RU EN
www.
Технический аудит · 29.05.2026

mavir.hu

Оператор электроэнергетической системы Венгрии
HU

Оператор электроэнергетической системы Венгрии (MAVIR) — 68 запросов, 5 доменов. Баннера согласия на странице нет: Google Tag Manager и Google Analytics (GA4 плюс legacy) срабатывают сразу на загрузке и регистрируют визит до какого-либо выбора, передавая IP в Google (США). Иных внешних обращений, кроме собственного поддомена карты энергосистемы, нет.

Хронология обращений

+0 мс · загрузка портала
Разметка, стили, скрипты и изображения — с собственного домена mavir.hu (сервер с модулем mod_qos). Шрифты локальные.
+844 мс · Google Tag Manager до согласия
www.googletagmanager.com/gtag/js (идентификатор G-XE63M79CMC) — загрузка тег-менеджера сразу на загрузке страницы.
+1773 мс · Google Analytics legacy до согласия
www.google-analytics.com/analytics.js — загрузка устаревшего счётчика Universal Analytics.
баннер согласия отсутствует
Ни consent-менеджера, ни баннера согласия в замере нет. Аналитика срабатывает безусловно.
+2706 мс · регистрация визита без согласия
www.google-analytics.com/j/collect и region1.google-analytics.com/g/collect — hit-запросы GA4, фактически регистрирующие визит. Сигнала Consent Mode (gcs) в запросах нет. Set-Cookie за сеанс ноль; выбор пользователем не сделан.
+2194 мс · собственная карта энергосистемы
rtdwweb.mavir.hu — данные о нагрузке энергосистемы (desktop/mobile map) с собственного поддомена MAVIR. Внешнему получателю данные не передаёт.

Декларация против факта

✓ По венгерскому праву аналитические (статистические) cookie активируются только с согласия посетителя (GDPR ст. 6(1)(a)) — заявлен
+ Google Analytics (GA4 G-XE63M79CMC и legacy) и Google Tag Manager срабатывают и регистрируют визит до согласия — не заявлен
+ Баннер согласия в замере отсутствует; сигнала Consent Mode (gcs) в запросах Google Analytics нет — не заявлен

Тайминги передачи

+844 мс www.googletagmanager.com

Google Tag Manager (G-XE63M79CMC). Google, США.

+1773 мс www.google-analytics.com

Universal Analytics legacy (analytics.js). Google, США.

+2782 мс region1.google-analytics.com

GA4 g/collect. Сигнала Consent Mode (gcs) нет.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

mavir.hu — сайт MAVIR (Magyar Villamosenergia-ipari Átviteli Rendszerirányító Zrt.), оператора электроэнергетической передающей системы Венгрии, отвечающего за управление национальной энергосистемой и её балансировку. Ответственный за обработку — MAVIR. Замер: 68 запросов, 5 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя через Google Analytics (GA4 и legacy) и Google Tag Manager. Поддомен rtdwweb.mavir.hu (данные нагрузки энергосистемы) принадлежит самому оператору и внешнему получателю данные не передаёт.

Заявленное против фактического

По венгерскому праву и общей практике госсайтов аналитические (статистические) cookie относятся к необязательным и активируются только после согласия посетителя, с правовым основанием «согласие субъекта» (GDPR ст. 6(1)(a)).

Замер показывает иное. На +844 мс, сразу на загрузке страницы, подключается Google Tag Manager (идентификатор G-XE63M79CMC). На +1773 мс загружается устаревший счётчик Universal Analytics (analytics.js), а на +2706–2782 мс GA4 отправляет hit-запросы регистрации визита — обращения к www.google-analytics.com/j/collect и region1.google-analytics.com/g/collect. То есть визит фактически регистрируется, а не просто загружается скрипт. Consent-менеджера или баннера согласия на странице при этом нет вовсе. Более того, в запросах Google Analytics отсутствует сигнал Consent Mode (параметр gcs): согласие не только не собрано, но и не сигналится Google. IP посетителя при этом передаётся в Google (США).

Единственное иное внешнее обращение — к собственному поддомену rtdwweb.mavir.hu, откуда подгружаются данные о нагрузке энергосистемы; это инфраструктура самого оператора, а не сторонний получатель. Cookie в снятых заголовках не выставлены (Set-Cookie ноль).

Тайминг относительно согласия

Google Tag Manager — на +844 мс, legacy Analytics — на +1773 мс, регистрация визита GA4 — на +2706–2782 мс. Всё до какого-либо выбора пользователя. Баннера согласия, который мог бы этому предшествовать, на странице нет. Согласие в сеансе не давалось, и сигнала Consent Mode в запросах Google Analytics нет.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу в состоянии до согласия. Set-Cookie в снятых заголовках отсутствует; вывод сделан по факту загрузки GTM и по hit-запросам регистрации визита Google Analytics, а не по заголовкам cookie. Точный текст cookie-политики самого mavir.hu в рамках этого замера отдельно не подтверждён; вывод о требовании согласия на аналитику опирается на применимое венгерское право и общую практику. Google может использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателя (компания США), а не о местоположении узла. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт оператора электроэнергетической системы Венгрии запускает Google Tag Manager и Google Analytics (GA4 плюс устаревший счётчик) сразу на загрузке страницы, без какого-либо баннера согласия, и фактически регистрирует визит посетителя — при этом в запросах Google Analytics нет даже сигнала Consent Mode. IP посетителя передаётся в Google (США). Для оператора критической энергетической инфраструктуры запуск аналитики и регистрация визита по умолчанию, при каждом заходе и вне механизма согласия, указывают на несоблюдение требований о правовом основании обработки и о трансграничной передаче. Устранение: внедрить баннер согласия и удерживать Google Analytics и Google Tag Manager до фактического согласия либо перейти на приватностную self-hosted аналитику без передачи данных в США.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: hu/mavir-hu-2026-05-29.har
SHA-256: a62778f5ca32286fa7308c2967527c47ab1c8f8e803dde13898265b06b2858d8
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — mavir.hu

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта mavir.hu.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На загрузке страницы, без какого-либо баннера согласия, срабатывает Google Tag Manager (на +844 мс) и Google Analytics: legacy-скрипт analytics.js (на +1773 мс) и GA4 (идентификатор G-XE63M79CMC), который отправляет hit-запросы регистрации визита — www.google-analytics.com/j/collect (на +2706 мс) и region1.google-analytics.com/g/collect (на +2782 мс). Consent-менеджера или баннера согласия в замере нет; в запросах GA нет сигнала Consent Mode (gcs отсутствует), то есть согласие даже не сигналится партнёру. IP посетителя передаётся в Google (США).


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/hu-mavir-hu/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: NAIH — Венгерский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — mavir.hu

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом mavir.hu.

2. Обстоятельства
Я посетил сайт mavir.hu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На загрузке страницы, без какого-либо баннера согласия, срабатывает Google Tag Manager (на +844 мс) и Google Analytics: legacy-скрипт analytics.js (на +1773 мс) и GA4 (идентификатор G-XE63M79CMC), который отправляет hit-запросы регистрации визита — www.google-analytics.com/j/collect (на +2706 мс) и region1.google-analytics.com/g/collect (на +2782 мс). Consent-менеджера или баннера согласия в замере нет; в запросах GA нет сигнала Consent Mode (gcs отсутствует), то есть согласие даже не сигналится партнёру. IP посетителя передаётся в Google (США).

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/hu-mavir-hu/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 6 + ePrivacy (венгерская имплементация) — аналитика до согласия, без баннера

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]