auto24.ee

Тема: Жалоба на обработку персональных данных — auto24.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом auto24.ee.

2. Обстоятельства
Я посетил сайт auto24.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 06.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На портале установлена платформа согласия OneTrust, которая загружается первой почти на каждой странице. Сохранённая строка согласия TCF v2 (CMP ID 28, создана 2026-09-05, за день до съёмки) кодирует ноль согласий: все 24 цели обработки — 0, все основания правомерного интереса — 0. Браузер вдобавок отправлял заголовок DNT: 1 (в 1013 запросах). Несмотря на это, сторонние трекеры срабатывают и передают данные. Facebook / Meta Pixel (ID 323626075634293) на страницах /ostuabi/ отправляет событие PageView с идентификатором браузера fbp, адресом и реферером страницы, часовым поясом и параметрами экрана — пиксель не завязан на согласие вовсе и срабатывает безусловно. Adform на +1032 мс передаёт язык, разрешение экрана 1920x1080, тип устройства и размеры рекламных мест; при этом он несёт строку согласия cmpgdprconsent с нулевым содержанием — то есть сам сигнал «согласия нет» передаётся, но обращение с данными об устройстве всё равно уходит. Google DoubleClick отправляет трекер показов /ddm/trackimp. Все обращения доставлены (FB /tr → 200, DoubleClick → 302→gif, Adform → 302→gif).

2) Обязывающие условия защиты данных AllePal (редакция от 10.02.2026) в пункте 4.1 прямо заявляют: «Me ei edasta Isikuandmeid kolmandatele isikutele» (данные третьим лицам не передаём, кроме законного основания) и «Samuti me ei edasta Isikuandmeid Euroopa Liidust väljapoole» (за пределы ЕС не передаём). Формулировка подтверждена на живом сайте. Фактически данные уходят в Meta (США) через Facebook Pixel, в Google (США) через DoubleClick и в Adform. Перечень обработчиков в пункте 4.2 сведён к категориям («бухгалтерия и прочие»); поимённо не назван ни один веб-получатель. Условия использования cookie (пункт 1.4) признают, что данные о поведении «могут передаваться рекламным сетям и поставщикам рекламных услуг», а список партнёров по адресу auto24.ee/cookies называет Google и Adform. Но Facebook / Meta не назван нигде — ни в обязывающих условиях, ни в вендорском списке TCF (Meta в нём отсутствует). То есть передача в Meta не раскрыта ни на одном уровне, а пункт 4.1 отрицает и её, и передачу в Google.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-auto24-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — трекинг при зафиксированном отказе от согласия; GDPR Art. 5(1)(a) / Art. 13(1)(e) — прозрачность и получатели, противоречие внутри документов оператора

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — auto24.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website auto24.ee.

2. Circumstances
I visited the website auto24.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 6 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The portal has the OneTrust consent platform installed, and it loads first on almost every page. The stored TCF v2 consent string (CMP ID 28, created 2026-09-05, the day before the capture) encodes zero consent: all 24 processing purposes are 0, all legitimate-interest bases are 0. The browser additionally sent the DNT: 1 header (in 1013 requests). Despite this, third-party trackers fire and transmit data. On /ostuabi/ pages the Facebook / Meta Pixel (ID 323626075634293) sends a PageView event with the fbp browser identifier, the page URL and referrer, timezone and screen parameters — the pixel is not conditioned on consent at all and fires unconditionally. At +1032 ms Adform transmits language, screen resolution 1920x1080, device type and ad-slot dimensions; it carries a cmpgdprconsent string with zero content — that is, the 'no consent' signal itself is passed, yet the request with device data goes out anyway. Google DoubleClick sends the /ddm/trackimp impression tracker. All requests are delivered (FB /tr → 200, DoubleClick → 302→gif, Adform → 302→gif).

2) AllePal's binding data-protection terms (revision of 10.02.2026), in clause 4.1, state plainly: 'Me ei edasta Isikuandmeid kolmandatele isikutele' (we do not transfer personal data to third parties, except on a legal basis) and 'Samuti me ei edasta Isikuandmeid Euroopa Liidust väljapoole' (we also do not transfer personal data outside the EU). The wording is confirmed on the live site. In fact data goes to Meta (US) via the Facebook Pixel, to Google (US) via DoubleClick, and to Adform. The list of processors in clause 4.2 is reduced to categories ('accounting and others'); no web recipient is named. The cookie-use terms (clause 1.4) admit that behavioural data 'may be shared with advertising networks and ad service providers', and the partner list at auto24.ee/cookies names Google and Adform. But Facebook / Meta is named nowhere — neither in the binding terms nor in the TCF vendor list (Meta is absent from it). So the transfer to Meta is undisclosed at every level, while clause 4.1 denies both it and the transfer to Google.

Full technical documentation is published at: https://gdpru.eu/audits/ee-auto24-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — tracking despite a recorded refusal of consent; GDPR Art. 5(1)(a) / Art. 13(1)(e) — transparency and recipients, a contradiction within the operator's own documents

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil auto24.ee.

2. Asjaolud
Külastasin veebisaiti auto24.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 06.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Portaalil on OneTrusti nõusoleku platvorm, mis laadib peaaegu igal lehel esimesena. Salvestatud TCF v2 nõusoleku string (CMP ID 28, loodud 2026-09-05, päev enne pildistamist) kodeerib nulli nõusolekud: kõik 24 töötlemise eesmärki on 0, kõik õigustatud huvi alused on 0. Brauser saatis ka DNT päise: 1 (1013 taotluses). Sellest hoolimata käivitavad ja edastavad kolmanda osapoole jälgijad andmeid. Facebook / Meta Pixel (ID 323626075634293) lehekülgedel /ostuabi/ saadab PageView sündmuse koos fbp brauseri ID, aadressi ja lehe suunaja, ajavööndi ja ekraani parameetritega - piksel ei ole üldse seotud nõusolekuga ja töötab tingimusteta. +1032 ms Adform edastab keele, ekraani eraldusvõime 1920x1080, seadme tüübi ja reklaamipindade suuruse; samal ajal kui see kannab nõusoleku stringi cmpgdprconsent null-sisuga - see tähendab, et edastatakse signaal "nõusolekuta", kuid seadme andmete käitlemine siiski lahkub. Google DoubleClick saadab kuvamise jälgija / ddm/trackimp. Kõik päringud toimetatakse kohale (FB /tr → 200, DoubleClick → 302→gif, Adform → 302→gif).

2) AllePal’i siduvad andmekaitsetingimused (muudetud 10.02.2026) punktis 4.1 on otseselt sätestatud: «Me ei edasta Isikuandmeid kolmandatele isikutele» (andmeid ei edastata kolmandatele isikutele, välja arvatud õiguslikul alusel) ja «Samuti me ei edasta Isikuandmeid Euroopa Liidust väljapoole» (me ei edastata väljapoole ELi). Sõnastus on kinnitatud otse veebilehel. Tegelikult lähevad andmed Metasse (USA) Facebooki Pixeli kaudu, Google'isse (USA) DoubleClicki ja Adformi kaudu. Punktis 4.2 esitatud volitatud töötlejate nimekiri on piiratud kategooriatega („raamatupidamine ja muu); veebisaajat ei nimetata. Küpsiste kasutustingimused (punkt 1.4) tunnistavad, et käitumuslikke andmeid „võib jagada reklaamivõrgustike ja reklaamiteenuste pakkujatega ning auto24.ee/cookies partnerite nimekiri viitab Google'ile ja Adformile. Kuid Facebook / Meta ei ole kuskil nimetatud, kas kohustuslikes terminites või TCF müüjate loendis (Meta puudub). See tähendab, et ülekannet Metale ei avalikustata ühelgi tasandil ja punkt 4.1 eitab nii seda kui ka edastamist Google'ile.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-auto24-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus - direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a) - jälgimine registreeritud nõusoleku andmisest keeldumise korral; GDPR artikli 5 lõike 1 punkt a/artikli 13 lõike 1 punkt e – läbipaistvus ja saajad, vastuolud operaatori dokumentides

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]