Какво трябва да обхваща проверката на уебсайт в ЕС

„Съответства ли уебсайтът ни на изискванията?“ звучи като един въпрос. В ЕС те са поне шест, уредени от различни правни актове с различни органи по прилагането: органите по защита на данните за бисквитките и известията за поверителност, органите за защита на потребителите за информацията в онлайн магазините и органите за надзор на пазара за достъпността. Добрата проверка на съответствието, без значение дали я правите сами, или купувате скенер, трябва да обхваща всички тях и да ви казва от кое правило произтича всяка констатация.

1. Бисквитки, хранилище и съгласие

Член 5, параграф 3 от Директивата за ePrivacy изисква съгласие, преди информация да бъде съхранена на устройството на посетителя или прочетена от него, освен ако е строго необходима за услугата, която посетителят изрично е поискал. Правилото обхваща бисквитките, но също и локалното хранилище, пикселите и техниките за цифров отпечатък. Стандартът за съгласие е този от ОРЗД: свободно изразено, конкретно, информирано и недвусмислено (член 4, точка 11 и член 7 от ОРЗД).

Затова проверката трябва:

• да зареди сайта в чист браузър без взаимодействие и да запише всяка бисквитка, запис в хранилището и мрежова заявка, които се появяват преди какъвто и да е избор;
• да повтори посещението след щракване върху „Отхвърляне“ и да потвърди, че тракерите, които не са задължителни, остават изключени;
• да провери дали отказът е толкова лесен, колкото приемането, дали никоя опция не е предварително избрана и дали съгласието може да бъде оттеглено толкова лесно, колкото е било дадено (член 7, параграф 3 от ОРЗД);
• да сравни твърденията на банера и списъка с бисквитки с това, което действително се зарежда.

Отделното ни ръководство Съгласие за бисквитки: какво изискват правилата за ePrivacy навлиза в подробностите.

2. Заявки към трети страни и предаване на данни

Всеки вграден шрифт, видеоклип, карта, чат уиджет или аналитичен таг изпраща IP адреса и данните за браузъра на посетителя на друга компания. Съгласно ОРЗД това е предаване на лични данни, за което е необходимо правно основание (член 6), а ако получателят е извън ЕИП – механизъм за предаване по глава V. Съдът на ЕС постановява в Fashion ID (C-40/17), че операторът на сайт, който вгражда плъгин на трета страна, може да бъде съвместен администратор за събирането и предаването на данните на посетителите.

Скенерът трябва да изброява всеки хост на трета страна, с който страницата се свързва, кога го прави (преди или след съгласието) и по възможност къде е установен получателят. Самостоятелното хостване на шрифтове и скриптове е най-простото решение за много констатации.

3. Известието за поверителност

Членове 13 и 14 от ОРЗД изброяват какво трябва да бъде съобщено на посетителите: кой е администраторът и как да се свържат с него (и с длъжностното лице по защита на данните, ако е определено), целите и правните основания на всяка дейност по обработване, получателите, предаването извън ЕИП, сроковете на съхранение, правата на субектите на данни, правото на жалба до надзорен орган и дали се използва автоматизирано вземане на решения. Член 12 добавя, че информацията трябва да е кратка, прозрачна и лесно достъпна.

Автоматизираните инструменти могат да потвърдят, че известието съществува, че към него има връзка от всяка страница и че споменава изискуемите елементи. Дали съдържанието отговаря на това, което сайтът действително прави, е най-важната част, и частта, която скенерът може само приблизително да прецени, като сравни известието с откритите тракери.

4. Информация за доставчика („импресум“)

Член 5 от Директивата за електронната търговия изисква всяка услуга на информационното общество да направи определени данни „лесно, пряко и постоянно достъпни“: името на доставчика, географския адрес, данните за контакт, включително имейл адрес, вписването и номера в търговския регистър, идентификационния номер по ДДС и, когато е приложимо, надзорния орган или професионалните правила. Няколко държави членки въвеждат това като отделна страница импресум (в Германия § 5 DDG, в Австрия § 5 ECG, в Словакия Закон № 22/2004 Z. z.).

Проверката трябва да потвърди, че страницата съществува, че е достъпна с едно или две щраквания от всяка страница и че съдържа всеки елемент. Повече подробности: Импресум и задължения за информиране по потребителското право за онлайн магазини в ЕС.

5. Информация по потребителското право за онлайн магазини

Ако сайтът продава на потребители, Директивата за правата на потребителите добавя преддоговорна информация (член 6), текста на бутона за поръчка (член 8, параграф 2) и 14-дневното право на отказ (член 9). След Директива Omnibus 2019/2161 магазините трябва също да обясняват как се определя класирането на продуктите, да посочват дали и как проверяват потребителските отзиви и да показват предходната цена при обявяване на намаление (Директива за обозначаването на цените, член 6а).

6. Достъпност

От 28 юни 2025 г. Европейският акт за достъпността се прилага за електронната търговия, насочена към потребители, и за няколко други услуги. На практика това означава изпълнение на изискванията за уеб на стандарта EN 301 549, който препраща към WCAG 2.1 ниво AA. Автоматизираното тестване надеждно открива липсващ алтернативен текст, недостатъчен контраст, неозначени полета на формуляри и липсващи езикови атрибути; работата с клавиатура и последователността при екранен четец все още изискват ръчно тестване. Вижте Достъпност (EAA 2025) за уебсайтове.

Контролен списък на една страница

Какво не може да види нито един скенер

Регистрите на дейностите по обработване (член 30 от ОРЗД), договорите с обработващи лица (член 28), оценките на въздействието върху защитата на данните (член 35), проследяването от страна на сървъра и това, което се случва в зоните за влезли потребители, са невидими за робота. Сканирането е най-добрата първа стъпка и отличен регресионен тест; то не е пълен одит. Ръководството ни Какво могат и какво не могат да проверят автоматизираните скенери за съответствие обяснява къде минава границата.