Co automatizované skenery souladu dokážou a nedokážou zkontrolovat

Automatizované skenery se staly výchozím prvním krokem při zajišťování souladu webových stránek. Jsou rychlé, ve srovnání s ručním auditem levné a opakovatelné. Zároveň se jim snadno přikládá přílišná důvěra. Tento průvodce vysvětluje, co skutečně dělají, abyste mohli správně číst jejich zprávy a vybrat si vhodnou službu.

Jak skener funguje

Většina služeb načítá vaše stránky ve skutečném, automatizovaném prohlížeči, často z místa v EU a s čistým profilem. Zaznamenávají cookies, úložiště, síťové požadavky a HTML stránky a poté pracují s lištou souhlasu: přijmou, odmítnou, nebo obojí. Pravidla přiřazují pozorované jevy k právním požadavkům, například „požadavek na reklamního hostitele před souhlasem“ k čl. 5 odst. 3 směrnice ePrivacy. Lepší služby uchovávají snímky obrazovky, záznamy požadavků a časová razítka jako důkazy.

V čem jsou skenery silné

• Sledování před souhlasem. Odhalování cookies a požadavků na třetí strany před jakoukoli volbou je jejich hlavní silnou stránkou a zároveň nejčastějším porušením v praxi.
• Chování lišty. Zda existuje možnost „odmítnout“, zda funguje a zda se sledovací prvky po přechodu na jinou stránku nevracejí.
• Inventura. Seznam všech cookies, klíčů úložiště a hostitelů třetích stran, užitečný pro zásady ochrany osobních údajů a záznamy.
• Kontroly přítomnosti. Zda jsou právní informace, zásady ochrany osobních údajů a obchodní podmínky odkazovány z každé stránky.
• Základy přístupnosti. Kontrast, chybějící alternativní texty, neoznačená pole a podobná strojově testovatelná kritéria WCAG.
• Regrese. Opakované spuštění po každém vydání zachytí tag, který někdo přidal v pátek.

Kde narážejí na hranice

• Dokumenty a smlouvy. Záznamy o činnostech zpracování (čl. 30 GDPR), zpracovatelské smlouvy (čl. 28), záruky pro předávání údajů a posouzení vlivu (čl. 35) se na webu nenacházejí.
• Zpracování na straně serveru. Tagování na straně serveru, synchronizace s CRM a to, co se děje s odeslanými formuláři, jsou z prohlížeče neviditelné.
• Oblasti po přihlášení a pokladny. Pokud skeneru neposkytnete přihlašovací údaje nebo testovací účty, stránky účtu a platební procesy nejsou pokryty.
• Význam. Nástroj může zjistit, že zásady ochrany osobních údajů zmiňují „dobu uložení“; nemůže potvrdit, že uvedená doba odpovídá tomu, co skutečně dělají vaše systémy.
• Právní úsudek. Zda oprávněný zájem převažuje nad právy návštěvníka nebo zda je cookie nezbytně nutná pro vaši službu, je otázkou úsudku.
• Ruční testy přístupnosti. Průchod klávesnicí, práce se čtečkou obrazovky a kognitivní zátěž podle Evropského aktu o přístupnosti vyžadují člověka.

Jak si vybrat službu

Služby, které hodnotíme, se neliší ani tak tím, zda najdou cookies, jako spíš tím, co s výsledkem udělají. Vyplatí se položit tyto otázky:

1. Rozsah. Jen cookies a souhlas, nebo také zásady ochrany osobních údajů, právní informace, spotřebitelské právo a přístupnost?
2. Práce se souhlasem. Testuje cestu odmítnutí, nebo jen vypisuje cookies?
3. Důkazy. Zaznamenává zpráva, kdy, odkud a jak byl web testován, se snímky obrazovky nebo záznamy požadavků, které byste mohli předložit úřadu?
4. Hloubka pro EU. Zná národní specifika, jako jsou pravidla pro právní informace, jazyky a pokyny úřadů v zemích, kam prodáváte?
5. Nápravy. Je ke každému zjištění konkrétní návod, podle kterého může váš vývojář jednat?
6. Transparentnost cen. Jsou ceny a limity zveřejněny, nebo jsou k dispozici jen na vyžádání?

Tyto otázky jsou ve vážené podobě kritérii na naší stránce s metodikou. Delší seznam zjištění není automaticky lepší: falešně pozitivní výsledky stojí čas vývojářů a zpráva, která nedokáže odlišit nezbytně nutnou cookie od reklamní, naučí týmy ji ignorovat.

Platforma pro souhlas, nebo skener?

Platforma pro správu souhlasů (CMP) vaši lištu provozuje; skener kontroluje, zda se lišta i vše ostatní na webu chová, jak má. Někteří poskytovatelé nabízejí obojí a mnoho CMP obsahuje sken cookies, kterým plní svůj seznam cookies. I když již CMP používáte, vyplatí se mít samostatný test cesty odmítnutí prováděný mimo CMP, protože nejčastější chybou je správně nainstalovaná CMP s tagy, které ji obcházejí.