Технический аудит · 16.08.2026

inforegister.ee

Эстонский бизнес-реестр и кредитная информация Inforegister

Эстонский бизнес-реестр и сервис кредитной информации Inforegister — 109 обращений, 6 узлов, запись 146 секунд. На сайте установлены плагины управления согласием, но аналитика Google отправляет данные с признаком согласия gcs=G100 уже на первой секунде, до фактического выбора пользователя: идентификатор клиента и события page_view, scroll, click уходят в Google. Сервис push-уведомлений Webpushr стартует независимо от согласия. Политика подробная, но конкретных получателей веб-данных — Google Analytics и Webpushr — поимённо не называет.

Хронология обращений

+0 мс · загрузка страницы

Запись начата на русскоязычной версии www.inforegister.ee/ru/. Отдача через Apache. Выставлены строгий транспорт с включением поддоменов и предзагрузкой, запрет угадывания типа содержимого, политика реферера strict-origin-when-cross-origin, политика разрешений с запретом камеры, микрофона и датчиков, и подробная политика безопасности содержимого с nonce, strict-dynamic и белым списком узлов. Браузер отправлял заголовок DNT: 1.

+333…+831 мс · Webpushr

Загружается cdn.webpushr.com/app.min.js, затем обращения к bot.webpushr.com (get_info, subscribe/attributes) и analytics.webpushr.com (impression/prompt) — сервис push-уведомлений с собственной аналитикой показов. Стартует до аналитики Google и независимо от согласия.

+1130 мс · Google Analytics 4 передаёт данные

POST на region1.google-analytics.com/g/collect: ресурс G-3M0JH1H9F3, идентификатор клиента, адрес и заголовок страницы, событие page_view. Признак режима согласия gcs=G100 — согласие на аналитику выставлено как предоставленное, хотя выбор пользователя в баннере к этому моменту не зафиксирован.

+6138…+96049 мс · поток событий в Google

В течение записи в Google Analytics уходят события scroll и click с тем же идентификатором клиента и признаком gcs=G100. Каждое взаимодействие с сайтом реестра отражается в аналитике.

+32462 мс · переход на новую страницу

Переход на другую страницу реестра: заново стартуют GTM, Google Site Kit, wp-consent-api и Webpushr; GA4 отправляет новый page_view.

Декларация против факта

✓ Контролёр — Inforegister (OÜ Register), эстонский бизнес-реестр и сервис кредитной информации; политика приватности на эстонском языке — заявлен

✓ Раздел 18: могут использоваться cookie, аналитика и подобные технологии для работы, безопасности, статистики, развития и — при наличии согласия — маркетинга — заявлен

✓ Точные принципы cookie описаны в отдельном уведомлении о cookie или условиях cookie — заявлен

✓ При обработке на основании согласия пользователь вправе в любой момент его отозвать — заявлен

✓ От прямого маркетинга можно отказаться по ссылке в уведомлении или через контакты — заявлен

✓ Раздел 12: подробно описаны категории получателей — технические поставщики, юрконсультанты, аудиторы, органы власти, третьи лица по согласию — заявлен

✓ Международные передачи и хранение описаны отдельными разделами; заявлены меры безопасности (раздел 19) — заявлен

+ Google Analytics 4 (G-3M0JH1H9F3) — счётчик не назван поимённо; отправляет с gcs=G100 до выбора пользователя — не заявлен

+ Google Tag Manager — загрузчик через Google Site Kit, не назван — не заявлен

+ Webpushr — сервис push-уведомлений с аналитикой показов, не назван — не заявлен

Тайминги передачи

+143 мс www.googletagmanager.com

Контейнер GT-M34QRD4 через Google Site Kit.

+333 мс cdn.webpushr.com

Сервис push-уведомлений, скрипт app.min.js.

+828 мс analytics.webpushr.com

Аналитика показов push-уведомлений, impression/prompt.

+1130 мс region1.google-analytics.com

GA4 G-3M0JH1H9F3, идентификатор клиента, page_view, gcs=G100.

Зафиксированные трекеры

Google Analytics 4 (G-3M0JH1H9F3) через region1.google-analytics.com — идентификатор клиента, события page_view, scroll, click; отправляет с признаком согласия gcs=G100 с первой секунды
Google Tag Manager (www.googletagmanager.com, контейнер GT-M34QRD4) — загрузчик счётчика через плагин Google Site Kit
Webpushr (cdn.webpushr.com, bot.webpushr.com, analytics.webpushr.com) — push-уведомления с собственной аналитикой показов, стартует независимо от согласия

Признаки несоответствия GDPR

ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a))
На сайте установлены плагины управления согласием (cookie-consent, wp-consent-api, Google Site Kit), но аналитика Google отправляет данные до фактического выбора пользователя. Первое обращение Google Analytics 4 с идентификатором клиента и событием page_view уходит на +1130 мс с признаком режима согласия gcs=G100 — то есть согласие на аналитические cookie выставлено как предоставленное ещё до взаимодействия с баннером. Далее в течение записи уходят события scroll и click с тем же признаком. Сервис push-уведомлений Webpushr при этом стартует на +333 мс независимо от какого-либо согласия и обращается к собственной аналитике показов.
GDPR Art. 13(1)(e) — раскрытие получателей
Раздел 18 политики описывает использование cookie, аналитики и маркетинговых технологий только в общих словах и отсылает к отдельному уведомлению о cookie. Конкретные получатели веб-данных не названы: Google Analytics, Google Tag Manager и Webpushr в политике поимённо отсутствуют. Для сервиса, обрабатывающего кредитные оценки и сведения о бенефициарах, состав внешних получателей раскрыт не полностью.

Контекст

www.inforegister.ee — эстонский бизнес-реестр и сервис кредитной информации Inforegister (OÜ Register): данные о компаниях, кредитные оценки, сведения о бенефициарах, финансовые прогнозы. Сайт построен на WordPress и отдаётся через Apache. Замер сделан на русскоязычной версии.

Замер: 109 обращений, 6 узлов, длительность записи 146,3 секунды, снят 16 августа 2026 года. Помимо основного домена, страница обращается к трём сторонним получателям: Google (Analytics 4 и Tag Manager через плагин Google Site Kit) и Webpushr (сервис push-уведомлений на трёх поддоменах). Сеанс проходит по нескольким страницам реестра.

Обработку описывает подробная политика приватности на эстонском языке: двадцать два раздела основной части, отдельные документы о категориях получателей и об анализе законного интереса. Раздел 18 посвящён cookie, аналитике и маркетингу, раздел 12 — получателям и третьим лицам.

Кому уходят данные напрямую

Google (Analytics, Tag Manager), Webpushr.

Заявленное против фактического

Механизм согласия установлен — но аналитика от его результата не зависит. На сайте работают плагины управления согласием: cookie-consent, wp-consent-api и Google Site Kit, все стартуют из разметки на первых миллисекундах. То есть инфраструктура согласия присутствует, и это заметно лучше, чем её полное отсутствие. Проблема в том, что фактическая загрузка аналитики к результату выбора пользователя не привязана. Первое обращение Google Analytics 4 уходит на +1130 мс с признаком режима согласия gcs=G100 — «согласие предоставлено», — и несёт идентификатор клиента, адрес и заголовок страницы, событие page_view. Признак G100 означает, что аналитические cookie разрешены; но он выставлен ещё до того, как в записи зафиксирован выбор в баннере. Далее в течение всей записи уходят события scroll и click с тем же признаком.

Сервис push-уведомлений работает независимо от согласия. Webpushr загружается на +333 мс — раньше аналитики Google — и обращается к трём своим узлам: cdn.webpushr.com (скрипт), bot.webpushr.com (получение настроек и подписка) и analytics.webpushr.com (аналитика показов impression/prompt). Это сторонний сервис со своей аналитикой, и его загрузка от согласия не поставлена в зависимость.

Получатели веб-данных поимённо не названы. Политика подробна в части бизнес-данных: раздел 12 обстоятельно разбирает категории получателей — технические поставщики, юридические консультанты, аудиторы, органы власти, третьи лица по согласию. Но применительно к веб-аналитике раздел 18 ограничивается общими словами: могут использоваться cookie, аналитика и подобные технологии, а точные принципы описаны в «соответствующем уведомлении о cookie». Ни Google Analytics, ни Google Tag Manager, ни Webpushr в политике поимённо не названы, а отдельного уведомления о cookie в предоставленных материалах нет.

Защитные заголовки выставлены хорошо. Сайт выставляет строгий транспорт с включением поддоменов и предзагрузкой, запрет угадывания типа содержимого, политику реферера и политику разрешений с запретом камеры, микрофона и датчиков. Политика безопасности содержимого выстроена основательно: nonce, strict-dynamic, report-uri и белый список узлов, включающий Google Analytics, Tag Manager, DoubleClick и Webpushr. То есть загрузка сторонних сценариев контролируется на уровне CSP — но не на уровне согласия.

Согласие: что доказано и что нет

Доказано: инфраструктура согласия на сайте присутствует. Плагины cookie-consent, wp-consent-api и Google Site Kit загружаются из разметки на +141…+145 мс.

Доказано: аналитика Google отправляет данные с признаком согласия до фиксации выбора. Обращение GA4 на +1130 мс несёт gcs=G100 и идентификатор клиента; события scroll и click в течение записи продолжают уходить с тем же признаком.

Доказано: Webpushr стартует независимо от согласия. Обращения к трём его узлам инициированы разметкой на +333…+831 мс, до обращений аналитики Google.

Не доказано и не устанавливается однозначно: происхождение признака согласия. Признак gcs=G100 мог быть выставлен как значением по умолчанию в настройке режима согласия, так и сохранённым выбором из более раннего визита. Тела ответов и заголовки cookie из опубликованного файла удалены при очистке, поэтому источник признака по записи не восстанавливается. Фиксируется то, что в наблюдаемом сеансе данные ушли в Google с признаком предоставленного согласия без предшествующего взаимодействия с баннером в самой записи.

Не доказано и не утверждается: состояние cookie на устройстве. Заголовки cookie и тела ответов из опубликованного файла удалены при очистке.

Отдельно: браузер при съёмке отправлял заголовок DNT: 1. На состав и адресацию обращений это не повлияло.

Границы наблюдения

Замер охватывает несколько страниц реестра. Наблюдение фиксирует поведение браузера, не внутреннюю кухню сервисов: обработка на стороне сервера, договорные отношения с получателями и настройки на их стороне браузерным замером не проверяются. Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon.

Файл опубликован очищенным от личных данных: удалены заголовки cookie в запросах и тела ответов. Из-за отсутствия тел ответов происхождение признака согласия gcs=G100 — значение по умолчанию или сохранённый выбор — по записи не устанавливается; фиксируется лишь то, что данные ушли с этим признаком без взаимодействия с баннером в наблюдаемом сеансе. Полный идентификатор клиента в разборе не приводится.

Идентификация сервисов опирается на домены и схему адресов: Google Analytics 4 — по google-analytics.com/g/collect и ресурсу G-3M0JH1H9F3; Google Tag Manager — по googletagmanager.com и контейнеру GT-M34QRD4; Webpushr — по поддоменам webpushr.com и путям app.min.js, impression/prompt; провайдер отдачи — по заголовку server: Apache.

Вывод

Эстонский бизнес-реестр Inforegister установил на сайте инфраструктуру управления согласием — плагины WordPress и Google Site Kit — и выстроил основательную политику безопасности содержимого с белым списком узлов. Но фактическая загрузка аналитики к результату выбора пользователя не привязана: Google Analytics 4 отправляет идентификатор клиента и события page_view, scroll и click с признаком предоставленного согласия gcs=G100 уже на первой секунде, до фиксации выбора в баннере. Сервис push-уведомлений Webpushr со своей аналитикой показов стартует ещё раньше и независимо от согласия.

Подробная политика при этом раскрывает получателей бизнес-данных обстоятельно, но веб-аналитику описывает лишь в общих словах и отсылает к отдельному уведомлению о cookie; Google Analytics, Google Tag Manager и Webpushr в ней поимённо не названы.

Устранение: поставить фактическую загрузку Google Analytics и Webpushr в зависимость от выбора пользователя, чтобы до согласия данные с признаком gcs=G100 не отправлялись; назвать в политике или в отдельном уведомлении о cookie всех получателей веб-данных поимённо — Google Analytics, Google Tag Manager, Webpushr — с указанием передаваемых полей и целей; убедиться, что режим согласия по умолчанию установлен в состояние «отказано» до получения явного согласия на аналитические cookie.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: ee/inforegister-ee-2026-08-16.har

SHA-256: c25e5645419ed4a8d473c6bf7a79673cf5311e0a72ed16a6e8166ff3e280346b

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — inforegister.ee

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта inforegister.ee.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте установлены плагины управления согласием (cookie-consent, wp-consent-api, Google Site Kit), но аналитика Google отправляет данные до фактического выбора пользователя. Первое обращение Google Analytics 4 с идентификатором клиента и событием page_view уходит на +1130 мс с признаком режима согласия gcs=G100 — то есть согласие на аналитические cookie выставлено как предоставленное ещё до взаимодействия с баннером. Далее в течение записи уходят события scroll и click с тем же признаком. Сервис push-уведомлений Webpushr при этом стартует на +333 мс независимо от какого-либо согласия и обращается к собственной аналитике показов.

2) Раздел 18 политики описывает использование cookie, аналитики и маркетинговых технологий только в общих словах и отсылает к отдельному уведомлению о cookie. Конкретные получатели веб-данных не названы: Google Analytics, Google Tag Manager и Webpushr в политике поимённо отсутствуют. Для сервиса, обрабатывающего кредитные оценки и сведения о бенефициарах, состав внешних получателей раскрыт не полностью.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-inforegister-ee/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — inforegister.ee

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website inforegister.ee.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) Consent-management plugins are installed on the site (cookie-consent, wp-consent-api, Google Site Kit), but Google analytics sends data before the user's actual choice. The first Google Analytics 4 request with the client identifier and a page_view event goes out at +1130 ms with the consent-mode marker gcs=G100 — that is, consent to analytics cookies is set as granted before any interaction with the banner. Later in the recording, scroll and click events go out with the same marker. The Webpushr push-notification service, meanwhile, starts at +333 ms independently of any consent and calls its own impression analytics.

2) Section 18 of the policy describes the use of cookies, analytics and marketing technologies only in general terms and refers to a separate cookie notice. The specific recipients of web data are not named: Google Analytics, Google Tag Manager and Webpushr are absent from the policy by name. For a service processing credit scores and beneficial-owner information, the composition of external recipients is not fully disclosed.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-inforegister-ee/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — inforegister.ee

Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond]
Kellelt: [Teie nimi], [kontakt-e-post]

Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi inforegister.ee kasutamisega.

1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c))
Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad:

1) Saidile on installitud nõusoleku haldamise pluginad (cookie-consent, wp-consent-api, Google Site Kit), kuid Google Analytics saadab andmed enne kasutaja tegelikku valikut. Google Analytics 4 esimene kontakt kliendi ID ja lehevaate sündmusega läheb +1130 ms-le nõusoleku režiimi gcs=G100 märgiga - see tähendab, et nõusolek analüütiliste küpsistega kuvatakse enne bänneriga suhtlemist. Seejärel kerige salvestamise ajal ja klõpsake sama funktsiooniga sündmusi. Pressiteate teenus Webpushr algab +333 ms-st sõltumata mis tahes nõusolekust ja pääseb juurde oma mulje analüüsile.

2) Poliitika jaotises 18 kirjeldatakse küpsiste, analüüsi- ja turundustehnoloogiate kasutamist ainult üldiselt ja viidatakse eraldi küpsiste teatisele. Konkreetseid veebiandmete vastuvõtjaid ei nimetata: Google Analytics, Google Tag Manager ja Webpushr ei ole poliitikas loetletud. Teenuse puhul, mis töötleb krediidihinnanguid ja teavet soodustatud isikute kohta, ei avalikustata täielikult väliste saajate koosseisu.


2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46)
Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-inforegister-ee/

3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h))
Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee

Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — inforegister.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом inforegister.ee.

2. Обстоятельства
Я посетил сайт inforegister.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 16.08.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте установлены плагины управления согласием (cookie-consent, wp-consent-api, Google Site Kit), но аналитика Google отправляет данные до фактического выбора пользователя. Первое обращение Google Analytics 4 с идентификатором клиента и событием page_view уходит на +1130 мс с признаком режима согласия gcs=G100 — то есть согласие на аналитические cookie выставлено как предоставленное ещё до взаимодействия с баннером. Далее в течение записи уходят события scroll и click с тем же признаком. Сервис push-уведомлений Webpushr при этом стартует на +333 мс независимо от какого-либо согласия и обращается к собственной аналитике показов.

2) Раздел 18 политики описывает использование cookie, аналитики и маркетинговых технологий только в общих словах и отсылает к отдельному уведомлению о cookie. Конкретные получатели веб-данных не названы: Google Analytics, Google Tag Manager и Webpushr в политике поимённо отсутствуют. Для сервиса, обрабатывающего кредитные оценки и сведения о бенефициарах, состав внешних получателей раскрыт не полностью.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-inforegister-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — раскрытие получателей

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — inforegister.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website inforegister.ee.

2. Circumstances
I visited the website inforegister.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 16 August 2026 (open methodology, reproducible measurements) documents the following indications:

1) Consent-management plugins are installed on the site (cookie-consent, wp-consent-api, Google Site Kit), but Google analytics sends data before the user's actual choice. The first Google Analytics 4 request with the client identifier and a page_view event goes out at +1130 ms with the consent-mode marker gcs=G100 — that is, consent to analytics cookies is set as granted before any interaction with the banner. Later in the recording, scroll and click events go out with the same marker. The Webpushr push-notification service, meanwhile, starts at +333 ms independently of any consent and calls its own impression analytics.

2) Section 18 of the policy describes the use of cookies, analytics and marketing technologies only in general terms and refers to a separate cookie notice. The specific recipients of web data are not named: Google Analytics, Google Tag Manager and Webpushr are absent from the policy by name. For a service processing credit scores and beneficial-owner information, the composition of external recipients is not fully disclosed.

Full technical documentation is published at: https://gdpru.eu/audits/ee-inforegister-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — disclosure of recipients

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil inforegister.ee.

2. Asjaolud
Külastasin veebisaiti inforegister.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 16.08.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Saidile on installitud nõusoleku haldamise pluginad (cookie-consent, wp-consent-api, Google Site Kit), kuid Google Analytics saadab andmed enne kasutaja tegelikku valikut. Google Analytics 4 esimene kontakt kliendi ID ja lehevaate sündmusega läheb +1130 ms-le nõusoleku režiimi gcs=G100 märgiga - see tähendab, et nõusolek analüütiliste küpsistega kuvatakse enne bänneriga suhtlemist. Seejärel kerige salvestamise ajal ja klõpsake sama funktsiooniga sündmusi. Pressiteate teenus Webpushr algab +333 ms-st sõltumata mis tahes nõusolekust ja pääseb juurde oma mulje analüüsile.

2) Poliitika jaotises 18 kirjeldatakse küpsiste, analüüsi- ja turundustehnoloogiate kasutamist ainult üldiselt ja viidatakse eraldi küpsiste teatisele. Konkreetseid veebiandmete vastuvõtjaid ei nimetata: Google Analytics, Google Tag Manager ja Webpushr ei ole poliitikas loetletud. Teenuse puhul, mis töötleb krediidihinnanguid ja teavet soodustatud isikute kohta, ei avalikustata täielikult väliste saajate koosseisu.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-inforegister-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus – direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a); GDPR – artikli 13 lõike 1 punkt e – vastuvõtjate avalikustamine

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]

[Kuupäev]