Intertoys.nl — сайт крупной нидерландской сети магазинов игрушек. Замер главной страницы: 248 обращений, 21 домен (среди них edge.microsoft.com — встроенный перевод браузера Edge, а не трекинг сайта). На сайте есть механизм согласия Cookiebot, и в этом сеансе пользователь согласие отклонил (Cookiebot фиксирует отказ на 15400 мс). Часть стека отказ уважает: серверный GA4 и Google Ads бьют в режиме «отказано» (gcs=G100, бескуковые пинги). Но платформа A/B-экспериментов VWO отправляет трекинговое обращение уже на 957 мс — до любого выбора, — а платформа персонализации Hello Retail собирает рекомендации до выбора (6271 мс) и просмотр страницы уже после отказа (16079 мс). A/B-эксперименты и поведенческая персонализация требуют согласия, и здесь они срабатывают до него и поверх отказа. Сайт — ритейлер детских товаров, что повышает чувствительность контекста.
Хронология утечки
Декларация против факта
Зафиксированные трекеры
- VWO — A/B-эксперименты (j.php, до согласия)
- Hello Retail — персонализация/рекомендации (до согласия и pageview после отказа)
- Серверный GA4 и Google Ads (режим согласия «отказано», gcs=G100 — отказ уважают)
- Cookiebot (механизм согласия; в сеансе зафиксирован отказ)
- Flowbox, eTrusted/Trusted Shops, Omnidesk, Klarna — соц-коммерс, отзывы, чат, оплата
Признаки несоответствия GDPR
-
Art. 6(1)(a) GDPR и art. 11.7a Telecommunicatiewet — A/B-эксперименты и персонализация срабатывают до согласия и не уважают отказНа сайте есть механизм согласия Cookiebot, и в этом сеансе пользователь согласие отклонил — Cookiebot логирует выбор как отказ (logconsent.ashx?action=decline на 15400 мс, при браузерном сигнале Do-Not-Track). Часть стека этот отказ уважает: серверный Google Analytics 4 (ssgtm.intertoys.nl/g/collect) и Google Ads (pagead2.googlesyndication.com/ccm/collect) отправляют обращения с сигналом согласия gcs=G100 — обе категории отказаны, то есть это ограниченные бескуковые пинги в режиме отказа. Но два средства отказ не уважают. Платформа A/B-экспериментов VWO (dev.visualwebsiteoptimizer.com) отправляет своё трекинговое обращение j.php уже на 957 мс — до какого-либо выбора и без привязки к согласию. Платформа персонализации Hello Retail отправляет рекомендации (serve/recoms на 6271 мс, до выбора), а затем — уже после зафиксированного отказа — собирает просмотр страницы (serve/collect/pageview на 16079 мс). A/B-эксперименты и поведенческая персонализация — нетехнические цели, требующие согласия по art. 11.7a Telecommunicatiewet и Art. 6(1)(a) GDPR. Собственная политика Intertoys требует явного согласия там, где оно необходимо, и относит персонализированную рекламу и маркетинг к обработке за согласием. Здесь же VWO срабатывает до выбора, а Hello Retail продолжает собирать поведение даже после отказа. Сайт — ритейлер детских товаров, что делает поведенческое профилирование в этом контексте особенно чувствительным.
Контекст
www.intertoys.nl — сайт Intertoys, крупной нидерландской сети магазинов игрушек (каталог, личный кабинет, оформление заказа). Контролёр данных — Intertoys. Сайт коммерческий и относится к детским товарам, что повышает чувствительность контекста, хотя покупатели — преимущественно взрослые.
Замер: 248 обращений к 21 домену, главная страница, снят на чистом браузере без VPN и блокировщика. На сайте есть механизм согласия Cookiebot, и в этом сеансе зафиксирован отказ. Обращения к edge.microsoft.com — это встроенный перевод страницы в браузере Edge, а не трекинг сайта.
Кто получает данные
Напрямую до согласия и поверх отказа: VWO (Visual Website Optimizer), Hello Retail.
VWO получает трекинговое обращение A/B-экспериментов (j.php) до согласия. Hello Retail получает запрос рекомендаций до согласия и просмотр страницы уже после отказа. Серверный GA4 (ssgtm.intertoys.nl) и Google Ads (pagead2.googlesyndication.com) при этом отправляют обращения в режиме согласия «отказано» (gcs=G100) — это бескуковые пинги, уважающие отказ. Из функционального — оплата Klarna, отзывы eTrusted/Trusted Shops, чат поддержки Omnidesk, соц-коммерс-галерея Flowbox.
Был ли баннер согласия
Да, на сайте есть механизм согласия Cookiebot, и в этом сеансе пользователь согласие отклонил: Cookiebot фиксирует выбор как отказ (logconsent.ashx?action=decline) на 15400 мс, при браузерном сигнале Do-Not-Track.
Узловой момент в том, что часть средств отказ не уважает. VWO отработал ещё до выбора (957 мс), а Hello Retail собрал рекомендации до выбора (6271 мс) и просмотр страницы уже после отказа (16079 мс). При этом GA4 и Google Ads отказ уважают — шлют бескуковые пинги с сигналом «отказано».
Что срабатывает до согласия и поверх отказа
До выбора пользователя и поверх отказа отрабатывает:
- A/B-эксперименты VWO (957 мс) — трекинговое обращение, до выбора;
- персонализация Hello Retail — рекомендации до выбора (6271 мс) и просмотр страницы после отказа (16079 мс);
- серверный GA4 и Google Ads — в режиме «отказано» (gcs=G100), отказ уважают.
A/B-эксперименты и поведенческая персонализация — нетехнические цели, требующие согласия. Платёж Klarna, отзывы и чат претензий не вызывают — это функциональные сервисы. Серверный GA4 и Google Ads здесь не в претензии: они отрабатывают в ограниченном режиме отказа. Претензия — к VWO и Hello Retail: первый сработал до выбора, второй продолжает собирать поведение даже после отказа.
Почему это нарушение
Это важно для понимания. Сама архитектура показывает, что гейтинг по согласию здесь возможен и частично работает: GA4 и Google Ads честно переходят в режим «отказано» по сигналу Cookiebot. Но VWO и Hello Retail к этому сигналу не привязаны: VWO запускает эксперимент раньше любого выбора, а Hello Retail собирает просмотр страницы уже после того, как пользователь отказался. Собственная политика Intertoys требует явного согласия там, где оно необходимо, и относит персонализированную рекламу и маркетинг к обработке за согласием. Поведенческое профилирование до согласия и поверх отказа противоречит и правилу, и собственному документу — тем более на сайте детских товаров.
Вывод
Intertoys.nl — случай, когда механизм согласия есть и частью стека соблюдается, но два поведенческих средства его обходят. В пользу сайта то, что серверный GA4 и Google Ads уважают отказ и шлют лишь бескуковые пинги. Но платформа A/B-экспериментов VWO срабатывает ещё до выбора, а платформа персонализации Hello Retail собирает поведение до согласия и продолжает после отказа. Главное, что должен вынести читатель: если сайт уже умеет переводить часть средств в режим отказа по сигналу согласия, то и A/B-эксперименты, и персонализацию следует привязать к тому же сигналу — чтобы они не срабатывали до выбора и тем более не игнорировали отказ. Достаточно подключить VWO и Hello Retail к механизму согласия так же, как это сделано для GA4 и Google Ads.
bad8c543d8c94a8d1d53061f72c7f6e57e57d505566526400500c02e1a486932Куда подавать: AP — Голландский орган по защите данных — autoriteitpersoonsgegevens.nl
Кому: AP — Голландский орган по защите данных От: [Ваше имя], [контактный email] 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом intertoys.nl. 2. Обстоятельства Я посетил сайт intertoys.nl и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 23.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) На сайте есть механизм согласия Cookiebot, и в этом сеансе пользователь согласие отклонил — Cookiebot логирует выбор как отказ (logconsent.ashx?action=decline на 15400 мс, при браузерном сигнале Do-Not-Track). Часть стека этот отказ уважает: серверный Google Analytics 4 (ssgtm.intertoys.nl/g/collect) и Google Ads (pagead2.googlesyndication.com/ccm/collect) отправляют обращения с сигналом согласия gcs=G100 — обе категории отказаны, то есть это ограниченные бескуковые пинги в режиме отказа. Но два средства отказ не уважают. Платформа A/B-экспериментов VWO (dev.visualwebsiteoptimizer.com) отправляет своё трекинговое обращение j.php уже на 957 мс — до какого-либо выбора и без привязки к согласию. Платформа персонализации Hello Retail отправляет рекомендации (serve/recoms на 6271 мс, до выбора), а затем — уже после зафиксированного отказа — собирает просмотр страницы (serve/collect/pageview на 16079 мс). A/B-эксперименты и поведенческая персонализация — нетехнические цели, требующие согласия по art. 11.7a Telecommunicatiewet и Art. 6(1)(a) GDPR. Собственная политика Intertoys требует явного согласия там, где оно необходимо, и относит персонализированную рекламу и маркетинг к обработке за согласием. Здесь же VWO срабатывает до выбора, а Hello Retail продолжает собирать поведение даже после отказа. Сайт — ритейлер детских товаров, что делает поведенческое профилирование в этом контексте особенно чувствительным. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/nl-intertoys-nl/ 3. Нарушенные положения Art. 6(1)(a) GDPR и art. 11.7a Telecommunicatiewet — A/B-эксперименты и персонализация срабатывают до согласия и не уважают отказ 4. Требование Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. [Дата] [Подпись/имя]