Технический аудит · 29.09.2026

swedbank.ee

Сайт банка Swedbank в Эстонии

Сайт Swedbank в Эстонии — четыре страницы, 168 запросов, и только три из них уходят за пределы доменов банка. Баннер с тремя равнозначными кнопками, включая «Nõustun vajalike küpsistega», категории выключены. Единственное стороннее обращение — статистика самого баннера в Adobe Analytics: сколько раз его показали и нажали «сохранить», без идентификатора посетителя. Декларация cookie подробна. Нарушений не зафиксировано.

Хронология обращений

+0 с · вход
Переадресация на swedbank.ee/private. Строгий заголовок Content-Security-Policy, собственные сценарии банка.
+1,8 с · статистика баннера
swedbankab.d3.sc.omtrdc.net — событие cookieConsentView в отдельный отчётный набор для баннера cookie. Адрес страницы, язык и страна; идентификатора посетителя нет.
+196…+343 с · страницы банка
Частным клиентам, сегмент Gold, страница о cookie: только собственные домены банка. Ни одного обращения к аналитике или рекламе, кроме ещё одного события нажатия в статистику баннера.

Декларация против факта

✓ Сайт финансовых компаний Swedbank AS, Swedbank Liising AS, Swedbank P&C Insurance AS, Swedbank Life Insurance SE, Swedbank Investeerimisfondid AS — заявлен
✓ Баннер: «Nõustun kõigi küpsistega», «Nõustun vajalike küpsistega», «Haldan küpsiseid»; функциональные, аналитические и маркетинговые cookie выключены по умолчанию — заявлен
✓ Декларация cookie: Adobe (AMCV_*, s_vi_*) и Glassbox — среди аналитических, с описанием и сроками — заявлен
✓ Согласие можно отозвать на странице о cookie — заявлен

Тайминги передачи

+1,8 с swedbankab.d3.sc.omtrdc.net

cookieConsentView, отчётный набор для cookie.

+188,2 с swedbankab.d3.sc.omtrdc.net

Нажатие save-my-preferences.

Зафиксированные трекеры

Контекст

swedbank.ee — сайт банка Swedbank в Эстонии и финансовых компаний группы: Swedbank AS, Swedbank Liising AS, Swedbank P&C Insurance AS, Swedbank Life Insurance SE и Swedbank Investeerimisfondid AS. Сайт отдаётся с собственных доменов банка и защищён строгим заголовком Content-Security-Policy.

Замер — одна запись, четыре страницы: главная для частных клиентов, раздел частных клиентов, сегмент Gold и страница о cookie. Всего 168 запросов, из них за пределы доменов банка уходят только три.

Обработку описывают баннер cookie, декларация cookie и страница «Küpsiste kasutamine».

Кому уходят данные напрямую

Только Adobe — статистика самого баннера cookie, без идентификатора посетителя.

Заявленное против фактического

Здесь описанное и работающее совпадают. Баннер предлагает три равнозначные кнопки: согласиться со всеми, согласиться только с необходимыми и настроить. Функциональные, аналитические и маркетинговые cookie выключены по умолчанию. На странице о cookie есть ссылка на изменение предпочтений и отзыв согласия. Декларация подробна: для каждого cookie указан поставщик, назначение и срок, в том числе для Adobe и Glassbox.

За всю запись за пределы доменов банка ушли три обращения, и все — в Adobe Analytics, в отдельный отчётный набор для баннера cookie. Первое сообщает, что баннер показан, два других — что посетитель нажал «сохранить настройки». В обращениях передаются адрес страницы, язык и страна, но нет идентификатора посетителя: ни mid, ни aid, ни vid. Ни полноценной аналитики Adobe, ни Glassbox, ни какой-либо рекламы в замере нет.

Одно замечание, на вывод не влияющее. Статистика показа баннера уходит в Adobe до выбора посетителя. Для обращений без идентификатора и cookie это минимальное вмешательство, но оно передаёт Adobe адрес IP посетителя. Точнее было бы описать эту статистику в декларации отдельной строкой.

Согласие: что доказано и что нет

Доказано: отказ от необязательных cookie на первом слое есть. Кнопка «Nõustun vajalike küpsistega» на скриншоте 1.

Доказано: аналитика и реклама в замере не работали. Кроме статистики баннера, ни одного стороннего обращения.

Доказано: статистика баннера идёт без идентификатора посетителя. В параметрах обращений к Adobe нет идентификаторов.

Не установлено: ставит ли Adobe cookie на своём домене. Заголовки Cookie и Set-Cookie удалены при очистке. Вывод об отсутствии идентификатора опирается на параметры запросов.

Не установлено: поведение после полного согласия. Посетитель сохранял настройки без включения дополнительных категорий.

Границы наблюдения

Замер охватывает публичные страницы сайта. Интернет-банк и вход в систему не проверялись. Наблюдение фиксирует поведение браузера, а не серверную обработку. Файл опубликован очищенным: удалены заголовки Cookie.

Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon.

Вывод

Swedbank показывает, как это выглядит у крупного банка, когда сделано аккуратно: три равнозначные кнопки на первом экране, выключенные по умолчанию категории, подробная декларация и почти полное отсутствие сторонних обращений. Единственное, что уходит наружу до выбора, — обезличенная статистика самого баннера. Нарушений не зафиксировано.

Пожелание: указать в декларации cookie статистику баннера в Adobe Analytics отдельной строкой.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: ee/swedbank-ee-2026-09-29.har
SHA-256: bc632f51e38bc68a2c9623dc2f35f5884fc7e4c9280b99ff09445134717dca72
Скриншот
Скриншот интерфейса
Баннер «Küpsised»: «Nõustun kõigi küpsistega», «Nõustun vajalike küpsistega», «Haldan küpsiseid» — три равнозначные кнопки · 29.09.2026
Скриншот интерфейса
«Küpsiste seaded»: функциональные и аналитические cookie выключены по умолчанию · 29.09.2026
Скриншот интерфейса
Страница «Küpsiste kasutamine» со ссылкой на изменение предпочтений и отзыв согласия · 29.09.2026
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.