city24.ee

Тема: Жалоба на обработку персональных данных — city24.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом city24.ee.

2. Обстоятельства
Я посетил сайт city24.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 06.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте установлена платформа управления согласием OneTrust с баннером стандарта IAB Transparency and Consent Framework, но рекламный и аналитический трекинг стартует до выбора пользователя. Веб-аналитика Gemius стартует на +248 мс, Google Tag Manager на +957 мс, Google Ads на +955 мс, Facebook на +1223 мс, DoubleClick на +1237 мс, а Google Analytics 4 отправляет данные с признаком режима согласия gcs=G100 на +1388 мс. Скрипт платформы согласия OneTrust при этом загружается только на +3981 мс. То есть десятки трекеров отрабатывают до и помимо выбора пользователя, а сам баннер, как видно по составу его конфигурации, предъявляет предустановленные на согласие галочки вендоров.

2) Политика конфиденциальности называет Gemius, Google и Facebook и перечисляет их cookie, а также ссылается на список партнёров стандарта TCF. Но фактический состав получателей несопоставимо шире: за запись зафиксировано 282 сторонних узла — сотни рекламных вендоров реального времени. ТВ-трекинг Samba TV и баннерная сеть Adition поимённо в политике не раскрыты, как и подавляющее большинство рекламных получателей.

3) Баннер стандарта IAB TCF предъявляет список поставщиков с галочками, предустановленными на согласие, и кнопкой «Согласиться на все» на видном месте. Предварительно проставленные галочки не образуют действительного согласия по смыслу GDPR: согласие должно быть свободным, конкретным и выражаться активным действием, а не сниматься с уже отмеченного по умолчанию состояния. В сочетании с тем, что трекинг стартует ещё до взаимодействия с баннером, выбор пользователя фактически ни на что не влияет.

Полная техническая документация опубликована по адресу: https://gdpru.eu/en/audits/ee-city24-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 7 — действительность согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — city24.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website city24.ee.

2. Circumstances
I visited the website city24.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 6 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The consent-management platform OneTrust with an IAB Transparency and Consent Framework banner is installed on the site, but advertising and analytics tracking starts before the user's choice. Gemius web analytics starts at +248 ms, Google Tag Manager at +957 ms, Google Ads at +955 ms, Facebook at +1223 ms, DoubleClick at +1237 ms, and Google Analytics 4 sends data with the consent-mode marker gcs=G100 at +1388 ms. The OneTrust consent-platform script, meanwhile, loads only at +3981 ms. That is, dozens of trackers run before and irrespective of the user's choice, and the banner itself, as its configuration shows, presents vendor checkboxes pre-ticked to consent.

2) The privacy policy names Gemius, Google and Facebook and lists their cookies, and also refers to the TCF partner list. But the actual composition of recipients is incomparably broader: 282 third-party nodes were recorded over the session — hundreds of real-time advertising vendors. Samba TV TV-tracking and the Adition banner network are not disclosed in the policy by name, as is the overwhelming majority of the advertising recipients.

3) The IAB TCF banner presents a list of vendors with checkboxes pre-ticked to consent and an 'Agree to all' button in a prominent place. Pre-ticked checkboxes do not constitute valid consent within the meaning of the GDPR: consent must be freely given, specific and expressed by an affirmative action, not deducted from an already-ticked default state. Combined with the fact that tracking starts before any interaction with the banner, the user's choice effectively has no bearing on anything.

Full technical documentation is published at: https://gdpru.eu/en/audits/ee-city24-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Art. 7 — validity of consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil city24.ee.

2. Asjaolud
Külastasin veebisaiti city24.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 06.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Saidil on OneTrusti nõusoleku haldamise platvorm koos IAB läbipaistvuse ja nõusoleku raamistiku bänneriga, kuid reklaami ja analüütilist jälgimist alustatakse enne kasutaja valimist. Gemiuse veebianalüütika algab +248 ms-st, Google Tag Manager +957 ms-st, Google Ads +955 ms-st, Facebook +1223 ms-st, DoubleClick +1237 ms-st ja Google Analytics 4 saadab +1388 ms-le gcs=G100 nõusoleku režiimiga andmed. OneTrusti nõusolekuplatvormi skript on laaditud ainult +3981 ms-le. See tähendab, et kümned jälgijad töötavad enne ja lisaks kasutaja valikule ning bänner ise, nagu on näha selle konfiguratsiooni koosseisust, esitab nõusoleku saamiseks müüjate eelinstallitud märked.

2) Privaatsuspoliitikas nimetatakse Gemius, Google ja Facebook ning loetletakse nende küpsised ja viidatakse ka TCF-i partnerite nimekirjale. Kuid vastuvõtjate tegelik koosseis on võrreldamatult laiem: rekordile on salvestatud 282 kolmanda osapoole sõlme - sadu reaalajas reklaamimüüjaid. Samba TV-jälgimis- ja Adition-bännerivõrku ei avalikustata poliitikas nime järgi, nagu ka enamik reklaamisaajaid.

3) IAB TCF standard bänner kuvab tarnijate nimekirja, millel on eelnevalt määratud märked nõusoleku saamiseks ja "nõustud kõigile" nupp silmapaistvas kohas. Eelkontrollid ei kujuta endast kehtivat nõusolekut GDPRi tähenduses: nõusolek peaks olema vaba, konkreetne ja väljenduma aktiivses tegevuses ning seda ei tohiks vaikimisi eemaldada. Koos asjaoluga, et jälgimine algab juba enne bänneriga suhtlemist, ei mõjuta kasutaja valik tegelikult midagi.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/en/audits/ee-city24-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus – direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a); GDPR – artikli 13 lõike 1 punkt e – vastuvõtjate avalikustamine; GDPR artikkel 7 – Nõusoleku kehtivus

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]