Audyt prywatności

Sprawdza stronę pod kątem przepisów o prywatności w regionie, w którym działa: RODO i ePrivacy, UK GDPR, rosyjska ustawa 152-FZ, CCPA/CPRA, LGPD i inne — trackery, zgody, ciasteczka i wymagane dokumenty.

• Wszystkie usługi

Przepisy o ochronie danych stały się jednym z najczęstszych powodów kar i skarg na zwykłe strony internetowe. Nie dlatego, że właściciele celowo zbierają dane, ale dlatego, że typowa strona ładuje kilkanaście skryptów zewnętrznych, ustawia ciasteczka, zanim ktokolwiek wyraził zgodę, i linkuje do polityki prywatności skopiowanej z cudzej strony przed laty. Audyt prywatności pokazuje, co strona naprawdę robi z danymi odwiedzających, i porównuje to z wymaganiami przepisów jej regionu.

Które przepisy mają zastosowanie

Pierwszym krokiem jest ustalenie, gdzie strona działa. Audyt bierze pod uwagę strefę domeny, język stron, walutę i dane kontaktowe oraz lokalizację serwera. Na tej podstawie wybiera miarę:

• UE i EOG — RODO i dyrektywa ePrivacy: żadnych ciasteczek analitycznych i reklamowych przed zgodą, odmowa ma być równie łatwa jak akceptacja, a polityka wymienia każdego odbiorcę danych;
• Wielka Brytania — UK GDPR i PECR, te same zasady z własnym regulatorem;
• Rosja — ustawa 152-FZ: zgłoszenie do Roskomnadzoru, przechowywanie danych obywateli Rosji na jej terytorium, odrębna zgoda na przetwarzanie i opublikowana polityka przetwarzania danych;
• USA — CCPA/CPRA w Kalifornii i podobne ustawy stanowe: link „Do Not Sell or Share My Personal Information”, respektowanie sygnału Global Privacy Control, lista kategorii danych;
• Brazylia, Kanada, Szwajcaria i inne — LGPD, PIPEDA, znowelizowana FADP i ich wymagania dotyczące informacji i zgody.

Strona skierowana do kilku regionów jest sprawdzana według każdego z nich, a raport wskazuje, z której ustawy pochodzi każde wymaganie. Przepis, który strony nie dotyczy, nie jest pokazywany jako naruszenie, więc raport nie straszy cudzym regulatorem.

Co jest sprawdzane na stronach

Trackery i strony trzecie. Skaner otwiera strony w prawdziwej przeglądarce i zapisuje każde żądanie do zewnętrznej usługi: analityki, pikseli reklamowych, widżetów czatu, odtwarzaczy wideo, map, czcionek, przycisków społecznościowych. Przy każdym widać, jaka firma za nim stoi, w jakim kraju przetwarza dane i do czego zwykle służy. Właśnie z tą listą musi się zgadzać polityka prywatności.

Zgoda przed śledzeniem. Kluczowe pytanie nie brzmi, czy strona ma baner cookies, ale co się dzieje, zanim odwiedzający go kliknie. Audyt rejestruje, jakie ciasteczka są ustawiane i jakie żądania wychodzą przy pierwszej wizycie, potem odmawia zgody i sprawdza ponownie. Jeśli analityka działa także po „Odrzuć” albo przycisku odmowy w ogóle nie ma, raport to wykaże wraz z dowodami.

Ciasteczka. Każde ciasteczko jest wymienione z domeną, czasem życia i celem: niezbędne do działania, funkcjonalne, analityczne lub reklamowe. Osobno oznaczone są ciasteczka ważne latami, ciasteczka stron trzecich i ciasteczka bez flag Secure i SameSite.

Formularze i przekazywanie danych. Formularze kontaktowe, rejestracyjne i zamówień są sprawdzane pod kątem połączenia HTTPS, linku do polityki oraz — tam, gdzie wymaga tego region — osobnego, domyślnie niezaznaczonego pola zgody. Wysyłanie danych do obcej domeny lub nieszyfrowanym połączeniem trafia do raportu.

Wymagane dokumenty. Audyt szuka polityki prywatności, polityki cookies, regulaminu, noty prawnej (Impressum, obowiązkowej w Niemczech i Austrii) i deklaracji dostępności tam, gdzie obowiązuje Europejski akt o dostępności. Sprawdza, czy są podlinkowane z każdej strony, otwierają się bez błędów i są napisane w języku strony.

Co otrzymujesz

Raport podaje ocenę zgodności dla każdej mającej zastosowanie ustawy i listę znalezisk uporządkowaną według ryzyka. Każde znalezisko wskazuje wymaganie, stronę, na której wykryto problem, dowód — żądanie, ciasteczko, zrzut ekranu — i poprawkę: skonfigurować tryb zgody w analityce, przenieść skrypt za zgodę, dodać brakującą sekcję do polityki. Listę wykrytych trackerów i ciasteczek można wyeksportować i użyć jako podstawy tabeli cookies w polityce.

Warto wiedzieć

Audyt to kontrola techniczna, a nie porada prawna. Pokazuje, co robi strona i gdzie odbiega to od powszechnej interpretacji przepisów — czyli dokładnie to, od czego powinien zacząć prawnik lub inspektor ochrony danych. Przy regularnym monitoringu nowo dodany piksel albo baner zgody zepsuty po wydaniu zostanie zauważony w ciągu doby, a nie w skardze do regulatora.