Портал системы образования Венгрии (oktatas.hu, оператор — Oktatási Hivatal) — 47 запросов, 6 доменов. До согласия загружается только менеджер согласия Usercentrics (Германия/ЕС) и ресурсы собственного домена; ни Google, ни аналитики, ни рекламных пикселей, ни сторонних трекеров не срабатывает. Set-Cookie ноль. Согласие запрашивается до запуска любых необязательных сервисов. Нарушений не зафиксировано.
Хронология обращений
Декларация против факта
Тайминги передачи
Зафиксированные трекеры
- Сторонних трекеров до согласия нет — единственный внешний контакт до выбора пользователя это менеджер согласия Usercentrics (Германия/ЕС)
Контекст
oktatas.hu — центральный портал системы образования Венгрии, эксплуатируемый Управлением образования (Oktatási Hivatal, OH). Через портал доступны сведения об экзаменах, реестрах и образовательных сервисах; ряд подсистем работает после авторизации. Ответственный за обработку — OH. Сайт обслуживается сервером nginx, присутствует HSTS. Замер: 47 запросов, 6 доменов, снят на чистом браузере.
Кому уходят данные напрямую (до согласия)
До согласия — только менеджеру согласия Usercentrics (Германия/ЕС), который загружается, чтобы показать баннер. Сторонних трекеров и рекламных получателей в замере нет.
Заявленное против фактического
В подвале сайта присутствуют разделы «Защита данных» (ADATVÉDELEM) и «Уведомление о cookie» (SÜTI TÁJÉKOZTATÓ), а согласием на сайте управляет менеджер Usercentrics. Внутренний регламент OH по защите данных и информационной безопасности адресован сотрудникам органа и веб-cookie не описывает, поэтому для сверки использую cookie-уведомление самого портала.
Замер показывает реализацию, устроенную правильно. Единственный внешний ресурс, который подключается до какого-либо выбора посетителя, — это сам менеджер согласия Usercentrics: он загружает свой loader и SDK, подтягивает конфигурацию и рендерит баннер. Никаких аналитических, рекламных или иных сторонних сервисов до согласия не срабатывает — в замере нет ни Google Analytics, ни Google Tag Manager, ни Google Fonts, ни reCAPTCHA, ни Facebook, ни каких-либо пикселей. Cookie за сеанс не выставлено ни одной (Set-Cookie ноль).
Иными словами, расхождения «заявленное против фактического» не возникает: необязательные сервисы удерживаются до согласия, а до выбора пользователя наружу уходит только обращение к самому механизму согласия. Это именно тот порядок, который предполагает модель предварительного согласия.
Тайминг относительно согласия
Менеджер согласия загружается на +146 мс и первым среди внешних ресурсов; каких-либо трекеров, которые он должен был бы удерживать, до него не появляется. Согласие в сеансе не давалось, и в этом состоянии сторонние сервисы не подключены (Set-Cookie ноль).
Чего по замеру утверждать нельзя
Замер охватывает состояние до согласия. Аналитические или рекламные сервисы, если они объявлены в cookie-уведомлении портала, по устройству модели должны запускаться только после принятия — и в этом замере они действительно не срабатывают; о их поведении после согласия по данному снимку судить нельзя. Usercentrics — менеджер согласия (Германия/ЕС); его собственные служебные обращения передают IP в Usercentrics, но это необходимая часть механизма получения согласия и получатель находится в ЕС. Отдельные подсистемы и авторизованные разделы OH данным замером не охватываются. Серверная обработка в браузерном замере не видна.
Вывод
Портал системы образования Венгрии реализует согласие правильно: до какого-либо выбора посетителя загружается только менеджер согласия Usercentrics, а любые необязательные сервисы удерживаются до принятия. В замере нет ни аналитики, ни рекламных пикселей, ни Google Fonts, ни иных сторонних трекеров; передачи данных стороннему получателю в третьи страны до согласия не происходит, а единственный внешний контакт — сам механизм согласия, размещённый в ЕС. Поведение сайта соответствует модели предварительного согласия. Нарушений в замере не зафиксировано.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
0360ebacec60a7807177ce2410941f3faf5a621dedebedeb981428fb1aaa2686Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — oktatas.hu Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта oktatas.hu. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) Прошу предоставить информацию по всем категориям, целям и получателям обработки моих данных на этом сайте — независимо от того, выявлены ли на сегодняшний день какие-либо несоответствия. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/hu-oktatas-hu/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — oktatas.hu To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website oktatas.hu. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) I request information on all categories, purposes, and recipients of my data processed on this site — regardless of whether any non-compliance has been identified to date. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/hu-oktatas-hu/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]