postimees.ee

Тема: Жалоба на обработку персональных данных — postimees.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом postimees.ee.

2. Обстоятельства
Я посетил сайт postimees.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 08.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На портале установлена платформа согласия Didomi (CMP ID 7) по стандарту IAB TCF, а список партнёров раскрыт исчерпывающе. Пользователь сделал выбор в баннере, и Didomi записал строку согласия TCF CQqOSAA…, которая декодируется в полный отказ: согласие на все двадцать четыре цели обработки — 0, легитимный интерес — 0. Несмотря на это, сразу после фиксации выбора запускается полный программатик-аукцион: свыше двухсот обращений к рекламному серверу Google Ad Manager (pagead2 — 233 обращения), заголовочные ставки Setupad, Criteo, RTB House, Adform, инфраструктура euddn, Google DoubleClick. Обращения несут партнёрам ту самую нулевую строку согласия (проверено: gdpr_consent=CQqOSAA… уходит в pagead2.googlesyndication.com, gum.criteo.com, ad.doubleclick.net). То есть рекламный аукцион привязан к самому факту решения, а не к его содержанию: он срабатывает и при отказе, лишь передавая партнёрам сигнал «согласия нет». Отдельно, ещё до выбора, в первые секунды работают трекеры: платформа аудиторных данных Cxense запрашивает рекламные сегменты по устойчивому идентификатору (api.cxense.com/segment/lookup, persisted=af85f1f8…, +1167 мс), Chartbeat отправляет pageview с токеном пользователя (+1437 мс), рекламный сервер Google Publisher Tag загружается раньше самого CMP (+190 мс), подгружается Weborama (+247 мс).

2) Раскрытие получателей у Postimees сделано на образцовом уровне: платформа Didomi по стандарту IAB TCF и поимённый список партнёров примерно на 950 тысяч знаков. Но это раскрытие не сопровождается соблюдением решения пользователя. Зафиксированный отказ (ноль целей, ноль легитимного интереса) рекламный стек не останавливает — он запускается ровно после отказа. При этом баннер относит к необходимым, на основании законного интереса, в том числе измерение потребления контента, а запрос рекламных аудиторных сегментов Cxense по сохранённому идентификатору до выбора выходит за рамки измерения — это профилирование, для которого требуется согласие. Аналитика GA4 (G-380QQP0TRP) вдобавок идёт со статусом gcs=- — сигнал согласия Google не передаётся вовсе. Итог: полнота списка партнёров не заменяет ни удержания обработки до выбора, ни соблюдения отказа после него.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-postimees-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — рекламная обработка при зафиксированном отказе и трекинг до выбора; GDPR Art. 5(1)(a) / Art. 6(1)(a) — образцовое раскрытие при проигнорированном решении

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — postimees.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website postimees.ee.

2. Circumstances
I visited the website postimees.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 8 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The portal has the Didomi consent platform (CMP ID 7) installed under the IAB TCF standard, and the partner list is disclosed exhaustively. The user made a choice in the banner, and Didomi recorded the TCF consent string CQqOSAA…, which decodes to a full refusal: consent to all twenty-four processing purposes — 0, legitimate interest — 0. Nevertheless, immediately after the choice is recorded, a full programmatic auction starts: over two hundred requests to the Google Ad Manager ad server (pagead2 — 233 requests), Setupad header bidding, Criteo, RTB House, Adform, the euddn infrastructure, Google DoubleClick. The requests carry that same zero-consent string to the partners (verified: gdpr_consent=CQqOSAA… goes to pagead2.googlesyndication.com, gum.criteo.com, ad.doubleclick.net). That is, the ad auction is tied to the mere fact of the decision, not to its content: it fires under a refusal as well, merely passing the partners a 'no consent' signal. Separately, before the choice, in the first seconds, trackers are already running: the Cxense audience data platform requests the visitor's advertising segments carrying a persistent identifier (api.cxense.com/segment/lookup, persisted=af85f1f8…, +1167 ms), Chartbeat sends a pageview with a user token (+1437 ms), the Google Publisher Tag ad server loads before the CMP itself (+190 ms), and Weborama is loaded (+247 ms).

2) Postimees's disclosure of recipients is done at an exemplary level: the Didomi platform under the IAB TCF standard and a named partner list of about 950 thousand characters. But this disclosure is not accompanied by respect for the user's decision. The recorded refusal (zero purposes, zero legitimate interest) does not stop the advertising stack — it starts precisely after the refusal. Meanwhile the banner assigns to necessary, on the basis of legitimate interest, content-consumption measurement among other things, whereas Cxense's request for advertising audience segments using a stored identifier before the choice goes beyond measurement — it is profiling, for which consent is required. GA4 analytics (G-380QQP0TRP) additionally runs with the status gcs=- — no consent signal is passed to Google at all. The upshot: the completeness of the partner list replaces neither holding processing back until the choice nor respecting the refusal after it.

Full technical documentation is published at: https://gdpru.eu/audits/ee-postimees-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — advertising processing under a recorded refusal, and tracking before the choice; GDPR Art. 5(1)(a) / Art. 6(1)(a) — exemplary disclosure alongside an ignored decision

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil postimees.ee.

2. Asjaolud
Külastasin veebisaiti postimees.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 08.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Portaalil on IAB TCF standardile vastav Didomi nõusoleku platvorm (CMP ID 7) ning partnerite nimekiri on täielikult avalikustatud. Kasutaja tegi valiku bänneris ja Didomi salvestas TCF CQOSAA nõusoleku stringi ..., mis dekodeeritakse täielikuks keeldumiseks: nõusolek kõigi kahekümne nelja töötlemise eesmärkidel on 0, õigustatud huvi on 0. Sellest hoolimata käivitatakse kohe pärast valiku fikseerimist täielik programmiline oksjon: üle kahesaja kõne Google Ad Manageri reklaamiserverisse (pagead2 - 233 päringut), päisehinnad Setupad, Criteo, RTB House, Adform, euddn infrastruktuur, Google DoubleClick. Kontaktid kannavad partnereid, kellel on sama nõusoleku nullrida (kontrollitud: gdpr consent=CQOSAA... läheb pagead2). googlesyndication.com, gum criteo.com, ad. doubleclick.net. See tähendab, et reklaamioksjon on seotud otsuse faktiga, mitte selle sisuga: see toimib keeldumise korral, edastades partneritele ainult signaali "nõusoleku puudumine". Eraldi, isegi enne valimist, töötavad jälgijad esimeste sekunditega: Cxense auditium andmeplatvorm nõuab reklaami segmente, kasutades stabiilset identifikaatorit (api.cxense.com/segment/lookup, persisted=af85f1f8..., +1167 ms), Chartbeat saadab lehevaate kasutaja tokeniga (+1437 ms), Google Publisher Tag reklaamiserver laadib enne CMP enda (+190 ms) laadimist Weama (+247 ms).

2) Postimehe saajate avalikustamine toimub eeskujulikul tasemel: Didomi platvorm IAB TCF standardi järgi ja partnerite nimekiri umbes 950 tuhande tähemärgi kohta. Kuid selle avalikustamisega ei kaasne kasutaja otsuse järgimine. Fikseeritud rike (nulleesmärgid, null õigustatud huvi) ei peata reklaamikogumit - see algab täpselt pärast ebaõnnestumist. Samal ajal viitab bänner õigustatud huvi alusel vajalikule, sealhulgas sisu tarbimise mõõtmisele ja Cxense reklaamipubliku segmentide taotlusele salvestatud identifikaatori kohta enne valimist läheb mõõtmisest kaugemale - see on profileerimine, mille jaoks on vaja nõusolekut. GA4 analüüsiga (G-380QP0TRP) kaasneb ka staatus gcs=- - Google'i nõusoleku signaali ei edastata üldse. Alumine rida: partnerite nimekirja täielikkus ei asenda töötlemise säilitamist enne valimist ega sellele järgnevat keeldumist.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-postimees-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus - direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a) - reklaami töötlemine registreeritud rikke korral ja jälgimine enne valimist; GDPR art 5(1)(a) / art 6(1)(a) – eeskujulik avalikustamine ignoreeritud otsusega

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]