vedelem.hu

Контекст

vedelem.hu — сайт «Védelem Online», профессионального новостного портала по пожарной охране и гражданской (катастрофической) защите, выпускающего издание Védelem Katasztrófavédelmi Szemle (ISSN 2064-1559). Ответственный за обработку — редакция «Védelem Online». Хостинг обеспечивает Всевенгерское объединение радиосвязи и инфокоммуникаций для экстренного вызова (Rádiós Segélyhívó és Infokommunikációs Országos Egyesület); подписку ведёт HBU Kft., счета — Billingo. Сайт обслуживается сервером Apache; HSTS выставлен в max-age=0, то есть фактически отключён. Замер: 54 запроса, 5 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Meta/Facebook (США) — IP посетителя через Facebook SDK. Google (США) — IP посетителя через Google Analytics (GA4, событие page_view). Cloudflare (США) — IP посетителя через раздачу Font Awesome с maxcdn.bootstrapcdn.com.

Заявленное против фактического

Адатвэделми-тайекозтато портала описывает обработку данных довольно подробно: он называет cookie, прямо указывает, что статистический анализ ведётся через Google Analytics, и перечисляет трёх обработчиков — объединение, обеспечивающее хостинг и хранение cookie, HBU Kft. по подписке и Billingo по счетам. Политика заявляет, что обработка данных происходит с согласия пользователя, а внимание посетителя на использование cookie обращается всплывающим окном внизу страницы.

Замер подтверждает Google Analytics, но выявляет то, о чём политика молчит. На +519 мс, ещё до какого-либо действия посетителя, загружается Facebook SDK (sdk.js, затем bundle на +629 мс) — загрузчик социальных плагинов и пикселя Facebook, который передаёт IP посетителя в Meta (США). На +303 мс подключается Font Awesome с maxcdn.bootstrapcdn.com, отдаваемый через Cloudflare (США). Сам Google Analytics срабатывает на +868 мс, отправляя событие page_view на region1.google-analytics.com. Все эти обращения происходят до согласия. При этом Facebook и Cloudflare в политике не названы вовсе, хотя политика поимённо перечисляет других получателей и заявляет обработку по согласию.

Ключевая проблема здесь — Facebook SDK. Это не пассивный шрифт и не объявленная статистика: это рекламно-социальный трекер Meta, который на сайте присутствует, работает до согласия и в политике не раскрыт. В сочетании с Google Analytics это означает, что портал ведёт одновременно статистический и рекламно-социальный трекинг, а раскрывает только первый.

Тайминг относительно согласия

Все внешние обращения идут на +303–868 мс, до любого действия посетителя. Уведомление о cookie на сайте предусмотрено политикой, но оно не удерживает загрузку Facebook SDK, Google Analytics и Font Awesome — эти обращения происходят вне механизма согласия. Согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Facebook SDK загружен, и это уже передало IP посетителя в Meta, однако отдельного конверсионного обращения facebook.com/tr в окне замера нет — о фактической отправке конверсионных событий по этому снимку судить нельзя, но сам факт передачи IP при загрузке SDK состоялся. Facebook SDK и Google Analytics выставляют собственные cookie (_fbp, _ga) средствами JavaScript, а не заголовком Set-Cookie, поэтому их отсутствие в Set-Cookie не означает отсутствия таких cookie. GA4 обращается к региональному эндпоинту ЕС (region1). Google, Meta и Cloudflare могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США), а не о физическом местоположении узлов. Серверная обработка в браузерном замере не видна.

Вывод

Профессиональный портал по гражданской защите «Védelem Online» до какого-либо согласия передаёт IP посетителя трём сторонним получателям в США: в Meta — через Facebook SDK, в Google — через Google Analytics, и в Cloudflare — через Font Awesome. Собственная политика портала называет только Google Analytics и обработчиков подписки, но ни Facebook/Meta, ни Cloudflare как получателей не упоминает — при том что прямо заявляет обработку данных по согласию пользователя. Наличие необъявленного Facebook SDK, работающего до согласия, — центральная находка: портал ведёт рекламно-социальный трекинг, который в политике не раскрыт. Передача IP посетителя нераскрытым сторонним получателям в США по умолчанию, при каждом заходе и вне механизма согласия, составляет нарушение требований о раскрытии получателей и о трансграничной передаче. Устранение в руках редакции: убрать Facebook SDK или подключать его только после согласия, разместить Font Awesome локально, включать Google Analytics также только после согласия — и привести политику в соответствие, добавив в неё Facebook/Meta как получателя, если социальный модуль сохраняется.