ulemiste.ee

Тема: Жалоба на обработку персональных данных — ulemiste.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом ulemiste.ee.

2. Обстоятельства
Я посетил сайт ulemiste.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 27.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Сайт использует платформу согласия Cookiebot, и Google Analytics 4 с Adform ждут согласия. Пиксель Meta (235999197630495) — нет. Он грузится на +3,5 с, а с +4,3 с отправляет события на www.facebook.com/tr — на каждой из шести открытых страниц и ещё до какого-либо выбора в баннере. На +161 с посетитель отказался от всех необязательных категорий: Cookiebot записал отказ, и страница условий cookie показывает статус «Keeldu». После этого пиксель отправил ещё шесть обращений, одно из них прервано. Часть обращений к Meta совпадает по времени с нажатием кнопок самого баннера: они уходят за 10 мс до записи решения. Декларация cookie на самом сайте относит cookie Meta (_fbp и другие) к категории «Маркетинг», то есть к тем, что требуют согласия. Идентификатор Google Analytics тоже создаётся до выбора — на +4,2 с. С первого же перехода он передаётся в адресах страниц через параметр _gl, а после согласия аналитика продолжает работать именно с этим идентификатором.

2) На первом слое баннера две кнопки: «Jah, kõik sobib» («Да, всё подходит») и «Soovin täpsemalt valida» («Хочу выбрать подробнее»). Кнопки отказа нет, а заголовок «Jätkamiseks luba endale mõned küpsised!» («Чтобы продолжить, разреши себе немного cookie!») подаёт согласие как условие продолжения. Чтобы отказаться, нужно перейти на второй слой и нажать «Luba valik» при выключенных переключателях. С отзывом ещё хуже: отдельной кнопки нет. Плавающий виджет Cookiebot, где такая кнопка предусмотрена, выключен в настройках (enabled: false). Страница условий cookie обещает, что согласие можно отозвать в любой момент. Но ссылка «Muuda küpsiste eelistusi või keeldu nõusolekust» открывает тот же баннер с теми же двумя кнопками, и главная из них снова «Jah, kõik sobib». После полного согласия на +244 с баннер открывали ещё дважды (+249,9 с и +298,6 с), и оба раза Cookiebot записал полное согласие по всем трём категориям. Ни одного отказа после +244 с в записи нет. Adform и Google Analytics после каждой такой записи срабатывали заново. Согласие даётся одним нажатием, а отозвать его в замере не удалось.

3) Пункт 3.3 политики перечисляет четыре основания — согласие, договор, юридическую обязанность и законный интерес — одним списком и не связывает ни одно из них с целями из пункта 3.4. Для всех шести целей, включая маркетинг и управление клиентами, срок хранения указан одинаково: «согласно срокам, названным в законе». Для маркетинга такой срок законом, как правило, не установлен. О cookie, веб-аналитике и рекламных пикселях политика не говорит ничего. Получатели названы категориями, по имени — только Maksekeskus AS. Сведения о Meta, Google и Adform есть лишь в декларации Cookiebot на отдельной странице. Баннер при этом описывает статистические cookie как собирающие данные анонимно, хотя, по той же декларации, cookie _ga хранит уникальный идентификатор два года.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-ulemiste-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — пиксель Meta до выбора и после отказа; GDPR Art. 7(3) / Art. 4(11) — отказ и отзыв согласия сложнее, чем согласие; GDPR Art. 13(1)(c) и Art. 13(2)(a) — основания и сроки хранения в политике конфиденциальности

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — ulemiste.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website ulemiste.ee.

2. Circumstances
I visited the website ulemiste.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 27 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site uses the Cookiebot consent platform, and Google Analytics 4 and Adform wait for consent. The Meta pixel (235999197630495) does not. It loads at +3.5 s, and from +4.3 s it sends events to www.facebook.com/tr — on each of the six pages opened, and before any choice in the banner. At +161 s, the visitor refused all non-essential categories: Cookiebot recorded the refusal, and the cookie terms page shows the status 'Keeldu'. After that, the pixel sent six more requests, one of which was interrupted. Some of the requests to Meta coincide in time with presses of the banner's own buttons: they fire 10 ms before the decision is recorded. The site's own cookie declaration classifies Meta cookies (_fbp and others) as 'Marketing', i.e. among those that require consent. The Google Analytics identifier is also created before any choice — at +4.2 s. From the very first navigation, it is carried in page addresses via the _gl parameter, and after consent, analytics continues with exactly this identifier.

2) The banner's first layer has two buttons: 'Jah, kõik sobib' ('Yes, everything's fine') and 'Soovin täpsemalt valida' ('I want to choose in more detail'). There is no refuse button, and the heading 'Jätkamiseks luba endale mõned küpsised!' ('To continue, allow yourself some cookies!') presents consent as a condition for continuing. To refuse, one must go to the second layer and press 'Luba valik' with the toggles switched off. Withdrawal is worse still: there is no separate button. The floating Cookiebot widget, which provides such a button, is disabled in the settings (enabled: false). The cookie terms page promises that consent can be withdrawn at any time. But the link 'Muuda küpsiste eelistusi või keeldu nõusolekust' opens the same banner with the same two buttons, and the main one is again 'Jah, kõik sobib'. After full consent at +244 s, the banner was reopened twice more (+249.9 s and +298.6 s), and both times Cookiebot recorded full consent for all three categories. The capture contains no refusal after +244 s. Adform and Google Analytics fired anew after each such record. Consent is given with a single click, but in the capture it could not be withdrawn.

3) Section 3.3 of the policy lists four legal bases — consent, contract, legal obligation, and legitimate interest — as a single list, and links none of them to the purposes in section 3.4. For all six purposes, including marketing and customer management, the retention period is stated identically: 'in accordance with the periods specified in law'. For marketing, the law generally sets no such period. The policy says nothing about cookies, web analytics, or advertising pixels. Recipients are named by category; only Maksekeskus AS is named individually. Information about Meta, Google, and Adform exists only in the Cookiebot declaration on a separate page. The banner, meanwhile, describes statistics cookies as collecting data anonymously, although, according to that same declaration, the _ga cookie stores a unique identifier for two years.

Full technical documentation is published at: https://gdpru.eu/audits/ee-ulemiste-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — the Meta pixel before any choice and after refusal; GDPR Art. 7(3) / Art. 4(11) — refusing and withdrawing consent are harder than giving it; GDPR Art. 13(1)(c) and Art. 13(2)(a) — legal bases and retention periods in the privacy policy

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil ulemiste.ee.

2. Asjaolud
Külastasin veebisaiti ulemiste.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 27.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Veebilehel kasutatakse nõusolekuhaldusplatvormi Cookiebot ning Google Analytics 4 ja Adform ootavad nõusolekut. Meta piksel (235999197630495) seda ei tee. See laaditakse +3,5 s juures ja alates +4,3 s juurest saadab sündmusi aadressile www.facebook.com/tr – kõigil kuuel avatud lehel ja juba enne mis tahes valikut bänneris. +161 s juures keeldus külastaja kõigist mittevajalikest kategooriatest: Cookiebot salvestas keeldumise ning küpsiste tingimuste leht näitab olekut „Keeldu“. Pärast seda saatis piksel veel kuus päringut, millest üks katkes. Osa Meta päringutest langeb ajaliselt kokku bänneri enda nuppude vajutamisega: need saadetakse 10 ms enne otsuse salvestamist. Veebilehe enda küpsiste deklaratsioon liigitab Meta küpsised (_fbp jt) kategooriasse „Turundus“, st nõusolekut nõudvate küpsiste hulka. Ka Google Analyticsi identifikaator luuakse enne valikut – +4,2 s juures. Alates esimesest lehevahetusest edastatakse seda lehtede aadressides parameetri _gl kaudu ning pärast nõusolekut jätkab analüütika just selle identifikaatoriga.

2) Bänneri esimesel kihil on kaks nuppu: „Jah, kõik sobib“ ja „Soovin täpsemalt valida“. Keeldumisnuppu ei ole ning pealkiri „Jätkamiseks luba endale mõned küpsised!“ esitab nõusolekut jätkamise tingimusena. Keeldumiseks tuleb minna teisele kihile ja vajutada väljalülitatud lülititega nuppu „Luba valik“. Tagasivõtmisega on lood veelgi halvemad: eraldi nuppu ei ole. Cookiebot'i ujuv vidin, milles selline nupp on ette nähtud, on seadetes välja lülitatud (enabled: false). Küpsiste tingimuste leht lubab, et nõusoleku saab igal ajal tagasi võtta. Kuid link „Muuda küpsiste eelistusi või keeldu nõusolekust“ avab sama bänneri samade kahe nupuga ning põhinupp on taas „Jah, kõik sobib“. Pärast täielikku nõusolekut +244 s juures avati bänner veel kaks korda (+249,9 s ja +298,6 s) ning mõlemal korral salvestas Cookiebot täieliku nõusoleku kõigi kolme kategooria kohta. Pärast +244 s ei ole salvestises ühtegi keeldumist. Adform ja Google Analytics käivitusid pärast iga sellist salvestust uuesti. Nõusolek antakse ühe vajutusega, kuid mõõtmise käigus ei õnnestunud seda tagasi võtta.

3) Privaatsuspoliitika punkt 3.3 loetleb neli õiguslikku alust – nõusolek, leping, juriidiline kohustus ja õigustatud huvi – ühe loeteluna ega seo ühtegi neist punkti 3.4 eesmärkidega. Kõigi kuue eesmärgi, sh turunduse ja kliendihalduse puhul on säilitamistähtajaks märgitud ühtemoodi „vastavalt seaduses nimetatud tähtaegadele“. Turunduse jaoks seadus üldjuhul sellist tähtaega ei sätesta. Küpsistest, veebianalüütikast ja reklaamipikslitest privaatsuspoliitika ei räägi. Vastuvõtjad on nimetatud kategooriate kaupa, nimeliselt üksnes Maksekeskus AS. Teave Meta, Google'i ja Adformi kohta on ainult Cookiebot'i deklaratsioonis eraldi lehel. Samal ajal kirjeldab bänner statistikaküpsiseid kui anonüümselt andmeid koguvaid, kuigi sama deklaratsiooni järgi säilitab küpsis _ga unikaalset identifikaatorit kaks aastat.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-ulemiste-ee/

3. Sätted, mille järgimist palun kontrollida
Eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv 2002/58/EÜ art 5 lg 3 (koostoimes IKÜM art 6 lg 1 p-ga a) — Meta piksel enne valikut ja pärast keeldumist; IKÜM art 7 lg 3 / art 4 p 11 — keeldumine ja nõusoleku tagasivõtmine on keerulisemad kui nõusoleku andmine; IKÜM art 13 lg 1 p c ja art 13 lg 2 p a — õiguslikud alused ja säilitamistähtajad privaatsuspoliitikas

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]