Технический аудит · 2026-06-15

kam.lt

Министерство национальной обороны Литвы

Министерство национальной обороны Литвы — 98 запросов, 11 доменов. Google Analytics отправляет page_view до согласия, хотя политика относит его к статистике, выбираемой с согласия. Дополнительно до согласия работают Google reCAPTCHA, сервис рассылки MailerLite и шрифты Google — ни один из них в политике не назван. Consent-менеджер не обнаружен.

Хронология утечки

+0 мс · загрузка портала

Контент и ресурсы с kam.lt.

+3343 мс · Google Tag Manager

www.googletagmanager.com/gtag/js?id=G-WS22QPYJJT — контейнер тегов и GA4.

+3352 мс · reCAPTCHA и MailerLite

www.google.com/recaptcha/api.js и groot.mailerlite.com/js/w/webforms.min.js — reCAPTCHA и встроенная форма рассылки MailerLite (аккаунт 799047).

+4182 мс · GA4 page_view до согласия

region1.google-analytics.com/g/collect — событие page_view «Krašto apsaugos ministerija» с URL и идентификатором клиента (cid) уходит в Google (США).

+4874–5020 мс · шрифты

fonts.gstatic.com и fonts.mailerlite.com — шрифты Open Sans. IP уходит в Google и MailerLite.

Декларация против факта

✓ Google Analytics — заявлен как статистический cookie, данные передаются на основании выбора пользователя — заявлен

✓ Cookie-политика подробно описывает типы cookie — заявлен

+ GA4 срабатывает до согласия, вопреки заявленному выбору статистических cookie — не заявлен

+ MailerLite (аккаунт 799047) — форма рассылки, до согласия, в политике не названа — не заявлен

+ Google reCAPTCHA — до согласия, в политике не названа — не заявлен

+ Google Fonts (fonts.gstatic.com) — до согласия, не названы — не заявлен

Тайминги передачи

+3343 мс www.googletagmanager.com

GTM + GA4 G-WS22QPYJJT. Google, США.

+3352 мс www.google.com

reCAPTCHA api.js. Google, США. В политике не назван.

+3353 мс groot.mailerlite.com

MailerLite форма рассылки, аккаунт 799047. В политике не назван.

+4182 мс region1.google-analytics.com

GA4 page_view. Заявлен как статистика по согласию.

Зафиксированные трекеры

Google Analytics 4 (G-WS22QPYJJT) + GTM
Google reCAPTCHA (www.google.com, www.gstatic.com)
MailerLite (assets.mailerlite.com, аккаунт 799047) — email-маркетинг
Google Fonts (fonts.gstatic.com)

Признаки несоответствия GDPR

ePrivacy (литовская имплементация) + собственное правило политики — GA до согласия

Cookie-политика прямо относит Google Analytics к статистическим cookie, данные которым передаются на основании выбора пользователя (выбор статистических slapukų). В замере GA4 (G-WS22QPYJJT) отправляет событие page_view на region1.google-analytics.com/g/collect с заголовком «Krašto apsaugos ministerija» и URL kam.lt до согласия: Set-Cookie за весь сеанс ноль, механизм выбора не сработал. Аналитика активируется раньше согласия, которое требует сама политика.
GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача

До согласия также загружаются Google reCAPTCHA (www.google.com/recaptcha, www.gstatic.com), сервис email-маркетинга MailerLite (assets.mailerlite.com и связанные домены, аккаунт 799047, встроенная форма рассылки) и шрифты Google. IP посетителя передаётся в Google (США) и в MailerLite. Ни reCAPTCHA, ни MailerLite, ни Google Fonts в политике не названы.

Контекст

kam.lt — сайт Министерства национальной обороны Литовской Республики (Krašto apsaugos ministerija, KAM), ведомства сектора обороны и безопасности. Ответственный за обработку — KAM (asmens.duomenys@kam.lt). Предоставлена cookie-политика министерства. Замер: 98 запросов, 11 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — page_view GA4, reCAPTCHA и шрифты; MailerLite — встроенная форма рассылки.

Заявленное против фактического

Cookie-политика KAM подробно описывает типы cookie и прямо называет Google Analytics: аналитика отнесена к статистическим cookie, а передача данных третьей стороне (Google Analytics) увязана с выбором пользователем статистических cookie. Это модель, в которой аналитика активируется по согласию. Инструментов MailerLite, Google reCAPTCHA и Google Fonts политика не упоминает.

Замер показывает иное поведение. GA4 (идентификатор G-WS22QPYJJT) на +4182 мс отправляет событие page_view с заголовком «Krašto apsaugos ministerija», адресом kam.lt и идентификатором клиента (cid) на region1.google-analytics.com — то есть до согласия. Consent-менеджер в замере не обнаружен, за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан. Параллельно, начиная с +3352 мс, загружаются Google reCAPTCHA (www.google.com/recaptcha, www.gstatic.com), сервис email-маркетинга MailerLite (встроенная форма рассылки, аккаунт 799047, с доменов assets/groot/static/fonts.mailerlite.com и assets.mlcdn.com) и шрифты Open Sans. Все эти обращения передают IP посетителя в Google (США) и в MailerLite, и ни один из этих сервисов, кроме Google Analytics, в политике не назван. Таким образом заявленная модель «статистика по согласию» нарушена в отношении самого Google Analytics, а reCAPTCHA, MailerLite и шрифты Google работают до согласия и без раскрытия.

Тайминг относительно согласия

Внешние сервисы стартуют с +3343 мс, событие GA4 page_view уходит на +4182 мс. Согласие в сеансе не давалось (Set-Cookie ноль), consent-менеджер не обнаружен — все обращения происходят до какого-либо выбора пользователя.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Идентификатор клиента GA4 в публикации полностью не приводится. MailerLite обслуживает встроенную форму подписки; передача введённых данных в этом сеансе не выполнялась — фиксируется загрузка формы и связанных ресурсов до согласия. Google и MailerLite могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт Министерства национальной обороны Литвы отправляет в Google Analytics событие page_view до согласия, хотя собственная политика относит аналитику к статистическим cookie, выбираемым пользователем. Дополнительно до согласия и без раскрытия в политике работают Google reCAPTCHA, сервис рассылки MailerLite и шрифты Google, передавая IP посетителя в Google (США) и MailerLite. Consent-менеджер не обнаружен. Совокупность срабатывания аналитики до согласия вопреки заявленной модели, работы неназванных сторонних сервисов и передачи данных получателям в США составляет нарушение требований о согласии, о раскрытии получателей и о трансграничной передаче. Устранение: внедрить consent-менеджер, удерживающий GA4, reCAPTCHA, MailerLite и шрифты до согласия; привести фактическое поведение в соответствие с заявленной моделью выбора статистических cookie; разместить шрифты локально и раскрыть в политике все фактически используемые сервисы.

Готовое письмо для подачи жалобы

Куда подавать: ADA — Государственная инспекция защиты данных Литвы — ada.lt

Кому: ADA — Государственная инспекция защиты данных Литвы
От: [Ваше имя], [контактный email]

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом kam.lt.

2. Обстоятельства
Я посетил сайт kam.lt и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Cookie-политика прямо относит Google Analytics к статистическим cookie, данные которым передаются на основании выбора пользователя (выбор статистических slapukų). В замере GA4 (G-WS22QPYJJT) отправляет событие page_view на region1.google-analytics.com/g/collect с заголовком «Krašto apsaugos ministerija» и URL kam.lt до согласия: Set-Cookie за весь сеанс ноль, механизм выбора не сработал. Аналитика активируется раньше согласия, которое требует сама политика.

2) До согласия также загружаются Google reCAPTCHA (www.google.com/recaptcha, www.gstatic.com), сервис email-маркетинга MailerLite (assets.mailerlite.com и связанные домены, аккаунт 799047, встроенная форма рассылки) и шрифты Google. IP посетителя передаётся в Google (США) и в MailerLite. Ни reCAPTCHA, ни MailerLite, ни Google Fonts в политике не названы.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/lt-kam-lt/

3. Нарушенные положения
ePrivacy (литовская имплементация) + собственное правило политики — GA до согласия; GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача

4. Требование
Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256
и цитата из политики конфиденциальности сайта, документирующая
указанное противоречие — опубликована и проверяема по ссылке
в пункте 2 выше.

[Дата] [Подпись/имя]