Технический аудит · 29.05.2026

oif.gov.hu

Национальное главное управление по делам иностранцев Венгрии

Национальное главное управление по делам иностранцев Венгрии (OIF, бывш. Bevándorlási és Menekültügyi Hivatal) — 54 запроса, 8 доменов. Иммиграционный орган; аудитория — иностранцы, беженцы, соискатели убежища. Аналитики нет, часть шрифтов переведена на приватный Bunny Fonts, а баннер обещает грузить статистику/маркетинг только после согласия. Но до какого-либо согласия IP посетителя уходит в Google (reCAPTCHA и Google Fonts), в Bunny (Словения) и в unpkg. Политика прямо заявляет, что данные посещения третьим лицам не передаются — при том что эти получатели в ней не названы.

Хронология обращений

+0…+259 мс · вход через прежний домен

Заход начинается с прежнего домена bmbah.hu (Bevándorlási és Menekültügyi Hivatal), который цепочкой редиректов (307→301) переводит на текущий oif.gov.hu. Затем разметка и ассеты — с собственного домена (Apache/2.4.62, Debian).

+781…+785 мс · шрифты, reCAPTCHA и CDN до согласия

Bunny Fonts (fonts.bunny.net — шрифт Nunito), Google reCAPTCHA (www.google.com/recaptcha/api.js) и библиотека Swiper с unpkg (unpkg.com). IP посетителя уходит в Bunny (Словения), Google (США) и unpkg.

+989…+1226 мс · Google Fonts до согласия

CSS с fonts.googleapis.com и файлы шрифта Lora с fonts.gstatic.com. IP посетителя и Referer уходят в Google (США).

+1540 мс · рантайм reCAPTCHA до согласия

Рантайм reCAPTCHA с www.gstatic.com. IP посетителя уходит в Google (США).

аналитики нет

Google Analytics, GTM, Matomo, рекламных пикселей и записи сессий в замере нет. Внешние обращения ограничены шрифтами, reCAPTCHA и CDN-библиотекой.

Декларация против факта

✓ Баннер согласия — «Elfogadom» (принять); статистические и маркетинговые cookie заявлены как загружаемые только после согласия — заявлен

✓ Адатвэделми-тайекозтато сайта — прямо заявляет, что данные посещения третьим лицам не передаются, кроме предусмотренных законом целевых запросов органов — заявлен

✓ Отдельного перечня сторонних сервисов (Google, Bunny, unpkg) политика не содержит — заявлен

+ Google reCAPTCHA (www.google.com, www.gstatic.com) — сторонний получатель IP из США, до согласия, в политике не назван — не заявлен

+ Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — сторонний получатель IP из США, до согласия, в политике не назван — не заявлен

+ Bunny Fonts (fonts.bunny.net) — сторонний получатель IP (Словения), до согласия, в политике не назван — не заявлен

+ unpkg (unpkg.com) — сторонний получатель IP, до согласия, в политике не назван — не заявлен

Тайминги передачи

+781 мс fonts.bunny.net

Bunny Fonts (Nunito). BunnyWay, Словения (ЕС).

+782 мс unpkg.com

Swiper 12.2.0 (css+js). CDN, инфраструктура Cloudflare.

+783 мс www.google.com

reCAPTCHA api.js. Google, США.

+989 мс fonts.googleapis.com

Google Fonts CSS (Lora). Google, США.

+1155 мс fonts.gstatic.com

Файлы шрифта Google (Lora, ×2). Google, США.

+1540 мс www.gstatic.com

Рантайм reCAPTCHA. Google, США.

Зафиксированные трекеры

Google reCAPTCHA (www.google.com/recaptcha, www.gstatic.com/recaptcha) — до согласия, в политике не назван
Google Fonts (fonts.googleapis.com, fonts.gstatic.com — Lora) — до согласия, в политике не назван
Bunny Fonts (fonts.bunny.net — Nunito) — до согласия; сторонний получатель IP (BunnyWay, Словения)
unpkg (unpkg.com — Swiper 12.2.0) — до согласия, в политике не назван

Признаки несоответствия GDPR

GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и трансграничная передача
На загрузке страницы до какого-либо согласия загружаются Google reCAPTCHA (www.google.com/recaptcha/api.js на +783 мс и рантайм с www.gstatic.com на +1540 мс), Google Fonts (fonts.googleapis.com на +989 мс, файлы шрифта Lora с fonts.gstatic.com на +1155–1226 мс), Bunny Fonts (fonts.bunny.net — шрифт Nunito на +781 мс) и библиотека Swiper 12.2.0 с unpkg (unpkg.com на +782–958 мс). Все они передают IP посетителя сторонним получателям — в Google (США) через reCAPTCHA и Google Fonts, в Bunny (Словения) и в unpkg. Собственный адатвэделми-тайекозтато Главного управления прямо заявляет, что данные, возникающие при посещении сайта, третьим лицам не передаются (кроме предусмотренных законом целевых запросов органов). Ни Google, ни Bunny, ни unpkg в политике не названы.
ePrivacy (венгерская имплементация) — сторонние ресурсы до согласия
Баннер на сайте заявляет, что статистические и маркетинговые cookie загружаются только после нажатия «принять». Однако Google reCAPTCHA, Google Fonts, Bunny Fonts и unpkg срабатывают на +781–1540 мс, до любого действия с баннером, передавая IP посетителя сторонним получателям. Set-Cookie за весь сеанс ноль; согласия нет, но передача IP уже состоялась. Для органа, чья аудитория — иностранцы, беженцы и лица, ищущие убежища, это особенно чувствительно.

Контекст

oif.gov.hu — сайт Национального главного управления по делам иностранцев Венгрии (Országos Idegenrendészeti Főigazgatóság, OIF), органа иммиграционного контроля, отвечающего за виды на жительство, регистрацию иностранцев, вопросы убежища и защиты. До 2019 года орган назывался Управлением по вопросам иммиграции и убежища (Bevándorlási és Menekültügyi Hivatal), которому соответствует прежний домен bmbah.hu. Ответственный за обработку — OIF. Сайт обслуживается сервером Apache/2.4.62 (Debian). Замер: 54 запроса, 8 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя через reCAPTCHA и Google Fonts. Bunny (Словения) — IP посетителя через Bunny Fonts. unpkg — IP посетителя через загрузку библиотеки Swiper.

Заявленное против фактического

Здесь расхождение особенно резкое, потому что орган делает прямое обещание. Адатвэделми-тайекозтато OIF заявляет, что данные, возникающие в связи с посещением сайта, Главное управление третьим лицам не передаёт — за исключением предусмотренных законом целевых запросов органов. Баннер согласия, в свою очередь, обещает, что статистические и маркетинговые cookie загрузятся только после того, как посетитель нажмёт «принять». То есть на словах сайт закрыт от сторонней передачи и работает по модели предварительного согласия.

Замер показывает иное. На +781 мс, ещё до какого-либо действия с баннером, подключаются сразу несколько внешних получателей. Часть шрифтов действительно переведена на приватный Bunny Fonts (fonts.bunny.net, шрифт Nunito) — это осознанный шаг в пользу приватности. Но одновременно грузятся Google reCAPTCHA (api.js с www.google.com, рантайм с www.gstatic.com на +1540 мс), Google Fonts (шрифт Lora с fonts.googleapis.com и fonts.gstatic.com на +989–1226 мс) и библиотека Swiper 12.2.0 с unpkg. Все эти обращения передают IP посетителя сторонним получателям: в Google (США) — через reCAPTCHA и Google Fonts, в Bunny (Словения) — через Nunito, и в unpkg — через Swiper. Ни один из них в политике не назван, а сам факт передачи IP прямо противоречит заявлению об отсутствии передачи третьим лицам.

Для этого органа контекст утяжеляет находку. Его посетители — иностранцы, беженцы и лица, ищущие убежища; для многих из них раскрытие IP-адреса американскому получателю по умолчанию несёт совсем иные риски, чем для обычного визита на госсайт. При этом аналитики (Google Analytics, Matomo) на сайте нет вовсе, cookie в сеансе не выставляются (Set-Cookie ноль) — то есть проблема именно в нераскрытой передаче IP сторонним получателям, а не в отслеживающих cookie.

Тайминг относительно согласия

Все внешние обращения идут на +781–1540 мс, до любого действия посетителя. Баннер согласия на сайте есть и заявляет консент-модель, но он не удерживает загрузку шрифтов, reCAPTCHA и CDN-библиотеки — эти обращения происходят вне механизма согласия. Согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Обращения к bmbah.hu в начале замера — это редиректы прежнего домена того же органа на текущий oif.gov.hu, а не сторонний трекер; замер просто начат со старого адреса. Bunny Fonts (оператор BunnyWay, Словения) позиционируется как приватная альтернатива Google Fonts, не ведущая логирование IP в целях отслеживания; поэтому из всех внешних получателей он наименее проблемный — но формально это всё же сторонний контакт, в политике не названный. Google может использовать edge-узлы в ЕС, поэтому по reCAPTCHA и Google Fonts вывод сделан о принадлежности получателя (Google, США), а не о физическом месте узла. unpkg раздаётся через инфраструктуру Cloudflare — вывод о получателе-операторе, не о конкретном узле. reCAPTCHA присутствует в виде api.js; форма, к которой она привязана, в замере главной страницы не обязательно видна — библиотека грузится заранее. Серверная обработка в браузерном замере не видна.

Вывод

Сайт иммиграционного органа Венгрии сделал шаг в сторону приватности — часть шрифтов переведена на Bunny Fonts, аналитики нет, а баннер заявляет модель предварительного согласия. Тем не менее до какого-либо согласия сайт передаёт IP посетителя нескольким сторонним получателям: в Google — через reCAPTCHA и оставшиеся Google Fonts, в Bunny (Словения) и в unpkg. Ни один из них в политике не назван, а собственный адатвэделми-тайекозтато органа прямо заявляет, что данные посещения третьим лицам не передаются — что фактическому поведению сайта противоречит. Для органа, работающего с иностранцами, беженцами и соискателями убежища, передача IP нераскрытым сторонним получателям по умолчанию, при каждом заходе и вне механизма согласия, указывает на несоблюдение требований о раскрытии получателей и о трансграничной передаче, к тому же с повышенной чувствительностью аудитории. Устранение в основном в руках самого органа: довести до конца уже начатую работу — перевести оставшиеся Google Fonts на локально размещённые или на тот же Bunny, разместить Swiper локально, а reCAPTCHA подключать только на страницах с формами и только после согласия; тогда до выбора посетителя внешних обращений практически не остаётся.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: hu/oif-gov-hu-2026-05-29.har

SHA-256: 28ff2c75c22226d73664b8593ca0d9746a19c85ed6e2caac290a2354ea1a3363

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — oif.gov.hu

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта oif.gov.hu.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На загрузке страницы до какого-либо согласия загружаются Google reCAPTCHA (www.google.com/recaptcha/api.js на +783 мс и рантайм с www.gstatic.com на +1540 мс), Google Fonts (fonts.googleapis.com на +989 мс, файлы шрифта Lora с fonts.gstatic.com на +1155–1226 мс), Bunny Fonts (fonts.bunny.net — шрифт Nunito на +781 мс) и библиотека Swiper 12.2.0 с unpkg (unpkg.com на +782–958 мс). Все они передают IP посетителя сторонним получателям — в Google (США) через reCAPTCHA и Google Fonts, в Bunny (Словения) и в unpkg. Собственный адатвэделми-тайекозтато Главного управления прямо заявляет, что данные, возникающие при посещении сайта, третьим лицам не передаются (кроме предусмотренных законом целевых запросов органов). Ни Google, ни Bunny, ни unpkg в политике не названы.

2) Баннер на сайте заявляет, что статистические и маркетинговые cookie загружаются только после нажатия «принять». Однако Google reCAPTCHA, Google Fonts, Bunny Fonts и unpkg срабатывают на +781–1540 мс, до любого действия с баннером, передавая IP посетителя сторонним получателям. Set-Cookie за весь сеанс ноль; согласия нет, но передача IP уже состоялась. Для органа, чья аудитория — иностранцы, беженцы и лица, ищущие убежища, это особенно чувствительно.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/hu-oif-gov-hu/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — oif.gov.hu

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website oif.gov.hu.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) On page load, prior to any consent, Google reCAPTCHA loads (www.google.com/recaptcha/api.js at +783 ms and the runtime from www.gstatic.com at +1540 ms), as does Google Fonts (fonts.googleapis.com at +989 ms, Lora font files from fonts.gstatic.com at +1155–1226 ms), Bunny Fonts (fonts.bunny.net — the Nunito font at +781 ms), and the Swiper 12.2.0 library from unpkg (unpkg.com at +782–958 ms). All of these transmit the visitor's IP address to third-party recipients — to Google (USA) via reCAPTCHA and Google Fonts, to Bunny (Slovenia), and to unpkg. The Directorate-General's own privacy notice (adatvédelmi tájékoztató) states directly that data arising from visiting the site is not transferred to third parties (except for lawfully mandated targeted requests from authorities). Neither Google, Bunny, nor unpkg is named in the policy.

2) The site's banner states that statistical and marketing cookies load only after the 'accept' button is clicked. However, Google reCAPTCHA, Google Fonts, Bunny Fonts, and unpkg fire at +781–1540 ms, before any interaction with the banner, transmitting the visitor's IP address to third-party recipients. Set-Cookie across the entire session is zero; there is no consent, yet the transfer of the IP address has already taken place. For an authority whose audience includes foreign nationals, refugees, and asylum seekers, this is particularly sensitive.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/hu-oif-gov-hu/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: NAIH — Венгерский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — oif.gov.hu

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом oif.gov.hu.

2. Обстоятельства
Я посетил сайт oif.gov.hu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На загрузке страницы до какого-либо согласия загружаются Google reCAPTCHA (www.google.com/recaptcha/api.js на +783 мс и рантайм с www.gstatic.com на +1540 мс), Google Fonts (fonts.googleapis.com на +989 мс, файлы шрифта Lora с fonts.gstatic.com на +1155–1226 мс), Bunny Fonts (fonts.bunny.net — шрифт Nunito на +781 мс) и библиотека Swiper 12.2.0 с unpkg (unpkg.com на +782–958 мс). Все они передают IP посетителя сторонним получателям — в Google (США) через reCAPTCHA и Google Fonts, в Bunny (Словения) и в unpkg. Собственный адатвэделми-тайекозтато Главного управления прямо заявляет, что данные, возникающие при посещении сайта, третьим лицам не передаются (кроме предусмотренных законом целевых запросов органов). Ни Google, ни Bunny, ни unpkg в политике не названы.

2) Баннер на сайте заявляет, что статистические и маркетинговые cookie загружаются только после нажатия «принять». Однако Google reCAPTCHA, Google Fonts, Bunny Fonts и unpkg срабатывают на +781–1540 мс, до любого действия с баннером, передавая IP посетителя сторонним получателям. Set-Cookie за весь сеанс ноль; согласия нет, но передача IP уже состоялась. Для органа, чья аудитория — иностранцы, беженцы и лица, ищущие убежища, это особенно чувствительно.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/hu-oif-gov-hu/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и трансграничная передача; ePrivacy (венгерская имплементация) — сторонние ресурсы до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — oif.gov.hu

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website oif.gov.hu.

2. Circumstances
I visited the website oif.gov.hu and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 29 May 2026 (open methodology, reproducible measurements) documents the following indications:

1) On page load, prior to any consent, Google reCAPTCHA loads (www.google.com/recaptcha/api.js at +783 ms and the runtime from www.gstatic.com at +1540 ms), as does Google Fonts (fonts.googleapis.com at +989 ms, Lora font files from fonts.gstatic.com at +1155–1226 ms), Bunny Fonts (fonts.bunny.net — the Nunito font at +781 ms), and the Swiper 12.2.0 library from unpkg (unpkg.com at +782–958 ms). All of these transmit the visitor's IP address to third-party recipients — to Google (USA) via reCAPTCHA and Google Fonts, to Bunny (Slovenia), and to unpkg. The Directorate-General's own privacy notice (adatvédelmi tájékoztató) states directly that data arising from visiting the site is not transferred to third parties (except for lawfully mandated targeted requests from authorities). Neither Google, Bunny, nor unpkg is named in the policy.

2) The site's banner states that statistical and marketing cookies load only after the 'accept' button is clicked. However, Google reCAPTCHA, Google Fonts, Bunny Fonts, and unpkg fire at +781–1540 ms, before any interaction with the banner, transmitting the visitor's IP address to third-party recipients. Set-Cookie across the entire session is zero; there is no consent, yet the transfer of the IP address has already taken place. For an authority whose audience includes foreign nationals, refugees, and asylum seekers, this is particularly sensitive.

Full technical documentation is published at: https://gdpru.eu/audits/hu-oif-gov-hu/

3. GDPR provisions I ask you to examine
GDPR Art. 13(1)(e) + Chapter V — disclosure of recipients and cross-border transfer; ePrivacy (Hungarian implementation) — third-party resources prior to consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]