tallinnavesi.ee

Контекст

tallinnavesi.ee — сайт водоснабжающего и канализационного предприятия Aktsiaselts Tallinna Vesi (TVESI); условия защиты данных распространяются и на дочернюю компанию Watercom OÜ. Управление согласием — платформа CookieFirst. Сайт построен на Next.js, отдаётся через nginx и держит строгую планку заголовков: Content-Security-Policy (default-src 'self' с точечным белым списком), HSTS с preload на два года, Referrer-Policy strict-origin-when-cross-origin, Permissions-Policy, X-Frame-Options SAMEORIGIN, X-Content-Type-Options nosniff.

Замер — одна запись главной страницы: 202 запроса, 7 узлов, около шести с половиной минут, съёмка в ночь на 8 сентября 2026 года. Обработку описывают условия защиты данных Tallinna Vesi и декларация категорий cookie.

Кому уходят данные напрямую

Только инфраструктура согласия и тегов: платформа CookieFirst (сам механизм согласия) и контейнер Google Tag Manager, не запустивший ни одного тега. Собственно аналитических или рекламных получателей в этом замере нет.

Заявленное против фактического

Здесь заявленное и фактическое сходятся, и фактическое оказывается чище.

Условия защиты данных и декларация категорий cookie раскрывают стек, который предприятие использует при наличии согласия: Google Analytics, Facebook / Meta, YouTube. Фактически в этом замере не сработал ни один из них. За 202 запроса нет ни одного обращения к google-analytics.com, к Facebook, к YouTube или к иному получателю из условий; контейнер Google Tag Manager (GTM-TZN94K9V) загружается, но ни одного downstream-обращения к аналитике или рекламе не порождает. Первичного аналитического сбора на сайте нет: единственные внешние узлы — платформа согласия CookieFirst и контейнер тегов, то есть сама инфраструктура согласия и управления тегами, а не трекеры. Заголовки безопасности выставлены строго.

Единственный момент, который стоит отметить не как нарушение, а как конфигурационную оговорку: платформа CookieFirst работает в режиме без авто-блокировки (consentBanner.no-autoblock.js), а контейнер Google Tag Manager подгружается до того, как пользователь делает выбор в баннере (выбор фиксируется на +194201 мс). В этом замере это ни к чему не привело — контейнер тегов не развернул ни одного счётчика, — но такая связка означает, что защита от преждевременного трекинга держится не на авто-блокировке платформы, а на том, что теги внутри контейнера настроены аккуратно. Если в контейнер добавят статистический или рекламный тег без собственного условия согласия, он сможет сработать до выбора. На момент замера этого не происходит.

Согласие: что доказано и что нет

Доказано: заявленный стек в этом замере не сработал. Ни одного обращения к Google Analytics, Facebook / Meta, YouTube за 202 запроса. Контейнер Google Tag Manager downstream-тегов не запускает.

Доказано: платформа согласия работает без авто-блокировки. Загружается сценарий consentBanner.no-autoblock.js; выбор согласия фиксируется на +194201 мс обращением api.cookiefirst.com/prod/consent. Ни до, ни после этого момента трекеров в записи не появляется.

Доказано: первичной аналитики нет. Обращений к собственному аналитическому эндпоинту (Matomo, Piwik или первичному сбору) в записи нет; совпадения по подстрокам приходятся на статические файлы Next.js, а не на сбор данных.

Не доказано и не требуется: содержание выбора согласия. Тело обращения /prod/consent в опубликованном файле не разбирается, поэтому принял пользователь статистику и маркетинг или отклонил — по записи не устанавливается. Для вывода это несущественно: заявленный стек не срабатывает в любом случае.

Границы наблюдения

Замер охватывает одну страницу — главную — и фиксирует поведение браузера, не внутреннюю кухню сервисов: настройка контейнера Google Tag Manager, серверная обработка и договоры с получателями браузерным замером не проверяются. Тело контейнера GTM в опубликованном файле очищено, поэтому какие теги в нём настроены, по записи не устанавливается — фиксируется лишь то, что downstream-обращений к аналитике и рекламе не состоялось. Система управления контентом cms.tallinnavesi.ee отнесена к первой стороне.

Файл опубликован очищенным от личных данных: удалены значения куки в запросах. Заголовки ответов, порядок загрузки и инициаторы сохранены, поэтому состав обращений и отсутствие downstream-тегов проверяются по опубликованному файлу напрямую.

Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon.

Вывод

Разбор чистый. Водоснабжающее предприятие держит платформу управления согласием CookieFirst и раскрывает свой аналитико-рекламный стек — Google Analytics, Facebook, YouTube — в условиях защиты данных и декларации cookie, но в этом замере не запускает из него ничего: контейнер Google Tag Manager загружается, но тегов не разворачивает, первичной аналитики нет, а заголовки безопасности выставлены строго. Заявленное сходится с фактическим, и фактическое оказывается чище — на главной странице предприятия трекеров нет вовсе.

Оговорка касается не факта, а конфигурации: платформа согласия работает без авто-блокировки, а контейнер тегов подгружается до выбора согласия. Сейчас это ни к чему не приводит, но защиту от преждевременного трекинга стоит подкрепить не только аккуратной настройкой тегов.

Устранение (в порядке ужесточения, не как исправление нарушения): включить в CookieFirst режим авто-блокировки либо убедиться, что каждый статистический и рекламный тег в контейнере Google Tag Manager обусловлен согласием на уровне триггера, чтобы добавление нового тега не могло привести к срабатыванию до выбора пользователя.