Технический аудит · 08.09.2026

airport.ee

Сайт Таллиннского аэропорта

Сайт Таллиннского аэропорта — один замер страницы с информацией о рейсах, 42 запроса, 9 узлов, около секунды. Платформа управления согласием Complianz на странице есть и работает в режиме opt-in: баннер показан, категории «Статистика» и «Маркетинг» выключены. Тем не менее при загрузке, без согласия, GA4 отправляет page_view и scroll (причём со статусом gcs=- — режим согласия не настроен), а пиксель Facebook / Meta — PageView в Meta. Блокировщик Complianz эти трекеры не удерживает; браузерная защита от отслеживания лишь заблокировала им доступ к хранилищу, но обращения к Google и Meta состоялись. Заголовки безопасности выставлены частично.

Хронология обращений

+0 мс · загрузка страницы рейсов

Сайт на WordPress, отдача через Cloudflare. Заголовки безопасности выставлены частично: HSTS, X-Frame-Options SAMEORIGIN, X-Content-Type-Options nosniff есть; Content-Security-Policy, Referrer-Policy и Permissions-Policy отсутствуют. Подгружается платформа согласия Complianz (cookieblocker.min.js, баннер banner-1-optin.css).

+389 мс · Cloudflare Web Analytics

static.cloudflareinsights.com/beacon.min.js — аналитический маяк из разметки страницы.

+416…+450 мс · контейнер тегов

www.googletagmanager.com/gtm.js и gtag/js — Google Tag Manager, из которого стартуют аналитика и пиксель.

+538…+544 мс · GA4

region1.analytics.google.com — обращение measurement/conversion, затем два g/collect: page_view и scroll, счётчик G-KTS3XHH4LF, gcs=-. Адрес и заголовок страницы уходят в Google.

+644…+940 мс · Facebook / Meta Pixel

connect.facebook.net/fbevents.js и signals/config/1114129963…, затем www.facebook.com/tr на +940 мс — событие PageView пикселя 1114129963021443, ответ 200, с идентификатором браузера fbp.

Декларация против факта

✓ Контролёр — AS Tallinna Lennujaam (Таллиннский аэропорт); политика конфиденциальности (Privaatsuspoliitika) — заявлен

✓ В политике названы Google (Analytics) и Meta — заявлен

✓ Управление согласием — платформа Complianz (баннер с категориями «Функциональность», «Статистика», «Маркетинг», режим opt-in) — заявлен

✓ Платёжные компоненты — Maksekeskus и Apple Pay — заявлен

✓ Надзорный орган — Andmekaitse Inspektsioon — заявлен

+ Cloudflare Web Analytics — аналитический маяк, в политике не назван — не заявлен

+ Платформа согласия Complianz — в политике отдельно не описана — не заявлен

+ То, что GA4 и пиксель Facebook срабатывают при показанном баннере opt-in с выключенными категориями — то есть не обусловлены согласием — не заявлен

+ То, что GA4 идёт без сигнала согласия (gcs=-) — не заявлен

Тайминги передачи

+389 мс static.cloudflareinsights.com

Аналитический маяк из разметки. В политике не назван.

+543 мс region1.analytics.google.com

GA4 page_view, G-KTS3XHH4LF, gcs=- (режим согласия не настроен).

+544 мс region1.analytics.google.com

GA4 scroll, тот же счётчик.

+940 мс www.facebook.com

PageView, пиксель 1114129963021443, GET /tr, ответ 200, идентификатор fbp. Баннер показан, маркетинг выключен.

Зафиксированные трекеры

Complianz (первичный плагин GDPR для WordPress: cookieblocker.min.js, баннер в режиме opt-in banner-1-optin.css) — платформа управления согласием; несмотря на неё, статистические и рекламные обращения уходят
Google Analytics 4 (region1.analytics.google.com, G-KTS3XHH4LF) — события page_view и scroll уходят на +543…+544 мс со статусом gcs=- (режим согласия не настроен); плюс обращение measurement/conversion (конверсии)
Google Tag Manager (www.googletagmanager.com) — контейнер, из которого стартуют GA4 и пиксель Facebook
Facebook / Meta Pixel (connect.facebook.net, www.facebook.com) — пиксель ID 1114129963021443; событие PageView отправлено на facebook.com/tr (ответ 200), несёт идентификатор браузера fbp
Cloudflare Web Analytics (static.cloudflareinsights.com) — аналитический маяк из разметки страницы; в политике не назван
Maksekeskus (static.cc.maksekeskus.ee, payment.maksekeskus.ee) — платёжный шлюз, функциональный
Apple Pay (applepay.cdn-apple.com) — платёжный компонент, функциональный

Признаки несоответствия GDPR

ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — трекинг при отсутствующем согласии, несмотря на баннер opt-in
На сайте установлена платформа управления согласием Complianz в режиме opt-in: подгружается её блокировщик cookieblocker.min.js и баннер banner-1-optin.css, в котором категории «Статистика» и «Маркетинг» по умолчанию выключены. Тем не менее статистические и рекламные обращения уходят до какого-либо согласия. Аналитика Google работает даже без режима согласия — события page_view и scroll GA4 (G-KTS3XHH4LF) уходят со статусом gcs=- (Consent Mode не сконфигурирован), плюс отдельное обращение measurement/conversion. Пиксель Facebook / Meta (ID 1114129963021443) отправляет PageView на facebook.com/tr (ответ 200) с идентификатором браузера fbp. Обе передачи происходят при загрузке страницы, когда баннер согласия показан, а его переключатели статистики и маркетинга не включены. Собственная защита браузера от отслеживания при этом отметила и заблокировала доступ этих обращений к хранилищу — но сами обращения к Google и Meta состоялись. То есть блокировщик Complianz эти трекеры не удерживает, и они срабатывают вне зависимости от выбора в баннере.
GDPR Art. 5(1)(a) / Art. 13(1)(e) — прозрачность, согласие и получатели
Показ баннера согласия в режиме opt-in подразумевает, что до включения категорий «Статистика» и «Маркетинг» соответствующие обращения не уходят. Фактически GA4 и пиксель Facebook к этому механизму не подключены и передают данные независимо от него — согласный интерфейс для этих трекеров декоративен. Политика конфиденциальности называет Google (Analytics) и Meta, но аналитический маяк Cloudflare и сама платформа Complianz в ней не упомянуты. Кроме того, GA4 идёт без сигнала согласия (gcs=-), что несовместимо с заявленной баннером моделью управляемого согласия.

Контекст

airport.ee — сайт Таллиннского аэропорта; ответственный обработчик — AS Tallinna Lennujaam. Сайт построен на WordPress и отдаётся через Cloudflare. Управление согласием реализовано плагином Complianz в режиме opt-in. Заголовки безопасности выставлены частично: есть HSTS, X-Frame-Options SAMEORIGIN и X-Content-Type-Options nosniff; Content-Security-Policy, Referrer-Policy и Permissions-Policy отсутствуют.

Замер — одна запись страницы с информацией о рейсах (/lennuinfo/): 42 запроса, 9 узлов, около секунды, съёмка 8 сентября 2026 года.

Кому уходят данные напрямую

Google (Analytics), Meta (Facebook Pixel), Cloudflare (аналитический маяк) — все до согласия. Функционально — платёжные компоненты Maksekeskus и Apple Pay.

Заявленное против фактического

Расхождение здесь наглядное: на странице показан баннер согласия, а трекеры этот баннер игнорируют.

Первое — согласие показывают, но не спрашивают по существу. Платформа Complianz работает в режиме opt-in: на странице загружается её блокировщик cookieblocker.min.js и баннер banner-1-optin.css, в котором категории «Статистика» и «Маркетинг» по умолчанию выключены. Логика opt-in означает, что до включения этих категорий соответствующие обращения уходить не должны. Фактически они уходят при загрузке страницы: аналитика Google (G-KTS3XHH4LF) отправляет page_view и scroll, а также обращение конверсий, а пиксель Facebook / Meta (1114129963021443) — PageView в Meta. Всё это до того, как в баннере что-либо включено или нажато.

Второе — аналитика идёт без сигнала согласия. GA4 отправляет свои события со статусом gcs=- — то есть режим согласия Google на сайте вообще не сконфигурирован. Для сайта, показывающего баннер управляемого согласия, это внутреннее противоречие: интерфейс предлагает управлять статистикой и маркетингом, а счётчик передаёт данные без какого-либо сигнала согласия.

Третье — блокировщик эти трекеры не удерживает. Собственная защита браузера от отслеживания отметила обращения GA4 и пикселя Facebook и заблокировала им доступ к хранилищу — но сами обращения к Google и Meta состоялись. То есть трекеры выстреливают вне зависимости и от выбора в баннере, и от блокировщика Complianz; удержала их лишь встроенная защита браузера, а не сам сайт.

Четвёртое — часть получателей не раскрыта. Политика конфиденциальности называет Google (Analytics) и Meta. Но аналитический маяк Cloudflare и сама платформа Complianz в ней не упомянуты.

Согласие: что доказано и что нет

Доказано: баннер согласия показан, категории выключены. Платформа Complianz в режиме opt-in выводит баннер с выключенными по умолчанию «Статистикой» и «Маркетингом»; выбор в нём на момент передач не сделан.

Доказано: трекеры передают данные до согласия. GA4 page_view и scroll уходят на +543…+544 мс, пиксель Facebook PageView — на +940 мс (ответ 200). Все при показанном баннере с невключёнными категориями.

Доказано: аналитика идёт без режима согласия. Все обращения GA4 несут gcs=- — сигнал согласия Google отсутствует.

Доказано: удержала браузерная защита, а не сайт. В сеансе обращения GA4 и пикселя Facebook помечены встроенной защитой браузера как отслеживающие, с блокировкой доступа к хранилищу; тем не менее сетевые обращения к Google и Meta состоялись.

Границы наблюдения

Замер охватывает одну страницу — информацию о рейсах — и фиксирует поведение браузера, не внутреннюю кухню сервисов: серверная обработка, настройка контейнера тегов и договоры с получателями браузерным замером не проверяются. Значения куки в запросах удалены при очистке (заголовки Cookie в файле отсутствуют), поэтому состояние согласия установлено не по кукам, а по сочетанию признаков: показанный баннер opt-in с выключенными категориями, статус gcs=- у GA4 и фактическая доставка обращений GA4 и пикселя Facebook. Платёжные компоненты Maksekeskus и Apple Pay отнесены к функциональной части.

Файл опубликован очищенным от личных данных. Заголовки ответов, статусы, порядок загрузки и инициаторы сохранены, поэтому состав обращений, статус gcs=- и доставка пикселя Facebook проверяются по опубликованному файлу напрямую.

Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon.

Вывод

Сайт Таллиннского аэропорта показывает баннер управляемого согласия Complianz в режиме opt-in — с выключенными по умолчанию статистикой и маркетингом, — но статистические и рекламные обращения этот баннер обходят. При загрузке страницы, до включения категорий и до какого-либо выбора, аналитика Google отправляет page_view и scroll (причём вовсе без сигнала согласия, gcs=-), а пиксель Facebook / Meta — PageView в Meta. Блокировщик Complianz эти трекеры не удерживает; их доступ к хранилищу отсекла лишь встроенная защита браузера, но сетевые обращения к Google и Meta всё равно состоялись.

Политика конфиденциальности называет Google и Meta, но аналитический маяк Cloudflare и саму платформу согласия не упоминает. Показанный интерфейс согласия для аналитики и пикселя оказывается декоративным: они не подключены к нему и передают данные независимо от выбора пользователя.

Устранение: подключить GA4, пиксель Facebook и маяк Cloudflare к платформе согласия так, чтобы до включения категорий «Статистика» и «Маркетинг» ни одно из этих обращений не уходило; настроить режим согласия Google (сейчас gcs=-), чтобы состояние согласия передавалось в GA4; назвать в политике конфиденциальности аналитику Cloudflare и платформу Complianz; дополнить набор защитных заголовков — Content-Security-Policy, Referrer-Policy и Permissions-Policy.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: ee/airport-ee-2026-09-08.har

SHA-256: f03f9200fa57c65dda77d9a8c41c05188583ca0512105a19fa5f563fef7afa6b

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — airport.ee

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта airport.ee.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте установлена платформа управления согласием Complianz в режиме opt-in: подгружается её блокировщик cookieblocker.min.js и баннер banner-1-optin.css, в котором категории «Статистика» и «Маркетинг» по умолчанию выключены. Тем не менее статистические и рекламные обращения уходят до какого-либо согласия. Аналитика Google работает даже без режима согласия — события page_view и scroll GA4 (G-KTS3XHH4LF) уходят со статусом gcs=- (Consent Mode не сконфигурирован), плюс отдельное обращение measurement/conversion. Пиксель Facebook / Meta (ID 1114129963021443) отправляет PageView на facebook.com/tr (ответ 200) с идентификатором браузера fbp. Обе передачи происходят при загрузке страницы, когда баннер согласия показан, а его переключатели статистики и маркетинга не включены. Собственная защита браузера от отслеживания при этом отметила и заблокировала доступ этих обращений к хранилищу — но сами обращения к Google и Meta состоялись. То есть блокировщик Complianz эти трекеры не удерживает, и они срабатывают вне зависимости от выбора в баннере.

2) Показ баннера согласия в режиме opt-in подразумевает, что до включения категорий «Статистика» и «Маркетинг» соответствующие обращения не уходят. Фактически GA4 и пиксель Facebook к этому механизму не подключены и передают данные независимо от него — согласный интерфейс для этих трекеров декоративен. Политика конфиденциальности называет Google (Analytics) и Meta, но аналитический маяк Cloudflare и сама платформа Complianz в ней не упомянуты. Кроме того, GA4 идёт без сигнала согласия (gcs=-), что несовместимо с заявленной баннером моделью управляемого согласия.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-airport-ee/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — airport.ee

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website airport.ee.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site has the Complianz consent management platform installed in opt-in mode: its blocker cookieblocker.min.js and the banner banner-1-optin.css are loaded, with the 'Statistics' and 'Marketing' categories switched off by default. Nevertheless, the statistics and advertising requests go out before any consent. Google analytics runs even without a consent mode — the GA4 page_view and scroll events (G-KTS3XHH4LF) go out with the status gcs=- (Consent Mode not configured), plus a separate measurement/conversion request. The Facebook / Meta Pixel (ID 1114129963021443) sends a PageView to facebook.com/tr (response 200) with the fbp browser identifier. Both transfers happen on page load, while the consent banner is shown and its statistics and marketing toggles are not enabled. The browser's own tracking prevention meanwhile flagged and blocked these requests' access to storage — but the requests to Google and Meta themselves took place. That is, the Complianz blocker does not hold these trackers, and they fire regardless of the choice in the banner.

2) Showing a consent banner in opt-in mode implies that before the 'Statistics' and 'Marketing' categories are enabled, the corresponding requests do not go out. In fact GA4 and the Facebook pixel are not wired to this mechanism and transmit data independently of it — the consent interface is decorative for these trackers. The privacy policy names Google (Analytics) and Meta, but the Cloudflare analytics beacon and the Complianz platform itself are not mentioned in it. In addition, GA4 runs without a consent signal (gcs=-), which is incompatible with the managed-consent model that the banner claims.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-airport-ee/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — airport.ee

Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond]
Kellelt: [Teie nimi], [kontakt-e-post]

Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi airport.ee kasutamisega.

1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c))
Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad:

1) Saidil on Complianzi nõusoleku haldamise platvorm opt-in režiimis: selle blokeerija cookieblocker.min.js ja bänner-1-optin.css on laaditud, kus kategooriad "Statistika" ja "Turundus" on vaikimisi välja lülitatud. Kuid statistilised ja reklaamikaebused kaovad enne nõusoleku saamist. Google Analytics töötab ka ilma nõusolekurežiimita - lehevaade ja keri GA4 sündmused (G-KTS3XH4LF) lahkuvad olekuga gcs=- (nõusolekurežiim ei ole konfigureeritud), millele lisandub eraldi mõõtmis-/konversioonikõne. Facebook/Meta piksel (ID 1114129963021443) saadab PageView aadressile facebook.com/tr (vastus 200) koos brauseri identifikaatoriga fbp. Mõlemad ülekanded toimuvad siis, kui lehekülg laeb, kui näidatakse nõusoleku bännerit ning selle statistika ja turunduslülitid ei ole lubatud. Brauseri enda kaitse jälgimise eest märkis ja blokeeris juurdepääsu hoidlale, kuid kaebused Google'ile ja Metale toimusid. See tähendab, et Complianzi blokaator ei hoia neid jälgijaid ja nad töötavad olenemata bänneri valikust.

2) Nõusoleku bänneri kuvamine opt-in režiimis tähendab, et asjaomased kaebused ei kao enne kategooriate „Statistika” ja „Turundus” lisamist. Tegelikult ei ole GA4 ja Facebooki piksel selle mehhanismiga ühendatud ja edastavad andmeid iseseisvalt - nende jälgijate kaashäälikuliides on dekoratiivne. Privaatsuspoliitikas nimetatakse Google'it (Analüütik) ja Metat, kuid Cloudflare'i analüüsimajakat ja Complianzi platvormi ennast ei mainita. Lisaks töötab GA4 ilma nõusoleku signaalita (gcs=-), mis ei sobi kokku bänneri hallatud nõusoleku mudeliga.


2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46)
Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-airport-ee/

3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h))
Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee

Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — airport.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом airport.ee.

2. Обстоятельства
Я посетил сайт airport.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 08.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте установлена платформа управления согласием Complianz в режиме opt-in: подгружается её блокировщик cookieblocker.min.js и баннер banner-1-optin.css, в котором категории «Статистика» и «Маркетинг» по умолчанию выключены. Тем не менее статистические и рекламные обращения уходят до какого-либо согласия. Аналитика Google работает даже без режима согласия — события page_view и scroll GA4 (G-KTS3XHH4LF) уходят со статусом gcs=- (Consent Mode не сконфигурирован), плюс отдельное обращение measurement/conversion. Пиксель Facebook / Meta (ID 1114129963021443) отправляет PageView на facebook.com/tr (ответ 200) с идентификатором браузера fbp. Обе передачи происходят при загрузке страницы, когда баннер согласия показан, а его переключатели статистики и маркетинга не включены. Собственная защита браузера от отслеживания при этом отметила и заблокировала доступ этих обращений к хранилищу — но сами обращения к Google и Meta состоялись. То есть блокировщик Complianz эти трекеры не удерживает, и они срабатывают вне зависимости от выбора в баннере.

2) Показ баннера согласия в режиме opt-in подразумевает, что до включения категорий «Статистика» и «Маркетинг» соответствующие обращения не уходят. Фактически GA4 и пиксель Facebook к этому механизму не подключены и передают данные независимо от него — согласный интерфейс для этих трекеров декоративен. Политика конфиденциальности называет Google (Analytics) и Meta, но аналитический маяк Cloudflare и сама платформа Complianz в ней не упомянуты. Кроме того, GA4 идёт без сигнала согласия (gcs=-), что несовместимо с заявленной баннером моделью управляемого согласия.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-airport-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — трекинг при отсутствующем согласии, несмотря на баннер opt-in; GDPR Art. 5(1)(a) / Art. 13(1)(e) — прозрачность, согласие и получатели

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — airport.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website airport.ee.

2. Circumstances
I visited the website airport.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 8 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has the Complianz consent management platform installed in opt-in mode: its blocker cookieblocker.min.js and the banner banner-1-optin.css are loaded, with the 'Statistics' and 'Marketing' categories switched off by default. Nevertheless, the statistics and advertising requests go out before any consent. Google analytics runs even without a consent mode — the GA4 page_view and scroll events (G-KTS3XHH4LF) go out with the status gcs=- (Consent Mode not configured), plus a separate measurement/conversion request. The Facebook / Meta Pixel (ID 1114129963021443) sends a PageView to facebook.com/tr (response 200) with the fbp browser identifier. Both transfers happen on page load, while the consent banner is shown and its statistics and marketing toggles are not enabled. The browser's own tracking prevention meanwhile flagged and blocked these requests' access to storage — but the requests to Google and Meta themselves took place. That is, the Complianz blocker does not hold these trackers, and they fire regardless of the choice in the banner.

2) Showing a consent banner in opt-in mode implies that before the 'Statistics' and 'Marketing' categories are enabled, the corresponding requests do not go out. In fact GA4 and the Facebook pixel are not wired to this mechanism and transmit data independently of it — the consent interface is decorative for these trackers. The privacy policy names Google (Analytics) and Meta, but the Cloudflare analytics beacon and the Complianz platform itself are not mentioned in it. In addition, GA4 runs without a consent signal (gcs=-), which is incompatible with the managed-consent model that the banner claims.

Full technical documentation is published at: https://gdpru.eu/audits/ee-airport-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — tracking in the absence of consent, despite an opt-in banner; GDPR Art. 5(1)(a) / Art. 13(1)(e) — transparency, consent and recipients

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil airport.ee.

2. Asjaolud
Külastasin veebisaiti airport.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 08.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Saidil on Complianzi nõusoleku haldamise platvorm opt-in režiimis: selle blokeerija cookieblocker.min.js ja bänner-1-optin.css on laaditud, kus kategooriad "Statistika" ja "Turundus" on vaikimisi välja lülitatud. Kuid statistilised ja reklaamikaebused kaovad enne nõusoleku saamist. Google Analytics töötab ka ilma nõusolekurežiimita - lehevaade ja keri GA4 sündmused (G-KTS3XH4LF) lahkuvad olekuga gcs=- (nõusolekurežiim ei ole konfigureeritud), millele lisandub eraldi mõõtmis-/konversioonikõne. Facebook/Meta piksel (ID 1114129963021443) saadab PageView aadressile facebook.com/tr (vastus 200) koos brauseri identifikaatoriga fbp. Mõlemad ülekanded toimuvad siis, kui lehekülg laeb, kui näidatakse nõusoleku bännerit ning selle statistika ja turunduslülitid ei ole lubatud. Brauseri enda kaitse jälgimise eest märkis ja blokeeris juurdepääsu hoidlale, kuid kaebused Google'ile ja Metale toimusid. See tähendab, et Complianzi blokaator ei hoia neid jälgijaid ja nad töötavad olenemata bänneri valikust.

2) Nõusoleku bänneri kuvamine opt-in režiimis tähendab, et asjaomased kaebused ei kao enne kategooriate „Statistika” ja „Turundus” lisamist. Tegelikult ei ole GA4 ja Facebooki piksel selle mehhanismiga ühendatud ja edastavad andmeid iseseisvalt - nende jälgijate kaashäälikuliides on dekoratiivne. Privaatsuspoliitikas nimetatakse Google'it (Analüütik) ja Metat, kuid Cloudflare'i analüüsimajakat ja Complianzi platvormi ennast ei mainita. Lisaks töötab GA4 ilma nõusoleku signaalita (gcs=-), mis ei sobi kokku bänneri hallatud nõusoleku mudeliga.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-airport-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus - direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koostoimes GDPRi artikli 6 lõike 1 punktiga a) - Jälgimine ilma nõusolekuta, hoolimata opt-in bännerist; GDPR artikli 5 lõike 1 punkt a / artikli 13 lõike 1 punkt e – läbipaistvus, nõusolek ja saajad

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]

[Kuupäev]