mta.hu

Контекст

mta.hu — сайт Венгерской академии наук (Magyar Tudományos Akadémia, MTA), высшего научного учреждения страны. Ответственный за обработку — MTA. Замер: 184 запроса, 5 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя через Google Analytics и Google Tag Manager. Hoefler&Co / Monotype (США) — IP через шрифтовой сервис cloud.typography.com. Piwik/Matomo размещён на поддомене самой академии и внешнему получателю данные не передаёт.

Заявленное против фактического

По венгерскому праву и общей практике научно-государственных сайтов аналитические (статистические) cookie относятся к необязательным и активируются только после согласия посетителя. Структуры академии в своих материалах называют Google Analytics и Piwik/Matomo как используемые инструменты статистики.

Замер показывает, что на главной странице обе аналитические системы срабатывают до какого-либо согласия и без баннера. На +399 мс подключается Google Tag Manager (идентификатор G-45NN4EM3BG), а на +637 мс Google Analytics 4 отправляет hit-запрос регистрации визита (region1.google-analytics.com/g/collect); при этом в запросе отсутствует сигнал Consent Mode (параметр gcs), то есть согласие не собрано и Google об этом не сигналится. Параллельно работает вторая аналитика: self-hosted Piwik/Matomo на поддомене академии (doktar.titkarsag.mta.hu) на +3262 мс отправляет запрос piwik.php с параметром rec=1, означающим фактическую регистрацию визита, вместе с уникальным идентификатором посетителя и URL страницы. То есть визит записывается дважды — и в Google, и в собственный Piwik, — до какого-либо выбора пользователя.

Дополнительно на +400 мс загружаются шрифты со стороннего сервиса cloud.typography.com (Hoefler&Co / Monotype, США), передавая IP посетителя стороннему получателю. Consent-менеджера или баннера согласия на странице нет вовсе. Cookie в снятых заголовках не выставлены (Set-Cookie ноль).

Тайминг относительно согласия

Google Tag Manager и шрифты — на +399–400 мс, регистрация визита Google Analytics — на +637 мс, регистрация визита Piwik — на +3262 мс. Всё до какого-либо выбора пользователя. Баннера согласия, который мог бы этому предшествовать, на странице нет. Согласие в сеансе не давалось, и сигнала Consent Mode в запросе Google Analytics нет.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу в состоянии до согласия. Set-Cookie в снятых заголовках отсутствует; вывод сделан по факту загрузки GTM и по hit-запросам регистрации визита Google Analytics и Piwik, а не по заголовкам cookie. Piwik/Matomo размещён на поддомене самой академии, поэтому его данные стороннему получателю не уходят; вопрос здесь — правовое основание записи визита до согласия. Google и Monotype могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США), а не о местоположении узлов. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт Венгерской академии наук запускает сразу две аналитические системы — Google Analytics и self-hosted Piwik/Matomo — на загрузке страницы, без какого-либо баннера согласия, и обе фактически регистрируют визит посетителя; при этом Google Analytics передаёт данные без сигнала Consent Mode. Дополнительно до согласия в Google и на шрифтовой сервис в США уходит IP посетителя. По венгерскому праву аналитические cookie требуют согласия. Запуск аналитики и регистрация визита по умолчанию, при каждом заходе и вне механизма согласия, а также передача IP сторонним получателям в США, составляют нарушение требований о правовом основании обработки и о трансграничной передаче. Устранение: внедрить баннер согласия и удерживать Google Analytics, Piwik и сторонние шрифты до фактического согласия либо перевести Piwik в режим полностью анонимной статистики без идентификаторов и разместить шрифты локально.