Технический аудит · 16.06.2026

bna.nl

Сайт отраслевой ассоциации нидерландских архитектурных бюро

Bna.nl — сайт отраслевой ассоциации нидерландских архитектурных бюро. Замер главной страницы: 108 обращений, 14 доменов. Для профессиональной ассоциации рекламный стек неожиданно тяжёлый. На сайте есть баннер согласия со встроенной блокировкой трекеров, но фактически он ничего не блокирует: до какого-либо выбора пользователя пиксель Facebook отправляет в Meta событие просмотра, рекламный пиксель LinkedIn передаёт визит, а рекламная система и аналитика Google отправляют свои обращения. Режим согласия для Google при этом не настроен. То есть баннер присутствует, но трекеры срабатывают раньше выбора, как будто его нет.

Хронология обращений

328–1447 мс · баннер согласия с блокировкой

Загружается баннер согласия в режиме согласия-до-сбора, со встроенной блокировкой трекеров. По задумке он должен удерживать рекламу и аналитику до выбора пользователя.

556 мс · сборщик тегов

Загружается сборщик тегов, через который позже разворачиваются рекламные и аналитические сервисы.

2178 мс · LinkedIn Insight Tag

Загружается тег LinkedIn Insight. Рекламный сервис соцсети подключается до согласия.

2194 мс · библиотека пикселя Facebook

Загружается библиотека пикселя Facebook. Рекламный сервис подключается до согласия.

2733 мс · аналитика и реклама Google без сигнала согласия

Аналитика Google и рекламная система Google отправляют обращения. Сигнал согласия при этом не передаётся вовсе — режим согласия не настроен.

2858 мс · рекламный пиксель LinkedIn

Рекламный пиксель LinkedIn отправляет данные о визите на серверы LinkedIn. До согласия.

3181 мс · событие просмотра в Meta

Пиксель Facebook отправляет в Meta событие просмотра страницы. Meta получает факт визита до согласия.

Декларация против факта

✓ Google Analytics — заявлен

✓ Google Tag Manager — заявлен

+ Facebook Pixel (реклама) — не заявлен

+ LinkedIn (реклама) — не заявлен

+ DoubleClick — не заявлен

Зафиксированные трекеры

Facebook / Meta Pixel
LinkedIn (Insight + реклама)
Google DoubleClick (ремаркетинг)
Google Analytics 4

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR и ст. 11.7a Telecommunicatiewet — рекламные пиксели и аналитика срабатывают до согласия вопреки баннеру
На сайте установлен баннер согласия в режиме согласия-до-сбора, со встроенной блокировкой трекеров. Но фактически он ничего не блокирует. До какого-либо выбора пользователя на странице отрабатывает целый рекламный стек: пиксель Facebook отправляет в Meta событие просмотра страницы, рекламный пиксель LinkedIn отправляет данные о визите, рекламная система Google и аналитика Google отправляют свои обращения. При этом режим согласия для аналитики и рекламы Google не настроен — обращения уходят без какого-либо сигнала согласия. То есть баннер на сайте есть, но трекеры срабатывают раньше выбора, как будто его нет. Рекламные пиксели соцсетей и аналитика — нетехнические цели, требующие согласия, а здесь они отрабатывают до него.
Art. 13 GDPR — рекламные пиксели Facebook, LinkedIn и ремаркетинг Google как рекламные получатели в политике не раскрыты
Политика называет аналитику Google и в общих словах упоминает рекламные cookie. Однако рекламные пиксели Facebook и LinkedIn упомянуты лишь в контексте подписки на соцсети, а не как рекламные пиксели на сайте, передающие визит этим платформам. Ремаркетинговая система Google также не раскрыта отдельно. То есть передача визита в Meta и LinkedIn происходит, но в перечне рекламных получателей это не отражено.

Контекст

www.bna.nl — сайт отраслевой ассоциации нидерландских архитектурных бюро (Branchevereniging Nederlandse Architectenbureaus): профессиональное объединение, представляющее архитектурные бюро. Контролёр данных — BNA. Сайт информационный, на платформе WordPress.

Замер: 108 обращений к 14 доменам, главная страница, снят на чистом браузере Edge без VPN и блокировщика. На сайте установлен баннер согласия со встроенной блокировкой трекеров. Технический стек для профессиональной ассоциации насыщен рекламными пикселями.

Кто получает данные

Тут были замечены: Meta, LinkedIn, Google.

Meta получает событие просмотра через пиксель Facebook. LinkedIn получает данные о визите через тег Insight и рекламный пиксель. Google присутствует аналитикой и рекламной системой ремаркетинга. То есть факт визита уходит сразу трём рекламным платформам.

Был ли баннер согласия

Да, на сайте установлен баннер согласия в режиме согласия-до-сбора, и он заявлен со встроенной блокировкой трекеров. Но фактически он ничего не блокирует: рекламные пиксели и аналитика отрабатывают раньше выбора пользователя. Режим согласия для сервисов Google к тому же не настроен — их обращения уходят вовсе без сигнала согласия.

Иными словами, механизм согласия на сайте присутствует, но не выполняет своей задачи.

Что срабатывает до согласия

До выбора пользователя отрабатывает:

пиксель Facebook — событие просмотра в Meta;
рекламный пиксель LinkedIn — передача визита;
рекламная система Google (ремаркетинг);
аналитика Google — без сигнала согласия.

Все эти сервисы — нетехнические цели, требующие согласия. По нидерландскому закону о cookie согласие должно предшествовать их запуску. Здесь же визит уходит сразу нескольким рекламным платформам раньше выбора.

Нераскрытые рекламные получатели

Отдельный пункт. Политика называет аналитику Google и в общих словах упоминает рекламные cookie. Но рекламные пиксели Facebook и LinkedIn упомянуты лишь как соцсети, на которые можно подписаться, а не как пиксели на сайте, передающие визит этим платформам. Ремаркетинг Google отдельно не раскрыт. То есть передача визита в Meta и LinkedIn в перечне рекламных получателей не отражена.

Вывод

Bna.nl — характерный случай, когда механизм согласия присутствует, но не работает. На сайте профессиональной ассоциации установлен баннер с заявленной блокировкой трекеров, однако пиксель Facebook, рекламный пиксель LinkedIn, ремаркетинг и аналитика Google срабатывают раньше выбора пользователя, а режим согласия для Google вовсе не настроен. Главное, что должен вынести читатель: наличие баннера само по себе ничего не значит, если он фактически не удерживает трекеры до согласия. Достаточно правильно настроить блокировку и режим согласия — чтобы рекламные пиксели и аналитика действительно дожидались выбора — и дополнить перечень рекламных получателей в политике."

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: nl/bna-nl-2026-06-16.har

SHA-256: 04bff5404e39af7072b79ab29e563b80f3e439f94e4d62e5382d0025763157df

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — bna.nl

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта bna.nl.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте установлен баннер согласия в режиме согласия-до-сбора, со встроенной блокировкой трекеров. Но фактически он ничего не блокирует. До какого-либо выбора пользователя на странице отрабатывает целый рекламный стек: пиксель Facebook отправляет в Meta событие просмотра страницы, рекламный пиксель LinkedIn отправляет данные о визите, рекламная система Google и аналитика Google отправляют свои обращения. При этом режим согласия для аналитики и рекламы Google не настроен — обращения уходят без какого-либо сигнала согласия. То есть баннер на сайте есть, но трекеры срабатывают раньше выбора, как будто его нет. Рекламные пиксели соцсетей и аналитика — нетехнические цели, требующие согласия, а здесь они отрабатывают до него.

2) Политика называет аналитику Google и в общих словах упоминает рекламные cookie. Однако рекламные пиксели Facebook и LinkedIn упомянуты лишь в контексте подписки на соцсети, а не как рекламные пиксели на сайте, передающие визит этим платформам. Ремаркетинговая система Google также не раскрыта отдельно. То есть передача визита в Meta и LinkedIn происходит, но в перечне рекламных получателей это не отражено.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-bna-nl/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — bna.nl

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website bna.nl.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site has a consent banner in consent-before-collection mode, with built-in tracker blocking. But in practice it blocks nothing. Before any user choice, a full advertising stack fires on the page: the Facebook pixel sends a pageview event to Meta, the LinkedIn advertising pixel sends visit data, and Google's advertising system and analytics send their own requests. Consent mode for Google analytics and advertising is not configured — requests go out with no consent signal whatsoever. In other words, the banner exists, but trackers fire before the user's choice, as if it weren't there at all. Social-network advertising pixels and analytics are non-technical purposes requiring consent, and here they fire before it is given.

2) The policy names Google Analytics and mentions advertising cookies in general terms. However, the Facebook and LinkedIn advertising pixels are mentioned only in the context of following the association on social media, not as advertising pixels on the site that transmit the visit to those platforms. Google's remarketing system is also not disclosed separately. In other words, the visit is transmitted to Meta and LinkedIn, but this is not reflected in the list of advertising recipients.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/nl-bna-nl/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AP — Голландский орган по защите данных — autoriteitpersoonsgegevens.nl

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — bna.nl

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом bna.nl.

2. Обстоятельства
Я посетил сайт bna.nl и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 16.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте установлен баннер согласия в режиме согласия-до-сбора, со встроенной блокировкой трекеров. Но фактически он ничего не блокирует. До какого-либо выбора пользователя на странице отрабатывает целый рекламный стек: пиксель Facebook отправляет в Meta событие просмотра страницы, рекламный пиксель LinkedIn отправляет данные о визите, рекламная система Google и аналитика Google отправляют свои обращения. При этом режим согласия для аналитики и рекламы Google не настроен — обращения уходят без какого-либо сигнала согласия. То есть баннер на сайте есть, но трекеры срабатывают раньше выбора, как будто его нет. Рекламные пиксели соцсетей и аналитика — нетехнические цели, требующие согласия, а здесь они отрабатывают до него.

2) Политика называет аналитику Google и в общих словах упоминает рекламные cookie. Однако рекламные пиксели Facebook и LinkedIn упомянуты лишь в контексте подписки на соцсети, а не как рекламные пиксели на сайте, передающие визит этим платформам. Ремаркетинговая система Google также не раскрыта отдельно. То есть передача визита в Meta и LinkedIn происходит, но в перечне рекламных получателей это не отражено.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/nl-bna-nl/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR и ст. 11.7a Telecommunicatiewet — рекламные пиксели и аналитика срабатывают до согласия вопреки баннеру; Art. 13 GDPR — рекламные пиксели Facebook, LinkedIn и ремаркетинг Google как рекламные получатели в политике не раскрыты

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — bna.nl

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website bna.nl.

2. Circumstances
I visited the website bna.nl and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 16 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has a consent banner in consent-before-collection mode, with built-in tracker blocking. But in practice it blocks nothing. Before any user choice, a full advertising stack fires on the page: the Facebook pixel sends a pageview event to Meta, the LinkedIn advertising pixel sends visit data, and Google's advertising system and analytics send their own requests. Consent mode for Google analytics and advertising is not configured — requests go out with no consent signal whatsoever. In other words, the banner exists, but trackers fire before the user's choice, as if it weren't there at all. Social-network advertising pixels and analytics are non-technical purposes requiring consent, and here they fire before it is given.

2) The policy names Google Analytics and mentions advertising cookies in general terms. However, the Facebook and LinkedIn advertising pixels are mentioned only in the context of following the association on social media, not as advertising pixels on the site that transmit the visit to those platforms. Google's remarketing system is also not disclosed separately. In other words, the visit is transmitted to Meta and LinkedIn, but this is not reflected in the list of advertising recipients.

Full technical documentation is published at: https://gdpru.eu/audits/nl-bna-nl/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR and art. 11.7a Telecommunicatiewet — advertising pixels and analytics fire before consent despite the banner; Art. 13 GDPR — Facebook and LinkedIn advertising pixels and Google remarketing are not disclosed in the policy as advertising recipients

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]