mtva.hu

Контекст

mtva.hu — сайт Фонда поддержки медиауслуг и управления имуществом (Médiaszolgáltatás-támogató és Vagyonkezelő Alap, MTVA), государственной структуры, финансирующей и обеспечивающей производство контента венгерского общественного вещания. Ответственный за обработку — MTVA. Замер: 163 запроса, 17 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — Ad Manager (GPT), Tag Manager, Google+ platform, Fonts. Meta/Facebook (США) — SDK и share-кнопки. atmedia, Publisher1st — рекламная обвязка prebid.

Заявленное против фактического

Здесь расхождение особенно резкое. Официальная политика MTVA (раздел правового и защитно-информационного заявления) формулирует прямо: персональные данные третьим лицам не передаются, за исключением юридически обусловленных случаев — договорных обязательств, судебных, прокурорских, надзорных и иных законных процедур. О рекламной монетизации или рекламных партнёрах политика не сообщает.

Замер показывает противоположное. Сайт запускает полноценную рекламную машину, причём до появления consent-менеджера. На +498–500 мс подключается prebid-обвязка венгерских рекламных сетей atmedia (cdn.atmedia.hu) и Publisher1st (cdn.publisher1st.com). На +604 мс стартует рекламный тег Google Ad Manager (securepubads.g.doubleclick.net/tag/js/gpt.js), на +608 мс — Facebook SDK (connect.facebook.net). И только на +645 мс подгружается сам consent-менеджер InMobi (cmp.inmobi.com/choice) на базе стандарта IAB TCF. То есть рекламный тег Google, Facebook SDK и prebid отрабатывают раньше, чем посетитель вообще видит баннер согласия.

Далее, на +2160 мс загружается Google Tag Manager, а на +2190–2615 мс — социальные share-кнопки Facebook (www.facebook.com/plugins/share_button.php, static.xx.fbcdn.net). Дополнительно на +226 мс подключается платформа Google+ (apis.google.com) и Google Fonts. Cookie в снятых заголовках не выставлены (Set-Cookie ноль), однако отсутствие cookie не отменяет уже состоявшейся передачи IP рекламным и социальным получателям. Таким образом заявление политики о непередаче данных третьим лицам прямо расходится с фактической рекламной монетизацией сайта.

Тайминг относительно согласия

Prebid — на +498 мс, Google Ad Manager — на +604 мс, Facebook SDK — на +608 мс, баннер InMobi — на +645 мс, GTM и share-кнопки — на +2160–2615 мс. Реклама и соцмодули предшествуют баннеру согласия. Согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает главную страницу в состоянии до согласия. Set-Cookie в снятых заголовках отсутствует; вывод сделан по факту загрузки скриптов (GPT, Facebook SDK, prebid, GTM), а не по заголовкам cookie. Поведение после нажатия «принять» или «отклонить» в баннере InMobi в данном сеансе не наблюдается. Google и Meta могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США), а не о местоположении узлов. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт медиафонда общественного вещания Венгрии снабжён consent-менеджером InMobi, но реклама и социальные модули его не дожидаются: Google Ad Manager, Facebook SDK и prebid-обвязка стартуют раньше баннера, передавая IP посетителя рекламным получателям в США и рекламным сетям. Особенно существенно, что официальная политика MTVA прямо заявляет обратное — персональные данные третьим лицам не передаются. Расхождение между заявленным и фактическим здесь принципиальное: политика отрицает передачу данных, а сайт ведёт полноценную рекламную монетизацию до согласия. Для государственной структуры общественного вещания это составляет нарушение требований о правовом основании обработки, о раскрытии получателей и о трансграничной передаче. Устранение: связать рекламные и социальные теги с consent-менеджером и удерживать их до фактического согласия, а также привести политику в соответствие с фактическим составом получателей данных.