tjt.ee

Тема: Жалоба на обработку персональных данных — tjt.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом tjt.ee.

2. Обстоятельства
Я посетил сайт tjt.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 31.07.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Восемь обращений с данными уходят с 375-й по 755-ю миллисекунду сеанса: пиксель Automattic, два обращения измерения конверсий Google Ads с рекламным идентификатором, событие GA4 с идентификатором клиента, обращение к DoubleClick и пиксель ремаркетинговых аудиторий. Баннер согласия отрисовывается на 1038-й миллисекунде — это зафиксировано собственной записью платформы CookieYes с типом события banner_load. Кроме того, интеграция платформы с режимом согласия Google настроена в разметке страницы так, что согласие объявляется выданным по умолчанию для всех регионов: аналитика, реклама, данные пользователя для рекламы и персонализация рекламы — все со значением granted. Позиция Инспекции по защите данных Эстонии прямая: аналитические и рекламные cookie требуют предварительного добровольного согласия.

2) Пользовательские условия описывают только два вида cookie — сеансовые для работы сайта и постоянные для подсчёта числа посетителей и среднего времени на сайте. Ни одного внешнего получателя в документах сайта не названо. Фактически данные посетителя получают Google (Tag Manager, Ads, Analytics, DoubleClick, reCAPTCHA, Fonts), Meta, Automattic, CookieYes и хостинг-разработчик Websystems. Рекламная категория обработки в документах отсутствует как класс, хотя баннер на сайте предлагает именно её.

3) Условия утверждают, что cookie создаёт и их содержимое определяет сервер сайта TJT и что cookie передают сведения серверу сайта TJT лишь в объёме, на который пользователь согласился. Принципы обработки в пункте 4.3.1 заявляют, что TJT не обрабатывает персональные данные в целях, требующих согласия. Фактически на странице работают рекламные теги Google и Meta, а сама площадка выводит баннер согласия с маркетинговой категорией — то есть обработка, требующая согласия, ведётся. В GA4 передаются идентификатор клиента, разрешение экрана 1920x1080, платформа Windows, архитектура x86/64, перечень версий браузера, язык интерфейса, адрес и заголовок страницы, признак первого визита, а вторым событием — глубина прокрутки 90%.

4) Пункт 7 принципов обработки заявляет прямо: персональные данные в третьи страны не передаются. В замере обращения с идентификаторами уходят к Google, Meta и Automattic — компаниям, зарегистрированным в США. Правовой механизм такой передачи ни в одном документе сайта не указан, а сама передача отрицается.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-tjt-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 5(1)(a) — прозрачность; GDPR Art. 13(1)(f) — сведения о передаче в третью страну

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — tjt.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website tjt.ee.

2. Circumstances
I visited the website tjt.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 31 July 2026 (open methodology, reproducible measurements) documents the following indications:

1) Eight requests carrying data fire between the 375th and 755th millisecond of the session: the Automattic pixel, two Google Ads conversion-measurement calls carrying an advertising identifier, a GA4 event carrying a client identifier, a DoubleClick call, and a remarketing-audience pixel. The consent banner renders at the 1038th millisecond — recorded by the CookieYes platform's own log entry with the event type banner_load. Furthermore, the platform's integration with Google's consent mode is configured in the page markup so that consent is declared granted by default for all regions: analytics, advertising, ad user data, and ad personalization — all set to granted. The Estonian Data Protection Inspectorate's position is direct: analytics and advertising cookies require prior, freely given consent.

2) The terms of use describe only two types of cookies — session cookies for site operation, and persistent cookies for counting visitors and average time on site. Not a single external recipient is named in the site's documents. In practice, visitor data is received by Google (Tag Manager, Ads, Analytics, DoubleClick, reCAPTCHA, Fonts), Meta, Automattic, CookieYes, and the hosting developer Websystems. An advertising processing category is absent from the documents as a class, even though the site's own banner offers precisely this category.

3) The terms state that TJT's site server creates and determines the content of cookies, and that cookies transmit information to TJT's server only to the extent the user has consented. The processing principles, in section 4.3.1, state that TJT does not process personal data for purposes requiring consent. In fact, Google and Meta advertising tags run on the page, and the site itself displays a consent banner with a marketing category — meaning processing requiring consent is indeed taking place. GA4 receives a client identifier, a screen resolution of 1920x1080, the Windows platform, x86/64 architecture, a list of browser versions, interface language, page address and title, a first-visit indicator, and, in a second event, a 90% scroll depth.

4) Section 7 of the processing principles states directly that personal data is not transferred to third countries. In the measurement, requests carrying identifiers go to Google, Meta, and Automattic — companies registered in the USA. No legal mechanism for such a transfer is stated in any document on the site, and the transfer itself is denied.

Full technical documentation is published at: https://gdpru.eu/audits/ee-tjt-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Art. 5(1)(a) — transparency; GDPR Art. 13(1)(f) — information on third-country transfer

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil tjt.ee.

2. Asjaolud
Külastasin veebisaiti tjt.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 31.07.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Kaheksa andmesidekõnet kestavad 375. kuni 755. millisekundini: Automattic piksel, kaks Google Adsi konversioonimõõtmist reklaami ID-ga, GA4 sündmus kliendi ID-ga, DoubleClicki kõne ja uuesti turundamise publiku piksel. Nõusoleku bänner kuvatakse 1038 millisekundit – see salvestatakse CookieYesi enda kirjega bänneri laadimissündmuse tüübiga. Lisaks on platvormi integreerimine Google Consent Mode'iga konfigureeritud lehe märgistuses nii, et nõusolek deklareeritakse vaikimisi kõigi piirkondade jaoks: analüüs, reklaam, kasutajaandmed reklaami jaoks ja reklaami isikupärastamine - kõik on antud väärtusega. Andmekaitse Inspektsiooni seisukoht on lihtne: analüüsi- ja reklaamiküpsised vajavad eelnevat vabatahtlikku nõusolekut.

2) Kasutustingimused kirjeldavad ainult kahte tüüpi küpsiseid - seansiküpsiseid saidi toimimiseks ja püsiküpsiseid külastajate arvu ja keskmise aja arvutamiseks saidil. Veebisaidi dokumentides ei nimetata väliseid saajaid. Tegelikult saab külastaja andmeid Google (Tag Manager, reklaamid, Analytics, DoubleClick, reCAPTCHA, Fonts), Meta, Automattic, CookieYes ja veebisüsteemide hosting arendaja. Dokumentides töötlemise reklaamikategooria klassina puudub, kuigi saidil olev bänner seda pakub.

3) Tingimused sätestavad, et küpsised luuakse ja nende sisu määrab TJT saidi server ning et küpsised edastavad teavet TJT saidi serverile ainult kasutaja nõusolekul. Punktis 4.3.1 esitatud töötlemispõhimõtetes on sätestatud, et TJT ei töötle isikuandmeid eesmärkidel, mis nõuavad nõusolekut. Tegelikult töötavad lehel reklaamisildid Google ja Meta ning sait ise kuvab turunduskategooriaga nõusoleku bänneri - see tähendab, et toimub töötlemine, mis nõuab nõusolekut. GA4 edastab kliendi ID, ekraani resolutsioon 1920x1080, Windowsi platvorm, x86/64 arhitektuur, brauseri versiooniloend, liidese keel, aadress ja lehe pealkiri, esimese külastuse märk ja teine sündmus - kerimissügavus 90%.

4) Töötlemispõhimõtete punktis 7 on sõnaselgelt sätestatud, et isikuandmeid ei edastata kolmandatele riikidele. Identifikaatorite käsitlemise mõõtmisel lähevad Google, Meta ja Automattic - Ameerika Ühendriikides registreeritud ettevõtted. Sellise edastamise õiguslik mehhanism ei ole määratletud üheski saidi dokumendis ja üleandmine ise keelatakse.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-tjt-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus – direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a); GDPR – artikli 13 lõike 1 punkt e – vastuvõtjate avalikustamine; GDPR artikli 5 lõike 1 punkt a Läbipaistvus; GDPR artikli 13 lõike 1 punkt f – teave edastamise kohta kolmandale riigile

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]