O que os scanners automatizados de conformidade conseguem e não conseguem verificar

Os scanners automatizados tornaram-se o primeiro passo habitual na conformidade de websites. São rápidos, baratos em comparação com uma auditoria manual e repetíveis. Também é fácil confiar demasiado neles. Este guia explica o que fazem realmente, para que possa ler um relatório corretamente e escolher um serviço adequado.

Como funciona um scanner

A maioria dos serviços carrega as suas páginas num navegador real e automatizado, muitas vezes a partir de uma localização na UE e com um perfil limpo. Registam cookies, armazenamento, pedidos de rede e o HTML da página e interagem depois com o banner de consentimento: aceitam, rejeitam ou ambos. Regras associam o que observam a requisitos legais, por exemplo «um pedido a um anfitrião publicitário antes do consentimento» ao artigo 5.º, n.º 3, da Diretiva ePrivacy. Os melhores serviços guardam capturas de ecrã, registos de pedidos e carimbos temporais como prova.

Onde os scanners são fortes

• Rastreamento antes do consentimento. Detetar cookies e pedidos a terceiros antes de qualquer escolha é o seu principal ponto forte, e a infração mais comum na prática.
• Comportamento do banner. Se existe a opção «Rejeitar», se funciona e se os rastreadores regressam após a navegação.
• Inventário. Uma lista de todos os cookies, chaves de armazenamento e anfitriões de terceiros, útil para o seu aviso de privacidade e os seus registos.
• Verificações de presença. Se a informação legal, o aviso de privacidade e os termos estão ligados a partir de todas as páginas.
• Acessibilidade básica. Contraste, falta de texto alternativo, campos sem rótulo e critérios WCAG semelhantes que podem ser testados por máquina.
• Regressão. Voltar a executar a análise após cada nova versão apanha a etiqueta que alguém acrescentou na sexta-feira.

Onde atingem os seus limites

• Documentos e contratos. Os registos das atividades de tratamento (artigo 30.º do RGPD), os contratos com subcontratantes (artigo 28.º), as garantias para transferências e as avaliações de impacto (artigo 35.º) não estão no website.
• Tratamento do lado do servidor. As etiquetas do lado do servidor, a sincronização com o CRM e o destino dos formulários submetidos são invisíveis a partir do navegador.
• Áreas com sessão iniciada e checkouts. Se não der ao scanner credenciais ou contas de teste, as páginas de conta e os fluxos de pagamento não são abrangidos.
• Significado. Uma ferramenta pode constatar que um aviso de privacidade menciona a «conservação»; não consegue confirmar que o prazo indicado corresponde ao que os seus sistemas fazem.
• Juízo jurídico. Saber se um interesse legítimo prevalece sobre os direitos do visitante, ou se um cookie é estritamente necessário para o seu serviço, é uma questão de apreciação.
• Acessibilidade manual. Os percursos por teclado, o fluxo com leitor de ecrã e a carga cognitiva nos termos do Ato Europeu da Acessibilidade exigem uma pessoa.

Como escolher um serviço

Os serviços que avaliamos diferem menos na capacidade de encontrar cookies do que naquilo que fazem com o resultado. Perguntas que vale a pena fazer:

1. Âmbito. Apenas cookies e consentimento, ou também aviso de privacidade, informação legal, direito do consumidor e acessibilidade?
2. Interação com o consentimento. Testa o percurso de rejeição ou limita-se a listar cookies?
3. Prova. O relatório regista quando, de onde e como o site foi testado, com capturas de ecrã ou registos de pedidos que poderia mostrar a uma autoridade?
4. Profundidade para a UE. Conhece as especificidades nacionais, como as regras de informação legal, as línguas e as orientações das autoridades nos países para onde vende?
5. Correções. Cada constatação vem acompanhada de orientações concretas com que o seu programador possa trabalhar?
6. Transparência de preços. Os preços e os limites estão publicados ou só estão disponíveis mediante pedido?

Estas perguntas são, de forma ponderada, os critérios da nossa página da metodologia. Uma lista de constatações mais longa não é automaticamente melhor: os falsos positivos custam tempo aos programadores, e um relatório que não distingue um cookie estritamente necessário de um cookie publicitário ensina as equipas a ignorá-lo.

Plataforma de consentimento ou scanner?

Uma plataforma de gestão de consentimento (CMP) gere o seu banner; um scanner verifica se o banner e tudo o resto no site se comportam como deveriam. Alguns fornecedores oferecem ambos, e muitas CMP incluem uma análise de cookies para preencher a sua lista de cookies. Se já utiliza uma CMP, continua a valer a pena um teste separado do percurso de rejeição, feito fora da CMP, porque a falha mais comum é uma CMP corretamente instalada com etiquetas que a contornam.