ogyei.gov.hu

Контекст

ogyei.gov.hu — сайт Национального института фармации и питания Венгрии (Országos Gyógyszerészeti és Élelmezés-egészségügyi Intézet, OGYÉI), профильного органа по лекарственным средствам и питанию, ныне входящего в состав Национального центра общественного здоровья и фармации (NNGYK). Ответственный за обработку — OGYÉI/NNGYK. Сайт обслуживается сервером Apache, присутствует HSTS. Замер: 33 запроса, 9 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя через Google Fonts, reCAPTCHA и Google Tag Manager. jsDelivr (оператор Prospect One, ЕС) и jQuery CDN — IP посетителя через загрузку библиотек.

Заявленное против фактического

У OGYÉI есть и баннер, и отдельная cookie-политика, но оба слабы. Баннер построен на модели «согласие продолжением просмотра»: он сообщает, что дальнейшим просмотром и нажатием единственной кнопки «принять» посетитель соглашается на cookie, в том числе в маркетинговых целях. Равноценной кнопки отклонения нет. Такая модель согласия под GDPR недействительна: нет свободного, недвусмысленного выбора, а cookie и внешние ресурсы срабатывают ещё до какого-либо действия.

Cookie-политика называет Google Analytics как сторонний сервис — то есть аналитика формально раскрыта. Однако сама политика в плохом состоянии: она перечисляет устаревшие cookie Universal Analytics (__utma, __utmb, __utmc, __utmt, __utmz), тогда как на сайте фактически работает GA4 (контейнер gtag.js, поток G-VSYV8EV4LC), и содержит шаблонный фрагмент с посторонними доменами webfolio.hu и fotofolio.hu — очевидный след копипаста чужого шаблона, не имеющий отношения к органу.

Замер показывает, что до согласия к посетителю подключается целый набор сторонних ресурсов. На +110–114 мс загружаются Google Fonts (CSS, затем файлы Roboto и Material Icons на +190–192 мс), Bootstrap и Alpine.js с jsDelivr, jQuery 1.12.4 и jQuery UI 1.12.1 с code.jquery.com, контейнер Google Tag Manager (gtag.js) и Google reCAPTCHA (api.js с www.google.com, рантайм с www.gstatic.com). Все эти обращения передают IP посетителя сторонним получателям. Из них политика называет лишь Google Analytics; Google Fonts, reCAPTCHA, jsDelivr и jQuery CDN не упомянуты вовсе. reCAPTCHA здесь особенно заметна: это не пассивный шрифт, а сервис Google, профилирующий поведение, и он подгружается заранее, до согласия.

Тайминг относительно согласия

Все внешние обращения идут на +110–192 мс, до любого действия посетителя. Баннер согласия есть, но он не удерживает эти загрузки и сам по себе недействителен как механизм согласия. Действительное согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Контейнер gtag.js загружен (и это уже передало обращение и IP в Google), но самих аналитических обращений /g/collect в окне замера нет — о фактической отправке событий GA4 по этому снимку судить нельзя. Google может использовать edge-узлы в ЕС, поэтому по Fonts, reCAPTCHA и GTM вывод сделан о принадлежности получателя (Google, США), а не о физическом местоположении узла. jsDelivr управляется компанией Prospect One (ЕС, Польша) и раздаётся через несколько CDN-провайдеров; jQuery CDN также раздаётся через стороннюю инфраструктуру — вывод сделан о получателе-операторе, а не о конкретном узле. Обращение к nngyk.gov.hu — это загрузка логотипа с родственного государственного домена, а не сторонний трекер. reCAPTCHA присутствует в виде api.js; видимой формы, к которой она привязана, в замере главной страницы не наблюдается — библиотека грузится заранее. Серверная обработка в браузерном замере не видна.

Вывод

Сайт регулятора лекарственных средств Венгрии до какого-либо действительного согласия передаёт IP посетителя нескольким сторонним получателям: в Google — через Google Fonts, reCAPTCHA и Google Tag Manager, и в CDN jsDelivr и jQuery — через загрузку библиотек. Баннер согласия на сайте есть, но он недействителен: единственная кнопка «принять», согласие «через продолжение просмотра» и упоминание маркетинговых целей не образуют свободного и недвусмысленного выбора. Cookie-политика называет только Google Analytics, причём описывает его устаревшими cookie и содержит чужие домены из скопированного шаблона; Google Fonts, reCAPTCHA, jsDelivr и jQuery CDN не раскрыты. Для профильного медицинского регулятора передача IP нераскрытым сторонним получателям по умолчанию, при каждом заходе и вне действительного механизма согласия, составляет нарушение требований о раскрытии получателей и о трансграничной передаче. Устранение в основном в руках самого органа: разместить шрифты и JavaScript-библиотеки локально, включать reCAPTCHA и аналитику только после действительного согласия с равноценной кнопкой отклонения, и привести cookie-политику в соответствие с фактически используемым GA4, убрав посторонние домены.