Портал системы образования Венгрии (oktatas.hu, оператор — Oktatási Hivatal) — 47 запросов, 6 доменов. До согласия загружается только менеджер согласия Usercentrics (Германия/ЕС) и ресурсы собственного домена; ни Google, ни аналитики, ни рекламных пикселей, ни сторонних трекеров не срабатывает. Set-Cookie ноль. Согласие запрашивается до запуска любых необязательных сервисов. Нарушений не зафиксировано.
Хронология утечки
Декларация против факта
Тайминги передачи
Зафиксированные трекеры
- Сторонних трекеров до согласия нет — единственный внешний контакт до выбора пользователя это менеджер согласия Usercentrics (Германия/ЕС)
Контекст
oktatas.hu — центральный портал системы образования Венгрии, эксплуатируемый Управлением образования (Oktatási Hivatal, OH). Через портал доступны сведения об экзаменах, реестрах и образовательных сервисах; ряд подсистем работает после авторизации. Ответственный за обработку — OH. Сайт обслуживается сервером nginx, присутствует HSTS. Замер: 47 запросов, 6 доменов, снят на чистом браузере.
Кому уходят данные напрямую (до согласия)
До согласия — только менеджеру согласия Usercentrics (Германия/ЕС), который загружается, чтобы показать баннер. Сторонних трекеров и рекламных получателей в замере нет.
Заявленное против фактического
В подвале сайта присутствуют разделы «Защита данных» (ADATVÉDELEM) и «Уведомление о cookie» (SÜTI TÁJÉKOZTATÓ), а согласием на сайте управляет менеджер Usercentrics. Внутренний регламент OH по защите данных и информационной безопасности адресован сотрудникам органа и веб-cookie не описывает, поэтому для сверки использую cookie-уведомление самого портала.
Замер показывает реализацию, устроенную правильно. Единственный внешний ресурс, который подключается до какого-либо выбора посетителя, — это сам менеджер согласия Usercentrics: он загружает свой loader и SDK, подтягивает конфигурацию и рендерит баннер. Никаких аналитических, рекламных или иных сторонних сервисов до согласия не срабатывает — в замере нет ни Google Analytics, ни Google Tag Manager, ни Google Fonts, ни reCAPTCHA, ни Facebook, ни каких-либо пикселей. Cookie за сеанс не выставлено ни одной (Set-Cookie ноль).
Иными словами, расхождения «заявленное против фактического» не возникает: необязательные сервисы удерживаются до согласия, а до выбора пользователя наружу уходит только обращение к самому механизму согласия. Это именно тот порядок, который предполагает модель предварительного согласия.
Тайминг относительно согласия
Менеджер согласия загружается на +146 мс и первым среди внешних ресурсов; каких-либо трекеров, которые он должен был бы удерживать, до него не появляется. Согласие в сеансе не давалось, и в этом состоянии сторонние сервисы не подключены (Set-Cookie ноль).
Чего по замеру утверждать нельзя
Замер охватывает состояние до согласия. Аналитические или рекламные сервисы, если они объявлены в cookie-уведомлении портала, по устройству модели должны запускаться только после принятия — и в этом замере они действительно не срабатывают; о их поведении после согласия по данному снимку судить нельзя. Usercentrics — менеджер согласия (Германия/ЕС); его собственные служебные обращения передают IP в Usercentrics, но это необходимая часть механизма получения согласия и получатель находится в ЕС. Отдельные подсистемы и авторизованные разделы OH данным замером не охватываются. Серверная обработка в браузерном замере не видна.
Вывод
Портал системы образования Венгрии реализует согласие правильно: до какого-либо выбора посетителя загружается только менеджер согласия Usercentrics, а любые необязательные сервисы удерживаются до принятия. В замере нет ни аналитики, ни рекламных пикселей, ни Google Fonts, ни иных сторонних трекеров; передачи данных стороннему получателю в третьи страны до согласия не происходит, а единственный внешний контакт — сам механизм согласия, размещённый в ЕС. Поведение сайта соответствует модели предварительного согласия. Нарушений в замере не зафиксировано.