mol.hu

Контекст

mol.hu — сайт компании MOL (MOL Magyar Olaj- és Gázipari Nyrt.), крупнейшей нефтегазовой компании Венгрии, оператора сети АЗС и энергетического бизнеса. Ответственный за обработку — MOL. Сайт построен на nginx и снабжён собственным consent-менеджером. Замер: 197 запросов, 16 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — Analytics, Ads/AdSense, Tag Manager, Maps. Meta/Facebook (США) — пиксель, 3 hit-запроса. LinkedIn (США) — Insight Tag, collect, attribution.

Заявленное против фактического

Cookie-политика MOL построена подробно и категоризирует cookie на необходимые, функциональные, статистические и рекламные. Она прямо заявляет, что рекламные и маркетинговые cookie активируются только с согласия посетителя, и отдельно признаёт, что для ряда сторонних cookie данные передаются за пределы Европейского экономического пространства — конкретно в Google LLC, Meta Platforms Inc. и Xandr Inc. (США) — на основании стандартных договорных условий (SCC). На сайте присутствует собственный consent-менеджер (mol.hu/js/cookie-consent), загружающийся на +343 мс.

Замер показывает, что механизм согласия присутствует, но рекламу и трекинг он не удерживает. Facebook-пиксель отправляет свой первый hit-запрос (facebook.com/tr) уже на +1175 мс, всего через несколько сотен миллисекунд после загрузки consent-скрипта. Следом, на +1862 мс, начинаются множественные обращения к Google Ads/AdSense (pagead2.googlesyndication.com/ccm/collect) — это conversion- и remarketing-теги (в наборе контейнеров присутствуют идентификаторы AW- и DC-, характерные для рекламных кампаний и Campaign Manager). На +2380 мс Google Analytics 4 (идентификатор G-J41WQS5HPG) отправляет данные с сигналом gcs=G100, что соответствует состоянию «согласие не дано». На +2679 мс отрабатывает LinkedIn Ads: px.ads.linkedin.com/collect, attribution_trigger и Insight Tag с snap.licdn.com.

Таким образом consent-менеджер на сайте есть, но фактическая передача данных рекламным и аналитическим получателям от него не зависит и происходит до выбора пользователя. Cookie в снятых заголовках не выставлены (Set-Cookie ноль), однако отсутствие cookie не отменяет уже состоявшейся передачи данных пикселями и коллекторами.

Тайминг относительно согласия

Consent-скрипт — на +343 мс, Facebook-пиксель — на +1175 мс, Google Ads — с +1862 мс, Google Analytics (gcs=G100) — на +2380 мс, LinkedIn Ads — на +2679 мс. Все рекламные и аналитические обращения предшествуют какому-либо выбору пользователя. Согласие в сеансе не давалось, и Google Analytics прямо помечает данные как отправленные без согласия.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу в состоянии до согласия. Set-Cookie в снятых заголовках отсутствует; вывод сделан по факту загрузки скриптов и по hit-запросам пикселей и коллекторов (Facebook /tr, Google Ads ccm/collect, GA g/collect, LinkedIn collect), а также по сигналу согласия в запросе Google Analytics. Google, Meta и LinkedIn могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США), а не о местоположении узлов. Поведение после нажатия «принять» или «отклонить» в данном сеансе не наблюдается. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт крупнейшей нефтегазовой компании Венгрии снабжён собственным consent-менеджером, но реклама и трекинг запускаются, не дожидаясь согласия: Facebook-пиксель, Google Ads/AdSense, Google Analytics и LinkedIn Ads отправляют данные до выбора пользователя, а Google Analytics помечает их флагом «согласие не дано». Cookie-политика MOL при этом прямо заявляет, что рекламные и маркетинговые cookie активируются только с согласия, и признаёт передачу данных в США. Расхождение между заявленным и фактическим здесь принципиальное: механизм согласия присутствует, но не управляет реальной передачей данных, которая уходит рекламным получателям в США по умолчанию. Это составляет нарушение требований о правовом основании обработки и о трансграничной передаче. Устранение: связать все рекламные и аналитические теги с consent-менеджером и удерживать их (в том числе через Google Consent Mode) до фактического согласия.