RU EN
www.
Технический аудит · 2026-05-02

etoimik.rik.ee

Государственная система электронных судов — доступ сторон к материалам дел
EE

Государственный портал электронных судов: через него стороны получают доступ к материалам уголовных, гражданских и административных дел. RIK знает про privacy-режим — для видео применён youtube-nocookie. Но Cloudflare Insights и Google Fonts оставлены: когда сторона судебного дела заходит на портал, данные о визите уходят в США.

Хронология утечки

+636 мс · при загрузке
static.cloudflareinsights.com — аналитический маяк, загружается с самого etoimik.rik.ee, передача в США. Параллельно Google Fonts (fonts.gstatic.com, 8 запросов) — IP в Google.
Баннер согласия
Отсутствует. Ноль Set-Cookie, ноль consent-запросов. Все внешние запросы — без спроса.
YouTube и WAA
Для embed применён youtube-nocookie.com (правильно), но скрипты ytembeds всё равно тянутся с обычного youtube.com (12 запросов). jnn-pa.googleapis.com — YouTube WAA anti-bot трекинг, 5 запросов в фоне.

Декларация против факта

+ Cloudflare Insights — маяк с самого портала — не заявлен
+ Google Fonts — IP в США — не заявлен
+ YouTube WAA anti-bot трекинг — не заявлен

Тайминги передачи

+636 мс static.cloudflareinsights.com

Маяк Cloudflare, загружен с самого портала. Данные в США

Без точного времени

при загрузке fonts.gstatic.comGoogle Fonts, 8 запросов. IP в Google (США)
при загрузке www.youtube.com12 запросов — скрипты embed с обычного домена, побочный эффект архитектуры YouTube
в фоне jnn-pa.googleapis.com (WAA)YouTube WAA anti-bot трекинг, 5 запросов

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

etoimik.rik.ee — государственная система электронного судопроизводства Эстонии. Через портал стороны судебных дел получают доступ к материалам своих производств: гражданских (споры об имуществе, разводы, опека над детьми), уголовных (ст.10 GDPR — особо чувствительная категория) и административных. Аутентификация через ID-карту. HAR: 99 запросов, 12 уникальных доменов, 11 внешних — все в США.

Что сделано правильно

Для встроенных видео применён youtube-nocookie.com — privacy-enhanced версия (28 запросов), в отличие от terviseportaal.ee, где использовался обычный youtube.com. Нет Google Tag Manager, Google Analytics, DoubleClick, browser-update.org. RIK явно знает, что такое privacy-режим, — и для видео его применил.

Что сделано неправильно

static.cloudflareinsights.com (+636 мс) — аналитический маяк, загружается с самого etoimik.rik.ee, передаёт данные в США. Google Fonts (fonts.gstatic.com, 8 запросов) — IP пользователя уходит в Google. Несмотря на youtube-nocookie для embed, скрипты ytembeds всё равно тянутся с обычного youtube.com (12 запросов), а jnn-pa.googleapis.com (YouTube WAA anti-bot) делает 5 запросов в фоне. Баннера согласия нет, Set-Cookie ноль, consent-запросов ноль.

Один паттерн внутри RIK

Та же организация — RIK — управляет и saada.rik.ee (портал подачи жалоб AKI: cdn.form.io/AWS, Google Fonts, Cloudflare CDN), и etoimik.rik.ee (Cloudflare Insights, Google Fonts, YouTube). Один паттерн: внешние трекеры на государственных порталах с особо чувствительными данными. При этом на etoimik RIK применил youtube-nocookie — значит, знает про privacy-enhanced решения. Но Cloudflare Insights оставлен, Google Fonts оставлен. Знания есть, до конца не доведено.

Вывод

Когда сторона судебного дела заходит на портал, чтобы прочитать материалы своего уголовного или семейного производства, Cloudflare получает данные о визите, Google Fonts получает IP, YouTube WAA работает в фоне — на государственном портале судебной системы. eesti.ee, rajaleidja.ee и edpb.europa.eu доказывают, что ноль внешних трекеров на госпортале возможен. Здесь половина пути пройдена: для видео privacy-режим применён. Осталась вторая половина — убрать Cloudflare Insights и Google Fonts.

ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee

Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.

Кому: AKI — Эстонский надзорный орган по защите данных
От: [Ваше имя], [контактный email]

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом etoimik.rik.ee.

2. Обстоятельства
Я посетил сайт etoimik.rik.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 02.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Cloudflare Insights (+636 мс), Google Fonts и YouTube WAA-трекинг запускаются без согласия — баннера согласия не существует.

2) Механизм согласия отсутствует. Ноль consent-запросов, ноль Set-Cookie.

3) Через портал проходят уголовные дела (ст.10 — особо чувствительная категория), споры об имуществе, опека над детьми. Внешние трекеры работают в сессии доступа к материалам судебных дел.

4) Cloudflare Insights, Google Fonts, YouTube WAA как получатели данных не задекларированы.

5) Механизм передачи данных в США (Cloudflare, Google) не указан. Все 11 внешних доменов — в США.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-etoimik-rik-ee/

3. Нарушенные положения
GDPR Art. 6(1), Art. 5(1)(a); GDPR Art. 7; GDPR Art. 9, Art. 10; GDPR Art. 13(1)(e); GDPR Art. 13(1)(f), Chapter V

4. Требование
Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256
и цитата из политики конфиденциальности сайта, документирующая
указанное противоречие — опубликована и проверяема по ссылке
в пункте 2 выше.

[Дата]                                    [Подпись/имя]