roccaalmare.ee

Тема: Жалоба на обработку персональных данных — roccaalmare.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом roccaalmare.ee.

2. Обстоятельства
Я посетил сайт roccaalmare.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 27.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Google reCAPTCHA v3 грузится на +1,9 с на каждой из девяти открытых HTML-страниц — главной, списке магазинов, акциях, новостях и даже на странице правил cookie — до какого-либо выбора в баннере. Вместе со сценарием открывается служебный фрейм на www.google.com, подгружаются шрифты Google и рабочий сценарий: за замер это 90 обращений к трём узлам Google. reCAPTCHA v3 работает невидимо и загружается на всех страницах, заполняет ли посетитель какую-либо форму или нет. Собственные правила cookie сайта относят cookie reCAPTCHA _GRECAPTCHA к категории «Turustamine» (маркетинг), а декларация в баннере относит хранилище _grecaptcha к «Vajalik». Элемент, который оператор по одной из двух своих классификаций считает маркетинговым, работает без согласия на всех страницах.

2) Баннер называет ответственным обработчиком «Rocca al Mare» — торговый центр, а не юридическое лицо. Политика конфиденциальности в двух отдельных пунктах называет две разные компании — Citycon Finland Oy (рег. код 2424293-6) и Citycon Oyj (рег. код 0699505-3). По тексту, каждая из них отвечает за обработку данных в одних и тех же центрах: Rocca al Mare и Kristiine. О совместной ответственности (ст. 26) политика не говорит. Правила cookie на сайте называют себя правилами Citycon Oyj. Посетитель, соглашающийся в баннере, не может установить, кому он даёт согласие и к кому обращаться за его отзывом. Политика при этом предлагает отзывать согласие письмом на info@citycon.com, а с вопросами о данных писать на privacy@citycon.com.

3) Первый слой баннера говорит только об аналитических cookie партнёров, и кнопка «Nõustun kõigiga» описана как согласие на аналитику. Фактически та же кнопка включает ещё три категории второго слоя — «Turundus», «Kasutajaandmed reklaami eesmärgil» и «Andmete isikupärastamine reklaami eesmärgil». Политика конфиденциальности прямо пишет, что cookie используются для составления профилей пользователей и целевого маркетинга. Перечней cookie при этом два, и они не сходятся. Декларация в баннере относит к «необходимым» идентификаторы Яндекс.Метрики (_ym_uid и другие) и данные Meta (lastExternalReferrer). В маркетинге у неё — _fbp и _gcl_au, в аналитике — Microsoft Clarity и старые счётчики Universal Analytics. Кроме того, в декларацию попали настройки учётных записей редакторов WordPress и данные браузерных расширений — криптокошельков и менеджеров паролей. Ни один из этих сервисов в замере не загружался. Страница правил cookie показывает другой перечень — снимок Cookiebot с датой обновления «4/10/26», хотя сайт использует другую платформу согласия. В этом перечне есть то, чего нет в баннере: служебные записи reCAPTCHA, языковой cookie и запись сессий Sentry. Посетитель не может понять, на что именно соглашается.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-roccaalmare-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — reCAPTCHA, которую сам сайт относит к маркетингу, до выбора; GDPR Art. 13(1)(a) — ответственный обработчик не определён; GDPR Art. 4(11) / Art. 12(1) / Art. 5(1)(a) — согласие не информированное: баннер и две противоречащие друг другу декларации cookie

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — roccaalmare.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website roccaalmare.ee.

2. Circumstances
I visited the website roccaalmare.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 27 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) Google reCAPTCHA v3 loads at +1.9 s on each of the nine HTML pages opened — the homepage, the shop list, offers, news, and even the cookie rules page — before any choice in the banner. Along with the script, a service frame opens on www.google.com, and Google fonts and a worker script are loaded: over the capture, this amounts to 90 requests to three Google hosts. reCAPTCHA v3 runs invisibly and loads on every page, whether or not the visitor fills in any form. The site's own cookie rules classify the reCAPTCHA cookie _GRECAPTCHA as 'Turustamine' (marketing), while the declaration in the banner classifies the _grecaptcha storage as 'Vajalik'. An element that the operator, under one of its own two classifications, considers marketing runs without consent on every page.

2) The banner names 'Rocca al Mare' as the controller — a shopping centre, not a legal entity. The privacy policy names, in two separate sections, two different companies — Citycon Finland Oy (registration code 2424293-6) and Citycon Oyj (registration code 0699505-3). According to the text, each of them is responsible for data processing at the same centres: Rocca al Mare and Kristiine. The policy says nothing about joint controllership (Art. 26). The cookie rules on the site describe themselves as the rules of Citycon Oyj. A visitor giving consent in the banner cannot establish to whom they are giving it or whom to contact to withdraw it. The policy, meanwhile, suggests withdrawing consent by email to info@citycon.com and sending data questions to privacy@citycon.com.

3) The banner's first layer speaks only of partners' analytics cookies, and the 'Nõustun kõigiga' button is described as consent to analytics. In fact, the same button also switches on three more second-layer categories — 'Turundus', 'Kasutajaandmed reklaami eesmärgil', and 'Andmete isikupärastamine reklaami eesmärgil'. The privacy policy states outright that cookies are used to build user profiles and for targeted marketing. There are also two cookie lists, and they do not match. The declaration in the banner classifies Yandex Metrica identifiers (_ym_uid and others) and Meta data (lastExternalReferrer) as 'necessary'. Under marketing it lists _fbp and _gcl_au; under analytics, Microsoft Clarity and legacy Universal Analytics counters. It also contains the account settings of WordPress editors and data from browser extensions — crypto wallets and password managers. None of these services loaded during the capture. The cookie rules page shows a different list — a Cookiebot snapshot with an update date of '4/10/26', although the site uses a different consent platform. That list contains items absent from the banner: reCAPTCHA service entries, a language cookie, and Sentry session recording. A visitor cannot tell what exactly they are consenting to.

Full technical documentation is published at: https://gdpru.eu/audits/ee-roccaalmare-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — reCAPTCHA, which the site itself classifies as marketing, before any choice; GDPR Art. 13(1)(a) — the controller is not identified; GDPR Art. 4(11) / Art. 12(1) / Art. 5(1)(a) — consent is not informed: the banner and two mutually contradictory cookie declarations

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil roccaalmare.ee.

2. Asjaolud
Külastasin veebisaiti roccaalmare.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 27.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Google reCAPTCHA v3 laaditakse +1,9 s juures kõigil üheksal avatud HTML-lehel – avalehel, kaupluste nimekirjas, pakkumistes, uudistes ja isegi küpsiste kasutamise eeskirja lehel – enne mis tahes valikut bänneris. Koos skriptiga avatakse teenusraam aadressil www.google.com ning laaditakse Google'i fondid ja veebitöötaja skript: mõõtmise jooksul on see kokku 90 päringut kolme Google'i serveri pihta. reCAPTCHA v3 töötab nähtamatult ja laaditakse kõigile lehtedele sõltumata sellest, kas külastaja täidab mõnda vormi või mitte. Veebilehe enda küpsiste kasutamise eeskiri liigitab reCAPTCHA küpsise _GRECAPTCHA kategooriasse „Turustamine“, bänneri deklaratsioon aga liigitab salvestuse _grecaptcha kategooriasse „Vajalik“. Element, mida vastutav töötleja ühe oma kahest liigitusest järgi peab turunduslikuks, töötab kõigil lehtedel ilma nõusolekuta.

2) Bänner nimetab vastutava töötlejana „Rocca al Mare“ – kaubanduskeskust, mitte juriidilist isikut. Isikuandmete kaitse teade nimetab kahes eraldi punktis kaks erinevat äriühingut – Citycon Finland Oy (registrikood 2424293-6) ja Citycon Oyj (registrikood 0699505-3). Teksti järgi vastutab kumbki neist isikuandmete töötlemise eest samades kaubanduskeskustes: Rocca al Mare ja Kristiine. Kaasvastutusest (art 26) teade ei räägi. Veebilehe küpsiste kasutamise eeskiri nimetab end Citycon Oyj eeskirjaks. Bänneris nõusoleku andev külastaja ei saa kindlaks teha, kellele ta nõusoleku annab ja kelle poole pöörduda selle tagasivõtmiseks. Teade soovitab seejuures võtta nõusoleku tagasi e-kirjaga aadressil info@citycon.com ning pöörduda andmetega seotud küsimustes aadressil privacy@citycon.com.

3) Bänneri esimene kiht räägib ainult partnerite analüütilistest küpsistest ning nuppu „Nõustun kõigiga“ kirjeldatakse kui nõusolekut analüütikaks. Tegelikult lülitab sama nupp sisse ka teise kihi kolm kategooriat – „Turundus“, „Kasutajaandmed reklaami eesmärgil“ ja „Andmete isikupärastamine reklaami eesmärgil“. Isikuandmete kaitse teade ütleb otse, et küpsiseid kasutatakse kasutajaprofiilide koostamiseks ja sihtturunduseks. Küpsiste loetelusid on seejuures kaks ja need ei ühti. Bänneri deklaratsioon liigitab „vajalike“ hulka Yandex Metrica identifikaatorid (_ym_uid jt) ja Meta andmed (lastExternalReferrer). Turunduse all on _fbp ja _gcl_au, analüütika all Microsoft Clarity ja vanad Universal Analyticsi loendurid. Lisaks on deklaratsiooni sattunud WordPressi toimetajate kontode seaded ning brauserilaienduste – krüptorahakottide ja paroolihaldurite – andmed. Ühtegi neist teenustest mõõtmise ajal ei laaditud. Küpsiste kasutamise eeskirja leht näitab teist loetelu – Cookiebot'i hetkeseisu uuendamise kuupäevaga „4/10/26“, kuigi veebileht kasutab teist nõusolekuplatvormi. Selles loetelus on seda, mida bänneris ei ole: reCAPTCHA teenuskirjed, keeleküpsis ja Sentry seansisalvestus. Külastaja ei saa aru, millega ta täpselt nõustub.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-roccaalmare-ee/

3. Sätted, mille järgimist palun kontrollida
Eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv 2002/58/EÜ art 5 lg 3 (koostoimes IKÜM art 6 lg 1 p-ga a) — reCAPTCHA, mille veebileht ise liigitab turunduseks, enne valikut; IKÜM art 13 lg 1 p a — vastutav töötleja ei ole kindlaks määratud; IKÜM art 4 p 11 / art 12 lg 1 / art 5 lg 1 p a — nõusolek ei ole teadlik: bänner ja kaks teineteisele vastukäivat küpsiste deklaratsiooni

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]