Сайт телекоммуникационного оператора — один замер страницы товара, 234 запроса, 9 узлов, около трёх секунд. Разбор чистый: у Elisa собственный модуль управления согласием, и заявленный в декларации cookie рекламно-аналитический стек — Google Analytics, Microsoft Clarity, Meta, AdForm, VWO и другие — в этом замере не срабатывает ни разу. Из внешних обращений остаются только функциональные: Google Fonts, клиентская библиотека Google и одно превью встроенного ролика YouTube, отправляющие адрес IP в Google. Заголовки безопасности выставлены. Нарушений не зафиксировано; единственная мягкая оговорка — функциональные эмбеды обращаются к Google до выбора согласия.
Хронология обращений
Декларация против факта
Тайминги передачи
Клиентская библиотека Google (gapi).
GTM-TKQ57SKW, GTM-59BK54P. Downstream-обращений нет.
Веб-шрифт Open Sans с CDN Google.
Превью встроенного ролика; плеер youtube.com не загружается.
Зафиксированные трекеры
- Собственный модуль согласия Elisa (www.elisa.ee/modules/custom/elisa_cookie/…/elisaConsent.js) — первичная платформа управления согласием
- Google Tag Manager (www.googletagmanager.com, контейнеры GTM-TKQ57SKW и GTM-59BK54P) — загружается, но ни один downstream-тег в этом замере не срабатывает
- Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — веб-шрифты, адрес IP уходит в Google
- Google API client / gapi (apis.google.com) — клиентская библиотека Google, функциональная
- YouTube (img.youtube.com) — одно превью встроенного ролика на странице товара, адрес IP уходит в Google
- Первая сторона: annika.elisa.ee (чат-бот «Анника»), sso.elisa.ee (вход), pilt.elisa.ee (изображения) — функциональные компоненты Elisa
- Заявленный, но не сработавший стек: Google Analytics, Microsoft Clarity, Meta/Facebook, AdForm, VWO, Reddit, Optinmonster, Leadfeeder — раскрыты в декларации cookie по категориям согласия, но в этом замере обращений к ним нет
Контекст
elisa.ee — сайт телекоммуникационного оператора Elisa. Ответственный обработчик — Elisa Eesti AS, входящая в концерн Elisa; принципы обработки составлены по Регламенту (ЕС) 2016/679. Управление согласием реализовано собственным модулем Elisa (elisa_cookie / elisaConsent.js), а не сторонней платформой. Сайт держит хорошую планку заголовков: Content-Security-Policy (frame-ancestors), HSTS с preload, X-Frame-Options SAMEORIGIN, X-Content-Type-Options nosniff.
Замер — одна запись страницы товара (робот-пылесос для бизнес-клиентов): 234 запроса, 9 узлов, около трёх секунд, съёмка 7 сентября 2026 года. Обработку описывают принципы обработки персональных данных Elisa и подробные принципы использования cookie.
Кому уходят данные напрямую
Google — только функционально: веб-шрифты (Google Fonts), клиентская библиотека gapi и одно превью встроенного ролика YouTube. Остальное — первая сторона (чат-бот «Анника», вход, изображения). Аналитических и рекламных получателей в этом замере нет.
Заявленное против фактического
Здесь заявленное и фактическое сходятся, и в редком для этого проекта направлении — фактическое чище заявленного.
Декларация cookie у Elisa подробная и честная: она перечисляет весь рекламно-аналитический стек поимённо и с разбивкой по категориям согласия. В статистических — Google Analytics и Microsoft Clarity (последний прямо описан как собирающий данные о навигации и поведении, строящий тепловые карты и фиксирующий «rage clicks»). В маркетинговых — Meta/Facebook, AdForm, VWO, Reddit, Optinmonster, Leadfeeder. Сторонние поставщики названы списком: Microsoft, Meta, Google, YouTube, Reddit, AdForm, VWO, Optinmonster, Leadfeeder.
Фактически в этом замере не сработал ни один из них. За 234 запроса нет ни одного обращения к google-analytics.com, к узлам Microsoft Clarity, к Meta, к AdForm или к любому другому получателю из этого списка. Загружаются два контейнера Google Tag Manager, но ни одного downstream-обращения к аналитике или рекламе за ними не следует — теги остаются несработавшими. Это поведение, ожидаемое при отсутствии согласия на статистику и маркетинг: собственный модуль согласия Elisa удержал весь заявленный стек.
Остаётся тонкий, не поднимаемый до нарушения момент: функциональные внешние ресурсы обращаются к Google до какого-либо выбора согласия. Веб-шрифт Open Sans подгружается с CDN Google (fonts.gstatic.com), клиентская библиотека gapi — с apis.google.com, превью встроенного ролика — с img.youtube.com. Каждое из этих обращений несёт адрес IP посетителя в Google. Это распространённая практика для шрифтов и медиа-эмбедов и к рекламно-аналитическому трекингу не относится; отмечается как оговорка, а не как расхождение.
Согласие: что доказано и что нет
Доказано: заявленный рекламно-аналитический стек в этом замере не сработал. Ни одного обращения к Google Analytics, Microsoft Clarity, Meta, AdForm или иным получателям из декларации cookie за 234 запроса не зафиксировано. Контейнеры Google Tag Manager загружаются, но downstream-тегов не запускают.
Доказано: платформа согласия — собственная и первичная. На страницу подключается модуль elisaConsent.js из modules/custom/elisa_cookie; сторонних CMP (OneTrust, Cookiebot, CookieYes и подобных) в записи нет.
Не доказано и не требуется: точное состояние согласия. Поскольку ни один тег с сигналом согласия (например, gcs у GA4) не сработал, машинного признака «дано/отклонено» в записи нет. Существенно то, что заявленный стек фактически не обращался вовне; вывод опирается на это, а не на реконструкцию состояния согласия.
Границы наблюдения
Замер охватывает одну страницу — карточку товара — и фиксирует поведение браузера, не внутреннюю кухню сервисов: настройка контейнеров Google Tag Manager, серверная обработка и договоры с получателями браузерным замером не проверяются. Тела скриптов (включая содержимое контейнеров GTM) в опубликованном файле очищены, поэтому какие теги в них настроены, по записи не устанавливается — фиксируется лишь факт, что downstream-обращения к аналитике и рекламе не состоялись. Первичные компоненты annika.elisa.ee (чат-бот), sso.elisa.ee (вход) и pilt.elisa.ee (изображения) отнесены к функциональной отдаче Elisa.
Файл опубликован очищенным от личных данных: удалены значения куки в запросах. Заголовки ответов и порядок загрузки сохранены, поэтому состав обращений и инициаторы проверяются по опубликованному файлу напрямую.
Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon.
Вывод
Разбор чистый. Телекоммуникационный оператор держит собственный модуль управления согласием, подробно и поимённо раскрывает весь свой рекламно-аналитический стек в декларации cookie — Google Analytics, Microsoft Clarity, Meta, AdForm и другие, — и в этом замере не запускает из него ничего: контейнеры Google Tag Manager загружаются, но downstream-теги не срабатывают. Заголовки безопасности выставлены. Заявленное сходится с фактическим, и фактическое оказывается чище — трекеры удержаны.
Единственная оговорка — функциональные внешние ресурсы (веб-шрифты Google, клиентская библиотека gapi, превью встроенного ролика YouTube) обращаются к Google до выбора согласия и несут туда адрес IP посетителя. Это не рекламный трекинг и как нарушение не фиксируется.
Устранение (в порядке ужесточения, не как исправление нарушения): рассмотреть самостоятельный хостинг веб-шрифтов вместо fonts.gstatic.com и загрузку превью встроенных роликов через фасад-заглушку (или домен youtube-nocookie), чтобы адрес IP посетителя не уходил в Google до выбора согласия.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
92d709e9e6b6b47cab8325c2d19042bf7663d2c489d2bd772276fd32e514cf09Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — elisa.ee Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта elisa.ee. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) Прошу предоставить информацию по всем категориям, целям и получателям обработки моих данных на этом сайте — независимо от того, выявлены ли на сегодняшний день какие-либо несоответствия. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-elisa-ee/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — elisa.ee To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website elisa.ee. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) I request information on all categories, purposes, and recipients of my data processed on this site — regardless of whether any non-compliance has been identified to date. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-elisa-ee/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — elisa.ee Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond] Kellelt: [Teie nimi], [kontakt-e-post] Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi elisa.ee kasutamisega. 1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c)) Palun esitada teave kõigi minu andmete töötlemise kategooriate, eesmärkide ja vastuvõtjate kohta sellel veebisaidil — sõltumata sellest, kas praeguseks on tuvastatud mingeid mittevastavusi. 2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46) Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-elisa-ee/ 3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h)) Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika. Lugupidamisega, [Teie nimi] [kontakt-e-post] [Riik] [Kuupäev]