nmhh.hu

Контекст

nmhh.hu — сайт Национального управления по вопросам медиа и инфокоммуникаций Венгрии (Nemzeti Média- és Hírközlési Hatóság, NMHH), регулятора медиа и электронных коммуникаций страны. Ответственный за обработку — NMHH. Сайт обслуживается сервером Apache/2.4.58 (Ubuntu). Замер: 76 запросов, 7 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя и Referer через Google Fonts, hosted jQuery и контейнер GTM/Google Analytics. Infogram (дочерняя компания Prezi) — IP посетителя через загрузчик встраивания.

Заявленное против фактического

У NMHH есть работающий контур согласия: баннер с кнопками «принять все», «отклонить» и «детали и настройки», и отдельная cookie-политика «Tájékoztató a sütikről». Политика прямо называет Google Analytics, поясняя, что GA-cookie используются по умолчанию с IP-маскировкой и отнесены к базовому слою, а неанонимизированная статистика включается только при явном согласии. Дополнительно упомянут Hotjar — временно, с 19.07.2024, для исследования пользовательского опыта.

Замер подтверждает наличие Google Analytics и уточняет его поведение: контейнер GTM (gtag.js) грузится на +300 мс, а на +1569 и +6571 мс GA4 отправляет события page_view и scroll на региональный (ЕС) эндпоинт region1.google-analytics.com сразу по двум потокам (G-D5LQSMBZTF и G-9TVCG3TVNV), с клиентским идентификатором и метаданными устройства и браузера. Всё это происходит до любого действия с баннером согласия (Set-Cookie за сеанс ноль). То есть аналитика объявлена, но диспетчеризуется без предварительного согласия — а это отдельный, юридически спорный вопрос по венгерской имплементации ePrivacy.

Однако главное расхождение — не в Analytics. Замер выявляет три сторонних получателя, которых политика не называет вовсе. На +296 мс подключается Google Fonts (CSS с fonts.googleapis.com, затем файлы шрифтов Inter и Arsenal с fonts.gstatic.com на +832–926 мс). Практически одновременно, на +297 мс, загружается jQuery 1.12.4 с Google Hosted Libraries (ajax.googleapis.com). Обе загрузки передают IP посетителя и Referer https://nmhh.hu/ в Google (США). На +900 мс подключается загрузчик встраивания Infogram (e.infogram.com), передавая IP посетителя Infogram — дочерней компании Prezi. Ни Google Fonts, ни hosted jQuery, ни Infogram в cookie-политике не упомянуты, хотя политика перечисляет получателей поимённо (Google Analytics, Hotjar).

Тайминг относительно согласия

Все внешние обращения идут на +296–926 мс, а обращения Analytics — на +1569–6580 мс, и все до какого-либо действия посетителя. Баннер согласия на сайте есть, но он не удерживает ни загрузку шрифтов и библиотек, ни инициализацию GA4 — эти обращения происходят вне механизма согласия. Согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

GA4 по устройству работы применяет IP-анонимизацию и в данном замере обращается к региональному эндпоинту ЕС (region1), а параметр npa=1 указывает на неперсонализированный режим; поэтому по Google Analytics вопрос не в нераскрытии (он объявлен), а в диспетчеризации до согласия. Клиентский идентификатор GA в карточке намеренно не приводится. Google может использовать edge-узлы в ЕС, поэтому по Google Fonts и hosted jQuery вывод сделан о принадлежности получателя (компания США), а не о физическом местоположении узла. Infogram — дочерняя компания Prezi: корпоративная группа управляется из США (Сан-Франциско/Окленд), а разработка исторически ведётся в Латвии (ЕС); вывод сделан о корпоративной принадлежности получателя, а не о конкретной юрисдикции обработки. Объявленный в политике Hotjar в этом замере не наблюдается (он временный и мог истечь) — по данному снимку о нём судить нельзя. Замер охватывает главную страницу в состоянии до согласия; серверная обработка в браузерном замере не видна.

Вывод

Сайт регулятора медиа и инфокоммуникаций Венгрии выстроен аккуратно: есть баннер согласия и cookie-политика, а Google Analytics в ней объявлен и заявлен с IP-маскировкой. Тем не менее до какого-либо согласия сайт передаёт IP посетителя и заголовок Referer нескольким сторонним получателям, не названным в политике: в Google — через Google Fonts и hosted jQuery, и в Infogram (Prezi) — через загрузчик встраивания. Параллельно Google Analytics отправляет события page_view и scroll до действия с баннером. Для национального регулятора передача IP нераскрытым сторонним получателям по умолчанию, при каждом заходе и вне механизма согласия, составляет нарушение требований о раскрытии получателей и о трансграничной передаче. Устранение в основном в руках самого органа: разместить шрифты и JavaScript-библиотеки локально на собственном домене, включить встраивание Infogram и инициализацию Analytics только после согласия — тогда до выбора посетителя внешних обращений не остаётся.