Технический аудит · 2026-05-02

rahvastikuregister.ee

Регистр населения Эстонии — адреса, семейное положение, гражданство

Почти самый чистый аудит в серии: 217 запросов, всё на эстонских государственных серверах, ноль Google. Одна проблема — в самый чувствительный момент. Когда гражданин нажимает «Войти через ID-карту», Cloudflare (США) получает данные о сессии аутентификации. И это TARA — единая точка входа во ВСЕ госсервисы Эстонии.

Хронология утечки

−3 мс · загрузка сайта

Все ресурсы на www.rahvastikuregister.ee. Аналитика на piwik.smit.ee (Matomo на сервере IT-центра МВД, +5855 мс). Никакого Google, DoubleClick, browser-update.org.

Вход через TARA

При нажатии «Войти через ID-карту» на tara.ria.ee загружается static.cloudflareinsights.com. POST на /cdn-cgi/rum — 939 байт в Cloudflare (США): откуда пришёл, что начал делать (auth/init), pageloadId, характеристики устройства.

Декларация против факта

+ Cloudflare Insights на tara.ria.ee — единственный, но в самом критичном месте — не заявлен

Тайминги передачи

+0 мс tara.ria.ee/auth/init прошёл Старт аутентификации через ID-карту

+5855 мс piwik.smit.ee прошёл Matomo на государственном сервере SMIT (Эстония) — это плюс

при входе static.cloudflareinsights.com прошёл Загрузка маяка на tara.ria.ee — единственный внешний трекер

при входе tara.ria.ee/cdn-cgi/rum прошёл POST 939 байт о сессии аутентификации в США

Зафиксированные трекеры

Cloudflare Insights (на tara.ria.ee)

Зафиксированные нарушения

GDPR Art. 6(1), Art. 5(1)(a)

Cloudflare Insights загружается на tara.ria.ee в момент аутентификации, без согласия. POST на /cdn-cgi/rum — 939 байт данных о сессии в США.
GDPR Art. 13(1)(e)

Cloudflare как получатель данных о сессии аутентификации не задекларирован.
GDPR Art. 13(1)(f), Chapter V

Механизм передачи данных в США (Cloudflare) не указан — ни SCC, ни adequacy decision.

Контекст

rahvastikuregister.ee — Регистр народонаселения Эстонии: адреса всех жителей, семейное положение, гражданство, родственные связи. Аутентификация через ID-карту по системе TARA. HAR: 217 запросов, 5 доменов, один внешний.

Что сделано правильно — почти всё

Все ресурсы на собственном домене. Аналитика — Matomo на piwik.smit.ee, сервере IT-центра МВД Эстонии (государственный сервер). Аутентификация — TARA и GovSSO, государственная инфраструктура RIA. Никакого Google, никакого DoubleClick, никакого browser-update.org. Это один из самых чистых результатов в серии — наряду с eesti.ee, rajaleidja.ee, edpb.europa.eu и europark.ee.

Одна проблема — но в самом чувствительном месте

static.cloudflareinsights.com загружается на tara.ria.ee. То есть в момент, когда гражданин нажимает «Войти через ID-карту», Cloudflare (США) получает данные о сессии аутентификации: POST на tara.ria.ee/cdn-cgi/rum — 939 байт, и в каждом запросе откуда пришёл (rahvastikuregister.ee), что начал делать (auth/init), уникальный pageloadId и технические характеристики устройства.

Почему это важнее, чем один скрипт

TARA — это единая точка входа во ВСЕ государственные сервисы Эстонии: Регистр населения, Налогово-таможенный департамент, цифровая история болезни, все е-услуги государства. Каждый раз, когда любой гражданин Эстонии входит в любой государственный сервис через ID-карту, Cloudflare получает RUM-маяк. Самый чувствительный момент — момент аутентификации с ID-картой — и именно тут работает американский трекер. Это не проблема самого rahvastikuregister.ee, а проблема общей инфраструктуры входа.

Вывод

Сам сайт показывает, что государственный сервис на 99% можно построить без иностранных трекеров — и Эстония это умеет. Остаётся 1%, и он легко исправляется: убрать Cloudflare Insights с tara.ria.ee — один скрипт, одно изменение, и вся цепочка аутентификации эстонских граждан останется внутри страны. Решение простое. Вопрос только в том, будет ли оно принято.

Доказательство

Оригинал (разбор)

HAR-файл: ee/rahvastikuregister-ee-2026-05-02.har

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Готовое письмо для подачи жалобы

Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee

Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.

Кому: AKI — Эстонский надзорный орган по защите данных
От: [Ваше имя], [контактный email]

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом rahvastikuregister.ee.

2. Обстоятельства
Я посетил сайт rahvastikuregister.ee и обнаружил, что мои персональные данные обрабатывались с нарушением требований GDPR. Технический разбор, опубликованный на gdpru.eu 02.05.2026 (открытая методология, воспроизводимые измерения), документирует следующее:

1) Cloudflare Insights загружается на tara.ria.ee в момент аутентификации, без согласия. POST на /cdn-cgi/rum — 939 байт данных о сессии в США.

2) Cloudflare как получатель данных о сессии аутентификации не задекларирован.

3) Механизм передачи данных в США (Cloudflare) не указан — ни SCC, ни adequacy decision.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/rahvastikuregister.ee/

3. Нарушенные положения
GDPR Art. 6(1), Art. 5(1)(a); GDPR Art. 13(1)(e); GDPR Art. 13(1)(f), Chapter V

4. Требование
Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256
и цитата из политики конфиденциальности сайта, документирующая
указанное противоречие — опубликована и проверяема по ссылке
в пункте 2 выше.

[Дата] [Подпись/имя]