Технический аудит · 12.04.2026

emta.ee

Налогово-таможенный департамент — налоговые декларации, платежи, регистрация бизнеса

Через сайт налогового ведомства проходят финансовые данные каждого гражданина и каждого бизнеса страны. На нём параллельно работают два аккаунта Google Analytics — и владелец второго из публичных данных неизвестен. Политика куки пустая и не обновлялась 5 лет.

Хронология обращений

+0,92 сек · до согласия

Cloudflare Insights — аналитика, США. Следом +0,94 сек GTM: контейнер запускается до баннера, данные в США.

+1,28 сек · до согласия

Google Analytics реально отправляет данные на region1.google-analytics.com. browser-update.org (+1,37 сек) передаёт данные о браузере и устройстве. Всё до нажатия любой кнопки.

Декларация против факта

✓ Политика куки: одно вводное предложение и форма обратной связи, без вендоров — заявлен

+ Google Analytics — два аккаунта GA4 (G-0K12YCGWL9, G-1CLYN82137), 7 передач — не заявлен

+ Google Tag Manager — не заявлен

+ Cloudflare Insights — не заявлен

+ browser-update.org — 5 запросов, отсутствует полностью — не заявлен

Тайминги передачи

+0,92 сек static.cloudflareinsights.com

Cloudflare Insights, данные в США

+0,94 сек www.googletagmanager.com

GTM — контейнер до баннера согласия

+1,28 сек region1.google-analytics.com

GA аккаунт G-0K12YCGWL9. 7 передач за сессию

+6,58 сек region1.google-analytics.com

Второй GA аккаунт G-1CLYN82137 — владелец неизвестен

+1,37 сек browser-update.org

Сторонний сервис, update.min.js, 5 раз за сессию. В политике отсутствует

Зафиксированные трекеры

Google Analytics (два аккаунта GA4)
Google Tag Manager
Cloudflare Insights
browser-update.org

Признаки несоответствия GDPR

GDPR Art. 6(1), Art. 5(1)(a)
GTM (+0,94 сек), Google Analytics (+1,28 сек) и browser-update.org (+1,37 сек) запускаются за 0,92–1,37 секунды до любого согласия пользователя.
GDPR Art. 13(1)(e)
Ни один вендор не задекларирован — страница политики куки пустая (одно вводное предложение и форма обратной связи). browser-update.org отсутствует полностью.
GDPR Art. 5(1)(b)
Параллельно работают два аккаунта GA4 (G-0K12YCGWL9 и G-1CLYN82137). Владелец второго из публичных данных неизвестен — цель обработки не определена.
GDPR Art. 5(1)(a), Art. 7
Тёмный паттерн через непрозрачность: категория «Необходимые куки» заблокирована и не раскрыта, кнопки «Отклонить все» нет. Согласие не может быть информированным, если информации нет.
GDPR Art. 12(1), Art. 13(1)(c)
Информация не предоставлена в прозрачной форме: политика куки не обновлялась с 05.10.2021 (5 лет), цели обработки для каждой категории не указаны.
GDPR Art. 13(1)(f), Chapter V
Механизм передачи данных в Google (США) не указан.

Контекст

Maksu- ja Tolliamet — Налогово-таможенный департамент Эстонии. Через сайт граждане и бизнес подают налоговые декларации, платят налоги, регистрируют предприятия. Здесь — финансовые данные каждого налогоплательщика страны. HAR: 133 запроса, 7 внешних доменов.

Пустая политика и тёмный паттерн

Страница «Файлы cookie» обновлена 05.10.2021 — пять лет назад. Её содержание: одно вводное предложение и форма обратной связи. Ни одного названия вендора, ни одного конкретного куки, ни одного получателя данных. Баннер предлагает три кнопки — «Выбрать самому», «Разрешить необходимые», «Разрешить все» — без кнопки «Отклонить все». При выборе «Выбрать самому» категория «Необходимые куки» заблокирована, но что именно в неё входит, неизвестно, потому что политика пустая. Возможно, именно там скрыты GTM и browser-update.org, запускающиеся за секунду до баннера. Это тёмный паттерн через непрозрачность: нельзя осознанно отказаться от того, о чём не знаешь.

Что происходит до согласия

Cloudflare Insights (+0,92 сек), GTM (+0,94 сек), Google Analytics (+1,28 сек) и browser-update.org (+1,37 сек) запускаются до того, как пользователь нажал что-либо. Google Analytics реально отправляет данные на region1.google-analytics.com.

Два аккаунта Google Analytics

За сессию Google Analytics передал данные 7 раз через два разных идентификатора: G-0K12YCGWL9 (первая передача +1,28 сек) и G-1CLYN82137 (первая передача +6,58 сек). Два отдельных GA4-аккаунта работают параллельно. Кому принадлежит второй — из публичных данных установить нельзя, и в политике куки не упомянут ни один. Отдельно — browser-update.org: сторонний американский сервис, загружающий update.min.js при каждом открытии страницы (5 раз за сессию) на сайте налогового ведомства.

Вывод

Одна страна, одно государство — два принципиально разных подхода. eesti.ee умеет строить чисто: строгая CSP, только эстонские домены, ноль внешних трекеров. emta.ee — сосед по коридору — поставил два аккаунта Google Analytics, добавил browser-update.org и не обновлял политику куки 5 лет. Через emta.ee проходят финансовые данные всей страны, и Google знает, кто и когда заходит на сайт налоговой. Стандарт существует только там, где есть конкретный человек, который за него отвечает; где такого нет — система идёт по пути наименьшего сопротивления. Именно поэтому ежегодный публичный аудит государственных сайтов — не абстракция: будь он, emta.ee не выглядел бы так спустя пять лет.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: ee/emta-ee-2026-04-12.har

SHA-256: 2964975936b31edc45914c4ebb1c9fb474bbc7fb5027452278db03a5fbbdfd81

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — emta.ee

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта emta.ee.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) GTM (+0,94 сек), Google Analytics (+1,28 сек) и browser-update.org (+1,37 сек) запускаются за 0,92–1,37 секунды до любого согласия пользователя.

2) Ни один вендор не задекларирован — страница политики куки пустая (одно вводное предложение и форма обратной связи). browser-update.org отсутствует полностью.

3) Параллельно работают два аккаунта GA4 (G-0K12YCGWL9 и G-1CLYN82137). Владелец второго из публичных данных неизвестен — цель обработки не определена.

4) Тёмный паттерн через непрозрачность: категория «Необходимые куки» заблокирована и не раскрыта, кнопки «Отклонить все» нет. Согласие не может быть информированным, если информации нет.

5) Информация не предоставлена в прозрачной форме: политика куки не обновлялась с 05.10.2021 (5 лет), цели обработки для каждой категории не указаны.

6) Механизм передачи данных в Google (США) не указан.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-emta-ee/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — emta.ee

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website emta.ee.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) GTM (+0.94 sec), Google Analytics (+1.28 sec), and browser-update.org (+1.37 sec) fire 0.92–1.37 seconds before any user consent.

2) Not a single vendor is declared — the cookie policy page is empty (one introductory sentence and a feedback form). browser-update.org is entirely absent.

3) Two GA4 accounts run in parallel (G-0K12YCGWL9 and G-1CLYN82137). The owner of the second one cannot be identified from public data — the processing purpose is undefined.

4) A dark pattern via opacity: the 'Necessary cookies' category is locked but not disclosed, and there is no 'Reject All' button. Consent cannot be informed when there is no information.

5) Information is not provided in a transparent form: the cookie policy has not been updated since 05.10.2021 (5 years), and processing purposes for each category are not stated.

6) No transfer mechanism to Google (USA) is stated.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-emta-ee/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — emta.ee

Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond]
Kellelt: [Teie nimi], [kontakt-e-post]

Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi emta.ee kasutamisega.

1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c))
Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad:

1) GTM (+0,94 sek), Google Analytics (+1,28 sek) ja browser-update.org (+1,37 sek) töötavad 0,92–1,37 sekundit enne kasutaja nõusolekut.

2) Ühtegi müüjat ei deklareerita – küpsisepoliitika leht on tühi (üks sissejuhatav lause ja tagasiside vorm). browser-update.org on täiesti kadunud.

3) Kaks GA4 kontot (G-0K12YCGWL9 ja G-1CLYN82137) töötavad paralleelselt. Teise avaliku teabe omanik ei ole teada – töötlemise eesmärk ei ole määratletud.

4) Tume muster läbi läbi hägususe: kategooria „Vajalikud küpsised“ on blokeeritud ja seda ei avaldata, puudub nupp „Kõigest keeldumine“. Nõusolekut ei saa teavitada, kui teavet ei ole.

5) Teavet ei esitata läbipaistval kujul: küpsiste poliitikat ei ole uuendatud alates 05.10.2021 (5 aastat), iga kategooria töötlemise eesmärgid ei ole täpsustatud.

6) Google'ile (USA) andmete edastamise mehhanism ei ole täpsustatud.


2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46)
Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-emta-ee/

3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h))
Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee

Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — emta.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом emta.ee.

2. Обстоятельства
Я посетил сайт emta.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 12.04.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) GTM (+0,94 сек), Google Analytics (+1,28 сек) и browser-update.org (+1,37 сек) запускаются за 0,92–1,37 секунды до любого согласия пользователя.

2) Ни один вендор не задекларирован — страница политики куки пустая (одно вводное предложение и форма обратной связи). browser-update.org отсутствует полностью.

3) Параллельно работают два аккаунта GA4 (G-0K12YCGWL9 и G-1CLYN82137). Владелец второго из публичных данных неизвестен — цель обработки не определена.

4) Тёмный паттерн через непрозрачность: категория «Необходимые куки» заблокирована и не раскрыта, кнопки «Отклонить все» нет. Согласие не может быть информированным, если информации нет.

5) Информация не предоставлена в прозрачной форме: политика куки не обновлялась с 05.10.2021 (5 лет), цели обработки для каждой категории не указаны.

6) Механизм передачи данных в Google (США) не указан.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-emta-ee/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 6(1), Art. 5(1)(a); GDPR Art. 13(1)(e); GDPR Art. 5(1)(b); GDPR Art. 5(1)(a), Art. 7; GDPR Art. 12(1), Art. 13(1)(c); GDPR Art. 13(1)(f), Chapter V

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — emta.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website emta.ee.

2. Circumstances
I visited the website emta.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 12 April 2026 (open methodology, reproducible measurements) documents the following indications:

1) GTM (+0.94 sec), Google Analytics (+1.28 sec), and browser-update.org (+1.37 sec) fire 0.92–1.37 seconds before any user consent.

2) Not a single vendor is declared — the cookie policy page is empty (one introductory sentence and a feedback form). browser-update.org is entirely absent.

3) Two GA4 accounts run in parallel (G-0K12YCGWL9 and G-1CLYN82137). The owner of the second one cannot be identified from public data — the processing purpose is undefined.

4) A dark pattern via opacity: the 'Necessary cookies' category is locked but not disclosed, and there is no 'Reject All' button. Consent cannot be informed when there is no information.

5) Information is not provided in a transparent form: the cookie policy has not been updated since 05.10.2021 (5 years), and processing purposes for each category are not stated.

6) No transfer mechanism to Google (USA) is stated.

Full technical documentation is published at: https://gdpru.eu/audits/ee-emta-ee/

3. GDPR provisions I ask you to examine
GDPR Art. 6(1), Art. 5(1)(a); GDPR Art. 13(1)(e); GDPR Art. 5(1)(b); GDPR Art. 5(1)(a), Art. 7; GDPR Art. 12(1), Art. 13(1)(c); GDPR Art. 13(1)(f), Chapter V

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil emta.ee.

2. Asjaolud
Külastasin veebisaiti emta.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 12.04.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) GTM (+0,94 sek), Google Analytics (+1,28 sek) ja browser-update.org (+1,37 sek) töötavad 0,92–1,37 sekundit enne kasutaja nõusolekut.

2) Ühtegi müüjat ei deklareerita – küpsisepoliitika leht on tühi (üks sissejuhatav lause ja tagasiside vorm). browser-update.org on täiesti kadunud.

3) Kaks GA4 kontot (G-0K12YCGWL9 ja G-1CLYN82137) töötavad paralleelselt. Teise avaliku teabe omanik ei ole teada – töötlemise eesmärk ei ole määratletud.

4) Tume muster läbi läbi hägususe: kategooria „Vajalikud küpsised“ on blokeeritud ja seda ei avaldata, puudub nupp „Kõigest keeldumine“. Nõusolekut ei saa teavitada, kui teavet ei ole.

5) Teavet ei esitata läbipaistval kujul: küpsiste poliitikat ei ole uuendatud alates 05.10.2021 (5 aastat), iga kategooria töötlemise eesmärgid ei ole täpsustatud.

6) Google'ile (USA) andmete edastamise mehhanism ei ole täpsustatud.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-emta-ee/

3. Sätted, mille järgimist palun kontrollida
GDPR artikli 6 lõige 1, artikli 5 lõike 1 punkt a; GDPR artikli 13 lõike 1 punkt e; GDPR artikli 5 lõike 1 punkt b; GDPR artikli 5 lõike 1 punkt a, artikkel 7; GDPR artikli 12 lõige 1, artikli 13 lõike 1 punkt c; GDPR artikli 13 lõike 1 punkt f, V peatükk

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]