Tapad, Inc.

Жалоба подана

10.04.2026

Решение

15.06.2026

Срок рассмотрения

66 дн.

Номер решения

2.1-1/26/743-1525-2

Статьи GDPR

15, 57

Что было в жалобе

Запрос по ст. 15 GDPR направлен 24 февраля 2026. Tapad утверждает, что с 1 августа 2021 года не обрабатывает данные субъектов ЕЭЗ и «удалила все данные». HAR-анализ доказывает обратное.

20 марта — повторный запрос с доказательствами. Автоответ из системы Experian Jira, тикет PRIV-101489. К 10 апреля — 47 дней без содержательного ответа.

Что показал HAR

Активные идентификаторы на устройстве заявителя (Visitor ID, svisitor ID, UUID ShareThis/Tapad, EpsilonKey с домена Experian) — при заявлении, что все данные ЕЭЗ удалены.

Cookie sync минимум с 6 партнёрами через вызовы ibs:dpid, включая Google (dpid=771) и синхронизацию с LinkedIn. Ни один получатель не раскрыт.

Параметр gdpr=0 в одном из вызовов синхронизации с Google. То есть инфраструктура Experian/Tapad передаёт данные субъекта ЕЭЗ в третьи страны с пометкой «GDPR не применяется». Прямое нарушение ст. 44.

Совместное контролёрство Tapad-Experian не раскрыто (ст. 26): вся переписка идёт через инфраструктуру Experian, на сайте используются библиотеки Experian, обработку запросов ведёт Experian Marketing Services.

Статьи: 12(3), 15(1), 15(1)(c), 44, 26, 5(1)(a).

Что решил AKI

Производство прекращено. Основания: ст. 57(1)(f); контролёр в США, средств принудительного исполнения нет; представителя в ЕС нет.

Разбор

Компания заявляет, что удалила все данные ЕЭЗ в 2021 году. HAR фиксирует активные идентификаторы и синхронизацию куки в 2026-м. Это прямое противоречие между заявлением и техническими фактами — и оно осталось непроверенным.

Параметр gdpr=0 — не трактовка, а флаг в сетевом запросе: система сама помечает передачу как выведенную из-под GDPR. Проверяемое утверждение, оставшееся без проверки.

← ко всем делам