Mitä automaattiset vaatimustenmukaisuuden skannerit voivat tarkistaa ja mitä eivät

Automaattisista skannereista on tullut verkkosivuston vaatimustenmukaisuuden tavanomainen ensimmäinen askel. Ne ovat nopeita, manuaaliseen auditointiin verrattuna edullisia ja toistettavia. Niihin on kuitenkin myös helppo luottaa liikaa. Tämä opas kertoo, mitä ne todellisuudessa tekevät, jotta raportin voi lukea oikein ja valita sopivan palvelun.

Miten skanneri toimii

Useimmat palvelut lataavat sivunne todellisessa, automatisoidussa selaimessa, usein EU:ssa sijaitsevasta paikasta ja puhtaalla profiililla. Ne kirjaavat evästeet, tallennetut tiedot, verkkopyynnöt ja sivun HTML-koodin ja toimivat sitten suostumusbannerin kanssa: hyväksyvät, hylkäävät tai kokeilevat molempia. Säännöt yhdistävät havainnot oikeudellisiin vaatimuksiin, esimerkiksi ”pyyntö mainospalvelimelle ennen suostumusta” ePrivacy-direktiivin 5 artiklan 3 kohtaan. Paremmat palvelut säilyttävät näyttönä kuvakaappaukset, pyyntölokit ja aikaleimat.

Missä skannerit ovat vahvoja

• Seuranta ennen suostumusta. Evästeiden ja kolmansien osapuolten pyyntöjen havaitseminen ennen mitään valintaa on niiden ydinvahvuus ja samalla käytännössä yleisin rikkomus.
• Bannerin toiminta. Onko ”Hylkää”-vaihtoehto olemassa, toimiiko se ja palaavatko seurantatyökalut sivulta toiselle siirryttäessä.
• Luettelo. Lista jokaisesta evästeestä, tallennusavaimesta ja kolmannen osapuolen palvelimesta, mikä on hyödyllinen tietosuojaselosteen ja selosteiden laatimisessa.
• Olemassaolon tarkistukset. Onko palveluntarjoajan tietoihin, tietosuojaselosteeseen ja ehtoihin linkki jokaiselta sivulta.
• Saavutettavuuden perusteet. Kontrasti, puuttuvat vaihtoehtoiset tekstit, nimeämättömät kentät ja vastaavat koneellisesti testattavat WCAG-kriteerit.
• Regressio. Kun tarkistus ajetaan uudelleen jokaisen julkaisun jälkeen, se löytää tagin, jonka joku lisäsi perjantaina.

Missä niiden rajat tulevat vastaan

• Asiakirjat ja sopimukset. Seloste käsittelytoimista (tietosuoja-asetuksen 30 artikla), henkilötietojen käsittelysopimukset (28 artikla), siirtoja koskevat suojatoimet ja vaikutustenarvioinnit (35 artikla) eivät ole verkkosivustolla.
• Palvelinpuolen käsittely. Palvelinpuolen tagit, CRM-synkronointi ja se, mitä lomakkeiden kautta lähetetyille tiedoille tapahtuu, eivät näy selaimeen.
• Kirjautumista vaativat alueet ja kassa. Ellei skannerille anneta tunnuksia tai testitilejä, tilisivut ja maksuprosessit jäävät tarkistuksen ulkopuolelle.
• Merkitys. Työkalu voi todeta, että tietosuojaseloste mainitsee ”säilytyksen”; se ei voi vahvistaa, että ilmoitettu aika vastaa sitä, mitä järjestelmänne todellisuudessa tekevät.
• Oikeudellinen harkinta. Se, onko oikeutettu etu kävijän oikeuksia painavampi tai onko eväste ehdottoman välttämätön juuri teidän palvelullenne, on harkintakysymys.
• Manuaalinen saavutettavuus. Näppäimistöllä etenevät käyttöpolut, ruudunlukijan käyttö ja kognitiivinen kuormitus esteettömyysdirektiivin (European Accessibility Act) näkökulmasta vaativat ihmisen arvion.

Miten palvelu valitaan

Arvioimamme palvelut eroavat toisistaan vähemmän siinä, löytävätkö ne evästeet, kuin siinä, mitä ne tuloksella tekevät. Kysymyksiä, jotka kannattaa esittää:

1. Laajuus. Vain evästeet ja suostumus, vai myös tietosuojaseloste, palveluntarjoajan tiedot, kuluttajansuoja ja saavutettavuus?
2. Vuorovaikutus suostumuksen kanssa. Testaako se hylkäyspolun, vai luetteleeko se vain evästeet?
3. Näyttö. Kirjaako raportti, milloin, mistä ja miten sivusto testattiin, kuvakaappauksin tai pyyntölokein, jotka voisi esittää viranomaiselle?
4. EU-syvyys. Tunteeko se kansalliset erityispiirteet, kuten palveluntarjoajan tietoja koskevat säännöt, kielet ja viranomaisten ohjeet niissä maissa, joihin myytte?
5. Korjaukset. Sisältyykö jokaiseen havaintoon konkreettinen ohje, jonka perusteella kehittäjänne voi toimia?
6. Hintojen läpinäkyvyys. Ovatko hinnat ja rajoitukset julkisia, vai saako ne vain pyynnöstä?

Nämä kysymykset ovat painotetussa muodossa menetelmäsivumme kriteerit. Pidempi havaintolista ei ole automaattisesti parempi: väärät hälytykset vievät kehittäjien aikaa, ja raportti, joka ei erota ehdottoman välttämätöntä evästettä mainosevästeestä, opettaa tiimit sivuuttamaan sen.

Suostumusalusta vai skanneri?

Suostumustenhallinta-alusta (CMP) pyörittää banneria; skanneri tarkistaa, toimivatko banneri ja kaikki muu sivustolla niin kuin pitää. Jotkin palveluntarjoajat tarjoavat molempia, ja moniin CMP-alustoihin sisältyy evästeskannaus evästeluettelon täyttämiseksi. Vaikka käytössänne olisi jo CMP, hylkäyspolun erillinen testaus CMP:n ulkopuolelta kannattaa silti, koska yleisin vika on oikein asennettu CMP, jonka jotkin tagit ohittavat.