Сайт платформы управления согласием CookieScript — один замер страницы блога, 93 запроса, 16 узлов. Особенность в том, что это сайт самого разработчика CMP (Objectis, UAB), и на нём стоит его же продукт. Аналитика и реклама Google запрет соблюдают — GA4 и Google Ads идут со статусом gcs=G100, бескуково. Но два рекламных пикселя фактически отправляют события вокруг собственного механизма согласия: Facebook-пиксель шлёт /tr, а LinkedIn Ads — wa/ и collect. Оба режима согласия не знают. И LinkedIn в политике по имени не назван, хотя Google, Meta и Customerly названы.
Хронология обращений
+668…+1265 мс · контейнер раньше собственного CMP
www.googletagmanager.com/gtm.js (+668 мс) — раньше собственного CookieScript (cdn.cookie-script.com, +1265 мс). Тег-менеджер инициализируется до платформы согласия того же вендора.
+1265 мс · собственный CMP CookieScript
cdn.cookie-script.com/s/…js — платформа согласия (собственный продукт). Решение о согласии в замере не зафиксировано; статус GA — gcs=G100.
+1273…+1712 мс · рекламные пиксели отправляют события
connect.facebook.net/fbevents.js (+1273 мс), signals/config/241710402319437 (+1396 мс), www.facebook.com/tr POST (+1478 мс — событие отправлено); snap.licdn.com/insight.min.js (+1276 мс), px.ads.linkedin.com/wa/ POST и /collect (+1692…+1712 мс — LinkedIn Ads отправляет). GA4 и Google Ads — gcs=G100, бескуково.
+5119…+5241 мс · Customerly
chat.customerly.io/v3/ping и v3/analytics/collect — чат/CRM Customerly отправляет аналитику.
✓Политика называет получателей: Google, Meta, Stripe, Customerly — заявлен
✓Правовое основание для рекламы — согласие (Consent) — заявлен
✓Управление согласием — собственный продукт CookieScript — заявлен
✓Надзорный орган — литовский (VDAI) — заявлен
+Рекламный пиксель LinkedIn Ads (активно отправляет wa/, collect) в политике по имени не назван — не заявлен
+Facebook-пиксель и LinkedIn Ads отправляют события вокруг собственного механизма согласия — не заявлен
+Контейнер GTM грузится раньше собственного CMP — не заявлен
Тайминги передачи
+668 мсwww.googletagmanager.com
GTM до cookie-script.com CMP (+1265 мс).
+1478 мсwww.facebook.com
/tr POST, id 241710402319437; содержимое в теле (вычищено).
+1692 мсpx.ads.linkedin.com
wa/ (POST) и collect; в политике не назван.
+1340 мсregion1.google-analytics.com
GA4 page_view, gcs=G100.
Зафиксированные трекеры
CookieScript (cdn.cookie-script.com — собственный продукт компании) — платформа управления согласием; собственный скрипт грузится на +1265 мс. Контролёр — Objectis, UAB (разработчик CookieScript)
Facebook / Meta (connect.facebook.net, www.facebook.com — пиксель id 241710402319437) — рекламный пиксель; событие /tr POST фактически отправлено на +1478 мс (содержимое в теле, вычищено). Meta названа в политике
LinkedIn Ads (snap.licdn.com, px.ads.linkedin.com) — рекламный пиксель LinkedIn; insight.min.js на +1276 мс, затем POST px.ads.linkedin.com/wa/ и /collect (+1692…+1712 мс) — фактическая отправка. В политике по имени НЕ назван
Google Analytics 4 (region1.google-analytics.com) — аналитика; page_view, scroll со статусом gcs=G100 (оба хранилища запрещены), бескуково. Запрет соблюдён
Google Tag Manager (www.googletagmanager.com) — контейнер тегов; +668 мс, раньше собственного CMP
Customerly (messenger/chat/pictures/blackhole.customerly.io) — чат и CRM; шлёт analytics/collect (+5241 мс). Названа в политике
Первая сторона и инфраструктура: cookie-script.com, шрифты Google
Признаки несоответствия GDPR
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — рекламные пиксели Facebook и LinkedIn отправляют события вокруг собственного механизма согласия
Сайт принадлежит разработчику платформы управления согласием CookieScript (Objectis, UAB), и на нём стоит его же продукт (cdn.cookie-script.com, +1265 мс). Аналитика и реклама Google при этом запрет соблюдают: GA4 и Google Ads идут со статусом gcs=G100 (оба хранилища запрещены), бескуково. Однако два рекламных пикселя фактически отправляют события, не будучи удержаны гейтингом: Facebook-пиксель (id 241710402319437) отправляет /tr POST на +1478 мс (содержимое в теле запроса, вычищено при очистке), а рекламный пиксель LinkedIn Ads отправляет px.ads.linkedin.com/wa/ (POST) и /collect на +1692…+1712 мс. Оба режима согласия Google не знают и работают независимо; контейнер GTM при этом грузится на +668 мс — раньше собственного CMP. То есть на сайте самого производителя механизма согласия рекламные пиксели Facebook и LinkedIn передают данные вокруг этого механизма.
GDPR Art. 13(1)(e) — LinkedIn не раскрыт
Политика конфиденциальности (Objectis, UAB) называет получателей: Google, Meta, Stripe, Customerly. Однако рекламный пиксель LinkedIn Ads (snap.licdn.com, px.ads.linkedin.com), который в замере активно отправляет события (wa/, collect), в политике по имени не назван. Facebook раскрыт как Meta, Customerly и Google названы, но LinkedIn — нет.
Контекст
cookie-script.com — сайт платформы управления согласием CookieScript. Контролёр — Objectis, UAB (рег. код 304037472, Laisves str. 60, Вильнюс, Литва), то есть разработчик самого продукта. Особенность кейса в том, что это сайт вендора механизма согласия, и на нём установлен его же продукт. Обработку описывает политика конфиденциальности.
Замер — одна запись страницы блога (/blog/cookieinformation-alternative-cookiescript): 93 запроса, 16 узлов.
Кому уходят данные напрямую
Рекламные пиксели Facebook и LinkedIn Ads (оба фактически отправляют события). Google Analytics и Google Ads (под запретом, gcs=G100, бескуково). Собственный CMP CookieScript. Чат/CRM Customerly. Функционально — шрифты. Обращения к edge.microsoft.com/translate — артефакт инструмента съёмки (перевод в браузере).
Заявленное против фактического
Расхождение здесь тем заметнее, что это сайт самого производителя механизма согласия.
Аналитика Google запрет соблюдает. События GA4 (page_view, scroll) и Google Ads (ccm/collect) идут со статусом gcs=G100 — оба хранилища запрещены, бескуково. Это корректное поведение при неданном согласии.
Но рекламные пиксели Facebook и LinkedIn отправляют события. Facebook-пиксель (id 241710402319437) отправляет /tr POST на +1478 мс — событие фактически ушло (содержимое в теле запроса, вычищено при очистке, поэтому конкретика не читается). Рекламный пиксель LinkedIn Ads отправляет px.ads.linkedin.com/wa/ (POST) и /collect на +1692…+1712 мс. Оба пикселя режима согласия Google не знают и работают независимо от него; собственный CMP CookieScript (cdn.cookie-script.com) грузится на +1265 мс, а контейнер GTM — раньше, на +668 мс. То есть на сайте вендора платформы согласия рекламные пиксели Facebook и LinkedIn передают данные, не будучи удержаны гейтингом по решению.
И LinkedIn не раскрыт. Политика конфиденциальности называет Google, Meta, Stripe, Customerly. Facebook присутствует как Meta, Customerly и Google названы. Но LinkedIn Ads, который активно отправляет события в замере, в политике по имени не упомянут.
Согласие: что доказано и что нет
Доказано: аналитика Google соблюдает запрет. Все обращения GA4 и Google Ads несут gcs=G100, бескуково.
Доказано: Facebook-пиксель отправил событие.www.facebook.com/tr POST на +1478 мс, пиксель id 241710402319437.
Доказано: LinkedIn Ads отправил события.px.ads.linkedin.com/wa/ (POST) и /collect на +1692…+1712 мс.
Доказано: GTM грузится раньше собственного CMP. GTM — +668 мс, CookieScript — +1265 мс.
Доказано: LinkedIn не назван в политике. Поиск по документу находит Google, Meta, Customerly, но не LinkedIn.
Не установлено: решение о согласии. Выбор в замере не зафиксирован; gcs=G100 указывает на запрещённое состояние. Отправка Facebook и LinkedIn при этом состоялась независимо от статуса Google consent mode.
Не доказано: содержимое событий Facebook и LinkedIn. Тела POST-обращений в опубликованном файле вычищены; читаются эндпоинты и id пикселя, не значения.
Границы наблюдения
Замер охватывает одну страницу блога и фиксирует поведение браузера, не серверную обработку: что Meta и LinkedIn делают с полученными данными и как настроен гейтинг CookieScript на стороне сайта, браузерным замером не проверяется. Установлено: Facebook-пиксель и LinkedIn Ads-пиксель отправляют события; GA/Ads идут под запретом. Обращения к edge.microsoft.com отнесены к артефактам инструмента съёмки. Customerly отнесён к чату/CRM.
Файл опубликован очищенным от личных данных (178 правок, самопроверка чистая); отправка Facebook /tr и LinkedIn wa//collect, статус gcs=G100 у GA/Ads и загрузка собственного CMP проверяются по опубликованному файлу напрямую. Скриншотов баннера в комплекте нет — состояние UI баннера в этом замере не зафиксировано.
Правовую оценку выносит компетентный орган — литовский надзорный орган (VDAI).
Вывод
Сайт принадлежит разработчику платформы управления согласием, и на нём стоит его же продукт. Аналитику Google этот механизм удерживает корректно — GA4 и Google Ads идут под запретом (gcs=G100, бескуково). Но два рекламных пикселя эту рамку обходят: Facebook-пиксель отправляет /tr, а LinkedIn Ads — wa/ и collect, оба фактически передают события и режима согласия Google не знают. Контейнер GTM при этом грузится раньше собственного CMP.
Отдельно: LinkedIn Ads, активно отправляющий события, в политике по имени не назван — при том что Google, Meta и Customerly названы. Наблюдение не квалифицирует умысел и не сравнивает сайт с другими — оно лишь фиксирует, что и на сайте вендора механизма согласия рекламные пиксели Facebook и LinkedIn передают данные вокруг этого механизма, а один из получателей не раскрыт.
Устранение: обусловить срабатывание пикселей Facebook и LinkedIn Ads фактическим согласием, чтобы они не отправляли события до выбора и вне режима согласия; гейтить контейнер GTM и рекламные пиксели через собственный CMP; назвать LinkedIn Ads в политике как получателя с указанием цели; сохранить корректный режим согласия Google-стека и распространить принцип гейтинга на рекламные пиксели.
Доказательство
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
Шаг 1. Запрос доступа к данным (ст. 15 GDPR)
Сохраните PDF — затем подпишите:DigiDoc4 — компьютер · Smart-ID / Mobile-ID RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — cookie-script.com
Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]
Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта cookie-script.com.
1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:
1) Сайт принадлежит разработчику платформы управления согласием CookieScript (Objectis, UAB), и на нём стоит его же продукт (cdn.cookie-script.com, +1265 мс). Аналитика и реклама Google при этом запрет соблюдают: GA4 и Google Ads идут со статусом gcs=G100 (оба хранилища запрещены), бескуково. Однако два рекламных пикселя фактически отправляют события, не будучи удержаны гейтингом: Facebook-пиксель (id 241710402319437) отправляет /tr POST на +1478 мс (содержимое в теле запроса, вычищено при очистке), а рекламный пиксель LinkedIn Ads отправляет px.ads.linkedin.com/wa/ (POST) и /collect на +1692…+1712 мс. Оба режима согласия Google не знают и работают независимо; контейнер GTM при этом грузится на +668 мс — раньше собственного CMP. То есть на сайте самого производителя механизма согласия рекламные пиксели Facebook и LinkedIn передают данные вокруг этого механизма.
2) Политика конфиденциальности (Objectis, UAB) называет получателей: Google, Meta, Stripe, Customerly. Однако рекламный пиксель LinkedIn Ads (snap.licdn.com, px.ads.linkedin.com), который в замере активно отправляет события (wa/, collect), в политике по имени не назван. Facebook раскрыт как Meta, Customerly и Google названы, но LinkedIn — нет.
2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/global-cookie-script-com/
3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.
С уважением,
[Ваше имя]
[контактный email]
[Страна]
[Дата]
Subject: Data access request (GDPR Art. 15) — cookie-script.com
To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]
I request access to my personal data processed in connection with the website cookie-script.com.
1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:
1) The site belongs to the developer of the CookieScript consent management platform (Objectis, UAB), and its own product is installed on it (cdn.cookie-script.com, +1265 ms). Google analytics and advertising meanwhile respect the denial: GA4 and Google Ads carry status gcs=G100 (both storages denied), cookieless. However, two advertising pixels actually send events without being held back by gating: the Facebook pixel (id 241710402319437) sends a /tr POST at +1478 ms (the content is in the request body, redacted during cleaning), and the LinkedIn Ads pixel sends px.ads.linkedin.com/wa/ (POST) and /collect at +1692…+1712 ms. Both do not know Google's consent mode and operate independently; the GTM container meanwhile loads at +668 ms — before the in-house CMP. That is, on the site of the very maker of the consent mechanism the Facebook and LinkedIn advertising pixels transfer data around that mechanism.
2) The privacy policy (Objectis, UAB) names recipients: Google, Meta, Stripe, Customerly. However, the LinkedIn Ads pixel (snap.licdn.com, px.ads.linkedin.com), which actively sends events in the capture (wa/, collect), is not named in the policy by name. Facebook is disclosed as Meta, Customerly and Google are named, but LinkedIn is not.
2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/global-cookie-script-com/
3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.
Sincerely,
[Your name]
[contact email]
[Country]
[Date]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе
Методология.
Готовое письмо для подачи жалобы
Сохраните PDF — затем подпишите:DigiDoc4 — компьютер · Smart-ID / Mobile-ID RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: Юрисдикция определяется по статье 3(2) GDPR —
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — cookie-script.com
1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом cookie-script.com.
2. Обстоятельства
Я посетил сайт cookie-script.com и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 13.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:
1) Сайт принадлежит разработчику платформы управления согласием CookieScript (Objectis, UAB), и на нём стоит его же продукт (cdn.cookie-script.com, +1265 мс). Аналитика и реклама Google при этом запрет соблюдают: GA4 и Google Ads идут со статусом gcs=G100 (оба хранилища запрещены), бескуково. Однако два рекламных пикселя фактически отправляют события, не будучи удержаны гейтингом: Facebook-пиксель (id 241710402319437) отправляет /tr POST на +1478 мс (содержимое в теле запроса, вычищено при очистке), а рекламный пиксель LinkedIn Ads отправляет px.ads.linkedin.com/wa/ (POST) и /collect на +1692…+1712 мс. Оба режима согласия Google не знают и работают независимо; контейнер GTM при этом грузится на +668 мс — раньше собственного CMP. То есть на сайте самого производителя механизма согласия рекламные пиксели Facebook и LinkedIn передают данные вокруг этого механизма.
2) Политика конфиденциальности (Objectis, UAB) называет получателей: Google, Meta, Stripe, Customerly. Однако рекламный пиксель LinkedIn Ads (snap.licdn.com, px.ads.linkedin.com), который в замере активно отправляет события (wa/, collect), в политике по имени не назван. Facebook раскрыт как Meta, Customerly и Google названы, но LinkedIn — нет.
Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/global-cookie-script-com/
3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — рекламные пиксели Facebook и LinkedIn отправляют события вокруг собственного механизма согласия; GDPR Art. 13(1)(e) — LinkedIn не раскрыт
4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.
5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.
С уважением,
[Ваше имя]
[контактный email]
[Страна]
[Дата]
Subject: Complaint regarding personal data processing — cookie-script.com
1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website cookie-script.com.
2. Circumstances
I visited the website cookie-script.com and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 13 September 2026 (open methodology, reproducible measurements) documents the following indications:
1) The site belongs to the developer of the CookieScript consent management platform (Objectis, UAB), and its own product is installed on it (cdn.cookie-script.com, +1265 ms). Google analytics and advertising meanwhile respect the denial: GA4 and Google Ads carry status gcs=G100 (both storages denied), cookieless. However, two advertising pixels actually send events without being held back by gating: the Facebook pixel (id 241710402319437) sends a /tr POST at +1478 ms (the content is in the request body, redacted during cleaning), and the LinkedIn Ads pixel sends px.ads.linkedin.com/wa/ (POST) and /collect at +1692…+1712 ms. Both do not know Google's consent mode and operate independently; the GTM container meanwhile loads at +668 ms — before the in-house CMP. That is, on the site of the very maker of the consent mechanism the Facebook and LinkedIn advertising pixels transfer data around that mechanism.
2) The privacy policy (Objectis, UAB) names recipients: Google, Meta, Stripe, Customerly. However, the LinkedIn Ads pixel (snap.licdn.com, px.ads.linkedin.com), which actively sends events in the capture (wa/, collect), is not named in the policy by name. Facebook is disclosed as Meta, Customerly and Google are named, but LinkedIn is not.
Full technical documentation is published at: https://gdpru.eu/audits/global-cookie-script-com/
3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — the Facebook and LinkedIn advertising pixels send events around the in-house consent mechanism; GDPR Art. 13(1)(e) — LinkedIn not disclosed
4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.
5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.
Sincerely,
[Your name]
[contact email]
[Country]
[Date]
