RU EN
www.
Технический аудит · 29.05.2026

obi.hu

Розничная сеть товаров для дома и ремонта
HU

Розничная сеть товаров для дома и ремонта OBI (OBI Hungary Retail Kft.) — 266 запросов, 16 доменов. На сайте есть менеджер согласия Usercentrics, а политика подробно называет Google, Kameleoon и Facebook. Но менеджер согласия загружается позже трекеров: Instana (мониторинг), Kameleoon (A/B-тесты) и Google Tag Manager срабатывают за ~1,4 секунды до него. Instana при этом в политике не назван вовсе и уже отправляет данные.

Хронология обращений

+0 мс · загрузка витрины
Основной документ и ассеты — с инфраструктуры OBI (obi.hu, obi.de, imgix, baqend). Отдаётся через Amazon CloudFront, сильный HSTS (preload).
+172…+253 мс · трекеры до менеджера согласия
Instana (eum.instana.io — мониторинг реальных пользователей), Kameleoon (711fblc77j.kameleoon.eu — A/B-тесты и персонализация) и Google Tag Manager (GTM-MF3JDS). Все — до инициализации менеджера согласия. IP посетителя уходит в Instana, Kameleoon и Google.
+2533 · +4600 мс · Instana отправляет данные
Обращения к eum-blue-saas.instana.io — фактическая отправка данных мониторинга, до согласия.
+1614 мс · менеджер согласия загружается позже трекеров
Только теперь подключается Usercentrics (web.cmp.usercentrics.eu, loader и SDK). Instana, Kameleoon и GTM к этому моменту уже сработали — менеджер не успел их удержать.
состояние сеанса — без согласия
Set-Cookie за весь сеанс ноль. Выбор пользователем не сделан; обращения к Instana, Kameleoon и Google уже отправлены.
Google-теги под менеджером
Контейнер GTM загружен, но отдельного обращения GA /g/collect в окне замера нет — часть Google-тегов может удерживаться до согласия. Facebook-пикселя в замере не наблюдается (иконка facebook.svg — локальная).

Декларация против факта

✓ Подробный адаткезелэши-тайекозтато (OBI Hungary Retail Kft.) — описывает cookie, Google-сервисы, Kameleoon (A/B-тесты), Facebook и маркетинговые cookie — заявлен
✓ На сайте работает менеджер согласия Usercentrics (CMP) — заявлен
+ Instana (eum.instana.io, eum-blue-saas.instana.io) — сторонний получатель данных мониторинга (продукт IBM), до согласия, в политике не назван — не заявлен
+ Kameleoon и Google Tag Manager — в политике объявлены, но срабатывают до менеджера согласия — не заявлен

Тайминги передачи

+172 мс eum.instana.io

Instana RUM (мониторинг). Продукт IBM. В политике не назван.

+173 мс 711fblc77j.kameleoon.eu

Kameleoon — A/B-тесты и персонализация. Франция/ЕС.

+253 мс www.googletagmanager.com

gtm.js — контейнер GTM-MF3JDS. Google, США.

+1614 мс Баннер согласия появился
+2533 мс eum-blue-saas.instana.io

Instana — фактическая отправка данных мониторинга.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

obi.hu — венгерская онлайн-витрина розничной сети OBI, товаров для дома, сада и ремонта. Ответственный за обработку — OBI Hungary Retail Kft. (Будапешт). Витрина отдаётся через Amazon CloudFront, инфраструктура включает домены obi.de/obi.hu, image-CDN imgix и ускоритель baqend; присутствует сильный HSTS (preload). Замер: 266 запросов, 16 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Instana (продукт IBM) — данные мониторинга и IP. Kameleoon (Франция/ЕС) — данные A/B-тестов. Google (США) — через загрузку Google Tag Manager.

Заявленное против фактического

OBI, в отличие от простых сайтов, подготовлен основательно: у него объёмный адаткезелэши-тайекозтато, который поимённо называет Google-сервисы, Kameleoon (как инструмент A/B-тестирования), Facebook и маркетинговые cookie, и настоящий менеджер согласия — Usercentrics. То есть и раскрытие получателей, и механизм согласия формально присутствуют.

Замер, однако, выявляет тот же сбой, что и у ряда порталов с CMP: порядок загрузки. Менеджер согласия Usercentrics подключается только на +1614 мс, тогда как Instana загружается на +172 мс, Kameleoon — на +173 мс, а Google Tag Manager — на +253 мс. Все три трекера стартуют примерно за полторы секунды до того, как инициализируется механизм, который должен ими управлять. Instana при этом не ограничивается загрузкой библиотеки: на +2533 и +4600 мс он отправляет данные мониторинга на eum-blue-saas.instana.io. Kameleoon — инструмент A/B-тестов и персонализации, который по правилам требует предварительного согласия, — также стартует до менеджера.

Вторая проблема — раскрытие. Из трёх сработавших до согласия сторонних сервисов Kameleoon и Google в политике названы, а вот Instana не упомянут вовсе. То есть на сайте до согласия работает сервис мониторинга (продукт IBM), передающий данные о поведении и производительности стороннему получателю, которого политика не раскрывает.

Тайминг относительно согласия

Instana, Kameleoon и Google Tag Manager идут на +172–253 мс, менеджер согласия Usercentrics — на +1614 мс. Ключевое: трекеры срабатывают раньше менеджера, а Instana до согласия уже отправляет данные. Согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Контейнер Google Tag Manager загружен, но отдельного обращения GA /g/collect в окне замера нет — часть Google-тегов может удерживаться до согласия через consent-режим; по HAR нельзя утверждать, что аналитические или рекламные теги Google сработали, хотя загрузка GTM уже обращается к Google. Facebook-пикселя в замере не наблюдается (найденная facebook.svg — локальная иконка). Usercentrics — это менеджер согласия (Германия/ЕС), а не трекер. Kameleoon — французская (ЕС) компания, поэтому по нему трансграничный в третьи страны аспект слабее; основная претензия — срабатывание до менеджера согласия. Instana — продукт IBM; конкретный регион SaaS-эндпоинта eum-blue-saas по замеру не определяется, поэтому вывод сделан о принадлежности получателя-сервиса, а не о месте узла. Серверная обработка в браузерном замере не видна.

Вывод

Онлайн-витрина розничной сети OBI подготовлена основательно: подробная политика называет Google, Kameleoon и Facebook, а согласием управляет полноценный менеджер Usercentrics. Тем не менее реализация даёт сбой в двух местах. Во-первых, трекеры — Instana, Kameleoon и Google Tag Manager — загружаются раньше, чем инициализируется сам менеджер согласия, поэтому до согласия данные уже уходят: Instana фактически отправляет данные мониторинга, Kameleoon (инструмент A/B-тестов, требующий согласия) стартует безусловно. Во-вторых, Instana в политике не раскрыт вовсе. Срабатывание трекеров и передача данных сторонним получателям до фактического согласия, при наличии, но неэффективной работе менеджера согласия, вместе с нераскрытием одного из получателей, указывают на несоблюдение требований о порядке получения согласия и о раскрытии получателей. Устранение в руках оператора: загружать Instana, Kameleoon и Google Tag Manager только после инициализации менеджера согласия и при согласии, а Instana внести в политику как получателя данных.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: hu/obi-hu-2026-05-29.har
SHA-256: 6f844f59af2ef0a075e811617a93bf370819e9bf7ca3acee6665e8f321e6fce6
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — obi.hu

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта obi.hu.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте установлен менеджер согласия Usercentrics, но он загружается только на +1614 мс — уже после того, как сработали Instana (eum.instana.io/eum.min.js на +172 мс), Kameleoon (711fblc77j.kameleoon.eu/engine.js на +173 мс) и Google Tag Manager (gtm.js, GTM-MF3JDS на +253 мс). То есть скрипты трекеров подключаются раньше, чем инициализируется механизм, который должен ими управлять. Instana при этом фактически отправляет данные мониторинга (обращения к eum-blue-saas.instana.io на +2533 и +4600 мс). Kameleoon — инструмент A/B-тестов и персонализации, требующий предварительного согласия, — тоже стартует до менеджера. Set-Cookie за сеанс ноль; согласия нет, но обращения уже отправлены.

2) Подробный адаткезелэши-тайекозтато OBI называет Google-сервисы, Kameleoon, Facebook и маркетинговые cookie, но сервис мониторинга Instana в нём не упомянут вовсе. При этом Instana до согласия передаёт данные о поведении и производительности стороннему получателю (Instana, продукт IBM). Таким образом, один из фактически работающих сторонних получателей в политике не раскрыт.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/hu-obi-hu/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: NAIH — Венгерский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — obi.hu

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом obi.hu.

2. Обстоятельства
Я посетил сайт obi.hu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте установлен менеджер согласия Usercentrics, но он загружается только на +1614 мс — уже после того, как сработали Instana (eum.instana.io/eum.min.js на +172 мс), Kameleoon (711fblc77j.kameleoon.eu/engine.js на +173 мс) и Google Tag Manager (gtm.js, GTM-MF3JDS на +253 мс). То есть скрипты трекеров подключаются раньше, чем инициализируется механизм, который должен ими управлять. Instana при этом фактически отправляет данные мониторинга (обращения к eum-blue-saas.instana.io на +2533 и +4600 мс). Kameleoon — инструмент A/B-тестов и персонализации, требующий предварительного согласия, — тоже стартует до менеджера. Set-Cookie за сеанс ноль; согласия нет, но обращения уже отправлены.

2) Подробный адаткезелэши-тайекозтато OBI называет Google-сервисы, Kameleoon, Facebook и маркетинговые cookie, но сервис мониторинга Instana в нём не упомянут вовсе. При этом Instana до согласия передаёт данные о поведении и производительности стороннему получателю (Instana, продукт IBM). Таким образом, один из фактически работающих сторонних получателей в политике не раскрыт.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/hu-obi-hu/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy (венгерская имплементация) — трекеры раньше менеджера согласия; GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и трансграничная передача

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]