Co powinna obejmować kontrola zgodności strony internetowej w UE

„Czy nasza strona jest zgodna z przepisami?” brzmi jak jedno pytanie. W UE to co najmniej sześć pytań, regulowanych przez różne akty prawne i egzekwowanych przez różne organy: organy ochrony danych w zakresie plików cookie i informacji o prywatności, organy ochrony konsumentów w zakresie informacji w sklepach oraz organy nadzoru rynku w zakresie dostępności. Dobra kontrola zgodności, zarówno przeprowadzana samodzielnie, jak i z użyciem kupionego skanera, powinna objąć je wszystkie i wskazać, z którego przepisu wynika każde ustalenie.

1. Pliki cookie, przechowywanie informacji i zgoda

Art. 5 ust. 3 dyrektywy ePrivacy wymaga zgody przed zapisaniem informacji na urządzeniu odwiedzającego lub uzyskaniem do nich dostępu, chyba że jest to bezwzględnie niezbędne do świadczenia usługi, której odwiedzający wyraźnie zażądał. Przepis obejmuje pliki cookie, ale także local storage, piksele i techniki fingerprintingu. Standard zgody jest taki sam jak w RODO: dobrowolna, konkretna, świadoma i jednoznaczna (art. 4 pkt 11 i art. 7 RODO).

Kontrola powinna zatem:

• wczytać stronę w czystej przeglądarce bez żadnej interakcji i zarejestrować każdy plik cookie, każdy wpis w pamięci przeglądarki i każde żądanie sieciowe, które pojawią się przed dokonaniem jakiegokolwiek wyboru;
• powtórzyć wizytę po kliknięciu „odrzuć” i potwierdzić, że narzędzia śledzące, które nie są niezbędne, pozostają wyłączone;
• sprawdzić, czy odrzucenie jest tak samo łatwe jak akceptacja, czy żadna opcja nie jest zaznaczona domyślnie i czy zgodę można wycofać równie łatwo, jak ją wyrażono (art. 7 ust. 3 RODO);
• porównać to, co deklarują baner i lista plików cookie, z tym, co faktycznie się wczytuje.

Szczegóły omawia nasz osobny poradnik Zgoda na pliki cookie: czego wymagają przepisy ePrivacy.

2. Żądania do podmiotów trzecich i przekazywanie danych

Każda osadzona czcionka, film, mapa, widżet czatu czy tag analityczny wysyła adres IP i dane przeglądarki odwiedzającego do innej firmy. W świetle RODO jest to przekazanie danych osobowych, które wymaga podstawy prawnej (art. 6), a jeżeli odbiorca znajduje się poza EOG, także mechanizmu przekazywania zgodnie z rozdziałem V. Trybunał Sprawiedliwości orzekł w sprawie Fashion ID (C-40/17), że operator strony, który osadza wtyczkę podmiotu trzeciego, może być współadministratorem w zakresie zbierania i przekazywania danych odwiedzających.

Skaner powinien wymienić każdy host podmiotu trzeciego, z którym kontaktuje się strona, moment tego kontaktu (przed zgodą czy po niej) oraz, najlepiej, miejsce siedziby odbiorcy. Hostowanie czcionek i skryptów na własnym serwerze to najprostsze rozwiązanie wielu ustaleń.

3. Informacja o prywatności

Art. 13 i 14 RODO wymieniają, o czym należy poinformować odwiedzających: kto jest administratorem i jak się z nim skontaktować (a także z inspektorem ochrony danych, jeżeli został wyznaczony), cele i podstawy prawne każdej czynności przetwarzania, odbiorców, przekazywanie danych poza EOG, okresy przechowywania, prawa osób, których dane dotyczą, prawo do wniesienia skargi do organu nadzorczego oraz to, czy stosowane jest zautomatyzowane podejmowanie decyzji. Art. 12 dodaje, że informacje muszą być zwięzłe, przejrzyste i łatwo dostępne.

Narzędzia automatyczne mogą potwierdzić, że informacja istnieje, jest podlinkowana z każdej podstrony i wymienia wymagane elementy. To, czy treść odpowiada temu, co strona faktycznie robi, jest najważniejszą częścią, a zarazem tą, którą skaner może jedynie przybliżyć, porównując informację z wykrytymi narzędziami śledzącymi.

4. Informacje o usługodawcy („nota prawna”)

Art. 5 dyrektywy o handlu elektronicznym wymaga, aby każda usługa społeczeństwa informacyjnego udostępniała określone dane w sposób „łatwy, bezpośredni i stały”: nazwę usługodawcy, adres geograficzny, dane kontaktowe wraz z adresem e-mail, wpis do rejestru handlowego i numer wpisu, numer identyfikacyjny VAT oraz, w stosownych przypadkach, organ nadzoru lub zasady wykonywania zawodu. Kilka państw członkowskich realizuje to w formie osobnej strony z notą prawną (Niemcy: § 5 DDG, Austria: § 5 ECG, Słowacja: ustawa nr 22/2004 Z.z.).

Kontrola powinna potwierdzić, że taka strona istnieje, jest osiągalna jednym lub dwoma kliknięciami z każdej podstrony i zawiera każdy z elementów. Więcej informacji: Nota prawna i obowiązki informacyjne z prawa konsumenckiego dla sklepów internetowych w UE.

5. Informacje wymagane prawem konsumenckim w sklepach

Jeżeli strona sprzedaje konsumentom, dyrektywa w sprawie praw konsumentów dodaje informacje przedumowne (art. 6), wymogi dotyczące opisu przycisku zamówienia (art. 8 ust. 2) oraz 14-dniowe prawo odstąpienia od umowy (art. 9). Od czasu dyrektywy Omnibus 2019/2161 sklepy muszą także wyjaśniać, w jaki sposób ustalany jest ranking produktów, informować, czy i jak weryfikują opinie konsumentów, a przy ogłaszaniu obniżki podawać wcześniejszą cenę (dyrektywa w sprawie podawania cen, art. 6a).

6. Dostępność

Od 28 czerwca 2025 r. Europejski akt o dostępności ma zastosowanie do handlu elektronicznego skierowanego do konsumentów oraz do kilku innych usług. W praktyce oznacza to spełnienie wymagań internetowych normy EN 301 549, która odwołuje się do WCAG 2.1 na poziomie AA. Testy automatyczne niezawodnie wykrywają brakujące teksty alternatywne, niewystarczający kontrast, nieopisane pola formularzy i brakujące atrybuty języka; obsługę za pomocą klawiatury i przebieg w czytniku ekranu nadal trzeba testować ręcznie. Zob. Dostępność (EAA 2025) stron internetowych.

Lista kontrolna na jednej stronie

Czego nie zobaczy żaden skaner

Rejestr czynności przetwarzania (art. 30 RODO), umowy powierzenia przetwarzania (art. 28), oceny skutków dla ochrony danych (art. 35), śledzenie po stronie serwera i to, co dzieje się w obszarach dostępnych po zalogowaniu, są dla crawlera niewidoczne. Skan to najlepszy pierwszy krok i doskonały test regresji; nie jest to pełny audyt. Nasz poradnik Co automatyczne skanery zgodności mogą, a czego nie mogą sprawdzić wyjaśnia, gdzie przebiega ta granica.