Wat geautomatiseerde compliancescanners wel en niet kunnen controleren

Geautomatiseerde scanners zijn de standaard eerste stap geworden voor de compliance van websites. Ze zijn snel, goedkoop vergeleken met een handmatige audit en herhaalbaar. Ze worden ook gemakkelijk te veel vertrouwd. Deze gids legt uit wat ze werkelijk doen, zodat u een rapport goed kunt lezen en een dienst kunt kiezen die past.

Hoe een scanner werkt

De meeste diensten laden uw pagina’s in een echte, geautomatiseerde browser, vaak vanaf een locatie in de EU en met een schoon profiel. Ze leggen cookies, opslag, netwerkverzoeken en de HTML van de pagina vast en gaan daarna de interactie aan met de toestemmingsbanner: accepteren, weigeren of beide. Regels koppelen wat ze waarnemen aan wettelijke eisen, bijvoorbeeld ‘een verzoek aan een advertentiehost vóór toestemming’ aan artikel 5, lid 3, van de ePrivacy-richtlijn. Betere diensten bewaren screenshots, logboeken van verzoeken en tijdstempels als bewijs.

Waar scanners sterk in zijn

• Tracking vóór toestemming. Het opsporen van cookies en verzoeken aan derden vóór elke keuze is hun belangrijkste kracht, en de meest voorkomende overtreding in de praktijk.
• Gedrag van de banner. Of er een optie ‘Weigeren’ is, of die werkt en of trackers na het navigeren terugkomen.
• Inventarisatie. Een lijst van elke cookie, elke opslagsleutel en elke externe host, handig voor uw privacyverklaring en uw administratie.
• Aanwezigheidscontroles. Of er vanaf elke pagina naar een colofon, een privacyverklaring en voorwaarden wordt gelinkt.
• Basis van toegankelijkheid. Contrast, ontbrekende alternatieve tekst, velden zonder label en vergelijkbare WCAG-criteria die machinaal te testen zijn.
• Regressie. Na elke release opnieuw scannen vangt de tag die iemand op vrijdag heeft toegevoegd.

Waar hun grenzen liggen

• Documenten en contracten. Verwerkingsregisters (artikel 30 AVG), verwerkersovereenkomsten (artikel 28), waarborgen voor doorgifte en effectbeoordelingen (artikel 35) staan niet op de website.
• Verwerking aan de serverkant. Server-side tagging, CRM-synchronisatie en wat er met verzonden formulieren gebeurt, zijn vanuit de browser onzichtbaar.
• Ingelogde omgevingen en afrekenprocessen. Tenzij u de scanner inloggegevens of testaccounts geeft, vallen accountpagina’s en betaalprocessen erbuiten.
• Betekenis. Een tool kan vaststellen dat een privacyverklaring ‘bewaartermijn’ vermeldt; hij kan niet bevestigen dat de genoemde termijn is wat uw systemen doen.
• Juridisch oordeel. Of een gerechtvaardigd belang zwaarder weegt dan de rechten van de bezoeker, of een cookie strikt noodzakelijk is voor uw dienst, is een kwestie van afweging.
• Handmatige toegankelijkheid. Toetsenbordroutes, het verloop met een schermlezer en de cognitieve belasting onder de European Accessibility Act vragen om een mens.

Hoe u een dienst kiest

De diensten die we beoordelen, verschillen minder in de vraag of ze cookies vinden dan in wat ze met het resultaat doen. Vragen die het stellen waard zijn:

1. Reikwijdte. Alleen cookies en toestemming, of ook privacyverklaring, colofon, consumentenrecht en toegankelijkheid?
2. Interactie met toestemming. Test de dienst de weigerroute, of somt hij alleen cookies op?
3. Bewijs. Legt het rapport vast wanneer, vanaf waar en hoe de site is getest, met screenshots of logboeken van verzoeken die u aan een autoriteit zou kunnen tonen?
4. Diepgang voor de EU. Kent de dienst nationale bijzonderheden, zoals colofonregels, talen en richtsnoeren van autoriteiten in de landen waaraan u verkoopt?
5. Oplossingen. Komt elke bevinding met concrete instructies waarmee uw ontwikkelaar aan de slag kan?
6. Prijstransparantie. Zijn prijzen en limieten gepubliceerd, of alleen op aanvraag beschikbaar?

Deze vragen vormen, in gewogen vorm, de criteria op onze methodologiepagina. Een langere lijst met bevindingen is niet automatisch beter: valspositieve meldingen kosten ontwikkeltijd, en een rapport dat een strikt noodzakelijke cookie niet van een advertentiecookie kan onderscheiden, leert teams het te negeren.

Toestemmingsplatform of scanner?

Een consentmanagementplatform (CMP) beheert uw banner; een scanner controleert of de banner en al het andere op de site zich gedragen zoals het hoort. Sommige aanbieders bieden beide, en veel CMP’s bevatten een cookiescan om hun cookielijst te vullen. Gebruikt u al een CMP, dan is een aparte test van de weigerroute van buiten de CMP nog steeds de moeite waard, omdat de meest voorkomende fout een correct geïnstalleerde CMP is met tags die eromheen gaan.