Mida peaks ELi veebisaidi vastavuse kontroll hõlmama

„Kas meie veebisait vastab nõuetele?“ kõlab nagu üks küsimus. ELis on neid vähemalt kuus, mida reguleerivad eri õigusaktid ja mille järele valvavad eri asutused: andmekaitseasutused küpsiste ja privaatsusteadete puhul, tarbijakaitseasutused e-poe teabe puhul ning turujärelevalveasutused ligipääsetavuse puhul. Hea vastavuse kontroll, olgu te teete selle ise või ostate skanneri, peaks hõlmama neid kõiki ja ütlema, millisest normist iga leid tuleneb.

1. Küpsised, salvestamine ja nõusolek

E-privaatsuse direktiivi artikli 5 lõige 3 nõuab nõusolekut enne, kui külastaja seadmesse teavet salvestatakse või sealt loetakse, välja arvatud juhul, kui see on rangelt vajalik külastaja poolt sõnaselgelt soovitud teenuse osutamiseks. Reegel hõlmab küpsiseid, aga ka kohalikku salvestusruumi (local storage), piksleid ja sõrmejäljetuvastuse (fingerprinting) tehnikaid. Nõusoleku standard on GDPR-i oma: vabatahtlik, konkreetne, teadlik ja ühemõtteline (GDPR artikli 4 punkt 11 ja artikkel 7).

Seetõttu peaks kontroll:

• laadima saidi puhtas brauseris ilma midagi tegemata ja salvestama iga küpsise, salvestuskirje ja võrgupäringu, mis ilmub enne mis tahes valiku tegemist;
• kordama külastust pärast nupu „keeldu“ klõpsamist ja kinnitama, et mittevajalikud jälgurid jäävad välja lülitatuks;
• kontrollima, et keeldumine on sama lihtne kui nõustumine, et ükski valik ei ole eelnevalt märgitud ja et nõusolekut saab tagasi võtta sama lihtsalt, kui see anti (GDPR artikli 7 lõige 3);
• võrdlema seda, mida bänner ja küpsiste loend väidavad, sellega, mis tegelikult laaditakse.

Meie eraldi juhend Küpsiste nõusolek: mida nõuavad e-privaatsuse reeglid käsitleb üksikasju.

2. Kolmandate osapoolte päringud ja andmeedastused

Iga manustatud font, video, kaart, vestlusvidin või analüütikasilt saadab külastaja IP-aadressi ja brauseri andmed teisele ettevõttele. GDPR-i alusel on see isikuandmete edastamine, mis vajab õiguslikku alust (artikkel 6) ja, kui vastuvõtja asub väljaspool EMP-d, V peatüki kohast edastamismehhanismi. Euroopa Kohus leidis kohtuasjas Fashion ID (C-40/17), et kolmanda osapoole pistikprogrammi manustav saidi haldaja võib olla külastajate andmete kogumise ja edastamise kaasvastutav töötleja.

Skanner peaks loetlema iga kolmanda osapoole hosti, millega leht ühendust võtab, millal see juhtub (enne või pärast nõusolekut) ja ideaalis, kus vastuvõtja asub. Fontide ja skriptide majutamine oma serveris on paljude leidude puhul lihtsaim lahendus.

3. Privaatsusteade

GDPR artiklid 13 ja 14 loetlevad, mida külastajatele tuleb teatada: kes on vastutav töötleja ja kuidas temaga ühendust võtta (ning andmekaitseametnikuga, kui see on määratud), iga töötlemistoimingu eesmärgid ja õiguslikud alused, vastuvõtjad, edastamised väljapoole EMP-d, säilitamisajad, andmesubjekti õigused, õigus esitada kaebus järelevalveasutusele ning kas kasutatakse automatiseeritud otsuste tegemist. Artikkel 12 lisab, et teave peab olema lühike, läbipaistev ja kergesti kättesaadav.

Automaatsed tööriistad saavad kinnitada, et teade on olemas, sellele viidatakse igalt lehelt ja selles on nõutud elemendid nimetatud. See, kas sisu vastab sellele, mida sait tegelikult teeb, on kõige olulisem osa, ja just seda osa saab skanner vaid ligikaudu hinnata, võrreldes teadet leitud jälguritega.

4. Teenusepakkuja andmed („rekvisiidid“)

E-kaubanduse direktiivi artikkel 5 nõuab, et iga infoühiskonna teenus teeks teatud andmed „lihtsalt, otse ja püsivalt kättesaadavaks“: teenusepakkuja nimi, geograafiline aadress, kontaktandmed koos e-posti aadressiga, äriregistri kanne ja registrikood, käibemaksukohustuslasena registreerimise number ning vajaduse korral järelevalveasutus või kutsereeglid. Mitu liikmesriiki rakendab seda eraldi rekvisiitide lehena (Saksamaal § 5 DDG, Austrias § 5 ECG, Slovakkias seadus nr 22/2004 Coll.).

Kontroll peaks kinnitama, et leht on olemas, on igalt lehelt ühe või kahe klõpsuga kättesaadav ja sisaldab kõiki elemente. Lähemalt: Rekvisiidid ja tarbijaõiguse teabekohustused ELi e-poodidele.

5. Tarbijaõiguslik teave e-poodidele

Kui sait müüb tarbijatele, lisab tarbijaõiguste direktiiv lepingueelse teabe (artikkel 6), tellimisnupu sõnastuse (artikli 8 lõige 2) ja 14-päevase taganemisõiguse (artikkel 9). Alates omnibus-direktiivist 2019/2161 peavad e-poed ka selgitama, kuidas toodete järjestus määratakse, teatama, kas ja kuidas nad tarbijate arvustusi kontrollivad, ning näitama hinnaalandusest teatamisel varasemat hinda (hinna avaldamise direktiiv, artikkel 6a).

6. Ligipääsetavus

Alates 28. juunist 2025 kohaldatakse Euroopa ligipääsetavuse akti tarbijatele suunatud e-kaubandusele ja mitmele muule teenusele. Praktikas tähendab see standardi EN 301 549 veebinõuete täitmist, mis viitab WCAG 2.1 tasemele AA. Automaatne testimine leiab usaldusväärselt puuduva alternatiivteksti, ebapiisava kontrasti, sildita vormiväljad ja puuduvad keeleatribuudid; klaviatuuriga kasutamist ja ekraanilugeja voogu tuleb endiselt testida käsitsi. Vt Ligipääsetavus (EAA 2025) veebisaitidel.

Ühe lehekülje kontrollnimekiri

Mida ükski skanner ei näe

Isikuandmete töötlemise toimingute registrid (GDPR artikkel 30), volitatud töötlejatega sõlmitud lepingud (artikkel 28), andmekaitsealased mõjuhinnangud (artikkel 35), serveripoolne jälgimine ja see, mis toimub sisselogitud alades, on roomajale nähtamatud. Skannimine on parim esimene samm ja suurepärane regressioonitest; täielik audit see ei ole. Meie juhend Mida automaatsed vastavusskannerid suudavad ja mida ei suuda kontrollida selgitab, kus piir kulgeb.