Сервис уведомлений об обновлении браузера — 347 обращений, 30 узлов, 23 получателя данных, запись около десяти минут. На странице с рекламным слотом разворачивается полный рекламный контур: Google AdSense и Ad Manager, платформа demand.supply, десятки RTB-вендоров через панель согласия с числом поставщиков до 308. Платформа управления согласием Google Funding Choices на сайте присутствует, но появляется уже после того, как рекламный стек и Google Analytics отправили первые данные: идентификатор клиента уходит в аналитику за секунду до баннера. Политика конфиденциальности называет только Google Analytics и заявляет, что данные третьим лицам без согласия не передаются.
Хронология обращений
Декларация против факта
Тайминги передачи
Рекламный стек demand.supply, 101 обращение; адрес страницы в base64.
Google Publisher Tag (AdSense / Ad Manager), 59 обращений.
GA4 G-1VW8K23XF3, идентификатор клиента, page_view; строки TCF нет.
Google Funding Choices, интерфейс баннера, 19 обращений.
Criteo, идентификатор RTB; строка согласия TCF gdpr=1.
OpenX, идентификатор RTB.
ID5, синхронизация идентификатора.
Lotame, платформа управления данными.
Yahoo ConnectID; строка согласия TCF gdpr=true.
Google Ad Manager, доставка объявлений.
Зафиксированные трекеры
- Google AdSense / Ad Manager (pagead2.googlesyndication.com, securepubads.g.doubleclick.net, safeframe.googlesyndication.com) — рекламные слоты, 59 обращений
- demand.supply (live.demand.supply, api.demand.supply) — рекламный стек и аукцион, 101 обращение, адрес страницы в base64 в параметрах
- Google Analytics 4 (G-1VW8K23XF3) через region1.google-analytics.com — идентификатор клиента, событие page_view уходит до баннера согласия
- Google Funding Choices (fundingchoicesmessages.google.com) — платформа управления согласием, появляется после первых передач данных
- Google Ad Traffic Quality (ep1/ep2.adtrafficquality.google) — оценка качества трафика, 10 обращений
- Criteo (static.criteo.net, gum.criteo.com), OpenX (oa.openxcdn.net), ID5 (id5-sync.com, cdn.id5-sync.com), Lotame (tags.crwdcntrl.net), Yahoo ConnectID (connectid/ups.analytics.yahoo.com), RTB House (invstatic101.creativecdn.com) — идентификаторы и торги RTB
Признаки несоответствия GDPR
- ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a))Платформа управления согласием на сайте есть — Google Funding Choices, — но она появляется на +75381 мс, уже после того, как рекламный стек и аналитика инициализированы и отправили первые данные. Скрипт demand.supply запрашивается на +74429 мс, инициализация рекламных слотов и Google Publisher Tag — на +74718…+74774 мс, первое обращение Google Analytics 4 с идентификатором клиента и событием page_view — на +75011 мс. То есть баннер согласия показывается спустя примерно секунду после того, как данные уже ушли. При первом визите обращения demand.supply и Google Publisher Tag не несут строки согласия TCF; строка появляется в обращениях лишь при повторном заходе. Согласие, если оно и собирается, следует за передачей данных, а не предшествует ей.
- GDPR Art. 13(1)(e) — раскрытие получателейПолитика конфиденциальности называет только Google Analytics. Весь рекламный контур не раскрыт: Google AdSense и Ad Manager, платформа demand.supply, Funding Choices, Criteo, OpenX, ID5, Lotame, Yahoo, RTB House в документе отсутствуют. Панель управления согласием при этом заявляет до 308 поставщиков по цели «Хранение и (или) доступ к информации на устройстве» и содержит десятки известных RTB-вендоров. Ни один рекламный получатель и ни одно передаваемое им поле в политике не названы.
- GDPR Art. 5(1)(a) — прозрачность и связанность заявленногоПолитика прямо утверждает: собранные данные без явного согласия субъекта третьим лицам не передаются, а обработка через cookie и Google Analytics опирается на законный интерес по Art. 6(1)(f). Фактически при заходе на страницу с рекламным слотом данные адресуются десяткам рекламных получателей, идентификатор клиента уходит в Google Analytics до баннера, а адрес просматриваемой страницы передаётся платформе demand.supply в параметрах запроса. Заявление о непередаче третьим лицам без согласия расходится с фактическим поведением сайта.
- GDPR Art. 13(1)(f) и Art. 44 — передача в третью странуПолитика упоминает передачу данных Google Analytics на серверы Google в США и ссылается на анонимизацию адреса IP. Фактический состав получателей шире: обращения адресуются рекламным и идентификационным узлам Google, Criteo, OpenX, ID5, Lotame, Yahoo и RTB House. Правовое основание трансграничной передачи в отношении этих получателей и передаваемых им идентификаторов в документе не приведено.
- GDPR Art. 32 — меры безопасностиИз защитных заголовков сайт не выставляет практически ничего: заголовка Content-Security-Policy нет ни на одном из 105 ответов собственного домена, строгого транспорта нет, запрет вложения в кадр встречается лишь на трёх ответах, запрета угадывания типа содержимого и политики реферера нет. Часть навигации по сайту при этом идёт по обычному протоколу http, а не https.
Контекст
browser-update.org — сайт сервиса, показывающего уведомления об устаревшем браузере (виджет для встраивания на сторонние сайты). Контролёром в политике назван Thomas Hümmer Webentwicklung, Аугсбург, Германия; контакт — jossele@gmx.de. Надзорный орган — Баварское земельное управление по надзору за защитой данных. Сайт отдаётся через Cloudflare (cf-ray, server: cloudflare).
Замер: 347 обращений, 30 узлов, 23 получателя данных, длительность записи около 591 секунды, снят 16 августа 2026 года. Сеанс охватывает несколько страниц (главная, stat.html, contact.html, update-browser.html, blog.html) и содержит два прохода по странице с рекламным слотом — в начале (около +74 с) и в конце записи (около +570 с). Из 347 обращений 105 приходятся на собственный домен.
Обработку описывает политика конфиденциальности (Datenschutzerklärung) на немецком языке. К материалам приложены её копия в другом формате и выгрузка панели управления согласием со списком поставщиков; кроме того, приложен автоматический технический отчёт инструмента gdpru.eu/har-check по этому же файлу, использованный для перекрёстной сверки.
Кому уходят данные напрямую
Google (AdSense, Ad Manager, Analytics, Funding Choices, Ad Traffic Quality), demand.supply, Criteo, OpenX, ID5, Lotame, Yahoo, RTB House.
Заявленное против фактического
Платформа согласия есть — но она опаздывает. Это главное отличие данного случая от сайтов, где механизма согласия нет вовсе. Здесь платформа управления согласием присутствует: Google Funding Choices. Проблема в порядке событий. На странице с рекламным слотом первым, на +74429 мс, запрашивается скрипт рекламного стека demand.supply. Следом инициализируются рекламные слоты и загружается Google Publisher Tag от AdSense. На +75011 мс Google Analytics 4 уже отправляет обращение /g/collect с идентификатором клиента и событием page_view. И только на +75381 мс — почти секундой позже — запрашивается интерфейс баннера Funding Choices.
То есть к моменту, когда пользователю показывается запрос согласия, рекламный контур и аналитика уже развёрнуты и первые данные уже отправлены. Согласие по закону должно предшествовать установке аналитических и рекламных cookie (директива 2002/58/EC, ст. 5(3); практика Суда ЕС), здесь же оно следует за передачей.
Строка согласия появляется только позже. При первом заходе обращения demand.supply и Google Publisher Tag не несут строки согласия формата IAB TCF. Строка согласия длиной 578 знаков с признаком gdpr=1 появляется в обращениях лишь во втором проходе (с +534 с), когда разворачивается полный аукцион с Criteo, OpenX, ID5, Lotame, Yahoo и RTB House. Признак режима согласия Google gcs=G100 также присутствует только во втором сеансе; в первом его нет.
Политика называет только аналитику. Документ честен в одном: Google Analytics назван прямо, с указанием провайдера Google Inc., США, и передачи на серверы в США. Но весь рекламный контур в политике отсутствует. Нет ни AdSense и Ad Manager, ни платформы demand.supply, ни самой Funding Choices, ни одного RTB-вендора. При этом панель управления согласием, выгрузка которой приложена, заявляет до 308 поставщиков только по цели «Хранение и (или) доступ к информации на устройстве» и перечисляет десятки известных рекламных компаний. Разрыв между одним названным получателем и сотнями фактических — предельный.
Заявление о непередаче третьим лицам расходится с практикой. Политика прямо указывает, что собранные данные без явного согласия субъекта третьим лицам не передаются, а обработка cookie и аналитики опирается на законный интерес по Art. 6(1)(f). Фактически при заходе на страницу с рекламным слотом данные адресуются десяткам рекламных получателей, идентификатор клиента уходит в аналитику до баннера, а адрес просматриваемой страницы передаётся платформе demand.supply в параметрах запроса в кодировке base64.
Защитные заголовки практически отсутствуют. У собственного домена нет заголовка безопасности содержимого ни на одном из 105 ответов, нет строгого транспорта, запрет вложения в кадр встречается лишь на трёх ответах, запрета угадывания типа содержимого и политики реферера нет. Часть навигации при этом идёт по обычному протоколу http, а не https — адреса http://browser-update.org/update-browser.html видны в самих обращениях аналитики.
Согласие: что доказано и что нет
Доказано: платформа согласия на сайте присутствует. Обращения к Google Funding Choices (fundingchoicesmessages.google.com) читаются по записи, интерфейс баннера запрашивается на +75381 мс.
Доказано: рекламный стек и аналитика стартуют до баннера. Скрипт demand.supply запрошен на +74429 мс, Google Publisher Tag — на +74774 мс, первое обращение Google Analytics 4 с идентификатором клиента — на +75011 мс. Все они предшествуют запросу интерфейса согласия. Порядок читается по таймингам и инициаторам записи.
Доказано: при первом визите строки согласия TCF в рекламных обращениях нет. Параметр gdpr_consent появляется в обращениях только со второго прохода (с +534 с). В первом проходе обращения demand.supply и Google Publisher Tag его не содержат.
Доказано: идентификатор клиента включён в обращения аналитики. Поле cid стоит в обращениях /g/collect рядом с адресом и событием страницы. В двух проходах записи идентификаторы разные.
Не доказано и не утверждается: содержание выбора пользователя в баннере. Была ли нажата кнопка согласия или отказа, по сетевой записи однозначно не устанавливается; фиксируется лишь порядок — данные уходят до появления баннера, а строка согласия и режим gcs=G100 появляются позже. Вывод о нарушении строится на этом порядке, а не на реконструкции нажатий.
Не доказано и не утверждается: состояние cookie на устройстве. Заголовки cookie и тела ответов из опубликованного файла удалены при очистке.
Отдельно: браузер при съёмке отправлял заголовок DNT: 1. На состав и адресацию обращений это не повлияло.
Границы наблюдения
Замер охватывает несколько страниц сайта и два прохода по странице с рекламным слотом. Наблюдение фиксирует поведение браузера, не внутреннюю кухню сервисов: обработка на стороне сервера, договорные отношения с получателями и настройки на их стороне браузерным замером не проверяются. Правовую оценку выносит компетентный орган — в данном случае Баварское земельное управление по надзору за защитой данных.
Файл опубликован очищенным от личных данных: удалены заголовки cookie в запросах и тела ответов. Вывод об опоздании платформы согласия опирается на сетевой уровень — состав, адреса, тайминги и инициаторы обращений читаются по записи полностью, и видно, что рекламный стек и аналитика отправляют данные раньше запроса интерфейса согласия. Полные идентификаторы клиента и строки согласия в разборе не приводятся.
Идентификация сервисов опирается на домены, схему адресов и перекрёстную сверку с выгрузкой панели согласия: Google AdSense и Ad Manager — по googlesyndication.com, doubleclick.net и safeframe; аналитика — по google-analytics.com и ресурсу G-1VW8K23XF3; платформа согласия — по fundingchoicesmessages.google.com; demand.supply — по домену и схеме путей рекламных слотов; RTB-вендоры — по criteo, openxcdn, id5-sync, crwdcntrl.net, analytics.yahoo.com, creativecdn.com; провайдер отдачи — по заголовкам cf-ray и server: cloudflare. Приложенный автоматический отчёт инструмента использован лишь как дополнительная сверка; все ключевые выводы перепроверены по самой записи, и в части защитных заголовков собственная проверка уточнила отчёт.
Вывод
Сайт сервиса уведомлений об обновлении браузера разворачивает на странице с рекламным слотом полный рекламный контур: Google AdSense и Ad Manager, платформу demand.supply и, через панель управления согласием, десятки RTB-вендоров с числом поставщиков до 308. Политика конфиденциальности называет из всего этого только Google Analytics и отдельно заявляет, что данные третьим лицам без согласия не передаются.
Платформа управления согласием на сайте есть — Google Funding Choices, — но появляется она уже после того, как рекламный стек и аналитика инициализированы и отправили первые данные: идентификатор клиента уходит в Google Analytics примерно за секунду до баннера, а при первом визите обращения рекламных сервисов не несут строки согласия. Строка согласия и режим согласия Google появляются лишь при повторном заходе. У собственного домена почти нет защитных заголовков, а часть навигации идёт по незащищённому протоколу.
Устранение: не запускать рекламный стек, Google Publisher Tag и аналитику до получения согласия — перевести их загрузку под фактическое управление платформой согласия, чтобы никакие обращения к рекламным и аналитическим получателям не уходили до выбора пользователя; назвать в политике всех получателей веб-данных поимённо, с указанием передаваемых полей и целей, включая рекламный контур и список поставщиков панели согласия; привести заявление о непередаче третьим лицам в соответствие с фактической практикой; раскрыть правовое основание трансграничной передачи в отношении рекламных получателей; перевести весь сайт на https и выставить политику безопасности содержимого, строгий транспорт, запрет вложения в кадр, запрет угадывания типа содержимого и политику реферера.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
02cec9f008e2050d8b78f9fe6c554d527e58b73c19003c8e37b6d1fde43a049fХотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — browser-update.org Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта browser-update.org. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) Платформа управления согласием на сайте есть — Google Funding Choices, — но она появляется на +75381 мс, уже после того, как рекламный стек и аналитика инициализированы и отправили первые данные. Скрипт demand.supply запрашивается на +74429 мс, инициализация рекламных слотов и Google Publisher Tag — на +74718…+74774 мс, первое обращение Google Analytics 4 с идентификатором клиента и событием page_view — на +75011 мс. То есть баннер согласия показывается спустя примерно секунду после того, как данные уже ушли. При первом визите обращения demand.supply и Google Publisher Tag не несут строки согласия TCF; строка появляется в обращениях лишь при повторном заходе. Согласие, если оно и собирается, следует за передачей данных, а не предшествует ей. 2) Политика конфиденциальности называет только Google Analytics. Весь рекламный контур не раскрыт: Google AdSense и Ad Manager, платформа demand.supply, Funding Choices, Criteo, OpenX, ID5, Lotame, Yahoo, RTB House в документе отсутствуют. Панель управления согласием при этом заявляет до 308 поставщиков по цели «Хранение и (или) доступ к информации на устройстве» и содержит десятки известных RTB-вендоров. Ни один рекламный получатель и ни одно передаваемое им поле в политике не названы. 3) Политика прямо утверждает: собранные данные без явного согласия субъекта третьим лицам не передаются, а обработка через cookie и Google Analytics опирается на законный интерес по Art. 6(1)(f). Фактически при заходе на страницу с рекламным слотом данные адресуются десяткам рекламных получателей, идентификатор клиента уходит в Google Analytics до баннера, а адрес просматриваемой страницы передаётся платформе demand.supply в параметрах запроса. Заявление о непередаче третьим лицам без согласия расходится с фактическим поведением сайта. 4) Политика упоминает передачу данных Google Analytics на серверы Google в США и ссылается на анонимизацию адреса IP. Фактический состав получателей шире: обращения адресуются рекламным и идентификационным узлам Google, Criteo, OpenX, ID5, Lotame, Yahoo и RTB House. Правовое основание трансграничной передачи в отношении этих получателей и передаваемых им идентификаторов в документе не приведено. 5) Из защитных заголовков сайт не выставляет практически ничего: заголовка Content-Security-Policy нет ни на одном из 105 ответов собственного домена, строгого транспорта нет, запрет вложения в кадр встречается лишь на трёх ответах, запрета угадывания типа содержимого и политики реферера нет. Часть навигации по сайту при этом идёт по обычному протоколу http, а не https. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/de-browser-update-org/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — browser-update.org To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website browser-update.org. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) There is a consent-management platform on the site — Google Funding Choices — but it appears at +75381 ms, after the ad stack and analytics have already been initialised and sent the first data. The demand.supply script is requested at +74429 ms, the initialisation of ad slots and the Google Publisher Tag at +74718…+74774 ms, the first Google Analytics 4 request with the client identifier and a page_view event at +75011 ms. That is, the consent banner is shown about a second after the data has already gone out. On the first visit the demand.supply and Google Publisher Tag requests carry no TCF consent string; the string appears in the requests only on a repeat visit. Consent, if it is collected at all, follows the transmission of data rather than preceding it. 2) The privacy policy names only Google Analytics. The entire advertising circuit is undisclosed: Google AdSense and Ad Manager, the demand.supply platform, Funding Choices, Criteo, OpenX, ID5, Lotame, Yahoo, RTB House are absent from the document. The consent-management panel, meanwhile, declares up to 308 vendors for the purpose 'Store and/or access information on a device' and contains dozens of well-known RTB vendors. Not a single advertising recipient, nor a single field transmitted to them, is named in the policy. 3) The policy states outright: collected data is not passed to third parties without the data subject's explicit consent, and the processing via cookies and Google Analytics relies on legitimate interest under Art. 6(1)(f). In fact, on visiting a page with an ad slot, data is addressed to dozens of advertising recipients, the client identifier goes to Google Analytics before the banner, and the URL of the viewed page is transmitted to the demand.supply platform in the request parameters. The statement about non-transfer to third parties without consent diverges from the actual behaviour of the site. 4) The policy mentions the transfer of Google Analytics data to Google servers in the USA and refers to IP-address anonymisation. The actual set of recipients is broader: requests are addressed to advertising and identity nodes of Google, Criteo, OpenX, ID5, Lotame, Yahoo and RTB House. The legal basis for cross-border transfer with respect to these recipients and the identifiers transmitted to them is not provided in the document. 5) Of the security headers the site sets almost nothing: there is no Content-Security-Policy header on any of the 105 responses of its own domain, no strict transport, the frame-embedding ban appears on only three responses, and there is no content-type-sniffing ban and no referrer policy. Part of the site navigation, moreover, goes over plain http rather than https. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/de-browser-update-org/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: BfDI — Федеральный уполномоченный по защите данных — подать жалобу онлайн →
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — browser-update.org 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом browser-update.org. 2. Обстоятельства Я посетил сайт browser-update.org и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 16.08.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) Платформа управления согласием на сайте есть — Google Funding Choices, — но она появляется на +75381 мс, уже после того, как рекламный стек и аналитика инициализированы и отправили первые данные. Скрипт demand.supply запрашивается на +74429 мс, инициализация рекламных слотов и Google Publisher Tag — на +74718…+74774 мс, первое обращение Google Analytics 4 с идентификатором клиента и событием page_view — на +75011 мс. То есть баннер согласия показывается спустя примерно секунду после того, как данные уже ушли. При первом визите обращения demand.supply и Google Publisher Tag не несут строки согласия TCF; строка появляется в обращениях лишь при повторном заходе. Согласие, если оно и собирается, следует за передачей данных, а не предшествует ей. 2) Политика конфиденциальности называет только Google Analytics. Весь рекламный контур не раскрыт: Google AdSense и Ad Manager, платформа demand.supply, Funding Choices, Criteo, OpenX, ID5, Lotame, Yahoo, RTB House в документе отсутствуют. Панель управления согласием при этом заявляет до 308 поставщиков по цели «Хранение и (или) доступ к информации на устройстве» и содержит десятки известных RTB-вендоров. Ни один рекламный получатель и ни одно передаваемое им поле в политике не названы. 3) Политика прямо утверждает: собранные данные без явного согласия субъекта третьим лицам не передаются, а обработка через cookie и Google Analytics опирается на законный интерес по Art. 6(1)(f). Фактически при заходе на страницу с рекламным слотом данные адресуются десяткам рекламных получателей, идентификатор клиента уходит в Google Analytics до баннера, а адрес просматриваемой страницы передаётся платформе demand.supply в параметрах запроса. Заявление о непередаче третьим лицам без согласия расходится с фактическим поведением сайта. 4) Политика упоминает передачу данных Google Analytics на серверы Google в США и ссылается на анонимизацию адреса IP. Фактический состав получателей шире: обращения адресуются рекламным и идентификационным узлам Google, Criteo, OpenX, ID5, Lotame, Yahoo и RTB House. Правовое основание трансграничной передачи в отношении этих получателей и передаваемых им идентификаторов в документе не приведено. 5) Из защитных заголовков сайт не выставляет практически ничего: заголовка Content-Security-Policy нет ни на одном из 105 ответов собственного домена, строгого транспорта нет, запрет вложения в кадр встречается лишь на трёх ответах, запрета угадывания типа содержимого и политики реферера нет. Часть навигации по сайту при этом идёт по обычному протоколу http, а не https. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/de-browser-update-org/ 3. Положения GDPR, соблюдение которых прошу проверить ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 5(1)(a) — прозрачность и связанность заявленного; GDPR Art. 13(1)(f) и Art. 44 — передача в третью страну; GDPR Art. 32 — меры безопасности 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — browser-update.org 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website browser-update.org. 2. Circumstances I visited the website browser-update.org and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 16 August 2026 (open methodology, reproducible measurements) documents the following indications: 1) There is a consent-management platform on the site — Google Funding Choices — but it appears at +75381 ms, after the ad stack and analytics have already been initialised and sent the first data. The demand.supply script is requested at +74429 ms, the initialisation of ad slots and the Google Publisher Tag at +74718…+74774 ms, the first Google Analytics 4 request with the client identifier and a page_view event at +75011 ms. That is, the consent banner is shown about a second after the data has already gone out. On the first visit the demand.supply and Google Publisher Tag requests carry no TCF consent string; the string appears in the requests only on a repeat visit. Consent, if it is collected at all, follows the transmission of data rather than preceding it. 2) The privacy policy names only Google Analytics. The entire advertising circuit is undisclosed: Google AdSense and Ad Manager, the demand.supply platform, Funding Choices, Criteo, OpenX, ID5, Lotame, Yahoo, RTB House are absent from the document. The consent-management panel, meanwhile, declares up to 308 vendors for the purpose 'Store and/or access information on a device' and contains dozens of well-known RTB vendors. Not a single advertising recipient, nor a single field transmitted to them, is named in the policy. 3) The policy states outright: collected data is not passed to third parties without the data subject's explicit consent, and the processing via cookies and Google Analytics relies on legitimate interest under Art. 6(1)(f). In fact, on visiting a page with an ad slot, data is addressed to dozens of advertising recipients, the client identifier goes to Google Analytics before the banner, and the URL of the viewed page is transmitted to the demand.supply platform in the request parameters. The statement about non-transfer to third parties without consent diverges from the actual behaviour of the site. 4) The policy mentions the transfer of Google Analytics data to Google servers in the USA and refers to IP-address anonymisation. The actual set of recipients is broader: requests are addressed to advertising and identity nodes of Google, Criteo, OpenX, ID5, Lotame, Yahoo and RTB House. The legal basis for cross-border transfer with respect to these recipients and the identifiers transmitted to them is not provided in the document. 5) Of the security headers the site sets almost nothing: there is no Content-Security-Policy header on any of the 105 responses of its own domain, no strict transport, the frame-embedding ban appears on only three responses, and there is no content-type-sniffing ban and no referrer policy. Part of the site navigation, moreover, goes over plain http rather than https. Full technical documentation is published at: https://gdpru.eu/audits/de-browser-update-org/ 3. GDPR provisions I ask you to examine ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Art. 5(1)(a) — transparency and internal consistency of what is declared; GDPR Art. 13(1)(f) and Art. 44 — transfer to a third country; GDPR Art. 32 — security measures 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]