Сайт общественного вещателя Кипра — 94 запроса, девять узлов, 60 обращений наружу. Платформа управления согласием на сайте установлена, но счётчик Google вписан в разметку на 1606 строк выше неё и запрашивается на девять миллисекунд раньше. Идентификатор клиента создан в ходе самой записи, при первом визите, и через 1388 мс ушёл в Google вместе с разрешением экрана и клиентскими подсказками. Раздел политики о cookie не называет ни одного получателя и отсылает пользователя к настройкам браузера и к двум рекламным объединениям.
Хронология обращений
Декларация против факта
Тайминги передачи
gtag/js для потока GA4, разобран из разметки, строка 106.
Медиа-узел Divio, 30 обращений.
Два медиа-узла Divio, 20 обращений.
Миниатюры видеозаписей Vimeo, пять обращений.
CookieScript, разобран из разметки, строка 1712.
page_view: идентификатор клиента, разрешение экрана, клиентские подсказки, язык, адрес и заголовок страницы. Первый визит.
POST на служебный путь Cloudflare через первую сторону.
Зафиксированные трекеры
- Google Analytics 4 (G-824TYMK4KN) через www.googletagmanager.com и region1.google-analytics.com
- CookieScript (cdn.cookie-script.com) — платформа управления согласием
- Divio (aldryn-media.com, divio-media.org) — три медиа-узла, 50 запросов
- Vimeo (i.vimeocdn.com) — миниатюры видеозаписей
- Cloudflare Challenge Platform — сбор сигналов устройства через собственный путь /cdn-cgi/challenge-platform
Признаки несоответствия GDPR
- ePrivacy — Ν. 112(I)/2004, ст. 99 (в связке с GDPR Art. 6(1)(a))Тег Google Tag Manager вписан в разметку главной страницы строкой 106 и запрашивается на +551 мс. Платформа управления согласием CookieScript вписана строкой 1712 и запрашивается на +560 мс — на девять миллисекунд позже счётчика, которым должна была бы управлять. На +1388 мс уходит событие page_view с идентификатором клиента. Признаки в самом обращении подтверждают, что это первый визит и начало сеанса, а метка времени внутри идентификатора указывает на 09:25:20 — то есть идентификатор создан в ходе этой самой записи, через секунду после открытия страницы и до какого-либо выбора пользователя.
- GDPR Art. 13(1)(e) — раскрытие получателейРаздел политики о cookie не называет ни одного получателя. Единственная относящаяся к делу фраза — что корпорация может разрешить сторонним организациям использовать cookie для оказания услуг. Фактически данные посетителя получают Google (счётчик и диспетчер тегов), CookieScript (платформа согласия), Divio (три медиа-узла, 50 запросов из 94) и Vimeo (миниатюры видеозаписей). Ни одно из этих имён в документе не встречается.
- GDPR Art. 5(1)(a) — прозрачностьПолитика утверждает, что автоматически собираемые сведения — адреса IP, тип браузера, поставщик услуг связи, страницы входа и выхода, операционная система, дата и время — не идентифицируют пользователей. Обращение GA4 передаёт Google идентификатор клиента, разрешение экрана 1536x864, платформу Windows, архитектуру x86/64, перечень версий браузера, язык интерфейса, адрес и заголовок страницы. Идентификатор клиента по определению служит для узнавания посетителя при повторных визитах, а разрешение экрана и клиентские подсказки — параметры формирования цифрового отпечатка.
- GDPR Art. 12(1) — доступность средства управленияРаздел о cookie сообщает, что браузер может принимать cookie автоматически, и предлагает пользователю обратиться к справке браузера, если он хочет их отклонить или удалить. О платформе управления согласием, установленной на самом сайте, документ не сообщает. За дополнительными сведениями он отсылает к двум отраслевым рекламным объединениям — European Interactive Digital Advertising Alliance и Internet Advertising Bureau.
Контекст
rik.cy — сайт Кипрской телерадиовещательной корпорации (Ραδιοφωνικό Ίδρυμα Κύπρου), общественного вещателя республики, регистрационный номер E2218. Публикует новости, программы четырёх радиостанций и телеканалов, спортивный раздел, материалы для диаспоры. Старый адрес cybc.com.cy перенаправляет сюда.
Замер: 94 запроса, девять узлов. Тридцать четыре обращения к собственному домену, 60 наружу — из них 50 к медиа-узлам платформы Divio. Продолжительность записи — 2,76 секунды, полная загрузка страницы завершилась на 2658 мс. Снят 15 июня 2026 года на главной странице.
Обработку описывает единый документ — «Политика приватности и конфиденциальности», четырнадцать разделов, из которых работе сайта посвящён предпоследний.
Кому уходят данные напрямую
Google, CookieScript, Divio, Vimeo.
Заявленное против фактического
Документ подробен там, где речь идёт о вещательной деятельности: разобраны роли контролёра и обработчика, перечислены все шесть оснований обработки по статье 6, отдельно оговорена журналистская обработка со ссылкой на статью 85, приведён словарь терминов. Раздел о сайте на этом фоне выглядит написанным по остаточному принципу — и именно в нём сосредоточены все расхождения.
Первое — счётчик обгоняет платформу согласия. Обе строки читаются по записи прямо: тег Google запрошен разбором разметки главного документа, строка 106; платформа CookieScript — разбором той же разметки, строка 1712. Между ними полторы тысячи строк, и в порядке загрузки это выражается в девяти миллисекундах: счётчик на +551 мс, платформа на +560 мс.
Разница кажется ничтожной, но она принципиальна. Платформа управления согласием имеет смысл только тогда, когда стоит перед тем, чем управляет. Здесь она стоит после — и в момент её появления браузер уже запросил счётчик Google.
Дальше следует то, ради чего счётчик и ставят. На +1388 мс уходит событие просмотра страницы с идентификатором клиента, разрешением экрана 1536x864, платформой Windows, разрядностью и архитектурой, полным перечнем версий браузера, языком интерфейса, адресом страницы и её заголовком.
Второе — идентификатор создан прямо в этой записи. Обычно приходится оговариваться, что идентификатор мог появиться при более раннем визите. Здесь такой оговорки не требуется. В обращении выставлены признаки первого визита, нового посетителя и начала сеанса, а метка времени внутри самого идентификатора указывает на 09:25:20 — через секунду после первого запроса записи, сделанного в 09:25:19. Идентификатор создан на глазах у замера, до какого-либо выбора пользователя.
Третье — ни одного получателя по имени. Раздел о cookie содержит единственную фразу о третьих лицах: корпорация может разрешить сторонним организациям использовать cookie для оказания услуг. Ни Google, ни CookieScript, ни Divio, ни Vimeo не названы.
Про Divio стоит сказать отдельно, потому что на неё приходится больше половины всех обращений записи. Три узла — cybc-live-…aldryn-media.com для основного сайта, riknews-live-…divio-media.org для новостей и riksports-live-…divio-media.org для спорта — отдают логотипы каналов, обложки передач и иллюстрации новостных материалов, 50 запросов. Домены принадлежат платформе Divio (прежнее название Aldryn), на которой построен сайт. Формально это инфраструктура вещателя, но домены внешние, и адрес IP посетителя вместе с реферером уходит на них при каждом открытии страницы. В документах платформа не упомянута.
Четвёртое — заявленная неидентифицируемость. Политика описывает автоматически собираемые сведения и завершает описание утверждением, что эта информация не идентифицирует пользователей и служит для анализа тенденций и обобщённой демографии. Утверждение относится к журналам сервера — и в отношении них может быть верным. Но пользователь, читающий раздел о работе сайта, получает из него общее впечатление, что за ним не следят поимённо. Идентификатор клиента, который создаётся при первом визите и сохраняется для узнавания при последующих, этому впечатлению противоречит. Тем более что тремя абзацами выше тот же документ прямо пишет: постоянные cookie нужны, чтобы сайт мог узнавать посетителя.
Пятое — куда отправляют за настройками. Раздел сообщает, что браузер может принимать cookie автоматически, и предлагает обратиться к справке браузера, если пользователь хочет их отклонить. О платформе согласия, установленной на самом сайте, не сказано ничего. За дополнительными сведениями документ отсылает по двум ссылкам — на European Interactive Digital Advertising Alliance и Internet Advertising Bureau. Оба — отраслевые объединения рекламной индустрии; для общественного вещателя выбор источника, к которому отправляют читателя за разъяснениями о его правах, выглядит по меньшей мере неожиданным.
Отдельно отмечу механизм Cloudflare: на +2167 мс происходит перенаправление на служебный путь /cdn-cgi/challenge-platform, затем на +2337 мс уходит POST с телом. Это распознавание автоматических обращений, работающее через первую сторону — внешнего домена в адресной строке не видно. В документах оно не описано.
Согласие: что доказано и что нет
Доказано: платформа согласия установлена, но загружается после счётчика. Обе строки разметки зафиксированы в записи с номерами: 106 для тега Google, 1712 для платформы. Порядок обращений это подтверждает — +551 мс против +560 мс.
Доказано: загрузка счётчика от выбора пользователя не зависит. Тег вписан в сам HTML и выполняется при его разборе; условия перед ним нет, и дожидаться выбора он не может по своему устройству. Утверждение проверяется по инициатору и не зависит от того, нажимал ли кто-нибудь кнопку в баннере.
Доказано: выбор в этом сеансе не сделан, а идентификатор создан в ходе записи. Обращений, фиксирующих решение пользователя, за все 94 запроса нет. Признаки первого визита и начала сеанса выставлены в самом обращении GA4, а метка времени внутри идентификатора приходится на вторую секунду записи.
Не доказано и не требуется: отображался ли баннер на экране. Тела ответов из опубликованного файла удалены, поэтому визуальное состояние платформы по нему не восстанавливается. Для вывода это несущественно: счётчик от платформы не зависит в любом случае.
Отдельно: браузер при съёмке отправлял заголовок DNT: 1. На состав и объём передач это не повлияло. В обращении GA4 выставлены признаки неперсонализированной рекламы и режима цифровых рынков — рекламная составляющая ограничена; на аналитическую передачу с идентификатором клиента это не влияет.
Границы наблюдения
Замер охватывает одну страницу — главную, в одном состоянии. Наблюдение фиксирует поведение браузера, не внутреннюю кухню сервисов: обработка на стороне сервера, договорные отношения с получателями и настройки самих сервисов на стороне их владельцев браузерным замером не проверяются. Правовую оценку выносит компетентный орган — Γραφείο Επιτρόπου Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.
Файл опубликован очищенным от личных данных: удалены заголовки cookie, тела ответов, заголовок вкладки и идентификатор сеанса аналитики. Состав cookie на устройстве по опубликованному файлу не восстанавливается, и ни один вывод разбора на него не опирается. Факт создания идентификатора аналитики держится на другом и проверяется напрямую: идентификатор вместе с меткой времени и признаками первого визита передан в Google в теле запроса, видимом в файле.
Медиа-узлы Divio технически обслуживают собственное содержимое вещателя, а не сторонний сервис. Разбор фиксирует не их назначение, а то, что это внешние домены, получающие адрес IP и реферер посетителя, и что в документах они не описаны.
Идентификация сервисов опирается на домены, схему адресов и заголовки ответов: Google — по googletagmanager.com и google-analytics.com с номером потока; CookieScript — по cdn.cookie-script.com; Divio — по aldryn-media.com и divio-media.org с характерной схемой имён проектов; Vimeo — по i.vimeocdn.com; механизм Cloudflare — по служебному пути /cdn-cgi/challenge-platform и заголовку cf-ray.
Вывод
Общественный вещатель Кипра поставил на сайт платформу управления согласием и разместил её в разметке на 1606 строк ниже счётчика Google. В порядке загрузки это дало девять миллисекунд разницы — достаточно, чтобы весь смысл платформы обнулился: к моменту её появления браузер уже ушёл за тегом Google, а через 1388 миллисекунд в Google отправился идентификатор клиента вместе с разрешением экрана, платформой, перечнем версий браузера и языком интерфейса. Признаки в этом обращении и метка времени внутри идентификатора показывают, что он был создан прямо в ходе записи, на второй секунде первого визита.
Раздел политики, посвящённый сайту, не называет ни одного получателя. Ни Google, ни платформу согласия, ни Divio, на чьи узлы приходится больше половины всех обращений, ни Vimeo. Вместо перечня — фраза о том, что корпорация может разрешить сторонним организациям использовать cookie. Управлять этим пользователю предлагается через справку браузера, а за разъяснениями его отправляют на сайты двух рекламных объединений.
Устранение: перенести тег счётчика ниже платформы согласия в разметке и передать его загрузку под её управление; перечислить в политике всех получателей с указанием передаваемых полей, включая медиа-узлы и платформу согласия; исправить утверждение о неидентифицируемости собираемых сведений применительно к аналитике; описать в разделе об управлении cookie платформу, работающую на самом сайте, и заменить отсылки к рекламным объединениям на указание собственного механизма отзыва согласия.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
9eb187c3352b79afc03c7853c0d79c73337f9a9fb68ec37e64895e470bf08525Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — rik.cy Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта rik.cy. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) Тег Google Tag Manager вписан в разметку главной страницы строкой 106 и запрашивается на +551 мс. Платформа управления согласием CookieScript вписана строкой 1712 и запрашивается на +560 мс — на девять миллисекунд позже счётчика, которым должна была бы управлять. На +1388 мс уходит событие page_view с идентификатором клиента. Признаки в самом обращении подтверждают, что это первый визит и начало сеанса, а метка времени внутри идентификатора указывает на 09:25:20 — то есть идентификатор создан в ходе этой самой записи, через секунду после открытия страницы и до какого-либо выбора пользователя. 2) Раздел политики о cookie не называет ни одного получателя. Единственная относящаяся к делу фраза — что корпорация может разрешить сторонним организациям использовать cookie для оказания услуг. Фактически данные посетителя получают Google (счётчик и диспетчер тегов), CookieScript (платформа согласия), Divio (три медиа-узла, 50 запросов из 94) и Vimeo (миниатюры видеозаписей). Ни одно из этих имён в документе не встречается. 3) Политика утверждает, что автоматически собираемые сведения — адреса IP, тип браузера, поставщик услуг связи, страницы входа и выхода, операционная система, дата и время — не идентифицируют пользователей. Обращение GA4 передаёт Google идентификатор клиента, разрешение экрана 1536x864, платформу Windows, архитектуру x86/64, перечень версий браузера, язык интерфейса, адрес и заголовок страницы. Идентификатор клиента по определению служит для узнавания посетителя при повторных визитах, а разрешение экрана и клиентские подсказки — параметры формирования цифрового отпечатка. 4) Раздел о cookie сообщает, что браузер может принимать cookie автоматически, и предлагает пользователю обратиться к справке браузера, если он хочет их отклонить или удалить. О платформе управления согласием, установленной на самом сайте, документ не сообщает. За дополнительными сведениями он отсылает к двум отраслевым рекламным объединениям — European Interactive Digital Advertising Alliance и Internet Advertising Bureau. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/cy-rik-cy/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — rik.cy To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website rik.cy. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) The Google Tag Manager tag is written into the homepage markup at line 106 and is requested at +551 ms. The CookieScript consent-management platform is written in at line 1712 and is requested at +560 ms — nine milliseconds after the counter it was supposed to manage. At +1388 ms, a page_view event goes out with a client identifier. Markers within the request itself confirm this is a first visit and session start, and the timestamp embedded within the identifier points to 09:25:20 — meaning the identifier was created during this very capture, one second after the page opened and before any user choice. 2) The policy's cookie section names no recipients at all. The only relevant sentence states that the corporation may allow third-party organizations to use cookies to provide services. In fact, visitor data goes to Google (the counter and tag manager), CookieScript (the consent platform), Divio (three media hosts, 50 of 94 requests), and Vimeo (video thumbnails). None of these names appears in the document. 3) The policy states that automatically collected information — IP addresses, browser type, internet service provider, entry and exit pages, operating system, date and time — does not identify users. The GA4 request transmits to Google a client identifier, screen resolution of 1536x864, the Windows platform, x86/64 architecture, a list of browser versions, interface language, page address, and page title. A client identifier by definition serves to recognize the visitor on repeat visits, and screen resolution together with client hints are fingerprinting parameters. 4) The cookie section states that the browser may accept cookies automatically, and suggests the user consult the browser's help documentation if they want to decline or delete them. The document says nothing about the consent-management platform installed on the site itself. For further information, it refers to two advertising-industry trade bodies — the European Interactive Digital Advertising Alliance and the Internet Advertising Bureau. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/cy-rik-cy/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: Комиссар по защите персональных данных Кипра — dataprotection.gov.cy
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — rik.cy 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом rik.cy. 2. Обстоятельства Я посетил сайт rik.cy и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) Тег Google Tag Manager вписан в разметку главной страницы строкой 106 и запрашивается на +551 мс. Платформа управления согласием CookieScript вписана строкой 1712 и запрашивается на +560 мс — на девять миллисекунд позже счётчика, которым должна была бы управлять. На +1388 мс уходит событие page_view с идентификатором клиента. Признаки в самом обращении подтверждают, что это первый визит и начало сеанса, а метка времени внутри идентификатора указывает на 09:25:20 — то есть идентификатор создан в ходе этой самой записи, через секунду после открытия страницы и до какого-либо выбора пользователя. 2) Раздел политики о cookie не называет ни одного получателя. Единственная относящаяся к делу фраза — что корпорация может разрешить сторонним организациям использовать cookie для оказания услуг. Фактически данные посетителя получают Google (счётчик и диспетчер тегов), CookieScript (платформа согласия), Divio (три медиа-узла, 50 запросов из 94) и Vimeo (миниатюры видеозаписей). Ни одно из этих имён в документе не встречается. 3) Политика утверждает, что автоматически собираемые сведения — адреса IP, тип браузера, поставщик услуг связи, страницы входа и выхода, операционная система, дата и время — не идентифицируют пользователей. Обращение GA4 передаёт Google идентификатор клиента, разрешение экрана 1536x864, платформу Windows, архитектуру x86/64, перечень версий браузера, язык интерфейса, адрес и заголовок страницы. Идентификатор клиента по определению служит для узнавания посетителя при повторных визитах, а разрешение экрана и клиентские подсказки — параметры формирования цифрового отпечатка. 4) Раздел о cookie сообщает, что браузер может принимать cookie автоматически, и предлагает пользователю обратиться к справке браузера, если он хочет их отклонить или удалить. О платформе управления согласием, установленной на самом сайте, документ не сообщает. За дополнительными сведениями он отсылает к двум отраслевым рекламным объединениям — European Interactive Digital Advertising Alliance и Internet Advertising Bureau. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/cy-rik-cy/ 3. Положения GDPR, соблюдение которых прошу проверить ePrivacy — Ν. 112(I)/2004, ст. 99 (в связке с GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 5(1)(a) — прозрачность; GDPR Art. 12(1) — доступность средства управления 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — rik.cy 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website rik.cy. 2. Circumstances I visited the website rik.cy and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications: 1) The Google Tag Manager tag is written into the homepage markup at line 106 and is requested at +551 ms. The CookieScript consent-management platform is written in at line 1712 and is requested at +560 ms — nine milliseconds after the counter it was supposed to manage. At +1388 ms, a page_view event goes out with a client identifier. Markers within the request itself confirm this is a first visit and session start, and the timestamp embedded within the identifier points to 09:25:20 — meaning the identifier was created during this very capture, one second after the page opened and before any user choice. 2) The policy's cookie section names no recipients at all. The only relevant sentence states that the corporation may allow third-party organizations to use cookies to provide services. In fact, visitor data goes to Google (the counter and tag manager), CookieScript (the consent platform), Divio (three media hosts, 50 of 94 requests), and Vimeo (video thumbnails). None of these names appears in the document. 3) The policy states that automatically collected information — IP addresses, browser type, internet service provider, entry and exit pages, operating system, date and time — does not identify users. The GA4 request transmits to Google a client identifier, screen resolution of 1536x864, the Windows platform, x86/64 architecture, a list of browser versions, interface language, page address, and page title. A client identifier by definition serves to recognize the visitor on repeat visits, and screen resolution together with client hints are fingerprinting parameters. 4) The cookie section states that the browser may accept cookies automatically, and suggests the user consult the browser's help documentation if they want to decline or delete them. The document says nothing about the consent-management platform installed on the site itself. For further information, it refers to two advertising-industry trade bodies — the European Interactive Digital Advertising Alliance and the Internet Advertising Bureau. Full technical documentation is published at: https://gdpru.eu/audits/cy-rik-cy/ 3. GDPR provisions I ask you to examine ePrivacy — Law 112(I)/2004, Art. 99 (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Art. 5(1)(a) — transparency; GDPR Art. 12(1) — accessibility of control mechanisms 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]