Kas jāaptver ES tīmekļa vietnes atbilstības pārbaudei

„Vai mūsu tīmekļa vietne ir atbilstoša?“ izklausās pēc viena jautājuma. ES tie ir vismaz seši, ko regulē dažādi tiesību akti un uzrauga dažādas iestādes: datu aizsardzības iestādes attiecībā uz sīkdatnēm un privātuma paziņojumiem, patērētāju aizsardzības iestādes attiecībā uz e-veikalu informāciju un tirgus uzraudzības iestādes attiecībā uz piekļūstamību. Labai atbilstības pārbaudei, gan tad, ja to veicat paši, gan tad, ja iegādājaties skeneri, jāaptver tie visi un jānorāda, no kura noteikuma izriet katrs konstatējums.

1. Sīkdatnes, glabāšana un piekrišana

E-privātuma direktīvas 5. panta 3. punkts prasa piekrišanu, pirms informācija tiek saglabāta apmeklētāja ierīcē vai nolasīta no tās, ja vien tas nav absolūti nepieciešams pakalpojumam, ko apmeklētājs ir skaidri pieprasījis. Noteikums attiecas uz sīkdatnēm, bet arī uz lokālo krātuvi (local storage), pikseļiem un pirkstu nospiedumu noteikšanas (fingerprinting) metodēm. Piekrišanas standarts ir VDAR standarts: brīvi sniegta, konkrēta, apzināta un viennozīmīga (VDAR 4. panta 11. punkts un 7. pants).

Tāpēc pārbaudei:

• jāielādē vietne tīrā pārlūkprogrammā bez jebkādas darbības un jāreģistrē katra sīkdatne, krātuves ieraksts un tīkla pieprasījums, kas parādās pirms jebkādas izvēles;
• jāatkārto apmeklējums pēc noklikšķināšanas uz „Noraidīt“ un jāpārliecinās, ka nebūtiskie izsekotāji paliek izslēgti;
• jāpārbauda, vai noraidīt ir tikpat vienkārši kā pieņemt, vai neviena iespēja nav iepriekš atzīmēta un vai piekrišanu var atsaukt tikpat vienkārši, kā tā tika sniegta (VDAR 7. panta 3. punkts);
• jāsalīdzina tas, ko apgalvo baneris un sīkdatņu saraksts, ar to, kas faktiski tiek ielādēts.

Mūsu atsevišķajā ceļvedī Sīkdatņu piekrišana: ko pieprasa e-privātuma noteikumi aplūkotas detaļas.

2. Trešo pušu pieprasījumi un datu nosūtīšana

Katrs iegultais fonts, video, karte, tērzēšanas logrīks vai analītikas tags nosūta apmeklētāja IP adresi un pārlūkprogrammas datus citam uzņēmumam. Saskaņā ar VDAR tā ir personas datu nosūtīšana, kurai nepieciešams tiesisks pamats (6. pants) un, ja saņēmējs atrodas ārpus EEZ, nosūtīšanas mehānisms saskaņā ar V nodaļu. Eiropas Savienības Tiesa lietā Fashion ID (C-40/17) atzina, ka vietnes pārzinis, kas iegulst trešās puses spraudni, var būt kopīgs pārzinis attiecībā uz apmeklētāju datu vākšanu un nosūtīšanu.

Skenerim būtu jāuzskaita katrs trešās puses resursdators, ar kuru lapa sazinās, kad tas notiek (pirms vai pēc piekrišanas) un, ideālā gadījumā, kur saņēmējs atrodas. Fontu un skriptu mitināšana savā serverī ir vienkāršākais risinājums daudziem konstatējumiem.

3. Privātuma paziņojums

VDAR 13. un 14. pants nosaka, kas apmeklētājiem jāpaziņo: kas ir pārzinis un kā ar to sazināties (kā arī ar datu aizsardzības speciālistu, ja tāds iecelts), katras apstrādes darbības nolūki un tiesiskais pamats, saņēmēji, nosūtīšana ārpus EEZ, glabāšanas laikposmi, datu subjekta tiesības, tiesības iesniegt sūdzību uzraudzības iestādei un vai tiek izmantota automatizēta lēmumu pieņemšana. 12. pants papildina, ka informācijai jābūt kodolīgai, pārredzamai un viegli pieejamai.

Automatizēti rīki var apstiprināt, ka paziņojums pastāv, uz to ir saite no katras lapas un tajā minēti prasītie elementi. Tas, vai saturs atbilst tam, ko vietne faktiski dara, ir vissvarīgākā daļa, un tieši to skeneris var novērtēt tikai aptuveni, salīdzinot paziņojumu ar atrastajiem izsekotājiem.

4. Informācija par pakalpojuma sniedzēju („rekvizīti“)

Elektroniskās tirdzniecības direktīvas 5. pants prasa, lai katrs informācijas sabiedrības pakalpojums noteiktu informāciju darītu „viegli, tieši un pastāvīgi pieejamu“: pakalpojuma sniedzēja nosaukumu, ģeogrāfisko adresi, kontaktinformāciju, tostarp e-pasta adresi, ierakstu komercreģistrā un reģistrācijas numuru, PVN reģistrācijas numuru un, ja attiecas, uzraudzības iestādi vai profesionālos noteikumus. Vairākas dalībvalstis to ievieš kā atsevišķu rekvizītu lapu (Vācijā § 5 DDG, Austrijā § 5 ECG, Slovākijā Likums Nr. 22/2004 Coll.).

Pārbaudei jāapstiprina, ka lapa pastāv, ir sasniedzama ar vienu vai diviem klikšķiem no katras lapas un satur katru elementu. Vairāk: Rekvizīti un patērētāju tiesību informēšanas pienākumi ES e-veikaliem.

5. Patērētāju tiesību informācija e-veikaliem

Ja vietne pārdod patērētājiem, Patērētāju tiesību direktīva pievieno pirmslīguma informāciju (6. pants), pasūtījuma pogas formulējumu (8. panta 2. punkts) un 14 dienu atteikuma tiesības (9. pants). Kopš Omnibus direktīvas 2019/2161 e-veikaliem arī jāpaskaidro, kā tiek noteikta produktu ranžēšana, jānorāda, vai un kā tie pārbauda patērētāju atsauksmes, un, paziņojot par cenas samazinājumu, jārāda iepriekšējā cena (Cenu norādīšanas direktīva, 6.a pants).

6. Piekļūstamība

Kopš 2025. gada 28. jūnija Eiropas Pieejamības akts attiecas uz patērētājiem paredzēto e-komerciju un vairākiem citiem pakalpojumiem. Praksē tas nozīmē atbilst standarta EN 301 549 tīmekļa prasībām, kas atsaucas uz WCAG 2.1 AA līmeni. Automatizēta testēšana uzticami atrod trūkstošu alternatīvo tekstu, nepietiekamu kontrastu, formu laukus bez nosaukumiem un trūkstošus valodas atribūtus; darbību ar tastatūru un ekrāna lasītāja plūsmu joprojām jātestē manuāli. Skatiet Piekļūstamība (EAA 2025) tīmekļa vietnēm.

Kontrolsaraksts vienā lapā

Ko neviens skeneris neredz

Apstrādes darbību reģistri (VDAR 30. pants), līgumi ar apstrādātājiem (28. pants), novērtējumi par ietekmi uz datu aizsardzību (35. pants), servera puses izsekošana un tas, kas notiek autorizētās zonās, rāpuļprogrammai nav redzami. Skenēšana ir labākais pirmais solis un lielisks regresijas tests; pilns audits tā nav. Mūsu ceļvedis Ko automatizēti atbilstības skeneri var un nevar pārbaudīt izskaidro, kur ir robeža.