Hvad et compliancetjek af et website bør omfatte i EU

“Overholder vores website reglerne?” lyder som ét spørgsmål. I EU er det mindst seks, som er reguleret af forskellige retsakter med forskellige håndhævende myndigheder: databeskyttelsesmyndigheder for cookies og privatlivspolitikker, forbrugermyndigheder for oplysninger i webshops og markedsovervågningsmyndigheder for tilgængelighed. Et godt compliancetjek, uanset om du selv udfører det eller køber en scanner, bør dække dem alle og fortælle dig, hvilken regel hvert fund stammer fra.

1. Cookies, lagring og samtykke

Artikel 5, stk. 3, i ePrivacy-direktivet kræver samtykke, før oplysninger lagres på eller læses fra en besøgendes enhed, medmindre det er strengt nødvendigt for den tjeneste, den besøgende udtrykkeligt har anmodet om. Reglen omfatter cookies, men også lokal lagring, pixels og fingerprinting-teknikker. Kravet til samtykket er det samme som i databeskyttelsesforordningen (GDPR): frivilligt, specifikt, informeret og utvetydigt (artikel 4, nr. 11, og artikel 7 i GDPR).

Et tjek bør derfor:

• indlæse websitet i en ren browser uden interaktion og registrere alle cookies, lagringsposter og netværksforespørgsler, der optræder, før der er truffet et valg;
• gentage besøget efter et klik på “afvis” og bekræfte, at ikke-nødvendige trackere forbliver slået fra;
• kontrollere, at det er lige så nemt at afvise som at acceptere, at ingen mulighed er forvalgt, og at samtykket kan trækkes tilbage lige så nemt, som det blev givet (artikel 7, stk. 3, i GDPR);
• sammenligne det, banneret og cookielisten påstår, med det, der faktisk indlæses.

Vores separate guide, Cookiesamtykke: hvad ePrivacy-reglerne kræver, går i detaljer.

2. Forespørgsler til tredjeparter og overførsler af data

Hver indlejret skrifttype, video, kort, chatwidget eller analysetag sender den besøgendes IP-adresse og browseroplysninger til en anden virksomhed. Efter GDPR er det en overførsel af personoplysninger, som kræver et retsgrundlag (artikel 6) og, hvis modtageren befinder sig uden for EØS, et overførselsgrundlag efter kapitel V. EU-Domstolen fastslog i Fashion ID (C-40/17), at en websiteoperatør, der indlejrer et plugin fra en tredjepart, kan være fælles dataansvarlig for indsamlingen og videregivelsen af de besøgendes data.

En scanner bør vise hver tredjepartsvært, som siden kontakter, hvornår den kontaktes (før eller efter samtykke) og helst, hvor modtageren er etableret. At hoste skrifttyper og scripts selv er den enkleste løsning på mange fund.

3. Privatlivspolitikken

Artikel 13 og 14 i GDPR angiver, hvad de besøgende skal have at vide: hvem den dataansvarlige er, og hvordan vedkommende kan kontaktes (og databeskyttelsesrådgiveren, hvis en sådan er udpeget), formålene med og retsgrundlagene for hver behandlingsaktivitet, modtagere, overførsler uden for EØS, opbevaringsperioder, de registreredes rettigheder, retten til at klage til en tilsynsmyndighed, og om der anvendes automatiske afgørelser. Artikel 12 tilføjer, at oplysningerne skal være kortfattede, gennemsigtige og let tilgængelige.

Automatiserede værktøjer kan bekræfte, at en politik findes, er linket fra alle sider og nævner de krævede elementer. Om indholdet svarer til det, websitet faktisk gør, er den vigtigste del, og den del, en scanner kun kan anslå ved at sammenligne politikken med de trackere, den har fundet.

4. Oplysninger om tjenesteyderen (“virksomhedsoplysninger”)

Artikel 5 i e-handelsdirektivet kræver, at enhver informationssamfundstjeneste gør visse oplysninger “let, direkte og permanent tilgængelige”: tjenesteyderens navn, geografiske adresse, kontaktoplysninger inklusive en e-mailadresse, optagelse i handelsregister og registreringsnummer, momsnummer samt i relevant fald tilsynsmyndighed eller erhvervsregler. Flere medlemsstater gennemfører dette som en særskilt side med virksomhedsoplysninger, et såkaldt impressum (Tysklands § 5 DDG, Østrigs § 5 ECG, Slovakiets lov nr. 22/2004 Coll.).

Et tjek bør bekræfte, at siden findes, kan nås med et eller to klik fra alle sider og indeholder hvert element. Flere detaljer: Virksomhedsoplysninger og forbrugerretlige oplysningspligter for webshops i EU.

5. Forbrugerretlige oplysninger for webshops

Hvis websitet sælger til forbrugere, tilføjer forbrugerrettighedsdirektivet oplysninger forud for aftalen (artikel 6), ordlyden på bestillingsknappen (artikel 8, stk. 2) og fortrydelsesretten på 14 dage (artikel 9). Siden omnibusdirektivet 2019/2161 skal webshops også forklare, hvordan produktrangeringer fastlægges, oplyse, om og hvordan de kontrollerer forbrugeranmeldelser, og vise den tidligere pris, når de annoncerer en prisnedsættelse (prismærkningsdirektivet, artikel 6a).

6. Tilgængelighed

Siden den 28. juni 2025 har European Accessibility Act (tilgængelighedsdirektivet) gældt for e-handel rettet mod forbrugere og flere andre tjenester. I praksis betyder det, at webkravene i EN 301 549, som henviser til WCAG 2.1 niveau AA, skal opfyldes. Automatiserede tests finder pålideligt manglende alternativ tekst, utilstrækkelig kontrast, formularfelter uden etiketter og manglende sprogattributter; tastaturbetjening og forløbet i skærmlæsere skal stadig testes manuelt. Se Tilgængelighed (EAA 2025) for websites.

En tjekliste på én side

Det, ingen scanner kan se

Fortegnelser over behandlingsaktiviteter (artikel 30 i GDPR), databehandleraftaler (artikel 28), konsekvensanalyser vedrørende databeskyttelse (artikel 35), tracking på serversiden og det, der sker i områder, der kræver login, er usynlige for en crawler. En scanning er det bedste første skridt og en fremragende regressionstest; den er ikke en fuld revision. Vores guide Hvad automatiserede compliancescannere kan og ikke kan tjekke forklarer, hvor grænsen går.