ecolines.net

Тема: Жалоба на обработку персональных данных — ecolines.net

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом ecolines.net.

2. Обстоятельства
Я посетил сайт ecolines.net и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 03.10.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Баннер Cookiebot предлагает равнозначные «Keeldu» и «Luba kõik», но теги Google его не ждут. Google Ads и три счётчика Google Analytics 4 работают без режима согласия: параметр gcd не содержит ни одного заданного состояния, параметра gcs нет. На +1,6 с уходит просмотр страницы в Google Ads AW-1066609921 с рекламным идентификатором. На +1,6…+2,5 с три счётчика GA4 отправляют page_view с общим идентификатором клиента и метками первого визита и начала сеанса. Одновременно тот же идентификатор уходит на рекламные узлы Google stats.g.doubleclick.net и www.google.ee/ads/ga-audiences. Собственная декларация Cookiebot относит _ga, _gcl_au и ga-audiences к маркетинговым cookie.

2) На +69,4 с посетитель нажимает «Keeldu», и Cookiebot записывает отказ (action=decline). В пределах той же страницы Google переходит в режим запрета. Но при следующей полной загрузке страницы (+177,8 с) Google Ads и счётчики G-RZBJCTBWS4 и G-SFPGY7N3EW снова срабатывают без состояния согласия, с новыми идентификаторами клиента и рекламным идентификатором, и снова отправляют запросы в ga-audiences. Сохранённое решение Cookiebot загружается только на +178,2 с — после того как данные ушли.

3) Политика конфиденциальности гласит: «мы исходим из того, что до использования нашей интернет-страницы вы ознакомились с принципами и условиями политики и согласились с ними». Согласие с политикой целиком объявлено согласием на сбор, обработку и использование данных, а о cookie сказано, что их можно сохранить или игнорировать в настройках браузера. Согласие даётся активным действием, а не фактом пользования сайтом.

4) Политика называет оператора только торговой маркой ECOLINES и адресом help@ecolines.lv — без юридического лица, регистрационного кода и адреса. Единственное основание — согласие; продажа билетов (договор) и таможенный и миграционный контроль (обязанность по закону) другими основаниями не обоснованы. Сроков хранения нет. О передаче за пределы ЕС сказано лишь, что она «может произойти» и что ECOLINES «сделает всё возможное», — без механизма передачи.

5) Из прав политика называет только отзыв согласия, отказ от рассылки и удаление данных из личного кабинета. Права на доступ, исправление, ограничение обработки, возражение и переносимость данных не упомянуты. Права на жалобу в надзорный орган в тексте нет.

6) Политика утверждает, что ECOLINES не передаёт персональные данные третьим лицам в рекламных целях. В замере работает конверсионный тег Google Ads, а декларация Cookiebot на той же странице описывает ga-audiences как инструмент для возврата посетителей на основе их поведения на разных сайтах. Cloudflare Web Analytics, который до выбора получает отчёт о каждой странице, и Apple Pay, чьи сценарии грузятся на каждой странице, не названы ни в политике, ни в декларации.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-ecolines-net/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — Google Ads и Google Analytics до какого-либо выбора; ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — Google Ads и Google Analytics после отказа; GDPR Art. 4(11) / Art. 7(1) / Art. 5(1)(a) — политика объявляет согласием само пользование сайтом; GDPR Art. 13(1)(a), 13(1)(c), 13(1)(f) и Art. 13(2)(a) — оператор не назван, основания, сроки и передача за пределы ЕС не описаны; GDPR Art. 13(2)(b), 13(2)(d) — права не перечислены, права на жалобу в надзорный орган нет; GDPR Art. 13(1)(e) / Art. 5(1)(a) — политика отрицает рекламную передачу, часть получателей не названа

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — ecolines.net

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website ecolines.net.

2. Circumstances
I visited the website ecolines.net and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 3 October 2026 (open methodology, reproducible measurements) documents the following indications:

1) The Cookiebot banner offers equivalent 'Keeldu' and 'Luba kõik' buttons, but the Google tags do not wait for it. Google Ads and three Google Analytics 4 properties run without consent mode: the gcd parameter contains no set state, and there is no gcs parameter. At +1.6 s a page view goes to Google Ads AW-1066609921 with an advertising identifier. At +1.6…+2.5 s three GA4 properties send page_view with a shared client identifier and first-visit and session-start flags. At the same time, the same identifier goes to Google's advertising nodes stats.g.doubleclick.net and www.google.ee/ads/ga-audiences. Cookiebot's own declaration classifies _ga, _gcl_au and ga-audiences as marketing cookies.

2) At +69.4 s the visitor presses 'Keeldu', and Cookiebot records the refusal (action=decline). Within the same page, Google switches to denied mode. But on the next full page load (+177.8 s), Google Ads and properties G-RZBJCTBWS4 and G-SFPGY7N3EW fire again without a consent state, with new client identifiers and an advertising identifier, and again send requests to ga-audiences. Cookiebot's stored decision loads only at +178.2 s — after the data has gone.

3) The privacy policy states: 'we assume that before using our website … you have read the principles and terms of this Privacy Policy and agreed to them.' Agreement to the policy as a whole is declared to be consent to collecting, processing and using data, and cookies are said to be something one can store or ignore in the browser settings. Consent is given by an affirmative action, not by the fact of using the site.

4) The policy names the controller only by the ECOLINES brand and the address help@ecolines.lv — no legal entity, registration code or address. The only legal basis is consent; ticket sales (contract) and customs and migration checks (legal obligation) are not justified by any other basis. There are no retention periods. On transfers outside the EU, it says only that they 'may occur' and that ECOLINES 'will do everything possible' — with no transfer mechanism.

5) Of the rights, the policy names only withdrawal of consent, opting out of marketing and deleting data from the personal account. The rights of access, rectification, restriction, objection and data portability are not mentioned. The right to lodge a complaint with a supervisory authority is absent from the text.

6) The policy claims that ECOLINES does not pass personal data to third parties for advertising purposes. In the capture, a Google Ads conversion tag runs, and the Cookiebot declaration on the same page describes ga-audiences as a tool for re-engaging visitors based on their behaviour across websites. Cloudflare Web Analytics, which receives a report on every page before any choice, and Apple Pay, whose scripts load on every page, are named neither in the policy nor in the declaration.

Full technical documentation is published at: https://gdpru.eu/audits/ee-ecolines-net/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — Google Ads and Google Analytics before any choice; ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — Google Ads and Google Analytics after refusal; GDPR Art. 4(11) / Art. 7(1) / Art. 5(1)(a) — the policy declares mere use of the site to be consent; GDPR Art. 13(1)(a), 13(1)(c), 13(1)(f) and Art. 13(2)(a) — controller not named, legal bases, retention and transfers outside the EU not described; GDPR Art. 13(2)(b), 13(2)(d) — rights not listed, no right to lodge a complaint with a supervisory authority; GDPR Art. 13(1)(e) / Art. 5(1)(a) — the policy denies sharing data for advertising, some recipients not named

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil ecolines.net.

2. Asjaolud
Külastasin veebisaiti ecolines.net ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 03.10.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Cookieboti bänner pakub võrdväärseid nuppe „Keeldu“ ja „Luba kõik“, kuid Google'i sildid seda ei oota. Google Ads ja kolm Google Analytics 4 loendurit töötavad ilma nõusolekurežiimita: parameeter gcd ei sisalda ühtegi määratud olekut ja parameeter gcs puudub. +1,6 s juures saadetakse Google Adsi AW-1066609921 lehevaatamine koos reklaamiidentifikaatoriga. +1,6…+2,5 s juures saadavad kolm GA4 loendurit page_view sündmuse ühise kliendiidentifikaatori ning esimese külastuse ja seansi alguse tunnustega. Samal ajal saadetakse sama identifikaator Google'i reklaamisõlmedele stats.g.doubleclick.net ja www.google.ee/ads/ga-audiences. Cookieboti enda deklaratsioon liigitab _ga, _gcl_au ja ga-audiences turundusküpsiste hulka.

2) +69,4 s juures vajutab külastaja „Keeldu“ ja Cookiebot salvestab keeldumise (action=decline). Sama lehe piires läheb Google keelurežiimi. Kuid lehe järgmisel täielikul laadimisel (+177,8 s) käivituvad Google Ads ning loendurid G-RZBJCTBWS4 ja G-SFPGY7N3EW uuesti ilma nõusoleku olekuta, uute kliendiidentifikaatorite ja reklaamiidentifikaatoriga, ning saadavad taas päringud aadressile ga-audiences. Cookieboti salvestatud otsus laaditakse alles +178,2 s juures – pärast andmete saatmist.

3) Konfidentsiaalsuspoliitika ütleb: „Meie lähtume sellest, et enne meie interneti lehekülje kasutamist … Teie tutvusite käesolevate Konfidentsiaalsuspoliitika põhimõtete ja tingimustega ning samuti nõustusite nendega.“ Nõustumine poliitikaga tervikuna on kuulutatud nõusolekuks andmete kogumiseks, töötlemiseks ja kasutamiseks ning küpsiste kohta öeldakse, et neid saab brauseri seadetes säilitada või ignoreerida. Nõusolek antakse aktiivse tegevusega, mitte veebilehe kasutamisega.

4) Poliitika nimetab vastutavat töötlejat ainult kaubamärgi ECOLINES ja aadressiga help@ecolines.lv – ilma juriidilise isiku, registrikoodi ja aadressita. Ainus alus on nõusolek; piletimüük (leping) ning tolli- ja migratsioonikontroll (seadusest tulenev kohustus) ei ole muude alustega põhjendatud. Säilitamistähtajad puuduvad. Edastamise kohta väljapoole ELi öeldakse ainult, et see „võib kaasa tuua“ andmete väljastamise ja et ECOLINES „teeb kõik endast oleneva“ – ilma edastamise mehhanismita.

5) Õigustest nimetab poliitika ainult nõusoleku tagasivõtmist, otseturundusest loobumist ja andmete kustutamist isiklikust kabinetist. Õigust tutvuda andmetega, õigust andmete parandamisele, töötlemise piiramisele, vastuväidete esitamisele ja andmete ülekandmisele ei mainita. Õigust esitada kaebus järelevalveasutusele tekstis ei ole.

6) Poliitika väidab, et ECOLINES ei anna isikuandmeid edasi kolmandatele isikutele reklaami eesmärgil. Mõõtmise käigus töötab Google Adsi konversioonimärgis ning Cookieboti deklaratsioon samal lehel kirjeldab ga-audiences'it kui vahendit külastajate taaskaasamiseks nende eri veebilehtedel käitumise põhjal. Cloudflare Web Analyticsit, mis saab enne valikut aruande igast lehest, ja Apple Payd, mille skriptid laaditakse igal lehel, ei nimetata ei poliitikas ega deklaratsioonis.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-ecolines-net/

3. Sätted, mille järgimist palun kontrollida
Eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv 2002/58/EÜ art 5 lg 3 (koostoimes IKÜM art 6 lg 1 p-ga a) — Google Ads ja Google Analytics enne mis tahes valikut; Eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv 2002/58/EÜ art 5 lg 3 (koostoimes IKÜM art 6 lg 1 p-ga a) — Google Ads ja Google Analytics pärast keeldumist; IKÜM art 4 p 11 / art 7 lg 1 / art 5 lg 1 p a — poliitika käsitleb nõusolekuna juba veebilehe kasutamist; IKÜM art 13 lg 1 p a, c, f ja art 13 lg 2 p a — vastutavat töötlejat ei ole nimetatud, alused, säilitamistähtajad ja edastamine väljapoole ELi on kirjeldamata; IKÜM art 13 lg 2 p b, d — õigused on loetlemata, õigust esitada kaebus järelevalveasutusele ei ole; IKÜM art 13 lg 1 p e / art 5 lg 1 p a — poliitika eitab andmete edastamist reklaami eesmärgil, osa vastuvõtjaid on nimetamata

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]