tele2.ee

Тема: Жалоба на обработку персональных данных — tele2.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом tele2.ee.

2. Обстоятельства
Я посетил сайт tele2.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 07.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте установлена платформа управления согласием Cookiebot: она загружается из разметки на +944 мс, баннер показывается. Пользователь нажимает «принять» лишь на +200578 мс от начала сеанса (обращение consent.cookiebot.com/logconsent.ashx?action=accept). Однако платформа клиентских данных Exponea (Bloomreach Engagement) начинает передачу задолго до этого: на +79417 мс уходит первое POST-обращение к api.exponea.com/track/v2, и до момента согласия таких доставленных обращений набирается семь (+79417, +96364, +105703, +122080, +134076, +145326, +164700 мс), все со статусом 200. Каждое несёт устойчивый идентификатор клиента в customer_ids.cookie и событие event_type «banner»; в структуре тела присутствует поле phone. Exponea раскрыта в декларации cookie как сторонний получатель в одном ряду с Meta, Adform и Microsoft, то есть относится к обусловленным согласием, — но фактически её события уходят и принимаются сервером Exponea до того, как согласие дано. Личные значения в опубликованном файле вычищены, поэтому конкретные идентификатор и номер не приводятся; факт передачи и её адресат устанавливаются по самим обращениям.

2) Основной документ сайта (tele2.ee/ru) отдаётся сервером nginx и не выставляет ни одного из ожидаемых защитных заголовков: отсутствуют Strict-Transport-Security (HSTS), Content-Security-Policy, Referrer-Policy, Permissions-Policy, X-Frame-Options и X-Content-Type-Options. Это происходит на сайте телекоммуникационного оператора, где посетитель авторизуется в самообслуживании и оставляет контактные и абонентские данные. Для площадки такого масштаба и с таким составом данных отсутствие базового набора защитных заголовков — самостоятельный дефект безопасности обработки.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-tele2-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — трекинг платформой клиентских данных до согласия; GDPR Art. 32 — безопасность обработки, слабые заголовки

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — tele2.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website tele2.ee.

2. Circumstances
I visited the website tele2.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 7 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has the Cookiebot consent management platform installed: it loads from the markup at +944 ms, and the banner is shown. The user clicks 'accept' only at +200578 ms into the session (the consent.cookiebot.com/logconsent.ashx?action=accept request). However, the Exponea customer data platform (Bloomreach Engagement) begins transmitting long before that: at +79417 ms the first POST request goes to api.exponea.com/track/v2, and by the moment of consent seven such delivered requests have accumulated (+79417, +96364, +105703, +122080, +134076, +145326, +164700 ms), all with status 200. Each carries a persistent customer identifier in customer_ids.cookie and an event_type 'banner'; the body structure contains a phone field. Exponea is disclosed in the cookie declaration as a third-party recipient alongside Meta, Adform and Microsoft — that is, it belongs to the consent-conditioned ones — but in fact its events go out and are accepted by the Exponea server before consent is given. The personal values are redacted in the published file, so the specific identifier and number are not reproduced; the fact of the transfer and its recipient are established from the requests themselves.

2) The site's main document (tele2.ee/ru) is served by nginx and sets none of the expected protective headers: Strict-Transport-Security (HSTS), Content-Security-Policy, Referrer-Policy, Permissions-Policy, X-Frame-Options and X-Content-Type-Options are all absent. This on a telecom operator's site, where a visitor logs into self-service and leaves contact and subscriber data. For a platform of this scale and with this composition of data, the absence of a basic set of protective headers is a standalone security-of-processing defect.

Full technical documentation is published at: https://gdpru.eu/audits/ee-tele2-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — tracking by a customer data platform before consent; GDPR Art. 32 — security of processing, weak headers

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil tele2.ee.

2. Asjaolud
Külastasin veebisaiti tele2.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 07.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Saidil on nõusoleku haldamise platvorm Cookiebot: see on alla laaditud +944 ms-st, kuvatakse bänner. Kasutaja klõpsab "aktsepteeri" ainult +200578 ms-l alates seansi algusest (consent.cookiebot.com/logconsent .ashx?action=accept). Kuid Exponea kliendiandmete platvorm (Bloomreach Engagement) alustab edastamist juba ammu enne seda: esimene POST-kõne +79417 ms-le jätab ja seitse (+79417, +96364, +105703, +122080, +134076, +145326, +164700 ms) valitakse, kuni sellised esitatud taotlused nõustuvad. Igaüks kannab kliendi ID-d kliendi ids.cookie ja sündmuse tüübis «banner»; telefoniväli on olemas keha struktuuris. Exponea avalikustatakse küpsisedeklaratsioonis kolmandast isikust vastuvõtjana samas reas nagu Meta, Adform ja Microsoft, see tähendab, et see viitab tingimuslikule nõusolekule, kuid tegelikult jätab Exponea server selle sündmused ja aktsepteerib neid enne nõusoleku andmist. Avaldatud failis olevad isiklikud väärtused kustutatakse, nii et konkreetset identifikaatorit ja numbrit ei anta; edastamise fakti ja selle adressaadi tuvastavad taotlused ise.

2) Saidi põhidokumendi (tele2.ee/ru) annab nginx-server ja see ei kuva ühtegi oodatud turvapäist: puuduvad range transpordi-turvalisus (HSTS), sisu-turvalisus-poliitika, suunaja-poliitika, load-poliitika, X-raami-valikud ja X-sisu tüübi valikud. See juhtub telekommunikatsioonioperaatori veebilehel, kus külastaja logib sisse iseteenindusse ning jätab kontakti ja abonendiandmed. Sellise ulatusega ja sellise andmekoosseisuga saidi puhul on turvapäiste põhikomplekti puudumine töötlemisturvalisuse sõltumatu puudus.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-tele2-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus – direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a) – kliendiandmete jälgimine platvormi poolt enne nõusoleku saamist; GDPR artikkel 32 – töötlemisturvalisus, nõrgad rubriigid

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]