Сайт балтийских юридических фирм Ellex — одна запись, пять страниц, 360 запросов, одиннадцать узлов. Баннер CookieYes с тремя равнозначными кнопками, аналитика и реклама выключены, решение записано дважды, и статус согласия Google всё время остаётся «запрещено». Но Google Analytics 4 в расширенном режиме Consent Mode отправляет page_view и scroll на каждой странице, а тег Google добавляет к внутренним ссылкам параметр _gl с закодированным идентификатором клиента. В результате, хотя cookie не сохраняются, все обращения в Google на протяжении четырёх с половиной минут связаны одним идентификатором посетителя: отказ от cookie не разрывает отслеживание. Политика говорит, что данные передаются третьим лицам только когда этого требует закон, а её раздел о cookie описывает давно заменённый баннер. Браузер заголовок DNT не отправлял.
Хронология обращений
Декларация против факта
Тайминги передачи
CookieYes, реклама и аналитика выключены по умолчанию.
gtag/js GT-WRDDK49, расширенный режим Consent Mode, декорирование ссылок _gl.
page_view, gcs=G100, cid 524291266.1790287814.
api/v1/consent; статус Google после этого — G100.
page_view на главной по адресу с _gl; далее scroll, вакансии, политика, главная — тот же cid.
Зафиксированные трекеры
- Google Analytics 4 (G-F79LTMTJ9P) через region1.google-analytics.com — page_view и scroll в режиме согласия «запрещено» (gcs=G100) с одним идентификатором клиента на всех страницах
- Google Tag (www.googletagmanager.com, теги GT-WRDDK49 и GTM-MN5MQ4SV) — тег Google и контейнер; добавляет к внутренним ссылкам параметр _gl с идентификатором клиента
- CookieYes (cdn-cookieyes.com, log.cookieyes.com, directory.cookieyes.com) — платформа управления согласием
- Google reCAPTCHA (www.google.com/recaptcha, www.gstatic.com, csp.withgoogle.com) — защита форм, загружается на каждой странице
- Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — шрифты Inter и Arsenal; адрес IP посетителя виден Google
Признаки несоответствия GDPR
- ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — передача при статусе «запрещено»Баннер CookieYes предлагает равнозначные «Customise», «Reject All» и «Accept All», аналитика и реклама выключены. Тег Google (GT-WRDDK49) работает в расширенном режиме Consent Mode: первый page_view в Google Analytics 4 уходит на +1204 мс со статусом gcs=G100 (аналитика и реклама запрещены), до какого-либо выбора. CookieYes дважды записывает решение (+68093 и +257081 мс), статус после этого остаётся «запрещено», что согласуется с отказом. Тем не менее на каждой следующей странице — главная, вакансии, политика конфиденциальности — в Google уходят page_view и scroll (+83199, +90071, +106853, +120446, +132093, +270220 мс) с адресом страницы и сведениями об устройстве. Согласно Руководству EDPB 2/2023 о техническом охвате ст. 5(3), считывание таких сведений с устройства скриптом требует согласия и без использования cookie.
- ePrivacy — Директива 2002/58/EC, ст. 5(3); GDPR Art. 5(1)(c), Art. 6(1) — идентификатор посетителя через адрес ссылокПри статусе «запрещено» cookie Google Analytics не сохраняются, однако тег Google добавляет ко всем внутренним ссылкам параметр _gl, в котором закодирован идентификатор клиента: _ga*NTI0MjkxMjY2LjE3OTAyODc4MTQ декодируется в 524291266.1790287814. Следующая страница считывает идентификатор из адреса, поэтому все восемь обращений в Google Analytics за 270 секунд — на пяти страницах и после обоих решений в баннере — несут один и тот же идентификатор клиента, а признак первого визита выставлен только на первой странице. Идентификатор создан в 22:10:14 UTC, через 1,5 секунды после начала записи. Таким образом, отказ от cookie не разрывает связывание просмотров одного посетителя: идентичность переносится в адресе страницы и в составе адреса передаётся в Google Analytics.
- GDPR Art. 5(1)(a), Art. 13(1)(e) — прозрачность: заявленное расходится с фактическимПолитика Ellex Circle сообщает, что персональные данные раскрываются третьим лицам только когда этого требует применимый закон; её раздел о cookie описывает cookie прежнего баннера gotoandplay_cookie_agreement и cookie Google Analytics _ga, _gid, _gat и не упоминает ни CookieYes, ни режим согласия Google, ни параметр _gl. Декларация CookieYes обещает сохранять аналитические cookie только с предварительного согласия и описывает _ga как хранящую информацию «анонимно». Фактически сведения о просмотре со стабильным идентификатором уходят в Google без согласия. reCAPTCHA в политике не названа.
Контекст
ellex.legal — сайт объединения юридических фирм Ellex Circle: Ellex Raidla в Эстонии (Ahtri 4, 10117 Tallinn), Ellex Kļaviņš в Латвии и Ellex Valiūnas в Литве; каждая фирма — контролёр данных в своей стране. Контакт по защите данных для Эстонии — privacy.estonia@ellex.legal. Сайт построен на WordPress (WPML), сервер Apache.
Обработку описывают политика конфиденциальности Ellex Circle и декларация cookie платформы CookieYes. К материалам приложены два снимка экрана: баннер согласия и окно настроек.
Замер состоит из одной записи около четырёх с половиной минут: страница юриста, главная, вакансии, политика конфиденциальности и дважды главная. Триста шестьдесят запросов, одиннадцать узлов. Запись сделана 25 сентября 2026 года.
Кому уходят данные напрямую
Google (Analytics 4, тег Google, reCAPTCHA, Fonts), CookieYes (платформа согласия). Рекламы, Facebook и RTB в записи нет.
Заявленное против фактического
Политика сообщает, что персональные данные передаются обработчикам и фирмам Ellex Circle, а третьим лицам — только когда этого требует применимый закон. Её раздел о cookie описывает cookie gotoandplay_cookie_agreement прежнего баннера и cookie Google Analytics _ga, _gid, _gat. Декларация CookieYes обещает, что сторонние cookie аналитики и рекламы сохраняются только с предварительного согласия, а _ga хранит информацию «анонимно».
Замер показывает следующее.
Платформа согласия настроена корректно. Баннер CookieYes, как видно на снимках, предлагает три равнозначные кнопки — «Customise», «Reject All», «Accept All»; реклама и неклассифицированные cookie выключены. Решение записано дважды (+68093 и +257081 мс). Статус согласия Google во всех обращениях — gcs=G100, аналитика и реклама запрещены; после обеих записей он не меняется, что согласуется с отказом.
Google Analytics отправляет данные при статусе «запрещено». Тег Google GT-WRDDK49 работает в расширенном режиме Consent Mode. Первый page_view ресурса G-F79LTMTJ9P уходит на +1204 мс, до какого-либо выбора; затем page_view и scroll уходят на каждой странице — главной, вакансиях, политике конфиденциальности — вплоть до +270220 мс. Каждое обращение несёт адрес страницы и сведения об устройстве. Согласно Руководству EDPB 2/2023 о техническом охвате ст. 5(3), такое считывание требует согласия и без использования cookie.
Идентификатор посетителя переносится в адресе ссылок. Это главное отличие от сайтов, где расширенный режим Consent Mode лишь отправляет разрозненные обращения. Здесь тег Google добавляет ко всем внутренним ссылкам параметр _gl, в котором закодирован идентификатор клиента: фрагмент _ga*NTI0MjkxMjY2LjE3OTAyODc4MTQ декодируется в 524291266.1790287814. Следующая страница считывает идентификатор из адреса — поэтому все восемь обращений в Google Analytics за 270 секунд, на пяти страницах и после обоих решений в баннере, несут один и тот же идентификатор, а признак первого визита выставлен только на первой странице. Cookie при этом не сохраняются, но связывание просмотров одного посетителя продолжается: отказ от cookie его не разрывает. Идентификатор попадает в адресную строку, историю браузера, журналы сервера сайта и в составе адреса страницы — в Google Analytics. Сторонним узлам через заголовок Referer он не уходит: политика реферера strict-origin-when-cross-origin передаёт им только источник.
Документы этого не отражают. Раздел о cookie политики описывает давно заменённый баннер и не упоминает ни CookieYes, ни режим согласия, ни параметр _gl; reCAPTCHA не названа. Утверждение о передаче третьим лицам только по требованию закона расходится с передачей сведений о просмотре в Google без согласия.
Функциональные узлы: Google reCAPTCHA загружается на каждой странице (вместе с приёмом отчётов csp.withgoogle.com), шрифты Inter и Arsenal — с Google Fonts.
Согласие: что доказано и что нет
Доказано: баннер с равнозначным отказом, решения записаны. По снимкам экрана и двум обращениям log.cookieyes.com/api/v1/consent.
Доказано: статус согласия Google на всём протяжении — «запрещено». По значению gcs=G100 во всех восьми обращениях.
Доказано: при этом page_view и scroll уходят в Google на каждой странице. Восемь обращений /g/collect.
Доказано: идентификатор клиента один и тот же на всех страницах и переносится через _gl. По значению cid в обращениях и декодированию параметра _gl в адресах навигации.
Не доказано и не утверждается: содержание записей согласия. Тела обращений api/v1/consent в опубликованном файле заредактированы; вывод об отказе опирается на неизменный статус gcs=G100 после обеих записей.
Отдельно: браузер заголовок DNT в этой записи не отправлял.
Границы наблюдения
Замер охватывает пять страниц сайта; формы не отправлялись. Наблюдение фиксирует поведение браузера, а не внутреннюю сторону сервисов: как Google обрабатывает полученные обращения, браузерным замером не проверяется. Правовую оценку выносит компетентный орган — в Эстонии это Andmekaitse Inspektsioon, названный в политике наряду с органами Латвии и Литвы.
Файл опубликован очищенным по «постному» профилю: удалены значения cookie в запросах, вырезаны заголовки Cookie и Set-Cookie; реестр очистки фиксирует 280 редакций и контрольную сумму. Параметры режима согласия, идентификатор клиента и адреса с параметром _gl читаются по записи полностью.
Идентификация сервисов опирается на домены и схему адресов: аналитика — по google-analytics.com и ресурсу G-F79LTMTJ9P; тег — по googletagmanager.com и GT-WRDDK49; платформа согласия — по cookieyes.com; reCAPTCHA — по google.com/recaptcha. Параметр _gl декодирован как base64-значение поля _ga.
Вывод
На сайте юридических фирм Ellex работает корректно настроенный баннер CookieYes с равнозначным отказом, решение записано, и статус согласия Google всё время остаётся «запрещено». Однако Google Analytics 4 в расширенном режиме Consent Mode отправляет page_view и scroll на каждой странице, а тег Google переносит идентификатор клиента между страницами через параметр _gl в адресе ссылок. В результате, хотя cookie не сохраняются, все просмотры посетителя за сеанс связаны в Google одним идентификатором — отказ прекращает запись cookie, но не отслеживание. Политика обещает передачу третьим лицам только по требованию закона, а её раздел о cookie описывает давно заменённый баннер и не отражает ни текущую платформу согласия, ни режим согласия Google.
Устранение: перевести Google Analytics в базовый режим Consent Mode, при котором тег не загружается и не отправляет обращений до согласия; отключить декорирование ссылок параметром _gl для собственного домена (линкер предназначен для переходов между разными доменами) либо ставить его только после согласия; обновить раздел о cookie политики — описать CookieYes, режим согласия, Google Analytics с правовым основанием, reCAPTCHA; привести формулировку о передаче третьим лицам в соответствие с фактической передачей в Google.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
fc9827dc1ce2fa361b11e13491a3edc7e118082362329d5fb8dca3772bf22f5a
Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — ellex.legal Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта ellex.legal. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) Баннер CookieYes предлагает равнозначные «Customise», «Reject All» и «Accept All», аналитика и реклама выключены. Тег Google (GT-WRDDK49) работает в расширенном режиме Consent Mode: первый page_view в Google Analytics 4 уходит на +1204 мс со статусом gcs=G100 (аналитика и реклама запрещены), до какого-либо выбора. CookieYes дважды записывает решение (+68093 и +257081 мс), статус после этого остаётся «запрещено», что согласуется с отказом. Тем не менее на каждой следующей странице — главная, вакансии, политика конфиденциальности — в Google уходят page_view и scroll (+83199, +90071, +106853, +120446, +132093, +270220 мс) с адресом страницы и сведениями об устройстве. Согласно Руководству EDPB 2/2023 о техническом охвате ст. 5(3), считывание таких сведений с устройства скриптом требует согласия и без использования cookie. 2) При статусе «запрещено» cookie Google Analytics не сохраняются, однако тег Google добавляет ко всем внутренним ссылкам параметр _gl, в котором закодирован идентификатор клиента: _ga*NTI0MjkxMjY2LjE3OTAyODc4MTQ декодируется в 524291266.1790287814. Следующая страница считывает идентификатор из адреса, поэтому все восемь обращений в Google Analytics за 270 секунд — на пяти страницах и после обоих решений в баннере — несут один и тот же идентификатор клиента, а признак первого визита выставлен только на первой странице. Идентификатор создан в 22:10:14 UTC, через 1,5 секунды после начала записи. Таким образом, отказ от cookie не разрывает связывание просмотров одного посетителя: идентичность переносится в адресе страницы и в составе адреса передаётся в Google Analytics. 3) Политика Ellex Circle сообщает, что персональные данные раскрываются третьим лицам только когда этого требует применимый закон; её раздел о cookie описывает cookie прежнего баннера gotoandplay_cookie_agreement и cookie Google Analytics _ga, _gid, _gat и не упоминает ни CookieYes, ни режим согласия Google, ни параметр _gl. Декларация CookieYes обещает сохранять аналитические cookie только с предварительного согласия и описывает _ga как хранящую информацию «анонимно». Фактически сведения о просмотре со стабильным идентификатором уходят в Google без согласия. reCAPTCHA в политике не названа. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-ellex-legal/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — ellex.legal To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website ellex.legal. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) The CookieYes banner offers equal-weight 'Customise', 'Reject All' and 'Accept All', with analytics and advertising off. The Google tag (GT-WRDDK49) runs in Consent Mode's advanced mode: the first page_view to Google Analytics 4 goes out at +1204 ms with the status gcs=G100 (analytics and advertising denied), before any choice. CookieYes records a decision twice (+68093 and +257081 ms), and the status remains 'denied' afterwards, which is consistent with a refusal. Nonetheless on every subsequent page — the home page, careers, the privacy policy — page_view and scroll events go to Google (+83199, +90071, +106853, +120446, +132093, +270220 ms) with the page address and device information. Under EDPB Guidelines 2/2023 on the technical scope of Art. 5(3), reading such information from the device by script requires consent even without the use of cookies. 2) In the 'denied' state Google Analytics cookies are not stored; however, the Google tag appends to all internal links a _gl parameter in which the client identifier is encoded: _ga*NTI0MjkxMjY2LjE3OTAyODc4MTQ decodes to 524291266.1790287814. The next page reads the identifier from the address, so all eight Google Analytics requests over 270 seconds — across five pages and after both decisions in the banner — carry one and the same client identifier, with the first-visit flag set only on the first page. The identifier was created at 22:10:14 UTC, 1.5 seconds after the start of the recording. Thus refusing cookies does not break the linking of one visitor's page views: the identity is carried in the page address and, as part of that address, transmitted to Google Analytics. 3) The Ellex Circle policy states that personal data is disclosed to third parties only when required under applicable law; its cookie section describes the cookie of a former banner, gotoandplay_cookie_agreement, and the Google Analytics cookies _ga, _gid, _gat, and mentions neither CookieYes, nor Google's consent mode, nor the _gl parameter. The CookieYes declaration promises to store analytics cookies only with prior consent and describes _ga as storing information 'anonymously'. In fact browsing information with a stable identifier goes to Google without consent. reCAPTCHA is not named in the policy. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-ellex-legal/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — ellex.legal Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond] Kellelt: [Teie nimi], [kontakt-e-post] Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi ellex.legal kasutamisega. 1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c)) Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad: 1) CookieYes bänner pakub võrdväärseid nuppe «Customise», «Reject All» ja «Accept All», analüütika ja reklaam on vaikimisi välja lülitatud. Google'i silt (GT-WRDDK49) töötab laiendatud Consent Mode režiimis: esimene page_view Google Analytics 4-s saadetakse +1204 ms juures staatusega gcs=G100 (analüütika ja reklaam keelatud), enne mistahes valikut. CookieYes salvestab otsuse kahel korral (+68093 ja +257081 ms), staatus jääb pärast seda «keelatud», mis on kooskõlas keeldumisega. Sellegipoolest saadetakse igal järgneval lehel — avaleht, töökohad, privaatsuspoliitika — Google'ile page_view ja scroll (+83199, +90071, +106853, +120446, +132093, +270220 ms) koos lehe aadressi ja seadme andmetega. EDPB juhendi 2/2023 kohaselt, mis käsitleb art 5(3) tehnilist ulatust, vajab selliste seadmeandmete lugemine skripti kaudu nõusolekut ka küpsiseid kasutamata. 2) Staatuse «keelatud» juures Google Analyticsi küpsiseid ei salvestata, kuid Google'i silt lisab kõigile sisemistele linkidele parameetri _gl, millesse on kodeeritud kliendi tuvastaja: _ga*NTI0MjkxMjY2LjE3OTAyODc4MTQ dekodeerub 524291266.1790287814-ks. Järgmine leht loeb tuvastaja aadressist, mistõttu kõik kaheksa Google Analyticsi päringut 270 sekundi jooksul — viiel lehel ja pärast mõlemat bänneri otsust — kannavad sama kliendi tuvastajat, ja esimese külastuse märge on seatud vaid esimesel lehel. Tuvastaja loodi kell 22:10:14 UTC, 1,5 sekundit pärast salvestuse algust. Seega küpsistest keeldumine ei katkesta ühe külastaja vaatamiste seostamist: identiteet kantakse edasi lehe aadressis ja edastatakse aadressi koosseisus Google Analyticsile. 3) Ellex Circle'i poliitika teatab, et isikuandmeid avaldatakse kolmandatele isikutele ainult kohaldatava seaduse nõudmisel; selle küpsiste jaotis kirjeldab varasema bänneri küpsist gotoandplay_cookie_agreement ja Google Analyticsi küpsiseid _ga, _gid, _gat, ega maini ei CookieYes'i, Google'i nõusolekurežiimi ega parameetrit _gl. CookieYes'i deklaratsioon lubab salvestada analüütilisi küpsiseid vaid eelneva nõusoleku alusel ja kirjeldab _ga't kui «anonüümselt» säilitavat. Tegelikult saadetakse stabiilse tuvastajaga vaatamisandmed Google'ile nõusolekuta. reCAPTCHA-t poliitikas ei mainita. 2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46) Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-ellex-legal/ 3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h)) Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika. Lugupidamisega, [Teie nimi] [kontakt-e-post] [Riik] [Kuupäev]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee
Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — ellex.legal 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом ellex.legal. 2. Обстоятельства Я посетил сайт ellex.legal и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 25.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) Баннер CookieYes предлагает равнозначные «Customise», «Reject All» и «Accept All», аналитика и реклама выключены. Тег Google (GT-WRDDK49) работает в расширенном режиме Consent Mode: первый page_view в Google Analytics 4 уходит на +1204 мс со статусом gcs=G100 (аналитика и реклама запрещены), до какого-либо выбора. CookieYes дважды записывает решение (+68093 и +257081 мс), статус после этого остаётся «запрещено», что согласуется с отказом. Тем не менее на каждой следующей странице — главная, вакансии, политика конфиденциальности — в Google уходят page_view и scroll (+83199, +90071, +106853, +120446, +132093, +270220 мс) с адресом страницы и сведениями об устройстве. Согласно Руководству EDPB 2/2023 о техническом охвате ст. 5(3), считывание таких сведений с устройства скриптом требует согласия и без использования cookie. 2) При статусе «запрещено» cookie Google Analytics не сохраняются, однако тег Google добавляет ко всем внутренним ссылкам параметр _gl, в котором закодирован идентификатор клиента: _ga*NTI0MjkxMjY2LjE3OTAyODc4MTQ декодируется в 524291266.1790287814. Следующая страница считывает идентификатор из адреса, поэтому все восемь обращений в Google Analytics за 270 секунд — на пяти страницах и после обоих решений в баннере — несут один и тот же идентификатор клиента, а признак первого визита выставлен только на первой странице. Идентификатор создан в 22:10:14 UTC, через 1,5 секунды после начала записи. Таким образом, отказ от cookie не разрывает связывание просмотров одного посетителя: идентичность переносится в адресе страницы и в составе адреса передаётся в Google Analytics. 3) Политика Ellex Circle сообщает, что персональные данные раскрываются третьим лицам только когда этого требует применимый закон; её раздел о cookie описывает cookie прежнего баннера gotoandplay_cookie_agreement и cookie Google Analytics _ga, _gid, _gat и не упоминает ни CookieYes, ни режим согласия Google, ни параметр _gl. Декларация CookieYes обещает сохранять аналитические cookie только с предварительного согласия и описывает _ga как хранящую информацию «анонимно». Фактически сведения о просмотре со стабильным идентификатором уходят в Google без согласия. reCAPTCHA в политике не названа. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-ellex-legal/ 3. Положения GDPR, соблюдение которых прошу проверить ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — передача при статусе «запрещено»; ePrivacy — Директива 2002/58/EC, ст. 5(3); GDPR Art. 5(1)(c), Art. 6(1) — идентификатор посетителя через адрес ссылок; GDPR Art. 5(1)(a), Art. 13(1)(e) — прозрачность: заявленное расходится с фактическим 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — ellex.legal 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website ellex.legal. 2. Circumstances I visited the website ellex.legal and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 25 September 2026 (open methodology, reproducible measurements) documents the following indications: 1) The CookieYes banner offers equal-weight 'Customise', 'Reject All' and 'Accept All', with analytics and advertising off. The Google tag (GT-WRDDK49) runs in Consent Mode's advanced mode: the first page_view to Google Analytics 4 goes out at +1204 ms with the status gcs=G100 (analytics and advertising denied), before any choice. CookieYes records a decision twice (+68093 and +257081 ms), and the status remains 'denied' afterwards, which is consistent with a refusal. Nonetheless on every subsequent page — the home page, careers, the privacy policy — page_view and scroll events go to Google (+83199, +90071, +106853, +120446, +132093, +270220 ms) with the page address and device information. Under EDPB Guidelines 2/2023 on the technical scope of Art. 5(3), reading such information from the device by script requires consent even without the use of cookies. 2) In the 'denied' state Google Analytics cookies are not stored; however, the Google tag appends to all internal links a _gl parameter in which the client identifier is encoded: _ga*NTI0MjkxMjY2LjE3OTAyODc4MTQ decodes to 524291266.1790287814. The next page reads the identifier from the address, so all eight Google Analytics requests over 270 seconds — across five pages and after both decisions in the banner — carry one and the same client identifier, with the first-visit flag set only on the first page. The identifier was created at 22:10:14 UTC, 1.5 seconds after the start of the recording. Thus refusing cookies does not break the linking of one visitor's page views: the identity is carried in the page address and, as part of that address, transmitted to Google Analytics. 3) The Ellex Circle policy states that personal data is disclosed to third parties only when required under applicable law; its cookie section describes the cookie of a former banner, gotoandplay_cookie_agreement, and the Google Analytics cookies _ga, _gid, _gat, and mentions neither CookieYes, nor Google's consent mode, nor the _gl parameter. The CookieYes declaration promises to store analytics cookies only with prior consent and describes _ga as storing information 'anonymously'. In fact browsing information with a stable identifier goes to Google without consent. reCAPTCHA is not named in the policy. Full technical documentation is published at: https://gdpru.eu/audits/ee-ellex-legal/ 3. GDPR provisions I ask you to examine ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — transmission in the 'denied' state; ePrivacy — Directive 2002/58/EC, Art. 5(3); GDPR Art. 5(1)(c), Art. 6(1) — a visitor identifier carried in link addresses; GDPR Art. 5(1)(a), Art. 13(1)(e) — transparency: the declared diverges from the actual 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]
1. Kaebuse ese Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil ellex.legal. 2. Asjaolud Külastasin veebisaiti ellex.legal ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 25.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist: 1) CookieYes bänner pakub võrdväärseid nuppe «Customise», «Reject All» ja «Accept All», analüütika ja reklaam on vaikimisi välja lülitatud. Google'i silt (GT-WRDDK49) töötab laiendatud Consent Mode režiimis: esimene page_view Google Analytics 4-s saadetakse +1204 ms juures staatusega gcs=G100 (analüütika ja reklaam keelatud), enne mistahes valikut. CookieYes salvestab otsuse kahel korral (+68093 ja +257081 ms), staatus jääb pärast seda «keelatud», mis on kooskõlas keeldumisega. Sellegipoolest saadetakse igal järgneval lehel — avaleht, töökohad, privaatsuspoliitika — Google'ile page_view ja scroll (+83199, +90071, +106853, +120446, +132093, +270220 ms) koos lehe aadressi ja seadme andmetega. EDPB juhendi 2/2023 kohaselt, mis käsitleb art 5(3) tehnilist ulatust, vajab selliste seadmeandmete lugemine skripti kaudu nõusolekut ka küpsiseid kasutamata. 2) Staatuse «keelatud» juures Google Analyticsi küpsiseid ei salvestata, kuid Google'i silt lisab kõigile sisemistele linkidele parameetri _gl, millesse on kodeeritud kliendi tuvastaja: _ga*NTI0MjkxMjY2LjE3OTAyODc4MTQ dekodeerub 524291266.1790287814-ks. Järgmine leht loeb tuvastaja aadressist, mistõttu kõik kaheksa Google Analyticsi päringut 270 sekundi jooksul — viiel lehel ja pärast mõlemat bänneri otsust — kannavad sama kliendi tuvastajat, ja esimese külastuse märge on seatud vaid esimesel lehel. Tuvastaja loodi kell 22:10:14 UTC, 1,5 sekundit pärast salvestuse algust. Seega küpsistest keeldumine ei katkesta ühe külastaja vaatamiste seostamist: identiteet kantakse edasi lehe aadressis ja edastatakse aadressi koosseisus Google Analyticsile. 3) Ellex Circle'i poliitika teatab, et isikuandmeid avaldatakse kolmandatele isikutele ainult kohaldatava seaduse nõudmisel; selle küpsiste jaotis kirjeldab varasema bänneri küpsist gotoandplay_cookie_agreement ja Google Analyticsi küpsiseid _ga, _gid, _gat, ega maini ei CookieYes'i, Google'i nõusolekurežiimi ega parameetrit _gl. CookieYes'i deklaratsioon lubab salvestada analüütilisi küpsiseid vaid eelneva nõusoleku alusel ja kirjeldab _ga't kui «anonüümselt» säilitavat. Tegelikult saadetakse stabiilse tuvastajaga vaatamisandmed Google'ile nõusolekuta. reCAPTCHA-t poliitikas ei mainita. Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-ellex-legal/ 3. Sätted, mille järgimist palun kontrollida ePrivacy direktiiv 2002/58/EU art 5(3) (koos IKÜM art 6(1)(a)-ga) — andmete edastamine keelatud staatuse juures; ePrivacy direktiiv 2002/58/EU art 5(3); IKÜM art 5(1)(c), art 6(1) — külastaja tuvastus lingi aadressi kaudu; IKÜM art 5(1)(a), art 13(1)(e) — läbipaistvus: väidetu erineb tegelikust 4. Nõue Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid. 5. Lisad Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil. Lugupidamisega, [Teie nimi] [kontakt-e-post] [Riik] [Kuupäev]