RU EN
www.
Технический аудит · 21.04.2026

kriis.ee

Гражданская оборона, эвакуация, чрезвычайные ситуации
EE

Портал, куда человек приходит, когда звучит сирена — узнать, куда бежать и как защитить семью. Через 342 миллисекунды Microsoft Clarity начинает записывать каждое его движение мыши. Политика куки в это время декларирует placeholder www.domeen.ee — незаполненный шаблон, висящий четвёртый год.

Хронология обращений

+342 мс · до согласия
Microsoft Clarity (www.clarity.ms) — загрузка сессионного рекордера. Следом Cloudflare Insights (+348 мс) и GTM (+820 мс, ID G-D4XXWR7F52). Всё до любого согласия.
+1995 мс · рекордер активен
y.clarity.ms — 28 запросов, непрерывная передача поведенческих данных (движения мыши, клики, скролл, видеозаписи сессии) в Microsoft, США.
+2666 мс · до согласия
Google Analytics (region1, статус 204, 7 запросов) и DoubleClick (stats.g.doubleclick.net) фиксируют визит и добавляют событие в рекламный профиль. Баннер «Отклонить все» отсутствует.

Декларация против факта

✓ AddThis (__atuvc, __atuvs) — нет в HAR — заявлен
✓ Facebook, LinkedIn, Twitter — нет в HAR — заявлен
✓ Источник куки: www.domeen.ee — placeholder, не реальный домен — заявлен
+ Microsoft Clarity — сессионный рекордер, 28 запросов в США — не заявлен
+ Google Analytics (_ga_D4XXWR7F52), GTM, DoubleClick — не заявлен
+ Cloudflare Insights, browser-update.org, _cf_bm / cf_clearance — не заявлен

Тайминги передачи

+342 мс www.clarity.ms

Microsoft Clarity — сессионный рекордер. Данные в США

+820 мс www.googletagmanager.com

GTM, ID G-D4XXWR7F52

+1995 мс y.clarity.ms

28 запросов, передача сессии в Microsoft. Статус 0 — ответ заблокирован, но запросы ушли

+2666 мс region1.analytics.google.com

Google Analytics, статус 204, 7 запросов. Данные переданы

+2667 мс stats.g.doubleclick.net

DoubleClick — рекламный трекер, статус 204

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

kriis.ee — официальный портал кризисной готовности Эстонии от Государственной канцелярии (Riigikantselei): гражданская оборона, эвакуация, чрезвычайные ситуации. Человек приходит сюда, когда звучит сирена, когда нужно знать, что делать, куда бежать, как защитить семью. HAR: 176 запросов, 13 внешних доменов.

Политика-заглушка

Политика куки опубликована от имени Riigikantselei, последнее обновление — 07.01.2022, более четырёх лет назад. Но важнее даты другое: в таблице куки в графе «Алликас» (источник) во всех строках написано www.domeen.ee. Это не реальный домен — domeen.ee по-эстонски означает «домен». Это placeholder, заглушка из шаблона. Государственная канцелярия опубликовала шаблонный документ, не заменив www.domeen.ee на название реального сайта, и этот документ четвёртый год висит на портале кризисной готовности страны.

Microsoft Clarity — сессионный рекордер

Три компонента одного продукта (www.clarity.ms → scripts.clarity.ms → y.clarity.ms) — это Microsoft Clarity, сессионный рекордер. Он записывает каждое движение мыши, каждый клик, глубину скролла, строит тепловые карты и видеозаписи сессий. 28 запросов к y.clarity.ms за сессию — это непрерывная передача поведенческих данных в Microsoft (США), на портале кризисной готовности, и в политике куки этот сервис отсутствует. Cookie cookie-agreed-categories содержит значение ["functional"] — то есть пользователь не давал согласия на аналитику и маркетинг, но _ga и _ga_D4XXWR7F52 всё равно установлены, а данные переданы.

Контекст eID

На сайте интегрирована электронная идентификация (Web eID, token-signing-page-script.js). В той же сессии, где гражданин может авторизоваться через ID-карту, Microsoft Clarity записывает сессию (28 запросов), GTM активен, DoubleClick передал данные, browser-update.org загружен. Это требует отдельного правового обоснования по Art. 9 GDPR.

Вывод

Человек открывает портал кризисной готовности, чтобы узнать, что делать при эвакуации, где ближайшее убежище, как защитить детей. Через 342 миллисекунды Microsoft начинает записывать каждое его движение мыши. Через две секунды Google Analytics фиксирует визит, DoubleClick добавляет событие в рекламный профиль. Политика куки в это время декларирует www.domeen.ee — заглушку, висящую четыре года. Кризисный портал должен быть местом, где государство говорит гражданину: мы тебя защищаем. Пока это место, где Microsoft записывает его сессию без его ведома.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: ee/kriis-ee-2026-04-21.har
SHA-256: ca059d81fdbf62b9fa2730c01bb6aaf449f4b77e043f1df723e0fd6116894fb2
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — kriis.ee

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта kriis.ee.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Microsoft Clarity (+342 мс), Cloudflare Insights (+348 мс), GTM (+820 мс), browser-update.org (+2020 мс), Google Analytics (+2666 мс), DoubleClick (+2667 мс) запускаются до любого согласия пользователя.

2) Политика куки содержит www.domeen.ee (эстонское слово «домен») вместо реального домена во всех строках таблицы. Документ — незаполненный шаблон, висит так с 07.01.2022. Принцип прозрачности нарушен структурно.

3) Отсутствует равнозначная кнопка «Отклонить все».

4) Принуждённое согласие: категория «Необходимые куки» заблокирована, вендоры не названы. Cookie cookie-agreed-categories = ["functional"], но _ga и _ga_D4XXWR7F52 установлены, данные переданы.

5) Реальные получатели не задекларированы: Microsoft Clarity, GTM, DoubleClick, Cloudflare Insights, browser-update.org, cookies _cf_bm/cf_clearance. Задекларированы AddThis, Facebook, LinkedIn, Twitter — которых в HAR нет.

6) Механизм передачи данных в США (Microsoft, Google, Cloudflare) не указан ни для одного получателя.

7) Интеграция Web eID (token-signing-page-script.js). В той же сессии, где гражданин авторизуется через ID-карту, работают незадекларированные трекеры. Требует отдельного правового обоснования.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-kriis-ee/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee

Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — kriis.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом kriis.ee.

2. Обстоятельства
Я посетил сайт kriis.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 21.04.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Microsoft Clarity (+342 мс), Cloudflare Insights (+348 мс), GTM (+820 мс), browser-update.org (+2020 мс), Google Analytics (+2666 мс), DoubleClick (+2667 мс) запускаются до любого согласия пользователя.

2) Политика куки содержит www.domeen.ee (эстонское слово «домен») вместо реального домена во всех строках таблицы. Документ — незаполненный шаблон, висит так с 07.01.2022. Принцип прозрачности нарушен структурно.

3) Отсутствует равнозначная кнопка «Отклонить все».

4) Принуждённое согласие: категория «Необходимые куки» заблокирована, вендоры не названы. Cookie cookie-agreed-categories = ["functional"], но _ga и _ga_D4XXWR7F52 установлены, данные переданы.

5) Реальные получатели не задекларированы: Microsoft Clarity, GTM, DoubleClick, Cloudflare Insights, browser-update.org, cookies _cf_bm/cf_clearance. Задекларированы AddThis, Facebook, LinkedIn, Twitter — которых в HAR нет.

6) Механизм передачи данных в США (Microsoft, Google, Cloudflare) не указан ни для одного получателя.

7) Интеграция Web eID (token-signing-page-script.js). В той же сессии, где гражданин авторизуется через ID-карту, работают незадекларированные трекеры. Требует отдельного правового обоснования.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-kriis-ee/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 6(1), Art. 5(1)(a); GDPR Art. 5(1)(a); GDPR Art. 7(3); GDPR Art. 7(4), Recital 32; GDPR Art. 13(1)(e); GDPR Art. 13(1)(f), Chapter V; GDPR Art. 9 (контекст eID)

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]