Adform A/S

Жалоба подана

29.04.2026

Решение

18.06.2026

Срок рассмотрения

50 дн.

Номер решения

2.1-1/26/891-1777-2

Статьи GDPR

12, 15, 57

Что было в жалобе

24 февраля 2026 — запрос на доступ к данным по ст. 15 GDPR направлен на privacy@adform.com. Запрос содержал все требуемые пункты: цели обработки, категории данных, получатели, сроки хранения, автоматизированные решения, международные передачи.

25 февраля — Adform ответил частично и перенаправил в свой портал «Rights to Insights».

25 февраля — портал выдал: «Мы не обнаружили нашу отслеживающую куку в вашем текущем режиме браузера».

26 марта — 30-дневный срок истёк. Направлено дополнительное письмо с конкретными идентификаторами, задокументированными в HAR-логах с домена track.adform.net: три Banner ID, зафиксированные в сетевых запросах к устройству заявителя. Со ссылкой на ст. 11(2): контролёр обязан использовать дополнительные сведения, предоставленные субъектом данных.

24 апреля — Adform ответил дословно тем же текстом, что и в первом ответе. Письмо от 26 марта, идентификаторы и аргумент по ст. 11(2) проигнорированы полностью.

Ключевое доказательство: срок хранения в 10 лет

К жалобе приложен документ — опубликованная политика конфиденциальности эстонского сайта okidoki.ee со списком партнёров (TCF-вендоров) и сроками жизни их куки. В нём чёрным по белому:

Adform A/S — Küpsisefaili kestus: 3650 (päevad) «Adform A/S — срок действия файла куки: 3650 (дней)»

3650 дней — это десять лет.

Сам Adform в ответе от 25 февраля заявил, что максимальный срок жизни куки — 13 месяцев. Расхождение в девять раз.

И это не единственная компания в том документе

Девять компаний со сроком свыше пяти лет. Двадцать одна — свыше двух.

LiveRamp и Quantcast — это отдельные дела в этом же разделе. Оба закрыты.

Заявленные нарушения

Ст. 12(3) — просрочка ответа без содержательного ответа и без запроса продления. Ст. 15 — Adform не подтвердил и не опроверг факт обработки; ответ отсылает к порталу. Ст. 11(2) — предоставленные идентификаторы проигнорированы, повторён стандартный ответ. Ст. 5(1)(e) — несоразмерный срок хранения: 10 лет против заявленных компанией 13 месяцев.

Что решил AKI

Производство прекращено 18 июня 2026. Решение № 2.1-1/26/891-1777-2.

По доступу к данным регулятор сослался на ст. 11(2): если контролёр способен доказать, что не в состоянии идентифицировать субъекта, статьи 15–20 не применяются. Вывод AKI: Adform оценил присланные Banner ID и требование ст. 11(2) не нарушил.

По сроку хранения:

«У AKI нет оснований сомневаться в объяснениях Adform, а поскольку у вас возникли вопросы к условиям приватности сайта okidoki.ee, вы можете обратиться за разъяснениями к администратору okidoki.ee. В данном случае AKI не усматривает, что вы это сделали.»

Об объёме проверки:

«Ст. 77 GDPR даёт субъекту данных право подать жалобу в надзорный орган, но это не означает, что надзорный орган обязательно должен провести тщательное производство и установить все обстоятельства.»

Что произошло дальше

Документ со списком партнёров исчез с сайта okidoki.ee.

На момент публикации этого разбора политика конфиденциальности okidoki.ee содержит другой текст: про вход через Google и идентификацию устройства «для безопасности и предотвращения мошенничества». Списка вендоров со сроками хранения в ней больше нет.

На запрос о судьбе этих сведений оператор сайта ответил, что не знает, о чём идёт речь.

Причину исчезновения мы не устанавливаем и не утверждаем. Обновления платформ управления согласием происходят регулярно, и совпадение по времени само по себе ничего не доказывает.

Мы фиксируем последовательность:

1. Документ был опубликован и задокументирован.
2. Он был приложен к жалобе — то есть находится в материалах дела у надзорного органа.
3. Регулятор отказался проверять расхождение, сославшись на отсутствие оснований сомневаться в компании, и предложил обратиться к владельцу сайта.
4. К моменту, когда это стало возможно проверить, документа на сайте уже не было.

Разбор

Что в отказе обоснованно

Ст. 11(2) — норма реальная. Если контролёр действительно не может идентифицировать человека, права по статьям 15–20 не применяются.

Сроки Adform не нарушил. Первый ответ пришёл на следующий день после запроса, второй — через 29 дней, в пределах месяца. Довод заявителя о просрочке проверки не выдерживает, и это признаётся здесь прямо.

Формально okidoki.ee — сторонний сайт. Цифра в 3650 дней стояла в политике издателя, а не в политике Adform. Спрашивать следовало и с издателя тоже.

Что остаётся спорным

Расхождение не проверено — оно разрешено в пользу компании. Опубликованный документ против письма компании. Регулятор выбрал письмо. Не запросив подтверждения ни у одной из сторон.

Порог доказывания асимметричен. От заявителя потребовались идентификаторы, доказывающие обработку. От компании не потребовалось ничего: её слова оказалось достаточно.

Доказательство было у регулятора на руках. Документ приложен к жалобе. AKI не мог его не видеть — и всё равно написал, что оснований сомневаться нет.

Совет обратиться к издателю оказался неисполним. К моменту, когда его можно было исполнить, документа не существовало.

Главное

Самая показательная фраза решения — не про Adform, а про сам надзор: право подать жалобу не означает, что орган обязан установить все обстоятельства.

Юридически это верно: Суд ЕС подтвердил дискрецию регулятора (C-768/21, 26 сентября 2024). Но в сочетании с «нет оснований сомневаться в объяснениях компании» получается практический стандарт, при котором слово компании весит больше опубликованного документа, а проверять расхождение никто не обязан.

Именно поэтому на этом сайте работает ежедневный мониторинг политик: тексты сохраняются с датой и контрольной суммой. Документ, который исчезает, перестаёт быть аргументом — если только он не сохранён заранее.

Этот случай произошёл до запуска мониторинга. Второй раз так не будет.

← ко всем делам