rahvaraamat.ee

Тема: Жалоба на обработку персональных данных — rahvaraamat.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом rahvaraamat.ee.

2. Обстоятельства
Я посетил сайт rahvaraamat.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 09.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На основном сайте rahvaraamat.ee установлена платформа управления согласием Cookiebot, и пользователь в записи явно отклонил согласие: обращение consent.cookiebot.com/logconsent.ashx несёт action=decline (на +122395 мс, метод strict). Тем не менее запись сессий Microsoft Clarity (проект rk0m9l1d2i) работает независимо от этого выбора. Поток POST-обращений b.clarity.ms/collect начинается на +2337 мс — за две минуты до отказа — и продолжается после него, до конца замера на +191845 мс: более сорока обращений за три с лишним минуты. То есть Clarity ведёт запись сессии и до выбора, и после явного отказа. Продуктовая аналитика PostHog отправляет событие на +4667 мс, также до отказа. Платформа Cookiebot эти два сервиса не гейтит.

2) В приложении app.rahvaraamat.ee платформы управления согласием нет вовсе: за 166 запросов не встречается ни одного обращения к Cookiebot или иной CMP, ни одного сценария с признаками баннера. При этом на +8612…+9166 мс срабатывает полный рекламный стек, все обращения — со статусом gcs=- (режим согласия Google не сконфигурирован). Google Analytics 4 (G-WT3HBPL13E) отправляет page_view; пиксель Facebook / Meta (ID 1838212177017029) — PageView на facebook.com/tr; Google DoubleClick — ccm/collect и viewthroughconversion; отслеживание конверсий Google Ads — обращения pagead/1p-conversion и ccm/conversion на аккаунт 16939341. Ни одно из этих обращений ничем не обусловлено: согласия на этом поддомене не спрашивают.

3) Декларация cookie на движке Cookiebot называет получателей: PostHog, Google Analytics, Facebook / Meta, Google Ads, Askly. Однако Microsoft Clarity — инструмент записи сессий, ведущий поток данных о поведении посетителя на основном сайте, — в декларации не упомянут вовсе. Получатель, фактически записывающий сессию пользователя и передающий её в Microsoft, не раскрыт.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-rahvaraamat-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — запись сессий и аналитика до и вопреки отказу (основной сайт); ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — рекламный стек без механизма согласия (приложение); GDPR Art. 13(1)(e) — нераскрытый получатель (Microsoft Clarity)

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — rahvaraamat.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website rahvaraamat.ee.

2. Circumstances
I visited the website rahvaraamat.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 9 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The main site rahvaraamat.ee has the Cookiebot consent management platform installed, and in the recording the user explicitly declined consent: the consent.cookiebot.com/logconsent.ashx request carries action=decline (at +122395 ms, method strict). Nevertheless, the Microsoft Clarity session recording (project rk0m9l1d2i) runs independently of that choice. The stream of POST requests b.clarity.ms/collect begins at +2337 ms — two minutes before the refusal — and continues after it, until the end of the capture at +191845 ms: more than forty requests over three-plus minutes. That is, Clarity records the session both before the choice and after the explicit refusal. The PostHog product analytics sends an event at +4667 ms, also before the refusal. The Cookiebot platform does not gate these two services.

2) The app.rahvaraamat.ee application has no consent management platform at all: across 166 requests there is no request to Cookiebot or any other CMP, and no script with the signs of a banner. Yet at +8612…+9166 ms a full advertising stack fires, all requests with the status gcs=- (Google's consent mode not configured). Google Analytics 4 (G-WT3HBPL13E) sends a page_view; the Facebook / Meta Pixel (ID 1838212177017029) a PageView to facebook.com/tr; Google DoubleClick — ccm/collect and viewthroughconversion; Google Ads conversion tracking — pagead/1p-conversion and ccm/conversion requests to the account 16939341. None of these requests is conditioned on anything: consent is not asked on this subdomain.

3) The cookie declaration on the Cookiebot engine names the recipients: PostHog, Google Analytics, Facebook / Meta, Google Ads, Askly. However, Microsoft Clarity — the session-recording tool that carries a stream of the visitor's behavioural data on the main site — is not mentioned in it at all. The recipient that actually records the user's session and transmits it to Microsoft is undisclosed.

Full technical documentation is published at: https://gdpru.eu/audits/ee-rahvaraamat-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — session recording and analytics before and despite the refusal (main site); ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — an advertising stack without a consent mechanism (application); GDPR Art. 13(1)(e) — an undisclosed recipient (Microsoft Clarity)

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil rahvaraamat.ee.

2. Asjaolud
Külastasin veebisaiti rahvaraamat.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 09.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) rahvaraamat.ee peamisel saidil on nõusoleku haldamise platvorm Cookiebot ja kasutaja kirjes lükkas nõusoleku selgesõnaliselt tagasi: taotlus consent.cookiebot.com/logconsent .ashx kannab action=decline (+122395 ms, range meetod). Kuid Microsoft Clarity seansi salvestamine (projekt rk0m9l1d2i) töötab sellest valikust sõltumatult. b.clarity.ms/collect POST-voog algab +2337 ms-st - kaks minutit enne riket - ja jätkub pärast seda, kuni +191845 ms mõõtmise lõpuni: rohkem kui nelikümmend kõnet rohkem kui kolme minuti jooksul. See tähendab, et Clarity salvestab seansi nii enne valimist kui ka pärast selgesõnalist keeldumist. Tooteanalüüs PostHog saadab sündmuse +4667 ms-le, ka ebaõnnestumisele. Cookieboti platvorm ei välista neid kahte teenust.

2) Lisarakendus rahvaraamat.ee ei oma üldse nõusoleku haldamise platvormi: 166 päringu korral puudub juurdepääs Cookiebotile või muule CMP-le, puudub bännerifunktsioonidega skript. +8612... +9166 ms käivitab täieliku reklaamikorstna, kõik kõned staatusega gcs=- (Google'i nõusoleku režiim ei ole konfigureeritud). Google Analytics 4 (G-WT3HBPL13E) saadab lehevaate; Facebook/Meta piksel (ID 1838212177017029) - PageView facebook.com/tr; Google DoubleClick - ccm/kogu ja viewthroughconversion; Google Adsi konversioonide jälgimine - pagead/1p-konversioon ja ccm/konversioon kontole 16939341. Ükski neist kaebustest ei ole tingimuslik: nõusolekut selle alamdomeeni kohta ei küsita.

3) Küpsiste deklaratsioonis Cookieboti mootoril nimetatakse saajaid: PostHog, Google Analytics, Facebook/Meta, Google Ads, Askly. Kuid Microsoft Clarity, seansi salvestamise tööriist, mis voogesitab andmeid külastaja käitumise kohta peamisel saidil, ei ole deklaratsioonis mainitud. Saajat, kes tegelikult salvestab kasutaja seansi ja edastab selle Microsoftile, ei avaldata.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-rahvaraamat-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus - direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a - istungite ja analüüside salvestamine enne ja vastu keeldumist (peamine veebisait); e-privaatsus – direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a) – reklaamikorstnad ilma nõusoleku mehhanismita (lisa); GDPR artikli 13 lõike 1 punkt e – avalikustamata saaja (Microsoft Clarity)

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]