RU EN
www.
Технический аудит · 01.09.2026

valimised.ee

Портал выборов Эстонии — Государственная служба по организации выборов
EE

Портал выборов Эстонии — одна запись, четыре навигации, 204 запроса и всего два узла: сам сайт и телеметрия Cloudflare, провайдера отдачи. Ни Google, ни аналитики, ни рекламы, ни социальных сетей, ни RTB — ни одного обращения. На сайте работает механизм управления согласием (cookiesjsr); заготовка для условной загрузки Google Analytics в разметке присутствует, но идентификатора у неё нет и аналитика ни разу не загружается. Условия защиты данных заявляют только серверную статистику посещений и не обещают ничего, чего в записи не видно. Заявленное совпадает с фактическим.

Хронология обращений

+0 мс · навигация
Открытие портала. Отдача через Cloudflare (cf-ray …-CDG, Париж), приложение Drupal. Заголовки безопасности: HSTS, X-Frame-Options DENY, X-Content-Type-Options nosniff. Собственного Content-Security-Policy, Referrer-Policy и Permissions-Policy сайт не выставляет. Браузер отправлял заголовок DNT: 1.
+333…+445 мс · инфраструктура отдачи
www.valimised.ee/cdn-cgi/scripts/… (Cloudflare email-decode) и static.cloudflareinsights.com/beacon.min.js — телеметрия RUM провайдера отдачи, инициированная разметкой самого сайта. Это единственный сторонний узел за всю запись.
механизм согласия присутствует и работает
В разметке подгружается модуль управления согласием cookiesjsr (cookiesjsr-preloader, cookiesjsr.conf.js, cookiesjsr.min.js) с интеграцией cookies_ga для условной загрузки Google Analytics. На +348633 мс проходит обращение /et/cookies/consent/callback.json — взаимодействие с баннером согласия. Идентификатора Google Analytics в конфигурации нет ни в каком виде.
+348633 мс · и далее — передач наружу нет
После взаимодействия с баннером и при последующих навигациях (+409, +415, +429 с) ни одного обращения к Google, аналитике, рекламе или соцсетям не возникает. Заготовка cookies_ga остаётся неактивированной — аналитика не загружается. Наружу уходит только телеметрия Cloudflare того же провайдера отдачи.

Декларация против факта

✓ При посещении домашней страницы собираются IP-адрес, название и адрес поставщика интернет-услуг, время посещения (п. 5) — заявлен
✓ IP-адреса не считаются данными, позволяющими установить личность (п. 5) — заявлен
✓ Собираются данные о том, какие части страницы посещены и как долго; используются для статистики посещений и анализа развития сайта (п. 5) — заявлен
✓ Данные о посещении хранятся не дольше одного года и удаляются, как только необходимость в них исчезает (п. 5) — заявлен
✓ Контролёр — Государственная служба по организации выборов при Канцелярии Рийгикогу; специалист по защите данных andmekaitse@riigikogu.ee — заявлен
✓ Надзорный орган — Инспекция по защите данных (Andmekaitse Inspektsioon) — заявлен

Тайминги передачи

+445 мс static.cloudflareinsights.com

beacon.min.js — RUM Cloudflare, инициирован разметкой сайта. Единственный сторонний узел.

+348633 мс www.valimised.ee

callback.json — обращение системы управления согласием cookiesjsr, первая сторона.

Зафиксированные трекеры

Контекст

valimised.ee — портал выборов Эстонии. Контролёр — Государственная служба по организации выборов (Riigi Valimisteenistus), структурная единица Канцелярии Рийгикогу, действующая на основании законов о выборах; адрес Lossi plats 1a, 15165 Таллинн. Контакт специалиста по защите данных — andmekaitse@riigikogu.ee. Надзор прямо назван в самих условиях — Andmekaitse Inspektsioon. Сайт построен на Drupal, отдаётся через Cloudflare (cf-ray с меткой CDG — Париж). Заголовки безопасности выставлены частично: есть HSTS, X-Frame-Options DENY и X-Content-Type-Options nosniff; собственных Content-Security-Policy, Referrer-Policy и Permissions-Policy сайт не выставляет.

Обработку описывает документ «Условия защиты данных Государственной службы по организации выборов» (редакция от 6 мая 2025 года), к которому в том же файле приложено отдельное уведомление о конфиденциальности приложения для интернет-голосования. Сайту напрямую посвящён пункт 5 «Посещение домашней страницы».

Замер состоит из одной записи, четыре навигации: главная, эстонская версия /et, памятка о выборах президента республики и снова /et. Двести четыре запроса, два узла. Запись сделана 12 мая 2026 года.

Кому уходят данные напрямую

Только Cloudflare — провайдер отдачи сайта (телеметрия RUM). Самостоятельных сторонних получателей в записи нет.

Заявленное против фактического

Пункт 5 условий описывает обработку при посещении сайта узко и по-серверному: собираются IP-адрес, название и адрес поставщика интернет-услуг, время посещения, а также сведения о том, какие разделы посещены и как долго; всё это идёт на статистику посещений и анализ развития сайта и хранится не дольше одного года. Никаких внешних получателей, рекламы, аналитики третьих сторон или передачи данным лицам документ не заявляет.

Запись это подтверждает. За четыре навигации и 204 запроса единственный сторонний узел — static.cloudflareinsights.com, телеметрия RUM того самого Cloudflare, что отдаёт сайт; обращение инициировано разметкой самой страницы. Ни Google Analytics, ни Google Tag Manager, ни рекламных сервисов, ни социальных сетей, ни RTB-вендоров в записи нет — ни одного обращения. Проверка по именам известных аналитических и рекламных платформ и по идентификаторам измерения (ресурсы вида G-, AW-, UA-, GTM-) не дала ни одного совпадения.

Отдельно стоит отметить механизм согласия. В разметку подгружается система управления согласием cookiesjsr (Drupal-модуль cookies) вместе с её загрузчиком и конфигурацией, а также интеграция cookies_ga — заготовка для условной загрузки Google Analytics только после согласия. На +348633 мс проходит обращение /et/cookies/consent/callback.json — взаимодействие с баннером. При этом идентификатора Google Analytics в конфигурации нет, и аналитика не загружается ни разу — ни до взаимодействия с баннером, ни после, ни при последующих навигациях. То есть предусмотренная сайтом условная аналитика фактически отключена: инфраструктура согласия присутствует, а получателя за ней нет.

Расхождения между заявленным и фактическим замер не выявил.

Согласие: что доказано и что нет

Доказано: механизм управления согласием на сайте присутствует и работает. В записи читаются загрузка системы cookiesjsr и её загрузчика на каждой навигации, а также обращение /et/cookies/consent/callback.json на +348633 мс — отклик системы согласия на действие пользователя.

Доказано: аналитика третьих сторон не загружается и данные наружу не уходят. Заготовка cookies_ga для условной загрузки Google Analytics присутствует в разметке, но идентификатора измерения у неё нет, и ни одного обращения к Google или любому иному аналитическому либо рекламному получателю в записи не возникает — включая период после взаимодействия с баннером и три последующие навигации.

Не доказано и не требуется: содержание выбора пользователя в баннере. Что именно пользователь выбрал в окне согласия, по сетевой записи однозначно не устанавливается и для вывода несущественно: даже если бы согласие на аналитику было дано, загружать было бы нечего — получатель не сконфигурирован.

Отдельно: браузер при съёмке отправлял заголовок DNT: 1. Поскольку передач сторонним получателям в записи нет, на что-либо этот сигнал повлиять не мог.

Границы наблюдения

Замер охватывает четыре страницы портала. Наблюдение фиксирует поведение браузера, а не внутреннюю сторону сервисов: серверная обработка журналов посещений, о которой говорит пункт 5 условий, происходит вне поля зрения браузерного замера и по этой записи не оценивается — видно лишь, что в браузер не подгружается никаких сторонних аналитических или рекламных получателей. Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon, надзор которого прямо назван в самих условиях.

Файл опубликован очищенным по «постному» профилю: удалены значения cookie в запросах, вырезаны заголовки Cookie и Set-Cookie, тела ответов и статические ресурсы. Поэтому состояние cookie на устройстве и содержимое ответа системы согласия по этому файлу не оцениваются; вывод о наличии механизма согласия и об отсутствии сторонних передач опирается на состав узлов, адреса, инициаторы и тайминги обращений, которые в записи читаются полностью.

Идентификация опирается на домены и схему адресов: Cloudflare — по cloudflareinsights.com и путям /cdn-cgi/; система согласия — по модулю cookiesjsr и обращению consent/callback.json; отсутствие Google — по отсутствию обращений к google-analytics.com, googletagmanager.com и googlesyndication.com и по отсутствию идентификаторов измерения в адресах.

Вывод

Портал выборов Эстонии при просмотре не передаёт данные ни одному самостоятельному стороннему получателю. За четыре навигации и 204 запроса наружу уходит только телеметрия Cloudflare — провайдера, который отдаёт сам сайт. Аналитики Google, рекламных сервисов, социальных сетей и RTB-инфраструктуры в записи нет вовсе. Условия защиты данных описывают обработку при посещении узко — серверная статистика посещений со сроком хранения до одного года — и не обещают ничего, чего в записи не наблюдается; заявленное совпадает с фактическим. На сайте работает механизм управления согласием, а предусмотренная им условная загрузка Google Analytics фактически не активирована — получатель за ней не сконфигурирован. Единственное, что можно отметить как мягкую оговорку, — сайт не выставляет Content-Security-Policy, Referrer-Policy и Permissions-Policy, хотя базовые заголовки (HSTS, запрет вложения в кадр, запрет угадывания типа содержимого) присутствуют; передач, которые эти политики защищали бы, в записи при этом нет.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: ee/valimised-ee-2026-08-17.har
SHA-256: ef4c34e625aad7fa83c15ee02f3026647c29697673291ff68522e09f072ae7c1
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — valimised.ee

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта valimised.ee.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
Прошу предоставить информацию по всем категориям, целям и получателям обработки моих данных на этом сайте — независимо от того, выявлены ли на сегодняшний день какие-либо несоответствия.

2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-valimised-ee/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]