Co automatyczne skanery zgodności mogą, a czego nie mogą sprawdzić

Automatyczne skanery stały się domyślnym pierwszym krokiem w zakresie zgodności stron internetowych z przepisami. Są szybkie, tanie w porównaniu z ręcznym audytem i powtarzalne. Łatwo też jednak obdarzyć je nadmiernym zaufaniem. Ten poradnik wyjaśnia, co faktycznie robią, aby mogli Państwo prawidłowo odczytać raport i wybrać odpowiednią usługę.

Jak działa skaner

Większość usług wczytuje strony w prawdziwej, zautomatyzowanej przeglądarce, często z lokalizacji w UE i z czystym profilem. Rejestrują pliki cookie, pamięć przeglądarki, żądania sieciowe i kod HTML strony, a następnie wchodzą w interakcję z banerem zgody: akceptują, odrzucają albo robią jedno i drugie. Reguły przypisują zaobserwowane zdarzenia do wymogów prawnych, na przykład „żądanie do hosta reklamowego przed wyrażeniem zgody” do art. 5 ust. 3 dyrektywy ePrivacy. Lepsze usługi zachowują zrzuty ekranu, logi żądań i znaczniki czasu jako dowody.

W czym skanery są mocne

• Śledzenie przed wyrażeniem zgody. Wykrywanie plików cookie i żądań do podmiotów trzecich przed jakimkolwiek wyborem to ich główna mocna strona i zarazem najczęstsze naruszenie w praktyce.
• Zachowanie banera. Czy opcja „odrzuć” istnieje, czy działa i czy narzędzia śledzące nie wracają po przejściu na inną podstronę.
• Inwentaryzacja. Lista wszystkich plików cookie, kluczy pamięci przeglądarki i hostów podmiotów trzecich, przydatna przy tworzeniu informacji o prywatności i dokumentacji.
• Kontrole obecności. Czy nota prawna, informacja o prywatności i regulamin są podlinkowane z każdej podstrony.
• Podstawy dostępności. Kontrast, brakujące teksty alternatywne, nieopisane pola i podobne kryteria WCAG, które można testować maszynowo.
• Regresja. Ponowne uruchomienie po każdym wdrożeniu wychwyci tag, który ktoś dodał w piątek.

Gdzie kończą się ich możliwości

• Dokumenty i umowy. Rejestr czynności przetwarzania (art. 30 RODO), umowy powierzenia przetwarzania (art. 28), zabezpieczenia przekazywania danych i oceny skutków (art. 35) nie znajdują się na stronie internetowej.
• Przetwarzanie po stronie serwera. Tagowanie po stronie serwera, synchronizacja z CRM i to, co dzieje się z danymi z formularzy, są z poziomu przeglądarki niewidoczne.
• Obszary po zalogowaniu i proces zamówienia. Jeżeli skaner nie otrzyma danych logowania lub kont testowych, strony konta i procesy płatności nie są objęte kontrolą.
• Znaczenie. Narzędzie może stwierdzić, że informacja o prywatności wspomina o „okresie przechowywania”; nie może potwierdzić, że podany okres odpowiada temu, co faktycznie robią Państwa systemy.
• Ocena prawna. To, czy prawnie uzasadniony interes przeważa nad prawami odwiedzającego lub czy plik cookie jest bezwzględnie niezbędny dla Państwa usługi, wymaga oceny.
• Ręczne testy dostępności. Ścieżki obsługi z klawiatury, przebieg w czytniku ekranu i obciążenie poznawcze w rozumieniu Europejskiego aktu o dostępności wymagają człowieka.

Jak wybrać usługę

Usługi, które oceniamy, różnią się nie tyle tym, czy znajdują pliki cookie, ile tym, co robią z wynikiem. Warto zadać następujące pytania:

1. Zakres. Tylko pliki cookie i zgoda, czy także informacja o prywatności, nota prawna, prawo konsumenckie i dostępność?
2. Interakcja ze zgodą. Czy testuje ścieżkę odrzucenia, czy tylko wymienia pliki cookie?
3. Dowody. Czy raport dokumentuje, kiedy, skąd i w jaki sposób strona była testowana, wraz ze zrzutami ekranu lub logami żądań, które można by pokazać organowi?
4. Głębokość dla UE. Czy zna specyfikę krajową, taką jak zasady dotyczące noty prawnej, języki i wytyczne organów w krajach, w których Państwo sprzedają?
5. Naprawy. Czy każdemu ustaleniu towarzyszą konkretne wskazówki, na podstawie których może działać Państwa programista?
6. Przejrzystość cen. Czy ceny i limity są opublikowane, czy dostępne tylko na zapytanie?

Te pytania, w formie ważonej, stanowią kryteria opisane na naszej stronie metodologii. Dłuższa lista ustaleń nie jest automatycznie lepsza: fałszywe alarmy kosztują czas programistów, a raport, który nie odróżnia pliku cookie bezwzględnie niezbędnego od reklamowego, uczy zespoły, by go ignorować.

Platforma zgód czy skaner?

Platforma zarządzania zgodami (CMP) obsługuje baner; skaner sprawdza, czy baner i wszystko inne na stronie działa tak, jak powinno. Niektórzy dostawcy oferują jedno i drugie, a wiele platform CMP zawiera skan plików cookie, który zasila ich listę plików cookie. Nawet jeśli korzystają już Państwo z CMP, warto mieć osobny test ścieżki odrzucenia przeprowadzany spoza CMP, ponieważ najczęstszym błędem jest prawidłowo zainstalowana platforma CMP z tagami, które ją omijają.