Сайты группы Amserv — сайт группы и дилер Toyota Amserv Auto, две страницы, 496 запросов. Отказ на первом слое баннера есть, оба отказа записаны, после них ни аналитика, ни реклама не работают. Политика конфиденциальности полная. Но все необязательные категории в баннере Cookiebot включены заранее, и нажатие «Luba valik» без изменений даёт полное согласие.
Хронология обращений
Декларация против факта
Тайминги передачи
logconsent, action=decline, amserv.ee.
GTM-KB975LK5; ни один тег не сработал.
Конфигурация чата с идентификатором посетителя.
logconsent, action=decline, amservauto.ee.
websocket чата Askly.
Зафиксированные трекеры
- Cookiebot (consent.cookiebot.com, consentcdn.cookiebot.com) — платформа согласия; отказ на первом слое есть, необязательные категории включены по умолчанию; отказ записан дважды
- Google Tag Manager (GTM-KB975LK5) — контейнер на amservauto.ee до выбора; ни один тег в замере не сработал
- Askly (chat.askly.me, sessions.chat.askly.me) — чат; до выбора получает идентификатор посетителя, соединение через websocket
- Piwik PRO (mediabrands.containers.piwik.pro) — контейнер не найден, ответ 404
- OpenStreetMap (tile.openstreetmap.org), Google Fonts — карта и шрифты на странице контактов
- Первая сторона: www.amserv.ee, www.amservauto.ee; изображения — платформа Modera (cdn.modera.org, cdn2.modera.org, amserv.modera.dev, amservauto.dealerpackage.eu)
Признаки несоответствия GDPR
- GDPR Art. 4(11) / Art. 7(1) — необязательные категории включены по умолчаниюБаннер Cookiebot на первом слое показывает переключатели «Eelistused», «Statistika» и «Turundus» уже включёнными — до того, как посетитель что-либо выбрал (скриншот 1). Так же они включены во вкладке «Üksikasjad» (скриншот 2). Нажатие «Luba valik» без изменений даёт согласие на все категории, хотя посетитель ни одной из них не включал. Заранее отмеченные поля согласием не являются: согласие должно быть выражено активным действием. Кнопка «Keela» на первом слое есть, и отказ в замере соблюдается.
Контекст
amservauto.ee — сайт Amserv Auto, официального дилера Toyota в Эстонии: продажа автомобилей, сервис, контакты представительств. Замер начат с amserv.ee — сайта группы Amserv. Обработчик — Amserv Grupi AS (рег. код 10095579, Tuleviku tee 14, Peetri) или другая компания группы, к которой обращается клиент. Согласием управляет Cookiebot, сайты построены на платформе Modera.
Замер — одна запись, две загрузки страниц: главная amserv.ee и страница контактов amservauto.ee. Всего 496 запросов, большинство — изображения.
Кому уходят данные напрямую
Cookiebot — как платформа согласия. Askly — чат на amservauto.ee. Google — Tag Manager без сработавших тегов и Fonts. OpenStreetMap — карта. Modera — изображения.
Заявленное против фактического
Первое — галочки поставлены за посетителя. Баннер Cookiebot с первого показа держит включёнными «Eelistused», «Statistika» и «Turundus». Кнопка «Luba valik» при этом означает согласие со всем, что посетитель не выключил сам.
Второе — отказ работает. Кнопка «Keela» есть на первом слое. Отказ записан на обоих доменах, после него ни аналитики, ни рекламы в записи нет. Контейнер Google Tag Manager загружается, но ни один тег не срабатывает.
Третье — чат до выбора. Чат Askly на странице контактов загружается до решения и получает идентификатор посетителя. Как отдельное нарушение это не фиксируется: для чата можно спорить о необходимости.
Четвёртое — политика полная. Оператор, основания по целям, получатели, передача за пределы ЕЭЗ, сроки хранения, все права и право на жалобу в Andmekaitse Inspektsioon — на месте.
Согласие: что доказано и что нет
Доказано: отказ на первом слое есть. Кнопка «Keela» на скриншоте 1.
Доказано: необязательные категории включены заранее. Скриншоты 1 и 2.
Доказано: отказ был и соблюдается. Журнал Cookiebot фиксирует action=decline на +110,8 с и +128,1 с; после этого аналитических и рекламных обращений нет.
Доказано: контейнер GTM пуст. Ни одного обращения от тегов Google.
Не установлено: что включилось бы после согласия. Декларация amserv.ee в категориях статистики и маркетинга пуста, контейнер Piwik PRO отвечает 404; сценарий «Luba kõik» не проверялся.
Границы наблюдения
Замер охватывает главную amserv.ee и страницу контактов amservauto.ee. Каталог автомобилей, запись на сервис и формы не проверялись. Наблюдение фиксирует поведение браузера, а не серверную обработку. Файл опубликован очищенным: удалены заголовки Cookie. Идентификатор посетителя Askly в тексте не приводится.
Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon, который назван в самой политике.
Вывод
Amserv сделал почти всё правильно: отказ есть на первом слое и соблюдается, трекеры после отказа не работают, политика полная. Единственное нарушение — в настройке баннера: все необязательные категории включены заранее, и выбор «Luba valik» без изменений превращается в полное согласие.
Устранение: выключить «Eelistused», «Statistika» и «Turundus» по умолчанию в настройках Cookiebot. Пожелание: загружать чат Askly после решения в баннере или описать его в декларации cookie.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
6c2570d9c167b7d6a2141afa3452a2444d24399d8a7b7bb63292e1e19a3b28c0


Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — amservauto.ee Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта amservauto.ee. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) Баннер Cookiebot на первом слое показывает переключатели «Eelistused», «Statistika» и «Turundus» уже включёнными — до того, как посетитель что-либо выбрал (скриншот 1). Так же они включены во вкладке «Üksikasjad» (скриншот 2). Нажатие «Luba valik» без изменений даёт согласие на все категории, хотя посетитель ни одной из них не включал. Заранее отмеченные поля согласием не являются: согласие должно быть выражено активным действием. Кнопка «Keela» на первом слое есть, и отказ в замере соблюдается. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-amservauto-ee/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — amservauto.ee To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website amservauto.ee. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) On its first layer, the Cookiebot banner shows the 'Eelistused', 'Statistika' and 'Turundus' toggles already switched on — before the visitor has chosen anything (screenshot 1). They are likewise switched on in the 'Üksikasjad' tab (screenshot 2). Pressing 'Luba valik' without changes gives consent to all categories, although the visitor switched none of them on. Pre-ticked fields do not constitute consent: consent must be expressed by an affirmative action. The 'Keela' button is present on the first layer, and the refusal is respected in the capture. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-amservauto-ee/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — amservauto.ee Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond] Kellelt: [Teie nimi], [kontakt-e-post] Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi amservauto.ee kasutamisega. 1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c)) Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad: 1) Cookieboti bänner näitab esimesel kihil lüliteid „Eelistused“, „Statistika“ ja „Turundus“ juba sisselülitatuna – enne, kui külastaja on midagi valinud (kuvatõmmis 1). Samamoodi on need sisse lülitatud vahekaardil „Üksikasjad“ (kuvatõmmis 2). Nupu „Luba valik“ vajutamine muudatusteta annab nõusoleku kõigile kategooriatele, kuigi külastaja ei lülitanud neist ühtegi sisse. Eelnevalt märgitud väljad ei ole nõusolek: nõusolek tuleb väljendada aktiivse tegevusega. Nupp „Keela“ on esimesel kihil olemas ja mõõtmise käigus keeldumist järgitakse. 2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46) Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-amservauto-ee/ 3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h)) Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika. Lugupidamisega, [Teie nimi] [kontakt-e-post] [Riik] [Kuupäev]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee
Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — amservauto.ee 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом amservauto.ee. 2. Обстоятельства Я посетил сайт amservauto.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 08.10.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) Баннер Cookiebot на первом слое показывает переключатели «Eelistused», «Statistika» и «Turundus» уже включёнными — до того, как посетитель что-либо выбрал (скриншот 1). Так же они включены во вкладке «Üksikasjad» (скриншот 2). Нажатие «Luba valik» без изменений даёт согласие на все категории, хотя посетитель ни одной из них не включал. Заранее отмеченные поля согласием не являются: согласие должно быть выражено активным действием. Кнопка «Keela» на первом слое есть, и отказ в замере соблюдается. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-amservauto-ee/ 3. Положения GDPR, соблюдение которых прошу проверить GDPR Art. 4(11) / Art. 7(1) — необязательные категории включены по умолчанию 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — amservauto.ee 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website amservauto.ee. 2. Circumstances I visited the website amservauto.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 8 October 2026 (open methodology, reproducible measurements) documents the following indications: 1) On its first layer, the Cookiebot banner shows the 'Eelistused', 'Statistika' and 'Turundus' toggles already switched on — before the visitor has chosen anything (screenshot 1). They are likewise switched on in the 'Üksikasjad' tab (screenshot 2). Pressing 'Luba valik' without changes gives consent to all categories, although the visitor switched none of them on. Pre-ticked fields do not constitute consent: consent must be expressed by an affirmative action. The 'Keela' button is present on the first layer, and the refusal is respected in the capture. Full technical documentation is published at: https://gdpru.eu/audits/ee-amservauto-ee/ 3. GDPR provisions I ask you to examine GDPR Art. 4(11) / Art. 7(1) — optional categories switched on by default 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]
1. Kaebuse ese Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil amservauto.ee. 2. Asjaolud Külastasin veebisaiti amservauto.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 08.10.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist: 1) Cookieboti bänner näitab esimesel kihil lüliteid „Eelistused“, „Statistika“ ja „Turundus“ juba sisselülitatuna – enne, kui külastaja on midagi valinud (kuvatõmmis 1). Samamoodi on need sisse lülitatud vahekaardil „Üksikasjad“ (kuvatõmmis 2). Nupu „Luba valik“ vajutamine muudatusteta annab nõusoleku kõigile kategooriatele, kuigi külastaja ei lülitanud neist ühtegi sisse. Eelnevalt märgitud väljad ei ole nõusolek: nõusolek tuleb väljendada aktiivse tegevusega. Nupp „Keela“ on esimesel kihil olemas ja mõõtmise käigus keeldumist järgitakse. Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-amservauto-ee/ 3. Sätted, mille järgimist palun kontrollida IKÜM art 4 p 11 / art 7 lg 1 — mittevajalikud kategooriad on vaikimisi sisse lülitatud 4. Nõue Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid. 5. Lisad Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil. Lugupidamisega, [Teie nimi] [kontakt-e-post] [Riik] [Kuupäev]