elmemetall.eu

Тема: Жалоба на обработку персональных данных — elmemetall.eu

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом elmemetall.eu.

2. Обстоятельства
Я посетил сайт elmemetall.eu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 16.08.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Механизма согласия на сайте нет: за 299 обращений не встречается ни одного обращения к платформе управления согласием, ни одного сценария с признаками баннера. Счётчик Google Analytics 4 отправляет первое обращение /g/collect на +2451 мс от старта, ещё до какого-либо выбора пользователя, и несёт идентификатор клиента, адрес и заголовок страницы. Аналитические cookie по разъяснению регулятора Andmekaitse Inspektsioon и решению Суда ЕС C-673/17 требуют предварительного добровольного согласия. При этом сама политика приватности называет согласие одним из оснований обработки (п. 4) и отдельно описывает право его отозвать (п. 10) — то есть предполагает согласие, которого механизм не собирает.

2) Политика приватности называет Google Analytics (п. 7), но остальные получатели данных не раскрыты: Google Tag Manager, Google reCAPTCHA, Google Fonts и сторонний CDN ajax.googleapis.com в документе отсутствуют. reCAPTCHA v3 работает в фоновом режиме на каждой странице и собирает поведенческие сигналы; шрифты и библиотека jQuery подгружаются с серверов Google, передавая адрес IP посетителя. Ни один из этих сервисов и передаваемых им полей в политике не назван.

3) Пункт 8 политики приватности прямо утверждает, что компания не передаёт персональные данные в третьи страны. Пункт 7 того же документа сообщает, что серверный анализ Google Analytics предоставляет компания Google Inc. в США, имеющая доступ к собранной статистике. Замер подтверждает: обращения Google Analytics 4 с идентификатором клиента уходят в инфраструктуру Google, а reCAPTCHA, шрифты и jQuery загружаются с серверов Google. Утверждение об отсутствии передачи в третьи страны противоречит и собственному пункту 7, и фактическому поведению сайта.

4) На сайте параллельно работают два счётчика Google: GA4 и Universal Analytics UA-59529922-1. Обработка данных в стандартных ресурсах Universal Analytics прекращена Google 1 июля 2023 года, но счётчик analytics.js продолжает загружаться на каждой странице через Google Tag Manager. Дополнительно: шрифты подгружаются напрямую с fonts.gstatic.com, а библиотека jQuery версии 1.9.1 — со стороннего CDN ajax.googleapis.com, из-за чего адрес IP посетителя уходит в Google без необходимости; и то и другое можно разместить на собственной инфраструктуре.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-elmemetall-eu/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 13(1)(f) и Art. 44 — передача в третью страну; GDPR Art. 5(1)(c) — минимизация

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — elmemetall.eu

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website elmemetall.eu.

2. Circumstances
I visited the website elmemetall.eu and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 16 August 2026 (open methodology, reproducible measurements) documents the following indications:

1) There is no consent mechanism on the site: across 299 requests there is not a single request to a consent-management platform, nor a single script bearing the marks of a banner. The Google Analytics 4 counter sends its first /g/collect request at +2451 ms from the start, before any user choice, carrying the client identifier, page URL and title. Analytics cookies, per the guidance of the regulator Andmekaitse Inspektsioon and the CJEU judgment C-673/17, require prior freely given consent. Meanwhile the privacy policy itself names consent as one of the grounds for processing (para. 4) and separately describes the right to withdraw it (para. 10) — that is, it presupposes a consent the mechanism does not collect.

2) The privacy policy names Google Analytics (para. 7), but the other recipients of data are not disclosed: Google Tag Manager, Google reCAPTCHA, Google Fonts and the third-party CDN ajax.googleapis.com are absent from the document. reCAPTCHA v3 runs in the background on every page and collects behavioural signals; the fonts and the jQuery library are loaded from Google's servers, transmitting the visitor's IP address. None of these services, nor the fields transmitted to them, are named in the policy.

3) Para. 8 of the privacy policy states outright that the company does not transfer personal data to third countries. Para. 7 of the same document reports that the server-side analysis of Google Analytics is provided by Google Inc. in the USA, which has access to the collected statistics. The recording confirms this: Google Analytics 4 requests carrying the client identifier go to Google's infrastructure, while reCAPTCHA, the fonts and jQuery are loaded from Google's servers. The claim that there is no transfer to third countries contradicts both the document's own para. 7 and the actual behaviour of the site.

4) Two Google counters run in parallel on the site: GA4 and Universal Analytics UA-59529922-1. Data processing in standard Universal Analytics properties was stopped by Google on 1 July 2023, yet the analytics.js counter keeps loading on every page via Google Tag Manager. In addition: fonts are loaded directly from fonts.gstatic.com, and the jQuery library version 1.9.1 from the third-party CDN ajax.googleapis.com, so that the visitor's IP address goes to Google without necessity; both can be hosted on the site's own infrastructure.

Full technical documentation is published at: https://gdpru.eu/audits/ee-elmemetall-eu/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Art. 13(1)(f) and Art. 44 — transfer to a third country; GDPR Art. 5(1)(c) — data minimisation

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil elmemetall.eu.

2. Asjaolud
Külastasin veebisaiti elmemetall.eu ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 16.08.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Saidil puudub nõusoleku mehhanism: 299 rakenduse puhul puudub juurdepääs nõusoleku haldamise platvormile, bännerimärkidega skriptile. Google Analytics 4 loendur saadab +2451 ms-le esimese / g / kogumise päringu algusest peale enne kasutaja valikut ning kannab kliendi ID-d, aadressi ja lehe pealkirja. Andmekaitse Inspektsiooni selgitust ja Euroopa Liidu Kohtu otsust C-673/17 käsitlevad analüütilised küpsised vajavad eelnevat vabatahtlikku nõusolekut. Samal ajal viitab privaatsuspoliitika ise nõusolekule kui ühele töötlemise alusele (lõige 4) ja kirjeldab eraldi õigust see tagasi võtta (lõige 10) - see tähendab nõusolekut, mida mehhanism ei kogu.

2) Privaatsuspoliitika nõuab Google Analyticsit (P. 7), kuid teisi andmete saajaid ei avaldata: Google Tag Manager, Google reCAPTCHA, Google Fonts ja kolmanda osapoole CDN ajax. googleapis.com ei sisaldu dokumendis. reCAPTCHA v3 jookseb igal lehel taustal ja kogub käitumuslikke signaale; jQuery fonte ja teeki laaditakse alla Google'i serveritest, edastades külastaja IP-aadressi. Ükski neist teenustest ja valdkondadest, mida nad edastavad, ei ole poliitikas nimetatud.

3) Privaatsuspoliitika punktis 8 on selgesõnaliselt sätestatud, et ettevõte ei edasta isikuandmeid kolmandatele riikidele. Sama dokumendi punktis 7 on sätestatud, et Google Analyticsi serverianalüüsi pakub Ameerika Ühendriikides asuv Google Inc., kellel on juurdepääs kogutud statistikale. Mõõtmine kinnitab, et Google Analytics 4 kliendi ID-kõned lähevad Google'i infrastruktuuri ning reCAPTCHA, fondid ja jQuery laaditakse alla Google'i serveritest. Väide, et kolmandatesse riikidesse üleandmist ei toimu, on vastuolus nii punktiga 7 kui ka ala tegeliku toimimisega.

4) Veebisaidil töötab kaks Google'i loendurit: GA4 ja Universal Analytics UA-59529922-1. Google lõpetas andmete töötlemise tavalistes Universal Analyticsi ressurssides 1. juulil 2023, kuid analytics.js loendur jätkab iga lehe laadimist Google Tag Manageri kaudu. Lisaks laaditakse fonte alla otse fontidelt. gstatic.com ja jQuery teegi versioon 1.9.1 on kolmanda osapoole CDN ajaxist. googleapis.com, mis põhjustab külastaja IP-aadressi tarbetult Google'ile; mõlemat saab majutada oma infrastruktuuris.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-elmemetall-eu/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus – direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a); GDPR – artikli 13 lõike 1 punkt e – vastuvõtjate avalikustamine; GDPR artikli 13 lõike 1 punkt f ja artikkel 44 „Edastamine kolmandasse riiki; GDPR artikli 5 lõike 1 punkt c – minimeerimine

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]