Технический аудит · 29.05.2026

mnb.hu

Центральный банк Венгрии

Центральный банк Венгрии (Magyar Nemzeti Bank) — 118 запросов, 12 доменов. Тяжёлый профиль для центробанка: до какого-либо согласия отправляются хиты Google Analytics, рекламные и ремаркетинговые обращения Google Ads / DoubleClick (включая GA Audiences и измерение конверсий), а также три встроенных ролика YouTube в обычном (не приватном) режиме. Модель согласия — «пользуясь сайтом, вы принимаете cookie», то есть недействительная. Общая политика при этом заявляет, что передачи данных при посещении сайта не происходит.

Хронология обращений

+0 мс · загрузка портала

Разметка и ассеты — с собственного домена www.mnb.hu. Присутствует HSTS.

+732 мс · Google Tag Manager до согласия

gtag.js (GA4, поток G-8R38V2GJB1) — контейнер оркестрации тегов Google. IP посетителя уходит в Google (США).

+1416…+1456 мс · аналитика и реклама до согласия

Отправлены хиты GA4 (region1.analytics.google.com/g/collect), обращение DoubleClick (stats.g.doubleclick.net/g/collect), ремаркетинговый пиксель GA Audiences (google.ee/ads/ga-audiences) и измерение конверсий Google Ads (google.com/ccm/collect). Все — до согласия.

+1562…+3003 мс · YouTube-эмбеды до согласия

Три ролика встроены через обычный youtube.com/embed (не youtube-nocookie). Подгружаются плеер, превью с i.ytimg.com и рекламная инфраструктура DoubleClick (googleads.g.doubleclick.net/pagead/id, static.doubleclick.net/instream/ad_status.js).

+1859…+4733 мс · Google Fonts и телеметрия до согласия

Файлы шрифта Roboto с fonts.gstatic.com; телеметрия YouTube (youtubei/v1/log_event) и продолжающиеся обращения DoubleClick. Второй хит GA4 на +6494 мс.

профиль трекинга

На сайте центробанка одновременно веб-аналитика (GA4), рекламный/ремаркетинговый комплекс Google Ads / DoubleClick и встроенное видео YouTube — всё активно до согласия.

Декларация против факта

✓ Cookie-страница (mnb.hu/cookie) — модель «пользуясь сайтом, вы принимаете cookie»; признаёт использование измерительных кодов (web beacon) Google и Yahoo для анализа поведения и показа рекламы — заявлен

✓ Общая адаткезелэши-тайекозтато в разделе о посещении сайта — заявляет, что «в этом объёме обработки передачи данных не происходит» (прямое противоречие с фактом) — заявлен

✓ Google Analytics, DoubleClick/Google Ads и YouTube поимённо в политике не названы — заявлен

+ Google Ads / DoubleClick, GA Audiences, измерение конверсий — рекламные/ремаркетинговые получатели IP из США, до согласия, поимённо не названы — не заявлен

+ YouTube-эмбеды в обычном (не приватном) режиме — получатель IP из США, до согласия, не назван — не заявлен

+ Google Fonts (fonts.gstatic.com) — сторонний получатель IP из США, до согласия, не назван — не заявлен

Тайминги передачи

+1416 мс region1.analytics.google.com

GA4 /g/collect — хит отправлен. Google, США (региональный эндпоинт ЕС).

+1418 мс stats.g.doubleclick.net

DoubleClick /g/collect — отправлен. Google, США.

+1455 мс www.google.ee

GA Audiences — ремаркетинговый пиксель. Google, США.

+1456 мс www.google.com

ccm/collect — измерение конверсий Google Ads. Google, США.

+1562 мс www.youtube.com

Три эмбеда (обычные, не nocookie) + телеметрия. Google, США.

+2421 мс googleads.g.doubleclick.net

DoubleClick pagead/id (×12) из YouTube-эмбедов. Google, США.

+1859 мс fonts.gstatic.com

Файлы шрифта Roboto. Google, США.

Зафиксированные трекеры

Google Ads / DoubleClick (googleads.g.doubleclick.net, static.doubleclick.net, stats.g.doubleclick.net) — реклама и ремаркетинг, до согласия, хиты отправлены
GA Audiences ремаркетинг (google.ee/ads/ga-audiences) и Google Ads конверсии (google.com/ccm/collect) — до согласия, отправлены
Google Analytics 4 (gtag G-8R38V2GJB1; region1.analytics.google.com/g/collect) — до согласия, хиты отправлены
YouTube-эмбеды (youtube.com/embed ×3, обычные, не nocookie; i.ytimg.com) — до согласия
Google Fonts (fonts.gstatic.com — Roboto) — до согласия, в политике не назван

Признаки несоответствия GDPR

ePrivacy (венгерская имплементация) — реклама и ремаркетинг до согласия, недействительная модель согласия
До какого-либо согласия отправляются рекламные и ремаркетинговые обращения в инфраструктуру Google: DoubleClick (googleads.g.doubleclick.net ×12, static.doubleclick.net, stats.g.doubleclick.net/g/collect), ремаркетинговый пиксель GA Audiences (google.ee/ads/ga-audiences), измерение конверсий Google Ads (google.com/ccm/collect) и хиты GA4 (region1.analytics.google.com/g/collect ×2). Это не просто загрузка библиотек — обращения фактически отправлены (коды 200/204). При этом модель согласия сайта — «пользуясь сайтом, вы принимаете использование cookie», то есть согласие «через продолжение просмотра», без равноценного отклонения. Рекламные и ремаркетинговые cookie по правилам требуют предварительного явного согласия; здесь они срабатывают до него. Set-Cookie за сеанс ноль.
GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и трансграничная передача
До согласия IP посетителя и данные о просмотре уходят в Google (США) через все перечисленные сервисы, а также в YouTube (Google) — на странице встроены три ролика через обычный youtube.com/embed (не режим youtube-nocookie), из-за чего подгружается рекламная инфраструктура DoubleClick и телеметрия YouTube (youtubei/v1/log_event). Дополнительно грузится Google Fonts (Roboto). Общая политика MNB в разделе о посещении сайта прямо заявляет, что «в этом объёме обработки передачи данных не происходит», что фактическому поведению сайта прямо противоречит; отдельная cookie-страница признаёт измерительные коды Google (и Yahoo) для анализа поведения и показа рекламы, но Google Analytics, DoubleClick и YouTube поимённо не называет.

Контекст

mnb.hu — сайт Центрального банка Венгрии (Magyar Nemzeti Bank, MNB), национального финансового регулятора и эмиссионного банка страны. Ответственный за обработку — MNB. Сайт отдаётся с HSTS. Замер: 118 запросов, 12 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя и данные о просмотре через Google Analytics, Google Ads / DoubleClick (реклама и ремаркетинг), GA Audiences, измерение конверсий Google Ads, YouTube-эмбеды и Google Fonts.

Заявленное против фактического

Для сайта центрального банка профиль неожиданно тяжёлый. Замер показывает, что до какого-либо согласия сайт не просто загружает трекеры, а фактически отправляет обращения в аналитическую и рекламную инфраструктуру Google. На +1416 мс уходят хиты GA4 (region1.analytics.google.com/g/collect). Практически одновременно отправляются обращение DoubleClick (stats.g.doubleclick.net), ремаркетинговый пиксель GA Audiences (google.ee/ads/ga-audiences) и измерение конверсий Google Ads (google.com/ccm/collect). Далее, из-за трёх встроенных роликов YouTube, подключённых через обычный youtube.com/embed (а не приватный режим youtube-nocookie), многократно вызывается рекламная инфраструктура DoubleClick (googleads.g.doubleclick.net/pagead/id, static.doubleclick.net) и телеметрия YouTube. Всё это — до согласия.

Теперь сопоставление с политикой. Отдельная cookie-страница MNB признаёт, что для анализа поведения пользователей применяются измерительные коды (web beacon) от Google и Yahoo, и что собранные данные могут использоваться в том числе для показа релевантной рекламы. То есть на этой странице сам факт рекламной аналитики раскрыт — хотя ни Google Analytics, ни DoubleClick, ни YouTube не названы поимённо. Но модель согласия на ней недействительна: «пользуясь сайтом, вы принимаете использование cookie», без равноценного отклонения и без удержания рекламных тегов до выбора. А общая адаткезелэши-тайекозтато MNB в разделе о данных при посещении сайта содержит прямо противоположное утверждение: «в этом объёме обработки передачи данных не происходит». Замер этому противоречит буквально: передача данных в Google и YouTube идёт при каждом заходе.

Главное здесь даже не нераскрытие, а два обстоятельства: во-первых, срабатывают рекламные и ремаркетинговые обращения (DoubleClick, GA Audiences, измерение конверсий) — а они требуют предварительного явного согласия; во-вторых, они срабатывают при недействительной модели согласия и при прямом заявлении части политики об отсутствии передачи данных.

Тайминг относительно согласия

Аналитические и рекламные обращения идут на +1416–1456 мс, YouTube и его рекламная инфраструктура — на +1562–4733 мс, второй хит GA4 — на +6494 мс. Все до какого-либо действия посетителя. Модель «согласие продолжением просмотра» ничего не удерживает. Согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Упомянутые в политике измерительные коды Yahoo в данном замере не наблюдаются — виден только Google. Идентификаторы клиента/устройства, которые несут обращения GA и DoubleClick, в карточке намеренно не приводятся. GA4 обращается к региональному эндпоинту ЕС (region1), но рекламная инфраструктура DoubleClick и Google Ads — это рекламные сервисы Google (США). Google может использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателя, а не о месте узла. Set-Cookie на уровне HTTP-заголовков ноль, но GA, DoubleClick и YouTube выставляют собственные cookie средствами JavaScript, что в этом виде замера не отражается. Серверная обработка в браузерном замере не видна.

Вывод

Сайт Центрального банка Венгрии до какого-либо согласия отправляет данные посетителя в аналитическую и — что существеннее — в рекламную инфраструктуру Google: хиты GA4, обращения DoubleClick, ремаркетинговый пиксель GA Audiences и измерение конверсий Google Ads, а также подгружает три ролика YouTube в обычном, не приватном режиме, тянущем за собой рекламную инфраструктуру. Модель согласия сайта — «пользуясь сайтом, вы принимаете cookie» — под GDPR недействительна, а рекламные и ремаркетинговые обращения по правилам требуют предварительного явного согласия, которого здесь нет. Дополнительно общая политика органа в разделе о посещении сайта прямо заявляет об отсутствии передачи данных, что фактическому поведению противоречит. Запуск рекламного и ремаркетингового трекинга и передача данных стороннему получателю в США до согласия, при недействительной модели согласия, указывают на несоблюдение требований о порядке получения согласия, о раскрытии получателей и о трансграничной передаче — и для национального центрального банка это особенно весомо. Устранение в руках самого органа: поставить полноценный consent-баннер с равноценным отклонением, запускать GA4, Google Ads и DoubleClick только после согласия, переключить встроенные ролики на режим youtube-nocookie и подключать их после согласия, разместить шрифты локально и привести формулировку об «отсутствии передачи данных» в соответствие с действительностью.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: hu/mnb-hu-2026-05-29.har

SHA-256: 51ed0f2ba3552bc63952af1f24e76e95c8ed42e12687a523a45c493cf91f6f1b

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — mnb.hu

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта mnb.hu.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) До какого-либо согласия отправляются рекламные и ремаркетинговые обращения в инфраструктуру Google: DoubleClick (googleads.g.doubleclick.net ×12, static.doubleclick.net, stats.g.doubleclick.net/g/collect), ремаркетинговый пиксель GA Audiences (google.ee/ads/ga-audiences), измерение конверсий Google Ads (google.com/ccm/collect) и хиты GA4 (region1.analytics.google.com/g/collect ×2). Это не просто загрузка библиотек — обращения фактически отправлены (коды 200/204). При этом модель согласия сайта — «пользуясь сайтом, вы принимаете использование cookie», то есть согласие «через продолжение просмотра», без равноценного отклонения. Рекламные и ремаркетинговые cookie по правилам требуют предварительного явного согласия; здесь они срабатывают до него. Set-Cookie за сеанс ноль.

2) До согласия IP посетителя и данные о просмотре уходят в Google (США) через все перечисленные сервисы, а также в YouTube (Google) — на странице встроены три ролика через обычный youtube.com/embed (не режим youtube-nocookie), из-за чего подгружается рекламная инфраструктура DoubleClick и телеметрия YouTube (youtubei/v1/log_event). Дополнительно грузится Google Fonts (Roboto). Общая политика MNB в разделе о посещении сайта прямо заявляет, что «в этом объёме обработки передачи данных не происходит», что фактическому поведению сайта прямо противоречит; отдельная cookie-страница признаёт измерительные коды Google (и Yahoo) для анализа поведения и показа рекламы, но Google Analytics, DoubleClick и YouTube поимённо не называет.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/hu-mnb-hu/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — mnb.hu

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website mnb.hu.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) Prior to any consent, advertising and remarketing calls are sent to Google's infrastructure: DoubleClick (googleads.g.doubleclick.net ×12, static.doubleclick.net, stats.g.doubleclick.net/g/collect), the GA Audiences remarketing pixel (google.ee/ads/ga-audiences), Google Ads conversion measurement (google.com/ccm/collect), and GA4 hits (region1.analytics.google.com/g/collect ×2). This is not merely library loading — the calls are actually sent (HTTP 200/204 status codes). Meanwhile, the site's consent model is 'by using the site, you accept the use of cookies,' i.e., consent by continued browsing, with no equally prominent rejection option. Advertising and remarketing cookies require explicit prior consent under the applicable rules; here they fire before it. Set-Cookie across the session is zero.

2) Prior to consent, the visitor's IP address and viewing data are transmitted to Google (USA) via all the services listed above, as well as to YouTube (Google) — three videos are embedded on the page via the standard youtube.com/embed (not youtube-nocookie mode), which loads DoubleClick advertising infrastructure and YouTube telemetry (youtubei/v1/log_event). Google Fonts (Roboto) additionally loads. MNB's general privacy policy, in the section on visiting the site, states directly that 'no data transfer occurs within this scope of processing,' which directly contradicts the site's actual behavior; a separate cookie page acknowledges Google (and Yahoo) measurement codes for behavior analysis and ad targeting, but names neither Google Analytics, DoubleClick, nor YouTube specifically.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/hu-mnb-hu/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: NAIH — Венгерский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — mnb.hu

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом mnb.hu.

2. Обстоятельства
Я посетил сайт mnb.hu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) До какого-либо согласия отправляются рекламные и ремаркетинговые обращения в инфраструктуру Google: DoubleClick (googleads.g.doubleclick.net ×12, static.doubleclick.net, stats.g.doubleclick.net/g/collect), ремаркетинговый пиксель GA Audiences (google.ee/ads/ga-audiences), измерение конверсий Google Ads (google.com/ccm/collect) и хиты GA4 (region1.analytics.google.com/g/collect ×2). Это не просто загрузка библиотек — обращения фактически отправлены (коды 200/204). При этом модель согласия сайта — «пользуясь сайтом, вы принимаете использование cookie», то есть согласие «через продолжение просмотра», без равноценного отклонения. Рекламные и ремаркетинговые cookie по правилам требуют предварительного явного согласия; здесь они срабатывают до него. Set-Cookie за сеанс ноль.

2) До согласия IP посетителя и данные о просмотре уходят в Google (США) через все перечисленные сервисы, а также в YouTube (Google) — на странице встроены три ролика через обычный youtube.com/embed (не режим youtube-nocookie), из-за чего подгружается рекламная инфраструктура DoubleClick и телеметрия YouTube (youtubei/v1/log_event). Дополнительно грузится Google Fonts (Roboto). Общая политика MNB в разделе о посещении сайта прямо заявляет, что «в этом объёме обработки передачи данных не происходит», что фактическому поведению сайта прямо противоречит; отдельная cookie-страница признаёт измерительные коды Google (и Yahoo) для анализа поведения и показа рекламы, но Google Analytics, DoubleClick и YouTube поимённо не называет.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/hu-mnb-hu/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy (венгерская имплементация) — реклама и ремаркетинг до согласия, недействительная модель согласия; GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и трансграничная передача

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — mnb.hu

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website mnb.hu.

2. Circumstances
I visited the website mnb.hu and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 29 May 2026 (open methodology, reproducible measurements) documents the following indications:

1) Prior to any consent, advertising and remarketing calls are sent to Google's infrastructure: DoubleClick (googleads.g.doubleclick.net ×12, static.doubleclick.net, stats.g.doubleclick.net/g/collect), the GA Audiences remarketing pixel (google.ee/ads/ga-audiences), Google Ads conversion measurement (google.com/ccm/collect), and GA4 hits (region1.analytics.google.com/g/collect ×2). This is not merely library loading — the calls are actually sent (HTTP 200/204 status codes). Meanwhile, the site's consent model is 'by using the site, you accept the use of cookies,' i.e., consent by continued browsing, with no equally prominent rejection option. Advertising and remarketing cookies require explicit prior consent under the applicable rules; here they fire before it. Set-Cookie across the session is zero.

2) Prior to consent, the visitor's IP address and viewing data are transmitted to Google (USA) via all the services listed above, as well as to YouTube (Google) — three videos are embedded on the page via the standard youtube.com/embed (not youtube-nocookie mode), which loads DoubleClick advertising infrastructure and YouTube telemetry (youtubei/v1/log_event). Google Fonts (Roboto) additionally loads. MNB's general privacy policy, in the section on visiting the site, states directly that 'no data transfer occurs within this scope of processing,' which directly contradicts the site's actual behavior; a separate cookie page acknowledges Google (and Yahoo) measurement codes for behavior analysis and ad targeting, but names neither Google Analytics, DoubleClick, nor YouTube specifically.

Full technical documentation is published at: https://gdpru.eu/audits/hu-mnb-hu/

3. GDPR provisions I ask you to examine
ePrivacy (Hungarian implementation) — advertising and remarketing prior to consent, invalid consent model; GDPR Art. 13(1)(e) + Chapter V — disclosure of recipients and cross-border transfer

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]