RU EN
www.
Технический аудит · 29.05.2026

mavcsoport.hu

Венгерские государственные железные дороги (группа MÁV)
HU

Политика изменена — посмотреть, что именно · 2026-08-14 →

Венгерские государственные железные дороги (группа MÁV) — 54 запроса, 5 доменов. До какого-либо согласия срабатывают сразу два тега Google — аналитический GA4 и рекламный Google Ads (Adwords), — а также Google Fonts. Google Analytics и маркетинговые cookie в политике объявлены, но рекламный тег по правилам требует предварительного согласия, а срабатывает до него; Google Fonts в политике не назван. Все обращения уходят в Google (США).

Хронология обращений

+0…+306 мс · вход через родственный домен
Заход начинается с mavstart.hu (пассажирский сервис группы MÁV), который цепочкой редиректов (307→302) переводит на www.mavcsoport.hu. Затем разметка и ассеты — с собственного домена (Drupal).
+863 мс · теги Google до согласия
Через Google Tag Manager загружаются два тега: GA4 (G-1MXJFLK4V8) и Google Ads / Adwords (AW-786697798). Второй — рекламный (маркетинговый) тег. IP посетителя уходит в Google (США).
+1147…+1540 мс · Google Fonts до согласия
CSS с fonts.googleapis.com и файлы шрифта Open Sans с fonts.gstatic.com. IP посетителя и Referer уходят в Google (США).
механизм согласия не удерживает теги
Маркетинговый тег Google Ads и аналитический GA4 срабатывают до и вне какого-либо согласия; по правилам маркетинговые теги должны запускаться только после согласия.
состояние сеанса — без согласия
Set-Cookie за весь сеанс ноль. Выбор пользователем не сделан; обращения к тегам Google и передача IP уже состоялись.
Facebook Pixel в замере не сработал
Объявленный в политике Facebook Pixel в этом замере не наблюдается. Отдельного обращения GA /g/collect в окне замера также нет; загружены сами теги.

Декларация против факта

✓ Adatkezelési/adatvédelmi tájékoztató MÁV — необходимые cookie + Google Analytics (измерение посещаемости) + маркетинговые cookie (Google Adwords и Facebook Pixel) для измерения эффективности рекламных кампаний — заявлен
✓ Присланный файл — заявление о доступности MÁV Csoport 2025 (о требованиях WCAG), к cookie отношения не имеет — заявлен
+ Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — сторонний получатель IP из США, до согласия, в политике не назван — не заявлен
+ Facebook Pixel — в политике объявлен, но в данном замере не наблюдается — не заявлен

Тайминги передачи

+863 мс www.googletagmanager.com

gtag — GA4 (G-1MXJFLK4V8) и Google Ads (AW-786697798). Google, США.

+1147 мс fonts.googleapis.com

Google Fonts CSS (Open Sans). Google, США.

+1518 мс fonts.gstatic.com

Файлы шрифта Google (Open Sans, ×3). Google, США.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

mavcsoport.hu — корпоративный сайт группы MÁV (Magyar Államvasutak, Венгерские государственные железные дороги), государственного железнодорожного холдинга, объединяющего пассажирские перевозки (MÁV-START), инфраструктуру (MÁV Pályaműködtetési) и головную компанию MÁV Zrt. Ответственный за обработку — компании группы MÁV. Сайт построен на Drupal. Замер: 54 запроса, 5 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя через теги GA4 и Google Ads (Adwords), а также через Google Fonts. Иных сторонних получателей в замере нет.

Заявленное против фактического

Cookie-политика MÁV описывает трекинг честно и поимённо: она называет необходимые cookie, Google Analytics для измерения посещаемости и — отдельной строкой — маркетинговые cookie, прямо указывая Google Adwords и Facebook Pixel как инструменты измерения эффективности рекламных кампаний. То есть на уровне документа получатели раскрыты, включая рекламные.

Замер, однако, показывает проблему не в раскрытии, а в моменте срабатывания. На +863 мс, ещё до какого-либо согласия, через Google Tag Manager загружаются сразу два тега: аналитический GA4 (G-1MXJFLK4V8) и рекламный Google Ads / Adwords (AW-786697798). Второй тег — маркетинговый, и по собственной классификации политики MÁV он относится именно к маркетинговым cookie. А маркетинговые теги по правилам ePrivacy требуют предварительного согласия: они должны запускаться только после того, как посетитель его дал. Здесь же тег срабатывает безусловно, при полном отсутствии зафиксированного согласия (Set-Cookie ноль).

Дополнительно на +1147 мс подключается Google Fonts (шрифт Open Sans), передавая IP посетителя и Referer в Google (США). Google Fonts, в отличие от Analytics и рекламных сервисов, в политике не назван вовсе.

Тайминг относительно согласия

Теги Google (GA4 и Google Ads) идут на +863 мс, Google Fonts — на +1147–1540 мс, все до какого-либо действия посетителя. Ключевой момент: рекламный тег Google Ads, который по правилам должен ждать согласия, срабатывает раньше него. Согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Теги GA4 и Google Ads в замере загружены — это уже передало IP в Google, — однако отдельных обращений GA /g/collect или конверсионного бикона Google Ads в окне замера нет, поэтому по HAR нельзя утверждать, какие именно события были отправлены; факт передачи IP при загрузке тегов состоялся. Объявленный в политике Facebook Pixel в данном замере не наблюдается — по этому снимку о его поведении судить нельзя. Обращения к mavstart.hu в начале замера — это редиректы родственного домена группы MÁV, а не сторонний трекер. Теги могут работать в режиме Consent Mode, удерживая часть обработки до согласия; это не отменяет передачи IP при их загрузке. Google может использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателя (Google, США), а не о месте узла. Замер снят в облегчённом виде без тел ответов, поэтому визуальное состояние баннера по нему не восстанавливается. Серверная обработка в браузерном замере не видна.

Вывод

Корпоративный сайт группы венгерских государственных железных дорог до какого-либо согласия передаёт IP посетителя в Google сразу по нескольким каналам: через аналитический тег GA4, через рекламный тег Google Ads (Adwords) и через Google Fonts. Cookie-политика MÁV, в отличие от многих сайтов, раскрывает и аналитику, и маркетинговые сервисы поимённо — но именно это делает нарушение особенно наглядным: рекламный тег, который сама политика относит к маркетинговым и который по правилам требует предварительного согласия, срабатывает до какого-либо выбора посетителя. Дополнительно передаётся IP через нераскрытый Google Fonts. Запуск маркетингового тега и передача IP стороннему получателю в США до согласия указывают на несоблюдение требований о порядке получения согласия и о трансграничной передаче. Устранение в руках оператора: запускать теги Google Ads и Google Analytics только после согласия через корректно настроенный consent-механизм, а Google Fonts разместить локально на собственном домене.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: hu/mavcsoport-hu-2026-05-29.har
SHA-256: f3d0acb2a6d1fe347098fa25a7e1c730aabf5b4f6a61097f460ef6d14fb16e25
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — mavcsoport.hu

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта mavcsoport.hu.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На загрузке страницы до какого-либо согласия загружаются сразу два тега Google через Google Tag Manager: GA4 (G-1MXJFLK4V8) и Google Ads / Adwords (AW-786697798) — оба на +863 мс. Google Ads — это маркетинговый (рекламный) тег, и собственная политика MÁV прямо относит Google Adwords к маркетинговым cookie, применяемым для измерения эффективности рекламных кампаний. Маркетинговые теги по правилам требуют предварительного согласия, однако тег срабатывает безусловно. Set-Cookie за весь сеанс ноль; согласия нет, но обращение к Google уже состоялось.

2) Помимо тегов Google, до согласия загружается Google Fonts (CSS с fonts.googleapis.com на +1147 мс и файлы шрифта Open Sans с fonts.gstatic.com на +1518–1540 мс), передавая IP посетителя и Referer в Google (США). Cookie-политика MÁV называет Google Analytics и маркетинговые сервисы (Google Adwords, Facebook Pixel), но Google Fonts как получателя не упоминает.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/hu-mavcsoport-hu/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: NAIH — Венгерский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — mavcsoport.hu

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом mavcsoport.hu.

2. Обстоятельства
Я посетил сайт mavcsoport.hu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На загрузке страницы до какого-либо согласия загружаются сразу два тега Google через Google Tag Manager: GA4 (G-1MXJFLK4V8) и Google Ads / Adwords (AW-786697798) — оба на +863 мс. Google Ads — это маркетинговый (рекламный) тег, и собственная политика MÁV прямо относит Google Adwords к маркетинговым cookie, применяемым для измерения эффективности рекламных кампаний. Маркетинговые теги по правилам требуют предварительного согласия, однако тег срабатывает безусловно. Set-Cookie за весь сеанс ноль; согласия нет, но обращение к Google уже состоялось.

2) Помимо тегов Google, до согласия загружается Google Fonts (CSS с fonts.googleapis.com на +1147 мс и файлы шрифта Open Sans с fonts.gstatic.com на +1518–1540 мс), передавая IP посетителя и Referer в Google (США). Cookie-политика MÁV называет Google Analytics и маркетинговые сервисы (Google Adwords, Facebook Pixel), но Google Fonts как получателя не упоминает.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/hu-mavcsoport-hu/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy (венгерская имплементация) — маркетинговый тег до согласия; GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и трансграничная передача

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]