Розничная сеть IKEA, нидерландская версия — 511 запросов, 9 доменов. Полный рекламно-аналитический стек (Google Analytics, GTM, DoubleClick, Facebook, Pinterest, Contentsquare, Optimizely) прописан в consent-менеджере OneTrust, но до согласия ни один из них не сработал. Внешне отработали только сам OneTrust и антибот-защита Cloudflare Turnstile; cookie не выставляются. Нарушений не зафиксировано.
Хронология обращений
Декларация против факта
Тайминги передачи
Cloudflare Turnstile. Защита от ботов.
Зафиксированные трекеры
- OneTrust (cdn.cookielaw.org) — CMP
- Cloudflare Turnstile (challenges.cloudflare.com) — антибот-защита
Контекст
ikea.com (нидерландская версия, /nl/en/) — сайт розничной сети IKEA. Оператор — компании группы IKEA (Inter IKEA Systems B.V. и Ingka Group). Приложены две версии голландской политики конфиденциальности. Замер: 511 запросов, 9 доменов, снят на чистом браузере. Домен www.ikea.com редиректит на нидерландскую локаль.
Заявленное против фактического
Политика описывает обработку на основе согласия: данные для персонализации, cookie, реклама и обмен с третьими сторонами упоминаются с опорой на toestemming (согласие). Это предполагает наличие рекламно-аналитического стека, активируемого после согласия.
Замер подтверждает именно такую модель — и, что важно, показывает, что она работает. В строках конфигурации consent-менеджера OneTrust присутствуют названия множества сервисов: Google Analytics, Google Tag Manager, DoubleClick, Facebook, Pinterest, Contentsquare, Optimizely, Google Maps. Однако ни один из них в этом сеансе не сработал: реальных сетевых обращений к их доменам нет. Единственные внешние обращения — сам OneTrust (cdn.cookielaw.org, включая геолокацию для выбора правил баннера и анонимную фиксацию согласия на европейском эндпоинте privacyportal-eu.onetrust.com) и антибот-защита Cloudflare Turnstile. Прочие домены (web-api.ikea.com, api.ingka.ikea.com, prod.cart.caas.selling.ingka.com, accounts.ikea.com) принадлежат собственной инфраструктуре группы IKEA и являются функциональными. За весь сеанс не выставлено ни одной cookie.
Таким образом весь рекламно-аналитический стек корректно удерживается consent-менеджером до согласия. Заявленная в политике модель обработки на основе согласия соответствует фактическому поведению.
Тайминг относительно согласия
OneTrust загружается на +602 мс, Cloudflare Turnstile — на +1944 мс. До согласия срабатывают только consent-менеджер и антибот-защита; рекламные и аналитические сервисы не активируются. Согласие в сеансе не давалось (Set-Cookie ноль), и стек остался заблокированным.
Чего по замеру утверждать нельзя
Замер охватывает главную страницу до согласия. Поведение после нажатия «принять» здесь не наблюдается: сконфигурированные в OneTrust сервисы (Google Analytics, DoubleClick, Facebook и другие) после согласия, как следует из конфигурации, будут загружены — их соответствие раскрытию и правилам передачи в этом замере не проверяется. Cloudflare Turnstile отнесён к необходимой антибот-защите. Обработка на стороне сервера в браузерном замере не видна.
Вывод
Нидерландская версия сайта IKEA демонстрирует корректно работающий consent-менеджмент: полный рекламно-аналитический стек прописан в OneTrust, но до согласия ни один трекер не срабатывает, cookie не выставляются, а единственные внешние обращения — сам consent-менеджер и антибот-защита Cloudflare Turnstile. Заявленная в политике модель обработки на основе согласия соответствует фактическому поведению до согласия. Нарушений в замере не зафиксировано. Отдельно стоит помнить, что после согласия сконфигурированный стек активируется — оценка его раскрытия и трансграничных передач относится к отдельному замеру состояния «после принятия».
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
de74dd9d51119861bfe609ffee6ded929e46b0b1e0687c5e6a17efcfa30f385aХотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — ikea.com Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта ikea.com. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) Прошу предоставить информацию по всем категориям, целям и получателям обработки моих данных на этом сайте — независимо от того, выявлены ли на сегодняшний день какие-либо несоответствия. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-ikea-com/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — ikea.com To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website ikea.com. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) I request information on all categories, purposes, and recipients of my data processed on this site — regardless of whether any non-compliance has been identified to date. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/nl-ikea-com/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]