Технический аудит · 31.05.2026

irishrail.ie

Iarnród Éireann — Irish Rail, национальная железнодорожная компания Ирландии

Политика изменена — посмотреть, что именно · 2026-08-29 →

Irish Rail — национальная железнодорожная компания Ирландии. 120 запросов, 12 доменов. GTM до Cookiebot баннера. Microsoft Clarity активируется через GTM и записывает сессии до согласия. Cookiebot через GTM — структурное противоречие: CMP зависит от контейнера, который должна контролировать.

Хронология обращений

+159 мс · до баннера

fonts.googleapis.com — Poppins + Roboto. IP пользователя уходит на серверы Google в США.

+196 мс · до баннера

fonts.gstatic.com — Roboto woff2 файл. Google серверы, США.

+404 мс · до баннера

graphql.kontent.ai — Kentico Kontent CMS GraphQL API. 4 запроса к headless CMS. Чехия/США.

+416 мс · до баннера

www.googletagmanager.com (GTM-5VXGQ2F) — GTM-контейнер загружается.

+442 мс · до баннера

consent.cookiebot.com (implementation=gtm) — Cookiebot SDK через GTM. Баннер начинает инициализацию.

+443 мс · до баннера

www.clarity.ms/tag/pxcge18pnn — Microsoft Clarity активируется через GTM немедленно после его загрузки.

+638 мс · до согласия

scripts.clarity.ms/0.8.64/clarity.js — полный агент Clarity загружается.

+746 мс · до согласия

y.clarity.ms/collect — Clarity отправляет первый трекинговый запрос. Два запроса collect до любого согласия.

Декларация против факта

✓ Performance & Analytics cookies — категория задекларирована — заявлен

✓ Targeting & Advertising cookies — категория задекларирована — заявлен

+ Google Tag Manager (GTM-5VXGQ2F) — не упомянут поимённо — не заявлен

+ Microsoft Clarity (pxcge18pnn) — не упомянут — не заявлен

+ Google Fonts (fonts.googleapis.com) — не упомянут — не заявлен

+ Kentico Kontent (graphql.kontent.ai) — не упомянут — не заявлен

Тайминги передачи

+416 мс www.googletagmanager.com

GTM-5VXGQ2F. США.

+442 мс consent.cookiebot.com

Cookiebot uc.js implementation=gtm. Дания.

+443 мс www.clarity.ms

Clarity tag/pxcge18pnn. Через GTM. США.

+638 мс scripts.clarity.ms

Clarity.js v0.8.64. Запись сессий. США.

+746 мс y.clarity.ms

Clarity collect. Данные поведения. x2.

Зафиксированные трекеры

Google Tag Manager (www.googletagmanager.com, GTM-5VXGQ2F)
Microsoft Clarity (www.clarity.ms, scripts.clarity.ms, y.clarity.ms)
Google Fonts (fonts.googleapis.com, fonts.gstatic.com)
Cookiebot CMP (consent.cookiebot.com, consentcdn.cookiebot.com)
Kentico Kontent GraphQL API (graphql.kontent.ai)

Признаки несоответствия GDPR

GDPR Art. 6(1), Art. 7; ePrivacy Regulations (SI 336/2011)
GTM (GTM-5VXGQ2F) загружается на +416 мс. Microsoft Clarity активируется через GTM на +443 мс (www.clarity.ms/tag/pxcge18pnn) и загружает clarity.js на +638 мс. Clarity отправляет трекинговый запрос y.clarity.ms/collect (+746 мс). Cookiebot баннер (cc.js) появляется позже +495 мс, но активное взаимодействие пользователя с баннером не зафиксировано до запуска Clarity. Cookiebot подключён через GTM (implementation=gtm) — это означает GTM должен быть инициализирован до Cookiebot, создавая структурное противоречие.
GDPR Art. 6(1) — Microsoft Clarity до согласия
Microsoft Clarity — инструмент записи сессий и тепловых карт. pxcge18pnn — ID проекта Irish Rail. Clarity отправляет collect запрос (+746 мс) с данными о поведении пользователя: кликах, скроллинге, движениях мыши — до какого-либо подтверждённого согласия. Запись сессий без согласия нарушает Art. 6(1).
GDPR Art. 13(1)(e)
Cookie Policy описывает три категории: Strictly Necessary, Performance & Analytics, Targeting & Advertising — без идентификации конкретных получателей. Microsoft Clarity, GTM, Google Fonts, Kentico Kontent не упомянуты поимённо.

Контекст

Iarnród Éireann — Irish Rail — государственная железнодорожная компания Ирландии, дочернее предприятие CIÉ. Управляет пассажирскими и грузовыми перевозками по всей стране. HAR: 120 запросов, 12 доменов. 52 запроса к www.irishrail.ie, 50 к journeyplanner.irishrail.ie (собственный HAFAS-планировщик маршрутов), 2 к connect.irishrail.ie (реальное время станций) — остальные 16 к восьми внешним доменам.

Cookiebot через GTM — архитектурное противоречие

Cookiebot подключён с параметром implementation=gtm, что означает Cookiebot управляется через Google Tag Manager. Это распространённый способ интеграции, но он создаёт структурную проблему: GTM загружается на +416 мс, а Cookiebot через него — на +442 мс. В течение этих 26 мс GTM-контейнер активен без ограничений. Именно в этом окне активируется Microsoft Clarity (+443 мс) — через тот же GTM-контейнер.

Фундаментальное противоречие: инструмент согласия (Cookiebot) зависит от контейнера (GTM), который должна контролировать. Корректная реализация требует, чтобы Cookiebot загружался до GTM и блокировал его теги до получения согласия.

Microsoft Clarity — запись сессий до согласия

Microsoft Clarity с ID pxcge18pnn активируется через GTM на +443 мс. clarity.js загружается на +638 мс. Два запроса y.clarity.ms/collect уходят на +746 мс — до отображения полностью загруженного баннера и до любого взаимодействия пользователя с ним. Clarity записывает клики, движения мыши и скроллинг посетителей для построения тепловых карт и воспроизведения сессий. Это расширенная обработка поведенческих данных, для которой требуется явное согласие. В Cookie Policy Irish Rail Microsoft Clarity не упомянут.

Kentico Kontent GraphQL

graphql.kontent.ai — GraphQL API headless CMS Kentico Kontent (чешская компания). Четыре запроса на +404 мс загружают контент страницы. Каждый запрос передаёт IP-адрес посетителя на серверы Kontent. Технически это CMS-инфраструктура, а не трекер, но как внешний получатель данных посетителей сайта не упомянут в политике.

Ни один из 120 запросов не устанавливает cookie через Set-Cookie.

Вывод

irishrail.ie не соблюдает принцип согласия через архитектурное решение: Cookiebot через GTM означает, что GTM запускается до CMP, а не после. Microsoft Clarity записывает сессии пользователей до согласия. Cookie Policy описывает три категории cookies без конкретных имён провайдеров. Исправление требует изменения архитектуры интеграции: Cookiebot должен загружаться напрямую, независимо от GTM, и блокировать GTM до согласия — а не наоборот.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: ie/irishrail-ie-2026-05-31.har

SHA-256: df305f2a0ec546ab1767f7e0e4f0d413824071e261dcbbcab2406fe661f17996

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — irishrail.ie

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта irishrail.ie.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) GTM (GTM-5VXGQ2F) загружается на +416 мс. Microsoft Clarity активируется через GTM на +443 мс (www.clarity.ms/tag/pxcge18pnn) и загружает clarity.js на +638 мс. Clarity отправляет трекинговый запрос y.clarity.ms/collect (+746 мс). Cookiebot баннер (cc.js) появляется позже +495 мс, но активное взаимодействие пользователя с баннером не зафиксировано до запуска Clarity. Cookiebot подключён через GTM (implementation=gtm) — это означает GTM должен быть инициализирован до Cookiebot, создавая структурное противоречие.

2) Microsoft Clarity — инструмент записи сессий и тепловых карт. pxcge18pnn — ID проекта Irish Rail. Clarity отправляет collect запрос (+746 мс) с данными о поведении пользователя: кликах, скроллинге, движениях мыши — до какого-либо подтверждённого согласия. Запись сессий без согласия нарушает Art. 6(1).

3) Cookie Policy описывает три категории: Strictly Necessary, Performance & Analytics, Targeting & Advertising — без идентификации конкретных получателей. Microsoft Clarity, GTM, Google Fonts, Kentico Kontent не упомянуты поимённо.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ie-irishrail-ie/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — irishrail.ie

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website irishrail.ie.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) GTM (GTM-5VXGQ2F) loads at +416 ms. Microsoft Clarity activates via GTM at +443 ms (www.clarity.ms/tag/pxcge18pnn) and loads clarity.js at +638 ms. Clarity sends a tracking request to y.clarity.ms/collect (+746 ms). The Cookiebot banner (cc.js) appears after +495 ms, but no active user interaction with the banner is recorded before Clarity launches. Cookiebot is connected via GTM (implementation=gtm) — meaning GTM must initialize before Cookiebot, creating a structural contradiction.

2) Microsoft Clarity is a session-recording and heatmap tool. pxcge18pnn is Irish Rail's project ID. Clarity sends a collect request (+746 ms) carrying data about user behavior — clicks, scrolling, mouse movements — before any confirmed consent. Session recording without consent violates Art. 6(1).

3) The Cookie Policy describes three categories — Strictly Necessary, Performance & Analytics, Targeting & Advertising — without identifying specific recipients. Microsoft Clarity, GTM, Google Fonts, and Kentico Kontent are not named specifically.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ie-irishrail-ie/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: DPC — Ирландская комиссия по защите данных — dataprotection.ie

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — irishrail.ie

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом irishrail.ie.

2. Обстоятельства
Я посетил сайт irishrail.ie и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 31.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) GTM (GTM-5VXGQ2F) загружается на +416 мс. Microsoft Clarity активируется через GTM на +443 мс (www.clarity.ms/tag/pxcge18pnn) и загружает clarity.js на +638 мс. Clarity отправляет трекинговый запрос y.clarity.ms/collect (+746 мс). Cookiebot баннер (cc.js) появляется позже +495 мс, но активное взаимодействие пользователя с баннером не зафиксировано до запуска Clarity. Cookiebot подключён через GTM (implementation=gtm) — это означает GTM должен быть инициализирован до Cookiebot, создавая структурное противоречие.

2) Microsoft Clarity — инструмент записи сессий и тепловых карт. pxcge18pnn — ID проекта Irish Rail. Clarity отправляет collect запрос (+746 мс) с данными о поведении пользователя: кликах, скроллинге, движениях мыши — до какого-либо подтверждённого согласия. Запись сессий без согласия нарушает Art. 6(1).

3) Cookie Policy описывает три категории: Strictly Necessary, Performance & Analytics, Targeting & Advertising — без идентификации конкретных получателей. Microsoft Clarity, GTM, Google Fonts, Kentico Kontent не упомянуты поимённо.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ie-irishrail-ie/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 6(1), Art. 7; ePrivacy Regulations (SI 336/2011); GDPR Art. 6(1) — Microsoft Clarity до согласия; GDPR Art. 13(1)(e)

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — irishrail.ie

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website irishrail.ie.

2. Circumstances
I visited the website irishrail.ie and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 31 May 2026 (open methodology, reproducible measurements) documents the following indications:

1) GTM (GTM-5VXGQ2F) loads at +416 ms. Microsoft Clarity activates via GTM at +443 ms (www.clarity.ms/tag/pxcge18pnn) and loads clarity.js at +638 ms. Clarity sends a tracking request to y.clarity.ms/collect (+746 ms). The Cookiebot banner (cc.js) appears after +495 ms, but no active user interaction with the banner is recorded before Clarity launches. Cookiebot is connected via GTM (implementation=gtm) — meaning GTM must initialize before Cookiebot, creating a structural contradiction.

2) Microsoft Clarity is a session-recording and heatmap tool. pxcge18pnn is Irish Rail's project ID. Clarity sends a collect request (+746 ms) carrying data about user behavior — clicks, scrolling, mouse movements — before any confirmed consent. Session recording without consent violates Art. 6(1).

3) The Cookie Policy describes three categories — Strictly Necessary, Performance & Analytics, Targeting & Advertising — without identifying specific recipients. Microsoft Clarity, GTM, Google Fonts, and Kentico Kontent are not named specifically.

Full technical documentation is published at: https://gdpru.eu/audits/ie-irishrail-ie/

3. GDPR provisions I ask you to examine
GDPR Art. 6(1), Art. 7; ePrivacy Regulations (SI 336/2011); GDPR Art. 6(1) — Microsoft Clarity prior to consent; GDPR Art. 13(1)(e)

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]