VK Group

Через внутреннюю форму платформы направил правовое уведомление по ст. 15, 17 и 21 GDPR — о несанкционированном экспорте моих данных в офшорные юрисдикции (Турция, Багамы, Кипр). Система прислала автоматическое подтверждение «ваш запрос зарегистрирован», но само исходящее сообщение полностью отсутствовало в папке «Отправленные». Инфраструктура приняла запрос, но скрыла локальную запись о нём в интерфейсе пользователя — лишение субъекта доказательства содержания требований. Нарушение ст. 12 GDPR (обязанность облегчать реализацию прав).

Подал первичную жалобу в AKI на VKontakte (VK Group). Перечень претензий: после удаления аккаунта 22.02.2026 оператор, по моей оценке, продолжает обработку персональных данных без правового основания; оператор не ответил надлежащим образом на запрос об ознакомлении с данными; в ноябре 2025 аккаунт попал под блокировку без объяснений, из-за чего был утрачен доступ к содержимому и к 20 000 подписчиков.

Направил формальный запрос по ст. 15 и 17 GDPR на DPO privacy@vk.team (00:09 CET): полная копия всех данных по платформам группы (vk.com, mail.ru, ok.ru, dzen.ru, ad.mail.ru, vk-portal.net), правовые основания, рекламные профили, записи согласия TCF. Указал применимость GDPR по ст. 3(2). С этого момента пошёл отсчёт 30-дневного срока по ст. 12(3).

Дополнение № 2: независимое подтверждение canvas-фингерпринтинга инструментом Blacklight (The Markup) на странице профиля — техника скрытно рисует невидимое изображение в браузере для идентификации устройства даже при заблокированных cookie, в обход средств защиты приватности. Нарушение ст. 5(1)(a) — принцип прозрачности. Также зафиксирована межплатформенная синхронизация идентификатора tmr_lvid между vk.com, mail.ru, ok.ru, yandex.ru, ad.mail.ru, top-fwz1.mail.ru и tns-counter.ru (Mediascope).

Дополнение № 3, четыре блока доказательств: (1) фингерпринтинг устройства на странице входа ДО аутентификации и согласия — снимались разрешение экрана, плотность пикселей, глубина цвета, зум, ориентация — нарушение ст. 6; (2) геолокация по поведенческим параметрам: VK определил местоположение как «Москва» по языку браузера (ru-RU), игнорируя реальное (Эстония) — профилирование по ст. 22 без уведомления.

HAR-анализ (07:57 UTC, 175 запросов) зафиксировал продолжение обработки спустя 12 дней после запроса по ст. 15: email открытым текстом в cookie 'o' на .mail.ru и в параметрах HTTP GET-запросов к xray API (8 вхождений) — двойная утечка, ст. 5(1)(f) и продолжение обработки в нарушение ст. 17. Дополнительно: device ID в телеметрии dzen.ru (18 запросов), передача реального IP клиента на vd514.okcdn.ru параметром srcIp, рекламный профиль TCF __cmpcvcs1 (1534 байта) в cookie, A/B-профилирование (testIds на dzen.ru) — ст. 13(1)(c) и 22.

Дополнение № 5, новые нарушения: (1) POST-запросы на sdk-api.apptracer.ru — российский сервис сбора сессионных и crash-данных, не указанный в политике как получатель (ст. 13(1)(e)) и передача в РФ без основания по Гл. V; (2) VK AdBlogger автоматически зарегистрировал меня на рекламной платформе без ведома и согласия — автоматическое решение с правовыми последствиями, ст. 22(1); (3) отказ в монетизации со ссылкой на «оригинальность», тогда как реальная причина — объём видео, при этом система показывала «правила выполнены» — сокрытие реальной логики решения, ст. 22(3); (4) одновременная запись cookie тремя доменами (vk.com, mail.ru, ok.ru) в одной сессии — единый рекламный профиль через три платформы, ст. 6(1).

Истёк 30-дневный срок по ст. 12(3) — ответа по существу нет. Подал основную сводную жалобу в AKI по ст. 12(3), 15(1), 5(1)(a), 5(1)(f), 6(1), 13(1), 17. Среди требований: обязать предоставить полный объём данных, прекратить передачу email открытым текстом, применить корректирующие меры по ст. 58(2), рассмотреть штраф по ст. 83(5) (до 4% мирового оборота) и механизм ст. 60 (трансграничное нарушение, данные уходят в РФ). Параллельно повторно направил запрос на dpo@corp.my.com, чтобы исключить ссылку на юрисдикционную неопределённость.

AKI прекратил производство. Основание: контролёр находится в третьей стране (Россия), представитель по ст. 27 GDPR в ЕС не назначен, поэтому у надзорного органа нет действенных и эффективных рычагов принуждения к исполнению предписаний. Разъяснено право обжаловать прекращение в течение 30 дней — через возражение генеральному директору AKI либо жалобу в административный суд.