Kaj naj zajema preverjanje skladnosti spletnega mesta v EU

»Ali je naše spletno mesto skladno s predpisi?« zveni kot eno samo vprašanje. V EU jih je najmanj šest, urejajo pa jih različni pravni akti z različnimi organi za izvrševanje: organi za varstvo podatkov za piškotke in obvestila o zasebnosti, organi za varstvo potrošnikov za informacije v spletnih trgovinah in organi za nadzor trga za dostopnost. Dobro preverjanje skladnosti, ne glede na to, ali ga izvedete sami ali kupite skener, naj zajame vsa ta področja in vam pove, iz katerega pravila izhaja posamezna ugotovitev.

1. Piškotki, shramba in privolitev

Člen 5(3) direktive o e-zasebnosti zahteva privolitev, preden se informacije shranijo v napravo obiskovalca ali preberejo iz nje, razen če so nujno potrebne za storitev, ki jo je obiskovalec izrecno zahteval. Pravilo zajema piškotke, pa tudi lokalno shrambo, slikovne pike in tehnike prstnih odtisov. Standard privolitve je tisti iz GDPR: prostovoljna, specifična, informirana in nedvoumna (člena 4(11) in 7 GDPR).

Preverjanje naj zato:

• naloži spletno mesto v čistem brskalniku brez interakcije in zabeleži vsak piškotek, vnos v shrambo in omrežno zahtevo, ki se pojavi, preden je sprejeta kakršna koli izbira;
• obisk ponovi po kliku na »Zavrni« in potrdi, da nebistveni sledilniki ostanejo izklopljeni;
• preveri, ali je zavrnitev enako preprosta kot sprejetje, ali ni nobena možnost vnaprej izbrana in ali je privolitev mogoče preklicati enako preprosto, kot je bila dana (člen 7(3) GDPR);
• primerja, kar trdita pasica in seznam piškotkov, s tem, kar se dejansko naloži.

Naš ločeni vodnik Privolitev za piškotke: kaj zahtevajo pravila ePrivacy se poglobi v podrobnosti.

2. Zahteve tretjih oseb in prenosi podatkov

Vsaka vdelana pisava, videoposnetek, zemljevid, pripomoček za klepet ali analitična oznaka pošlje naslov IP in podatke o brskalniku obiskovalca drugemu podjetju. Po GDPR je to prenos osebnih podatkov, ki potrebuje pravno podlago (člen 6), in če je prejemnik zunaj EGP, mehanizem za prenos po poglavju V. Sodišče EU je v zadevi Fashion ID (C-40/17) razsodilo, da je upravljavec spletnega mesta, ki vdela vtičnik tretje osebe, lahko skupni upravljavec za zbiranje in posredovanje podatkov obiskovalcev.

Skener naj navede vsakega gostitelja tretje osebe, s katerim stran vzpostavi stik, kdaj to stori (pred privolitvijo ali po njej) in po možnosti, kje ima prejemnik sedež. Lastno gostovanje pisav in skript je za številne ugotovitve najpreprostejša rešitev.

3. Obvestilo o zasebnosti

Člena 13 in 14 GDPR navajata, kaj je treba sporočiti obiskovalcem: kdo je upravljavec in kako vzpostaviti stik z njim (in s pooblaščeno osebo za varstvo podatkov, če je imenovana), namene in pravne podlage posamezne dejavnosti obdelave, prejemnike, prenose zunaj EGP, obdobja hrambe, pravice posameznikov, pravico do pritožbe pri nadzornem organu in ali se uporablja avtomatizirano odločanje. Člen 12 dodaja, da morajo biti informacije jedrnate, pregledne in lahko dostopne.

Samodejna orodja lahko potrdijo, da obvestilo obstaja, da je povezano z vsake strani in da omenja zahtevane elemente. Ali se vsebina ujema s tem, kar spletno mesto dejansko počne, je najpomembnejši del in del, ki ga skener lahko le približno oceni, tako da obvestilo primerja z najdenimi sledilniki.

4. Podatki o ponudniku (»impresum«)

Člen 5 direktive o elektronskem poslovanju od vsake storitve informacijske družbe zahteva, da so nekateri podatki »lahko, neposredno in stalno dostopni«: ime ponudnika, geografski naslov, kontaktni podatki, vključno z e-poštnim naslovom, vpis in številka v poslovnem registru, identifikacijska številka za DDV ter, kjer je to pomembno, nadzorni organ ali poklicna pravila. Več držav članic to izvaja kot posebno stran impresuma (v Nemčiji § 5 DDG, v Avstriji § 5 ECG, na Slovaškem zakon št. 22/2004 Z. z.).

Preverjanje naj potrdi, da stran obstaja, da je z vsake strani dosegljiva z enim ali dvema klikoma in da vsebuje vse elemente. Več podrobnosti: Impresum in informacijske obveznosti po potrošniškem pravu za spletne trgovine v EU.

5. Informacije po potrošniškem pravu za spletne trgovine

Če spletno mesto prodaja potrošnikom, direktiva o pravicah potrošnikov dodaja predpogodbene informacije (člen 6), besedilo gumba za naročilo (člen 8(2)) in 14-dnevno pravico do odstopa od pogodbe (člen 9). Od direktive Omnibus 2019/2161 morajo trgovine pojasniti tudi, kako se določa razvrstitev izdelkov, navesti, ali in kako preverjajo ocene potrošnikov, ter ob napovedi znižanja prikazati predhodno ceno (direktiva o označevanju cen, člen 6a).

6. Dostopnost

Od 28. junija 2025 se Evropski akt o dostopnosti uporablja za e-trgovino, namenjeno potrošnikom, in za več drugih storitev. V praksi to pomeni izpolnjevanje spletnih zahtev standarda EN 301 549, ki se sklicuje na WCAG 2.1 na ravni AA. Samodejno testiranje zanesljivo najde manjkajoča nadomestna besedila, premajhen kontrast, neoznačena polja obrazcev in manjkajoče jezikovne atribute; upravljanje s tipkovnico in potek z bralnikom zaslona še vedno zahtevata ročno testiranje. Glejte Dostopnost (EAA 2025) za spletna mesta.

Kontrolni seznam na eni strani

Česar ne vidi noben skener

Evidence dejavnosti obdelave (člen 30 GDPR), pogodbe z obdelovalci (člen 28), ocene učinka v zvezi z varstvom podatkov (člen 35), sledenje na strežniku in dogajanje na območjih za prijavljene uporabnike so za pajka nevidni. Pregled je najboljši prvi korak in odličen regresijski test; ni pa celovita revizija. Naš vodnik Kaj samodejni skenerji skladnosti lahko preverijo in česa ne pojasnjuje, kje poteka meja.