RU EN
www.
Технический аудит · 29.05.2026

mol.hu

Нефтегазовая компания Венгрии
HU

Нефтегазовая компания Венгрии (MOL) — 197 запросов, 16 доменов. Собственный consent-менеджер на сайте присутствует, но реклама и трекинг его не дожидаются: Facebook-пиксель, Google Ads, Google Analytics и LinkedIn Ads отправляют данные до согласия, а Google Analytics помечает их флагом «согласие не дано». Cookie-политика при этом заявляет рекламные cookie только с согласия.

Хронология обращений

+0 мс · загрузка портала
Разметка и ресурсы — с собственного домена mol.hu (nginx). Собственный consent-менеджер (js/cookie-consent) загружается на +343 мс.
+343 мс · Google Maps и consent-скрипт
maps.googleapis.com — карта заправок; параллельно грузится собственный consent-менеджер mol.hu/js/cookie-consent.
+887…+1175 мс · Facebook до согласия
connect.facebook.net (SDK, fbevents.js) и www.facebook.com/tr — Facebook-пиксель отправляет первый hit-запрос ещё до какого-либо выбора.
consent-менеджер присутствует, но не удерживает трекеры
Собственный cookie-consent на сайте есть, но рекламные и аналитические обращения от него не зависят и уходят до выбора пользователя.
+1862…+2380 мс · Google Ads и Analytics без согласия
pagead2.googlesyndication.com/ccm/collect (множественные, Google Ads/AdSense) и region1.google-analytics.com/g/collect с gcs=G100 (согласие не дано). Set-Cookie за сеанс ноль; выбор пользователем не сделан.
+2679 мс · LinkedIn Ads без согласия
px.ads.linkedin.com/collect, /attribution_trigger, /wa/ и snap.licdn.com (Insight Tag) — трекинг LinkedIn без собранного согласия.

Декларация против факта

✓ Собственный consent-менеджер (mol.hu/js/cookie-consent) — заявлен
✓ Cookie-политика — рекламные и маркетинговые cookie (Google, Meta, Xandr) только с согласия — заявлен
✓ Признаётся передача данных за пределы ЕЭП (Google LLC, Meta Platforms Inc., Xandr Inc.) по стандартным договорным условиям (SCC) — заявлен
+ Facebook-пиксель, Google Ads, Google Analytics и LinkedIn Ads срабатывают до согласия — не заявлен
+ Google Analytics отправляет данные с сигналом gcs=G100 (согласие не дано) — не заявлен

Тайминги передачи

+1175 мс www.facebook.com

Facebook-пиксель hit-запрос. Meta, США.

+1862 мс pagead2.googlesyndication.com

ccm/collect (conversion/remarketing). Google, США.

+2380 мс region1.google-analytics.com

GA4 G-J41WQS5HPG. Флаг «согласие не дано».

+2679 мс px.ads.linkedin.com

collect + attribution_trigger. LinkedIn, США.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

mol.hu — сайт компании MOL (MOL Magyar Olaj- és Gázipari Nyrt.), крупнейшей нефтегазовой компании Венгрии, оператора сети АЗС и энергетического бизнеса. Ответственный за обработку — MOL. Сайт построен на nginx и снабжён собственным consent-менеджером. Замер: 197 запросов, 16 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — Analytics, Ads/AdSense, Tag Manager, Maps. Meta/Facebook (США) — пиксель, 3 hit-запроса. LinkedIn (США) — Insight Tag, collect, attribution.

Заявленное против фактического

Cookie-политика MOL построена подробно и категоризирует cookie на необходимые, функциональные, статистические и рекламные. Она прямо заявляет, что рекламные и маркетинговые cookie активируются только с согласия посетителя, и отдельно признаёт, что для ряда сторонних cookie данные передаются за пределы Европейского экономического пространства — конкретно в Google LLC, Meta Platforms Inc. и Xandr Inc. (США) — на основании стандартных договорных условий (SCC). На сайте присутствует собственный consent-менеджер (mol.hu/js/cookie-consent), загружающийся на +343 мс.

Замер показывает, что механизм согласия присутствует, но рекламу и трекинг он не удерживает. Facebook-пиксель отправляет свой первый hit-запрос (facebook.com/tr) уже на +1175 мс, всего через несколько сотен миллисекунд после загрузки consent-скрипта. Следом, на +1862 мс, начинаются множественные обращения к Google Ads/AdSense (pagead2.googlesyndication.com/ccm/collect) — это conversion- и remarketing-теги (в наборе контейнеров присутствуют идентификаторы AW- и DC-, характерные для рекламных кампаний и Campaign Manager). На +2380 мс Google Analytics 4 (идентификатор G-J41WQS5HPG) отправляет данные с сигналом gcs=G100, что соответствует состоянию «согласие не дано». На +2679 мс отрабатывает LinkedIn Ads: px.ads.linkedin.com/collect, attribution_trigger и Insight Tag с snap.licdn.com.

Таким образом consent-менеджер на сайте есть, но фактическая передача данных рекламным и аналитическим получателям от него не зависит и происходит до выбора пользователя. Cookie в снятых заголовках не выставлены (Set-Cookie ноль), однако отсутствие cookie не отменяет уже состоявшейся передачи данных пикселями и коллекторами.

Тайминг относительно согласия

Consent-скрипт — на +343 мс, Facebook-пиксель — на +1175 мс, Google Ads — с +1862 мс, Google Analytics (gcs=G100) — на +2380 мс, LinkedIn Ads — на +2679 мс. Все рекламные и аналитические обращения предшествуют какому-либо выбору пользователя. Согласие в сеансе не давалось, и Google Analytics прямо помечает данные как отправленные без согласия.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу в состоянии до согласия. Set-Cookie в снятых заголовках отсутствует; вывод сделан по факту загрузки скриптов и по hit-запросам пикселей и коллекторов (Facebook /tr, Google Ads ccm/collect, GA g/collect, LinkedIn collect), а также по сигналу согласия в запросе Google Analytics. Google, Meta и LinkedIn могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США), а не о местоположении узлов. Поведение после нажатия «принять» или «отклонить» в данном сеансе не наблюдается. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт крупнейшей нефтегазовой компании Венгрии снабжён собственным consent-менеджером, но реклама и трекинг запускаются, не дожидаясь согласия: Facebook-пиксель, Google Ads/AdSense, Google Analytics и LinkedIn Ads отправляют данные до выбора пользователя, а Google Analytics помечает их флагом «согласие не дано». Cookie-политика MOL при этом прямо заявляет, что рекламные и маркетинговые cookie активируются только с согласия, и признаёт передачу данных в США. Расхождение между заявленным и фактическим здесь принципиальное: механизм согласия присутствует, но не управляет реальной передачей данных, которая уходит рекламным получателям в США по умолчанию. Это указывает на несоблюдение требований о правовом основании обработки и о трансграничной передаче. Устранение: связать все рекламные и аналитические теги с consent-менеджером и удерживать их (в том числе через Google Consent Mode) до фактического согласия.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: hu/mol-hu-2026-05-29.har
SHA-256: c1d0929978c5cf3904ec068ab9e3be893ea0bf50bb9cbe229289336e21fa00d3
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — mol.hu

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта mol.hu.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте присутствует собственный consent-менеджер (mol.hu/js/cookie-consent/, загружается на +343 мс), однако рекламные и трекинговые сервисы срабатывают, не дожидаясь согласия. Facebook-пиксель отправляет hit-запросы facebook.com/tr (первый на +1175 мс), Google Ads/AdSense — pagead2.googlesyndication.com/ccm/collect (на +1862 мс, множественные), Google Analytics 4 (G-J41WQS5HPG) — region1.google-analytics.com/g/collect с сигналом gcs=G100 (согласие не дано), LinkedIn Ads — px.ads.linkedin.com/collect и attribution_trigger (на +2679 мс). Cookie-политика MOL прямо заявляет, что рекламные и маркетинговые cookie (Google, Meta, Xandr) активируются только с согласия. Фактически же они отрабатывают до какого-либо выбора.

2) До согласия IP и идентификаторы посетителя уходят рекламным получателям в США: Google (Analytics, Ads, Maps), Meta/Facebook (пиксель), LinkedIn. Cookie-политика сама признаёт, что данные передаются за пределы ЕЭП (Google LLC, Meta Platforms Inc., Xandr Inc.) по стандартным договорным условиям (SCC), — но эта передача по факту происходит ещё до сбора согласия.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/hu-mol-hu/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: NAIH — Венгерский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — mol.hu

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом mol.hu.

2. Обстоятельства
Я посетил сайт mol.hu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте присутствует собственный consent-менеджер (mol.hu/js/cookie-consent/, загружается на +343 мс), однако рекламные и трекинговые сервисы срабатывают, не дожидаясь согласия. Facebook-пиксель отправляет hit-запросы facebook.com/tr (первый на +1175 мс), Google Ads/AdSense — pagead2.googlesyndication.com/ccm/collect (на +1862 мс, множественные), Google Analytics 4 (G-J41WQS5HPG) — region1.google-analytics.com/g/collect с сигналом gcs=G100 (согласие не дано), LinkedIn Ads — px.ads.linkedin.com/collect и attribution_trigger (на +2679 мс). Cookie-политика MOL прямо заявляет, что рекламные и маркетинговые cookie (Google, Meta, Xandr) активируются только с согласия. Фактически же они отрабатывают до какого-либо выбора.

2) До согласия IP и идентификаторы посетителя уходят рекламным получателям в США: Google (Analytics, Ads, Maps), Meta/Facebook (пиксель), LinkedIn. Cookie-политика сама признаёт, что данные передаются за пределы ЕЭП (Google LLC, Meta Platforms Inc., Xandr Inc.) по стандартным договорным условиям (SCC), — но эта передача по факту происходит ещё до сбора согласия.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/hu-mol-hu/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 6 + ePrivacy (венгерская имплементация) — реклама и трекинг до согласия; GDPR Art. 13(1)(e) + Chapter V — трансграничная передача до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]