Čo by mala pokrývať kontrola súladu webovej stránky v EÚ

„Je náš web v súlade s predpismi?“ znie ako jedna otázka. V EÚ ide najmenej o šesť otázok, ktoré upravujú rôzne právne predpisy s rôznymi dozornými orgánmi: úrady na ochranu osobných údajov pri cookies a zásadách ochrany osobných údajov, orgány ochrany spotrebiteľa pri informáciách v e-shopoch a orgány dohľadu nad trhom pri prístupnosti. Dobrá kontrola súladu, či už ju vykonávate sami, alebo si kúpite skener, by mala pokryť všetky a pri každom zistení uviesť, z ktorého predpisu vyplýva.

1. Cookies, ukladanie a súhlas

Čl. 5 ods. 3 smernice ePrivacy vyžaduje súhlas pred uložením informácií do zariadenia návštevníka alebo pred prístupom k nim, ak to nie je nevyhnutne potrebné na službu, o ktorú návštevník výslovne požiadal. Pravidlo sa vzťahuje na cookies, ale aj na local storage, pixely a techniky fingerprintingu. Štandard súhlasu je rovnaký ako v GDPR: slobodne daný, konkrétny, informovaný a jednoznačný (čl. 4 bod 11 a čl. 7 GDPR).

Kontrola by preto mala:

• načítať web v čistom prehliadači bez akejkoľvek interakcie a zaznamenať každý súbor cookie, každý záznam v úložisku a každú sieťovú požiadavku, ktoré sa objavia pred akoukoľvek voľbou;
• zopakovať návštevu po kliknutí na „odmietnuť“ a overiť, že sledovacie prvky, ktoré nie sú nevyhnutné, zostanú vypnuté;
• overiť, že odmietnutie je rovnako jednoduché ako prijatie, že žiadna možnosť nie je vopred označená a že súhlas možno odvolať rovnako jednoducho, ako bol udelený (čl. 7 ods. 3 GDPR);
• porovnať, čo tvrdí lišta a zoznam cookies, s tým, čo sa skutočne načítava.

Podrobnosti rozoberá náš samostatný sprievodca Súhlas s cookies: čo vyžadujú pravidlá ePrivacy.

2. Požiadavky na tretie strany a prenos údajov

Každé vložené písmo, video, mapa, chatovací widget alebo analytický tag odosiela IP adresu a údaje o prehliadači návštevníka inej spoločnosti. Podľa GDPR ide o prenos osobných údajov, ktorý si vyžaduje právny základ (čl. 6) a v prípade príjemcu mimo EHP aj nástroj na prenos podľa kapitoly V. Súdny dvor v rozsudku Fashion ID (C-40/17) rozhodol, že prevádzkovateľ webu, ktorý vloží plugin tretej strany, môže byť spoločným prevádzkovateľom pri získavaní a prenose údajov návštevníkov.

Skener by mal uviesť každého hostiteľa tretej strany, ktorého stránka kontaktuje, kedy ho kontaktuje (pred súhlasom, alebo po ňom) a v ideálnom prípade aj to, kde je príjemca usadený. Hosťovanie písiem a skriptov na vlastnom serveri je pri mnohých zisteniach najjednoduchšou nápravou.

3. Zásady ochrany osobných údajov

Čl. 13 a 14 GDPR stanovujú, o čom musia byť návštevníci informovaní: kto je prevádzkovateľ a ako ho kontaktovať (a tiež zodpovednú osobu, ak bola určená), účely a právne základy každej spracovateľskej činnosti, príjemcovia, prenosy mimo EHP, doby uchovávania, práva dotknutých osôb, právo podať sťažnosť dozornému orgánu a či dochádza k automatizovanému rozhodovaniu. Čl. 12 dopĺňa, že informácie musia byť stručné, transparentné a ľahko dostupné.

Automatizované nástroje môžu potvrdiť, že zásady existujú, sú prelinkované z každej stránky a uvádzajú požadované náležitosti. Či obsah zodpovedá tomu, čo web skutočne robí, je najdôležitejšia časť, a zároveň tá, ktorú skener dokáže len približne odhadnúť porovnaním zásad s nájdenými sledovacími prvkami.

4. Údaje o poskytovateľovi („právne informácie“)

Čl. 5 smernice o elektronickom obchode ukladá každej službe informačnej spoločnosti sprístupniť určité údaje „ľahko, priamo a trvalo“: meno alebo názov poskytovateľa, geografickú adresu, kontaktné údaje vrátane e-mailovej adresy, zápis v obchodnom registri a registračné číslo, identifikačné číslo pre DPH a prípadne dozorný orgán alebo profesijné pravidlá. Viaceré členské štáty to vykonávajú formou samostatnej stránky s právnymi informáciami (Nemecko § 5 DDG, Rakúsko § 5 ECG, Slovensko zákon č. 22/2004 Z. z.).

Kontrola by mala potvrdiť, že stránka existuje, je z každej stránky dostupná jedným alebo dvoma kliknutiami a obsahuje všetky náležitosti. Viac informácií: Právne informácie a informačné povinnosti podľa spotrebiteľského práva pre e-shopy v EÚ.

5. Informácie podľa spotrebiteľského práva pre e-shopy

Ak web predáva spotrebiteľom, smernica o právach spotrebiteľov pridáva predzmluvné informácie (čl. 6), znenie tlačidla objednávky (čl. 8 ods. 2) a 14-dňové právo na odstúpenie od zmluvy (čl. 9). Od prijatia smernice Omnibus 2019/2161 musia e-shopy tiež vysvetliť, ako sa určuje poradie produktov, uviesť, či a ako overujú spotrebiteľské recenzie, a pri oznámení zľavy zobraziť predchádzajúcu cenu (smernica o označovaní cien, čl. 6a).

6. Prístupnosť

Od 28. júna 2025 sa Európsky akt o prístupnosti vzťahuje na elektronický obchod určený spotrebiteľom a na viacero ďalších služieb. V praxi to znamená splniť webové požiadavky normy EN 301 549, ktorá odkazuje na WCAG 2.1 úrovne AA. Automatizované testy spoľahlivo nájdu chýbajúce alternatívne texty, nedostatočný kontrast, neoznačené polia formulárov a chýbajúce atribúty jazyka; ovládanie klávesnicou a prechod čítačkou obrazovky je stále potrebné testovať ručne. Pozri Prístupnosť (EAA 2025) pre webové stránky.

Kontrolný zoznam na jednej strane

Čo žiadny skener nevidí

Záznamy o spracovateľských činnostiach (čl. 30 GDPR), zmluvy so sprostredkovateľmi (čl. 28), posúdenia vplyvu na ochranu údajov (čl. 35), sledovanie na strane servera a to, čo sa deje v oblastiach po prihlásení, sú pre crawler neviditeľné. Sken je najlepší prvý krok a výborný regresný test; úplným auditom však nie je. Náš sprievodca Čo automatizované skenery súladu dokážu a nedokážu skontrolovať vysvetľuje, kde vedie hranica.