transpordiamet.ee

Тема: Жалоба на обработку персональных данных — transpordiamet.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом transpordiamet.ee.

2. Обстоятельства
Я посетил сайт transpordiamet.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 01.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Условия обработки персональных данных Transpordiamet в разделе о сайте прямо утверждают: «при посещении сайта Транспортного департамента мы не обрабатываем ваши персональные данные, то есть IP-адрес не связывается с идентифицирующей вас информацией». Фактически при открытии страницы раздела вакансий в Google уходит событие page_view: на +3171 мс — в Google Analytics 4 (ресурс G-MH1BGZZTKV, узел region1.google-analytics.com), на +3179 мс — в Google Ads (конверсионный тег AW-16880467770, узел pagead2.googlesyndication.com). В обоих обращениях передаётся идентификатор клиента, разрешение экрана 1536x1080 (sr=1536x864), полный набор клиентских подсказок браузера (платформа Windows, архитектура x86/64, перечень версий Microsoft Edge 147), язык интерфейса, адрес и заголовок страницы, а также реферер — предыдущая страница /ru. Это обработка персональных данных при посещении сайта, которую документ отрицает.

2) На наблюдаемой странице нет работающего механизма согласия: за 308 запросов не встречается ни одного обращения к платформе управления согласием, ни одного сценария с признаками баннера. Google Consent Mode при этом настроен и находится в состоянии по умолчанию denied — обращения к Google несут gcs=G100 (и ad_storage, и analytics_storage запрещены) и npa=1. Несмотря на статус denied, cookieless-обращения page_view всё равно уходят и в GA4, и в Google Ads. При этом страница о cookie сайта (/kupsised, редакция от 24.10.2025) во вводном абзаце заявляет, что cookie размещаются «для анализа использования этого веб-сайта», то есть предполагает согласие, — но соответствующего механизма на наблюдаемой странице нет. Тег GTM вставлен прямо в разметку модулем google_tag и стартует на +1403 мс без какого-либо предшествующего условия.

3) Ни один из фактических получателей веб-данных не назван в документах агентства как получатель. Основные условия обработки данных Google, Google Ads и YouTube не упоминают вовсе. Страница о cookie перечисляет аналитические cookie _ga, _gid, _gat с указанием источника «www.transpordiamet.ee», то есть как cookie первой стороны, и описывает собираемое как «анонимную информацию»; фактически эти данные передаются в Google с устойчивым идентификатором клиента и набором клиентских подсказок, что не является ни первой стороной, ни анонимными данными. Конверсионный тег Google Ads AW-16880467770 на странице о cookie не упомянут ни в каком виде — в маркетинговом разделе названы только cookie сервиса AddThis (__atuvc, __atuvs), которых в записи нет. Список сторонних сервисов (Google, Facebook, LinkedIn, Twitter) дан лишь ссылками на их собственные условия, что не раскрывает получателя в смысле статьи 13.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-transpordiamet-ee/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 5(1)(a) — прозрачность: заявленное прямо противоречит фактическому; ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — раскрытие получателей

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — transpordiamet.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website transpordiamet.ee.

2. Circumstances
I visited the website transpordiamet.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 1 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The Transpordiamet personal-data processing terms, in the section on the website, state plainly: "when visiting the Transport Administration website we do not process your personal data, i.e. the IP address is not linked to information that identifies you." In fact, on opening the recruitment section page, a page_view event goes to Google: at +3171 ms to Google Analytics 4 (property G-MH1BGZZTKV, node region1.google-analytics.com), at +3179 ms to Google Ads (conversion tag AW-16880467770, node pagead2.googlesyndication.com). Both requests carry the client identifier, the screen resolution (sr=1536x864), the full set of browser client hints (Windows platform, x86/64 architecture, the list of Microsoft Edge 147 versions), the interface language, the page address and title, and the referrer — the previous page /ru. This is processing of personal data on visiting the site, which the document denies.

2) There is no working consent mechanism on the observed page: across 308 requests there is not a single call to a consent-management platform, nor a single script with banner signatures. Google Consent Mode is nonetheless configured and sits in its default denied state — the requests to Google carry gcs=G100 (both ad_storage and analytics_storage denied) and npa=1. Despite the denied status, the cookieless page_view requests go out to both GA4 and Google Ads anyway. Meanwhile the site's cookie page (/kupsised, revision of 24 October 2025) states in its opening paragraph that cookies are placed "to analyse use of this website," which presupposes consent — yet the corresponding mechanism is absent on the observed page. The GTM tag is injected directly into the markup by the google_tag module and starts at +1403 ms with no preceding condition.

3) None of the actual recipients of web data is named in the agency's documents as a recipient. The main processing terms do not mention Google, Google Ads or YouTube at all. The cookie page lists the analytics cookies _ga, _gid, _gat with the source given as "www.transpordiamet.ee" — i.e. as first-party cookies — and describes what is collected as "anonymous information"; in fact this data is transmitted to Google with a persistent client identifier and a set of client hints, which is neither first-party nor anonymous data. The Google Ads conversion tag AW-16880467770 is not mentioned on the cookie page in any form — the marketing section names only the cookies of the AddThis service (__atuvc, __atuvs), which do not appear in the recording. The list of third-party services (Google, Facebook, LinkedIn, Twitter) is given merely as links to their own terms, which does not disclose the recipient within the meaning of Article 13.

Full technical documentation is published at: https://gdpru.eu/audits/ee-transpordiamet-ee/

3. GDPR provisions I ask you to examine
GDPR Art. 5(1)(a) — transparency: the declared directly contradicts the actual; ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — disclosure of recipients

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil transpordiamet.ee.

2. Asjaolud
Külastasin veebisaiti transpordiamet.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 01.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Transpordiameti isikuandmete töötlemise tingimustes on selgelt kirjas: „Transpordiosakonna veebilehte külastades ei töötle me teie isikuandmeid, st IP-aadress ei ole seotud teid tuvastava teabega. Tegelikult, kui avate töö sektsiooni lehe Google'is, jääb sündmuste lehe vaade: +3171 ms - Google Analytics 4 (allikas G-MH1BGZTKV, piirkond1 sõlm. google-analytics.com), +3179 ms - Google Ads'is (konversiooni silt AW-16880467770, pagead2. googlesyndication.com). Mõlemas rakenduses edastatakse kliendi ID, ekraani resolutsioon 1536x1080 (sr=1536x864), brauseri kliendi täielik komplekt (Windowsi platvorm, x86/64 arhitektuur, Microsoft Edge 147 versioonide loend), liidese keel, lehe aadress ja pealkiri ning viitaja - eelmine leht /ru. See on isikuandmete töötlemine veebisaidi külastamisel, mida dokument eitab.

2) Vaadeldaval lehel puudub tööloa mehhanism: 308 päringu puhul puudub juurdepääs nõusoleku haldamise platvormile, puudub bännerifunktsioonidega skript. Samal ajal on Google'i nõusoleku režiim konfigureeritud ja vaikimisi keelatud - Google'i kõned kannavad gcs=G100 (nii reklaamide salvestamine kui ka analüüsi salvestamine on keelatud) ja npa = 1. Hoolimata keeldutud staatusest lahkuvad lehevaate küpsised nii GA4 kui ka Google Adsist. Samal ajal sätestab veebisaidi küpsiseleht (/kupsised, versioon 24.10.2025) sissejuhatavas lõigus, et küpsised paigutatakse „selle veebisaidi kasutamise analüüsimiseks, st eeldatakse nõusolekut, kuid vaadeldaval lehel puudub vastav mehhanism. GTM-sildi sisestab Google'i sildimoodul otse märgistusse ja see algab +1403 ms-st ilma eelneva tingimuseta.

3) Ühtegi veebiandmete tegelikku vastuvõtjat ei nimetata agentuuri dokumentides saajaks. Google'i, Google Adsi ja YouTube'i andmete töötlemise põhitingimusi ei mainita üldse. Küpsise leheküljel on loetletud analüüsiküpsised ga, gid, gat koos «www. Zqxvbnm000 » allikaga, see tähendab esimese osapoole küpsisena, ja kirjeldatakse kogutud teavet kui „anonüümset teavet; tegelikult edastatakse need andmed Google'ile stabiilse kliendi ID ja kliendi vihjete komplektiga, mis ei ole esimese osapoole ega anonüümsed andmed. Küpsiste leheküljel olevat konversiooni silti Google Ads AW-16880467770 ei mainita ühelgi kujul - turundusosas nimetatakse ainult AddThisi küpsiseid (atuvc, atuvs), mis ei ole kirjes. Kolmandate isikute teenuste loetelu (Google, Facebook, LinkedIn, Twitter) on esitatud ainult nende enda tingimustel, mis ei avalikusta saajat artikli 13 tähenduses.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-transpordiamet-ee/

3. Sätted, mille järgimist palun kontrollida
GDPR artikli 5 lõike 1 punkt a – läbipaistvus: väide on otseselt faktidega vastuolus; e-privaatsus – direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a); GDPR – artikli 13 lõike 1 punkt e – vastuvõtjate avalikustamine

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]