Ką turėtų apimti ES svetainės atitikties patikra

„Ar mūsų svetainė atitinka reikalavimus?“ skamba kaip vienas klausimas. ES jų yra mažiausiai šeši, juos reglamentuoja skirtingi teisės aktai ir prižiūri skirtingos institucijos: duomenų apsaugos institucijos – slapukus ir privatumo pranešimus, vartotojų teisių apsaugos institucijos – e. parduotuvių informaciją, o rinkos priežiūros institucijos – prieinamumą. Gera atitikties patikra, nesvarbu, ar ją atliekate patys, ar perkate skenerį, turėtų apimti visas šias sritis ir nurodyti, iš kurios taisyklės kyla kiekvienas radinys.

1. Slapukai, saugojimas ir sutikimas

E. privatumo direktyvos 5 straipsnio 3 dalis reikalauja sutikimo prieš saugant informaciją lankytojo įrenginyje arba nuskaitant ją iš jo, nebent tai griežtai būtina lankytojo aiškiai paprašytai paslaugai teikti. Taisyklė taikoma slapukams, bet taip pat vietinei saugyklai (local storage), pikseliams ir pirštų atspaudų (fingerprinting) technikoms. Sutikimo standartas yra BDAR standartas: laisva valia duotas, konkretus, informuotas ir nedviprasmiškas (BDAR 4 straipsnio 11 punktas ir 7 straipsnis).

Todėl patikra turėtų:

• įkelti svetainę švarioje naršyklėje nieko nespaudžiant ir užfiksuoti kiekvieną slapuką, saugyklos įrašą ir tinklo užklausą, kurie atsiranda prieš bet kokį pasirinkimą;
• pakartoti apsilankymą paspaudus „Atmesti“ ir patvirtinti, kad nebūtini sekikliai lieka išjungti;
• patikrinti, ar atmesti taip pat paprasta kaip priimti, ar jokia parinktis nėra iš anksto pažymėta ir ar sutikimą galima atšaukti taip pat paprastai, kaip jis buvo duotas (BDAR 7 straipsnio 3 dalis);
• palyginti tai, ką teigia baneris ir slapukų sąrašas, su tuo, kas iš tikrųjų įkeliama.

Mūsų atskirame vadove Slapukų sutikimas: ko reikalauja e. privatumo taisyklės išsamiai aptariamos detalės.

2. Trečiųjų šalių užklausos ir duomenų perdavimas

Kiekvienas įterptas šriftas, vaizdo įrašas, žemėlapis, pokalbių valdiklis ar analitikos žyma siunčia lankytojo IP adresą ir naršyklės duomenis kitai įmonei. Pagal BDAR tai yra asmens duomenų perdavimas, kuriam reikia teisinio pagrindo (6 straipsnis), o jei gavėjas yra už EEE ribų, – perdavimo priemonės pagal V skyrių. Teisingumo Teismas byloje Fashion ID (C-40/17) nusprendė, kad svetainės valdytojas, įterpiantis trečiosios šalies papildinį, gali būti bendras duomenų valdytojas renkant ir perduodant lankytojų duomenis.

Skeneris turėtų išvardyti kiekvieną trečiosios šalies serverį, su kuriuo susisiekia puslapis, kada tai vyksta (prieš sutikimą ar po jo) ir, idealiu atveju, kur gavėjas yra įsisteigęs. Šriftų ir scenarijų talpinimas savame serveryje yra paprasčiausias daugelio radinių sprendimas.

3. Privatumo pranešimas

BDAR 13 ir 14 straipsniuose išvardyta, apie ką turi būti informuoti lankytojai: kas yra duomenų valdytojas ir kaip su juo susisiekti (taip pat su duomenų apsaugos pareigūnu, jei jis paskirtas), kiekvienos tvarkymo veiklos tikslai ir teisinis pagrindas, gavėjai, perdavimas už EEE ribų, saugojimo laikotarpiai, duomenų subjekto teisės, teisė pateikti skundą priežiūros institucijai ir ar naudojamas automatizuotas sprendimų priėmimas. 12 straipsnis papildo, kad informacija turi būti glausta, skaidri ir lengvai prieinama.

Automatizuoti įrankiai gali patvirtinti, kad pranešimas yra, į jį pateikiama nuoroda iš kiekvieno puslapio ir jame minimi reikalaujami elementai. Ar turinys atitinka tai, ką svetainė iš tikrųjų daro, yra svarbiausia dalis, ir būtent ją skeneris gali įvertinti tik apytiksliai, palygindamas pranešimą su rastais sekikliais.

4. Informacija apie paslaugos teikėją („rekvizitai“)

Elektroninės prekybos direktyvos 5 straipsnis reikalauja, kad kiekviena informacinės visuomenės paslauga tam tikrą informaciją padarytų „lengvai, tiesiogiai ir nuolat prieinamą“: paslaugos teikėjo pavadinimą, geografinį adresą, kontaktinius duomenis, įskaitant el. pašto adresą, įrašą prekybos registre ir registracijos numerį, PVM mokėtojo kodą ir, jei taikoma, priežiūros instituciją ar profesines taisykles. Kelios valstybės narės tai įgyvendina kaip atskirą rekvizitų puslapį (Vokietija – § 5 DDG, Austrija – § 5 ECG, Slovakija – Įstatymas Nr. 22/2004 Coll.).

Patikra turėtų patvirtinti, kad puslapis yra, jį galima pasiekti vienu ar dviem paspaudimais iš kiekvieno puslapio ir jame yra kiekvienas elementas. Daugiau: Rekvizitai ir vartotojų teisės informavimo prievolės ES e. parduotuvėms.

5. Vartotojų teisės informacija e. parduotuvėms

Jei svetainė parduoda vartotojams, Vartotojų teisių direktyva prideda ikisutartinę informaciją (6 straipsnis), užsakymo mygtuko formuluotę (8 straipsnio 2 dalis) ir 14 dienų teisę atsisakyti sutarties (9 straipsnis). Nuo Omnibus direktyvos 2019/2161 e. parduotuvės taip pat turi paaiškinti, kaip nustatomas produktų reitingavimas, nurodyti, ar ir kaip jos tikrina vartotojų atsiliepimus, o skelbdamos kainos sumažinimą – rodyti ankstesnę kainą (Kainų nurodymo direktyva, 6a straipsnis).

6. Prieinamumas

Nuo 2025 m. birželio 28 d. Europos prieinamumo aktas taikomas vartotojams skirtai e. prekybai ir kelioms kitoms paslaugoms. Praktiškai tai reiškia, kad reikia atitikti standarto EN 301 549 žiniatinklio reikalavimus, kurie remiasi WCAG 2.1 AA lygiu. Automatizuoti testai patikimai randa trūkstamą alternatyvųjį tekstą, nepakankamą kontrastą, formų laukus be pavadinimų ir trūkstamus kalbos atributus; valdymą klaviatūra ir ekrano skaitytuvo eigą vis dar reikia tikrinti rankiniu būdu. Žr. Prieinamumas (EAA 2025) svetainėms.

Kontrolinis sąrašas viename puslapyje

Ko nemato joks skeneris

Duomenų tvarkymo veiklos įrašai (BDAR 30 straipsnis), sutartys su duomenų tvarkytojais (28 straipsnis), poveikio duomenų apsaugai vertinimai (35 straipsnis), serverio pusės sekimas ir tai, kas vyksta prisijungus pasiekiamose srityse, paieškos robotui nematomi. Skenavimas yra geriausias pirmasis žingsnis ir puikus regresijos testas; tačiau tai nėra visas auditas. Mūsų vadove Ką automatizuoti atitikties skeneriai gali ir ko negali patikrinti paaiškinta, kur eina riba.