Vad en granskning av regelefterlevnaden på en webbplats bör omfatta i EU

”Följer vår webbplats reglerna?” låter som en enda fråga. I EU är det minst sex, som styrs av olika rättsakter med olika tillsynsmyndigheter: dataskyddsmyndigheter för cookies och integritetspolicyer, konsumentskyddsmyndigheter för information i webbutiker och marknadskontrollmyndigheter för tillgänglighet. En bra granskning, oavsett om du gör den själv eller köper ett granskningsverktyg, bör omfatta alla och tala om vilken regel varje anmärkning bygger på.

1. Cookies, lagring och samtycke

Artikel 5 punkt 3 i ePrivacydirektivet kräver samtycke innan information lagras på eller läses från en besökares enhet, om det inte är absolut nödvändigt för den tjänst som besökaren uttryckligen har begärt. Regeln omfattar cookies, men också lokal lagring, pixlar och tekniker för fingeravtryck. Kravet på samtycke är detsamma som i dataskyddsförordningen (GDPR): frivilligt, specifikt, informerat och otvetydigt (artiklarna 4 punkt 11 och 7 i GDPR).

En granskning bör därför:

• ladda webbplatsen i en ren webbläsare utan interaktion och registrera varje cookie, lagringspost och nätverksanrop som förekommer innan något val har gjorts;
• upprepa besöket efter ett klick på ”avböj” och bekräfta att icke nödvändiga spårare förblir avstängda;
• kontrollera att det är lika enkelt att avböja som att acceptera, att inget alternativ är förvalt och att samtycket kan återkallas lika enkelt som det gavs (artikel 7 punkt 3 i GDPR);
• jämföra vad bannern och cookielistan påstår med vad som faktiskt laddas.

Vår separata guide, Cookiesamtycke: vad ePrivacyreglerna kräver, går in på detaljerna.

2. Anrop till tredje part och överföringar av uppgifter

Varje inbäddat typsnitt, video, karta, chattwidget eller analystagg skickar besökarens IP-adress och webbläsaruppgifter till ett annat företag. Enligt GDPR är det en överföring av personuppgifter som kräver en rättslig grund (artikel 6) och, om mottagaren finns utanför EES, en överföringsmekanism enligt kapitel V. EU-domstolen slog i Fashion ID (C-40/17) fast att en webbplatsoperatör som bäddar in ett insticksprogram från tredje part kan vara gemensamt personuppgiftsansvarig för insamlingen och överföringen av besökarnas uppgifter.

Ett granskningsverktyg bör lista varje tredjepartsvärd som sidan kontaktar, när den kontaktas (före eller efter samtycke) och helst var mottagaren är etablerad. Att själv lagra typsnitt och skript på den egna servern är den enklaste åtgärden för många anmärkningar.

3. Integritetspolicyn

Artiklarna 13 och 14 i GDPR anger vad besökarna måste få veta: vem den personuppgiftsansvarige är och hur den kan kontaktas (och dataskyddsombudet, om ett sådant har utsetts), ändamålen med och de rättsliga grunderna för varje behandling, mottagare, överföringar utanför EES, lagringstider, de registrerades rättigheter, rätten att klaga hos en tillsynsmyndighet och om automatiserat beslutsfattande används. Artikel 12 tillägger att informationen ska vara koncis, tydlig och lättillgänglig.

Automatiserade verktyg kan bekräfta att en policy finns, att den länkas från varje sida och att den nämner de obligatoriska delarna. Om innehållet stämmer med vad webbplatsen faktiskt gör är den viktigaste delen, och den del som ett granskningsverktyg bara kan uppskatta genom att jämföra policyn med de spårare det har hittat.

4. Uppgifter om tjänsteleverantören (”företagsuppgifter”)

Artikel 5 i e-handelsdirektivet kräver att varje informationssamhällets tjänst gör vissa uppgifter ”lätt, direkt och permanent tillgängliga”: leverantörens namn, geografiska adress, kontaktuppgifter inklusive en e-postadress, registrering i handelsregister och registreringsnummer, momsregistreringsnummer samt i förekommande fall tillsynsmyndighet eller yrkesregler. Flera medlemsstater genomför detta som en särskild sida med företagsuppgifter, så kallat impressum (Tysklands § 5 DDG, Österrikes § 5 ECG, Slovakiens lag nr 22/2004 Coll.).

En granskning bör bekräfta att sidan finns, går att nå med ett eller två klick från varje sida och innehåller varje uppgift. Mer information: Företagsuppgifter och konsumenträttslig informationsplikt för webbutiker i EU.

5. Konsumenträttslig information för webbutiker

Om webbplatsen säljer till konsumenter tillkommer enligt konsumenträttighetsdirektivet information före avtalet (artikel 6), formuleringen på beställningsknappen (artikel 8 punkt 2) och ångerrätten på 14 dagar (artikel 9). Sedan omnibusdirektivet 2019/2161 måste webbutiker också förklara hur produktrankningar bestäms, ange om och hur de kontrollerar konsumentrecensioner och visa det tidigare priset när de annonserar en prissänkning (prismärkningsdirektivet, artikel 6a).

6. Tillgänglighet

Sedan den 28 juni 2025 gäller European Accessibility Act (tillgänglighetsdirektivet) för e-handel riktad till konsumenter och flera andra tjänster. I praktiken innebär det att uppfylla webbkraven i EN 301 549, som hänvisar till WCAG 2.1 nivå AA. Automatiserade tester hittar tillförlitligt saknade alternativtexter, otillräcklig kontrast, formulärfält utan etiketter och saknade språkattribut; tangentbordsnavigering och flödet i skärmläsare måste fortfarande testas manuellt. Se Tillgänglighet (EAA 2025) för webbplatser.

En checklista på en sida

Det som inget granskningsverktyg kan se

Register över behandling (artikel 30 i GDPR), personuppgiftsbiträdesavtal (artikel 28), konsekvensbedömningar avseende dataskydd (artikel 35), spårning på serversidan och det som händer i inloggade delar är osynliga för en crawler. En skanning är det bästa första steget och ett utmärkt regressionstest; den är inte en fullständig revision. Vår guide Vad automatiserade granskningsverktyg kan och inte kan kontrollera förklarar var gränsen går.