RU EN
www.
Технический аудит · 22.06.2026

prenatal.nl

Товары для беременных и детей
NL

Розничная сеть товаров для беременных и детей Prénatal, Нидерланды — 306 запросов, 22 домена. Consent-менеджер CookieFirst работает в режиме no-autoblock и трекеры не удерживает: до согласия срабатывают Microsoft Bing Ads, Adobe Analytics, Convert и Google Tag Manager. На сайте для будущих родителей это передаёт чувствительный контекст в рекламные сети до согласия. Фактические сервисы в политике не названы.

Хронология обращений

+0 мс · загрузка портала
Контент и ресурсы с www.prenatal.nl.
+166 мс · A/B до согласия
cdn-4.convertexperiments.com — A/B-инструмент Convert загружается сразу.
+1295 мс · consent-менеджер (no-autoblock)
consent.cookiefirst.com и consentBanner.no-autoblock.eu.js — CookieFirst в режиме без автоблокировки трекеров.
+1341 мс · Google Tag Manager
www.googletagmanager.com/gtm.js?id=GTM-M2N5 — контейнер тегов запущен.
состояние сеанса — без согласия
Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Автоблокировка отключена.
+2427–3362 мс · Bing Ads до согласия
bat.bing.com/bat.js и bat.bing.net/actionp?ti=5140256 — рекламный тег Microsoft Bing Ads UET и событие, до согласия.
+3765 мс · Adobe Analytics до согласия
commerce.adobedc.net/collector/tp2 — POST-передача в Adobe Experience Platform, до согласия.

Декларация против факта

✓ Обработка на основе согласия (toestemming); третьи стороны и реклама упомянуты обобщённо — заявлен
✓ Google/analytics упомянуты кратко; конкретные сервисы не названы — заявлен
+ Microsoft Bing Ads UET (bat.bing.com) — реклама, до согласия, не назван — не заявлен
+ Adobe Analytics / Experience Platform (commerce.adobedc.net) — до согласия, не назван — не заявлен
+ Convert (A/B), New Relic (RUM), eTrusted/Trusted Shops — не названы — не заявлен
+ CookieFirst — consent-менеджер в режиме no-autoblock, в политике не назван — не заявлен

Тайминги передачи

+166 мс cdn-4.convertexperiments.com

Convert — A/B тестирование.

+1341 мс www.googletagmanager.com

GTM-M2N5 — контейнер.

+2427 мс bat.bing.com

Microsoft Bing Ads UET. Реклама.

+3362 мс bat.bing.net

Bing Ads событие actionp ti=5140256.

+3765 мс commerce.adobedc.net

Adobe Analytics/Experience Platform, POST.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

prenatal.nl — сайт нидерландской розничной сети Prénatal, специализирующейся на товарах для беременности, новорождённых и малышей. Аудитория — будущие и молодые родители. Оператор — Prénatal Nederland. Приложена нидерландская политика конфиденциальности (privacy statement v4.0). Замер: 306 запросов, 22 домена, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Microsoft (Bing Ads UET), Adobe (Analytics/Experience Platform), Convert (A/B), Google (Tag Manager), New Relic (RUM).

Заявленное против фактического

Политика описывает обработку на основе согласия — слово toestemming встречается в ней многократно — и упоминает третьи стороны и рекламу обобщённо. Конкретные инструменты (Microsoft Bing Ads, Adobe, Convert, New Relic, eTrusted) и сам consent-менеджер в ней не названы.

Замер показывает, что заявленная модель согласия не соблюдается технически. Ключевая деталь — режим загрузки consent-менеджера: CookieFirst подключается файлами consentBanner.no-autoblock.eu.js, то есть в режиме без автоматической блокировки трекеров. Это означает, что до получения согласия сторонние скрипты не удерживаются. И они действительно срабатывают: на +166 мс — A/B-инструмент Convert, на +1341 мс — Google Tag Manager (GTM-M2N5), на +2427 мс — рекламный тег Microsoft Bing Ads UET (с событием на bat.bing.net на +3362 мс), на +3765 мс — Adobe Analytics/Experience Platform (POST на commerce.adobedc.net/collector/tp2), а также New Relic для мониторинга. Состояние сеанса при этом — без согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан.

Отдельного внимания заслуживает контекст. Сайт продаёт товары для беременности и ухода за младенцами, поэтому сам факт просмотра его страниц несёт чувствительную информацию о посетителе. Передача этого контекста в рекламную сеть Microsoft и в Adobe до согласия способна раскрывать состояние, относящееся к особой категории (беременность, родительство).

Тайминг относительно согласия

Consent-менеджер CookieFirst загружается на +1295 мс, но в режиме no-autoblock; рекламные и аналитические сервисы срабатывают в промежутке +166…+3765 мс независимо от него. Согласие в сеансе не давалось (Set-Cookie ноль), автоблокировка отключена — трекеры не удерживаются.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Идентификация Bing Ads и Adobe основана на доменах и структуре запросов (ti=5140256 для UET, /collector/tp2 для Adobe). Часть сервисов (eTrusted/Trusted Shops, CM.com/DigitalCX) относится к отзывам и чат-функции; их роль как трекеров отдельно не оценивалась. Точный состав переданных данных из облегчённого дампа детально не восстанавливается; фиксируется факт срабатывания до согласия. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт Prénatal использует consent-менеджер CookieFirst в режиме no-autoblock, из-за чего до согласия срабатывают рекламный тег Microsoft Bing Ads, Adobe Analytics, A/B-инструмент Convert и Google Tag Manager. На сайте для будущих родителей это означает передачу чувствительного контекста в рекламные и аналитические сети до какого-либо согласия. Фактически работающие сервисы в политике не названы, а заявленная модель обработки на основе согласия технически не обеспечена. Устранение: включить автоблокировку в CookieFirst (удерживать все нетехнические трекеры до согласия), исключить срабатывание Bing Ads, Adobe, Convert и GTM до выбора пользователя и раскрыть все фактически используемые сервисы в политике, уделив особое внимание чувствительности тематики сайта.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: nl/prenatal-nl-2026-06-22.har
SHA-256: 12514fae4066962fe4577de462cfe5244eff803a6423f98b35977baaf243da80
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — prenatal.nl

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта prenatal.nl.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Consent-менеджер CookieFirst загружается в режиме no-autoblock (consentBanner.no-autoblock.eu.js), то есть намеренно не блокирует трекеры до согласия. В результате до согласия срабатывают: A/B-инструмент Convert (+166 мс), Google Tag Manager GTM-M2N5 (+1341 мс), рекламный Microsoft Bing Ads UET (bat.bing.com/bat.js +2427 мс, событие на bat.bing.net/actionp?ti=5140256 +3362 мс) и Adobe Analytics/Experience Platform (commerce.adobedc.net/collector/tp2, POST +3765 мс). Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Рекламное и аналитическое измерение под освобождение от согласия не подпадает.

2) Фактически работающие сервисы — Microsoft Bing Ads, Adobe Analytics, Convert, New Relic, eTrusted/Trusted Shops, а также сам consent-менеджер CookieFirst — в политике по имени не названы. Политика описывает обработку на основе согласия и упоминает третьи стороны обобщённо.

3) Сайт продаёт товары для беременности и ухода за младенцами. Передача факта просмотра таких страниц в рекламную сеть Microsoft и в Adobe до согласия способна раскрывать чувствительную информацию о состоянии посетителя (беременность, родительство).


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-prenatal-nl/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: AP — Голландский орган по защите данных — autoriteitpersoonsgegevens.nl

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — prenatal.nl

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом prenatal.nl.

2. Обстоятельства
Я посетил сайт prenatal.nl и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 22.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Consent-менеджер CookieFirst загружается в режиме no-autoblock (consentBanner.no-autoblock.eu.js), то есть намеренно не блокирует трекеры до согласия. В результате до согласия срабатывают: A/B-инструмент Convert (+166 мс), Google Tag Manager GTM-M2N5 (+1341 мс), рекламный Microsoft Bing Ads UET (bat.bing.com/bat.js +2427 мс, событие на bat.bing.net/actionp?ti=5140256 +3362 мс) и Adobe Analytics/Experience Platform (commerce.adobedc.net/collector/tp2, POST +3765 мс). Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Рекламное и аналитическое измерение под освобождение от согласия не подпадает.

2) Фактически работающие сервисы — Microsoft Bing Ads, Adobe Analytics, Convert, New Relic, eTrusted/Trusted Shops, а также сам consent-менеджер CookieFirst — в политике по имени не названы. Политика описывает обработку на основе согласия и упоминает третьи стороны обобщённо.

3) Сайт продаёт товары для беременности и ухода за младенцами. Передача факта просмотра таких страниц в рекламную сеть Microsoft и в Adobe до согласия способна раскрывать чувствительную информацию о состоянии посетителя (беременность, родительство).

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/nl-prenatal-nl/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy / Telecommunicatiewet + GDPR Art. 6(1) — трекеры до согласия; GDPR Art. 13(1)(e) — раскрытие получателей; Контекст особой категории — Art. 9 (риск)

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]