mek.hu

Контекст

mek.hu — официальный профессиональный портал Палаты архитекторов Венгрии (Magyar Építész Kamara, MÉK), органа, выполняющего возложенные законом публично-административные задачи в сфере архитектурной деятельности и информирующего практикующих архитекторов. Ответственный за обработку — MÉK. Сайт обслуживается сервером Apache. Замер: 67 запросов, 3 домена, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя через Google Analytics и Google Tag Manager.

Заявленное против фактического

Cookie-политика Палаты архитекторов формулирует правовое основание прямо: обработка данных через cookie производится на основании согласия субъекта (GDPR ст. 6(1)(a)), а отзыв согласия возможен через настройки браузера. Политика отдельно называет Google Analytics как используемый инструмент статистики и указывает, что через cookie палата не обрабатывает персональные данные.

Замер показывает иную последовательность. На +279 мс, сразу на загрузке страницы, подключается Google Tag Manager (идентификатор G-7299H38393). Затем Google Analytics 4 отправляет hit-запрос регистрации визита — обращение к region1.google-analytics.com/g/collect с адресом страницы. То есть визит фактически регистрируется. Consent-менеджера или баннера согласия на странице при этом нет вовсе, а в запросе Google Analytics отсутствует сигнал Consent Mode (параметр gcs): согласие не собрано и Google об этом не сигналится. IP посетителя при этом передаётся в Google (США).

Иных трекеров — Facebook, рекламных пикселей, шрифтовых сервисов — в замере нет. Cookie в снятых заголовках не выставлены (Set-Cookie ноль). Расхождение прямое: политика обещает аналитику только с согласия, а фактически она активируется по умолчанию, без баннера и без выбора пользователя.

Тайминг относительно согласия

Google Tag Manager — на +279 мс, регистрация визита GA4 — на +5601 мс. Оба до какого-либо выбора пользователя. Баннера согласия, который мог бы этому предшествовать, на странице нет. Согласие в сеансе не давалось, и сигнала Consent Mode в запросе Google Analytics нет.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу в состоянии до согласия. Set-Cookie в снятых заголовках отсутствует; вывод сделан по факту загрузки GTM и по hit-запросу регистрации визита Google Analytics, а не по заголовкам cookie. Google может использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателя (компания США), а не о местоположении узла. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Официальный портал Палаты архитекторов Венгрии запускает Google Tag Manager и Google Analytics сразу на загрузке страницы, без какого-либо баннера согласия, и фактически регистрирует визит посетителя — при этом в запросе Google Analytics нет даже сигнала Consent Mode. Cookie-политика палаты прямо заявляет обратное: обработка через cookie ведётся только на основании согласия субъекта. Расхождение между заявленным и фактическим здесь прямое. Для сайта органа с публично-административными функциями запуск аналитики и регистрация визита по умолчанию, при каждом заходе и вне механизма согласия, а также передача IP в Google (США), составляют нарушение требований о правовом основании обработки и о трансграничной передаче. Устранение: внедрить баннер согласия и удерживать Google Analytics и Google Tag Manager до фактического согласия либо перейти на приватностную self-hosted аналитику без передачи данных в США.