RU EN
www.
Технический аудит · 29.05.2026

nkfih.gov.hu

Управление по исследованиям и инновациям Венгрии
HU

Управление по исследованиям, разработкам и инновациям Венгрии (NKFIH) — 96 запросов, 6 доменов. Баннера согласия на странице нет: Google Analytics и Google Tag Manager срабатывают на загрузке и регистрируют визит до какого-либо выбора, передавая IP в Google (США). Дополнительно до согласия грузятся Google Fonts и библиотека GSAP с Cloudflare. Cookie-политика Google Analytics по имени не называет.

Хронология обращений

+0 мс · загрузка портала
Разметка, стили, скрипты и изображения — с собственного домена nkfih.gov.hu (Apache). Часть шрифтов локальные.
+1763 мс · библиотека GSAP до согласия
cdnjs.cloudflare.com — TweenMax (GSAP 1.18.2), отдаётся через Cloudflare. IP посетителя уходит стороннему получателю.
+1795 мс · Google Fonts и GTM до согласия
fonts.googleapis.com (CSS, шрифт Raleway) и www.googletagmanager.com/gtag/js (идентификатор G-FZW8NQ1RVQ). IP посетителя уходит в Google (США).
баннер согласия отсутствует
Ни consent-менеджера, ни баннера согласия в замере нет. Аналитика срабатывает безусловно.
+2968 мс · регистрация визита без согласия
region1.google-analytics.com/g/collect — hit-запрос GA4, фактически регистрирующий визит (с URL страницы). Сигнала Consent Mode (gcs) в запросе нет. Set-Cookie за сеанс ноль; выбор пользователем не сделан.
иных трекеров нет
Facebook, рекламных пикселей и cookie-sync в замере нет. Внешние обращения ограничены Google (Analytics, GTM, Fonts) и Cloudflare cdnjs.

Декларация против факта

✓ Cookie-политика NKFIH — session и persistent cookie для функционирования сайта и статистических целей — заявлен
✓ Заявлено: серверы автоматически логируют IP, тип ОС/браузера, URL посещённых страниц и время визита — заявлен
+ Google Analytics (GA4 G-FZW8NQ1RVQ) и Google Tag Manager — по имени не названы, срабатывают и регистрируют визит до согласия — не заявлен
+ Google Fonts и Cloudflare cdnjs — сторонние получатели IP из США, до согласия, не раскрыты — не заявлен
+ Баннер согласия отсутствует; сигнала Consent Mode (gcs) в запросе Google Analytics нет — не заявлен

Тайминги передачи

+1763 мс cdnjs.cloudflare.com

GSAP/TweenMax. Отдаётся через Cloudflare, США.

+1829 мс www.googletagmanager.com

Google Tag Manager (G-FZW8NQ1RVQ). Google, США.

+2968 мс region1.google-analytics.com

GA4 g/collect с URL страницы. Сигнала Consent Mode (gcs) нет.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

nkfih.gov.hu — сайт Национального управления по исследованиям, разработкам и инновациям Венгрии (Nemzeti Kutatási, Fejlesztési és Innovációs Hivatal, NKFI Hivatal), государственного органа, отвечающего за финансирование науки, исследований и инноваций и распределение соответствующих грантов. Ответственный за обработку — NKFI Hivatal. Сайт обслуживается сервером Apache. Замер: 96 запросов, 6 доменов, снят на чистом браузере (страница раздела для заявителей грантов).

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя через Google Analytics, Google Tag Manager и Google Fonts. Cloudflare (США) — IP посетителя через библиотеку GSAP с cdnjs.

Заявленное против фактического

Cookie-политика NKFIH описывает используемые cookie в общем виде: session cookie для предотвращения потери данных и persistent cookie для распознавания вернувшегося посетителя, — и указывает, что cookie применяются для обеспечения работы сайта, улучшения пользовательского опыта и в статистических целях. Политика также отмечает, что серверы автоматически логируют IP-адрес, тип операционной системы и браузера, URL посещённых страниц и время визита. При этом ни Google Analytics, ни Google Tag Manager по имени не названы, а передача данных стороннему получателю в США через аналитику не раскрыта.

Замер показывает, что аналитика срабатывает до какого-либо согласия и без баннера. На +1829 мс подключается Google Tag Manager (идентификатор G-FZW8NQ1RVQ), а на +2968 мс Google Analytics 4 отправляет hit-запрос регистрации визита (region1.google-analytics.com/g/collect) с адресом страницы. В запросе отсутствует сигнал Consent Mode (параметр gcs): согласие не собрано и Google об этом не сигналится. Consent-менеджера или баннера согласия на странице нет вовсе.

Дополнительно до согласия загружаются внешние ресурсы: на +1763 мс — библиотека анимации GSAP (TweenMax) с Cloudflare cdnjs, на +1795 мс — Google Fonts (шрифт Raleway) с fonts.googleapis.com и fonts.gstatic.com. Все эти обращения передают IP посетителя сторонним получателям в США. Cookie в снятых заголовках не выставлены (Set-Cookie ноль).

Таким образом, статистическая обработка, которую политика упоминает лишь обобщённо, на практике реализована через Google Analytics с передачей данных в США, а сам сервис в политике не назван и активируется без согласия.

Тайминг относительно согласия

Библиотека GSAP — на +1763 мс, Google Fonts и GTM — на +1795–1829 мс, регистрация визита GA4 — на +2968 мс. Всё до какого-либо выбора пользователя. Баннера согласия, который мог бы этому предшествовать, на странице нет. Согласие в сеансе не давалось, и сигнала Consent Mode в запросе Google Analytics нет.

Чего по замеру утверждать нельзя

Замер охватывает раздел сайта для заявителей грантов в состоянии до согласия. Set-Cookie в снятых заголовках отсутствует; вывод сделан по факту загрузки GTM и по hit-запросу регистрации визита Google Analytics, а не по заголовкам cookie. Google и Cloudflare могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США), а не о местоположении узлов. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт Управления по исследованиям и инновациям Венгрии запускает Google Analytics и Google Tag Manager сразу на загрузке страницы, без какого-либо баннера согласия, и фактически регистрирует визит посетителя — при этом в запросе Google Analytics нет сигнала Consent Mode. Дополнительно до согласия в Google и на Cloudflare уходит IP посетителя через шрифты и библиотеку анимации. Cookie-политика органа упоминает статистические цели лишь обобщённо и не называет ни Google Analytics, ни передачу данных в США. Запуск аналитики и регистрация визита по умолчанию, при каждом заходе и вне механизма согласия, а также передача IP сторонним получателям в США, указывают на несоблюдение требований о правовом основании обработки, о раскрытии получателей и о трансграничной передаче. Устранение: внедрить баннер согласия и удерживать Google Analytics и Google Tag Manager до фактического согласия либо перейти на приватностную self-hosted аналитику, а шрифты и библиотеки разместить локально.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: hu/nkfih-gov-hu-2026-05-29.har
SHA-256: cce32e1f9f2e4202e2143f5ac495428de6b38271e26ffaab0044cb123a85de36
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — nkfih.gov.hu

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта nkfih.gov.hu.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На загрузке страницы, без какого-либо баннера согласия, срабатывает Google Tag Manager (на +1829 мс), а затем Google Analytics 4 (идентификатор G-FZW8NQ1RVQ) отправляет hit-запрос регистрации визита region1.google-analytics.com/g/collect (на +2968 мс) с URL страницы. В запросе нет сигнала Consent Mode (gcs), то есть согласие не собрано и не сигналится. Consent-менеджера или баннера согласия в замере нет. Cookie-политика NKFIH описывает cookie только для функционирования и статистики, но Google Analytics по имени не называет.

2) До согласия IP посетителя уходит в Google (Analytics, Tag Manager, Fonts) и на Cloudflare cdnjs (библиотека GSAP), оба — компании США. В политике эти сторонние получатели не раскрыты, передача данных за пределы ЕЭП через аналитику не описана.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/hu-nkfih-gov-hu/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: NAIH — Венгерский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — nkfih.gov.hu

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом nkfih.gov.hu.

2. Обстоятельства
Я посетил сайт nkfih.gov.hu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На загрузке страницы, без какого-либо баннера согласия, срабатывает Google Tag Manager (на +1829 мс), а затем Google Analytics 4 (идентификатор G-FZW8NQ1RVQ) отправляет hit-запрос регистрации визита region1.google-analytics.com/g/collect (на +2968 мс) с URL страницы. В запросе нет сигнала Consent Mode (gcs), то есть согласие не собрано и не сигналится. Consent-менеджера или баннера согласия в замере нет. Cookie-политика NKFIH описывает cookie только для функционирования и статистики, но Google Analytics по имени не называет.

2) До согласия IP посетителя уходит в Google (Analytics, Tag Manager, Fonts) и на Cloudflare cdnjs (библиотека GSAP), оба — компании США. В политике эти сторонние получатели не раскрыты, передача данных за пределы ЕЭП через аналитику не описана.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/hu-nkfih-gov-hu/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 6 + ePrivacy (венгерская имплементация) — аналитика до согласия, без баннера; GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и трансграничная передача

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]