Čo automatizované skenery súladu dokážu a nedokážu skontrolovať

Automatizované skenery sa stali predvoleným prvým krokom pri zabezpečovaní súladu webových stránok. Sú rýchle, v porovnaní s ručným auditom lacné a opakovateľné. Zároveň sa im ľahko pripisuje prílišná dôvera. Tento sprievodca vysvetľuje, čo skutočne robia, aby ste mohli správne čítať ich správy a vybrať si vhodnú službu.

Ako skener funguje

Väčšina služieb načítava vaše stránky v skutočnom, automatizovanom prehliadači, často z miesta v EÚ a s čistým profilom. Zaznamenávajú cookies, úložisko, sieťové požiadavky a HTML stránky a potom pracujú s lištou súhlasu: prijmú, odmietnu alebo oboje. Pravidlá priraďujú pozorované javy k právnym požiadavkám, napríklad „požiadavka na reklamného hostiteľa pred súhlasom“ k čl. 5 ods. 3 smernice ePrivacy. Lepšie služby uchovávajú snímky obrazovky, záznamy požiadaviek a časové pečiatky ako dôkazy.

V čom sú skenery silné

• Sledovanie pred súhlasom. Odhaľovanie cookies a požiadaviek na tretie strany pred akoukoľvek voľbou je ich hlavnou silnou stránkou a zároveň najčastejším porušením v praxi.
• Správanie lišty. Či existuje možnosť „odmietnuť“, či funguje a či sa sledovacie prvky po prechode na inú stránku nevracajú.
• Inventúra. Zoznam všetkých cookies, kľúčov úložiska a hostiteľov tretích strán, užitočný pre zásady ochrany osobných údajov a záznamy.
• Kontroly prítomnosti. Či sú právne informácie, zásady ochrany osobných údajov a obchodné podmienky prelinkované z každej stránky.
• Základy prístupnosti. Kontrast, chýbajúce alternatívne texty, neoznačené polia a podobné strojovo testovateľné kritériá WCAG.
• Regresia. Opakované spustenie po každom vydaní zachytí tag, ktorý niekto pridal v piatok.

Kde narážajú na hranice

• Dokumenty a zmluvy. Záznamy o spracovateľských činnostiach (čl. 30 GDPR), zmluvy so sprostredkovateľmi (čl. 28), záruky pri prenose údajov a posúdenia vplyvu (čl. 35) sa na webe nenachádzajú.
• Spracúvanie na strane servera. Tagovanie na strane servera, synchronizácia s CRM a to, čo sa deje s odoslanými formulármi, sú z prehliadača neviditeľné.
• Oblasti po prihlásení a pokladne. Ak skeneru neposkytnete prihlasovacie údaje alebo testovacie účty, stránky účtu a platobné procesy nie sú pokryté.
• Význam. Nástroj môže zistiť, že zásady ochrany osobných údajov spomínajú „dobu uchovávania“; nemôže potvrdiť, že uvedená doba zodpovedá tomu, čo skutočne robia vaše systémy.
• Právny úsudok. Či oprávnený záujem prevažuje nad právami návštevníka alebo či je cookie nevyhnutne potrebná pre vašu službu, je otázkou úsudku.
• Ručné testy prístupnosti. Prechod klávesnicou, práca s čítačkou obrazovky a kognitívna záťaž podľa Európskeho aktu o prístupnosti si vyžadujú človeka.

Ako si vybrať službu

Služby, ktoré hodnotíme, sa nelíšia ani tak tým, či nájdu cookies, ako skôr tým, čo s výsledkom urobia. Oplatí sa položiť tieto otázky:

1. Rozsah. Len cookies a súhlas, alebo aj zásady ochrany osobných údajov, právne informácie, spotrebiteľské právo a prístupnosť?
2. Práca so súhlasom. Testuje cestu odmietnutia, alebo len vypisuje cookies?
3. Dôkazy. Zaznamenáva správa, kedy, odkiaľ a ako bol web testovaný, so snímkami obrazovky alebo záznamami požiadaviek, ktoré by ste mohli predložiť úradu?
4. Hĺbka pre EÚ. Pozná národné špecifiká, ako sú pravidlá pre právne informácie, jazyky a usmernenia úradov v krajinách, kam predávate?
5. Nápravy. Je ku každému zisteniu konkrétny návod, podľa ktorého môže váš vývojár konať?
6. Transparentnosť cien. Sú ceny a limity zverejnené, alebo sú k dispozícii len na vyžiadanie?

Tieto otázky sú vo váženej podobe kritériami na našej stránke s metodikou. Dlhší zoznam zistení nie je automaticky lepší: falošne pozitívne výsledky stoja čas vývojárov a správa, ktorá nedokáže odlíšiť nevyhnutne potrebnú cookie od reklamnej, naučí tímy ju ignorovať.

Platforma na súhlas, alebo skener?

Platforma na správu súhlasov (CMP) vašu lištu prevádzkuje; skener kontroluje, či sa lišta aj všetko ostatné na webe správa, ako má. Niektorí poskytovatelia ponúkajú oboje a mnohé CMP obsahujú sken cookies, ktorým plnia svoj zoznam cookies. Aj keď už CMP používate, oplatí sa mať samostatný test cesty odmietnutia vykonávaný mimo CMP, pretože najčastejšou chybou je správne nainštalovaná CMP s tagmi, ktoré ju obchádzajú.