smartposti.ee
Финская Posti Group в Эстонии. GTM загружается на +574 мс — за 267 мс до OneTrust. New Relic использует EU-инстанс (bam.eu01.nr-data.net) — осознанный выбор. Но порядок загрузки GTM нарушает принцип согласия до обработки.
Хронология утечки
Декларация против факта
Тайминги передачи
Зафиксированные трекеры
- Google Tag Manager (GTM-NHWQ4B77)
- OneTrust (cdn-ukwest.onetrust.com)
- New Relic (js-agent.newrelic.com, bam.eu01.nr-data.net)
- unpkg.com CDN (web-vitals)
- Contentful CDN (images.ctfassets.net)
- Posti CDN (cdn.posti.fi, www.posti.fi)
Зафиксированные нарушения
-
GDPR Art. 6(1), Art. 5(1)(a)GTM (+574 мс) загружается за 267 мс до начала загрузки OneTrust (+841 мс). Posti CDN (+128 мс) и Contentful CDN (+132 мс) запускаются немедленно. New Relic (+1472 мс) активируется после OneTrust но до взаимодействия пользователя с баннером.
-
GDPR Art. 7GTM загружается за 267 мс до OneTrust. OneTrust полностью загружается к ~+1145 мс. Между загрузкой GTM и появлением баннера — около 600 мс в которые аналитика могла инициализироваться.
-
GDPR Art. 13(1)(e)Политика конфиденциальности упоминает Google Analytics в общих чертах. New Relic, Contentful CDN, unpkg.com, Posti CDN (www.posti.fi) не упомянуты как получатели данных.
-
GDPR Art. 13(1)(f), Chapter VGTM, unpkg.com, Contentful — серверы в США. Механизм передачи не указан для каждого получателя.
Контекст
SmartPost Estonia OÜ — сеть посылочных автоматов в Эстонии, дочерняя компания финской Posti Group Oyj. Конкурент Omniva на рынке посылочных автоматов Эстонии. HAR: 55 запросов, 9 доменов. Сессия на странице для бизнес-клиентов.
GTM раньше баннера — 267 миллисекунд
GTM загружается на +574 мс. OneTrust начинает загружаться на +841 мс. Разрыв — 267 мс. OneTrust полностью готов к ~+1145 мс. Между загрузкой GTM и появлением баннера — почти 600 миллисекунд. Это та же проблема что у Zalando, Omniva и SmartPost — порядок загрузки скриптов нарушает принцип согласия до обработки.
New Relic EU — осознанный выбор
New Relic собирает данные о производительности SPA: транзакции, JavaScript-ошибки, события. SmartPost использует EU-инстанс: bam.eu01.nr-data.net — данные обрабатываются в ЕС. Это третий сайт в серии после IIZI и Sentry-EU у Zalando где мониторинг производительности намеренно оставлен в европейской инфраструктуре.
Posti CDN — зависимость от материнской компании
cdn.posti.fi загружает шрифты и CSS финской Posti Group (+128 мс). www.posti.fi/federated-module (+663 мс) загружает JavaScript модуль через Webpack Module Federation — смарт-компонент прямо с финского сайта. Это архитектурное решение: эстонский сайт импортирует живые компоненты финского родителя. IP каждого посетителя передаётся в Финляндию при каждом открытии сайта.
Contentful и unpkg
images.ctfassets.net — CDN Contentful, американской CMS-платформы. Изображения хостятся на серверах США. unpkg.com загружает web-vitals@5.0.1 — библиотеку измерения производительности Google. Оба не упомянуты в политике конфиденциальности.
Сравнение с Omniva
Оба — почтовые операторы на эстонском рынке, оба используют CMP (Omniva — Cookiebot, SmartPost — OneTrust). Оба грузят GTM до баннера. SmartPost выбрал EU-инстанс New Relic — это преимущество перед Omniva. Omniva использует Cloudflare Turnstile, SmartPost — нет.
Вывод
SmartPost демонстрирует осознанные решения в части EU-инфраструктуры: New Relic EU, Posti CDN в Финляндии. Но GTM загружается за 267 мс до OneTrust — стандартная проблема порядка загрузки. Contentful CDN и unpkg.com не задекларированы. Политика конфиденциальности описывает Google Analytics и Facebook в общих чертах, не называя других фактических получателей.
Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee
Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.
Кому: AKI — Эстонский надзорный орган по защите данных От: [Ваше имя], [контактный email] 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом smartposti.ee. 2. Обстоятельства Я посетил сайт smartposti.ee и обнаружил, что мои персональные данные обрабатывались с нарушением требований GDPR. Технический разбор, опубликованный на gdpru.eu 06.06.2026 (открытая методология, воспроизводимые измерения), документирует следующее: 1) GTM (+574 мс) загружается за 267 мс до начала загрузки OneTrust (+841 мс). Posti CDN (+128 мс) и Contentful CDN (+132 мс) запускаются немедленно. New Relic (+1472 мс) активируется после OneTrust но до взаимодействия пользователя с баннером. 2) GTM загружается за 267 мс до OneTrust. OneTrust полностью загружается к ~+1145 мс. Между загрузкой GTM и появлением баннера — около 600 мс в которые аналитика могла инициализироваться. 3) Политика конфиденциальности упоминает Google Analytics в общих чертах. New Relic, Contentful CDN, unpkg.com, Posti CDN (www.posti.fi) не упомянуты как получатели данных. 4) GTM, unpkg.com, Contentful — серверы в США. Механизм передачи не указан для каждого получателя. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-smartposti-ee/ 3. Нарушенные положения GDPR Art. 6(1), Art. 5(1)(a); GDPR Art. 7; GDPR Art. 13(1)(e); GDPR Art. 13(1)(f), Chapter V 4. Требование Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. [Дата] [Подпись/имя]