Технический аудит · 13.09.2026

apotheka.ee

Сайт аптечной сети и интернет-аптеки

Сайт аптечной сети Apotheka и интернет-аптеки — один замер страницы политики cookie, 65 запросов, 11 узлов. Стек скромный: рекламных сетей и Facebook-пикселя в замере нет, а из сторонних маркетинговых компонентов — CRM-платформа Custobar. Баннер cookie даёт отказ на первом экране («Я принимаю необходимые»), но его текст трактует продолжение просмотра как согласие, а сама маркетинговая платформа Custobar грузится и запрашивает кампании до какого-либо выбора. Custobar в доступных документах по имени не назван. Платформы управления согласием (гейтящей теги) в замере нет. Всё это — на сайте аптеки, где обрабатываются личный код для диги-рецептов и данные о покупке лекарств.

Хронология обращений

+371…+378 мс · маркетинговый CRM раньше выбора

script.custobar.com/custobar-*.js (+371 мс) — маркетинговая CRM-платформа Custobar, первый сторонний запрос; rx.apotheka.ee/public-app (рецептурный модуль, +372 мс); www.google.com/recaptcha (+378 мс). Всё до какого-либо выбора в баннере.

+2022 мс · Custobar запрашивает кампании

api.custobar.com/api/js/campaigns с access_token — маркетинговая платформа запрашивает кампании (персонализация/реклама) до выбора пользователя.

Декларация против факта

✓ Контролёр интернет-аптеки — OÜ Mustamäe Apteek (лицензия 285, Vae 16, Laagri); программа лояльности — Allium UPI OÜ — заявлен

✓ Обрабатываются: имя, личный код (для проверки диги-рецептов), контакты, адрес доставки, история покупок (карта клиента) — заявлен

✓ Официальная куки-политика: согласие через продолжение просмотра; без согласия на необходимые cookie сайтом пользоваться нельзя — заявлен

✓ Куки-политика признаёт передачу собранной информации третьим сторонам (аналитические cookie) и использование для направленных предложений — заявлен

✓ Названы технические метки: PHPSESSID, store/mage-translation-storage (Magento), form_key, _ga/_gid/_gat (Google Analytics) — заявлен

✓ Надзорный орган — Andmekaitse Inspektsioon — заявлен

+ Маркетинговая CRM-платформа Custobar (грузится и запрашивает кампании до выбора) в документах по имени не названа — не заявлен

+ Баннер декларирует согласие через продолжение просмотра, а маркетинговая платформа грузится до выбора — не заявлен

+ Платформы управления согласием, гейтящей загрузку тегов, в замере нет — не заявлен

Тайминги передачи

+371 мс script.custobar.com

custobar-*.js, первый сторонний запрос; в документах не назван.

+2022 мс api.custobar.com

api/js/campaigns с access_token — персонализация/реклама.

+378 мс www.google.com

Защита форм.

Зафиксированные трекеры

Custobar (script.custobar.com, api.custobar.com) — маркетинговая CRM-платформа (автоматизация маркетинга для ритейла); скрипт грузится первым сторонним на +371 мс, на +2022 мс запрашивает api/js/campaigns с access_token. До какого-либо выбора в баннере. В доступных документах по имени не назван
Google reCAPTCHA (www.google.com/recaptcha, www.gstatic.com) — защита форм, функциональная
Первая сторона и инфраструктура: www.apotheka.ee (платформа Magento), rx.apotheka.ee (рецептурный поддомен, диги-рецепты), fonts.gstatic.com
Артефакты инструмента съёмки: edge.microsoft.com/translate, translate.googleapis.com, translate-pa.googleapis.com — функция перевода браузера/страницы, не компоненты сайта

Признаки несоответствия GDPR

ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — согласие через продолжение просмотра и маркетинг до выбора
Баннер cookie на сайте есть и даёт отказ на первом экране (три кнопки: «Настройки cookie», «Я принимаю необходимые», «Я принимаю все»). Однако его текст декларирует согласие через продолжение просмотра: «Продолжая использовать наш сайт, вы соглашаетесь с использованием файлов cookie» — модель implied consent, которая по позиции EDPB действительного согласия не образует. При этом маркетинговая CRM-платформа Custobar грузится первым же сторонним запросом на +371 мс и на +2022 мс запрашивает кампании (api.custobar.com/api/js/campaigns с access_token) — до какого-либо выбора пользователя. Баннер заявляет целью «персонализацию контента и рекламы», для чего требуется согласие, но рекламно-маркетинговая платформа отрабатывает раньше выбора. Обращений к платформе управления согласием (Cookiebot/OneTrust/CookieYes и т.п.) в замере нет — баннер реализован собственным скриптом и загрузку тегов не гейтит. На сайте аптеки, обрабатывающем личный код для диги-рецептов и данные о покупке лекарств, это особенно значимо.
GDPR Art. 13(1)(e) — нераскрытый получатель (Custobar)
Доступные документы (выжимка политики и официальная куки-политика apotheka.ee) описывают технические куки (PHPSESSID, form_key, Magento store) и упоминают Google Analytics (_ga/_gid/_gat) как аналитику. Однако маркетинговая CRM-платформа Custobar, которая фактически грузится в замере и запрашивает маркетинговые кампании, в документах по имени не названа. Официальная куки-политика при этом прямо признаёт, что в определённых ситуациях информация, собранная через cookie, передаётся третьим сторонам, и что cookie используются для «направленных именно вам предложений», — но конкретный получатель (Custobar) не раскрыт.

Контекст

apotheka.ee — сайт аптечной сети Apotheka и интернет-аптеки (e-apteek). Юрлицо интернет-аптеки — OÜ Mustamäe Apteek (лицензия 285, Vae 16, Laagri); программой лояльности управляет Allium UPI OÜ. Аптека — особо чувствительная категория, близкая к медицинской: по документам обрабатываются имя, личный код (нужен для проверки диги-рецептов), история покупок лекарств. Обработку описывают выжимка политики (в комплекте) и официальная куки-политика на сайте; сайт на платформе Magento.

Замер — одна запись страницы политики cookie (/privacy-policy-cookie-restriction-mode/): 65 запросов, 11 узлов. Полную политику по прямой ссылке подтвердить удалось: она подтверждает модель согласия через продолжение просмотра.

Кому уходят данные напрямую

Маркетинговая CRM-платформа Custobar (грузится до выбора, запрашивает кампании). Функционально — reCAPTCHA, шрифты, рецептурный модуль rx.apotheka.ee. Обращения к переводчикам (edge.microsoft.com/translate, translate.googleapis.com) — артефакт инструмента съёмки (перевод страницы в браузере), не компоненты сайта. Google Analytics в этом замере не сработал, хотя политика его упоминает.

Заявленное против фактического

Расхождение здесь в двух точках, обе значимы для аптечного контекста.

Согласие декларируется через продолжение просмотра, а маркетинг грузится до выбора. Баннер cookie на сайте есть и, надо отметить, даёт отказ на первом экране — три кнопки: «Настройки cookie», «Я принимаю необходимые», «Я принимаю все». Но его текст прямо трактует пассивность как согласие: «Продолжая использовать наш сайт, вы соглашаетесь с использованием файлов cookie» — модель implied consent, которую EDPB действительным согласием не считает. И, что важнее, маркетинговая CRM-платформа Custobar грузится первым же сторонним запросом на +371 мс, а на +2022 мс запрашивает маркетинговые кампании (api.custobar.com/api/js/campaigns с access_token) — до какого-либо выбора пользователя. Баннер сам заявляет целью «персонализацию контента и рекламы», для которой требуется согласие, — но платформа персонализации отрабатывает раньше, чем пользователь что-либо выбрал. Обращений к платформе управления согласием в замере нет: баннер реализован собственным скриптом и загрузку тегов не удерживает.

И маркетинговый получатель не раскрыт. Доступные документы описывают технические куки (PHPSESSID, form_key, Magento) и упоминают Google Analytics. Но Custobar — финская платформа автоматизации маркетинга, которая фактически грузится и запрашивает кампании, — в документах по имени не названа. Официальная куки-политика при этом прямо признаёт, что собранная через cookie информация в определённых ситуациях передаётся третьим сторонам и используется для «направленных именно вам предложений». То есть факт передачи признан обобщённо, но конкретный получатель (Custobar) не назван — а на аптечном сайте, где посетитель смотрит и покупает лекарства, персонализация маркетинга по этим данным особенно чувствительна.

Согласие: что доказано и что нет

Доказано: Custobar грузится и запрашивает кампании до выбора. custobar-*.js на +371 мс, api/js/campaigns на +2022 мс; платформы управления согласием в замере нет.

Доказано: баннер декларирует согласие через продолжение просмотра. Скриншоты фиксируют текст «Продолжая использовать наш сайт, вы соглашаетесь» при трёх кнопках (отказ на первом экране есть).

Доказано: Custobar не назван в документах. Ни выжимка политики, ни официальная куки-политика имени Custobar не содержат.

Не установлено: решение о согласии. В замере нет фиксации выбора; ключевой факт — что Custobar отработал до выбора.

Не доказано: содержимое обращений Custobar и передача данных о лекарствах. Что именно уходит в Custobar сверх запроса кампаний и access_token, из вычищенного файла не читается; замер сделан на странице политики, не на карточке лекарства или в корзине, поэтому передача конкретных данных о покупке в этом замере не наблюдалась.

Не доказано: работа Google Analytics. В этом замере обращений GA нет, хотя политика упоминает _ga/_gid/_gat; на других страницах поведение может отличаться.

Границы наблюдения

Замер охватывает одну страницу (политики cookie) и фиксирует поведение браузера, не серверную обработку: что Custobar делает с полученными данными и как он связан с программой лояльности (Allium UPI OÜ), браузерным замером не проверяется. Замер сделан на странице политики, а не на карточке лекарства, в рецептурном модуле или корзине, поэтому обработка личного кода и данных о покупке лекарств в этом замере не наблюдалась — она относится к сценариям заказа и браузерным замером на этой странице не проверяется. Обращения к переводчикам браузера (edge.microsoft.com, translate.googleapis.com) отнесены к артефактам инструмента съёмки. Полную куки-политику удалось подтвердить по прямой ссылке через поиск (сайт при прямом заходе не отвечал); модель согласия через продолжение просмотра читается из неё прямо.

Файл опубликован очищенным от личных данных (67 правок, самопроверка чистая); загрузка Custobar до выбора, запрос кампаний и отсутствие обращений к платформе согласия проверяются по опубликованному файлу и скриншотам напрямую. Баннер и его кнопки — со скриншотов (живой UI).

Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon.

Вывод

Аптечный сайт держит баннер cookie, который на первом экране даёт отказ («Я принимаю необходимые») — это лучше уведомительных заглушек. Но текст баннера трактует продолжение просмотра как согласие (implied consent), которое европейский регулятор действительным не признаёт, а маркетинговая CRM-платформа Custobar грузится и запрашивает кампании до какого-либо выбора — при том что баннер сам называет целью персонализацию рекламы. Платформы управления согласием, которая удерживала бы теги до выбора, в замере нет.

Отдельно: Custobar в доступных документах по имени не назван, хотя официальная куки-политика обобщённо признаёт передачу собранной информации третьим сторонам и использование для направленных предложений. На сайте аптеки, где обрабатываются личный код для диги-рецептов и данные о покупке лекарств, точность в том, кто получает данные и когда они уходят, особенно важна.

Устранение: обусловить загрузку маркетинговой платформы Custobar фактическим согласием, чтобы до выбора она не грузилась и не запрашивала кампании; заменить формулировку «продолжая просмотр, вы соглашаетесь» механизмом с активным выбором и гейтингом тегов по решению (ввести платформу управления согласием, удерживающую загрузку); назвать Custobar в куки-политике как получателя с указанием цели; сохранить наличие кнопки отказа на первом экране и распространить принцип «согласие → загрузка» на маркетинговый стек, что особенно важно для аптечного контекста.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: ee/apotheka-ee-2026-09-13.har

SHA-256: 55f3d0b041cedec467d2afb2d034a155335b49730a3dce1a1fb536b107317ad2

Скриншот

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — apotheka.ee

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта apotheka.ee.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Баннер cookie на сайте есть и даёт отказ на первом экране (три кнопки: «Настройки cookie», «Я принимаю необходимые», «Я принимаю все»). Однако его текст декларирует согласие через продолжение просмотра: «Продолжая использовать наш сайт, вы соглашаетесь с использованием файлов cookie» — модель implied consent, которая по позиции EDPB действительного согласия не образует. При этом маркетинговая CRM-платформа Custobar грузится первым же сторонним запросом на +371 мс и на +2022 мс запрашивает кампании (api.custobar.com/api/js/campaigns с access_token) — до какого-либо выбора пользователя. Баннер заявляет целью «персонализацию контента и рекламы», для чего требуется согласие, но рекламно-маркетинговая платформа отрабатывает раньше выбора. Обращений к платформе управления согласием (Cookiebot/OneTrust/CookieYes и т.п.) в замере нет — баннер реализован собственным скриптом и загрузку тегов не гейтит. На сайте аптеки, обрабатывающем личный код для диги-рецептов и данные о покупке лекарств, это особенно значимо.

2) Доступные документы (выжимка политики и официальная куки-политика apotheka.ee) описывают технические куки (PHPSESSID, form_key, Magento store) и упоминают Google Analytics (_ga/_gid/_gat) как аналитику. Однако маркетинговая CRM-платформа Custobar, которая фактически грузится в замере и запрашивает маркетинговые кампании, в документах по имени не названа. Официальная куки-политика при этом прямо признаёт, что в определённых ситуациях информация, собранная через cookie, передаётся третьим сторонам, и что cookie используются для «направленных именно вам предложений», — но конкретный получатель (Custobar) не раскрыт.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-apotheka-ee/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — apotheka.ee

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website apotheka.ee.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) There is a cookie banner on the site and it offers refusal on the first screen (three buttons: «Cookie settings», «I accept necessary», «I accept all»). However, its text declares consent by continued browsing: «By continuing to use our site, you agree to the use of cookies» — the implied-consent model, which by the EDPB's position does not constitute valid consent. Meanwhile the marketing CRM platform Custobar loads as the very first third-party request at +371 ms and at +2022 ms requests campaigns (api.custobar.com/api/js/campaigns with an access_token) — before any choice by the user. The banner states its purpose as «personalising content and advertising», for which consent is required, but the marketing platform runs before the choice. There are no requests to a consent-management platform (Cookiebot/OneTrust/CookieYes etc.) in the capture — the banner is implemented by an in-house script and does not gate tag loading. On a pharmacy site, which processes the personal ID code for digi-prescriptions and data on medicine purchases, this matters especially.

2) The available documents (a policy summary and the official apotheka.ee cookie policy) describe technical cookies (PHPSESSID, form_key, Magento store) and mention Google Analytics (_ga/_gid/_gat) as analytics. However, the marketing CRM platform Custobar, which actually loads in the capture and requests marketing campaigns, is not named in the documents. The official cookie policy meanwhile directly acknowledges that in certain situations information collected via cookies is passed to third parties, and that cookies are used for «offers directed specifically at you» — but the specific recipient (Custobar) is not disclosed.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-apotheka-ee/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — apotheka.ee

Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond]
Kellelt: [Teie nimi], [kontakt-e-post]

Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi apotheka.ee kasutamisega.

1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c))
Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad:

1) Saidil on küpsisebänner ja esimesel ekraanil keeldutakse (kolm nuppu: „Küpsiste sätted, „Ma nõustun vajalikega, „Ma nõustun kõigiga). Kuid selle tekst kinnitab nõusolekut jätkuva sirvimise kaudu: „Jätkates meie saidi kasutamist, nõustute küpsiste kasutamisega – kaudne nõusoleku mudel, mis ei moodusta kehtivat nõusolekut EDPB positsiooni alusel. Samal ajal laaditakse turundus CRM-platvorm Custobar esimese kolmanda osapoole taotlusega +371 ms ja +2022 ms päringute kampaaniatele (api.custobar.com/api/js/campaigns koos juurdepääsuloaga) - kuni kasutaja valikuni. Bänneris on kirjas eesmärk „sisu ja reklaami isikupärastamine, mis nõuab nõusolekut, kuid reklaami- ja turundusplatvorm töötab enne valikut. Mõõtmisel nõusoleku haldamise platvormile (Cookiebot/OneTrust/CookieYes jne) kaebusi ei esitata - bännerit rakendatakse oma skriptiga ja siltide allalaadimine ei õnnestu. Eriti oluline on see apteegi veebilehel, kus töödeldakse digiretseptide isikukoodi ja ravimite ostmise andmeid.

2) Olemasolevad dokumendid (policy squeeze ja ametlik küpsisepoliitika apotheka.ee) kirjeldavad tehnilisi küpsiseid (PHPSESSID, vormivõti, Magento kauplus) ja viitavad Google Analyticsile (ga/ gid/ gat) kui analüüsile. Kuid Custobar turundus CRM-platvormi, mis on tegelikult laaditud arvestisse ja taotleb turunduskampaaniaid, dokumentides ei nimetata. Ametlik küpsisepoliitika tunnistab selgesõnaliselt, et teatud olukordades jagatakse küpsiste kaudu kogutud teavet kolmandate osapooltega ja et küpsiseid kasutatakse „konkreetselt teile suunatud pakkumiste jaoks, kuid konkreetset saajat (Custobar) ei avaldata.


2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46)
Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-apotheka-ee/

3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h))
Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee

Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — apotheka.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом apotheka.ee.

2. Обстоятельства
Я посетил сайт apotheka.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 13.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Баннер cookie на сайте есть и даёт отказ на первом экране (три кнопки: «Настройки cookie», «Я принимаю необходимые», «Я принимаю все»). Однако его текст декларирует согласие через продолжение просмотра: «Продолжая использовать наш сайт, вы соглашаетесь с использованием файлов cookie» — модель implied consent, которая по позиции EDPB действительного согласия не образует. При этом маркетинговая CRM-платформа Custobar грузится первым же сторонним запросом на +371 мс и на +2022 мс запрашивает кампании (api.custobar.com/api/js/campaigns с access_token) — до какого-либо выбора пользователя. Баннер заявляет целью «персонализацию контента и рекламы», для чего требуется согласие, но рекламно-маркетинговая платформа отрабатывает раньше выбора. Обращений к платформе управления согласием (Cookiebot/OneTrust/CookieYes и т.п.) в замере нет — баннер реализован собственным скриптом и загрузку тегов не гейтит. На сайте аптеки, обрабатывающем личный код для диги-рецептов и данные о покупке лекарств, это особенно значимо.

2) Доступные документы (выжимка политики и официальная куки-политика apotheka.ee) описывают технические куки (PHPSESSID, form_key, Magento store) и упоминают Google Analytics (_ga/_gid/_gat) как аналитику. Однако маркетинговая CRM-платформа Custobar, которая фактически грузится в замере и запрашивает маркетинговые кампании, в документах по имени не названа. Официальная куки-политика при этом прямо признаёт, что в определённых ситуациях информация, собранная через cookie, передаётся третьим сторонам, и что cookie используются для «направленных именно вам предложений», — но конкретный получатель (Custobar) не раскрыт.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-apotheka-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — согласие через продолжение просмотра и маркетинг до выбора; GDPR Art. 13(1)(e) — нераскрытый получатель (Custobar)

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — apotheka.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website apotheka.ee.

2. Circumstances
I visited the website apotheka.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 13 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) There is a cookie banner on the site and it offers refusal on the first screen (three buttons: «Cookie settings», «I accept necessary», «I accept all»). However, its text declares consent by continued browsing: «By continuing to use our site, you agree to the use of cookies» — the implied-consent model, which by the EDPB's position does not constitute valid consent. Meanwhile the marketing CRM platform Custobar loads as the very first third-party request at +371 ms and at +2022 ms requests campaigns (api.custobar.com/api/js/campaigns with an access_token) — before any choice by the user. The banner states its purpose as «personalising content and advertising», for which consent is required, but the marketing platform runs before the choice. There are no requests to a consent-management platform (Cookiebot/OneTrust/CookieYes etc.) in the capture — the banner is implemented by an in-house script and does not gate tag loading. On a pharmacy site, which processes the personal ID code for digi-prescriptions and data on medicine purchases, this matters especially.

2) The available documents (a policy summary and the official apotheka.ee cookie policy) describe technical cookies (PHPSESSID, form_key, Magento store) and mention Google Analytics (_ga/_gid/_gat) as analytics. However, the marketing CRM platform Custobar, which actually loads in the capture and requests marketing campaigns, is not named in the documents. The official cookie policy meanwhile directly acknowledges that in certain situations information collected via cookies is passed to third parties, and that cookies are used for «offers directed specifically at you» — but the specific recipient (Custobar) is not disclosed.

Full technical documentation is published at: https://gdpru.eu/audits/ee-apotheka-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — consent by continued browsing and marketing before the choice; GDPR Art. 13(1)(e) — undisclosed recipient (Custobar)

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil apotheka.ee.

2. Asjaolud
Külastasin veebisaiti apotheka.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 13.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Saidil on küpsisebänner ja esimesel ekraanil keeldutakse (kolm nuppu: „Küpsiste sätted, „Ma nõustun vajalikega, „Ma nõustun kõigiga). Kuid selle tekst kinnitab nõusolekut jätkuva sirvimise kaudu: „Jätkates meie saidi kasutamist, nõustute küpsiste kasutamisega – kaudne nõusoleku mudel, mis ei moodusta kehtivat nõusolekut EDPB positsiooni alusel. Samal ajal laaditakse turundus CRM-platvorm Custobar esimese kolmanda osapoole taotlusega +371 ms ja +2022 ms päringute kampaaniatele (api.custobar.com/api/js/campaigns koos juurdepääsuloaga) - kuni kasutaja valikuni. Bänneris on kirjas eesmärk „sisu ja reklaami isikupärastamine, mis nõuab nõusolekut, kuid reklaami- ja turundusplatvorm töötab enne valikut. Mõõtmisel nõusoleku haldamise platvormile (Cookiebot/OneTrust/CookieYes jne) kaebusi ei esitata - bännerit rakendatakse oma skriptiga ja siltide allalaadimine ei õnnestu. Eriti oluline on see apteegi veebilehel, kus töödeldakse digiretseptide isikukoodi ja ravimite ostmise andmeid.

2) Olemasolevad dokumendid (policy squeeze ja ametlik küpsisepoliitika apotheka.ee) kirjeldavad tehnilisi küpsiseid (PHPSESSID, vormivõti, Magento kauplus) ja viitavad Google Analyticsile (ga/ gid/ gat) kui analüüsile. Kuid Custobar turundus CRM-platvormi, mis on tegelikult laaditud arvestisse ja taotleb turunduskampaaniaid, dokumentides ei nimetata. Ametlik küpsisepoliitika tunnistab selgesõnaliselt, et teatud olukordades jagatakse küpsiste kaudu kogutud teavet kolmandate osapooltega ja et küpsiseid kasutatakse „konkreetselt teile suunatud pakkumiste jaoks, kuid konkreetset saajat (Custobar) ei avaldata.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-apotheka-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus - direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a) - nõusolek jätkuva sirvimise ja turustamise kaudu enne valikut; GDPR artikkel 13(1)(e) Avaldamata saaja (Custobar)

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]

[Kuupäev]