irishrail.ie
Irish Rail — национальная железнодорожная компания Ирландии. 120 запросов, 12 доменов. GTM до Cookiebot баннера. Microsoft Clarity активируется через GTM и записывает сессии до согласия. Cookiebot через GTM — структурное противоречие: CMP зависит от контейнера, который должна контролировать.
Хронология утечки
Декларация против факта
Тайминги передачи
Зафиксированные трекеры
- Google Tag Manager (www.googletagmanager.com, GTM-5VXGQ2F)
- Microsoft Clarity (www.clarity.ms, scripts.clarity.ms, y.clarity.ms)
- Google Fonts (fonts.googleapis.com, fonts.gstatic.com)
- Cookiebot CMP (consent.cookiebot.com, consentcdn.cookiebot.com)
- Kentico Kontent GraphQL API (graphql.kontent.ai)
Зафиксированные нарушения
-
GDPR Art. 6(1), Art. 7; ePrivacy Regulations (SI 336/2011)GTM (GTM-5VXGQ2F) загружается на +416 мс. Microsoft Clarity активируется через GTM на +443 мс (www.clarity.ms/tag/pxcge18pnn) и загружает clarity.js на +638 мс. Clarity отправляет трекинговый запрос y.clarity.ms/collect (+746 мс). Cookiebot баннер (cc.js) появляется позже +495 мс, но активное взаимодействие пользователя с баннером не зафиксировано до запуска Clarity. Cookiebot подключён через GTM (implementation=gtm) — это означает GTM должен быть инициализирован до Cookiebot, создавая структурное противоречие.
-
GDPR Art. 6(1) — Microsoft Clarity до согласияMicrosoft Clarity — инструмент записи сессий и тепловых карт. pxcge18pnn — ID проекта Irish Rail. Clarity отправляет collect запрос (+746 мс) с данными о поведении пользователя: кликах, скроллинге, движениях мыши — до какого-либо подтверждённого согласия. Запись сессий без согласия нарушает Art. 6(1).
-
GDPR Art. 13(1)(e)Cookie Policy описывает три категории: Strictly Necessary, Performance & Analytics, Targeting & Advertising — без идентификации конкретных получателей. Microsoft Clarity, GTM, Google Fonts, Kentico Kontent не упомянуты поимённо.
Контекст
Iarnród Éireann — Irish Rail — государственная железнодорожная компания Ирландии, дочернее предприятие CIÉ. Управляет пассажирскими и грузовыми перевозками по всей стране. HAR: 120 запросов, 12 доменов. 52 запроса к www.irishrail.ie, 50 к journeyplanner.irishrail.ie (собственный HAFAS-планировщик маршрутов), 2 к connect.irishrail.ie (реальное время станций) — остальные 16 к восьми внешним доменам.
Cookiebot через GTM — архитектурное противоречие
Cookiebot подключён с параметром implementation=gtm, что означает Cookiebot управляется через Google Tag Manager. Это распространённый способ интеграции, но он создаёт структурную проблему: GTM загружается на +416 мс, а Cookiebot через него — на +442 мс. В течение этих 26 мс GTM-контейнер активен без ограничений. Именно в этом окне активируется Microsoft Clarity (+443 мс) — через тот же GTM-контейнер.
Фундаментальное противоречие: инструмент согласия (Cookiebot) зависит от контейнера (GTM), который должна контролировать. Корректная реализация требует, чтобы Cookiebot загружался до GTM и блокировал его теги до получения согласия.
Microsoft Clarity — запись сессий до согласия
Microsoft Clarity с ID pxcge18pnn активируется через GTM на +443 мс. clarity.js загружается на +638 мс. Два запроса y.clarity.ms/collect уходят на +746 мс — до отображения полностью загруженного баннера и до любого взаимодействия пользователя с ним. Clarity записывает клики, движения мыши и скроллинг посетителей для построения тепловых карт и воспроизведения сессий. Это расширенная обработка поведенческих данных, для которой требуется явное согласие. В Cookie Policy Irish Rail Microsoft Clarity не упомянут.
Kentico Kontent GraphQL
graphql.kontent.ai — GraphQL API headless CMS Kentico Kontent (чешская компания). Четыре запроса на +404 мс загружают контент страницы. Каждый запрос передаёт IP-адрес посетителя на серверы Kontent. Технически это CMS-инфраструктура, а не трекер, но как внешний получатель данных посетителей сайта не упомянут в политике.
Set-Cookie — ноль
Ни один из 120 запросов не устанавливает cookie через Set-Cookie.
Вывод
irishrail.ie нарушает принцип согласия через архитектурное решение: Cookiebot через GTM означает, что GTM запускается до CMP, а не после. Microsoft Clarity записывает сессии пользователей до согласия. Cookie Policy описывает три категории cookies без конкретных имён провайдеров. Исправление требует изменения архитектуры интеграции: Cookiebot должен загружаться напрямую, независимо от GTM, и блокировать GTM до согласия — а не наоборот.
df305f2a0ec546ab1767f7e0e4f0d413824071e261dcbbcab2406fe661f17996Куда подавать: DPC — Ирландская комиссия по защите данных — dataprotection.ie
Кому: DPC — Ирландская комиссия по защите данных От: [Ваше имя], [контактный email] 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом irishrail.ie. 2. Обстоятельства Я посетил сайт irishrail.ie и обнаружил, что мои персональные данные обрабатывались с нарушением требований GDPR. Технический разбор, опубликованный на gdpru.eu 31.05.2026 (открытая методология, воспроизводимые измерения), документирует следующее: 1) GTM (GTM-5VXGQ2F) загружается на +416 мс. Microsoft Clarity активируется через GTM на +443 мс (www.clarity.ms/tag/pxcge18pnn) и загружает clarity.js на +638 мс. Clarity отправляет трекинговый запрос y.clarity.ms/collect (+746 мс). Cookiebot баннер (cc.js) появляется позже +495 мс, но активное взаимодействие пользователя с баннером не зафиксировано до запуска Clarity. Cookiebot подключён через GTM (implementation=gtm) — это означает GTM должен быть инициализирован до Cookiebot, создавая структурное противоречие. 2) Microsoft Clarity — инструмент записи сессий и тепловых карт. pxcge18pnn — ID проекта Irish Rail. Clarity отправляет collect запрос (+746 мс) с данными о поведении пользователя: кликах, скроллинге, движениях мыши — до какого-либо подтверждённого согласия. Запись сессий без согласия нарушает Art. 6(1). 3) Cookie Policy описывает три категории: Strictly Necessary, Performance & Analytics, Targeting & Advertising — без идентификации конкретных получателей. Microsoft Clarity, GTM, Google Fonts, Kentico Kontent не упомянуты поимённо. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/irishrail-ie/ 3. Нарушенные положения GDPR Art. 6(1), Art. 7; ePrivacy Regulations (SI 336/2011); GDPR Art. 6(1) — Microsoft Clarity до согласия; GDPR Art. 13(1)(e) 4. Требование Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. [Дата] [Подпись/имя]