомства.

+259 мс analytics.kozbeszerzes.hu

matomo.php rec=1 — регистрация визита с идентификатором посетителя.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

kozbeszerzes.hu — портал Управления по государственным закупкам Венгрии (Közbeszerzési Hatóság), органа, отвечающего за надзор и регулирование сферы госзакупок и публикацию соответствующей статистики. Ответственный за обработку — Közbeszerzési Hatóság. Замер: 66 запросов, 4 домена, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя через загрузку Google Fonts. Аналитика Matomo размещена на поддомене самого ведомства и внешнему получателю данные не передаёт.

Заявленное против фактического

Доступная политика обработки данных ведомства подробно описывает мобильное приложение: push-уведомления, статистику и отчёты об ошибках через сервисы Google Firebase (Analytics, Crashlytics, Cloud Messaging), с правовым основанием «согласие субъекта». Обработка данных, как заявлено, ведётся в необходимом объёме, а персональные данные третьим лицам сверх необходимого не передаются.

Замер относится к веб-порталу и показывает две вещи, происходящие до какого-либо согласия. Во-первых, на сайте работает self-hosted аналитика Matomo (analytics.kozbeszerzes.hu) — то есть на собственной инфраструктуре ведомства, что само по себе приватностно предпочтительнее внешних аналитических облаков. Однако запрос analytics.kozbeszerzes.hu/matomo.php содержит параметр rec=1, означающий фактическую регистрацию визита, вместе с уникальным идентификатором посетителя, названием страницы и полным URL. То есть визит записывается, а не просто загружается скрипт. Баннера согласия или consent-менеджера на странице при этом нет вовсе, а признаков анонимизации IP в параметрах трекинга не видно.

Во-вторых, на +116–204 мс загружается Google Fonts: CSS с fonts.googleapis.com и файлы шрифтов Source Sans 3 с fonts.gstatic.com. Обе загрузки передают IP-адрес посетителя в Google (США). Этот сервис в доступных материалах ведомства не раскрыт.

Cookie в сеансе не выставлены (Set-Cookie ноль). Иных трекеров — Google Analytics, рекламных пикселей, соцсетей — в замере нет; внешние обращения ограничены Matomo на собственном поддомене и Google Fonts.

Тайминг относительно согласия

Google Fonts — на +116 мс, загрузка Matomo — на +200 мс, регистрация визита в Matomo (matomo.php, rec=1) — на +259 мс. Всё до какого-либо выбора пользователя. Баннера согласия, который мог бы этому предшествовать, на странице нет. Согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает главную страницу в состоянии до согласия. Matomo размещён на собственном поддомене ведомства, поэтому данные аналитики стороннему получателю не уходят; вопрос здесь — правовое основание записи визита до согласия, а не трансграничная передача. По параметрам трекинга нельзя определить, включена ли на стороне сервера анонимизация IP или иные приватностные настройки Matomo. Google может использовать edge-узлы в ЕС, поэтому вывод о Google Fonts сделан о принадлежности получателя (компания США), а не о местоположении узла. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Портал Управления по госзакупкам Венгрии использует приватностно предпочтительную self-hosted аналитику Matomo на собственном поддомене, но регистрирует визит посетителя (rec=1, с идентификатором и полным URL) сразу на загрузке страницы, без какого-либо баннера согласия. Дополнительно до согласия загружается Google Fonts, передавая IP посетителя в Google (США). Для государственного надзорного органа запись визита аналитикой и передача IP стороннему получателю в США по умолчанию, при каждом заходе и вне механизма согласия, указывают на несоблюдение требований о правовом основании обработки, а в части шрифтов — о раскрытии получателей и трансграничной передаче. Устранение простое: показывать баннер согласия и удерживать регистрацию визитов Matomo до согласия (либо перевести Matomo в режим полностью анонимной статистики без cookie и идентификаторов), а шрифты разместить локально на собственном домене.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: hu/kozbeszerzes-hu-2026-05-29.har
SHA-256: fbf2d2299518db0313cecb50e9e33dc3a607cdf0ce1417deb116680b00bc04c3
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — kozbeszerzes.hu

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта kozbeszerzes.hu.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На загрузке страницы, без какого-либо баннера согласия, срабатывает self-hosted аналитика Matomo. Запрос analytics.kozbeszerzes.hu/matomo.php (на +259 мс) содержит rec=1 (реальная запись визита), уникальный идентификатор посетителя (_id), название страницы (action_name) и полный URL — то есть визит фактически регистрируется, а не просто загружается скрипт. Consent-менеджера или баннера согласия в замере нет. Признаков анонимизации IP в параметрах трекинга не видно.

2) Google Fonts (fonts.googleapis.com, fonts.gstatic.com) загружается на +116–204 мс, до согласия, передавая IP посетителя в Google (США). Сама аналитика Matomo размещена на поддомене самого ведомства (analytics.kozbeszerzes.hu) и внешнему получателю данные не передаёт, но Google Fonts — сторонний получатель из США.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/hu-kozbeszerzes-hu/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: NAIH — Венгерский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — kozbeszerzes.hu

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом kozbeszerzes.hu.

2. Обстоятельства
Я посетил сайт kozbeszerzes.hu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На загрузке страницы, без какого-либо баннера согласия, срабатывает self-hosted аналитика Matomo. Запрос analytics.kozbeszerzes.hu/matomo.php (на +259 мс) содержит rec=1 (реальная запись визита), уникальный идентификатор посетителя (_id), название страницы (action_name) и полный URL — то есть визит фактически регистрируется, а не просто загружается скрипт. Consent-менеджера или баннера согласия в замере нет. Признаков анонимизации IP в параметрах трекинга не видно.

2) Google Fonts (fonts.googleapis.com, fonts.gstatic.com) загружается на +116–204 мс, до согласия, передавая IP посетителя в Google (США). Сама аналитика Matomo размещена на поддомене самого ведомства (analytics.kozbeszerzes.hu) и внешнему получателю данные не передаёт, но Google Fonts — сторонний получатель из США.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/hu-kozbeszerzes-hu/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 6 + ePrivacy (венгерская имплементация) — аналитика до согласия, без баннера; GDPR Art. 13(1)(e) + Chapter V — сторонний получатель до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]