Сайт государственного оператора лотерей Eesti Loto — 115 запросов, и за пределы собственных доменов уходят только загрузка контейнера Google Tag Manager и обращения к платформе согласия. Баннер CookieYes с тремя кнопками, включая «Keeldu kõigist», решение записывается, а аналитика, чат и реклама ждут согласия и после отказа не загружаются. Нарушений не зафиксировано.
Хронология обращений
Декларация против факта
Тайминги передачи
GTM-MBNCCKKJ; тегов не запускает.
CookieYes.
api/v1/consent; содержимое вычищено.
Зафиксированные трекеры
- CookieYes (cdn-cookieyes.com, log.cookieyes.com) — платформа согласия; решение записано на +4,6 с
- Google Tag Manager (GTM-MBNCCKKJ) — контейнер грузится, ни одного тега не запускает
- Первая сторона: www.eestiloto.ee, api.eestiloto.ee, assets.eestiloto.ee
Контекст
eestiloto.ee — сайт AS Eesti Loto (рег. код 10281170), государственного оператора лотерей в Эстонии. Согласием управляет CookieYes, а собственная прослойка аналитики сайта подключает сервисы только после согласия.
Замер — одна запись главной страницы. Всего 115 запросов. Обработку описывают принципы обработки персональных данных Eesti Loto по состоянию на 24 сентября 2026 года.
Кому уходят данные напрямую
Google — только загрузка контейнера Tag Manager. CookieYes — как платформа согласия. Больше никому.
Заявленное против фактического
Технически сайт устроен образцово. Баннер предлагает три кнопки на первом экране: настроить, отказаться от всего, согласиться со всем. Решение записывается. Контейнер Google Tag Manager грузится, но ни одного тега не запускает. Аналитика, чат и реклама так и не загружаются — сайт явно держит их до согласия, и после отказа они не появляются.
Политика называет ответственного обработчика и право на жалобу в Andmekaitse Inspektsioon.
Одно замечание к тексту политики, на вывод не влияющее. Она пишет, что сторонние cookie — например, Google Analytics и Facebook pixel — используются «анонимно», и что данные в третьи страны не передаются. Пиксель Facebook анонимным не является: его назначение — узнавать посетителя. В замере после отказа ни Google Analytics, ни пиксель не загружались, так что на практике это не проявилось. Но посетитель, решающий, соглашаться ли, получает неточное описание того, что включит согласие.
Согласие: что доказано и что нет
Доказано: отказ на первом слое есть. Кнопка «Keeldu kõigist» на скриншоте 1.
Доказано: до решения и после него сторонних сервисов нет. Кроме загрузки контейнера GTM и платформы согласия — ни одного внешнего обращения.
Не установлено: какое решение записано. Содержимое обращения к log.cookieyes.com вычищено. Отсутствие сторонних сервисов после решения соответствует отказу.
Не установлено: поведение после полного согласия. Не проверялось.
Границы наблюдения
Замер охватывает главную страницу. Вход, покупка билетов и игры не проверялись. Наблюдение фиксирует поведение браузера, а не серверную обработку. Файл опубликован очищенным: удалены заголовки Cookie и тела POST-обращений.
Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon.
Вывод
Eesti Loto держит все сторонние сервисы под замком до согласия посетителя: равнозначный отказ на первом экране, а наружу до решения уходит только загрузка контейнера тегов. Нарушений не зафиксировано.
Пожелание: убрать из политики утверждение об «анонимном» использовании Google Analytics и Facebook pixel и описать, что эти сервисы получают после согласия.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
c8a7c65326f64a4098b9075609cd70240a41d96ac8459f7f4f8d581a8eed2183Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — eestiloto.ee Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта eestiloto.ee. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) Прошу предоставить информацию по всем категориям, целям и получателям обработки моих данных на этом сайте — независимо от того, выявлены ли на сегодняшний день какие-либо несоответствия. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-eestiloto-ee/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — eestiloto.ee To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website eestiloto.ee. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) I request information on all categories, purposes, and recipients of my data processed on this site — regardless of whether any non-compliance has been identified to date. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-eestiloto-ee/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — eestiloto.ee Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond] Kellelt: [Teie nimi], [kontakt-e-post] Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi eestiloto.ee kasutamisega. 1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c)) Palun esitada teave kõigi minu andmete töötlemise kategooriate, eesmärkide ja vastuvõtjate kohta sellel veebisaidil — sõltumata sellest, kas praeguseks on tuvastatud mingeid mittevastavusi. 2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46) Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-eestiloto-ee/ 3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h)) Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika. Lugupidamisega, [Teie nimi] [kontakt-e-post] [Riik] [Kuupäev]

