Hvad automatiserede compliancescannere kan og ikke kan tjekke

Automatiserede scannere er blevet det oplagte første skridt inden for compliance på websites. De er hurtige, billige sammenlignet med en manuel revision og kan gentages. Det er også let at stole for meget på dem. Denne guide forklarer, hvad de faktisk gør, så du kan læse en rapport korrekt og vælge en tjeneste, der passer.

Sådan fungerer en scanner

De fleste tjenester indlæser dine sider i en rigtig, automatiseret browser, ofte fra en placering i EU og med en ren profil. De registrerer cookies, lagring, netværksforespørgsler og sidens HTML og interagerer derefter med samtykkebanneret: De accepterer, afviser eller gør begge dele. Regler kobler det observerede til juridiske krav, for eksempel “en forespørgsel til en annonceringsvært før samtykke” til artikel 5, stk. 3, i ePrivacy-direktivet. Bedre tjenester gemmer skærmbilleder, logs over forespørgsler og tidsstempler som dokumentation.

Hvor scannere er stærke

• Tracking før samtykke. At opdage cookies og forespørgsler til tredjeparter, før der er truffet et valg, er kernestyrken og den hyppigste overtrædelse i praksis.
• Bannerets adfærd. Om “afvis” findes, om det virker, og om trackerne vender tilbage efter navigation.
• Oversigt. En liste over alle cookies, lagringsnøgler og tredjepartsværter, som er nyttig til din privatlivspolitik og dine fortegnelser.
• Tjek af, at sider findes. Om virksomhedsoplysninger, privatlivspolitik og handelsbetingelser er linket fra alle sider.
• Grundlæggende tilgængelighed. Kontrast, manglende alternativ tekst, felter uden etiketter og lignende WCAG-kriterier, der kan testes maskinelt.
• Regressionstest. En ny kørsel efter hver release fanger det tag, som nogen tilføjede i fredags.

Hvor de når deres grænser

• Dokumenter og kontrakter. Fortegnelser over behandlingsaktiviteter (artikel 30 i databeskyttelsesforordningen (GDPR)), databehandleraftaler (artikel 28), garantier for overførsler og konsekvensanalyser (artikel 35) findes ikke på websitet.
• Behandling på serversiden. Server-side tagging, synkronisering med CRM-systemer og det, der sker med indsendte formularer, er usynligt fra browseren.
• Områder med login og betalingsforløb. Medmindre du giver scanneren loginoplysninger eller testkonti, er kontosider og betalingsforløb ikke omfattet.
• Betydning. Et værktøj kan konstatere, at en privatlivspolitik nævner “opbevaring”; det kan ikke bekræfte, at den angivne periode svarer til det, dine systemer gør.
• Juridisk vurdering. Om en legitim interesse vejer tungere end den besøgendes rettigheder, eller om en cookie er strengt nødvendig for din tjeneste, er et skøn.
• Manuel tilgængelighed. Forløb med tastatur, forløbet i skærmlæsere og kognitiv belastning efter European Accessibility Act (tilgængelighedsdirektivet) kræver et menneske.

Sådan vælger du en tjeneste

De tjenester, vi vurderer, adskiller sig mindre i, om de finder cookies, end i, hvad de gør med resultatet. Spørgsmål, der er værd at stille:

1. Omfang. Kun cookies og samtykke, eller også privatlivspolitik, virksomhedsoplysninger, forbrugerret og tilgængelighed?
2. Interaktion med samtykket. Tester den vejen via “afvis”, eller viser den kun cookies?
3. Dokumentation. Registrerer rapporten, hvornår, hvorfra og hvordan websitet blev testet, med skærmbilleder eller logs over forespørgsler, som du kunne vise en myndighed?
4. Dybde i EU-forhold. Kender den nationale særregler, f.eks. regler om virksomhedsoplysninger, sprog og myndighedernes vejledning i de lande, du sælger til?
5. Udbedring. Følger der med hvert fund konkret vejledning, som din udvikler kan handle på?
6. Gennemsigtige priser. Er priser og begrænsninger offentliggjort, eller kun tilgængelige på forespørgsel?

Disse spørgsmål er, i vægtet form, kriterierne på vores metodeside. En længere liste over fund er ikke automatisk bedre: Falske positiver koster udviklertid, og en rapport, der ikke kan skelne en strengt nødvendig cookie fra en annonceringscookie, lærer teams at ignorere den.

Samtykkeplatform eller scanner?

En platform til samtykkestyring (CMP) driver dit banner; en scanner tjekker, om banneret og alt andet på websitet opfører sig, som det skal. Nogle udbydere tilbyder begge dele, og mange CMP’er har en cookiescanning til at udfylde deres cookieliste. Hvis du allerede bruger en CMP, er en separat test af vejen via “afvis”, udført uden for CMP’en, stadig værd at have, fordi den hyppigste fejl er en korrekt installeret CMP med tags, der går uden om den.