Технический аудит · 15.06.2026

lat.lt

Верховный суд Литвы

Верховный суд Литвы — 86 запросов, 4 домена. Несмотря на наличие consent-баннера, до согласия загружается Facebook SDK, передающий IP посетителя в Meta (США), и виджет доступности UserWay, отправляющий URL страницы третьей стороне. В предоставленной политике эти сервисы не названы.

Хронология обращений

+0 мс · загрузка портала

Контент и ресурсы с lat.lt (за Cloudflare).

+432 мс · виджет доступности

cdn.userway.org/widget.js — загрузка виджета доступности UserWay (сторонний сервис).

+888 мс · Facebook SDK до согласия

connect.facebook.net/en_US/sdk.js — загрузка Facebook SDK. IP посетителя уходит в Meta (США).

+1456–7699 мс · UserWay передаёт данные

api.userway.org/api/v1/tunings (POST) и api.userway.org/api/a11y-data/.../page/https://lat.lt/ — передача конфигурации и URL страницы третьей стороне.

Декларация против факта

✓ Сайт имеет consent-баннер с категориями cookie (Būtini, Funkciniai, Statistiniai, Reklaminiai) — модель с согласия — заявлен

✓ Отдельная cookie-политика описывает сторонние cookie на примере YouTube — заявлен

✓ Предоставленная политика защиты данных Facebook, UserWay и cookie не называет — заявлен

+ Facebook SDK (connect.facebook.net) — IP в Meta (США), до согласия, в предоставленной политике не назван — не заявлен

+ UserWay (cdn.userway.org, api.userway.org) — виджет доступности, передаёт URL страницы третьей стороне (США), до согласия — не заявлен

Тайминги передачи

+432 мс cdn.userway.org

UserWay виджет доступности. Сторонний сервис.

+888 мс connect.facebook.net

Facebook SDK. Meta, США.

+7699 мс api.userway.org

Передача URL страницы (a11y-data). UserWay, США.

Зафиксированные трекеры

Facebook SDK (connect.facebook.net) — Meta
UserWay (cdn.userway.org, api.userway.org) — виджет доступности

Признаки несоответствия GDPR

ePrivacy (литовская имплементация) — трекеры до согласия вопреки модели баннера
Сайт использует consent-баннер с категориями cookie (Būtini, Funkciniai, Statistiniai, Reklaminiai) и кнопкой сохранения выбора — то есть модель «с согласия». Тем не менее до согласия загружается Facebook SDK (connect.facebook.net/en_US/sdk.js, +888 мс), передающий IP посетителя в Meta (США), и виджет доступности UserWay, который на +7699 мс отправляет URL страницы на api.userway.org/api/a11y-data. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.
GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача
IP посетителя передаётся в Meta (США) через Facebook SDK, а URL посещаемой страницы — в UserWay, оба до согласия. В предоставленной политике защиты данных ни Facebook/Meta, ни UserWay, ни cookie не названы; отдельная cookie-политика описывает сторонние cookie лишь на примере YouTube.

Контекст

lat.lt — сайт Верховного суда Литвы (Lietuvos Aukščiausiasis Teismas, LAT), высшей судебной инстанции страны по гражданским и уголовным делам. Ответственный за обработку — суд (платформа судов Литвы, info@teismai.lt). Предоставлена политика защиты данных судов; отдельно на сайте действует cookie-баннер с категориями и cookie-политика (Slapukų politika). Замер: 86 запросов, 4 домена, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Meta (США) — IP через Facebook SDK; UserWay (США) — URL посещаемой страницы.

Заявленное против фактического

Сайт Верховного суда использует модель согласия: посетителю показывается баннер с категориями cookie — необходимые (Būtini), функциональные (Funkciniai), статистические (Statistiniai) и рекламные (Reklaminiai), — которые активируются после сохранения выбора. Отдельная cookie-политика описывает сторонние cookie на примере YouTube. Предоставленная политика защиты данных посвящена обработке персональных данных и прав субъектов; ни Facebook/Meta, ни UserWay, ни cookie в ней не названы.

Замер показывает срабатывание сторонних сервисов до согласия. На +888 мс загружается Facebook SDK (connect.facebook.net/en_US/sdk.js), что передаёт IP-адрес посетителя в Meta (США). На +432 мс загружается виджет доступности UserWay, который затем — на +1456 и +7699 мс — отправляет на api.userway.org конфигурацию и URL посещаемой страницы. Состояние сеанса при этом — без согласия: consent-баннер присутствует, но выбор не сделан, и за весь сеанс не выставлено ни одной cookie. Таким образом, несмотря на наличие механизма согласия, сторонний сервис Meta и виджет UserWay получают данные до какого-либо выбора пользователя, а в предоставленной политике эти сервисы не раскрыты.

Тайминг относительно согласия

Виджет UserWay загружается на +432 мс, Facebook SDK — на +888 мс, передача URL страницы в UserWay — на +7699 мс. Consent-баннер на сайте есть, но передача данных Meta и UserWay происходит до выбора пользователя (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Facebook SDK может использоваться для социальных функций; факт, фиксируемый замером, — передача IP в Meta до согласия. UserWay является инструментом доступности, и часть его функций может считаться вспомогательной; фиксируется передача URL страницы стороннему получателю до согласия. Meta и UserWay могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США). Отдельная cookie-политика сайта может содержать перечень сервисов, не совпадающий с предоставленной политикой защиты данных; наличие Facebook/UserWay в ней в рамках сверки не подтверждено. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт Верховного суда Литвы имеет consent-баннер с категориями cookie, однако до согласия загружает Facebook SDK, передающий IP посетителя в Meta (США), и виджет доступности UserWay, отправляющий URL посещаемой страницы стороннему получателю. В предоставленной политике защиты данных эти сервисы не названы. Передача данных сторонним получателям в США до согласия, при наличии на сайте механизма согласия, указывает на несоблюдение требований о предварительном согласии, о раскрытии получателей и о трансграничной передаче. Устранение: подчинить загрузку Facebook SDK и UserWay результату выбора в баннере (удерживать до согласия), при возможности заменить виджет доступности на решение без передачи URL третьей стороне и раскрыть фактически используемые сервисы в cookie-политике.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: lt/lat-lt-2026-06-15.har

SHA-256: a4109ec614a6f5fe36f877af0619aaff72b4946fa06de8628738bd39d7ffbaf0

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — lat.lt

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта lat.lt.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Сайт использует consent-баннер с категориями cookie (Būtini, Funkciniai, Statistiniai, Reklaminiai) и кнопкой сохранения выбора — то есть модель «с согласия». Тем не менее до согласия загружается Facebook SDK (connect.facebook.net/en_US/sdk.js, +888 мс), передающий IP посетителя в Meta (США), и виджет доступности UserWay, который на +7699 мс отправляет URL страницы на api.userway.org/api/a11y-data. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.

2) IP посетителя передаётся в Meta (США) через Facebook SDK, а URL посещаемой страницы — в UserWay, оба до согласия. В предоставленной политике защиты данных ни Facebook/Meta, ни UserWay, ни cookie не названы; отдельная cookie-политика описывает сторонние cookie лишь на примере YouTube.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/lt-lat-lt/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — lat.lt

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website lat.lt.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site uses a consent banner with cookie categories (Būtini, Funkciniai, Statistiniai, Reklaminiai) and a save-choice button — that is, a consent-based model. Nonetheless, before consent, the Facebook SDK loads (connect.facebook.net/en_US/sdk.js, +888 ms), transmitting the visitor's IP to Meta (US), and the UserWay accessibility widget, which at +7699 ms sends the page URL to api.userway.org/api/a11y-data. Zero Set-Cookie headers for the entire session, and no user choice was made.

2) The visitor's IP is transmitted to Meta (US) via the Facebook SDK, and the URL of the page being visited to UserWay, both before consent. Neither Facebook/Meta, UserWay, nor cookies are named in the provided data protection policy; a separate cookie policy describes third-party cookies only using YouTube as an example.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/lt-lat-lt/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: ADA — Государственная инспекция защиты данных Литвы — ada.lt

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — lat.lt

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом lat.lt.

2. Обстоятельства
Я посетил сайт lat.lt и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Сайт использует consent-баннер с категориями cookie (Būtini, Funkciniai, Statistiniai, Reklaminiai) и кнопкой сохранения выбора — то есть модель «с согласия». Тем не менее до согласия загружается Facebook SDK (connect.facebook.net/en_US/sdk.js, +888 мс), передающий IP посетителя в Meta (США), и виджет доступности UserWay, который на +7699 мс отправляет URL страницы на api.userway.org/api/a11y-data. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.

2) IP посетителя передаётся в Meta (США) через Facebook SDK, а URL посещаемой страницы — в UserWay, оба до согласия. В предоставленной политике защиты данных ни Facebook/Meta, ни UserWay, ни cookie не названы; отдельная cookie-политика описывает сторонние cookie лишь на примере YouTube.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/lt-lat-lt/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy (литовская имплементация) — трекеры до согласия вопреки модели баннера; GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — lat.lt

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website lat.lt.

2. Circumstances
I visited the website lat.lt and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site uses a consent banner with cookie categories (Būtini, Funkciniai, Statistiniai, Reklaminiai) and a save-choice button — that is, a consent-based model. Nonetheless, before consent, the Facebook SDK loads (connect.facebook.net/en_US/sdk.js, +888 ms), transmitting the visitor's IP to Meta (US), and the UserWay accessibility widget, which at +7699 ms sends the page URL to api.userway.org/api/a11y-data. Zero Set-Cookie headers for the entire session, and no user choice was made.

2) The visitor's IP is transmitted to Meta (US) via the Facebook SDK, and the URL of the page being visited to UserWay, both before consent. Neither Facebook/Meta, UserWay, nor cookies are named in the provided data protection policy; a separate cookie policy describes third-party cookies only using YouTube as an example.

Full technical documentation is published at: https://gdpru.eu/audits/lt-lat-lt/

3. GDPR provisions I ask you to examine
ePrivacy (Lithuanian implementation) — trackers before consent, contrary to the banner model; GDPR Art. 13(1)(e) + Chapter V — disclosure of recipients and transfer

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]