Технический аудит · 2026-05-29

police.hu

Полиция Венгрии

Полиция Венгрии (оператор — Országos Rendőr-főkapitányság, ORFK) — 151 запрос, 6 доменов. До какого-либо согласия IP посетителя уходит в Google (Google Analytics в двух версиях и reCAPTCHA) и в Cloudflare (cdnjs). При этом собственная политика прямо заявляет, что сайт не использует cookie и не передаёт данные третьим лицам — оба утверждения замер опровергает.

Хронология утечки

+0 мс · загрузка портала

Разметка, скрипты и изображения — с собственного домена www.police.hu (nginx, Drupal 8). Сильный HSTS (preload).

+232…+382 мс · reCAPTCHA и Cloudflare до согласия

Google reCAPTCHA (api.js с www.google.com, рантайм с www.gstatic.com) и библиотека jquery-mousewheel с cdnjs.cloudflare.com. IP посетителя уходит в Google и Cloudflare (США).

+379…+640 мс · Google Analytics до согласия

Классический analytics.js (Universal Analytics), отправка хита UA-41385412-1 на www.google-analytics.com/j/collect (+601 мс), затем gtag.js для GA4 (G-1B1E2T7ZMX). IP посетителя уходит в Google (США).

иных трекеров нет

Facebook, рекламных пикселей и записи сессий в замере нет. Внешние обращения ограничены Google Analytics, reCAPTCHA и одной библиотекой с Cloudflare.

Декларация против факта

✓ Адатвэделми-тайекозтато (ORFK) — заявляет, что сайт не использует cookie, только session ID без персональных данных, удаляемый при выходе — заявлен

✓ Технические данные (IP, тип браузера и ОС) собираются только для статистики и не связываются с другими данными — заявлен

✓ Прямо заявлено: персональные данные третьим лицам не передаются (кроме предусмотренных законом обязательных случаев) — заявлен

✓ Оператор — Országos Rendőr-főkapitányság (ORFK); Google, Analytics, reCAPTCHA и Cloudflare в политике не названы — заявлен

+ Google Analytics (UA-41385412-1 и GA4) — сторонний получатель IP из США, до согласия, в политике не назван; противоречит заявлениям об отсутствии cookie и передачи данных — не заявлен

+ Google reCAPTCHA (www.google.com, www.gstatic.com) — сторонний получатель IP из США, до согласия, не назван — не заявлен

+ cdnjs / Cloudflare (cdnjs.cloudflare.com) — сторонний получатель IP из США, до согласия, не назван — не заявлен

Тайминги передачи

+232 мс www.google.com

reCAPTCHA api.js. Google, США.

+343 мс cdnjs.cloudflare.com

jquery-mousewheel. Cloudflare, США.

+379 мс www.google-analytics.com

analytics.js — Universal Analytics (устаревший). Google, США.

+382 мс www.gstatic.com

Рантайм reCAPTCHA. Google, США.

+601 мс www.google-analytics.com

/j/collect — хит UA-41385412-1 отправлен. Google, США.

+640 мс www.googletagmanager.com

gtag.js — GA4 (G-1B1E2T7ZMX). Google, США.

Зафиксированные трекеры

Google Analytics (UA-41385412-1 устаревший + GA4 G-1B1E2T7ZMX) — до согласия, в политике не назван
Google reCAPTCHA (www.google.com/recaptcha, www.gstatic.com/recaptcha) — до согласия, в политике не назван
cdnjs / Cloudflare (cdnjs.cloudflare.com — jquery-mousewheel) — до согласия, в политике не назван

Признаки несоответствия GDPR

GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей, трансграничная передача и противоречие с политикой

Адатвэделми-тайекозтато полиции прямо заявляет, что сайт не использует cookie (только session ID без персональных данных) и что персональные данные третьим лицам не передаются. Замер это опровергает: до согласия загружаются Google Analytics (устаревший UA-41385412-1 и GA4 G-1B1E2T7ZMX, с отправкой хита на www.google-analytics.com/j/collect на +601 мс), Google reCAPTCHA (www.google.com/recaptcha на +232 мс и рантайм с www.gstatic.com на +382 мс) и библиотека jquery-mousewheel с cdnjs.cloudflare.com (+343 мс). Все они передают IP посетителя сторонним получателям в США (Google и Cloudflare). Ни один из них в политике не назван, а заявления «cookie не используем» и «третьим лицам не передаём» фактическому поведению прямо противоречат.
ePrivacy (венгерская имплементация) — трекеры до согласия

Google Analytics, reCAPTCHA и cdnjs срабатывают на +232–640 мс, до любого действия посетителя, а UA-хит фактически отправлен. Политика указывает основанием согласие (ст. 6(1)(a) GDPR), реализуемое через продолжение пользования сайтом, — но передача IP сторонним получателям в США состоялась до какого-либо выбора. Set-Cookie за сеанс ноль.

Контекст

police.hu — сайт Полиции Венгрии (Rendőrség). Оператор — Национальное полицейское управление (Országos Rendőr-főkapitányság, ORFK). Сайт построен на Drupal 8 (nginx), присутствует сильный HSTS (preload). Замер: 151 запрос, 6 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя через Google Analytics и reCAPTCHA. Cloudflare (США) — IP посетителя через раздачу библиотеки jquery-mousewheel с cdnjs.

Заявленное против фактического

Здесь расхождение особенно резкое, потому что политика делает категоричные и проверяемые утверждения. Адатвэделми-тайекозтато полиции прямо заявляет, что сайт не использует cookie — только session ID, не содержащий персональных данных и удаляемый при выходе. Технические данные (время начала визита, IP-адрес, тип браузера и ОС) собираются, по тексту политики, исключительно для статистики посещаемости и не связываются с другими данными. Отдельным пунктом политика утверждает, что персональные данные третьим лицам не передаются, за исключением обязательных по закону случаев. Ни Google, ни Google Analytics, ни reCAPTCHA, ни Cloudflare в политике не названы.

Замер показывает иную картину. До какого-либо согласия сайт обращается к нескольким сторонним получателям. На +232 мс подключается Google reCAPTCHA (api.js с www.google.com, рантайм с www.gstatic.com на +382 мс). На +343 мс загружается библиотека jquery-mousewheel с cdnjs.cloudflare.com. На +379 мс подключается классический Universal Analytics (analytics.js), и на +601 мс фактически отправляется его хит с идентификатором UA-41385412-1 на www.google-analytics.com/j/collect; следом, на +640 мс, загружается GA4 (gtag.js, G-1B1E2T7ZMX). Все эти обращения передают IP посетителя сторонним получателям в США — Google и Cloudflare.

Тем самым сразу два категоричных утверждения политики оказываются неверными. Заявление о том, что сайт «не использует cookie», не соответствует наличию Google Analytics и reCAPTCHA, которые используют собственные механизмы хранения. А заявление о том, что данные третьим лицам не передаются, прямо опровергается передачей IP в Google и Cloudflare при каждом заходе. Причём статистику, ради которой политика и собирает технические данные, сайт фактически ведёт через Google Analytics — сторонний сервис США, в политике не упомянутый.

Тайминг относительно согласия

Все внешние обращения идут на +232–640 мс, с фактической отправкой хита аналитики, и всё до любого действия посетителя. Политика указывает основанием согласие, реализуемое через продолжение пользования сайтом, — но передача IP сторонним получателям происходит безусловно и заранее. Согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Google Analytics и reCAPTCHA выставляют собственные cookie средствами JavaScript, что не отражается в нулевом Set-Cookie на уровне HTTP-заголовков; тем не менее это опровергает буквальное утверждение политики об отсутствии cookie. Идентификатор UA-41385412-1 относится к устаревшему Universal Analytics; хит отправлен, но обрабатывается ли он на стороне Google — по замеру утверждать нельзя, факт передачи IP при этом состоялся. reCAPTCHA на сайте с формами можно рассматривать как средство защиты; это не отменяет ни передачи IP в Google, ни того, что она в политике не раскрыта. Google и Cloudflare могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателя (компании США), а не о месте узла. Серверная обработка в браузерном замере не видна.

Вывод

Сайт Полиции Венгрии до какого-либо согласия передаёт IP посетителя нескольким сторонним получателям в США: в Google — через Google Analytics (в двух версиях) и reCAPTCHA, и в Cloudflare — через библиотеку с cdnjs. При этом собственная политика органа прямо заявляет, что сайт не использует cookie и не передаёт данные третьим лицам, — оба утверждения замер опровергает, а ни один из фактических получателей в политике не назван. Для национального органа правопорядка передача IP нераскрытым сторонним получателям в США по умолчанию, при каждом заходе и вопреки прямым заявлениям собственной политики, составляет нарушение требований о раскрытии получателей, о трансграничной передаче и о порядке получения согласия. Устранение в руках оператора: разместить статистику на самостоятельном решении (например, локальном Matomo) вместо Google Analytics, разместить библиотеку локально, подключать reCAPTCHA только на страницах с формами и после согласия, отключить устаревший идентификатор Universal Analytics и привести политику в соответствие с действительностью.

Готовое письмо для подачи жалобы

Куда подавать: NAIH — Венгерский орган по защите данных — подать жалобу онлайн →

Кому: NAIH — Венгерский орган по защите данных
От: [Ваше имя], [контактный email]

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом police.hu.

2. Обстоятельства
Я посетил сайт police.hu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Адатвэделми-тайекозтато полиции прямо заявляет, что сайт не использует cookie (только session ID без персональных данных) и что персональные данные третьим лицам не передаются. Замер это опровергает: до согласия загружаются Google Analytics (устаревший UA-41385412-1 и GA4 G-1B1E2T7ZMX, с отправкой хита на www.google-analytics.com/j/collect на +601 мс), Google reCAPTCHA (www.google.com/recaptcha на +232 мс и рантайм с www.gstatic.com на +382 мс) и библиотека jquery-mousewheel с cdnjs.cloudflare.com (+343 мс). Все они передают IP посетителя сторонним получателям в США (Google и Cloudflare). Ни один из них в политике не назван, а заявления «cookie не используем» и «третьим лицам не передаём» фактическому поведению прямо противоречат.

2) Google Analytics, reCAPTCHA и cdnjs срабатывают на +232–640 мс, до любого действия посетителя, а UA-хит фактически отправлен. Политика указывает основанием согласие (ст. 6(1)(a) GDPR), реализуемое через продолжение пользования сайтом, — но передача IP сторонним получателям в США состоялась до какого-либо выбора. Set-Cookie за сеанс ноль.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/hu-police-hu/

3. Нарушенные положения
GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей, трансграничная передача и противоречие с политикой; ePrivacy (венгерская имплементация) — трекеры до согласия

4. Требование
Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256
и цитата из политики конфиденциальности сайта, документирующая
указанное противоречие — опубликована и проверяема по ссылке
в пункте 2 выше.

[Дата]                                    [Подпись/имя]