Zgodność i pliki cookie

Jak działa ta kontrola

Scanaris wykonuje dwa testy na HTML-u Twojej strony, oba celowo łagodne, żeby nie dawać fałszywych alarmów. Pierwszy: szuka dowolnego linku, którego cel lub tekst zawiera słowa takie jak privacy, prywatność, cookies, legal notice, aviso legal, Datenschutz, RODO jako GDPR, terms, términos lub condiciones, w kilku językach. Jeśli nie znajdzie ani jednego, otwiera ustalenie o średniej wadze: sygnał, że nie ma strony prawnej, jest silny. Drugi: jeśli odpowiedź Twojego serwera ustawia ciasteczka (nagłówek Set-Cookie), a w HTML-u nie ma żadnej znanej platformy zgody (Cookiebot, OneTrust, Osano, iubenda, Didomi, Usercentrics, Termly, CookieYes, Complianz, Borlabs, Klaro, tarteaucitron i około dwudziestu innych) ani typowych tekstów banera („we use cookies", „accept cookies", „cookie policy"), otwiera ustalenie o niskiej wadze. Niskiej, bo wiele banerów ładuje JavaScript i nie ma ich w początkowym HTML-u; samo ustalenie o tym uprzedza.

Dlaczego to ważne

W Unii Europejskiej, i w coraz większej liczbie krajów, przetwarzanie danych osobowych zobowiązuje do poinformowania, kto je przetwarza, po co i jak długo: to polityka prywatności, a formularz kontaktowy, rejestracja czy narzędzie analityczne to już przetwarzanie danych. Przepisy o ciasteczkach dodają, że te nieistotne (analityka, reklama, media społecznościowe) można instalować tylko za uprzednią, świadomą i odwołalną zgodą. Kary istnieją i organy ochrony danych nakładają je także na małe firmy, zwykle po skardze użytkownika. Ale najbardziej praktyczny powód to zaufanie: strona bez informacji prawnej i polityki prywatności wygląda na opuszczoną lub niepoważną, a klienci biznesowi sprawdzają to przed zapłatą.

Jak to naprawić

Polityka prywatności i informacja prawna

• Co uwzględnić: kim jesteś (nazwa, NIP, adres, e-mail), jakie dane zbierasz i w jakim celu, na jakiej podstawie prawnej, komu je przekazujesz (hosting, dostawca poczty, analityka), jak długo je przechowujesz, jak skorzystać z prawa dostępu i usunięcia, i czy są transfery poza UE.
• Jak: generator polityk daje bazę; dostosuj ją do tego, co naprawdę robisz. Strona /privacy i druga /legal lub /terms, podlinkowane ze stopki wszystkich stron.

Zgoda na ciasteczka

• Najpierw inwentaryzacja: jakie ciasteczka ustawiasz i które są niezbędne (sesja, koszyk, sama preferencja zgody), a które nie (Google Analytics, piksele reklamowe, osadzone wideo).
• Jeśli używasz tylko niezbędnych, nie potrzebujesz banera; potrzebujesz polityki cookies, która to mówi.
• Jeśli używasz nieistotnych, menedżera zgody, który blokuje je do czasu akceptacji, z „odrzuć" tak samo widocznym jak „akceptuj". Cookiebot, iubenda, Termly lub CookieYes na początek; Complianz lub Borlabs w WordPressie. Jeśli używasz Google Analytics lub Ads, skonfiguruj tryb zgody tak, żeby respektował wybór.
• Ładuj baner w początkowym HTML-u albo skryptem w <head>, nie z opóźnieniem: tak pojawi się przed ciasteczkami i ta kontrola go wykryje.

Sprawdź, czy naprawione

curl -s https://twojadomena.pl | grep -oiE '<a[^>]*href="[^"]*(privac|prywatnos|legal|regulamin|cookie|terms)[^"]*"[^>]*>'
curl -sI https://twojadomena.pl | grep -i set-cookie
curl -s https://twojadomena.pl | grep -ioE "cookiebot|onetrust|iubenda|usercentrics|cookieyes|termly|complianz|accept cookies|akceptuj" | head -3

Pierwsze powinno pokazać co najmniej jeden link prawny. Jeśli drugie pokazuje ciasteczka, trzecie powinno pokazać Twojego menedżera zgody.

Często zadawane pytania

Moja strona to osobisty projekt non-profit. Też?

Jeśli zbierasz dane innych osób (formularz, rejestracja, analityka), tak. Jeśli to statyczna strona bez formularzy i analityki, nie przetwarzasz danych osobowych i wystarczy informacja, kim jesteś. Ale większość stron „bez niczego" ma Google Analytics.

Mam baner, a ustalenie się pojawia.

Prawdopodobnie ładuje go JavaScript już po dotarciu HTML-u, a ta kontrola nie uruchamia JavaScriptu. Właśnie dlatego ustalenie ma niską wagę. Jeśli Twój baner działa i blokuje ciasteczka do akceptacji, możesz uznać je za zaakceptowane; jeszcze lepiej załaduj skrypt menedżera w <head>.

Czy ciasteczka sesyjne wymagają zgody?

Nie: te ściśle niezbędne do działania usługi są zwolnione. Ale muszą być dobrze skonfigurowane, co sprawdza niebezpieczne ciasteczka. Reszta listy prawnej i technicznej przed startem jest w checkliście przed startem.