Национальное информационное агентство Румынии — 97 запросов, десять узлов, 22 запроса уходят наружу к пяти внешним получателям. Механизма согласия на сайте нет вовсе: ни одного сценария управления согласием в записи, а собственная политика cookie предлагает отказываться через настройки браузера. Google Analytics, счётчик Histats и маяк Cloudflare стартуют в одной волне с ресурсами страницы; GA4 передаёт идентификатор клиента, разрешение экрана и глубину прокрутки. Из внешних получателей документы называют одну только Google Analytics.
Хронология обращений
Декларация против факта
Тайминги передачи
Сценарий стороннего виджета. Адрес IP и referer уходят на сервер в третьей стране.
Десять миниатюр роликов. Адрес IP и referer передаются Google.
gtag/js для потока GA4 G-0V9Q2MGQ21.
beacon.min.js — аналитический маяк Cloudflare.
js15_as.js, ответ 304 — файл из кэша предыдущего открытия.
page_view: идентификатор клиента, разрешение экрана, клиентские подсказки браузера, адрес и заголовок страницы.
Идентификатор площадки, заголовок и полный адрес страницы, ширина экрана, язык.
POST 887 байт — измерения Cloudflare через первую сторону.
scroll: глубина прокрутки 90%, время вовлечённости.
Зафиксированные трекеры
- Google Analytics 4 (G-0V9Q2MGQ21) через www.googletagmanager.com и region1.analytics.google.com
- Histats (s10.histats.com, s4.histats.com) — внешний счётчик посещаемости, идентификатор площадки 4915706
- Cloudflare Insights (static.cloudflareinsights.com + маяк на собственном пути /cdn-cgi/rum)
- YouTube / i.ytimg.com — 10 обращений за миниатюрами роликов
- Виджет агентства Moldpres (www.moldpres.md) — сторонний сценарий на главной странице
Признаки несоответствия GDPR
- ePrivacy — Legea 506/2004, art. 4 alin. (5) (в связке с GDPR Art. 6(1)(a))Механизма согласия на сайте не обнаружено: за все 97 запросов в записи нет ни одного обращения к платформе управления согласием, ни одного сценария с признаками баннера. Google Analytics, маяк Cloudflare и счётчик Histats запрашиваются на +288…+422 мс, в одной волне с собственными ресурсами страницы; первое обращение GA4 с идентификатором клиента уходит на +638 мс. Собственная политика cookie сайта предлагает единственный способ отказа — настройки браузера, то есть описывает работу без механизма согласия. При этом та же политика заявляет, что сайт использует tracking cookie для содержания и «дифференцированной рекламы».
- GDPR Art. 13(1)(e) — раскрытие получателейПолитика cookie называет из внешних получателей только Google Analytics. В замере данные уходят также к Histats (внешний счётчик, получает заголовок и полный адрес страницы, ширину экрана и язык браузера), к Cloudflare (аналитический маяк beacon.min.js и обращение к /cdn-cgi/rum с телом в 887 байт), к Google через i.ytimg.com (10 обращений за миниатюрами роликов) и к агентству Moldpres (сторонний сценарий виджета плюс изображения). Ни один из них в документах сайта не назван.
- GDPR Art. 5(1)(a) — прозрачностьПолитика cookie утверждает, что анализируемые показатели анонимизированы и что поведение определяется «fără a identifica vizitatorii la nivel de persoană»; нота о защите данных отдельно обязуется не передавать третьим лицам базы с персональными данными, а раздел об автоматически собираемых данных описывает только адрес IP, строку браузера и referer с хранением 30 суток в журналах сервера. Фактически GA4 получает идентификатор клиента, разрешение экрана 1920x1080, платформу Windows, архитектуру x86/64, перечень версий браузера, язык интерфейса, адрес и заголовок страницы, а вторым событием — глубину прокрутки 90% и время вовлечённости. Об идентификаторах и параметрах устройства в документах сайта нет ничего.
- GDPR Art. 13(1)(f) — сведения о передаче в третью странуВиджет на главной странице подгружается сценарием с www.moldpres.md — сервера в Республике Молдова, для которой решения Европейской комиссии об адекватном уровне защиты не принято. Запрос уходит напрямую из браузера посетителя и несёт адрес IP и заголовок referer со значением https://agerpres.ro/. Ни факт передачи, ни её правовой механизм ни в одном документе сайта не описаны.
Контекст
agerpres.ro — сайт Национального информационного агентства Румынии (Agenția Națională de Presă AGERPRES), автономного публичного учреждения, подотчётного парламенту. Публикует новостную ленту, фотослужбу, англоязычную версию и материалы партнёрских агентств. Ответственный за обработку указан в самих документах: AGERPRES, Бухарест, Piața Presei Libere 1, контакт по вопросам защиты данных — gdpr@agerpres.ro. Инфраструктура фронта — за Cloudflare.
Замер: 97 запросов, десять узлов. Семьдесят пять запросов — к собственным доменам agerpres.ro и foto.agerpres.ro, двадцать два уходят наружу к пяти внешним получателям. Продолжительность записи — 7,03 секунды, полная загрузка страницы завершилась на 1065 мс. Снят 7 июля 2026 года на главной странице.
Кому уходят данные напрямую
Google (Analytics, Tag Manager, YouTube), Histats, Cloudflare, Moldpres.
Заявленное против фактического
Раскрытие построено на одном названном сервисе. Политика cookie прямо говорит: для анализа трафика используются инструменты Google Analytics, которые сохраняют сведения о посещённых страницах, длительности визита и способе доступа. Там же общей фразой признаётся, что применяются и собственные, и сторонние cookie, и что на сайтах агентства есть «tracking cookie», помогающие подбирать содержание и «дифференцированную рекламу». Больше ни один получатель не назван.
Замер даёт три расхождения.
Первое — состав получателей. Кроме Google Analytics, на странице работают ещё четыре внешних адресата. Histats — внешний счётчик посещаемости: сценарий с s10.histats.com, обращение с данными на s4.histats.com/stats/0.php, в параметрах идентификатор площадки 4915706, заголовок страницы, её полный адрес, ширина экрана 1920 и язык браузера. Оператор Histats публично не идентифицирован: регистрационные данные домена закрыты службой приватности. Cloudflare даёт аналитический маяк beacon.min.js и последующую отправку измерений на собственный путь сайта /cdn-cgi/rum телом в 887 байт — размещение через первую сторону, при котором внешнего домена в адресной строке не видно. Десять обращений к i.ytimg.com за миниатюрами роликов передают Google адрес IP и referer. Виджет агентства Moldpres подгружается сценарием со стороннего сервера, за ним следуют логотип и три миниатюры новостей. Ни один из этих четырёх в документах сайта не упомянут.
Второе — характер передаваемых данных против заявленной анонимности. Политика утверждает, что анализируемые показатели анонимизированы и что поведение посетителей определяется без идентификации на уровне лица. Первое обращение GA4 содержит идентификатор клиента, разрешение экрана 1920x1080, платформу Windows, разрядность и архитектуру системы, полный перечень версий браузера, язык интерфейса, признаки первого сеанса, адрес страницы и её заголовок. Второе обращение — событие прокрутки с глубиной 90% и временем вовлечённости 1378 мс. Разрешение экрана и набор клиентских подсказок браузера — параметры формирования цифрового отпечатка, а прокрутка и вовлечённость — измерение поведения, а не подсчёт посещений. Отдельно нота о защите данных описывает автоматически собираемые данные как адрес IP, строку браузера и referer с хранением 30 суток в журналах сервера — об идентификаторах аналитики и параметрах устройства там нет ничего, а обязательство не передавать третьим лицам базы с персональными данными соседствует с фактической передачей идентификатора клиента.
Третье — передача за пределы Союза. Сценарий виджета загружается с сервера в Республике Молдова, для которой решения Европейской комиссии об адекватном уровне защиты не принято. Запрос уходит напрямую из браузера посетителя и несёт адрес IP и заголовок referer со значением https://agerpres.ro/. Ни самой передачи, ни её правового механизма документы сайта не описывают.
Технически: собственного заголовка Content-Security-Policy у сайта нет — присутствует только content-security-policy-report-only от службы мониторинга сценариев Cloudflare, которая ничего не блокирует, а лишь отправляет отчёты. Рекламных сетей в замере не зафиксировано, хотя политика заявляет использование tracking cookie для дифференцированной рекламы.
Согласие: что доказано и что нет
Доказано: механизма согласия в записи нет. За все 97 запросов не встречается ни одного обращения к платформе управления согласием и ни одного сценария с соответствующими признаками — ни собственного, ни внешнего. Проверялись имена всех известных платформ и общие признаки в адресах запросов, совпадений ноль.
Доказано: загрузка внешних сценариев от выбора пользователя не зависит. Виджет Moldpres и миниатюры роликов запрашиваются на +285 мс, счётчик Google и маяк Cloudflare — на +288 мс, Histats — на +422 мс, то есть в одной волне с собственными ресурсами страницы, разобранными браузером из разметки документа. Первое обращение GA4 с идентификатором клиента уходит на +638 мс. Это утверждение проверяется по порядку запросов и не зависит от того, отображалось ли на странице какое-либо уведомление: даже если бы оно было, ни один сценарий его не дожидается.
Доказано: идентификатор записан при первом открытии сайта. Идентификатор клиента GA передан в Google в теле запроса, значит, он существует и записан на устройстве. По временной метке в его составе он создан в 19:39:09 UTC — за 30 секунд до начала записи. Условный заголовок главного документа показывает, что предыдущее открытие страницы состоялось в 19:39:06 UTC, то есть идентификатор появился через три секунды после первого контакта с сайтом.
Косвенно подтверждается собственным документом. Политика cookie сайта описывает единственный способ отказа от cookie — настройки браузера, с отсылкой к меню «Опции», «Инструменты» и «Настройки». Так пишут сайты, не эксплуатирующие механизм согласия; описания баннера, отзыва выбора или настройки категорий в документе нет.
Не доказано и не требуется: отсутствие уведомления в разметке страницы. Тела ответов из опубликованного файла удалены, поэтому наличие или отсутствие текстовой плашки в HTML по нему не проверяется. Тезис разбора построен не на этом, а на том, что загрузка внешних сценариев ни от какой плашки не зависит.
Отдельно: браузер при съёмке отправлял заголовок DNT: 1. На состав и объём передач это не повлияло.
Границы наблюдения
Замер охватывает одну страницу — главную. Наблюдение фиксирует поведение браузера, не внутреннюю кухню сервисов: обработка на стороне сервера, договорные отношения с получателями и настройки самих сервисов на стороне их владельцев браузерным замером не проверяются. Правовую оценку выносит компетентный орган — Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal.
Файл опубликован очищенным от личных данных: удалены заголовки Cookie в запросах, тела ответов, идентификатор сеанса аналитики и тело маяка Cloudflare. Поэтому состав cookie на устройстве по HTTP-заголовкам опубликованного файла не восстанавливается ни в одну сторону, и ни один вывод разбора на них не опирается. Факт записи идентификатора аналитики держится на другом и проверяется напрямую: идентификатор передан в Google в теле запроса, видимом в файле.
Идентификация сервисов опирается на домены, схему адресов и заголовки ответов: Google — по googletagmanager.com, analytics.google.com и ytimg.com, Histats — по histats.com и схеме stats/0.php с идентификатором площадки, Cloudflare — по cloudflareinsights.com, заголовкам cf-ray и служебному пути /cdn-cgi/rum, Moldpres — по moldpres.md. Отсутствие адекватности для Молдовы сверено по действующему перечню решений Европейской комиссии.
Обращения к i.ytimg.com — загрузка изображений; идентификаторов посетителя в них не наблюдалось, передаются адрес IP и referer. Это менее весомо, чем работа счётчиков, и в разборе учитывается именно как нераскрытый получатель, а не как отдельное отслеживание.
Вывод
Национальное информационное агентство Румынии работает без механизма согласия: в записи нет ни одной платформы управления согласием, а собственная политика cookie предлагает посетителю единственный путь — переключать настройки браузера. При этом загрузка внешних сценариев вшита в разметку страницы, и все передачи начинаются в первые полсекунды сеанса. Из пяти внешних получателей документы называют одну только Google Analytics: счётчик Histats с закрытыми регистрационными данными оператора, аналитический маяк Cloudflare, обращения к серверам Google за миниатюрами роликов и сторонний виджет с сервера в Молдове не раскрыты нигде. Заявленная анонимность измерений расходится с фактом: в Google уходит идентификатор клиента, разрешение экрана, полный набор клиентских подсказок браузера, а вторым событием — глубина прокрутки и время вовлечённости.
Для государственного информационного агентства такое сочетание — отсутствующий механизм согласия, нераскрытые получатели и нераскрытая передача в третью страну — образует нарушение как правил о согласии, так и требований к прозрачности. Устранение: ввести механизм согласия, который действительно управляет загрузкой необязательных сценариев, а не описывается ссылкой на настройки браузера; перечислить всех получателей поимённо с указанием передаваемых полей; привести описание аудиторного измерения в соответствие с реально передаваемыми параметрами; и либо раскрыть правовой механизм передачи данных в Молдову, либо перенести виджет на собственную инфраструктуру.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
c514a5b9d1da76680d840de783998c8d12c74735ec423c6b492dd69cb6d7ed45Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — agerpres.ro Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта agerpres.ro. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) Механизма согласия на сайте не обнаружено: за все 97 запросов в записи нет ни одного обращения к платформе управления согласием, ни одного сценария с признаками баннера. Google Analytics, маяк Cloudflare и счётчик Histats запрашиваются на +288…+422 мс, в одной волне с собственными ресурсами страницы; первое обращение GA4 с идентификатором клиента уходит на +638 мс. Собственная политика cookie сайта предлагает единственный способ отказа — настройки браузера, то есть описывает работу без механизма согласия. При этом та же политика заявляет, что сайт использует tracking cookie для содержания и «дифференцированной рекламы». 2) Политика cookie называет из внешних получателей только Google Analytics. В замере данные уходят также к Histats (внешний счётчик, получает заголовок и полный адрес страницы, ширину экрана и язык браузера), к Cloudflare (аналитический маяк beacon.min.js и обращение к /cdn-cgi/rum с телом в 887 байт), к Google через i.ytimg.com (10 обращений за миниатюрами роликов) и к агентству Moldpres (сторонний сценарий виджета плюс изображения). Ни один из них в документах сайта не назван. 3) Политика cookie утверждает, что анализируемые показатели анонимизированы и что поведение определяется «fără a identifica vizitatorii la nivel de persoană»; нота о защите данных отдельно обязуется не передавать третьим лицам базы с персональными данными, а раздел об автоматически собираемых данных описывает только адрес IP, строку браузера и referer с хранением 30 суток в журналах сервера. Фактически GA4 получает идентификатор клиента, разрешение экрана 1920x1080, платформу Windows, архитектуру x86/64, перечень версий браузера, язык интерфейса, адрес и заголовок страницы, а вторым событием — глубину прокрутки 90% и время вовлечённости. Об идентификаторах и параметрах устройства в документах сайта нет ничего. 4) Виджет на главной странице подгружается сценарием с www.moldpres.md — сервера в Республике Молдова, для которой решения Европейской комиссии об адекватном уровне защиты не принято. Запрос уходит напрямую из браузера посетителя и несёт адрес IP и заголовок referer со значением https://agerpres.ro/. Ни факт передачи, ни её правовой механизм ни в одном документе сайта не описаны. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ro-agerpres-ro/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — agerpres.ro To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website agerpres.ro. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) No consent mechanism was found on the site: across all 97 requests in the capture, there is not a single request to a consent-management platform, nor a single script bearing the hallmarks of a banner. Google Analytics, the Cloudflare beacon, and the Histats counter are requested at +288…+422 ms, in the same wave as the page's own resources; the first GA4 request carrying a client identifier fires at +638 ms. The site's own cookie policy offers only one method of opting out — browser settings — meaning it describes operation with no consent mechanism at all. At the same time, that same policy states that the site uses tracking cookies for content and 'differentiated advertising.' 2) The cookie policy names only Google Analytics among external recipients. In the measurement, data also goes to Histats (an external counter, receiving the page title and full address, screen width, and browser language), to Cloudflare (the analytics beacon beacon.min.js and a request to /cdn-cgi/rum with an 887-byte body), to Google via i.ytimg.com (10 requests for video thumbnails), and to the Moldpres agency (a third-party widget script plus images). None of these is named in the site's documents. 3) The cookie policy claims that the analyzed metrics are anonymized and that behavior is determined 'fără a identifica vizitatorii la nivel de persoană'; a separate data-protection notice commits not to share databases containing personal data with third parties, and the section on automatically collected data describes only the IP address, browser string, and referer, retained for 30 days in server logs. In practice, GA4 receives a client identifier, a screen resolution of 1920x1080, the Windows platform, x86/64 architecture, a list of browser versions, interface language, and the page address and title, followed by a second event carrying a 90% scroll depth and engagement time. The site's documents say nothing about identifiers or device parameters. 4) The widget on the homepage is loaded by a script from www.moldpres.md — a server in the Republic of Moldova, for which the European Commission has not adopted an adequacy decision. The request is sent directly from the visitor's browser and carries the IP address and a referer header with the value https://agerpres.ro/. Neither the fact of the transfer nor its legal mechanism is described in any of the site's documents. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ro-agerpres-ro/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: ANSPDCP — Национальный орган защиты данных Румынии — dataprotection.ro
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — agerpres.ro 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом agerpres.ro. 2. Обстоятельства Я посетил сайт agerpres.ro и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 28.07.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) Механизма согласия на сайте не обнаружено: за все 97 запросов в записи нет ни одного обращения к платформе управления согласием, ни одного сценария с признаками баннера. Google Analytics, маяк Cloudflare и счётчик Histats запрашиваются на +288…+422 мс, в одной волне с собственными ресурсами страницы; первое обращение GA4 с идентификатором клиента уходит на +638 мс. Собственная политика cookie сайта предлагает единственный способ отказа — настройки браузера, то есть описывает работу без механизма согласия. При этом та же политика заявляет, что сайт использует tracking cookie для содержания и «дифференцированной рекламы». 2) Политика cookie называет из внешних получателей только Google Analytics. В замере данные уходят также к Histats (внешний счётчик, получает заголовок и полный адрес страницы, ширину экрана и язык браузера), к Cloudflare (аналитический маяк beacon.min.js и обращение к /cdn-cgi/rum с телом в 887 байт), к Google через i.ytimg.com (10 обращений за миниатюрами роликов) и к агентству Moldpres (сторонний сценарий виджета плюс изображения). Ни один из них в документах сайта не назван. 3) Политика cookie утверждает, что анализируемые показатели анонимизированы и что поведение определяется «fără a identifica vizitatorii la nivel de persoană»; нота о защите данных отдельно обязуется не передавать третьим лицам базы с персональными данными, а раздел об автоматически собираемых данных описывает только адрес IP, строку браузера и referer с хранением 30 суток в журналах сервера. Фактически GA4 получает идентификатор клиента, разрешение экрана 1920x1080, платформу Windows, архитектуру x86/64, перечень версий браузера, язык интерфейса, адрес и заголовок страницы, а вторым событием — глубину прокрутки 90% и время вовлечённости. Об идентификаторах и параметрах устройства в документах сайта нет ничего. 4) Виджет на главной странице подгружается сценарием с www.moldpres.md — сервера в Республике Молдова, для которой решения Европейской комиссии об адекватном уровне защиты не принято. Запрос уходит напрямую из браузера посетителя и несёт адрес IP и заголовок referer со значением https://agerpres.ro/. Ни факт передачи, ни её правовой механизм ни в одном документе сайта не описаны. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ro-agerpres-ro/ 3. Положения GDPR, соблюдение которых прошу проверить ePrivacy — Legea 506/2004, art. 4 alin. (5) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 5(1)(a) — прозрачность; GDPR Art. 13(1)(f) — сведения о передаче в третью страну 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — agerpres.ro 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website agerpres.ro. 2. Circumstances I visited the website agerpres.ro and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 28 July 2026 (open methodology, reproducible measurements) documents the following indications: 1) No consent mechanism was found on the site: across all 97 requests in the capture, there is not a single request to a consent-management platform, nor a single script bearing the hallmarks of a banner. Google Analytics, the Cloudflare beacon, and the Histats counter are requested at +288…+422 ms, in the same wave as the page's own resources; the first GA4 request carrying a client identifier fires at +638 ms. The site's own cookie policy offers only one method of opting out — browser settings — meaning it describes operation with no consent mechanism at all. At the same time, that same policy states that the site uses tracking cookies for content and 'differentiated advertising.' 2) The cookie policy names only Google Analytics among external recipients. In the measurement, data also goes to Histats (an external counter, receiving the page title and full address, screen width, and browser language), to Cloudflare (the analytics beacon beacon.min.js and a request to /cdn-cgi/rum with an 887-byte body), to Google via i.ytimg.com (10 requests for video thumbnails), and to the Moldpres agency (a third-party widget script plus images). None of these is named in the site's documents. 3) The cookie policy claims that the analyzed metrics are anonymized and that behavior is determined 'fără a identifica vizitatorii la nivel de persoană'; a separate data-protection notice commits not to share databases containing personal data with third parties, and the section on automatically collected data describes only the IP address, browser string, and referer, retained for 30 days in server logs. In practice, GA4 receives a client identifier, a screen resolution of 1920x1080, the Windows platform, x86/64 architecture, a list of browser versions, interface language, and the page address and title, followed by a second event carrying a 90% scroll depth and engagement time. The site's documents say nothing about identifiers or device parameters. 4) The widget on the homepage is loaded by a script from www.moldpres.md — a server in the Republic of Moldova, for which the European Commission has not adopted an adequacy decision. The request is sent directly from the visitor's browser and carries the IP address and a referer header with the value https://agerpres.ro/. Neither the fact of the transfer nor its legal mechanism is described in any of the site's documents. Full technical documentation is published at: https://gdpru.eu/audits/ro-agerpres-ro/ 3. GDPR provisions I ask you to examine ePrivacy — Legea 506/2004, art. 4 alin. (5) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Art. 5(1)(a) — transparency; GDPR Art. 13(1)(f) — information on third-country transfer 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]