Технический аудит · 25.09.2026

opera.ee

Сайт Национальной оперы «Эстония»

Сайт Национальной оперы «Эстония» — одна запись, две загрузки главной страницы, 225 запросов, одиннадцать узлов. Платформа согласия Cookiebot настроена корректно: отказ равнозначен согласию, категории выключены по умолчанию, отказ записан и отображается в настройках. Однако Google Analytics 4 работает в расширенном режиме Consent Mode: первый page_view уходит ещё до показа баннера, а после зафиксированного отказа в Google продолжают уходить page_view и scroll со сведениями об устройстве и странице. Cookie при этом не сохраняются, но передача не прекращается. Политика оператора — публично-правового юридического лица — обещает передавать данные третьим лицам только по закону, договору или с согласия и Google не называет. Браузер заголовок DNT не отправлял.

Хронология обращений

+0 мс · навигация

Открытие opera.ee: переадресации 307 и 302 на эстонскую версию. Сервер nginx. Защитные заголовки: HSTS (max-age=63072000), X-Frame-Options SAMEORIGIN, X-Content-Type-Options nosniff; политики безопасности содержимого и политики реферера нет. Браузер заголовок DNT не отправлял.

+1119…+1535 мс · контейнер запускает и согласие, и аналитику

GTM-WXLXM5H (+1119 мс) загружает Cookiebot uc.js (+1506 мс), gtag/js (+1522 мс) и analytics.js (+1535 мс); reCAPTCHA грузится собственным скриптом сайта (+1899 мс).

+123890…+182841 мс · передача после отказа

scroll (+123890 мс) на той же странице, затем после повторной загрузки — page_view (+173622 мс) и scroll (+182841 мс); везде gcs=G100, gcd=13q3q3q2q5l1. На новой странице идентификатор клиента новый и снова выставлен признак первого визита — cookie не сохраняются.

Декларация против факта

✓ Контролёр — Rahvusooper Estonia, публично-правовое юридическое лицо; специалист по защите данных andmekaitse@opera.ee — заявлен

✓ Основание обработки — действующие законы и законный интерес — заявлен

✓ Cookie — файлы, «используемые для отслеживания или идентификации»; их можно отключить в браузере — заявлен

✓ Персональные данные передаются третьим лицам при исполнении закона, в надзорных и судебных процедурах, для исполнения договоров, а также по просьбе лица и/или с его согласия — заявлен

✓ Право обратиться в Инспекцию по защите данных или в суд — заявлен

✓ Декларация Cookiebot (обновлена 27.08.2026), необходимые: CookieConsent, Google (test_cookie, rc::a, rc::c) с пометкой об использовании для рекламы, Vimeo (__cf_bm), csrftoken — заявлен

✓ Декларация Cookiebot, статистика: Google Analytics (_ga, _ga_#, _gat), sentryReplaySession; маркетинг: Meta (_fbp и др.), Google (DFPAudiencePixel, _gid), Spotify, YouTube; неклассифицированные: static.koobin.com, tickets.opera.ee — заявлен

✓ Баннер: сведения об использовании сайта передаются партнёрам по социальным сетям, рекламе и аналитике — заявлен

+ Google Analytics — в принципах обработки данных не назван — не заявлен

+ Передача сведений об устройстве и странице в Google после зафиксированного отказа — не заявлен

+ Google reCAPTCHA как получатель данных — в принципах обработки не назван — не заявлен

Тайминги передачи

+1119 мс www.googletagmanager.com

GTM-WXLXM5H; запускает и Cookiebot, и Google Analytics.

+1506 мс consent.cookiebot.eu

uc.js, режим leveloptin.

+2291 мс region1.google-analytics.com

page_view, gcs=G100, gcd=13p3p3p2p5l1.

+112357 мс consent.cookiebot.eu

logconsent.ashx?action=decline.

+123890 мс region1.google-analytics.com

scroll, gcs=G100, gcd=13q3q3q2q5l1; далее page_view +173622 мс и scroll +182841 мс.

Зафиксированные трекеры

Google Analytics 4 (G-8VGE9CCDY8) через region1.google-analytics.com — page_view и scroll в режиме согласия «запрещено» (gcs=G100), в том числе после отказа
Google Tag Manager (www.googletagmanager.com, контейнер GTM-WXLXM5H, gtag/js, analytics.js) — контейнер, из которого запускаются и Cookiebot, и аналитика
Cookiebot (consent.cookiebot.eu, consentcdn.cookiebot.eu; конфигурация 886e92e8-a5cf-4353-95b9-…) — платформа управления согласием в режиме opt-in
Google reCAPTCHA (www.google.com/recaptcha, www.gstatic.com) — защита форм, загружается на каждой странице
Google Fonts (fonts.gstatic.com) — шрифт Roboto виджета reCAPTCHA
Amazon S3 (s3.eu-central-1.amazonaws.com/estonian-opera-production) — медиафайлы сайта
jQuery CDN (ajax.googleapis.com) — библиотека jQuery 3.4.1

Признаки несоответствия GDPR

ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a))
Платформа Cookiebot настроена корректно, но не останавливает передачу в Google Analytics. Контейнер GTM-WXLXM5H запускает и Cookiebot (+1506 мс), и Google Analytics (+1522…+1535 мс); первый page_view уходит на +2291 мс — до того, как загружена конфигурация баннера (+2336 мс), — со статусом gcs=G100 и gcd=13p3p3p2p5l1 («запрещено по умолчанию»). Отказ записан на +112357 мс (logconsent.ashx?action=decline), после чего gcd принимает значение 13q3q3q2q5l1 — запрет подтверждён обновлением. Тем не менее GA4 продолжает отправлять в Google событие scroll (+123890 мс), а на следующей странице — page_view и scroll (+173622, +182841 мс). Каждое обращение несёт заголовок и адрес страницы, реферер, разрешение экрана 1536x864, клиентские подсказки браузера (Microsoft Edge 153, Windows 19.0, x86/64) и язык. Согласно Руководству EDPB 2/2023 о техническом охвате ст. 5(3), считывание таких сведений с устройства скриптом требует согласия и без использования cookie.
GDPR Art. 5(1)(a), Art. 13(1)(c), (e) — прозрачность: заявленное расходится с фактическим
Принципы обработки персональных данных Rahvusooper Estonia называют основанием обработки законы и законный интерес и сообщают, что персональные данные передаются третьим лицам при исполнении закона, в надзорных и судебных процедурах, для исполнения договоров, а также по просьбе лица и/или с его согласия. Google как получатель веб-данных в документе не назван; cookie описаны лишь как файлы, «используемые для отслеживания или идентификации», с предложением отключать их в браузере. Фактически сведения о просмотре уходят в Google и после отказа. Декларация Cookiebot, кроме того, относит к необходимым cookie Google test_cookie, указывая рядом, что данные этого поставщика используются для персонализации и измерения рекламы.

Контекст

opera.ee — сайт Национальной оперы «Эстония» (Rahvusooper Estonia): репертуар, оперы, оперетты и мюзиклы, балеты, спектакли для детей, продажа билетов через tickets.opera.ee. Оператор — публично-правовое юридическое лицо, действующее на основании закона о Национальной опере; специалист по защите данных — andmekaitse@opera.ee. Сайт отдаётся сервером nginx, медиафайлы — из Amazon S3.

Обработку описывают принципы обработки персональных данных Rahvusooper Estonia и декларация cookie платформы Cookiebot (обновлена 27 августа 2026 года). К материалам приложены два снимка экрана: баннер согласия и состояние согласия после выбора.

Замер состоит из одной записи около трёх минут: загрузка эстонской главной страницы и её повторная загрузка. Двести двадцать пять запросов, одиннадцать узлов. Запись сделана 25 сентября 2026 года.

Кому уходят данные напрямую

Google (Analytics 4, Tag Manager, reCAPTCHA, Fonts, jQuery CDN), Cookiebot (платформа согласия), Amazon (S3 — медиафайлы сайта). Рекламы, Meta, Spotify, YouTube и Sentry в записи нет.

Заявленное против фактического

Принципы обработки данных называют основанием законы и законный интерес и перечисляют случаи передачи данных третьим лицам: исполнение закона, надзорные и судебные процедуры, исполнение договоров, а также просьба или согласие самого лица. Google в документе не назван; о cookie сказано, что они «используются для отслеживания или идентификации» и могут быть отключены в браузере. Декларация Cookiebot подробна: Google Analytics и запись сеансов Sentry в статистике, Meta, рекламные пиксели Google, Spotify и YouTube в маркетинге.

Замер показывает следующее.

Платформа согласия настроена корректно. Cookiebot работает в режиме leveloptin. Баннер, как видно на снимке, предлагает «Keeldu», «Luba valik» и «Luba kõik» — отказ равнозначен согласию, категории предпочтений, статистики и маркетинга выключены. Отказ записан на +112357 мс (logconsent.ashx?action=decline), и окно состояния после выбора показывает все три категории отклонёнными. Заявленные в маркетинге сервисы — Meta, рекламные пиксели Google, Spotify, YouTube — в записи не сработали.

Google Analytics отправляет данные до баннера и после отказа. Контейнер Google Tag Manager GTM-WXLXM5H запускает одновременно и Cookiebot, и Google Analytics. Первый page_view ресурса G-8VGE9CCDY8 уходит на +2291 мс — раньше, чем загружается конфигурация баннера (+2336 мс), — со статусом gcs=G100 и gcd=13p3p3p2p5l1: аналитика и реклама «запрещены по умолчанию». После отказа gcd принимает значение 13q3q3q2q5l1 — запрет подтверждён обновлением, — но GA4 продолжает отправлять событие scroll на той же странице (+123890 мс), а после повторной загрузки — page_view (+173622 мс) и scroll (+182841 мс). Каждое обращение несёт заголовок и адрес страницы, реферер, разрешение экрана 1536x864, клиентские подсказки браузера (Microsoft Edge 153, Windows 19.0, x86/64) и язык.

Cookie не сохраняются, но передача продолжается. На новой странице идентификатор клиента новый, а признак первого визита выставлен снова — отказ прекращает запись cookie Google Analytics. Однако, согласно Руководству EDPB 2/2023 о техническом охвате ст. 5(3) Директивы ePrivacy, считывание сведений об устройстве скриптом и их передача требуют согласия и без использования cookie.

Документы не отражают эту передачу. Принципы обработки обещают передачу третьим лицам только по закону, договору или с согласия и не называют Google; фактически сведения о просмотре уходят в Google и после отказа. Декларация Cookiebot, кроме того, относит к необходимым cookie Google test_cookie, указывая рядом, что данные этого поставщика используются для персонализации и измерения рекламы.

Функциональные узлы: Google reCAPTCHA (www.google.com/recaptcha, www.gstatic.com) загружается собственным скриптом сайта на каждой странице, со шрифтом Roboto от Google Fonts; jQuery — с ajax.googleapis.com; медиафайлы — из s3.eu-central-1.amazonaws.com/estonian-opera-production.

Согласие: что доказано и что нет

Доказано: платформа согласия настроена корректно и отказ записан. По снимкам экрана и обращению logconsent.ashx?action=decline.

Доказано: первый page_view уходит до показа баннера. Обращение /g/collect на +2291 мс предшествует загрузке конфигурации Cookiebot на +2336 мс.

Доказано: после отказа GA4 продолжает отправлять page_view и scroll. Три обращения со статусом gcs=G100 и gcd=13q3q3q2q5l1 после +112357 мс.

Доказано: устойчивого идентификатора между страницами нет. Значения cid на двух загрузках разные, признак первого визита выставлен на обеих.

Не доказано и не утверждается: обработка полученных обращений на стороне Google. Браузерный замер фиксирует факт и состав передачи, а не то, как Google её использует.

Отдельно: браузер заголовок DNT в этой записи не отправлял.

Границы наблюдения

Замер охватывает главную страницу сайта и её повторную загрузку; покупка билетов не выполнялась. Наблюдение фиксирует поведение браузера, а не внутреннюю сторону сервисов. Правовую оценку выносит компетентный орган — в Эстонии это Andmekaitse Inspektsioon.

Файл опубликован очищенным по «постному» профилю: удалены значения cookie в запросах, вырезаны заголовки Cookie и Set-Cookie; реестр очистки фиксирует 207 редакций и контрольную сумму. Параметры режима согласия, состав полей обращений Google Analytics, решение согласия и тайминги читаются по записи полностью.

Идентификация сервисов опирается на домены и схему адресов: аналитика — по google-analytics.com и ресурсу G-8VGE9CCDY8; контейнер — по GTM-WXLXM5H; платформа согласия — по cookiebot.eu; reCAPTCHA — по google.com/recaptcha и gstatic.com. Значения gcd интерпретированы по документации Google о параметрах режима согласия.

Вывод

На сайте Национальной оперы «Эстония» работает корректно настроенная платформа согласия Cookiebot: отказ равнозначен согласию, категории выключены по умолчанию, отказ записан и виден в настройках. Однако Google Analytics 4 запускается тем же контейнером Google Tag Manager в расширенном режиме Consent Mode: первый page_view уходит ещё до показа баннера, а после зафиксированного отказа в Google продолжают уходить page_view и scroll с адресом и заголовком страницы, разрешением экрана, клиентскими подсказками браузера и языком. Отказ прекращает запись cookie, но не передачу данных. Принципы обработки данных оператора — публично-правового юридического лица — обещают передачу третьим лицам только по закону, договору или с согласия и не называют Google, а декларация Cookiebot относит рекламную по собственному описанию cookie Google test_cookie к необходимым.

Устранение: перевести Google Analytics в базовый режим Consent Mode, при котором тег не загружается и не отправляет обращений до согласия, и запускать его только после выбора в баннере; назвать в принципах обработки данных Google Analytics, Google Tag Manager и reCAPTCHA поимённо, указать цели и правовое основание веб-аналитики; перенести cookie test_cookie из необходимых в категорию, требующую согласия; выставить политику безопасности содержимого и политику реферера.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: ee/opera-ee-2026-09-25.har

SHA-256: 870bc4cc26d64d93b8962e2329487d5a02c99e6967bd620f0a673492e02bb2e0

Скриншот

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — opera.ee

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта opera.ee.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Платформа Cookiebot настроена корректно, но не останавливает передачу в Google Analytics. Контейнер GTM-WXLXM5H запускает и Cookiebot (+1506 мс), и Google Analytics (+1522…+1535 мс); первый page_view уходит на +2291 мс — до того, как загружена конфигурация баннера (+2336 мс), — со статусом gcs=G100 и gcd=13p3p3p2p5l1 («запрещено по умолчанию»). Отказ записан на +112357 мс (logconsent.ashx?action=decline), после чего gcd принимает значение 13q3q3q2q5l1 — запрет подтверждён обновлением. Тем не менее GA4 продолжает отправлять в Google событие scroll (+123890 мс), а на следующей странице — page_view и scroll (+173622, +182841 мс). Каждое обращение несёт заголовок и адрес страницы, реферер, разрешение экрана 1536x864, клиентские подсказки браузера (Microsoft Edge 153, Windows 19.0, x86/64) и язык. Согласно Руководству EDPB 2/2023 о техническом охвате ст. 5(3), считывание таких сведений с устройства скриптом требует согласия и без использования cookie.

2) Принципы обработки персональных данных Rahvusooper Estonia называют основанием обработки законы и законный интерес и сообщают, что персональные данные передаются третьим лицам при исполнении закона, в надзорных и судебных процедурах, для исполнения договоров, а также по просьбе лица и/или с его согласия. Google как получатель веб-данных в документе не назван; cookie описаны лишь как файлы, «используемые для отслеживания или идентификации», с предложением отключать их в браузере. Фактически сведения о просмотре уходят в Google и после отказа. Декларация Cookiebot, кроме того, относит к необходимым cookie Google test_cookie, указывая рядом, что данные этого поставщика используются для персонализации и измерения рекламы.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-opera-ee/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — opera.ee

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website opera.ee.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The Cookiebot platform is correctly configured but does not stop transmission to Google Analytics. Container GTM-WXLXM5H launches both Cookiebot (+1506 ms) and Google Analytics (+1522…+1535 ms); the first page_view goes out at +2291 ms — before the banner configuration has loaded (+2336 ms) — with the status gcs=G100 and gcd=13p3p3p2p5l1 ('denied by default'). The refusal is recorded at +112357 ms (logconsent.ashx?action=decline), after which gcd takes the value 13q3q3q2q5l1 — the denial is confirmed by an update. Nonetheless GA4 keeps sending a scroll event to Google (+123890 ms), and on the next page a page_view and a scroll (+173622, +182841 ms). Each request carries the page title and address, the referrer, the screen resolution 1536x864, browser client hints (Microsoft Edge 153, Windows 19.0, x86/64) and the language. Under EDPB Guidelines 2/2023 on the technical scope of Art. 5(3), reading such information from the device by script requires consent even without the use of cookies.

2) The Rahvusooper Estonia personal-data processing principles give laws and legitimate interest as the basis for processing and state that personal data is transferred to third parties when fulfilling legal obligations, in supervisory and court proceedings, to perform contracts, and also at the person's request and/or with their consent. Google is not named in the document as a recipient of web data; cookies are described only as files 'used for tracking or identification', with a suggestion to disable them in the browser. In fact browsing information goes to Google even after refusal. The Cookiebot declaration, moreover, classifies the Google cookie test_cookie as necessary, while noting next to it that this provider's data is used for personalisation and measuring advertising.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-opera-ee/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — opera.ee

Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond]
Kellelt: [Teie nimi], [kontakt-e-post]

Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi opera.ee kasutamisega.

1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c))
Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad:

1) Cookieboti platvorm on õigesti seadistatud, kuid ei peata andmete edastamist Google Analyticsisse. Konteiner GTM-WXLXM5H käivitab nii Cookieboti (+1506 ms) kui ka Google Analyticsi (+1522…+1535 ms); esimene page_view saadetakse +2291 ms juures — enne bänneri konfiguratsiooni laadimist (+2336 ms) — olekuga gcs=G100 ja gcd=13p3p3p2p5l1 (vaikimisi keelatud). Keeldumine registreeritakse +112357 ms juures (logconsent.ashx?action=decline), mille järel omandab gcd väärtuse 13q3q3q2q5l1 — keeld on uuendusega kinnitatud. Sellest hoolimata saadab GA4 Google'ile jätkuvalt sündmuse scroll (+123890 ms) ning järgmisel lehel page_view ja scroll (+173622, +182841 ms). Iga päring kannab lehe pealkirja ja aadressi, viitajat, ekraani eraldusvõimet 1536x864, brauseri kliendivihjeid (Microsoft Edge 153, Windows 19.0, x86/64) ja keelt. Euroopa Andmekaitsenõukogu suuniste 2/2023 (artikli 5 lõike 3 tehnilise ulatuse kohta) kohaselt nõuab selliste andmete lugemine seadmest skripti abil nõusolekut ka ilma küpsisteta.

2) Rahvusooper Estonia isikuandmete töötlemise põhimõtted nimetavad töötlemise alusena seadusi ja õigustatud huvi ning teatavad, et isikuandmeid edastatakse kolmandatele isikutele seaduse täitmisel, järelevalve- ja kohtumenetlustes, lepingute täitmiseks ning isiku palvel ja/või tema nõusolekul. Google'it ei ole dokumendis veebiandmete vastuvõtjana nimetatud; küpsiseid kirjeldatakse üksnes failidena, mida kasutatakse jälgimiseks või tuvastamiseks, ning soovitatakse need brauseris välja lülitada. Tegelikult liiguvad sirvimisandmed Google'ile ka pärast keeldumist. Lisaks liigitab Cookieboti deklaratsioon vajalikuks Google'i küpsise test_cookie, märkides samas, et selle teenusepakkuja andmeid kasutatakse reklaami isikupärastamiseks ja mõõtmiseks.


2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46)
Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-opera-ee/

3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h))
Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee

Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — opera.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом opera.ee.

2. Обстоятельства
Я посетил сайт opera.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 25.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Платформа Cookiebot настроена корректно, но не останавливает передачу в Google Analytics. Контейнер GTM-WXLXM5H запускает и Cookiebot (+1506 мс), и Google Analytics (+1522…+1535 мс); первый page_view уходит на +2291 мс — до того, как загружена конфигурация баннера (+2336 мс), — со статусом gcs=G100 и gcd=13p3p3p2p5l1 («запрещено по умолчанию»). Отказ записан на +112357 мс (logconsent.ashx?action=decline), после чего gcd принимает значение 13q3q3q2q5l1 — запрет подтверждён обновлением. Тем не менее GA4 продолжает отправлять в Google событие scroll (+123890 мс), а на следующей странице — page_view и scroll (+173622, +182841 мс). Каждое обращение несёт заголовок и адрес страницы, реферер, разрешение экрана 1536x864, клиентские подсказки браузера (Microsoft Edge 153, Windows 19.0, x86/64) и язык. Согласно Руководству EDPB 2/2023 о техническом охвате ст. 5(3), считывание таких сведений с устройства скриптом требует согласия и без использования cookie.

2) Принципы обработки персональных данных Rahvusooper Estonia называют основанием обработки законы и законный интерес и сообщают, что персональные данные передаются третьим лицам при исполнении закона, в надзорных и судебных процедурах, для исполнения договоров, а также по просьбе лица и/или с его согласия. Google как получатель веб-данных в документе не назван; cookie описаны лишь как файлы, «используемые для отслеживания или идентификации», с предложением отключать их в браузере. Фактически сведения о просмотре уходят в Google и после отказа. Декларация Cookiebot, кроме того, относит к необходимым cookie Google test_cookie, указывая рядом, что данные этого поставщика используются для персонализации и измерения рекламы.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-opera-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 5(1)(a), Art. 13(1)(c), (e) — прозрачность: заявленное расходится с фактическим

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — opera.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website opera.ee.

2. Circumstances
I visited the website opera.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 25 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The Cookiebot platform is correctly configured but does not stop transmission to Google Analytics. Container GTM-WXLXM5H launches both Cookiebot (+1506 ms) and Google Analytics (+1522…+1535 ms); the first page_view goes out at +2291 ms — before the banner configuration has loaded (+2336 ms) — with the status gcs=G100 and gcd=13p3p3p2p5l1 ('denied by default'). The refusal is recorded at +112357 ms (logconsent.ashx?action=decline), after which gcd takes the value 13q3q3q2q5l1 — the denial is confirmed by an update. Nonetheless GA4 keeps sending a scroll event to Google (+123890 ms), and on the next page a page_view and a scroll (+173622, +182841 ms). Each request carries the page title and address, the referrer, the screen resolution 1536x864, browser client hints (Microsoft Edge 153, Windows 19.0, x86/64) and the language. Under EDPB Guidelines 2/2023 on the technical scope of Art. 5(3), reading such information from the device by script requires consent even without the use of cookies.

2) The Rahvusooper Estonia personal-data processing principles give laws and legitimate interest as the basis for processing and state that personal data is transferred to third parties when fulfilling legal obligations, in supervisory and court proceedings, to perform contracts, and also at the person's request and/or with their consent. Google is not named in the document as a recipient of web data; cookies are described only as files 'used for tracking or identification', with a suggestion to disable them in the browser. In fact browsing information goes to Google even after refusal. The Cookiebot declaration, moreover, classifies the Google cookie test_cookie as necessary, while noting next to it that this provider's data is used for personalisation and measuring advertising.

Full technical documentation is published at: https://gdpru.eu/audits/ee-opera-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 5(1)(a), Art. 13(1)(c), (e) — transparency: the declared diverges from the actual

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil opera.ee.

2. Asjaolud
Külastasin veebisaiti opera.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 25.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Cookieboti platvorm on õigesti seadistatud, kuid ei peata andmete edastamist Google Analyticsisse. Konteiner GTM-WXLXM5H käivitab nii Cookieboti (+1506 ms) kui ka Google Analyticsi (+1522…+1535 ms); esimene page_view saadetakse +2291 ms juures — enne bänneri konfiguratsiooni laadimist (+2336 ms) — olekuga gcs=G100 ja gcd=13p3p3p2p5l1 (vaikimisi keelatud). Keeldumine registreeritakse +112357 ms juures (logconsent.ashx?action=decline), mille järel omandab gcd väärtuse 13q3q3q2q5l1 — keeld on uuendusega kinnitatud. Sellest hoolimata saadab GA4 Google'ile jätkuvalt sündmuse scroll (+123890 ms) ning järgmisel lehel page_view ja scroll (+173622, +182841 ms). Iga päring kannab lehe pealkirja ja aadressi, viitajat, ekraani eraldusvõimet 1536x864, brauseri kliendivihjeid (Microsoft Edge 153, Windows 19.0, x86/64) ja keelt. Euroopa Andmekaitsenõukogu suuniste 2/2023 (artikli 5 lõike 3 tehnilise ulatuse kohta) kohaselt nõuab selliste andmete lugemine seadmest skripti abil nõusolekut ka ilma küpsisteta.

2) Rahvusooper Estonia isikuandmete töötlemise põhimõtted nimetavad töötlemise alusena seadusi ja õigustatud huvi ning teatavad, et isikuandmeid edastatakse kolmandatele isikutele seaduse täitmisel, järelevalve- ja kohtumenetlustes, lepingute täitmiseks ning isiku palvel ja/või tema nõusolekul. Google'it ei ole dokumendis veebiandmete vastuvõtjana nimetatud; küpsiseid kirjeldatakse üksnes failidena, mida kasutatakse jälgimiseks või tuvastamiseks, ning soovitatakse need brauseris välja lülitada. Tegelikult liiguvad sirvimisandmed Google'ile ka pärast keeldumist. Lisaks liigitab Cookieboti deklaratsioon vajalikuks Google'i küpsise test_cookie, märkides samas, et selle teenusepakkuja andmeid kasutatakse reklaami isikupärastamiseks ja mõõtmiseks.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-opera-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsuse direktiiv 2002/58/EÜ art 5 lg 3 (koostoimes IKÜM art 6 lg 1 p-ga a); IKÜM art 5 lg 1 p a, art 13 lg 1 p c, e — läbipaistvus: deklareeritu erineb tegelikust

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]

[Kuupäev]