mavcsoport.hu

Контекст

mavcsoport.hu — корпоративный сайт группы MÁV (Magyar Államvasutak, Венгерские государственные железные дороги), государственного железнодорожного холдинга, объединяющего пассажирские перевозки (MÁV-START), инфраструктуру (MÁV Pályaműködtetési) и головную компанию MÁV Zrt. Ответственный за обработку — компании группы MÁV. Сайт построен на Drupal. Замер: 54 запроса, 5 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя через теги GA4 и Google Ads (Adwords), а также через Google Fonts. Иных сторонних получателей в замере нет.

Заявленное против фактического

Cookie-политика MÁV описывает трекинг честно и поимённо: она называет необходимые cookie, Google Analytics для измерения посещаемости и — отдельной строкой — маркетинговые cookie, прямо указывая Google Adwords и Facebook Pixel как инструменты измерения эффективности рекламных кампаний. То есть на уровне документа получатели раскрыты, включая рекламные.

Замер, однако, показывает проблему не в раскрытии, а в моменте срабатывания. На +863 мс, ещё до какого-либо согласия, через Google Tag Manager загружаются сразу два тега: аналитический GA4 (G-1MXJFLK4V8) и рекламный Google Ads / Adwords (AW-786697798). Второй тег — маркетинговый, и по собственной классификации политики MÁV он относится именно к маркетинговым cookie. А маркетинговые теги по правилам ePrivacy требуют предварительного согласия: они должны запускаться только после того, как посетитель его дал. Здесь же тег срабатывает безусловно, при полном отсутствии зафиксированного согласия (Set-Cookie ноль).

Дополнительно на +1147 мс подключается Google Fonts (шрифт Open Sans), передавая IP посетителя и Referer в Google (США). Google Fonts, в отличие от Analytics и рекламных сервисов, в политике не назван вовсе.

Тайминг относительно согласия

Теги Google (GA4 и Google Ads) идут на +863 мс, Google Fonts — на +1147–1540 мс, все до какого-либо действия посетителя. Ключевой момент: рекламный тег Google Ads, который по правилам должен ждать согласия, срабатывает раньше него. Согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Теги GA4 и Google Ads в замере загружены — это уже передало IP в Google, — однако отдельных обращений GA /g/collect или конверсионного бикона Google Ads в окне замера нет, поэтому по HAR нельзя утверждать, какие именно события были отправлены; факт передачи IP при загрузке тегов состоялся. Объявленный в политике Facebook Pixel в данном замере не наблюдается — по этому снимку о его поведении судить нельзя. Обращения к mavstart.hu в начале замера — это редиректы родственного домена группы MÁV, а не сторонний трекер. Теги могут работать в режиме Consent Mode, удерживая часть обработки до согласия; это не отменяет передачи IP при их загрузке. Google может использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателя (Google, США), а не о месте узла. Замер снят в облегчённом виде без тел ответов, поэтому визуальное состояние баннера по нему не восстанавливается. Серверная обработка в браузерном замере не видна.

Вывод

Корпоративный сайт группы венгерских государственных железных дорог до какого-либо согласия передаёт IP посетителя в Google сразу по нескольким каналам: через аналитический тег GA4, через рекламный тег Google Ads (Adwords) и через Google Fonts. Cookie-политика MÁV, в отличие от многих сайтов, раскрывает и аналитику, и маркетинговые сервисы поимённо — но именно это делает нарушение особенно наглядным: рекламный тег, который сама политика относит к маркетинговым и который по правилам требует предварительного согласия, срабатывает до какого-либо выбора посетителя. Дополнительно передаётся IP через нераскрытый Google Fonts. Запуск маркетингового тега и передача IP стороннему получателю в США до согласия составляют нарушение требований о порядке получения согласия и о трансграничной передаче. Устранение в руках оператора: запускать теги Google Ads и Google Analytics только после согласия через корректно настроенный consent-механизм, а Google Fonts разместить локально на собственном домене.