Технический аудит · 09.09.2026

blrt.ee

Крупнейший промышленный холдинг Балтии

Крупнейший промышленный холдинг Балтии — один замер русской версии главной страницы, 102 запроса, 12 узлов, около шести секунд. Сайт на WordPress с баннером cookie — но баннер уведомительный: одна кнопка «OK», кнопки отклонить нет, а текст гласит «продолжая пользоваться сайтом, вы соглашаетесь». Это согласие «через продолжение просмотра», которое EDPB действительным не признаёт. При этом весь Google-стек — контейнер GTM, аналитика GA4, устаревший Universal Analytics и рекламная идентификация DoubleClick — грузится в первые сотни миллисекунд, ещё до любого «OK». Приложенные документы группы описывают обработку данных сотрудников, а не посетителей сайта, — веб-трекинг в них не упомянут.

Хронология обращений

+133…+435 мс · аналитика раньше баннера

www.googletagmanager.com/gtm.js (GTM-TTCRFCM) на +133 мс — первый же сторонний запрос; следом gtag с двумя счётчиками — устаревший UA-167436931-1 (+361 мс) и GA4 G-5DD0C4277N (+426 мс), затем Universal analytics.js (+435 мс). Всё раньше любого взаимодействия с баннером cookie.

+705…+974 мс · рекламная идентификация

static.doubleclick.net/instream/ad_status.js (+705 мс) и googleads.g.doubleclick.net/pagead/id (+974 мс) — рекламная идентификация Google, до выбора в баннере. Параллельно YouTube-эмбед (+152 мс, обычный youtube.com, не -nocookie) и reCAPTCHA формы (+234 мс).

+5577 мс · событие GA4

region1.google-analytics.com/g/collect — page_view (G-5DD0C4277N) с client id 1040400886.… (cid уже установлен ранее в этой сессии), заголовком страницы dt и реферером dr=blrt.ee/et/. Consent-сигнал gcd присутствует; значения указывают на granted для хранилищ.

Декларация против факта

✓ Контролёры (со-контролёры) — BLRT Grupp AS (рег. 10068499, Kopli 103, Таллинн) и предприятия группы, по документу privacy notice — заявлен

✓ Privacy notice регулирует обработку данных СОТРУДНИКОВ группы в Эстонии (не посетителей сайта) — заявлен

✓ Code of conduct — этический кодекс группы (обработку веб-данных не описывает) — заявлен

✓ На сайте — баннер WP cookie-notice: «продолжая просмотр, вы соглашаетесь с cookie», кнопка «OK» — заявлен

✓ Надзорный орган — Andmekaitse Inspektsioon — заявлен

+ Веб-трекинг посетителей (GA4 G-5DD0C4277N, Universal UA-167436931-1, DoubleClick, GTM, YouTube-эмбед) — в приложенных документах не описан — не заявлен

+ Баннер не даёт возможности отклонить cookie (только «OK») — не заявлен

+ Аналитика и рекламная идентификация грузятся до любого выбора в баннере — не заявлен

+ На сайте остался устаревший счётчик Universal Analytics — не заявлен

Тайминги передачи

+133 мс www.googletagmanager.com

Контейнер GTM-TTCRFCM, первый сторонний запрос, раньше баннера.

+435 мс www.google-analytics.com

Устаревший Universal Analytics (UA-167436931-1), плюс GA4 через gtag.

+974 мс googleads.g.doubleclick.net

/pagead/id — рекламная идентификация Google.

+5577 мс region1.google-analytics.com

GA4 page_view, G-5DD0C4277N, cid установлен, gcd-сигнал присутствует.

Зафиксированные трекеры

Google Tag Manager (www.googletagmanager.com, GTM-TTCRFCM) — контейнер тегов; грузится первым сторонним запросом на +133 мс, раньше любого выбора в баннере
Google Analytics 4 (region1.google-analytics.com, G-5DD0C4277N) — аналитика; событие page_view с client id 1040400886.… (cid уже установлен), заголовком страницы (dt) и реферером (dr=blrt.ee/et/). Consent-сигнал gcd присутствует, значения указывают на granted для хранилищ (точная попольная раскладка не декодирована однозначно)
Universal Analytics (www.google-analytics.com/analytics.js, UA-167436931-1) — устаревший счётчик Google (отключён Google в 2023), код по-прежнему грузится на +435 мс через gtag
Google DoubleClick (googleads.g.doubleclick.net/pagead/id, static.doubleclick.net/instream/ad_status.js) — рекламная идентификация; грузится на +705…+974 мс, до выбора в баннере
YouTube (www.youtube.com/embed, i.ytimg.com, jnn-pa.googleapis.com) — встроенный видеоплеер; грузится на +152 мс (не youtube-nocookie), тянет плеер и телеметрию /youtubei/v1/log_event
Google reCAPTCHA (www.google.com/recaptcha, www.gstatic.com/recaptcha) — защита формы Contact Form 7; функциональна, но грузится на всех страницах
Cookie Notice (WP-плагин cookie-notice) — баннер уведомительного типа; выводит сообщение, но не гейтит загрузку тегов
Первая сторона и инфраструктура: blrt.ee (WordPress, Cloudflare rocket-loader), fonts.gstatic.com (шрифты Google), www.gstatic.com

Признаки несоответствия GDPR

ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — трекинг до согласия, согласие через продолжение просмотра
На сайте установлен баннер cookie (WP-плагин cookie-notice), но он уведомительного типа: текст «Sellel veebilehel kasutatakse küpsiseid. Kasutamist jätkates nõustud küpsiste kasutamisega» («используя сайт дальше, вы соглашаетесь с cookie») и единственная кнопка «OK». Кнопки отклонить нет. Это модель согласия «через продолжение просмотра» (implied consent), которая по позиции EDPB не образует действительного согласия. При этом весь Google-стек грузится в первые сотни миллисекунд, до любого взаимодействия с баннером: контейнер GTM (GTM-TTCRFCM) на +133 мс, аналитика GA4 (G-5DD0C4277N) и устаревший Universal Analytics (UA-167436931-1) на +361…+435 мс, рекламная идентификация DoubleClick на +705…+974 мс. Аналитика и рекламные обращения не обусловлены согласием — они стартуют раньше, чем пользователь может что-либо выбрать, а выбрать «нет» интерфейс и не позволяет.
GDPR Art. 13 — обработка веб-данных не описана в доступных документах
К записи приложены два документа BLRT Grupp — privacy notice и code of conduct, — но оба регулируют другую обработку: privacy notice описывает данные СОТРУДНИКОВ (employees) предприятий группы в Эстонии, code of conduct — этический кодекс. Ни один не является политикой конфиденциальности сайта или декларацией cookie: веб-трекинг (GA4, DoubleClick, GTM, YouTube-эмбед) в них не упомянут. То есть обработка данных посетителей сайта, наблюдаемая в записи, доступными документами не описана. Существует ли отдельная веб-политика — по этому набору не установлено.

Контекст

blrt.ee — сайт BLRT Grupp, промышленного холдинга (судостроение и судоремонт, крупнейший в Балтии). Со-контролёры по приложенному документу — BLRT Grupp AS (рег. код 10068499, Таллинн) и предприятия группы. Сайт на WordPress, отдаётся через Cloudflare (rocket-loader), с плагинами Contact Form 7, WPML (мультиязычность) и cookie-notice (баннер cookie).

Замер — одна запись русской версии главной страницы (blrt.ee/ru/): 102 запроса, 12 узлов, около шести секунд, съёмка 9 сентября 2026 года. Исходный HAR (16 МБ) опубликован в lean-версии (435 КБ, 94 правки, самопроверка OK). К записи приложены два PDF группы и скриншот баннера.

Кому уходят данные напрямую

До какого-либо выбора в баннере — Google: контейнер тегов GTM, аналитика GA4, устаревший Universal Analytics и рекламная идентификация DoubleClick. Встроенный плеер YouTube (обычный, не -nocookie) тянет плеер и телеметрию. Функционально — reCAPTCHA формы обратной связи, шрифты Google. Первая сторона — WordPress-сайт на Cloudflare.

Заявленное против фактического

Расхождение здесь в двух точках, и обе показательны.

Баннер есть, но он уведомительный. На сайте установлен WP-плагин cookie-notice, и баннер виден: «Sellel veebilehel kasutatakse küpsiseid. Kasutamist jätkates nõustud küpsiste kasutamisega» — «На этом сайте используются cookie. Продолжая использование, вы соглашаетесь с использованием cookie». Кнопка одна — «OK», плюс крестик. Кнопки отклонить нет. Это модель согласия «через продолжение просмотра» (implied consent): согласие как бы вытекает из самого факта, что человек не ушёл. Такая модель по позиции EDPB действительного согласия не образует — согласие должно быть активным и должно допускать отказ, а здесь отказ интерфейсом не предусмотрен.

И трекинг грузится раньше баннера. Контейнер GTM (GTM-TTCRFCM) уходит первым же сторонним запросом на +133 мс. Следом — два счётчика через gtag: устаревший Universal Analytics UA-167436931-1 (+361 мс) и GA4 G-5DD0C4277N (+426 мс), затем analytics.js (+435 мс). Рекламная идентификация DoubleClick — ad_status.js (+705 мс) и /pagead/id (+974 мс). Всё это стартует в первые сотни миллисекунд, то есть раньше, чем пользователь мог нажать «OK», — и раньше, чем мог бы отказаться, если бы такая кнопка была. Загрузка тегов баннером не гейтится вовсе.

Отдельно — документы не про сайт. К записи приложены privacy notice и code of conduct BLRT Grupp. Но privacy notice описывает обработку данных сотрудников предприятий группы, а code of conduct — этический кодекс. Веб-трекинг посетителей (GA4, DoubleClick, GTM, YouTube) в них не упомянут ни словом. То есть обработка данных, которую видно в записи, доступными документами не описана. Есть ли у сайта отдельная веб-политика конфиденциальности — по этому набору не установлено; в самой записи ссылки на неё не зафиксировано.

Согласие: что доказано и что нет

Доказано: баннер не даёт отклонить. Скриншот фиксирует единственную кнопку «OK» и текст про согласие через продолжение просмотра. Механизма отказа в интерфейсе нет.

Доказано: трекинг грузится до выбора. GTM — +133 мс, счётчики — +361…+435 мс, DoubleClick — +705…+974 мс; все раньше любого взаимодействия с баннером. Обращений к CMP-платформе в записи нет — баннер реализован простым WP-плагином, который загрузку тегов не удерживает.

Доказано: client id уже установлен. Событие GA4 page_view несёт cid=1040400886.… — то есть кука _ga к моменту события существует.

Не доказано: стойкость профиля через визиты. Временна́я метка внутри cid (16:28:27) лишь на ~55 секунд раньше события и приходится на ту же сессию (был переход с blrt.ee/et/ — поле dr). Поэтому «профиль тянется из прошлых заходов» по этой записи утверждать нельзя; доказано лишь, что cid существовал к моменту page_view.

Не установлено однозначно: попольная раскладка gcd. Consent-сигнал gcd=13l3l3l2l1l1 в событии присутствует и содержит значения granted, но точное соответствие «поле → тип хранилища» надёжно не декодировано, поэтому вывод строится не на нём, а на несомненном: отсутствии кнопки отказа и загрузке стека до выбора.

Границы наблюдения

Замер охватывает одну страницу — русскую версию главной — и фиксирует поведение браузера, не серверную обработку: как настроен контейнер GTM, что делает Google с полученными данными и есть ли отдельная веб-политика на других страницах, браузерным замером не проверяется. Значения аналитических кук в опубликованном файле вычищены (осталось имя и факт), поэтому дельту идентификатора по значению не проследить; cid сохранён в теле события GA4 и служит уликой. Приложенные PDF отнесены к «заявленному», но относятся к кадровой обработке, а не к сайту, — это отмечено в разборе, а не выдано за веб-политику.

Файл опубликован очищенным от личных данных (94 правки, самопроверка чистая); порядок загрузки, статусы, инициаторы и параметры событий сохранены, поэтому старт Google-стека раньше баннера, отсутствие CMP-обращений и наличие cid проверяются по опубликованному файлу напрямую. UI баннера взят со скриншота — это отдельный тип доказательства (живой интерфейс), не HAR.

Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon.

Вывод

Промышленный холдинг держит на сайте баннер cookie — но баннер уведомительный: он сообщает об использовании cookie и предлагает «OK», тогда как отклонить нельзя, а сам текст трактует продолжение просмотра как согласие. Это та самая модель implied consent, которую европейский регулятор действительным согласием не считает. И даже она ни на что не влияет технически: контейнер GTM, аналитика GA4, устаревший Universal Analytics и рекламная идентификация DoubleClick грузятся в первые сотни миллисекунд — раньше любого «OK» и без всякой связи с выбором пользователя. Приложенные документы группы описывают обработку данных сотрудников, а не посетителей; веб-трекинг в них не назван.

Показательность кейса — в контрасте с более сложными разборами: тут нет ни хитрой строки согласия, ни рекламного аукциона на отказ. Наоборот — примитив: баннер-заглушка без кнопки «нет» и стек, который стартует, не дожидаясь никого. Это распространённая конфигурация WordPress-сайта, где cookie-плагин ставят «для галочки», а теги вешают через GTM без гейтинга по согласию.

Устранение: заменить уведомительный баннер механизмом с реальным выбором (равнозначные «Принять» и «Отклонить», отказ по умолчанию); обусловить загрузку GTM, GA4, Universal Analytics и DoubleClick фактическим согласием, чтобы до выбора теги не грузились; удалить устаревший счётчик Universal Analytics (UA-167436931-1), не собирающий данные с 2023 года, но по-прежнему подключённый; для YouTube-эмбеда перейти на youtube-nocookie; и опубликовать веб-политику конфиденциальности, описывающую аналитику и рекламные компоненты сайта, отдельно от кадрового privacy notice.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: ee/blrt-ee-2026-09-09.har

SHA-256: 07db03c5661880e05355ec3fd884e033011838874e26ea233346bfd391ddb95c

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — blrt.ee

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта blrt.ee.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте установлен баннер cookie (WP-плагин cookie-notice), но он уведомительного типа: текст «Sellel veebilehel kasutatakse küpsiseid. Kasutamist jätkates nõustud küpsiste kasutamisega» («используя сайт дальше, вы соглашаетесь с cookie») и единственная кнопка «OK». Кнопки отклонить нет. Это модель согласия «через продолжение просмотра» (implied consent), которая по позиции EDPB не образует действительного согласия. При этом весь Google-стек грузится в первые сотни миллисекунд, до любого взаимодействия с баннером: контейнер GTM (GTM-TTCRFCM) на +133 мс, аналитика GA4 (G-5DD0C4277N) и устаревший Universal Analytics (UA-167436931-1) на +361…+435 мс, рекламная идентификация DoubleClick на +705…+974 мс. Аналитика и рекламные обращения не обусловлены согласием — они стартуют раньше, чем пользователь может что-либо выбрать, а выбрать «нет» интерфейс и не позволяет.

2) К записи приложены два документа BLRT Grupp — privacy notice и code of conduct, — но оба регулируют другую обработку: privacy notice описывает данные СОТРУДНИКОВ (employees) предприятий группы в Эстонии, code of conduct — этический кодекс. Ни один не является политикой конфиденциальности сайта или декларацией cookie: веб-трекинг (GA4, DoubleClick, GTM, YouTube-эмбед) в них не упомянут. То есть обработка данных посетителей сайта, наблюдаемая в записи, доступными документами не описана. Существует ли отдельная веб-политика — по этому набору не установлено.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-blrt-ee/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — blrt.ee

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website blrt.ee.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site has a cookie banner installed (the WP plugin cookie-notice), but it is a notice type: the text «Sellel veebilehel kasutatakse küpsiseid. Kasutamist jätkates nõustud küpsiste kasutamisega» («by continuing to use the site, you agree to cookies») and a single «OK» button. There is no reject button. This is the «consent by continued browsing» model (implied consent), which by the EDPB's position does not constitute valid consent. Meanwhile the entire Google stack loads within the first few hundred milliseconds, before any interaction with the banner: the GTM container (GTM-TTCRFCM) at +133 ms, GA4 analytics (G-5DD0C4277N) and legacy Universal Analytics (UA-167436931-1) at +361…+435 ms, DoubleClick advertising identification at +705…+974 ms. Analytics and advertising requests are not conditioned on consent — they start before the user can choose anything, and the interface does not even allow choosing «no».

2) Two BLRT Grupp documents are attached to the capture — a privacy notice and a code of conduct — but both govern a different processing: the privacy notice describes the data of EMPLOYEES of the group's enterprises in Estonia, the code of conduct is an ethics code. Neither is the site's privacy policy or a cookie declaration: web tracking (GA4, DoubleClick, GTM, YouTube embed) is not mentioned in them. That is, the processing of site-visitor data observed in the capture is not described by the available documents. Whether a separate web policy exists is not established from this set.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-blrt-ee/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — blrt.ee

Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond]
Kellelt: [Teie nimi], [kontakt-e-post]

Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi blrt.ee kasutamisega.

1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c))
Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad:

1) Veebisaidil on küpsisebänner (WP-plugin cookie-notice), kuid see on teavituse tüüp: tekst „Sellel veebilehel kasutatakse küpsiseid. Kasutamistmist sooritab nõustud küpsiste kasutamisega ("kasutades saiti edasi, nõustute küpsisega") ja ainus nupp «OK». See on lihtsustatud nõusoleku mudel, mis Euroopa Andmekaitsenõukogu sõnul ei kujuta endast kehtivat nõusolekut. Samal ajal laaditakse kogu Google'i korstnat esimese saja millisekundi jooksul, enne mis tahes interaktsiooni bänneriga: GTM-konteiner (GTM-TTCRFCM) +133 ms-l, GA4 analüütika (G-5DD0C4277N) ja aegunud Universal Analytics (UA-167436931-1) +361... +435 ms, DoubleClicki reklaami identifitseerimine +705-l. +974 ms Analüütika ja reklaamid ei ole nõusolekupõhised - need algavad enne, kui kasutaja saab midagi valida, ja valivad "ei" liidese ja ei luba.

2) Protokollile on lisatud kaks BLRT Grupi dokumenti – privaatsusteade ja käitumiskoodeks –, kuid mõlemad reguleerivad muud töötlemist: privaatsusteade kirjeldab kontserni ettevõtete töötajate andmeid Eestis, käitumiskoodeks – eetikakoodeks. Puudub veebisaidi privaatsuspoliitika või küpsiste deklaratsioon: veebijälgimist (GA4, DoubleClick, GTM, YouTube embed) ei mainita. See tähendab, et olemasolevates dokumentides ei kirjeldata saidi külastajate andmete töötlemist. Kas selle komplekti jaoks on olemas eraldi veebipoliitika, ei ole kindlaks määratud.


2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46)
Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-blrt-ee/

3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h))
Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee

Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — blrt.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом blrt.ee.

2. Обстоятельства
Я посетил сайт blrt.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 09.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте установлен баннер cookie (WP-плагин cookie-notice), но он уведомительного типа: текст «Sellel veebilehel kasutatakse küpsiseid. Kasutamist jätkates nõustud küpsiste kasutamisega» («используя сайт дальше, вы соглашаетесь с cookie») и единственная кнопка «OK». Кнопки отклонить нет. Это модель согласия «через продолжение просмотра» (implied consent), которая по позиции EDPB не образует действительного согласия. При этом весь Google-стек грузится в первые сотни миллисекунд, до любого взаимодействия с баннером: контейнер GTM (GTM-TTCRFCM) на +133 мс, аналитика GA4 (G-5DD0C4277N) и устаревший Universal Analytics (UA-167436931-1) на +361…+435 мс, рекламная идентификация DoubleClick на +705…+974 мс. Аналитика и рекламные обращения не обусловлены согласием — они стартуют раньше, чем пользователь может что-либо выбрать, а выбрать «нет» интерфейс и не позволяет.

2) К записи приложены два документа BLRT Grupp — privacy notice и code of conduct, — но оба регулируют другую обработку: privacy notice описывает данные СОТРУДНИКОВ (employees) предприятий группы в Эстонии, code of conduct — этический кодекс. Ни один не является политикой конфиденциальности сайта или декларацией cookie: веб-трекинг (GA4, DoubleClick, GTM, YouTube-эмбед) в них не упомянут. То есть обработка данных посетителей сайта, наблюдаемая в записи, доступными документами не описана. Существует ли отдельная веб-политика — по этому набору не установлено.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-blrt-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — трекинг до согласия, согласие через продолжение просмотра; GDPR Art. 13 — обработка веб-данных не описана в доступных документах

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — blrt.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website blrt.ee.

2. Circumstances
I visited the website blrt.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 9 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has a cookie banner installed (the WP plugin cookie-notice), but it is a notice type: the text «Sellel veebilehel kasutatakse küpsiseid. Kasutamist jätkates nõustud küpsiste kasutamisega» («by continuing to use the site, you agree to cookies») and a single «OK» button. There is no reject button. This is the «consent by continued browsing» model (implied consent), which by the EDPB's position does not constitute valid consent. Meanwhile the entire Google stack loads within the first few hundred milliseconds, before any interaction with the banner: the GTM container (GTM-TTCRFCM) at +133 ms, GA4 analytics (G-5DD0C4277N) and legacy Universal Analytics (UA-167436931-1) at +361…+435 ms, DoubleClick advertising identification at +705…+974 ms. Analytics and advertising requests are not conditioned on consent — they start before the user can choose anything, and the interface does not even allow choosing «no».

2) Two BLRT Grupp documents are attached to the capture — a privacy notice and a code of conduct — but both govern a different processing: the privacy notice describes the data of EMPLOYEES of the group's enterprises in Estonia, the code of conduct is an ethics code. Neither is the site's privacy policy or a cookie declaration: web tracking (GA4, DoubleClick, GTM, YouTube embed) is not mentioned in them. That is, the processing of site-visitor data observed in the capture is not described by the available documents. Whether a separate web policy exists is not established from this set.

Full technical documentation is published at: https://gdpru.eu/audits/ee-blrt-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — tracking before consent, consent by continued browsing; GDPR Art. 13 — web-data processing not described in the available documents

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil blrt.ee.

2. Asjaolud
Külastasin veebisaiti blrt.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 09.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Veebisaidil on küpsisebänner (WP-plugin cookie-notice), kuid see on teavituse tüüp: tekst „Sellel veebilehel kasutatakse küpsiseid. Kasutamistmist sooritab nõustud küpsiste kasutamisega ("kasutades saiti edasi, nõustute küpsisega") ja ainus nupp «OK». See on lihtsustatud nõusoleku mudel, mis Euroopa Andmekaitsenõukogu sõnul ei kujuta endast kehtivat nõusolekut. Samal ajal laaditakse kogu Google'i korstnat esimese saja millisekundi jooksul, enne mis tahes interaktsiooni bänneriga: GTM-konteiner (GTM-TTCRFCM) +133 ms-l, GA4 analüütika (G-5DD0C4277N) ja aegunud Universal Analytics (UA-167436931-1) +361... +435 ms, DoubleClicki reklaami identifitseerimine +705-l. +974 ms Analüütika ja reklaamid ei ole nõusolekupõhised - need algavad enne, kui kasutaja saab midagi valida, ja valivad "ei" liidese ja ei luba.

2) Protokollile on lisatud kaks BLRT Grupi dokumenti – privaatsusteade ja käitumiskoodeks –, kuid mõlemad reguleerivad muud töötlemist: privaatsusteade kirjeldab kontserni ettevõtete töötajate andmeid Eestis, käitumiskoodeks – eetikakoodeks. Puudub veebisaidi privaatsuspoliitika või küpsiste deklaratsioon: veebijälgimist (GA4, DoubleClick, GTM, YouTube embed) ei mainita. See tähendab, et olemasolevates dokumentides ei kirjeldata saidi külastajate andmete töötlemist. Kas selle komplekti jaoks on olemas eraldi veebipoliitika, ei ole kindlaks määratud.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-blrt-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus - direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koostoimes GDPRi artikli 6 lõike 1 punktiga a) - jälgimine enne nõusoleku andmist, nõusoleku andmine jätkuva sirvimise kaudu; GDPR artikkel 13 – veebiandmete töötlemist ei ole olemasolevates dokumentides kirjeldatud

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]

[Kuupäev]