Espak AS

Запрос по ст.15 GDPR в связи с программой лояльности (клиентская карта на основе ID-документа), направлен на info@espak.ee (параллельно с аналогичным запросом в Bauhof). Четыре требования: подтверждение обработки и полная копия данных (история покупок, метки профиля, сегменты); список третьих лиц-получателей (рекламные сети, брокеры — Oracle, LiveRamp, Experian, Criteo); передавались ли хеши на основе ID/email соцплатформам (VK, Pinterest, Facebook); передача за пределы ЕС и меры защиты; логика алгоритмического профилирования. Срок — 30 дней.

Напоминание (28 дней без ответа), направлено с нового адреса pm.me с уведомлением о смене контактного адреса и приложением доказательства подачи исходного запроса.

Подана жалоба в AKI: нарушение ст.12(3) — 30 дней истекли, ответа нет полностью. Факт обработки вне сомнений (карта зарегистрирована по ID-документу в магазине). Требования: начать надзорное производство по ст.12(3), обязать исполнить запрос по ст.15, оценить меры по ст.83.

AKI (письмо № 2.1-1/26/593-1220-2, юрист Kirsika Lääts) переслал обращение Espak AS для ответа: разъяснил обязанность по ст.15 и ст.12(3), предписал ответить заявителю на pm.me не позднее 06.05.2026 с копией инспекции. Отмечено: если в течение 10 рабочих дней после ответа контролёра не поступит дополнительного обоснованного обращения, инспекция считает обращение решённым.

Espak AS ответил в тот же день (Ivar Pikk, член правления, № 05/04) — после двух месяцев молчания, сразу за пересылкой AKI. Подтвердил обработку, предоставил перс. данные на хранении и историю покупок во вложении. Заявил три тезиса: данные клиентов третьим лицам не передаёт; за пределы ЕС не передаёт; алгоритмическим профилированием не занимается.

Заявление Espak опровергается её собственной панелью управления согласием (Usercentrics) на espak.ee, зафиксированной в тот же день, 22.04.2026, 20:38. Панель прямым текстом раскрывает: получатели данных — Alphabet Inc., Google LLC, Google Ireland Limited (сервис gstatic.com, место обработки — США); передача в третьи страны — США, Китай, Тайвань, Сингапур; отдельный получатель Usercentrics GmbH (Германия), собирающий IP-адрес, user agent, геолокацию, referrer и consent ID, срок хранения cookie до 731 дня; подключены Google Analytics (маркетинг), Google Tag Manager, Google Fonts, Google Maps. Таким образом письменный ответ контролёра («третьим лицам не передаём / за пределы ЕС не передаём») прямо противоречит задекларированному на его же сайте — оба документа датированы 22.04.2026. Противоречие направлено в AKI как дополнение к делу № 2.1-1/26/593-1220-2.

После фиксации противоречия ни Espak AS, ни AKI ответа не направили. Переписка остановлена.