Технический аудит · 23.06.2026

bol.com

Сайт крупнейшего нидерландского интернет-магазина bol

Политика изменена — посмотреть, что именно · 2026-07-11 →

Bol.com — крупнейший интернет-магазин Нидерландов и Бельгии. Замер главной страницы: 160 обращений, 8 доменов; вход через переадресацию с www.bol.com на /nl/nl/. Сторонний коммерческий слой удержан грамотно: загрузчики аналитики Google и пикселя Facebook отдаются с первичного CDN bol, но в чистом сеансе ни одного бикона не отправляют — ни к google-analytics, ни к facebook, ни к doubleclick за рекламой; библиотека рекламного сервера Google (Google Publisher Tag) загружается на 2632 мс, но объявлений не подаёт. На сайте есть собственный механизм согласия (Consent UI, 2638 мс). Но до согласия отрабатывает собственная аналитика bol: служба логирования (2109 мс), пакет событий (15880 мс) и измерение Firefly с идентификатором сеанса (51370 мс). Первичный сбор поведения и измерение — нетехнические цели, требующие согласия, и здесь они срабатывают до него.

Хронология обращений

1253 мс · защита от ботов

Отрабатывает механизм защиты от ботов Akamai (сенсор на собственном домене). Это мера безопасности, не трекинг.

2109 мс · собственное логирование

На собственную службу логирования bol уходит обращение. Это происходит до какого-либо выбора пользователя.

2125 мс · мониторинг ошибок

На самостоятельно размещённый коллектор Sentry (регион ЕС) уходит технический конверт об ошибках/состоянии. Технический инструмент, не маркетинг.

2632 мс · библиотека рекламного сервера Google

Загружается Google Publisher Tag (gpt.js) — библиотека рекламного сервера Google. Важно: за объявлениями она не обращается — запроса к doubleclick в замере нет, реклама не подаётся.

2638 мс · механизм согласия

Загружается собственный механизм согласия bol (Consent UI). То, что отрабатывает раньше выбора, и определяет, что происходит до согласия.

5748–5751 мс · загрузчики пикселя и аналитики

С первичного CDN bol загружаются скрипты-загрузчики пикселя Facebook (5748 мс) и аналитики Google (5751 мс). Важно: ни один из них в чистом сеансе бикон не отправил — обращений к facebook и google-analytics в замере нет.

15880 мс · собственный пакет событий

На собственный коллектор bol уходит пакет событий. Это первичный сбор поведения, до согласия.

51370 мс · собственное измерение Firefly

На собственную службу измерения bol (Firefly) уходит обращение с идентификатором сеанса. Это первичное измерение, и оно отрабатывает до согласия.

механизм согласия есть, сторонние коммерческие биконы за согласием, но собственная аналитика отработала раньше

Собственный механизм согласия присутствует, и сторонний коммерческий слой удержан за ним: загрузчики аналитики Google и пикселя Facebook, а также библиотека рекламного сервера загружены, но ни одного коммерческого бикона не отправили и рекламы не подали. Но собственная аналитика и измерение bol к этому моменту уже отработали — до любого выбора пользователя.

Декларация против факта

✓ Реклама и персонализация — за согласием (политика) — заявлен

✓ Передача в Facebook — за согласием (политика) — заявлен

+ Собственная аналитика и измерение bol (Firefly, логирование, пакет событий) — не заявлен

Зафиксированные трекеры

Собственная аналитика bol (Firefly, измерение с идентификатором, до согласия)
Собственное логирование и пакет событий bol (до согласия)
Google Analytics и Facebook-пиксель (загрузчики с первичного CDN, биконы не отправлены — за согласием)
Google Publisher Tag / Ad Manager (библиотека загружена, реклама не подаётся)
Sentry (мониторинг ошибок), Akamai (антибот)

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR и art. 11.7a Telecommunicatiewet — собственная аналитика и измерение работают до согласия
Сайт построен в основном на собственной инфраструктуре, и сторонний коммерческий слой здесь удержан грамотно: загрузчики аналитики Google и пикселя Facebook отдаются с первичного CDN bol, но в чистом сеансе ни одного бикона не отправляют — обращений к google-analytics, facebook или doubleclick в замере нет; библиотека рекламного сервера Google (Google Publisher Tag) загружается, но объявлений не подаёт. Это в пользу сайта. Однако в том же чистом сеансе, без какого-либо выбора пользователя, отрабатывает собственная аналитика. На 2109 мс уходит обращение к собственной службе логирования, на 15880 мс — пакет событий на собственный коллектор, а на 51370 мс собственная служба измерения bol (Firefly) отправляет обращение с идентификатором сеанса. Это первичный сбор поведения и измерение, то есть нетехническая цель, требующая согласия по art. 11.7a Telecommunicatiewet и Art. 6(1)(a) GDPR. Собственная политика bol прямо обусловливает рекламу и персонализацию предварительным согласием — то есть площадка признаёт согласие основанием, — но собственная аналитика и измерение отрабатывают до него. То, что почти всё первой стороны и сторонним рекламным сетям данные не растекаются, не освобождает от согласия: аналитика и измерение, даже собственные, должны его дожидаться.

Контекст

www.bol.com — крупнейший интернет-магазин Нидерландов и Бельгии (маркетплейс с собственным ассортиментом и продавцами-партнёрами, личный кабинет, программа доставки). Контролёр данных — bol.com b.v. (Утрехт, Нидерланды). Сайт коммерческий.

Замер: 160 обращений к 8 доменам, главная страница, снят на чистом браузере без VPN и блокировщика; вход через переадресацию с www.bol.com на /nl/nl/. Принципиальная особенность — почти все домены собственные, сайт работает как замкнутая экосистема. На сайте есть собственный механизм согласия.

Кто получает данные

Сторонних коммерческих получателей данных до согласия в этом сеансе нет.

Данные в основном остаются внутри собственной инфраструктуры bol: собственная служба логирования, собственный пакет событий и собственная служба измерения (Firefly) собирают данные на доменах bol. Загрузчики аналитики Google и пикселя Facebook отдаются с первичного CDN bol и в чистом сеансе ни одного бикона не отправляют: обращений к google-analytics, facebook или doubleclick в замере нет. Библиотека рекламного сервера Google (Google Publisher Tag) загружается, но рекламу не подаёт. Из стороннего до согласия отрабатывает только мониторинг ошибок Sentry (технический), защита от ботов Akamai и доставка изображений из системы управления контентом.

Был ли баннер согласия

Да, на сайте есть собственный механизм согласия (Consent UI, загружается на 2638 мс), и сторонний коммерческий слой удержан за ним: в чистом сеансе без согласия загрузчики аналитики и пикселя, а также библиотека рекламного сервера загрузились, но ни одного коммерческого бикона не отправили и рекламы не подали. Это согласуется с политикой bol, которая прямо обусловливает рекламу, персонализацию и передачу данных в Facebook предварительным согласием.

Узловой момент в том, что собственная аналитика отработала раньше: логирование (2109 мс), пакет событий (15880 мс) и измерение Firefly (51370 мс) ушли до согласия.

Что срабатывает до согласия

До выбора пользователя отрабатывает:

собственное логирование bol (2109 мс);
собственный пакет событий bol (15880 мс);
собственное измерение Firefly с идентификатором сеанса (51370 мс);
защита от ботов Akamai (1253 мс) — техническая;
мониторинг ошибок Sentry (2125 мс) — технический;
библиотека рекламного сервера Google (2632 мс) — загружается, но рекламу не подаёт;
загрузчики пикселя Facebook и аналитики Google (5748–5751 мс) — загружаются, но биконов не отправляют.

Защита от ботов и мониторинг ошибок претензий не вызывают — это технические и охранные цели. Загрузчики аналитики, пикселя и библиотека рекламного сервера без согласия ничего не развернули — это в пользу сайта. Претензия — к собственной аналитике и измерению: это первичный сбор поведения, и он отрабатывает до согласия.

Почему «первая сторона» — не индульгенция

Это важно для понимания. То, что bol не передаёт данные стороннему рекламному рою, действительно лучше, чем россыпь чужих трекеров. Но юридически вопрос не в том, кому уходят данные, а на каком основании они собираются. Собственная аналитика поведения и измерение — цели, требующие согласия, и собственная политика bol прямо относит рекламу и персонализацию к обработке по согласию. Запуск этих сборов до согласия противоречит и правилу, и собственному документу. Сторонний коммерческий слой при этом удержан правильно — именно так и следует поступать и с собственной аналитикой.

Вывод

Bol.com — пример замкнутой экосистемы, где сторонний коммерческий слой удержан грамотно: загрузчики аналитики Google, пикселя Facebook и библиотека рекламного сервера загружаются, но без согласия не отправляют ни одного бикона и не подают рекламы. Это выгодно отличает сайт. Но собственная аналитика, логирование и измерение Firefly собирают данные до согласия, при том что собственная политика относит рекламу и персонализацию к обработке по согласию. Главное, что должен вынести читатель: отсутствие сторонних получателей не отменяет требования согласия — собственная аналитика и измерение должны его дожидаться так же, как удержан сторонний слой. Достаточно перевести их запуск в режим ожидания согласия.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: nl/bol-com-2026-06-23.har

SHA-256: c0d90742886567234cf5719e028511240b4b727feb2050415fcf173923c7928a

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — bol.com

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта bol.com.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Сайт построен в основном на собственной инфраструктуре, и сторонний коммерческий слой здесь удержан грамотно: загрузчики аналитики Google и пикселя Facebook отдаются с первичного CDN bol, но в чистом сеансе ни одного бикона не отправляют — обращений к google-analytics, facebook или doubleclick в замере нет; библиотека рекламного сервера Google (Google Publisher Tag) загружается, но объявлений не подаёт. Это в пользу сайта. Однако в том же чистом сеансе, без какого-либо выбора пользователя, отрабатывает собственная аналитика. На 2109 мс уходит обращение к собственной службе логирования, на 15880 мс — пакет событий на собственный коллектор, а на 51370 мс собственная служба измерения bol (Firefly) отправляет обращение с идентификатором сеанса. Это первичный сбор поведения и измерение, то есть нетехническая цель, требующая согласия по art. 11.7a Telecommunicatiewet и Art. 6(1)(a) GDPR. Собственная политика bol прямо обусловливает рекламу и персонализацию предварительным согласием — то есть площадка признаёт согласие основанием, — но собственная аналитика и измерение отрабатывают до него. То, что почти всё первой стороны и сторонним рекламным сетям данные не растекаются, не освобождает от согласия: аналитика и измерение, даже собственные, должны его дожидаться.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-bol-com/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — bol.com

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website bol.com.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site is built largely on its own infrastructure, and the third-party commercial layer is handled correctly: the loaders for Google Analytics and the Facebook pixel are served from bol's primary CDN, but in a clean session send no beacons at all — the scan contains no requests to google-analytics, facebook, or doubleclick; the Google Publisher Tag library loads but serves no ads. This works in the site's favor. However, in that same clean session, without any user choice, bol's own analytics fires. At 2109 ms, a request goes to bol's own logging service; at 15880 ms, an event bundle goes to its own collector; and at 51370 ms, bol's own measurement service (Firefly) sends a request with a session identifier. This is primary behavioral data collection and measurement — a non-technical purpose requiring consent under art. 11.7a Telecommunicatiewet and Art. 6(1)(a) GDPR. Bol's own policy explicitly conditions advertising and personalization on prior consent — meaning the platform recognizes consent as the legal basis — yet its own analytics and measurement fire before that consent. The fact that most data stays first-party and doesn't spread to third-party ad networks does not exempt it from the consent requirement: analytics and measurement, even first-party, must wait for it.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/nl-bol-com/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AP — Голландский орган по защите данных — autoriteitpersoonsgegevens.nl

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — bol.com

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом bol.com.

2. Обстоятельства
Я посетил сайт bol.com и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 23.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Сайт построен в основном на собственной инфраструктуре, и сторонний коммерческий слой здесь удержан грамотно: загрузчики аналитики Google и пикселя Facebook отдаются с первичного CDN bol, но в чистом сеансе ни одного бикона не отправляют — обращений к google-analytics, facebook или doubleclick в замере нет; библиотека рекламного сервера Google (Google Publisher Tag) загружается, но объявлений не подаёт. Это в пользу сайта. Однако в том же чистом сеансе, без какого-либо выбора пользователя, отрабатывает собственная аналитика. На 2109 мс уходит обращение к собственной службе логирования, на 15880 мс — пакет событий на собственный коллектор, а на 51370 мс собственная служба измерения bol (Firefly) отправляет обращение с идентификатором сеанса. Это первичный сбор поведения и измерение, то есть нетехническая цель, требующая согласия по art. 11.7a Telecommunicatiewet и Art. 6(1)(a) GDPR. Собственная политика bol прямо обусловливает рекламу и персонализацию предварительным согласием — то есть площадка признаёт согласие основанием, — но собственная аналитика и измерение отрабатывают до него. То, что почти всё первой стороны и сторонним рекламным сетям данные не растекаются, не освобождает от согласия: аналитика и измерение, даже собственные, должны его дожидаться.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/nl-bol-com/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR и art. 11.7a Telecommunicatiewet — собственная аналитика и измерение работают до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — bol.com

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website bol.com.

2. Circumstances
I visited the website bol.com and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 23 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site is built largely on its own infrastructure, and the third-party commercial layer is handled correctly: the loaders for Google Analytics and the Facebook pixel are served from bol's primary CDN, but in a clean session send no beacons at all — the scan contains no requests to google-analytics, facebook, or doubleclick; the Google Publisher Tag library loads but serves no ads. This works in the site's favor. However, in that same clean session, without any user choice, bol's own analytics fires. At 2109 ms, a request goes to bol's own logging service; at 15880 ms, an event bundle goes to its own collector; and at 51370 ms, bol's own measurement service (Firefly) sends a request with a session identifier. This is primary behavioral data collection and measurement — a non-technical purpose requiring consent under art. 11.7a Telecommunicatiewet and Art. 6(1)(a) GDPR. Bol's own policy explicitly conditions advertising and personalization on prior consent — meaning the platform recognizes consent as the legal basis — yet its own analytics and measurement fire before that consent. The fact that most data stays first-party and doesn't spread to third-party ad networks does not exempt it from the consent requirement: analytics and measurement, even first-party, must wait for it.

Full technical documentation is published at: https://gdpru.eu/audits/nl-bol-com/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR and art. 11.7a Telecommunicatiewet — own analytics and measurement run before consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]