parlament.hu

Контекст

parlament.hu — сайт Государственного собрания Венгрии (Országgyűlés), однопалатного парламента страны. Ответственный за обработку — Аппарат Государственного собрания (Országgyűlés Hivatala). Сайт обслуживается с HSTS (includeSubDomains). Замер: 143 запроса, 4 домена, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя и данные о просмотре через Google Analytics в двух версиях (GA4 и устаревший Universal Analytics). Иных сторонних получателей в замере нет.

Заявленное против фактического

Cookie-политика парламента прямо называет Google Analytics как сторонний сервис — более того, перечисляет и его расширенные функции: ремаркетинг, отчёты сети Google Display, демографические и интересные отчёты. То есть аналитика раскрыта, и даже подробно. Правовым основанием политика указывает не согласие, а законный интерес (ст. 6(1)(f) GDPR), по которому проведён тест на баланс интересов; отдельно политика в общих словах признаёт, что внешние провайдеры могут обрабатывать данные в странах, не считающихся безопасными третьими странами.

Замер показывает, что аналитика срабатывает до какого-либо согласия, причём сразу в двух версиях. На +414 мс подключается контейнер GA4 (gtag, поток G-K44KGQW81R), на +1815 мс — классическая библиотека Universal Analytics (analytics.js). Затем оба фактически отправляют обращения: на +3908 мс уходит хит устаревшего Universal Analytics (UA-50664080-1) на www.google-analytics.com/j/collect, а на +4020 мс — событие page_view GA4 на region1.google-analytics.com. Это не просто загрузка скриптов: данные в Google (США) уже отправлены. Cookie за сеанс не выставлено ни одной (Set-Cookie ноль).

Расхождение здесь не в раскрытии, а в двух других вещах. Во-первых, правовое основание: политика опирается на законный интерес, тогда как для аналитических cookie правила ePrivacy, как правило, требуют предварительного согласия — а значит, запуск аналитики до какого-либо выбора посетителя проблематичен. Во-вторых, конфигурация устарела: наряду с GA4 продолжает работать и отправлять хиты Universal Analytics — версия, которую Google свернул, но которая на сайте всё ещё активна.

Тайминг относительно согласия

Аналитика идёт на +414–4020 мс, с фактической отправкой хитов, и всё до любого действия посетителя. Механизм, который удерживал бы аналитику до согласия, не срабатывает — политика опирается на законный интерес. Согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Обращения GA фактически отправлены (коды 200 и 204), то есть данные ушли; идентификаторы клиента, которые несут эти обращения, в карточке намеренно не приводятся. Идентификатор UA-50664080-1 относится к Universal Analytics, обработку в котором Google прекратил; хит всё равно уходит, но по замеру нельзя утверждать, обрабатывается ли он на стороне Google, — факт передачи IP при этом состоялся. GA4 обращается к региональному эндпоинту ЕС (region1), однако Google — компания США. Google может использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателя, а не о месте узла. Вопрос о допустимости законного интереса как основания для аналитики — правовой; я фиксирую само расхождение (аналитика до согласия), а не выношу юридический вердикт. Серверная обработка в браузерном замере не видна.

Вывод

Сайт парламента Венгрии до какого-либо согласия отправляет данные посетителя в Google Analytics сразу в двух версиях — устаревшем Universal Analytics и GA4, — передавая IP в Google (США) при каждом заходе. Аналитика в cookie-политике раскрыта, в том числе с рекламными функциями, но опирается на законный интерес, тогда как для аналитических cookie правила ePrivacy, как правило, требуют предварительного согласия; из-за этого аналитика запускается до выбора посетителя. Дополнительно конфигурация устарела: рядом с GA4 продолжает работать свёрнутый Universal Analytics. Запуск аналитики и передача данных стороннему получателю в США до согласия составляют нарушение требований о порядке получения согласия и о трансграничной передаче. Устранение в руках оператора: запускать Google Analytics только после явного согласия через полноценный consent-механизм, отключить устаревший идентификатор Universal Analytics и оставить единый актуальный счётчик.