itk.ee

Тема: Жалоба на обработку персональных данных — itk.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом itk.ee.

2. Обстоятельства
Я посетил сайт itk.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 14.08.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте больницы установлена платформа управления согласием Cookiebot (uc.js загружается на +165 мс), но трекеры стартуют до фиксации выбора пользователя. Запись сеанса Hotjar стартует на +178 мс — практически одновременно с самой платформой согласия, — Google Tag Manager и jsDelivr на +166 мс, устаревшая библиотека Universal Analytics на +491 мс, а Google Analytics 4 отправляет page_view на +5693 мс. Запись сеанса относится к категории, требующей явного предварительного согласия; здесь она включается одной из первых, до того как посетитель мог что-либо выбрать.

2) Приложенный документ «Условия защиты данных» описывает обработку данных пациентов при оказании медицинских услуг, найме и участии в мероприятиях, но не содержит раздела о сайте: cookie, веб-аналитика, запись сеанса и передача данных сторонним сервисам в нём не упомянуты. Отдельной политики в отношении cookie у сайта обнаружить не удалось. Таким образом, фактические получатели веб-данных — Hotjar, Google Analytics, Google Tag Manager, Facebook, jsDelivr — не раскрыты нигде.

3) Сайт принадлежит больнице. Даже без авторизации в пациентском портале сам факт визита на страницы медицинского учреждения и разделы конкретных клиник может указывать на состояние здоровья или медицинский интерес посетителя. Запись сеанса Hotjar и аналитика Google, работающие до согласия, фиксируют поведение на таких страницах и передают его сторонним обработчикам, что в контексте здоровья требует особой осторожности и надёжного предварительного согласия.

4) Защитные заголовки почти отсутствуют: строгого транспорта нет, политики безопасности содержимого нет, политики реферера нет, политики разрешений нет; выставлен только запрет вложения в кадр SAMEORIGIN. Сервер отдаётся под Apache / ZoneOS. Для сайта медицинского учреждения, загружающего сторонний код записи сеанса и аналитики, это недостаточный уровень защиты клиентской части.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-itk-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 13, 14 — информирование и раскрытие получателей; GDPR Art. 9 — особые категории данных (контекст здоровья); GDPR Art. 32 — меры безопасности

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — itk.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website itk.ee.

2. Circumstances
I visited the website itk.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 14 August 2026 (open methodology, reproducible measurements) documents the following indications:

1) The consent-management platform Cookiebot is installed on the hospital site (uc.js loads at +165 ms), but the trackers start before the user's choice is recorded. Hotjar session recording starts at +178 ms — almost simultaneously with the consent platform itself — Google Tag Manager and jsDelivr at +166 ms, the legacy Universal Analytics library at +491 ms, and Google Analytics 4 sends a page_view at +5693 ms. Session recording falls into a category requiring explicit prior consent; here it switches on among the first, before the visitor could choose anything.

2) The attached 'Data protection terms' document describes the processing of patient data in the provision of medical services, hiring and participation in events, but contains no section on the site: cookies, web analytics, session recording and data transmission to third-party services are not mentioned in it. No separate cookie policy for the site could be found. Thus the actual recipients of web data — Hotjar, Google Analytics, Google Tag Manager, Facebook, jsDelivr — are disclosed nowhere.

3) The site belongs to a hospital. Even without logging into the patient portal, the very fact of a visit to a medical institution's pages and specific clinics' sections may indicate the visitor's state of health or medical interest. Hotjar session recording and Google analytics, running before consent, record behaviour on such pages and transmit it to third-party processors, which in a health context requires particular caution and reliable prior consent.

4) The security headers are almost absent: there is no strict transport, no content-security-policy, no referrer policy, no permissions policy; only the frame-embedding ban SAMEORIGIN is set. The server is served under Apache / ZoneOS. For a medical institution's site loading third-party session-recording and analytics code, this is an insufficient level of protection of the client side.

Full technical documentation is published at: https://gdpru.eu/audits/ee-itk-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 13, 14 — information and disclosure of recipients; GDPR Art. 9 — special categories of data (health context); GDPR Art. 32 — security measures

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil itk.ee.

2. Asjaolud
Külastasin veebisaiti itk.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 14.08.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Haigla veebisaidil on nõusoleku haldamise platvorm Cookiebot (uc.js allalaaditud +165 ms-le), kuid jälgimisseadmed käivituvad enne, kui kasutaja valik on fikseeritud. Hotjari seansi salvestamine algab +178 ms-st - peaaegu samaaegselt nõusoleku platvormiga ise - Google Tag Manager ja jsDelivr +166 ms-s, aegunud Universal Analyticsi raamatukogu +491 ms-s ja Google Analytics 4 saadab lehevaate +5693 ms-le. Sessiooni salvestamine kuulub kategooriasse, mis nõuab selgesõnalist eelnevat nõusolekut; siin on see üks esimesi, mis lisatakse enne, kui külastajal on valikuvõimalus.

2) Lisatud andmekaitsetingimuste dokument kirjeldab patsiendiandmete töötlemist meditsiiniteenuste osutamisel, rentimisel ja üritustel osalemisel, kuid ei sisalda saidi kohta jaotist: selles ei mainita küpsiseid, veebianalüütikat, sessiooni salvestamist ega andmete edastamist kolmandate isikute teenustele. Eraldi küpsisepoliitikat veebilehel ei leitud. Seega ei avaldata veebiandmete tegelikke saajaid – Hotjar, Google Analytics, Google Tag Manager, Facebook, jsDelivr – kusagil.

3) Koht kuulub haiglale. Isegi ilma patsiendiportaalis loata võib raviasutuse lehtede ja konkreetsete kliinikute sektsioonide külastamine näidata külastaja tervislikku seisundit või meditsiinilist huvi. Hotjari seansi salvestused ja Google'i analüütikud, kes töötavad enne nõusoleku saamist, salvestavad selliste lehtede käitumise ja edastavad selle kolmanda osapoole töötlejatele, mis nõuab tervise kontekstis erilist hoolt ja usaldusväärset eelnevat nõusolekut.

4) Turvapäised on peaaegu puuduvad: puudub range transport, puudub sisuturbepoliitika, ei ole suunaja poliitikat, ei ole loapoliitikat; pannakse ainult SAMEORIGINi raamile kinnitamise keeld. Server on saadaval Apache/ZoneOS all. Meditsiiniasutuse saidi puhul, mis laadib alla kolmanda osapoole seansi salvestuse ja analüüsikoodi, on see kliendikaitse ebapiisav tase.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-itk-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus – direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a); GDPR artiklid 13, 14 – vastuvõtjate teavitamine ja avalikustamine; GDPR artikkel 9 Andmete eriliigid (tervisekontekst); GDPR artikkel 32 – Turvameetmed

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]