Ce ar trebui să acopere o verificare a conformității unui site în UE

„Este site-ul nostru conform?” pare o singură întrebare. În UE sunt cel puțin șase, reglementate de acte juridice diferite, cu autorități de aplicare diferite: autoritățile de protecție a datelor pentru cookie-uri și notele de informare privind confidențialitatea, organismele de protecție a consumatorilor pentru informațiile magazinelor și autoritățile de supraveghere a pieței pentru accesibilitate. O verificare bună a conformității, fie că o faceți singur, fie că achiziționați un scanner, ar trebui să le acopere pe toate și să vă spună din ce regulă decurge fiecare constatare.

1. Cookie-uri, stocare și consimțământ

Articolul 5 alineatul (3) din Directiva ePrivacy impune obținerea consimțământului înainte ca informațiile să fie stocate pe dispozitivul unui vizitator sau citite de pe acesta, cu excepția cazului în care acest lucru este strict necesar pentru serviciul solicitat explicit de vizitator. Regula acoperă cookie-urile, dar și stocarea locală, pixelii și tehnicile de fingerprinting. Standardul consimțământului este cel din GDPR: liber exprimat, specific, informat și lipsit de ambiguitate (articolul 4 punctul 11 și articolul 7 din GDPR).

Prin urmare, o verificare ar trebui:

• să încarce site-ul într-un browser curat, fără nicio interacțiune, și să înregistreze fiecare cookie, intrare de stocare și cerere de rețea care apare înainte de orice alegere;
• să repete vizita după un clic pe „Respinge” și să confirme că trackerele neesențiale rămân oprite;
• să verifice că respingerea este la fel de simplă ca acceptarea, că nicio opțiune nu este preselectată și că consimțământul poate fi retras la fel de ușor cum a fost dat (articolul 7 alineatul (3) din GDPR);
• să compare ceea ce susțin bannerul și lista de cookie-uri cu ceea ce se încarcă efectiv.

Ghidul nostru separat, Consimțământul pentru cookie-uri: ce cer regulile ePrivacy, intră în detalii.

2. Cereri către terți și transferuri de date

Fiecare font, videoclip, hartă, widget de chat sau etichetă de analiză încorporată trimite adresa IP și detaliile browserului vizitatorului către o altă companie. Conform GDPR, aceasta este o transmitere de date cu caracter personal care necesită un temei juridic (articolul 6) și, dacă destinatarul se află în afara SEE, un mecanism de transfer în temeiul capitolului V. Curtea de Justiție a statuat în cauza Fashion ID (C-40/17) că operatorul unui site care încorporează un plugin terț poate fi operator asociat pentru colectarea și transmiterea datelor vizitatorilor.

Un scanner ar trebui să listeze fiecare gazdă terță contactată de pagină, momentul în care o contactează (înainte sau după consimțământ) și, ideal, locul în care este stabilit destinatarul. Găzduirea fonturilor și a scripturilor pe propriul server este cea mai simplă remediere pentru multe constatări.

3. Nota de informare privind confidențialitatea

Articolele 13 și 14 din GDPR enumeră ce trebuie comunicat vizitatorilor: cine este operatorul de date și cum poate fi contactat (precum și responsabilul cu protecția datelor, dacă a fost desemnat), scopurile și temeiurile juridice ale fiecărei activități de prelucrare, destinatarii, transferurile în afara SEE, perioadele de stocare, drepturile persoanelor vizate, dreptul de a depune o plângere la o autoritate de supraveghere și dacă se folosește procesul decizional automatizat. Articolul 12 adaugă că informațiile trebuie să fie concise, transparente și ușor accesibile.

Instrumentele automatizate pot confirma că există o notă de informare, că este legată din fiecare pagină și că menționează elementele obligatorii. Dacă acest conținut corespunde cu ceea ce face efectiv site-ul este partea cea mai importantă și partea pe care un scanner o poate doar aproxima, comparând nota cu trackerele găsite.

4. Informații despre furnizor („informații legale”)

Articolul 5 din Directiva privind comerțul electronic obligă orice serviciu al societății informaționale să facă anumite informații „ușor accesibile, în mod direct și permanent”: numele furnizorului, adresa geografică, datele de contact, inclusiv o adresă de e-mail, înscrierea și numărul din registrul comerțului, codul de identificare în scopuri de TVA și, după caz, autoritatea de supraveghere sau regulile profesionale. Mai multe state membre pun în aplicare această cerință sub forma unei pagini dedicate de informații legale (§ 5 DDG în Germania, § 5 ECG în Austria, Legea nr. 22/2004 Coll. în Slovacia).

O verificare ar trebui să confirme că pagina există, că poate fi accesată din orice pagină în unul sau două clicuri și că include fiecare element. Mai multe detalii: Informațiile legale și obligațiile de informare din dreptul consumatorului pentru magazinele online din UE.

5. Informații din dreptul consumatorului pentru magazine

Dacă site-ul vinde către consumatori, Directiva privind drepturile consumatorilor adaugă informațiile precontractuale (articolul 6), formularea butonului de comandă (articolul 8 alineatul (2)) și dreptul de retragere de 14 zile (articolul 9). De la Directiva Omnibus 2019/2161, magazinele trebuie, de asemenea, să explice cum se stabilește clasarea produselor, să precizeze dacă și cum verifică recenziile consumatorilor și să afișeze prețul anterior atunci când anunță o reducere (Directiva privind indicarea prețurilor, articolul 6a).

6. Accesibilitate

Din 28 iunie 2025, Actul european privind accesibilitatea se aplică comerțului electronic destinat consumatorilor și mai multor alte servicii. În practică, aceasta înseamnă respectarea cerințelor web din standardul EN 301 549, care face trimitere la WCAG 2.1 nivelul AA. Testarea automatizată găsește în mod fiabil textul alternativ lipsă, contrastul insuficient, câmpurile de formular fără etichetă și atributele de limbă lipsă; utilizarea cu tastatura și parcurgerea cu un cititor de ecran necesită în continuare testare manuală. Vedeți Accesibilitatea (EAA 2025) pentru site-uri.

O listă de verificare pe o singură pagină

Ce nu poate vedea niciun scanner

Evidențele activităților de prelucrare (articolul 30 din GDPR), contractele cu persoanele împuternicite (articolul 28), evaluările impactului asupra protecției datelor (articolul 35), urmărirea de pe server și ceea ce se întâmplă în zonele cu autentificare sunt invizibile pentru un crawler. O scanare este cel mai bun prim pas și un excelent test de regresie; nu este un audit complet. Ghidul nostru Ce pot și ce nu pot verifica scannerele automate de conformitate explică unde se află limita.