Технический аудит · 02.05.2026

oiguskantsler.ee

Конституционный омбудсмен, защита прав граждан от государства

Институт, который защищает права граждан от произвола государства — последний барьер перед судом. Технически сайт почти образцовый: ноль Google Analytics, ноль DoubleClick, CSP работает. Но один Google Fonts передаёт IP посетителя в США, а политика конфиденциальности — одна из слабейших в серии.

Хронология обращений

+233 мс · до согласия

fonts.googleapis.com — статус 200, 4 запроса. Следом fonts.gstatic.com (+261 мс, 8 запросов): шрифт Roboto Flex с серверов Google в США. IP, User-Agent, Referer (oiguskantsler.ee) уходят в Google.

Что заблокировано

Cloudflare Insights — статус 0, CSP сработала, данные не ушли (редкость в серии). Matomo на statistika.rik.ee (государственный сервер RIK) — данные остаются в Эстонии. Иконки соцсетей — локальные.

Декларация против факта

✓ Абстрактно: «инструмент, собирающий общие данные» — без названий — заявлен

✓ «Данные доступны только в неперсонифицированном виде» — заявлен

+ Google Fonts — IP в США, не назван — не заявлен

+ Matomo / statistika.rik.ee — не назван — не заявлен

+ Cookie-политика отсутствует полностью — не заявлен

Тайминги передачи

+233 мс fonts.googleapis.com

Google Fonts, 4 запроса, статус 200

+261 мс fonts.gstatic.com

Шрифт Roboto Flex, 8 запросов. IP в Google (США)

Без точного времени

при загрузке static.cloudflareinsights.comСтатус 0 — CSP сработала, данные не ушли

за сессию statistika.rik.ee (Matomo)Matomo на государственном сервере RIK (Эстония) — правильное решение

Зафиксированные трекеры

Google Fonts
Matomo (statistika.rik.ee)
Cloudflare Insights (заблокирован CSP)

Признаки несоответствия GDPR

GDPR Art. 6(1), Art. 5(1)(a)
Google Fonts (fonts.googleapis.com +233 мс, fonts.gstatic.com +261 мс) передаёт IP пользователя в Google (США) без согласия. Суд ЕС в 2022 признал именно эту передачу нарушением.
GDPR Art. 7
Механизм согласия отсутствует как таковой. Ни одного consent-запроса за сессию. Передача в Google происходит автоматически при первой загрузке.
GDPR Art. 5(1)(a)
Политика заявляет, что данные доступны канцелярии «только в неперсонифицированном виде». При этом IP (персональные данные по делу Breyer) уходит в Google. Прямое противоречие.
GDPR Art. 12(1), Art. 13(1)(e)
Получатели данных не названы вообще — ни Google, ни Cloudflare, ни Matomo/RIK. Политика абстрактна. Cookie-политика отсутствует полностью, хотя сайт использует cookies через Matomo.
GDPR Art. 13(1)(f), Chapter V
Передача данных в США (Google Fonts) без указания механизма — ни SCC, ни adequacy decision. Privacy Shield аннулирован в 2020.

Контекст

oiguskantsler.ee — сайт Канцлера юстиции Эстонии, конституционного омбудсмена. Это институт, существующий для одной цели — защищать права граждан от произвола государства: проверять соответствие законов Конституции, принимать жалобы от людей, которых обидело государство, консультировать парламент и правительство. Последний внутренний барьер перед судом — орган, к которому обращаются, когда всё остальное не сработало. HAR: 240 запросов, 5 доменов.

Что сделано правильно — и это заслуживает признания

Никакого Google Tag Manager, Google Analytics, DoubleClick, browser-update.org — это уже выгодно отличает сайт от большинства государственных порталов серии. Аналитика ведётся через Matomo на statistika.rik.ee (сервер Центра регистров и информационных систем Эстонии) — данные о посещаемости остаются внутри страны. Cloudflare Insights попытался загрузиться и был заблокирован CSP (статус 0) — редкость в серии, кто-то настроил CSP, и она работает. Иконки соцсетей локальные (.png и .svg с собственного сервера), без запросов к Facebook, LinkedIn или Twitter.

Что не сделано — Google Fonts

fonts.googleapis.com (+233 мс) и fonts.gstatic.com (+261 мс) загружают шрифт Roboto Flex с серверов Google в США. При каждом запросе передаётся IP-адрес пользователя, User-Agent (браузер, ОС, версия), Referer (oiguskantsler.ee) и время запроса. Суд ЕС в 2022 году по делу против немецкого сайта признал именно эту передачу нарушением GDPR и обязал выплатить компенсацию — прецедент существует. Баннера согласия нет, передача в Google происходит автоматически при первой загрузке.

Политика — одна из слабейших в серии

Политика заявляет, что данные доступны канцелярии «только в неперсонифицированном виде», — но IP, передаваемый в Google, по определению является персональными данными (дело Breyer, C-582/14). Получатели данных не названы вообще: ни Google, ни Cloudflare, ни Matomo — только абстрактное «инструмент, который собирает общие данные» (Art. 13(1)(e)). О передаче в США — ни слова (Art. 13(1)(f)). Cookie-политика отсутствует полностью: ни таблицы, ни списка, ни упоминания, хотя сайт использует cookies через Matomo. Для сравнения, sotsiaalkindlustusamet.ee той же вертикали власти имеет полную таблицу cookies — это стандарт, которого здесь нет.

Вывод

Кто заходит на сайт Канцлера юстиции? Человек, у которого проблема с государством: незаконное решение чиновника, нарушение конституционных прав, жалоба на полицию или суд. Сам факт обращения к омбудсмену говорит о ситуации человека — и в этот момент его IP уходит в Google без ведома и согласия. Но решение здесь — одно техническое действие: Roboto Flex можно разместить на собственном сервере за несколько часов, затем обновить политику и назвать получателей по именам. CSP уже работает, Matomo на госсервере — правильно. Один шрифт и одна политика отделяют этот сайт от чистой архитектуры. Тот, кто учит других защищать права граждан, должен начать с собственного сайта.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: ee/oiguskantsler-ee-2026-05-02.har

SHA-256: a4bcfc21c4837711043bfc59063833cf440b5c68e4c96480f67e3eb567603991

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — oiguskantsler.ee

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта oiguskantsler.ee.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Google Fonts (fonts.googleapis.com +233 мс, fonts.gstatic.com +261 мс) передаёт IP пользователя в Google (США) без согласия. Суд ЕС в 2022 признал именно эту передачу нарушением.

2) Механизм согласия отсутствует как таковой. Ни одного consent-запроса за сессию. Передача в Google происходит автоматически при первой загрузке.

3) Политика заявляет, что данные доступны канцелярии «только в неперсонифицированном виде». При этом IP (персональные данные по делу Breyer) уходит в Google. Прямое противоречие.

4) Получатели данных не названы вообще — ни Google, ни Cloudflare, ни Matomo/RIK. Политика абстрактна. Cookie-политика отсутствует полностью, хотя сайт использует cookies через Matomo.

5) Передача данных в США (Google Fonts) без указания механизма — ни SCC, ни adequacy decision. Privacy Shield аннулирован в 2020.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-oiguskantsler-ee/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — oiguskantsler.ee

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website oiguskantsler.ee.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) Google Fonts (fonts.googleapis.com +233 ms, fonts.gstatic.com +261 ms) transmits the user's IP address to Google (USA) with no consent. In 2022, the CJEU found this exact transfer to be a violation.

2) There is no consent mechanism whatsoever. Not a single consent request in the session. The transfer to Google happens automatically on the first page load.

3) The policy states that data is available to the chancellery 'only in non-personalized form.' Yet an IP address (personal data per the Breyer ruling) goes to Google. A direct contradiction.

4) Data recipients are not named at all — neither Google, nor Cloudflare, nor Matomo/RIK. The policy is abstract. There is no cookie policy whatsoever, despite the site using cookies via Matomo.

5) Data transfer to the USA (Google Fonts) with no mechanism stated — neither SCC nor an adequacy decision. Privacy Shield was invalidated in 2020.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-oiguskantsler-ee/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — oiguskantsler.ee

Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond]
Kellelt: [Teie nimi], [kontakt-e-post]

Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi oiguskantsler.ee kasutamisega.

1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c))
Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad:

1) Google Fonts (fonts. googleapis.com +233 ms, fonts). gstatic.com +261 ms edastab kasutaja IP ilma nõusolekuta Google'ile (USA). Euroopa Liidu kohus tunnistas 2022. aastal selle üleandmise rikkumiseks.

2) Puudub kokkuleppemehhanism kui selline. Nõusolekut seansi kohta ei küsita. Ülekanne Google'ile toimub automaatselt esimesel allalaadimisel.

3) Poliitika ütleb, et andmed on kontorile kättesaadavad "ainult isikustamata kujul". Samal ajal läheb Google'ile IP (Breyeri juhtumi isikuandmed). Otsene vastuolu.

4) Andmete saajaid ei nimetata üldse – ei Google, Cloudflare ega Matomo/RIK. Poliitika on abstraktne. Küpsisepoliitika tervikuna puudub, kuigi veebisait kasutab küpsiseid Matomo kaudu.

5) Andmete edastamine Ameerika Ühendriikidesse (Google Fonts) ilma mehhanismi täpsustamata - ei SCC ega piisavusotsus. Andmekaitseraamistik Privacy Shield tühistatakse 2020. aastal.


2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46)
Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-oiguskantsler-ee/

3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h))
Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee

Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — oiguskantsler.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом oiguskantsler.ee.

2. Обстоятельства
Я посетил сайт oiguskantsler.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 02.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Google Fonts (fonts.googleapis.com +233 мс, fonts.gstatic.com +261 мс) передаёт IP пользователя в Google (США) без согласия. Суд ЕС в 2022 признал именно эту передачу нарушением.

2) Механизм согласия отсутствует как таковой. Ни одного consent-запроса за сессию. Передача в Google происходит автоматически при первой загрузке.

3) Политика заявляет, что данные доступны канцелярии «только в неперсонифицированном виде». При этом IP (персональные данные по делу Breyer) уходит в Google. Прямое противоречие.

4) Получатели данных не названы вообще — ни Google, ни Cloudflare, ни Matomo/RIK. Политика абстрактна. Cookie-политика отсутствует полностью, хотя сайт использует cookies через Matomo.

5) Передача данных в США (Google Fonts) без указания механизма — ни SCC, ни adequacy decision. Privacy Shield аннулирован в 2020.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-oiguskantsler-ee/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 6(1), Art. 5(1)(a); GDPR Art. 7; GDPR Art. 5(1)(a); GDPR Art. 12(1), Art. 13(1)(e); GDPR Art. 13(1)(f), Chapter V

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — oiguskantsler.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website oiguskantsler.ee.

2. Circumstances
I visited the website oiguskantsler.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 2 May 2026 (open methodology, reproducible measurements) documents the following indications:

1) Google Fonts (fonts.googleapis.com +233 ms, fonts.gstatic.com +261 ms) transmits the user's IP address to Google (USA) with no consent. In 2022, the CJEU found this exact transfer to be a violation.

2) There is no consent mechanism whatsoever. Not a single consent request in the session. The transfer to Google happens automatically on the first page load.

3) The policy states that data is available to the chancellery 'only in non-personalized form.' Yet an IP address (personal data per the Breyer ruling) goes to Google. A direct contradiction.

4) Data recipients are not named at all — neither Google, nor Cloudflare, nor Matomo/RIK. The policy is abstract. There is no cookie policy whatsoever, despite the site using cookies via Matomo.

5) Data transfer to the USA (Google Fonts) with no mechanism stated — neither SCC nor an adequacy decision. Privacy Shield was invalidated in 2020.

Full technical documentation is published at: https://gdpru.eu/audits/ee-oiguskantsler-ee/

3. GDPR provisions I ask you to examine
GDPR Art. 6(1), Art. 5(1)(a); GDPR Art. 7; GDPR Art. 5(1)(a); GDPR Art. 12(1), Art. 13(1)(e); GDPR Art. 13(1)(f), Chapter V

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil oiguskantsler.ee.

2. Asjaolud
Külastasin veebisaiti oiguskantsler.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 02.05.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Google Fonts (fonts. googleapis.com +233 ms, fonts). gstatic.com +261 ms edastab kasutaja IP ilma nõusolekuta Google'ile (USA). Euroopa Liidu kohus tunnistas 2022. aastal selle üleandmise rikkumiseks.

2) Puudub kokkuleppemehhanism kui selline. Nõusolekut seansi kohta ei küsita. Ülekanne Google'ile toimub automaatselt esimesel allalaadimisel.

3) Poliitika ütleb, et andmed on kontorile kättesaadavad "ainult isikustamata kujul". Samal ajal läheb Google'ile IP (Breyeri juhtumi isikuandmed). Otsene vastuolu.

4) Andmete saajaid ei nimetata üldse – ei Google, Cloudflare ega Matomo/RIK. Poliitika on abstraktne. Küpsisepoliitika tervikuna puudub, kuigi veebisait kasutab küpsiseid Matomo kaudu.

5) Andmete edastamine Ameerika Ühendriikidesse (Google Fonts) ilma mehhanismi täpsustamata - ei SCC ega piisavusotsus. Andmekaitseraamistik Privacy Shield tühistatakse 2020. aastal.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-oiguskantsler-ee/

3. Sätted, mille järgimist palun kontrollida
GDPR artikli 6 lõige 1, artikli 5 lõike 1 punkt a; GDPR artikkel 7; GDPR artikli 5 lõike 1 punkt a; GDPR artikli 12 lõige 1, artikli 13 lõike 1 punkt e; GDPR artikli 13 lõike 1 punkt f, V peatükk

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]

[Kuupäev]