Ocena učinka v zvezi z varstvom podatkov (člen 35 GDPR)

Ta dokument je objavljen v več jezikih. V primeru neskladja med jezikovnimi različicami je zavezujoča poljska različica.

Različica 1.0 · Zadnja posodobitev: 16. oktober 2026

1. Za kaj gre in kaj je ta stran

Ta stran je ocena učinka v zvezi z varstvom podatkov (DPIA) za formexposed po členu 35 GDPR. Najprej odgovori na predhodno vprašanje, ali je ocena učinka sploh potrebna – za vsako dejanje obdelave posebej, ne za storitev kot celoto. Kjer je odgovor pritrdilen, izvede oceno po členu 35(7)(a) do (d): sistematičen opis, nujnost in sorazmernost, tveganja za posameznike, na katere se nanašajo osebni podatki, in ukrepe za njihovo obravnavo. Sledijo preostalo tveganje, vprašanje predhodnega posvetovanja po členu 36 in pravila za pregled.

Člen 35 ne zahteva objave ocene učinka. Objavljamo jo iz dveh razlogov. Prvič, Stranke, ki uporabljajo preverjanje dostave ali skeniranje za prijavo, za svojo oceno potrebujejo dejstva, ki jih poznamo le mi; ta dejstva jim kot obdelovalec v vsakem primeru dolgujemo (člen 28(3)(f) GDPR). Drugič, naš pajek preverja spletna mesta, katerih operaterji nas ne poznajo. Imeti bi morali možnost prebrati, katera tveganja vidimo zanje in za ljudi na njihovih straneh ter kaj glede tega ukrepamo.

Pravna narava. Ta ocena učinka je dokumentacija upravljavca po členu 35 GDPR, ki jo objavljamo prostovoljno. Ni del nobene pogodbe in ne pomeni nobene izjave, jamstva ali dogovora o kakovosti v razmerju do Strank ali tretjih. Katere storitve in zaščitne ukrepe dolgujemo Strankam, urejajo Pogoji uporabe, Pogodba o obdelavi podatkov in njune priloge; glede teh obveznosti imajo prednost pred to stranjo. Stran opisuje stanje na datum te različice. Ocene tveganj in presoje so naše stališče in ne prejudicirajo nobene pravne presoje nadzornega organa ali sodišča; ukrepi, opisani kot »načrtovani«, so nameni brez zavezujočega datuma. Za Stranke je stran podlaga za njihovo lastno oceno, ne pravni nasvet.

To je prva različica ocene praga. Za vsako dejanje obdelave posebej preuči, ali je ocena učinka potrebna, in rezultat zabeleži v razdelku 3.5.

Za vsako navedbo dejstev velja isto načelo kot v naših drugih pravnih dokumentih: izmerjeno, ne nameravano. Kar je izkazano v kodi ali podatkovni zbirki, je tukaj navedeno z virom. Česar ni bilo mogoče izkazati, je označeno z »ni preverjeno«. Kar je le načrtovano, se imenuje »načrtovano«. Odprte točke odkrito navajamo skupaj z načrtovanim ukrepom; ocena učinka, ki navaja le prednosti, ne pomaga ljudem, na katere se nanaša.

Izrazi: operater je tisti, ki upravlja preverjeno spletno mesto. Stranka ima račun pri formexposed. Obiskovalec je tisti, ki uporablja spletno mesto Stranke, na primer njegov kontaktni obrazec. Vir pomeni datoteko, funkcijo ali nastavitev v izvorni kodi, izmerjeno glede na stanje razvojnega sistema 11. oktobra 2026.

Pri odprtosti namenoma postavljamo eno mejo: odprte točke pri zavarovanju naših lastnih strežnikov so opisane le splošno (R13). Navedemo tveganje in njegovo raven, ne pa poti do konkretne ranljivosti; podrobnosti nadzornemu organu posredujemo na zahtevo.

2. Vloge: kdo nosi obveznost in za kaj

Člen 35 obveznost nalaga upravljavcu. formexposed je za nekatera dejanja obdelave upravljavec, za druga obdelovalec za svoje Stranke, za podatke, ki jih naš vtičnik za WordPress in naša razširitev za TYPO3 shranjujeta na spletnem mestu Stranke, pa ni ne eno ne drugo. Odgovor na skoraj vsako vprašanje v tem dokumentu je odvisen od tega, za katero vlogo se vprašanje postavlja. Razdelitev sledi Politiki zasebnosti in Pogodbi o obdelavi podatkov.

Dejanje obdelave	Vloga formexposed	Kdo nosi obveznost po členu 35
Preverjanje spletnih mest tretjih brez navodil njihovega operaterja: brezplačno preverjanje, preverjanje potencialnih strank za agencije, študija	Upravljavec	formexposed
Preverjanje domen v računu Stranke: spremljanje, aktivne testne oddaje, poti brskalnika, izpostavljene datoteke, utrip obrazca	Upravljavec za račun Stranke in podatke preverjanj; obdelovalec za osebne podatke tretjih, vidne na preverjenem spletnem mestu Stranke; dokler domena ni preverjena, upravljavec kot pri brezplačnem preverjanju	formexposed za svoj del; Stranka za podatke tretjih na svojem spletnem mestu
Skeniranje za prijavo s testnim računom	Obdelovalec: dostopni podatki in vsebina za prijavo pripadajo spletnemu mestu Stranke	Stranka; formexposed pomaga
Preverjanje dostave s kontrolno kopijo	Obdelovalec	Stranka; formexposed pomaga
Zaščita roja: skupni seznam domen povezav iz blokirane neželene pošte	Upravljavec: združujemo prijave številnih spletnih mest, sestavimo seznam in ga razširjamo	formexposed
Računi Strank, prijava, dnevniki, podpora, pošiljanje e-pošte, plačila, dokazni zapisi	Upravljavec	formexposed
Portal za stranke in mesečno poročilo naročnikom agencije	Obdelovalec	Agencija
Podatki, ki jih vtičnik in razširitev shranjujeta na spletnem mestu Stranke (karantena, varnostna mreža, shranjena povpraševanja)	Nič od tega: podatki nikoli ne zapustijo spletnega mesta	Operater spletnega mesta

Iz tega izhaja razlikovanje, ki ga izrecno navajamo, ker se pogosto napačno razume v obe smeri. Kjer je formexposed upravljavec, oceno izvedemo sami in nosimo njen rezultat. Kjer smo obdelovalec, ne moremo namesto Stranke izvesti njene ocene, zanjo odločiti o vprašanju nujnosti ali v njenem imenu opraviti predhodnega posvetovanja z nadzornim organom po členu 36. Kar tam lahko in moramo storiti, je, da ji zagotovimo vse, kar potrebuje: opis po točki (a), izmerjena dejstva o tveganjih po točki (c) in pošten seznam stanja ukrepov po točki (d). Za preverjanje dostave in skeniranje za prijavo je ta stran prav to.

Stranka, ki razdelke o preverjanju dostave nespremenjene prevzame kot svojo oceno učinka, je ni izvedla. Ali je kontrolna kopija upravičena za njene obrazce, ali je tam pričakovati posebne vrste osebnih podatkov in kako obvešča svoje obiskovalce, lahko odloči le ona. Razdelek 11 povzema, kaj je treba v ta namen razjasniti.

3. Ocena praga: ali je ocena učinka potrebna?

3.1 Člen 35(1) in člen 35(3)

Člen 35(1) zahteva oceno učinka, kadar bi lahko vrsta obdelave, zlasti z uporabo novih tehnologij, ob upoštevanju narave, obsega, okoliščin in namenov obdelave povzročila veliko tveganje za pravice in svoboščine posameznikov. Člen 35(3) navaja tri primere, v katerih je to zlasti tako. Nobeden od treh ne ustreza formexposed, kar je treba utemeljiti, ne le zatrditi:

Točka (a) – sistematično in obsežno ocenjevanje osebnih vidikov v zvezi s posamezniki, ki temelji na avtomatizirani obdelavi in na podlagi katerega se sprejemajo odločitve, ki imajo pravne učinke ali na posameznike podobno znatno vplivajo. Ocenjujemo obrazce in spletna mesta, ne osebnih vidikov ljudi. Storitev ne sprejema nobene odločitve s pravnim učinkom za katero koli osebo. Najbližje temu je zaščita roja: sporočila s povezavo na domeno s seznama na povezanih spletnih mestih končajo v karanteni. To je avtomatizirana posledica za sporočilo, ne obsežno ocenjevanje osebe; obravnavamo jo pri merilu »Vrednotenje ali točkovanje« v razdelku 3.3.
Točka (b) – obsežna obdelava posebnih vrst osebnih podatkov iz člena 9 ali osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški iz člena 10. Ni predvidena in ni izdelana. Takšni podatki pa lahko do nas pridejo po eni poti: v kontrolni kopiji resničnih sporočil obiskovalcev pri preverjanju dostave. To je odvisno od posameznega primera in ni obsežno v smislu te določbe; je pa upoštevano pri oceni tveganj (R1).
Točka (c) – obsežno sistematično spremljanje javno dostopnega območja. To pomeni fizično opazovanje krajev, ne priklica javnih spletnih strani. Navajanje te določbe kot opore za spletnega pajka bi bilo napačno.

Pravilna pot je zato sam člen 35(1), uporabljen prek devetih meril iz Smernic delovne skupine iz člena 29 o oceni učinka v zvezi z varstvom podatkov (WP248 rev.01, ki jih je potrdil Evropski odbor za varstvo podatkov), in seznam poljskega nadzornega organa po členu 35(4) (razdelek 3.4).

3.2 Devet meril smernic WP248

Smernice navajajo devet značilnosti, ki kažejo na verjetno veliko tveganje. Praviloma bo dejanje obdelave, ki izpolnjuje dve od njih, v večini primerov zahtevalo oceno učinka. Upravljavec lahko v posameznem primeru pride do drugačnega sklepa, vendar ga mora utemeljiti in dokumentirati. Nasprotno lahko zadošča že eno samo merilo. Na tej strani uporabljamo naslednje kratke oznake:

C1 – Vrednotenje ali točkovanje, vključno z oblikovanjem profilov in napovedovanjem, na primer uspešnosti pri delu, ekonomskega položaja, zanesljivosti ali vedenja.
C2 – Avtomatizirano sprejemanje odločitev s pravnim ali podobnim pomembnim učinkom.
C3 – Sistematično spremljanje, tj. obdelava, ki se uporablja za opazovanje, spremljanje ali nadzor posameznikov, na katere se nanašajo osebni podatki, tudi prek omrežij. Smernice to merilo izrecno utemeljujejo s tem, da posamezniki pogosto ne vedo, kdo zbira njihove podatke in za kakšen namen.
C4 – Občutljivi podatki ali podatki zelo osebne narave: posebne vrste osebnih podatkov iz členov 9 in 10, pa tudi podatki, katerih razkritje znatno vpliva na vsakdanje življenje, vključno z elektronskimi komunikacijami, katerih zaupnost bi bilo treba zaščititi.
C5 – Obsežna obdelava podatkov, merjeno po številu posameznikov, na katere se nanašajo osebni podatki, količini in razponu podatkov, trajanju in geografskem obsegu.
C6 – Ujemanje ali združevanje nizov podatkov, ki izvirajo iz različnih dejanj obdelave ali od različnih upravljavcev, na način, ki ga posamezniki ne bi pričakovali.
C7 – Podatki o ranljivih posameznikih, na katere se nanašajo osebni podatki, na primer zaposlenih, otrocih, pacientih ali drugih osebah v neravnovesju moči.
C8 – Inovativna uporaba ali uporaba novih tehnoloških ali organizacijskih rešitev; v nadzorni praksi se uporaba umetne inteligence redno obravnava kot primer tega merila.
C9 – Obdelava, ki posameznikom preprečuje uveljavljanje pravice ali uporabo storitve ali pogodbe.

Vsako merilo ocenimo kot »izpolnjeno«, »mejno« ali »ni izpolnjeno« in oceno utemeljimo iz kode. Mejni primer se v skupni seštevek ne šteje kot izpolnjen, je pa naveden v rezultatu; kjer več mejnih primerov kaže v isto smer, dejanje obdelave vključimo v oceno.

3.3 Ocena po dejanjih obdelave

P1 – Brezplačno preverjanje brez računa (preverjanje katerega koli spletnega mesta tretjih na zahtevo)

Vsakdo lahko na domači strani vnese domeno. Pajek nato prikliče največ osem javnih strani tega spletnega mesta, prebere obrazce, naredi posnetke zaslona in pripravi poročilo, ki ga lahko vidi vsakdo, ki pozna njegovo naključno povezavo. Operater spletnega mesta o tem ne izve ničesar, razen če v svojih dnevnikih opazi identifikator pajka.

C1 – mejno. Poročilo zaščito obrazca oceni z ravnjo (»Izpostavljeno«, »Delno zaščiteno«, »Zaščiteno«) in oceno. Pri družbi z omejeno odgovornostjo to ne zadeva fizične osebe. Pri samostojnih podjetnikih in samozaposlenih je domeno mogoče pripisati posamezniku in raven takrat nekaj pove o skrbnosti pri njegovi poklicni dejavnosti. Ocenjuje pa se tehnična postavitev, ne vedenje ali lastnosti osebe. To obravnavamo kot mejno.
C2 – ni izpolnjeno. V razmerju do operaterja se nič ne odloča. Za osebo, ki zahteva preverjanje, veljajo omejitve na naslov IP in sejo (cfg/check_lib.php); zavrnjeno preverjanje nima znatnega učinka.
C3 – ni izpolnjeno. Gre za enkraten priklic na zahtevo, največ enkrat na domeno in teden (cfg/check_lib.php, nastavitev fc_domain_days = 7). Ljudje se ne opazujejo. Okoliščina, s katero smernice utemeljujejo C3 – posamezniki o obdelavi ne vedo ničesar –, pa je podana. Upoštevana je pri oceni tveganj (R5).
C4 – ni izpolnjeno. Shranita se struktura obrazca in ugotovitve, ne vnesene vrednosti (scanner/src/crawl.js pri vidnih poljih shrani le dolžino vrednosti). Skener začetke vnaprej izpolnjenih skritih polj (do 24 znakov) in podatkovnih atributov (do 60 znakov) prebere le med preverjanjem, da zazna žetone in časovne žige; ne shranijo se. Posnetki zaslona lahko naključno prikazujejo ljudi in imena; spletno mesto zdravniške ordinacije na sliki prikazuje svojo specialnost. To so javni poklicni podatki, ne podatki o zdravju določene osebe.
C5 – mejno. Dnevna zgornja meja je 200 sprejetih preverjanj (fc_daily_cap), torej računsko do približno 73.000 spletnih mest na leto. Na spletno mesto nastane le malo osebnih podatkov, trajanje pa je kratko (30 dni). Izmerjeno na razvojnem sistemu sta v podatkovnem nizu 2 anonimni preverjanji. Danes ni izpolnjeno; glede na načrtovano zmogljivost mejno.
C6 – ni izpolnjeno. Poleg priklica strani storitev prek storitve RDAP rdap.org poizve o starosti domene (posreduje se le ime domene; shrani se le datum registracije, predpomnjeno) in razreši DNS. To so tehnični podatki o domeni, ne združevanje nizov podatkov o ljudeh.
C7 – ni izpolnjeno.
C8 – izpolnjeno, v šibki obliki. Avtomatiziran brskalnik preverja strani, jezikovni model na našem lastnem strežniku pa razvršča obrazce, ki jih pravila ne prepoznajo (scanner/src/classify.js). Model vidi naslov strani, naslov URL, oznake polj in do 400 znakov besedila obrazca. Obrazca nikoli ne more narediti »primernega za oddajo«.
C9 – ni izpolnjeno.

Vmesni rezultat P1: eno merilo v šibki obliki (C8), dva mejna primera (C1, C5). Po pravilu ni obveznosti. Ker oba mejna primera kažeta v isto smer in posamezniki o obdelavi ne vedo ničesar, P1 vključimo v oceno.

P2 – Preverjanje potencialnih strank za agencije

Agencija s paketom Business in nastavljeno lastno blagovno znamko lahko pasivno preveri spletno mesto potencialne stranke. Prejme kratko ugotovitev pod svojo blagovno znamko in podrobno poročilo ter povezavo posreduje sama (cfg/akquise_lib.php). Mi ne vzpostavljamo stika z nikomer.

C1 – mejno, močneje kot pri P1. Kratka ugotovitev je izrecno namenjena kot »odpirač vrat za prvi pogovor«. Ocena spletnega mesta tako postane podlaga za komercialni pristop k osebi.
C5 – ni izpolnjeno. Največ 30 preverjanj na agencijo in mesec (prospect_monthly), izbrisano po 90 dneh.
C8 – izpolnjeno, v šibki obliki (ista tehnologija kot pri P1).
Druga merila – niso izpolnjena. Ugotovitev je predstavljena z blagovno znamko agencije, vendar ni povezana z drugimi podatki o operaterju.

Vmesni rezultat P2: po pravilu ni obveznosti; vključeno iz istih razlogov kot P1 in ker namen – pridobivanje strank – nosi lastno tveganje (R6).

P3 – Študija »Form Security Index«

Za študijo se pasivno preveri seznam spletnih mest, omejeno na največ pet odprtih opravil na zagon statusnega postopka, ki teče vsakih pet minut (cfg/studie_lib.php). Objavljajo se le skupne vrednosti, segmenti pa le od 20 spletnih mest z obrazcem naprej (study_min_segment, cfg/studie_lib.php). Surovi podatki se ob objavi izbrišejo (cfg/studie_lib.php).

C5 – mejno, pri velikih seznamih izpolnjeno. Velikost seznama v kodi ni omejena; omejitev hitrosti računsko dopušča več kot tisoč preverjanj na dan. Študija nacionalnega trga zajame tisoče spletnih mest, mnoga od njih upravljajo samostojni podjetniki. Od takšne velikosti naprej merilo štejemo za izpolnjeno.
C8 – izpolnjeno, v šibki obliki.
C1 – ni izpolnjeno. Čeprav se posamezno spletno mesto oceni, se objavi le skupna vrednost; ocena ne služi izjavi o posameznem operaterju.
Druga merila – niso izpolnjena.

Vmesni rezultat P3: pri študijah načrtovane velikosti dve merili (C5, C8). Študija zato doseže prag; formexposed oceno izvede kot upravljavec. Izmerjeno na razvojnem sistemu doslej ni bila ustvarjena nobena študija.

P4 – Preverjanje domen v računu Stranke

Stranka domene v svojem računu redno preverja. Ko dokaže, da je upravičena do nadzora nad domeno, se dodajo aktivne testne oddaje (največ pet na preverjanje), iskanje izpostavljenih datotek in nastavljene poti brskalnika.

C3 – ni izpolnjeno. Preverjanje je načrtovano in ponavljajoče se, vendar zadeva lastno spletno mesto Stranke in se izvaja na njeno zahtevo, ne za opazovanje ljudi.
C4 – mejno, ne. Iskanje izpostavljenih datotek prebere največ prvih 8 KB s poti, kot sta /backup.sql ali dnevnik razhroščevanja, da iz vsebine ugotovi, ali je datoteka res izpostavljena (cfg/dateien_lib.php). Tak izsek lahko vsebuje vnose obiskovalcev v obrazce. Preveri se le v pomnilniku in se nikoli ne shrani; shranijo se pot, vrsta in resnost.
C8 – izpolnjeno, v šibki obliki.
Druga merila – niso izpolnjena.

Vmesni rezultat P4: ni obveznosti. Vključeno, ker so aktivne testne oddaje in preverjanje datotek odvisni od dokaza, ki se nikoli ne obnovi (R7).

P5 – Skeniranje za prijavo

Za preverjeno domeno lahko Stranka shrani testni račun za svoje spletno mesto. Skener se z njim prijavi in prebere obrazce na največ petih določenih straneh območja za člane (cfg/login_lib.php, scanner/src/login.js).

C4 – mejno. Dostopni podatki niso podatki zelo osebne narave v smislu smernic, vendar njihova zloraba odpre območje za člane. Odvisno od spletnega mesta je za prijavo lahko zaupna vsebina, na primer v portalu za člane ali paciente. To je odvisno od Stranke, ne od nas.
C8 – ni izpolnjeno. Avtomatizirane prijave so pri storitvah spremljanja običajne.
Druga merila – niso izpolnjena.

Vmesni rezultat P5: po pravilu ni obveznosti. Pri Strankah, katerih območje za člane prikazuje zaupno vsebino, se to lahko spremeni; odločitev je takrat njihova. Vključeno zaradi varnostnih tveganj (R8).

P6 – Preverjanje dostave s kontrolno kopijo

Stranka v e-poštnih nastavitvah svojega obrazca kot skrito kopijo vnese kontrolni naslov formexposed. Zaradi tega gre vsako e-poštno sporočilo iz obrazca tudi v naš kontrolni poštni predal – tako naše testno sporočilo kot vsako resnično sporočilo obiskovalca. Avtomatiziran prevzem prebere glave in prvih 8 KB, dodeli e-poštno sporočilo, ovrednoti SPF, DKIM in DMARC ter ga izbriše (cfg/zustellung_lib.php).

C4 – izpolnjeno. Kar obiskovalci napišejo v kontaktni obrazec, je elektronska komunikacija s podjetjem s poljubno vsebino. Na spletnem mestu zdravniške ordinacije, odvetniške pisarne, svetovalnice ali šole je pričakovati podatke iz člena 9 ali podatke o otrocih. Smernice pri tem merilu izrecno navajajo zaupne elektronske komunikacije.
C3 – mejno, prej izpolnjeno. Vsako sporočilo se načrtno in neprekinjeno kopira ter avtomatizirano ovrednoti, ne da bi pošiljatelj to opazil. Namen je preverjanje poti pošte, ne opazovanje ljudi. Vendar je okoliščina, s katero smernice utemeljujejo merilo – posamezniki ne vedo, kdo prejme njihove podatke –, v celoti podana, dokler Stranka svojih obiskovalcev ne obvesti.
C7 – odvisno od Stranke. Pacienti, stranke odvetniških pisarn, kandidati za zaposlitev, starši in učenci so do prejemnika svojega sporočila pogosto v odvisnem razmerju.
C5 – mejno, ne. Za posamezno Stranko ni obsežno. Pri formexposed se kopije številnih Strank stekajo v en poštni predal; to poveča težo kršitve, ne pa števila na upravljavca.
Druga merila – niso izpolnjena. Dodelitev domeni in testu ni ujemanje nizov podatkov o ljudeh; tehnologija ni nova.

Vmesni rezultat P6: C4 izpolnjeno, C3 mejno in prej izpolnjeno, C7 izpolnjeno za mnoge tipične Stranke. V tipični konstelaciji sta torej izpolnjeni dve ali več meril. Ocena učinka je potrebna – kot obveznost Stranke, ki je upravljavec. Razdelki 6 do 11 ji za to zagotavljajo dejstva.

P7 – Zaščita roja

Povezana spletna mesta WordPress enkrat na dan sporočijo domene povezav iz sporočil, ki jih je ustavila njihova zaščitna plast. Domena, ki se v sedmih dneh pojavi na vsaj treh različnih spletnih mestih z vsaj petimi zadetki, se uvrsti na skupni seznam; seznam se pošlje nazaj vsem povezanim spletnim mestom, ki nato sporočila s povezavami na to domeno premaknejo v karanteno (cfg/swarm_lib.php).

C6 – izpolnjeno. Prijave številnih medsebojno neodvisnih spletnih mest, tj. različnih upravljavcev, se združijo in vsem vrnejo kot skupni seznam.
C1 – izpolnjeno, kolikor je domeno mogoče pripisati fizični osebi. Seznam je razvrstitev kot vir neželene pošte. Smernice kot primer tega merila navajajo preverjanje v skupni zbirki podatkov o goljufijah. Večina domen na takem seznamu pripada podjetjem ali so domene za enkratno uporabo; vendar lahko nanj zaide domena posameznika, upravičeno ali zaradi namerno podtaknjenih lažnih prijav.
C9 – mejno. Sporočilo s povezavo s seznama ne doseže prejemnika takoj, temveč ostane v njegovi karanteni, dokler ga ne sprosti. Ne izgubi se.
C2 – ni izpolnjeno. Karantena je avtomatizirana posledica za sporočilo, brez pravnega učinka in s človeško sprostitvijo s strani prejemnika.
Druga merila – niso izpolnjena. Omrežja IP so izklopljena (swarm_ip_enabled = 0, cfg/swarm_lib.php).

Vmesni rezultat P7: dve merili (C6, C1) in en mejni primer (C9). Prag je dosežen; formexposed oceno izvede kot upravljavec. Z vklopljenimi omrežji IP bi bili C1 in C6 izpolnjeni brez omejitev; njihov vklop zahteva novo različico te ocene (razdelek 12). Izmerjeno na razvojnem sistemu ni ne prijav ne vnosov na seznamu.

P8 – Računi Strank, prijava, dnevniki, podpora, e-pošta, plačila

C1 in C9 – nista izpolnjeni. Sumljivo vedenje pri brezplačnem preverjanju vodi do zaznamka z naslovom IP (cfg/check_lib.php) in po potrebi do zavrnitve nadaljnjih preverjanj. To je preprečevanje zlorab z majhnim učinkom, ne ocenjevanje osebnih vidikov.
Druga merila – niso izpolnjena. Gre za običajne podatke storitve za podjetja.

Vmesni rezultat P8: ocena učinka ni potrebna. Dejanja obdelave so opisana v Evidenci dejavnosti obdelave.

P9 – Številke vtičnika, napake polj, snemalnik, značka, portal za stranke, »Fix it for me«

Vtičnik in razširitev posredujeta dnevne številke, popis vtičnikov in kategorije napak, vtičnik za WordPress pa dodatno posreduje domene povezav za zaščito roja (privzeto vklopljeno) (P7), brez vsebine, naslovov, imen ali naslovov IP obiskovalcev; snemalnik hrani selektorje največ 15 minut v brskalniku skrbnika. Nobeno merilo ni izpolnjeno.
Značka ob nalaganju v dnevnik spletnega strežnika prenese običajne podatke o povezavi, brez piškotka. Nobeno merilo ni izpolnjeno.
Portal za stranke v imenu agencije obdeluje e-poštne naslove naročnikov z dvojno potrditvijo prijave (double opt-in). Nobeno merilo ni izpolnjeno.
»Fix it for me« prilepljeno kodo obrazca da prepisati jezikovnemu modelu na našem lastnem strežniku; koda se ne shrani. C8 v šibki obliki, nič drugega.

Vmesni rezultat P9: ocena učinka ni potrebna.

3.4 Seznam poljskega nadzornega organa po členu 35(4)

Pristojni organ je predsednik Urada za varstvo osebnih podatkov (Prezes Urzędu Ochrony Danych Osobowych, UODO). Predsednik je seznam vrst dejanj obdelave, za katere je potrebna ocena učinka, objavil v sporočilu z dne 17. junija 2019 (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, poz. 666). Seznam svoje vnose pripisuje merilom smernic WP248, navaja primere in izrecno ni izčrpen; ne nadomešča ocene po členu 35(1).

Po našem branju naslednje vrste obdelave s seznama vsebinsko ustrezajo dejanjem obdelave formexposed:

Vrsta obdelave po seznamu (povzeto)	Pripisano merilo	Dejanje obdelave pri formexposed	Ocena
Primerjava, vrednotenje ali sklepanje na podlagi analize podatkov iz različnih virov	C6	P7 Zaščita roja	se uporablja
Vrednotenje ali točkovanje, vključno z oblikovanjem profilov	C1	P7 Zaščita roja; P1 in P2 kot mejna primera	se uporablja za P7
Obdelava posebnih vrst osebnih podatkov	C4	P6 Preverjanje dostave	se uporablja odvisno od Stranke
Inovativna uporaba ali uporaba tehnoloških rešitev	C8	P1 do P4 (jezikovni model za razvrščanje)	se uporablja v šibki obliki
Obsežna obdelava	C5	P3 Študija	se uporablja za velike sezname
Sistematično spremljanje javno dostopnih krajev, tudi s prepoznavanjem značilnosti	C3	–	se ne uporablja: mišljeni so kraji, ne spletna mesta

Ta razporeditev je branje, ne navedek; besedilo vnosov je treba pri pravnem pregledu preveriti glede nanjo. Potrjuje rezultat razdelka 3.3, vendar ga ne spreminja. Kolikor nam je znano, UODO ni objavil seznama po členu 35(5) – dejanj obdelave, za katera ocena učinka ni potrebna.

3.5 Rezultat ocene praga

Dejanje obdelave	Izpolnjeno	Mejno	Rezultat
P1 Brezplačno preverjanje	C8 (šibko)	C1, C5	ni obvezno; vključeno
P2 Preverjanje potencialnih strank	C8 (šibko)	C1	ni obvezno; vključeno
P3 Študija	C8 (šibko), C5 pri velikih seznamih	–	potrebno (obveznost formexposed)
P4 Preverjanje domen Strank	C8 (šibko)	C4 (preverjanje datotek)	ni obvezno; vključeno
P5 Skeniranje za prijavo	–	C4	ni obvezno; vključeno; za Stranko odvisno od vsebine
P6 Preverjanje dostave	C4; C7 odvisno od Stranke	C3 (prej izpolnjeno), C5	potrebno (obveznost Stranke; ta stran pomaga po členu 28(3)(f))
P7 Zaščita roja	C6, C1	C9	potrebno (obveznost formexposed)
P8 Računi, dnevniki, podpora, plačila	–	–	ni potrebno
P9 Številke vtičnika, značka, portal, »Fix it for me«	C8 (šibko, le »Fix it for me«)	–	ni potrebno

Rezultat glede člena 35(1): Za posamezna dejanja obdelave formexposed je ocena učinka potrebna. Potrebna je za zaščito roja in za študije načrtovane velikosti, formexposed pa jo izvede kot upravljavec. Za preverjanje dostave je potrebna v tipični konstelaciji, vendar kot obveznost Stranke; formexposed zagotovi podlago. Za druga preverjanja spletnih mest tretjih in lastnih spletnih mest ni obvezna. Kljub temu jih vključimo, ker uporabljajo isto tehnologijo, ker več mejnih primerov kaže v isto smer in ker posamezniki, na katere se nanašajo osebni podatki – operaterji brez računa in ljudje na preverjenih straneh –, o obdelavi ne vedo ničesar. Za račune, dnevnike, podporo in plačila ocena ni potrebna.

Razdelki 6 do 10 se zato uporabljajo za P1 do P7. Kjer navedba velja le za eno od teh dejanj obdelave, je tako označena.

4. Pooblaščena oseba za varstvo podatkov: ocena po členu 37

Pooblaščena oseba za varstvo podatkov ni imenovana. Člen 37(1) enako zavezuje upravljavca in obdelovalca; vprašanje je zato naše lastno. Trije zakonski primeri:

Člen 37(1)	Pogoj	Rezultat
točka (a)	Javni organ ali telo	Se ne uporablja; LW IT Solutions Company Lukas Wójcik je zasebno podjetje posameznika.
točka (b)	Temeljne dejavnosti obsegajo dejanja obdelave, ki zahtevajo redno in sistematično obsežno spremljanje posameznikov, na katere se nanašajo osebni podatki	Temeljna dejavnost je redno in sistematično preverjanje in spremljanje spletnih mest in obrazcev. Ljudje pa se ne spremljajo: pajek ne opazuje vedenja, preverjanje dostave pa e-poštna sporočila vrednoti le glede dostave in pristnosti. Ni izpolnjeno.
točka (c)	Temeljne dejavnosti obsegajo obsežno obdelavo podatkov iz člena 9 ali 10	Ne po zasnovi. Posebne vrste osebnih podatkov lahko do nas pridejo prek kontrolne kopije pri preverjanju dostave; to je naključno, ne temeljna dejavnost. Ni izpolnjeno.

Po naši oceni zato obveznost imenovanja ne obstaja. Ali poljsko pravo po členu 37(4) zahteva imenovanje tudi zunaj tega, je odprto vprašanje za pravni pregled. Ker pooblaščena oseba za varstvo podatkov ni imenovana, se nasvet po členu 35(2) ne uporablja. Če pravni pregled ugotovi, da obveznost imenovanja obstaja, se bo pred odobritvijo te ocene pridobil nasvet tedaj imenovane pooblaščene osebe za varstvo podatkov (razdelek 12). Kontaktna oseba za vprašanja o tej oceni je lastnik na contact@lukaswojcik.com.

5. Metoda, viri in omejitve te različice

Dejstva v tem dokumentu izhajajo iz izvorne kode aplikacije in skenerja, iz sheme podatkovne zbirke ter iz števila vrstic in nastavitev razvojnega sistema, izmerjenih 11. oktobra 2026. Do podatkovne zbirke in strežnikov se je dostopalo samo za branje. Kjer meritev nasprotuje namenu – vključno z navedbo v naših lastnih pravnih dokumentih –, poročamo o meritvi. Ne uporabljamo odobrenih kodeksov ravnanja po členu 40, katerih izpolnjevanje bi bilo treba upoštevati po členu 35(8).

Izmerjen je bil razvojni sistem. Storitev še ni bila zagnana. Številke so zato majhne in deloma artefakti testiranja: 112 preverjanj, od tega 110 brez domene Stranke; 432 posnetkov zaslona; 2 domeni, od tega 1 preverjena; nobeno preverjanje dostave ni vklopljeno; za skeniranje za prijavo ni shranjen noben testni račun; nobene študije; nobenih prijav pri zaščiti roja. Meritve je treba ponoviti pred zagonom in nato v rednih presledkih.
V tej različici ni izmerjeno in je treba dodati pred odobritvijo: konfiguracijo produkcijskega sistema, vključno s tem, ali in kako je tam nastavljen kontrolni poštni predal in ali je tam nastavljen par ključev za skeniranje za prijavo; ali programska oprema jezikovnega modela beleži zahteve; stanje upravljanja strežnikov (R13); pogodbo s ponudnikom e-poštnih storitev.
Ni bilo mogoče izmeriti, koliko resničnih sporočil obiskovalcev bo šlo skozi kontrolno kopijo in iz katerih panog bodo prihajale Stranke. Oboje določa težo R1 in R2 in ga je treba ugotoviti po zagonu.
Viri kažejo na datoteke in funkcije v izvorni kodi razvojnega sistema. Odločilna je opisana funkcija, ne njeno mesto v datoteki.

Ta dokument je osnutek. Upravljavec ga še ni odobril (razdelek 12), dva njegova sklepa – ocena obsega za P1 in P3 ter teža preverjanja dostave – pa sta odvisna od številk, ki bodo na voljo šele po zagonu.

6. (a) Sistematičen opis dejanj obdelave in namenov

6.1 Kako je sistem preverjanja zgrajen

formexposed deluje na lastnih strežnikih na Poljskem, brez zunanjega ponudnika gostovanja: spletni strežnik z aplikacijo in podatkovno zbirko ter strežnik za skeniranje s storitvijo preverjanja in lokalnim jezikovnim modelom, oba v istem internem omrežju. Preverjanje poteka takole:

Aplikacija v podatkovni zbirki ustvari opravilo – ob upoštevanju omejitev in blokad iz razdelka 6.3.
Storitev preverjanja na strežniku za skeniranje prevzame opravilo, še enkrat preveri seznam blokiranih, imena gostiteljev in pri anonimnih preverjanjih starost domene ter za natanko to opravilo zažene izoliran vsebnik: lastno omrežje z lastnimi pravili filtriranja, brez posebnih privilegijev, datotečni sistem samo za branje, omejitve pomnilnika in procesov ter časovna omejitev (scanner/src/worker.js).
V vsebniku avtomatiziran brskalnik prikliče največ osem javnih strani, najprej domačo stran, nato prednostno strani s kontakti, impresumom in podporo. Pred tem prebere robots.txt; izključitev za FormExposedBot ali za vse pajke, ki zajema domačo stran, konča preverjanje, prav tako nedosegljiv robots.txt ali napaka strežnika pri priklicu (scanner/src/net.js). Prepovedi za posamezne podpoti se ne upoštevajo posebej. Utrip obrazca, priklic dokaza, orodje za glave in iskanje izpostavljenih datotek ne berejo robots.txt. Poleg osmih strani so še do tri strani s klikom na »Zavrni« v pasici piškotkov, do tri strani v pogledu za telefon, aktivni preizkusi za preverjene domene in do pet strani za prijavo; strani se nalagajo zaporedno, ne vzporedno. Vsaka zahteva brskalnika – vključno s preusmeritvami in vdelano vsebino – gre skozi filter, ki zavrne zasebna omrežja in druga vrata.
Vsebnik zapiše rezultat in posnetke zaslona v začasni imenik. Storitev preverjanja prek internega omrežja posreduje rezultat in slike aplikaciji ter izbriše začasni imenik, tudi po napaki (scanner/src/worker.js).
Aplikacija obdela rezultat, ga pri domenah Strank primerja s prejšnjim preverjanjem in spremembe sporoči na cilje, ki jih je nastavila Stranka.

6.2 Kaj pajek shrani – in česa ne

Element	Kaj se shrani	Kaj se ne shrani	Vir
Strani	Naslov, status HTTP, glave, Content Security Policy, zahtevani gostitelji tretjih (največ 120)	Vsebina strani kot besedilo ali HTML	`scanner/src/crawl.js`
Polja obrazca	Vrsta, ime, oznaka, nadomestno besedilo, obvezno polje, vidnost, dolžina obstoječe vrednosti	Vrednosti polj; pri skritih poljih se prvih 24 znakov vrednosti le prebere med preverjanjem (za zaznavanje žetonov)	`scanner/src/crawl.js`
Naslovi prejemnikov v obrazcu	le domena	naslov	`scanner/src/crawl.js`
Skripte	Popis s kontrolno vsoto; naslovi in začetno besedilo brez identifikatorjev računov oglaševalskih in analitičnih storitev	Identifikatorji računov in pikslov	`scanner/src/crawl.js`
Prisluškovalci	kateri oglaševalski piksli in orodja za snemanje se naložijo pred klikom na »Zavrni« v pasici piškotkov in po njem ter ali zakrivajo vnose	Identifikatorji računov pri teh storitvah	`scanner/src/mitleser.js`, `scanner/src/einwilligung.js`
Besedilo obrazca	do 400 znakov gre v lokalni jezikovni model, če pravila ne prepoznajo vrste	Razkritje tretjim; shranjevanje besedila	`scanner/src/classify.js`
Posnetki zaslona (pajek)	vidno območje prve strani; za vsak viden obrazec slika elementa obrazca	–	`scanner/src/crawl.js`
Posnetki zaslona (aktivno preverjanje)	Slika strani z odgovorom na testno oddajo; poleg tega status, ciljni naslov, naslov strani in prvih 300 znakov njenega besedila	–	`scanner/src/active.js`
Posnetki zaslona (poti brskalnika)	Slika obrazca z zatemnjenimi vnosnimi polji, stisnjena, največ 32 KB	Vnosi	`scanner/src/browser.js`
Za prijavo	kot pri zgornjih poljih obrazca	Posnetki zaslona, piškotki, povezave	`scanner/src/login.js`

Osebni podatki v teh elementih po zasnovi niso vsebovani, naključno pa so: ime kontaktne osebe ob obrazcu, fotografija ekipe na domači strani, telefonska številka v oznaki, e-poštna domena posameznika, ime v nadomestnem besedilu. Za prijavo se dodajo podatki testnega računa in, odvisno od spletnega mesta, drugih uporabnikov.

6.3 Kdo sproži preverjanje in kaj takrat velja

Sprožilec	Raven zaupanja v opravilu	Testne oddaje	Rezultat dostopen prek	Izbris
Nekdo vnese domeno na domači strani (brezplačno preverjanje)	anonimno	ne	Poročilo pod naključno povezavo	30 dni, vključno s slikami (`cfg/check_lib.php`)
Vtičnik ali razširitev brez računa	vtičnik	ne	Poročilo pod naključno povezavo	30 dni
Agencija za potencialno stranko	registrirano	ne	Kratka ugotovitev in poročilo pod naključno povezavo	90 dni (`cfg/akquise_lib.php`)
Stranka, domena brez dokaza	registrirano	ne	Račun; poročilo pod naključno povezavo	13 mesecev, zadnje preverjanje se ohrani
Stranka, domena z dokazom	preverjeno	da, največ pet na preverjanje	Račun; poročilo pod naključno povezavo	13 mesecev, zadnje preverjanje se ohrani (`cfg/fristen_lib.php`)
Študija	interno	ne	po objavi le skupne vrednosti	ob objavi; brez objave brez časovne omejitve (R4)
Interno preverjanje ponudnika iz ukazne vrstice	interno; za naše lastne testne in predstavitvene domene tudi »preverjeno«	ne; z ravnjo »preverjeno« da (le naše lastne testne in predstavitvene domene)	le interno	brez časovne omejitve (R4)

Pred brezplačnim preverjanjem je več plasti (cfg/check_lib.php): zasilna zaustavitev; reCAPTCHA; ista domena največ enkrat v sedmih dneh (nato se prikaže obstoječe poročilo); omejitve na naslov IP, na sejo (kot zgoščena vrednost, nikoli sam identifikator seje) in za celotno storitev na dan; seznam blokiranih iz opt-outa in robots.txt; preverjanje, ali domena kaže na javne naslove; ter blokada za zelo nove ali neznane domene. Anomalije – veliko različnih domen z enega naslova IP, veliko zahtev v kratkem času – se zabeležijo z naslovom IP in sprožijo signal brez vsebine (cfg/check_lib.php).

6.4 Preverjanje domen v računu Stranke

Stranka dokaže, da je upravičena do nadzora nad domeno: z zapisom DNS, metaoznako, datoteko ali prek našega vtičnika (cfg/verify_lib.php). Šele takrat se domena obravnava kot preverjena. Načrtovalnik spremljanja redna preverjanja načrtuje le za aktivne, spremljane in preverjene domene (cfg/monitor_lib.php).

Aktivne testne oddaje so vezane na dve zapori: aplikacija aktivni način za Stranke nastavi le za preverjene domene (za naše lastne testne in predstavitvene domene lahko ponudnik prek internega orodja ukazne vrstice ustvari preverjanje z ravnjo »preverjeno«), storitev preverjanja pa znova preveri raven zaupanja in zasilno zaustavitev fc_active_enabled (scanner/src/worker.js). Oddati je mogoče le obrazec, ki ga pravila z visoko gotovostjo prepoznajo kot splošni kontaktni obrazec, ki nima obveznih polj za resnične osebne podatke in katerega domena ni videti kot domena javnega organa, izobraževalne ustanove, klinike, zdravniške ordinacije, policije ali sodišča (scanner/src/classify.js). Jezikovni model obrazca ne more narediti primernega za oddajo (scanner/src/classify.js). Na preverjanje gre največ pet oddaj (fc_active_max_posts), jasno označenih, s pošiljateljem dummy@formexposed.com, naslovom pod .invalid za preizkus preverjanja e-poštnih naslovov in neškodljivo dodatno vrstico glave za zaznavanje vrivanja glav (scanner/src/active.js).
Poti brskalnika v brskalniku preverjajo nastavljene poti obrazcev do točke tik pred oddajo. Dovoljene so le zahteve GET in HEAD; vse drugo se prekine, prav tako naslovi z besedami za odjavo, brisanje, nakup ali plačilo (scanner/src/browser.js). Za preverjanje se obvezna polja izpolnijo z izmišljenimi vrednostmi, ki nikoli ne zapustijo brskalnika.
Izpostavljene datoteke se iščejo tedensko, le za preverjene domene, z največ enim priklicem na pot, največ 8 KB, vsebina se nikoli ne shrani (cfg/dateien_lib.php).
Neodvisna druga sonda je pripravljena in privzeto izklopljena (browser_probe_enabled = 0). Če bi bila vklopljena, bi prejela le domeno, naslov, selektor, korake in izbiro brskalnika, nikoli dostopnih podatkov, posnetkov zaslona ali podatkov obiskovalcev (cfg/formular_probe_lib.php).

6.5 Skeniranje za prijavo

Predpogoji: funkcija je nastavljena, domena je preverjena, Stranka ima plačljiv paket in je lastnik ali skrbnik delovnega prostora (cfg/login_lib.php); potrdi, da je račun testni račun s čim manj pravicami (cfg/login_lib.php).

Uporabniško ime in geslo se na spletnem strežniku takoj šifrirata z javnim ključem strežnika za skeniranje: enkratni ključ na zapis (X25519), izpeljava ključa (HKDF-SHA256), AES-256-GCM, vezano na domeno (cfg/login_lib.php). Zasebni ključ ima le storitev preverjanja na strežniku za skeniranje (scanner/src/geheim.js). Kdor ima spletni strežnik, podatkovno zbirko ali varnostno kopijo, ima le šifrirano besedilo.
Vmesnik prikazuje le prvi znak in dolžino uporabniškega imena (cfg/login_lib.php). Dostopni podatki se nikoli ne prikažejo, nikoli ne beležijo in nikoli ne izpišejo prek API.
Za preverjanje aplikacija opravilu priloži šifrirano besedilo. Storitev preverjanja ga dešifrira, polje v opravilu takoj počisti in dostopne podatke vsebniku posreduje le prek standardnega vhoda, nikoli kot argumente ukazne vrstice (scanner/src/worker.js). Ostanke v prekinjenih opravilih statusni postopek počisti po eni uri (cfg/login_lib.php).
V vsebniku se brskalnik prijavi. Prekine, če stran za prijavo preusmeri na drugega gostitelja, če ima obrazec za prijavo CAPTCHA (CAPTCHA ne obhajamo) ali če je po oddaji polje za geslo še vedno vidno (scanner/src/login.js). Nato počisti polje za geslo v pomnilniku strani in pozabi dostopne podatke (scanner/src/login.js).
Prebere največ pet strani iste domene, ki jih določi Stranka. Naslovi z besedami za odjavo, brisanje, odstranjevanje ali preklic so blokirani (scanner/src/login.js). Za prijavo se nič ne odda, posnetki zaslona se ne naredijo, piškotki in povezave pa ne pridejo v rezultat (scanner/src/login.js).
Izbris je dokončen: šifrirano besedilo se prepiše z naključnimi podatki enake dolžine, vrstica se izbriše in čakajoča opravila se počistijo (cfg/login_lib.php). Ob izbrisu domene vrstica samodejno izgine prek tujega ključa.

6.6 Preverjanje dostave

Preverjanje dostave odgovori na vprašanje, ali e-poštno sporočilo iz kontaktnega obrazca res prispe, in ovrednoti njegove značilnosti pristnosti. Je neobvezno, privzeto izklopljeno in zahteva nastavljen kontrolni poštni predal (cfg/zustellung_lib.php).

Če ga Stranka vklopi, domena prejme naključno oznako. Stranka v svoj obrazec kot skrito kopijo vnese kontrolni naslov s to oznako.
Od tedaj gre vsako e-poštno sporočilo iz obrazca tudi v kontrolni poštni predal: naše označene testne oddaje in vsa resnična sporočila obiskovalcev. E-poštna sporočila gredo neposredno v poštni predal pri Namecheap, Inc. (Private Email), Phoenix, Arizona, USA – prispejo le, če zapisi MX naše domene kažejo tja; prek posredovanja, na primer pri registrarju domen Namecheap, Inc., poštnega predala ne dosežejo – in tam ostanejo, dokler niso prevzeta.
Statusni postopek poštni predal prevzame vsakih pet minut (srv/cron_status.php). Pri vsakem e-poštnem sporočilu prebere glave in največ prvih 8 KB besedila, ne da bi ga označil kot prebranega (cfg/zustellung_lib.php).
Iz glav določi oznako in s tem domeno, iz besedila pa po potrebi identifikator našega testa (cfg/zustellung_lib.php). Shranijo se čas, domena in po potrebi identifikator testa (cfg/zustellung_lib.php), za 180 dni (cfg/zustellung_lib.php).
Iz glav ovrednoti SPF, DKIM in DMARC ter rezultat shrani pri domeni: rezultate preverjanj, domeno naslova pošiljatelja, domene podpisov in naslov poštnega strežnika pošiljatelja (cfg/zustellung_lib.php). Če se rezultat poslabša, se Stranki enkrat pošlje opozorilo, ki lahko navede domeno pošiljatelja (cfg/zustellung_lib.php).
Nato vsako prevzeto e-poštno sporočilo označi za izbris, tudi tisto, ki ga ni bilo mogoče dodeliti nobeni domeni, in ga ob koncu zagona odstrani iz poštnega predala (cfg/zustellung_lib.php). Če se zagon prej prekine, sporočila ostanejo do naslednjega uspešnega zagona.
Kot dokaz dostave šteje le kopija natanko zadevnega testa (cfg/zustellung_lib.php). Če ne prispe v treh urah (delivery_wait_h), storitev sporoči »Dostava manjka«.

Besedilo resničnih sporočil se nikoli ne zapiše v podatkovno zbirko, prav tako ne naslov obiskovalca. Oboje pa se prebere: prevzem naloži prvih 8 KB vsakega e-poštnega sporočila v pomnilnik, da poišče identifikator testa.

6.7 Zaščita roja

Zaščitna plast vtičnika za WordPress ustavi sporočilo kot neželeno pošto in prešteje domene povezav v njem. Enkrat na dan nam vtičnik sporoči te domene s številom zadetkov, največ 60 na dan; brez naslovov, brez besedila, brez naslovov IP (cfg/swarm_lib.php).
Enkrat na dan iz tega sestavimo seznam: domena se uvrsti nanj, če so jo v sedmih dneh sporočila vsaj tri različna spletna mesta in z vsaj petimi zadetki (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). Velike storitve s fiksnega seznama izjem in domene naših Strank, vsakič vključno s poddomenami, nikoli ne pridejo na seznam (cfg/swarm_lib.php).
Seznam gre vsem povezanim spletnim mestom z odgovorom na dnevno poročilo. Njihova zaščitna plast sporočila s povezavami na domene s seznama premakne v karanteno, ne v koš.
Kar se v novem seznamu ne pojavi več, izpade; prijave se izbrišejo po 30 dneh (cfg/swarm_lib.php).
Omrežja IP (/24 ali /48) so pripravljena, vendar izklopljena, dokler pravni pregled ni končan (cfg/swarm_lib.php).

6.8 Uporaba umetne inteligence

Jezikovni model teče na našem lastnem strežniku za skeniranje, ne pri ponudniku UI. Uporablja se na dveh mestih: v storitvi preverjanja razvršča obrazce, katerih vrste pravila ne prepoznajo; pri tem vidi naslov strani, naslov URL strani, oznake gumbov za oddajo, vrste polj, imena, oznake in nadomestna besedila ter do 400 znakov besedila obrazca (scanner/src/classify.js). Vpraša se le, če pravila vrnejo »neznano«; tako razvrščeni obrazci se nikoli ne oddajo in se ne upoštevajo pri oceni in sodbi. Ocena, sodba, preprečevanje zlorab, zaščita roja in pravila za neželeno pošto so fiksna pravila, ne UI. Pri »Fix it for me« prepiše prilepljeno kodo obrazca; koda se ne shrani. Model ne sprejema odločitev o ljudeh. Več o tem na strani Akt EU o umetni inteligenci: kako formexposed uporablja UI.

6.9 Pravne podlage

Dejanje obdelave	Pravna podlaga
P1 Brezplačno preverjanje: preverjanje zahtevane domene; omejitve in preprečevanje zlorab	v razmerju do osebe, ki zahteva preverjanje, člen 6(1)(b); v razmerju do operaterja in prikazanih oseb člen 6(1)(f); preprečevanje zlorab člen 6(1)(f)
P2 Preverjanje potencialnih strank	Člen 6(1)(f) (zakoniti interes agencije in formexposed)
P3 Študija	Člen 6(1)(f)
P4 Preverjanje domen Strank	Člen 6(1)(b) v razmerju do Stranke; za podatke tretjih na njenem spletnem mestu navodila Stranke po členu 28
P5 Skeniranje za prijavo	Navodila Stranke po členu 28; pravna podlaga Stranke
P6 Preverjanje dostave	Navodila Stranke po členu 28; pravna podlaga Stranke (v našem predlogu besedila za Stranke člen 6(1)(f))
P7 Zaščita roja	Člen 6(1)(f) (skupna obramba pred neželeno pošto na številnih spletnih mestih)

Naš zakoniti interes pri P1 do P3 je v tem, da operaterjem in njihovim ponudnikom storitev pokažemo slabosti v njihovih obrazcih, preden se izkoristijo za neželeno pošto ali zlorabo, in v zagotavljanju storitve. Podatki izvirajo iz javno dostopnih virov. Tehtanje interesov je opisano v razdelku 7; ali člen 6(1)(f) podpira preverjanje spletnih mest tretjih na zahtevo, je odprto vprašanje za pravni pregled.

6.10 Uporabniki (prejemniki) in prenosi v tretje države

Uporabnik (prejemnik)	Kaj	Dejanje obdelave	Stanje
Nihče zunaj formexposed	Rezultati preverjanj, posnetki zaslona, razvrstitev z jezikovnim modelom	P1–P5	Storitev preverjanja in jezikovni model tečeta na naših lastnih strežnikih; na poti preverjanja pajka ni bilo ugotovljenega nobenega klica tretjim razen samemu preverjenemu spletnemu mestu, storitvam, katerih vsebino vdeluje (kot pri vsakem obiskovalcu), in storitvi RDAP rdap.org za starost domene (le ime domene); storitve spremljanja so navedene v naslednji vrstici
Vsakdo, ki pozna povezavo	Poročilo z ugotovitvami in posnetki zaslona	P1, P2, P4	naključna povezava s 128 biti (`cfg/check_lib.php`), strani z `noindex` (`www/report.php`)
Storitve, ki jih poizveduje spremljanje domene Stranke	Seznami blokiranih DNS (SpamCop, PSBL, Mailspike, SURBL): domene in naslovi IP strežnikov, brez podatkov o obiskovalcih; Google Web Risk le, če je nastavljen: naslov domače strani; overitelja časa Certum in DigiCert: le zgoščena vrednost dokaznega dnevnika; RDAP prek registra IANA: le ime domene; statusne strani ponudnikov: nič se ne posreduje; wpvulnerability.net: identifikator vtičnika (brez različice) ali teme in različica WordPressa	P4	v uporabi; podrobnosti v Evidenci dejavnosti obdelave in na strani Podobdelovalci
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Kontrolne kopije vključno z resničnimi sporočili obiskovalcev	P6	Pogodba še ni sklenjena; kraj obdelave in mehanizem prenosa je treba še preučiti
Namecheap, Inc. (ZDA)	Registrar in DNS; dokler poštni predal ni nastavljen, posredovanje splošnih e-poštnih sporočil na naslove naše domene, ne kontrolnih kopij (te dosežejo poštni predal le prek zapisov MX, ki kažejo neposredno nanj)	– (brez kontrolnih kopij)	Mehanizem prenosa je treba preučiti
Kanali opozoril, ki jih izbere Stranka (e-pošta, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	Dogodek, domena, povezava; pri preverjanju pristnosti domena pošiljatelja, če ne pripada spletnemu mestu	P4, P6	cilj izbere Stranka; deloma zunaj EU. Sporočila Telegram pošiljamo prek našega bota; mehanizem prenosa za to je odprto vprašanje za pravni pregled
Vsa povezana spletna mesta	Seznam domen povezav	P7	prek odgovora vtičniku
Druga sonda	Domena, naslov obrazca, selektor, koraki	P4	izklopljena

6.11 Hramba, izmerjena, ne nameravana

Brisanje večinoma poteka ponoči ob 03:00 v statusnem postopku (srv/cron_status.php, cfg/fristen_lib.php); prijave zaščite roja in vrstice potencialnih strank se brišejo dnevno od 04:00, dodelitve preverjanja dostave ob vsakem prevzemu; anonimna poročila in poročila za potencialne stranke se izbrišejo prek datuma izteka (cfg/check_lib.php). Posnetki zaslona se z diska izbrišejo skupaj s svojim skeniranjem (cfg/fristen_lib.php).

Podatki	Rok po kodi	Vir	Ugotovitev
Brezplačno preverjanje vključno s slikami	30 dni	`cfg/check_lib.php`	učinkovito
Preverjanje potencialnih strank vključno s slikami	90 dni	`cfg/akquise_lib.php`; `srv/cron_status.php` (vrstice potencialnih strank)	učinkovito
Preverjanja domene Stranke	13 mesecev; zadnje se ohrani, dokler obstaja domena	`cfg/fristen_lib.php`	učinkovito
Rezultati poti brskalnika vključno z zatemnjenimi slikami	13 mesecev	`cfg/fristen_lib.php`	učinkovito
Podatki izbrisane domene	takoj; sirote ponoči	`cfg/fristen_lib.php` (`fe_domain_loeschen()`, `fe_fristen_lauf()`)	učinkovito, vključno s popisom skript in spremembami skript, ki poleg tega nimajo lastnega roka hrambe (glej Evidenco dejavnosti obdelave)
Študija: surovi podatki vključno s slikami	ob objavi	`cfg/studie_lib.php`	brez objave brez časovne omejitve; seznam preverjenih gostiteljev ostane brez časovne omejitve tudi po objavi
Interna preverjanja brez domene in brez poročila	noben	–	brez izbrisa; izmerjeno: 85 preverjanj s 369 slikami od 22. septembra 2026 (R4)
Dodelitve preverjanja dostave	180 dni	`cfg/zustellung_lib.php`	učinkovito
Rezultat preverjanja pristnosti pri domeni	do naslednjega rezultata ali izbrisa domene	`cfg/zustellung_lib.php`	prepisano, ne časovno omejeno
Kontrolne kopije v poštnem predalu	do naslednjega uspešnega prevzema (petminutni interval)	`cfg/zustellung_lib.php`	kopije in varnostne kopije pri ponudniku poštnega predala niso preverjene
Dostopni podatki za skeniranje za prijavo	do izbrisa s strani Stranke ali izbrisa domene; v opravilu največ do konca zagona, ostanki po eni uri	`cfg/login_lib.php`	učinkovito; v varnostnih kopijah le kot šifrirano besedilo do 14 dni
Prijave pri zaščiti roja	30 dni	`cfg/swarm_lib.php`	učinkovito
Omejitve brezplačnega preverjanja (IP, država, zgoščena vrednost seje)	7 dni	`srv/cron_status.php`	učinkovito
Zaznamki o sumljivem vedenju z naslovom IP	90 dni po razrešitvi	`srv/cron_status.php`	nerazrešeni zaznamki brez časovne omejitve; izmerjeno: 3 zaznamki, vsi razrešeni
Naslov IP, država, brskalnik v zvezi z opt-outom	12 mesecev; izključitev ostane	`cfg/fristen_lib.php`	učinkovito
Varnostne kopije podatkovne zbirke	14 dni	`cfg/backup_lib.php`	učinkovito; varnostne kopije so trenutno shranjene na isti lokaciji kot podatkovna zbirka in niso ločeno šifrirane; načrtovana je šifrirana kopija na drugi lokaciji (R13)

7. (b) Ocena nujnosti in sorazmernosti

Merilo so navedeni nameni: operaterjem pokazati, ali so njihovi obrazci zaščiteni pred neželeno pošto in zlorabo (P1 do P5), preveriti, ali e-poštna sporočila iz obrazcev prispejo in so videti pristna (P6), ter se skupno braniti pred neželeno pošto na številnih spletnih mestih (P7). Ti nameni so legitimni. Vprašanje po členu 35(7)(b) je ožje: ali je ta obdelava v tej globini nujna za namen in ali je poseg sorazmeren s koristjo?

Sestavni del	Nujno za namen?	Sorazmerno v izvedeni obliki?
Priklic nekaj javnih strani, struktura obrazcev, zaznani zaščitni ukrepi	Da. Brez tega ni ugotovitve.	Da. Največ osem strani (poleg pogledov iz razdelka 6.1), prepoved domače strani v robots.txt se upošteva, brez vrednosti vidnih polj, naslovi prejemnikov le kot domena.
Posnetek zaslona na obrazec	Da, kot dokaz v poročilu: operater vidi, kateri obrazec je mišljen.	Večinoma. Polja so prazna, ker pajek ničesar ne vnaša. Slika pa prikazuje okolico elementa obrazca, ne da bi kar koli zatemnila (R3).
Posnetek zaslona domače strani	Za samo ugotovitev ni potreben. Služi prepoznavanju preverjenega spletnega mesta v poročilu.	Le omejeno; načrtovana je nadaljnja minimizacija. Domače strani pogosto prikazujejo ljudi: fotografije ekip, kontaktne osebe, mnenja strank z imeni. Glej R3 in razdelek 9.3.
Branje vrednosti skritih polj (prvih 24 znakov, le med preverjanjem)	Da: iz njih se zaznajo žetoni in časovni žigi.	Da. Shrani se le rezultat zaznave, ne vrednost, tudi za prijavo (R8).
Stran z odgovorom na testno oddajo (slika in 300 znakov besedila)	Da, kot dokaz, kako se je obrazec odzval.	Da. Odgovor se nanaša na naše označeno testno sporočilo brez osebnih podatkov.
Razvrstitev z jezikovnim modelom	Koristno, ne nujno: brez tega več obrazcev ostane »neznanih«.	Da. Lokalno, brez razkritja, brez pravice do oddaje.
Aktivne testne oddaje	Da. Ali zaščita deluje, se pokaže šele, ko se preizkusi.	Da, z zgornjo mejo in označevanjem. Predpogoj – dokaz o nadzoru – pa se nikoli ne obnovi (R7).
Iskanje izpostavljenih datotek	Da za Stranko, katere podatki iz obrazcev so lahko tam izpostavljeni.	Da. Le preverjene domene, največ 8 KB, vsebina se nikoli ne shrani.
Skeniranje za prijavo	Da za obrazce v območju za člane, ki bi sicer ostali nepreverjeni.	Večinoma. Šifriranje in izbris sta skrbno izdelana; prijava pa sprejema nešifrirane povezave in pomanjkljive certifikate (R8).
Kontrolna kopija resničnih sporočil obiskovalcev	Ne za dokaz dostave. Ta temelji le na kopiji našega testa (`cfg/zustellung_lib.php`). Resnična sporočila pridejo zraven, ker skrita kopija v obrazcu ne razlikuje med testom in resničnim sporočilom. Koristna so za preverjanje pristnosti (SPF, DKIM, DMARC), ker kažejo dejansko pot pošiljanja.	Deloma. Vsebina se ne shrani, vendar se prebere in do prevzema ostane pri ponudniku poštnega predala, katerega pogodba je še odprta (R1, R2). Manj invazivna zasnova je tehnično mogoča: z našim vtičnikom bi bilo mogoče skrito kopijo omejiti na označena testna sporočila (razdelek 9.3).
Shranjevanje domene pošiljatelja resničnih sporočil	Deloma: kaže, ali obrazec pošilja z naslovom obiskovalca kot pošiljateljem (pogost vzrok za razvrstitev kot neželena pošta).	Pogojno. Pri posamezniku z lastno domeno je domena osebni podatek in gre v opozorilo Stranki in njenim kanalom (R1).
Skupni seznam domen povezav	Da. Povezava z neželeno vsebino, ki se hkrati pojavi na številnih spletnih mestih, je močan signal, ki ga posamezno spletno mesto nima.	Da, z minimalnimi števili, izjemami in karanteno namesto izbrisa. Omrežja IP brez nove ocene ne bi bila sorazmerna.
Surovi podatki študije	Do vrednotenja da.	Brez najdaljšega roka ne (R4).
Poročilo pod naključno povezavo	Da. Posredovanje poročila – na primer ponudniku storitev, ki skrbi za spletno mesto – je namen brezplačnega preverjanja.	Da. Naključna povezava s 128 biti, `noindex`, brezplačno poročilo le kot izvleček (`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`), izbris po 30 dneh.

Zakonitost. Za P1 do P3 in P7 se opiramo na člen 6(1)(f). V prid tehtanju: podatki so javni in se prikličejo enako, kot to stori vsak obiskovalec; nič se ne odda; osebni podatki so naključni in neznatni; roki so kratki; operater lahko nadaljnja preverjanja s pajkom izključi s prepovedjo domače strani v robots.txt, vsako nadaljnje preverjanje pa prek naše strani za opt-out, takoj in brez dokaza; korist – zaščiten obrazec – ima tudi operater in njegovi obiskovalci. Proti: operater o preverjanju ne izve ničesar, poročilo je namenjeno tretjim, pri samostojnih podjetnikih pa ocenjuje osebo. Tehtanje se nam zdi upravičljivo, dokler ostanejo v veljavi ukrepi iz razdelka 9.1; pravna potrditev še ni podana.

Obveščanje posameznikov, na katere se nanašajo osebni podatki (člena 13 in 14). Operaterje in ljudi na preverjenih straneh obveščamo prek strani o pajku, ki je navedena v identifikatorju vsakega priklica, prek Politike zasebnosti in prek strani za opt-out. Posamično obveščanje ljudi, ki se naključno pojavijo na posnetku zaslona, bi bilo mogoče le, če bi jih identificirali – kar bi bil nadaljnji, resnejši poseg. V tem obsegu se opiramo na člen 14(5)(b). Obiskovalce, katerih sporočila gredo skozi kontrolno kopijo, obvešča Stranka; Pogodba o obdelavi podatkov to zahteva, mi pa za to zagotavljamo besedilni blok.

Najmanjši obseg podatkov (člen 5(1)(c)). Viden je na številnih mestih in utemeljen v kodi: brez vrednosti polj, naslovi prejemnikov le kot domena, identifikatorji računov v naslovih skript skriti, v podatkovni zbirki ni vsebine iz kontrolne kopije, brez posnetkov zaslona za prijavo, pri zaščiti roja le domene. Na dveh mestih je mogoča in načrtovana nadaljnja minimizacija (razdelek 9.3): pri posnetku zaslona domače strani brez zatemnitve in pri domeni pošiljatelja resničnih sporočil.

Omejitev shranjevanja (člen 5(1)(e)). Od 27. septembra 2026 nočni postopek za podatke Strank spoštuje roke iz Politike zasebnosti in počisti podatke, ki so iz obdobja pred tem ostali brez pripadajoče domene (cfg/fristen_lib.php). Odprti ostajata dve poti brez časovne omejitve: interna preverjanja in neobjavljene študije (R4).

Točnost (člen 5(1)(d)). Ugotovitev je lahko napačna: obrazec je videti nezaščiten, ker se zaščita naloži šele po interakciji, ali pa je požarni zid pajka obravnaval drugače kot obiskovalca. Za operaterja, katerega spletno mesto se javno širi kot »Izpostavljeno«, je to vprašanje ugleda. Poročilo zato navaja metodo, prikazuje dokaze in opozarja na meje preverjanja od zunaj.

Rezultat glede sorazmernosti: Preverjanje spletnih mest tretjih in lastnih spletnih mest je v izvedeni obliki v bistvu sorazmerno. Na treh mestih je potrebna izboljšava, ki jo je mogoče odpraviti z običajnimi sredstvi in za katero so načrtovani ukrepi (razdelek 9.3): posnetki zaslona domače strani, interna preverjanja brez časovne omejitve in nešifrirana prijava pri skeniranju za prijavo. Preverjanje dostave je sorazmerno za testno kopijo in za preverjanje pristnosti; za resnična sporočila obiskovalcev velja le, dokler se njihova vsebina ne shranjuje, je pot prek ponudnika poštnega predala pogodbeno zavarovana in Stranka obvešča svoje obiskovalce. Danes manjka druga od teh treh točk.

8. (c) Ocena tveganj za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki

Ocenjuje se tveganje za posameznike, na katere se nanašajo osebni podatki, ne za formexposed. Verjetnost se ocenjuje kot majhna, mogoča, verjetna ali uresničena; »uresničena« pomeni, da dogodek ni napoved, temveč izmerjeno stanje. Resnost se ocenjuje kot omejena, znatna, resna ali zelo resna, odvisno od tega, kaj oseba lahko izgubi: zaupnost svojega sporočila, nadzor nad računom, poslovni ugled, možnost uveljavljanja pravice. Raven izhaja iz obojega in opisuje trenutno stanje z ukrepi iz razdelka 9.1.

Št.	Tveganje	Dejanje obdelave	Verjetnost	Resnost	Raven
R1	Resnična sporočila obiskovalcev v kontrolni kopiji, vključno z morebitnimi posebnimi vrstami osebnih podatkov	P6	Uresničena, ko je vklopljeno	Resna	Visoka
R2	Pot kontrolne kopije prek ponudnika poštnega predala brez sklenjene pogodbe in z morebitno povezavo s tretjo državo	P6	Verjetna, dokler pogodba manjka	Resna	Visoka
R3	Posnetki zaslona spletnih mest tretjih brez zatemnitve	P1–P4	Verjetna	Omejena	Srednja
R4	Podatki preverjanj in posnetki zaslona brez poti brisanja	P3, interna preverjanja	Uresničena	Znatna	Visoka
R5	Preverjanje in javna ocena spletnih mest tretjih brez vednosti operaterja; zloraba kot orodje za izvidovanje	P1	Mogoča	Znatna	Srednja
R6	Preverjanje potencialnih strank kot podlaga za nezaželeno navezovanje stikov	P2	Verjetna	Omejena	Srednja
R7	Dokaz o nadzoru se nikoli ne obnovi	P4, P5	Mogoča	Znatna	Srednja
R8	Dostopni podatki in vsebina pri skeniranju za prijavo	P5	Mogoča	Resna	Srednja; pri resničnih računih visoka
R9	Aktivne testne oddaje in preverjanje datotek na spletnem mestu Stranke	P4	Majhna	Znatna	Nizka
R10	Razvrstitev z jezikovnim modelom	P1–P4	Majhna	Omejena	Nizka
R11	Skupni seznam blokiranih iz prijav številnih spletnih mest	P7	Mogoča	Omejena	Nizka do srednja; z omrežji IP visoka
R12	Poročila in posnetki zaslona pod javno povezavo	P1, P2, P4	Mogoča	Omejena	Nizka
R13	Slabosti infrastrukture: varnostne kopije, dostop do strežnikov, strežnik za skeniranje	vsa	Mogoča	Resna	Visoka
R14	Pravice posameznikov, na katere se nanašajo osebni podatki, za ljudi, ki nas ne poznajo	P1–P6	Verjetna	Omejena	Nizka

R1 – Resnična sporočila obiskovalcev v kontrolni kopiji

To je najresnejše tveganje storitve in ne izhaja iz napake, temveč iz zasnove. Skrita kopija v obrazcu ne razlikuje med našim testnim sporočilom in sporočilom obiskovalca. Če Stranka vklopi preverjanje dostave, vsako sporočilo, poslano prek tega obrazca, doseže naš kontrolni poštni predal (cfg/zustellung_lib.php). Prevzem prebere glave in prvih 8 KB besedila v pomnilnik, da poišče naš identifikator testa (cfg/zustellung_lib.php). Pri običajnem kontaktnem obrazcu to pomeni ime, e-poštni naslov, telefonsko številko in celotno sporočilo.

Kaj obiskovalec napiše, je odvisno od njega, polje pa vabi k osebni vsebini: prošnja za termin z opisom simptomov zdravniški ordinaciji, opis pravnega spora odvetniški pisarni, prijava na delovno mesto, povpraševanje o otroku šoli. Naši pravni dokumenti navajajo, da kopije »ne bi smele vsebovati posebnih vrst osebnih podatkov«. To je prošnja Stranki, ne zaščitni ukrep: niti ona niti mi vnaprej ne vemo, kaj bo obiskovalec napisal.

K temu spadata dve stranski poti. Prvič, preverjanje pristnosti pri domeni shrani domeno naslova pošiljatelja (cfg/zustellung_lib.php). Če obrazec pošilja z naslovom obiskovalca kot pošiljateljem, je to domena obiskovalca – pri velikem ponudniku e-pošte brez pomena, pri posamezniku z lastno domeno pa osebni podatek. Ta domena se pojavi tudi v opozorilu, ki gre Stranki in na kanale, ki jih je izbrala (cfg/zustellung_lib.php). Drugič, shrani naslov poštnega strežnika pošiljatelja (cfg/zustellung_lib.php); praviloma je to strežnik spletnega mesta, ne obiskovalca.

Verjetnost – uresničena, ko je vklopljeno. Vprašanje ni, ali resnična sporočila prispejo, temveč koliko jih. Izmerjeno na razvojnem sistemu funkcija ni vklopljena za nobeno domeno. Resnost – resna. Zaupnost sporočila podjetju je za mnoge ljudi pomembna, pri nekaterih tipičnih Strankah pa je pričakovati podatke iz člena 9. Resnost blaži dejstvo, da vsebina ne pride v podatkovno zbirko, v poštnem predalu ostane le kratek čas in je pri formexposed ne prebere nobena oseba. Raven – visoka.

R2 – Pot kontrolne kopije prek ponudnika poštnega predala brez sklenjene pogodbe

Preden naš prevzem vidi kontrolno kopijo, je ta shranjena v poštnem predalu pri Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Tja prispe le, če zapisi MX naše domene kažejo neposredno na ta poštni predal; posredovanje pri registrarju domen Namecheap, Inc. ni postaja kontrolnih kopij (prek posredovanja poštnega predala ne dosežejo). Za postajo, ki ostane, so pogodbene ureditve še odprte: pogodba s ponudnikom poštnega predala ni sklenjena, njegove lokacije shranjevanja, podobdelovalci in roki hrambe varnostnih kopij niso ugotovljeni, odprto pa je tudi, ali sta za njegov kraj obdelave potrebna in se uporabljata sklep o ustreznosti ali standardne pogodbene klavzule. Pri naših lastnih transakcijskih e-poštnih sporočilih je to vprašanje oblikovanja pogodbe. Pri kontrolnih kopijah je resneje: tam gre za podatke, ki jih prejmemo kot obdelovalec, in vsak ponudnik storitev na poti je podobdelovalec, za katerega odgovarjamo po členu 28(4).

Poleg tega »izbrisano po prevzemu« velja le za naš pogled na poštni predal. Ali ponudnik izbrisana e-poštna sporočila hrani v svojih varnostnih kopijah ali v košu in kako dolgo, ni preverjeno. Če se prevzem prekine, sporočila ostanejo do naslednjega uspešnega zagona (cfg/zustellung_lib.php); če statusni postopek odpove, ostanejo za nedoločen čas. Nazadnje je zavarovanje samega prevzema ena od točk, ki jih je treba pred zagonom preveriti na produkcijskem sistemu (razdelek 9.3).

Verjetnost – verjetna, dokler pogodba manjka: vsaka kontrolna kopija gre po tej poti. Resnost – resna, iz istih razlogov kot pri R1. Raven – visoka. Kontrolni seznam za nastavitev aplikacije manjkajoči poštni predal sporoči kot opozorilo; ni zapore, ki bi preverjanje dostave brez dokumentirane pogodbe blokirala.

R3 – Posnetki zaslona spletnih mest tretjih brez zatemnitve

Pajek naredi posnetek zaslona vidnega območja prve strani in sliko elementa obrazca vsakega vidnega obrazca (scanner/src/crawl.js). Pri tem se nič ne zatemni. Drugače je pri poteh brskalnika: tam se vnosna polja pred posnetkom zaslona zakrijejo (scanner/src/browser.js). »Očiščene« so torej le slike s poti brskalnika, ne pa slike pajka in ne slika strani z odgovorom pri aktivnem preverjanju.

Ker pajek ničesar ne vnaša, so polja obrazca prazna. Domača stran malega podjetja pa pogosto prikazuje lastnika, ekipo, mnenja strank z imeni in fotografijami ali okno klepeta s sliko zaposlenega. Vse to je javno; posnetek zaslona iz tega naredi kopijo, ki je shranjena pri nas, se pojavi v poročilu in jo je mogoče s povezavo posredovati naprej.

Verjetnost – verjetna. V podatkovnem nizu razvojnega sistema je bilo izmerjenih 432 posnetkov zaslona. Resnost – omejena: vsebina je že javna, roki za preverjanja brez računa pa so kratki. Raven – srednja, ker prikazane osebe za to ne vedo in slika domače strani za ugotovitev ni potrebna.

R4 – Podatki preverjanj in posnetki zaslona brez poti brisanja

Nočni postopek briše preverjanja po dveh poteh: prek datuma izteka poročila (cfg/check_lib.php) in prek roka za preverjanja domene Stranke (cfg/fristen_lib.php, le za preverjanja z domeno). Preverjanje, ki nima niti poročila niti domene, pade skozi obe mreži. To so preverjanja z ravnjo zaupanja »interno«: študije in preverjanja, ki jih ponudnik ustvari iz ukazne vrstice.

Študije svoje surove podatke izbrišejo ob objavi (cfg/studie_lib.php). Če študija ni nikoli objavljena – ker ima premalo spletnih mest z obrazcem (cfg/studie_lib.php takrat objavo zavrne) ali ker je pozabljena –, preverjanja, obrazci, ugotovitve in posnetki zaslona ostanejo brez časovne omejitve.
Interna preverjanja iz ukazne vrstice sploh nimajo poti brisanja. Izmerjeno 11. oktobra 2026: 85 takih preverjanj spletnih mest tretjih z 978 obrazci in 369 posnetki zaslona, najstarejše z dne 22. septembra 2026, nobeno s poročilom ali domeno.
Zaznamki o sumljivem vedenju pri brezplačnem preverjanju vsebujejo naslov IP in se izbrišejo 90 dni po razrešitvi (srv/cron_status.php). Zaznamek, ki ni nikoli razrešen, ostane. Izmerjeno: trije zaznamki, vsi razrešeni.

Verjetnost – uresničena. 85 preverjanj ni scenarij, temveč obstoječi podatki. Na razvojnem sistemu gre za preverjanja s terenskega preizkusa; na produkcijskem sistemu velja ista koda. Resnost – znatna: za te podatke ni roka hrambe. Glede načela omejitve shranjevanja (člen 5(1)(e)) je to odprta točka z načrtovanim ukrepom (razdelek 9.3, prednost »prvo«), zadeva pa prav ljudi, ki o preverjanju ne vedo ničesar. Interna preverjanja so opisana v Evidenci dejavnosti obdelave; Politika zasebnosti jih še ne navaja posebej (razdelek 9.4). Raven – visoka.

R5 – Preverjanje in javna ocena spletnih mest tretjih brez vednosti operaterja

Vsakdo lahko da preveriti katero koli javno dostopno spletno mesto, brez računa in brez kakršne koli povezave z njim. Operater ni obveščen. Rezultat je poročilo, ki spletno mesto oceni kot »Izpostavljeno«, »Delno zaščiteno« ali »Zaščiteno« in ki ga lahko vidi vsakdo s povezavo. Za posameznike, na katere se nanašajo osebni podatki, sta mogoči dve posledici. Samostojni podjetnik dobi javno – četudi le za prejemnike povezave – oceno, ki je lahko napačna ugotovitev. In poročilo pošiljatelju neželene pošte pokaže, kateri obrazec je mogoče izpolniti brez ovir.

Temu nasproti stoji vrsta blokad (cfg/check_lib.php): največ eno preverjanje na domeno v sedmih dneh, nato isto poročilo; omejitve na naslov IP in sejo; dnevna zgornja meja za celotno storitev; brez preverjanj zelo novih domen, ki so značilne za zlorabo; zaznamek in signal ob sumljivem vedenju; robots.txt in opt-out, preverjena dvakrat (cfg/check_lib.php in v storitvi preverjanja). Brezplačno poročilo je izvleček: prikazuje le osnovne ugotovitve, ne dokazov vseh detektorjev. In ne pove ničesar, česar bot ne bi mogel v nekaj sekundah ugotoviti sam – nezaščiten obrazec je viden od zunaj.

Verjetnost – mogoča. Resnost – znatna za samostojnega podjetnika, katerega obrazec postane tarča po poročilu ali katerega ocena je napačna. Raven – srednja.

R6 – Preverjanje potencialnih strank kot podlaga za nezaželeno navezovanje stikov

V vmesniku je preverjanje potencialnih strank opisano kot »odpirač vrat za prvi pogovor«. Kako agencija uporabi kratko ugotovitev, odloči agencija; tehnično jo lahko pošlje tudi operaterju, ki je ni zahteval. Mi ne vzpostavljamo stika z nikomer (cfg/akquise_lib.php), Pogoji uporabe pa agencijo zavezujejo k spoštovanju pravil o oglaševanju in nagovarjanju. Nezaželeno e-poštno sporočilo z ugotovitvijo pa je neposredno trženje tudi med podjetji, ki na Poljskem (člen 398 poljskega zakona o elektronskih komunikacijah (Prawo komunikacji elektronicznej, PKE)) in v Nemčiji (§ 7(2) nemškega zakona proti nepošteni konkurenci (Gesetz gegen den unlauteren Wettbewerb, UWG)) zahteva predhodno privolitev. Vmesnik na to ne opozarja; besedila preverjanja potencialnih strank govorijo le o »pasivnem« in »seznamu za opt-out«.

Verjetnost – verjetna, ker funkcija služi pridobivanju strank in ne moremo preveriti, ali je prejemnik privolil. Resnost – omejena: za operaterja je to nadležno trženjsko e-poštno sporočilo z oceno njegovega spletnega mesta. Raven – srednja. Tveganje je v ravnanju agencije; ker funkcija izhaja od nas, je načrtovano obvestilo v vmesniku (razdelek 9.3).

R7 – Dokaz o nadzoru se nikoli ne obnovi

Aktivne testne oddaje, iskanje izpostavljenih datotek in skeniranje za prijavo zahtevajo, da je Stranka dokazala, da je upravičena do nadzora nad domeno. Ta dokaz se preveri enkrat (cfg/verify_lib.php) in nikoli več. V kodi ni poti, po kateri bi domena izgubila svoj dokaz. Če domena zamenja lastnika, agencija konča svoje sodelovanje ali operater odstrani zapis DNS, se preverjanja nadaljujejo – do vsak dan, z do petimi testnimi oddajami in, če je shranjena, s prijavo testnega računa, za katerega novi operater morda ne ve. Ni pa mogoče prenesti dokaza na drugega gostitelja s preimenovanjem: imena gostitelja domene z dokazom o nadzoru ni mogoče spremeniti.

Verjetnost – mogoča: menjave domen in sodelovanj so za agencije vsakdanje. Resnost – znatna za novega operaterja in njegove zaposlene, ki prejemajo označena testna sporočila in katerih spletno mesto se brez njihove privolitve preiskuje glede izpostavljenih datotek. Raven – srednja. Testna sporočila se pojasnijo sama in napotujejo na stran o pajku in opt-out; opt-out deluje tudi proti preverjanjem s strani Strank.

R8 – Dostopni podatki in vsebina pri skeniranju za prijavo

Šifriranje dostopnih podatkov je skrbno izdelano: spletni strežnik jih po shranjevanju ne more več prebrati, podatkovna zbirka in varnostna kopija vsebujeta le šifrirano besedilo, zapis je vezan na svojo domeno, dostopni podatki pridejo v vsebnik le prek standardnega vhoda in se nato počistijo iz pomnilnika (razdelek 6.5). Ostajata dve vrzeli; tretja točka zadeva le branje, ne shranjevanja.

Nešifrirana prijava je dovoljena. Preverjanje naslova poleg https dovoljuje tudi http (cfg/login_lib.php, scanner/src/login.js). Če Stranka vnese stran za prijavo s http, uporabniško ime in geslo pri vsakem preverjanju potujeta prek interneta v navadnem besedilu.
Napake certifikata ne ustavijo prijave. Prijava se trenutno ne prekine, če je certifikat strani Stranke neveljaven (scanner/src/login.js). Certifikat zato dostopnih podatkov na poti do strani Stranke ne ščiti v celoti. Prekinitev ob napakah certifikata je načrtovana (razdelek 9.3, prednost »prvo«).
Vrednosti skritih polj za prijavo se preberejo, ne shranijo. Pajek prebere prvih 24 znakov vrednosti skritih polj (scanner/src/crawl.js), ista funkcija za izločanje pa teče tudi za prijavo (scanner/src/login.js). Tam skrita polja pogosto vsebujejo številko računa, identifikator uporabnika ali e-poštni naslov prijavljenega računa; v zemljevid polj in ugotovitve pa pridejo le ime polja, vrsta, oznaka in rezultat zaznave.

K temu se doda, česar koda ne more preprečiti: Stranka potrdi, da uporablja testni račun s čim manj pravicami (cfg/login_lib.php), vendar lahko vnese resničen skrbniški račun. Strani, ki jih skener nato prebere, določi Stranka; naslovi z besedami za odjavo in brisanje so blokirani, druga dejanja, ki jih spletno mesto sproži s preprosto zahtevo, pa ne.

Verjetnost – mogoča. Resnost – resna, če je prizadet račun s širokimi pravicami; območje za člane s podatki vseh uporabnikov je takrat odprto. Raven – srednja za testni račun z malo pravicami, visoka za resničen račun. Izmerjeno na razvojnem sistemu ni shranjen noben testni račun.

R9 – Aktivne testne oddaje in preverjanje datotek na spletnem mestu Stranke

Testna oddaja gre ljudem, ki berejo e-pošto iz obrazcev Stranke – njenim zaposlenim ali ponudniku storitev. Ne vsebuje osebnih podatkov: pošiljatelj je dummy@formexposed.com, besedilo in zadeva sta označena in navajata identifikator preverjanja (scanner/src/active.js). Tveganje je v napačni razvrstitvi: če bi skener obrazec za prijavo na delovno mesto, rezervacijo ali svetovanje zamenjal za kontaktni obrazec, bi testno sporočilo končalo v postopku, ki ima posledice. Temu nasproti stojijo stroga pravila za »primerno za oddajo« (scanner/src/classify.js), blokada za domene javnih organov, izobraževalnih ustanov, klinik, zdravniških ordinacij, policije in sodišč (scanner/src/classify.js) ter izključitev jezikovnega modela iz te odločitve (scanner/src/classify.js). Iz odgovora se shranijo status, ciljni naslov, naslov strani, 300 znakov besedila in slika; nanašajo se na naše testno sporočilo.

Preverjanje datotek prebere največ 8 KB s tipičnih poti. Če je tam res izpostavljen izpis podatkovne zbirke, lahko teh 8 KB vsebuje vnose obiskovalcev v obrazce. Ti se le preverijo glede podpisa in zavržejo (cfg/dateien_lib.php); shranijo se pot, vrsta in resnost.

Verjetnost – majhna. Resnost – znatna. Raven – nizka. Izmerjeno na razvojnem sistemu je v podatkovnem nizu eno aktivno preverjanje, brez sprejete oddaje.

R10 – Razvrstitev z jezikovnim modelom

Za obrazce, ki jih pravila ne prepoznajo, jezikovni model prejme naslov strani, naslov URL, besedila gumbov, opise polj in do 400 znakov besedila obrazca (scanner/src/classify.js). To lahko vključuje ime, na primer »Vaša kontaktna oseba: …«. Teče na našem lastnem strežniku; v kodi nič ne gre tretjim. Ali programska oprema modela beleži zahteve, ni preverjeno. Njegov rezultat določa le prikazano vrsto obrazca in obrazca ne more narediti primernega za oddajo; napačna razvrstitev vodi do slabše ugotovitve, ne do dejanja.

Verjetnost – majhna. Resnost – omejena. Raven – nizka.

R11 – Skupni seznam blokiranih iz prijav številnih spletnih mest

Domena na seznamu povzroči, da sporočila s povezavami nanjo na vseh povezanih spletnih mestih končajo v karanteni. Če domena pripada posamezniku – obrtniku, fotografu, blogu –, njegova sporočila s povezavo na lastno spletno mesto prejemnike dosežejo pozno. Takšna domena lahko pride na seznam, ker jo zlorabljajo pošiljatelji neželene pošte, ali ker nekdo namerno več spletnim mestom pošlje zavrnjena sporočila, ki jo vsebujejo.

Temu nasproti stojijo (cfg/swarm_lib.php): najmanj tri različna spletna mesta in pet zadetkov v sedmih dneh; fiksne izjeme za velike storitve; nikoli domene naših Strank; ročna odstranitev z orodjem na strežniku; karantena namesto izbrisa; seznam se vsak dan na novo sestavi, kar ni več sporočeno, pa izpade. Prizadeti seznama ne vidijo in nimajo lastne poti, da bi zahtevali odstranitev, razen prek nas.

Verjetnost – mogoča. Resnost – omejena, ker se nič ne izgubi in prejemnik lahko sporočilo sprosti. Raven – nizka do srednja. Z vklopljenimi omrežji IP bi bila prizadeta omrežja celotnih ponudnikov, naslovi IP so osebni podatki, resnost pa bi narasla na znatno: visoka.

R12 – Poročila in posnetki zaslona pod javno povezavo

Poročila brezplačnega preverjanja, preverjanja potencialnih strank in preverjanj domen Strank so dostopna brez prijave pod naključno povezavo. Povezava vsebuje 128 bitov naključnosti in je ni mogoče uganiti (cfg/check_lib.php). Strani imajo noindex, aplikacija pošilja politiko referrer, ki posreduje le izvor (www/.htaccess), posnetki zaslona pa se dostavijo le skupaj s poročilom, ki mu pripadajo; druga številka slike vrne »ni najdeno« (www/shot.php). Tveganje ni kriptografsko, temveč človeško: povezava se posreduje naprej, kopira v zahtevek, deli v klepetu. Kdor jo odpre, je zabeležen le v dnevniku dostopov do strani kot vsak ogled strani (60 dni), v katerem se sama povezava pojavi le v zakriti obliki; seznama bralcev na poročilo ni.

Verjetnost – mogoča. Resnost – omejena, ker poročilo prikazuje le javne informacije in poteče po 30 oziroma 90 dneh; poročila o domenah Strank ostanejo dostopna, dokler obstaja preverjanje (13 mesecev, zadnje dlje). Raven – nizka.

R13 – Slabosti infrastrukture

Naslednje točke so v našem internem paketu za pregled navedene kot odprte in tukaj niso olepšane. Opisujemo jih tako natančno, kot jih Stranke potrebujejo za svojo oceno, vendar ne tako natančno, da bi opis napadalcu pokazal pot; podrobnosti nadzornemu organu posredujemo na zahtevo.

Varnostne kopije podatkovne zbirke so trenutno shranjene na isti lokaciji kot podatkovna zbirka in niso ločeno šifrirane; načrtovana je šifrirana kopija na drugi lokaciji (cfg/backup_lib.php). Do takrat ne ščitijo pred izgubo lokacije, kdor pridobi podatkovno zbirko, pa pridobi tudi varnostne kopije. Dostopni podatki za skeniranje za prijavo so v njih le kot šifrirano besedilo.
Podatkovna zbirka v mirovanju ni šifrirana. Izjeme so polja, ki so šifrirana posamično (dostopni podatki testnih računov, skrivnost drugega faktorja).
Povezave znotraj našega internega omrežja niso v celoti šifrirane.
Upravljanje strežnikov. Varnost skrbniškega dostopa do naših strežnikov še ne dosega standarda, ki ga predvidevamo za obratovanje; utrjevanje upravljanja strežnikov se nadaljuje.
Okolje preverjanja. Strežnik za skeniranje odpira spletna mesta tretjih v brskalniku. Vsebniki za preverjanje so izolirani – lastno omrežje, brez posebnih privilegijev, samo za branje, omejeni (scanner/src/worker.js). Ločitev med okoljem preverjanja in drugimi deli storitve se dodatno krepi (razdelek 9.3).

Verjetnost – mogoča. Resnost – resna, ker bi bilo v primeru incidenta prizadeto vse hkrati. Raven – visoka. Posamezne točke je mogoče odpraviti z običajnimi sredstvi (razdelek 9.3).

R14 – Pravice posameznikov, na katere se nanašajo osebni podatki, za ljudi, ki nas ne poznajo

Kdor se naključno pojavi na posnetku zaslona ali katerega sporočilo je šlo skozi kontrolno kopijo, običajno ne ve, da obstajamo. Tudi če ve, nima ključa do »svojih« podatkov: ne shranjujemo jih po osebi, temveč po domeni in preverjanju. Na zahtevo za dostop po členu 15 lahko odgovorimo le, če oseba navede domeno; takrat lahko pregledamo obstoječa preverjanja in slike. Za resnična sporočila obiskovalcev ni ničesar za razkriti, ker jih ne shranjujemo – razen domene pošiljatelja iz R1. Opt-out deluje le za operaterje domene, ne za prikazane osebe; zanje ostaja pot prek contact@lukaswojcik.com.

Verjetnost – verjetna kot strukturna okoliščina. Resnost – omejena, ker so podatki kratkotrajni in niso urejeni po osebah. Raven – nizka.

9. (d) Ukrepi za obravnavo tveganj

Vsak ukrep ima stanje in stanja niso okras. Danes izvedeno – preverjeno pomeni: prebrano v kodi razvojnega sistema in, kjer je mogoče, izmerjeno glede na podatkovno zbirko. Delno pomeni: mehanizem obstaja, vendar svojega namena še ne dosega v celoti. Načrtovano pomeni: predlagano s to oceno in ne izdelano; ali in kdaj, odloči lastnik. Še treba določiti so postopki in odločitve, ki jih nobena koda ne nadomesti. Ocena učinka, ki načrtovane ukrepe predstavlja kot izvedene, izgubi svojo vrednost prav v položaju, v katerem je potrebna.

9.1 Danes izvedeno – preverjeno

Ukrep	Obravnava	Vir
Pajek pred vsakim preverjanjem prebere robots.txt; izključitev, ki zajema domačo stran, nedosegljiv robots.txt ali napaka strežnika konča preverjanje (podpoti se ne upoštevajo posamično; utrip, priklic dokaza, orodje za glave in iskanje datotek ga ne berejo)	R5, zakonitost	`scanner/src/net.js`
Opt-out brez dokaza, ki učinkuje takoj, za domeno in njeno različico www, za anonimna preverjanja, potencialne stranke, študije in preverjanja Strank (tekoče spremljanje se konča z naslednjim načrtovanim preverjanjem); preverjen dvakrat (aplikacija in storitev preverjanja); odpravimo ga le mi na zahtevo z dokazom	R5, R7, člen 21	`cfg/check_lib.php`; `cfg/akquise_lib.php`; `cfg/studie_lib.php`; `scanner/src/worker.js`
Brezplačno preverjanje: zasilna zaustavitev, reCAPTCHA, eno preverjanje na domeno in teden, omejitve na naslov IP in sejo, dnevna zgornja meja, brez novih domen, le javni naslovi, zaznamek in signal brez vsebine ob anomalijah	R5	`cfg/check_lib.php`
Za omejitve se seja shrani le kot zgoščena vrednost, nikoli identifikator seje	Minimizacija	`cfg/check_lib.php`
Brez vrednosti polj (začetki skritih polj in podatkovnih atributov se le preberejo med preverjanjem, razdelek 6.2); naslovi prejemnikov le kot domena; identifikatorji računov v naslovih skript skriti	Minimizacija	`scanner/src/crawl.js`
Brezplačno poročilo je izvleček: le osnovne ugotovitve, brez dokazov vseh detektorjev	R5	`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`
Poročila pod 128-bitno naključno povezavo, `noindex`, slike le za lastno poročilo, zunaj javnega spletnega imenika; povezava se v dnevniku dostopov do strani pojavi le v zakriti obliki	R12	`cfg/check_lib.php`; `www/report.php`; `www/shot.php`
Izbris: anonimna poročila po 30 dneh, potencialne stranke po 90 dneh, preverjanja Strank po 13 mesecih (zadnje na domeno se ohrani, dokler obstaja domena), podatki izbrisane domene takoj (za izjeme glej razdelek 6.11), slike vsakič skupaj z njimi	Omejitev shranjevanja	`cfg/check_lib.php`; `cfg/fristen_lib.php`
Študija: objava le kot skupna vrednost, segmenti le od 20 spletnih mest z obrazcem naprej, surovi podatki se izbrišejo ob objavi	R4 deloma, P3	`cfg/studie_lib.php`
Vsebniki za preverjanje: lastno izolirano omrežje, brez posebnih privilegijev, samo za branje, omejitve pomnilnika in procesov, časovna omejitev; filter proti zasebnim ciljem za vsako zahtevo, service workerji blokirani in povezave WebSocket zaprte, da nič ne obide filtra; zahteve spletnega strežnika le na spletnih vratih in le na natanko predhodno preverjeni javni naslov	R13	`scanner/src/worker.js`; `scanner/src/net.js`
Aktivno preverjanje za Stranke le za preverjeno domeno (interno tudi za naše lastne testne in predstavitvene domene) in z vklopljeno zasilno zaustavitvijo, preverjeno dvakrat; največ pet oddaj; le jasno prepoznani kontaktni obrazci brez obveznih osebnih podatkov; brez domen javnih organov, izobraževalnih ustanov, klinik, zdravniških ordinacij, policije ali sodišč; jezikovni model ne sme ničesar sprostiti; testno sporočilo brez osebnih podatkov, označeno, z napotilom na stran o pajku in opt-out	R9	`scanner/src/worker.js`; `scanner/src/classify.js`; `scanner/src/active.js`
Poti brskalnika: le GET in HEAD, nevarni naslovi blokirani, izmišljene vrednosti ne zapustijo brskalnika, slike z zatemnjenimi vnosnimi polji	R3 (za te slike), R9	`scanner/src/browser.js`
Preverjanje datotek: le preverjene domene, en priklic na pot, največ 8 KB, vsebina se nikoli ne shrani	R9	`cfg/dateien_lib.php`
Druga sonda: privzeto izklopljena; prejela bi le fiksni seznam neškodljivih elementov, podpisano	Uporabniki (prejemniki)	`cfg/formular_probe_lib.php`
Skeniranje za prijavo: le preverjena domena, plačljiv paket, lastnik ali skrbnik, potrditev »testni račun«; šifriranje z javnim ključem strežnika za skeniranje, vezano na domeno; dostopni podatki se nikoli ne prikažejo, beležijo ali izpišejo prek API; predaja le prek standardnega vhoda; polje v opravilu se takoj počisti, ostanki po eni uri; brez posnetkov zaslona, brez oddaj, brez naslovov za odjavo ali brisanje, prekinitev pri CAPTCHA; dokončen izbris s prepisom	R8	`cfg/login_lib.php`; `scanner/src/login.js`; `scanner/src/geheim.js`; `scanner/src/worker.js`
Preverjanje dostave: privzeto izklopljeno; prevzem prebere le glave in 8 KB, brez oznake prebranosti; vsebina in naslov obiskovalca nikoli v podatkovni zbirki; vsako prevzeto e-poštno sporočilo se izbriše, tudi nedodeljiva; dodelitve se izbrišejo po 180 dneh; dokaz le prek kopije natanko tega testa	R1, R2	`cfg/zustellung_lib.php`
Zaščita roja: le domene, omrežja IP izklopljena; minimalna števila; izjeme za velike storitve in domene Strank; karantena namesto izbrisa; seznam se vsak dan na novo sestavi; prijave se izbrišejo po 30 dneh	R11	`cfg/swarm_lib.php`
Jezikovni model na našem lastnem strežniku, brez pravice do oddaje	R10	`scanner/src/classify.js`
Signali prek Telegrama vsebujejo le fiksen stavek brez spremenljivk	Uporabniki (prejemniki)	`cfg/check_lib.php`
Tedenski preizkus obnovitve varnostne kopije z opozorilom ob neuspehu	Razpoložljivost	`cfg/backup_lib.php`; `srv/cron_status.php`

9.2 Delno – vzpostavljeno, vendar namena še ne dosega

Ukrep	Zakaj še ni v celoti učinkovit
»Očiščeni« posnetki zaslona	Zatemnjene so le slike s poti brskalnika. Slike pajka – domača stran in elementi obrazcev – ter slika strani z odgovorom pri aktivnem preverjanju niso (R3).
Roki za podatke preverjanj	Učinkoviti za anonimna preverjanja, preverjanja potencialnih strank in Strank; ne za interna preverjanja in neobjavljene študije; nerazrešeni zaznamki anomalij brez časovne omejitve (R4).
Izbris kontrolnih kopij	Učinkovit v našem pogledu na poštni predal. Če se zagon prekine, e-poštna sporočila ostanejo; kaj ponudnik poštnega predala hrani v svojih varnostnih kopijah, ni preverjeno (R2).
Zaščita dostopnih podatkov pri skeniranju za prijavo	Močna v mirovanju in v storitvi preverjanja; ne na poti do spletnega mesta: `http` je dovoljen, napake certifikata se prezrejo (R8).
Dokaz o nadzoru	Preveri se enkrat in nato velja za vedno; imena gostitelja domene z dokazom o nadzoru pa ni mogoče spremeniti, tako da dokaz ne preide na drugega gostitelja (R7).
Obveščanje posameznikov, na katere se nanašajo osebni podatki	Za operaterje vzpostavljeno prek strani o pajku, identifikatorja, Politike zasebnosti in opt-outa; za obiskovalce pri preverjanju dostave odvisno od tega, ali Stranka prevzame besedilni blok; aplikacija tega ne preverja.
Prošnja Strankam, naj v kontrolno kopijo ne dajejo posebnih vrst osebnih podatkov	Navedena v pravnih dokumentih, vendar tehnično ni podprta: aplikacija pri nastavitvi ne sprašuje po vrsti spletnega mesta in ne opozarja na domene, ki so videti povezane z zdravjem, pravom ali izobraževanjem (R1).

9.3 Načrtovano – ni izvedeno

Ukrep	Obravnava	Prednost
Pot brisanja za interna preverjanja: preverjanja brez domene in brez poročila izbrisati po fiksnem roku (predlog: 30 dni); surove podatke študije izbrisati najpozneje v fiksnem roku po njenem zaključku, tudi brez objave (predlog: 90 dni); obstoječih 85 preverjanj s 369 slikami enkratno izbrisati	R4	Prvo
Preverjanje dostave omogočiti šele, ko je pogodba s ponudnikom poštnega predala sklenjena, so lokacije shranjevanja, podobdelovalci in roki hrambe varnostnih kopij dokumentirani, je mehanizem prenosa za ponudnika poštnega predala razjasnjen in zapisi MX naše domene kažejo neposredno na poštni predal; do takrat funkcijo v produkcijskem sistemu ohraniti blokirano	R2	Prvo
Varnost prevzema iz poštnega predala preveriti na produkcijskem sistemu in jo dokumentirati, preden se preverjanje dostave omogoči	R2	Prvo
Skeniranje za prijavo le prek `https` in z veljavnim certifikatom; naslove `http` zavrniti; napake certifikata pri prijavi kot razlog za prekinitev	R8	Prvo
Vrednosti skritih polj za prijavo ne shranjevati (le ime, vrsta in dolžina) – že izvedeno na ta način, brez nadaljnjega koraka	R8	Opravljeno
Kontrolno kopijo omejiti na testna sporočila, kjer se uporablja vtičnik ali razširitev: skrita kopija le za oddaje z našim identifikatorjem testa	R1	Visoka
Domene pošiljatelja resničnih sporočil ne shranjevati in ne pisati v opozorila, če ni niti domena spletnega mesta niti domena znane storitve za pošiljanje; v opozorilu namesto tega »tuja domena pošiljatelja«	R1	Visoka
Opozorilo pri nastavitvi preverjanja dostave za domene, ki so videti povezane z zdravjem, pravom, socialnimi storitvami ali izobraževanjem, z napotilom na lastno oceno učinka Stranke	R1	Visoka
Dokaz o nadzoru redno obnavljati (predlog: pred vsakim aktivnim preverjanjem preveriti, ali zapis DNS, metaoznaka, datoteka ali povezava vtičnika še obstajajo; sicer nadaljevati pasivno in obvestiti Stranko)	R7	Visoka
Prenehati fotografirati domačo stran ali le z zatemnjenimi slikami in obrazi; slike obrazcev omejiti na element obrazca (kot danes) in vnosna polja zakriti kot pri poteh brskalnika	R3	Visoka
Obvestilo v vmesniku preverjanja potencialnih strank: nezaželeno pošiljanje kratke ugotovitve po e-pošti ali telefonu je neposredno trženje tudi med podjetji in zahteva predhodno privolitev (člen 398 poljskega zakona o elektronskih komunikacijah; v Nemčiji § 7(2) UWG, čeprav za klice podjetjem zadošča domnevna privolitev)	R6	Visoka
Infrastruktura: dokončati utrjevanje upravljanja strežnikov; šifrirana kopija varnostne kopije na drugi lokaciji; povezave v internem omrežju v celoti šifrirati; dodatno okrepiti ločitev med strežnikom za skeniranje in aplikacijo	R13	Visoka
Rok za nerazrešene zaznamke anomalij (predlog: razrešitev v 30 dneh, sicer izbris naslova IP)	R4	Srednja
Stran ali obrazec, prek katerega lahko kdo zahteva odstranitev domene iz zaščite roja	R11, R14	Srednja
Pred vklopom omrežij IP pri zaščiti roja: nova različica te ocene	R11	Pogoj
Zabeležiti, ali programska oprema jezikovnega modela shranjuje zahteve, in te dnevnike po potrebi izklopiti	R10	Nizka

9.4 Postopki in odločitve, ki jih je še treba določiti

Poleg tehničnih zaščitnih ukrepov člen 35(7)(d) zahteva tudi postopke. Ti so še odprti:

Kršitev varnosti osebnih podatkov. Odkrivanje: lastnik, opozorilo o napakah v aplikaciji, prijave prek točke za prijavo ranljivosti ali contact@lukaswojcik.com. Odločitev o uradnem obvestilu UODO v 72 urah (člen 33(1)): lastnik. Obveščanje prizadetih Strank kot upravljavcev: brez nepotrebnega odlašanja, po možnosti v 48 urah, kot je obljubljeno v Pogodbi o obdelavi podatkov. Še treba določiti: pisni opis postopka in prva vaja; za preverjanje dostave poleg tega, kako ugotoviti, katere Stranke so prizadete ob kršitvi pri ponudniku poštnega predala.
Panoge. Še treba določiti: ali se preverjanje dostave za spletna mesta s področij zdravja, prava, socialnih storitev in izobraževanja ponuja, ponuja z opozorilom ali izključi.
Interna preverjanja. Še treba določiti: za kaj ponudnik uporablja interna preverjanja iz ukazne vrstice, kdo jih sme ustvariti in kako dolgo ostanejo njihovi rezultati; ter ali jih je treba poleg Evidence dejavnosti obdelave navesti tudi v Politiki zasebnosti.
Študije. Še treba določiti: kdo sestavlja sezname, iz katerih virov, s kakšno največjo velikostjo, ter preverjanje pred vsako študijo, ali je skladna s predpostavkami te ocene.
Mnenja posameznikov, na katere se nanašajo osebni podatki (člen 35(9)). Za to različico niso bila pridobljena. Člen 35(9) zahteva njihovo pridobitev le »kadar je to ustrezno«; po naši oceni tukaj trenutno ni tako. Operaterji preverjenih spletnih mest in obiskovalci spletnih mest Strank nimajo lastnega kanala do nas; ciljno nagovarjanje bi bilo samo po sebi nova obdelava njihovih podatkov, storitev pa še ni bila zagnana, zato še ni skupine dejanskih posameznikov, na katere se nanašajo osebni podatki. Njihovi interesi so upoštevani posredno: prek robots.txt in opt-outa, prek kratkih rokov in s tem, da se vsebina kontrolnih kopij ne shranjuje. Ob vsakem pregledu po razdelku 12 znova presodimo, ali je pridobitev njihovih mnenj ustrezna, na primer prek povratnih informacij na strani o pajku ali od Strank, ki uporabljajo preverjanje dostave.

10. Preostalo tveganje in predhodno posvetovanje po členu 36

Člen 36(1) zahteva predhodno posvetovanje z nadzornim organom, kadar ocena učinka pokaže, da bi obdelava povzročila veliko tveganje, če upravljavec ne bi sprejel ukrepov za zmanjšanje tveganja. Vprašanje torej ni, ali so bila ugotovljena velika tveganja – bila so štiri –, temveč ali veliko tveganje ostane, ko so ukrepi vzpostavljeni.

Za dejanja obdelave, za katera je formexposed upravljavec (P1 do P4, P7), je veliki tveganji R4 in R13 mogoče odpraviti z običajnimi sredstvi: pot brisanja in čiščenje obstoječih podatkov, šifrirana varnostna kopija na drugi lokaciji in utrditev dveh strežnikov. Z ukrepi iz 9.3 se zmanjšata na nizko do srednje. R3, R5, R6 in R7 so na srednji ravni in se s predlaganimi ukrepi zmanjšajo na nizko. Zaščita roja brez omrežij IP ostane na nizki do srednji ravni. Predhodno posvetovanje za ta del ni potrebno, če so ukrepi, označeni s »prvo« in »visoka«, izvedeni pred zagonom. Če kateri od teh ukrepov pred zagonom ni izveden, za zadevno dejanje obdelave ostane veliko tveganje. To dejanje obdelave se bo takrat začelo šele, ko bo ukrep izveden, ali pa se bomo najprej posvetovali z UODO po členu 36(1).

Za preverjanje dostave (P6) je položaj drugačen, iz razloga, ki ga noben ukrep v celoti ne odpravi: kaj obiskovalec napiše, je odvisno od njega. S sklenjeno pogodbo, zavarovanim prevzemom, omejitvijo na testna sporočila, kjer je mogoče, in opustitvijo domene pošiljatelja se R2 zmanjša na nizko, R1 pa na srednjo raven. Pri Strankah, katerih obiskovalci običajno posredujejo podatke iz člena 9, lahko R1 kljub temu ostane visoko. Obveznost posvetovanja ima takrat Stranka kot upravljavec, ne formexposed. Takim Strankam priporočamo, da kontrolne kopije ne nastavijo za splošni kontaktni obrazec, temveč le za obrazce brez občutljive vsebine, ali da se preverjanju dostave odpovejo.

Preostalo tveganje, pošteno povedano. Danes so z ukrepi iz 9.1 štiri tveganja na visoki ravni: R1 in R2 (preverjanje dostave), R4 (podatki preverjanj brez poti brisanja) in R13 (infrastruktura). Z ukrepi iz 9.3 se R2, R4 in R13 zmanjšajo na nizko do srednjo raven. R1 ostane na srednji ravni in je trajno odvisno od odločitev Strank. Nobeno od drugih tveganj po ukrepih ni nad srednjo ravnjo.

Člen 36 ni kazen in posvetovanje ni priznanje. Je pot, ki jo uredba predvideva za položaj, v katerem koristen postopek nosi tveganje, ki ga upravljavec ne obvladuje v celoti. Stranka, ki želi preverjanje dostave uporabljati za sporočila s podatki o zdravju, bo tukaj našla dejstva za to odločitev.

11. Kaj Stranke potrebujejo za svojo oceno učinka (člen 28(3)(f))

Za preverjanje dostave in skeniranje za prijavo je Stranka upravljavec. Ta stran ji zagotavlja opis (razdelka 6.5 in 6.6), tveganja z našega vidika (R1, R2, R8) in stanje ukrepov (razdelek 9). Na naslednja vprašanja lahko odgovori le Stranka:

Kaj pišejo moji obiskovalci? Ali je pričakovati, da bodo prek obrazca prispeli podatki o zdravju, veri, poreklu, članstvu v sindikatu, spolni usmerjenosti, kaznivih dejanjih ali o otrocih? Takrat je ocena učinka za kontrolno kopijo praviloma potrebna, kontrolno kopijo za ta obrazec pa bi bilo treba ponovno premisliti.
Ali potrebujem kontrolno kopijo za vsa sporočila? Za dokaz, da naše testno sporočilo prispe, zadošča kopija tega sporočila. Kjer obrazec to omogoča, nastavite skrito kopijo le za testna sporočila.
Kako obvestim svoje obiskovalce? Pogodba o obdelavi podatkov to zahteva; Besedilo politike zasebnosti za Vaše spletno mesto opisuje pot kopije in našo vlogo.
Kakšno pravno podlago imam? Naš predlog besedila navaja člen 6(1)(f) (zanesljiv prejem povpraševanj). Za podatke iz člena 9 ta podlaga sama ne zadošča.
Katere kanale opozoril izberem? Opozorila iz preverjanja pristnosti lahko navedejo domeno pošiljatelja. Kdor opozorila pošilja v storitve klepeta zunaj EU, jo tja prenese.
Za skeniranje za prijavo: Ali je testni račun res testni račun z najmanj potrebnimi pravicami? Ali je stran za prijavo dosegljiva le prek https? Ali testni račun vidi podatke drugih uporabnikov? Če da: na kateri od določenih strani?
Kdaj izbrišem? Preverjanje dostave in testni račun je mogoče kadar koli izklopiti in izbrisati; testni račun se takrat trajno prepiše.

Nadaljnji dokumenti za oceno Stranke: Pogodba o obdelavi podatkov, tehnični in organizacijski ukrepi, seznam podobdelovalcev in Evidenca dejavnosti obdelave. Na vprašanja o posameznih dejstvih odgovarjamo na contact@lukaswojcik.com.

12. Pregled, različica in odobritev

Člen 35(11) zahteva pregled, s katerim se oceni, ali se obdelava izvaja v skladu z oceno učinka, vsaj kadar pride do spremembe tveganja. To oceno pregledamo vsaj enkrat letno in tudi pred vsakim od naslednjih dogodkov; vsak sproži novo meritev, ne le branja:

zagon produkcijskega delovanja, s številkami iz produkcijskega sistema namesto razvojnega;
prvi vklop preverjanja dostave na produkcijskem sistemu in sklenitev pogodbe s ponudnikom poštnega predala;
vklop omrežij IP pri zaščiti roja;
prva študija in vsaka študija z večjim seznamom od prejšnje;
vklop druge sonde ali nov prejemnik na poti preverjanja;
vsaka nova uporaba jezikovnega modela, ki presega razvrščanje obrazcev in »Fix it for me«;
vsaka sprememba posnetkov zaslona, rokov ali predpogojev za aktivna preverjanja.

Element	Vnos
Upravljavec	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poljska · NIP 7252266190 · contact@lukaswojcik.com
Pristojni nadzorni organ	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Poljska
Pooblaščena oseba za varstvo podatkov	Ni imenovana; ocena po členu 37 v razdelku 4
Podlaga dejstev	Izvorna koda aplikacije in storitve preverjanja, shema podatkovne zbirke, število vrstic in nastavitve razvojnega sistema, izmerjeno 11. oktobra 2026, samo za branje
Povezani dokumenti	Politika zasebnosti, Pogodba o obdelavi podatkov, Tehnični in organizacijski ukrepi, Podobdelovalci, Evidenca dejavnosti obdelave, Akt EU o umetni inteligenci, Sprejemljiva uporaba in zloraba, FormExposedBot, Opt-out
Različica	1.0 z dne 11. oktobra 2026, prva različica
Pregledi po členu 35(11)	Še nobenega (prva različica). Vsak pregled se vpiše sem z datumom, razlogom in rezultatom.
Odobritev	Še ni odobreno. Odobritev s strani lastnika po pravnem pregledu ter po odločitvi o ukrepih iz razdelka 9.3 in vprašanjih iz razdelka 9.4. Zunanji nasvet o varstvu podatkov doslej ni bil pridobljen.

Ena sklepna ugotovitev sodi v dokument in ne v spremno pismo. Deli formexposed, ki najgloblje posegajo v tuje domene – testne oddaje in prijava s tujimi dostopnimi podatki –, so izdelani z največ previdnosti: dve zapori, trde zgornje meje, šifriranje, ki zaklene celo nas. Tveganja v tej oceni so večinoma drugje: v tistem, kar pride zraven naključno – resnična sporočila v skriti kopiji, ljudje na posnetku zaslona, preverjanja, ki jih nihče več ne izbriše. To je ugodno izhodišče, ker je naključno mogoče ustaviti, ne da bi spremenili storitev.

Kako Vam lahko pomagamo?