Vad automatiserade granskningsverktyg kan och inte kan kontrollera

Automatiserade granskningsverktyg har blivit det självklara första steget för regelefterlevnad på webbplatser. De är snabba, billiga jämfört med en manuell revision och går att upprepa. Det är också lätt att lita för mycket på dem. Den här guiden förklarar vad de faktiskt gör, så att du kan läsa en rapport rätt och välja en tjänst som passar.

Så fungerar ett granskningsverktyg

De flesta tjänster laddar dina sidor i en riktig, automatiserad webbläsare, ofta från en plats i EU och med en ren profil. De registrerar cookies, lagring, nätverksanrop och sidans HTML och interagerar sedan med samtyckesbannern: de accepterar, avböjer eller gör båda. Regler kopplar det som observeras till rättsliga krav, till exempel ”ett anrop till en annonsvärd före samtycke” till artikel 5 punkt 3 i ePrivacydirektivet. Bättre tjänster sparar skärmbilder, anropsloggar och tidsstämplar som bevis.

Där granskningsverktygen är starka

• Spårning före samtycke. Att upptäcka cookies och anrop till tredje part innan något val har gjorts är kärnstyrkan, och den vanligaste överträdelsen i praktiken.
• Bannerns beteende. Om ”avböj” finns, om det fungerar och om spårarna kommer tillbaka efter navigering.
• Inventering. En lista över varje cookie, lagringsnyckel och tredjepartsvärd, användbar för din integritetspolicy och dina register.
• Kontroll av att sidor finns. Om företagsuppgifter, integritetspolicy och allmänna villkor länkas från varje sida.
• Grundläggande tillgänglighet. Kontrast, saknade alternativtexter, fält utan etiketter och liknande WCAG-kriterier som går att testa maskinellt.
• Regressionstester. En ny körning efter varje release fångar taggen som någon lade till i fredags.

Där de når sina gränser

• Dokument och avtal. Register över behandling (artikel 30 i dataskyddsförordningen (GDPR)), personuppgiftsbiträdesavtal (artikel 28), skyddsåtgärder för överföringar och konsekvensbedömningar (artikel 35) finns inte på webbplatsen.
• Behandling på serversidan. Taggning på serversidan, synkronisering med CRM-system och vad som händer med inskickade formulär är osynligt från webbläsaren.
• Inloggade delar och kassor. Om du inte ger granskningsverktyget inloggningsuppgifter eller testkonton omfattas inte kontosidor och betalflöden.
• Innebörd. Ett verktyg kan konstatera att en integritetspolicy nämner ”lagringstid”; det kan inte bekräfta att den angivna perioden stämmer med vad dina system gör.
• Juridisk bedömning. Om ett berättigat intresse väger tyngre än besökarens rättigheter, eller om en cookie är absolut nödvändig för din tjänst, är en bedömningsfråga.
• Manuell tillgänglighet. Flöden med tangentbord, flödet i skärmläsare och kognitiv belastning enligt European Accessibility Act (tillgänglighetsdirektivet) kräver en människa.

Så väljer du en tjänst

De tjänster vi betygsätter skiljer sig mindre åt i om de hittar cookies än i vad de gör med resultatet. Frågor som är värda att ställa:

1. Omfattning. Bara cookies och samtycke, eller även integritetspolicy, företagsuppgifter, konsumenträtt och tillgänglighet?
2. Interaktion med samtycket. Testar den vägen via ”avböj”, eller listar den bara cookies?
3. Bevis. Registrerar rapporten när, varifrån och hur webbplatsen testades, med skärmbilder eller anropsloggar som du skulle kunna visa för en myndighet?
4. Djup i EU-frågor. Känner den till nationella särdrag, till exempel regler om företagsuppgifter, språk och myndigheternas vägledning i de länder du säljer till?
5. Åtgärder. Kommer varje anmärkning med konkreta anvisningar som din utvecklare kan agera på?
6. Pristransparens. Är priser och begränsningar publicerade, eller bara tillgängliga på begäran?

Dessa frågor är, i viktad form, kriterierna på vår metodsida. En längre lista med anmärkningar är inte automatiskt bättre: falska positiva kostar utvecklartid, och en rapport som inte kan skilja en absolut nödvändig cookie från en annonscookie lär teamen att ignorera den.

Samtyckesplattform eller granskningsverktyg?

En plattform för samtyckeshantering (CMP) driver din banner; ett granskningsverktyg kontrollerar om bannern och allt annat på webbplatsen beter sig som det ska. Vissa leverantörer erbjuder båda, och många CMP:er har en cookieskanning för att fylla sin cookielista. Om du redan använder en CMP är ett separat test av vägen via ”avböj”, gjort utanför CMP:n, ändå värt att ha, eftersom det vanligaste felet är en korrekt installerad CMP med taggar som kringgår den.