Εκτίμηση Αντικτύπου σχετικά με την Προστασία Δεδομένων (άρθρο 35 ΓΚΠΔ)

Το παρόν έγγραφο δημοσιεύεται σε περισσότερες γλώσσες. Σε περίπτωση απόκλισης μεταξύ των γλωσσικών εκδόσεων, δεσμευτική είναι η πολωνική έκδοση.

Έκδοση 1.0 · Τελευταία ενημέρωση: 16 Οκτωβρίου 2026

1. Περί τίνος πρόκειται και τι είναι η παρούσα σελίδα

Η παρούσα σελίδα είναι η εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (ΕΑΠΔ) του formexposed σύμφωνα με το άρθρο 35 ΓΚΠΔ. Πρώτα απαντά στο προκαταρκτικό ερώτημα εάν απαιτείται καθόλου ΕΑΠΔ – για κάθε πράξη επεξεργασίας χωριστά, όχι για την υπηρεσία στο σύνολό της. Όπου η απάντηση είναι καταφατική, διενεργεί την εκτίμηση σύμφωνα με το άρθρο 35(7)(a) έως (d): συστηματική περιγραφή, αναγκαιότητα και αναλογικότητα, κίνδυνοι για τα υποκείμενα των δεδομένων και μέτρα για την αντιμετώπισή τους. Ακολουθούν ο υπολειπόμενος κίνδυνος, το ζήτημα της προηγούμενης διαβούλευσης σύμφωνα με το άρθρο 36 και οι κανόνες επανεξέτασης.

Το άρθρο 35 δεν απαιτεί τη δημοσίευση της ΕΑΠΔ. Τη δημοσιεύουμε για δύο λόγους. Πρώτον, οι Πελάτες που χρησιμοποιούν τον έλεγχο παράδοσης ή τη σάρωση πίσω από τη σύνδεση χρειάζονται για τη δική τους εκτίμηση στοιχεία που γνωρίζουμε μόνο εμείς· τους οφείλουμε αυτά τα στοιχεία σε κάθε περίπτωση ως εκτελών την επεξεργασία (άρθρο 28(3)(f) ΓΚΠΔ). Δεύτερον, ο ανιχνευτής ιστού (crawler) μας ελέγχει ιστότοπους των οποίων οι διαχειριστές δεν μας γνωρίζουν. Θα πρέπει να μπορούν να διαβάσουν ποιους κινδύνους βλέπουμε για αυτούς και για τα πρόσωπα στις σελίδες τους, και τι κάνουμε γι' αυτούς.

Νομική φύση. Η παρούσα ΕΑΠΔ αποτελεί τεκμηρίωση του υπευθύνου επεξεργασίας σύμφωνα με το άρθρο 35 ΓΚΠΔ, την οποία δημοσιεύουμε εθελοντικά. Δεν αποτελεί μέρος καμίας σύμβασης και δεν συνιστά δήλωση, εγγύηση ή συμφωνία ποιότητας έναντι Πελατών ή τρίτων. Ποιες υπηρεσίες και εγγυήσεις οφείλουμε στους Πελάτες διέπεται από τους Όρους Χρήσης, τη Σύμβαση Επεξεργασίας Δεδομένων και τα παραρτήματά της· όσον αφορά τις υποχρεώσεις αυτές, υπερισχύουν της παρούσας σελίδας. Η σελίδα περιγράφει την κατάσταση κατά την ημερομηνία της παρούσας έκδοσης. Οι διαβαθμίσεις κινδύνου και οι εκτιμήσεις αποτελούν δική μας άποψη και δεν προδικάζουν καμία νομική αξιολόγηση από εποπτική αρχή ή δικαστήριο· τα μέτρα που περιγράφονται ως «σχεδιαζόμενα» είναι προθέσεις χωρίς δεσμευτική ημερομηνία. Για τους Πελάτες, η σελίδα αποτελεί βάση για τη δική τους εκτίμηση, όχι νομική συμβουλή.

Πρόκειται για την πρώτη έκδοση της εκτίμησης κατωφλίου. Εξετάζει, πράξη επεξεργασίας προς πράξη επεξεργασίας, εάν απαιτείται ΕΑΠΔ, και καταγράφει το αποτέλεσμα στην ενότητα 3.5.

Κάθε δήλωση γεγονότων υπόκειται στην ίδια αρχή όπως και στα άλλα νομικά μας έγγραφα: μετρημένο, όχι επιδιωκόμενο. Ό,τι τεκμηριώνεται στον κώδικα ή στη βάση δεδομένων αναφέρεται εδώ με την παραπομπή στην πηγή του. Ό,τι δεν μπόρεσε να τεκμηριωθεί επισημαίνεται ως «δεν επαληθεύτηκε». Ό,τι απλώς σχεδιάζεται χαρακτηρίζεται «σχεδιαζόμενο». Κατονομάζουμε ανοικτά τα ανοικτά σημεία, μαζί με το σχεδιαζόμενο μέτρο· μια ΕΑΠΔ που απαριθμεί μόνο πλεονεκτήματα δεν βοηθά τα πρόσωπα που αφορά.

Όροι: διαχειριστής είναι όποιος λειτουργεί έναν ελεγμένο ιστότοπο. Πελάτης έχει λογαριασμό στο formexposed. Επισκέπτης είναι όποιος χρησιμοποιεί τον ιστότοπο ενός Πελάτη, για παράδειγμα τη φόρμα επικοινωνίας του. Παραπομπή στην πηγή σημαίνει ένα αρχείο, μια συνάρτηση ή μια ρύθμιση στον πηγαίο κώδικα, μετρημένα σύμφωνα με την κατάσταση του συστήματος ανάπτυξης στις 11 Οκτωβρίου 2026.

Θέτουμε σκόπιμα ένα όριο στη διαφάνεια: τα ανοικτά σημεία στην ασφάλιση των δικών μας διακομιστών περιγράφονται μόνο σε γενικές γραμμές (R13). Κατονομάζουμε τον κίνδυνο και το επίπεδό του, όχι όμως τη διαδρομή προς μια συγκεκριμένη ευπάθεια· θα παράσχουμε τις λεπτομέρειες σε εποπτική αρχή κατόπιν αιτήματος.

2. Ρόλοι: ποιος φέρει την υποχρέωση και για τι

Το άρθρο 35 επιβάλλει την υποχρέωση στον υπεύθυνο επεξεργασίας. Το formexposed είναι υπεύθυνος επεξεργασίας για ορισμένες πράξεις επεξεργασίας, εκτελών την επεξεργασία για τους Πελάτες του για άλλες, και τίποτα από τα δύο για τα δεδομένα που αποθηκεύουν το πρόσθετό μας για το WordPress και η επέκτασή μας για το TYPO3 στον ιστότοπο ενός Πελάτη. Η απάντηση σε σχεδόν κάθε ερώτημα του παρόντος εγγράφου εξαρτάται από τον ρόλο για τον οποίο τίθεται το ερώτημα. Η κατανομή ακολουθεί την Πολιτική Απορρήτου και τη Σύμβαση Επεξεργασίας Δεδομένων.

Πράξη επεξεργασίας	Ρόλος του formexposed	Ποιος φέρει την υποχρέωση του άρθρου 35
Έλεγχος ιστότοπων τρίτων χωρίς εντολή του διαχειριστή τους: δωρεάν έλεγχος, έλεγχος υποψήφιων πελατών για πρακτορεία, μελέτη	Υπεύθυνος επεξεργασίας	formexposed
Έλεγχος τομέων στον λογαριασμό του Πελάτη: παρακολούθηση, ενεργές δοκιμαστικές υποβολές, διαδρομές προγράμματος περιήγησης, εκτεθειμένα αρχεία, παλμός φόρμας	Υπεύθυνος επεξεργασίας για τα δεδομένα λογαριασμού και ελέγχου του Πελάτη· εκτελών την επεξεργασία για δεδομένα προσωπικού χαρακτήρα τρίτων που είναι ορατά στον επαληθευμένο ιστότοπο του Πελάτη· όσο ένας τομέας δεν είναι επαληθευμένος, υπεύθυνος επεξεργασίας όπως στον δωρεάν έλεγχο	formexposed για το δικό του μέρος· ο Πελάτης για δεδομένα τρίτων στον ιστότοπό του
Σάρωση πίσω από τη σύνδεση με δοκιμαστικό λογαριασμό	Εκτελών την επεξεργασία: τα διαπιστευτήρια και το περιεχόμενο πίσω από τη σύνδεση ανήκουν στον ιστότοπο του Πελάτη	Ο Πελάτης· το formexposed επικουρεί
Έλεγχος παράδοσης με αντίγραφο ελέγχου	Εκτελών την επεξεργασία	Ο Πελάτης· το formexposed επικουρεί
Προστασία σμήνους: κοινή λίστα τομέων συνδέσμων από αποκλεισμένο spam	Υπεύθυνος επεξεργασίας: συνδυάζουμε τις αναφορές πολλών ιστότοπων, καταρτίζουμε τη λίστα και τη διανέμουμε	formexposed
Λογαριασμοί Πελατών, σύνδεση, αρχεία καταγραφής, υποστήριξη, αποστολή e-mail, πληρωμές, αρχεία τεκμηρίωσης	Υπεύθυνος επεξεργασίας	formexposed
Πύλη πελατών και μηνιαία αναφορά προς τους συνδρομητές ενός πρακτορείου	Εκτελών την επεξεργασία	Το πρακτορείο
Δεδομένα που αποθηκεύουν το πρόσθετο και η επέκταση στον ιστότοπο του Πελάτη (καραντίνα, δίχτυ ασφαλείας, αποθηκευμένα αιτήματα)	Τίποτα από τα δύο: τα δεδομένα δεν εγκαταλείπουν ποτέ τον ιστότοπο	Ο διαχειριστής του ιστότοπου

Από αυτό προκύπτει μια διάκριση που δηλώνουμε ρητά, διότι συχνά γίνεται λάθος και προς τις δύο κατευθύνσεις. Όπου το formexposed είναι υπεύθυνος επεξεργασίας, διενεργούμε την εκτίμηση οι ίδιοι και φέρουμε το αποτέλεσμά της. Όπου είμαστε εκτελών την επεξεργασία, δεν μπορούμε να διενεργήσουμε την εκτίμηση του Πελάτη στη θέση του, να αποφασίσουμε για λογαριασμό του το ζήτημα της αναγκαιότητας ή να διαβουλευθούμε με την εποπτική αρχή σύμφωνα με το άρθρο 36 εκ μέρους του. Αυτό που μπορούμε και οφείλουμε να κάνουμε εκεί είναι να του παρέχουμε όλα όσα χρειάζεται: την περιγραφή του στοιχείου (a), τα μετρημένα δεδομένα για τους κινδύνους του στοιχείου (c) και μια ειλικρινή λίστα κατάστασης των μέτρων του στοιχείου (d). Για τον έλεγχο παράδοσης και τη σάρωση πίσω από τη σύνδεση, η παρούσα σελίδα είναι ακριβώς αυτό.

Ένας Πελάτης που υιοθετεί αμετάβλητες τις ενότητες για τον έλεγχο παράδοσης ως δική του ΕΑΠΔ δεν έχει διενεργήσει ΕΑΠΔ. Το εάν το αντίγραφο ελέγχου δικαιολογείται για τις δικές του φόρμες, εάν αναμένονται εκεί ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα και πώς ενημερώνει τους επισκέπτες του είναι ζητήματα που μόνο αυτός μπορεί να αποφασίσει. Η ενότητα 11 συνοψίζει τι πρέπει να διευκρινιστεί για τον σκοπό αυτό.

3. Εκτίμηση κατωφλίου: απαιτείται ΕΑΠΔ;

3.1 Άρθρο 35(1) και άρθρο 35(3)

Το άρθρο 35(1) απαιτεί ΕΑΠΔ όταν ένα είδος επεξεργασίας, ιδίως με χρήση νέων τεχνολογιών και συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Το άρθρο 35(3) κατονομάζει τρεις περιπτώσεις στις οποίες αυτό ισχύει ιδίως. Καμία από τις τρεις δεν ταιριάζει στο formexposed, και αυτό πρέπει να αιτιολογηθεί αντί απλώς να δηλωθεί:

• Στοιχείο (a) – συστηματική και εκτενής αξιολόγηση προσωπικών πτυχών σχετικά με φυσικά πρόσωπα, η οποία βασίζεται σε αυτοματοποιημένη επεξεργασία και στην οποία βασίζονται αποφάσεις που παράγουν έννομα αποτελέσματα ή επηρεάζουν σημαντικά με παρόμοιο τρόπο τα πρόσωπα αυτά. Αξιολογούμε φόρμες και ιστότοπους, όχι προσωπικές πτυχές ανθρώπων. Η υπηρεσία δεν λαμβάνει καμία απόφαση με έννομα αποτελέσματα για οποιοδήποτε πρόσωπο. Το πλησιέστερο σε αυτό είναι η προστασία σμήνους: μηνύματα που περιέχουν σύνδεσμο προς τομέα της λίστας καταλήγουν σε καραντίνα στους συνδεδεμένους ιστότοπους. Πρόκειται για αυτοματοποιημένη συνέπεια για το μήνυμα, όχι για εκτενή αξιολόγηση ενός προσώπου· την εξετάζουμε στο κριτήριο «Αξιολόγηση ή βαθμολόγηση» στην ενότητα 3.3.
• Στοιχείο (b) – μεγάλης κλίμακας επεξεργασία ειδικών κατηγοριών σύμφωνα με το άρθρο 9 ή δεδομένων που αφορούν ποινικές καταδίκες και αδικήματα σύμφωνα με το άρθρο 10. Ούτε επιδιώκεται ούτε έχει κατασκευαστεί. Τέτοια δεδομένα μπορούν παρ' όλα αυτά να φθάσουν σε εμάς από μία οδό: στο αντίγραφο ελέγχου γνήσιων μηνυμάτων επισκεπτών στον έλεγχο παράδοσης. Αυτό εξαρτάται από τη συγκεκριμένη περίπτωση και δεν είναι μεγάλης κλίμακας κατά την έννοια της διάταξης αυτής· λαμβάνεται, ωστόσο, υπόψη στην εκτίμηση κινδύνου (R1).
• Στοιχείο (c) – συστηματική παρακολούθηση δημοσίως προσβάσιμου χώρου σε μεγάλη κλίμακα. Αυτό αφορά τη φυσική παρατήρηση τόπων, όχι την ανάκτηση δημόσιων ιστοσελίδων. Η επίκληση της διάταξης αυτής ως αφετηρίας για έναν ανιχνευτή ιστού θα ήταν εσφαλμένη.

Η ορθή οδός είναι επομένως το ίδιο το άρθρο 35(1), εφαρμοζόμενο μέσω των εννέα κριτηρίων των Κατευθυντήριων γραμμών της Ομάδας Εργασίας του Άρθρου 29 σχετικά με την εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (WP248 rev.01, εγκεκριμένες από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων), και η λίστα της πολωνικής εποπτικής αρχής σύμφωνα με το άρθρο 35(4) (ενότητα 3.4).

3.2 Τα εννέα κριτήρια των κατευθυντήριων γραμμών WP248

Οι κατευθυντήριες γραμμές κατονομάζουν εννέα χαρακτηριστικά που υποδηλώνουν πιθανό υψηλό κίνδυνο. Κατά γενικό κανόνα, μια πράξη επεξεργασίας που πληροί δύο από αυτά θα απαιτεί στις περισσότερες περιπτώσεις ΕΑΠΔ. Ένας υπεύθυνος επεξεργασίας μπορεί να καταλήξει σε διαφορετικό συμπέρασμα σε συγκεκριμένη περίπτωση, πρέπει όμως τότε να το αιτιολογήσει και να το τεκμηριώσει. Αντιστρόφως, ένα μόνο κριτήριο μπορεί να αρκεί. Στην παρούσα σελίδα χρησιμοποιούμε τις ακόλουθες σύντομες ονομασίες:

1. C1 – Αξιολόγηση ή βαθμολόγηση, συμπεριλαμβανομένης της κατάρτισης προφίλ και της πρόβλεψης, για παράδειγμα της απόδοσης στην εργασία, της οικονομικής κατάστασης, της αξιοπιστίας ή της συμπεριφοράς.
2. C2 – Αυτοματοποιημένη λήψη αποφάσεων με έννομα ή παρόμοια σημαντικά αποτελέσματα.
3. C3 – Συστηματική παρακολούθηση, δηλαδή επεξεργασία που χρησιμοποιείται για την παρατήρηση, την παρακολούθηση ή τον έλεγχο των υποκειμένων των δεδομένων, μεταξύ άλλων μέσω δικτύων. Οι κατευθυντήριες γραμμές αιτιολογούν ρητά το κριτήριο αυτό με το γεγονός ότι τα υποκείμενα των δεδομένων συχνά δεν γνωρίζουν ποιος συλλέγει τα δεδομένα τους και για ποιον σκοπό.
4. C4 – Ευαίσθητα δεδομένα ή δεδομένα εξαιρετικά προσωπικού χαρακτήρα: ειδικές κατηγορίες σύμφωνα με τα άρθρα 9 και 10, αλλά και δεδομένα των οποίων η αποκάλυψη επηρεάζει σημαντικά την καθημερινή ζωή, συμπεριλαμβανομένων ηλεκτρονικών επικοινωνιών το απόρρητο των οποίων πρέπει να προστατεύεται.
5. C5 – Δεδομένα που υφίστανται επεξεργασία σε μεγάλη κλίμακα, με μέτρο τον αριθμό των υποκειμένων των δεδομένων, τον όγκο και το εύρος των δεδομένων, τη διάρκεια και τη γεωγραφική έκταση.
6. C6 – Αντιστοίχιση ή συνδυασμός συνόλων δεδομένων που προέρχονται από διαφορετικές πράξεις επεξεργασίας ή από διαφορετικούς υπευθύνους επεξεργασίας, με τρόπο που τα υποκείμενα των δεδομένων δεν θα ανέμεναν.
7. C7 – Δεδομένα που αφορούν ευάλωτα υποκείμενα των δεδομένων, για παράδειγμα εργαζόμενους, παιδιά, ασθενείς ή άλλα πρόσωπα σε σχέση ανισορροπίας ισχύος.
8. C8 – Καινοτόμος χρήση ή εφαρμογή νέων τεχνολογικών ή οργανωτικών λύσεων· στην εποπτική πρακτική, η χρήση τεχνητής νοημοσύνης αντιμετωπίζεται τακτικά ως υπαγόμενη στο κριτήριο αυτό.
9. C9 – Επεξεργασία που εμποδίζει τα υποκείμενα των δεδομένων να ασκήσουν δικαίωμα ή να χρησιμοποιήσουν υπηρεσία ή σύμβαση.

Διαβαθμίζουμε κάθε κριτήριο ως «πληρούται», «οριακό» ή «δεν πληρούται» και αιτιολογούμε τη διαβάθμιση από τον κώδικα. Μια οριακή περίπτωση δεν προσμετράται ως πληρούμενη στο σύνολο, αλλά αναφέρεται στο αποτέλεσμα· όπου πολλές οριακές περιπτώσεις δείχνουν προς την ίδια κατεύθυνση, συμπεριλαμβάνουμε την πράξη επεξεργασίας στην εκτίμηση.

3.3 Εκτίμηση ανά πράξη επεξεργασίας

P1 – Δωρεάν έλεγχος χωρίς λογαριασμό (έλεγχος οποιουδήποτε ιστότοπου τρίτου κατόπιν αιτήματος)

Οποιοσδήποτε μπορεί να εισαγάγει έναν τομέα στην αρχική σελίδα. Ο ανιχνευτής ιστού ανακτά τότε το πολύ οκτώ δημόσιες σελίδες του ιστότοπου αυτού, διαβάζει τις φόρμες, λαμβάνει στιγμιότυπα οθόνης και παράγει μια αναφορά την οποία μπορεί να δει οποιοσδήποτε γνωρίζει τον τυχαίο σύνδεσμό της. Ο διαχειριστής του ιστότοπου δεν πληροφορείται τίποτα από αυτά, εκτός εάν παρατηρήσει το αναγνωριστικό του ανιχνευτή στα αρχεία καταγραφής του.

• C1 – οριακό. Η αναφορά αξιολογεί την προστασία μιας φόρμας με ένα επίπεδο («Εκτεθειμένο», «Μερικώς προστατευμένο», «Προστατευμένο») και μια βαθμολογία. Για μια εταιρεία περιορισμένης ευθύνης αυτό δεν αφορά φυσικό πρόσωπο. Για ατομικούς επιχειρηματίες και ελεύθερους επαγγελματίες, ο τομέας μπορεί να αποδοθεί στο φυσικό πρόσωπο, και τότε το επίπεδο λέει κάτι για την επιμέλεια που επιδεικνύεται στην επαγγελματική του δραστηριότητα. Αυτό που αξιολογείται, ωστόσο, είναι μια τεχνική διάταξη, όχι η συμπεριφορά ή τα χαρακτηριστικά ενός προσώπου. Το αντιμετωπίζουμε ως οριακό.
• C2 – δεν πληρούται. Δεν αποφασίζεται τίποτα σε σχέση με τον διαχειριστή. Σε σχέση με το πρόσωπο που ζητά τον έλεγχο, ισχύουν όρια ανά διεύθυνση IP και συνεδρία (cfg/check_lib.php)· ένας απορριφθείς έλεγχος δεν έχει σημαντικό αποτέλεσμα.
• C3 – δεν πληρούται. Πρόκειται για μεμονωμένη ανάκτηση κατόπιν αιτήματος, το πολύ μία φορά ανά τομέα και εβδομάδα (cfg/check_lib.php, ρύθμιση fc_domain_days = 7). Δεν παρατηρούνται άνθρωποι. Η περίσταση που επικαλούνται οι κατευθυντήριες γραμμές για να αιτιολογήσουν το C3 – τα υποκείμενα των δεδομένων δεν γνωρίζουν τίποτα για την επεξεργασία – υφίσταται, ωστόσο. Λαμβάνεται υπόψη στην εκτίμηση κινδύνου (R5).
• C4 – δεν πληρούται. Αποθηκεύονται η δομή της φόρμας και τα ευρήματα, όχι οι τιμές που εισάγονται (το scanner/src/crawl.js αποθηκεύει για τα ορατά πεδία μόνο το μήκος μιας τιμής). Ο σαρωτής διαβάζει τις αρχές προσυμπληρωμένων κρυφών πεδίων (έως 24 χαρακτήρες) και χαρακτηριστικών δεδομένων (έως 60 χαρακτήρες) μόνο κατά τη διάρκεια του ελέγχου, προκειμένου να εντοπίσει tokens και χρονοσφραγίδες· δεν αποθηκεύονται. Τα στιγμιότυπα οθόνης ενδέχεται να δείχνουν περιστασιακά πρόσωπα και ονόματα· ο ιστότοπος ενός ιατρείου δείχνει στην εικόνα την ειδικότητά του. Πρόκειται για δημόσια επαγγελματικά στοιχεία, όχι για δεδομένα υγείας συγκεκριμένου προσώπου.
• C5 – οριακό. Το ημερήσιο ανώτατο όριο είναι 200 αποδεκτοί έλεγχοι (fc_daily_cap), δηλαδή αριθμητικά έως περίπου 73.000 ιστότοποι ετησίως. Ανά ιστότοπο προκύπτουν μόνο λίγα δεδομένα προσωπικού χαρακτήρα, και η διάρκεια είναι σύντομη (30 ημέρες). Σύμφωνα με τη μέτρηση στο σύστημα ανάπτυξης, υπάρχουν 2 ανώνυμοι έλεγχοι στο σύνολο δεδομένων. Δεν πληρούται σήμερα· οριακό δεδομένης της σχεδιασμένης χωρητικότητας.
• C6 – δεν πληρούται. Εκτός από την ανάκτηση των σελίδων, η υπηρεσία ερωτά την ηλικία του τομέα μέσω της υπηρεσίας RDAP rdap.org (διαβιβάζεται μόνο το όνομα τομέα· αποθηκεύεται, προσωρινά, μόνο η ημερομηνία καταχώρισης) και επιλύει DNS. Πρόκειται για τεχνικά στοιχεία σχετικά με τον τομέα, όχι για συνδυασμό συνόλων δεδομένων για πρόσωπα.
• C7 – δεν πληρούται.
• C8 – πληρούται, σε ασθενή μορφή. Ένα αυτοματοποιημένο πρόγραμμα περιήγησης ελέγχει τις σελίδες, και ένα γλωσσικό μοντέλο στον δικό μας διακομιστή κατατάσσει φόρμες που δεν αναγνωρίζουν οι κανόνες (scanner/src/classify.js). Το μοντέλο βλέπει τον τίτλο της σελίδας, τη διεύθυνση, τις ετικέτες των πεδίων και έως 400 χαρακτήρες κειμένου της φόρμας. Δεν μπορεί ποτέ να καταστήσει μια φόρμα «υποβλητέα».
• C9 – δεν πληρούται.

Ενδιάμεσο αποτέλεσμα P1: ένα κριτήριο σε ασθενή μορφή (C8), δύο οριακές περιπτώσεις (C1, C5). Καμία υποχρέωση σύμφωνα με τον γενικό κανόνα. Επειδή και οι δύο οριακές περιπτώσεις δείχνουν προς την ίδια κατεύθυνση και τα υποκείμενα των δεδομένων δεν γνωρίζουν τίποτα για την επεξεργασία, συμπεριλαμβάνουμε το P1 στην εκτίμηση.

P2 – Έλεγχος υποψήφιων πελατών για πρακτορεία

Ένα πρακτορείο με το πακέτο Business και ρυθμισμένη δική του επωνυμία μπορεί να ζητήσει παθητικό έλεγχο του ιστότοπου ενός υποψήφιου πελάτη. Λαμβάνει ένα σύντομο εύρημα με την επωνυμία του και μια λεπτομερή αναφορά, και προωθεί το ίδιο τον σύνδεσμο (cfg/akquise_lib.php). Δεν επικοινωνούμε με κανέναν.

• C1 – οριακό, εντονότερο από ό,τι στο P1. Το σύντομο εύρημα προορίζεται ρητά ως «αφορμή για την πρώτη συζήτηση». Η αξιολόγηση του ιστότοπου καθίσταται έτσι η βάση για την εμπορική προσέγγιση ενός προσώπου.
• C5 – δεν πληρούται. Το πολύ 30 έλεγχοι ανά πρακτορείο και μήνα (prospect_monthly), διαγραφή μετά από 90 ημέρες.
• C8 – πληρούται, σε ασθενή μορφή (η ίδια τεχνολογία με το P1).
• Λοιπά κριτήρια – δεν πληρούνται. Το εύρημα παρουσιάζεται με την επωνυμία του πρακτορείου, αλλά δεν συνδέεται με άλλα δεδομένα για τον διαχειριστή.

Ενδιάμεσο αποτέλεσμα P2: καμία υποχρέωση σύμφωνα με τον γενικό κανόνα· συμπεριλαμβάνεται για τους ίδιους λόγους με το P1 και επειδή ο σκοπός – η προσέλκυση πελατών – ενέχει δικό του κίνδυνο (R6).

P3 – Μελέτη «Form Security Index»

Για μια μελέτη, μια λίστα ιστότοπων ελέγχεται παθητικά, με περιορισμό σε το πολύ πέντε ανοικτές εργασίες ανά εκτέλεση της διαδικασίας κατάστασης, η οποία εκτελείται κάθε πέντε λεπτά (cfg/studie_lib.php). Δημοσιεύονται μόνο σύνολα, και τμήματα μόνο από 20 ιστότοπους με φόρμα και άνω (study_min_segment, cfg/studie_lib.php). Τα ακατέργαστα δεδομένα διαγράφονται κατά τη δημοσίευση (cfg/studie_lib.php).

• C5 – οριακό, πληρούται για μεγάλες λίστες. Το μέγεθος της λίστας δεν περιορίζεται στον κώδικα· ο περιορισμός ρυθμού επιτρέπει αριθμητικά περισσότερους από χίλιους ελέγχους ημερησίως. Μια μελέτη μιας εθνικής αγοράς καλύπτει χιλιάδες ιστότοπους, πολλοί από τους οποίους λειτουργούν από ατομικούς επιχειρηματίες. Από τέτοιο μέγεθος και πάνω, θεωρούμε ότι το κριτήριο πληρούται.
• C8 – πληρούται, σε ασθενή μορφή.
• C1 – δεν πληρούται. Παρότι αξιολογείται ο μεμονωμένος ιστότοπος, δημοσιεύεται μόνο το σύνολο· η αξιολόγηση δεν χρησιμεύει για τη διατύπωση δήλωσης σχετικά με τον μεμονωμένο διαχειριστή.
• Λοιπά κριτήρια – δεν πληρούνται.

Ενδιάμεσο αποτέλεσμα P3: για μελέτες του σχεδιασμένου μεγέθους, δύο κριτήρια (C5, C8). Η μελέτη φθάνει επομένως το κατώφλι· το formexposed διενεργεί την εκτίμηση ως υπεύθυνος επεξεργασίας. Σύμφωνα με τη μέτρηση στο σύστημα ανάπτυξης, δεν έχει δημιουργηθεί καμία μελέτη μέχρι στιγμής.

P4 – Έλεγχος τομέων στον λογαριασμό του Πελάτη

Ο Πελάτης ζητά τον τακτικό έλεγχο των τομέων στον λογαριασμό του. Μόλις αποδείξει ότι δικαιούται να ελέγχει τον τομέα, προστίθενται ενεργές δοκιμαστικές υποβολές (το πολύ πέντε ανά έλεγχο), η αναζήτηση εκτεθειμένων αρχείων και διαμορφωμένες διαδρομές προγράμματος περιήγησης.

• C3 – δεν πληρούται. Ο έλεγχος είναι προγραμματισμένος και επαναλαμβανόμενος, αλλά αφορά τον ίδιο τον ιστότοπο του Πελάτη και διενεργείται κατόπιν αιτήματός του, όχι για την παρατήρηση ανθρώπων.
• C4 – οριακό, όχι. Η αναζήτηση εκτεθειμένων αρχείων διαβάζει το πολύ τα πρώτα 8 KB από διαδρομές όπως /backup.sql ή ένα αρχείο καταγραφής αποσφαλμάτωσης, προκειμένου να διαπιστώσει από το περιεχόμενο εάν το αρχείο είναι πράγματι εκτεθειμένο (cfg/dateien_lib.php). Ένα τέτοιο απόσπασμα ενδέχεται να περιέχει καταχωρίσεις φορμών από επισκέπτες. Ελέγχεται μόνο στη μνήμη και δεν αποθηκεύεται ποτέ· αποθηκεύονται η διαδρομή, ο τύπος και η σοβαρότητα.
• C8 – πληρούται, σε ασθενή μορφή.
• Λοιπά κριτήρια – δεν πληρούνται.

Ενδιάμεσο αποτέλεσμα P4: καμία υποχρέωση. Συμπεριλαμβάνεται επειδή οι ενεργές δοκιμαστικές υποβολές και ο έλεγχος αρχείων εξαρτώνται από μια απόδειξη που δεν ανανεώνεται ποτέ (R7).

P5 – Σάρωση πίσω από τη σύνδεση

Για έναν επαληθευμένο τομέα, ο Πελάτης μπορεί να αποθηκεύσει έναν δοκιμαστικό λογαριασμό για τον ιστότοπό του. Ο σαρωτής συνδέεται με αυτόν και διαβάζει τις φόρμες σε έως πέντε καθορισμένες σελίδες του χώρου μελών (cfg/login_lib.php, scanner/src/login.js).

• C4 – οριακό. Τα διαπιστευτήρια δεν είναι δεδομένα εξαιρετικά προσωπικού χαρακτήρα κατά την έννοια των κατευθυντήριων γραμμών, αλλά η κατάχρησή τους ανοίγει τον χώρο μελών. Ανάλογα με τον ιστότοπο, πίσω από μια σύνδεση ενδέχεται να βρίσκεται εμπιστευτικό περιεχόμενο, για παράδειγμα σε μια πύλη μελών ή ασθενών. Αυτό εξαρτάται από τον Πελάτη, όχι από εμάς.
• C8 – δεν πληρούται. Οι αυτοματοποιημένες συνδέσεις είναι συνήθεις στις υπηρεσίες παρακολούθησης.
• Λοιπά κριτήρια – δεν πληρούνται.

Ενδιάμεσο αποτέλεσμα P5: καμία υποχρέωση σύμφωνα με τον γενικό κανόνα. Για Πελάτες των οποίων ο χώρος μελών εμφανίζει εμπιστευτικό περιεχόμενο, αυτό μπορεί να αλλάξει· η απόφαση ανήκει τότε σε αυτούς. Συμπεριλαμβάνεται λόγω των κινδύνων ασφάλειας (R8).

P6 – Έλεγχος παράδοσης με αντίγραφο ελέγχου

Ο Πελάτης εισάγει μια διεύθυνση ελέγχου του formexposed ως κρυφή κοινοποίηση στις ρυθμίσεις αλληλογραφίας της φόρμας του. Ως αποτέλεσμα, κάθε e-mail της φόρμας αποστέλλεται και στο γραμματοκιβώτιο ελέγχου μας – τόσο το δοκιμαστικό μας μήνυμα όσο και κάθε γνήσιο μήνυμα ενός επισκέπτη. Μια αυτοματοποιημένη ανάκτηση διαβάζει τις κεφαλίδες και τα πρώτα 8 KB, αντιστοιχίζει το e-mail, αξιολογεί SPF, DKIM και DMARC και το διαγράφει (cfg/zustellung_lib.php).

• C4 – πληρούται. Ό,τι γράφουν οι επισκέπτες σε μια φόρμα επικοινωνίας είναι ηλεκτρονική επικοινωνία προς μια επιχείρηση με αυθαίρετο περιεχόμενο. Στον ιστότοπο ενός ιατρείου, ενός δικηγορικού γραφείου, μιας συμβουλευτικής υπηρεσίας ή ενός σχολείου, αναμένονται δεδομένα του άρθρου 9 ή δεδομένα για παιδιά. Οι κατευθυντήριες γραμμές κατονομάζουν ρητά τις εμπιστευτικές ηλεκτρονικές επικοινωνίες στο κριτήριο αυτό.
• C3 – οριακό, μάλλον πληρούται. Κάθε μήνυμα αντιγράφεται σχεδιασμένα και συνεχώς και αξιολογείται αυτοματοποιημένα, χωρίς να το αντιληφθεί ο αποστολέας. Ο σκοπός είναι ο έλεγχος της διαδρομής της αλληλογραφίας, όχι η παρατήρηση ανθρώπων. Ωστόσο, η περίσταση με την οποία οι κατευθυντήριες γραμμές αιτιολογούν το κριτήριο – τα υποκείμενα των δεδομένων δεν γνωρίζουν ποιος λαμβάνει τα δεδομένα τους – υφίσταται πλήρως όσο ο Πελάτης δεν ενημερώνει τους επισκέπτες του.
• C7 – ανάλογα με τον Πελάτη. Ασθενείς, πελάτες δικηγορικών γραφείων, υποψήφιοι εργαζόμενοι, γονείς και μαθητές βρίσκονται συχνά σε σχέση εξάρτησης από τον αποδέκτη του μηνύματός τους.
• C5 – οριακό, όχι. Όχι μεγάλης κλίμακας για τον μεμονωμένο Πελάτη. Στο formexposed, τα αντίγραφα πολλών Πελατών συγκλίνουν σε ένα γραμματοκιβώτιο· αυτό αυξάνει τη βαρύτητα μιας παραβίασης, όχι τον αριθμό ανά υπεύθυνο επεξεργασίας.
• Λοιπά κριτήρια – δεν πληρούνται. Η αντιστοίχιση σε τομέα και δοκιμή δεν αποτελεί αντιστοίχιση συνόλων δεδομένων για πρόσωπα· η τεχνολογία δεν είναι νέα.

Ενδιάμεσο αποτέλεσμα P6: C4 πληρούται, C3 οριακό και μάλλον πληρούται, C7 πληρούται για πολλούς τυπικούς Πελάτες. Στην τυπική περίπτωση πληρούνται επομένως δύο ή περισσότερα κριτήρια. Απαιτείται ΕΑΠΔ – ως υποχρέωση του Πελάτη, ο οποίος είναι ο υπεύθυνος επεξεργασίας. Οι ενότητες 6 έως 11 του παρέχουν τα στοιχεία για τον σκοπό αυτό.

P7 – Προστασία σμήνους

Οι συνδεδεμένοι ιστότοποι WordPress αναφέρουν μία φορά την ημέρα τους τομείς των συνδέσμων από μηνύματα που έχει σταματήσει το επίπεδο προστασίας τους. Ένας τομέας που εμφανίζεται σε τουλάχιστον τρεις διαφορετικούς ιστότοπους με τουλάχιστον πέντε εμφανίσεις εντός επτά ημερών τοποθετείται σε μια κοινή λίστα· η λίστα αποστέλλεται πίσω σε όλους τους συνδεδεμένους ιστότοπους, οι οποίοι στη συνέχεια θέτουν σε καραντίνα μηνύματα με συνδέσμους προς τον τομέα αυτόν (cfg/swarm_lib.php).

• C6 – πληρούται. Αναφορές από πολλούς αμοιβαία ανεξάρτητους ιστότοπους, δηλαδή από διαφορετικούς υπευθύνους επεξεργασίας, συνδυάζονται και επιστρέφονται σε όλους ως κοινή λίστα.
• C1 – πληρούται, στον βαθμό που ένας τομέας μπορεί να αποδοθεί σε φυσικό πρόσωπο. Η λίστα αποτελεί κατάταξη ως πηγής spam. Οι κατευθυντήριες γραμμές αναφέρουν τον έλεγχο έναντι κοινής βάσης δεδομένων απάτης ως παράδειγμα του κριτηρίου αυτού. Οι περισσότεροι τομείς σε μια τέτοια λίστα ανήκουν σε επιχειρήσεις ή είναι τομείς μίας χρήσης· ωστόσο, ο τομέας ενός φυσικού προσώπου μπορεί να καταλήξει σε αυτήν, δικαίως ή μέσω σκόπιμα υποβληθεισών ψευδών αναφορών.
• C9 – οριακό. Ένα μήνυμα με σύνδεσμο της λίστας δεν φθάνει αμέσως στον παραλήπτη, αλλά παραμένει στην καραντίνα του έως ότου τον αποδεσμεύσει. Δεν χάνεται.
• C2 – δεν πληρούται. Η καραντίνα είναι αυτοματοποιημένη συνέπεια για ένα μήνυμα, χωρίς έννομο αποτέλεσμα και με ανθρώπινη αποδέσμευση από τον παραλήπτη.
• Λοιπά κριτήρια – δεν πληρούνται. Τα δίκτυα IP είναι απενεργοποιημένα (swarm_ip_enabled = 0, cfg/swarm_lib.php).

Ενδιάμεσο αποτέλεσμα P7: δύο κριτήρια (C6, C1) και μία οριακή περίπτωση (C9). Το κατώφλι επιτυγχάνεται· το formexposed διενεργεί την εκτίμηση ως υπεύθυνος επεξεργασίας. Με ενεργοποιημένα δίκτυα IP, τα C1 και C6 θα πληρούνταν χωρίς περιορισμό· η ενεργοποίησή τους απαιτεί νέα έκδοση της παρούσας εκτίμησης (ενότητα 12). Σύμφωνα με τη μέτρηση στο σύστημα ανάπτυξης, δεν υπάρχουν ούτε αναφορές ούτε καταχωρίσεις στη λίστα.

P8 – Λογαριασμοί Πελατών, σύνδεση, αρχεία καταγραφής, υποστήριξη, e-mail, πληρωμές

• C1 και C9 – δεν πληρούνται. Η ασυνήθιστη συμπεριφορά στον δωρεάν έλεγχο οδηγεί σε σημείωση με τη διεύθυνση IP (cfg/check_lib.php) και, κατά περίπτωση, σε απόρριψη περαιτέρω ελέγχων. Πρόκειται για πρόληψη κατάχρησης με μικρό αποτέλεσμα, όχι για αξιολόγηση προσωπικών πτυχών.
• Λοιπά κριτήρια – δεν πληρούνται. Πρόκειται για τα συνήθη δεδομένα μιας υπηρεσίας για επιχειρήσεις.

Ενδιάμεσο αποτέλεσμα P8: δεν απαιτείται ΕΑΠΔ. Οι πράξεις επεξεργασίας περιγράφονται στα Αρχεία Δραστηριοτήτων Επεξεργασίας.

P9 – Στοιχεία πρόσθετου, σφάλματα πεδίων, καταγραφέας, σήμα, πύλη πελατών, «Fix it for me»

• Το πρόσθετο και η επέκταση διαβιβάζουν ημερήσια στοιχεία, την απογραφή πρόσθετων και κατηγορίες σφαλμάτων, και το πρόσθετο WordPress διαβιβάζει επιπλέον τομείς συνδέσμων για την προστασία σμήνους (ενεργοποιημένη από προεπιλογή) (P7), όχι περιεχόμενο, διευθύνσεις, ονόματα ή IP επισκεπτών· ο καταγραφέας διατηρεί επιλογείς (selectors) για το πολύ 15 λεπτά στο πρόγραμμα περιήγησης του διαχειριστή. Κανένα κριτήριο δεν πληρούται.
• Κατά τη φόρτωσή του, το σήμα μεταφέρει τα συνήθη δεδομένα σύνδεσης στο αρχείο καταγραφής του διακομιστή ιστού, χωρίς cookie. Κανένα κριτήριο δεν πληρούται.
• Η πύλη πελατών επεξεργάζεται τις διευθύνσεις e-mail των συνδρομητών με διπλή επιβεβαίωση (double opt-in) για λογαριασμό του πρακτορείου. Κανένα κριτήριο δεν πληρούται.
• Το «Fix it for me» αναθέτει την επανεγγραφή επικολλημένου κώδικα φόρμας σε ένα γλωσσικό μοντέλο στον δικό μας διακομιστή· ο κώδικας δεν αποθηκεύεται. C8 σε ασθενή μορφή, τίποτε άλλο.

Ενδιάμεσο αποτέλεσμα P9: δεν απαιτείται ΕΑΠΔ.

3.4 Η λίστα της πολωνικής εποπτικής αρχής σύμφωνα με το άρθρο 35(4)

Αρμόδια αρχή είναι ο Πρόεδρος της Υπηρεσίας Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Prezes Urzędu Ochrony Danych Osobowych, UODO). Ο Πρόεδρος δημοσίευσε τη λίστα των ειδών πράξεων επεξεργασίας που απαιτούν ΕΑΠΔ με την ανακοίνωση της 17ης Ιουνίου 2019 (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, θέση 666). Η λίστα αντιστοιχίζει τις καταχωρίσεις της στα κριτήρια των κατευθυντήριων γραμμών WP248, δίνει παραδείγματα και ρητά δεν είναι εξαντλητική· δεν αντικαθιστά την εκτίμηση σύμφωνα με το άρθρο 35(1).

Κατά την ανάγνωσή μας, τα ακόλουθα είδη επεξεργασίας της λίστας αντιστοιχούν επί της ουσίας σε πράξεις επεξεργασίας του formexposed:

Είδος επεξεργασίας κατά τη λίστα (σε παράφραση)	Αντιστοιχισμένο κριτήριο	Πράξη επεξεργασίας στο formexposed	Εκτίμηση
Σύγκριση, αξιολόγηση ή εξαγωγή συμπερασμάτων βάσει ανάλυσης δεδομένων από διαφορετικές πηγές	C6	P7 Προστασία σμήνους	ισχύει
Αξιολόγηση ή βαθμολόγηση, συμπεριλαμβανομένης της κατάρτισης προφίλ	C1	P7 Προστασία σμήνους· P1 και P2 ως οριακές περιπτώσεις	ισχύει για το P7
Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα	C4	P6 Έλεγχος παράδοσης	ισχύει ανάλογα με τον Πελάτη
Καινοτόμος χρήση ή εφαρμογή τεχνολογικών λύσεων	C8	P1 έως P4 (γλωσσικό μοντέλο για κατάταξη)	ισχύει σε ασθενή μορφή
Επεξεργασία μεγάλης κλίμακας	C5	P3 Μελέτη	ισχύει για μεγάλες λίστες
Συστηματική παρακολούθηση δημοσίως προσβάσιμων χώρων, μεταξύ άλλων με αναγνώριση χαρακτηριστικών	C3	–	δεν ισχύει: εννοούνται τόποι, όχι ιστότοποι

Η αντιστοίχιση αυτή αποτελεί ανάγνωση, όχι παράθεση· η διατύπωση των καταχωρίσεων πρέπει να ελεγχθεί έναντι αυτής στον νομικό έλεγχο. Επιβεβαιώνει το αποτέλεσμα της ενότητας 3.3 αλλά δεν το μεταβάλλει. Εξ όσων γνωρίζουμε, η UODO δεν έχει δημοσιεύσει λίστα σύμφωνα με το άρθρο 35(5) – πράξεις επεξεργασίας για τις οποίες δεν απαιτείται ΕΑΠΔ.

3.5 Αποτέλεσμα της εκτίμησης κατωφλίου

Πράξη επεξεργασίας	Πληρούται	Οριακό	Αποτέλεσμα
P1 Δωρεάν έλεγχος	C8 (ασθενές)	C1, C5	όχι υποχρεωτική· συμπεριλαμβάνεται
P2 Έλεγχος υποψήφιων πελατών	C8 (ασθενές)	C1	όχι υποχρεωτική· συμπεριλαμβάνεται
P3 Μελέτη	C8 (ασθενές), C5 για μεγάλες λίστες	–	απαιτείται (υποχρέωση του formexposed)
P4 Έλεγχος τομέων Πελατών	C8 (ασθενές)	C4 (έλεγχος αρχείων)	όχι υποχρεωτική· συμπεριλαμβάνεται
P5 Σάρωση πίσω από τη σύνδεση	–	C4	όχι υποχρεωτική· συμπεριλαμβάνεται· για τον Πελάτη ανάλογα με το περιεχόμενο
P6 Έλεγχος παράδοσης	C4· C7 ανάλογα με τον Πελάτη	C3 (μάλλον πληρούται), C5	απαιτείται (υποχρέωση του Πελάτη· η παρούσα σελίδα επικουρεί σύμφωνα με το άρθρο 28(3)(f))
P7 Προστασία σμήνους	C6, C1	C9	απαιτείται (υποχρέωση του formexposed)
P8 Λογαριασμοί, αρχεία καταγραφής, υποστήριξη, πληρωμές	–	–	δεν απαιτείται
P9 Στοιχεία πρόσθετου, σήμα, πύλη, «Fix it for me»	C8 (ασθενές, μόνο «Fix it for me»)	–	δεν απαιτείται

Αποτέλεσμα ως προς το άρθρο 35(1): Απαιτείται ΕΑΠΔ για μεμονωμένες πράξεις επεξεργασίας του formexposed. Απαιτείται για την προστασία σμήνους και για μελέτες του σχεδιασμένου μεγέθους, και το formexposed τη διενεργεί ως υπεύθυνος επεξεργασίας. Για τον έλεγχο παράδοσης απαιτείται στην τυπική περίπτωση, αλλά ως υποχρέωση του Πελάτη· το formexposed παρέχει τη βάση. Για τους λοιπούς ελέγχους ιστότοπων τρίτων και ιδίων ιστότοπων δεν είναι υποχρεωτική. Τους συμπεριλαμβάνουμε παρ' όλα αυτά, επειδή χρησιμοποιούν την ίδια τεχνολογία, επειδή πολλές οριακές περιπτώσεις δείχνουν προς την ίδια κατεύθυνση και επειδή τα υποκείμενα των δεδομένων – διαχειριστές χωρίς λογαριασμό και πρόσωπα σε ελεγμένες σελίδες – δεν γνωρίζουν τίποτα για την επεξεργασία. Για λογαριασμούς, αρχεία καταγραφής, υποστήριξη και πληρωμές δεν απαιτείται εκτίμηση.

Οι ενότητες 6 έως 10 εφαρμόζονται επομένως στα P1 έως P7. Όπου μια δήλωση αφορά μόνο μία από αυτές τις πράξεις επεξεργασίας, επισημαίνεται αναλόγως.

4. Υπεύθυνος προστασίας δεδομένων: η εκτίμηση σύμφωνα με το άρθρο 37

Δεν έχει οριστεί υπεύθυνος προστασίας δεδομένων. Το άρθρο 37(1) δεσμεύει εξίσου τον υπεύθυνο επεξεργασίας και τον εκτελούντα την επεξεργασία· το ερώτημα είναι επομένως δικό μας. Οι τρεις περιπτώσεις του νόμου:

Άρθρο 37(1)	Προϋπόθεση	Αποτέλεσμα
στοιχείο (a)	Δημόσια αρχή ή φορέας	Δεν εφαρμόζεται· η LW IT Solutions Company Lukas Wójcik είναι ιδιωτική ατομική επιχείρηση.
στοιχείο (b)	Οι βασικές δραστηριότητες συνίστανται σε πράξεις επεξεργασίας οι οποίες απαιτούν τακτική και συστηματική παρακολούθηση των υποκειμένων των δεδομένων σε μεγάλη κλίμακα	Η βασική δραστηριότητα είναι ο έλεγχος και η παρακολούθηση ιστότοπων και φορμών, τακτικά και συστηματικά. Ωστόσο, δεν παρακολουθούνται άνθρωποι: ο ανιχνευτής ιστού δεν παρατηρεί συμπεριφορά, και ο έλεγχος παράδοσης αξιολογεί τα e-mail μόνο ως προς την παράδοση και τη γνησιότητα. Δεν πληρούται.
στοιχείο (c)	Οι βασικές δραστηριότητες συνίστανται σε μεγάλης κλίμακας επεξεργασία δεδομένων των άρθρων 9 ή 10	Όχι εκ σχεδιασμού. Ειδικές κατηγορίες ενδέχεται να φθάσουν σε εμάς μέσω του αντιγράφου ελέγχου του ελέγχου παράδοσης· αυτό είναι παρεμπίπτον, όχι βασική δραστηριότητα. Δεν πληρούται.

Κατά την εκτίμησή μας, δεν υφίσταται επομένως υποχρέωση ορισμού. Το εάν το πολωνικό δίκαιο απαιτεί ορισμό πέραν αυτού σύμφωνα με το άρθρο 37(4) αποτελεί ανοικτό ζήτημα για τον νομικό έλεγχο. Δεδομένου ότι δεν έχει οριστεί υπεύθυνος προστασίας δεδομένων, η γνώμη σύμφωνα με το άρθρο 35(2) δεν εφαρμόζεται. Εάν ο νομικός έλεγχος διαπιστώσει ότι υπάρχει υποχρέωση ορισμού, θα ζητηθεί η γνώμη του υπευθύνου προστασίας δεδομένων που θα οριστεί τότε πριν από την έγκριση της παρούσας εκτίμησης (ενότητα 12). Αρμόδιος για ερωτήματα σχετικά με την παρούσα εκτίμηση είναι ο ιδιοκτήτης στη διεύθυνση contact@lukaswojcik.com.

5. Μέθοδος, πηγές και όρια της παρούσας έκδοσης

Τα στοιχεία του παρόντος εγγράφου προέρχονται από τον πηγαίο κώδικα της εφαρμογής και του σαρωτή, από το σχήμα της βάσης δεδομένων, καθώς και από πλήθη γραμμών και ρυθμίσεις του συστήματος ανάπτυξης, μετρημένα στις 11 Οκτωβρίου 2026. Η πρόσβαση στη βάση δεδομένων και στους διακομιστές έγινε μόνο για ανάγνωση. Όπου μια μέτρηση αντιφάσκει με μια πρόθεση – συμπεριλαμβανομένης δήλωσης στα δικά μας νομικά έγγραφα – αναφέρουμε τη μέτρηση. Δεν εφαρμόζουμε εγκεκριμένους κώδικες δεοντολογίας σύμφωνα με το άρθρο 40, η τήρηση των οποίων θα έπρεπε να ληφθεί υπόψη σύμφωνα με το άρθρο 35(8).

• Μετρήθηκε το σύστημα ανάπτυξης. Η υπηρεσία δεν έχει ακόμη τεθεί σε λειτουργία. Τα αριθμητικά στοιχεία είναι επομένως μικρά και εν μέρει προϊόντα δοκιμών: 112 έλεγχοι, εκ των οποίων 110 χωρίς τομέα Πελάτη· 432 στιγμιότυπα οθόνης· 2 τομείς, εκ των οποίων 1 επαληθευμένος· κανένας ενεργοποιημένος έλεγχος παράδοσης· κανένας αποθηκευμένος δοκιμαστικός λογαριασμός για τη σάρωση πίσω από τη σύνδεση· καμία μελέτη· καμία αναφορά στην προστασία σμήνους. Οι μετρήσεις πρέπει να επαναληφθούν πριν από την έναρξη λειτουργίας και σε τακτά διαστήματα στη συνέχεια.
• Δεν μετρήθηκαν στην παρούσα έκδοση και πρέπει να προστεθούν πριν από την έγκριση: η διαμόρφωση του παραγωγικού συστήματος, συμπεριλαμβανομένου του εάν και πώς έχει ρυθμιστεί το γραμματοκιβώτιο ελέγχου και εάν έχει ρυθμιστεί εκεί το ζεύγος κλειδιών για τη σάρωση πίσω από τη σύνδεση· εάν το λογισμικό του γλωσσικού μοντέλου καταγράφει αιτήματα· η κατάσταση της διαχείρισης των διακομιστών (R13)· η σύμβαση με τον πάροχο υπηρεσιών e-mail.
• Δεν ήταν δυνατό να μετρηθεί πόσα γνήσια μηνύματα επισκεπτών θα διέλθουν από το αντίγραφο ελέγχου και από ποιους κλάδους θα προέρχονται οι Πελάτες. Και τα δύο καθορίζουν τη βαρύτητα των R1 και R2 και πρέπει να διαπιστωθούν μετά την έναρξη λειτουργίας.
• Οι παραπομπές στην πηγή παραπέμπουν σε αρχεία και συναρτήσεις στον πηγαίο κώδικα του συστήματος ανάπτυξης. Καθοριστική είναι η περιγραφόμενη λειτουργία, όχι η θέση της στο αρχείο.

Το παρόν έγγραφο είναι σχέδιο. Δεν έχει ακόμη εγκριθεί από τον υπεύθυνο επεξεργασίας (ενότητα 12), και δύο από τα συμπεράσματά του – η εκτίμηση της κλίμακας για τα P1 και P3 και η βαρύτητα του ελέγχου παράδοσης – εξαρτώνται από αριθμητικά στοιχεία που θα υπάρξουν μόνο μετά την έναρξη λειτουργίας.

6. (a) Συστηματική περιγραφή των πράξεων επεξεργασίας και των σκοπών

6.1 Πώς είναι δομημένο το σύστημα ελέγχου

Το formexposed λειτουργεί στους δικούς του διακομιστές στην Πολωνία, χωρίς εξωτερικό πάροχο φιλοξενίας: έναν διακομιστή ιστού με την εφαρμογή και τη βάση δεδομένων, και έναν διακομιστή σάρωσης με την υπηρεσία ελέγχου και ένα τοπικό γλωσσικό μοντέλο, αμφότερους στο ίδιο εσωτερικό δίκτυο. Ένας έλεγχος εξελίσσεται ως εξής:

1. Η εφαρμογή δημιουργεί μια εργασία στη βάση δεδομένων – με την επιφύλαξη των ορίων και των αποκλεισμών που περιγράφονται στην ενότητα 6.3.
2. Η υπηρεσία ελέγχου στον διακομιστή σάρωσης παραλαμβάνει την εργασία, ελέγχει εκ νέου τη λίστα αποκλεισμού, τα ονόματα host και, για ανώνυμους ελέγχους, την ηλικία του τομέα, και εκκινεί ένα απομονωμένο container ακριβώς για αυτή την εργασία: δικό του δίκτυο με δικούς του κανόνες φιλτραρίσματος, χωρίς ειδικά προνόμια, σύστημα αρχείων μόνο για ανάγνωση, όρια μνήμης και διεργασιών, και χρονικό όριο (scanner/src/worker.js).
3. Μέσα στο container, ένα αυτοματοποιημένο πρόγραμμα περιήγησης ανακτά το πολύ οκτώ δημόσιες σελίδες, πρώτα την αρχική σελίδα και έπειτα κατά προτίμηση σελίδες επικοινωνίας, στοιχείων εταιρείας και υποστήριξης. Προηγουμένως διαβάζει το robots.txt· ένας αποκλεισμός για τον FormExposedBot ή για όλους τους ανιχνευτές που καλύπτει την αρχική σελίδα τερματίζει τον έλεγχο, όπως και ένα μη προσβάσιμο robots.txt ή ένα σφάλμα διακομιστή κατά την ανάκτηση (scanner/src/net.js). Απαγορεύσεις για μεμονωμένες υποδιαδρομές δεν λαμβάνονται υπόψη χωριστά. Ο παλμός φόρμας, η ανάκτηση της απόδειξης, το εργαλείο κεφαλίδων και η αναζήτηση εκτεθειμένων αρχείων δεν διαβάζουν το robots.txt. Πέραν των οκτώ σελίδων, υπάρχουν έως τρεις σελίδες με κλικ στο «Απόρριψη» στο banner cookies, έως τρεις σελίδες σε προβολή κινητού, ενεργοί ανιχνευτές (probes) για επαληθευμένους τομείς και έως πέντε σελίδες πίσω από σύνδεση· οι σελίδες φορτώνονται η μία μετά την άλλη, όχι παράλληλα. Κάθε αίτημα του προγράμματος περιήγησης – συμπεριλαμβανομένων ανακατευθύνσεων και ενσωματωμένου περιεχομένου – διέρχεται από φίλτρο που απορρίπτει ιδιωτικά δίκτυα και άλλες θύρες.
4. Το container γράφει ένα αποτέλεσμα και τα στιγμιότυπα οθόνης σε έναν προσωρινό κατάλογο. Η υπηρεσία ελέγχου διαβιβάζει το αποτέλεσμα και τις εικόνες στην εφαρμογή μέσω του εσωτερικού δικτύου και διαγράφει τον προσωρινό κατάλογο, ακόμη και μετά από σφάλμα (scanner/src/worker.js).
5. Η εφαρμογή επεξεργάζεται το αποτέλεσμα, το συγκρίνει με τον προηγούμενο έλεγχο για τομείς Πελατών και αναφέρει αλλαγές στους προορισμούς που έχει ρυθμίσει ο Πελάτης.

6.2 Τι αποθηκεύει ο ανιχνευτής ιστού – και τι όχι

Στοιχείο	Τι αποθηκεύεται	Τι δεν αποθηκεύεται	Παραπομπή στην πηγή
Σελίδες	Διεύθυνση, κατάσταση HTTP, κεφαλίδες, Content Security Policy, hosts τρίτων που ζητήθηκαν (το πολύ 120)	Περιεχόμενο σελίδας ως κείμενο ή HTML	scanner/src/crawl.js
Πεδία φόρμας	Τύπος, όνομα, ετικέτα, placeholder, υποχρεωτικό πεδίο, ορατότητα, μήκος υπάρχουσας τιμής	Τιμές πεδίων· για κρυφά πεδία, οι πρώτοι 24 χαρακτήρες της τιμής διαβάζονται μόνο κατά τον έλεγχο (για τον εντοπισμό tokens)	scanner/src/crawl.js
Διευθύνσεις αποδεκτών στη φόρμα	μόνο ο τομέας	η διεύθυνση	scanner/src/crawl.js
Scripts	Απογραφή με άθροισμα ελέγχου· διευθύνσεις και αρχικό κείμενο χωρίς αναγνωριστικά λογαριασμών υπηρεσιών διαφήμισης και ανάλυσης	Αναγνωριστικά λογαριασμών και pixel	scanner/src/crawl.js
Υποκλοπείς	ποια διαφημιστικά pixel και εργαλεία καταγραφής φορτώνονται πριν και μετά το κλικ στο «Απόρριψη» στο banner cookies, και εάν καλύπτουν τα δεδομένα εισόδου	Αναγνωριστικά των λογαριασμών σε αυτές τις υπηρεσίες	scanner/src/mitleser.js, scanner/src/einwilligung.js
Κείμενο φόρμας	έως 400 χαρακτήρες διαβιβάζονται στο τοπικό γλωσσικό μοντέλο εάν οι κανόνες δεν αναγνωρίζουν τον τύπο	Κοινολόγηση σε τρίτους· αποθήκευση του κειμένου	scanner/src/classify.js
Στιγμιότυπα οθόνης (ανιχνευτής ιστού)	ορατή περιοχή της πρώτης σελίδας· για κάθε ορατή φόρμα, μια εικόνα του στοιχείου της φόρμας	–	scanner/src/crawl.js
Στιγμιότυπα οθόνης (ενεργός έλεγχος)	Εικόνα της σελίδας απάντησης στη δοκιμαστική υποβολή· επιπλέον η κατάσταση, η διεύθυνση προορισμού, ο τίτλος και οι πρώτοι 300 χαρακτήρες του κειμένου της	–	scanner/src/active.js
Στιγμιότυπα οθόνης (διαδρομές προγράμματος περιήγησης)	Εικόνα της φόρμας με μαυρισμένα πεδία εισόδου, συμπιεσμένη, το πολύ 32 KB	Δεδομένα εισόδου	scanner/src/browser.js
Πίσω από τη σύνδεση	όπως για τα πεδία φόρμας παραπάνω	Στιγμιότυπα οθόνης, cookies, σύνδεσμοι	scanner/src/login.js

Δεδομένα προσωπικού χαρακτήρα δεν περιέχονται σε αυτά τα στοιχεία εκ σχεδιασμού, περιέχονται όμως περιστασιακά: το όνομα ενός υπευθύνου επικοινωνίας δίπλα στη φόρμα, μια ομαδική φωτογραφία στην αρχική σελίδα, ένας αριθμός τηλεφώνου σε μια ετικέτα, ο τομέας e-mail ενός φυσικού προσώπου, ένα όνομα σε ένα placeholder. Πίσω από τη σύνδεση προστίθενται στοιχεία του δοκιμαστικού λογαριασμού και, ανάλογα με τον ιστότοπο, άλλων χρηστών.

6.3 Ποιος ενεργοποιεί έναν έλεγχο και τι ισχύει τότε

Έναυσμα	Επίπεδο εμπιστοσύνης στην εργασία	Δοκιμαστικές υποβολές	Αποτέλεσμα προσβάσιμο μέσω	Διαγραφή
Κάποιος εισάγει έναν τομέα στην αρχική σελίδα (δωρεάν έλεγχος)	anonymous	όχι	Αναφορά σε τυχαίο σύνδεσμο	30 ημέρες, συμπεριλαμβανομένων των εικόνων (cfg/check_lib.php)
Πρόσθετο ή επέκταση χωρίς λογαριασμό	plugin	όχι	Αναφορά σε τυχαίο σύνδεσμο	30 ημέρες
Πρακτορείο για υποψήφιο πελάτη	registered	όχι	Σύντομο εύρημα και αναφορά σε τυχαίο σύνδεσμο	90 ημέρες (cfg/akquise_lib.php)
Πελάτης, τομέας χωρίς απόδειξη	registered	όχι	Λογαριασμός· αναφορά σε τυχαίο σύνδεσμο	13 μήνες, ο τελευταίος έλεγχος διατηρείται
Πελάτης, τομέας με απόδειξη	verified	ναι, το πολύ πέντε ανά έλεγχο	Λογαριασμός· αναφορά σε τυχαίο σύνδεσμο	13 μήνες, ο τελευταίος έλεγχος διατηρείται (cfg/fristen_lib.php)
Μελέτη	internal	όχι	μόνο σύνολα μετά τη δημοσίευση	κατά τη δημοσίευση· χωρίς δημοσίευση χωρίς χρονικό όριο (R4)
Εσωτερικός έλεγχος από τη γραμμή εντολών από τον πάροχο	internal· για τους δικούς μας τομείς δοκιμών και επίδειξης επίσης «verified»	όχι· με το επίπεδο «verified» ναι (μόνο για τους δικούς μας τομείς δοκιμών και επίδειξης)	μόνο εσωτερικά	χωρίς χρονικό όριο (R4)

Πριν από τον δωρεάν έλεγχο υπάρχουν πολλά επίπεδα (cfg/check_lib.php): διακοπή έκτακτης ανάγκης· reCAPTCHA· ο ίδιος τομέας το πολύ μία φορά ανά επτά ημέρες (μετά από αυτό εμφανίζεται η υπάρχουσα αναφορά)· όρια ανά διεύθυνση IP, ανά συνεδρία (ως τιμή hash, ποτέ το ίδιο το αναγνωριστικό συνεδρίας) και για ολόκληρη την υπηρεσία ανά ημέρα· η λίστα αποκλεισμού από opt-out και robots.txt· ο έλεγχος ότι ο τομέας παραπέμπει σε δημόσιες διευθύνσεις· και αποκλεισμός για πολύ νέους ή άγνωστους τομείς. Οι ανωμαλίες – πολλοί διαφορετικοί τομείς από μία διεύθυνση IP, πολλά αιτήματα σε σύντομο χρόνο – σημειώνονται με τη διεύθυνση IP και ενεργοποιούν σήμα χωρίς περιεχόμενο (cfg/check_lib.php).

6.4 Έλεγχος τομέων στον λογαριασμό του Πελάτη

Ο Πελάτης αποδεικνύει ότι δικαιούται να ελέγχει έναν τομέα: με εγγραφή DNS, meta tag, αρχείο ή μέσω του πρόσθετού μας (cfg/verify_lib.php). Μόνο τότε ο τομέας θεωρείται επαληθευμένος. Ο χρονοπρογραμματιστής παρακολούθησης προγραμματίζει τακτικούς ελέγχους μόνο για ενεργούς, παρακολουθούμενους και επαληθευμένους τομείς (cfg/monitor_lib.php).

• Οι ενεργές δοκιμαστικές υποβολές συνδέονται με δύο φραγμούς: η εφαρμογή ορίζει την ενεργή λειτουργία για Πελάτες μόνο για επαληθευμένους τομείς (για τους δικούς μας τομείς δοκιμών και επίδειξης, ο πάροχος μπορεί να δημιουργήσει έλεγχο με το επίπεδο «verified» μέσω εσωτερικού εργαλείου γραμμής εντολών), και η υπηρεσία ελέγχου ελέγχει εκ νέου το επίπεδο εμπιστοσύνης και τη διακοπή έκτακτης ανάγκης fc_active_enabled (scanner/src/worker.js). Μπορεί να υποβληθεί μόνο φόρμα που οι κανόνες αναγνωρίζουν με υψηλή βεβαιότητα ως γενική φόρμα επικοινωνίας, που δεν έχει υποχρεωτικά πεδία για πραγματικά δεδομένα προσωπικού χαρακτήρα και της οποίας ο τομέας δεν μοιάζει με δημόσια αρχή, εκπαιδευτικό ίδρυμα, κλινική, ιατρείο, αστυνομία ή δικαστήριο (scanner/src/classify.js). Το γλωσσικό μοντέλο δεν μπορεί να καταστήσει μια φόρμα υποβλητέα (scanner/src/classify.js). Αποστέλλονται το πολύ πέντε υποβολές ανά έλεγχο (fc_active_max_posts), με σαφή επισήμανση, με αποστολέα dummy@formexposed.com, μια διεύθυνση στο .invalid για τη δοκιμή της επικύρωσης e-mail και μια αβλαβή πρόσθετη γραμμή κεφαλίδας για τον εντοπισμό header injection (scanner/src/active.js).
• Οι διαδρομές προγράμματος περιήγησης ελέγχουν διαμορφωμένες διαδρομές φορμών σε πρόγραμμα περιήγησης έως το σημείο αμέσως πριν από την υποβολή. Επιτρέπονται μόνο αιτήματα GET και HEAD· οτιδήποτε άλλο διακόπτεται, όπως και διευθύνσεις που περιέχουν λέξεις για αποσύνδεση, διαγραφή, αγορά ή πληρωμή (scanner/src/browser.js). Για τον έλεγχο, τα υποχρεωτικά πεδία συμπληρώνονται με επινοημένες τιμές που δεν εγκαταλείπουν ποτέ το πρόγραμμα περιήγησης.
• Τα εκτεθειμένα αρχεία αναζητούνται εβδομαδιαίως, μόνο για επαληθευμένους τομείς, με το πολύ μία ανάκτηση ανά διαδρομή, το πολύ 8 KB, και το περιεχόμενο δεν αποθηκεύεται ποτέ (cfg/dateien_lib.php).
• Ένας ανεξάρτητος δεύτερος ανιχνευτής (probe) έχει προετοιμαστεί και είναι απενεργοποιημένος από προεπιλογή (browser_probe_enabled = 0). Εάν ενεργοποιηθεί, θα λαμβάνει μόνο τον τομέα, τη διεύθυνση, τον επιλογέα, τα βήματα και την επιλογή προγράμματος περιήγησης, ποτέ διαπιστευτήρια, στιγμιότυπα οθόνης ή δεδομένα επισκεπτών (cfg/formular_probe_lib.php).

6.5 Σάρωση πίσω από τη σύνδεση

Προϋποθέσεις: η λειτουργία έχει ρυθμιστεί, ο τομέας είναι επαληθευμένος, και ο Πελάτης έχει πακέτο επί πληρωμή και είναι κάτοχος ή διαχειριστής του χώρου εργασίας (cfg/login_lib.php)· επιβεβαιώνει ότι ο λογαριασμός είναι δοκιμαστικός λογαριασμός με όσο το δυνατόν λιγότερα δικαιώματα (cfg/login_lib.php).

1. Το όνομα χρήστη και ο κωδικός πρόσβασης κρυπτογραφούνται αμέσως στον διακομιστή ιστού με το δημόσιο κλειδί του διακομιστή σάρωσης: κλειδί μίας χρήσης ανά εγγραφή (X25519), παραγωγή κλειδιού (HKDF-SHA256), AES-256-GCM, δεσμευμένα στον τομέα (cfg/login_lib.php). Μόνο η υπηρεσία ελέγχου στον διακομιστή σάρωσης διαθέτει το ιδιωτικό κλειδί (scanner/src/geheim.js). Όποιος έχει τον διακομιστή ιστού, τη βάση δεδομένων ή ένα αντίγραφο ασφαλείας έχει μόνο κρυπτογραφημένο κείμενο.
2. Η διεπαφή εμφανίζει μόνο τον πρώτο χαρακτήρα και το μήκος του ονόματος χρήστη (cfg/login_lib.php). Τα διαπιστευτήρια δεν εμφανίζονται ποτέ, δεν καταγράφονται ποτέ και δεν εξάγονται ποτέ μέσω του API.
3. Για έναν έλεγχο, η εφαρμογή επισυνάπτει το κρυπτογραφημένο κείμενο στην εργασία. Η υπηρεσία ελέγχου το αποκρυπτογραφεί, διαγράφει αμέσως το πεδίο στην εργασία και διαβιβάζει τα διαπιστευτήρια στο container μόνο μέσω της τυπικής εισόδου, ποτέ ως ορίσματα γραμμής εντολών (scanner/src/worker.js). Υπολείμματα σε διακοπείσες εργασίες εκκαθαρίζονται από τη διαδικασία κατάστασης μετά από μία ώρα (cfg/login_lib.php).
4. Μέσα στο container, το πρόγραμμα περιήγησης συνδέεται. Διακόπτει εάν η σελίδα σύνδεσης ανακατευθύνει σε άλλο host, εάν η φόρμα σύνδεσης φέρει CAPTCHA (δεν παρακάμπτουμε CAPTCHA) ή εάν ένα πεδίο κωδικού πρόσβασης παραμένει ορατό μετά την υποβολή (scanner/src/login.js). Στη συνέχεια διαγράφει το πεδίο κωδικού πρόσβασης στη μνήμη της σελίδας και ξεχνά τα διαπιστευτήρια (scanner/src/login.js).
5. Διαβάζει το πολύ πέντε σελίδες του ίδιου τομέα που καθορίζει ο Πελάτης. Διευθύνσεις που περιέχουν λέξεις για αποσύνδεση, διαγραφή, αφαίρεση ή ακύρωση αποκλείονται (scanner/src/login.js). Πίσω από τη σύνδεση δεν υποβάλλεται τίποτα, δεν λαμβάνονται στιγμιότυπα οθόνης, και τα cookies και οι σύνδεσμοι δεν καταλήγουν στο αποτέλεσμα (scanner/src/login.js).
6. Η διαγραφή είναι οριστική: το κρυπτογραφημένο κείμενο αντικαθίσταται με τυχαία δεδομένα ίδιου μήκους, η γραμμή διαγράφεται και οι εκκρεμείς εργασίες εκκαθαρίζονται (cfg/login_lib.php). Όταν διαγράφεται ο τομέας, η γραμμή εξαφανίζεται αυτόματα μέσω ξένου κλειδιού.

6.6 Έλεγχος παράδοσης

Ο έλεγχος παράδοσης απαντά στο ερώτημα εάν ένα e-mail από τη φόρμα επικοινωνίας φθάνει πράγματι, και αξιολογεί τα χαρακτηριστικά γνησιότητάς του. Είναι προαιρετικός, απενεργοποιημένος από προεπιλογή και απαιτεί τη ρύθμιση γραμματοκιβωτίου ελέγχου (cfg/zustellung_lib.php).

1. Εάν ο Πελάτης τον ενεργοποιήσει, ο τομέας λαμβάνει μια τυχαία ετικέτα. Ο Πελάτης εισάγει τη διεύθυνση ελέγχου με αυτή την ετικέτα ως κρυφή κοινοποίηση στη φόρμα του.
2. Από εκεί και πέρα, κάθε e-mail της φόρμας αποστέλλεται και στο γραμματοκιβώτιο ελέγχου: οι επισημασμένες δοκιμαστικές υποβολές μας και όλα τα γνήσια μηνύματα επισκεπτών. Τα e-mail πηγαίνουν απευθείας στο γραμματοκιβώτιο στον Namecheap, Inc. (Private Email), Phoenix, Arizona, USA – φθάνουν μόνο εάν οι εγγραφές MX του τομέα μας παραπέμπουν εκεί· μέσω προώθησης, για παράδειγμα στον καταχωρητή τομέων Namecheap, Inc., δεν φθάνουν στο γραμματοκιβώτιο – και παραμένουν εκεί έως ότου ανακτηθούν.
3. Η διαδικασία κατάστασης ανακτά το γραμματοκιβώτιο κάθε πέντε λεπτά (srv/cron_status.php). Για κάθε e-mail διαβάζει τις κεφαλίδες και το πολύ τα πρώτα 8 KB του κειμένου, χωρίς να τα επισημαίνει ως αναγνωσμένα (cfg/zustellung_lib.php).
4. Από τις κεφαλίδες προσδιορίζει την ετικέτα και επομένως τον τομέα, και από το κείμενο, κατά περίπτωση, το αναγνωριστικό της δοκιμής μας (cfg/zustellung_lib.php). Αποθηκεύονται ο χρόνος, ο τομέας και, κατά περίπτωση, το αναγνωριστικό της δοκιμής (cfg/zustellung_lib.php), για 180 ημέρες (cfg/zustellung_lib.php).
5. Από τις κεφαλίδες αξιολογεί SPF, DKIM και DMARC και αποθηκεύει το αποτέλεσμα στον τομέα: τα αποτελέσματα του ελέγχου, τον τομέα της διεύθυνσης αποστολέα, τους τομείς των υπογραφών και τη διεύθυνση του διακομιστή αλληλογραφίας αποστολής (cfg/zustellung_lib.php). Εάν το αποτέλεσμα επιδεινωθεί, αποστέλλεται μία φορά στον Πελάτη ειδοποίηση που μπορεί να κατονομάζει τον τομέα του αποστολέα (cfg/zustellung_lib.php).
6. Στη συνέχεια επισημαίνει κάθε ανακτηθέν e-mail για διαγραφή, συμπεριλαμβανομένου εκείνου που δεν μπόρεσε να αντιστοιχιστεί σε κανέναν τομέα, και το αφαιρεί από το γραμματοκιβώτιο στο τέλος της εκτέλεσης (cfg/zustellung_lib.php). Εάν η εκτέλεση διακοπεί πριν από αυτό, τα e-mail παραμένουν έως την επόμενη επιτυχή εκτέλεση.
7. Ως απόδειξη παράδοσης λογίζεται μόνο το αντίγραφο ακριβώς της σχετικής δοκιμής (cfg/zustellung_lib.php). Εάν δεν φθάσει εντός τριών ωρών (delivery_wait_h), η υπηρεσία αναφέρει «Η παράδοση λείπει».

Το κείμενο των γνήσιων μηνυμάτων δεν εγγράφεται ποτέ στη βάση δεδομένων, ούτε η διεύθυνση του επισκέπτη. Και τα δύο ωστόσο διαβάζονται: η ανάκτηση φορτώνει τα πρώτα 8 KB κάθε e-mail στη μνήμη προκειμένου να αναζητήσει το αναγνωριστικό της δοκιμής.

6.7 Προστασία σμήνους

1. Το επίπεδο προστασίας του πρόσθετου WordPress σταματά ένα μήνυμα ως spam και καταμετρά τους τομείς των συνδέσμων που περιέχει. Μία φορά την ημέρα, το πρόσθετο μας αναφέρει αυτούς τους τομείς με τον αριθμό εμφανίσεών τους, το πολύ 60 ανά ημέρα· καμία διεύθυνση, κανένα κείμενο, καμία διεύθυνση IP (cfg/swarm_lib.php).
2. Μία φορά την ημέρα καταρτίζουμε από αυτά τη λίστα: ένας τομέας τοποθετείται σε αυτήν εάν έχει αναφερθεί εντός επτά ημερών από τουλάχιστον τρεις διαφορετικούς ιστότοπους και με τουλάχιστον πέντε εμφανίσεις (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). Μεγάλες υπηρεσίες από σταθερή λίστα εξαιρέσεων και οι τομείς των Πελατών μας, σε κάθε περίπτωση συμπεριλαμβανομένων των υποτομέων, δεν καταχωρίζονται ποτέ στη λίστα (cfg/swarm_lib.php).
3. Η λίστα αποστέλλεται σε όλους τους συνδεδεμένους ιστότοπους με την απάντηση στην ημερήσια αναφορά. Το επίπεδο προστασίας τους θέτει μηνύματα με συνδέσμους προς τομείς της λίστας σε καραντίνα, όχι στα απορρίμματα.
4. Ό,τι δεν εμφανίζεται πλέον στη νέα λίστα αφαιρείται· οι αναφορές διαγράφονται μετά από 30 ημέρες (cfg/swarm_lib.php).
5. Τα δίκτυα IP (/24 ή /48) έχουν προετοιμαστεί αλλά είναι απενεργοποιημένα έως την ολοκλήρωση του νομικού ελέγχου (cfg/swarm_lib.php).

6.8 Χρήση τεχνητής νοημοσύνης

Ένα γλωσσικό μοντέλο εκτελείται στον δικό μας διακομιστή σάρωσης, όχι σε πάροχο ΤΝ. Χρησιμοποιείται σε δύο σημεία: στην υπηρεσία ελέγχου κατατάσσει φόρμες των οποίων τον τύπο δεν αναγνωρίζουν οι κανόνες· για τον σκοπό αυτό βλέπει τον τίτλο της σελίδας, τη διεύθυνση της σελίδας, τις ετικέτες των κουμπιών υποβολής, τους τύπους, τα ονόματα, τις ετικέτες και τα placeholders των πεδίων, και έως 400 χαρακτήρες κειμένου της φόρμας (scanner/src/classify.js). Ερωτάται μόνο εάν οι κανόνες επιστρέψουν «άγνωστο»· οι φόρμες που κατατάσσονται με αυτόν τον τρόπο δεν υποβάλλονται ποτέ και δεν προσμετρώνται στη βαθμολογία και την ετυμηγορία. Η βαθμολογία, η ετυμηγορία, η πρόληψη κατάχρησης, η προστασία σμήνους και οι κανόνες spam είναι σταθεροί κανόνες, όχι ΤΝ. Στο «Fix it for me», επανεγγράφει επικολλημένο κώδικα φόρμας· ο κώδικας δεν αποθηκεύεται. Το μοντέλο δεν λαμβάνει αποφάσεις για ανθρώπους. Περισσότερα σχετικά στη σελίδα Κανονισμός της ΕΕ για την ΤΝ: Πώς χρησιμοποιεί το formexposed την ΤΝ.

6.9 Νομικές βάσεις

Πράξη επεξεργασίας	Νομική βάση
P1 Δωρεάν έλεγχος: έλεγχος του ζητούμενου τομέα· όρια και πρόληψη κατάχρησης	σε σχέση με το πρόσωπο που υποβάλλει το αίτημα, άρθρο 6(1)(b)· σε σχέση με τον διαχειριστή και τα απεικονιζόμενα πρόσωπα, άρθρο 6(1)(f)· πρόληψη κατάχρησης, άρθρο 6(1)(f)
P2 Έλεγχος υποψήφιων πελατών	Άρθρο 6(1)(f) (έννομο συμφέρον του πρακτορείου και του formexposed)
P3 Μελέτη	Άρθρο 6(1)(f)
P4 Έλεγχος τομέων Πελατών	Άρθρο 6(1)(b) σε σχέση με τον Πελάτη· για δεδομένα τρίτων στον ιστότοπό του, οι εντολές του Πελάτη σύμφωνα με το άρθρο 28
P5 Σάρωση πίσω από τη σύνδεση	Εντολές του Πελάτη σύμφωνα με το άρθρο 28· η νομική βάση του Πελάτη
P6 Έλεγχος παράδοσης	Εντολές του Πελάτη σύμφωνα με το άρθρο 28· η νομική βάση του Πελάτη (στο προτεινόμενο κείμενό μας για Πελάτες, άρθρο 6(1)(f))
P7 Προστασία σμήνους	Άρθρο 6(1)(f) (κοινή άμυνα κατά του spam σε πολλούς ιστότοπους)

Το έννομο συμφέρον μας στα P1 έως P3 έγκειται στο να δείχνουμε στους διαχειριστές και στους παρόχους υπηρεσιών τους αδυναμίες στις φόρμες τους προτού αξιοποιηθούν για spam ή κατάχρηση, και στην παροχή της υπηρεσίας. Τα δεδομένα προέρχονται από δημόσια προσβάσιμες πηγές. Η στάθμιση συμφερόντων παρατίθεται στην ενότητα 7· το εάν το άρθρο 6(1)(f) στηρίζει τον έλεγχο ιστότοπων τρίτων κατόπιν αιτήματος αποτελεί ανοικτό ζήτημα για τον νομικό έλεγχο.

6.10 Αποδέκτες και διαβιβάσεις σε τρίτες χώρες

Αποδέκτης	Τι	Πράξη επεξεργασίας	Κατάσταση
Κανείς εκτός του formexposed	Αποτελέσματα ελέγχων, στιγμιότυπα οθόνης, κατάταξη από το γλωσσικό μοντέλο	P1–P5	Η υπηρεσία ελέγχου και το γλωσσικό μοντέλο εκτελούνται στους δικούς μας διακομιστές· στη διαδρομή ελέγχου του ανιχνευτή ιστού δεν βρέθηκε καμία κλήση προς τρίτο πέραν του ίδιου του ελεγμένου ιστότοπου, των υπηρεσιών των οποίων το περιεχόμενο ενσωματώνει (όπως με κάθε επισκέπτη) και της υπηρεσίας RDAP rdap.org για την ηλικία του τομέα (μόνο το όνομα τομέα)· οι επιτηρήσεις της παρακολούθησης παρατίθενται στην επόμενη γραμμή
Οποιοσδήποτε γνωρίζει τον σύνδεσμο	Αναφορά με ευρήματα και στιγμιότυπα οθόνης	P1, P2, P4	τυχαίος σύνδεσμος 128 bit (cfg/check_lib.php), σελίδες με noindex (www/report.php)
Υπηρεσίες που ερωτώνται από την παρακολούθηση ενός τομέα Πελάτη	Λίστες αποκλεισμού DNS (SpamCop, PSBL, Mailspike, SURBL): τομείς και διευθύνσεις IP διακομιστών, κανένα δεδομένο επισκεπτών· Google Web Risk μόνο εάν έχει ρυθμιστεί: η διεύθυνση της αρχικής σελίδας· αρχές χρονοσήμανσης Certum και DigiCert: μόνο μια τιμή hash του αρχείου τεκμηρίωσης· RDAP μέσω του μητρώου της IANA: μόνο το όνομα τομέα· σελίδες κατάστασης παρόχων: δεν διαβιβάζεται τίποτα· wpvulnerability.net: αναγνωριστικό ενός πρόσθετου (χωρίς έκδοση) ή θέματος και η έκδοση του WordPress	P4	σε χρήση· λεπτομέρειες στα Αρχεία Δραστηριοτήτων Επεξεργασίας και στη σελίδα Υπεκτελούντες την επεξεργασία
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Αντίγραφα ελέγχου συμπεριλαμβανομένων γνήσιων μηνυμάτων επισκεπτών	P6	Η σύμβαση δεν έχει ακόμη συναφθεί· ο τόπος επεξεργασίας και ο μηχανισμός διαβίβασης πρέπει ακόμη να εξεταστούν
Namecheap, Inc. (ΗΠΑ)	Καταχωρητής και DNS· έως ότου ρυθμιστεί το γραμματοκιβώτιο, προώθηση γενικών e-mail σε διευθύνσεις του τομέα μας, όχι των αντιγράφων ελέγχου (αυτά φθάνουν στο γραμματοκιβώτιο μόνο μέσω εγγραφών MX που παραπέμπουν απευθείας σε αυτό)	– (κανένα αντίγραφο ελέγχου)	Ο μηχανισμός διαβίβασης πρέπει να εξεταστεί
Κανάλια ειδοποιήσεων που επιλέγει ο Πελάτης (e-mail, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	Συμβάν, τομέας, σύνδεσμος· για τον έλεγχο γνησιότητας, ο τομέας του αποστολέα εάν δεν ανήκει στον ιστότοπο	P4, P6	προορισμός που επιλέγει ο Πελάτης· εν μέρει εκτός ΕΕ. Αποστέλλουμε μηνύματα Telegram μέσω του bot μας· ο μηχανισμός διαβίβασης γι' αυτό αποτελεί ανοικτό ζήτημα για τον νομικό έλεγχο
Όλοι οι συνδεδεμένοι ιστότοποι	Λίστα τομέων συνδέσμων	P7	μέσω της απάντησης προς το πρόσθετο
Δεύτερος ανιχνευτής (probe)	Τομέας, διεύθυνση φόρμας, επιλογέας, βήματα	P4	απενεργοποιημένος

6.11 Διατήρηση, μετρημένη, όχι επιδιωκόμενη

Η διαγραφή πραγματοποιείται κυρίως τη νύχτα στις 03:00 στη διαδικασία κατάστασης (srv/cron_status.php, cfg/fristen_lib.php)· οι αναφορές της προστασίας σμήνους και οι γραμμές υποψήφιων πελατών διαγράφονται καθημερινά από τις 04:00, οι αντιστοιχίσεις του ελέγχου παράδοσης σε κάθε ανάκτηση· οι ανώνυμες αναφορές και οι αναφορές υποψήφιων πελατών διαγράφονται μέσω της ημερομηνίας λήξης τους (cfg/check_lib.php). Τα στιγμιότυπα οθόνης διαγράφονται από τον δίσκο μαζί με τη σάρωσή τους (cfg/fristen_lib.php).

Δεδομένα	Περίοδος σύμφωνα με τον κώδικα	Παραπομπή στην πηγή	Εύρημα
Δωρεάν έλεγχος συμπεριλαμβανομένων των εικόνων	30 ημέρες	cfg/check_lib.php	αποτελεσματική
Έλεγχος υποψήφιων πελατών συμπεριλαμβανομένων των εικόνων	90 ημέρες	cfg/akquise_lib.php· srv/cron_status.php (γραμμές υποψήφιων πελατών)	αποτελεσματική
Έλεγχοι τομέα Πελάτη	13 μήνες· ο τελευταίος διατηρείται όσο υπάρχει ο τομέας	cfg/fristen_lib.php	αποτελεσματική
Αποτελέσματα διαδρομών προγράμματος περιήγησης συμπεριλαμβανομένων των μαυρισμένων εικόνων	13 μήνες	cfg/fristen_lib.php	αποτελεσματική
Δεδομένα διαγραμμένου τομέα	αμέσως· τα ορφανά δεδομένα τη νύχτα	cfg/fristen_lib.php (fe_domain_loeschen(), fe_fristen_lauf())	αποτελεσματική, συμπεριλαμβανομένης της απογραφής scripts και των αλλαγών scripts, οι οποίες πέραν αυτού δεν έχουν δική τους περίοδο διατήρησης (βλ. Αρχεία Δραστηριοτήτων Επεξεργασίας)
Μελέτη: ακατέργαστα δεδομένα συμπεριλαμβανομένων των εικόνων	κατά τη δημοσίευση	cfg/studie_lib.php	χωρίς δημοσίευση, χωρίς χρονικό όριο· η λίστα των ελεγμένων hosts παραμένει χωρίς χρονικό όριο ακόμη και μετά τη δημοσίευση
Εσωτερικοί έλεγχοι χωρίς τομέα και χωρίς αναφορά	καμία	–	καμία διαγραφή· μετρήθηκαν: 85 έλεγχοι με 369 εικόνες από τις 22 Σεπτεμβρίου 2026 (R4)
Αντιστοιχίσεις του ελέγχου παράδοσης	180 ημέρες	cfg/zustellung_lib.php	αποτελεσματική
Αποτέλεσμα του ελέγχου γνησιότητας στον τομέα	έως το επόμενο αποτέλεσμα ή τη διαγραφή του τομέα	cfg/zustellung_lib.php	αντικαθίσταται, χωρίς χρονικό όριο
Αντίγραφα ελέγχου στο γραμματοκιβώτιο	έως την επόμενη επιτυχή ανάκτηση (διάστημα πέντε λεπτών)	cfg/zustellung_lib.php	αντίγραφα και αντίγραφα ασφαλείας στον πάροχο του γραμματοκιβωτίου δεν επαληθεύτηκαν
Διαπιστευτήρια για τη σάρωση πίσω από τη σύνδεση	έως τη διαγραφή από τον Πελάτη ή του τομέα· στην εργασία το πολύ έως το τέλος της εκτέλεσης, υπολείμματα μετά από μία ώρα	cfg/login_lib.php	αποτελεσματική· στα αντίγραφα ασφαλείας μόνο ως κρυπτογραφημένο κείμενο για έως 14 ημέρες
Αναφορές στην προστασία σμήνους	30 ημέρες	cfg/swarm_lib.php	αποτελεσματική
Όρια του δωρεάν ελέγχου (IP, χώρα, hash συνεδρίας)	7 ημέρες	srv/cron_status.php	αποτελεσματική
Σημειώσεις για ασυνήθιστη συμπεριφορά με διεύθυνση IP	90 ημέρες μετά την επίλυση	srv/cron_status.php	μη επιλυμένες σημειώσεις χωρίς χρονικό όριο· μετρήθηκαν: 3 σημειώσεις, όλες επιλυμένες
Διεύθυνση IP, χώρα, πρόγραμμα περιήγησης σχετικά με ένα opt-out	12 μήνες· η εξαίρεση παραμένει	cfg/fristen_lib.php	αποτελεσματική
Αντίγραφα ασφαλείας της βάσης δεδομένων	14 ημέρες	cfg/backup_lib.php	αποτελεσματική· τα αντίγραφα ασφαλείας αποθηκεύονται επί του παρόντος στην ίδια τοποθεσία με τη βάση δεδομένων και δεν είναι χωριστά κρυπτογραφημένα· σχεδιάζεται κρυπτογραφημένο αντίγραφο σε δεύτερη τοποθεσία (R13)

7. (b) Εκτίμηση της αναγκαιότητας και της αναλογικότητας

Μέτρο είναι οι δηλωμένοι σκοποί: να δείχνουμε στους διαχειριστές εάν οι φόρμες τους προστατεύονται από spam και κατάχρηση (P1 έως P5), να ελέγχουμε εάν τα e-mail των φορμών φθάνουν και εμφανίζονται γνήσια (P6), και να αμυνόμαστε από κοινού κατά του spam σε πολλούς ιστότοπους (P7). Οι σκοποί αυτοί είναι θεμιτοί. Το ερώτημα του άρθρου 35(7)(b) είναι στενότερο: είναι αυτή η επεξεργασία αναγκαία σε αυτό το βάθος για τον σκοπό, και είναι η επέμβαση ανάλογη προς το όφελος;

Στοιχείο	Αναγκαίο για τον σκοπό;	Αναλογικό στη μορφή όπως έχει κατασκευαστεί;
Ανάκτηση λίγων δημόσιων σελίδων, δομή των φορμών, εντοπισμένα μέτρα προστασίας	Ναι. Χωρίς αυτά δεν υπάρχει εύρημα.	Ναι. Το πολύ οκτώ σελίδες (συν τις προβολές της ενότητας 6.1), τηρείται απαγόρευση της αρχικής σελίδας στο robots.txt, καμία τιμή ορατών πεδίων, διευθύνσεις αποδεκτών μόνο ως τομέας.
Στιγμιότυπο οθόνης ανά φόρμα	Ναι, ως τεκμήριο στην αναφορά: ο διαχειριστής μπορεί να δει ποια φόρμα εννοείται.	Σε μεγάλο βαθμό. Τα πεδία είναι κενά, διότι ο ανιχνευτής ιστού δεν πληκτρολογεί τίποτα. Η εικόνα δείχνει ωστόσο το περιβάλλον του στοιχείου της φόρμας χωρίς να μαυρίζει τίποτα (R3).
Στιγμιότυπο οθόνης της αρχικής σελίδας	Δεν απαιτείται για το ίδιο το εύρημα. Χρησιμεύει στην αναγνώριση του ελεγμένου ιστότοπου στην αναφορά.	Μόνο σε περιορισμένο βαθμό· σχεδιάζεται περαιτέρω ελαχιστοποίηση. Οι αρχικές σελίδες δείχνουν συχνά ανθρώπους: ομαδικές φωτογραφίες, υπευθύνους επικοινωνίας, μαρτυρίες πελατών με ονόματα. Βλ. R3 και ενότητα 9.3.
Ανάγνωση των τιμών κρυφών πεδίων (πρώτοι 24 χαρακτήρες, μόνο κατά τον έλεγχο)	Ναι: από αυτές εντοπίζονται tokens και χρονοσφραγίδες.	Ναι. Αποθηκεύεται μόνο το αποτέλεσμα του εντοπισμού, όχι η τιμή, και πίσω από τη σύνδεση (R8).
Σελίδα απάντησης στη δοκιμαστική υποβολή (εικόνα και 300 χαρακτήρες κειμένου)	Ναι, ως τεκμήριο του πώς ανταποκρίθηκε η φόρμα.	Ναι. Η απάντηση αφορά το επισημασμένο δοκιμαστικό μας μήνυμα χωρίς δεδομένα προσωπικού χαρακτήρα.
Κατάταξη από το γλωσσικό μοντέλο	Χρήσιμη, όχι αναγκαία: χωρίς αυτήν, περισσότερες φόρμες παραμένουν «άγνωστες».	Ναι. Τοπική, χωρίς κοινολόγηση, χωρίς δικαίωμα υποβολής.
Ενεργές δοκιμαστικές υποβολές	Ναι. Το εάν μια προστασία λειτουργεί φαίνεται μόνο όταν δοκιμάζεται.	Ναι, με ανώτατο όριο και επισήμανση. Η προϋπόθεση – η απόδειξη κυριότητας – δεν ανανεώνεται, ωστόσο, ποτέ (R7).
Αναζήτηση εκτεθειμένων αρχείων	Ναι για τον Πελάτη, του οποίου τα δεδομένα φορμών ενδέχεται να είναι εκτεθειμένα εκεί.	Ναι. Μόνο επαληθευμένοι τομείς, το πολύ 8 KB, το περιεχόμενο δεν αποθηκεύεται ποτέ.
Σάρωση πίσω από τη σύνδεση	Ναι για φόρμες στον χώρο μελών που διαφορετικά θα έμεναν ανέλεγκτες.	Σε μεγάλο βαθμό. Η κρυπτογράφηση και η διαγραφή είναι προσεκτικά κατασκευασμένες· η σύνδεση, ωστόσο, δέχεται μη κρυπτογραφημένες συνδέσεις και ελαττωματικά πιστοποιητικά (R8).
Αντίγραφο ελέγχου γνήσιων μηνυμάτων επισκεπτών	Όχι για την απόδειξη παράδοσης. Αυτή βασίζεται μόνο στο αντίγραφο της δοκιμής μας (cfg/zustellung_lib.php). Τα γνήσια μηνύματα συμπεριλαμβάνονται επειδή μια κρυφή κοινοποίηση στη φόρμα δεν διακρίνει μεταξύ δοκιμής και γνήσιου μηνύματος. Είναι χρήσιμα για τον έλεγχο γνησιότητας (SPF, DKIM, DMARC), διότι δείχνουν την πραγματική διαδρομή αποστολής.	Εν μέρει. Το περιεχόμενο δεν αποθηκεύεται αλλά διαβάζεται, και παραμένει έως την ανάκτηση στον πάροχο του γραμματοκιβωτίου, του οποίου η σύμβαση εκκρεμεί ακόμη (R1, R2). Ένας λιγότερο παρεμβατικός σχεδιασμός είναι τεχνικά δυνατός: με το πρόσθετό μας, η κρυφή κοινοποίηση θα μπορούσε να περιοριστεί σε επισημασμένα δοκιμαστικά μηνύματα (ενότητα 9.3).
Αποθήκευση του τομέα αποστολέα γνήσιων μηνυμάτων	Εν μέρει: δείχνει εάν η φόρμα αποστέλλει με τη διεύθυνση του επισκέπτη ως αποστολέα (συχνή αιτία κατάταξης ως spam).	Υπό όρους. Για ένα φυσικό πρόσωπο με δικό του τομέα, ο τομέας είναι δεδομένο προσωπικού χαρακτήρα, και περιλαμβάνεται στην ειδοποίηση προς τον Πελάτη και τα κανάλια του (R1).
Κοινή λίστα τομέων συνδέσμων	Ναι. Ένας σύνδεσμος spam που εμφανίζεται ταυτόχρονα σε πολλούς ιστότοπους είναι ισχυρό σήμα που ένας μεμονωμένος ιστότοπος δεν διαθέτει.	Ναι, με ελάχιστους αριθμούς, εξαιρέσεις και καραντίνα αντί για διαγραφή. Τα δίκτυα IP δεν θα ήταν αναλογικά χωρίς νέα εκτίμηση.
Ακατέργαστα δεδομένα της μελέτης	Έως την αξιολόγηση, ναι.	Χωρίς μέγιστη περίοδο, όχι (R4).
Αναφορά σε τυχαίο σύνδεσμο	Ναι. Η προώθηση της αναφοράς – για παράδειγμα στον πάροχο υπηρεσιών που φροντίζει τον ιστότοπο – είναι ο σκοπός του δωρεάν ελέγχου.	Ναι. Τυχαίος σύνδεσμος 128 bit, noindex, δωρεάν αναφορά μόνο ως απόσπασμα (cfg/check_lib.php, FE_FREE_DETEKTOREN), διαγραφή μετά από 30 ημέρες.

Νομιμότητα. Για τα P1 έως P3 και P7 βασιζόμαστε στο άρθρο 6(1)(f). Υπέρ της στάθμισης: τα δεδομένα είναι δημόσια και ανακτώνται με τον ίδιο τρόπο όπως από κάθε επισκέπτη· δεν υποβάλλεται τίποτα· τα δεδομένα προσωπικού χαρακτήρα είναι παρεμπίπτοντα και ήσσονος σημασίας· οι περίοδοι είναι σύντομες· ο διαχειριστής μπορεί να αποκλείσει περαιτέρω ελέγχους από τον ανιχνευτή ιστού μέσω απαγόρευσης της αρχικής σελίδας στο robots.txt και κάθε περαιτέρω έλεγχο μέσω της σελίδας opt-out μας, αμέσως και χωρίς απόδειξη· το όφελος – μια προστατευμένη φόρμα – ωφελεί επίσης τον διαχειριστή και τους επισκέπτες του. Κατά: ο διαχειριστής δεν πληροφορείται τίποτα για τον έλεγχο, η αναφορά προορίζεται για τρίτους, και στην περίπτωση ατομικών επιχειρηματιών αξιολογεί ένα πρόσωπο. Θεωρούμε τη στάθμιση δικαιολογημένη όσο παραμένουν σε ισχύ τα μέτρα της ενότητας 9.1· η νομική επιβεβαίωση εκκρεμεί.

Ενημέρωση των υποκειμένων των δεδομένων (άρθρα 13 και 14). Ενημερώνουμε τους διαχειριστές και τα πρόσωπα σε ελεγμένες σελίδες μέσω της σελίδας του ανιχνευτή ιστού, η οποία αναφέρεται στο αναγνωριστικό κάθε ανάκτησης, μέσω της Πολιτικής Απορρήτου και μέσω της σελίδας opt-out. Η ατομική ενημέρωση προσώπων που εμφανίζονται περιστασιακά σε ένα στιγμιότυπο οθόνης θα ήταν δυνατή μόνο εάν τα ταυτοποιούσαμε – κάτι που θα αποτελούσε περαιτέρω, σοβαρότερη επέμβαση. Στον βαθμό αυτό βασιζόμαστε στο άρθρο 14(5)(b). Οι επισκέπτες των οποίων τα μηνύματα διέρχονται από το αντίγραφο ελέγχου ενημερώνονται από τον Πελάτη· η Σύμβαση Επεξεργασίας Δεδομένων το απαιτεί, και παρέχουμε γι' αυτό ένα τμήμα κειμένου.

Ελαχιστοποίηση των δεδομένων (άρθρο 5(1)(c)). Είναι ορατή σε πολλά σημεία και θεμελιώνεται στον κώδικα: καμία τιμή πεδίων, διευθύνσεις αποδεκτών μόνο ως τομέας, αναγνωριστικά λογαριασμών σε διευθύνσεις scripts κρυμμένα, κανένα περιεχόμενο από το αντίγραφο ελέγχου στη βάση δεδομένων, κανένα στιγμιότυπο οθόνης πίσω από τη σύνδεση, μόνο τομείς στην προστασία σμήνους. Σε δύο σημεία, περαιτέρω ελαχιστοποίηση είναι δυνατή και σχεδιάζεται (ενότητα 9.3): για το στιγμιότυπο οθόνης της αρχικής σελίδας χωρίς μαύρισμα και για τον τομέα αποστολέα γνήσιων μηνυμάτων.

Περιορισμός της περιόδου αποθήκευσης (άρθρο 5(1)(e)). Από τις 27 Σεπτεμβρίου 2026, η νυχτερινή διαδικασία τηρεί τις περιόδους της Πολιτικής Απορρήτου για τα δεδομένα Πελατών και εκκαθαρίζει δεδομένα που απέμειναν χωρίς συνδεδεμένο τομέα από την περίοδο πριν από αυτή (cfg/fristen_lib.php). Παραμένουν ανοικτές δύο οδοί χωρίς χρονικό όριο: οι εσωτερικοί έλεγχοι και οι μη δημοσιευμένες μελέτες (R4).

Ακρίβεια (άρθρο 5(1)(d)). Ένα εύρημα μπορεί να είναι λανθασμένο: μια φόρμα φαίνεται απροστάτευτη επειδή η προστασία φορτώνεται μόνο μετά από αλληλεπίδραση, ή ο ανιχνευτής ιστού αντιμετωπίστηκε από ένα τείχος προστασίας διαφορετικά από έναν επισκέπτη. Για έναν διαχειριστή του οποίου ο ιστότοπος διακινείται δημόσια ως «Εκτεθειμένος», αυτό είναι ζήτημα φήμης. Η αναφορά κατονομάζει επομένως τη μέθοδο, παρουσιάζει τεκμήρια και επισημαίνει τα όρια ενός ελέγχου από έξω.

Αποτέλεσμα ως προς την αναλογικότητα: Ο έλεγχος ιστότοπων τρίτων και ιδίων ιστότοπων είναι, στη μορφή όπως έχει κατασκευαστεί, κατ' ουσίαν αναλογικός. Σε τρία σημεία υπάρχει ανάγκη βελτίωσης που μπορεί να αντιμετωπιστεί με συνήθη μέσα και για την οποία σχεδιάζονται μέτρα (ενότητα 9.3): τα στιγμιότυπα οθόνης της αρχικής σελίδας, οι εσωτερικοί έλεγχοι χωρίς χρονικό όριο και η μη κρυπτογραφημένη σύνδεση για τη σάρωση πίσω από τη σύνδεση. Ο έλεγχος παράδοσης είναι αναλογικός για το δοκιμαστικό αντίγραφο και για τον έλεγχο γνησιότητας· για γνήσια μηνύματα επισκεπτών ισχύει μόνο όσο το περιεχόμενό τους δεν αποθηκεύεται, η διαδρομή μέσω του παρόχου του γραμματοκιβωτίου είναι συμβατικά εξασφαλισμένη και ο Πελάτης ενημερώνει τους επισκέπτες του. Σήμερα, λείπει το δεύτερο από αυτά τα τρία σημεία.

8. (c) Εκτίμηση των κινδύνων για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων

Εκτιμάται ο κίνδυνος για τα υποκείμενα των δεδομένων, όχι για το formexposed. Η πιθανότητα διαβαθμίζεται ως απίθανη, πιθανή, πολύ πιθανή ή επελθούσα· «επελθούσα» σημαίνει ότι το γεγονός δεν είναι πρόβλεψη αλλά μετρημένη κατάσταση. Η σοβαρότητα διαβαθμίζεται ως περιορισμένη, σημαντική, σοβαρή ή πολύ σοβαρή, ανάλογα με το τι διακυβεύεται για το πρόσωπο: το απόρρητο του μηνύματός του, ο έλεγχος ενός λογαριασμού, η επαγγελματική του φήμη, η δυνατότητα άσκησης ενός δικαιώματος. Το επίπεδο προκύπτει από αμφότερα και περιγράφει την τρέχουσα κατάσταση με τα μέτρα της ενότητας 9.1.

Αρ.	Κίνδυνος	Πράξη επεξεργασίας	Πιθανότητα	Σοβαρότητα	Επίπεδο
R1	Γνήσια μηνύματα επισκεπτών στο αντίγραφο ελέγχου, συμπεριλαμβανομένων πιθανών ειδικών κατηγοριών	P6	Επελθούσα μόλις ενεργοποιηθεί	Σοβαρή	Υψηλό
R2	Διαδρομή του αντιγράφου ελέγχου μέσω του παρόχου του γραμματοκιβωτίου χωρίς συναφθείσα σύμβαση και με πιθανή σύνδεση με τρίτη χώρα	P6	Πολύ πιθανή όσο λείπει η σύμβαση	Σοβαρή	Υψηλό
R3	Στιγμιότυπα οθόνης ιστότοπων τρίτων χωρίς μαύρισμα	P1–P4	Πολύ πιθανή	Περιορισμένη	Μεσαίο
R4	Δεδομένα ελέγχων και στιγμιότυπα οθόνης χωρίς οδό διαγραφής	P3, εσωτερικοί έλεγχοι	Επελθούσα	Σημαντική	Υψηλό
R5	Έλεγχος και δημόσια αξιολόγηση ιστότοπων τρίτων χωρίς τη γνώση του διαχειριστή· κατάχρηση ως εργαλείο αναγνώρισης	P1	Πιθανή	Σημαντική	Μεσαίο
R6	Έλεγχος υποψήφιων πελατών ως βάση για αυτόκλητες προσεγγίσεις	P2	Πολύ πιθανή	Περιορισμένη	Μεσαίο
R7	Η απόδειξη κυριότητας δεν ανανεώνεται ποτέ	P4, P5	Πιθανή	Σημαντική	Μεσαίο
R8	Διαπιστευτήρια και περιεχόμενο στη σάρωση πίσω από τη σύνδεση	P5	Πιθανή	Σοβαρή	Μεσαίο· υψηλό για πραγματικούς λογαριασμούς
R9	Ενεργές δοκιμαστικές υποβολές και έλεγχος αρχείων στον ιστότοπο του Πελάτη	P4	Απίθανη	Σημαντική	Χαμηλό
R10	Κατάταξη από γλωσσικό μοντέλο	P1–P4	Απίθανη	Περιορισμένη	Χαμηλό
R11	Κοινή λίστα αποκλεισμού από αναφορές πολλών ιστότοπων	P7	Πιθανή	Περιορισμένη	Χαμηλό έως μεσαίο· υψηλό με δίκτυα IP
R12	Αναφορές και στιγμιότυπα οθόνης σε δημόσιο σύνδεσμο	P1, P2, P4	Πιθανή	Περιορισμένη	Χαμηλό
R13	Αδυναμίες υποδομής: αντίγραφα ασφαλείας, πρόσβαση στους διακομιστές, διακομιστής σάρωσης	όλες	Πιθανή	Σοβαρή	Υψηλό
R14	Δικαιώματα των υποκειμένων των δεδομένων για πρόσωπα που δεν μας γνωρίζουν	P1–P6	Πολύ πιθανή	Περιορισμένη	Χαμηλό

R1 – Γνήσια μηνύματα επισκεπτών στο αντίγραφο ελέγχου

Πρόκειται για τον σοβαρότερο κίνδυνο της υπηρεσίας, και δεν προκύπτει από σφάλμα αλλά από τον σχεδιασμό. Μια κρυφή κοινοποίηση στη φόρμα δεν διακρίνει μεταξύ του δοκιμαστικού μας μηνύματος και του μηνύματος ενός επισκέπτη. Εάν ένας Πελάτης ενεργοποιήσει τον έλεγχο παράδοσης, κάθε μήνυμα που αποστέλλεται μέσω της φόρμας αυτής φθάνει στο γραμματοκιβώτιο ελέγχου μας (cfg/zustellung_lib.php). Η ανάκτηση διαβάζει τις κεφαλίδες και τα πρώτα 8 KB του κειμένου στη μνήμη προκειμένου να αναζητήσει το αναγνωριστικό της δοκιμής μας (cfg/zustellung_lib.php). Για μια συνήθη φόρμα επικοινωνίας, αυτό σημαίνει όνομα, διεύθυνση e-mail, αριθμό τηλεφώνου και το πλήρες μήνυμα.

Τι γράφει ο επισκέπτης εναπόκειται σε αυτόν, και το πεδίο προσκαλεί προσωπικό περιεχόμενο: ένα αίτημα ραντεβού που περιγράφει συμπτώματα προς ένα ιατρείο, μια περιγραφή νομικής διαφοράς προς ένα δικηγορικό γραφείο, μια αίτηση εργασίας, ένα ερώτημα για ένα παιδί προς ένα σχολείο. Τα νομικά μας έγγραφα αναφέρουν ότι τα αντίγραφα «δεν θα πρέπει να περιέχουν ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα». Αυτό είναι παράκληση προς τον Πελάτη, όχι μέτρο προστασίας: ούτε αυτός ούτε εμείς γνωρίζουμε εκ των προτέρων τι θα γράψει ένας επισκέπτης.

Σε αυτό ανήκουν δύο παράπλευρες οδοί. Πρώτον, ο έλεγχος γνησιότητας αποθηκεύει τον τομέα της διεύθυνσης αποστολέα στον τομέα (cfg/zustellung_lib.php). Εάν η φόρμα αποστέλλει με τη διεύθυνση του επισκέπτη ως αποστολέα, πρόκειται για τον τομέα του επισκέπτη – χωρίς σημασία για έναν μεγάλο πάροχο αλληλογραφίας, αλλά δεδομένο προσωπικού χαρακτήρα για ένα φυσικό πρόσωπο με δικό του τομέα. Ο τομέας αυτός εμφανίζεται επίσης στην ειδοποίηση που αποστέλλεται στον Πελάτη και στα κανάλια που έχει επιλέξει (cfg/zustellung_lib.php). Δεύτερον, αποθηκεύει τη διεύθυνση του διακομιστή αλληλογραφίας αποστολής (cfg/zustellung_lib.php)· κατά κανόνα, πρόκειται για τον διακομιστή του ιστότοπου, όχι του επισκέπτη.

Πιθανότητα – επελθούσα μόλις ενεργοποιηθεί. Το ερώτημα δεν είναι εάν φθάνουν γνήσια μηνύματα, αλλά πόσα. Σύμφωνα με τη μέτρηση στο σύστημα ανάπτυξης, η λειτουργία δεν είναι ενεργοποιημένη για κανέναν τομέα. Σοβαρότητα – σοβαρή. Το απόρρητο ενός μηνύματος προς μια επιχείρηση έχει σημασία για πολλούς ανθρώπους, και για ορισμένους από τους τυπικούς Πελάτες αναμένονται δεδομένα του άρθρου 9. Η σοβαρότητα μετριάζεται από το γεγονός ότι το περιεχόμενο δεν καταλήγει στη βάση δεδομένων, παραμένει στο γραμματοκιβώτιο μόνο για σύντομο χρόνο και δεν διαβάζεται από κανένα πρόσωπο στο formexposed. Επίπεδο – υψηλό.

R2 – Διαδρομή του αντιγράφου ελέγχου μέσω του παρόχου του γραμματοκιβωτίου χωρίς συναφθείσα σύμβαση

Προτού η ανάκτησή μας δει ένα αντίγραφο ελέγχου, αυτό βρίσκεται στο γραμματοκιβώτιο στον Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Φθάνει εκεί μόνο εάν οι εγγραφές MX του τομέα μας παραπέμπουν απευθείας σε αυτό το γραμματοκιβώτιο· η προώθηση στον καταχωρητή τομέων Namecheap, Inc. δεν αποτελεί σταθμό των αντιγράφων ελέγχου (μέσω προώθησης δεν φθάνουν στο γραμματοκιβώτιο). Για τον σταθμό που απομένει, οι συμβατικές ρυθμίσεις εκκρεμούν ακόμη: η σύμβαση με τον πάροχο του γραμματοκιβωτίου δεν έχει συναφθεί, οι τόποι αποθήκευσης, οι υπεκτελούντες την επεξεργασία και οι περίοδοι τήρησης αντιγράφων ασφαλείας του δεν έχουν διαπιστωθεί, και το εάν απαιτείται και εφαρμόζεται απόφαση επάρκειας ή τυποποιημένες συμβατικές ρήτρες για τον τόπο επεξεργασίας του είναι ανοικτό. Για τα δικά μας συναλλακτικά e-mail, αυτό αποτελεί ζήτημα διαμόρφωσης της σύμβασης. Για τα αντίγραφα ελέγχου είναι σοβαρότερο: εκεί πρόκειται για δεδομένα που λαμβάνουμε ως εκτελών την επεξεργασία, και κάθε πάροχος υπηρεσιών κατά μήκος της διαδρομής είναι υπεκτελών την επεξεργασία για τον οποίο ευθυνόμαστε σύμφωνα με το άρθρο 28(4).

Επιπλέον, το «διαγράφεται μετά την ανάκτηση» ισχύει μόνο για τη δική μας οπτική του γραμματοκιβωτίου. Το εάν ο πάροχος διατηρεί διαγραμμένα e-mail στα δικά του αντίγραφα ασφαλείας ή σε κάδο ανακύκλωσης, και για πόσο χρόνο, δεν έχει επαληθευτεί. Εάν μια ανάκτηση διακοπεί, τα e-mail παραμένουν έως την επόμενη επιτυχή εκτέλεση (cfg/zustellung_lib.php)· εάν η διαδικασία κατάστασης αποτύχει, παραμένουν επ' αόριστον. Τέλος, η ασφάλιση της ίδιας της ανάκτησης είναι ένα από τα σημεία που πρέπει να ελεγχθούν στο παραγωγικό σύστημα πριν από την έναρξη λειτουργίας (ενότητα 9.3).

Πιθανότητα – πολύ πιθανή όσο λείπει η σύμβαση: κάθε αντίγραφο ελέγχου ακολουθεί αυτή τη διαδρομή. Σοβαρότητα – σοβαρή, για τους ίδιους λόγους με το R1. Επίπεδο – υψηλό. Η λίστα ρύθμισης της εφαρμογής αναφέρει το γραμματοκιβώτιο που λείπει ως προειδοποίηση· δεν υπάρχει κλείδωμα που να μπλοκάρει τον έλεγχο παράδοσης χωρίς τεκμηριωμένη σύμβαση.

R3 – Στιγμιότυπα οθόνης ιστότοπων τρίτων χωρίς μαύρισμα

Ο ανιχνευτής ιστού λαμβάνει στιγμιότυπο οθόνης της ορατής περιοχής της πρώτης σελίδας και μια εικόνα του στοιχείου φόρμας κάθε ορατής φόρμας (scanner/src/crawl.js). Κατά τη διαδικασία αυτή δεν μαυρίζεται τίποτα. Διαφορετικά συμβαίνει στις διαδρομές προγράμματος περιήγησης: εκεί, τα πεδία εισόδου καλύπτονται πριν από το στιγμιότυπο οθόνης (scanner/src/browser.js). Επομένως μόνο οι εικόνες από τις διαδρομές προγράμματος περιήγησης είναι «καθαρισμένες», όχι εκείνες του ανιχνευτή ιστού και όχι η εικόνα της σελίδας απάντησης από έναν ενεργό έλεγχο.

Επειδή ο ανιχνευτής ιστού δεν πληκτρολογεί τίποτα, τα πεδία της φόρμας είναι κενά. Ωστόσο, η αρχική σελίδα μιας μικρής επιχείρησης δείχνει συχνά τον ιδιοκτήτη, την ομάδα, μαρτυρίες πελατών με ονόματα και φωτογραφίες, ή ένα παράθυρο συνομιλίας με την εικόνα ενός εργαζομένου. Όλα αυτά είναι δημόσια· το στιγμιότυπο οθόνης τα μετατρέπει σε αντίγραφο που αποθηκεύεται σε εμάς, εμφανίζεται στην αναφορά και μπορεί να προωθηθεί με τον σύνδεσμο.

Πιθανότητα – πολύ πιθανή. Στο σύνολο δεδομένων του συστήματος ανάπτυξης μετρήθηκαν 432 στιγμιότυπα οθόνης. Σοβαρότητα – περιορισμένη: το περιεχόμενο είναι ήδη δημόσιο, και οι περίοδοι για ελέγχους χωρίς λογαριασμό είναι σύντομες. Επίπεδο – μεσαίο, διότι τα απεικονιζόμενα πρόσωπα δεν το γνωρίζουν και η εικόνα της αρχικής σελίδας δεν χρειάζεται για το εύρημα.

R4 – Δεδομένα ελέγχων και στιγμιότυπα οθόνης χωρίς οδό διαγραφής

Η νυχτερινή διαδικασία διαγράφει ελέγχους μέσω δύο οδών: μέσω της ημερομηνίας λήξης μιας αναφοράς (cfg/check_lib.php) και μέσω της περιόδου για ελέγχους τομέα Πελάτη (cfg/fristen_lib.php, μόνο για ελέγχους με τομέα). Ένας έλεγχος που δεν έχει ούτε αναφορά ούτε τομέα ξεφεύγει και από τα δύο δίχτυα. Πρόκειται για τους ελέγχους με επίπεδο εμπιστοσύνης «internal»: μελέτες και ελέγχους που δημιουργεί ο πάροχος από τη γραμμή εντολών.

• Οι μελέτες διαγράφουν τα ακατέργαστα δεδομένα τους κατά τη δημοσίευση (cfg/studie_lib.php). Εάν μια μελέτη δεν δημοσιευθεί ποτέ – επειδή έχει πολύ λίγους ιστότοπους με φόρμα (το cfg/studie_lib.php αρνείται τότε τη δημοσίευση) ή επειδή εγκαταλείπεται – οι έλεγχοι, οι φόρμες, τα ευρήματα και τα στιγμιότυπα οθόνης παραμένουν χωρίς χρονικό όριο.
• Οι εσωτερικοί έλεγχοι από τη γραμμή εντολών δεν έχουν καθόλου οδό διαγραφής. Μέτρηση της 11ης Οκτωβρίου 2026: 85 τέτοιοι έλεγχοι ιστότοπων τρίτων με 978 φόρμες και 369 στιγμιότυπα οθόνης, ο παλαιότερος από τις 22 Σεπτεμβρίου 2026, κανένας με αναφορά ή τομέα.
• Οι σημειώσεις για ασυνήθιστη συμπεριφορά στον δωρεάν έλεγχο περιέχουν τη διεύθυνση IP και διαγράφονται 90 ημέρες μετά την επίλυσή τους (srv/cron_status.php). Μια σημείωση που δεν επιλύεται ποτέ παραμένει. Μετρήθηκαν: τρεις σημειώσεις, όλες επιλυμένες.

Πιθανότητα – επελθούσα. Οι 85 έλεγχοι δεν είναι σενάριο αλλά υπάρχοντα δεδομένα. Στο σύστημα ανάπτυξης πρόκειται για ελέγχους από δοκιμή πεδίου· ο ίδιος κώδικας ισχύει στο παραγωγικό σύστημα. Σοβαρότητα – σημαντική: δεν υπάρχει περίοδος διατήρησης για αυτά τα δεδομένα. Όσον αφορά την αρχή του περιορισμού της περιόδου αποθήκευσης (άρθρο 5(1)(e)), πρόκειται για ανοικτό σημείο με σχεδιαζόμενο μέτρο (ενότητα 9.3, προτεραιότητα «πρώτη»), και επηρεάζει ακριβώς πρόσωπα που δεν γνωρίζουν τίποτα για τον έλεγχο. Οι εσωτερικοί έλεγχοι περιγράφονται στα Αρχεία Δραστηριοτήτων Επεξεργασίας· η Πολιτική Απορρήτου δεν τους κατονομάζει ακόμη χωριστά (ενότητα 9.4). Επίπεδο – υψηλό.

R5 – Έλεγχος και δημόσια αξιολόγηση ιστότοπων τρίτων χωρίς τη γνώση του διαχειριστή

Οποιοσδήποτε μπορεί να ζητήσει τον έλεγχο οποιουδήποτε δημόσια προσβάσιμου ιστότοπου, χωρίς λογαριασμό και χωρίς οποιαδήποτε σχέση με αυτόν. Ο διαχειριστής δεν ειδοποιείται. Το αποτέλεσμα είναι μια αναφορά που αξιολογεί τον ιστότοπο ως «Εκτεθειμένο», «Μερικώς προστατευμένο» ή «Προστατευμένο» και την οποία μπορεί να δει οποιοσδήποτε έχει τον σύνδεσμο. Για τα υποκείμενα των δεδομένων νοούνται δύο συνέπειες. Ένας ατομικός επιχειρηματίας λαμβάνει δημόσια μια αξιολόγηση – έστω μόνο για τους αποδέκτες του συνδέσμου – που μπορεί να είναι λανθασμένο εύρημα. Και η αναφορά δείχνει σε έναν spammer ποια φόρμα μπορεί να συμπληρωθεί χωρίς εμπόδιο.

Σε αυτό αντιπαρατίθεται μια σειρά φραγμών (cfg/check_lib.php): το πολύ ένας έλεγχος ανά τομέα ανά επτά ημέρες, μετά από αυτό η ίδια αναφορά· όρια ανά διεύθυνση IP και συνεδρία· ημερήσιο ανώτατο όριο για ολόκληρη την υπηρεσία· κανένας έλεγχος πολύ νέων τομέων, που είναι τυπικοί για κατάχρηση· σημείωση και σήμα για ασυνήθιστη συμπεριφορά· robots.txt και opt-out, ελεγχόμενα δύο φορές (cfg/check_lib.php και στην υπηρεσία ελέγχου). Η δωρεάν αναφορά είναι απόσπασμα: δείχνει μόνο τα βασικά ευρήματα, όχι τα τεκμήρια όλων των ανιχνευτών. Και δεν λέει τίποτα που ένα bot δεν θα μπορούσε να διαπιστώσει μόνο του σε δευτερόλεπτα – μια απροστάτευτη φόρμα είναι ορατή από έξω.

Πιθανότητα – πιθανή. Σοβαρότητα – σημαντική για έναν ατομικό επιχειρηματία του οποίου η φόρμα στοχοποιείται μετά από μια αναφορά ή του οποίου η αξιολόγηση είναι λανθασμένη. Επίπεδο – μεσαίο.

R6 – Έλεγχος υποψήφιων πελατών ως βάση για αυτόκλητες προσεγγίσεις

Στη διεπαφή, ο έλεγχος υποψήφιων πελατών περιγράφεται ως «αφορμή για την πρώτη συζήτηση». Το πώς χρησιμοποιεί το πρακτορείο το σύντομο εύρημα το αποφασίζει το πρακτορείο· τεχνικά, μπορεί επίσης να το αποστείλει σε διαχειριστή που δεν το ζήτησε. Δεν επικοινωνούμε με κανέναν (cfg/akquise_lib.php), και οι Όροι Χρήσης υποχρεώνουν το πρακτορείο να τηρεί τους κανόνες για τη διαφήμιση και την προσέγγιση πελατών. Ένα αυτόκλητο e-mail με το εύρημα αποτελεί, ωστόσο, απευθείας εμπορική προώθηση ακόμη και μεταξύ επιχειρήσεων, η οποία στην Πολωνία (άρθρο 398 του νόμου για τις ηλεκτρονικές επικοινωνίες (Prawo komunikacji elektronicznej, PKE)) και στη Γερμανία (§ 7(2) του γερμανικού νόμου κατά του αθέμιτου ανταγωνισμού (Gesetz gegen den unlauteren Wettbewerb, UWG)) απαιτεί προηγούμενη συγκατάθεση. Η διεπαφή δεν το επισημαίνει· τα κείμενα του ελέγχου υποψήφιων πελατών μιλούν μόνο για «παθητικό» έλεγχο και «λίστα opt-out».

Πιθανότητα – πολύ πιθανή, διότι η λειτουργία εξυπηρετεί την προσέλκυση πελατών και δεν μπορούμε να επαληθεύσουμε εάν ο αποδέκτης έχει συναινέσει. Σοβαρότητα – περιορισμένη: για τον διαχειριστή πρόκειται για ένα ενοχλητικό διαφημιστικό e-mail με αξιολόγηση του ιστότοπού του. Επίπεδο – μεσαίο. Ο κίνδυνος έγκειται στη συμπεριφορά του πρακτορείου· επειδή η λειτουργία προέρχεται από εμάς, σχεδιάζεται επισήμανση στη διεπαφή (ενότητα 9.3).

R7 – Η απόδειξη κυριότητας δεν ανανεώνεται ποτέ

Οι ενεργές δοκιμαστικές υποβολές, η αναζήτηση εκτεθειμένων αρχείων και η σάρωση πίσω από τη σύνδεση προϋποθέτουν ότι ο Πελάτης έχει αποδείξει ότι δικαιούται να ελέγχει τον τομέα. Η απόδειξη αυτή ελέγχεται μία φορά (cfg/verify_lib.php) και ποτέ ξανά. Δεν υπάρχει οδός στον κώδικα μέσω της οποίας ένας τομέας χάνει την απόδειξή του. Εάν ο τομέας αλλάξει κάτοχο, ένα πρακτορείο λήξει τη συνεργασία του ή ο διαχειριστής αφαιρέσει την εγγραφή DNS, οι έλεγχοι συνεχίζονται – έως και καθημερινά, με έως πέντε δοκιμαστικές υποβολές και, εφόσον έχει αποθηκευτεί, με τη σύνδεση ενός δοκιμαστικού λογαριασμού για τον οποίο ο νέος διαχειριστής μπορεί να μη γνωρίζει. Αντίθετα, δεν είναι δυνατή η μεταφορά της απόδειξης σε άλλο host μέσω μετονομασίας: το όνομα host ενός τομέα με απόδειξη κυριότητας δεν μπορεί να αλλάξει.

Πιθανότητα – πιθανή: οι αλλαγές τομέα και συνεργασίας είναι καθημερινό φαινόμενο για τα πρακτορεία. Σοβαρότητα – σημαντική για τον νέο διαχειριστή και τους εργαζομένους του, οι οποίοι λαμβάνουν επισημασμένα δοκιμαστικά μηνύματα και ο ιστότοπος των οποίων ερευνάται για εκτεθειμένα αρχεία χωρίς τη συγκατάθεσή τους. Επίπεδο – μεσαίο. Τα δοκιμαστικά μηνύματα εξηγούν τον εαυτό τους και παραπέμπουν στη σελίδα του ανιχνευτή ιστού και στο opt-out· το opt-out λειτουργεί και έναντι ελέγχων από Πελάτες.

R8 – Διαπιστευτήρια και περιεχόμενο στη σάρωση πίσω από τη σύνδεση

Η κρυπτογράφηση των διαπιστευτηρίων είναι προσεκτικά κατασκευασμένη: ο διακομιστής ιστού δεν μπορεί πλέον να τα διαβάσει μετά την αποθήκευση, η βάση δεδομένων και το αντίγραφο ασφαλείας περιέχουν μόνο κρυπτογραφημένο κείμενο, η εγγραφή είναι δεσμευμένη στον τομέα της, τα διαπιστευτήρια εισέρχονται στο container μόνο μέσω της τυπικής εισόδου και στη συνέχεια διαγράφονται από τη μνήμη (ενότητα 6.5). Παραμένουν δύο κενά· ένα τρίτο σημείο αφορά μόνο την ανάγνωση, όχι την αποθήκευση.

• Επιτρέπεται μη κρυπτογραφημένη σύνδεση. Ο έλεγχος διεύθυνσης επιτρέπει το http παράλληλα με το https (cfg/login_lib.php, scanner/src/login.js). Εάν ο Πελάτης εισαγάγει σελίδα σύνδεσης με http, το όνομα χρήστη και ο κωδικός πρόσβασης διακινούνται στο διαδίκτυο σε απλό κείμενο σε κάθε έλεγχο.
• Τα σφάλματα πιστοποιητικού δεν σταματούν τη σύνδεση. Η σύνδεση δεν διακόπτεται επί του παρόντος όταν το πιστοποιητικό του ιστότοπου του Πελάτη είναι άκυρο (scanner/src/login.js). Το πιστοποιητικό επομένως δεν προστατεύει πλήρως τα διαπιστευτήρια στη διαδρομή τους προς τον ιστότοπο του Πελάτη. Σχεδιάζεται διακοπή σε περίπτωση σφαλμάτων πιστοποιητικού (ενότητα 9.3, προτεραιότητα «πρώτη»).
• Οι τιμές κρυφών πεδίων πίσω από τη σύνδεση διαβάζονται, δεν αποθηκεύονται. Ο ανιχνευτής ιστού διαβάζει τους πρώτους 24 χαρακτήρες της τιμής κρυφών πεδίων (scanner/src/crawl.js), και η ίδια συνάρτηση εξαγωγής εκτελείται πίσω από τη σύνδεση (scanner/src/login.js). Εκεί, τα κρυφά πεδία φέρουν συχνά έναν αριθμό λογαριασμού, ένα αναγνωριστικό χρήστη ή τη διεύθυνση e-mail του συνδεδεμένου λογαριασμού· ωστόσο, στον χάρτη πεδίων και στα ευρήματα καταχωρίζονται μόνο το όνομα του πεδίου, ο τύπος, η ετικέτα και το αποτέλεσμα του εντοπισμού.

Σε αυτά προστίθεται ό,τι δεν μπορεί να αποτρέψει ο κώδικας: ο Πελάτης επιβεβαιώνει ότι χρησιμοποιεί δοκιμαστικό λογαριασμό με όσο το δυνατόν λιγότερα δικαιώματα (cfg/login_lib.php), μπορεί όμως να εισαγάγει πραγματικό λογαριασμό διαχειριστή. Τις σελίδες που διαβάζει τότε ο σαρωτής τις καθορίζει ο Πελάτης· διευθύνσεις που περιέχουν λέξεις για αποσύνδεση και διαγραφή αποκλείονται, όχι όμως άλλες ενέργειες που ένας ιστότοπος ενεργοποιεί μέσω ενός απλού αιτήματος.

Πιθανότητα – πιθανή. Σοβαρότητα – σοβαρή εάν επηρεάζεται λογαριασμός με ευρεία δικαιώματα· ο χώρος μελών με τα δεδομένα όλων των χρηστών είναι τότε ανοικτός. Επίπεδο – μεσαίο για δοκιμαστικό λογαριασμό με λίγα δικαιώματα, υψηλό για πραγματικό λογαριασμό. Σύμφωνα με τη μέτρηση στο σύστημα ανάπτυξης, δεν είναι αποθηκευμένος κανένας δοκιμαστικός λογαριασμός.

R9 – Ενεργές δοκιμαστικές υποβολές και έλεγχος αρχείων στον ιστότοπο του Πελάτη

Μια δοκιμαστική υποβολή απευθύνεται στα πρόσωπα που διαβάζουν τα e-mail της φόρμας του Πελάτη – τους εργαζομένους του ή έναν πάροχο υπηρεσιών. Δεν περιέχει δεδομένα προσωπικού χαρακτήρα: ο αποστολέας είναι dummy@formexposed.com, το κείμενο και το θέμα είναι επισημασμένα και αναφέρουν το αναγνωριστικό του ελέγχου (scanner/src/active.js). Ο κίνδυνος έγκειται σε εσφαλμένη κατάταξη: εάν ο σαρωτής εκλάμβανε μια φόρμα αίτησης, κράτησης ή συμβουλευτικής ως φόρμα επικοινωνίας, το δοκιμαστικό μήνυμα θα κατέληγε σε μια διαδικασία με συνέπειες. Σε αυτό αντιπαρατίθενται οι αυστηροί κανόνες για το «υποβλητέο» (scanner/src/classify.js), ο αποκλεισμός για τομείς δημόσιων αρχών, εκπαιδευτικών ιδρυμάτων, κλινικών, ιατρείων, αστυνομίας και δικαστηρίων (scanner/src/classify.js) και ο αποκλεισμός του γλωσσικού μοντέλου από την απόφαση αυτή (scanner/src/classify.js). Από την απάντηση αποθηκεύονται η κατάσταση, η διεύθυνση προορισμού, ο τίτλος, 300 χαρακτήρες κειμένου και μια εικόνα· αφορούν το δοκιμαστικό μας μήνυμα.

Ο έλεγχος αρχείων διαβάζει το πολύ 8 KB από τυπικές διαδρομές. Εάν ένα dump βάσης δεδομένων είναι πράγματι εκτεθειμένο εκεί, αυτά τα 8 KB ενδέχεται να περιέχουν καταχωρίσεις φορμών από επισκέπτες. Ελέγχονται μόνο ως προς μια υπογραφή και απορρίπτονται (cfg/dateien_lib.php)· αποθηκεύονται η διαδρομή, ο τύπος και η σοβαρότητα.

Πιθανότητα – απίθανη. Σοβαρότητα – σημαντική. Επίπεδο – χαμηλό. Σύμφωνα με τη μέτρηση στο σύστημα ανάπτυξης, υπάρχει ένας ενεργός έλεγχος στο σύνολο δεδομένων, χωρίς αποδεκτή υποβολή.

R10 – Κατάταξη από γλωσσικό μοντέλο

Για φόρμες που δεν αναγνωρίζουν οι κανόνες, το γλωσσικό μοντέλο λαμβάνει τον τίτλο της σελίδας, τη διεύθυνση, τα κείμενα των κουμπιών, τις περιγραφές των πεδίων και έως 400 χαρακτήρες κειμένου της φόρμας (scanner/src/classify.js). Σε αυτά μπορεί να περιλαμβάνεται ένα όνομα, για παράδειγμα «Ο υπεύθυνος επικοινωνίας σας: …». Εκτελείται στον δικό μας διακομιστή· στον κώδικα, τίποτα δεν πηγαίνει σε τρίτο. Το εάν το λογισμικό του μοντέλου καταγράφει αιτήματα δεν έχει επαληθευτεί. Το αποτέλεσμά του καθορίζει μόνο τον εμφανιζόμενο τύπο φόρμας και δεν μπορεί να καταστήσει μια φόρμα υποβλητέα· μια εσφαλμένη κατάταξη οδηγεί σε χειρότερο εύρημα, όχι σε ενέργεια.

Πιθανότητα – απίθανη. Σοβαρότητα – περιορισμένη. Επίπεδο – χαμηλό.

R11 – Κοινή λίστα αποκλεισμού από αναφορές πολλών ιστότοπων

Ένας τομέας στη λίστα έχει ως αποτέλεσμα μηνύματα με συνδέσμους προς αυτόν να καταλήγουν σε καραντίνα σε όλους τους συνδεδεμένους ιστότοπους. Εάν ο τομέας ανήκει σε φυσικό πρόσωπο – έναν τεχνίτη, έναν φωτογράφο, ένα ιστολόγιο – τα μηνύματά του που περιέχουν σύνδεσμο προς τον δικό του ιστότοπο φθάνουν με καθυστέρηση στους αποδέκτες. Ένας τέτοιος τομέας μπορεί να καταλήξει στη λίστα επειδή τον καταχρώνται spammers, ή επειδή κάποιος αποστέλλει σκόπιμα σε πολλούς ιστότοπους μηνύματα που αποτυγχάνουν και τον περιέχουν.

Σε αυτό αντιπαρατίθενται (cfg/swarm_lib.php): ελάχιστος αριθμός τριών διαφορετικών ιστότοπων και πέντε εμφανίσεων εντός επτά ημερών· σταθερές εξαιρέσεις για μεγάλες υπηρεσίες· ποτέ οι τομείς των Πελατών μας· χειροκίνητη αφαίρεση μέσω εργαλείου στον διακομιστή· καραντίνα αντί για διαγραφή· η λίστα αναδημιουργείται καθημερινά, και ό,τι δεν αναφέρεται πλέον αφαιρείται. Οι θιγόμενοι δεν μπορούν να δουν τη λίστα και δεν έχουν δική τους οδό για να ζητήσουν την αφαίρεση, παρά μόνο μέσω εμάς.

Πιθανότητα – πιθανή. Σοβαρότητα – περιορισμένη, διότι δεν χάνεται τίποτα και ο παραλήπτης μπορεί να αποδεσμεύσει το μήνυμα. Επίπεδο – χαμηλό έως μεσαίο. Με ενεργοποιημένα δίκτυα IP, θα επηρεάζονταν δίκτυα ολόκληρων παρόχων, οι διευθύνσεις IP είναι δεδομένα προσωπικού χαρακτήρα, και η σοβαρότητα θα αυξανόταν σε σημαντική: υψηλό.

R12 – Αναφορές και στιγμιότυπα οθόνης σε δημόσιο σύνδεσμο

Οι αναφορές από τον δωρεάν έλεγχο, τον έλεγχο υποψήφιων πελατών και τους ελέγχους τομέων Πελατών είναι προσβάσιμες χωρίς σύνδεση σε έναν τυχαίο σύνδεσμο. Ο σύνδεσμος περιέχει 128 bit τυχαιότητας και δεν μπορεί να μαντευτεί (cfg/check_lib.php). Οι σελίδες φέρουν noindex, η εφαρμογή αποστέλλει πολιτική referrer που διαβιβάζει μόνο την προέλευση (www/.htaccess), και τα στιγμιότυπα οθόνης παραδίδονται μόνο μαζί με την αναφορά στην οποία ανήκουν· άλλος αριθμός εικόνας επιστρέφει «δεν βρέθηκε» (www/shot.php). Ο κίνδυνος δεν είναι κρυπτογραφικός αλλά ανθρώπινος: ένας σύνδεσμος προωθείται, αντιγράφεται σε ένα ticket, κοινοποιείται σε μια συνομιλία. Όποιος τον ανοίγει καταγράφεται μόνο στο αρχείο πρόσβασης σελίδων όπως κάθε προβολή σελίδας (60 ημέρες), στο οποίο ο ίδιος ο σύνδεσμος εμφανίζεται μόνο σε καλυμμένη μορφή· δεν υπάρχει λίστα αναγνωστών ανά αναφορά.

Πιθανότητα – πιθανή. Σοβαρότητα – περιορισμένη, διότι η αναφορά δείχνει μόνο δημόσιες πληροφορίες και λήγει μετά από 30 ή 90 ημέρες αντίστοιχα· οι αναφορές για τομείς Πελατών παραμένουν προσβάσιμες όσο υπάρχει ο έλεγχος (13 μήνες, ο τελευταίος περισσότερο). Επίπεδο – χαμηλό.

R13 – Αδυναμίες υποδομής

Τα ακόλουθα σημεία αναφέρονται ως ανοικτά στο εσωτερικό μας πακέτο επανεξέτασης και δεν αποσιωπώνται εδώ. Τα περιγράφουμε με την ακρίβεια που χρειάζονται οι Πελάτες για τη δική τους εκτίμηση, όχι όμως τόσο ακριβώς ώστε η περιγραφή να δείχνει τον δρόμο σε έναν επιτιθέμενο· θα παράσχουμε τις λεπτομέρειες σε εποπτική αρχή κατόπιν αιτήματος.

• Τα αντίγραφα ασφαλείας της βάσης δεδομένων αποθηκεύονται επί του παρόντος στην ίδια τοποθεσία με τη βάση δεδομένων και δεν είναι χωριστά κρυπτογραφημένα· σχεδιάζεται κρυπτογραφημένο αντίγραφο σε δεύτερη τοποθεσία (cfg/backup_lib.php). Έως τότε, δεν προστατεύουν από την απώλεια της τοποθεσίας, και όποιος αποκτήσει τη βάση δεδομένων αποκτά και τα αντίγραφα ασφαλείας. Τα διαπιστευτήρια για τη σάρωση πίσω από τη σύνδεση περιέχονται σε αυτά μόνο ως κρυπτογραφημένο κείμενο.
• Καμία κρυπτογράφηση της βάσης δεδομένων σε κατάσταση ηρεμίας. Εξαιρούνται τα πεδία που κρυπτογραφούνται μεμονωμένα (διαπιστευτήρια των δοκιμαστικών λογαριασμών, μυστικό δύο παραγόντων).
• Οι συνδέσεις εντός του εσωτερικού μας δικτύου δεν κρυπτογραφούνται σε όλη τη διαδρομή.
• Διαχείριση διακομιστών. Η ασφάλεια της διαχειριστικής πρόσβασης στους διακομιστές μας δεν ανταποκρίνεται ακόμη στο επίπεδο που επιδιώκουμε για τη λειτουργία· η θωράκιση της διαχείρισης των διακομιστών συνεχίζεται.
• Περιβάλλον ελέγχου. Ο διακομιστής σάρωσης ανοίγει ιστότοπους τρίτων σε πρόγραμμα περιήγησης. Τα containers ελέγχου είναι απομονωμένα – δικό τους δίκτυο, χωρίς ειδικά προνόμια, μόνο για ανάγνωση, με περιορισμούς (scanner/src/worker.js). Ο διαχωρισμός μεταξύ του περιβάλλοντος ελέγχου και των λοιπών τμημάτων της υπηρεσίας ενισχύεται περαιτέρω (ενότητα 9.3).

Πιθανότητα – πιθανή. Σοβαρότητα – σοβαρή, διότι σε περίπτωση έκτακτης ανάγκης θα επηρεάζονταν όλα ταυτόχρονα. Επίπεδο – υψηλό. Τα μεμονωμένα σημεία μπορούν να αντιμετωπιστούν με συνήθη μέσα (ενότητα 9.3).

R14 – Δικαιώματα των υποκειμένων των δεδομένων για πρόσωπα που δεν μας γνωρίζουν

Όποιος εμφανίζεται περιστασιακά σε ένα στιγμιότυπο οθόνης ή του οποίου το μήνυμα διήλθε από ένα αντίγραφο ελέγχου συνήθως δεν γνωρίζει ότι υπάρχουμε. Ακόμη και αν το γνωρίζει, δεν έχει κλειδί για τα «δικά του» δεδομένα: δεν τα αποθηκεύουμε ανά πρόσωπο αλλά ανά τομέα και έλεγχο. Μπορούμε να απαντήσουμε σε αίτημα πρόσβασης σύμφωνα με το άρθρο 15 μόνο εάν το πρόσωπο κατονομάσει τον τομέα· μπορούμε τότε να εξετάσουμε τους υπάρχοντες ελέγχους και τις εικόνες. Για γνήσια μηνύματα επισκεπτών δεν υπάρχει τίποτα προς γνωστοποίηση, διότι δεν τα αποθηκεύουμε – εκτός από τον τομέα αποστολέα του R1. Το opt-out λειτουργεί μόνο για διαχειριστές ενός τομέα, όχι για απεικονιζόμενα πρόσωπα· για αυτά παραμένει η οδός μέσω του contact@lukaswojcik.com.

Πιθανότητα – πολύ πιθανή ως δομική κατάσταση. Σοβαρότητα – περιορισμένη, διότι τα δεδομένα είναι βραχύβια και δεν είναι οργανωμένα ανά πρόσωπο. Επίπεδο – χαμηλό.

9. (d) Μέτρα για την αντιμετώπιση των κινδύνων

Κάθε μέτρο φέρει μια κατάσταση, και οι καταστάσεις δεν είναι διακοσμητικές. Υλοποιημένο σήμερα – επαληθευμένο σημαίνει: διαβάστηκε στον κώδικα του συστήματος ανάπτυξης και, όπου ήταν δυνατό, μετρήθηκε έναντι της βάσης δεδομένων. Μερικό σημαίνει: ο μηχανισμός υπάρχει αλλά δεν επιτυγχάνει ακόμη πλήρως τον σκοπό του. Σχεδιαζόμενο σημαίνει: προτείνεται από την παρούσα εκτίμηση και δεν έχει κατασκευαστεί· το εάν και πότε αποφασίζεται από τον ιδιοκτήτη. Προς καθορισμό είναι διαδικασίες και αποφάσεις που κανένας κώδικας δεν αντικαθιστά. Μια ΕΑΠΔ που παρουσιάζει σχεδιαζόμενα μέτρα ως υλοποιημένα χάνει την αξία της ακριβώς στην κατάσταση στην οποία χρειάζεται.

9.1 Υλοποιημένα σήμερα – επαληθευμένα

Μέτρο	Αντιμετωπίζει	Παραπομπή στην πηγή
Το robots.txt διαβάζεται από τον ανιχνευτή ιστού πριν από κάθε έλεγχο· ένας αποκλεισμός που καλύπτει την αρχική σελίδα, ένα μη προσβάσιμο robots.txt ή ένα σφάλμα διακομιστή τερματίζει τον έλεγχο (οι υποδιαδρομές δεν λαμβάνονται υπόψη μεμονωμένα· ο παλμός, η ανάκτηση της απόδειξης, το εργαλείο κεφαλίδων και η αναζήτηση αρχείων δεν το διαβάζουν)	R5, νομιμότητα	scanner/src/net.js
Opt-out χωρίς απόδειξη, με άμεση ισχύ, για τον τομέα και την παραλλαγή του με www, για ανώνυμους ελέγχους, υποψήφιους πελάτες, μελέτες και ελέγχους Πελατών (η τρέχουσα παρακολούθηση λήγει με τον επόμενο προγραμματισμένο έλεγχο)· ελέγχεται δύο φορές (εφαρμογή και υπηρεσία ελέγχου)· αίρεται μόνο από εμάς κατόπιν αιτήματος με απόδειξη	R5, R7, άρθρο 21	cfg/check_lib.php· cfg/akquise_lib.php· cfg/studie_lib.php· scanner/src/worker.js
Δωρεάν έλεγχος: διακοπή έκτακτης ανάγκης, reCAPTCHA, ένας έλεγχος ανά τομέα και εβδομάδα, όρια ανά διεύθυνση IP και συνεδρία, ημερήσιο ανώτατο όριο, κανένας νέος τομέας, μόνο δημόσιες διευθύνσεις, σημείωση και σήμα χωρίς περιεχόμενο σε περίπτωση ανωμαλιών	R5	cfg/check_lib.php
Για τα όρια, η συνεδρία αποθηκεύεται μόνο ως τιμή hash, ποτέ το αναγνωριστικό συνεδρίας	Ελαχιστοποίηση	cfg/check_lib.php
Καμία τιμή πεδίων (οι αρχές κρυφών πεδίων και χαρακτηριστικών δεδομένων διαβάζονται μόνο κατά τον έλεγχο, ενότητα 6.2)· διευθύνσεις αποδεκτών μόνο ως τομέας· αναγνωριστικά λογαριασμών σε διευθύνσεις scripts κρυμμένα	Ελαχιστοποίηση	scanner/src/crawl.js
Η δωρεάν αναφορά είναι απόσπασμα: μόνο βασικά ευρήματα, κανένα τεκμήριο από όλους τους ανιχνευτές	R5	cfg/check_lib.php, FE_FREE_DETEKTOREN
Αναφορές σε τυχαίο σύνδεσμο 128 bit, noindex, εικόνες μόνο για τη δική τους αναφορά, εκτός του δημόσιου καταλόγου ιστού· ο σύνδεσμος εμφανίζεται στο αρχείο πρόσβασης σελίδων μόνο σε καλυμμένη μορφή	R12	cfg/check_lib.php· www/report.php· www/shot.php
Διαγραφή: ανώνυμες αναφορές μετά από 30 ημέρες, υποψήφιοι πελάτες μετά από 90 ημέρες, έλεγχοι Πελατών μετά από 13 μήνες (ο τελευταίος ανά τομέα διατηρείται όσο υπάρχει ο τομέας), τα δεδομένα ενός διαγραμμένου τομέα αμέσως (για τις εξαιρέσεις βλ. ενότητα 6.11), οι εικόνες σε κάθε περίπτωση μαζί τους	Περιορισμός της περιόδου αποθήκευσης	cfg/check_lib.php· cfg/fristen_lib.php
Μελέτη: δημοσίευση μόνο ως σύνολο, τμήματα μόνο από 20 ιστότοπους με φόρμα και άνω, τα ακατέργαστα δεδομένα διαγράφονται κατά τη δημοσίευση	R4 εν μέρει, P3	cfg/studie_lib.php
Containers ελέγχου: δικό τους απομονωμένο δίκτυο, χωρίς ειδικά προνόμια, μόνο για ανάγνωση, όρια μνήμης και διεργασιών, χρονικό όριο· φίλτρο κατά ιδιωτικών προορισμών για κάθε αίτημα, αποκλεισμός service workers και κλείσιμο συνδέσεων WebSocket ώστε να μην παρακάμπτεται το φίλτρο· αιτήματα από τον διακομιστή ιστού μόνο σε θύρες ιστού και μόνο ακριβώς προς τη δημόσια διεύθυνση που ελέγχθηκε προηγουμένως	R13	scanner/src/worker.js· scanner/src/net.js
Ενεργός έλεγχος για Πελάτες μόνο για επαληθευμένο τομέα (εσωτερικά και για τους δικούς μας τομείς δοκιμών και επίδειξης) και με ενεργοποιημένη τη διακοπή έκτακτης ανάγκης, ελεγχόμενο δύο φορές· το πολύ πέντε υποβολές· μόνο σαφώς αναγνωρισμένες φόρμες επικοινωνίας χωρίς υποχρεωτικά δεδομένα προσωπικού χαρακτήρα· κανένας τομέας δημόσιων αρχών, εκπαιδευτικών ιδρυμάτων, κλινικών, ιατρείων, αστυνομίας ή δικαστηρίων· το γλωσσικό μοντέλο δεν μπορεί να αποδεσμεύσει τίποτα· δοκιμαστικό μήνυμα χωρίς δεδομένα προσωπικού χαρακτήρα, επισημασμένο, με παραπομπή στη σελίδα του ανιχνευτή ιστού και στο opt-out	R9	scanner/src/worker.js· scanner/src/classify.js· scanner/src/active.js
Διαδρομές προγράμματος περιήγησης: μόνο GET και HEAD, επικίνδυνες διευθύνσεις αποκλεισμένες, οι επινοημένες τιμές δεν εγκαταλείπουν το πρόγραμμα περιήγησης, εικόνες με μαυρισμένα πεδία εισόδου	R3 (για αυτές τις εικόνες), R9	scanner/src/browser.js
Έλεγχος αρχείων: μόνο επαληθευμένοι τομείς, μία ανάκτηση ανά διαδρομή, το πολύ 8 KB, το περιεχόμενο δεν αποθηκεύεται ποτέ	R9	cfg/dateien_lib.php
Δεύτερος ανιχνευτής (probe): απενεργοποιημένος από προεπιλογή· θα λάμβανε μόνο μια σταθερή λίστα αβλαβών στοιχείων, υπογεγραμμένη	Αποδέκτες	cfg/formular_probe_lib.php
Σάρωση πίσω από τη σύνδεση: μόνο επαληθευμένος τομέας, πακέτο επί πληρωμή, κάτοχος ή διαχειριστής, επιβεβαίωση «δοκιμαστικός λογαριασμός»· κρυπτογράφηση με το δημόσιο κλειδί του διακομιστή σάρωσης, δεσμευμένη στον τομέα· τα διαπιστευτήρια δεν εμφανίζονται, δεν καταγράφονται και δεν εξάγονται ποτέ μέσω του API· παράδοση μόνο μέσω της τυπικής εισόδου· το πεδίο στην εργασία διαγράφεται αμέσως, υπολείμματα μετά από μία ώρα· κανένα στιγμιότυπο οθόνης, καμία υποβολή, καμία διεύθυνση αποσύνδεσης ή διαγραφής, διακοπή σε περίπτωση CAPTCHA· οριστική διαγραφή με αντικατάσταση	R8	cfg/login_lib.php· scanner/src/login.js· scanner/src/geheim.js· scanner/src/worker.js
Έλεγχος παράδοσης: απενεργοποιημένος από προεπιλογή· η ανάκτηση διαβάζει μόνο κεφαλίδες και 8 KB, χωρίς σήμανση ανάγνωσης· περιεχόμενο και διεύθυνση επισκέπτη ποτέ στη βάση δεδομένων· κάθε ανακτηθέν e-mail διαγράφεται, συμπεριλαμβανομένων των μη αντιστοιχίσιμων· οι αντιστοιχίσεις διαγράφονται μετά από 180 ημέρες· απόδειξη μόνο μέσω του αντιγράφου ακριβώς αυτής της δοκιμής	R1, R2	cfg/zustellung_lib.php
Προστασία σμήνους: μόνο τομείς, δίκτυα IP απενεργοποιημένα· ελάχιστοι αριθμοί· εξαιρέσεις για μεγάλες υπηρεσίες και τομείς Πελατών· καραντίνα αντί για διαγραφή· η λίστα αναδημιουργείται καθημερινά· οι αναφορές διαγράφονται μετά από 30 ημέρες	R11	cfg/swarm_lib.php
Γλωσσικό μοντέλο στον δικό μας διακομιστή, χωρίς δικαίωμα υποβολής	R10	scanner/src/classify.js
Τα σήματα μέσω Telegram περιέχουν μόνο μια σταθερή πρόταση χωρίς μεταβλητές	Αποδέκτες	cfg/check_lib.php
Εβδομαδιαία δοκιμή επαναφοράς του αντιγράφου ασφαλείας, με ειδοποίηση σε περίπτωση αποτυχίας	Διαθεσιμότητα	cfg/backup_lib.php· srv/cron_status.php

9.2 Μερικά – σε ισχύ, αλλά δεν επιτυγχάνουν ακόμη τον σκοπό τους

Μέτρο	Γιατί δεν είναι ακόμη πλήρως αποτελεσματικό
«Καθαρισμένα» στιγμιότυπα οθόνης	Μαυρίζονται μόνο οι εικόνες από τις διαδρομές προγράμματος περιήγησης. Οι εικόνες του ανιχνευτή ιστού – αρχική σελίδα και στοιχεία φορμών – και η εικόνα της σελίδας απάντησης από έναν ενεργό έλεγχο όχι (R3).
Περίοδοι για δεδομένα ελέγχων	Αποτελεσματικές για ανώνυμους ελέγχους, ελέγχους υποψήφιων πελατών και ελέγχους Πελατών· όχι για εσωτερικούς ελέγχους και μη δημοσιευμένες μελέτες· μη επιλυμένες σημειώσεις ανωμαλιών χωρίς χρονικό όριο (R4).
Διαγραφή των αντιγράφων ελέγχου	Αποτελεσματική στη δική μας οπτική του γραμματοκιβωτίου. Εάν η εκτέλεση διακοπεί, τα e-mail παραμένουν· το τι διατηρεί ο πάροχος του γραμματοκιβωτίου στα δικά του αντίγραφα ασφαλείας δεν έχει επαληθευτεί (R2).
Προστασία των διαπιστευτηρίων στη σάρωση πίσω από τη σύνδεση	Ισχυρή σε κατάσταση ηρεμίας και στην υπηρεσία ελέγχου· όχι στη διαδρομή προς τον ιστότοπο: επιτρέπεται το http, τα σφάλματα πιστοποιητικού αγνοούνται (R8).
Απόδειξη κυριότητας	Ελέγχεται μία φορά και στη συνέχεια ισχύει για πάντα· το όνομα host ενός τομέα με απόδειξη κυριότητας δεν μπορεί, ωστόσο, να αλλάξει, ώστε η απόδειξη να μη μεταφέρεται σε άλλο host (R7).
Ενημέρωση των υποκειμένων των δεδομένων	Σε ισχύ για τους διαχειριστές μέσω της σελίδας του ανιχνευτή ιστού, του αναγνωριστικού, της Πολιτικής Απορρήτου και του opt-out· για τους επισκέπτες στον έλεγχο παράδοσης, εξαρτάται από το εάν ο Πελάτης υιοθετεί το τμήμα κειμένου· η εφαρμογή δεν το ελέγχει.
Παράκληση προς τους Πελάτες να μην εισάγουν ειδικές κατηγορίες στο αντίγραφο ελέγχου	Αναφέρεται στα νομικά έγγραφα, αλλά δεν υποστηρίζεται τεχνικά: κατά τη ρύθμιση, η εφαρμογή δεν ρωτά για το είδος του ιστότοπου και δεν προειδοποιεί για τομείς που μοιάζουν με υγεία, δίκαιο ή εκπαίδευση (R1).

9.3 Σχεδιαζόμενα – μη υλοποιημένα

Μέτρο	Αντιμετωπίζει	Προτεραιότητα
Οδός διαγραφής για εσωτερικούς ελέγχους: διαγραφή ελέγχων χωρίς τομέα και χωρίς αναφορά μετά από σταθερή περίοδο (πρόταση: 30 ημέρες)· διαγραφή των ακατέργαστων δεδομένων μιας μελέτης το αργότερο σταθερή περίοδο μετά την ολοκλήρωσή της, ακόμη και χωρίς δημοσίευση (πρόταση: 90 ημέρες)· εφάπαξ διαγραφή των υπαρχόντων 85 ελέγχων με 369 εικόνες	R4	Πρώτη
Ενεργοποίηση του ελέγχου παράδοσης μόνο αφού συναφθεί η σύμβαση με τον πάροχο του γραμματοκιβωτίου, τεκμηριωθούν οι τόποι αποθήκευσης, οι υπεκτελούντες την επεξεργασία και οι περίοδοι τήρησης αντιγράφων ασφαλείας, διευκρινιστεί ο μηχανισμός διαβίβασης για τον πάροχο του γραμματοκιβωτίου και οι εγγραφές MX του τομέα μας παραπέμπουν απευθείας στο γραμματοκιβώτιο· έως τότε, η λειτουργία παραμένει αποκλεισμένη στο παραγωγικό σύστημα	R2	Πρώτη
Έλεγχος της ασφάλειας της ανάκτησης του γραμματοκιβωτίου στο παραγωγικό σύστημα και τεκμηρίωσή της πριν από την ενεργοποίηση του ελέγχου παράδοσης	R2	Πρώτη
Σάρωση πίσω από τη σύνδεση μόνο μέσω https και με έγκυρο πιστοποιητικό· απόρριψη διευθύνσεων http· σφάλματα πιστοποιητικού κατά τη σύνδεση ως λόγος διακοπής	R8	Πρώτη
Μη αποθήκευση τιμών κρυφών πεδίων πίσω από τη σύνδεση (μόνο όνομα, τύπος και μήκος) – ήδη υλοποιημένο με αυτόν τον τρόπο, κανένα περαιτέρω βήμα	R8	Ολοκληρώθηκε
Περιορισμός του αντιγράφου ελέγχου σε δοκιμαστικά μηνύματα όπου χρησιμοποιείται το πρόσθετο ή η επέκταση: κρυφή κοινοποίηση μόνο για υποβολές με το αναγνωριστικό της δοκιμής μας	R1	Υψηλή
Μη αποθήκευση του τομέα αποστολέα γνήσιων μηνυμάτων και μη εγγραφή του σε ειδοποιήσεις εάν δεν είναι ούτε ο τομέας του ιστότοπου ούτε τομέας γνωστής υπηρεσίας αποστολής· στην ειδοποίηση, αντ' αυτού «ξένος τομέας αποστολέα»	R1	Υψηλή
Προειδοποίηση κατά τη ρύθμιση του ελέγχου παράδοσης για τομείς που μοιάζουν με υγεία, δίκαιο, κοινωνικές υπηρεσίες ή εκπαίδευση, με παραπομπή στη δική του ΕΑΠΔ του Πελάτη	R1	Υψηλή
Τακτική ανανέωση της απόδειξης κυριότητας (πρόταση: πριν από κάθε ενεργό έλεγχο, επαλήθευση εάν υπάρχει ακόμη η εγγραφή DNS, το meta tag, το αρχείο ή η σύνδεση του πρόσθετου· διαφορετικά συνέχιση σε παθητική λειτουργία και ειδοποίηση του Πελάτη)	R7	Υψηλή
Διακοπή της φωτογράφισης της αρχικής σελίδας, ή μόνο με μαυρισμένες εικόνες και πρόσωπα· περιορισμός των εικόνων φορμών στο στοιχείο της φόρμας (όπως σήμερα) και κάλυψη των πεδίων εισόδου όπως στις διαδρομές προγράμματος περιήγησης	R3	Υψηλή
Επισήμανση στη διεπαφή του ελέγχου υποψήφιων πελατών: η αυτόκλητη αποστολή του σύντομου ευρήματος μέσω e-mail ή τηλεφώνου αποτελεί απευθείας εμπορική προώθηση ακόμη και μεταξύ επιχειρήσεων και απαιτεί προηγούμενη συγκατάθεση (άρθρο 398 του πολωνικού νόμου για τις ηλεκτρονικές επικοινωνίες· στη Γερμανία § 7(2) UWG, αν και για κλήσεις προς επιχειρήσεις αρκεί η τεκμαιρόμενη συγκατάθεση)	R6	Υψηλή
Υποδομή: ολοκλήρωση της θωράκισης της διαχείρισης των διακομιστών· κρυπτογραφημένο αντίγραφο του αντιγράφου ασφαλείας σε δεύτερη τοποθεσία· κρυπτογράφηση των συνδέσεων στο εσωτερικό δίκτυο σε όλη τη διαδρομή· περαιτέρω ενίσχυση του διαχωρισμού μεταξύ του διακομιστή σάρωσης και της εφαρμογής	R13	Υψηλή
Περίοδος για μη επιλυμένες σημειώσεις ανωμαλιών (πρόταση: επίλυση εντός 30 ημερών, διαφορετικά διαγραφή της διεύθυνσης IP)	R4	Μεσαία
Σελίδα ή φόρμα μέσω της οποίας μπορεί κάποιος να ζητήσει την αφαίρεση ενός τομέα από την προστασία σμήνους	R11, R14	Μεσαία
Πριν από την ενεργοποίηση δικτύων IP στην προστασία σμήνους: νέα έκδοση της παρούσας εκτίμησης	R11	Προϋπόθεση
Καταγραφή του εάν το λογισμικό του γλωσσικού μοντέλου αποθηκεύει αιτήματα και, εάν ναι, απενεργοποίηση αυτών των αρχείων καταγραφής	R10	Χαμηλή

9.4 Διαδικασίες και αποφάσεις προς καθορισμό

Πέραν των τεχνικών εγγυήσεων, το άρθρο 35(7)(d) απαιτεί επίσης διαδικασίες. Οι ακόλουθες εκκρεμούν ακόμη:

• Παραβίαση δεδομένων προσωπικού χαρακτήρα. Εντοπισμός: ο ιδιοκτήτης, η ειδοποίηση σφαλμάτων της εφαρμογής, αναφορές μέσω του σημείου αναφοράς ευπαθειών ή του contact@lukaswojcik.com. Απόφαση για γνωστοποίηση στην UODO εντός 72 ωρών (άρθρο 33(1)): ο ιδιοκτήτης. Ενημέρωση των θιγόμενων Πελατών ως υπευθύνων επεξεργασίας: χωρίς αδικαιολόγητη καθυστέρηση, ει δυνατόν εντός 48 ωρών, όπως υπόσχεται η Σύμβαση Επεξεργασίας Δεδομένων. Προς καθορισμό: γραπτή περιγραφή της διαδικασίας και μια πρώτη άσκηση· για τον έλεγχο παράδοσης, επιπλέον, πώς θα διαπιστώνεται ποιοι Πελάτες θίγονται από παραβίαση στον πάροχο του γραμματοκιβωτίου.
• Κλάδοι. Προς καθορισμό: εάν ο έλεγχος παράδοσης προσφέρεται, προσφέρεται με προειδοποίηση ή αποκλείεται για ιστότοπους από τους τομείς της υγείας, του δικαίου, των κοινωνικών υπηρεσιών και της εκπαίδευσης.
• Εσωτερικοί έλεγχοι. Προς καθορισμό: για τι χρησιμοποιεί ο πάροχος τους εσωτερικούς ελέγχους από τη γραμμή εντολών, ποιος μπορεί να τους δημιουργεί και για πόσο παραμένουν τα αποτελέσματά τους· και εάν, πέραν των Αρχείων Δραστηριοτήτων Επεξεργασίας, πρέπει να κατονομάζονται στην Πολιτική Απορρήτου.
• Μελέτες. Προς καθορισμό: ποιος καταρτίζει τις λίστες, από ποιες πηγές, με ποιο μέγιστο μέγεθος, καθώς και έλεγχος πριν από κάθε μελέτη ως προς το εάν συνάδει με τις παραδοχές της παρούσας εκτίμησης.
• Απόψεις των υποκειμένων των δεδομένων (άρθρο 35(9)). Δεν ζητήθηκαν για την παρούσα έκδοση. Το άρθρο 35(9) απαιτεί να ζητούνται μόνο «όπου ενδείκνυται»· κατά την εκτίμησή μας, αυτό δεν ισχύει επί του παρόντος εδώ. Οι διαχειριστές ελεγμένων ιστότοπων και οι επισκέπτες ιστότοπων Πελατών δεν έχουν δικό τους δίαυλο επικοινωνίας μαζί μας· η στοχευμένη προσέγγισή τους θα αποτελούσε η ίδια νέα επεξεργασία των δεδομένων τους, και η υπηρεσία δεν έχει ακόμη τεθεί σε λειτουργία, οπότε δεν υπάρχει ακόμη ομάδα πραγματικών υποκειμένων των δεδομένων. Τα συμφέροντά τους λαμβάνονται υπόψη εμμέσως: μέσω του robots.txt και του opt-out, μέσω των σύντομων περιόδων και μέσω του γεγονότος ότι το περιεχόμενο των αντιγράφων ελέγχου δεν αποθηκεύεται. Σε κάθε επανεξέταση σύμφωνα με την ενότητα 12 επανεξετάζουμε εάν ενδείκνυται να ζητηθούν οι απόψεις τους, για παράδειγμα μέσω σχολίων στη σελίδα του ανιχνευτή ιστού ή από Πελάτες του ελέγχου παράδοσης.

10. Υπολειπόμενος κίνδυνος και προηγούμενη διαβούλευση σύμφωνα με το άρθρο 36

Το άρθρο 36(1) απαιτεί προηγούμενη διαβούλευση με την εποπτική αρχή όταν η ΕΑΠΔ υποδεικνύει ότι η επεξεργασία θα προκαλούσε υψηλό κίνδυνο ελλείψει μέτρων μετριασμού του κινδύνου από τον υπεύθυνο επεξεργασίας. Το ερώτημα επομένως δεν είναι εάν εντοπίστηκαν υψηλοί κίνδυνοι – εντοπίστηκαν τέσσερις – αλλά εάν παραμένει υψηλός κίνδυνος όταν τα μέτρα είναι σε ισχύ.

Για τις πράξεις επεξεργασίας για τις οποίες το formexposed είναι υπεύθυνος επεξεργασίας (P1 έως P4, P7), οι υψηλοί κίνδυνοι R4 και R13 μπορούν να αντιμετωπιστούν με συνήθη μέσα: μια οδό διαγραφής και εκκαθάριση των υπαρχόντων δεδομένων, ένα κρυπτογραφημένο αντίγραφο ασφαλείας εκτός τοποθεσίας και τη θωράκιση δύο διακομιστών. Με τα μέτρα της ενότητας 9.3, μειώνονται σε χαμηλό έως μεσαίο. Οι R3, R5, R6 και R7 βρίσκονται σε μεσαίο επίπεδο και μειώνονται σε χαμηλό με τα προτεινόμενα μέτρα. Η προστασία σμήνους χωρίς δίκτυα IP παραμένει χαμηλή έως μεσαία. Η προηγούμενη διαβούλευση δεν ενδείκνυται για το μέρος αυτό εάν τα μέτρα με την επισήμανση «πρώτη» και «υψηλή» υλοποιηθούν πριν από την έναρξη λειτουργίας. Εάν οποιοδήποτε από αυτά τα μέτρα δεν έχει υλοποιηθεί πριν από την έναρξη λειτουργίας, παραμένει υψηλός κίνδυνος για τη σχετική πράξη επεξεργασίας. Η πράξη αυτή θα ξεκινήσει τότε μόνο αφού υλοποιηθεί το μέτρο, ή θα ζητηθεί πρώτα διαβούλευση με την UODO σύμφωνα με το άρθρο 36(1).

Για τον έλεγχο παράδοσης (P6), η κατάσταση είναι διαφορετική, για έναν λόγο που κανένα μέτρο δεν εξαλείφει πλήρως: τι γράφει ένας επισκέπτης εναπόκειται σε αυτόν. Με συναφθείσα σύμβαση, ασφαλή ανάκτηση, περιορισμό σε δοκιμαστικά μηνύματα όπου είναι δυνατό και παραίτηση από τον τομέα αποστολέα, ο R2 μειώνεται σε χαμηλό και ο R1 σε μεσαίο. Για Πελάτες των οποίων οι επισκέπτες παρέχουν τυπικά δεδομένα του άρθρου 9, ο R1 μπορεί παρ' όλα αυτά να παραμείνει υψηλός. Η υποχρέωση διαβούλευσης βαρύνει τότε τον Πελάτη ως υπεύθυνο επεξεργασίας, όχι το formexposed. Η σύστασή μας προς τέτοιους Πελάτες είναι να μη ρυθμίζουν το αντίγραφο ελέγχου για τη γενική φόρμα επικοινωνίας, αλλά μόνο για φόρμες χωρίς ευαίσθητο περιεχόμενο, ή να μη χρησιμοποιούν τον έλεγχο παράδοσης.

Υπολειπόμενος κίνδυνος, με ειλικρίνεια. Σήμερα, με τα μέτρα της ενότητας 9.1, τέσσερις κίνδυνοι βρίσκονται σε υψηλό επίπεδο: R1 και R2 (έλεγχος παράδοσης), R4 (δεδομένα ελέγχων χωρίς οδό διαγραφής) και R13 (υποδομή). Με τα μέτρα της ενότητας 9.3, οι R2, R4 και R13 μειώνονται σε χαμηλό έως μεσαίο. Ο R1 παραμένει σε μεσαίο και εξαρτάται μόνιμα από αποφάσεις των Πελατών. Κανένας από τους λοιπούς κινδύνους δεν βρίσκεται πάνω από μεσαίο μετά τα μέτρα.

Το άρθρο 36 δεν είναι κύρωση, και η διαβούλευση δεν είναι ομολογία. Είναι η οδός που προβλέπει ο Κανονισμός για την κατάσταση στην οποία μια χρήσιμη διαδικασία ενέχει κίνδυνο που ο υπεύθυνος επεξεργασίας δεν ελέγχει πλήρως. Ένας Πελάτης που θέλει να χρησιμοποιήσει τον έλεγχο παράδοσης για μηνύματα που περιέχουν δεδομένα υγείας θα βρει εδώ τα στοιχεία για την απόφαση αυτή.

11. Τι χρειάζονται οι Πελάτες για τη δική τους ΕΑΠΔ (άρθρο 28(3)(f))

Για τον έλεγχο παράδοσης και τη σάρωση πίσω από τη σύνδεση, ο Πελάτης είναι ο υπεύθυνος επεξεργασίας. Η παρούσα σελίδα του παρέχει την περιγραφή (ενότητες 6.5 και 6.6), τους κινδύνους από τη δική μας οπτική (R1, R2, R8) και την κατάσταση των μέτρων (ενότητα 9). Μόνο ο Πελάτης μπορεί να απαντήσει στα ακόλουθα ερωτήματα:

1. Τι γράφουν οι επισκέπτες μου; Αναμένεται να εισέρχονται μέσω της φόρμας δεδομένα για υγεία, θρησκεία, καταγωγή, συμμετοχή σε συνδικαλιστική οργάνωση, γενετήσιο προσανατολισμό, ποινικά αδικήματα ή για παιδιά; Τότε απαιτείται κατά κανόνα ΕΑΠΔ για το αντίγραφο ελέγχου, και το αντίγραφο ελέγχου για τη φόρμα αυτή θα πρέπει να επανεξεταστεί.
2. Χρειάζομαι το αντίγραφο ελέγχου για όλα τα μηνύματα; Για να αποδειχθεί ότι το δοκιμαστικό μας μήνυμα φθάνει, αρκεί για το μήνυμα αυτό. Όπου το επιτρέπει η φόρμα, ορίστε την κρυφή κοινοποίηση μόνο για δοκιμαστικά μηνύματα.
3. Πώς ενημερώνω τους επισκέπτες μου; Η Σύμβαση Επεξεργασίας Δεδομένων το απαιτεί· το Κείμενο πολιτικής απορρήτου για τον ιστότοπό σας περιγράφει τη διαδρομή του αντιγράφου και τον ρόλο μας.
4. Ποια νομική βάση έχω; Το προτεινόμενο κείμενό μας αναφέρει το άρθρο 6(1)(f) (αξιόπιστη παραλαβή αιτημάτων). Για δεδομένα του άρθρου 9, η βάση αυτή από μόνη της δεν αρκεί.
5. Ποια κανάλια ειδοποιήσεων επιλέγω; Οι ειδοποιήσεις από τον έλεγχο γνησιότητας μπορούν να κατονομάζουν τον τομέα του αποστολέα. Όποιος αποστέλλει ειδοποιήσεις σε υπηρεσίες συνομιλίας εκτός ΕΕ τον διαβιβάζει εκεί.
6. Για τη σάρωση πίσω από τη σύνδεση: Είναι ο δοκιμαστικός λογαριασμός πράγματι δοκιμαστικός λογαριασμός με τα ελάχιστα απαραίτητα δικαιώματα; Είναι η σελίδα σύνδεσης προσβάσιμη μόνο μέσω https; Βλέπει ο δοκιμαστικός λογαριασμός δεδομένα άλλων χρηστών; Εάν ναι: σε ποιες από τις καθορισμένες σελίδες;
7. Πότε διαγράφω; Ο έλεγχος παράδοσης και ο δοκιμαστικός λογαριασμός μπορούν να απενεργοποιηθούν και να διαγραφούν ανά πάσα στιγμή· ο δοκιμαστικός λογαριασμός αντικαθίσταται τότε οριστικά.

Περαιτέρω έγγραφα για την εκτίμηση του Πελάτη: η Σύμβαση Επεξεργασίας Δεδομένων, τα τεχνικά και οργανωτικά μέτρα, η λίστα των υπεκτελούντων την επεξεργασία και τα Αρχεία Δραστηριοτήτων Επεξεργασίας. Απαντούμε σε ερωτήματα για μεμονωμένα στοιχεία στη διεύθυνση contact@lukaswojcik.com.

12. Επανεξέταση, έκδοση και έγκριση

Το άρθρο 35(11) απαιτεί επανεξέταση για να εκτιμηθεί εάν η επεξεργασία διενεργείται σύμφωνα με την ΕΑΠΔ, τουλάχιστον όταν μεταβάλλεται ο κίνδυνος. Επανεξετάζουμε την παρούσα εκτίμηση τουλάχιστον ετησίως και επίσης πριν από καθένα από τα ακόλουθα γεγονότα· καθένα ενεργοποιεί νέα μέτρηση, όχι απλώς ανάγνωση:

• έναρξη της παραγωγικής λειτουργίας, με αριθμητικά στοιχεία από το παραγωγικό σύστημα αντί του συστήματος ανάπτυξης·
• πρώτη ενεργοποίηση του ελέγχου παράδοσης στο παραγωγικό σύστημα και σύναψη της σύμβασης με τον πάροχο του γραμματοκιβωτίου·
• ενεργοποίηση δικτύων IP στην προστασία σμήνους·
• η πρώτη μελέτη, και κάθε μελέτη με μεγαλύτερη λίστα από την προηγούμενη·
• ενεργοποίηση του δεύτερου ανιχνευτή (probe) ή νέος αποδέκτης στη διαδρομή ελέγχου·
• κάθε νέα χρήση του γλωσσικού μοντέλου που υπερβαίνει την κατάταξη φορμών και το «Fix it for me»·
• κάθε αλλαγή στα στιγμιότυπα οθόνης, στις περιόδους ή στις προϋποθέσεις για ενεργούς ελέγχους.

Στοιχείο	Καταχώριση
Υπεύθυνος επεξεργασίας	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Πολωνία · NIP 7252266190 · contact@lukaswojcik.com
Αρμόδια εποπτική αρχή	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Πολωνία
Υπεύθυνος προστασίας δεδομένων	Δεν έχει οριστεί· εκτίμηση σύμφωνα με το άρθρο 37 στην ενότητα 4
Βάση των στοιχείων	Πηγαίος κώδικας της εφαρμογής και της υπηρεσίας ελέγχου, σχήμα βάσης δεδομένων, πλήθη γραμμών και ρυθμίσεις του συστήματος ανάπτυξης, μετρημένα στις 11 Οκτωβρίου 2026, μόνο για ανάγνωση
Σχετικά έγγραφα	Πολιτική Απορρήτου, Σύμβαση Επεξεργασίας Δεδομένων, Τεχνικά και Οργανωτικά Μέτρα, Υπεκτελούντες την επεξεργασία, Αρχεία Δραστηριοτήτων Επεξεργασίας, Κανονισμός της ΕΕ για την ΤΝ, Αποδεκτή χρήση και κατάχρηση, FormExposedBot, Opt-out
Έκδοση	1.0 της 11ης Οκτωβρίου 2026, πρώτη έκδοση
Επανεξετάσεις σύμφωνα με το άρθρο 35(11)	Καμία ακόμη (πρώτη έκδοση). Κάθε επανεξέταση καταχωρίζεται εδώ με ημερομηνία, αιτία και αποτέλεσμα.
Έγκριση	Δεν έχει ακόμη εγκριθεί. Έγκριση από τον ιδιοκτήτη μετά τον νομικό έλεγχο και μετά από απόφαση για τα μέτρα της ενότητας 9.3 και τα ερωτήματα της ενότητας 9.4. Εξωτερική συμβουλή για την προστασία δεδομένων δεν έχει ζητηθεί μέχρι στιγμής.

Μια καταληκτική παρατήρηση ανήκει στο έγγραφο και όχι σε μια συνοδευτική επιστολή. Τα τμήματα του formexposed που εισχωρούν περισσότερο σε ξένους χώρους – οι δοκιμαστικές υποβολές και η σύνδεση με τα διαπιστευτήρια κάποιου άλλου – είναι κατασκευασμένα με τη μεγαλύτερη προσοχή: δύο φραγμοί, αυστηρά ανώτατα όρια, κρυπτογράφηση που κλειδώνει ακόμη και εμάς έξω. Οι κίνδυνοι της παρούσας εκτίμησης βρίσκονται κυρίως αλλού: σε ό,τι συμπεριλαμβάνεται παρεμπιπτόντως – γνήσια μηνύματα σε μια κρυφή κοινοποίηση, άνθρωποι σε ένα στιγμιότυπο οθόνης, έλεγχοι που κανείς δεν διαγράφει πλέον. Αυτό αποτελεί ευνοϊκή αφετηρία, διότι το παρεμπίπτον μπορεί να σταματήσει χωρίς να αλλάξει η υπηρεσία.