obi.hu

Контекст

obi.hu — венгерская онлайн-витрина розничной сети OBI, товаров для дома, сада и ремонта. Ответственный за обработку — OBI Hungary Retail Kft. (Будапешт). Витрина отдаётся через Amazon CloudFront, инфраструктура включает домены obi.de/obi.hu, image-CDN imgix и ускоритель baqend; присутствует сильный HSTS (preload). Замер: 266 запросов, 16 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Instana (продукт IBM) — данные мониторинга и IP. Kameleoon (Франция/ЕС) — данные A/B-тестов. Google (США) — через загрузку Google Tag Manager.

Заявленное против фактического

OBI, в отличие от простых сайтов, подготовлен основательно: у него объёмный адаткезелэши-тайекозтато, который поимённо называет Google-сервисы, Kameleoon (как инструмент A/B-тестирования), Facebook и маркетинговые cookie, и настоящий менеджер согласия — Usercentrics. То есть и раскрытие получателей, и механизм согласия формально присутствуют.

Замер, однако, выявляет тот же сбой, что и у ряда порталов с CMP: порядок загрузки. Менеджер согласия Usercentrics подключается только на +1614 мс, тогда как Instana загружается на +172 мс, Kameleoon — на +173 мс, а Google Tag Manager — на +253 мс. Все три трекера стартуют примерно за полторы секунды до того, как инициализируется механизм, который должен ими управлять. Instana при этом не ограничивается загрузкой библиотеки: на +2533 и +4600 мс он отправляет данные мониторинга на eum-blue-saas.instana.io. Kameleoon — инструмент A/B-тестов и персонализации, который по правилам требует предварительного согласия, — также стартует до менеджера.

Вторая проблема — раскрытие. Из трёх сработавших до согласия сторонних сервисов Kameleoon и Google в политике названы, а вот Instana не упомянут вовсе. То есть на сайте до согласия работает сервис мониторинга (продукт IBM), передающий данные о поведении и производительности стороннему получателю, которого политика не раскрывает.

Тайминг относительно согласия

Instana, Kameleoon и Google Tag Manager идут на +172–253 мс, менеджер согласия Usercentrics — на +1614 мс. Ключевое: трекеры срабатывают раньше менеджера, а Instana до согласия уже отправляет данные. Согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Контейнер Google Tag Manager загружен, но отдельного обращения GA /g/collect в окне замера нет — часть Google-тегов может удерживаться до согласия через consent-режим; по HAR нельзя утверждать, что аналитические или рекламные теги Google сработали, хотя загрузка GTM уже обращается к Google. Facebook-пикселя в замере не наблюдается (найденная facebook.svg — локальная иконка). Usercentrics — это менеджер согласия (Германия/ЕС), а не трекер. Kameleoon — французская (ЕС) компания, поэтому по нему трансграничный в третьи страны аспект слабее; основная претензия — срабатывание до менеджера согласия. Instana — продукт IBM; конкретный регион SaaS-эндпоинта eum-blue-saas по замеру не определяется, поэтому вывод сделан о принадлежности получателя-сервиса, а не о месте узла. Серверная обработка в браузерном замере не видна.

Вывод

Онлайн-витрина розничной сети OBI подготовлена основательно: подробная политика называет Google, Kameleoon и Facebook, а согласием управляет полноценный менеджер Usercentrics. Тем не менее реализация даёт сбой в двух местах. Во-первых, трекеры — Instana, Kameleoon и Google Tag Manager — загружаются раньше, чем инициализируется сам менеджер согласия, поэтому до согласия данные уже уходят: Instana фактически отправляет данные мониторинга, Kameleoon (инструмент A/B-тестов, требующий согласия) стартует безусловно. Во-вторых, Instana в политике не раскрыт вовсе. Срабатывание трекеров и передача данных сторонним получателям до фактического согласия, при наличии, но неэффективной работе менеджера согласия, вместе с нераскрытием одного из получателей, составляют нарушение требований о порядке получения согласия и о раскрытии получателей. Устранение в руках оператора: загружать Instana, Kameleoon и Google Tag Manager только после инициализации менеджера согласия и при согласии, а Instana внести в политику как получателя данных.