Ce pot și ce nu pot verifica scannerele automate de conformitate

Scannerele automate au devenit primul pas obișnuit în conformitatea site-urilor. Sunt rapide, ieftine în comparație cu un audit manual și repetabile. Totodată, este ușor să le acordați prea multă încredere. Acest ghid explică ce fac ele de fapt, ca să puteți citi corect un raport și să alegeți un serviciu potrivit.

Cum funcționează un scanner

Majoritatea serviciilor încarcă paginile dumneavoastră într-un browser real, automatizat, adesea dintr-o locație din UE și cu un profil curat. Înregistrează cookie-urile, stocarea, cererile de rețea și codul HTML al paginii, apoi interacționează cu bannerul de consimțământ: acceptă, respinge sau ambele. Regulile asociază ceea ce observă cu cerințele legale, de exemplu „o cerere către o gazdă publicitară înainte de consimțământ” cu articolul 5 alineatul (3) din Directiva ePrivacy. Serviciile mai bune păstrează capturi de ecran, jurnale ale cererilor și marcaje temporale ca dovezi.

Unde sunt puternice scannerele

• Urmărirea înainte de consimțământ. Detectarea cookie-urilor și a cererilor către terți înainte de orice alegere este punctul lor forte principal și cea mai frecventă încălcare din practică.
• Comportamentul bannerului. Dacă există opțiunea „Respinge”, dacă funcționează și dacă trackerele revin după navigare.
• Inventarul. O listă a fiecărui cookie, a fiecărei chei de stocare și a fiecărei gazde terțe, utilă pentru nota de informare privind confidențialitatea și pentru evidențele dumneavoastră.
• Verificările de prezență. Dacă informațiile legale, nota de informare privind confidențialitatea și termenii sunt legate din fiecare pagină.
• Elementele de bază ale accesibilității. Contrastul, textul alternativ lipsă, câmpurile fără etichetă și alte criterii WCAG testabile automat.
• Regresia. Reluarea scanării după fiecare versiune nouă prinde eticheta adăugată de cineva vineri.

Unde își ating limitele

• Documente și contracte. Evidențele activităților de prelucrare (articolul 30 din GDPR), contractele cu persoanele împuternicite (articolul 28), garanțiile pentru transferuri și evaluările de impact (articolul 35) nu se află pe site.
• Prelucrarea pe server. Etichetarea pe server, sincronizarea cu CRM-ul și ce se întâmplă cu formularele trimise sunt invizibile din browser.
• Zonele cu autentificare și finalizarea comenzii. Dacă nu îi dați scannerului date de autentificare sau conturi de test, paginile de cont și fluxurile de plată nu sunt acoperite.
• Sensul. Un instrument poate constata că o notă de informare menționează „perioada de stocare”; nu poate confirma că perioada indicată corespunde cu ceea ce fac sistemele dumneavoastră.
• Aprecierea juridică. Dacă un interes legitim prevalează asupra drepturilor vizitatorului sau dacă un cookie este strict necesar pentru serviciul dumneavoastră este o chestiune de apreciere.
• Accesibilitatea manuală. Parcursurile cu tastatura, fluxul cu cititorul de ecran și încărcarea cognitivă în sensul Actului european privind accesibilitatea necesită un om.

Cum alegeți un serviciu

Serviciile pe care le evaluăm diferă mai puțin prin faptul că găsesc cookie-uri și mai mult prin ceea ce fac cu rezultatul. Întrebări care merită puse:

1. Sfera. Doar cookie-uri și consimțământ sau și nota de informare privind confidențialitatea, informațiile legale, dreptul consumatorului și accesibilitatea?
2. Interacțiunea cu consimțământul. Testează calea de respingere sau doar listează cookie-urile?
3. Dovezile. Raportul înregistrează când, de unde și cum a fost testat site-ul, cu capturi de ecran sau jurnale ale cererilor pe care le-ați putea arăta unei autorități?
4. Profunzimea pentru UE. Cunoaște particularitățile naționale, cum ar fi regulile privind informațiile legale, limbile și îndrumările autorităților din țările în care vindeți?
5. Remedierile. Fiecare constatare vine cu îndrumări concrete pe care dezvoltatorul dumneavoastră le poate aplica?
6. Transparența prețurilor. Prețurile și limitele sunt publicate sau sunt disponibile doar la cerere?

Aceste întrebări sunt, în formă ponderată, criteriile de pe pagina noastră de metodologie. O listă mai lungă de constatări nu este automat mai bună: rezultatele fals pozitive costă timpul dezvoltatorilor, iar un raport care nu poate deosebi un cookie strict necesar de unul publicitar îi învață pe membrii echipei să-l ignore.

Platformă de consimțământ sau scanner?

O platformă de gestionare a consimțământului (CMP) rulează bannerul dumneavoastră; un scanner verifică dacă bannerul și tot restul site-ului se comportă așa cum ar trebui. Unii furnizori le oferă pe amândouă, iar multe CMP-uri includ o scanare a cookie-urilor pentru a-și completa lista de cookie-uri. Dacă folosiți deja o CMP, merită totuși un test separat al căii de respingere, din afara CMP-ului, deoarece cea mai frecventă eroare este o CMP instalată corect, cu etichete care o ocolesc.