Технический аудит · 08.10.2026

bigbank.ee

Сайт банка Bigbank

Сайт банка Bigbank — четыре загрузки страниц, 1132 запроса. На первом слое баннера есть равнозначная кнопка «Nõustu vajalike küpsistega», необязательные категории выключены по умолчанию. Google Analytics и Google Ads с первой секунды работают только в режиме запрета, на каждой странице с новым идентификатором, и банк сам описывает эти обезличенные сигналы в правилах использования cookie. Политика обработки данных полная. Нарушений не зафиксировано.

Хронология обращений

+0…+1,2 с · вход
Переадресация http → https → www.bigbank.ee. Серверный контейнер sgtm.bigbank.ee (+0,7 с), GTM-KZGVK5K (+1,2 с).
+2,9…+4,0 с · Google в режиме запрета
page_view в Google Ads и GA4 через sgtm.bigbank.ee — все с gcs=G100.
+24…+111 с · ещё три загрузки
Русская, эстонская и снова русская главная: на каждой Google с gcs=G100 и новым идентификатором.

Декларация против факта

✓ Обработчик — Bigbank AS, Narva mnt 11, Таллинн; специалист по защите данных — data.protection@bigbank.eu — заявлен
✓ Баннер: «Nõustu kõigiga», «Nõustu vajalike küpsistega», «Kohanda seadeid»; при отказе — только обезличенная статистика — заявлен
✓ Правила cookie (с 29.01.2026): Google Analytics, Google Ads; обезличенные сигналы режима согласия Google при отказе — заявлен
✓ Принципы обработки данных: цели и основания, получатели по категориям, передача за пределы ЕЭЗ только с гарантиями, профилирование и автоматизированные решения, полный перечень прав — заявлен
✓ Надзорный орган — Andmekaitse Inspektsioon (www.aki.ee) — заявлен

Тайминги передачи

+0,7 с sgtm.bigbank.ee

Серверный контейнер Google Tag Manager на поддомене банка.

+2,9 с pagead2.googlesyndication.com

Google Ads, gcs=G100.

+3,4 с sgtm.bigbank.ee

GA4 page_view, gcs=G100, новый идентификатор.

+119,1 с sgtm.bigbank.ee

cookie_consent_completed, gcs=G100.

Зафиксированные трекеры

Контекст

bigbank.ee — сайт банка Bigbank: счета, кредиты, вклады, раздел для инвесторов. Обработчик — Bigbank AS (Narva mnt 11, Таллинн), у группы есть специалист по защите данных. Баннер cookie собственный, теги Google работают через серверный контейнер на поддомене sgtm.bigbank.ee.

Замер — одна запись, четыре загрузки страниц: эстонская и русская главная, затем ещё раз обе. Всего 1132 запроса, большинство — статика банка.

Обработку описывают правила использования cookie (в силе с 29.01.2026) и принципы обработки данных клиентов.

Кому уходят данные напрямую

Google — Analytics через серверный контейнер банка и Ads, в режиме запрета. Других сторонних получателей в записи нет.

Заявленное против фактического

Первое — выбор честный. На первом слое три равнозначные кнопки, отказ — «Nõustu vajalike küpsistega» — нажимается в один клик. В настройках все необязательные категории выключены.

Второе — Google работает в режиме запрета. До решения и после него все обращения к Google Analytics и Google Ads идут с gcs=G100, идентификатор на каждой странице новый. Банк сам пишет в правилах cookie, что при отказе Google получает обезличенные сигналы режима согласия, — трафик это подтверждает.

Третье — документы полные. Оператор, специалист по защите данных, цели и основания, получатели, передача за пределы ЕЭЗ с гарантиями, сроки хранения, профилирование и автоматизированные решения, все права и право на жалобу в Andmekaitse Inspektsioon.

Согласие: что доказано и что нет

Доказано: отказ на первом слое есть. Кнопка «Nõustu vajalike küpsistega» на скриншоте 1.

Доказано: необязательные категории выключены по умолчанию. Скриншот 3.

Доказано: Google соблюдает запрет. Все обращения с gcs=G100, идентификаторы на разных страницах разные.

Доказано: решение записано. Событие cookie_consent_completed на +119,1 с, режим согласия после него остаётся в запрете.

Не установлено: что происходит после согласия. Сценарий «Nõustu kõigiga» не проверялся.

Границы наблюдения

Замер охватывает главную страницу на эстонском и русском. Интернет-банк, заявки и калькуляторы не проверялись. Наблюдение фиксирует поведение браузера, а не серверную обработку; что серверный контейнер передаёт дальше в Google, из браузера не видно. Файл опубликован очищенным: удалены заголовки Cookie. Идентификаторы Google в тексте полностью не приводятся.

Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon, который назван в самих принципах обработки данных.

Вывод

Bigbank настроил согласие аккуратно: равнозначный отказ на первом слое, выключенные по умолчанию категории, Google только в режиме запрета, а обезличенные сигналы, которые Google получает при отказе, честно описаны в правилах cookie. Нарушений не зафиксировано.

Пожелание: не называть статистические cookie Google Analytics «анонимными» — после согласия они работают с идентификатором; убрать из таблицы необходимых cookie lang от LinkedIn, если LinkedIn на сайте не используется; в русском тексте баннера указать, что отказаться можно кнопкой «Принять обязательные файлы cookie», а не только через «Настроить».

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: ee/bigbank-ee-2026-10-08.har
SHA-256: d7815d8ad92e293a20ab8c62110a04551541a6a995157a295be7e4b6589c4fe2
Скриншот
Скриншот интерфейса
Баннер «See veebileht kasutab küpsiseid»: «Nõustu kõigiga», «Nõustu vajalike küpsistega», «Kohanda seadeid» · 08.10.2026
Скриншот интерфейса
Русская версия баннера: «Согласен», «Принять обязательные файлы cookie», «Настроить» · 08.10.2026
Скриншот интерфейса
Настройки: статистика, маркетинг и предпочтения выключены по умолчанию, кнопка «Salvesta seaded» · 08.10.2026
Скриншот интерфейса
Таблица cookie на сайте: необходимые cookie, включая хранение решения посетителя (_ck_*) · 08.10.2026
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.