Технический аудит · 16.06.2026

gamma.nl

Магазин товаров для дома и ремонта

Gamma.nl — нидерландская сеть магазинов товаров для дома и ремонта. Замер главной страницы: 113 обращений, 20 доменов. Стоит платформа сбора согласия OneTrust, но её чек согласия фиксируется лишь примерно на седьмой секунде, а до него уже отрабатывают рекламный пиксель и аналитика. Пиксель Facebook отправляет в Meta событие просмотра страницы примерно на четвёртой секунде, аналитика Adobe исполняется с первой секунды. При этом сама политика сайта описывает cookie Facebook как рекламную — для доставки рекламы и ставок в реальном времени. То есть площадка признаёт рекламную природу пикселя, требующую согласия, а он срабатывает раньше выбора пользователя.

Хронология обращений

462 мс · аналитика Adobe

Загружается и начинает исполняться аналитика Adobe (Launch и Analytics). Это происходит на первой секунде, до согласия.

1141 мс · библиотека пикселя Facebook

Загружается библиотека пикселя Facebook. Рекламный сервис подключается до согласия.

1182 мс · платформа согласия OneTrust

Загружается платформа сбора согласия OneTrust. Механизм согласия предусмотрен — значит то, что отрабатывает раньше выбора, происходит до согласия.

3922 мс · сервис опросов

Подключается сервис опросов Mopinion — инструмент сбора обратной связи.

4241 мс · событие просмотра в Meta

Пиксель Facebook отправляет в Meta событие просмотра страницы. Meta получает факт визита до согласия, и это рекламный сбор.

Декларация против факта

✓ Facebook / Meta — заявлен

✓ Adobe — заявлен

✓ Google — заявлен

Зафиксированные трекеры

Facebook / Meta Pixel
Adobe Analytics
Mopinion (опросы)

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR и ст. 11.7a Telecommunicatiewet — рекламный пиксель Facebook и аналитика Adobe срабатывают до согласия
На сайте стоит платформа сбора согласия OneTrust, и её чек согласия в этом сеансе фиксируется примерно на седьмой секунде. Но до него уже отрабатывают рекламный пиксель и аналитика. Пиксель Facebook отправляет в Meta событие просмотра страницы примерно на четвёртой секунде — то есть до согласия. Аналитика Adobe загружается и исполняется начиная с первой секунды. Дополнительно отрабатывает сервис опросов. Принципиально, что сама политика сайта описывает cookie Facebook как рекламную, используемую для доставки рекламных продуктов и ставок в реальном времени от внешних рекламодателей. То есть площадка признаёт рекламную природу этого пикселя — а значит он требует согласия. По нидерландскому закону о cookie согласие должно предшествовать размещению и чтению таких трекеров, здесь же визит уходит в Meta раньше согласия.

Контекст

www.gamma.nl — нидерландская сеть магазинов товаров для дома, строительства и ремонта. Контролёр данных — оператор GAMMA. Сайт коммерческий: каталог, поиск, корзина, личный кабинет, оформление заказа.

Замер: 113 обращений к 20 доменам, главная страница, снят на чистом браузере Edge без VPN и блокировщика. Стоит платформа сбора согласия OneTrust. Технический стек включает рекламный пиксель и аналитику. Сайт работает под надзором нидерландского регулятора и нидерландского закона о cookie, который требует согласия до размещения и чтения нетехнических трекеров.

Кто получает данные

Тут были замечены: Meta, Adobe.

Meta получает событие просмотра через рекламный пиксель Facebook. Adobe — через свою аналитику (Launch и Analytics), которая регистрирует поведение посетителей. Дополнительно работает сервис опросов Mopinion и система управления контентом, раздающая изображения. Сама политика сайта описывает cookie Facebook как рекламную, используемую в том числе для ставок в реальном времени от внешних рекламодателей.

Был ли баннер согласия

Да, на сайте есть платформа сбора согласия OneTrust, но её чек согласия в сеансе фиксируется лишь примерно на седьмой секунде. К этому моменту рекламный пиксель и аналитика уже отработали.

При этом политика прямо относит cookie Facebook к рекламным. То есть площадка сама признаёт, что этот пиксель — рекламный и требует согласия, а он отрабатывает раньше выбора.

Что срабатывает до согласия

До фиксации согласия отрабатывает:

рекламный пиксель Facebook — событие просмотра в Meta;
аналитика Adobe — загрузка и исполнение;
сервис опросов Mopinion.

Рекламный пиксель и аналитика — нетехнические цели, требующие согласия. По нидерландскому закону о cookie согласие должно предшествовать размещению и чтению таких трекеров. Здесь визит уходит в Meta и аналитика Adobe исполняется раньше согласия.

Вывод

Gamma.nl — характерный случай: рекламный пиксель Facebook отправляет в Meta факт визита, а аналитика Adobe исполняется ещё до того, как зафиксировано согласие, которое появляется лишь к седьмой секунде. Особенность в том, что сама политика сайта называет cookie Facebook рекламной — то есть признаёт необходимость согласия для неё, — а пиксель всё равно срабатывает раньше. Главное, что должен вынести читатель: по нидерландскому закону о cookie рекламные и аналитические трекеры должны дожидаться согласия, и когда сайт сам в политике относит пиксель к рекламным, его запуск до согласия противоречит и закону, и собственному документу сайта. Достаточно перевести рекламный пиксель и аналитику в режим ожидания согласия."

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: nl/gamma-nl-2026-06-16.har

SHA-256: 38e2d81424f9584be95f018f84c5138d918401a1b998d5e25e6e0f49bf5a8ade

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — gamma.nl

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта gamma.nl.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте стоит платформа сбора согласия OneTrust, и её чек согласия в этом сеансе фиксируется примерно на седьмой секунде. Но до него уже отрабатывают рекламный пиксель и аналитика. Пиксель Facebook отправляет в Meta событие просмотра страницы примерно на четвёртой секунде — то есть до согласия. Аналитика Adobe загружается и исполняется начиная с первой секунды. Дополнительно отрабатывает сервис опросов. Принципиально, что сама политика сайта описывает cookie Facebook как рекламную, используемую для доставки рекламных продуктов и ставок в реальном времени от внешних рекламодателей. То есть площадка признаёт рекламную природу этого пикселя — а значит он требует согласия. По нидерландскому закону о cookie согласие должно предшествовать размещению и чтению таких трекеров, здесь же визит уходит в Meta раньше согласия.

2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-gamma-nl/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Data access request (GDPR Art. 15) — gamma.nl

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website gamma.nl.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site has the OneTrust consent-collection platform, and its consent check is recorded roughly at the seven-second mark in this session. But the advertising pixel and analytics have already fired by then. The Facebook pixel sends a pageview event to Meta at roughly the four-second mark — that is, before consent. Adobe analytics loads and executes starting within the first second. A survey service also fires. Crucially, the site's own policy describes the Facebook cookie as an advertising cookie, used to deliver advertising products and real-time bids from external advertisers. In other words, the platform itself acknowledges the advertising nature of this pixel — meaning it requires consent. Under Dutch cookie law, consent must precede the placement and reading of such trackers, yet here the visit goes out to Meta before consent.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/nl-gamma-nl/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AP — Голландский орган по защите данных — autoriteitpersoonsgegevens.nl

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — gamma.nl

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом gamma.nl.

2. Обстоятельства
Я посетил сайт gamma.nl и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 16.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/nl-gamma-nl/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR и ст. 11.7a Telecommunicatiewet — рекламный пиксель Facebook и аналитика Adobe срабатывают до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — gamma.nl

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website gamma.nl.

2. Circumstances
I visited the website gamma.nl and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 16 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has the OneTrust consent-collection platform, and its consent check is recorded roughly at the seven-second mark in this session. But the advertising pixel and analytics have already fired by then. The Facebook pixel sends a pageview event to Meta at roughly the four-second mark — that is, before consent. Adobe analytics loads and executes starting within the first second. A survey service also fires. Crucially, the site's own policy describes the Facebook cookie as an advertising cookie, used to deliver advertising products and real-time bids from external advertisers. In other words, the platform itself acknowledges the advertising nature of this pixel — meaning it requires consent. Under Dutch cookie law, consent must precede the placement and reading of such trackers, yet here the visit goes out to Meta before consent.

Full technical documentation is published at: https://gdpru.eu/audits/nl-gamma-nl/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR and art. 11.7a Telecommunicatiewet — the Facebook advertising pixel and Adobe analytics fire before consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]