mil.ee

Тема: Жалоба на обработку персональных данных — mil.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом mil.ee.

2. Обстоятельства
Я посетил сайт mil.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 06.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Платформа согласия Cookiebot загружается первой на каждой странице и корректно блокирует скриптовые трекеры: Google Analytics, Google Tag Manager, DoubleClick и пиксель Facebook разрешены в политике безопасности контента, но за весь замер (11 страниц, 506 запросов) не сработали ни разу — согласие на статистику и маркетинг не давалось. Однако сторонний контент, встроенный как изображения, эту блокировку обходит. На главной странице автоматически подгружаются картинки постов из встроенной ленты Facebook (scontent.ftll3-1/2.fna.fbcdn.net) — адрес IP посетителя уходит в Meta (США). На странице срочной службы /ajateenistus/ загружается встроенная лента YouTube: обращение к API плейлиста (www.googleapis.com/youtube/v3) и превью (i.ytimg.com) — адрес IP уходит в Google (США). Дополнительно до согласия на +352 мс стартуют reCAPTCHA Enterprise (передача в Google) и Google Fonts (адрес IP в Google), а также бескуковый аналитический маяк Cloudflare. Браузер при этом отправлял заголовок DNT: 1 (в 331 запросе), и платформа Cookiebot получала параметр dnt=true — на загрузку встроенного контента это не повлияло. reCAPTCHA и Cloudflare помечены в декларации cookie как необходимые (различение человека и робота), что для средства защиты защитимо; ленты Facebook и YouTube к средствам защиты не относятся и тем не менее подгружаются без согласия.

2) Принципы защиты данных Kaitsevägi (обновлены 08.01.2025) описывают Facebook, Instagram, X и YouTube как внешние страницы, куда посетитель переходит по ссылке: «kui liigute kaitseväe veebilehelt vastava lingi kaudu meie … lehele, kogub teie kohta andmeid kolmas pool» (если вы переходите по ссылке на нашу страницу, данные о вас собирает третья сторона), и уточняют, что сведения о посещаемости получают «только в неперсонализированном виде». Фактически контент Facebook и YouTube встроен в страницы и подгружается автоматически при заходе, отправляя адрес IP посетителя в Meta и Google (США) без всякого перехода по ссылке. Документ отдельно утверждает: «IP-aadresse ei seota teabega, mis võimaldab isikut tuvastada. Andmeid töötleme üksnes isikustamata kujul» (адреса IP не связываются с идентифицирующей информацией; данные обрабатываем только в обезличенном виде) — но передача адреса IP стороннему получателю в США обезличиванием со стороны этого получателя не является. Google reCAPTCHA и Cloudflare в самих принципах защиты данных не названы вовсе — они присутствуют лишь в автоматической декларации cookie (rc::a, __cf_bm). Наконец, документ заявляет использование Google Analytics, тогда как в этом замере счётчик корректно заблокирован до согласия.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-mil-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — передача данных сторонним получателям без согласия; GDPR Art. 5(1)(a) / Art. 13(1)(e) — прозрачность, получатели и точность описания

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — mil.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website mil.ee.

2. Circumstances
I visited the website mil.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 6 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The Cookiebot consent platform loads first on every page and correctly blocks the script-based trackers: Google Analytics, Google Tag Manager, DoubleClick and the Facebook pixel are permitted in the content security policy but did not fire once across the entire capture (11 pages, 506 requests) — consent for statistics and marketing was not given. However, third-party content embedded as images bypasses this blocking. On the homepage, post images from the embedded Facebook feed (scontent.ftll3-1/2.fna.fbcdn.net) load automatically — the visitor's IP address goes to Meta (US). On the conscription page /ajateenistus/, an embedded YouTube feed loads: a request to the playlist API (www.googleapis.com/youtube/v3) and thumbnails (i.ytimg.com) — the IP address goes to Google (US). Additionally, before consent, at +352 ms, reCAPTCHA Enterprise (transmission to Google) and Google Fonts (IP address to Google) start, as does the cookieless Cloudflare analytics beacon. The browser meanwhile sent the DNT: 1 header (in 331 requests), and the Cookiebot platform received the dnt=true parameter — this had no effect on the loading of the embedded content. reCAPTCHA and Cloudflare are marked in the cookie declaration as necessary (distinguishing human from robot), which is defensible for a security tool; the Facebook and YouTube feeds are not security tools and load without consent nonetheless.

2) The Kaitsevägi data-protection principles (updated 08.01.2025) describe Facebook, Instagram, X and YouTube as external pages the visitor navigates to via a link: 'kui liigute kaitseväe veebilehelt vastava lingi kaudu meie … lehele, kogub teie kohta andmeid kolmas pool' (if you navigate via a link from our website to our page, a third party collects data about you), and specify that visit information is received 'only in anonymised form'. In fact the Facebook and YouTube content is embedded in the pages and loads automatically on visit, sending the visitor's IP address to Meta and Google (US) without any link being followed. The document separately states: 'IP-aadresse ei seota teabega, mis võimaldab isikut tuvastada. Andmeid töötleme üksnes isikustamata kujul' (IP addresses are not linked to identifying information; we process data only in anonymised form) — but the transfer of the IP address to a third-party recipient in the US is not anonymisation from that recipient's side. Google reCAPTCHA and Cloudflare are not named in the data-protection principles at all — they appear only in the automatic cookie declaration (rc::a, __cf_bm). Finally, the document states that Google Analytics is used, whereas in this capture the counter is correctly blocked until consent.

Full technical documentation is published at: https://gdpru.eu/audits/ee-mil-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — transfer of data to third-party recipients without consent; GDPR Art. 5(1)(a) / Art. 13(1)(e) — transparency, recipients and accuracy of description

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil mil.ee.

2. Asjaolud
Külastasin veebisaiti mil.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 06.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Nõusolekuplatvorm Cookiebot laadib kõigepealt igale lehele ja blokeerib korrektselt skriptide jälgijad: sisuturbepoliitikas on lubatud Google Analytics, Google Tag Manager, DoubleClick ja Facebooki piksel, kuid kogu mõõtmise (11 lehte, 506 päringut) ei töötanud üks kord - statistika ja turunduse nõusolekut ei antud. Kuid piltidena manustatud kolmanda osapoole sisu läheb sellest blokeerimisest mööda. Pealehel laaditakse automaatselt postituste pildid sisseehitatud Facebooki voost (scontent.ftll3-1/2 .fna. fbcdn.net ) - külastaja IP-aadress läheb Metale (USA). Kiireloomulisel teenuse lehel /ajateenistus / laadib alla sisseehitatud YouTube'i voo: juurdepääs esitusloendi API-le (www.googleapis.com/youtube/v3) ja eelvaatlusele (i. ytimg.com) - IP-aadress läheb Google'ile (USA). Lisaks sellele, enne +352 ms-ga nõustumist käivituvad reCAPTCHA Enterprise (edastus Google'ile) ja Google Fonts (IP-aadress Google'ile), samuti Cloudflare'i küpsisevaba analüütiline majakas. Samal ajal saatis brauser DNT päise: 1 (331 taotluses) ja Cookieboti platvorm sai dnt=true parameetri - see ei mõjutanud manustatud sisu laadimist. ReCAPTCHA ja Cloudflare on küpsiste deklaratsioonis märgitud kui vajalik (inimese ja roboti eristamine), mis on kaitstud kaitse eesmärgil; Facebooki ja YouTube'i kanalid ei ole kaitstud ja on sellest hoolimata ilma nõusolekuta alla laaditud.

2) Kaitseväe andmekaitse põhimõtetes (uuendatud 08.01.2025) kirjeldatakse Facebooki, Instagrami, X-i ja YouTube'i väliste lehtedena, kus külastaja klõpsab lingil: „kui liigute kaitseväe veebilehtt; link meie kaudu ... lehele, kogub teie kohta andmeid kolmas pool” (kui klõpsate lingil meie lehele, kogub teie kohta andmeid kolmas isik) ning täpsustatakse, et kohalviibimise teave saadakse „ainult isikustamata kujul”. Tegelikult on Facebooki ja YouTube'i sisu lehtedele integreeritud ja laaditakse automaatselt saabumisel, saates külastaja IP-aadressi Metale ja Google'ile (USA) ilma lingil klõpsamata. Dokumendis on eraldi kirjas: „IP-aadress ei seota teabega, mis võimaldab isikut tuvastada. Andmeid tötleme ainult isikustamata kujul (IP-aadresse ei seostata teabe identifitseerimisega; andmeid töödeldakse ainult anonüümsel kujul) - kuid see saaja ei anonümiseeri IP-aadressi edastamist kolmandast isikust vastuvõtjale Ameerika Ühendriikides. Google reCAPTCHA ja Cloudflare ei ole andmekaitse põhimõtetes ise mainitud – need on olemas ainult automaatses küpsisedeklaratsioonis (rc:::a, cf bm). Lõpuks on dokumendis märgitud Google Analyticsi kasutamine, samas kui selles mõõtmises on loendur õigesti blokeeritud kuni nõusoleku saamiseni.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-mil-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus - direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koostoimes GDPRi artikli 6 lõike 1 punktiga a) - andmete edastamine kolmandatest isikutest vastuvõtjatele ilma nõusolekuta; GDPR artikli 5 lõike 1 punkt a/artikli 13 lõike 1 punkt e – läbipaistvus, vastuvõtjad ja kirjeldav täpsus

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]