Što treba obuhvatiti provjera usklađenosti web-stranice u EU-u

„Je li naša web-stranica usklađena?” zvuči kao jedno pitanje. U EU-u riječ je o najmanje šest pitanja, uređenih različitim pravnim aktima s različitim tijelima za provedbu: tijelima za zaštitu podataka za kolačiće i obavijesti o privatnosti, tijelima za zaštitu potrošača za informacije u web-trgovinama i tijelima za nadzor tržišta za pristupačnost. Dobra provjera usklađenosti, bilo da je provodite sami ili kupite skener, trebala bi obuhvatiti sva ta područja i reći vam iz kojeg pravila proizlazi svaki nalaz.

1. Kolačići, pohrana i privola

Članak 5. stavak 3. Direktive o e-privatnosti zahtijeva privolu prije nego što se informacije pohrane na uređaj posjetitelja ili se s njega očitaju, osim ako su nužne za uslugu koju je posjetitelj izričito zatražio. Pravilo obuhvaća kolačiće, ali i lokalnu pohranu, piksele i tehnike otiska uređaja. Standard privole jest onaj iz GDPR-a: dobrovoljna, posebna, informirana i nedvosmislena (članak 4. točka 11. i članak 7. GDPR-a).

Provjera bi stoga trebala:

• učitati web-stranicu u čistom pregledniku bez interakcije i zabilježiti svaki kolačić, unos u pohranu i mrežni zahtjev koji se pojavi prije bilo kakvog odabira;
• ponoviti posjet nakon klika na „Odbij” i potvrditi da alati za praćenje koji nisu nužni ostaju isključeni;
• provjeriti je li odbijanje jednako jednostavno kao prihvaćanje, da nijedna mogućnost nije unaprijed odabrana te da se privola može povući jednako jednostavno kao što je dana (članak 7. stavak 3. GDPR-a);
• usporediti ono što navode banner i popis kolačića s onim što se stvarno učitava.

Naš zasebni vodič, Privola za kolačiće: što zahtijevaju pravila o e-privatnosti, ulazi u pojedinosti.

2. Zahtjevi trećih strana i prijenosi podataka

Svaki ugrađeni font, videozapis, karta, widget za chat ili analitička oznaka šalje IP adresu i podatke o pregledniku posjetitelja drugoj tvrtki. Prema GDPR-u to je prijenos osobnih podataka za koji je potrebna pravna osnova (članak 6.) i, ako je primatelj izvan EGP-a, mehanizam prijenosa iz poglavlja V. Sud EU-a presudio je u predmetu Fashion ID (C-40/17) da operater web-stranice koji ugradi dodatak treće strane može biti zajednički voditelj obrade za prikupljanje i prijenos podataka posjetitelja.

Skener bi trebao navesti svaki poslužitelj treće strane s kojim stranica uspostavlja vezu, kada to čini (prije ili nakon privole) i, po mogućnosti, gdje primatelj ima poslovni nastan. Samostalno udomljavanje fontova i skripti najjednostavnije je rješenje za mnoge nalaze.

3. Obavijest o privatnosti

Članci 13. i 14. GDPR-a navode što posjetitelji moraju saznati: tko je voditelj obrade i kako ga kontaktirati (i službenika za zaštitu podataka, ako je imenovan), svrhe i pravne osnove svake aktivnosti obrade, primatelje, prijenose izvan EGP-a, razdoblja čuvanja, prava ispitanika, pravo na pritužbu nadzornom tijelu te koristi li se automatizirano donošenje odluka. Članak 12. dodaje da informacije moraju biti sažete, transparentne i lako dostupne.

Automatizirani alati mogu potvrditi da obavijest postoji, da je povezana sa svake stranice i da spominje propisane elemente. Odgovara li sadržaj onome što web-stranica stvarno radi najvažniji je dio, a to je dio koji skener može samo približno procijeniti usporedbom obavijesti s pronađenim alatima za praćenje.

4. Podaci o pružatelju („impresum”)

Članak 5. Direktive o elektroničkoj trgovini zahtijeva da svaka usluga informacijskog društva određene podatke učini „lako, izravno i trajno dostupnima”: ime pružatelja, zemljopisnu adresu, kontaktne podatke uključujući adresu e-pošte, upis i broj u trgovačkom registru, PDV identifikacijski broj te, gdje je relevantno, nadzorno tijelo ili profesionalna pravila. Nekoliko država članica to provodi kao zasebnu stranicu impresuma (u Njemačkoj § 5 DDG, u Austriji § 5 ECG, u Slovačkoj Zakon br. 22/2004 Z. z.).

Provjera bi trebala potvrditi da stranica postoji, da je dostupna jednim ili dvama klikovima sa svake stranice i da sadrži svaki element. Više pojedinosti: Impresum i obveze informiranja prema potrošačkom pravu za web-trgovine u EU-u.

5. Informacije prema potrošačkom pravu za web-trgovine

Ako web-stranica prodaje potrošačima, Direktiva o pravima potrošača dodaje predugovorne informacije (članak 6.), tekst gumba za narudžbu (članak 8. stavak 2.) i 14-dnevno pravo na jednostrani raskid ugovora (članak 9.). Od Direktive Omnibus 2019/2161 trgovine moraju objasniti i kako se određuje poredak proizvoda, navesti provjeravaju li i kako recenzije potrošača te pri najavi sniženja prikazati prethodnu cijenu (Direktiva o isticanju cijena, članak 6.a).

6. Pristupačnost

Od 28. lipnja 2025. Europski akt o pristupačnosti primjenjuje se na e-trgovinu namijenjenu potrošačima i na nekoliko drugih usluga. U praksi to znači ispunjavanje zahtjeva za web iz norme EN 301 549, koja upućuje na WCAG 2.1 razine AA. Automatizirano testiranje pouzdano pronalazi nedostajući alternativni tekst, nedovoljan kontrast, neoznačena polja obrazaca i nedostajuće atribute jezika; rukovanje tipkovnicom i tijek s čitačem zaslona i dalje zahtijevaju ručno testiranje. Pogledajte Pristupačnost (EAA 2025) za web-stranice.

Kontrolni popis na jednoj stranici

Ono što nijedan skener ne vidi

Evidencija aktivnosti obrade (članak 30. GDPR-a), ugovori s izvršiteljima obrade (članak 28.), procjene učinka na zaštitu podataka (članak 35.), praćenje na strani poslužitelja i ono što se događa u područjima za prijavljene korisnike nevidljivi su alatu za indeksiranje. Skeniranje je najbolji prvi korak i izvrstan regresijski test; nije potpuna revizija. Naš vodič Što automatizirani skeneri usklađenosti mogu, a što ne mogu provjeriti objašnjava gdje je granica.