self.julianus.ee

Тема: Жалоба на обработку персональных данных — self.julianus.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом self.julianus.ee.

2. Обстоятельства
Я посетил сайт self.julianus.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 31.07.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) В личном кабинете должника в Google уходит специально сконструированное событие ss_debtor_loggedin. В конфигурации контейнера GA4 оно создаётся правилом: событие page_view при условии, что адрес страницы содержит /debts. Вместе с ним передаются идентификатор клиента, заголовок страницы «Julianus Inkasso | Мои долги» и виртуальный путь /debts#sisse_logitud. То есть Google получает не обезличенный счётчик посещений, а привязанный к идентификатору сигнал: этот посетитель является должником и вошёл в свой кабинет. В конфигурации того же контейнера настроены ещё три события того же ряда — ss_debtor_payment, ss_debtor_contactus_start, ss_creditor_submitdept_start.

2) Механизма согласия на портале нет: за две записи, 98 запросов, не встречается ни одного обращения к платформе управления согласием, ни одного сценария с признаками баннера, ни одного заголовка Set-Cookie. Счётчик вставлен прямо в разметку страницы кабинета и стартует на +531 мс, обращение с событием входа должника уходит на +814 мс. При этом сами условия защиты данных в пункте 4.7.5 описывают cookie как собираемые с разрешения субъекта данных, а в пункте 8.2.5 — как единственный случай, когда согласие можно отозвать. Пункт 4.3.5 отсылает за подробностями к решению о cookie, которого на портале нет.

3) Условия защиты данных не называют ни одного получателя веб-данных поимённо: перечень в пункте 6.3 состоит из категорий — рекламные и маркетинговые партнёры, партнёры в сфере информационно-коммуникационных технологий и прочие. Google, MindTitan и Postimages в документе отсутствуют. Пункт 6.3(a) прямо оговаривает, что рекламные и маркетинговые партнёры обычно получают данные о пользовании сайтом в неперсонализированном виде; фактически Google получает устойчивый идентификатор клиента вместе с событием о долговом статусе.

4) На страницах продолжает работать счётчик недействующего ресурса Universal Analytics UA-6990595-1: обработка данных в нём прекращена в 2023 году, но обращение к www.google-analytics.com уходит в полном объёме и несёт адрес IP, разрешение экрана 1920x1080, размер окна, язык, адрес и заголовок страницы. Помимо бесполезной передачи, именно этот устаревший счётчик автоматически подтягивает на страницу контейнер GA4, который затем и отправляет событие о входе должника. Отдельно: иконка чата подгружается с публичного файлообменника i.postimg.cc, чей владелец скрыт службой приватности, — вследствие чего адрес IP посетителя кабинета уходит стороннему хостингу без всякой необходимости.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-julianus-ee/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 9 / Art. 5(1)(a) — передача сведений о долговом положении в аналитику; ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 5(1)(c) — минимизация

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — self.julianus.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website self.julianus.ee.

2. Circumstances
I visited the website self.julianus.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 31 July 2026 (open methodology, reproducible measurements) documents the following indications:

1) In the debtor's personal account, a specially constructed event, ss_debtor_loggedin, goes to Google. In the GA4 container's configuration, it is created by a rule: a page_view event, triggered when the page address contains /debts. Along with it, a client identifier, the page title 'Julianus Inkasso | My Debts,' and a virtual path /debts#sisse_logitud are transmitted. In other words, Google receives not an anonymized visit count, but a signal tied to an identifier: this visitor is a debtor and has logged into their account. The same container's configuration has three related events configured: ss_debtor_payment, ss_debtor_contactus_start, ss_creditor_submitdept_start.

2) There is no consent mechanism on the portal: across two captures, 98 requests, there is not a single request to a consent-management platform, not a single script bearing banner hallmarks, and not a single Set-Cookie header. The counter is inserted directly into the account page's markup and starts at +531 ms; the debtor's login event fires at +814 ms. Meanwhile, the data-protection terms themselves, in section 4.7.5, describe cookies as collected with the data subject's permission, and in section 8.2.5, as the one case where consent can be withdrawn. Section 4.3.5 refers to a cookie notice for details — one that does not exist on the portal.

3) The data-protection terms name not a single web-data recipient by name: the list in section 6.3 consists of categories — advertising and marketing partners, ICT partners, and others. Google, MindTitan, and Postimages are absent from the document. Section 6.3(a) states explicitly that advertising and marketing partners typically receive site-usage data in non-personalized form; in fact, Google receives a persistent client identifier together with an event about debt status.

4) The pages continue to run the counter for the discontinued Universal Analytics resource, UA-6990595-1: data processing for it stopped in 2023, yet the request to www.google-analytics.com fires in full and carries the IP address, screen resolution 1920x1080, window size, language, and the page address and title. Beyond the pointless transfer itself, it is precisely this outdated counter that automatically pulls in the GA4 container that then sends the debtor-login event. Separately: the chat icon loads from the public file-hosting service i.postimg.cc, whose owner is shielded by a privacy service — as a result, the account visitor's IP address goes to a third-party host with no necessity whatsoever.

Full technical documentation is published at: https://gdpru.eu/audits/ee-julianus-ee/

3. GDPR provisions I ask you to examine
GDPR Art. 9 / Art. 5(1)(a) — transmission of debt-status information to analytics; ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Art. 5(1)(c) — minimization

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil self.julianus.ee.

2. Asjaolud
Külastasin veebisaiti self.julianus.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 31.07.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Võlgniku isiklikus kontos Google'is jäetakse spetsiaalselt kavandatud sündmuse võlgnik sisse logitud. GA4 konteineri konfiguratsioonis on see loodud reegliga: lehevaate sündmus, eeldusel, et lehe aadress sisaldab / võlgu. Sellele on lisatud kliendi ID, lehe pealkiri "Julianus Inkasso | Minu võlad" ja virtuaalne tee / Debts#sisse logitud. See tähendab, et Google ei saa ebaisikulist külastajaloendurit, vaid identifikaatoriga seotud signaali: see külastaja on võlgnik ja sisenes oma kontorisse. Samas konteinerikonfiguratsioonis on konfigureeritud veel kolm sama seeria sündmust: ss võlgniku makse, ss võlgniku kontaktus start ja ss võlausaldaja esitatud vilunud start.

2) Portaalis ei ole nõusoleku mehhanismi: kahe sissekande, 98 päringu korral ei ole juurdepääsu nõusoleku haldamise platvormile, ei ole skripti bännerimärkidega, ei ole Set-Cookie päist. Loendur sisestatakse otse kabinetilehe paigutusse ja algab +531 ms-st, aadress võlgniku sisenemissündmusega läheb +814 ms-le. Samas kirjeldavad punktis 4.7.5 esitatud andmekaitsetingimused küpsiseid nii, nagu neid kogutakse andmesubjekti loal, ja punktis 8.2.5 – ainsana juhul, kui nõusoleku saab tagasi võtta. Punktis 4.3.5 viidatakse küpsiste kohta tehtud otsuste üksikasjadele, mida portaalis ei ole.

3) Andmekaitsetingimustes ei nimetata veebiandmete saajat nimepidi: punktis 6.3 esitatud loetelu koosneb kategooriatest - reklaami- ja turunduspartnerid, info- ja kommunikatsioonitehnoloogia valdkonna partnerid jt. Google, MindTitan ja Postimages ei sisaldu dokumendis. Punkti 6.3 alapunktis a on sõnaselgelt sätestatud, et reklaami- ja turunduspartnerid saavad tavaliselt saidi kasutamise andmeid isikustamata kujul; tegelikult saab Google püsiva kliendi ID koos võla staatuse sündmusega.

4) Mitteaktiivse ressursi Universal Analytics UA-6990595-1 loendur jätkab tööd lehekülgedel: andmete töötlemine selles lõpetati 2023. aastal, kuid viide www. google-analytics.com lahkub täielikult ja kannab IP-aadressi, ekraani resolutsiooni 1920x1080, akna suurust, keelt, aadressi ja lehe pealkirja. Lisaks kasutule ülekandele tõmbab see vananenud loendur automaatselt GA4 konteineri lehele, mis seejärel saadab võlgniku sisselogimissündmuse. Eraldi: vestlusikoon laaditakse üles avalikust failivahetajast i.postimg.cc, mille omanik on peidetud privaatsusteenuse poolt, mille tulemusena läheb kabineti külastaja IP-aadress kolmanda osapoole hostimisele ilma vajaduseta.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-julianus-ee/

3. Sätted, mille järgimist palun kontrollida
GDPR Art 9 / Art 5(1)(a) – Võlaandmete edastamine analüütikale; e-privaatsus – direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a); GDPR – artikli 13 lõike 1 punkt e – vastuvõtjate avalikustamine; GDPR artikli 5 lõike 1 punkt c – minimeerimine

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]