Технический аудит · 23.06.2026

coolblue.nl

Сайт интернет-магазина электроники Coolblue

Политика изменена — посмотреть, что именно · 2026-10-07 →

Coolblue.nl — сайт крупного нидерландского интернет-магазина электроники. Замер главной страницы: 143 обращения, 11 доменов. В чистом сеансе без согласия сразу разворачивается аналитико-поведенческий слой: Google Analytics 4 шлёт события (session_start на 5232 мс, page_view на 5259 мс, далее прокрутку и конверсию), причём сигнал согласия в самих запросах GA4 помечает хранение для аналитики как разрешённое (analytics_storage = granted), хотя пользователь ничего не выбирал. Параллельно отрабатывает Crazy Egg — запись сессий, тепловые карты и опросы (скрипт на 839 мс, трекинговый бикон на 6781 мс) — и Optimizely, платформа A/B-экспериментов (клиентское хранилище на 4452 мс, события на лог-коллектор на 5924 мс). Аналитика, запись сессий и эксперименты — нетехнические цели, требующие согласия, и здесь все три срабатывают до него.

Хронология обращений

838–839 мс · сборщик тегов и Crazy Egg

Загружаются Google Tag Manager (838 мс) и скрипт Crazy Egg (839 мс) — инструмента записи сессий, тепловых карт и опросов. Загрузка Crazy Egg начинается одной из первых, до согласия.

4452 мс · Optimizely

Загружается клиентское хранилище Optimizely — платформы A/B-экспериментов. Это поведенческое разделение пользователей на варианты, нетехническая цель.

5232–5259 мс · события Google Analytics 4

GA4 отправляет конверсию (5232 мс) и событие page_view (5259 мс). Сигнал согласия в запросах (gcs=G101) показывает, что хранение для аналитики помечено как разрешённое (analytics_storage = granted) — при том что пользователь ничего не выбирал. Рекламная часть помечена как неперсонализированная.

5924 мс · события Optimizely

На лог-коллектор Optimizely (eu.logx.optimizely.com) уходят события. Эксперименты отрабатывают до согласия.

6781 мс · трекинговый бикон Crazy Egg

На tracking.crazyegg.com уходит трекинговый бикон — запись поведения пользователя на странице. До согласия.

8458–29358 мс · продолжение GA4

GA4 продолжает отправлять события (включая прокрутку) на 8458, 13463, 24350 и 29358 мс — всё в том же режиме «аналитика разрешена».

сигнал согласия GA4 — «аналитика разрешена» по умолчанию, до выбора пользователя

Отдельного стороннего механизма согласия в замере не видно; согласие реализовано через режим Consent Mode, и сигнал в запросах GA4 (gcs=G101) показывает аналитику как разрешённую по умолчанию. К моменту, когда пользователь мог бы что-то выбрать, GA4, Crazy Egg и Optimizely уже отработали.

Декларация против факта

✓ Google Analytics (в политике назван, заявлен как «низкого влияния» с маскировкой IP) — заявлен

+ Crazy Egg (в политике конфиденциальности не назван) — не заявлен

+ Optimizely (в политике конфиденциальности не назван) — не заявлен

Зафиксированные трекеры

Google Analytics 4 (события до согласия, analytics_storage = granted)
Crazy Egg (запись сессий, тепловые карты, опросы — до согласия)
Optimizely (A/B-эксперименты и логирование событий — до согласия)
Google Tag Manager
mimir.coolblue.nl (первичный real-time, websocket)

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR и art. 11.7a Telecommunicatiewet — аналитика, запись сессий и эксперименты срабатывают до согласия
В чистом сеансе без какого-либо выбора пользователя сразу разворачивается полноценный аналитико-поведенческий слой. Google Analytics 4 отправляет события session_start (5232 мс), page_view (5259 мс) и далее прокрутку и конверсию; при этом сигнал согласия в самих запросах GA4 (gcs=G101) показывает, что хранение для аналитики помечено как разрешённое (analytics_storage = granted) — то есть аналитика по умолчанию считается согласованной, хотя пользователь ничего не выбирал. Рекламная часть при этом помечена как неперсонализированная. Параллельно загружается и отрабатывает Crazy Egg — инструмент записи сессий, тепловых карт и опросов: на 839 мс грузится его скрипт, а на 6781 мс уходит трекинговый бикон. Также отрабатывает Optimizely — платформа A/B-экспериментов: на 4452 мс загружается её клиентское хранилище, а на 5924 мс на её лог-коллектор уходят события. Аналитика, запись сессий и эксперименты — это нетехнические цели, требующие согласия по art. 11.7a Telecommunicatiewet и Art. 6(1)(a) GDPR, и здесь все три отрабатывают до согласия. Политика Coolblue называет Google Analytics инструментом «низкого влияния» с маскировкой IP, но наблюдаемый GA4 шлёт полноценные события, включая конверсию, в режиме «аналитика разрешена»; Crazy Egg и Optimizely в политике конфиденциальности не названы вовсе.

Контекст

www.coolblue.nl — сайт Coolblue, одного из крупнейших интернет-магазинов электроники и бытовой техники в Нидерландах и Бельгии (каталог, личный кабинет, доставка и установка). Контролёр данных — Coolblue B.V. (Роттердам, Нидерланды). Сайт коммерческий.

Замер: 143 обращения к 11 доменам, главная страница, снят на чистом браузере без VPN и блокировщика. Согласие на сайте реализовано через режим Consent Mode.

Кто получает данные

Напрямую до согласия: Google (Analytics), Crazy Egg, Optimizely.

Google Analytics 4 отправляет события на region1.google-analytics.com — session_start, page_view, прокрутку и конверсию. Crazy Egg (script.crazyegg.com, tracking.crazyegg.com) ведёт запись сессий, тепловые карты и опросы. Optimizely (cdn.optimizely.com, eu.logx.optimizely.com) проводит A/B-эксперименты и отправляет события на свой лог-коллектор. Из первичного — real-time-соединение mimir.coolblue.nl на собственном домене (websocket).

Был ли баннер согласия

Отдельного стороннего механизма согласия (CMP) в замере не видно; согласие реализовано через режим Consent Mode. Узловой момент: сигнал согласия в самих запросах GA4 (gcs=G101) помечает хранение для аналитики как разрешённое (analytics_storage = granted) по умолчанию — то есть аналитика считается согласованной ещё до того, как пользователь что-либо выбрал. Рекламная часть при этом помечена как неперсонализированная, и это в пользу сайта — но аналитика, запись сессий и эксперименты к моменту возможного выбора уже отработали.

Что срабатывает до согласия

До выбора пользователя отрабатывает:

Google Analytics 4 — события session_start, page_view, прокрутка, конверсия (с 5232 мс), в режиме «аналитика разрешена»;
Crazy Egg — запись сессий, тепловые карты, опросы (скрипт на 839 мс, бикон на 6781 мс);
Optimizely — A/B-эксперименты и логирование событий (с 4452 мс).

Все три — нетехнические цели, требующие согласия. Запись сессий и тепловые карты особенно чувствительны: это фиксация поведения пользователя на странице. Здесь они отрабатывают раньше любого выбора.

Почему «аналитика по умолчанию разрешена» — это проблема

Это важно для понимания. Режим Consent Mode сам по себе — правильный механизм: он позволяет тегам уважать выбор пользователя. Но значение по умолчанию здесь выставлено так, что хранение для аналитики помечено как разрешённое (analytics_storage = granted) ещё до выбора. В результате GA4 шлёт полноценные события, включая конверсию, а не ограниченные бескуковые пинги. Политика Coolblue называет Google Analytics инструментом «низкого влияния» с частичной маскировкой IP — но наблюдаемое поведение шире, чем у освобождённой приватной аналитики: это стандартный сбор GA4 в режиме согласия. К нему добавляются Crazy Egg и Optimizely, которые в политике конфиденциальности не названы вовсе.

Вывод

Coolblue.nl — случай, когда согласие для рекламы соблюдается, а для аналитики и поведенческих инструментов — нет. В пользу сайта то, что рекламная часть помечена как неперсонализированная. Но Google Analytics 4 отправляет полноценные события с пометкой «аналитика разрешена» по умолчанию, Crazy Egg ведёт запись сессий, тепловые карты и опросы, а Optimizely проводит эксперименты — и все три отрабатывают до согласия. Главное, что должен вынести читатель: значение Consent Mode по умолчанию для аналитики следует переключить на «отказано» до выбора пользователя, а запись сессий и эксперименты — перевести в режим ожидания согласия. Тогда конфигурация пришла бы в соответствие с тем основанием (согласие), на которое опирается сама политика.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: nl/coolblue-nl-2026-06-23.har

SHA-256: 5cc3828073813c2ca5e3f8051a254d9af5737272143304eca099cc265cf4690c

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — coolblue.nl

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта coolblue.nl.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) В чистом сеансе без какого-либо выбора пользователя сразу разворачивается полноценный аналитико-поведенческий слой. Google Analytics 4 отправляет события session_start (5232 мс), page_view (5259 мс) и далее прокрутку и конверсию; при этом сигнал согласия в самих запросах GA4 (gcs=G101) показывает, что хранение для аналитики помечено как разрешённое (analytics_storage = granted) — то есть аналитика по умолчанию считается согласованной, хотя пользователь ничего не выбирал. Рекламная часть при этом помечена как неперсонализированная. Параллельно загружается и отрабатывает Crazy Egg — инструмент записи сессий, тепловых карт и опросов: на 839 мс грузится его скрипт, а на 6781 мс уходит трекинговый бикон. Также отрабатывает Optimizely — платформа A/B-экспериментов: на 4452 мс загружается её клиентское хранилище, а на 5924 мс на её лог-коллектор уходят события. Аналитика, запись сессий и эксперименты — это нетехнические цели, требующие согласия по art. 11.7a Telecommunicatiewet и Art. 6(1)(a) GDPR, и здесь все три отрабатывают до согласия. Политика Coolblue называет Google Analytics инструментом «низкого влияния» с маскировкой IP, но наблюдаемый GA4 шлёт полноценные события, включая конверсию, в режиме «аналитика разрешена»; Crazy Egg и Optimizely в политике конфиденциальности не названы вовсе.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-coolblue-nl/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — coolblue.nl

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website coolblue.nl.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) In a clean session, without any user choice, a full analytics/behavioral layer deploys immediately. Google Analytics 4 sends session_start (5232 ms), page_view (5259 ms), and later scroll and conversion events; the consent signal within the GA4 requests themselves (gcs=G101) shows analytics storage marked as granted (analytics_storage = granted) — meaning analytics is treated as consented by default, even though the user has not made any choice. The advertising portion, meanwhile, is marked as non-personalized. In parallel, Crazy Egg loads and fires — a session recording, heatmap, and survey tool: its script loads at 839 ms, and a tracking beacon fires at 6781 ms. Optimizely, an A/B-testing platform, also fires: its client-side storage loads at 4452 ms, and events go to its log collector at 5924 ms. Analytics, session recording, and experiments are non-technical purposes requiring consent under art. 11.7a Telecommunicatiewet and Art. 6(1)(a) GDPR, and here all three fire before consent. Coolblue's policy describes Google Analytics as a 'low-impact' tool with IP masking, but the observed GA4 traffic sends full-fledged events, including conversion, in an 'analytics granted' mode; Crazy Egg and Optimizely are not named in the privacy policy at all.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/nl-coolblue-nl/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AP — Голландский орган по защите данных — autoriteitpersoonsgegevens.nl

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — coolblue.nl

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом coolblue.nl.

2. Обстоятельства
Я посетил сайт coolblue.nl и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 23.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) В чистом сеансе без какого-либо выбора пользователя сразу разворачивается полноценный аналитико-поведенческий слой. Google Analytics 4 отправляет события session_start (5232 мс), page_view (5259 мс) и далее прокрутку и конверсию; при этом сигнал согласия в самих запросах GA4 (gcs=G101) показывает, что хранение для аналитики помечено как разрешённое (analytics_storage = granted) — то есть аналитика по умолчанию считается согласованной, хотя пользователь ничего не выбирал. Рекламная часть при этом помечена как неперсонализированная. Параллельно загружается и отрабатывает Crazy Egg — инструмент записи сессий, тепловых карт и опросов: на 839 мс грузится его скрипт, а на 6781 мс уходит трекинговый бикон. Также отрабатывает Optimizely — платформа A/B-экспериментов: на 4452 мс загружается её клиентское хранилище, а на 5924 мс на её лог-коллектор уходят события. Аналитика, запись сессий и эксперименты — это нетехнические цели, требующие согласия по art. 11.7a Telecommunicatiewet и Art. 6(1)(a) GDPR, и здесь все три отрабатывают до согласия. Политика Coolblue называет Google Analytics инструментом «низкого влияния» с маскировкой IP, но наблюдаемый GA4 шлёт полноценные события, включая конверсию, в режиме «аналитика разрешена»; Crazy Egg и Optimizely в политике конфиденциальности не названы вовсе.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/nl-coolblue-nl/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR и art. 11.7a Telecommunicatiewet — аналитика, запись сессий и эксперименты срабатывают до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — coolblue.nl

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website coolblue.nl.

2. Circumstances
I visited the website coolblue.nl and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 23 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) In a clean session, without any user choice, a full analytics/behavioral layer deploys immediately. Google Analytics 4 sends session_start (5232 ms), page_view (5259 ms), and later scroll and conversion events; the consent signal within the GA4 requests themselves (gcs=G101) shows analytics storage marked as granted (analytics_storage = granted) — meaning analytics is treated as consented by default, even though the user has not made any choice. The advertising portion, meanwhile, is marked as non-personalized. In parallel, Crazy Egg loads and fires — a session recording, heatmap, and survey tool: its script loads at 839 ms, and a tracking beacon fires at 6781 ms. Optimizely, an A/B-testing platform, also fires: its client-side storage loads at 4452 ms, and events go to its log collector at 5924 ms. Analytics, session recording, and experiments are non-technical purposes requiring consent under art. 11.7a Telecommunicatiewet and Art. 6(1)(a) GDPR, and here all three fire before consent. Coolblue's policy describes Google Analytics as a 'low-impact' tool with IP masking, but the observed GA4 traffic sends full-fledged events, including conversion, in an 'analytics granted' mode; Crazy Egg and Optimizely are not named in the privacy policy at all.

Full technical documentation is published at: https://gdpru.eu/audits/nl-coolblue-nl/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR and art. 11.7a Telecommunicatiewet — analytics, session recording, and experiments fire before consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]