Технический аудит · 29.05.2026

police.hu

Полиция Венгрии

Полиция Венгрии (оператор — Országos Rendőr-főkapitányság, ORFK) — 151 запрос, 6 доменов. До какого-либо согласия IP посетителя уходит в Google (Google Analytics в двух версиях и reCAPTCHA) и в Cloudflare (cdnjs). При этом собственная политика прямо заявляет, что сайт не использует cookie и не передаёт данные третьим лицам — оба утверждения замер опровергает.

Хронология обращений

+0 мс · загрузка портала

Разметка, скрипты и изображения — с собственного домена www.police.hu (nginx, Drupal 8). Сильный HSTS (preload).

+232…+382 мс · reCAPTCHA и Cloudflare до согласия

Google reCAPTCHA (api.js с www.google.com, рантайм с www.gstatic.com) и библиотека jquery-mousewheel с cdnjs.cloudflare.com. IP посетителя уходит в Google и Cloudflare (США).

+379…+640 мс · Google Analytics до согласия

Классический analytics.js (Universal Analytics), отправка хита UA-41385412-1 на www.google-analytics.com/j/collect (+601 мс), затем gtag.js для GA4 (G-1B1E2T7ZMX). IP посетителя уходит в Google (США).

иных трекеров нет

Facebook, рекламных пикселей и записи сессий в замере нет. Внешние обращения ограничены Google Analytics, reCAPTCHA и одной библиотекой с Cloudflare.

Декларация против факта

✓ Адатвэделми-тайекозтато (ORFK) — заявляет, что сайт не использует cookie, только session ID без персональных данных, удаляемый при выходе — заявлен

✓ Технические данные (IP, тип браузера и ОС) собираются только для статистики и не связываются с другими данными — заявлен

✓ Прямо заявлено: персональные данные третьим лицам не передаются (кроме предусмотренных законом обязательных случаев) — заявлен

✓ Оператор — Országos Rendőr-főkapitányság (ORFK); Google, Analytics, reCAPTCHA и Cloudflare в политике не названы — заявлен

+ Google Analytics (UA-41385412-1 и GA4) — сторонний получатель IP из США, до согласия, в политике не назван; противоречит заявлениям об отсутствии cookie и передачи данных — не заявлен

+ Google reCAPTCHA (www.google.com, www.gstatic.com) — сторонний получатель IP из США, до согласия, не назван — не заявлен

+ cdnjs / Cloudflare (cdnjs.cloudflare.com) — сторонний получатель IP из США, до согласия, не назван — не заявлен

Тайминги передачи

+232 мс www.google.com

reCAPTCHA api.js. Google, США.

+343 мс cdnjs.cloudflare.com

jquery-mousewheel. Cloudflare, США.

+379 мс www.google-analytics.com

analytics.js — Universal Analytics (устаревший). Google, США.

+382 мс www.gstatic.com

Рантайм reCAPTCHA. Google, США.

+601 мс www.google-analytics.com

/j/collect — хит UA-41385412-1 отправлен. Google, США.

+640 мс www.googletagmanager.com

gtag.js — GA4 (G-1B1E2T7ZMX). Google, США.

Зафиксированные трекеры

Google Analytics (UA-41385412-1 устаревший + GA4 G-1B1E2T7ZMX) — до согласия, в политике не назван
Google reCAPTCHA (www.google.com/recaptcha, www.gstatic.com/recaptcha) — до согласия, в политике не назван
cdnjs / Cloudflare (cdnjs.cloudflare.com — jquery-mousewheel) — до согласия, в политике не назван

Признаки несоответствия GDPR

GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей, трансграничная передача и противоречие с политикой
Адатвэделми-тайекозтато полиции прямо заявляет, что сайт не использует cookie (только session ID без персональных данных) и что персональные данные третьим лицам не передаются. Замер это опровергает: до согласия загружаются Google Analytics (устаревший UA-41385412-1 и GA4 G-1B1E2T7ZMX, с отправкой хита на www.google-analytics.com/j/collect на +601 мс), Google reCAPTCHA (www.google.com/recaptcha на +232 мс и рантайм с www.gstatic.com на +382 мс) и библиотека jquery-mousewheel с cdnjs.cloudflare.com (+343 мс). Все они передают IP посетителя сторонним получателям в США (Google и Cloudflare). Ни один из них в политике не назван, а заявления «cookie не используем» и «третьим лицам не передаём» фактическому поведению прямо противоречат.
ePrivacy (венгерская имплементация) — трекеры до согласия
Google Analytics, reCAPTCHA и cdnjs срабатывают на +232–640 мс, до любого действия посетителя, а UA-хит фактически отправлен. Политика указывает основанием согласие (ст. 6(1)(a) GDPR), реализуемое через продолжение пользования сайтом, — но передача IP сторонним получателям в США состоялась до какого-либо выбора. Set-Cookie за сеанс ноль.

Контекст

police.hu — сайт Полиции Венгрии (Rendőrség). Оператор — Национальное полицейское управление (Országos Rendőr-főkapitányság, ORFK). Сайт построен на Drupal 8 (nginx), присутствует сильный HSTS (preload). Замер: 151 запрос, 6 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя через Google Analytics и reCAPTCHA. Cloudflare (США) — IP посетителя через раздачу библиотеки jquery-mousewheel с cdnjs.

Заявленное против фактического

Здесь расхождение особенно резкое, потому что политика делает категоричные и проверяемые утверждения. Адатвэделми-тайекозтато полиции прямо заявляет, что сайт не использует cookie — только session ID, не содержащий персональных данных и удаляемый при выходе. Технические данные (время начала визита, IP-адрес, тип браузера и ОС) собираются, по тексту политики, исключительно для статистики посещаемости и не связываются с другими данными. Отдельным пунктом политика утверждает, что персональные данные третьим лицам не передаются, за исключением обязательных по закону случаев. Ни Google, ни Google Analytics, ни reCAPTCHA, ни Cloudflare в политике не названы.

Замер показывает иную картину. До какого-либо согласия сайт обращается к нескольким сторонним получателям. На +232 мс подключается Google reCAPTCHA (api.js с www.google.com, рантайм с www.gstatic.com на +382 мс). На +343 мс загружается библиотека jquery-mousewheel с cdnjs.cloudflare.com. На +379 мс подключается классический Universal Analytics (analytics.js), и на +601 мс фактически отправляется его хит с идентификатором UA-41385412-1 на www.google-analytics.com/j/collect; следом, на +640 мс, загружается GA4 (gtag.js, G-1B1E2T7ZMX). Все эти обращения передают IP посетителя сторонним получателям в США — Google и Cloudflare.

Тем самым сразу два категоричных утверждения политики оказываются неверными. Заявление о том, что сайт «не использует cookie», не соответствует наличию Google Analytics и reCAPTCHA, которые используют собственные механизмы хранения. А заявление о том, что данные третьим лицам не передаются, прямо опровергается передачей IP в Google и Cloudflare при каждом заходе. Причём статистику, ради которой политика и собирает технические данные, сайт фактически ведёт через Google Analytics — сторонний сервис США, в политике не упомянутый.

Тайминг относительно согласия

Все внешние обращения идут на +232–640 мс, с фактической отправкой хита аналитики, и всё до любого действия посетителя. Политика указывает основанием согласие, реализуемое через продолжение пользования сайтом, — но передача IP сторонним получателям происходит безусловно и заранее. Согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Google Analytics и reCAPTCHA выставляют собственные cookie средствами JavaScript, что не отражается в нулевом Set-Cookie на уровне HTTP-заголовков; тем не менее это опровергает буквальное утверждение политики об отсутствии cookie. Идентификатор UA-41385412-1 относится к устаревшему Universal Analytics; хит отправлен, но обрабатывается ли он на стороне Google — по замеру утверждать нельзя, факт передачи IP при этом состоялся. reCAPTCHA на сайте с формами можно рассматривать как средство защиты; это не отменяет ни передачи IP в Google, ни того, что она в политике не раскрыта. Google и Cloudflare могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателя (компании США), а не о месте узла. Серверная обработка в браузерном замере не видна.

Вывод

Сайт Полиции Венгрии до какого-либо согласия передаёт IP посетителя нескольким сторонним получателям в США: в Google — через Google Analytics (в двух версиях) и reCAPTCHA, и в Cloudflare — через библиотеку с cdnjs. При этом собственная политика органа прямо заявляет, что сайт не использует cookie и не передаёт данные третьим лицам, — оба утверждения замер опровергает, а ни один из фактических получателей в политике не назван. Для национального органа правопорядка передача IP нераскрытым сторонним получателям в США по умолчанию, при каждом заходе и вопреки прямым заявлениям собственной политики, указывает на несоблюдение требований о раскрытии получателей, о трансграничной передаче и о порядке получения согласия. Устранение в руках оператора: разместить статистику на самостоятельном решении (например, локальном Matomo) вместо Google Analytics, разместить библиотеку локально, подключать reCAPTCHA только на страницах с формами и после согласия, отключить устаревший идентификатор Universal Analytics и привести политику в соответствие с действительностью.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: hu/police-hu-2026-05-29.har

SHA-256: 8886cbb5d6e17221dc59babf98f27bff02b9cd8643691ad415ff07c587a36f44

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — police.hu

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта police.hu.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Адатвэделми-тайекозтато полиции прямо заявляет, что сайт не использует cookie (только session ID без персональных данных) и что персональные данные третьим лицам не передаются. Замер это опровергает: до согласия загружаются Google Analytics (устаревший UA-41385412-1 и GA4 G-1B1E2T7ZMX, с отправкой хита на www.google-analytics.com/j/collect на +601 мс), Google reCAPTCHA (www.google.com/recaptcha на +232 мс и рантайм с www.gstatic.com на +382 мс) и библиотека jquery-mousewheel с cdnjs.cloudflare.com (+343 мс). Все они передают IP посетителя сторонним получателям в США (Google и Cloudflare). Ни один из них в политике не назван, а заявления «cookie не используем» и «третьим лицам не передаём» фактическому поведению прямо противоречат.

2) Google Analytics, reCAPTCHA и cdnjs срабатывают на +232–640 мс, до любого действия посетителя, а UA-хит фактически отправлен. Политика указывает основанием согласие (ст. 6(1)(a) GDPR), реализуемое через продолжение пользования сайтом, — но передача IP сторонним получателям в США состоялась до какого-либо выбора. Set-Cookie за сеанс ноль.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/hu-police-hu/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — police.hu

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website police.hu.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The police's privacy notice (adatvédelmi tájékoztató) states directly that the site does not use cookies (only a session ID containing no personal data) and that personal data is not transferred to third parties. The capture disproves this: prior to consent, Google Analytics loads (the deprecated UA-41385412-1 and GA4 G-1B1E2T7ZMX, with a hit sent to www.google-analytics.com/j/collect at +601 ms), as does Google reCAPTCHA (www.google.com/recaptcha at +232 ms and the runtime from www.gstatic.com at +382 ms) and the jquery-mousewheel library from cdnjs.cloudflare.com (+343 ms). All of these transmit the visitor's IP address to third-party recipients in the USA (Google and Cloudflare). None of them is named in the policy, and the statements 'we do not use cookies' and 'we do not transfer data to third parties' directly contradict actual behavior.

2) Google Analytics, reCAPTCHA, and cdnjs fire at +232–640 ms, before any action by the visitor, and the UA hit is actually sent. The policy cites consent as the legal basis (GDPR Art. 6(1)(a)), implemented via continued use of the site — but the transfer of the IP address to third-party recipients in the USA occurred before any choice was made. Set-Cookie across the session is zero.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/hu-police-hu/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: NAIH — Венгерский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — police.hu

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом police.hu.

2. Обстоятельства
Я посетил сайт police.hu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Адатвэделми-тайекозтато полиции прямо заявляет, что сайт не использует cookie (только session ID без персональных данных) и что персональные данные третьим лицам не передаются. Замер это опровергает: до согласия загружаются Google Analytics (устаревший UA-41385412-1 и GA4 G-1B1E2T7ZMX, с отправкой хита на www.google-analytics.com/j/collect на +601 мс), Google reCAPTCHA (www.google.com/recaptcha на +232 мс и рантайм с www.gstatic.com на +382 мс) и библиотека jquery-mousewheel с cdnjs.cloudflare.com (+343 мс). Все они передают IP посетителя сторонним получателям в США (Google и Cloudflare). Ни один из них в политике не назван, а заявления «cookie не используем» и «третьим лицам не передаём» фактическому поведению прямо противоречат.

2) Google Analytics, reCAPTCHA и cdnjs срабатывают на +232–640 мс, до любого действия посетителя, а UA-хит фактически отправлен. Политика указывает основанием согласие (ст. 6(1)(a) GDPR), реализуемое через продолжение пользования сайтом, — но передача IP сторонним получателям в США состоялась до какого-либо выбора. Set-Cookie за сеанс ноль.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/hu-police-hu/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей, трансграничная передача и противоречие с политикой; ePrivacy (венгерская имплементация) — трекеры до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — police.hu

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website police.hu.

2. Circumstances
I visited the website police.hu and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 29 May 2026 (open methodology, reproducible measurements) documents the following indications:

1) The police's privacy notice (adatvédelmi tájékoztató) states directly that the site does not use cookies (only a session ID containing no personal data) and that personal data is not transferred to third parties. The capture disproves this: prior to consent, Google Analytics loads (the deprecated UA-41385412-1 and GA4 G-1B1E2T7ZMX, with a hit sent to www.google-analytics.com/j/collect at +601 ms), as does Google reCAPTCHA (www.google.com/recaptcha at +232 ms and the runtime from www.gstatic.com at +382 ms) and the jquery-mousewheel library from cdnjs.cloudflare.com (+343 ms). All of these transmit the visitor's IP address to third-party recipients in the USA (Google and Cloudflare). None of them is named in the policy, and the statements 'we do not use cookies' and 'we do not transfer data to third parties' directly contradict actual behavior.

2) Google Analytics, reCAPTCHA, and cdnjs fire at +232–640 ms, before any action by the visitor, and the UA hit is actually sent. The policy cites consent as the legal basis (GDPR Art. 6(1)(a)), implemented via continued use of the site — but the transfer of the IP address to third-party recipients in the USA occurred before any choice was made. Set-Cookie across the session is zero.

Full technical documentation is published at: https://gdpru.eu/audits/hu-police-hu/

3. GDPR provisions I ask you to examine
GDPR Art. 13(1)(e) + Chapter V — disclosure of recipients, cross-border transfer, and contradiction with the policy; ePrivacy (Hungarian implementation) — trackers prior to consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]