Mat á áhrifum á persónuvernd (Art. 35 GDPR)

Þetta skjal er birt á nokkrum tungumálum. Ef misræmi er milli tungumálaútgáfnanna er pólska útgáfan bindandi.

Útgáfa 1.1 · Síðast uppfært: 23. október 2026

1. Um hvað þetta fjallar og hvað þessi síða er

Þessi síða er mat á áhrifum á persónuvernd (DPIA) fyrir formexposed samkvæmt Art. 35 GDPR. Hún svarar fyrst forspurningunni hvort slíks mats sé yfirleitt krafist – fyrir hverja vinnslu sérstaklega en ekki fyrir þjónustuna í heild. Þar sem svarið er já framkvæmir hún matið samkvæmt Art. 35(7)(a) til (d): kerfisbundna lýsingu, nauðsyn og meðalhóf, áhættuna fyrir skráða einstaklinga og ráðstafanir til að bregðast við henni. Á eftir fylgja eftirstæð áhætta, spurningin um fyrirframsamráð samkvæmt Art. 36 og reglur um yfirferð.

Art. 35 krefst ekki birtingar mats á áhrifum á persónuvernd. Við birtum það af tveimur ástæðum. Í fyrsta lagi þurfa Viðskiptavinir sem nota afhendingarathugunina eða skönnun á bak við innskráningu staðreyndir sem aðeins við þekkjum fyrir eigið mat; okkur ber sem vinnsluaðila að veita þeim þessar staðreyndir hvort eð er (Art. 28(3)(f) GDPR). Í öðru lagi athugar vefskriðillinn okkar vefsvæði sem hafa rekstraraðila sem þekkja okkur ekki. Þeir ættu að geta lesið hvaða áhættu við sjáum fyrir þá og fólkið á síðum þeirra og hvað við gerum vegna hennar.

Lagalegt eðli. Þetta mat á áhrifum á persónuvernd er skjalfesting ábyrgðaraðilans samkvæmt Art. 35 GDPR sem við birtum af fúsum og frjálsum vilja. Það er ekki hluti neins samnings og felur ekki í sér neina yfirlýsingu, tryggingu eða samkomulag um gæði gagnvart Viðskiptavinum eða þriðju aðilum. Hvaða þjónustu og verndarráðstafanir okkur ber að veita Viðskiptavinum ræðst af Þjónustuskilmálunum, Vinnslusamningnum og viðaukum hans; að því er varðar þessar skyldur ganga þau skjöl framar þessari síðu. Síðan lýsir stöðunni á dagsetningu þessarar útgáfu. Áhættuflokkanir og möt eru eigin afstaða okkar og taka ekki afstöðu fyrirfram til lagalegs mats eftirlitsstjórnvalds eða dómstóls; ráðstafanir sem er lýst sem „fyrirhuguðum“ eru áform án skuldbindandi dagsetningar. Fyrir Viðskiptavini er síðan grundvöllur eigin mats þeirra en ekki lögfræðiráðgjöf.

Þetta er fyrsta útgáfa þröskuldsmatsins. Hún skoðar fyrir hverja vinnslu hvort mats á áhrifum á persónuvernd sé krafist og skráir niðurstöðuna í kafla 3.5.

Hver staðhæfing um staðreyndir fylgir sömu meginreglu og í öðrum lagaskjölum okkar: mælt en ekki fyrirhugað. Það sem á sér stoð í kóða eða gagnagrunni er tilgreint hér með heimildartilvísun. Það sem ekki var hægt að styðja með gögnum er merkt „ósannreynt“. Það sem er aðeins fyrirhugað er kallað „fyrirhugað“. Við nefnum opin atriði skýrt ásamt fyrirhugaðri ráðstöfun; mat sem telur aðeins upp styrkleika hjálpar ekki fólkinu sem það varðar.

Hugtök: rekstraraðili er sá sem rekur athugað vefsvæði. Viðskiptavinur hefur aðgang hjá formexposed. Gestur er sá sem notar vefsvæði Viðskiptavinar, til dæmis tengiliðaeyðublað þess. Heimildartilvísun merkir skrá, fall eða stillingu í frumkóðanum sem hefur verið mæld gagnvart stöðu þróunarkerfisins 11. október 2026.

Við setjum opnu upplýsingagjöfinni vísvitandi eftirfarandi mörk: opnum atriðum við öryggi eigin þjóna er aðeins lýst almennt (R13). Við nefnum áhættuna og stig hennar en ekki leiðina að tilteknum veikleika; við veitum eftirlitsstjórnvaldi nánari upplýsingar að beiðni.

2. Hlutverk: hver ber skylduna og fyrir hvað

Art. 35 leggur skylduna á ábyrgðaraðilann. formexposed er ábyrgðaraðili fyrir tilteknar vinnsluaðgerðir, vinnsluaðili fyrir Viðskiptavini sína fyrir aðrar og hvorugt fyrir gögn sem WordPress-viðbótin okkar og TYPO3-viðbótin geyma á vefsvæði Viðskiptavinar. Svarið við nánast hverri spurningu í þessu skjali ræðst af því um hvaða hlutverk er spurt. Skiptingin fylgir Persónuverndarstefnunni og Vinnslusamningnum.

Vinnsla	Hlutverk formexposed	Hver ber skylduna samkvæmt Art. 35
Athugun vefsvæða þriðju aðila án fyrirmæla rekstraraðila þeirra: ókeypis athugun, athugun vefstofa á mögulegum viðskiptavini og rannsókn	Ábyrgðaraðili	formexposed
Athugun léna á aðgangi Viðskiptavinar: vöktun, virkar prófunarsendingar, vafraleiðir, aðgengilegar skrár og púlsmæling eyðublaða	Ábyrgðaraðili aðgangs- og athugunargagna Viðskiptavinarins; vinnsluaðili persónuupplýsinga þriðju aðila sem eru sýnilegar á staðfestu vefsvæði Viðskiptavinarins; svo lengi sem lén er ekki staðfest ábyrgðaraðili eins og við ókeypis athugunina	formexposed fyrir eigin hluta; Viðskiptavinurinn fyrir gögn þriðju aðila á vefsvæði sínu
Skönnun á bak við innskráningu með prófunaraðgangi	Vinnsluaðili: innskráningarupplýsingarnar og innihaldið á bak við innskráningu tilheyra vefsvæði Viðskiptavinarins	Viðskiptavinurinn; formexposed aðstoðar
Afhendingarathugun með viðmiðunarafriti	Vinnsluaðili	Viðskiptavinurinn; formexposed aðstoðar
Samvarnir: sameiginlegur listi tenglaléna úr stöðvuðum ruslpósti	Ábyrgðaraðili: við sameinum tilkynningar margra vefsvæða, tökum listann saman og dreifum honum	formexposed
Viðskiptavinaaðgangar, innskráning, annálar, aðstoð, tölvupóstsendingar, greiðslur og sönnunarfærslur	Ábyrgðaraðili	formexposed
Viðskiptavinagátt og mánaðarskýrsla til áskrifenda vefstofu	Vinnsluaðili	Vefstofan
Gögn sem viðbæturnar geyma á vefsvæði Viðskiptavinarins (sóttkví, öryggisnet og vistaðar fyrirspurnir)	Hvorugt: gögnin fara aldrei af vefsvæðinu	Rekstraraðili vefsvæðisins

Af þessu leiðir greinarmunur sem við tökum sérstaklega fram, því hann er oft misskilinn í báðar áttir. Þar sem formexposed er ábyrgðaraðili framkvæmum við matið sjálf og berum ábyrgð á niðurstöðu þess. Þar sem við erum vinnsluaðili getum við ekki framkvæmt mat Viðskiptavinarins í hans stað, ákveðið fyrir hann hvort þess sé þörf eða haft samráð við eftirlitsyfirvaldið samkvæmt Art. 36 fyrir hans hönd. Það sem við getum og verðum að gera þar er að veita honum allt sem hann þarf: lýsinguna samkvæmt lið (a), mældar staðreyndir um áhættuna samkvæmt lið (c) og heiðarlegan stöðulista yfir ráðstafanir samkvæmt lið (d). Fyrir afhendingarathugunina og skönnunina á bak við innskráningu er þessi síða einmitt slík upplýsingagjöf.

Viðskiptavinur sem tekur upp kaflana um afhendingarathugunina óbreytta sem sitt eigið mat á áhrifum á persónuvernd hefur ekki framkvæmt slíkt mat. Aðeins hann getur ákveðið hvort viðmiðunarafritið sé réttlætanlegt fyrir hans eyðublöð, hvort búast megi við sérstökum flokkum persónuupplýsinga þar og hvernig hann upplýsir gesti sína. Í kafla 11 er tekið saman hvað þarf að skýra í því skyni.

3. Mat á því hvort þröskuldi sé náð: er mat á áhrifum á persónuvernd nauðsynlegt?

3.1 Art. 35(1) og Art. 35(3)

Art. 35(1) krefst mats á áhrifum á persónuvernd þegar líklegt er að tegund vinnslu, einkum þegar ný tækni er notuð, leiði til mikillar áhættu fyrir réttindi og frelsi einstaklinga, með tilliti til eðlis, umfangs, samhengis og tilgangs vinnslunnar. Art. 35(3) nefnir þrjú tilvik þar sem það á sérstaklega við. Ekkert þeirra þriggja á við um formexposed, og það ber að rökstyðja fremur en að fullyrða aðeins:

• Liður (a) – kerfisbundið og umfangsmikið mat á persónulegum þáttum sem varða einstaklinga, sem byggist á sjálfvirkri vinnslu og er grundvöllur ákvarðana sem hafa réttaráhrif eða sambærileg veruleg áhrif á þá. Við metum eyðublöð og vefsvæði, ekki persónulega þætti fólks. Þjónustan tekur enga ákvörðun sem hefur réttaráhrif á einstakling. Það sem kemst næst því eru samvarnir: skilaboð sem innihalda tengil á skráð lén lenda í sóttkví á tengdum vefsvæðum. Þetta eru sjálfvirkar afleiðingar fyrir skilaboðin, ekki umfangsmikið mat á einstaklingi; við fjöllum um það undir viðmiðinu „Mat eða stigagjöf“ í kafla 3.3.
• Liður (b) – umfangsmikil vinnsla sérstakra flokka samkvæmt Art. 9 eða upplýsinga um refsiverð brot samkvæmt Art. 10. Þetta er hvorki fyrirhugað né útfært. Slíkar upplýsingar geta engu að síður borist okkur eftir einni leið: í viðmiðunarafriti raunverulegra skilaboða gesta í afhendingarathuguninni. Það fer eftir aðstæðum í hverju tilviki og telst ekki umfangsmikil vinnsla í skilningi þessa ákvæðis; þó er tekið tillit til þess í áhættumatinu (R1).
• Liður (c) – kerfisbundið eftirlit á stórum skala með svæði sem er aðgengilegt almenningi. Hér er átt við athugun á efnislegum stöðum, ekki sókn opinberra vefsíðna. Það væri rangt að vísa til þessa ákvæðis sem grundvallar fyrir vefskriðli.

Rétta leiðin er því Art. 35(1) sjálf, beitt með hliðsjón af níu viðmiðum leiðbeininga starfshópsins samkvæmt 29. gr. um mat á áhrifum á persónuvernd (WP248 rev.01, sem Evrópska persónuverndarráðið hefur staðfest), og lista pólska eftirlitsyfirvaldsins samkvæmt Art. 35(4) (kafli 3.4).

3.2 Níu viðmið leiðbeininganna WP248

Leiðbeiningarnar nefna níu einkenni sem benda til þess að mikil áhætta sé líkleg. Almenna viðmiðunarreglan er að vinnsla sem uppfyllir tvö þeirra krefjist í flestum tilvikum mats á áhrifum á persónuvernd. Ábyrgðaraðili getur komist að annarri niðurstöðu í einstöku tilviki en verður þá að rökstyðja hana og skrá rökin. Aftur á móti getur eitt viðmið eitt og sér nægt. Á þessari síðu notum við eftirfarandi stuttu heiti:

1. C1 – Mat eða stigagjöf, þar á meðal gerð persónusniða og spár, til dæmis um frammistöðu í starfi, fjárhagsstöðu, áreiðanleika eða hegðun.
2. C2 – Sjálfvirk ákvarðanataka sem hefur réttaráhrif eða sambærileg veruleg áhrif.
3. C3 – Kerfisbundið eftirlit, þ.e. vinnsla sem er notuð til að fylgjast með, vakta eða hafa stjórn á skráðum einstaklingum, meðal annars um net. Leiðbeiningarnar rökstyðja þetta viðmið sérstaklega með því að skráðir einstaklingar vita oft ekki hver safnar upplýsingum um þá og í hvaða tilgangi.
4. C4 – Viðkvæmar upplýsingar eða upplýsingar sem eru mjög persónulegs eðlis: sérstakir flokkar samkvæmt Art. 9 og 10, en einnig upplýsingar sem hafa veruleg áhrif á daglegt líf ef þær eru birtar, þar á meðal rafræn samskipti sem ætti að vernda sem trúnaðarmál.
5. C5 – Umfangsmikil vinnsla upplýsinga, mæld eftir fjölda skráðra einstaklinga, magni og fjölbreytni upplýsinga, tímalengd og landfræðilegu umfangi.
6. C6 – Samsvörun eða sameining gagnasafna sem eiga uppruna sinn í mismunandi vinnsluaðgerðum eða hjá mismunandi ábyrgðaraðilum, með hætti sem skráðir einstaklingar myndu ekki búast við.
7. C7 – Upplýsingar um skráða einstaklinga í viðkvæmri stöðu, til dæmis starfsmenn, börn, sjúklinga eða aðra einstaklinga þar sem valdaójafnvægi ríkir.
8. C8 – Nýstárleg notkun eða beiting nýrra tæknilegra eða skipulagslegra lausna; í framkvæmd eftirlitsyfirvalda er notkun gervigreindar reglulega talin falla undir þetta viðmið.
9. C9 – Vinnsla sem kemur í veg fyrir að skráðir einstaklingar geti nýtt réttindi sín, þjónustu eða samning.

Við metum hvert viðmið sem „uppfyllt“, „á mörkum þess að vera uppfyllt“ eða „ekki uppfyllt“ og rökstyðjum matið út frá kóðanum. Tilvik á mörkunum telst ekki uppfyllt í heildartalningunni en er nefnt í niðurstöðunni; þegar fleiri en eitt tilvik á mörkunum bendir í sömu átt tökum við vinnsluaðgerðina inn í matið.

3.3 Mat eftir vinnsluaðgerð

P1 – Ókeypis athugun án aðgangs (athugun á hvaða vefsvæði þriðja aðila sem er að beiðni)

Hver sem er getur slegið inn lén á forsíðunni. Vefskriðillinn sækir þá að hámarki átta opinberar síður á því vefsvæði, les eyðublöðin, tekur skjáskot og útbýr skýrslu sem hver sá sem þekkir slembitengil hennar getur skoðað. Rekstraraðili vefsvæðisins fær enga vitneskju um þetta nema hann taki eftir auðkenni vefskriðilsins í annálum sínum.

• C1 – á mörkum þess að vera uppfyllt. Skýrslan metur varnir eyðublaðs með varnarstigi („Óvarið“, „Að hluta varið“, „Varið“) og stigatölu. Hjá hlutafélagi varðar það ekki einstakling. Þegar um einstaklinga í eigin atvinnurekstri og sjálfstætt starfandi einstaklinga er að ræða er hins vegar hægt að tengja lénið við einstaklinginn og segir varnarstigið þá eitthvað um hversu mikillar aðgæslu hann hefur gætt í atvinnustarfsemi sinni. Það sem er metið er þó tæknileg uppsetning, ekki hegðun eða eiginleikar einstaklings. Við lítum á þetta sem tilvik á mörkunum.
• C2 – ekki uppfyllt. Engin ákvörðun er tekin gagnvart rekstraraðilanum. Gagnvart þeim sem óskar eftir athuguninni gilda takmörk fyrir hvert IP-netfang og hverja lotu (cfg/check_lib.php); höfnun athugunar hefur engin veruleg áhrif.
• C3 – ekki uppfyllt. Um er að ræða eina sókn að beiðni, að hámarki einu sinni á hvert lén í hverri viku (cfg/check_lib.php, stillingin fc_domain_days = 7). Ekki er fylgst með fólki. Þær aðstæður sem leiðbeiningarnar nefna til að rökstyðja C3 – að skráðir einstaklingar vita ekkert af vinnslunni – eru þó fyrir hendi. Tekið er tillit til þeirra í áhættumatinu (R5).
• C4 – ekki uppfyllt. Það sem er vistað er uppbygging eyðublaðsins og niðurstöður athugana, ekki innsláttargildi (scanner/src/crawl.js vistar aðeins lengd gildis í sýnilegum reitum). Skanninn les upphaf forútfylltra falinna reita (allt að 24 stafi) og gagnareiginleika (allt að 60 stafi) aðeins meðan á athuguninni stendur til að greina auðkenni og tímastimpla; þetta er ekki vistað. Fólk og nöfn kunna tilviljunarkennt að sjást á skjáskotum; á mynd af vefsvæði læknastofu sést sérgrein hennar. Þetta eru opinberar starfsupplýsingar, ekki heilsufarsupplýsingar um tiltekinn einstakling.
• C5 – á mörkum þess að vera uppfyllt. Daglegt hámark er 200 samþykktar athuganir (fc_daily_cap), þ.e. aðgangslega allt að um 73.000 vefsvæði á ári. Aðeins fáeinar persónuupplýsingar verða til fyrir hvert vefsvæði og tímalengdin er stutt (30 dagar). Samkvæmt mælingu á þróunarkerfinu eru 2 nafnlausar athuganir í gagnasafninu. Viðmiðið er ekki uppfyllt í dag en er á mörkunum miðað við fyrirhugaða afkastagetu.
• C6 – ekki uppfyllt. Auk þess að sækja síðurnar kannar þjónustan aldur lénsins í gegnum RDAP-þjónustuna rdap.org (aðeins lénið er sent; aðeins skráningardagsetningin er vistuð, í skyndiminni) og flettir upp DNS-upplýsingum. Þetta eru tæknilegar upplýsingar um lénið, ekki sameining gagnasafna um fólk.
• C7 – ekki uppfyllt.
• C8 – uppfyllt, í takmörkuðum mæli. Sjálfvirkur vafri athugar síðurnar og tungumálalíkan á okkar eigin netþjóni flokkar eyðublöð sem reglurnar þekkja ekki (scanner/src/classify.js). Líkanið sér titil síðunnar, slóð, heiti reita og allt að 400 stafi af texta eyðublaðsins. Það getur aldrei gert eyðublað „hæft til innsendingar“.
• C9 – ekki uppfyllt.

Bráðabirgðaniðurstaða P1: eitt viðmið er uppfyllt í takmörkuðum mæli (C8) og tvö tilvik eru á mörkunum (C1, C5). Engin skylda leiðir af almennu viðmiðunarreglunni. Þar sem bæði tilvikin á mörkunum benda í sömu átt og skráðir einstaklingar vita ekkert af vinnslunni tökum við P1 inn í matið.

P2 – Athugun á hugsanlegum viðskiptavinum fyrir vefstofur

Vefstofa á Business-áskriftarleiðinni sem hefur sett upp eigið vörumerki getur látið athuga vefsvæði hugsanlegs viðskiptavinar án inngripa. Hún fær stutta niðurstöðu undir sínu vörumerki og ítarlega skýrslu og sendir tengilinn áfram sjálf (cfg/akquise_lib.php). Við höfum ekki samband við neinn.

• C1 – á mörkum þess að vera uppfyllt, í ríkari mæli en fyrir P1. Stutta niðurstaðan er sérstaklega ætluð sem „leið til að opna fyrsta samtalið“. Mat á vefsvæðinu verður þannig grundvöllur þess að nálgast einstakling í viðskiptalegum tilgangi.
• C5 – ekki uppfyllt. Að hámarki 30 athuganir fyrir hverja vefstofu á mánuði (prospect_monthly), eytt eftir 90 daga.
• C8 – uppfyllt, í takmörkuðum mæli (sama tækni og í P1).
• Önnur viðmið – ekki uppfyllt. Niðurstaðan er sett fram undir vörumerki vefstofunnar en er ekki tengd við aðrar upplýsingar um rekstraraðilann.

Bráðabirgðaniðurstaða P2: engin skylda leiðir af almennu viðmiðunarreglunni; vinnslan er tekin inn í matið af sömu ástæðum og P1 og vegna þess að tilgangurinn – öflun viðskiptavina – hefur sérstaka áhættu í för með sér (R6).

P3 – Rannsóknin „Öryggisvísitala eyðublaða“

Fyrir rannsókn er listi vefsvæða athugaður án inngripa og afköst takmörkuð við að hámarki fimm opin verk í hverri keyrslu stöðuferlisins, sem keyrir á fimm mínútna fresti (cfg/studie_lib.php). Aðeins heildartölur eru birtar og upplýsingar um undirhópa aðeins ef þeir ná til að minnsta kosti 20 vefsvæða með eyðublaði (study_min_segment, cfg/studie_lib.php). Hráum gögnum er eytt við birtingu (cfg/studie_lib.php).

• C5 – á mörkum þess að vera uppfyllt, uppfyllt fyrir stóra lista. Stærð listans er ekki takmörkuð í kóðanum; afkastatakmörkunin leyfir aðgangslega meira en þúsund athuganir á dag. Rannsókn á markaði í heilu landi nær yfir þúsundir vefsvæða, mörg þeirra rekin af einstaklingum í eigin atvinnurekstri. Frá þeirri stærð lítum við svo á að viðmiðið sé uppfyllt.
• C8 – uppfyllt, í takmörkuðum mæli.
• C1 – ekki uppfyllt. Þótt hvert vefsvæði sé metið er aðeins heildarniðurstaðan birt; matið er ekki ætlað til að segja til um einstakan rekstraraðila.
• Önnur viðmið – ekki uppfyllt.

Bráðabirgðaniðurstaða P3: fyrir rannsóknir af fyrirhugaðri stærð eru tvö viðmið uppfyllt (C5, C8). Rannsóknin nær því þröskuldinum; formexposed framkvæmir matið sem ábyrgðaraðili. Samkvæmt mælingu á þróunarkerfinu hefur engin rannsókn verið stofnuð enn sem komið er.

P4 – Athugun á lénum á aðgangi Viðskiptavinarins

Viðskiptavinurinn lætur athuga lénin á aðgangi sínum reglulega. Þegar hann hefur sannað að hann hafi heimild til að stjórna léninu bætast við virkar prófunarinnsendingar (að hámarki fimm í hverri athugun), leit að óvörðum skrám og stilltar vafraleiðir.

• C3 – ekki uppfyllt. Athugunin er tímasett og endurtekin en snýr að eigin vefsvæði Viðskiptavinarins og er gerð að beiðni hans, ekki til að fylgjast með fólki.
• C4 – á mörkunum, ekki uppfyllt. Við leit að óvörðum skrám eru lesin að hámarki fyrstu 8 KB úr slóðum eins og /backup.sql eða villuleitarannál til að ákvarða út frá innihaldinu hvort skráin sé í raun óvarin (cfg/dateien_lib.php). Slíkur útdráttur kann að innihalda færslur sem gestir hafa sent inn í eyðublöð. Hann er aðeins athugaður í minni og aldrei vistaður; það sem er vistað er slóðin, tegundin og alvarleikastigið.
• C8 – uppfyllt, í takmörkuðum mæli.
• Önnur viðmið – ekki uppfyllt.

Viðbætt stig aðgerðaáætlunar. Greiddar skýrslur sem uppfylla skilyrðin geta innihaldið ráðgefandi texta sem er myndaður á staðnum út frá völdum niðurstöðum athugana og lýsigögnum skönnunar. Hann er vistaður með athuguninni og birtur með tilkynningu um gervigreind; einstakar niðurstöður athugana ráða áfram. Hann breytir ekki vefsvæðum sjálfkrafa og tekur ekki ákvarðanir um fólk sem hafa réttaráhrif eða sambærileg veruleg áhrif. Notkun tungumálalíkans ein og sér ákvarðar ekki hvort sérstakt mat á áhrifum á persónuvernd sé nauðsynlegt. Meta verður inntak þess, viðtakendur, umfang og eftirstæða áhættu samhliða undirliggjandi athugun, þar á meðal hugsanlega endurtekningu persónuupplýsinga úr slóðum eða athugasemdum og rangar ráðleggingar í skýrslu sem hægt er að deila með tengli. Kaflar 7 til 9 hér að neðan ná yfir þetta stig; þessi viðbót um staðreyndir felur ekki í sér fullyrðingu um að mælingu í rekstrarkerfi sé lokið, að eigandi hafi samþykkt eða að nýtt mat á eftirstæðri áhættu hafi farið fram.

Bráðabirgðaniðurstaða P4: Undirliggjandi tæknilega athugunin nær ekki þröskuldinum miðað við staðreyndirnar sem lýst er hér að ofan. Viðbætta ráðgefandi stigið á staðnum stofnar ekki eitt og sér til sérstakrar skyldu, en fyrri niðurstaðan um þröskuldinn kemur ekki í stað þess að skoða raunveruleg inntaksgögn þess, umfang, viðtakendur og áhrif. Vinnslan er tekin inn í matið vegna þess að virkar prófunarinnsendingar og skráaathugunin byggjast á sönnun sem er aldrei endurnýjuð (R7).

P5 – Skönnun á bak við innskráningu

Fyrir staðfest lén getur Viðskiptavinurinn vistað prófunaraðgang fyrir vefsvæði sitt. Skanninn skráir sig inn með honum og les eyðublöðin á allt að fimm tilgreindum síðum aðildarsvæðisins (cfg/login_lib.php, scanner/src/login.js).

• C4 – á mörkum þess að vera uppfyllt. Innskráningarupplýsingar eru ekki upplýsingar sem eru mjög persónulegs eðlis í skilningi leiðbeininganna, en misnotkun þeirra opnar aðgang að aðildarsvæðinu. Trúnaðarefni kann að vera aðgengilegt á bak við innskráningu, til dæmis á aðildar- eða sjúklingagátt, eftir því hvaða vefsvæði á í hlut. Það fer eftir Viðskiptavininum, ekki okkur.
• C8 – ekki uppfyllt. Sjálfvirk innskráning er algeng í vöktunarþjónustum.
• Önnur viðmið – ekki uppfyllt.

Bráðabirgðaniðurstaða P5: engin skylda leiðir af almennu viðmiðunarreglunni. Hjá Viðskiptavinum sem sýna trúnaðarefni á aðildarsvæði sínu kann þetta að breytast; ákvörðunin liggur þá hjá þeim. Vinnslan er tekin inn í matið vegna öryggisáhættunnar (R8).

P6 – Afhendingarathugun með viðmiðunarafriti

Viðskiptavinurinn skráir viðmiðunarnetfang hjá formexposed sem falið afrit í póststillingum eyðublaðs síns. Þar með berst hver tölvupóstur úr eyðublaðinu einnig í viðmiðunarpósthólfið okkar – bæði prófunarskilaboðin okkar og öll raunveruleg skilaboð frá gestum. Sjálfvirk sókn les hausana og fyrstu 8 KB, tengir tölvupóstinn við viðeigandi athugun, metur SPF, DKIM og DMARC og eyðir honum (cfg/zustellung_lib.php).

• C4 – uppfyllt. Það sem gestir skrifa í tengiliðaeyðublað eru rafræn samskipti til fyrirtækis með hvers kyns innihaldi. Á vefsvæði læknastofu, lögmannsstofu, ráðgjafarþjónustu eða skóla má búast við upplýsingum samkvæmt Art. 9 eða um börn. Leiðbeiningarnar nefna rafræn trúnaðarsamskipti sérstaklega undir þessu viðmiði.
• C3 – á mörkunum, fremur uppfyllt. Hvert skeyti er afritað skipulega og samfellt og metið sjálfvirkt án þess að sendandinn taki eftir því. Tilgangurinn er að athuga póstleiðina, ekki að fylgjast með fólki. Þær aðstæður sem leiðbeiningarnar nota til að rökstyðja viðmiðið – að skráðir einstaklingar vita ekki hver tekur við upplýsingum þeirra – eru þó að fullu fyrir hendi svo lengi sem Viðskiptavinurinn upplýsir ekki gesti sína.
• C7 – fer eftir Viðskiptavininum. Sjúklingar, viðskiptavinir lögmannsstofa, umsækjendur um störf, foreldrar og nemendur eru oft í háðri stöðu gagnvart viðtakanda skilaboða sinna.
• C5 – á mörkunum, ekki uppfyllt. Vinnslan er ekki umfangsmikil hjá einstökum Viðskiptavini. Hjá formexposed safnast afrit margra Viðskiptavina saman í einu pósthólfi; það eykur vægi brots en ekki fjöldann hjá hverjum ábyrgðaraðila.
• Önnur viðmið – ekki uppfyllt. Tenging við lén og prófun er ekki samsvörun gagnasafna um fólk; tæknin er ekki ný.

Bráðabirgðaniðurstaða P6: C4 er uppfyllt, C3 er á mörkunum og fremur uppfyllt og C7 er uppfyllt hjá mörgum dæmigerðum Viðskiptavinum. Við dæmigerðar aðstæður eru því tvö eða fleiri viðmið uppfyllt. Mat á áhrifum á persónuvernd er nauðsynlegt – sem skylda Viðskiptavinarins, sem er ábyrgðaraðilinn. Kaflar 6 til 11 veita honum staðreyndirnar til þess.

P7 – Samvarnir

Tengd WordPress-vefsvæði tilkynna einu sinni á dag um lén í tenglum úr skilaboðum sem varnarlag þeirra hefur stöðvað. Lén sem kemur fyrir á að minnsta kosti þremur mismunandi vefsvæðum með að minnsta kosti fimm tilvikum innan sjö daga fer á sameiginlegan lista; listinn er sendur aftur til allra tengdra vefsvæða sem setja þá skilaboð með tenglum á það lén í sóttkví (cfg/swarm_lib.php).

• C6 – uppfyllt. Tilkynningar frá mörgum óháðum vefsvæðum, þ.e. frá mismunandi ábyrgðaraðilum, eru sameinaðar og sendar aftur til þeirra allra sem sameiginlegur listi.
• C1 – uppfyllt, að því marki sem hægt er að tengja lén við einstakling. Listinn felur í sér flokkun sem uppsprettu ruslpósts. Leiðbeiningarnar nefna samanburð við sameiginlegan svikagagnagrunn sem dæmi um þetta viðmið. Flest lén á slíkum lista tilheyra fyrirtækjum eða eru einnota lén; lén einstaklings kann þó að lenda á honum, réttilega eða vegna falskra tilkynninga sem hafa verið sendar af ásetningi.
• C9 – á mörkum þess að vera uppfyllt. Skilaboð með skráðum tengli berast ekki strax til viðtakandans heldur eru í sóttkví hjá honum þar til hann sleppir þeim úr henni. Þau glatast ekki.
• C2 – ekki uppfyllt. Sóttkvíin er sjálfvirk afleiðing fyrir skilaboð, án réttaráhrifa, og viðtakandinn sleppir þeim úr henni með mannlegri ákvörðun.
• Önnur viðmið – ekki uppfyllt. Slökkt er á IP-netum (swarm_ip_enabled = 0, cfg/swarm_lib.php).

Bráðabirgðaniðurstaða P7: tvö viðmið eru uppfyllt (C6, C1) og eitt tilvik er á mörkunum (C9). Þröskuldinum er náð; formexposed framkvæmir matið sem ábyrgðaraðili. Ef kveikt væri á IP-netum væru C1 og C6 uppfyllt án takmarkana; til að kveikja á þeim þarf nýja útgáfu af þessu mati (kafli 12). Samkvæmt mælingu á þróunarkerfinu eru hvorki tilkynningar né færslur á listanum til staðar.

P8 – Aðgangar viðskiptavina, innskráning, annálar, aðstoð, tölvupóstur, greiðslur

• C1 og C9 – ekki uppfyllt. Óvenjuleg hegðun í ókeypis athuguninni leiðir til athugasemdar með IP-netfanginu (cfg/check_lib.php) og, eftir atvikum, til þess að frekari athugunum er hafnað. Þetta er vörn gegn misnotkun með litlum áhrifum, ekki mat á persónulegum þáttum.
• Önnur viðmið – ekki uppfyllt. Þetta eru hefðbundnar upplýsingar í þjónustu fyrir fyrirtæki.

Bráðabirgðaniðurstaða P8: ekki er þörf á mati á áhrifum á persónuvernd. Vinnsluaðgerðunum er lýst í Skrá yfir vinnslustarfsemi.

P9 – Tölur úr viðbót, villur í reitum, leiðaskráningartól, merki, viðskiptavinagátt, „Fix it for me“

• Báðar viðbæturnar senda daglegar tölur, skrá yfir viðbætur og villuflokka og WordPress-viðbótin sendir að auki lén tengla fyrir samvarnir (sjálfgefið virkar) (P7), ekkert innihald, netföng, nöfn eða IP-netföng gesta; leiðaskráningartólið geymir valara í vafra stjórnandans í að hámarki 15 mínútur. Engin viðmið eru uppfyllt.
• Þegar merkið er hlaðið flytur það hefðbundnar tengingarupplýsingar í annál vefþjónsins, án vafraköku. Engin viðmið eru uppfyllt.
• Viðskiptavinagáttin vinnur netföng áskrifenda með tvöfaldri staðfestingu áskriftar fyrir hönd vefstofunnar. Engin viðmið eru uppfyllt.
• „Fix it for me“ lætur tungumálalíkan á okkar eigin netþjóni endurskrifa kóða eyðublaðs sem er límdur inn; kóðinn er ekki vistaður. C8 er uppfyllt í takmörkuðum mæli, ekkert annað.

Bráðabirgðaniðurstaða P9: ekki er þörf á mati á áhrifum á persónuvernd.

3.4 Listi pólska eftirlitsyfirvaldsins samkvæmt Art. 35(4)

Lögbæra yfirvaldið er forseti pólsku persónuverndarstofnunarinnar (Prezes Urzędu Ochrony Danych Osobowych, UODO). Forsetinn birti listann yfir tegundir vinnsluaðgerða sem krefjast mats á áhrifum á persónuvernd í tilkynningu frá 17. júní 2019 (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, item 666). Listinn tengir færslur sínar við viðmið leiðbeininganna WP248, gefur dæmi og er sérstaklega ekki tæmandi; hann kemur ekki í stað matsins samkvæmt Art. 35(1).

Samkvæmt túlkun okkar samsvara eftirfarandi tegundir vinnslu á listanum efnislega vinnsluaðgerðum formexposed:

Tegund vinnslu samkvæmt listanum (umorðuð)	Tengt viðmið	Vinnsluaðgerð hjá formexposed	Mat
Samanburður, mat eða ályktun sem byggist á greiningu upplýsinga úr mismunandi heimildum	C6	P7 Samvarnir	á við
Mat eða stigagjöf, þar á meðal gerð persónusniða	C1	P7 Samvarnir; P1 og P2 sem tilvik á mörkunum	á við um P7
Vinnsla sérstakra flokka persónuupplýsinga	C4	P6 Afhendingarathugun	á við eftir aðstæðum Viðskiptavinarins
Nýstárleg notkun eða beiting tæknilegra lausna	C8	P1 til P4 (tungumálalíkan til flokkunar)	á við í takmörkuðum mæli
Umfangsmikil vinnsla	C5	P3 Rannsókn	á við um stóra lista
Kerfisbundið eftirlit með stöðum sem eru aðgengilegir almenningi, meðal annars með greiningu einkenna	C3	–	á ekki við: átt er við staði, ekki vefsvæði

Þessi tenging er túlkun, ekki tilvitnun; sannreyna þarf orðalag færslnanna gagnvart henni við lögfræðilega yfirferð. Hún staðfestir niðurstöðu kafla 3.3 en breytir henni ekki. Eftir því sem við best vitum hefur UODO ekki birt lista samkvæmt Art. 35(5) – yfir vinnsluaðgerðir sem krefjast ekki mats á áhrifum á persónuvernd.

3.5 Niðurstaða mats á því hvort þröskuldi sé náð

Vinnsluaðgerð	Uppfyllt	Á mörkunum	Niðurstaða
P1 Ókeypis athugun	C8 (í takmörkuðum mæli)	C1, C5	ekki skylda; tekið inn í matið
P2 Athugun á hugsanlegum viðskiptavinum	C8 (í takmörkuðum mæli)	C1	ekki skylda; tekið inn í matið
P3 Rannsókn	C8 (í takmörkuðum mæli), C5 fyrir stóra lista	–	nauðsynlegt (skylda formexposed)
P4 Athugun á lénum Viðskiptavina	C8 (í takmörkuðum mæli)	C4 (skráaathugun)	ekki skylda; tekið inn í matið
P5 Skönnun á bak við innskráningu	–	C4	ekki skylda; tekið inn í matið; hjá Viðskiptavininum fer það eftir innihaldinu
P6 Afhendingarathugun	C4; C7 eftir aðstæðum Viðskiptavinarins	C3 (fremur uppfyllt), C5	nauðsynlegt (skylda Viðskiptavinarins; þessi síða veitir aðstoð samkvæmt Art. 28(3)(f))
P7 Samvarnir	C6, C1	C9	nauðsynlegt (skylda formexposed)
P8 Aðgangar, annálar, aðstoð, greiðslur	–	–	ekki nauðsynlegt
P9 Tölur úr viðbót, merki, gátt, „Fix it for me“	C8 (í takmörkuðum mæli, aðeins „Fix it for me“)	–	ekki nauðsynlegt

Niðurstaða um Art. 35(1): Mat á áhrifum á persónuvernd er nauðsynlegt fyrir einstakar vinnsluaðgerðir formexposed. Það er nauðsynlegt fyrir samvarnir og fyrir rannsóknir af fyrirhugaðri stærð og formexposed framkvæmir það sem ábyrgðaraðili. Fyrir afhendingarathugunina er þess þörf við dæmigerðar aðstæður en sem skylda Viðskiptavinarins; formexposed leggur fram grundvöllinn. Fyrir aðrar athuganir á vefsvæðum þriðja aðila og eigin vefsvæðum er það ekki skylda. Við tökum þær engu að síður inn í matið vegna þess að þær nota sömu tækni, vegna þess að fleiri en eitt tilvik á mörkunum bendir í sömu átt og vegna þess að skráðir einstaklingar – rekstraraðilar án aðgangs og fólk á athuguðum síðum – vita ekkert af vinnslunni. Ekkert mat er nauðsynlegt fyrir aðganga, annála, aðstoð og greiðslur.

Kaflar 6 til 10 eiga því við um P1 til P7. Þegar fullyrðing á aðeins við um eina þessara vinnsluaðgerða er það sérstaklega merkt.

4. Persónuverndarfulltrúi: matið samkvæmt Art. 37

Enginn persónuverndarfulltrúi hefur verið tilnefndur. Art. 37(1) er bindandi jafnt fyrir ábyrgðaraðilann og vinnsluaðilann; spurningin snýr því að okkur sjálfum. Lögbundnu tilvikin þrjú eru:

Art. 37(1)	Skilyrði	Niðurstaða
liður (a)	Opinbert yfirvald eða stofnun	Á ekki við; LW IT Solutions Company Lukas Wójcik er einkarekið einstaklingsfyrirtæki.
liður (b)	Meginstarfsemin felst í vinnsluaðgerðum sem krefjast reglubundins og kerfisbundins umfangsmikils eftirlits með skráðum einstaklingum	Meginstarfsemin er athugun og vöktun vefsvæða og eyðublaða, reglubundið og kerfisbundið. Ekki er þó fylgst með fólki: vefskriðillinn fylgist ekki með hegðun og afhendingarathugunin metur tölvupóst aðeins með tilliti til afhendingar og uppruna. Ekki uppfyllt.
liður (c)	Meginstarfsemin felst í umfangsmikilli vinnslu upplýsinga samkvæmt Art. 9 eða 10	Ekki samkvæmt hönnuninni. Sérstakir flokkar kunna að berast okkur í viðmiðunarafriti afhendingarathugunarinnar; það er tilfallandi, ekki meginstarfsemi. Ekki uppfyllt.

Samkvæmt mati okkar er því engin skylda til að tilnefna slíkan fulltrúa. Hvort pólsk lög krefjist tilnefningar umfram þetta samkvæmt Art. 37(4) er opin spurning sem þarf að leysa í lögfræðilegri yfirferð. Þar sem enginn persónuverndarfulltrúi hefur verið tilnefndur eiga ákvæði um ráðgjöf samkvæmt Art. 35(2) ekki við. Ef lögfræðilega yfirferðin leiðir í ljós skyldu til tilnefningar verður leitað ráða hjá persónuverndarfulltrúanum sem þá verður tilnefndur áður en þetta mat er samþykkt (kafli 12). Tengiliður vegna spurninga um þetta mat er eigandinn á contact@lukaswojcik.com.

5. Aðferð, heimildir og takmarkanir þessarar útgáfu

Staðreyndirnar í þessu skjali koma úr frumkóða forritsins og skannans, gagnagrunnsskipaninni og línufjölda og stillingum þróunarkerfisins, mælt 11. október 2026. Aðgangur að gagnagrunninum og netþjónum var aðeins lesaðgangur. Þar sem mæling stangast á við fyrirætlanir – þar á meðal fullyrðingu í okkar eigin lagaskjölum – greinum við frá mælingunni. Við beitum ekki samþykktum hátternisreglum samkvæmt Art. 40 sem þyrfti að taka tillit til samkvæmt Art. 35(8) ef farið væri eftir þeim.

• Þróunarkerfið var mælt. Þjónustan hefur ekki enn hafið starfsemi. Tölurnar eru því lágar og endurspegla að hluta prófanir: 112 athuganir, þar af 110 án léns Viðskiptavinar; 432 skjámyndir; 2 lén, þar af 1 staðfest; engin afhendingarathugun virk; enginn prófunaraðgangur vistaður fyrir skönnun á bak við innskráningu; engin rannsókn; engar tilkynningar í samvörnum. Endurtaka á mælingar áður en starfsemi hefst og með reglulegu millibili eftir það.
• Eftirfarandi hefur ekki verið mælt í þessari útgáfu og þarf að bæta við áður en hún er samþykkt: uppsetning rekstrarkerfisins, þar á meðal hvort og hvernig viðmiðunarpósthólfið er sett upp og hvort lyklaparið fyrir skönnun á bak við innskráningu sé sett upp þar; hvort hugbúnaður tungumálalíkansins skrái beiðnir í annál; staða netþjónastjórnunar (R13); samningurinn við tölvupóstþjónustuveitandann.
• Ekki var hægt að mæla hversu mörg raunveruleg skilaboð gesta munu fara í gegnum viðmiðunarafritið og úr hvaða atvinnugreinum Viðskiptavinirnir munu koma. Hvort tveggja ræður vægi R1 og R2 og á að kanna eftir að starfsemi hefst.
• Tilvísanir í frumkóða benda á skrár og föll í frumkóða þróunarkerfisins. Það sem ræður er aðgerðin sem lýst er, ekki staðsetning hennar í skránni.

Þetta skjal er drög. Ábyrgðaraðilinn hefur ekki enn samþykkt það (kafli 12) og tvær af niðurstöðum þess – mat á umfangi fyrir P1 og P3 og vægi afhendingarathugunarinnar – byggjast á tölum sem verða ekki tiltækar fyrr en eftir að starfsemi hefst.

6. (a) Kerfisbundin lýsing á vinnsluaðgerðum og tilgangi

6.1 Uppbygging athugunarkerfisins

formexposed keyrir á eigin netþjónum í Póllandi, án utanaðkomandi hýsingarþjónustuveitanda: vefþjóni með forritinu og gagnagrunninum og skönnunarþjóni með athugunarþjónustunni og staðbundnu tungumálalíkani, báðum á sama innra neti. Athugun fer fram með eftirfarandi hætti:

1. Forritið stofnar verk í gagnagrunninum – með fyrirvara um takmörkin og lokanirnar sem lýst er í kafla 6.3.
2. Athugunarþjónustan á skönnunarþjóninum sækir verkið, athugar bannlistann, vélarheiti og, fyrir nafnlausar athuganir, aldur lénsins öðru sinni og ræsir einangraðan gám fyrir nákvæmlega þetta verk: eigið net með eigin síureglum, engin sérstök réttindi, skráakerfi með aðeins lesaðgangi, minnis- og ferlafjöldatakmörk og tímamörk (scanner/src/worker.js).
3. Inni í gámnum sækir sjálfvirkur vafri að hámarki átta opinberar síður, fyrst forsíðuna og síðan helst tengiliða-, þjónustuveitanda- og aðstoðarsíður. Fyrst les hann robots.txt; útilokun fyrir FormExposedBot eða alla vefskriðla sem nær yfir forsíðuna lýkur athuguninni og hið sama gildir ef robots.txt er ekki aðgengileg eða villa kemur frá netþjóni við sókn (scanner/src/net.js). Bönn fyrir einstakar undirslóðir eru ekki virt sérstaklega. Púlsmæling eyðublaða, sókn staðfestingargagna, hausverkfærið og leit að óvörðum skrám lesa ekki robots.txt. Til viðbótar við síðurnar átta eru allt að þrjár síður þar sem smellt er á „Hafna“ á vafrakökuborðanum, allt að þrjár síður í símasýn, virkar prófanir fyrir staðfest lén og allt að fimm síður á bak við innskráningu; síðurnar eru hlaðnar hver á eftir annarri, ekki samhliða. Hver beiðni frá vafranum – þar á meðal áframsendingar og innfellt efni – fer í gegnum síu sem hafnar einkanetum og öðrum gáttum.
4. Gámurinn skrifar niðurstöðu og skjámyndir í bráðabirgðamöppu. Athugunarþjónustan sendir niðurstöðuna og myndirnar til forritsins yfir innra netið og eyðir bráðabirgðamöppunni, einnig eftir villu (scanner/src/worker.js).
5. Forritið vinnur úr niðurstöðunni, ber hana saman við fyrri athugun fyrir lén Viðskiptavina og tilkynnir breytingar á þá áfangastaði sem Viðskiptavinurinn hefur sett upp.

6.2 Það sem vefskriðillinn vistar – og það sem hann vistar ekki

Atriði	Það sem er vistað	Það sem er ekki vistað	Tilvísun í frumkóða
Síður	Slóð, HTTP-staða, hausar, Content Security Policy, vélar þriðja aðila sem beiðnir eru sendar til (að hámarki 120)	Innihald síðu sem texti eða HTML	scanner/src/crawl.js
Reitir eyðublaða	Tegund, nafn, heiti, staðgengilstexti, hvort reitur sé skyldureitur, sýnileiki, lengd gildis sem er fyrir hendi	Gildi reita; í földum reitum eru fyrstu 24 stafir gildisins aðeins lesnir meðan á athuguninni stendur (til að greina auðkenni)	scanner/src/crawl.js
Netföng viðtakenda í eyðublaðinu	aðeins lénið	netfangið	scanner/src/crawl.js
Forritabútar	Skrá með prófsummu; slóðir og upphafstexti án aðgangsauðkenna auglýsinga- og greiningarþjónusta	Aðgangs- og pixlaauðkenni	scanner/src/crawl.js
Hlustendur	hvaða auglýsingapixlar og upptökutól hlaðast fyrir og eftir að smellt er á „Hafna“ á vafrakökuborðanum og hvort þau hylji innslátt	Auðkenni aðganga hjá þessum þjónustum	scanner/src/mitleser.js, scanner/src/einwilligung.js
Texti eyðublaðs	allt að 400 stafir fara í staðbundna tungumálalíkanið ef reglurnar þekkja ekki tegundina	Afhending til þriðja aðila; vistun textans	scanner/src/classify.js
Skjámyndir (vefskriðill)	sýnilegt svæði fyrstu síðu; fyrir hvert sýnilegt eyðublað, mynd af eyðublaðseiningunni	–	scanner/src/crawl.js
Skjámyndir (virk athugun)	Mynd af svarsíðu eftir prófunarinnsendingu; að auki staðan, markslóðin, titillinn og fyrstu 300 stafir texta hennar	–	scanner/src/active.js
Skjámyndir (vafraleiðir)	Mynd af eyðublaðinu með innsláttarreitum sem hafa verið huldir með svörtu, þjöppuð, að hámarki 32 KB	Innsláttur	scanner/src/browser.js
Á bak við innskráningu	eins og fyrir reiti eyðublaða hér að ofan	Skjámyndir, vafrakökur, tenglar	scanner/src/login.js

Ekki er ætlunin að þessi atriði innihaldi persónuupplýsingar en þær geta verið þar tilfallandi: nafn tengiliðar við hlið eyðublaðsins, mynd af starfsfólki á forsíðunni, símanúmer í heiti reits, tölvupóstlén einstaklings, nafn í staðgengilstexta. Á bak við innskráningu bætast við upplýsingar um prófunaraðganginn og, eftir því hvaða vefsvæði á í hlut, um aðra notendur.

6.3 Hver ræsir athugun og hvaða reglur gilda þá

Kveikja	Trauststig í verkinu	Prófunarinnsendingar	Aðgangur að niðurstöðu	Eyðing
Einhver slær inn lén á forsíðunni (ókeypis athugun)	anonymous	nei	Skýrsla með slembitengli	30 dagar, þar á meðal myndir (cfg/check_lib.php)
Viðbót eða viðbótareining án aðgangs	plugin	nei	Skýrsla með slembitengli	30 dagar
Vefstofa fyrir hugsanlegan viðskiptavin	registered	nei	Stutt niðurstaða og skýrsla með slembitengli	90 dagar (cfg/akquise_lib.php)
Viðskiptavinur, lén án sönnunar	registered	nei	Aðgangur; skýrsla með slembitengli	13 mánuðir, síðasta athugunin er varðveitt
Viðskiptavinur, lén með sönnun	verified	já, að hámarki fimm í hverri athugun	Aðgangur; skýrsla með slembitengli	13 mánuðir, síðasta athugunin er varðveitt (cfg/fristen_lib.php)
Rannsókn	internal	nei	aðeins heildartölur eftir birtingu	við birtingu; án birtingar eru engin tímamörk (R4)
Innri athugun sem þjónustuveitandinn ræsir af skipanalínu	internal; fyrir okkar eigin prófunar- og sýnilén einnig „verified“	nei; með stiginu „verified“ já (aðeins okkar eigin prófunar- og sýnilén)	aðeins innanhúss	engin tímamörk (R4)

Nokkur varnarlög eru fyrir framan ókeypis athugunina (cfg/check_lib.php): neyðarstöðvun; reCAPTCHA; sama lén að hámarki einu sinni á sjö dögum (eftir það er skýrslan sem þegar er til sýnd); takmörk á hvert IP-netfang, hverja lotu (sem tætigildi, aldrei sjálft lotuauðkennið) og alla þjónustuna á dag; útilokunarlistinn vegna útilokunarbeiðna og robots.txt; athugun á því að lénið vísi á opinber netföng; og lokun fyrir mjög ný eða óþekkt lén. Frávik – mörg mismunandi lén frá einu IP-netfangi, margar beiðnir á stuttum tíma – eru skráð með IP-netfanginu og kalla fram merki án innihalds (cfg/check_lib.php).

6.4 Athugun á lénum á aðgangi Viðskiptavinarins

Viðskiptavinurinn sannar að hann hafi heimild til að stjórna léni: með DNS-færslu, lýsigagnamerki, skrá eða í gegnum viðbótina okkar (cfg/verify_lib.php). Aðeins þá er farið með lénið sem staðfest. Tímaáætlun vöktunar áætlar reglulegar athuganir aðeins fyrir virk, vöktuð og staðfest lén (cfg/monitor_lib.php).

• Virkar prófunarinnsendingar eru háðar tveimur vörnum: forritið virkjar virka stillingu fyrir Viðskiptavini aðeins fyrir staðfest lén (fyrir okkar eigin prófunar- og sýnilén getur þjónustuveitandinn stofnað athugun með stiginu „verified“ með innra skipanalínutóli) og athugunarþjónustan athugar trauststigið og neyðarstöðvunina fc_active_enabled aftur (scanner/src/worker.js). Aðeins má senda inn eyðublað sem reglurnar þekkja með mikilli vissu sem almennt tengiliðaeyðublað, sem hefur enga skyldureiti fyrir raunverulegar persónuupplýsingar og þar sem lénið virðist ekki tilheyra opinberu yfirvaldi, menntastofnun, sjúkrahúsi, læknastofu, lögreglu eða dómstól (scanner/src/classify.js). Tungumálalíkanið getur ekki gert eyðublað hæft til innsendingar (scanner/src/classify.js). Að hámarki fimm innsendingar eru sendar í hverri athugun (fc_active_max_posts), skýrt merktar, með sendandanum dummy@formexposed.com, netfangi undir .invalid til að prófa sannprófun netfangs og meinlausri viðbótarhauslínu til að greina innspýtingu í tölvupósthausa (scanner/src/active.js).
• Vafraleiðir athuga stilltar vafraleiðir um eyðublöð í vafra þar til rétt áður en kemur að innsendingu. Aðeins GET- og HEAD-beiðnir eru leyfðar; allt annað er stöðvað, sem og slóðir sem innihalda orð fyrir útskráningu, eyðingu, kaup eða greiðslu (scanner/src/browser.js). Í athuguninni eru skyldureitir fylltir með tilbúnum gildum sem fara aldrei úr vafranum.
• Óvarinna skráa er leitað vikulega, aðeins fyrir staðfest lén, með að hámarki einni sókn á hverja slóð og að hámarki 8 KB, og innihaldið er aldrei vistað (cfg/dateien_lib.php).
• Önnur, óháð prófun hefur verið undirbúin og er sjálfgefið óvirk (browser_probe_enabled = 0). Ef hún væri virkjuð fengi hún aðeins lénið, slóðina, valarann, skrefin og val á vafra, aldrei innskráningarupplýsingar, skjámyndir eða gögn gesta (cfg/formular_probe_lib.php).

6.5 Skönnun á bak við innskráningu

Forsendur eru að aðgerðin hafi verið sett upp, lénið sé staðfest og Viðskiptavinurinn sé á greiddri áskriftarleið og sé eigandi eða stjórnandi vinnusvæðisins (cfg/login_lib.php); hann staðfestir að aðgangurinn sé prófunaraðgangur með eins takmörkuð réttindi og unnt er (cfg/login_lib.php).

1. Notandanafnið og lykilorðið eru tafarlaust dulkóðuð á vefþjóninum með opinbera lykli skönnunarþjónsins: einnota lykill fyrir hverja færslu (X25519), lykilafleiðsla (HKDF-SHA256), AES-256-GCM, bundið við lénið (cfg/login_lib.php). Aðeins athugunarþjónustan á skönnunarþjóninum hefur einkalykilinn (scanner/src/geheim.js). Sá sem hefur vefþjóninn, gagnagrunninn eða öryggisafrit hefur aðeins dulmálstexta.
2. Viðmótið sýnir aðeins fyrsta staf og lengd notandanafnsins (cfg/login_lib.php). Innskráningarupplýsingar eru aldrei birtar, aldrei skráðar í annál og aldrei afhentar í gegnum API.
3. Við athugun bætir forritið dulmálstextanum við verkið. Athugunarþjónustan afdulkóðar hann, hreinsar reitinn í verkinu tafarlaust og sendir innskráningarupplýsingarnar til gámsins aðeins um staðalinntak, aldrei sem skipanalínuviðföng (scanner/src/worker.js). Stöðuferlið hreinsar leifar í verkum sem hafa verið stöðvuð eftir eina klukkustund (cfg/login_lib.php).
4. Inni í gámnum skráir vafrinn sig inn. Hann stöðvar ferlið ef innskráningarsíðan vísar á aðra vél, ef innskráningareyðublaðið inniheldur CAPTCHA (við förum ekki fram hjá CAPTCHA-vörnum) eða ef lykilorðsreitur sést enn eftir innsendingu (scanner/src/login.js). Hann hreinsar síðan lykilorðsreitinn úr minni síðunnar og gleymir innskráningarupplýsingunum (scanner/src/login.js).
5. Hann les að hámarki fimm síður á sama léni sem Viðskiptavinurinn hefur tilgreint. Slóðir sem innihalda orð fyrir útskráningu, eyðingu, fjarlægingu eða afpöntun eru lokaðar (scanner/src/login.js). Ekkert er sent inn á bak við innskráningu, engar skjámyndir eru teknar og vafrakökur og tenglar fara ekki í niðurstöðuna (scanner/src/login.js).
6. Eyðing er endanleg: skrifað er yfir dulmálstextann með slembigögnum af sömu lengd, línunni er eytt og verk í bið eru hreinsuð (cfg/login_lib.php). Þegar léninu er eytt hverfur línan sjálfkrafa vegna ytri lykils.

6.6 Afhendingarathugun

Afhendingarathugunin svarar spurningunni hvort tölvupóstur úr tengiliðaeyðublaðinu berist í raun og metur auðkenningarþætti hans. Hún er valkvæð, sjálfgefið óvirk og krefst þess að viðmiðunarpósthólf sé sett upp (cfg/zustellung_lib.php).

1. Ef Viðskiptavinurinn virkjar hana fær lénið slembimerki. Viðskiptavinurinn skráir viðmiðunarnetfangið með þessu merki sem falið afrit í eyðublaðinu sínu.
2. Frá þeim tíma berst hver tölvupóstur úr eyðublaðinu einnig í viðmiðunarpósthólfið: merktar prófunarinnsendingar okkar og öll raunveruleg skilaboð frá gestum. Tölvupósturinn berst beint í pósthólfið hjá Namecheap, Inc. (Private Email), Phoenix, Arizona, USA – hann berst aðeins ef MX-færslur lénsins okkar vísa þangað; með áframsendingu, til dæmis hjá lénaskráningaraðilanum Namecheap, Inc., berst hann ekki í pósthólfið – og er þar þar til hann er sóttur.
3. Stöðuferlið sækir póst í pósthólfið á fimm mínútna fresti (srv/cron_status.php). Fyrir hvern tölvupóst les það hausana og að hámarki fyrstu 8 KB textans án þess að merkja póstinn sem lesinn (cfg/zustellung_lib.php).
4. Út frá hausunum ákvarðar það merkið og þar með lénið og út frá textanum, eftir atvikum, auðkenni prófunar okkar (cfg/zustellung_lib.php). Það sem er vistað er tíminn, lénið og, eftir atvikum, prófunarauðkennið (cfg/zustellung_lib.php), í 180 daga (cfg/zustellung_lib.php).
5. Út frá hausunum metur það SPF, DKIM og DMARC og vistar niðurstöðuna við lénið: niðurstöður athugana, lén sendandanetfangsins, lén undirskriftanna og vistfang póstþjónsins sem sendir (cfg/zustellung_lib.php). Ef niðurstaðan versnar er Viðskiptavininum send viðvörun einu sinni sem getur nefnt lén sendandans (cfg/zustellung_lib.php).
6. Það merkir síðan hvern sóttan tölvupóst til eyðingar, þar á meðal póst sem ekki var hægt að tengja við neitt lén, og fjarlægir hann úr pósthólfinu í lok keyrslunnar (cfg/zustellung_lib.php). Ef keyrslan stöðvast áður er tölvupósturinn þar áfram fram að næstu keyrslu sem tekst.
7. Aðeins afrit af nákvæmlega viðkomandi prófun telst sönnun fyrir afhendingu (cfg/zustellung_lib.php). Ef það berst ekki innan þriggja klukkustunda (delivery_wait_h) tilkynnir þjónustan „Afhending vantar“.

Texti raunverulegra skilaboða er aldrei skrifaður í gagnagrunninn og ekki heldur netfang gestsins. Hvort tveggja er þó lesið: sóknin hleður fyrstu 8 KB hvers tölvupósts í minni til að leita að prófunarauðkenninu.

6.7 Samvarnir

1. Varnarlag WordPress-viðbótarinnar stöðvar skilaboð sem ruslpóst og telur lén tenglanna í þeim. Einu sinni á dag tilkynnir viðbótin okkur um þessi lén ásamt fjölda tilvika þeirra, að hámarki 60 á dag; engin netföng, enginn texti, engin IP-netföng (cfg/swarm_lib.php).
2. Einu sinni á dag setjum við saman listann út frá þessu: lén fer á hann ef tilkynnt hefur verið um það innan sjö daga frá að minnsta kosti þremur mismunandi vefsvæðum og með að minnsta kosti fimm tilvikum (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). Stórar þjónustur af föstum undantekningalista og lén Viðskiptavina okkar, í báðum tilvikum ásamt undirlénum, fara aldrei á listann (cfg/swarm_lib.php).
3. Listinn fer til allra tengdra vefsvæða með svarinu við daglegu tilkynningunni. Varnarlag þeirra setur skilaboð með tenglum á skráð lén í sóttkví, ekki í ruslið.
4. Það sem kemur ekki lengur fyrir á nýja listanum fellur út; tilkynningum er eytt eftir 30 daga (cfg/swarm_lib.php).
5. IP-net (/24 eða /48) hafa verið undirbúin en eru óvirk þar til lögfræðilegri yfirferð er lokið (cfg/swarm_lib.php).

6.8 Notkun gervigreindar

Tungumálalíkan keyrir á okkar eigin skönnunarþjóni, ekki hjá gervigreindarþjónustuveitanda. Það er notað á þremur stöðum: í athugunarþjónustunni flokkar það eyðublöð sem reglurnar þekkja ekki tegundina á; við það sér það titil síðunnar, slóð síðunnar, heiti innsendingarhnappa, tegundir, nöfn, heiti og staðgengilstexta reita og allt að 400 stafi af texta eyðublaðsins (scanner/src/classify.js). Aðeins er leitað til þess ef reglurnar skila „unknown“; eyðublöð sem eru flokkuð þannig eru aldrei send inn og teljast hvorki með í stigatölu né úrskurði. Stigatalan, úrskurðurinn, varnir gegn misnotkun, samvarnir og ruslpóstsreglur byggjast á föstum reglum, ekki gervigreind. Í „Fix it for me“ endurskrifar það innlímdan kóða eyðublaðs; kóðinn er ekki vistaður. Fyrir athuganir sem uppfylla skilyrðin á lénum í greiddum aðgangum myndar það einnig forgangsraðaða aðgerðaáætlun út frá vélarheitinu, heildarniðurstöðu og stigatölu, CMS, viðeigandi tegund eyðublaðs og slóð síðu, viðbót sem kann að hafa verið greind og völdum niðurstöðum sem standast ekki eða eru óljósar. Beiðnin er tímabundið vistuð í innri verkbiðröðinni og henni eytt eftir sókn eða við tímasetta hreinsun færslna sem eru eldri en ein klukkustund. Myndaði textinn, tungumál, staða og tímastimpill eru varðveitt með skönnunarniðurstöðunni samkvæmt varðveislureglum hennar. Skýrslan merkir áætlunina sem samantekt gervigreindar og lætur einstakar niðurstöður athugana ráða; áætlunin breytir hvorki vefsvæðinu né skönnunarniðurstöðunni. Líkanið tekur engar ákvarðanir um fólk. Nánar er fjallað um þetta á síðunni Gervigreindarreglugerð ESB: Hvernig formexposed notar gervigreind.

6.9 Lagagrundvöllur

Vinnsluaðgerð	Lagagrundvöllur
P1 Ókeypis athugun: athugun á umbeðnu léni; takmörk og varnir gegn misnotkun	gagnvart þeim sem óskar eftir athuguninni, Art. 6(1)(b); gagnvart rekstraraðilanum og einstaklingum sem sjást á myndum, Art. 6(1)(f); varnir gegn misnotkun, Art. 6(1)(f)
P2 Athugun á hugsanlegum viðskiptavinum	Art. 6(1)(f) (lögmætir hagsmunir vefstofunnar og formexposed)
P3 Rannsókn	Art. 6(1)(f)
P4 Athugun á lénum Viðskiptavina	Art. 6(1)(b) gagnvart Viðskiptavininum; fyrir gögn þriðja aðila á vefsvæði hans, fyrirmæli Viðskiptavinarins samkvæmt Art. 28
P5 Skönnun á bak við innskráningu	Fyrirmæli Viðskiptavinarins samkvæmt Art. 28; lagagrundvöllur Viðskiptavinarins
P6 Afhendingarathugun	Fyrirmæli Viðskiptavinarins samkvæmt Art. 28; lagagrundvöllur Viðskiptavinarins (í tillögu okkar að texta fyrir Viðskiptavini, Art. 6(1)(f))
P7 Samvarnir	Art. 6(1)(f) (sameiginleg vörn gegn ruslpósti á mörgum vefsvæðum)

Lögmætir hagsmunir okkar í P1 til P3 felast í því að sýna rekstraraðilum og þjónustuveitendum þeirra veikleika í eyðublöðum þeirra áður en þeir eru nýttir til ruslpósts eða misnotkunar og í því að veita þjónustuna. Upplýsingarnar koma úr opinberlega aðgengilegum heimildum. Hagsmunamatið er sett fram í kafla 7; hvort Art. 6(1)(f) veiti grundvöll fyrir athugun á vefsvæðum þriðja aðila að beiðni er opin spurning fyrir lögfræðilega yfirferð.

6.10 Viðtakendur og flutningur til þriðju landa

Viðtakandi	Hvað	Vinnsluaðgerð	Staða
Enginn utan formexposed	Niðurstöður athugana, skjámyndir, flokkun tungumálalíkansins	P1–P5	Athugunarþjónustan og tungumálalíkanið keyra á okkar eigin netþjónum; í athugunarferli vefskriðilsins fannst ekkert kall til þriðja aðila annað en til athugaða vefsvæðisins sjálfs, til þjónusta sem það fellir efni frá inn á síður sínar (eins og hjá hverjum gesti) og til RDAP-þjónustunnar rdap.org vegna aldurs lénsins (aðeins lénið); vöktunaraðgerðirnar eru taldar upp í næstu línu
Hver sá sem þekkir tengilinn	Skýrsla með niðurstöðum athugana og skjámyndum	P1, P2, P4	slembitengill með 128 bitum (cfg/check_lib.php), síður með noindex (www/report.php)
Þjónustur sem vöktun á léni Viðskiptavinar sendir fyrirspurnir til	DNS-útilokunarlistar (SpamCop, PSBL, Mailspike, SURBL): lén og IP-netföng netþjóna, engin gögn gesta; Google Web Risk aðeins ef það er sett upp: slóð forsíðunnar; tímastimplunaryfirvöldin Certum og DigiCert: aðeins tætigildi yfirlits til sönnunar; RDAP í gegnum IANA-skrána: aðeins lénið; stöðusíður þjónustuveitenda: ekkert er sent; wpvulnerability.net: auðkenni viðbótar (án útgáfu) eða þema og útgáfa WordPress	P4	í notkun; nánar í Skrá yfir vinnslustarfsemi og á síðunni Undirvinnsluaðilar
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Viðmiðunarafrit, þar á meðal raunveruleg skilaboð gesta	P6	Samningur hefur ekki enn verið gerður; enn á eftir að kanna vinnslustað og flutningsheimild
Namecheap, Inc. (USA)	Lénaskráningaraðili og DNS; þar til pósthólfið er sett upp, áframsending almenns tölvupósts til netfanga á léninu okkar, ekki viðmiðunarafrita (þau berast aðeins í pósthólfið með MX-færslum sem vísa beint þangað)	– (engin viðmiðunarafrit)	Kanna þarf flutningsheimild
Viðvörunarleiðir sem Viðskiptavinurinn velur (tölvupóstur, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	Atvik, lén, tengill; fyrir athugun á uppruna, lén sendandans ef það tilheyrir ekki vefsvæðinu	P4, P6	Viðskiptavinurinn velur áfangastaðinn; að hluta utan ESB. Við sendum Telegram-skilaboð í gegnum botann okkar; flutningsheimildin fyrir það er opin spurning fyrir lögfræðilega yfirferð
Öll tengd vefsvæði	Listi yfir lén tengla	P7	með svarinu til viðbótarinnar
Önnur prófun	Lén, slóð eyðublaðs, valari, skref	P4	óvirk

6.11 Varðveisla, mældur raunveruleiki en ekki fyrirætlanir

Eyðing fer að mestu fram að nóttu kl. 03:00 í stöðuferlinu (srv/cron_status.php, cfg/fristen_lib.php); tilkynningum samvarna og línum um hugsanlega viðskiptavini er eytt daglega frá kl. 04:00, tengingum afhendingarathugunar við hverja sókn; nafnlausum skýrslum og skýrslum um hugsanlega viðskiptavini er eytt eftir lokadagsetningu þeirra (cfg/check_lib.php). Skjámyndum er eytt af diski ásamt skönnun þeirra (cfg/fristen_lib.php).

Gögn	Tímabil samkvæmt kóðanum	Tilvísun í frumkóða	Niðurstaða athugunar
Ókeypis athugun, þar á meðal myndir	30 dagar	cfg/check_lib.php	virkt
Athugun á hugsanlegum viðskiptavini, þar á meðal myndir	90 dagar	cfg/akquise_lib.php; srv/cron_status.php (línur um hugsanlega viðskiptavini)	virkt
Athuganir á léni Viðskiptavinar	13 mánuðir; sú síðasta er varðveitt svo lengi sem lénið er til	cfg/fristen_lib.php	virkt
Niðurstöður vafraleiða, þar á meðal myndir með svörtum yfirstrikunum	13 mánuðir	cfg/fristen_lib.php	virkt
Gögn léns sem hefur verið eytt	tafarlaust; ótengdum gögnum að nóttu	cfg/fristen_lib.php (fe_domain_loeschen(), fe_fristen_lauf())	virkt, þar á meðal skrá yfir forritabúta og breytingar á þeim, sem hafa enga sérstaka varðveislutíma umfram þetta (sjá Skrá yfir vinnslustarfsemi)
Rannsókn: hrá gögn, þar á meðal myndir	við birtingu	cfg/studie_lib.php	án birtingar eru engin tímamörk; listinn yfir athuguð vélarheiti helst án tímamarka jafnvel eftir birtingu
Innri athuganir án léns og án skýrslu	enginn	–	engin eyðing; mælt: 85 athuganir með 369 myndum frá 22. september 2026 (R4)
Tengingar afhendingarathugunar	180 dagar	cfg/zustellung_lib.php	virkt
Niðurstaða athugunar á uppruna við lénið	þar til næsta niðurstaða kemur eða léninu er eytt	cfg/zustellung_lib.php	skrifað yfir, ekki tímabundið
Viðmiðunarafrit í pósthólfinu	fram að næstu sókn sem tekst (fimm mínútna millibil)	cfg/zustellung_lib.php	afrit og öryggisafrit hjá pósthólfsþjónustuveitandanum hafa ekki verið sannreynd
Innskráningarupplýsingar fyrir skönnun á bak við innskráningu	þar til Viðskiptavinurinn eyðir þeim eða léninu er eytt; í verkinu að hámarki til loka keyrslunnar, leifar eftir eina klukkustund	cfg/login_lib.php	virkt; í öryggisafritum aðeins sem dulmálstexti í allt að 14 daga
Tilkynningar í samvörnum	30 dagar	cfg/swarm_lib.php	virkt
Takmörk ókeypis athugunarinnar (IP, land, tætigildi lotu)	7 dagar	srv/cron_status.php	virkt
Athugasemdir um óvenjulega hegðun með IP-netfangi	90 dagar eftir úrlausn	srv/cron_status.php	óleystar athugasemdir án tímamarka; mælt: 3 athugasemdir, allar leystar
IP-netfang, land, vafri í tengslum við útilokunarbeiðni	12 mánuðir; útilokunin helst	cfg/fristen_lib.php	virkt
Öryggisafrit gagnagrunns	14 dagar	cfg/backup_lib.php	virkt; öryggisafritin eru nú geymd á sama stað og gagnagrunnurinn og eru ekki dulkóðuð sérstaklega; fyrirhugað er dulkóðað afrit á öðrum stað (R13)

7. (b) Mat á nauðsyn og meðalhófi

Viðmiðið er sá tilgangur sem hefur verið tilgreindur: að sýna rekstraraðilum hvort eyðublöð þeirra séu varin gegn ruslpósti og misnotkun (P1 til P5), að athuga hvort tölvupóstur úr eyðublöðum berist og virðist ósvikinn (P6) og að verjast sameiginlega ruslpósti á mörgum vefsvæðum (P7). Þessi tilgangur er lögmætur. Spurningin samkvæmt Art. 35(7)(b) er þrengri: er þessi vinnsla með þessari nákvæmni nauðsynleg í þessum tilgangi og er inngripið í réttindin í réttu hlutfalli við ávinninginn?

Þáttur	Nauðsynlegur í þessum tilgangi?	Í samræmi við meðalhóf eins og hann er útfærður?
Sókn fáeinna opinberra síðna, uppbygging eyðublaða, greindar verndarráðstafanir	Já. Án þessara atriða fást engar niðurstöður athugunar.	Já. Að hámarki átta síður (auk sýna úr kafla 6.1), bann við forsíðunni í robots.txt er virt, engin gildi úr sýnilegum reitum, netföng viðtakenda aðeins sem lén.
Skjámynd af hverju eyðublaði	Já, sem stuðningsgagn í skýrslunni: rekstraraðilinn getur séð hvaða eyðublað er átt við.	Að mestu. Reitirnir eru auðir því vefskriðillinn slær ekkert inn. Myndin sýnir þó umhverfi eyðublaðseiningarinnar án þess að neitt sé hulið með svörtu (R3).
Skjámynd af forsíðunni	Ekki nauðsynleg fyrir sjálfa niðurstöðuna. Hún þjónar því að gera athugaða vefsvæðið auðþekkjanlegt í skýrslunni.	Aðeins að takmörkuðu leyti; fyrirhugað er að draga enn frekar úr gögnum. Forsíður sýna oft fólk: myndir af starfsfólki, tengiliði, umsagnir viðskiptavina með nöfnum. Sjá R3 og kafla 9.3.
Lestur gilda falinna reita (fyrstu 24 stafir, aðeins meðan á athuguninni stendur)	Já: auðkenni og tímastimplar eru greind út frá þeim.	Já. Aðeins niðurstaða greiningarinnar er vistuð, ekki gildið, einnig á bak við innskráningu (R8).
Svarsíða eftir prófunarinnsendingu (mynd og 300 stafir texta)	Já, sem stuðningsgagn um hvernig eyðublaðið brást við.	Já. Svarið varðar merkt prófunarskilaboð okkar án persónuupplýsinga.
Flokkun tungumálalíkansins	Gagnleg, ekki nauðsynleg: án hennar eru fleiri eyðublöð áfram „unknown“.	Já. Staðbundin, án afhendingar og án heimildar til innsendingar.
Staðbundin aðgerðaáætlun úr völdum niðurstöðum athugana og lýsigögnum skönnunar	Gagnleg til að forgangsraða úrbótum, ekki nauðsynleg til að mynda einstakar niðurstöður athugana.	Takmörkuð við fyrirliggjandi lýsigögn skönnunar og að hámarki 18 aðgreindar niðurstöður sem standast ekki eða eru óljósar, án skjámynda eða innsláttargilda reita í fyrirmælunum til líkansins. Áætlunin er ráðgefandi og merkt sem mynduð með gervigreind; einstakar niðurstöður athugana ráða áfram. Slóðir og athugasemdir geta enn innihaldið persónuupplýsingar og um myndaðan texta gilda varðveislureglur skönnunar og aðgangur með tengli sem veitir handhafa aðgang. Þessi takmörk draga úr útsetningu gagna en sanna ekki að staðreyndir séu réttar (R10).
Virkar prófunarinnsendingar	Já. Hvort vörn virki kemur ekki í ljós fyrr en hún er prófuð.	Já, með hámarki og merkingu. Forsendan – sönnun um stjórn – er þó aldrei endurnýjuð (R7).
Leit að óvörðum skrám	Já fyrir Viðskiptavininn, því gögn úr eyðublöðum hans kunna að vera óvarin þar.	Já. Aðeins staðfest lén, að hámarki 8 KB, innihaldið aldrei vistað.
Skönnun á bak við innskráningu	Já fyrir eyðublöð á aðildarsvæðinu sem annars yrðu ekki athuguð.	Að mestu. Dulkóðun og eyðing eru vandlega útfærðar; innskráningin samþykkir þó ódulkóðaðar tengingar og gölluð skilríki (R8).
Viðmiðunarafrit af raunverulegum skilaboðum gesta	Ekki til sönnunar á afhendingu. Sú sönnun byggist aðeins á afriti prófunar okkar (cfg/zustellung_lib.php). Raunveruleg skilaboð fylgja með vegna þess að falið afrit í eyðublaðinu gerir ekki greinarmun á prófun og raunverulegum skilaboðum. Þau eru gagnleg fyrir athugun á uppruna (SPF, DKIM, DMARC) því þau sýna raunverulega sendileið.	Að hluta. Innihald er ekki vistað en er lesið og það helst hjá pósthólfsþjónustuveitandanum, sem enn á eftir að gera samning við, þar til það er sótt (R1, R2). Tæknilega er minna íþyngjandi hönnun möguleg: með viðbótinni okkar væri hægt að takmarka falda afritið við merkt prófunarskilaboð (kafli 9.3).
Varðveisla léns sendanda raunverulegra skilaboða	Að hluta: það sýnir hvort eyðublaðið sendi með netfang gestsins sem sendanda (algeng orsök þess að póstur er flokkaður sem ruslpóstur).	Með skilyrðum. Fyrir einstakling með eigið lén telst lénið til persónuupplýsinga og það fer í viðvörunina til Viðskiptavinarins og á tilkynningarleiðir hans (R1).
Sameiginlegur listi yfir lén tengla	Já. Ruslpóststengill sem kemur fyrir á mörgum vefsvæðum á sama tíma er sterkt merki sem einstakt vefsvæði hefur ekki.	Já, með lágmarksfjölda, undantekningum og sóttkví í stað eyðingar. IP-net samræmdust ekki meðalhófi án nýs mats.
Hrá gögn rannsóknarinnar	Fram að úrvinnslu, já.	Án hámarkstíma, nei (R4).
Skýrsla með slembitengli	Já. Að senda skýrsluna áfram – til dæmis til þjónustuveitandans sem sér um vefsvæðið – er tilgangur ókeypis athugunarinnar.	Já. Slembitengill með 128 bitum, noindex, ókeypis skýrsla aðeins sem útdráttur (cfg/check_lib.php, FE_FREE_DETEKTOREN), eyðing eftir 30 daga.

Lögmæti. Fyrir P1 til P3 og P7 byggjum við á Art. 6(1)(f). Því til stuðnings í hagsmunamatinu er að upplýsingarnar eru opinberar og eru sóttar með sama hætti og hver gestur gerir; ekkert er sent inn; persónuupplýsingar koma aðeins tilfallandi fyrir og í litlum mæli; tímabilin eru stutt; rekstraraðilinn getur útilokað frekari athuganir vefskriðilsins með banni við forsíðunni í robots.txt og allar frekari athuganir í gegnum útilokunarsíðuna okkar, tafarlaust og án sönnunar; ávinningurinn – varið eyðublað – fellur einnig rekstraraðilanum og gestum hans í skaut. Gegn þessu vegur að rekstraraðilinn fær enga vitneskju um athugunina, skýrslan er ætluð þriðju aðilum og þegar um einstaklinga í eigin atvinnurekstri er að ræða metur hún einstakling. Við teljum að hægt sé að réttlæta hagsmunamatið svo lengi sem ráðstafanir úr kafla 9.1 eru áfram til staðar; lögfræðileg staðfesting liggur ekki enn fyrir.

Upplýsingar til skráðra einstaklinga (Art. 13 og 14). Við upplýsum rekstraraðila og fólk á athuguðum síðum í gegnum síðu vefskriðilsins, sem er nefnd í auðkenni hverrar sóknar, í gegnum Persónuverndarstefnuna og í gegnum útilokunarsíðuna. Að upplýsa hvern einstakling sem birtist tilviljunarkennt á skjámynd væri aðeins hægt ef við bærum kennsl á hann – sem fæli í sér frekara og alvarlegra inngrip. Að því marki byggjum við á Art. 14(5)(b). Viðskiptavinurinn upplýsir gesti sem senda skilaboð sem fara í gegnum viðmiðunarafritið; Vinnslusamningurinn krefst þess og við leggjum til textablokk til þess.

Lágmörkun gagna (Art. 5(1)(c)). Hún sést víða og er studd í kóðanum: engin gildi reita, netföng viðtakenda aðeins sem lén, aðgangsauðkenni í slóðum forritabúta falin, ekkert innihald viðmiðunarafritsins í gagnagrunninum, engar skjámyndir á bak við innskráningu, aðeins lén í samvörnum. Á tveimur stöðum er frekari lágmörkun möguleg og fyrirhuguð (kafli 9.3): fyrir skjámynd forsíðunnar án þess að efni sé hulið með svörtu og fyrir lén sendanda raunverulegra skilaboða.

Takmörkun varðveislu (Art. 5(1)(e)). Frá 27. september 2026 hefur næturkeyrslan fylgt tímabilum Persónuverndarstefnunnar fyrir gögn Viðskiptavina og hreinsar gögn án tengds léns sem urðu eftir frá fyrra tímabili (cfg/fristen_lib.php). Tvær leiðir án tímamarka eru enn opnar: innri athuganir og óbirtar rannsóknir (R4).

Áreiðanleiki upplýsinga (Art. 5(1)(d)). Niðurstaða athugunar getur verið röng: eyðublað virðist óvarið vegna þess að vörnin hleðst ekki fyrr en eftir samskipti eða eldveggur meðhöndlaði vefskriðilinn öðruvísi en gest. Fyrir rekstraraðila sem fær vefsvæði sitt dreift opinberlega sem „Óvarið“ snýst þetta um orðspor. Skýrslan nefnir því aðferðina, sýnir stuðningsgögn og bendir á takmarkanir athugunar utan frá.

Niðurstaða um meðalhóf: Athugun á vefsvæðum þriðja aðila og eigin vefsvæðum er í útfærðri mynd að meginstefnu í samræmi við meðalhóf. Á þremur stöðum er þörf á úrbótum sem hægt er að leysa með venjulegum úrræðum og sem ráðstafanir eru fyrirhugaðar fyrir (kafli 9.3): skjámyndir forsíðunnar, innri athuganir án tímamarka og ódulkóðuð innskráning í skönnun á bak við innskráningu. Afhendingarathugunin samræmist meðalhófi fyrir prófunarafritið og athugun á uppruna; fyrir raunveruleg skilaboð gesta gildir það aðeins svo lengi sem innihald þeirra er ekki vistað, leiðin um pósthólfsþjónustuveitandann er tryggð með samningi og Viðskiptavinurinn upplýsir gesti sína. Í dag vantar annað þessara þriggja atriða.

8. (c) Mat á áhættu fyrir réttindi og frelsi skráðra einstaklinga

Það sem er metið er áhættan fyrir skráða einstaklinga, ekki fyrir formexposed. Líkur eru metnar sem litlar, mögulegar eða líklegar, eða áhættan er talin raungerð; „raungerð“ merkir að atvikið sé ekki spá heldur mælt ástand. Alvarleiki er metinn sem takmarkaður, verulegur, alvarlegur eða mjög alvarlegur, eftir því hvað einstaklingurinn getur tapað: trúnaði skilaboða sinna, stjórn á aðgangi, viðskiptalegu orðspori sínu, möguleikanum á að nýta réttindi. Áhættustigið leiðir af hvoru tveggja og lýsir núverandi ástandi með ráðstöfunum úr kafla 9.1.

Nr.	Áhætta	Vinnsluaðgerð	Líkur	Alvarleiki	Stig
R1	Raunveruleg skilaboð gesta í viðmiðunarafritinu, þar á meðal hugsanlega sérstakir flokkar	P6	Áhættan raungerð um leið og virkjað er	Alvarlegur	Hátt
R2	Leið viðmiðunarafritsins um pósthólfsþjónustuveitandann án gerðs samnings og með hugsanlegri tengingu við þriðja land	P6	Líklegar svo lengi sem samninginn vantar	Alvarlegur	Hátt
R3	Skjámyndir af vefsvæðum þriðja aðila án þess að efni sé hulið með svörtu	P1–P4	Líklegar	Takmarkaður	Miðlungs
R4	Gögn athugana og skjámyndir án eyðingarleiðar	P3, innri athuganir	Áhættan raungerð	Verulegur	Hátt
R5	Athugun og opinbert mat á vefsvæðum þriðja aðila án vitneskju rekstraraðilans; misnotkun sem könnunartól	P1	Mögulegar	Verulegur	Miðlungs
R6	Athugun á hugsanlegum viðskiptavinum sem grundvöllur óumbeðinna samskipta	P2	Líklegar	Takmarkaður	Miðlungs
R7	Sönnun um stjórn er aldrei endurnýjuð	P4, P5	Mögulegar	Verulegur	Miðlungs
R8	Innskráningarupplýsingar og innihald í skönnun á bak við innskráningu	P5	Mögulegar	Alvarlegur	Miðlungs; hátt fyrir raunverulega aðganga
R9	Virkar prófunarinnsendingar og skráaathugun á vefsvæði Viðskiptavinarins	P4	Litlar	Verulegur	Lágt
R10	Flokkun tungumálalíkans	P1–P4	Litlar	Takmarkaður	Lágt
R11	Sameiginlegur útilokunarlisti úr tilkynningum margra vefsvæða	P7	Mögulegar	Takmarkaður	Lágt til miðlungs; hátt með IP-netum
R12	Skýrslur og skjámyndir með opinberum tengli	P1, P2, P4	Mögulegar	Takmarkaður	Lágt
R13	Veikleikar innviða: öryggisafrit, aðgangur að netþjónum, skönnunarþjónn	allar	Mögulegar	Alvarlegur	Hátt
R14	Réttindi skráðra einstaklinga fyrir fólk sem þekkir okkur ekki	P1–P6	Líklegar	Takmarkaður	Lágt

R1 – Raunveruleg skilaboð gesta í viðmiðunarafritinu

Þetta er alvarlegasta áhætta þjónustunnar og hún stafar ekki af villu heldur af hönnuninni. Falið afrit í eyðublaðinu gerir ekki greinarmun á prófunarskilaboðum okkar og skilaboðum gests. Ef Viðskiptavinur virkjar afhendingarathugunina berast öll skilaboð sem send eru í gegnum það eyðublað í viðmiðunarpósthólfið okkar (cfg/zustellung_lib.php). Sóknin les hausana og fyrstu 8 KB textans í minni til að leita að prófunarauðkenni okkar (cfg/zustellung_lib.php). Fyrir venjulegt tengiliðaeyðublað þýðir þetta nafn, netfang, símanúmer og skilaboðin í heild.

Það er á valdi gestsins hvað hann skrifar og reiturinn býður upp á persónulegt innihald: beiðni um tíma til læknastofu þar sem einkennum er lýst, frásögn af lagadeilu til lögmannsstofu, atvinnuumsókn, fyrirspurn um barn til skóla. Í lagaskjölum okkar segir að afrit „ættu ekki að innihalda neina sérstaka flokka persónuupplýsinga“. Þetta eru tilmæli til Viðskiptavinarins, ekki verndarráðstöfun: hvorki hann né við vitum fyrirfram hvað gestur mun skrifa.

Tvær hliðarleiðir fylgja þessu. Í fyrsta lagi vistar athugun á uppruna lén sendandanetfangsins við lénið (cfg/zustellung_lib.php). Ef eyðublaðið sendir með netfang gestsins sem sendanda er þetta lén gestsins – merkingarlaust hjá stórum póstþjónustuveitanda en persónuupplýsingar hjá einstaklingi með eigið lén. Þetta lén birtist einnig í viðvöruninni sem fer til Viðskiptavinarins og á þær tilkynningarleiðir sem hann hefur valið (cfg/zustellung_lib.php). Í öðru lagi vistar hún vistfang póstþjónsins sem sendir (cfg/zustellung_lib.php); að jafnaði er það netþjónn vefsvæðisins, ekki gestsins.

Líkur – áhættan raungerð um leið og virkjað er. Spurningin er ekki hvort raunveruleg skilaboð berist heldur hversu mörg. Samkvæmt mælingu á þróunarkerfinu er aðgerðin ekki virk fyrir neitt lén. Alvarleiki – alvarlegur. Trúnaður skilaboða til fyrirtækis skiptir marga máli og hjá sumum dæmigerðum Viðskiptavinum má búast við upplýsingum samkvæmt Art. 9. Það dregur úr alvarleikanum að innihaldið fer ekki í gagnagrunninn, er aðeins stutt í pósthólfinu og enginn einstaklingur hjá formexposed les það. Stig – hátt.

R2 – Leið viðmiðunarafritsins um pósthólfsþjónustuveitandann án gerðs samnings

Áður en sóknin okkar sér viðmiðunarafrit er það geymt í pósthólfinu hjá Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Það berst aðeins þangað ef MX-færslur lénsins okkar vísa beint á þetta pósthólf; áframsending hjá lénaskráningaraðilanum Namecheap, Inc. er ekki viðkomustaður viðmiðunarafritanna (með áframsendingu berast þau ekki í pósthólfið). Fyrir viðkomustaðinn sem eftir er liggur samningsumgjörðin enn ekki fyrir: samningurinn við pósthólfsþjónustuveitandann hefur ekki verið gerður, geymslustaðir hans, undirvinnsluaðilar og varðveislutímar öryggisafrita hafa ekki verið staðfestir og óljóst er hvort þörf sé á ákvörðun um fullnægjandi vernd eða stöðluðum samningsákvæðum vegna vinnslustaðar hans og hvort slíkt eigi við. Fyrir okkar eigin viðskiptatengda tölvupóst er þetta spurning um samningsgerð. Fyrir viðmiðunarafritin er þetta alvarlegra: þar er um að ræða gögn sem við tökum við sem vinnsluaðili og hver þjónustuveitandi á leiðinni er undirvinnsluaðili sem við berum ábyrgð á samkvæmt Art. 28(4).

Auk þess gildir „eytt eftir sókn“ aðeins um sýn okkar á pósthólfið. Ekki hefur verið sannreynt hvort þjónustuveitandinn geymi eyddan tölvupóst í eigin öryggisafritum eða ruslakörfu og þá hversu lengi. Ef sókn stöðvast er tölvupósturinn áfram þar til næsta keyrsla tekst (cfg/zustellung_lib.php); ef stöðuferlið bregst er hann þar ótímabundið. Að lokum er öryggi sóknarinnar sjálfrar eitt þeirra atriða sem þarf að athuga í rekstrarkerfinu áður en starfsemi hefst (kafli 9.3).

Líkur – líklegar svo lengi sem samninginn vantar: hvert viðmiðunarafrit fer þessa leið. Alvarleiki – alvarlegur, af sömu ástæðum og í R1. Stig – hátt. Uppsetningarlisti forritsins tilkynnir pósthólfið sem vantar sem viðvörun; engin læsing kemur í veg fyrir afhendingarathugun án skjalfests samnings.

R3 – Skjámyndir af vefsvæðum þriðja aðila án þess að efni sé hulið með svörtu

Vefskriðillinn tekur skjámynd af sýnilegu svæði fyrstu síðunnar og mynd af eyðublaðseiningu hvers sýnilegs eyðublaðs (scanner/src/crawl.js). Ekkert er hulið með svörtu í því ferli. Þetta er öðruvísi fyrir vafraleiðir: þar eru innsláttarreitir huldir fyrir skjámyndina (scanner/src/browser.js). Því eru aðeins myndir úr vafraleiðum „hreinsaðar“, ekki myndir vefskriðilsins og ekki myndin af svarsíðunni úr virkri athugun.

Þar sem vefskriðillinn slær ekkert inn eru reitir eyðublaðsins auðir. Forsíða lítils fyrirtækis sýnir þó oft eigandann, starfsfólkið, umsagnir viðskiptavina með nöfnum og myndum eða spjallglugga með mynd af starfsmanni. Allt þetta er opinbert; skjámyndin breytir því í afrit sem er vistað hjá okkur, birtist í skýrslunni og hægt er að senda áfram með tenglinum.

Líkur – líklegar. Í gagnasafni þróunarkerfisins mældust 432 skjámyndir. Alvarleiki – takmarkaður: innihaldið er þegar opinbert og tímabil athugana án aðgangs eru stutt. Stig – miðlungs, því einstaklingarnir á myndunum vita ekki af því og mynd af forsíðunni er ekki nauðsynleg fyrir niðurstöðuna.

R4 – Gögn athugana og skjámyndir án eyðingarleiðar

Næturkeyrslan eyðir athugunum eftir tveimur leiðum: samkvæmt lokadagsetningu skýrslu (cfg/check_lib.php) og samkvæmt tímabili athugana á léni Viðskiptavinar (cfg/fristen_lib.php, aðeins fyrir athuganir með léni). Athugun sem hefur hvorki skýrslu né lén fellur í gegnum bæði netin. Þetta eru athuganir með trauststigið „internal“: rannsóknir og athuganir sem þjónustuveitandinn stofnar af skipanalínu.

• Rannsóknir eyða hráum gögnum sínum við birtingu (cfg/studie_lib.php). Ef rannsókn er aldrei birt – vegna þess að hún hefur of fá vefsvæði með eyðublaði (cfg/studie_lib.php hafnar þá birtingu) eða vegna þess að hún liggur óhreyfð – haldast athuganir, eyðublöð, niðurstöður athugana og skjámyndir án tímamarka.
• Innri athuganir af skipanalínu hafa enga eyðingarleið yfirleitt. Mælt 11. október 2026: 85 slíkar athuganir á vefsvæðum þriðja aðila með 978 eyðublöðum og 369 skjámyndum, sú elsta frá 22. september 2026, engin með skýrslu eða léni.
• Athugasemdir um óvenjulega hegðun í ókeypis athuguninni innihalda IP-netfangið og þeim er eytt 90 dögum eftir að þær eru leystar (srv/cron_status.php). Athugasemd sem er aldrei leyst helst áfram. Mælt: þrjár athugasemdir, allar leystar.

Líkur – áhættan raungerð. Athuganirnar 85 eru ekki sviðsmynd heldur gögn sem eru þegar til staðar. Á þróunarkerfinu eru þetta athuganir úr vettvangsprófun; sami kóði gildir á rekstrarkerfinu. Alvarleiki – verulegur: enginn varðveislutími er fyrir þessi gögn. Með hliðsjón af meginreglunni um takmörkun varðveislu (Art. 5(1)(e)) er þetta opið atriði með fyrirhugaðri ráðstöfun (kafli 9.3, forgangur „fyrst“) og það varðar einmitt fólk sem veit ekkert af athuguninni. Innri athugunum er lýst í Skrá yfir vinnslustarfsemi; Persónuverndarstefnan nefnir þær ekki enn sérstaklega (kafli 9.4). Stig – hátt.

R5 – Athugun og opinbert mat á vefsvæðum þriðja aðila án vitneskju rekstraraðilans

Hver sem er getur látið athuga hvaða opinberlega aðgengilegt vefsvæði sem er, án aðgangs og án nokkurra tengsla við það. Rekstraraðilanum er ekki tilkynnt um það. Niðurstaðan er skýrsla sem metur vefsvæðið sem „Óvarið“, „Að hluta varið“ eða „Varið“ og sem hver sá sem hefur tengilinn getur skoðað. Tvær afleiðingar eru hugsanlegar fyrir skráða einstaklinga. Einstaklingur í eigin atvinnurekstri fær opinbera einkunn – þótt aðeins sé fyrir viðtakendur tengilsins – sem kann að vera röng niðurstaða athugunar. Og skýrslan sýnir ruslpóstsendanda hvaða eyðublað hægt er að fylla út án hindrana.

Gegn þessu standa nokkrar lokanir (cfg/check_lib.php): að hámarki ein athugun á hvert lén á sjö dögum, eftir það sama skýrslan; takmörk fyrir hvert IP-netfang og hverja lotu; daglegt hámark fyrir alla þjónustuna; engar athuganir á mjög nýjum lénum, sem eru dæmigerð fyrir misnotkun; athugasemd og merki vegna óvenjulegrar hegðunar; robots.txt og útilokun, athugað tvisvar (cfg/check_lib.php og í athugunarþjónustunni). Ókeypis skýrslan er útdráttur: hún sýnir aðeins grunnniðurstöður athugana, ekki stuðningsgögn allra greininga. Og hún segir ekkert sem boti gæti ekki komist að sjálfur á nokkrum sekúndum – óvarið eyðublað er sýnilegt utan frá.

Líkur – mögulegar. Alvarleiki – verulegur fyrir einstakling í eigin atvinnurekstri ef eyðublað hans verður skotmark eftir skýrslu eða einkunn hans er röng. Stig – miðlungs.

R6 – Athugun á hugsanlegum viðskiptavinum sem grundvöllur óumbeðinna samskipta

Í viðmótinu er athugun á hugsanlegum viðskiptavinum lýst sem „leið til að opna fyrsta samtalið“. Vefstofan ræður því hvernig hún notar stuttu niðurstöðuna; tæknilega getur hún einnig sent hana rekstraraðila sem óskaði ekki eftir henni. Við höfum ekki samband við neinn (cfg/akquise_lib.php) og Þjónustuskilmálarnir skylda vefstofuna til að fara eftir reglum um auglýsingar og öflun viðskiptavina. Óumbeðinn tölvupóstur með niðurstöðunni er þó bein markaðssetning, einnig milli fyrirtækja, sem í Póllandi (Art. 398 í lögum um rafræn fjarskipti (Prawo komunikacji elektronicznej, PKE)) og í Þýskalandi (§ 7(2) í þýsku lögunum gegn óréttmætum viðskiptaháttum (Gesetz gegen den unlauteren Wettbewerb, UWG)) krefst fyrirframgefins samþykkis. Viðmótið bendir ekki á þetta; textar athugunarinnar á hugsanlegum viðskiptavinum tala aðeins um „án inngripa“ og „útilokunarlista“.

Líkur – líklegar, því aðgerðin þjónar öflun viðskiptavina og við getum ekki sannreynt hvort viðtakandinn hafi samþykkt. Alvarleiki – takmarkaður: fyrir rekstraraðilann er þetta hvimleiður markaðspóstur með mati á vefsvæði hans. Stig – miðlungs. Áhættan felst í háttsemi vefstofunnar; þar sem aðgerðin kemur frá okkur er fyrirhuguð tilkynning í viðmótinu (kafli 9.3).

R7 – Sönnun um stjórn er aldrei endurnýjuð

Virkar prófunarinnsendingar, leit að óvörðum skrám og skönnun á bak við innskráningu krefjast þess að Viðskiptavinurinn hafi sannað heimild sína til að stjórna léninu. Þessi sönnun er athuguð einu sinni (cfg/verify_lib.php) og aldrei aftur. Engin leið er í kóðanum til að lén missi staðfestingu sína. Ef lénið skiptir um eiganda, vefstofa lýkur verkefni sínu eða rekstraraðilinn fjarlægir DNS-færsluna halda athuganirnar áfram – allt að daglega, með allt að fimm prófunarinnsendingum og, ef það er vistað, með innskráningu prófunaraðgangs sem nýi rekstraraðilinn veit hugsanlega ekki af. Það sem hins vegar er ekki hægt er að flytja sönnunina yfir á aðra vél með því að endurnefna: ekki er hægt að breyta vélarheiti léns sem hefur sönnun um stjórn.

Líkur – mögulegar: breytingar á lénum og verkefnum eru daglegt brauð hjá vefstofum. Alvarleiki – verulegur fyrir nýja rekstraraðilann og starfsmenn hans, sem fá merkt prófunarskilaboð og þar sem leitað er að óvörðum skrám á vefsvæðinu án samþykkis þeirra. Stig – miðlungs. Prófunarskilaboðin skýra tilgang sinn og vísa á síðu vefskriðilsins og útilokunarleiðina; útilokunin virkar einnig gagnvart athugunum Viðskiptavina.

R8 – Innskráningarupplýsingar og innihald í skönnun á bak við innskráningu

Dulkóðun innskráningarupplýsinganna er vandlega útfærð: vefþjónninn getur ekki lengur lesið þær eftir vistun, gagnagrunnurinn og öryggisafrit innihalda aðeins dulmálstexta, færslan er bundin við lénið sitt, innskráningarupplýsingarnar fara aðeins inn í gáminn um staðalinntak og eru síðan hreinsaðar úr minni (kafli 6.5). Tvær gloppur eru enn til staðar; þriðja atriðið varðar aðeins lestur, ekki vistun.

• Ódulkóðuð innskráning er leyfð. Slóðaathugunin leyfir http auk https (cfg/login_lib.php, scanner/src/login.js). Ef Viðskiptavinurinn skráir innskráningarsíðu með http fara notandanafnið og lykilorðið um internetið sem ódulkóðaður texti við hverja athugun.
• Skilríkjavillur stöðva ekki innskráninguna. Innskráningin stöðvast nú ekki þótt skilríki vefsvæðis Viðskiptavinarins sé ógilt (scanner/src/login.js). Skilríkið verndar því ekki innskráningarupplýsingarnar að fullu á leið þeirra til vefsvæðis Viðskiptavinarins. Fyrirhugað er að stöðva ferlið við skilríkjavillur (kafli 9.3, forgangur „fyrst“).
• Gildi falinna reita á bak við innskráningu eru lesin, ekki vistuð. Vefskriðillinn les fyrstu 24 stafi gildis falinna reita (scanner/src/crawl.js) og sama útdráttarfall keyrir á bak við innskráningu (scanner/src/login.js). Þar innihalda faldir reitir oft aðgangsnúmer, notandaauðkenni eða netfang innskráða aðgangsins; þó fara aðeins heiti reitsins, tegund, merking og niðurstaða greiningarinnar í reitakortið og niðurstöður athugana.

Við þetta bætist það sem kóðinn getur ekki komið í veg fyrir: Viðskiptavinurinn staðfestir að hann noti prófunaraðgang með eins takmörkuð réttindi og unnt er (cfg/login_lib.php) en getur skráð raunverulegan stjórnandaaðgang. Viðskiptavinurinn ræður hvaða síður skanninn les þá; lokað er á slóðir sem innihalda orð fyrir útskráningu og eyðingu en ekki aðrar aðgerðir sem vefsvæði ræsir með einfaldri beiðni.

Líkur – mögulegar. Alvarleiki – alvarlegur ef aðgangur með víðtæk réttindi verður fyrir áhrifum; þá er aðildarsvæðið með gögnum allra notenda opið. Stig – miðlungs fyrir prófunaraðgang með takmörkuð réttindi, hátt fyrir raunverulegan aðgang. Samkvæmt mælingu á þróunarkerfinu er enginn prófunaraðgangur vistaður.

R9 – Virkar prófunarinnsendingar og skráaathugun á vefsvæði Viðskiptavinarins

Prófunarinnsending berst þeim sem lesa tölvupóst úr eyðublöðum Viðskiptavinarins – starfsmönnum hans eða þjónustuveitanda. Hún inniheldur engar persónuupplýsingar: sendandinn er dummy@formexposed.com, textinn og efnislínan eru merkt og tilgreina auðkenni athugunarinnar (scanner/src/active.js). Áhættan felst í rangri flokkun: ef skanninn teldi umsóknar-, bókunar- eða ráðgjafareyðublað vera tengiliðaeyðublað færu prófunarskilaboðin inn í ferli sem hefur afleiðingar. Gegn þessu standa strangar reglur um „hæft til innsendingar“ (scanner/src/classify.js), lokun fyrir lén opinberra yfirvalda, menntastofnana, sjúkrahúsa, læknastofa, lögreglu og dómstóla (scanner/src/classify.js) og útilokun tungumálalíkansins frá þessari ákvörðun (scanner/src/classify.js). Úr svarinu eru staðan, markslóðin, titillinn, 300 stafir texta og mynd vistuð; þetta varðar prófunarskilaboðin okkar.

Skráaathugunin les að hámarki 8 KB úr dæmigerðum slóðum. Ef afrit gagnagrunns er í raun óvarið þar geta þessi 8 KB innihaldið færslur sem gestir hafa sent inn í eyðublöð. Þau eru aðeins athuguð með tilliti til einkennis og síðan hent (cfg/dateien_lib.php); það sem er vistað er slóðin, tegundin og alvarleikastigið.

Líkur – litlar. Alvarleiki – verulegur. Stig – lágt. Samkvæmt mælingu á þróunarkerfinu er ein virk athugun í gagnasafninu, án samþykktrar innsendingar.

R10 – Flokkun tungumálalíkans

Fyrir eyðublöð sem reglurnar þekkja ekki fær tungumálalíkanið titil síðunnar, slóð, hnappatexta, lýsingar reita og allt að 400 stafi af texta eyðublaðsins (scanner/src/classify.js). Þetta getur innihaldið nafn, til dæmis „Tengiliður þinn: …“. Það keyrir á okkar eigin netþjóni; í kóðanum fer ekkert til þriðja aðila. Ekki hefur verið sannreynt hvort hugbúnaður líkansins skrái beiðnir í annál. Niðurstaða þess ræður aðeins tegund eyðublaðs sem birtist og getur ekki gert eyðublað hæft til innsendingar; röng flokkun leiðir til verri niðurstöðu athugunar, ekki til aðgerðar.

Líkur – litlar. Alvarleiki – takmarkaður. Stig – lágt.

R10 – Viðbótarstig aðgerðaáætlunar

Fyrir greiddar skýrslur sem uppfylla skilyrðin myndar sama staðbundna líkanið einnig ráðgefandi skref úr völdum niðurstöðum athugana og lýsigögnum skönnunar. Ólíkt flokkun er úttakið samantekt á eðlilegu máli sem er varðveitt með skönnuninni. Vélarheiti, slóðir síðna og athugasemdir geta innihaldið persónuupplýsingar sem líkanið gæti endurtekið. Röng ráðlegging kann að leiða lesanda til að veikja varnir eða gera óþarfa breytingu; þegar skýrslutengill er sendur áfram kunna endurteknar persónuupplýsingar að birtast öðrum viðtakanda. Kóðinn framkvæmir ekki ráðlegginguna sjálfkrafa, breytir hvorki stigatölu né úrskurði og athugar ekki hvort staðreyndir í textanum séu réttar. Hann takmarkar lengd inntaks og úttaks, merkir samantektina sem myndaða með gervigreind og tekur fram að einstakar niðurstöður athugana ráði. Þetta eru varnir, ekki sönnun þess að ráðleggingarnar séu réttar eða að skýrslan sé nafnlaus. Fyrra mat á líkum og alvarleika fyrir flokkun metur ekki eitt og sér þetta viðbótarstig textamyndunar; meta verður eftirstæða áhættu þess út frá raunverulegum gögnum og notkun undirliggjandi athugunar.

R11 – Sameiginlegur útilokunarlisti úr tilkynningum margra vefsvæða

Lén á listanum veldur því að skilaboð með tenglum á það lenda í sóttkví á öllum tengdum vefsvæðum. Ef lénið tilheyrir einstaklingi – iðnaðarmanni, ljósmyndara, bloggi – berast skilaboð hans sem innihalda tengil á eigið vefsvæði seint til viðtakenda. Slíkt lén getur farið á listann vegna þess að ruslpóstsendendur misnota það eða vegna þess að einhver sendir af ásetningi skilaboð sem falla á vörnum og innihalda lénið til nokkurra vefsvæða.

Gegn þessu standa eftirfarandi ráðstafanir (cfg/swarm_lib.php): að lágmarki þrjú mismunandi vefsvæði og fimm tilvik innan sjö daga; fastar undantekningar fyrir stórar þjónustur; lén Viðskiptavina okkar fara aldrei á listann; handvirk fjarlæging með tóli á netþjóninum; sóttkví í stað eyðingar; listinn er endurgerður daglega og það sem ekki er lengur tilkynnt fellur út. Þeir sem verða fyrir áhrifum geta ekki skoðað listann og hafa enga eigin leið til að krefjast fjarlægingar nema í gegnum okkur.

Líkur – mögulegar. Alvarleiki – takmarkaður, því ekkert glatast og viðtakandinn getur sleppt skilaboðunum úr sóttkví. Stig – lágt til miðlungs. Ef kveikt væri á IP-netum yrðu net heilla þjónustuveitenda fyrir áhrifum, IP-netföng eru persónuupplýsingar og alvarleikinn myndi aukast í verulegan: hátt.

R12 – Skýrslur og skjámyndir með opinberum tengli

Skýrslur úr ókeypis athuguninni, athugun á hugsanlegum viðskiptavinum og athugunum á lénum Viðskiptavina eru aðgengilegar án innskráningar með slembitengli. Tengillinn inniheldur 128 bita af slembigögnum og ekki er hægt að giska á hann (cfg/check_lib.php). Síðurnar bera noindex, forritið sendir tilvísunarstefnu sem miðlar aðeins upprunanum (www/.htaccess) og skjámyndir eru aðeins afhentar ásamt skýrslunni sem þær tilheyra; annað myndnúmer skilar „not found“ (www/shot.php). Áhættan snýr ekki að dulritun heldur fólki: tengill er sendur áfram, afritaður í þjónustubeiðni, deilt í spjalli. Sá sem opnar hann er aðeins skráður í aðgangsannál síðunnar eins og við hverja aðra síðuskoðun (60 dagar), þar sem tengillinn sjálfur birtist aðeins í huldu formi; enginn lesendalisti er fyrir hverja skýrslu.

Líkur – mögulegar. Alvarleiki – takmarkaður, því skýrslan sýnir aðeins opinberar upplýsingar og rennur út eftir 30 eða 90 daga eftir því sem við á; skýrslur um lén Viðskiptavina eru áfram aðgengilegar svo lengi sem athugunin er til (13 mánuðir, sú síðasta lengur). Stig – lágt.

R13 – Veikleikar innviða

Eftirfarandi atriði eru skráð sem opin í innri yfirferðargögnum okkar og eru ekki fegruð hér. Við lýsum þeim eins nákvæmlega og Viðskiptavinir þurfa fyrir eigið mat en ekki svo nákvæmlega að lýsingin vísi árásarmanni veginn; við afhendum eftirlitsyfirvaldi nánari upplýsingar sé þess óskað.

• Öryggisafrit gagnagrunnsins eru nú geymd á sama stað og gagnagrunnurinn og eru ekki dulkóðuð sérstaklega; fyrirhugað er dulkóðað afrit á öðrum stað (cfg/backup_lib.php). Þangað til verja þau ekki gegn því að staðsetningin glatist og hver sá sem kemst yfir gagnagrunninn kemst einnig yfir öryggisafritin. Innskráningarupplýsingar fyrir skönnun á bak við innskráningu eru aðeins í þeim sem dulmálstexti.
• Engin dulkóðun gagnagrunnsins í geymslu. Undantekningarnar eru þeir reitir sem eru dulkóðaðir sérstaklega (innskráningarupplýsingar prófunaraðganganna, leyndargildi annars auðkenningarþáttar).
• Tengingar innan innra nets okkar eru ekki dulkóðaðar alla leið.
• Netþjónastjórnun. Öryggi stjórnunaraðgangs að netþjónum okkar uppfyllir ekki enn þann staðal sem við stefnum að fyrir rekstur; unnið er áfram að öryggisherðingu netþjónastjórnunar.
• Athugunarumhverfi. Skönnunarþjónninn opnar vefsvæði þriðja aðila í vafra. Athugunargámarnir eru einangraðir – eigið net, engin sérstök réttindi, aðeins lesaðgangur, takmarkaðir (scanner/src/worker.js). Verið er að styrkja enn frekar aðskilnað athugunarumhverfisins frá öðrum hlutum þjónustunnar (kafli 9.3).

Líkur – mögulegar. Alvarleiki – alvarlegur, því í neyðartilviki gæti allt orðið fyrir áhrifum í einu. Stig – hátt. Hægt er að bæta úr einstökum atriðum með venjulegum úrræðum (kafli 9.3).

R14 – Réttindi skráðra einstaklinga fyrir fólk sem þekkir okkur ekki

Sá sem birtist tilviljunarkennt á skjámynd eða á skilaboð sem fóru í gegnum viðmiðunarafrit veit yfirleitt ekki að við erum til. Jafnvel þótt hann viti það hefur hann engan lykil að „sínum“ gögnum: við geymum þau ekki eftir einstaklingum heldur eftir léni og athugun. Við getum aðeins svarað aðgangsbeiðni samkvæmt Art. 15 ef einstaklingurinn nefnir lénið; þá getum við farið yfir athuganir og myndir sem eru til staðar. Fyrir raunveruleg skilaboð gesta er ekkert að afhenda því við vistum þau ekki – að undanskildu léni sendandans úr R1. Útilokunarleiðin virkar aðeins fyrir rekstraraðila léns, ekki fyrir einstaklinga á myndum; fyrir þá er áfram hægt að hafa samband í gegnum contact@lukaswojcik.com.

Líkur – líklegar sem kerfislægar aðstæður. Alvarleiki – takmarkaður, því gögnin eru skammlíf og ekki skipulögð eftir einstaklingum. Stig – lágt.

9. (d) Ráðstafanir til að bregðast við áhættunni

Hver ráðstöfun ber stöðu og stöðurnar eru ekki til skrauts. Innleitt í dag – sannreynt merkir: lesið í kóða þróunarkerfisins og, þar sem unnt er, mælt gagnvart gagnagrunninum. Að hluta merkir: fyrirkomulagið er til staðar en nær ekki enn að fullu tilgangi sínum. Fyrirhugað merkir: lagt til í þessu mati og ekki útfært; eigandinn ákveður hvort og hvenær það verður gert. Enn óákveðið eru verklagsreglur og ákvarðanir sem enginn kóði kemur í staðinn fyrir. Mat á áhrifum á persónuvernd sem sýnir fyrirhugaðar ráðstafanir sem innleiddar missir gildi sitt einmitt í þeim aðstæðum þar sem þörf er á því.

9.1 Innleitt í dag – sannreynt

Ráðstöfun	Bregst við	Tilvísun í frumkóða
Vefskriðillinn les robots.txt fyrir hverja athugun; útilokun sem nær yfir forsíðuna, óaðgengileg robots.txt eða villa frá netþjóni lýkur athuguninni (einstakar undirslóðir eru ekki virtar sérstaklega; púlsmæling, sókn staðfestingargagna, hausverkfæri og skráaleit lesa hana ekki)	R5, lögmæti	scanner/src/net.js
Útilokun án sönnunar, gildir tafarlaust fyrir lénið og www-afbrigði þess, fyrir nafnlausar athuganir, hugsanlega viðskiptavini, rannsóknir og athuganir Viðskiptavina (áframhaldandi vöktun lýkur við næstu áætluðu athugun); athugað tvisvar (forritið og athugunarþjónustan); aðeins við afléttum henni að beiðni með sönnun	R5, R7, Art. 21	cfg/check_lib.php; cfg/akquise_lib.php; cfg/studie_lib.php; scanner/src/worker.js
Ókeypis athugun: neyðarstöðvun, reCAPTCHA, ein athugun á hvert lén í hverri viku, takmörk á hvert IP-netfang og hverja lotu, daglegt hámark, engin ný lén, aðeins opinber netföng, athugasemd og merki án innihalds við frávik	R5	cfg/check_lib.php
Fyrir takmörk er lotan aðeins vistuð sem tætigildi, aldrei lotuauðkennið	Lágmörkun	cfg/check_lib.php
Engin gildi reita (upphaf falinna reita og gagnareiginleikar eru aðeins lesin meðan á athuguninni stendur, kafli 6.2); netföng viðtakenda aðeins sem lén; aðgangsauðkenni í slóðum forritabúta falin	Lágmörkun	scanner/src/crawl.js
Ókeypis skýrslan er útdráttur: aðeins grunnniðurstöður athugana, engin stuðningsgögn allra greininga	R5	cfg/check_lib.php, FE_FREE_DETEKTOREN
Skýrslur með 128 bita slembitengli, noindex, myndir aðeins fyrir eigin skýrslu, utan opinberu vefmöppunnar; tengillinn birtist aðeins í huldu formi í aðgangsannál síðunnar	R12	cfg/check_lib.php; www/report.php; www/shot.php
Eyðing: nafnlausar skýrslur eftir 30 daga, hugsanlegir viðskiptavinir eftir 90 daga, athuganir Viðskiptavina eftir 13 mánuði (sú síðasta fyrir hvert lén er varðveitt svo lengi sem lénið er til), gögn léns sem hefur verið eytt tafarlaust (um undantekningar sjá kafla 6.11), myndir í hverju tilviki ásamt þeim	Takmörkun varðveislu	cfg/check_lib.php; cfg/fristen_lib.php
Rannsókn: birting aðeins sem heildarniðurstaða, undirhópar aðeins frá 20 vefsvæðum með eyðublaði, hráum gögnum eytt við birtingu	R4 að hluta, P3	cfg/studie_lib.php
Athugunargámar: eigið einangrað net, engin sérstök réttindi, aðeins lesaðgangur, minnis- og ferlafjöldatakmörk, tímamörk; sía gegn einkaviðtökustöðum fyrir hverja beiðni, service workers lokaðir og WebSocket-tengingum lokað svo ekkert fari fram hjá síunni; beiðnir vefþjónsins aðeins á vefgáttum og aðeins á nákvæmlega það opinbera netfang sem var athugað fyrirfram	R13	scanner/src/worker.js; scanner/src/net.js
Virk athugun fyrir Viðskiptavini aðeins fyrir staðfest lén (innanhúss einnig fyrir okkar eigin prófunar- og sýnilén) og með neyðarstöðvun virkjaða, athugað tvisvar; að hámarki fimm innsendingar; aðeins skýrt greind tengiliðaeyðublöð án skyldureita fyrir persónuupplýsingar; engin lén opinberra yfirvalda, menntastofnana, sjúkrahúsa, læknastofa, lögreglu eða dómstóla; tungumálalíkanið má ekki heimila neitt; prófunarskilaboð án persónuupplýsinga, merkt, með tilvísun á síðu vefskriðilsins og útilokunarleiðina	R9	scanner/src/worker.js; scanner/src/classify.js; scanner/src/active.js
Vafraleiðir: aðeins GET og HEAD, hættulegar slóðir lokaðar, tilbúin gildi fara ekki úr vafranum, myndir með innsláttarreitum huldum með svörtu	R3 (fyrir þessar myndir), R9	scanner/src/browser.js
Skráaathugun: aðeins staðfest lén, ein sókn á hverja slóð, að hámarki 8 KB, innihaldið aldrei vistað	R9	cfg/dateien_lib.php
Önnur prófun: sjálfgefið óvirk; fengi aðeins fastan lista meinlausra atriða, undirritaðan	Viðtakendur	cfg/formular_probe_lib.php
Skönnun á bak við innskráningu: aðeins staðfest lén, greidd áskriftarleið, eigandi eða stjórnandi, staðfesting á „prófunaraðgangi“; dulkóðun með opinbera lykli skönnunarþjónsins, bundin við lénið; innskráningarupplýsingar aldrei birtar, skráðar í annál eða afhentar í gegnum API; afhending aðeins um staðalinntak; reitur í verkinu hreinsaður tafarlaust, leifar eftir eina klukkustund; engar skjámyndir, engar innsendingar, engar útskráningar- eða eyðingarslóðir, stöðvað við CAPTCHA; endanleg eyðing með yfirskrift	R8	cfg/login_lib.php; scanner/src/login.js; scanner/src/geheim.js; scanner/src/worker.js
Afhendingarathugun: sjálfgefið óvirk; sókn les aðeins hausa og 8 KB án lesmerkingar; innihald og netfang gests aldrei í gagnagrunninum; hverjum sóttum tölvupósti er eytt, einnig þeim sem ekki er hægt að tengja við lén; tengingum eytt eftir 180 daga; sönnun aðeins með afriti nákvæmlega þessarar prófunar	R1, R2	cfg/zustellung_lib.php
Samvarnir: aðeins lén, slökkt á IP-netum; lágmarksfjöldi; undantekningar fyrir stórar þjónustur og lén Viðskiptavina; sóttkví í stað eyðingar; listinn endurgerður daglega; tilkynningum eytt eftir 30 daga	R11	cfg/swarm_lib.php
Tungumálalíkan á okkar eigin netþjóni, án heimildar til innsendingar	R10	scanner/src/classify.js
Aðgerðaáætlun: staðbundin myndun úr völdum niðurstöðum athugana, engar skjámyndir eða innsláttargildi reita í fyrirmælum hennar til líkansins; hámark á fjölda niðurstaðna og lengd athugasemda; hreinsaður venjulegur texti með lengdarhámarki; sýnileg tilkynning um gervigreind, einstakar niðurstöður athugana ráða; engar sjálfvirkar breytingar á vefsvæðum eða ákvarðanir um stigatölu/úrskurð	R10 að hluta; rangar ráðleggingar og tilfallandi persónuupplýsingar eru enn mögulegar	cfg/plan_lib.php; www/report.php
Merki í gegnum Telegram innihalda aðeins fasta setningu án breyta	Viðtakendur	cfg/check_lib.php
Vikuleg prófun á endurheimt öryggisafrits, með viðvörun ef hún mistekst	Tiltækileiki	cfg/backup_lib.php; srv/cron_status.php

9.2 Að hluta – til staðar en nær ekki enn tilgangi sínum

Ráðstöfun	Hvers vegna hún er ekki enn að fullu virk
„Hreinsaðar“ skjámyndir	Aðeins myndir úr vafraleiðum eru huldar með svörtu. Myndir vefskriðilsins – forsíða og eyðublaðseiningar – og mynd af svarsíðunni úr virkri athugun eru það ekki (R3).
Tímabil fyrir gögn athugana	Virk fyrir nafnlausar athuganir, athuganir á hugsanlegum viðskiptavinum og athuganir Viðskiptavina; ekki fyrir innri athuganir og óbirtar rannsóknir; óleystar fráviksathugasemdir eru án tímamarka (R4).
Eyðing viðmiðunarafritanna	Virk í sýn okkar á pósthólfið. Ef keyrslan stöðvast er tölvupóstur áfram þar; ekki hefur verið sannreynt hvað pósthólfsþjónustuveitandinn geymir í eigin öryggisafritum (R2).
Vernd innskráningarupplýsinga í skönnun á bak við innskráningu	Sterk í geymslu og í athugunarþjónustunni; ekki á leiðinni til vefsvæðisins: http er leyft, skilríkjavillur eru hunsaðar (R8).
Sönnun um stjórn	Er athuguð einu sinni og gildir síðan að eilífu; þó er ekki hægt að breyta vélarheiti léns með sönnun um stjórn og sönnunin færist því ekki yfir á aðra vél (R7).
Upplýsingar til skráðra einstaklinga	Til staðar fyrir rekstraraðila í gegnum síðu vefskriðilsins, auðkenni, Persónuverndarstefnu og útilokunarleið; fyrir gesti í afhendingarathuguninni er það háð því að Viðskiptavinurinn taki textablokkina upp; forritið athugar það ekki.
Tilmæli til Viðskiptavina um að láta ekki sérstaka flokka fylgja viðmiðunarafritinu	Sett fram í lagaskjölunum en ekki studd tæknilega: við uppsetningu spyr forritið ekki um tegund vefsvæðis og varar ekki við lénum sem virðast tengjast heilbrigði, lögfræði eða menntun (R1).

9.3 Fyrirhugað – ekki innleitt

Ráðstöfun	Bregst við	Forgangur
Eyðingarleið fyrir innri athuganir: eyða athugunum án léns og án skýrslu eftir fast tímabil (tillaga: 30 dagar); eyða hráum gögnum rannsóknar í síðasta lagi að föstu tímabili liðnu eftir lok hennar, jafnvel án birtingar (tillaga: 90 dagar); eyða í eitt skipti athugununum 85 með 369 myndum sem þegar eru til staðar	R4	Fyrst
Virkja afhendingarathugunina aðeins þegar samningurinn við pósthólfsþjónustuveitandann hefur verið gerður, geymslustaðir, undirvinnsluaðilar og varðveislutímar öryggisafrita hafa verið skjalfestir og flutningsheimildin fyrir pósthólfsþjónustuveitandann hefur verið skýrð og MX-færslur lénsins okkar vísa beint á pósthólfið; fram að því skal halda aðgerðinni lokaðri í rekstrarkerfinu	R2	Fyrst
Athuga öryggi sóknar úr pósthólfinu í rekstrarkerfinu og skjalfesta það áður en afhendingarathugunin er virkjuð	R2	Fyrst
Skönnun á bak við innskráningu aðeins um https og með gildu skilríki; hafna http-slóðum; skilríkjavillur við innskráningu skulu vera ástæða til að stöðva ferlið	R8	Fyrst
Ekki vista gildi falinna reita á bak við innskráningu (aðeins nafn, tegund og lengd) – þegar útfært þannig, ekkert frekara skref	R8	Lokið
Takmarka viðmiðunarafritið við prófunarskilaboð þar sem viðbótin eða viðbótareiningin er í notkun: falið afrit aðeins fyrir innsendingar með prófunarauðkenni okkar	R1	Hár
Ekki vista lén sendanda raunverulegra skilaboða eða skrifa það í viðvaranir ef það er hvorki lén vefsvæðisins né þekktrar sendingarþjónustu; í viðvöruninni komi „utanaðkomandi sendandalén“ í staðinn	R1	Hár
Viðvörun við uppsetningu afhendingarathugunarinnar fyrir lén sem virðast tengjast heilbrigði, lögfræði, félagsþjónustu eða menntun, með tilvísun í eigið mat Viðskiptavinarins á áhrifum á persónuvernd	R1	Hár
Endurnýja sönnun um stjórn reglulega (tillaga: fyrir hverja virka athugun verði sannreynt hvort DNS-færslan, lýsigagnamerkið, skráin eða tenging viðbótar sé enn til staðar; annars verði haldið áfram án inngripa og Viðskiptavininum tilkynnt)	R7	Hár
Hætta að taka mynd af forsíðunni eða taka hana aðeins með myndum og andlitum huldum með svörtu; takmarka myndir eyðublaða við eyðublaðseininguna (eins og í dag) og hylja innsláttarreiti eins og í vafraleiðum	R3	Hár
Tilkynning í viðmóti athugunar á hugsanlegum viðskiptavinum: að senda stuttu niðurstöðuna óumbeðna með tölvupósti eða í síma er bein markaðssetning, einnig milli fyrirtækja, og krefst fyrirframgefins samþykkis (Art. 398 í pólsku lögunum um rafræn fjarskipti; í Þýskalandi § 7(2) UWG, þótt ætlað samþykki nægi fyrir símtöl til fyrirtækja)	R6	Hár
Innviðir: ljúka öryggisherðingu netþjónastjórnunar; dulkóðað afrit öryggisafrits á öðrum stað; dulkóða tengingar á innra netinu alla leið; styrkja enn frekar aðskilnað skönnunarþjónsins frá forritinu	R13	Hár
Tímabil fyrir óleystar fráviksathugasemdir (tillaga: úrlausn innan 30 daga, annars eyðing IP-netfangsins)	R4	Miðlungs
Síða eða eyðublað þar sem hægt er að óska eftir því að lén verði fjarlægt úr samvörnum	R11, R14	Miðlungs
Áður en IP-net eru virkjuð í samvörnum: ný útgáfa þessa mats	R11	Skilyrði
Skrá hvort hugbúnaður tungumálalíkansins visti beiðnir og, ef svo er, slökkva á þessum annálum	R10	Lágur

9.4 Verklag og ákvarðanir sem á enn eftir að ákveða

Auk tæknilegra varna krefst Art. 35(7)(d) einnig verklags. Eftirfarandi er enn ólokið:

• Öryggisbrestur sem varðar persónuupplýsingar. Greining: eigandinn, villuviðvörun forritsins, tilkynningar í gegnum móttöku tilkynninga um öryggisveikleika eða contact@lukaswojcik.com. Ákvörðun um tilkynningu til UODO innan 72 klukkustunda (Art. 33(1)): eigandinn. Upplýsingar til Viðskiptavina sem verða fyrir áhrifum sem ábyrgðaraðila: án ótilhlýðilegrar tafar, ef unnt er innan 48 klukkustunda, eins og lofað er í Vinnslusamningnum. Enn óákveðið: skrifleg verklagslýsing og fyrsta æfing; fyrir afhendingarathugunina að auki hvernig ákvarða eigi hvaða Viðskiptavinir verða fyrir áhrifum af öryggisbresti hjá pósthólfsþjónustuveitandanum.
• Atvinnugreinar. Enn óákveðið: hvort afhendingarathugunin verði boðin, boðin með viðvörun eða útilokuð fyrir vefsvæði á sviði heilbrigðis, lögfræði, félagsþjónustu og menntunar.
• Innri athuganir. Enn óákveðið: í hvað þjónustuveitandinn notar innri athuganir af skipanalínu, hver megi stofna þær og hversu lengi niðurstöður þeirra haldist; og hvort nefna þurfi þær í Persónuverndarstefnunni auk Skrár yfir vinnslustarfsemi.
• Rannsóknir. Enn óákveðið: hver setur saman lista, úr hvaða heimildum, með hvaða hámarksstærð og athugun fyrir hverja rannsókn á því hvort hún samræmist forsendum þessa mats.
• Sjónarmið skráðra einstaklinga (Art. 35(9)). Ekki hefur verið leitað eftir þeim fyrir þessa útgáfu. Art. 35(9) krefst þess aðeins að þeirra sé leitað „eftir því sem við á“; samkvæmt mati okkar á það ekki við hér eins og er. Rekstraraðilar athugaðra vefsvæða og gestir á vefsvæðum Viðskiptavina hafa enga eigin samskiptaleið til okkar; að hafa sérstaklega samband við þá fæli sjálft í sér nýja vinnslu upplýsinga þeirra og þjónustan hefur ekki enn hafið starfsemi, þannig að enn er enginn hópur raunverulegra skráðra einstaklinga til staðar. Tekið er tillit til hagsmuna þeirra með óbeinum hætti: með robots.txt og útilokun, með stuttum tímabilum og með því að innihald viðmiðunarafrita er ekki vistað. Við hverja endurskoðun samkvæmt kafla 12 metum við aftur hvort viðeigandi sé að leita sjónarmiða þeirra, til dæmis með endurgjöf á síðu vefskriðilsins eða frá Viðskiptavinum afhendingarathugunarinnar.

10. Eftirstæð áhætta og fyrirframsamráð samkvæmt Art. 36

Art. 36(1) krefst fyrirframsamráðs við eftirlitsyfirvaldið ef mat á áhrifum á persónuvernd bendir til þess að vinnslan myndi leiða til mikillar áhættu ef ekki kæmu til ráðstafanir sem ábyrgðaraðilinn gerir til að draga úr áhættunni. Spurningin er því ekki hvort mikil áhætta hafi verið greind – fjögur slík tilvik voru greind – heldur hvort mikil áhætta sé enn til staðar þegar ráðstafanirnar eru komnar til framkvæmda.

Fyrir vinnsluaðgerðirnar þar sem formexposed er ábyrgðaraðili (P1 til P4, P7) er hægt að bæta úr miklu áhættunni R4 og R13 með venjulegum úrræðum: eyðingarleið og hreinsun fyrirliggjandi gagna, dulkóðuðu öryggisafriti á öðrum stað og öryggisherðingu tveggja netþjóna. Með ráðstöfunum úr 9.3 lækka þær í lága til miðlungs áhættu. R3, R5, R6 og R7 eru á miðlungsstigi og lækka í lágt með fyrirhuguðum ráðstöfunum. Samvarnir án IP-neta eru áfram á lágu til miðlungsstigi. Fyrirframsamráð er ekki talið nauðsynlegt fyrir þennan hluta ef ráðstafanir merktar „fyrst“ og „hár“ eru innleiddar áður en starfsemi hefst. Ef einhver þessara ráðstafana hefur ekki verið innleidd áður en starfsemi hefst er mikil áhætta enn til staðar fyrir viðkomandi vinnsluaðgerð. Sú vinnsluaðgerð verður þá aðeins hafin þegar ráðstöfunin hefur verið innleidd eða fyrst verður haft samráð við UODO samkvæmt Art. 36(1).

Fyrir afhendingarathugunina (P6) er staðan önnur af ástæðu sem engin ráðstöfun fjarlægir að fullu: gesturinn ræður hvað hann skrifar. Með gerðum samningi, öruggri sókn, takmörkun við prófunarskilaboð þar sem það er mögulegt og án léns sendandans lækkar R2 í lágt og R1 í miðlungs. Fyrir Viðskiptavini þar sem gestir veita yfirleitt upplýsingar samkvæmt Art. 9 getur R1 þó áfram verið hátt. Samráðsskyldan hvílir þá á Viðskiptavininum sem ábyrgðaraðila, ekki á formexposed. Ráðlegging okkar til slíkra Viðskiptavina er að setja ekki upp viðmiðunarafrit fyrir almenna tengiliðaeyðublaðið heldur aðeins fyrir eyðublöð án viðkvæms innihalds eða að sleppa afhendingarathuguninni.

Eftirstæð áhætta, sett fram af heiðarleika. Í dag, með ráðstöfunum úr 9.1, eru fjórar áhættur á háu stigi: R1 og R2 (afhendingarathugun), R4 (gögn athugana án eyðingarleiðar) og R13 (innviðir). Með ráðstöfunum úr 9.3 lækka R2, R4 og R13 í lágt til miðlungs. R1 er áfram á miðlungsstigi og er varanlega háð ákvörðunum Viðskiptavina. Engin önnur áhætta er yfir miðlungsstigi eftir ráðstafanirnar.

Art. 36 er ekki refsing og samráð er ekki viðurkenning á broti. Það er leiðin sem reglugerðin kveður á um fyrir aðstæður þar sem gagnlegt verklag hefur í för með sér áhættu sem ábyrgðaraðilinn hefur ekki fulla stjórn á. Viðskiptavinur sem vill nota afhendingarathugunina fyrir skilaboð sem innihalda heilsufarsupplýsingar finnur hér staðreyndirnar sem þarf til þeirrar ákvörðunar.

11. Það sem Viðskiptavinir þurfa fyrir eigið mat á áhrifum á persónuvernd (Art. 28(3)(f))

Fyrir afhendingarathugunina og skönnun á bak við innskráningu er Viðskiptavinurinn ábyrgðaraðili. Þessi síða veitir honum lýsinguna (kaflar 6.5 og 6.6), áhættuna frá okkar sjónarhóli (R1, R2, R8) og stöðu ráðstafananna (kafli 9). Aðeins Viðskiptavinurinn getur svarað eftirfarandi spurningum:

1. Hvað skrifa gestir mínir? Má búast við því að upplýsingar um heilsu, trúarbrögð, uppruna, stéttarfélagsaðild, kynhneigð, refsiverð brot eða börn berist í gegnum eyðublaðið? Þá er mat á áhrifum viðmiðunarafritsins á persónuvernd að jafnaði nauðsynlegt og ætti að endurskoða notkun viðmiðunarafrits fyrir þetta eyðublað.
2. Þarf ég viðmiðunarafrit af öllum skilaboðum? Til að sanna að prófunarskilaboðin okkar berist nægir afrit af þeim skilaboðum. Þar sem eyðublaðið leyfir það skal stilla falið afrit aðeins fyrir prófunarskilaboð.
3. Hvernig upplýsi ég gesti mína? Vinnslusamningurinn krefst þess; Texti í persónuverndarstefnu fyrir vefsvæðið þitt lýsir leið afritsins og hlutverki okkar.
4. Hvaða lagagrundvöll hef ég? Textatillaga okkar nefnir Art. 6(1)(f) (áreiðanlega móttöku fyrirspurna). Fyrir upplýsingar samkvæmt Art. 9 nægir þessi grundvöllur ekki einn og sér.
5. Hvaða viðvörunarleiðir vel ég? Viðvaranir úr athugun á uppruna geta nefnt lén sendandans. Sá sem sendir viðvaranir til spjallþjónusta utan ESB flytur það þangað.
6. Fyrir skönnun á bak við innskráningu: Er prófunaraðgangurinn í raun prófunaraðgangur með þau lágmarksréttindi sem eru nauðsynleg? Er innskráningarsíðan aðeins aðgengileg um https? Sér prófunaraðgangurinn gögn annarra notenda? Ef svo er: á hvaða tilgreindu síðum?
7. Hvenær eyði ég? Hægt er að slökkva á afhendingarathuguninni og prófunaraðgangnum og eyða þeim hvenær sem er; þá er skrifað yfir prófunaraðganginn varanlega.

Önnur skjöl fyrir mat Viðskiptavinarins: Vinnslusamningurinn, tæknilegar og skipulagslegar ráðstafanir, listinn yfir undirvinnsluaðila og Skrá yfir vinnslustarfsemi. Við svörum spurningum um einstakar staðreyndir á contact@lukaswojcik.com.

12. Endurskoðun, útgáfa og samþykki

Art. 35(11) krefst endurskoðunar til að meta hvort vinnslan fari fram í samræmi við mat á áhrifum á persónuvernd, að minnsta kosti þegar breyting verður á áhættunni. Við endurskoðum þetta mat að minnsta kosti árlega og einnig fyrir hvert eftirfarandi atvika; hvert þeirra kallar á nýja mælingu, ekki aðeins lestur:

• upphaf rekstrar, með tölum úr rekstrarkerfinu í stað þróunarkerfisins;
• fyrsta virkjun afhendingarathugunarinnar í rekstrarkerfinu og gerð samningsins við pósthólfsþjónustuveitandann;
• virkjun IP-neta í samvörnum;
• fyrsta rannsóknin og hver rannsókn með stærri lista en sú fyrri;
• virkjun annarrar prófunar eða nýs viðtakanda í athugunarferlinu;
• sérhver ný notkun tungumálalíkansins sem gengur lengra en sú notkun sem þetta mat nær yfir; forgangsraðaða aðgerðaáætlunin í greiddum skýrslum er viðbætt notkun og krefst endurskoðunar matsins;
• sérhver breyting á skjámyndum, tímabilum eða forsendum virkra athugana.

Atriði	Færsla
Ábyrgðaraðili	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland · NIP 7252266190 · contact@lukaswojcik.com
Lögbært eftirlitsyfirvald	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Poland
Persónuverndarfulltrúi	Ekki tilnefndur; mat samkvæmt Art. 37 í kafla 4
Grundvöllur staðreyndanna	Frumkóði forritsins og athugunarþjónustunnar, gagnagrunnsskipan, línufjöldi og stillingar þróunarkerfisins, mælt 11. október 2026, aðeins lesaðgangur
Tengd skjöl	Persónuverndarstefna, Vinnslusamningur, Tæknilegar og skipulagslegar ráðstafanir, Undirvinnsluaðilar, Skrá yfir vinnslustarfsemi, Gervigreindarreglugerð ESB, Leyfileg notkun og misnotkun, FormExposedBot, Útilokun
Útgáfa	1.1 frá 23. október 2026; viðbót um staðreyndir staðbundins stigs aðgerðaáætlunar við fyrstu útgáfuna frá 11. október 2026
Endurskoðanir samkvæmt Art. 35(11)	23. október 2026: yfirferð frumkóða viðbætta staðbundna stigs aðgerðaáætlunar. Inntaki, vistun, hlutverkum, ráðgefandi úttaki og innleiddum vörnum var bætt við viðkomandi kafla; ekki er fullyrt að mælingu í rekstrarkerfi sé lokið eða að nýtt mat á eftirstæðri áhættu hafi farið fram. Fyrri mælingar frá 11. október 2026 og samþykkisstaðan hér að neðan haldast óbreyttar. Frekari endurskoðanir eru skráðar hér með dagsetningu, ástæðu og niðurstöðu.
Samþykki	Ekki enn samþykkt. Eigandinn samþykkir eftir lögfræðilega yfirferð og eftir ákvörðun um ráðstafanir úr kafla 9.3 og spurningar úr kafla 9.4. Ekki hefur enn verið leitað utanaðkomandi persónuverndarráðgjafar.

Ein lokaathugasemd á heima í skjalinu en ekki í fylgibréfi. Þeir hlutar formexposed sem teygja sig lengst inn á svið annarra – prófunarinnsendingarnar og innskráning með innskráningarupplýsingum annars aðila – eru útfærðir af mestri varúð: tvær varnir, föst hámarksgildi, dulkóðun sem útilokar jafnvel okkur. Áhættan í þessu mati liggur að mestu annars staðar: í því sem fylgir tilfallandi með – raunverulegum skilaboðum í földu afriti, fólki á skjámynd, athugunum sem enginn eyðir lengur. Það er hagstæð upphafsstaða því hægt er að stöðva það sem fylgir tilfallandi án þess að breyta þjónustunni.