RU EN
www.
Технический аудит · 29.05.2026

mta.hu

Академия наук Венгрии
HU

Академия наук Венгрии (MTA) — 184 запроса, 5 доменов. Баннера согласия на странице нет: Google Analytics и self-hosted Piwik/Matomo срабатывают сразу на загрузке и регистрируют визит до какого-либо выбора, а Google Analytics передаёт данные без сигнала согласия. Дополнительно до согласия грузятся шрифты cloud.typography.com (США).

Хронология обращений

+0 мс · загрузка портала
Разметка, стили, скрипты и изображения — с собственного домена mta.hu. Часть контента — с собственного поддомена академии.
+399 мс · Google Tag Manager и шрифты до согласия
www.googletagmanager.com/gtag/js (идентификатор G-45NN4EM3BG) и cloud.typography.com — шрифтовой сервис Hoefler&Co (США). Оба на загрузке страницы.
баннер согласия отсутствует
Ни consent-менеджера, ни баннера согласия в замере нет. Аналитика срабатывает безусловно.
+637 мс · Google Analytics без согласия
region1.google-analytics.com/g/collect — hit-запрос GA4. Сигнала Consent Mode (gcs) в запросе нет. Set-Cookie за сеанс ноль; выбор пользователем не сделан.
+2587…+3262 мс · Piwik регистрирует визит без согласия
doktar.titkarsag.mta.hu/analytics/piwik/piwik.js и следом piwik.php с rec=1 — self-hosted аналитика на поддомене академии фактически регистрирует визит (идентификатор посетителя, URL страницы).

Декларация против факта

✓ По венгерскому праву аналитические (статистические) cookie активируются только с согласия посетителя (GDPR ст. 6(1)(a)) — заявлен
✓ Структуры MTA используют Google Analytics и Piwik/Matomo для статистики посещаемости — заявлен
+ Google Analytics (GA4 G-45NN4EM3BG) и Piwik/Matomo срабатывают и регистрируют визит до согласия — не заявлен
+ Баннер согласия в замере отсутствует; сигнала Consent Mode (gcs) в запросе Google Analytics нет — не заявлен
+ cloud.typography.com (Hoefler&Co, США) — сторонний получатель IP, до согласия — не заявлен

Тайминги передачи

+399 мс www.googletagmanager.com

Google Tag Manager (G-45NN4EM3BG). Google, США.

+400 мс cloud.typography.com

Шрифты Hoefler&Co / Monotype. США.

+637 мс region1.google-analytics.com

GA4 g/collect. Сигнала gcs нет.

+3262 мс doktar.titkarsag.mta.hu

Piwik piwik.php rec=1 с идентификатором посетителя. Self-hosted.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

mta.hu — сайт Венгерской академии наук (Magyar Tudományos Akadémia, MTA), высшего научного учреждения страны. Ответственный за обработку — MTA. Замер: 184 запроса, 5 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя через Google Analytics и Google Tag Manager. Hoefler&Co / Monotype (США) — IP через шрифтовой сервис cloud.typography.com. Piwik/Matomo размещён на поддомене самой академии и внешнему получателю данные не передаёт.

Заявленное против фактического

По венгерскому праву и общей практике научно-государственных сайтов аналитические (статистические) cookie относятся к необязательным и активируются только после согласия посетителя. Структуры академии в своих материалах называют Google Analytics и Piwik/Matomo как используемые инструменты статистики.

Замер показывает, что на главной странице обе аналитические системы срабатывают до какого-либо согласия и без баннера. На +399 мс подключается Google Tag Manager (идентификатор G-45NN4EM3BG), а на +637 мс Google Analytics 4 отправляет hit-запрос регистрации визита (region1.google-analytics.com/g/collect); при этом в запросе отсутствует сигнал Consent Mode (параметр gcs), то есть согласие не собрано и Google об этом не сигналится. Параллельно работает вторая аналитика: self-hosted Piwik/Matomo на поддомене академии (doktar.titkarsag.mta.hu) на +3262 мс отправляет запрос piwik.php с параметром rec=1, означающим фактическую регистрацию визита, вместе с уникальным идентификатором посетителя и URL страницы. То есть визит записывается дважды — и в Google, и в собственный Piwik, — до какого-либо выбора пользователя.

Дополнительно на +400 мс загружаются шрифты со стороннего сервиса cloud.typography.com (Hoefler&Co / Monotype, США), передавая IP посетителя стороннему получателю. Consent-менеджера или баннера согласия на странице нет вовсе. Cookie в снятых заголовках не выставлены (Set-Cookie ноль).

Тайминг относительно согласия

Google Tag Manager и шрифты — на +399–400 мс, регистрация визита Google Analytics — на +637 мс, регистрация визита Piwik — на +3262 мс. Всё до какого-либо выбора пользователя. Баннера согласия, который мог бы этому предшествовать, на странице нет. Согласие в сеансе не давалось, и сигнала Consent Mode в запросе Google Analytics нет.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу в состоянии до согласия. Set-Cookie в снятых заголовках отсутствует; вывод сделан по факту загрузки GTM и по hit-запросам регистрации визита Google Analytics и Piwik, а не по заголовкам cookie. Piwik/Matomo размещён на поддомене самой академии, поэтому его данные стороннему получателю не уходят; вопрос здесь — правовое основание записи визита до согласия. Google и Monotype могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США), а не о местоположении узлов. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт Венгерской академии наук запускает сразу две аналитические системы — Google Analytics и self-hosted Piwik/Matomo — на загрузке страницы, без какого-либо баннера согласия, и обе фактически регистрируют визит посетителя; при этом Google Analytics передаёт данные без сигнала Consent Mode. Дополнительно до согласия в Google и на шрифтовой сервис в США уходит IP посетителя. По венгерскому праву аналитические cookie требуют согласия. Запуск аналитики и регистрация визита по умолчанию, при каждом заходе и вне механизма согласия, а также передача IP сторонним получателям в США, указывают на несоблюдение требований о правовом основании обработки и о трансграничной передаче. Устранение: внедрить баннер согласия и удерживать Google Analytics, Piwik и сторонние шрифты до фактического согласия либо перевести Piwik в режим полностью анонимной статистики без идентификаторов и разместить шрифты локально.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: hu/mta-hu-2026-05-29.har
SHA-256: 2003ff07dce30e0ab82e0c16de693869490afe8eb0f7258c43ab0eea95cc98ff
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — mta.hu

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта mta.hu.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На загрузке страницы, без какого-либо баннера согласия, срабатывают сразу две аналитические системы. Google Tag Manager и Google Analytics 4 (идентификатор G-45NN4EM3BG) отправляют hit-запрос region1.google-analytics.com/g/collect (на +637 мс); в запросе нет сигнала Consent Mode (gcs), то есть согласие не сигналится. Параллельно self-hosted Piwik/Matomo на поддомене академии (doktar.titkarsag.mta.hu) отправляет запрос piwik.php с rec=1 (реальная запись визита), уникальным идентификатором посетителя (_id) и URL страницы. Consent-менеджера или баннера согласия в замере нет. По венгерскому праву аналитические cookie активируются только с согласия.

2) До согласия IP посетителя уходит в Google (Analytics, Tag Manager) и на шрифтовой сервис cloud.typography.com (Hoefler&Co / Monotype), оба — компании США. Google Analytics передаёт данные без сигнала согласия.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/hu-mta-hu/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: NAIH — Венгерский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — mta.hu

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом mta.hu.

2. Обстоятельства
Я посетил сайт mta.hu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На загрузке страницы, без какого-либо баннера согласия, срабатывают сразу две аналитические системы. Google Tag Manager и Google Analytics 4 (идентификатор G-45NN4EM3BG) отправляют hit-запрос region1.google-analytics.com/g/collect (на +637 мс); в запросе нет сигнала Consent Mode (gcs), то есть согласие не сигналится. Параллельно self-hosted Piwik/Matomo на поддомене академии (doktar.titkarsag.mta.hu) отправляет запрос piwik.php с rec=1 (реальная запись визита), уникальным идентификатором посетителя (_id) и URL страницы. Consent-менеджера или баннера согласия в замере нет. По венгерскому праву аналитические cookie активируются только с согласия.

2) До согласия IP посетителя уходит в Google (Analytics, Tag Manager) и на шрифтовой сервис cloud.typography.com (Hoefler&Co / Monotype), оба — компании США. Google Analytics передаёт данные без сигнала согласия.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/hu-mta-hu/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 6 + ePrivacy (венгерская имплементация) — аналитика до согласия, без баннера; GDPR Art. 13(1)(e) + Chapter V — сторонний получатель до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]