aki.ee

Тема: Жалоба на обработку персональных данных — aki.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом aki.ee.

2. Обстоятельства
Я посетил сайт aki.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 16.08.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Условия защиты данных перечисляют авторизованных обработчиков — все эстонские госструктуры (RIK, RTK, RIT, RIA, Конкуренции), — но ни одного стороннего веб-получателя не называют. browser-update.org, Matomo на statistika.rik.ee, Cloudflare Insights и cdnjs в документе отсутствуют. Оговорка в разделе об общих принципах о том, что разъяснения не охватывают обработку на упомянутых внешних сайтах, относится к внешним ссылкам, а не к стороннему коду, активно загружаемому самой страницей.

2) Раздел о cookie заявляет, что на сайте используются только два cookie CloudFlare (_cf_bm и _cfuvid) в целях информационной безопасности, что они никак не идентифицируют посетителя и не отслеживают его действия в сети. Раздел о собираемых данных добавляет, что адрес IP не связывается с идентифицирующей информацией и используется только для статистики посещаемости. Фактически страница загружает сторонний скрипт browser-update.org, которому уходят адрес IP и реферер посетителя, а также счётчик Matomo. Заявление об отсутствии отслеживания и о двух технических cookie расходится с фактическим составом сторонних обращений.

3) Механизма согласия на сайте нет: за 448 обращений не встречается ни одного обращения к платформе управления согласием, ни одного сценария с признаками баннера, ни одного заголовка Set-Cookie. Счётчик Matomo и сторонний скрипт browser-update.org стартуют из разметки страницы на +256 и +1439 мс, до какого-либо выбора пользователя. Те же скрипты работают и на самой странице о cookie (/kupsised), которую посещали в ходе записи.

4) Сайт надзорного органа загружает сторонний скрипт с домена browser-update.org и включает этот домен в собственную политику безопасности содержимого (script-src). Как показывает отдельный разбор этого домена, на страницах с рекламным слотом browser-update.org разворачивает рекламный стек и обращается к десяткам RTB-получателей. В данной записи виджет отдал только update.min.js, однако сам факт включения внешнего изменяемого источника в доверенный список означает, что состав загружаемого кода определяется третьей стороной, а не оператором. Адрес IP и реферер посетителя при этом уходят на внешний домен при каждой загрузке.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-aki-ee/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 5(1)(a) — прозрачность; ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 5(1)(c) — минимизация и контроль над цепочкой поставки

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — aki.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website aki.ee.

2. Circumstances
I visited the website aki.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 16 August 2026 (open methodology, reproducible measurements) documents the following indications:

1) The data-protection terms list authorised processors — all Estonian state bodies (RIK, RTK, RIT, RIA, the Competition Authority) — but name not a single third-party web recipient. browser-update.org, Matomo on statistika.rik.ee, Cloudflare Insights and cdnjs are absent from the document. The caveat in the general-principles section that the explanations do not cover processing on the external sites mentioned relates to external links, not to third-party code actively loaded by the page itself.

2) The cookie section states that the site uses only two CloudFlare cookies (_cf_bm and _cfuvid) for information-security purposes, that they do not identify the visitor in any way and do not track their activity online. The section on collected data adds that the IP address is not linked to identifying information and is used only for visit statistics. In fact the page loads the third-party browser-update.org script, to which the visitor's IP address and referrer are sent, as well as the Matomo counter. The statement about the absence of tracking and about two technical cookies diverges from the actual composition of third-party requests.

3) There is no consent mechanism on the site: across 448 requests there is not a single request to a consent-management platform, not a single script bearing the marks of a banner, not a single Set-Cookie header. The Matomo counter and the third-party browser-update.org script start from the page markup at +256 and +1439 ms, before any user choice. The same scripts run on the cookie page itself (/kupsised), which was visited during the recording.

4) The supervisory authority's site loads a third-party script from the browser-update.org domain and includes that domain in its own content-security-policy (script-src). As a separate analysis of that domain shows, on pages with an ad slot browser-update.org deploys an advertising stack and addresses dozens of RTB recipients. In this recording the widget delivered only update.min.js, but the very fact of including an external mutable source in the trusted list means that the composition of the loaded code is determined by a third party, not by the operator. The visitor's IP address and referrer, moreover, go to the external domain on every load.

Full technical documentation is published at: https://gdpru.eu/audits/ee-aki-ee/

3. GDPR provisions I ask you to examine
GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Art. 5(1)(a) — transparency; ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 5(1)(c) — minimisation and control over the supply chain

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil aki.ee.

2. Asjaolud
Külastasin veebisaiti aki.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 16.08.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Andmekaitse mõisted loetlevad volitatud töötlejad – kõik Eesti valitsusasutused (RIK, RTK, RIT, RIA, Competition), kuid kolmandatest isikutest veebisaajaid ei nimetata. browser-update.org, Matomo statistikast. rik.ee, Cloudflare Insights ja cdnjs on puudu. Punktis „Üldpõhimõtted sisalduv punkt, mille kohaselt selgitused ei hõlma töötlemist nimetatud välistel saitidel, viitab välistele linkidele ja mitte lehekülje enda poolt aktiivselt laaditud kolmanda osapoole koodile.

2) Küpsise jaotises on kirjas, et saidil kasutatakse infoturbe eesmärgil ainult kahte CloudFlare'i küpsist (cf bm ja cfuvid), mis ei tuvasta külastajat ega jälgi tema veebitegevust. Kogutud andmete osas lisatakse, et IP-aadress ei ole seotud teabe identifitseerimisega ja seda kasutatakse ainult kohalolijate statistika jaoks. Tegelikult laadib leht kolmanda osapoole skripti browser-update.org, mis jätab IP-aadressi ja külastaja suunaja, samuti Matomo loenduri. Märge jälgimise puudumise kohta ja kaks tehnilist küpsist erinevad kolmandate osapoolte taotluste tegelikust koosseisust.

3) Saidil puudub nõusoleku mehhanism: 448 rakenduse puhul puudub juurdepääs nõusoleku haldamise platvormile, bännerimärkidega skriptile, Set-Cookie päisele. Matomo loendur ja kolmanda osapoole skript browser-update.org algavad lehelt märgistust +256 ja +1439 ms enne kasutaja valikut. Samad skriptid töötavad lehel, mis käsitleb salvestamise ajal külastatud küpsiseid (/kupseeritud).

4) Järelevalveasutuse veebisait laadib domeenist browser-update.org alla kolmanda osapoole skripti ja lisab selle domeeni oma sisuturbepoliitikasse (script-src). Nagu selle domeeni eraldi analüüs näitab, kasutab browser-update.org reklaamipesaga lehekülgedel reklaamikomplekti ja käsitleb kümneid RTB saajaid. Selles kirjes andis vidina ainult update.min.js, kuid ainuüksi asjaolu, et väline muutujaallikas on usaldusnimekirjas, tähendab, et allalaaditud koodi koosseisu määrab kolmas isik, mitte operaator. Külastaja IP-aadress ja viitaja lähevad igal allalaadimisel välisele domeenile.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-aki-ee/

3. Sätted, mille järgimist palun kontrollida
GDPR – artikli 13 lõike 1 punkt e – vastuvõtjate avalikustamine; GDPR artikli 5 lõike 1 punkt a Läbipaistvus; e-privaatsus – direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a); GDPR artikli 5 lõike 1 punkt c – tarneahela minimeerimine ja kontroll

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]