RU EN
www.
Технический аудит · 29.05.2026

ogyei.gov.hu

Национальный институт фармации и питания Венгрии
HU

Национальный институт фармации и питания Венгрии (OGYÉI, ныне в составе NNGYK) — 33 запроса, 9 доменов. Профильный регулятор лекарств. Баннер согласия есть, но недействительный (только «принять», согласие «продолжением просмотра», упомянут маркетинг). До какого-либо согласия IP посетителя уходит в Google через Google Fonts, reCAPTCHA и Google Tag Manager, а также в jsDelivr и jQuery CDN. В политике назван только Google Analytics — причём с устаревшими cookie и чужими доменами в шаблоне; остальные получатели не названы.

Хронология обращений

+0 мс · загрузка портала
Разметка, скрипты и изображения — с собственного домена ogyei.gov.hu (Apache, присутствует HSTS).
+110…+114 мс · Google, CDN и GTM до согласия
Google Fonts CSS (fonts.googleapis.com ×3), Bootstrap 5.2.3 и Alpine.js с jsDelivr (cdn.jsdelivr.net), jQuery 1.12.4 и jQuery UI 1.12.1 (code.jquery.com), контейнер gtag.js / Google Tag Manager (googletagmanager.com, поток G-VSYV8EV4LC) и Google reCAPTCHA (www.google.com/recaptcha/api.js). IP посетителя уходит в Google (США), jsDelivr и jQuery CDN. Тут же — логотип с родственного госдомена nngyk.gov.hu.
+185…+192 мс · reCAPTCHA и шрифты до согласия
Рантайм reCAPTCHA с www.gstatic.com и файлы шрифтов Roboto и Material Icons с fonts.gstatic.com. IP посетителя уходит в Google (США).
баннер согласия недействителен и не удерживает ресурсы
Баннер есть, но с единственной кнопкой «Elfogadom» и согласием «через продолжение просмотра», с упоминанием маркетинговых целей. Внешние обращения происходят до и вне действия с ним; consent-механизм их не блокирует.
состояние сеанса — без действительного согласия
Set-Cookie за весь сеанс ноль. Действительный выбор пользователем не сделан; передача IP сторонним получателям уже состоялась.
GA-библиотека загружена, бикон не зафиксирован
gtag.js (G-VSYV8EV4LC) загружен, но обращений /g/collect в окне замера нет. Рекламных пикселей и записи сессий в замере также нет.

Декларация против факта

✓ Баннер согласия — единственная кнопка «Elfogadom» (принять), согласие «через продолжение просмотра», с упоминанием маркетинговых целей — заявлен
✓ Cookie-политика (Süti tájékoztató) — собственная сессионная PHPSESSID + Google Analytics как сторонний сервис — заявлен
✓ GA в политике описан через устаревшие cookie Universal Analytics (__utma, __utmb, __utmc, __utmt, __utmz), тогда как на сайте работает GA4 (gtag) — заявлен
✓ Политика содержит шаблонный фрагмент с посторонними доменами (webfolio.hu, fotofolio.hu) — след копипаста, не относящийся к OGYÉI — заявлен
+ Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — сторонний получатель IP из США, до согласия, в политике не назван — не заявлен
+ Google reCAPTCHA (www.google.com, www.gstatic.com) — сторонний получатель IP из США, до согласия, в политике не назван — не заявлен
+ jsDelivr (cdn.jsdelivr.net) — сторонний получатель IP, до согласия, в политике не назван — не заявлен
+ jQuery CDN (code.jquery.com) — сторонний получатель IP, до согласия, в политике не назван — не заявлен

Тайминги передачи

+110 мс fonts.googleapis.com

Google Fonts CSS (Roboto, Material Icons). Google, США.

+111 мс cdn.jsdelivr.net

Bootstrap 5.2.3, Alpine.js. Оператор Prospect One, ЕС.

+113 мс code.jquery.com

jQuery 1.12.4, jQuery UI 1.12.1. jQuery CDN.

+113 мс www.googletagmanager.com

gtag.js — контейнер GTM, поток G-VSYV8EV4LC. Google, США.

+114 мс www.google.com

reCAPTCHA api.js. Google, США.

+185 мс www.gstatic.com

Рантайм reCAPTCHA. Google, США.

+190 мс fonts.gstatic.com

Файлы шрифтов Google (×3). Google, США.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

ogyei.gov.hu — сайт Национального института фармации и питания Венгрии (Országos Gyógyszerészeti és Élelmezés-egészségügyi Intézet, OGYÉI), профильного органа по лекарственным средствам и питанию, ныне входящего в состав Национального центра общественного здоровья и фармации (NNGYK). Ответственный за обработку — OGYÉI/NNGYK. Сайт обслуживается сервером Apache, присутствует HSTS. Замер: 33 запроса, 9 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя через Google Fonts, reCAPTCHA и Google Tag Manager. jsDelivr (оператор Prospect One, ЕС) и jQuery CDN — IP посетителя через загрузку библиотек.

Заявленное против фактического

У OGYÉI есть и баннер, и отдельная cookie-политика, но оба слабы. Баннер построен на модели «согласие продолжением просмотра»: он сообщает, что дальнейшим просмотром и нажатием единственной кнопки «принять» посетитель соглашается на cookie, в том числе в маркетинговых целях. Равноценной кнопки отклонения нет. Такая модель согласия под GDPR недействительна: нет свободного, недвусмысленного выбора, а cookie и внешние ресурсы срабатывают ещё до какого-либо действия.

Cookie-политика называет Google Analytics как сторонний сервис — то есть аналитика формально раскрыта. Однако сама политика в плохом состоянии: она перечисляет устаревшие cookie Universal Analytics (__utma, __utmb, __utmc, __utmt, __utmz), тогда как на сайте фактически работает GA4 (контейнер gtag.js, поток G-VSYV8EV4LC), и содержит шаблонный фрагмент с посторонними доменами webfolio.hu и fotofolio.hu — очевидный след копипаста чужого шаблона, не имеющий отношения к органу.

Замер показывает, что до согласия к посетителю подключается целый набор сторонних ресурсов. На +110–114 мс загружаются Google Fonts (CSS, затем файлы Roboto и Material Icons на +190–192 мс), Bootstrap и Alpine.js с jsDelivr, jQuery 1.12.4 и jQuery UI 1.12.1 с code.jquery.com, контейнер Google Tag Manager (gtag.js) и Google reCAPTCHA (api.js с www.google.com, рантайм с www.gstatic.com). Все эти обращения передают IP посетителя сторонним получателям. Из них политика называет лишь Google Analytics; Google Fonts, reCAPTCHA, jsDelivr и jQuery CDN не упомянуты вовсе. reCAPTCHA здесь особенно заметна: это не пассивный шрифт, а сервис Google, профилирующий поведение, и он подгружается заранее, до согласия.

Тайминг относительно согласия

Все внешние обращения идут на +110–192 мс, до любого действия посетителя. Баннер согласия есть, но он не удерживает эти загрузки и сам по себе недействителен как механизм согласия. Действительное согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Контейнер gtag.js загружен (и это уже передало обращение и IP в Google), но самих аналитических обращений /g/collect в окне замера нет — о фактической отправке событий GA4 по этому снимку судить нельзя. Google может использовать edge-узлы в ЕС, поэтому по Fonts, reCAPTCHA и GTM вывод сделан о принадлежности получателя (Google, США), а не о физическом местоположении узла. jsDelivr управляется компанией Prospect One (ЕС, Польша) и раздаётся через несколько CDN-провайдеров; jQuery CDN также раздаётся через стороннюю инфраструктуру — вывод сделан о получателе-операторе, а не о конкретном узле. Обращение к nngyk.gov.hu — это загрузка логотипа с родственного государственного домена, а не сторонний трекер. reCAPTCHA присутствует в виде api.js; видимой формы, к которой она привязана, в замере главной страницы не наблюдается — библиотека грузится заранее. Серверная обработка в браузерном замере не видна.

Вывод

Сайт регулятора лекарственных средств Венгрии до какого-либо действительного согласия передаёт IP посетителя нескольким сторонним получателям: в Google — через Google Fonts, reCAPTCHA и Google Tag Manager, и в CDN jsDelivr и jQuery — через загрузку библиотек. Баннер согласия на сайте есть, но он недействителен: единственная кнопка «принять», согласие «через продолжение просмотра» и упоминание маркетинговых целей не образуют свободного и недвусмысленного выбора. Cookie-политика называет только Google Analytics, причём описывает его устаревшими cookie и содержит чужие домены из скопированного шаблона; Google Fonts, reCAPTCHA, jsDelivr и jQuery CDN не раскрыты. Для профильного медицинского регулятора передача IP нераскрытым сторонним получателям по умолчанию, при каждом заходе и вне действительного механизма согласия, указывает на несоблюдение требований о раскрытии получателей и о трансграничной передаче. Устранение в основном в руках самого органа: разместить шрифты и JavaScript-библиотеки локально, включать reCAPTCHA и аналитику только после действительного согласия с равноценной кнопкой отклонения, и привести cookie-политику в соответствие с фактически используемым GA4, убрав посторонние домены.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: hu/ogyei-gov-hu-2026-05-29.har
SHA-256: 181ac66b51bcfc3fe32d6105b19e66438cd83e0f11903217f9af58bb4982d115
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — ogyei.gov.hu

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта ogyei.gov.hu.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На загрузке страницы до какого-либо согласия загружаются Google Fonts (fonts.googleapis.com ×3 на +110 мс, файлы Roboto и Material Icons с fonts.gstatic.com на +190–192 мс), Google reCAPTCHA (www.google.com/recaptcha/api.js на +114 мс и рантайм с www.gstatic.com на +185 мс), контейнер Google Tag Manager / gtag.js (поток G-VSYV8EV4LC на +113 мс), библиотеки с jsDelivr (Bootstrap 5.2.3, Alpine.js — cdn.jsdelivr.net на +111–114 мс) и jQuery 1.12.4 с jQuery UI 1.12.1 (code.jquery.com на +113 мс). Все они передают IP посетителя сторонним получателям — в Google (США) через Fonts, reCAPTCHA и GTM, а также в jsDelivr и jQuery CDN. Cookie-политика OGYÉI называет только Google Analytics; Google Fonts, reCAPTCHA, jsDelivr и jQuery CDN как получателей не называет.

2) Баннер на сайте построен на согласии «через продолжение просмотра»: единственная кнопка «Elfogadom» (принять), без равноценного отклонения, а сам текст заявляет согласие фактом дальнейшего просмотра и упоминает в том числе маркетинговые цели. Все внешние ресурсы (Google Fonts, reCAPTCHA, GTM, jsDelivr, jQuery) срабатывают на +110–192 мс, до любого действия с баннером. Set-Cookie за весь сеанс ноль; действительного согласия не получено, но передача IP сторонним получателям уже состоялась.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/hu-ogyei-gov-hu/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: NAIH — Венгерский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — ogyei.gov.hu

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом ogyei.gov.hu.

2. Обстоятельства
Я посетил сайт ogyei.gov.hu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На загрузке страницы до какого-либо согласия загружаются Google Fonts (fonts.googleapis.com ×3 на +110 мс, файлы Roboto и Material Icons с fonts.gstatic.com на +190–192 мс), Google reCAPTCHA (www.google.com/recaptcha/api.js на +114 мс и рантайм с www.gstatic.com на +185 мс), контейнер Google Tag Manager / gtag.js (поток G-VSYV8EV4LC на +113 мс), библиотеки с jsDelivr (Bootstrap 5.2.3, Alpine.js — cdn.jsdelivr.net на +111–114 мс) и jQuery 1.12.4 с jQuery UI 1.12.1 (code.jquery.com на +113 мс). Все они передают IP посетителя сторонним получателям — в Google (США) через Fonts, reCAPTCHA и GTM, а также в jsDelivr и jQuery CDN. Cookie-политика OGYÉI называет только Google Analytics; Google Fonts, reCAPTCHA, jsDelivr и jQuery CDN как получателей не называет.

2) Баннер на сайте построен на согласии «через продолжение просмотра»: единственная кнопка «Elfogadom» (принять), без равноценного отклонения, а сам текст заявляет согласие фактом дальнейшего просмотра и упоминает в том числе маркетинговые цели. Все внешние ресурсы (Google Fonts, reCAPTCHA, GTM, jsDelivr, jQuery) срабатывают на +110–192 мс, до любого действия с баннером. Set-Cookie за весь сеанс ноль; действительного согласия не получено, но передача IP сторонним получателям уже состоялась.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/hu-ogyei-gov-hu/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и трансграничная передача; ePrivacy (венгерская имплементация) — недействительное согласие и сторонние ресурсы до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]