Mitä verkkosivuston vaatimustenmukaisuuden tarkistuksen tulisi kattaa EU:ssa

”Onko verkkosivustomme vaatimusten mukainen?” kuulostaa yhdeltä kysymykseltä. EU:ssa kysymyksiä on vähintään kuusi, ja niitä sääntelevät eri säädökset, joita valvovat eri viranomaiset: tietosuojaviranomaiset evästeitä ja tietosuojaselosteita, kuluttajansuojaviranomaiset verkkokauppojen tietoja ja markkinavalvontaviranomaiset saavutettavuutta. Hyvän vaatimustenmukaisuuden tarkistuksen, teettepä sen itse tai ostatte skannerin, tulisi kattaa ne kaikki ja kertoa, mihin sääntöön kukin havainto perustuu.

1. Evästeet, tallennus ja suostumus

Sähköisen viestinnän tietosuojadirektiivin (ePrivacy-direktiivi) 5 artiklan 3 kohta edellyttää suostumusta ennen kuin tietoja tallennetaan kävijän laitteelle tai luetaan sieltä, paitsi jos se on ehdottoman välttämätöntä kävijän nimenomaisesti pyytämän palvelun tarjoamiseksi. Sääntö koskee evästeitä mutta myös paikallista tallennustilaa, pikseleitä ja sormenjälkitekniikoita. Suostumuksen vaatimustaso on EU:n yleisen tietosuoja-asetuksen (GDPR) mukainen: vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen (tietosuoja-asetuksen 4 artiklan 11 alakohta ja 7 artikla).

Tarkistuksen tulisi siksi:

• ladata sivusto puhtaaseen selaimeen ilman vuorovaikutusta ja kirjata jokainen eväste, tallennusmerkintä ja verkkopyyntö, joka ilmenee ennen kuin valintaa on tehty;
• toistaa käynti ”Hylkää”-painikkeen napsauttamisen jälkeen ja varmistaa, että muut kuin välttämättömät seurantatyökalut pysyvät pois päältä;
• varmistaa, että hylkääminen on yhtä helppoa kuin hyväksyminen, ettei mitään vaihtoehtoa ole valittu valmiiksi ja että suostumuksen voi peruuttaa yhtä helposti kuin sen antaa (tietosuoja-asetuksen 7 artiklan 3 kohta);
• verrata bannerin ja evästeluettelon väitteitä siihen, mitä todellisuudessa latautuu.

Erillinen oppaamme Evästesuostumus: mitä ePrivacy-säännöt edellyttävät käsittelee yksityiskohtia.

2. Kolmansien osapuolten pyynnöt ja tiedonsiirrot

Jokainen upotettu fontti, video, kartta, chat-widget tai analytiikkatagi lähettää kävijän IP-osoitteen ja selaintiedot toiselle yritykselle. Tietosuoja-asetuksen kannalta kyse on henkilötietojen siirrosta, joka edellyttää käsittelyperustetta (6 artikla) ja, jos vastaanottaja on ETA-alueen ulkopuolella, V luvun mukaista siirtomekanismia. Unionin tuomioistuin katsoi asiassa Fashion ID (C-40/17), että kolmannen osapuolen liitännäisen upottava sivuston ylläpitäjä voi olla yhteisrekisterinpitäjä kävijätietojen keräämisen ja siirtämisen osalta.

Skannerin tulisi luetella jokainen kolmannen osapuolen palvelin, johon sivu ottaa yhteyttä, milloin se tapahtuu (ennen suostumusta vai sen jälkeen) ja mieluiten myös, mihin vastaanottaja on sijoittautunut. Fonttien ja skriptien ylläpitäminen omalla palvelimella on monen havainnon yksinkertaisin korjaus.

3. Tietosuojaseloste

Tietosuoja-asetuksen 13 ja 14 artikla luettelevat, mitä kävijöille on kerrottava: kuka rekisterinpitäjä on ja miten siihen saa yhteyden (sekä tietosuojavastaavaan, jos sellainen on nimitetty), kunkin käsittelytoimen tarkoitukset ja oikeusperusteet, vastaanottajat, siirrot ETA-alueen ulkopuolelle, säilytysajat, rekisteröidyn oikeudet, oikeus tehdä valitus valvontaviranomaiselle sekä se, käytetäänkö automaattista päätöksentekoa. 12 artiklan mukaan tietojen on lisäksi oltava tiiviitä, läpinäkyviä ja helposti saatavilla.

Automaattiset työkalut voivat varmistaa, että seloste on olemassa, siihen linkitetään jokaiselta sivulta ja siinä mainitaan vaaditut osat. Tärkeintä on kuitenkin se, vastaako sisältö sivuston todellista toimintaa, ja tätä skanneri voi vain arvioida likimääräisesti vertaamalla selostetta löytämiinsä seurantatyökaluihin.

4. Palveluntarjoajan tiedot (imprint)

Sähköistä kaupankäyntiä koskevan direktiivin 5 artikla edellyttää, että jokainen tietoyhteiskunnan palvelu asettaa tietyt tiedot ”helposti, suoraan ja pysyvästi saataville”: palveluntarjoajan nimi, maantieteellinen osoite, yhteystiedot sähköpostiosoite mukaan lukien, kaupparekisterimerkintä ja -numero, arvonlisäverotunniste sekä tarvittaessa valvova viranomainen tai ammatilliset säännöt. Useat jäsenvaltiot ovat panneet tämän täytäntöön erillisenä palveluntarjoajan tietojen sivuna (Saksan § 5 DDG, Itävallan § 5 ECG, Slovakian laki nro 22/2004 Kok.).

Tarkistuksen tulisi varmistaa, että sivu on olemassa, sen saavuttaa yhdellä tai kahdella napsautuksella jokaiselta sivulta ja se sisältää jokaisen osan. Lisätietoja: Palveluntarjoajan tiedot ja kuluttajansuojaan perustuvat tiedonantovelvollisuudet EU:n verkkokaupoille.

5. Kuluttajansuojaan perustuvat tiedot verkkokaupoille

Jos sivusto myy kuluttajille, kuluttajan oikeuksista annettu direktiivi lisää vaatimuksiin sopimusta edeltävät tiedot (6 artikla), tilauspainikkeen sanamuodon (8 artiklan 2 kohta) ja 14 päivän peruuttamisoikeuden (9 artikla). Omnibus-direktiivin 2019/2161 jälkeen verkkokauppojen on myös selitettävä, miten tuotteiden järjestys määräytyy, kerrottava, varmistavatko ne kuluttaja-arviot ja miten, sekä näytettävä aiempi hinta alennuksesta ilmoitettaessa (hintamerkintädirektiivin 6 a artikla).

6. Saavutettavuus

Esteettömyysdirektiiviä (European Accessibility Act) on 28. kesäkuuta 2025 alkaen sovellettu kuluttajille suunnattuun sähköiseen kaupankäyntiin ja useisiin muihin palveluihin. Käytännössä tämä tarkoittaa standardin EN 301 549 verkkovaatimusten täyttämistä; standardi viittaa WCAG 2.1 -ohjeiston AA-tasoon. Automaattinen testaus löytää luotettavasti puuttuvat tekstivastineet, riittämättömän kontrastin, nimeämättömät lomakekentät ja puuttuvat kielimääritteet; näppäimistökäyttö ja ruudunlukijan kulku vaativat edelleen manuaalista testausta. Katso Saavutettavuus (EAA 2025) verkkosivustoilla.

Yhden sivun tarkistuslista

Mitä mikään skanneri ei näe

Seloste käsittelytoimista (tietosuoja-asetuksen 30 artikla), käsittelijäsopimukset (28 artikla), tietosuojaa koskevat vaikutustenarvioinnit (35 artikla), palvelinpuolen seuranta ja kirjautumisen takana tapahtuva toiminta ovat indeksointirobotille näkymättömiä. Skannaus on paras ensimmäinen askel ja erinomainen regressiotesti; se ei ole täydellinen auditointi. Oppaamme Mitä automaattiset vaatimustenmukaisuuden skannerit voivat tarkistaa ja mitä eivät selittää, missä raja kulkee.