Jak se počítá compliance skóre

Sken webu končí dvěma údaji: technickým skóre v procentech a verdiktem. Skóre říká, kolik bodů web získal z kritérií, která se na něj vztahují. Verdikt říká, jestli se někde objevil problém, který nejde přehlédnout. Tento návod popisuje, jak vzniká jedno i druhé. Platí pro skeny webu.

Co skener měří

Skener otevře stránku v prohlížeči a zaznamená, co se na ní děje před kliknutím na cookie lištu. Pak v jednom průchodu souhlas přijme, v druhém ho odmítne a stránku pokaždé znovu načte, aby ověřil, že volba vydržela. Z toho, co v těchto průchodech viděl, vyhodnotí kritéria v tabulce:

Přehled kritérií v dashboardu uvádí jejich názvy anglicky; tady je píšeme česky podle tabulky. Váha je počet bodů, které kritérium může přinést. Web cookie lištu potřebuje, když se na něm lišta zobrazí a zároveň běží sledovací nástroje, nebo když se některý sledovací nástroj ozve svým serverům ještě před souhlasem, i kdyby si jen stáhl svůj skript. Dvě kritéria Google Consent Mode se počítají jen tam, kde skener najde některý z nástrojů Google.

Většina kritérií buď projde, nebo ne. Některá mohou získat jen část bodů: třeba když jde souhlas odmítnout, ale až v nastavení lišty, nebo když lišta po přijetí zmizí, ale po odmítnutí zůstane.

Kritérium „Žádné měření před souhlasem“ (v dashboardu „No Tracking Before Consent“) se skládá z toho, co jednotlivé nástroje dělaly před souhlasem. Plné body má, jen když žádný nástroj před souhlasem neudělal nic, co by se mu počítalo. Nástroj, který si jen stáhl skript nebo měřil bez cookies, ho sníží méně než nástroj, který sledoval návštěvníky. Co nástroje dělaly po odmítnutí, se počítá do kritéria „Žádné měření po odmítnutí“.

Proč základ není vždy 100 bodů

Kritérium, které se na web nevztahuje, se nepočítá jako splněné ani jako nesplněné. Vypadne úplně. Skóre je podíl bodů, které web získal, a bodů, které mohl získat z kritérií, jež zůstala.

Příklad (vymyšlený, ne skutečný web): e-shop má cookie lištu a sledovací nástroje, ale žádný nástroj Google. Obě kritéria Consent Mode proto vypadnou a zbývá 75 bodů. Web splní všechno kromě kritéria „Žádné sledovací cookies před souhlasem“ (v dashboardu „No Tracking Cookies Before Consent“), takže získá 65 bodů. Skóre je 65 / 75, v dashboardu 87 %.

Kdyby se počítalo ze 100 bodů, vyšlo by 65 % a web by ztrácel body za nástroj, který vůbec nepoužívá. Kdyby se vyřazená kritéria počítala jako splněná, vyšlo by 90 % a web by dostal body za něco, co se neměřilo.

Z toho plyne jedna praktická věc: skóre se může pohnout, i když na liště nikdo nic nezměnil. Když na web přibude třeba Google Analytics, přibudou i dvě kritéria Consent Mode a základ se zvětší.

Jak skóre ukazuje dashboard

Skóre se vždy ukazuje jako celé číslo v procentech. Barvu mají jen jeho číslice: od 90 % zelenou, od 50 % jantarovou, pod 50 % červenou. Jantarová neznamená „skoro v pořádku“. I takové skóre říká, že je co opravit. Barva i stupeň níže se řídí nezaokrouhleným skóre: 89,6 se ukáže jako 90 %, a přesto je jantarové a má stupeň B.

Ve verdiktu je vedle čísla ještě řádek „Stupeň“ s písmenem, které se počítá ze stejného čísla podle této tabulky a nic dalšího neříká:

Skóre a verdikt nejsou totéž

Verdikt na řádku „Hodnocení reklamy“ má tři stavy: „V souladu“, „Varování“ a „Nesouladný“. Nepočítá se ze skóre, ale z toho, co audit našel:

• „Nesouladný“, když je některý nástroj nesouladný, některé kritérium nezíská žádný bod nebo audit najde závažný nález;
• „Varování“, když má některý nástroj varování, některé kritérium získá jen část bodů nebo audit najde méně závažný nález;
• „V souladu“ jen tehdy, když nic z toho neplatí.

Web tak může mít vysoké skóre a přesto být nesouladný. Stačí jedno kritérium s malou vahou, které nezíská žádný bod.

Nástroje v záložce „Nástroje“ dostávají stejné tři stavy. Rozhoduje, co nástroj dělal před souhlasem a po odmítnutí, a platí horší z obou. U varování a nesouladu dashboard napíše proč, například:

• „Načítá skript bez souhlasu; měření neodesílá“ nebo „Měří bez souhlasu v režimu bez cookies (odesílá IP adresu)“ u varování;
• „Sleduje návštěvníky bez souhlasu (cookie nebo ID návštěvníka)“ nebo „Měří bez souhlasu; nástroj nemá režim bez cookies“ u nesouladu.

Nálezy a jejich kódy

Každý nález v sekci „Porušení“ má vedle názvu kód. Podle něj stejný nález snadno poznáte i v dalších auditech:

Kdy skóre nevznikne

Audit, který nedoběhne, žádné skóre nemá. Ve výpisu má pak stav „Bez dat“, „Selhalo“ nebo „Zrušeno“. „Zrušeno“ znamená, že audit byl zastaven dřív, než doběhl, třeba proto, že se vypnul jeho plán. „Selhalo“ znamená, že se cestou pokazil. Audit „Bez dat“ proběhl, ale nic spolehlivého nenaměřil; v detailu má nadpis „Tento audit nemá výsledek“ s jednou větou o tom, co se stalo:

• stránku se nám při naší návštěvě nepodařilo načíst;
• lištu se souhlasem jsme našli, ale souhlas se nepodařilo odkliknout;
• audit se nám nepodařilo dokončit na naší straně.

Skóre nevznikne ani tehdy, když audit nemá co hodnotit: nezachytil žádný nástroj ani lištu, nebo nedokázal zjistit, jestli stránka lištu vůbec má. Ze zbylých kritérií by vyšlo číslo, které by nic neznamenalo, a to ukazovat nechceme. Kromě zrušeného auditu na tom ve všech těchto případech pracujeme my; z vaší strany není potřeba nic dělat.

Co skóre není

Skóre není právní posudek ani certifikát souladu s GDPR. Popisuje, co odešlo z prohlížeče, když skener stránku navštívil: jaké nástroje se ozvaly, jaké cookies vznikly a jak se chovala lišta. Neposuzuje texty na liště, zásady ochrany osobních údajů, právní základ zpracování ani to, co se s daty děje na serverech. Je to měření, ze kterého se dobře začíná rozhovor s právníkem nebo pověřencem. Ten rozhovor ale nenahradí.