Che cosa gli scanner di conformità automatizzati possono e non possono verificare

Gli scanner automatizzati sono diventati il primo passo predefinito per la conformità dei siti web. Sono rapidi, economici rispetto a un audit manuale e ripetibili. È anche facile riporvi troppa fiducia. Questa guida spiega che cosa fanno davvero, così da poter leggere correttamente un report e scegliere un servizio adatto.

Come funziona uno scanner

La maggior parte dei servizi carica le Sue pagine in un vero browser automatizzato, spesso da una località nell’UE e con un profilo pulito. Registra cookie, archiviazione, richieste di rete e l’HTML della pagina, quindi interagisce con il banner di consenso: accettando, rifiutando o entrambe le cose. Delle regole associano ciò che osserva ai requisiti giuridici, ad esempio «una richiesta a un host pubblicitario prima del consenso» all’articolo 5, paragrafo 3, della direttiva ePrivacy. I servizi migliori conservano screenshot, log delle richieste e marche temporali come prova.

Dove gli scanner sono forti

• Tracciamento prima del consenso. Rilevare cookie e richieste a terze parti prima di qualsiasi scelta è il loro punto di forza principale, ed è la violazione più comune nella pratica.
• Comportamento del banner. Se esiste un pulsante «rifiuta», se funziona e se i tracker ricompaiono dopo la navigazione.
• Inventario. Un elenco di ogni cookie, chiave di archiviazione e host di terze parti, utile per la Sua informativa privacy e i Suoi registri.
• Verifiche di presenza. Se note legali, informativa privacy e condizioni generali sono collegate da ogni pagina.
• Accessibilità di base. Contrasto, testo alternativo mancante, campi senza etichetta e criteri WCAG analoghi verificabili da una macchina.
• Regressione. Ripetere la scansione dopo ogni rilascio permette di individuare il tag che qualcuno ha aggiunto venerdì.

Dove raggiungono i loro limiti

• Documenti e contratti. I registri delle attività di trattamento (articolo 30 del GDPR), gli accordi con i responsabili del trattamento (articolo 28), le garanzie per i trasferimenti e le valutazioni d’impatto (articolo 35) non si trovano sul sito web.
• Trattamenti lato server. Il tagging lato server, la sincronizzazione con il CRM e ciò che accade ai moduli inviati sono invisibili dal browser.
• Aree riservate e checkout. A meno di fornire allo scanner credenziali o account di prova, le pagine dell’account e i flussi di pagamento non sono coperti.
• Il significato. Uno strumento può rilevare che un’informativa privacy menziona la «conservazione»; non può confermare che il periodo indicato corrisponda a ciò che fanno i Suoi sistemi.
• La valutazione giuridica. Stabilire se un legittimo interesse prevalga sui diritti del visitatore, o se un cookie sia strettamente necessario per il Suo servizio, è una questione di valutazione caso per caso.
• L’accessibilità manuale. I percorsi da tastiera, l’uso con lettore di schermo e il carico cognitivo ai sensi dell’European Accessibility Act richiedono una persona.

Come scegliere un servizio

I servizi che valutiamo si distinguono meno per la capacità di trovare cookie che per ciò che fanno con il risultato. Domande utili da porsi:

1. Ambito. Solo cookie e consenso, o anche informativa privacy, note legali, diritto dei consumatori e accessibilità?
2. Interazione con il consenso. Testa il percorso di rifiuto o si limita a elencare i cookie?
3. Prove. Il report registra quando, da dove e come è stato testato il sito, con screenshot o log delle richieste che potrebbe mostrare a un’autorità?
4. Profondità europea. Conosce le specificità nazionali, come le regole sulle note legali, le lingue e le indicazioni delle autorità nei Paesi in cui vende?
5. Correzioni. Ogni rilievo è accompagnato da indicazioni concrete su cui il Suo sviluppatore può intervenire?
6. Trasparenza dei prezzi. Prezzi e limiti sono pubblicati o disponibili solo su richiesta?

Queste domande sono, in forma ponderata, i criteri della nostra pagina della metodologia. Un elenco di rilievi più lungo non è automaticamente migliore: i falsi positivi costano tempo di sviluppo, e un report che non sa distinguere un cookie strettamente necessario da uno pubblicitario insegna ai team a ignorarlo.

Piattaforma di consenso o scanner?

Una piattaforma di gestione del consenso (CMP) gestisce il Suo banner; uno scanner verifica se il banner e tutto il resto del sito si comportano come dovrebbero. Alcuni fornitori offrono entrambi, e molte CMP includono una scansione dei cookie per popolare il proprio elenco dei cookie. Se utilizza già una CMP, un test separato del percorso di rifiuto, eseguito dall’esterno della CMP, resta comunque utile, perché il malfunzionamento più comune è una CMP installata correttamente con tag che la aggirano.