Технический аудит · 13.03.2026

telia.ee

Крупнейший телекоммуникационный оператор Эстонии

Крупнейший телеком Эстонии передаёт исикукод клиента в открытом виде в строке URL. Grafana Faro запускается с первой миллисекунды — за 24 секунды до появления баннера согласия. Политика декларирует отсутствие передачи данных за пределы ЕС. HAR фиксирует обратное.

Хронология обращений

+0 мс · до согласия

Grafana Faro (faro-collector-prod-eu-west-0.grafana.net) — первые запросы с нулевой отметки, данные session_start уходят в США. Статус 0 — заблокированы, но инициированы.

+150 мс · до согласия

widget-api.ultimate.ai — чат-виджет, tracking-event. США.

+601 мс · до согласия

res.cloudinary.com — CDN изображений Telia. США.

+3163 мс · до согласия

rum.estpak.ee (TeliaRum) — агент мониторинга Telia. Traces и metrics за всю сессию.

+28689 мс · после согласия

GTM (GTM-5G2M3L) — статус 0, заблокирован.

+30449 мс

iseteenindus.telia.ee — GET-запрос с personalCode=XXXXXXXXXXX в URL. Исикукод в открытом виде.

Декларация против факта

+ Grafana Faro (faro-collector-prod-eu-west-0.grafana.net) — США — не заявлен

+ GTM-5G2M3L (www.googletagmanager.com) — не заявлен

+ ultimate.ai (widget-api.ultimate.ai) — не заявлен

+ TeliaRum (rum.estpak.ee) — не заявлен

+ Cloudinary (res.cloudinary.com) — не заявлен

Тайминги передачи

+0 мс faro-collector-prod-eu-west-0.grafana.net

14 запросов за сессию. session_start, ошибки, трассировки. США

+150 мс widget-api.ultimate.ai

Чат-виджет, tracking-event. США

+3163 мс rum.estpak.ee

TeliaRum — 11 запросов. Traces и metrics

+24483 мс Баннер согласия появился

+28689 мс www.googletagmanager.com

GTM-5G2M3L — статус 0

+30449 мс iseteenindus.telia.ee

GET с personalCode в URL — статус 200

Зафиксированные трекеры

Grafana Faro (faro-collector-prod-eu-west-0.grafana.net)
TeliaRum (rum.estpak.ee)
Google Tag Manager (GTM-5G2M3L)
Sentry (sentry-ingress.estpak.ee)
ultimate.ai (чат-виджет)
Cloudinary (res.cloudinary.com)

Признаки несоответствия GDPR

GDPR Art. 5(1)(f), Art. 25
Исикукод (национальный идентификационный номер) передаётся в открытом виде как GET-параметр в строке URL: personalCode=XXXXXXXXXXX. Виден в серверных логах, истории браузера, аналитических системах третьих сторон.
GDPR Art. 6(1), Art. 7
Grafana Faro инициирует запросы с первой миллисекунды сессии — до загрузки баннера согласия Cookiebot, который появляется лишь на +24483 мс. TeliaRum также запускается до согласия.
GDPR Art. 5(1)(a), Art. 13(1)(e)
Политика конфиденциальности Telia заявляет об отсутствии передачи данных за пределы ЕС. HAR фиксирует запросы к faro-collector-prod-eu-west-0.grafana.net — серверы Grafana в США.
GDPR Art. 13(1)(e)
GTM (GTM-5G2M3L), Grafana Faro, ultimate.ai не упомянуты в политике конфиденциальности как получатели данных.
GDPR Art. 13(1)(f), Chapter V
Механизм передачи данных в США (Grafana) не указан.
GDPR Art. 5(1)(c)
Grafana Faro инициирует 14 запросов за сессию, TeliaRum — 11 запросов. Объём мониторинга превышает принцип минимизации данных.

Контекст

Telia Eesti AS — крупнейший телекоммуникационный оператор Эстонии, дочерняя компания шведского концерна Telia Company AB (Nasdaq Stockholm). Предоставляет услуги мобильной связи, домашнего интернета, телевидения и бизнес-решений. Как телеком-оператор обрабатывает одни из наиболее чувствительных персональных данных: исикукод, платёжную историю, данные о потреблении услуг. HAR: 199 запросов, 14 доменов, сессия в личном кабинете.

Главная находка — исикукод в URL

HAR фиксирует GET-запрос к iseteenindus.telia.ee с исикукодом клиента в открытом виде в строке URL:

/myse-frontend/api/v1/dashboard/grouped-overviews/B2C?customerId=1000001082&countryCode=EE&personalCode=XXXXXXXXXXX

Исикукод — национальный идентификационный номер Эстонии, аналог паспортного номера. Передача в GET-параметре означает: номер виден в серверных логах Telia и всех промежуточных систем, в истории браузера пользователя, потенциально в аналитических системах третьих сторон, загружаемых на сайте. По Art. 5(1)(f) данные должны обрабатываться с обеспечением надлежащей безопасности. По Art. 25 — privacy by design: архитектура системы должна минимизировать риски с момента проектирования.

Grafana до согласия

Первые запросы к faro-collector-prod-eu-west-0.grafana.net (Grafana Faro) инициируются с нулевой отметки сессии — буквально в момент загрузки страницы. Grafana фиксирует session_start, ошибки браузера, трассировки. Серверы Grafana находятся в США. Политика конфиденциальности Telia заявляет об отсутствии передачи данных за пределы ЕС — HAR опровергает это.

Cookiebot (баннер согласия) загружается лишь на +24483 мс — через 24 секунды после старта сессии. К этому моменту Grafana уже инициировала 6 запросов. TeliaRum (rum.estpak.ee) запустился на +3163 мс — тоже до баннера.

GTM и остальные трекеры

GTM (контейнер GTM-5G2M3L) прописан в коде и инициирует запросы на +28689 мс — статус 0, данные не ушли. ultimate.ai (чат-виджет) запускается на +150 мс с tracking-event до согласия. res.cloudinary.com — CDN изображений, 7 запросов, серверы в США. sentry-ingress.estpak.ee — мониторинг ошибок, 3 запроса.

Ни один из перечисленных сервисов не упомянут в политике конфиденциальности Telia как получатель данных.

Вывод

Исикукод в GET-параметре URL — это не настройка аналитики и не баннер согласия. Это архитектурное решение, которое передаёт национальный идентификатор клиента в открытом виде при каждом клике в личном кабинете. Параллельно Grafana инициирует мониторинг до согласия, передавая данные в США вопреки декларации политики конфиденциальности. Telia обрабатывает данные сотен тысяч клиентов — и архитектура B2C портала этого не отражает.

После подачи официальной жалобы в AKI исикукод был убран из GET-параметров URL. Это техническое исправление фиксируется — но не отменяет факта, задокументированного в HAR от 13 марта 2026 года. Данные, переданные в открытом виде, не исчезают вместе с патчем. HAR остаётся доказательством того, что происходило.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: ee/telia-ee-2026-03-13.har

SHA-256: 6fa52dc5516ae84fb2fa6a7e7ec057b6ae93ae706d5dbabd0774b8e760e7a686

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — telia.ee

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта telia.ee.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Исикукод (национальный идентификационный номер) передаётся в открытом виде как GET-параметр в строке URL: personalCode=XXXXXXXXXXX. Виден в серверных логах, истории браузера, аналитических системах третьих сторон.

2) Grafana Faro инициирует запросы с первой миллисекунды сессии — до загрузки баннера согласия Cookiebot, который появляется лишь на +24483 мс. TeliaRum также запускается до согласия.

3) Политика конфиденциальности Telia заявляет об отсутствии передачи данных за пределы ЕС. HAR фиксирует запросы к faro-collector-prod-eu-west-0.grafana.net — серверы Grafana в США.

4) GTM (GTM-5G2M3L), Grafana Faro, ultimate.ai не упомянуты в политике конфиденциальности как получатели данных.

5) Механизм передачи данных в США (Grafana) не указан.

6) Grafana Faro инициирует 14 запросов за сессию, TeliaRum — 11 запросов. Объём мониторинга превышает принцип минимизации данных.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-telia-ee/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — telia.ee

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website telia.ee.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The isikukood (national identification number) is transmitted in plaintext as a GET parameter in the URL: personalCode=XXXXXXXXXXX. Visible in server logs, browser history, and third-party analytics systems.

2) Grafana Faro initiates requests from the very first millisecond of the session — before the Cookiebot consent banner loads, which only appears at +24483 ms. TeliaRum also fires before consent.

3) Telia's privacy policy declares no data transfer outside the EU. The HAR records requests to faro-collector-prod-eu-west-0.grafana.net — Grafana's servers in the USA.

4) GTM (GTM-5G2M3L), Grafana Faro, and ultimate.ai are not mentioned in the privacy policy as data recipients.

5) No transfer mechanism to the USA (Grafana) is stated.

6) Grafana Faro initiates 14 requests per session, TeliaRum — 11 requests. The scope of monitoring exceeds the data-minimization principle.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-telia-ee/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — telia.ee

Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond]
Kellelt: [Teie nimi], [kontakt-e-post]

Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi telia.ee kasutamisega.

1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c))
Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad:

1) Ishikukod (riiklik identifitseerimisnumber) edastatakse lihtsas vormis GET-parameetrina URL-is: personalCode=XXXXXXXXXXX. See on näha serveri logides, brauseri ajaloos, kolmandate osapoolte analüütilistes süsteemides.

2) Grafana Faro algatab taotlused seansi esimesest millisekundist - enne nõusoleku bänneri Cookiebot allalaadimist, mis ilmub ainult +24483 ms-s.

3) Telia privaatsuspoliitika kohaselt ei toimu andmete edastamist väljapoole Euroopa Liitu. HAR salvestab taotlused faro-kollektor-prod-eu-west-0 jaoks. grafana.net on Grafana server Ameerika Ühendriikides.

4) GTM (GTM-5G2M3L), Grafana Faro, ultimate.ai ei ole privaatsuspoliitikas andmete saajatena mainitud.

5) USA andmete edastamise mehhanism (Grafana) ei ole täpsustatud.

6) Grafana Faro genereerib seansi kohta 14 ja TeliaRum 11 päringut seansi kohta. Seire maht ületab andmete minimeerimise põhimõtte.


2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46)
Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-telia-ee/

3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h))
Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee

Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — telia.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом telia.ee.

2. Обстоятельства
Я посетил сайт telia.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 13.03.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Исикукод (национальный идентификационный номер) передаётся в открытом виде как GET-параметр в строке URL: personalCode=XXXXXXXXXXX. Виден в серверных логах, истории браузера, аналитических системах третьих сторон.

2) Grafana Faro инициирует запросы с первой миллисекунды сессии — до загрузки баннера согласия Cookiebot, который появляется лишь на +24483 мс. TeliaRum также запускается до согласия.

3) Политика конфиденциальности Telia заявляет об отсутствии передачи данных за пределы ЕС. HAR фиксирует запросы к faro-collector-prod-eu-west-0.grafana.net — серверы Grafana в США.

4) GTM (GTM-5G2M3L), Grafana Faro, ultimate.ai не упомянуты в политике конфиденциальности как получатели данных.

5) Механизм передачи данных в США (Grafana) не указан.

6) Grafana Faro инициирует 14 запросов за сессию, TeliaRum — 11 запросов. Объём мониторинга превышает принцип минимизации данных.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-telia-ee/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 5(1)(f), Art. 25; GDPR Art. 6(1), Art. 7; GDPR Art. 5(1)(a), Art. 13(1)(e); GDPR Art. 13(1)(e); GDPR Art. 13(1)(f), Chapter V; GDPR Art. 5(1)(c)

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — telia.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website telia.ee.

2. Circumstances
I visited the website telia.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 13 March 2026 (open methodology, reproducible measurements) documents the following indications:

1) The isikukood (national identification number) is transmitted in plaintext as a GET parameter in the URL: personalCode=XXXXXXXXXXX. Visible in server logs, browser history, and third-party analytics systems.

2) Grafana Faro initiates requests from the very first millisecond of the session — before the Cookiebot consent banner loads, which only appears at +24483 ms. TeliaRum also fires before consent.

3) Telia's privacy policy declares no data transfer outside the EU. The HAR records requests to faro-collector-prod-eu-west-0.grafana.net — Grafana's servers in the USA.

4) GTM (GTM-5G2M3L), Grafana Faro, and ultimate.ai are not mentioned in the privacy policy as data recipients.

5) No transfer mechanism to the USA (Grafana) is stated.

6) Grafana Faro initiates 14 requests per session, TeliaRum — 11 requests. The scope of monitoring exceeds the data-minimization principle.

Full technical documentation is published at: https://gdpru.eu/audits/ee-telia-ee/

3. GDPR provisions I ask you to examine
GDPR Art. 5(1)(f), Art. 25; GDPR Art. 6(1), Art. 7; GDPR Art. 5(1)(a), Art. 13(1)(e); GDPR Art. 13(1)(e); GDPR Art. 13(1)(f), Chapter V; GDPR Art. 5(1)(c)

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil telia.ee.

2. Asjaolud
Külastasin veebisaiti telia.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 13.03.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Ishikukod (riiklik identifitseerimisnumber) edastatakse lihtsas vormis GET-parameetrina URL-is: personalCode=XXXXXXXXXXX. See on näha serveri logides, brauseri ajaloos, kolmandate osapoolte analüütilistes süsteemides.

2) Grafana Faro algatab taotlused seansi esimesest millisekundist - enne nõusoleku bänneri Cookiebot allalaadimist, mis ilmub ainult +24483 ms-s.

3) Telia privaatsuspoliitika kohaselt ei toimu andmete edastamist väljapoole Euroopa Liitu. HAR salvestab taotlused faro-kollektor-prod-eu-west-0 jaoks. grafana.net on Grafana server Ameerika Ühendriikides.

4) GTM (GTM-5G2M3L), Grafana Faro, ultimate.ai ei ole privaatsuspoliitikas andmete saajatena mainitud.

5) USA andmete edastamise mehhanism (Grafana) ei ole täpsustatud.

6) Grafana Faro genereerib seansi kohta 14 ja TeliaRum 11 päringut seansi kohta. Seire maht ületab andmete minimeerimise põhimõtte.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-telia-ee/

3. Sätted, mille järgimist palun kontrollida
GDPR artikli 5 lõike 1 punkt f, artikkel 25; GDPR artikli 6 lõige 1, artikkel 7; GDPR artikli 5 lõike 1 punkt a, artikli 13 lõike 1 punkt e; GDPR artikli 13 lõike 1 punkt e; GDPR artikli 13 lõike 1 punkt f, V peatükk; GDPR artikli 5 lõike 1 punkt c

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]

[Kuupäev]