Технический аудит · 15.06.2026

finmin.lrv.lt

Министерство финансов Литвы

Министерство финансов Литвы — 28 запросов, 5 доменов. До согласия загружаются Google Fonts (IP в Google, США) и Cloudflare Web Analytics с RUM-маяком. Платформа lrv.lt применяет модель согласия, но эти сторонние обращения её обходят и в доступных материалах не названы.

Хронология обращений

+0 мс · редирект

finmin.lt перенаправляет на finmin.lrv.lt (собственный домен министерства на платформе lrv.lt).

+582 мс · Google Fonts до согласия

fonts.googleapis.com/css2 и fonts.gstatic.com — шрифт Public Sans. IP посетителя уходит в Google (США).

+584 мс · Cloudflare Analytics до согласия

static.cloudflareinsights.com/beacon.min.js — Cloudflare Web Analytics; данные RUM уходят POST-запросом на /cdn-cgi/rum.

документация неполна

Предоставлена декларация доступности; ссылка на настройки cookie ведёт на страницу 404.

Декларация против факта

✓ Платформа lrv.lt применяет модель согласия (необходимые cookie — автоматически, прочие — с согласия) — заявлен

✓ Есть Slapukų политика и Privatumo политика на платформе — заявлен

+ Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — IP в Google (США), до согласия, в доступных материалах не названы — не заявлен

+ Cloudflare Web Analytics (static.cloudflareinsights.com) — до согласия, не названа — не заявлен

+ Предоставленный документ — декларация доступности; ссылка на настройки cookie ведёт на 404 — не заявлен

Тайминги передачи

+582 мс fonts.googleapis.com

Google Fonts (Public Sans). Google, США.

+584 мс static.cloudflareinsights.com

Cloudflare Web Analytics beacon + RUM.

+651 мс fonts.gstatic.com

Файлы шрифтов Google. Google, США.

Зафиксированные трекеры

Google Fonts (fonts.googleapis.com, fonts.gstatic.com)
Cloudflare Web Analytics (static.cloudflareinsights.com)

Признаки несоответствия GDPR

GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача
До согласия загружается Google Fonts (fonts.googleapis.com/css2 и fonts.gstatic.com, шрифт Public Sans, +582 мс), передавая IP посетителя в Google (США), и Cloudflare Web Analytics (static.cloudflareinsights.com/beacon.min.js, +584 мс, с POST-маяком на /cdn-cgi/rum). Платформа lrv.lt применяет модель согласия (необходимые cookie — без согласия, прочие — с согласия), но эти сторонние обращения к «необходимым» не относятся и в доступных материалах не названы.
ePrivacy (литовская имплементация) — сторонние ресурсы до согласия
Google Fonts и Cloudflare Web Analytics срабатывают на +582–584 мс, до какого-либо выбора. Set-Cookie за весь сеанс ноль. Предоставленный документ является декларацией доступности, а ссылка на настройки cookie в нём ведёт на несуществующую страницу (ошибка 404).

Контекст

finmin.lrv.lt — сайт Министерства финансов Литовской Республики (Finansų ministerija), размещённый на общей правительственной платформе lrv.lt. Короткий домен finmin.lt перенаправляет на него. Ответственный за обработку — министерство. Предоставленный документ является декларацией доступности (Prieinamumo paraiška); отдельной политики конфиденциальности в нём нет, а ссылка на настройки cookie ведёт на страницу с ошибкой 404. Замер: 28 запросов, 5 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP через Google Fonts; Cloudflare — IP и данные RUM через маяк.

Заявленное против фактического

Правительственная платформа lrv.lt, на которой размещён сайт министерства, применяет модель согласия: необходимые cookie устанавливаются автоматически без согласия, а прочие — при согласии пользователя; на платформе есть отдельные политика cookie и политика конфиденциальности. Предоставленный же в рамках аудита документ — декларация доступности, и переход по ссылке на настройки cookie в нём приводит на несуществующую страницу.

Замер показывает, что до согласия срабатывают два сторонних сервиса, к «необходимым» не относящиеся. На +582 мс загружается Google Fonts (шрифт Public Sans с fonts.googleapis.com и fonts.gstatic.com), передавая IP-адрес посетителя в Google (США). На +584 мс загружается Cloudflare Web Analytics (static.cloudflareinsights.com/beacon.min.js), а данные Real User Monitoring уходят POST-запросом на /cdn-cgi/rum. Состояние сеанса при этом — без согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан. Оба сервиса представляют собой передачу данных внешним получателям (Google и Cloudflare) до согласия и в доступных материалах не названы.

Тайминг относительно согласия

Google Fonts и Cloudflare Web Analytics загружаются на +582–584 мс, в начале сеанса, до какого-либо выбора. Согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Google и Cloudflare могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США). Cloudflare Web Analytics работает без cookie; предметом расхождения являются передача IP и данных RUM внешнему получателю до согласия и нераскрытие сервисов. Отдельная политика cookie платформы lrv.lt может содержать перечень сервисов; в предоставленной декларации доступности этих сведений нет, а ссылка на настройки cookie ведёт на ошибку. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт Министерства финансов Литвы до согласия передаёт IP посетителя в Google (через Google Fonts) и в Cloudflare (через Web Analytics с RUM-маяком). Платформа lrv.lt декларирует модель согласия, но эти сторонние обращения её обходят, а в предоставленных материалах не раскрыты; вдобавок ссылка на настройки cookie ведёт на несуществующую страницу. Передача IP внешним получателям в США до согласия и нераскрытие сервисов указывают на несоблюдение требований о согласии, о раскрытии получателей и о трансграничной передаче. Устранение: разместить шрифты локально на собственном домене, отказаться от внешней веб-аналитики Cloudflare до согласия или заменить её на решение в контуре платформы, восстановить рабочую ссылку на настройки cookie и раскрыть используемые сервисы в политике.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: lt/finmin-lrv-lt-2026-06-15.har

SHA-256: fc44c5c58c5edd448f0998be505176dd5483cd1ad87f5e29503f10860b37d144

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — finmin.lrv.lt

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта finmin.lrv.lt.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) До согласия загружается Google Fonts (fonts.googleapis.com/css2 и fonts.gstatic.com, шрифт Public Sans, +582 мс), передавая IP посетителя в Google (США), и Cloudflare Web Analytics (static.cloudflareinsights.com/beacon.min.js, +584 мс, с POST-маяком на /cdn-cgi/rum). Платформа lrv.lt применяет модель согласия (необходимые cookie — без согласия, прочие — с согласия), но эти сторонние обращения к «необходимым» не относятся и в доступных материалах не названы.

2) Google Fonts и Cloudflare Web Analytics срабатывают на +582–584 мс, до какого-либо выбора. Set-Cookie за весь сеанс ноль. Предоставленный документ является декларацией доступности, а ссылка на настройки cookie в нём ведёт на несуществующую страницу (ошибка 404).


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/lt-finmin-lrv-lt/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — finmin.lrv.lt

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website finmin.lrv.lt.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) Before consent, Google Fonts loads (fonts.googleapis.com/css2 and fonts.gstatic.com, the Public Sans font, +582 ms), transmitting the visitor's IP to Google (US), and Cloudflare Web Analytics (static.cloudflareinsights.com/beacon.min.js, +584 ms, with a POST beacon to /cdn-cgi/rum). The lrv.lt platform applies a consent model (necessary cookies — without consent, others — with consent), but these third-party requests do not fall under 'necessary' and are not named in the available materials.

2) Google Fonts and Cloudflare Web Analytics fire at +582–584 ms, before any choice. Zero Set-Cookie headers for the entire session. The provided document is an accessibility statement, and the link to cookie settings within it leads to a non-existent page (404 error).

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/lt-finmin-lrv-lt/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: ADA — Государственная инспекция защиты данных Литвы — ada.lt

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — finmin.lrv.lt

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом finmin.lrv.lt.

2. Обстоятельства
Я посетил сайт finmin.lrv.lt и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) До согласия загружается Google Fonts (fonts.googleapis.com/css2 и fonts.gstatic.com, шрифт Public Sans, +582 мс), передавая IP посетителя в Google (США), и Cloudflare Web Analytics (static.cloudflareinsights.com/beacon.min.js, +584 мс, с POST-маяком на /cdn-cgi/rum). Платформа lrv.lt применяет модель согласия (необходимые cookie — без согласия, прочие — с согласия), но эти сторонние обращения к «необходимым» не относятся и в доступных материалах не названы.

2) Google Fonts и Cloudflare Web Analytics срабатывают на +582–584 мс, до какого-либо выбора. Set-Cookie за весь сеанс ноль. Предоставленный документ является декларацией доступности, а ссылка на настройки cookie в нём ведёт на несуществующую страницу (ошибка 404).

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/lt-finmin-lrv-lt/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача; ePrivacy (литовская имплементация) — сторонние ресурсы до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — finmin.lrv.lt

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website finmin.lrv.lt.

2. Circumstances
I visited the website finmin.lrv.lt and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) Before consent, Google Fonts loads (fonts.googleapis.com/css2 and fonts.gstatic.com, the Public Sans font, +582 ms), transmitting the visitor's IP to Google (US), and Cloudflare Web Analytics (static.cloudflareinsights.com/beacon.min.js, +584 ms, with a POST beacon to /cdn-cgi/rum). The lrv.lt platform applies a consent model (necessary cookies — without consent, others — with consent), but these third-party requests do not fall under 'necessary' and are not named in the available materials.

2) Google Fonts and Cloudflare Web Analytics fire at +582–584 ms, before any choice. Zero Set-Cookie headers for the entire session. The provided document is an accessibility statement, and the link to cookie settings within it leads to a non-existent page (404 error).

Full technical documentation is published at: https://gdpru.eu/audits/lt-finmin-lrv-lt/

3. GDPR provisions I ask you to examine
GDPR Art. 13(1)(e) + Chapter V — disclosure of recipients and transfer; ePrivacy (Lithuanian implementation) — third-party resources before consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]