Технический аудит · 15.06.2026

pagd.lt

Департамент противопожарной защиты и спасения Литвы

Департамент противопожарной защиты и спасения Литвы — 21 запрос, 4 домена. До согласия и без consent-менеджера загружается Google Analytics (устаревшая Universal Analytics) через GTM, передавая IP посетителя в Google (США). Шаблон сайта раздаётся с платформы iv.lt. Cookie-политика не обнаружена.

Хронология обращений

+0 мс · загрузка портала

Разметка с pagd.lt; основной шаблон, стили и изображения — с платформы assets.iv.lt (Литва).

+3089 мс · платформа/CMS

assets.iv.lt — header.html, footer.html, default.css, логотипы и изображения. Функциональный хост шаблона, не трекер.

+3312 мс · Google Tag Manager

www.googletagmanager.com/gtag/js?id=UA-153788024-1 — контейнер с устаревшим идентификатором Universal Analytics.

+3599 мс · Google Analytics до согласия

www.google-analytics.com/analytics.js — загрузка скрипта Universal Analytics. IP посетителя уходит в Google (США).

Декларация против факта

✓ Политика конфиденциальности в комплекте не предоставлена — заявлен

✓ Отдельная cookie-политика pagd.lt не обнаружена — заявлен

+ Google Analytics (UA-153788024-1) + GTM — до согласия, IP в Google (США) — не заявлен

+ assets.iv.lt — платформа/CMS, хостит шаблон сайта (Литва/ЕС; наблюдение) — не заявлен

+ Consent-менеджер отсутствует — не заявлен

Тайминги передачи

+3089 мс assets.iv.lt

Шаблон, стили, изображения. Функциональный хост, не трекер.

+3312 мс www.googletagmanager.com

GTM с UA-153788024-1. Google, США.

+3599 мс www.google-analytics.com

Universal Analytics analytics.js. Google, США.

Зафиксированные трекеры

Google Analytics (Universal Analytics UA-153788024-1) + GTM
assets.iv.lt — платформа/CMS (шаблон сайта)

Признаки несоответствия GDPR

ePrivacy (литовская имплементация) + GDPR Chapter V — согласие и передача
До согласия загружается Google Tag Manager (gtag с идентификатором UA-153788024-1, +3312 мс) и скрипт Google Analytics (www.google-analytics.com/analytics.js, +3599 мс), что передаёт IP посетителя в Google (США). Consent-менеджер на сайте не обнаружен, Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Используется устаревшая версия Universal Analytics, прекращённая Google в 2023 году, но её скрипт по-прежнему загружается и обращается к серверам Google.
GDPR Art. 13(1)(e) — раскрытие получателей
Политика конфиденциальности в комплекте не предоставлена, отдельная cookie-политика pagd.lt не обнаружена. При наличии передачи данных в Google обязанность информировать посетителя о получателе и цели в доступных материалах не подтверждается.

Контекст

pagd.lt — сайт Департамента противопожарной защиты и спасения Литвы (Priešgaisrinės apsaugos ir gelbėjimo departamentas, PAGD), органа, отвечающего за пожарную безопасность, спасательные операции и оповещение населения в чрезвычайных ситуациях. Ответственный за обработку — PAGD. Политика конфиденциальности в комплекте не предоставлена; отдельная cookie-политика pagd.lt по результатам проверки не обнаружена. Замер: 21 запрос, 4 домена, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP через Google Analytics (Universal Analytics).

Заявленное против фактического

Сверка с политикой в данном случае ограничена: политика конфиденциальности в комплекте отсутствует, а отдельной cookie-политики на сайте обнаружить не удалось. Поэтому оценка проводится по замеру.

Замер показывает, что сайт построен на сторонней платформе: основной шаблон, стили, логотипы и изображения раздаются с assets.iv.lt (инфраструктура в Литве). Это функциональный хост шаблона, а не средство отслеживания, и получатель находится в ЕС. Собственно трекингом является Google Analytics: на +3312 мс загружается Google Tag Manager с идентификатором UA-153788024-1, а на +3599 мс — скрипт analytics.js с www.google-analytics.com. Обращение передаёт IP-адрес посетителя в Google (США). Примечательно, что идентификатор относится к Universal Analytics — версии, прекращённой Google в 2023 году; тег остаётся на странице, и его скрипт по-прежнему загружается, хотя штатный сбор данных этой версии уже не ведётся. Consent-менеджер на сайте не обнаружен, за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан — загрузка происходит до согласия.

Тайминг относительно согласия

Google Tag Manager и Google Analytics загружаются на +3312–3599 мс. Механизм согласия отсутствует; передача IP в Google происходит до и вне какого-либо выбора пользователя (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Отсутствие обнаруженной cookie-политики зафиксировано по результату проверки; если политика размещена по нестандартному адресу, это следует уточнить. Universal Analytics в 2026 году штатно данные не собирает, однако его скрипт загружается и обращается к серверам Google, что и фиксируется. Платформа iv.lt отнесена к функциональному хостингу шаблона с получателем в ЕС. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт Департамента противопожарной защиты и спасения до согласия и без consent-менеджера загружает Google Analytics через GTM, передавая IP посетителя в Google (США); при этом используется устаревшая версия Universal Analytics, что указывает на заброшенность настройки отслеживания. Шаблон сайта раздаётся со сторонней платформы iv.lt, находящейся в ЕС (функциональный хостинг). Cookie-политику обнаружить не удалось. Передача IP в Google до согласия и отсутствие раскрытия получателя указывают на несоблюдение требований о согласии, о трансграничной передаче и об информировании. Устранение: удалить устаревший тег Universal Analytics или заменить его на решение, работающее после согласия; внедрить consent-менеджер, удерживающий аналитику до выбора; опубликовать cookie-политику с перечнем получателей данных.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: lt/pagd-lt-2026-06-15.har

SHA-256: 727bb85e675d6bc8dd762d7a3870540450f6c317295ca1f3e6c5f792844b45af

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — pagd.lt

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта pagd.lt.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) До согласия загружается Google Tag Manager (gtag с идентификатором UA-153788024-1, +3312 мс) и скрипт Google Analytics (www.google-analytics.com/analytics.js, +3599 мс), что передаёт IP посетителя в Google (США). Consent-менеджер на сайте не обнаружен, Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Используется устаревшая версия Universal Analytics, прекращённая Google в 2023 году, но её скрипт по-прежнему загружается и обращается к серверам Google.

2) Политика конфиденциальности в комплекте не предоставлена, отдельная cookie-политика pagd.lt не обнаружена. При наличии передачи данных в Google обязанность информировать посетителя о получателе и цели в доступных материалах не подтверждается.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/lt-pagd-lt/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — pagd.lt

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website pagd.lt.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) Before consent, Google Tag Manager loads (gtag with identifier UA-153788024-1, +3312 ms) and the Google Analytics script (www.google-analytics.com/analytics.js, +3599 ms), transmitting the visitor's IP to Google (US). No consent manager was found on the site, zero Set-Cookie headers for the entire session, and no user choice was made. A legacy version of Universal Analytics, discontinued by Google in 2023, is in use, but its script still loads and contacts Google's servers.

2) A privacy policy was not provided as part of the package, and a separate pagd.lt cookie policy was not found. Given the transfer of data to Google, the obligation to inform the visitor of the recipient and purpose is not confirmed in the available materials.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/lt-pagd-lt/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: ADA — Государственная инспекция защиты данных Литвы — ada.lt

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — pagd.lt

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом pagd.lt.

2. Обстоятельства
Я посетил сайт pagd.lt и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) До согласия загружается Google Tag Manager (gtag с идентификатором UA-153788024-1, +3312 мс) и скрипт Google Analytics (www.google-analytics.com/analytics.js, +3599 мс), что передаёт IP посетителя в Google (США). Consent-менеджер на сайте не обнаружен, Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Используется устаревшая версия Universal Analytics, прекращённая Google в 2023 году, но её скрипт по-прежнему загружается и обращается к серверам Google.

2) Политика конфиденциальности в комплекте не предоставлена, отдельная cookie-политика pagd.lt не обнаружена. При наличии передачи данных в Google обязанность информировать посетителя о получателе и цели в доступных материалах не подтверждается.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/lt-pagd-lt/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy (литовская имплементация) + GDPR Chapter V — согласие и передача; GDPR Art. 13(1)(e) — раскрытие получателей

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — pagd.lt

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website pagd.lt.

2. Circumstances
I visited the website pagd.lt and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) Before consent, Google Tag Manager loads (gtag with identifier UA-153788024-1, +3312 ms) and the Google Analytics script (www.google-analytics.com/analytics.js, +3599 ms), transmitting the visitor's IP to Google (US). No consent manager was found on the site, zero Set-Cookie headers for the entire session, and no user choice was made. A legacy version of Universal Analytics, discontinued by Google in 2023, is in use, but its script still loads and contacts Google's servers.

2) A privacy policy was not provided as part of the package, and a separate pagd.lt cookie policy was not found. Given the transfer of data to Google, the obligation to inform the visitor of the recipient and purpose is not confirmed in the available materials.

Full technical documentation is published at: https://gdpru.eu/audits/lt-pagd-lt/

3. GDPR provisions I ask you to examine
ePrivacy (Lithuanian implementation) + GDPR Chapter V — consent and transfer; GDPR Art. 13(1)(e) — disclosure of recipients

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]