Технический аудит · 2026-06-22

prenatal.nl

Товары для беременных и детей

Розничная сеть товаров для беременных и детей Prénatal, Нидерланды — 306 запросов, 22 домена. Consent-менеджер CookieFirst работает в режиме no-autoblock и трекеры не удерживает: до согласия срабатывают Microsoft Bing Ads, Adobe Analytics, Convert и Google Tag Manager. На сайте для будущих родителей это передаёт чувствительный контекст в рекламные сети до согласия. Фактические сервисы в политике не названы.

Хронология утечки

+0 мс · загрузка портала

Контент и ресурсы с www.prenatal.nl.

+166 мс · A/B до согласия

cdn-4.convertexperiments.com — A/B-инструмент Convert загружается сразу.

+1341 мс · Google Tag Manager

www.googletagmanager.com/gtm.js?id=GTM-M2N5 — контейнер тегов запущен.

+2427–3362 мс · Bing Ads до согласия

bat.bing.com/bat.js и bat.bing.net/actionp?ti=5140256 — рекламный тег Microsoft Bing Ads UET и событие, до согласия.

+3765 мс · Adobe Analytics до согласия

commerce.adobedc.net/collector/tp2 — POST-передача в Adobe Experience Platform, до согласия.

Декларация против факта

✓ Обработка на основе согласия (toestemming); третьи стороны и реклама упомянуты обобщённо — заявлен

✓ Google/analytics упомянуты кратко; конкретные сервисы не названы — заявлен

+ Microsoft Bing Ads UET (bat.bing.com) — реклама, до согласия, не назван — не заявлен

+ Adobe Analytics / Experience Platform (commerce.adobedc.net) — до согласия, не назван — не заявлен

+ Convert (A/B), New Relic (RUM), eTrusted/Trusted Shops — не названы — не заявлен

+ CookieFirst — consent-менеджер в режиме no-autoblock, в политике не назван — не заявлен

Тайминги передачи

+166 мс cdn-4.convertexperiments.com

Convert — A/B тестирование.

+1341 мс www.googletagmanager.com

GTM-M2N5 — контейнер.

+2427 мс bat.bing.com

Microsoft Bing Ads UET. Реклама.

+3362 мс bat.bing.net

Bing Ads событие actionp ti=5140256.

+3765 мс commerce.adobedc.net

Adobe Analytics/Experience Platform, POST.

Зафиксированные трекеры

Microsoft Bing Ads UET (bat.bing.com, bat.bing.net)
Adobe Analytics / Experience Platform (commerce.adobedc.net)
Convert (cdn-4.convertexperiments.com) — A/B тестирование
Google Tag Manager (GTM-M2N5)
New Relic (bam.nr-data.net) — RUM
CookieFirst (consent-eu.cookiefirst.com) — CMP в режиме no-autoblock

Признаки несоответствия GDPR

ePrivacy / Telecommunicatiewet + GDPR Art. 6(1) — трекеры до согласия

Consent-менеджер CookieFirst загружается в режиме no-autoblock (consentBanner.no-autoblock.eu.js), то есть намеренно не блокирует трекеры до согласия. В результате до согласия срабатывают: A/B-инструмент Convert (+166 мс), Google Tag Manager GTM-M2N5 (+1341 мс), рекламный Microsoft Bing Ads UET (bat.bing.com/bat.js +2427 мс, событие на bat.bing.net/actionp?ti=5140256 +3362 мс) и Adobe Analytics/Experience Platform (commerce.adobedc.net/collector/tp2, POST +3765 мс). Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Рекламное и аналитическое измерение под освобождение от согласия не подпадает.
GDPR Art. 13(1)(e) — раскрытие получателей

Фактически работающие сервисы — Microsoft Bing Ads, Adobe Analytics, Convert, New Relic, eTrusted/Trusted Shops, а также сам consent-менеджер CookieFirst — в политике по имени не названы. Политика описывает обработку на основе согласия и упоминает третьи стороны обобщённо.
Контекст особой категории — Art. 9 (риск)

Сайт продаёт товары для беременности и ухода за младенцами. Передача факта просмотра таких страниц в рекламную сеть Microsoft и в Adobe до согласия способна раскрывать чувствительную информацию о состоянии посетителя (беременность, родительство).

Контекст

prenatal.nl — сайт нидерландской розничной сети Prénatal, специализирующейся на товарах для беременности, новорождённых и малышей. Аудитория — будущие и молодые родители. Оператор — Prénatal Nederland. Приложена нидерландская политика конфиденциальности (privacy statement v4.0). Замер: 306 запросов, 22 домена, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Microsoft (Bing Ads UET), Adobe (Analytics/Experience Platform), Convert (A/B), Google (Tag Manager), New Relic (RUM).

Заявленное против фактического

Политика описывает обработку на основе согласия — слово toestemming встречается в ней многократно — и упоминает третьи стороны и рекламу обобщённо. Конкретные инструменты (Microsoft Bing Ads, Adobe, Convert, New Relic, eTrusted) и сам consent-менеджер в ней не названы.

Замер показывает, что заявленная модель согласия не соблюдается технически. Ключевая деталь — режим загрузки consent-менеджера: CookieFirst подключается файлами consentBanner.no-autoblock.eu.js, то есть в режиме без автоматической блокировки трекеров. Это означает, что до получения согласия сторонние скрипты не удерживаются. И они действительно срабатывают: на +166 мс — A/B-инструмент Convert, на +1341 мс — Google Tag Manager (GTM-M2N5), на +2427 мс — рекламный тег Microsoft Bing Ads UET (с событием на bat.bing.net на +3362 мс), на +3765 мс — Adobe Analytics/Experience Platform (POST на commerce.adobedc.net/collector/tp2), а также New Relic для мониторинга. Состояние сеанса при этом — без согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан.

Отдельного внимания заслуживает контекст. Сайт продаёт товары для беременности и ухода за младенцами, поэтому сам факт просмотра его страниц несёт чувствительную информацию о посетителе. Передача этого контекста в рекламную сеть Microsoft и в Adobe до согласия способна раскрывать состояние, относящееся к особой категории (беременность, родительство).

Тайминг относительно согласия

Consent-менеджер CookieFirst загружается на +1295 мс, но в режиме no-autoblock; рекламные и аналитические сервисы срабатывают в промежутке +166…+3765 мс независимо от него. Согласие в сеансе не давалось (Set-Cookie ноль), автоблокировка отключена — трекеры не удерживаются.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Идентификация Bing Ads и Adobe основана на доменах и структуре запросов (ti=5140256 для UET, /collector/tp2 для Adobe). Часть сервисов (eTrusted/Trusted Shops, CM.com/DigitalCX) относится к отзывам и чат-функции; их роль как трекеров отдельно не оценивалась. Точный состав переданных данных из облегчённого дампа детально не восстанавливается; фиксируется факт срабатывания до согласия. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт Prénatal использует consent-менеджер CookieFirst в режиме no-autoblock, из-за чего до согласия срабатывают рекламный тег Microsoft Bing Ads, Adobe Analytics, A/B-инструмент Convert и Google Tag Manager. На сайте для будущих родителей это означает передачу чувствительного контекста в рекламные и аналитические сети до какого-либо согласия. Фактически работающие сервисы в политике не названы, а заявленная модель обработки на основе согласия технически не обеспечена. Устранение: включить автоблокировку в CookieFirst (удерживать все нетехнические трекеры до согласия), исключить срабатывание Bing Ads, Adobe, Convert и GTM до выбора пользователя и раскрыть все фактически используемые сервисы в политике, уделив особое внимание чувствительности тематики сайта.

Готовое письмо для подачи жалобы

Куда подавать: AP — Голландский орган по защите данных — autoriteitpersoonsgegevens.nl

Кому: AP — Голландский орган по защите данных
От: [Ваше имя], [контактный email]

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом prenatal.nl.

2. Обстоятельства
Я посетил сайт prenatal.nl и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 22.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Consent-менеджер CookieFirst загружается в режиме no-autoblock (consentBanner.no-autoblock.eu.js), то есть намеренно не блокирует трекеры до согласия. В результате до согласия срабатывают: A/B-инструмент Convert (+166 мс), Google Tag Manager GTM-M2N5 (+1341 мс), рекламный Microsoft Bing Ads UET (bat.bing.com/bat.js +2427 мс, событие на bat.bing.net/actionp?ti=5140256 +3362 мс) и Adobe Analytics/Experience Platform (commerce.adobedc.net/collector/tp2, POST +3765 мс). Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Рекламное и аналитическое измерение под освобождение от согласия не подпадает.

2) Фактически работающие сервисы — Microsoft Bing Ads, Adobe Analytics, Convert, New Relic, eTrusted/Trusted Shops, а также сам consent-менеджер CookieFirst — в политике по имени не названы. Политика описывает обработку на основе согласия и упоминает третьи стороны обобщённо.

3) Сайт продаёт товары для беременности и ухода за младенцами. Передача факта просмотра таких страниц в рекламную сеть Microsoft и в Adobe до согласия способна раскрывать чувствительную информацию о состоянии посетителя (беременность, родительство).

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/nl-prenatal-nl/

3. Нарушенные положения
ePrivacy / Telecommunicatiewet + GDPR Art. 6(1) — трекеры до согласия; GDPR Art. 13(1)(e) — раскрытие получателей; Контекст особой категории — Art. 9 (риск)

4. Требование
Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256
и цитата из политики конфиденциальности сайта, документирующая
указанное противоречие — опубликована и проверяема по ссылке
в пункте 2 выше.

[Дата] [Подпись/имя]