Andmekaitsealane mõjuhinnang (IKÜM art 35)

See dokument on avaldatud mitmes keeles. Keeleversioonide vahelise lahknevuse korral on siduv poolakeelne versioon.

Versioon 1.0 · Viimati uuendatud: 16. oktoober 2026

1. Millest on jutt ja mis see leht on

See leht on formexposed andmekaitsealane mõjuhinnang (DPIA) IKÜM art 35 alusel. Esmalt vastab see eelküsimusele, kas mõjuhinnang on üldse vajalik – iga töötlemistoimingu kohta eraldi, mitte teenuse kui terviku kohta. Kui vastus on jaatav, tehakse hindamine art 35(7) punktide (a)–(d) kohaselt: süstemaatiline kirjeldus, vajalikkus ja proportsionaalsus, riskid andmesubjektidele ning meetmed nende käsitlemiseks. Sellele järgnevad jääkrisk, art 36 kohase eelneva konsulteerimise küsimus ja läbivaatamise reeglid.

Art 35 ei nõua mõjuhinnangu avaldamist. Avaldame selle kahel põhjusel. Esiteks vajavad Kliendid, kes kasutavad kohaletoimetamise kontrolli või skaneerimist sisselogimise taga, oma hindamiseks fakte, mida teame ainult meie; volitatud töötlejana oleme need faktid neile niikuinii võlgu (IKÜM art 28(3)(f)). Teiseks kontrollib meie roomaja veebisaite, mille haldajad meid ei tunne. Nad peaksid saama lugeda, milliseid riske me nende ja nende lehtedel olevate inimeste jaoks näeme ning mida me nende suhtes ette võtame.

Õiguslik olemus. See mõjuhinnang on vastutava töötleja IKÜM art 35 kohane dokumentatsioon, mille avaldame vabatahtlikult. See ei ole ühegi lepingu osa ega kujuta endast Klientide ega kolmandate isikute suhtes mingit kinnitust, garantiid ega kvaliteedikokkulepet. Milliseid teenuseid ja kaitsemeetmeid me Klientidele võlgneme, sätestavad Kasutustingimused, Isikuandmete töötlemise leping ja selle lisad; nende kohustuste osas on need ülimuslikud selle lehe suhtes. Leht kirjeldab olukorda selle versiooni kuupäeva seisuga. Riskihinnangud ja hinnangud on meie oma seisukoht ega eelda järelevalveasutuse ega kohtu õiguslikku hinnangut; „kavandatuna“ kirjeldatud meetmed on kavatsused ilma kindla tähtajata. Klientide jaoks on leht aluseks nende enda hindamisele, mitte õigusnõustamine.

See on lävehinnangu esimene versioon. Selles uuritakse töötlemistoimingu kaupa, kas mõjuhinnang on vajalik, ja tulemus on esitatud jaotises 3.5.

Iga faktiväide järgib sama põhimõtet nagu meie teistes õigusdokumentides: mõõdetud, mitte kavatsetud. Mis on tõendatud koodis või andmebaasis, on siin esitatud koos allikaviitega. Mida ei õnnestunud tõendada, on märgitud „kontrollimata“. Mis on üksnes kavas, on nimetatud „kavandatuks“. Nimetame lahtised punktid avameelselt koos kavandatud meetmega; mõjuhinnang, mis loetleb ainult tugevusi, ei aita inimesi, keda see puudutab.

Mõisted: haldaja on see, kes käitab kontrollitud veebisaiti. Kliendil on formexposed konto. Külastaja on see, kes kasutab Kliendi veebisaiti, näiteks selle kontaktivormi. Allikaviide tähendab faili, funktsiooni või seadet lähtekoodis, mõõdetuna arendussüsteemi 11. oktoobri 2026 seisu põhjal.

Avatusele tõmbame teadlikult ühe piiri: meie enda serverite turvamise lahtisi punkte kirjeldatakse ainult üldiselt (R13). Nimetame riski ja selle taseme, kuid mitte teed konkreetse haavatavuseni; üksikasjad esitame järelevalveasutusele taotluse korral.

2. Rollid: kellel on kohustus ja mille eest

Art 35 paneb kohustuse vastutavale töötlejale. formexposed on mõne töötlemistoimingu puhul vastutav töötleja, teiste puhul oma Klientide volitatud töötleja ning mitte kumbki nende andmete puhul, mida meie WordPressi plugin ja TYPO3 laiendus Kliendi veebisaidil salvestavad. Vastus peaaegu igale selle dokumendi küsimusele sõltub sellest, millise rolli kohta küsimus esitatakse. Jaotus järgib dokumente Privaatsuspoliitika ja Isikuandmete töötlemise leping.

Töötlemistoiming	formexposed roll	Kellel on art 35 kohane kohustus
Kolmandate isikute veebisaitide kontrollimine ilma nende haldaja juhisteta: tasuta kontroll, potentsiaalsete klientide kontroll agentuuridele, uuring	Vastutav töötleja	formexposed
Kliendi kontol olevate domeenide kontrollimine: seire, aktiivsed testesitused, brauseriteekonnad, avalikud failid, vormi pulss	Kliendi konto- ja kontrolliandmete osas vastutav töötleja; Kliendi kinnitatud veebisaidil nähtavate kolmandate isikute isikuandmete osas volitatud töötleja; seni, kuni domeen ei ole kinnitatud, vastutav töötleja nagu tasuta kontrolli puhul	formexposed oma osa eest; Klient tema veebisaidil olevate kolmandate isikute andmete eest
Skaneerimine sisselogimise taga testkontoga	Volitatud töötleja: juurdepääsuandmed ja sisselogimise taga olev sisu kuuluvad Kliendi veebisaidile	Klient; formexposed abistab
Kohaletoimetamise kontroll kontrollkoopiaga	Volitatud töötleja	Klient; formexposed abistab
Parvekaitse: blokeeritud rämpsposti linkide domeenide ühine loend	Vastutav töötleja: koondame paljude veebisaitide teated, koostame loendi ja levitame seda	formexposed
Kliendikontod, sisselogimine, logid, kasutajatugi, e-kirjade saatmine, maksed, tõendusdokumendid	Vastutav töötleja	formexposed
Kliendiportaal ja igakuine aruanne agentuuri tellijatele	Volitatud töötleja	Agentuur
Andmed, mida plugin ja laiendus Kliendi veebisaidil salvestavad (karantiin, turvavõrk, salvestatud päringud)	Mitte kumbki: andmed ei lahku kunagi veebisaidilt	Veebisaidi haldaja

Sellest tuleneb eristus, mille sõnastame selgesõnaliselt, sest seda mõistetakse sageli valesti mõlemas suunas. Kui formexposed on vastutav töötleja, teeme hindamise ise ja kanname selle tulemuse eest vastutust. Kui oleme volitatud töötleja, ei saa me teha Kliendi hindamist tema asemel, otsustada tema eest vajalikkuse küsimust ega konsulteerida tema nimel art 36 alusel järelevalveasutusega. Seal saame ja peame andma talle kõik, mida ta vajab: punkti (a) kohase kirjelduse, punkti (c) kohased mõõdetud faktid riskide kohta ja aus ülevaade punkti (d) kohaste meetmete seisust. Kohaletoimetamise kontrolli ja sisselogimise taga skaneerimise puhul on see leht täpselt see.

Klient, kes võtab kohaletoimetamise kontrolli jaotised muutmata kujul üle oma mõjuhinnanguna, ei ole mõjuhinnangut teinud. Kas kontrollkoopia on tema vormide puhul põhjendatud, kas seal on oodata eriliigilisi isikuandmeid ja kuidas ta oma külastajaid teavitab, saab otsustada ainult tema. Jaotises 11 on kokku võetud, mida tuleb selleks selgitada.

3. Lävehinnang: kas mõjuhinnang on vajalik?

3.1 Art 35(1) ja art 35(3)

Art 35(1) nõuab mõjuhinnangut, kui teatavat liiki isikuandmete töötlemine, eriti uusi tehnoloogiaid kasutades, võttes arvesse töötlemise laadi, ulatust, konteksti ja eesmärke, kujutab tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele. Art 35(3) nimetab kolm juhtu, mil see on eelkõige nii. Ükski neist kolmest ei sobi formexposed puhul ja seda tuleks põhjendada, mitte lihtsalt väita:

• Punkt (a) – füüsiliste isikutega seotud isiklike aspektide süstemaatiline ja ulatuslik hindamine, mis põhineb automatiseeritud töötlusel ja mille alusel tehakse otsuseid, millel on õiguslik toime või mis avaldavad neile samamoodi märkimisväärset mõju. Me hindame vorme ja veebisaite, mitte inimeste isiklikke aspekte. Teenus ei tee ühegi isiku suhtes õigusliku toimega otsust. Sellele on kõige lähemal parvekaitse: sõnumid, mis sisaldavad linki loendisse kantud domeenile, satuvad ühendatud veebisaitidel karantiini. See on sõnumile tulenev automatiseeritud tagajärg, mitte isiku ulatuslik hindamine; käsitleme seda jaotises 3.3 kriteeriumi „Hindamine või punktide andmine“ all.
• Punkt (b) – art 9 kohaste eriliigiliste isikuandmete või art 10 kohaste süüteoandmete ulatuslik töötlemine. Ei ole ette nähtud ega ehitatud. Sellised andmed võivad meieni siiski jõuda ühe tee kaudu: kohaletoimetamise kontrolli tõeliste külastajasõnumite kontrollkoopias. See sõltub üksikjuhtumist ega ole selle sätte tähenduses ulatuslik; riskihindamisel võetakse seda siiski arvesse (R1).
• Punkt (c) – avalikult juurdepääsetava ala ulatuslik ja süstemaatiline jälgimine. Selle all mõeldakse kohtade füüsilist jälgimist, mitte avalike veebilehtede toomist. Selle sätte kasutamine veebiroomaja puhul lähtekohana oleks ekslik.

Õige tee on seega art 35(1) ise, mida kohaldatakse artikli 29 alusel loodud töörühma andmekaitsealase mõjuhinnangu suuniste (WP248 rev.01, mille Euroopa Andmekaitsenõukogu on heaks kiitnud) üheksa kriteeriumi ja Poola järelevalveasutuse art 35(4) kohase loendi (jaotis 3.4) abil.

3.2 WP248 suuniste üheksa kriteeriumi

Suunistes nimetatakse üheksa tunnust, mis viitavad tõenäolisele suurele riskile. Rusikareeglina nõuab töötlemistoiming, mis vastab neist kahele, enamikul juhtudel mõjuhinnangut. Vastutav töötleja võib üksikjuhul jõuda teistsugusele järeldusele, kuid peab selle siis põhjendama ja dokumenteerima. Vastupidi võib piisata ka ühest kriteeriumist. Sellel lehel kasutame järgmisi lühinimetusi:

1. C1 – Hindamine või punktide andmine, sealhulgas profiilianalüüs ja prognoosimine, näiteks töötulemuste, majandusliku olukorra, usaldusväärsuse või käitumise kohta.
2. C2 – Automatiseeritud otsuste tegemine õigusliku või samalaadse märkimisväärse mõjuga.
3. C3 – Süstemaatiline jälgimine, st töötlemine, mida kasutatakse andmesubjektide vaatlemiseks, jälgimiseks või kontrollimiseks, sealhulgas võrkude kaudu. Suunised põhjendavad seda kriteeriumi sõnaselgelt asjaoluga, et andmesubjektid ei tea sageli, kes nende andmeid kogub ja mis eesmärgil.
4. C4 – Delikaatsed andmed või väga isikliku iseloomuga andmed: art 9 ja 10 kohased eriliigilised andmed, aga ka andmed, mille avalikustamine mõjutab märkimisväärselt igapäevaelu, sealhulgas elektroonilised sidesõnumid, mille konfidentsiaalsust tuleks kaitsta.
5. C5 – Ulatuslikult töödeldavad andmed, mõõdetuna andmesubjektide arvu, andmete mahu ja ulatuse, kestuse ja geograafilise ulatuse järgi.
6. C6 – Andmekogumite vastavusse viimine või kombineerimine, mis pärinevad erinevatest töötlemistoimingutest või erinevatelt vastutavatelt töötlejatelt viisil, mida andmesubjektid ei ootaks.
7. C7 – Kaitsetute andmesubjektide andmed, näiteks töötajad, lapsed, patsiendid või muud ebavõrdses võimusuhtes olevad isikud.
8. C8 – Innovaatiline kasutus või uute tehnoloogiliste või korralduslike lahenduste rakendamine; järelevalvepraktikas käsitletakse tehisintellekti kasutamist korrapäraselt selle kriteeriumi alla kuuluvana.
9. C9 – Töötlemine, mis takistab andmesubjektidel õiguse kasutamist või teenuse või lepingu kasutamist.

Hindame iga kriteeriumi kui „täidetud“, „piirjuht“ või „ei ole täidetud“ ja põhjendame hinnangut koodi põhjal. Piirjuhtu ei loeta kokkuvõttes täidetuks, kuid see nimetatakse tulemuses; kui mitu piirjuhtu osutavad samas suunas, võtame töötlemistoimingu hindamisse.

3.3 Hindamine töötlemistoimingute kaupa

P1 – Tasuta kontroll ilma kontota (mis tahes kolmanda isiku veebisaidi kontrollimine taotluse alusel)

Igaüks saab avalehel sisestada domeeni. Seejärel toob roomaja selle veebisaidi kõige rohkem kaheksa avalikku lehte, loeb vormid, teeb ekraanipildid ja koostab aruande, mida näeb igaüks, kes teab selle juhuslikku linki. Veebisaidi haldaja ei saa sellest midagi teada, välja arvatud juhul, kui ta märkab oma logides roomaja identifikaatorit.

• C1 – piirjuht. Aruanne hindab vormi kaitset taseme („Avatud“, „Osaliselt kaitstud“, „Kaitstud“) ja skooriga. Osaühingu puhul ei puuduta see füüsilist isikut. Füüsilisest isikust ettevõtjate ja vabakutseliste puhul saab domeeni seostada üksikisikuga ja tase ütleb siis midagi nende kutsetegevuses rakendatava hoolsuse kohta. Hinnatakse aga tehnilist seadistust, mitte isiku käitumist ega omadusi. Käsitleme seda piirjuhuna.
• C2 – ei ole täidetud. Haldaja suhtes ei otsustata midagi. Kontrolli taotleja suhtes kehtivad IP-aadressi ja seansi kohased piirangud (cfg/check_lib.php); tagasi lükatud kontrollil ei ole märkimisväärset mõju.
• C3 – ei ole täidetud. Tegemist on ühekordse toomisega taotluse alusel, kõige rohkem kord domeeni ja nädala kohta (cfg/check_lib.php, seade fc_domain_days = 7). Inimesi ei jälgita. Asjaolu, millega suunised C3 põhjendavad – andmesubjektid ei tea töötlemisest midagi –, on siiski olemas. Seda võetakse arvesse riskihindamisel (R5).
• C4 – ei ole täidetud. Salvestatakse vormi struktuur ja leiud, mitte sisestatud väärtused (scanner/src/crawl.js salvestab nähtavate väljade puhul ainult väärtuse pikkuse). Skanner loeb eeltäidetud peidetud väljade algust (kuni 24 tähemärki) ja andmeatribuute (kuni 60 tähemärki) ainult kontrolli ajal, et tuvastada tõendeid ja ajatempleid; neid ei salvestata. Ekraanipiltidel võivad juhuslikult olla näha inimesed ja nimed; arstipraksise veebisait näitab pildil oma eriala. Need on avalikud kutsealased andmed, mitte konkreetse isiku terviseandmed.
• C5 – piirjuht. Päevane ülempiir on 200 vastuvõetud kontrolli (fc_daily_cap), st aritmeetiliselt kuni umbes 73 000 veebisaiti aastas. Veebisaidi kohta tekib vaid mõni üksik isikuandmete kirje ja kestus on lühike (30 päeva). Arendussüsteemis mõõdetuna on andmestikus 2 anonüümset kontrolli. Täna ei ole täidetud; kavandatud mahtu arvestades piirjuht.
• C6 – ei ole täidetud. Lisaks lehtede toomisele pärib teenus domeeni vanust RDAP-teenusest rdap.org (edastatakse ainult domeeninimi; salvestatakse ainult registreerimiskuupäev, vahemällu) ja lahendab DNS-i. Need on domeeni tehnilised andmed, mitte inimesi puudutavate andmekogumite kombineerimine.
• C7 – ei ole täidetud.
• C8 – täidetud nõrgal kujul. Automatiseeritud brauser kontrollib lehti ja keelemudel meie oma serveris liigitab vorme, mida reeglid ei tunne ära (scanner/src/classify.js). Mudel näeb lehe pealkirja, aadressi, väljade silte ja kuni 400 tähemärki vormi teksti. See ei saa kunagi muuta vormi „esitatavaks“.
• C9 – ei ole täidetud.

P1 vahetulemus: üks kriteerium nõrgal kujul (C8), kaks piirjuhtu (C1, C5). Rusikareegli järgi kohustust ei ole. Kuna mõlemad piirjuhud osutavad samas suunas ja andmesubjektid ei tea töötlemisest midagi, võtame P1 hindamisse.

P2 – Potentsiaalsete klientide kontroll agentuuridele

Business-paketiga ja oma brändi seadistanud agentuur saab lasta potentsiaalse kliendi veebisaiti passiivselt kontrollida. Ta saab oma brändi all lühileiu ja üksikasjaliku aruande ning edastab lingi ise (cfg/akquise_lib.php). Meie kellegagi ühendust ei võta.

• C1 – piirjuht, tugevam kui P1 puhul. Lühileid on sõnaselgelt mõeldud kui „uksetaja esimeseks vestluseks“. Veebisaidi hindamine muutub seega aluseks isiku poole äriliselt pöördumiseks.
• C5 – ei ole täidetud. Kõige rohkem 30 kontrolli agentuuri ja kuu kohta (prospect_monthly), kustutatakse 90 päeva pärast.
• C8 – täidetud nõrgal kujul (sama tehnoloogia nagu P1 puhul).
• Muud kriteeriumid – ei ole täidetud. Leid esitatakse agentuuri brändiga, kuid seda ei seota teiste haldajat puudutavate andmetega.

P2 vahetulemus: rusikareegli järgi kohustust ei ole; hindamisse võetud samadel põhjustel nagu P1 ja seetõttu, et eesmärk – klientide hankimine – kätkeb omaette riski (R6).

P3 – Uuring „Form Security Index“

Uuringu jaoks kontrollitakse veebisaitide loendit passiivselt, piiratuna kõige rohkem viie avatud tööga olekuprotsessi käivituse kohta, mis töötab iga viie minuti järel (cfg/studie_lib.php). Avaldatakse ainult koondandmed ja segmendid alates 20 vormiga veebisaidist (study_min_segment, cfg/studie_lib.php). Toorandmed kustutatakse avaldamisel (cfg/studie_lib.php).

• C5 – piirjuht, suurte loendite puhul täidetud. Loendi suurus ei ole koodis piiratud; piiramine võimaldab aritmeetiliselt rohkem kui tuhat kontrolli päevas. Riigi turu uuring hõlmab tuhandeid veebisaite, millest paljusid haldavad füüsilisest isikust ettevõtjad. Alates sellisest suurusest loeme kriteeriumi täidetuks.
• C8 – täidetud nõrgal kujul.
• C1 – ei ole täidetud. Kuigi üksikut veebisaiti hinnatakse, avaldatakse ainult koondtulemus; hinnang ei ole mõeldud üksiku haldaja kohta väite tegemiseks.
• Muud kriteeriumid – ei ole täidetud.

P3 vahetulemus: kavandatud suurusega uuringute puhul kaks kriteeriumi (C5, C8). Uuring ületab seega läve; formexposed teeb hindamise vastutava töötlejana. Arendussüsteemis mõõdetuna ei ole seni ühtegi uuringut loodud.

P4 – Kliendi kontol olevate domeenide kontrollimine

Klient laseb oma kontol olevaid domeene regulaarselt kontrollida. Kui ta on tõendanud, et tal on õigus domeeni kontrollida, lisanduvad aktiivsed testesitused (kõige rohkem viis kontrolli kohta), avalike failide otsing ja seadistatud brauseriteekonnad.

• C3 – ei ole täidetud. Kontroll on ajastatud ja korduv, kuid see puudutab Kliendi enda veebisaiti ja tehakse tema taotlusel, mitte inimeste jälgimiseks.
• C4 – piirjuht, ei. Avalike failide otsing loeb sellistest teedest nagu /backup.sql või silumislogi kõige rohkem esimesed 8 KB, et sisu põhjal kindlaks teha, kas fail on tõesti avalikult kättesaadav (cfg/dateien_lib.php). Selline väljavõte võib sisaldada külastajate tehtud vormisisestusi. Seda kontrollitakse ainult mälus ja ei salvestata kunagi; salvestatakse tee, tüüp ja raskusaste.
• C8 – täidetud nõrgal kujul.
• Muud kriteeriumid – ei ole täidetud.

P4 vahetulemus: kohustust ei ole. Hindamisse võetud, sest aktiivsed testesitused ja failikontroll sõltuvad tõendist, mida kunagi ei uuendata (R7).

P5 – Skaneerimine sisselogimise taga

Kinnitatud domeeni puhul saab Klient salvestada oma veebisaidi jaoks testkonto. Skanner logib sellega sisse ja loeb vorme kuni viiel määratud liikmealale kuuluval lehel (cfg/login_lib.php, scanner/src/login.js).

• C4 – piirjuht. Juurdepääsuandmed ei ole suuniste tähenduses väga isikliku iseloomuga andmed, kuid nende väärkasutus avab liikmeala. Olenevalt veebisaidist võib sisselogimise taga olla konfidentsiaalne sisu, näiteks liikme- või patsiendiportaalis. See sõltub Kliendist, mitte meist.
• C8 – ei ole täidetud. Automatiseeritud sisselogimised on seireteenustes tavalised.
• Muud kriteeriumid – ei ole täidetud.

P5 vahetulemus: rusikareegli järgi kohustust ei ole. Klientide puhul, kelle liikmeala näitab konfidentsiaalset sisu, võib see muutuda; otsus on siis nende teha. Hindamisse võetud turvariskide tõttu (R8).

P6 – Kohaletoimetamise kontroll kontrollkoopiaga

Klient sisestab oma vormi e-posti seadetes pimekoopia saajaks formexposed kontrollaadressi. Selle tulemusel läheb iga vormi e-kiri ka meie kontrollpostkasti – nii meie testsõnum kui ka iga külastaja tõeline sõnum. Automatiseeritud toomine loeb päised ja esimesed 8 KB, seob e-kirja vastava kontrolliga, hindab SPF-i, DKIM-i ja DMARC-i ning kustutab selle (cfg/zustellung_lib.php).

• C4 – täidetud. See, mida külastajad kontaktivormi kirjutavad, on suvalise sisuga elektrooniline side ettevõttega. Arstipraksise, advokaadibüroo, nõustamisteenuse või kooli veebisaidil on oodata art 9 kohaseid andmeid või laste andmeid. Suunised nimetavad selle kriteeriumi all sõnaselgelt konfidentsiaalset elektroonilist sidet.
• C3 – piirjuht, pigem täidetud. Iga sõnum kopeeritakse plaanipäraselt ja pidevalt ning seda hinnatakse automaatselt, ilma et saatja seda märkaks. Eesmärk on kontrollida e-posti teed, mitte jälgida inimesi. Asjaolu, millega suunised kriteeriumi põhjendavad – andmesubjektid ei tea, kes nende andmed saab –, on aga täielikult olemas seni, kuni Klient oma külastajaid ei teavita.
• C7 – sõltub Kliendist. Patsiendid, advokaadibüroode kliendid, tööle kandideerijad, lapsevanemad ja õpilased on oma sõnumi saaja suhtes sageli sõltuvussuhtes.
• C5 – piirjuht, ei. Üksiku Kliendi puhul ei ole ulatuslik. formexposed juures koonduvad paljude Klientide koopiad ühte postkasti; see suurendab rikkumise kaalu, mitte arvu vastutava töötleja kohta.
• Muud kriteeriumid – ei ole täidetud. Domeeni ja testiga sidumine ei ole inimesi puudutavate andmekogumite vastavusse viimine; tehnoloogia ei ole uus.

P6 vahetulemus: C4 täidetud, C3 piirjuht ja pigem täidetud, C7 paljude tüüpiliste Klientide puhul täidetud. Tüüpilises olukorras on seega täidetud kaks või enam kriteeriumi. Mõjuhinnang on vajalik – Kliendi kui vastutava töötleja kohustusena. Jaotised 6–11 annavad talle selleks faktid.

P7 – Parvekaitse

Ühendatud WordPressi veebisaidid teatavad kord päevas nende sõnumite linkide domeenidest, mille nende kaitsekiht on peatanud. Domeen, mis esineb seitsme päeva jooksul vähemalt kolmel erineval veebisaidil vähemalt viie tabamusega, kantakse ühisesse loendisse; loend saadetakse tagasi kõigile ühendatud veebisaitidele, mis suunavad seejärel selle domeeni linke sisaldavad sõnumid karantiini (cfg/swarm_lib.php).

• C6 – täidetud. Paljude üksteisest sõltumatute veebisaitide, st erinevate vastutavate töötlejate teated kombineeritakse ja tagastatakse neile kõigile ühise loendina.
• C1 – täidetud, kuivõrd domeeni saab seostada füüsilise isikuga. Loend on liigitus rämpsposti allikaks. Suunised nimetavad selle kriteeriumi näitena kontrollimist ühise pettuste andmebaasi alusel. Enamik sellise loendi domeene kuulub ettevõtetele või on ühekordsed domeenid; loendisse võib aga sattuda ka üksikisiku domeen, kas õigustatult või tahtlikult esitatud valeteadete kaudu.
• C9 – piirjuht. Loendisse kantud lingiga sõnum ei jõua saajani kohe, vaid jääb tema karantiini, kuni ta selle vabastab. See ei lähe kaduma.
• C2 – ei ole täidetud. Karantiin on sõnumile tulenev automatiseeritud tagajärg, ilma õigusliku toimeta ja saaja poolt inimese tehtava vabastamisega.
• Muud kriteeriumid – ei ole täidetud. IP-võrgud on välja lülitatud (swarm_ip_enabled = 0, cfg/swarm_lib.php).

P7 vahetulemus: kaks kriteeriumi (C6, C1) ja üks piirjuht (C9). Lävi on ületatud; formexposed teeb hindamise vastutava töötlejana. Sisselülitatud IP-võrkude korral oleksid C1 ja C6 täidetud piiranguteta; nende sisselülitamine nõuab selle hinnangu uut versiooni (jaotis 12). Arendussüsteemis mõõdetuna ei ole ei teateid ega loendikandeid.

P8 – Kliendikontod, sisselogimine, logid, kasutajatugi, e-post, maksed

• C1 ja C9 – ei ole täidetud. Silmatorkav käitumine tasuta kontrollis toob kaasa märke koos IP-aadressiga (cfg/check_lib.php) ja vajaduse korral edasiste kontrollide tagasilükkamise. See on väikese mõjuga kuritarvitamise vältimine, mitte isiklike aspektide hindamine.
• Muud kriteeriumid – ei ole täidetud. Need on ettevõtetele suunatud teenuse tavapärased andmed.

P8 vahetulemus: mõjuhinnang ei ole vajalik. Töötlemistoiminguid on kirjeldatud dokumendis Isikuandmete töötlemise toimingute register.

P9 – Plugina näitajad, väljavead, salvesti, märk, kliendiportaal, „Fix it for me“

• Plugin ja laiendus edastavad igapäevaseid näitajaid, pluginate inventuuri ja veakategooriaid ning WordPressi plugin edastab lisaks parvekaitse jaoks linkide domeene (vaikimisi sees) (P7), mitte sisu, aadresse, nimesid ega külastajate IP-aadresse; salvesti hoiab selektoreid kõige rohkem 15 minutit administraatori brauseris. Ükski kriteerium ei ole täidetud.
• Laadimisel edastab märk veebiserveri logisse tavapärased ühenduse andmed, ilma küpsiseta. Ükski kriteerium ei ole täidetud.
• Kliendiportaal töötleb agentuuri nimel tellijate e-posti aadresse topeltkinnitusega (double opt-in). Ükski kriteerium ei ole täidetud.
• „Fix it for me“ laseb kleebitud vormikoodi ümber kirjutada keelemudelil meie oma serveris; koodi ei salvestata. C8 nõrgal kujul, muud mitte.

P9 vahetulemus: mõjuhinnang ei ole vajalik.

3.4 Poola järelevalveasutuse art 35(4) kohane loend

Pädev asutus on Isikuandmete Kaitse Ameti president (Prezes Urzędu Ochrony Danych Osobowych, UODO). President avaldas mõjuhinnangut nõudvate isikuandmete töötlemise toimingute liikide loendi 17. juuni 2019. aasta teadaandes (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, kirje 666). Loend seob oma kanded WP248 suuniste kriteeriumidega, toob näiteid ega ole sõnaselgelt ammendav; see ei asenda art 35(1) kohast hindamist.

Meie tõlgenduse kohaselt vastavad järgmised loendis toodud töötlemisliigid sisuliselt formexposed töötlemistoimingutele:

Töötlemise liik loendi järgi (ümbersõnastatud)	Seotud kriteerium	Töötlemistoiming formexposed juures	Hinnang
Võrdlemine, hindamine või järelduste tegemine eri allikatest pärinevate andmete analüüsi põhjal	C6	P7 Parvekaitse	kohaldub
Hindamine või punktide andmine, sealhulgas profiilianalüüs	C1	P7 Parvekaitse; P1 ja P2 piirjuhtudena	kohaldub P7 suhtes
Eriliigiliste isikuandmete töötlemine	C4	P6 Kohaletoimetamise kontroll	kohaldub olenevalt Kliendist
Tehnoloogiliste lahenduste innovaatiline kasutamine või rakendamine	C8	P1–P4 (keelemudel liigitamiseks)	kohaldub nõrgal kujul
Ulatuslik töötlemine	C5	P3 Uuring	kohaldub suurte loendite puhul
Avalikult juurdepääsetavate kohtade süstemaatiline jälgimine, sealhulgas tunnuste tuvastamisega	C3	–	ei kohaldu: mõeldud on kohti, mitte veebisaite

See jaotus on tõlgendus, mitte tsitaat; kannete sõnastust tuleb sellega õigusliku läbivaatuse käigus võrrelda. See kinnitab jaotise 3.3 tulemust, kuid ei muuda seda. Meile teadaolevalt ei ole UODO avaldanud art 35(5) kohast loendit – töötlemistoimingud, mille puhul mõjuhinnangut ei nõuta.

3.5 Lävehinnangu tulemus

Töötlemistoiming	Täidetud	Piirjuht	Tulemus
P1 Tasuta kontroll	C8 (nõrk)	C1, C5	ei ole kohustuslik; hindamisse võetud
P2 Potentsiaalsete klientide kontroll	C8 (nõrk)	C1	ei ole kohustuslik; hindamisse võetud
P3 Uuring	C8 (nõrk), C5 suurte loendite puhul	–	vajalik (formexposed kohustus)
P4 Kliendi domeenide kontrollimine	C8 (nõrk)	C4 (failikontroll)	ei ole kohustuslik; hindamisse võetud
P5 Skaneerimine sisselogimise taga	–	C4	ei ole kohustuslik; hindamisse võetud; Kliendi jaoks sõltub sisust
P6 Kohaletoimetamise kontroll	C4; C7 olenevalt Kliendist	C3 (pigem täidetud), C5	vajalik (Kliendi kohustus; see leht abistab art 28(3)(f) alusel)
P7 Parvekaitse	C6, C1	C9	vajalik (formexposed kohustus)
P8 Kontod, logid, kasutajatugi, maksed	–	–	ei ole vajalik
P9 Plugina näitajad, märk, portaal, „Fix it for me“	C8 (nõrk, ainult „Fix it for me“)	–	ei ole vajalik

Tulemus art 35(1) kohta: formexposed üksikute töötlemistoimingute puhul on mõjuhinnang vajalik. See on vajalik parvekaitse ja kavandatud suurusega uuringute puhul ning formexposed teeb selle vastutava töötlejana. Kohaletoimetamise kontrolli puhul on see tüüpilises olukorras vajalik, kuid Kliendi kohustusena; formexposed annab selleks aluse. Kolmandate isikute ja oma veebisaitide muude kontrollide puhul ei ole see kohustuslik. Võtame need siiski hindamisse, sest need kasutavad sama tehnoloogiat, sest mitu piirjuhtu osutavad samas suunas ja sest andmesubjektid – kontota haldajad ja kontrollitud lehtedel olevad inimesed – ei tea töötlemisest midagi. Kontode, logide, kasutajatoe ja maksete puhul hindamist ei nõuta.

Jaotised 6–10 kehtivad seega P1–P7 kohta. Kui väide kehtib ainult ühe neist töötlemistoimingutest kohta, on see vastavalt märgitud.

4. Andmekaitseametnik: art 37 kohane hinnang

Andmekaitseametnikku ei ole määratud. Art 37(1) seob võrdselt nii vastutavat kui ka volitatud töötlejat; küsimus on seega meie oma. Kolm seaduses sätestatud juhtu:

Art 37(1)	Tingimus	Tulemus
punkt (a)	Avaliku sektori asutus või organ	Ei kohaldu; LW IT Solutions Company Lukas Wójcik on eraõiguslik füüsilisest isikust ettevõtja.
punkt (b)	Põhitegevused hõlmavad isikuandmete töötlemise toiminguid, mis nõuavad andmesubjektide korrapärast ja süstemaatilist ulatuslikku jälgimist	Põhitegevus on veebisaitide ja vormide korrapärane ja süstemaatiline kontrollimine ja seire. Inimesi aga ei jälgita: roomaja ei vaatle käitumist ja kohaletoimetamise kontroll hindab e-kirju ainult kohaletoimetamise ja autentsuse osas. Ei ole täidetud.
punkt (c)	Põhitegevused hõlmavad art 9 või 10 kohaste andmete ulatuslikku töötlemist	Mitte ülesehituse poolest. Eriliigilised andmed võivad meieni jõuda kohaletoimetamise kontrolli kontrollkoopia kaudu; see on juhuslik, mitte põhitegevus. Ei ole täidetud.

Meie hinnangul ei ole seega kohustust andmekaitseametnikku määrata. Kas Poola õigus nõuab art 37(4) alusel sellest kaugemale ulatuvat määramist, on õigusliku läbivaatuse lahtine küsimus. Kuna andmekaitseametnikku ei ole määratud, ei kohaldu art 35(2) kohane nõuanne. Kui õiguslik läbivaatus leiab, et määramiskohustus on olemas, küsitakse siis määratud andmekaitseametniku nõu enne selle hinnangu heakskiitmist (jaotis 12). Selle hinnangu kohta küsimuste korral on kontaktisik omanik aadressil contact@lukaswojcik.com.

5. Meetod, allikad ja selle versiooni piirid

Selle dokumendi faktid pärinevad rakenduse ja skanneri lähtekoodist, andmebaasi skeemist ning arendussüsteemi ridade arvust ja seadetest, mõõdetuna 11. oktoobril 2026. Andmebaasile ja serveritele pääseti juurde ainult lugemiseks. Kui mõõtmine on vastuolus kavatsusega – sealhulgas väitega meie enda õigusdokumentides –, esitame mõõtmise tulemuse. Me ei kohalda art 40 kohaseid heakskiidetud toimimisjuhendeid, mille järgimist tuleks art 35(8) kohaselt arvesse võtta.

• Mõõdeti arendussüsteemi. Teenus ei ole veel käivitunud. Arvud on seega väikesed ja osaliselt testimise kõrvalsaadused: 112 kontrolli, millest 110 ilma Kliendi domeenita; 432 ekraanipilti; 2 domeeni, millest 1 on kinnitatud; ühtegi kohaletoimetamise kontrolli ei ole sisse lülitatud; sisselogimise taga skaneerimiseks ei ole salvestatud ühtegi testkontot; uuringut ei ole; parvekaitses teateid ei ole. Mõõtmisi tuleb korrata enne käivitamist ja seejärel korrapäraste ajavahemike järel.
• Selles versioonis mõõtmata ja enne heakskiitmist lisatavad on: tootmissüsteemi konfiguratsioon, sealhulgas see, kas ja kuidas on kontrollpostkast seadistatud ning kas sisselogimise taga skaneerimise võtmepaar on seal seadistatud; kas keelemudeli tarkvara logib päringuid; serverihalduse seis (R13); leping e-posti teenusepakkujaga.
• Mõõta ei olnud võimalik, kui palju tõelisi külastajasõnumeid kontrollkoopiat läbib ja millistest sektoritest Kliendid tulevad. Mõlemad määravad R1 ja R2 kaalu ning need tuleb kindlaks teha pärast käivitamist.
• Allikaviited osutavad arendussüsteemi lähtekoodi failidele ja funktsioonidele. Määrav on kirjeldatud funktsioon, mitte selle asukoht failis.

See dokument on mustand. Vastutav töötleja ei ole seda veel heaks kiitnud (jaotis 12) ja kaks selle järeldust – P1 ja P3 ulatuse hindamine ning kohaletoimetamise kontrolli kaal – sõltuvad arvudest, mis tekivad alles pärast käivitamist.

6. (a) Töötlemistoimingute ja eesmärkide süstemaatiline kirjeldus

6.1 Kuidas kontrollisüsteem on üles ehitatud

formexposed töötab oma serveritel Poolas, ilma välise majutusteenuse osutajata: veebiserver koos rakenduse ja andmebaasiga ning skaneerimisserver koos kontrolliteenuse ja kohaliku keelemudeliga, mõlemad samas sisevõrgus. Kontroll kulgeb järgmiselt:

1. Rakendus loob andmebaasis töö – arvestades jaotises 6.3 kirjeldatud piiranguid ja blokeeringuid.
2. Skaneerimisserveri kontrolliteenus toob töö, kontrollib teist korda blokeerimisloendit, hostinimesid ja anonüümsete kontrollide puhul domeeni vanust ning käivitab just selle töö jaoks isoleeritud konteineri: oma võrk oma filtreeglitega, ilma eriõigusteta, kirjutuskaitstud failisüsteem, mälu- ja protsessipiirangud ning ajapiirang (scanner/src/worker.js).
3. Konteineris toob automatiseeritud brauser kõige rohkem kaheksa avalikku lehte, esmalt avalehe, seejärel eelistatult kontakti-, impressumi- ja kasutajatoe lehed. Enne seda loeb see faili robots.txt; FormExposedBoti või kõigi roomajate välistamine, mis hõlmab avalehte, lõpetab kontrolli, samuti kättesaamatu robots.txt või serveri viga selle toomisel (scanner/src/net.js). Üksikute alamteede keelde eraldi ei järgita. Vormi pulss, tõendi toomine, päisetööriist ja avalike failide otsing robots.txt-faili ei loe. Lisaks kaheksale lehele on kuni kolm lehte klõpsuga küpsiste bänneri nupul „Keeldu“, kuni kolm lehte telefonivaates, aktiivsed sondid kinnitatud domeenide puhul ja kuni viis lehte sisselogimise taga; lehed laaditakse üksteise järel, mitte paralleelselt. Iga brauseri päring – sealhulgas ümbersuunamised ja manustatud sisu – läbib filtri, mis lükkab tagasi privaatvõrgud ja muud pordid.
4. Konteiner kirjutab tulemuse ja ekraanipildid ajutisse kataloogi. Kontrolliteenus edastab tulemuse ja pildid sisevõrgu kaudu rakendusele ning kustutab ajutise kataloogi, ka pärast viga (scanner/src/worker.js).
5. Rakendus töötleb tulemuse, võrdleb seda Kliendi domeenide puhul eelmise kontrolliga ja teatab muudatustest Kliendi seadistatud sihtkohtadesse.

6.2 Mida roomaja salvestab – ja mida mitte

Objekt	Mis salvestatakse	Mida ei salvestata	Allikaviide
Lehed	Aadress, HTTP-olek, päised, sisuturbepoliitika (Content Security Policy), päritud kolmandate isikute hostid (kõige rohkem 120)	Lehe sisu tekstina või HTML-ina	scanner/src/crawl.js
Vormiväljad	Tüüp, nimi, silt, kohatäide, kohustuslik väli, nähtavus, olemasoleva väärtuse pikkus	Väljade väärtused; peidetud väljade puhul loetakse väärtuse esimesed 24 tähemärki ainult kontrolli ajal (tõendite tuvastamiseks)	scanner/src/crawl.js
Saajate aadressid vormis	ainult domeen	aadress	scanner/src/crawl.js
Skriptid	Inventuur koos kontrollsummaga; aadressid ja algustekst ilma reklaami- ja analüütikateenuste kontoidentifikaatoriteta	Konto- ja piksliidentifikaatorid	scanner/src/crawl.js
Pealtkuulajad	millised reklaamipikslid ja salvestustööriistad laaditakse enne ja pärast küpsiste bänneris „Keeldu“ klõpsamist ning kas need maskeerivad sisestusi	Nende teenuste kontode identifikaatorid	scanner/src/mitleser.js, scanner/src/einwilligung.js
Vormi tekst	kuni 400 tähemärki läheb kohalikule keelemudelile, kui reeglid tüüpi ära ei tunne	Avaldamine kolmandatele isikutele; teksti salvestamine	scanner/src/classify.js
Ekraanipildid (roomaja)	esimese lehe nähtav ala; iga nähtava vormi kohta vormielemendi pilt	–	scanner/src/crawl.js
Ekraanipildid (aktiivne kontroll)	Testesituse vastuslehe pilt; lisaks olek, sihtaadress, pealkiri ja selle teksti esimesed 300 tähemärki	–	scanner/src/active.js
Ekraanipildid (brauseriteekonnad)	Vormi pilt mustaks kaetud sisestusväljadega, tihendatud, kõige rohkem 32 KB	Sisestused	scanner/src/browser.js
Sisselogimise taga	nagu ülal vormiväljade puhul	Ekraanipildid, küpsised, lingid	scanner/src/login.js

Isikuandmeid need objektid ülesehituse poolest ei sisalda, kuid juhuslikult küll: kontaktisiku nimi vormi kõrval, meeskonnafoto avalehel, telefoninumber sildis, üksikisiku e-posti domeen, nimi kohatäites. Sisselogimise taga lisanduvad testkonto ja olenevalt veebisaidist ka teiste kasutajate andmed.

6.3 Kes kontrolli käivitab ja mis siis kehtib

Käivitaja	Usaldustase töös	Testesitused	Tulemus kättesaadav	Kustutamine
Keegi sisestab avalehel domeeni (tasuta kontroll)	anonüümne	ei	Aruanne juhusliku lingi all	30 päeva, sealhulgas pildid (cfg/check_lib.php)
Plugin või laiendus ilma kontota	plugin	ei	Aruanne juhusliku lingi all	30 päeva
Agentuur potentsiaalse kliendi jaoks	registreeritud	ei	Lühileid ja aruanne juhusliku lingi all	90 päeva (cfg/akquise_lib.php)
Klient, domeen ilma tõendita	registreeritud	ei	Konto; aruanne juhusliku lingi all	13 kuud, viimane kontroll säilitatakse
Klient, domeen tõendiga	kinnitatud	jah, kõige rohkem viis kontrolli kohta	Konto; aruanne juhusliku lingi all	13 kuud, viimane kontroll säilitatakse (cfg/fristen_lib.php)
Uuring	sisemine	ei	ainult koondandmed pärast avaldamist	avaldamisel; avaldamiseta ajapiiranguta (R4)
Teenuseosutaja sisemine kontroll käsurealt	sisemine; meie oma test- ja demodomeenide puhul ka „kinnitatud“	ei; tasemega „kinnitatud“ jah (ainult meie oma test- ja demodomeenid)	ainult sisemiselt	ajapiiranguta (R4)

Tasuta kontrolli ees on mitu kihti (cfg/check_lib.php): hädapeatamine; reCAPTCHA; sama domeen kõige rohkem kord seitsme päeva jooksul (seejärel näidatakse olemasolevat aruannet); piirangud IP-aadressi, seansi (räsiväärtusena, mitte kunagi seansi identifikaatorina) ja kogu teenuse kohta päevas; opt-out’ist ja robots.txt-failist tulenev blokeerimisloend; kontroll, et domeen osutab avalikele aadressidele; ning blokeering väga uute või teadmata vanusega domeenide puhul. Anomaaliad – palju erinevaid domeene ühelt IP-aadressilt, palju päringuid lühikese aja jooksul – märgitakse koos IP-aadressiga ja käivitavad sisuta signaali (cfg/check_lib.php).

6.4 Kliendi kontol olevate domeenide kontrollimine

Klient tõendab, et tal on õigus domeeni kontrollida: DNS-kirje, metasildi, faili või meie plugina kaudu (cfg/verify_lib.php). Alles siis käsitletakse domeeni kinnitatuna. Seire ajastaja kavandab regulaarseid kontrolle ainult aktiivsetele, jälgitavatele ja kinnitatud domeenidele (cfg/monitor_lib.php).

• Aktiivsed testesitused on seotud kahe väravaga: rakendus seab Klientidele aktiivse režiimi ainult kinnitatud domeenide puhul (meie oma test- ja demodomeenide puhul saab teenuseosutaja sisemise käsurea tööriistaga luua kontrolli tasemega „kinnitatud“) ja kontrolliteenus kontrollib usaldustaset ja hädapeatamist fc_active_enabled uuesti (scanner/src/worker.js). Esitada saab ainult vormi, mille reeglid tunnevad suure kindlusega ära üldise kontaktivormina, millel ei ole tõeliste isikuandmete kohustuslikke välju ja mille domeen ei näe välja nagu avaliku sektori asutuse, haridusasutuse, kliiniku, arstipraksise, politsei või kohtu oma (scanner/src/classify.js). Keelemudel ei saa vormi esitatavaks muuta (scanner/src/classify.js). Kontrolli kohta läheb välja kõige rohkem viis esitust (fc_active_max_posts), selgelt märgistatud, saatjaga dummy@formexposed.com, .invalid all oleva aadressiga e-posti valideerimise testimiseks ja kahjutu lisapäisereaga päise süstimise tuvastamiseks (scanner/src/active.js).
• Brauseriteekonnad kontrollivad seadistatud vormiteekondi brauseris kuni esitamisele eelneva hetkeni. Lubatud on ainult GET- ja HEAD-päringud; kõik muu katkestatakse, samuti aadressid, mis sisaldavad väljalogimise, kustutamise, ostmise või maksmise sõnu (scanner/src/browser.js). Kontrolliks täidetakse kohustuslikud väljad väljamõeldud väärtustega, mis ei lahku kunagi brauserist.
• Avalikke faile otsitakse kord nädalas, ainult kinnitatud domeenidel, kõige rohkem ühe toomisega tee kohta, kõige rohkem 8 KB, ja sisu ei salvestata kunagi (cfg/dateien_lib.php).
• Sõltumatu teine sond on ette valmistatud ja vaikimisi välja lülitatud (browser_probe_enabled = 0). Sisselülitamisel saaks see ainult domeeni, aadressi, selektori, sammud ja brauseri valiku, mitte kunagi juurdepääsuandmeid, ekraanipilte ega külastajate andmeid (cfg/formular_probe_lib.php).

6.5 Skaneerimine sisselogimise taga

Eeldused: funktsioon on seadistatud, domeen on kinnitatud ning Kliendil on tasuline pakett ja ta on tööruumi omanik või administraator (cfg/login_lib.php); ta kinnitab, et konto on võimalikult väheste õigustega testkonto (cfg/login_lib.php).

1. Kasutajanimi ja parool krüpteeritakse veebiserveris kohe skaneerimisserveri avaliku võtmega: ühekordne võti iga kirje kohta (X25519), võtme tuletamine (HKDF-SHA256), AES-256-GCM, seotud domeeniga (cfg/login_lib.php). Privaatvõti on ainult skaneerimisserveri kontrolliteenusel (scanner/src/geheim.js). Kellel on veebiserver, andmebaas või varukoopia, sellel on ainult krüptotekst.
2. Liides näitab ainult kasutajanime esimest tähemärki ja pikkust (cfg/login_lib.php). Juurdepääsuandmeid ei kuvata kunagi, ei logita kunagi ega väljastata kunagi API kaudu.
3. Kontrolli jaoks lisab rakendus krüptoteksti tööle. Kontrolliteenus dekrüpteerib selle, tühjendab kohe töös vastava välja ja edastab juurdepääsuandmed konteinerile ainult standardsisendi kaudu, mitte kunagi käsurea argumentidena (scanner/src/worker.js). Katkestatud töödesse jäänud jäägid puhastab olekuprotsess ühe tunni pärast (cfg/login_lib.php).
4. Konteineris logib brauser sisse. See katkestab, kui sisselogimisleht suunab teisele hostile, kui sisselogimisvormil on CAPTCHA (me ei möödu CAPTCHA-dest) või kui paroolväli on pärast esitamist endiselt nähtav (scanner/src/login.js). Seejärel tühjendab see lehe mälus paroolvälja ja unustab juurdepääsuandmed (scanner/src/login.js).
5. See loeb kõige rohkem viis Kliendi määratud sama domeeni lehte. Aadressid, mis sisaldavad väljalogimise, kustutamise, eemaldamise või tühistamise sõnu, on blokeeritud (scanner/src/login.js). Sisselogimise taga ei esitata midagi, ekraanipilte ei tehta ning küpsised ja lingid ei jõua tulemusse (scanner/src/login.js).
6. Kustutamine on lõplik: krüptotekst kirjutatakse üle sama pikkusega juhuslike andmetega, rida kustutatakse ja ootel tööd puhastatakse (cfg/login_lib.php). Domeeni kustutamisel kaob rida automaatselt võõrvõtme kaudu.

6.6 Kohaletoimetamise kontroll

Kohaletoimetamise kontroll vastab küsimusele, kas kontaktivormi e-kiri tõesti kohale jõuab, ja hindab selle autentsustunnuseid. See on valikuline, vaikimisi välja lülitatud ja eeldab kontrollpostkasti seadistamist (cfg/zustellung_lib.php).

1. Kui Klient selle sisse lülitab, saab domeen juhusliku tähise. Klient sisestab selle tähisega kontrollaadressi oma vormis pimekoopia saajaks.
2. Sellest hetkest alates läheb iga vormi e-kiri ka kontrollpostkasti: meie märgistatud testesitused ja kõik külastajate tõelised sõnumid. E-kirjad lähevad otse postkasti teenusepakkuja Namecheap, Inc. (Private Email), Phoenix, Arizona, USA juures – need jõuavad kohale ainult siis, kui meie domeeni MX-kirjed osutavad sinna; edasisuunamise kaudu, näiteks domeeniregistripidaja Namecheap, Inc. juures, ei jõua need postkasti – ja jäävad sinna, kuni need tuuakse.
3. Olekuprotsess toob postkasti sisu iga viie minuti järel (srv/cron_status.php). Iga e-kirja puhul loeb see päised ja kõige rohkem teksti esimesed 8 KB, ilma neid loetuks märkimata (cfg/zustellung_lib.php).
4. Päistest määrab see tähise ja seega domeeni ning tekstist vajaduse korral meie testi identifikaatori (cfg/zustellung_lib.php). Salvestatakse aeg, domeen ja vajaduse korral testi identifikaator (cfg/zustellung_lib.php) 180 päevaks (cfg/zustellung_lib.php).
5. Päistest hindab see SPF-i, DKIM-i ja DMARC-i ning salvestab tulemuse domeeni juurde: kontrollitulemused, saatja aadressi domeeni, allkirjade domeenid ja saatva meiliserveri aadressi (cfg/zustellung_lib.php). Kui tulemus halveneb, saadetakse Kliendile üks kord hoiatus, milles võib olla nimetatud saatja domeen (cfg/zustellung_lib.php).
6. Seejärel märgib see iga toodud e-kirja kustutamiseks, sealhulgas sellise, mida ei õnnestunud ühegi domeeniga siduda, ja eemaldab selle käivituse lõpus postkastist (cfg/zustellung_lib.php). Kui käivitus katkeb enne seda, jäävad e-kirjad alles järgmise eduka käivituseni.
7. Kohaletoimetamise tõendiks loetakse ainult täpselt asjaomase testi koopiat (cfg/zustellung_lib.php). Kui see ei saabu kolme tunni jooksul (delivery_wait_h), teatab teenus „Kohaletoimetamine puudub“.

Tõeliste sõnumite teksti ei kirjutata kunagi andmebaasi, samuti mitte külastaja aadressi. Mõlemad loetakse siiski: toomine laadib iga e-kirja esimesed 8 KB mällu, et otsida testi identifikaatorit.

6.7 Parvekaitse

1. WordPressi plugina kaitsekiht peatab sõnumi rämpspostina ja loendab selles olevate linkide domeenid. Kord päevas teatab plugin meile neist domeenidest koos tabamuste arvuga, kõige rohkem 60 päevas; ei aadresse, teksti ega IP-aadresse (cfg/swarm_lib.php).
2. Kord päevas koostame sellest loendi: domeen kantakse sinna, kui sellest on seitsme päeva jooksul teatanud vähemalt kolm erinevat veebisaiti ja vähemalt viie tabamusega (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). Fikseeritud erandite loendis olevad suured teenused ja meie Klientide domeenid, mõlemal juhul koos alamdomeenidega, ei satu kunagi loendisse (cfg/swarm_lib.php).
3. Loend läheb kõigile ühendatud veebisaitidele igapäevase teate vastusega. Nende kaitsekiht suunab loendisse kantud domeenide linke sisaldavad sõnumid karantiini, mitte prügikasti.
4. Mis uues loendis enam ei esine, langeb välja; teated kustutatakse 30 päeva pärast (cfg/swarm_lib.php).
5. IP-võrgud (/24 või /48) on ette valmistatud, kuid välja lülitatud kuni õigusliku läbivaatuse lõpuleviimiseni (cfg/swarm_lib.php).

6.8 Tehisintellekti kasutamine

Keelemudel töötab meie oma skaneerimisserveris, mitte tehisintellekti teenusepakkuja juures. Seda kasutatakse kahes kohas: kontrolliteenuses liigitab see vorme, mille tüüpi reeglid ära ei tunne; seejuures näeb see lehe pealkirja, lehe aadressi, esitamisnuppude silte, väljade tüüpe, nimesid, silte ja kohatäiteid ning kuni 400 tähemärki vormi teksti (scanner/src/classify.js). Selle poole pöördutakse ainult siis, kui reeglid annavad tulemuseks „teadmata“; sel viisil liigitatud vorme ei esitata kunagi ja need ei mõjuta skoori ega hinnangut. Skoor, hinnang, kuritarvitamise vältimine, parvekaitse ja rämpspostireeglid on fikseeritud reeglid, mitte tehisintellekt. Funktsioonis „Fix it for me“ kirjutab see kleebitud vormikoodi ümber; koodi ei salvestata. Mudel ei tee inimeste kohta otsuseid. Lähemalt lehel ELi tehisintellekti määrus: kuidas formexposed tehisintellekti kasutab.

6.9 Õiguslikud alused

Töötlemistoiming	Õiguslik alus
P1 Tasuta kontroll: taotletud domeeni kontrollimine; piirangud ja kuritarvitamise vältimine	taotleja suhtes art 6(1)(b); haldaja ja kujutatud isikute suhtes art 6(1)(f); kuritarvitamise vältimine art 6(1)(f)
P2 Potentsiaalsete klientide kontroll	art 6(1)(f) (agentuuri ja formexposed õigustatud huvi)
P3 Uuring	art 6(1)(f)
P4 Kliendi domeenide kontrollimine	Kliendi suhtes art 6(1)(b); tema veebisaidil olevate kolmandate isikute andmete puhul Kliendi juhised art 28 alusel
P5 Skaneerimine sisselogimise taga	Kliendi juhised art 28 alusel; Kliendi õiguslik alus
P6 Kohaletoimetamise kontroll	Kliendi juhised art 28 alusel; Kliendi õiguslik alus (meie Klientidele mõeldud tekstisoovituses art 6(1)(f))
P7 Parvekaitse	art 6(1)(f) (ühine rämpspostitõrje paljudel veebisaitidel)

Meie õigustatud huvi P1–P3 puhul seisneb selles, et näidata haldajatele ja nende teenuseosutajatele nende vormide nõrkusi enne, kui neid rämpsposti või kuritarvitamise jaoks ära kasutatakse, ning teenuse osutamises. Andmed pärinevad avalikult kättesaadavatest allikatest. Huvide kaalumine on esitatud jaotises 7; kas art 6(1)(f) toetab kolmandate isikute veebisaitide kontrollimist taotluse alusel, on õigusliku läbivaatuse lahtine küsimus.

6.10 Vastuvõtjad ja edastamine kolmandatesse riikidesse

Vastuvõtja	Mida	Töötlemistoiming	Olek
Mitte keegi väljaspool formexposed	Kontrollitulemused, ekraanipildid, keelemudeli liigitus	P1–P5	Kontrolliteenus ja keelemudel töötavad meie oma serverites; roomaja kontrolliteel ei leitud ühtegi pöördumist kolmanda isiku poole peale kontrollitava veebisaidi enda, teenuste, mille sisu see manustab (nagu iga külastaja puhul), ja domeeni vanuse jaoks RDAP-teenuse rdap.org (ainult domeeninimi); seire jälgijad on loetletud järgmisel real
Igaüks, kes teab linki	Aruanne koos leidude ja ekraanipiltidega	P1, P2, P4	128-bitine juhuslik link (cfg/check_lib.php), lehed märkega noindex (www/report.php)
Teenused, mille poole Kliendi domeeni seire pöördub	DNS-blokeerimisloendid (SpamCop, PSBL, Mailspike, SURBL): serverite domeenid ja IP-aadressid, külastajate andmeid mitte; Google Web Risk ainult siis, kui see on seadistatud: avalehe aadress; ajatempliteenuse osutajad Certum ja DigiCert: ainult tõendilogi räsiväärtus; RDAP IANA registri kaudu: ainult domeeninimi; teenusepakkujate olekulehed: midagi ei edastata; wpvulnerability.net: plugina (ilma versioonita) või teema identifikaator ja WordPressi versioon	P4	kasutusel; üksikasjad dokumendis Isikuandmete töötlemise toimingute register ja lehel Alamtöötlejad
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Kontrollkoopiad, sealhulgas tõelised külastajasõnumid	P6	Leping on veel sõlmimata; töötlemiskoht ja edastamise mehhanism tuleb veel läbi vaadata
Namecheap, Inc. (USA)	Registripidaja ja DNS; kuni postkasti seadistamiseni meie domeeni aadressidele saadetud üldiste e-kirjade edasisuunamine, mitte kontrollkoopiate oma (need jõuavad postkasti ainult otse sinna osutavate MX-kirjete kaudu)	– (kontrollkoopiaid ei ole)	Edastamise mehhanism tuleb läbi vaadata
Kliendi valitud hoiatuskanalid (e-post, veebikonks, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	Sündmus, domeen, link; autentsuse kontrolli puhul saatja domeen, kui see ei kuulu veebisaidile	P4, P6	sihtkoha valib Klient; osaliselt väljaspool ELi. Telegrami sõnumid saadame oma roboti kaudu; selle edastamise mehhanism on õigusliku läbivaatuse lahtine küsimus
Kõik ühendatud veebisaidid	Linkide domeenide loend	P7	vastusena pluginale
Teine sond	Domeen, vormi aadress, selektor, sammud	P4	välja lülitatud

6.11 Säilitamine – mõõdetud, mitte kavatsetud

Kustutamine toimub enamasti öösel kell 03:00 olekuprotsessis (srv/cron_status.php, cfg/fristen_lib.php); parvekaitse teated ja potentsiaalsete klientide read kustutatakse iga päev alates kell 04:00, kohaletoimetamise kontrolli vastavused igal toomisel; anonüümsed ja potentsiaalsete klientide aruanded kustutatakse nende aegumiskuupäeva järgi (cfg/check_lib.php). Ekraanipildid kustutatakse kettalt koos nende skaneeringuga (cfg/fristen_lib.php).

Andmed	Tähtaeg koodi järgi	Allikaviide	Leid
Tasuta kontroll koos piltidega	30 päeva	cfg/check_lib.php	toimib
Potentsiaalsete klientide kontroll koos piltidega	90 päeva	cfg/akquise_lib.php; srv/cron_status.php (potentsiaalsete klientide read)	toimib
Kliendi domeeni kontrollid	13 kuud; viimane säilitatakse seni, kuni domeen on olemas	cfg/fristen_lib.php	toimib
Brauseriteekondade tulemused koos mustaks kaetud piltidega	13 kuud	cfg/fristen_lib.php	toimib
Kustutatud domeeni andmed	kohe; jäägid öösel	cfg/fristen_lib.php (fe_domain_loeschen(), fe_fristen_lauf())	toimib, sealhulgas skriptide inventuur ja skriptimuudatused, millel peale selle oma säilitamistähtaega ei ole (vt Isikuandmete töötlemise toimingute register)
Uuring: toorandmed koos piltidega	avaldamisel	cfg/studie_lib.php	avaldamiseta ajapiiranguta; kontrollitud hostide loend jääb alles ajapiiranguta ka pärast avaldamist
Sisemised kontrollid ilma domeeni ja aruandeta	puudub	–	kustutamist ei toimu; mõõdetud: 85 kontrolli 369 pildiga alates 22. septembrist 2026 (R4)
Kohaletoimetamise kontrolli vastavused	180 päeva	cfg/zustellung_lib.php	toimib
Autentsuse kontrolli tulemus domeeni juures	kuni järgmise tulemuse või domeeni kustutamiseni	cfg/zustellung_lib.php	kirjutatakse üle, ajaliselt piiramata
Kontrollkoopiad postkastis	kuni järgmise eduka toomiseni (viieminutiline intervall)	cfg/zustellung_lib.php	koopiad ja varukoopiad postkasti teenusepakkuja juures kontrollimata
Sisselogimise taga skaneerimise juurdepääsuandmed	kuni Kliendi poolt või domeeni kustutamiseni; töös kõige kauem käivituse lõpuni, jäägid ühe tunni pärast	cfg/login_lib.php	toimib; varukoopiates ainult krüptotekstina kuni 14 päeva
Parvekaitse teated	30 päeva	cfg/swarm_lib.php	toimib
Tasuta kontrolli piirangud (IP, riik, seansi räsi)	7 päeva	srv/cron_status.php	toimib
Märked silmatorkava käitumise kohta koos IP-aadressiga	90 päeva pärast lahendamist	srv/cron_status.php	lahendamata märked ajapiiranguta; mõõdetud: 3 märget, kõik lahendatud
Opt-out’iga seotud IP-aadress, riik, brauser	12 kuud; väljaarvamine jääb alles	cfg/fristen_lib.php	toimib
Andmebaasi varukoopiad	14 päeva	cfg/backup_lib.php	toimib; varukoopiaid hoitakse praegu andmebaasiga samas asukohas ja neid ei krüpteerita eraldi; kavas on krüpteeritud koopia teises asukohas (R13)

7. (b) Vajalikkuse ja proportsionaalsuse hindamine

Mõõdupuuks on nimetatud eesmärgid: näidata haldajatele, kas nende vormid on kaitstud rämpsposti ja kuritarvitamise eest (P1–P5), kontrollida, kas vormi e-kirjad jõuavad kohale ja näivad autentsed (P6), ning tõrjuda rämpsposti ühiselt paljudel veebisaitidel (P7). Need eesmärgid on õiguspärased. Art 35(7)(b) kohane küsimus on kitsam: kas see töötlemine on eesmärgi jaoks sellisel sügavusel vajalik ja kas sekkumine on kasuga proportsionaalne?

Komponent	Kas eesmärgi jaoks vajalik?	Kas ehitatud kujul proportsionaalne?
Mõne avaliku lehe toomine, vormide struktuur, tuvastatud kaitsemeetmed	Jah. Ilma nendeta ei ole leidu.	Jah. Kõige rohkem kaheksa lehte (lisaks jaotise 6.1 vaated), avalehe keeldu robots.txt-failis järgitakse, nähtavate väljade väärtusi ei loeta, saajate aadressid ainult domeenina.
Ekraanipilt vormi kohta	Jah, tõendina aruandes: haldaja näeb, millist vormi mõeldakse.	Suuresti. Väljad on tühjad, sest roomaja ei sisesta midagi. Pilt näitab aga vormielemendi ümbrust ilma midagi mustaks katmata (R3).
Avalehe ekraanipilt	Leiu enda jaoks ei ole vajalik. See aitab kontrollitud veebisaiti aruandes ära tunda.	Ainult piiratud ulatuses; kavas on täiendav minimeerimine. Avalehtedel on sageli näha inimesi: meeskonnafotod, kontaktisikud, klientide arvustused koos nimedega. Vt R3 ja jaotis 9.3.
Peidetud väljade väärtuste lugemine (esimesed 24 tähemärki, ainult kontrolli ajal)	Jah: nende põhjal tuvastatakse tõendid ja ajatemplid.	Jah. Salvestatakse ainult tuvastustulemus, mitte väärtus, ka sisselogimise taga (R8).
Testesituse vastusleht (pilt ja 300 tähemärki teksti)	Jah, tõendina selle kohta, kuidas vorm reageeris.	Jah. Vastus puudutab meie märgistatud testsõnumit, milles ei ole isikuandmeid.
Keelemudeli liigitus	Kasulik, mitte vajalik: ilma selleta jääb rohkem vorme „teadmata“ olekusse.	Jah. Kohalik, ilma avaldamiseta, ilma esitamisõiguseta.
Aktiivsed testesitused	Jah. Kas kaitse töötab, selgub alles siis, kui seda testitakse.	Jah, ülempiiri ja märgistusega. Eeltingimust – kontrolli tõendamist – ei uuendata aga kunagi (R7).
Avalike failide otsing	Jah Kliendi jaoks, kelle vormiandmed võivad seal avalikult kättesaadavad olla.	Jah. Ainult kinnitatud domeenid, kõige rohkem 8 KB, sisu ei salvestata kunagi.
Skaneerimine sisselogimise taga	Jah liikmeala vormide puhul, mis jääksid muidu kontrollimata.	Suuresti. Krüpteerimine ja kustutamine on hoolikalt üles ehitatud; sisselogimine aktsepteerib aga krüpteerimata ühendusi ja vigaseid sertifikaate (R8).
Tõeliste külastajasõnumite kontrollkoopia	Kohaletoimetamise tõendamiseks mitte. See tugineb ainult meie testi koopiale (cfg/zustellung_lib.php). Tõelised sõnumid tulevad kaasa, sest pimekoopia vormis ei erista testi ja tõelist sõnumit. Need on kasulikud autentsuse kontrolliks (SPF, DKIM, DMARC), sest näitavad tegelikku saatmisteed.	Osaliselt. Sisu ei salvestata, kuid seda loetakse, ja see jääb kuni toomiseni postkasti teenusepakkuja juurde, kellega leping on veel lahtine (R1, R2). Vähem sekkuv lahendus on tehniliselt võimalik: meie plugina abil saaks pimekoopia piirata märgistatud testsõnumitega (jaotis 9.3).
Tõeliste sõnumite saatja domeeni salvestamine	Osaliselt: see näitab, kas vorm saadab kirju külastaja aadressiga saatjana (sage põhjus, miks kiri liigitatakse rämpspostiks).	Tingimuslikult. Oma domeeniga üksikisiku puhul on domeen isikuandmed ja see läheb hoiatusega Kliendile ja tema kanalitesse (R1).
Linkide domeenide ühine loend	Jah. Rämpspostilink, mis ilmub korraga paljudel veebisaitidel, on tugev signaal, mida üksikul veebisaidil ei ole.	Jah, miinimumarvude, erandite ja kustutamise asemel karantiiniga. IP-võrgud ei oleks ilma uue hindamiseta proportsionaalsed.
Uuringu toorandmed	Kuni hindamiseni jah.	Ilma maksimaalse tähtajata mitte (R4).
Aruanne juhusliku lingi all	Jah. Aruande edastamine – näiteks veebisaiti hooldavale teenuseosutajale – on tasuta kontrolli eesmärk.	Jah. 128-bitine juhuslik link, noindex, tasuta aruanne ainult väljavõttena (cfg/check_lib.php, FE_FREE_DETEKTOREN), kustutamine 30 päeva pärast.

Seaduslikkus. P1–P3 ja P7 puhul tugineme art 6(1)(f)-le. Kaalumise poolt: andmed on avalikud ja need tuuakse samal viisil nagu iga külastaja seda teeb; midagi ei esitata; isikuandmed on juhuslikud ja väheolulised; tähtajad on lühikesed; haldaja saab välistada roomaja edasised kontrollid avalehe keeluga robots.txt-failis ja mis tahes edasise kontrolli meie opt-out lehe kaudu, kohe ja ilma tõendita; kasu – kaitstud vorm – tuleb ka haldajale ja tema külastajatele. Vastu: haldaja ei saa kontrollist teada, aruanne on mõeldud kolmandatele isikutele ja füüsilisest isikust ettevõtjate puhul hindab see isikut. Peame kaalumist põhjendatavaks seni, kuni jaotise 9.1 meetmed jäävad kehtima; õiguslik kinnitus on ootel.

Andmesubjektide teavitamine (art 13 ja 14). Teavitame haldajaid ja kontrollitud lehtedel olevaid inimesi roomaja lehe kaudu, mis on nimetatud iga toomise identifikaatoris, samuti Privaatsuspoliitika ja opt-out lehe kaudu. Ekraanipildil juhuslikult nähtavate inimeste individuaalne teavitamine oleks võimalik ainult siis, kui me nad tuvastaksime – mis oleks täiendav, raskem sekkumine. Selles ulatuses tugineme art 14(5)(b)-le. Külastajaid, kelle sõnumid läbivad kontrollkoopia, teavitab Klient; Isikuandmete töötlemise leping nõuab seda ja me pakume selleks tekstiploki.

Võimalikult väheste andmete kogumine (art 5(1)(c)). See on nähtav paljudes kohtades ja koodis põhjendatud: väljade väärtusi ei salvestata, saajate aadressid ainult domeenina, kontoidentifikaatorid skriptiaadressides peidetud, kontrollkoopia sisu andmebaasis puudub, sisselogimise taga ekraanipilte ei tehta, parvekaitses ainult domeenid. Kahes kohas on täiendav minimeerimine võimalik ja kavas (jaotis 9.3): mustaks katmata avalehe ekraanipildi ja tõeliste sõnumite saatja domeeni puhul.

Säilitamise piirang (art 5(1)(e)). Alates 27. septembrist 2026 järgib öine käivitus Kliendi andmete puhul Privaatsuspoliitikas toodud tähtaegu ja puhastab enne seda perioodi seotud domeenita jäänud andmed (cfg/fristen_lib.php). Lahtiseks jäävad kaks ajapiiranguta teed: sisemised kontrollid ja avaldamata uuringud (R4).

Õigsus (art 5(1)(d)). Leid võib olla vale: vorm näib kaitsmata, sest kaitse laaditakse alles pärast interaktsiooni, või tulemüür kohtles roomajat teisiti kui külastajat. Haldaja jaoks, kelle veebisaiti levitatakse avalikult kui „Avatud“, on see maine küsimus. Aruanne nimetab seetõttu meetodi, näitab tõendeid ja juhib tähelepanu väljastpoolt tehtava kontrolli piiridele.

Tulemus proportsionaalsuse kohta: Kolmandate isikute ja oma veebisaitide kontrollimine on oma ehitatud kujul põhiosas proportsionaalne. Kolmes kohas on vaja parandusi, mida saab teha tavapäraste vahenditega ja mille jaoks on kavandatud meetmed (jaotis 9.3): avalehe ekraanipildid, ajapiiranguta sisemised kontrollid ja krüpteerimata sisselogimine sisselogimise taga skaneerimisel. Kohaletoimetamise kontroll on proportsionaalne testkoopia ja autentsuse kontrolli osas; tõeliste külastajasõnumite puhul kehtib see ainult seni, kuni nende sisu ei salvestata, tee postkasti teenusepakkuja kaudu on lepinguliselt tagatud ja Klient teavitab oma külastajaid. Täna puudub neist kolmest punktist teine.

8. (c) Andmesubjektide õigusi ja vabadusi ähvardavate riskide hindamine

Hinnatakse riski andmesubjektidele, mitte formexposed-le. Tõenäosust hinnatakse kui vähetõenäolist, võimalikku, tõenäolist või realiseerunut; „realiseerunud“ tähendab, et sündmus ei ole prognoos, vaid mõõdetud seisund. Raskusastet hinnatakse kui piiratud, märkimisväärset, tõsist või väga tõsist, olenevalt sellest, mida isik võib kaotada: oma sõnumi konfidentsiaalsuse, kontrolli konto üle, oma ärimaine, võimaluse õigust kasutada. Tase tuleneb mõlemast ja kirjeldab praegust olukorda koos jaotise 9.1 meetmetega.

Nr	Risk	Töötlemistoiming	Tõenäosus	Raskusaste	Tase
R1	Tõelised külastajasõnumid kontrollkoopias, sealhulgas võimalikud eriliigilised andmed	P6	Sisselülitamisel realiseerunud	Tõsine	Kõrge
R2	Kontrollkoopia tee postkasti teenusepakkuja kaudu ilma sõlmitud lepinguta ja võimaliku seosega kolmanda riigiga	P6	Tõenäoline, kuni leping puudub	Tõsine	Kõrge
R3	Kolmandate isikute veebisaitide ekraanipildid ilma mustaks katmiseta	P1–P4	Tõenäoline	Piiratud	Keskmine
R4	Kontrolliandmed ja ekraanipildid ilma kustutamisteeta	P3, sisemised kontrollid	Realiseerunud	Märkimisväärne	Kõrge
R5	Kolmandate isikute veebisaitide kontrollimine ja avalik hindamine haldaja teadmata; väärkasutus luuretööriistana	P1	Võimalik	Märkimisväärne	Keskmine
R6	Potentsiaalsete klientide kontroll kui alus soovimatutele pöördumistele	P2	Tõenäoline	Piiratud	Keskmine
R7	Kontrolli tõendamist ei uuendata kunagi	P4, P5	Võimalik	Märkimisväärne	Keskmine
R8	Juurdepääsuandmed ja sisu sisselogimise taga skaneerimisel	P5	Võimalik	Tõsine	Keskmine; tõeliste kontode puhul kõrge
R9	Aktiivsed testesitused ja failikontroll Kliendi veebisaidil	P4	Vähetõenäoline	Märkimisväärne	Madal
R10	Liigitamine keelemudeli abil	P1–P4	Vähetõenäoline	Piiratud	Madal
R11	Paljude veebisaitide teadetest koostatud ühine blokeerimisloend	P7	Võimalik	Piiratud	Madal kuni keskmine; IP-võrkudega kõrge
R12	Aruanded ja ekraanipildid avaliku lingi all	P1, P2, P4	Võimalik	Piiratud	Madal
R13	Taristu nõrkused: varukoopiad, juurdepääs serveritele, skaneerimisserver	kõik	Võimalik	Tõsine	Kõrge
R14	Andmesubjekti õigused inimeste puhul, kes meid ei tunne	P1–P6	Tõenäoline	Piiratud	Madal

R1 – Tõelised külastajasõnumid kontrollkoopias

See on teenuse kõige tõsisem risk ja see ei tulene veast, vaid ülesehitusest. Pimekoopia vormis ei erista meie testsõnumit külastaja sõnumist. Kui Klient lülitab kohaletoimetamise kontrolli sisse, jõuab iga selle vormi kaudu saadetud sõnum meie kontrollpostkasti (cfg/zustellung_lib.php). Toomine loeb päised ja teksti esimesed 8 KB mällu, et otsida meie testi identifikaatorit (cfg/zustellung_lib.php). Tavalise kontaktivormi puhul tähendab see nime, e-posti aadressi, telefoninumbrit ja kogu sõnumit.

See, mida külastaja kirjutab, on tema otsustada, ja väli kutsub esitama isiklikku sisu: sümptomeid kirjeldav vastuvõtusoov arstipraksisele, õigusvaidluse kirjeldus advokaadibüroole, tööavaldus, lapse kohta esitatud päring koolile. Meie õigusdokumentides on öeldud, et koopiad „ei tohiks sisaldada eriliigilisi isikuandmeid“. See on palve Kliendile, mitte kaitsemeede: ei tema ega meie tea ette, mida külastaja kirjutab.

Sellega on seotud kaks kõrvalteed. Esiteks salvestab autentsuse kontroll saatja aadressi domeeni domeeni juurde (cfg/zustellung_lib.php). Kui vorm saadab kirja külastaja aadressiga saatjana, on see külastaja domeen – suure e-posti teenusepakkuja puhul tähenduseta, kuid oma domeeniga üksikisiku puhul isikuandmed. See domeen ilmub ka hoiatuses, mis läheb Kliendile ja tema valitud kanalitesse (cfg/zustellung_lib.php). Teiseks salvestab see saatva meiliserveri aadressi (cfg/zustellung_lib.php); reeglina on see veebisaidi server, mitte külastaja oma.

Tõenäosus – sisselülitamisel realiseerunud. Küsimus ei ole selles, kas tõelisi sõnumeid saabub, vaid kui palju. Arendussüsteemis mõõdetuna ei ole funktsioon ühegi domeeni puhul sisse lülitatud. Raskusaste – tõsine. Ettevõttele saadetud sõnumi konfidentsiaalsus on paljudele inimestele oluline ja mõne tüüpilise Kliendi puhul on oodata art 9 kohaseid andmeid. Raskusastet leevendab asjaolu, et sisu ei jõua andmebaasi, jääb postkasti vaid lühikeseks ajaks ja seda ei loe ükski formexposed inimene. Tase – kõrge.

R2 – Kontrollkoopia tee postkasti teenusepakkuja kaudu ilma sõlmitud lepinguta

Enne kui meie toomine kontrollkoopiat näeb, hoitakse seda postkastis teenusepakkuja Namecheap, Inc. (Private Email), Phoenix, Arizona, USA juures. Sinna jõuab see ainult siis, kui meie domeeni MX-kirjed osutavad otse sellele postkastile; edasisuunamine domeeniregistripidaja Namecheap, Inc. juures ei ole kontrollkoopiate peatus (edasisuunamise kaudu ei jõua need postkasti). Allesjäänud peatuse lepingulised küsimused on veel lahtised: leping postkasti teenusepakkujaga on sõlmimata, selle hoiukohad, alamtöötlejad ja varunduse tähtajad on kindlaks määramata ning lahtine on, kas selle töötlemiskoha puhul on vaja kaitse piisavuse otsust või lepingu tüüptingimusi ja kas need kohalduvad. Meie enda tehingupõhiste e-kirjade puhul on see lepingu kujundamise küsimus. Kontrollkoopiate puhul on see tõsisem: seal on need andmed, mida saame volitatud töötlejana, ja iga teenuseosutaja sellel teel on alamtöötleja, kelle eest vastutame art 28(4) alusel.

Lisaks kehtib „kustutatakse pärast toomist“ ainult meie vaates postkastile. Kas teenusepakkuja hoiab kustutatud e-kirju oma varukoopiates või prügikastis ja kui kaua, ei ole kontrollitud. Kui toomine katkeb, jäävad e-kirjad alles järgmise eduka käivituseni (cfg/zustellung_lib.php); kui olekuprotsess ebaõnnestub, jäävad need alles määramata ajaks. Lõpuks on toomise enda turvamine üks punktidest, mida tuleb tootmissüsteemis enne käivitamist kontrollida (jaotis 9.3).

Tõenäosus – tõenäoline, kuni leping puudub: iga kontrollkoopia läbib selle tee. Raskusaste – tõsine, samadel põhjustel nagu R1. Tase – kõrge. Rakenduse seadistuse kontroll-loend näitab puuduvat postkasti hoiatusena; lukku, mis blokeeriks kohaletoimetamise kontrolli ilma dokumenteeritud lepinguta, ei ole.

R3 – Kolmandate isikute veebisaitide ekraanipildid ilma mustaks katmiseta

Roomaja teeb ekraanipildi esimese lehe nähtavast alast ja iga nähtava vormi vormielemendi pildi (scanner/src/crawl.js). Seejuures ei kaeta midagi mustaks. Brauseriteekondade puhul on teisiti: seal maskeeritakse sisestusväljad enne ekraanipildi tegemist (scanner/src/browser.js). Seega on „puhastatud“ ainult brauseriteekondade pildid, mitte roomaja omad ega aktiivse kontrolli vastuslehe pilt.

Kuna roomaja ei sisesta midagi, on vormiväljad tühjad. Väikeettevõtte avaleht näitab aga sageli omanikku, meeskonda, klientide arvustusi koos nimede ja fotodega või vestlusakent töötaja pildiga. Kõik see on avalik; ekraanipilt muudab selle koopiaks, mida hoitakse meie juures, mis ilmub aruandes ja mida saab koos lingiga edasi anda.

Tõenäosus – tõenäoline. Arendussüsteemi andmestikus mõõdeti 432 ekraanipilti. Raskusaste – piiratud: sisu on juba avalik ja kontota kontrollide tähtajad on lühikesed. Tase – keskmine, sest kujutatud inimesed ei ole sellest teadlikud ja avalehe pilti ei ole leiu jaoks vaja.

R4 – Kontrolliandmed ja ekraanipildid ilma kustutamisteeta

Öine käivitus kustutab kontrolle kahel teel: aruande aegumiskuupäeva kaudu (cfg/check_lib.php) ja Kliendi domeeni kontrollide tähtaja kaudu (cfg/fristen_lib.php, ainult domeeniga kontrollide puhul). Kontroll, millel ei ole ei aruannet ega domeeni, kukub mõlemast võrgust läbi. Need on usaldustasemega „sisemine“ kontrollid: uuringud ja kontrollid, mille teenuseosutaja loob käsurealt.

• Uuringud kustutavad oma toorandmed avaldamisel (cfg/studie_lib.php). Kui uuringut kunagi ei avaldata – kuna selles on liiga vähe vormiga veebisaite (cfg/studie_lib.php keeldub siis avaldamisest) või kuna see jäetakse seisma –, jäävad kontrollid, vormid, leiud ja ekraanipildid alles ajapiiranguta.
• Käsurealt tehtud sisemistel kontrollidel ei ole üldse kustutamisteed. Mõõdetud 11. oktoobril 2026: 85 sellist kolmandate isikute veebisaitide kontrolli 978 vormi ja 369 ekraanipildiga, vanim 22. septembrist 2026, ühelgi ei ole aruannet ega domeeni.
• Märked silmatorkava käitumise kohta tasuta kontrollis sisaldavad IP-aadressi ja need kustutatakse 90 päeva pärast nende lahendamist (srv/cron_status.php). Märge, mida kunagi ei lahendata, jääb alles. Mõõdetud: kolm märget, kõik lahendatud.

Tõenäosus – realiseerunud. 85 kontrolli ei ole stsenaarium, vaid olemasolevad andmed. Arendussüsteemis on need välitesti kontrollid; tootmissüsteemis kehtib sama kood. Raskusaste – märkimisväärne: nendel andmetel ei ole säilitamistähtaega. Säilitamise piirangu põhimõtte (art 5(1)(e)) seisukohast on see lahtine punkt kavandatud meetmega (jaotis 9.3, prioriteet „esimene“) ja see puudutab just inimesi, kes kontrollist midagi ei tea. Sisemisi kontrolle on kirjeldatud dokumendis Isikuandmete töötlemise toimingute register; Privaatsuspoliitika neid veel eraldi ei nimeta (jaotis 9.4). Tase – kõrge.

R5 – Kolmandate isikute veebisaitide kontrollimine ja avalik hindamine haldaja teadmata

Igaüks võib lasta kontrollida mis tahes avalikult juurdepääsetavat veebisaiti, ilma kontota ja ilma igasuguse seoseta sellega. Haldajat ei teavitata. Tulemuseks on aruanne, mis hindab veebisaiti kui „Avatud“, „Osaliselt kaitstud“ või „Kaitstud“ ja mida näeb igaüks, kellel on link. Andmesubjektide jaoks on mõeldavad kaks tagajärge. Füüsilisest isikust ettevõtja saab avalikult – kas või ainult lingi saajate jaoks – hinnangu, mis võib olla väärleid. Ja aruanne näitab rämpspostitajale, millist vormi saab takistusteta täita.

Sellele vastanduvad mitmed blokeeringud (cfg/check_lib.php): kõige rohkem üks kontroll domeeni kohta seitsme päeva jooksul, seejärel sama aruanne; piirangud IP-aadressi ja seansi kohta; kogu teenuse päevane ülempiir; väga uute domeenide kontrolli ei tehta, kuna need on kuritarvitamisele tüüpilised; silmatorkava käitumise korral märge ja signaal; robots.txt ja opt-out, mida kontrollitakse kaks korda (cfg/check_lib.php ja kontrolliteenuses). Tasuta aruanne on väljavõte: see näitab ainult põhilisi leide, mitte kõigi detektorite tõendeid. Ja see ei ütle midagi, mida robot ei suudaks sekunditega ise välja selgitada – kaitsmata vorm on väljastpoolt nähtav.

Tõenäosus – võimalik. Raskusaste – märkimisväärne füüsilisest isikust ettevõtja jaoks, kelle vorm satub pärast aruannet sihtmärgiks või kelle hinnang on vale. Tase – keskmine.

R6 – Potentsiaalsete klientide kontroll kui alus soovimatutele pöördumistele

Liideses kirjeldatakse potentsiaalsete klientide kontrolli kui „uksetajat esimeseks vestluseks“. Kuidas agentuur lühileidu kasutab, on agentuuri otsustada; tehniliselt võib ta selle saata ka haldajale, kes seda ei küsinud. Meie kellegagi ühendust ei võta (cfg/akquise_lib.php) ja Kasutustingimused kohustavad agentuuri järgima reklaami ja pakkumiste tegemise reegleid. Soovimatu e-kiri leiuga on aga otseturundus ka ettevõtete vahel, mis Poolas (elektroonilise side seaduse (Prawo komunikacji elektronicznej, PKE) art 398) ja Saksamaal (Saksamaa kõlvatu konkurentsi vastase seaduse (Gesetz gegen den unlauteren Wettbewerb, UWG) § 7(2)) nõuab eelnevat nõusolekut. Liides sellele tähelepanu ei juhi; potentsiaalsete klientide kontrolli tekstid räägivad ainult „passiivsest“ kontrollist ja „opt-out loendist“.

Tõenäosus – tõenäoline, sest funktsioon teenib klientide hankimist ja me ei saa kontrollida, kas saaja on nõusoleku andnud. Raskusaste – piiratud: haldaja jaoks on see tüütu turunduskiri koos tema veebisaidi hinnanguga. Tase – keskmine. Risk peitub agentuuri käitumises; kuna funktsioon pärineb meilt, on liideses kavas vastav märkus (jaotis 9.3).

R7 – Kontrolli tõendamist ei uuendata kunagi

Aktiivsed testesitused, avalike failide otsing ja skaneerimine sisselogimise taga eeldavad, et Klient on tõendanud oma õigust domeeni kontrollida. Seda tõendit kontrollitakse üks kord (cfg/verify_lib.php) ja mitte kunagi uuesti. Koodis puudub tee, mille kaudu domeen oma tõendi kaotaks. Kui domeen vahetab omanikku, agentuur lõpetab töövõtu või haldaja eemaldab DNS-kirje, jätkuvad kontrollid – kuni iga päev, kuni viie testesitusega ning salvestatud testkonto puhul ka selle kontoga sisselogimisega, millest uus haldaja ei pruugi teada. Seevastu ei ole võimalik tõendit ümbernimetamise teel teisele hostile üle kanda: kontrolli tõendanud domeeni hostinime ei saa muuta.

Tõenäosus – võimalik: domeeni- ja töövõtumuudatused on agentuuride jaoks igapäevased. Raskusaste – märkimisväärne uue haldaja ja tema töötajate jaoks, kes saavad märgistatud testsõnumeid ja kelle veebisaidilt otsitakse ilma nende nõusolekuta avalikke faile. Tase – keskmine. Testsõnumid selgitavad end ise ja viitavad roomaja lehele ja opt-out’ile; opt-out toimib ka Klientide kontrollide vastu.

R8 – Juurdepääsuandmed ja sisu sisselogimise taga skaneerimisel

Juurdepääsuandmete krüpteerimine on hoolikalt üles ehitatud: veebiserver ei saa neid pärast salvestamist enam lugeda, andmebaas ja varukoopia sisaldavad ainult krüptoteksti, kirje on seotud oma domeeniga, juurdepääsuandmed jõuavad konteinerisse ainult standardsisendi kaudu ja kustutatakse seejärel mälust (jaotis 6.5). Alles jääb kaks lünka; kolmas punkt puudutab ainult lugemist, mitte salvestamist.

• Krüpteerimata sisselogimine on lubatud. Aadressikontroll lubab https kõrval ka http (cfg/login_lib.php, scanner/src/login.js). Kui Klient sisestab sisselogimislehe aadressi http-ga, liiguvad kasutajanimi ja parool igal kontrollil üle interneti lihttekstina.
• Sertifikaadivead ei peata sisselogimist. Sisselogimine ei katke praegu, kui Kliendi saidi sertifikaat on kehtetu (scanner/src/login.js). Seega ei kaitse sertifikaat juurdepääsuandmeid teel Kliendi saidile täielikult. Sertifikaadivigade korral katkestamine on kavas (jaotis 9.3, prioriteet „esimene“).
• Peidetud väljade väärtusi sisselogimise taga loetakse, kuid ei salvestata. Roomaja loeb peidetud väljade väärtuse esimesed 24 tähemärki (scanner/src/crawl.js) ja sama ekstraktimisfunktsioon töötab ka sisselogimise taga (scanner/src/login.js). Seal sisaldavad peidetud väljad sageli kontonumbrit, kasutaja identifikaatorit või sisselogitud konto e-posti aadressi; väljakaardile ja leidudesse jõuavad aga ainult välja nimi, tüüp, silt ja tuvastustulemus.

Lisaks on see, mida kood ei saa takistada: Klient kinnitab, et kasutab võimalikult väheste õigustega testkontot (cfg/login_lib.php), kuid ta võib sisestada ka tõelise administraatorikonto. Lehed, mida skanner seejärel loeb, määrab Klient; väljalogimise ja kustutamise sõnu sisaldavad aadressid on blokeeritud, kuid muud toimingud, mida veebisait lihtsa päringu peale käivitab, mitte.

Tõenäosus – võimalik. Raskusaste – tõsine, kui puudutatud on laiade õigustega konto; siis on avatud liikmeala kõigi kasutajate andmetega. Tase – keskmine väheste õigustega testkonto puhul, kõrge tõelise konto puhul. Arendussüsteemis mõõdetuna ei ole ühtegi testkontot salvestatud.

R9 – Aktiivsed testesitused ja failikontroll Kliendi veebisaidil

Testesitus läheb inimestele, kes loevad Kliendi vormi e-kirju – tema töötajatele või teenuseosutajale. See ei sisalda isikuandmeid: saatja on dummy@formexposed.com, tekst ja teema on märgistatud ning neis on märgitud kontrolli identifikaator (scanner/src/active.js). Risk peitub väärliigitamises: kui skanner peaks kandideerimis-, broneerimis- või nõustamisvormi kontaktivormiks, satuks testsõnum protsessi, millel on tagajärjed. Sellele vastanduvad „esitatava“ ranged reeglid (scanner/src/classify.js), avaliku sektori asutuste, haridusasutuste, kliinikute, arstipraksiste, politsei ja kohtute domeenide blokeering (scanner/src/classify.js) ning keelemudeli väljaarvamine sellest otsusest (scanner/src/classify.js). Vastusest salvestatakse olek, sihtaadress, pealkiri, 300 tähemärki teksti ja pilt; need puudutavad meie testsõnumit.

Failikontroll loeb tüüpilistest teedest kõige rohkem 8 KB. Kui seal on tõesti avalikult kättesaadav andmebaasi tõmmis, võivad need 8 KB sisaldada külastajate tehtud vormisisestusi. Neid kontrollitakse ainult signatuuri suhtes ja visatakse ära (cfg/dateien_lib.php); salvestatakse tee, tüüp ja raskusaste.

Tõenäosus – vähetõenäoline. Raskusaste – märkimisväärne. Tase – madal. Arendussüsteemis mõõdetuna on andmestikus üks aktiivne kontroll, ilma vastuvõetud esituseta.

R10 – Liigitamine keelemudeli abil

Vormide puhul, mida reeglid ära ei tunne, saab keelemudel lehe pealkirja, aadressi, nuppude tekstid, väljade kirjeldused ja kuni 400 tähemärki vormi teksti (scanner/src/classify.js). See võib sisaldada nime, näiteks „Teie kontaktisik: …“. See töötab meie oma serveris; koodi järgi ei lähe midagi kolmandale isikule. Kas mudeli tarkvara logib päringuid, ei ole kontrollitud. Selle tulemus määrab ainult kuvatava vormi tüübi ega saa muuta vormi esitatavaks; väärliigitus toob kaasa halvema leiu, mitte toimingu.

Tõenäosus – vähetõenäoline. Raskusaste – piiratud. Tase – madal.

R11 – Paljude veebisaitide teadetest koostatud ühine blokeerimisloend

Loendis olev domeen põhjustab selle linke sisaldavate sõnumite sattumise karantiini kõigil ühendatud veebisaitidel. Kui domeen kuulub üksikisikule – käsitöölisele, fotograafile, blogile –, jõuavad tema sõnumid, mis sisaldavad linki tema enda veebisaidile, saajateni hilinemisega. Selline domeen võib loendisse sattuda, kuna rämpspostitajad seda väärkasutavad või kuna keegi saadab tahtlikult seda sisaldavaid tagasilükatavaid sõnumeid mitmele veebisaidile.

Sellele vastanduvad (cfg/swarm_lib.php): vähemalt kolm erinevat veebisaiti ja viis tabamust seitsme päeva jooksul; fikseeritud erandid suurtele teenustele; mitte kunagi meie Klientide domeenid; käsitsi eemaldamine serveris oleva tööriistaga; kustutamise asemel karantiin; loend koostatakse iga päev uuesti ja mida enam ei teatata, see langeb välja. Puudutatud isikud ei näe loendit ja neil ei ole oma teed eemaldamise nõudmiseks, välja arvatud meie kaudu.

Tõenäosus – võimalik. Raskusaste – piiratud, sest midagi ei lähe kaduma ja saaja saab sõnumi vabastada. Tase – madal kuni keskmine. Sisselülitatud IP-võrkude korral puudutaks see terveid teenusepakkujate võrke, IP-aadressid on isikuandmed ja raskusaste tõuseks märkimisväärseks: kõrge.

R12 – Aruanded ja ekraanipildid avaliku lingi all

Tasuta kontrolli, potentsiaalsete klientide kontrolli ja Kliendi domeenide kontrollide aruanded on juhusliku lingi all kättesaadavad ilma sisse logimata. Link sisaldab 128 bitti juhuslikkust ja seda ei saa ära arvata (cfg/check_lib.php). Lehtedel on märge noindex, rakendus saadab viitajapoliitika (referrer policy), mis edastab ainult päritolu (www/.htaccess), ja ekraanipilte edastatakse ainult koos aruandega, mille juurde need kuuluvad; muu pildinumbri korral vastatakse „ei leitud“ (www/shot.php). Risk ei ole krüptograafiline, vaid inimlik: link antakse edasi, kopeeritakse piletisse, jagatakse vestluses. See, kes selle avab, registreeritakse ainult lehe juurdepääsulogis nagu iga lehevaatamine (60 päeva), kus link ise on ainult maskeeritud kujul; aruande kohta lugejate loendit ei ole.

Tõenäosus – võimalik. Raskusaste – piiratud, sest aruanne näitab ainult avalikku teavet ja aegub vastavalt 30 või 90 päeva pärast; Kliendi domeenide aruanded jäävad kättesaadavaks seni, kuni kontroll on olemas (13 kuud, viimane kauem). Tase – madal.

R13 – Taristu nõrkused

Järgmised punktid on meie sisemises läbivaatuspaketis märgitud lahtisteks ja neid ei ilustata siin. Kirjeldame neid nii täpselt, kui Kliendid vajavad oma hindamiseks, kuid mitte nii täpselt, et kirjeldus näitaks ründajale teed; üksikasjad esitame järelevalveasutusele taotluse korral.

• Andmebaasi varukoopiaid hoitakse praegu andmebaasiga samas asukohas ja neid ei krüpteerita eraldi; kavas on krüpteeritud koopia teises asukohas (cfg/backup_lib.php). Seni ei kaitse need asukoha kaotuse eest ja kes saab kätte andmebaasi, saab kätte ka varukoopiad. Sisselogimise taga skaneerimise juurdepääsuandmed sisalduvad neis ainult krüptotekstina.
• Andmebaasi ei krüpteerita puhkeolekus. Erandiks on väljad, mis on krüpteeritud eraldi (testkontode juurdepääsuandmed, kaheastmelise autentimise saladus).
• Ühendused meie sisevõrgus ei ole läbivalt krüpteeritud.
• Serverihaldus. Meie serverite haldusjuurdepääsu turvalisus ei vasta veel tasemele, mida me käitamiseks kavandame; serverihalduse turvamine jätkub.
• Kontrollikeskkond. Skaneerimisserver avab kolmandate isikute veebisaite brauseris. Kontrollikonteinerid on isoleeritud – oma võrk, ilma eriõigusteta, kirjutuskaitstud, piiratud (scanner/src/worker.js). Kontrollikeskkonna ja teenuse muude osade eraldatust tugevdatakse veelgi (jaotis 9.3).

Tõenäosus – võimalik. Raskusaste – tõsine, sest hädaolukorras puudutaks see kõike korraga. Tase – kõrge. Üksikuid punkte saab kõrvaldada tavapäraste vahenditega (jaotis 9.3).

R14 – Andmesubjekti õigused inimeste puhul, kes meid ei tunne

See, kes ilmub juhuslikult ekraanipildile või kelle sõnum läbis kontrollkoopia, ei tea tavaliselt, et me olemas oleme. Isegi kui teab, ei ole tal „oma“ andmete jaoks võtit: me ei hoia neid isiku, vaid domeeni ja kontrolli kaupa. Art 15 kohasele juurdepääsutaotlusele saame vastata ainult siis, kui isik nimetab domeeni; siis saame olemasolevad kontrollid ja pildid läbi vaadata. Tõeliste külastajasõnumite puhul ei ole midagi avaldada, sest me neid ei salvesta – välja arvatud R1 juures nimetatud saatja domeen. Opt-out toimib ainult domeeni haldajate, mitte kujutatud inimeste puhul; nende jaoks jääb tee aadressi contact@lukaswojcik.com kaudu.

Tõenäosus – tõenäoline struktuurse olukorrana. Raskusaste – piiratud, sest andmed on lühiajalised ega ole isikute kaupa korrastatud. Tase – madal.

9. (d) Meetmed riskide käsitlemiseks

Igal meetmel on olek ja olekud ei ole dekoratiivsed. Täna rakendatud – kontrollitud tähendab: loetud arendussüsteemi koodist ja võimaluse korral mõõdetud andmebaasi põhjal. Osaline tähendab: mehhanism on olemas, kuid ei saavuta veel täielikult oma eesmärki. Kavandatud tähendab: selle hinnangu käigus välja pakutud ja ehitamata; kas ja millal, otsustab omanik. Veel kindlaks määramata on menetlused ja otsused, mida ükski kood ei asenda. Mõjuhinnang, mis esitab kavandatud meetmeid rakendatutena, kaotab oma väärtuse just olukorras, kus seda vajatakse.

9.1 Täna rakendatud – kontrollitud

Meede	Käsitleb	Allikaviide
Roomaja loeb robots.txt-faili enne iga kontrolli; avalehte hõlmav välistamine, kättesaamatu robots.txt või serveri viga lõpetab kontrolli (alamteid eraldi ei järgita; pulss, tõendi toomine, päisetööriist ja failiotsing seda ei loe)	R5, seaduslikkus	scanner/src/net.js
Opt-out ilma tõendita, kohe jõustuv, domeenile ja selle www-variandile, anonüümsetele kontrollidele, potentsiaalsetele klientidele, uuringutele ja Klientide kontrollidele (käimasolev seire lõpeb järgmise plaanilise kontrolliga); kontrollitakse kaks korda (rakendus ja kontrolliteenus); tühistatakse ainult meie poolt taotluse alusel ja tõendiga	R5, R7, art 21	cfg/check_lib.php; cfg/akquise_lib.php; cfg/studie_lib.php; scanner/src/worker.js
Tasuta kontroll: hädapeatamine, reCAPTCHA, üks kontroll domeeni ja nädala kohta, piirangud IP-aadressi ja seansi kohta, päevane ülempiir, uusi domeene ei kontrollita, ainult avalikud aadressid, anomaaliate korral märge ja sisuta signaal	R5	cfg/check_lib.php
Piirangute jaoks salvestatakse seanss ainult räsiväärtusena, mitte kunagi seansi identifikaatorina	Minimeerimine	cfg/check_lib.php
Väljade väärtusi ei salvestata (peidetud väljade ja andmeatribuutide algust loetakse ainult kontrolli ajal, jaotis 6.2); saajate aadressid ainult domeenina; kontoidentifikaatorid skriptiaadressides peidetud	Minimeerimine	scanner/src/crawl.js
Tasuta aruanne on väljavõte: ainult põhilised leiud, mitte kõigi detektorite tõendid	R5	cfg/check_lib.php, FE_FREE_DETEKTOREN
Aruanded 128-bitise juhusliku lingi all, noindex, pildid ainult oma aruande jaoks, väljaspool avalikku veebikataloogi; lehe juurdepääsulogis on link ainult maskeeritud kujul	R12	cfg/check_lib.php; www/report.php; www/shot.php
Kustutamine: anonüümsed aruanded 30 päeva pärast, potentsiaalsed kliendid 90 päeva pärast, Klientide kontrollid 13 kuu pärast (iga domeeni viimane säilitatakse seni, kuni domeen on olemas), kustutatud domeeni andmed kohe (erandid vt jaotis 6.11), pildid igal juhul koos nendega	Säilitamise piirang	cfg/check_lib.php; cfg/fristen_lib.php
Uuring: avaldamine ainult koondandmetena, segmendid ainult alates 20 vormiga veebisaidist, toorandmed kustutatakse avaldamisel	R4 osaliselt, P3	cfg/studie_lib.php
Kontrollikonteinerid: oma isoleeritud võrk, ilma eriõigusteta, kirjutuskaitstud, mälu- ja protsessipiirangud, ajapiirang; iga päringu puhul filter privaatsete sihtkohtade vastu, service worker'id blokeeritud ja WebSocket-ühendused suletud, et miski filtrist mööda ei läheks; veebiserveri päringud ainult veebiportidele ja ainult täpselt eelnevalt kontrollitud avalikule aadressile	R13	scanner/src/worker.js; scanner/src/net.js
Aktiivne kontroll Klientidele ainult kinnitatud domeeni puhul (sisemiselt ka meie oma test- ja demodomeenide puhul) ja sisselülitatud hädapeatamisega, kontrollitakse kaks korda; kõige rohkem viis esitust; ainult selgelt tuvastatud kontaktivormid ilma kohustuslike isikuandmeteta; ei avaliku sektori asutuste, haridusasutuste, kliinikute, arstipraksiste, politsei ega kohtute domeene; keelemudel ei tohi midagi vabastada; testsõnum ilma isikuandmeteta, märgistatud, viitega roomaja lehele ja opt-out’ile	R9	scanner/src/worker.js; scanner/src/classify.js; scanner/src/active.js
Brauseriteekonnad: ainult GET ja HEAD, ohtlikud aadressid blokeeritud, väljamõeldud väärtused ei lahku brauserist, pildid mustaks kaetud sisestusväljadega	R3 (nende piltide puhul), R9	scanner/src/browser.js
Failikontroll: ainult kinnitatud domeenid, üks toomine tee kohta, kõige rohkem 8 KB, sisu ei salvestata kunagi	R9	cfg/dateien_lib.php
Teine sond: vaikimisi välja lülitatud; saaks ainult fikseeritud loendi kahjutuid andmeid, allkirjastatult	Vastuvõtjad	cfg/formular_probe_lib.php
Skaneerimine sisselogimise taga: ainult kinnitatud domeen, tasuline pakett, omanik või administraator, „testkonto“ kinnitus; krüpteerimine skaneerimisserveri avaliku võtmega, seotud domeeniga; juurdepääsuandmeid ei kuvata, logita ega väljastata kunagi API kaudu; üleandmine ainult standardsisendi kaudu; väli töös tühjendatakse kohe, jäägid ühe tunni pärast; ekraanipilte ja esitusi ei tehta, väljalogimise ja kustutamise aadressid on blokeeritud, CAPTCHA korral katkestamine; lõplik kustutamine koos ülekirjutamisega	R8	cfg/login_lib.php; scanner/src/login.js; scanner/src/geheim.js; scanner/src/worker.js
Kohaletoimetamise kontroll: vaikimisi välja lülitatud; toomine loeb ainult päised ja 8 KB, ilma loetuks märkimata; sisu ja külastaja aadress ei jõua kunagi andmebaasi; iga toodud e-kiri kustutatakse, ka sidumata jäänud; vastavused kustutatakse 180 päeva pärast; tõend ainult täpselt selle testi koopia kaudu	R1, R2	cfg/zustellung_lib.php
Parvekaitse: ainult domeenid, IP-võrgud väljas; miinimumarvud; erandid suurtele teenustele ja Klientide domeenidele; kustutamise asemel karantiin; loend koostatakse iga päev uuesti; teated kustutatakse 30 päeva pärast	R11	cfg/swarm_lib.php
Keelemudel meie oma serveris, ilma esitamisõiguseta	R10	scanner/src/classify.js
Telegrami kaudu saadetavad signaalid sisaldavad ainult fikseeritud lauset ilma muutujateta	Vastuvõtjad	cfg/check_lib.php
Varukoopia iganädalane taastamistest, ebaõnnestumise korral hoiatus	Käideldavus	cfg/backup_lib.php; srv/cron_status.php

9.2 Osaline – olemas, kuid ei saavuta veel oma eesmärki

Meede	Miks see ei ole veel täielikult tõhus
„Puhastatud“ ekraanipildid	Mustaks kaetakse ainult brauseriteekondade pildid. Roomaja pilte – avaleht ja vormielemendid – ega aktiivse kontrolli vastuslehe pilti ei kaeta (R3).
Kontrolliandmete tähtajad	Toimivad anonüümsete, potentsiaalsete klientide ja Klientide kontrollide puhul; mitte sisemiste kontrollide ja avaldamata uuringute puhul; lahendamata anomaaliamärked ajapiiranguta (R4).
Kontrollkoopiate kustutamine	Toimib meie vaates postkastile. Kui käivitus katkeb, jäävad e-kirjad alles; mida postkasti teenusepakkuja oma varukoopiates hoiab, ei ole kontrollitud (R2).
Juurdepääsuandmete kaitse sisselogimise taga skaneerimisel	Tugev puhkeolekus ja kontrolliteenuses; mitte teel veebisaidile: http on lubatud, sertifikaadivigu eiratakse (R8).
Kontrolli tõendamine	Kontrollitakse üks kord ja kehtib seejärel igavesti; kontrolli tõendanud domeeni hostinime ei saa aga muuta, nii et tõend ei läheks üle teisele hostile (R7).
Andmesubjektide teavitamine	Haldajate jaoks olemas roomaja lehe, identifikaatori, Privaatsuspoliitika ja opt-out’i kaudu; kohaletoimetamise kontrolli külastajate puhul sõltub sellest, kas Klient võtab tekstiploki kasutusele; rakendus seda ei kontrolli.
Palve Klientidele mitte suunata eriliigilisi andmeid kontrollkoopiasse	Esitatud õigusdokumentides, kuid tehniliselt toetamata: seadistamisel ei küsi rakendus veebisaidi tüüpi ega hoiata tervise, õiguse või haridusega seotud välimusega domeenide puhul (R1).

9.3 Kavandatud – rakendamata

Meede	Käsitleb	Prioriteet
Sisemiste kontrollide kustutamistee: kustutada kontrollid ilma domeeni ja aruandeta kindla tähtaja möödudes (ettepanek: 30 päeva); kustutada uuringu toorandmed hiljemalt kindla tähtaja möödudes pärast selle lõpetamist, ka ilma avaldamiseta (ettepanek: 90 päeva); kustutada ühekordselt olemasolevad 85 kontrolli 369 pildiga	R4	Esimene
Lubada kohaletoimetamise kontroll alles siis, kui leping postkasti teenusepakkujaga on sõlmitud, hoiukohad, alamtöötlejad ja varunduse tähtajad on dokumenteeritud, postkasti teenusepakkuja edastamise mehhanism on selgitatud ja meie domeeni MX-kirjed osutavad otse postkastile; seni hoida funktsioon tootmissüsteemis blokeerituna	R2	Esimene
Kontrollida postkasti toomise turvalisust tootmissüsteemis ja dokumenteerida see enne kohaletoimetamise kontrolli lubamist	R2	Esimene
Skaneerimine sisselogimise taga ainult https kaudu ja kehtiva sertifikaadiga; lükata http-aadressid tagasi; sertifikaadivead sisselogimisel katkestamise põhjusena	R8	Esimene
Mitte salvestada peidetud väljade väärtusi sisselogimise taga (ainult nimi, tüüp ja pikkus) – juba nii rakendatud, edasist sammu ei ole	R8	Tehtud
Piirata kontrollkoopia testsõnumitega seal, kus kasutatakse pluginat või laiendust: pimekoopia ainult meie testi identifikaatoriga esitustele	R1	Kõrge
Mitte salvestada tõeliste sõnumite saatja domeeni ega kirjutada seda hoiatustesse, kui see ei ole ei veebisaidi domeen ega tuntud saateteenuse domeen; hoiatuses selle asemel „võõras saatja domeen“	R1	Kõrge
Hoiatus kohaletoimetamise kontrolli seadistamisel tervise, õiguse, sotsiaalteenuste või haridusega seotud välimusega domeenide puhul koos viitega Kliendi enda mõjuhinnangule	R1	Kõrge
Uuendada kontrolli tõendamist regulaarselt (ettepanek: enne iga aktiivset kontrolli kontrollida, kas DNS-kirje, metasilt, fail või plugina ühendus on endiselt olemas; vastasel juhul jätkata passiivselt ja teavitada Klienti)	R7	Kõrge
Lõpetada avalehe pildistamine või teha seda ainult mustaks kaetud piltide ja nägudega; piirata vormipildid vormielemendiga (nagu praegu) ja maskeerida sisestusväljad nagu brauseriteekondade puhul	R3	Kõrge
Märkus potentsiaalsete klientide kontrolli liideses: lühileiu soovimatu saatmine e-posti või telefoni teel on otseturundus ka ettevõtete vahel ja nõuab eelnevat nõusolekut (Poola elektroonilise side seaduse art 398; Saksamaal UWG § 7(2), kuigi ettevõtetele helistamisel piisab eeldatavast nõusolekust)	R6	Kõrge
Taristu: viia lõpule serverihalduse turvamine; varukoopia krüpteeritud koopia teises asukohas; krüpteerida sisevõrgu ühendused läbivalt; tugevdada veelgi skaneerimisserveri ja rakenduse eraldatust	R13	Kõrge
Tähtaeg lahendamata anomaaliamärgetele (ettepanek: lahendamine 30 päeva jooksul, vastasel juhul IP-aadressi kustutamine)	R4	Keskmine
Leht või vorm, mille kaudu saab taotleda domeeni eemaldamist parvekaitsest	R11, R14	Keskmine
Enne IP-võrkude sisselülitamist parvekaitses: selle hinnangu uus versioon	R11	Tingimus
Teha kindlaks, kas keelemudeli tarkvara salvestab päringuid, ja kui jah, lülitada need logid välja	R10	Madal

9.4 Veel kindlaks määramata menetlused ja otsused

Lisaks tehnilistele kaitsemeetmetele nõuab art 35(7)(d) ka menetlusi. Need on veel tegemata:

• Isikuandmetega seotud rikkumine. Avastamine: omanik, rakenduse veahoiatus, teated haavatavustest teatamise punkti või aadressi contact@lukaswojcik.com kaudu. Otsus UODO-le 72 tunni jooksul teatamise kohta (art 33(1)): omanik. Puudutatud Klientide kui vastutavate töötlejate teavitamine: põhjendamatu viivituseta, võimaluse korral 48 tunni jooksul, nagu on lubatud isikuandmete töötlemise lepingus. Kindlaks määrata: kirjalik menetluse kirjeldus ja esimene õppus; kohaletoimetamise kontrolli puhul lisaks see, kuidas teha kindlaks, milliseid Kliente postkasti teenusepakkuja juures toimunud rikkumine puudutab.
• Sektorid. Kindlaks määrata: kas kohaletoimetamise kontrolli pakutakse tervishoiu, õiguse, sotsiaalteenuste ja hariduse valdkonna veebisaitidele, pakutakse hoiatusega või jäetakse need välja.
• Sisemised kontrollid. Kindlaks määrata: milleks teenuseosutaja käsurealt tehtavaid sisemisi kontrolle kasutab, kes võib neid luua ja kui kaua nende tulemused alles jäävad; ning kas need tuleb lisaks isikuandmete töötlemise toimingute registrile nimetada ka Privaatsuspoliitikas.
• Uuringud. Kindlaks määrata: kes koostab loendeid, millistest allikatest, millise maksimaalse suurusega, ning enne iga uuringut tehtav kontroll, kas see vastab selle hinnangu eeldustele.
• Andmesubjektide arvamused (art 35(9)). Selle versiooni jaoks neid ei küsitud. Art 35(9) nõuab nende küsimist ainult „asjakohasel juhul“; meie hinnangul ei ole see siin praegu nii. Kontrollitud veebisaitide haldajatel ja Klientide veebisaitide külastajatel ei ole meiega oma suhtluskanalit; nende sihipärane poole pöördumine oleks iseenesest nende andmete uus töötlemine ja teenus ei ole veel käivitunud, seega ei ole veel tegelike andmesubjektide rühma. Nende huve võetakse arvesse kaudselt: robots.txt ja opt-out’i kaudu, lühikeste tähtaegade kaudu ning selle kaudu, et kontrollkoopiate sisu ei salvestata. Igal jaotise 12 kohasel läbivaatamisel kaalume uuesti, kas nende arvamuse küsimine on asjakohane, näiteks roomaja lehel antava tagasiside või kohaletoimetamise kontrolli kasutavate Klientide kaudu.

10. Jääkrisk ja eelnev konsulteerimine art 36 alusel

Art 36(1) nõuab järelevalveasutusega eelnevat konsulteerimist, kui mõjuhinnang näitab, et isikuandmete töötlemine põhjustaks suure riski, kui vastutav töötleja ei võta riski vähendamiseks meetmeid. Küsimus ei ole seega selles, kas tuvastati suuri riske – neid tuvastati neli –, vaid selles, kas suur risk jääb alles, kui meetmed on rakendatud.

Töötlemistoimingute puhul, mille vastutav töötleja on formexposed (P1–P4, P7), saab suured riskid R4 ja R13 kõrvaldada tavapäraste vahenditega: kustutamistee ja olemasolevate andmete puhastamine, krüpteeritud varukoopia teises asukohas ja kahe serveri turvamine. Jaotise 9.3 meetmetega langevad need madalale kuni keskmisele tasemele. R3, R5, R6 ja R7 on keskmisel tasemel ja langevad pakutud meetmetega madalale. Parvekaitse ilma IP-võrkudeta jääb madalale kuni keskmisele tasemele. Eelnev konsulteerimine selle osa puhul ei ole näidustatud, kui prioriteediga „esimene“ ja „kõrge“ märgitud meetmed rakendatakse enne käivitamist. Kui mõni neist meetmetest ei ole enne käivitamist rakendatud, jääb asjaomase töötlemistoimingu puhul alles suur risk. Seda töötlemistoimingut alustatakse siis alles pärast meetme rakendamist või konsulteeritakse esmalt UODO-ga art 36(1) alusel.

Kohaletoimetamise kontrolli puhul (P6) on olukord teistsugune põhjusel, mida ükski meede täielikult ei kõrvalda: see, mida külastaja kirjutab, on tema otsustada. Sõlmitud lepingu, turvatud toomise, võimaluse korral testsõnumitega piiramise ja saatja domeenist loobumise korral langeb R2 madalale ja R1 keskmisele tasemele. Klientide puhul, kelle külastajad esitavad tavaliselt art 9 kohaseid andmeid, võib R1 siiski jääda kõrgeks. Konsulteerimise kohustus lasub siis Kliendil kui vastutaval töötlejal, mitte formexposed-l. Meie soovitus sellistele Klientidele on mitte seadistada kontrollkoopiat üldisele kontaktivormile, vaid ainult tundliku sisuta vormidele, või loobuda kohaletoimetamise kontrollist.

Jääkrisk ausalt öeldes. Täna on jaotise 9.1 meetmetega neli riski kõrgel tasemel: R1 ja R2 (kohaletoimetamise kontroll), R4 (kontrolliandmed ilma kustutamisteeta) ja R13 (taristu). Jaotise 9.3 meetmetega langevad R2, R4 ja R13 madalale kuni keskmisele tasemele. R1 jääb keskmisele tasemele ja sõltub alaliselt Klientide otsustest. Ükski teine risk ei ole pärast meetmeid keskmisest kõrgemal.

Art 36 ei ole karistus ja konsulteerimine ei ole süü tunnistamine. See on tee, mille määrus näeb ette olukorraks, kus kasulik menetlus kätkeb riski, mida vastutav töötleja täielikult ei kontrolli. Klient, kes soovib kasutada kohaletoimetamise kontrolli terviseandmeid sisaldavate sõnumite puhul, leiab selle otsuse jaoks faktid siit.

11. Mida Kliendid vajavad oma mõjuhinnangu jaoks (art 28(3)(f))

Kohaletoimetamise kontrolli ja sisselogimise taga skaneerimise puhul on Klient vastutav töötleja. See leht annab talle kirjelduse (jaotised 6.5 ja 6.6), riskid meie vaatenurgast (R1, R2, R8) ja meetmete seisu (jaotis 9). Järgmistele küsimustele saab vastata ainult Klient:

1. Mida minu külastajad kirjutavad? Kas on oodata, et vormi kaudu saabub andmeid tervise, usu, päritolu, ametiühingusse kuulumise, seksuaalse sättumuse, süütegude või laste kohta? Siis on kontrollkoopia jaoks reeglina vaja mõjuhinnangut ja selle vormi kontrollkoopia tuleks uuesti läbi mõelda.
2. Kas mul on vaja kontrollkoopiat kõigi sõnumite puhul? Et tõendada meie testsõnumi kohalejõudmist, piisab selle sõnumi koopiast. Kui vorm seda võimaldab, seadistage pimekoopia ainult testsõnumitele.
3. Kuidas ma oma külastajaid teavitan? Isikuandmete töötlemise leping nõuab seda; Privaatsuspoliitika tekst teie veebisaidile kirjeldab koopia teed ja meie rolli.
4. Milline õiguslik alus mul on? Meie tekstisoovitus nimetab art 6(1)(f) (päringute usaldusväärne kättesaamine). Art 9 kohaste andmete puhul sellest alusest üksi ei piisa.
5. Milliseid hoiatuskanaleid ma valin? Autentsuse kontrolli hoiatustes võib olla nimetatud saatja domeen. Kes saadab hoiatusi väljaspool ELi asuvatesse vestlusteenustesse, edastab selle sinna.
6. Sisselogimise taga skaneerimise puhul: Kas testkonto on tõesti testkonto väikseimate vajalike õigustega? Kas sisselogimislehele pääseb ainult https kaudu? Kas testkonto näeb teiste kasutajate andmeid? Kui jah, siis millistel määratud lehtedel?
7. Millal ma kustutan? Kohaletoimetamise kontrolli ja testkonto saab igal ajal välja lülitada ja kustutada; testkonto kirjutatakse siis jäädavalt üle.

Muud dokumendid Kliendi hindamise jaoks: Isikuandmete töötlemise leping, tehnilised ja korralduslikud meetmed, alamtöötlejate loend ja Isikuandmete töötlemise toimingute register. Vastame üksikute faktidega seotud küsimustele aadressil contact@lukaswojcik.com.

12. Läbivaatamine, versioon ja heakskiit

Art 35(11) nõuab läbivaatamist, et hinnata, kas töötlemine toimub kooskõlas mõjuhinnanguga, vähemalt siis, kui risk muutub. Vaatame selle hinnangu läbi vähemalt kord aastas ja lisaks enne iga järgmist sündmust; igaüks neist käivitab uue mõõtmise, mitte ainult lugemise:

• tootmiskäituse algus, kus arendussüsteemi asemel on tootmissüsteemi arvud;
• kohaletoimetamise kontrolli esmakordne aktiveerimine tootmissüsteemis ja lepingu sõlmimine postkasti teenusepakkujaga;
• IP-võrkude sisselülitamine parvekaitses;
• esimene uuring ja iga uuring, mille loend on eelmisest suurem;
• teise sondi sisselülitamine või uus vastuvõtja kontrolliteel;
• iga keelemudeli uus kasutus, mis läheb kaugemale vormide liigitamisest ja funktsioonist „Fix it for me“;
• iga muudatus ekraanipiltides, tähtaegades või aktiivsete kontrollide eeltingimustes.

Punkt	Kanne
Vastutav töötleja	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poola · NIP 7252266190 · contact@lukaswojcik.com
Pädev järelevalveasutus	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Poola
Andmekaitseametnik	Ei ole määratud; art 37 kohane hinnang jaotises 4
Faktide alus	Rakenduse ja kontrolliteenuse lähtekood, andmebaasi skeem, arendussüsteemi ridade arv ja seaded, mõõdetud 11. oktoobril 2026, ainult lugemiseks
Seotud dokumendid	Privaatsuspoliitika, Isikuandmete töötlemise leping, Tehnilised ja korralduslikud meetmed, Alamtöötlejad, Isikuandmete töötlemise toimingute register, ELi tehisintellekti määrus, Lubatud kasutus ja kuritarvitamine, FormExposedBot, Opt-out
Versioon	1.0 seisuga 11. oktoober 2026, esimene versioon
Läbivaatamised art 35(11) alusel	Veel puuduvad (esimene versioon). Iga läbivaatamine kantakse siia koos kuupäeva, põhjuse ja tulemusega.
Heakskiit	Veel heaks kiitmata. Heakskiit omaniku poolt pärast õiguslikku läbivaatust ning pärast otsust jaotise 9.3 meetmete ja jaotise 9.4 küsimuste kohta. Välist andmekaitsealast nõu ei ole seni küsitud.

Üks lõpptähelepanek kuulub dokumenti, mitte kaaskirja. Need formexposed osad, mis ulatuvad kõige kaugemale teiste inimeste valdustesse – testesitused ja sisselogimine kellegi teise juurdepääsuandmetega –, on ehitatud kõige suurema ettevaatusega: kaks väravat, ranged ülempiirid, krüpteerimine, mis lukustab välja isegi meid. Selle hinnangu riskid peituvad enamasti mujal: selles, mis tuleb kaasa juhuslikult – tõelised sõnumid pimekoopias, inimesed ekraanipildil, kontrollid, mida keegi enam ei kustuta. See on soodne lähtepositsioon, sest juhusliku saab peatada ilma teenust muutmata.