Сайт Эстонского драматического театра — семь страниц, 204 запроса. Политики конфиденциальности, раздела о cookie и баннера на сайте нет. Сравнивать заявленное с фактическим не с чем: заявлено ничего. Фактически же с первой секунды работают Google Analytics — сразу два ресурса, включая давно устаревший, — и рекламный трекер Adform, на каждой странице и с одним идентификатором посетителя.
Хронология обращений
Декларация против факта
Тайминги передачи
GTM-K7D3G4L.
Просмотр страницы в устаревший ресурс UA-157787914-1, ответ 200.
Рекламный трекпойнт 2889340, «ROX pixel».
GA4 G-GHMK1F586W, page_view, идентификатор клиента.
Зафиксированные трекеры
- Google Analytics — старый ресурс UA-157787914-1 (www.google-analytics.com, ответы 200) и GA4 G-GHMK1F586W (region1.google-analytics.com); один идентификатор клиента на всех страницах, режим согласия не настроен
- Google Tag Manager (GTM-K7D3G4L) — контейнер тегов на каждой странице
- Adform (s2.adform.net, track.adform.net, трекпойнт 2889340 «ROX pixel») — рекламный трекер на каждой странице
- Plausible (plausible.platvorm.ee) — аналитика без cookie на эстонском хостинге
- Smaily (draamateater.sendsmaily.net) — страница подписки на рассылку с Google reCAPTCHA Enterprise
- Adobe Fonts (use.typekit.net, p.typekit.net), jsDelivr — шрифты и библиотеки
Признаки несоответствия GDPR
- ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — аналитика и рекламный трекер без какого-либо согласияМеханизма согласия на сайте нет: ни баннера, ни платформы управления согласием, режим согласия Google не настроен — параметр gcd не содержит ни одного заданного состояния. При этом на +0,5 с грузится контейнер Google Tag Manager, на +1,0 с уходит просмотр страницы в старый ресурс Universal Analytics UA-157787914-1, который по-прежнему принимает данные, а на +1,3 с — в GA4 G-GHMK1F586W. Идентификатор клиента создан на +1,2 с и один и тот же на всех пяти открытых страницах сайта. Рекламный трекер Adform (трекпойнт 2889340) срабатывает на +1,1 с и повторяется на каждой странице. Аналитика Google и рекламный трекер требуют согласия; спросить его у посетителя сайт не пытается.
- GDPR Art. 12(1), Art. 13(1) и 13(2) — информации об обработке данных нет вовсеНа сайте нет политики конфиденциальности, раздела о cookie и перечня партнёров. Посетитель не может узнать, кто обрабатывает его данные, с какой целью и на каком основании, кому они передаются — Google, Adform, Smaily, — сколько хранятся, какие у него права и куда жаловаться. Ни одно из обязательных сведений статьи 13 не предоставлено ни в каком виде.
Контекст
draamateater.ee — сайт Эстонского драматического театра (Eesti Draamateater) в Таллинне: репертуар, труппа, продажа билетов, подписка на рассылку. Замер — одна запись, семь страниц: главная, репертуар, раздел о людях театра, страница доступности и две страницы подписки на рассылку в сервисе Smaily. Всего 204 запроса.
Документа, описывающего обработку данных, на сайте нет. Это проверено дважды: ни политики конфиденциальности, ни раздела о cookie, ни перечня партнёров. Поэтому разбор строится только на том, что видно в браузере.
Кому уходят данные напрямую
Google (Analytics, Tag Manager, reCAPTCHA, шрифты), Adform, Smaily, Plausible на эстонском хостинге, Adobe Fonts, jsDelivr.
Что видно в замере
Аналитика Google и реклама Adform работают без согласия. Механизма согласия нет: ни баннера, ни платформы, режим согласия Google не настроен. На первой секунде грузится Google Tag Manager, следом уходит просмотр страницы сразу в два ресурса Google Analytics. Один из них — Universal Analytics UA-157787914-1, давно выведенный из эксплуатации, но всё ещё принимающий обращения. Идентификатор клиента создаётся на +1,2 с и остаётся тем же на всех страницах сайта. Одновременно на каждой странице срабатывает рекламный трекпойнт Adform.
О посетителе знают, но ему ничего не сообщают. Кто обрабатывает данные, зачем, кому передаёт, сколько хранит и как посетителю воспользоваться своими правами — на сайте об этом нет ни строчки. Рекламная сеть и аналитика работают в полной тишине.
Для сравнения внутри того же сайта: Plausible на plausible.platvorm.ee работает без cookie и идентификаторов, и такая аналитика согласия не требует. Сайт уже использует инструмент, который мог бы заменить Google Analytics.
Согласие: что доказано и что нет
Доказано: механизма согласия нет. Нет обращений к платформе согласия, баннера на скриншоте, режим согласия Google не настроен.
Доказано: Google Analytics и Adform работают на каждой странице. Пять страниц сайта — пять одинаковых наборов обращений.
Доказано: идентификатор клиента общий для всех страниц. Создан на +1,2 с, одинаков во всех обращениях к Google.
Доказано: на сайте нет политики конфиденциальности. Проверено вручную дважды.
Не установлено: содержимое обращений Adform. Трекпойнт передаёт номер и название пикселя; что Adform связывает с ним на своей стороне, браузерным замером не проверяется.
Границы наблюдения
Замер охватывает публичные страницы сайта и страницу подписки Smaily. Покупка билетов не проверялась. Наблюдение фиксирует поведение браузера, а не серверную обработку. Файл опубликован очищенным: удалены заголовки Cookie и тела сценариев. Идентификатор клиента Google в тексте не приводится.
Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon.
Вывод
Театр использует Google Analytics и рекламный трекер Adform, не спрашивая согласия и не сообщая посетителю ничего. Один из ресурсов Google давно устарел, но продолжает получать данные. Политики конфиденциальности на сайте нет, поэтому ни одно из обязательных сведений о посетителе не доведено.
Устранение: убрать Google Analytics и Adform до введения механизма согласия либо ограничиться Plausible, который уже работает без cookie; удалить устаревший ресурс UA-157787914-1; опубликовать политику конфиденциальности с обработчиком, целями, основаниями, получателями, сроками хранения, правами субъекта данных и правом на жалобу в Andmekaitse Inspektsioon.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
f11d4fb77f0e139d4dde7620cc79aa616a2c26f65ddf16e85a8a0939a7c2d43a
Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — draamateater.ee Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта draamateater.ee. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) Механизма согласия на сайте нет: ни баннера, ни платформы управления согласием, режим согласия Google не настроен — параметр gcd не содержит ни одного заданного состояния. При этом на +0,5 с грузится контейнер Google Tag Manager, на +1,0 с уходит просмотр страницы в старый ресурс Universal Analytics UA-157787914-1, который по-прежнему принимает данные, а на +1,3 с — в GA4 G-GHMK1F586W. Идентификатор клиента создан на +1,2 с и один и тот же на всех пяти открытых страницах сайта. Рекламный трекер Adform (трекпойнт 2889340) срабатывает на +1,1 с и повторяется на каждой странице. Аналитика Google и рекламный трекер требуют согласия; спросить его у посетителя сайт не пытается. 2) На сайте нет политики конфиденциальности, раздела о cookie и перечня партнёров. Посетитель не может узнать, кто обрабатывает его данные, с какой целью и на каком основании, кому они передаются — Google, Adform, Smaily, — сколько хранятся, какие у него права и куда жаловаться. Ни одно из обязательных сведений статьи 13 не предоставлено ни в каком виде. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-draamateater-ee/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — draamateater.ee To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website draamateater.ee. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) The site has no consent mechanism: no banner, no consent-management platform, and Google consent mode is not configured — the gcd parameter carries no set state. Meanwhile, the Google Tag Manager container loads at +0.5 s, a page view goes to the legacy Universal Analytics property UA-157787914-1 at +1.0 s — a property that still accepts data — and to GA4 G-GHMK1F586W at +1.3 s. The client identifier is created at +1.2 s and is the same across all five site pages opened. The Adform advertising tracker (trackpoint 2889340) fires at +1.1 s and repeats on every page. Google analytics and an advertising tracker require consent; the site makes no attempt to ask the visitor for it. 2) The site has no privacy policy, no cookie section, and no list of partners. A visitor cannot learn who processes their data, for what purpose and on what legal basis, to whom it is disclosed — Google, Adform, Smaily — how long it is kept, what rights they have, or where to complain. None of the information required by Article 13 is provided in any form. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-draamateater-ee/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — draamateater.ee Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond] Kellelt: [Teie nimi], [kontakt-e-post] Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi draamateater.ee kasutamisega. 1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c)) Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad: 1) Veebilehel puudub nõusoleku mehhanism: ei ole bännerit ega nõusolekuhaldusplatvormi ning Google'i nõusolekurežiim ei ole seadistatud – parameeter gcd ei sisalda ühtegi määratud olekut. Samal ajal laaditakse +0,5 s juures Google Tag Manageri konteiner, +1,0 s juures saadetakse lehevaatamine vanasse Universal Analyticsi ressurssi UA-157787914-1, mis võtab andmeid endiselt vastu, ja +1,3 s juures GA4 ressurssi G-GHMK1F586W. Kliendi identifikaator luuakse +1,2 s juures ja on sama kõigil viiel avatud veebilehe lehel. Adformi reklaamijälgija (trackpoint 2889340) käivitub +1,1 s juures ja kordub igal lehel. Google'i analüütika ja reklaamijälgija nõuavad nõusolekut; veebileht ei püüagi seda külastajalt küsida. 2) Veebilehel ei ole privaatsuspoliitikat, küpsiste teavet ega partnerite loetelu. Külastaja ei saa teada, kes tema andmeid töötleb, millisel eesmärgil ja alusel, kellele neid edastatakse – Google'ile, Adformile, Smailyle –, kui kaua neid säilitatakse, millised on tema õigused ja kuhu kaevata. Ühtegi artiklis 13 nõutud teavet ei ole esitatud mitte mingil kujul. 2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46) Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-draamateater-ee/ 3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h)) Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika. Lugupidamisega, [Teie nimi] [kontakt-e-post] [Riik] [Kuupäev]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee
Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — draamateater.ee 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом draamateater.ee. 2. Обстоятельства Я посетил сайт draamateater.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 28.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) Механизма согласия на сайте нет: ни баннера, ни платформы управления согласием, режим согласия Google не настроен — параметр gcd не содержит ни одного заданного состояния. При этом на +0,5 с грузится контейнер Google Tag Manager, на +1,0 с уходит просмотр страницы в старый ресурс Universal Analytics UA-157787914-1, который по-прежнему принимает данные, а на +1,3 с — в GA4 G-GHMK1F586W. Идентификатор клиента создан на +1,2 с и один и тот же на всех пяти открытых страницах сайта. Рекламный трекер Adform (трекпойнт 2889340) срабатывает на +1,1 с и повторяется на каждой странице. Аналитика Google и рекламный трекер требуют согласия; спросить его у посетителя сайт не пытается. 2) На сайте нет политики конфиденциальности, раздела о cookie и перечня партнёров. Посетитель не может узнать, кто обрабатывает его данные, с какой целью и на каком основании, кому они передаются — Google, Adform, Smaily, — сколько хранятся, какие у него права и куда жаловаться. Ни одно из обязательных сведений статьи 13 не предоставлено ни в каком виде. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-draamateater-ee/ 3. Положения GDPR, соблюдение которых прошу проверить ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — аналитика и рекламный трекер без какого-либо согласия; GDPR Art. 12(1), Art. 13(1) и 13(2) — информации об обработке данных нет вовсе 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — draamateater.ee 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website draamateater.ee. 2. Circumstances I visited the website draamateater.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 28 September 2026 (open methodology, reproducible measurements) documents the following indications: 1) The site has no consent mechanism: no banner, no consent-management platform, and Google consent mode is not configured — the gcd parameter carries no set state. Meanwhile, the Google Tag Manager container loads at +0.5 s, a page view goes to the legacy Universal Analytics property UA-157787914-1 at +1.0 s — a property that still accepts data — and to GA4 G-GHMK1F586W at +1.3 s. The client identifier is created at +1.2 s and is the same across all five site pages opened. The Adform advertising tracker (trackpoint 2889340) fires at +1.1 s and repeats on every page. Google analytics and an advertising tracker require consent; the site makes no attempt to ask the visitor for it. 2) The site has no privacy policy, no cookie section, and no list of partners. A visitor cannot learn who processes their data, for what purpose and on what legal basis, to whom it is disclosed — Google, Adform, Smaily — how long it is kept, what rights they have, or where to complain. None of the information required by Article 13 is provided in any form. Full technical documentation is published at: https://gdpru.eu/audits/ee-draamateater-ee/ 3. GDPR provisions I ask you to examine ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — analytics and an advertising tracker without any consent; GDPR Art. 12(1), Art. 13(1) and 13(2) — no information on data processing at all 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]
1. Kaebuse ese Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil draamateater.ee. 2. Asjaolud Külastasin veebisaiti draamateater.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 28.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist: 1) Veebilehel puudub nõusoleku mehhanism: ei ole bännerit ega nõusolekuhaldusplatvormi ning Google'i nõusolekurežiim ei ole seadistatud – parameeter gcd ei sisalda ühtegi määratud olekut. Samal ajal laaditakse +0,5 s juures Google Tag Manageri konteiner, +1,0 s juures saadetakse lehevaatamine vanasse Universal Analyticsi ressurssi UA-157787914-1, mis võtab andmeid endiselt vastu, ja +1,3 s juures GA4 ressurssi G-GHMK1F586W. Kliendi identifikaator luuakse +1,2 s juures ja on sama kõigil viiel avatud veebilehe lehel. Adformi reklaamijälgija (trackpoint 2889340) käivitub +1,1 s juures ja kordub igal lehel. Google'i analüütika ja reklaamijälgija nõuavad nõusolekut; veebileht ei püüagi seda külastajalt küsida. 2) Veebilehel ei ole privaatsuspoliitikat, küpsiste teavet ega partnerite loetelu. Külastaja ei saa teada, kes tema andmeid töötleb, millisel eesmärgil ja alusel, kellele neid edastatakse – Google'ile, Adformile, Smailyle –, kui kaua neid säilitatakse, millised on tema õigused ja kuhu kaevata. Ühtegi artiklis 13 nõutud teavet ei ole esitatud mitte mingil kujul. Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-draamateater-ee/ 3. Sätted, mille järgimist palun kontrollida Eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv 2002/58/EÜ art 5 lg 3 (koostoimes IKÜM art 6 lg 1 p-ga a) — analüütika ja reklaamijälgija ilma igasuguse nõusolekuta; IKÜM art 12 lg 1, art 13 lg 1 ja 2 — teave andmetöötluse kohta puudub täielikult 4. Nõue Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid. 5. Lisad Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil. Lugupidamisega, [Teie nimi] [kontakt-e-post] [Riik] [Kuupäev]