Konsekvensbedömning avseende dataskydd (Art. 35 GDPR)

Det här dokumentet publiceras på flera språk. Vid avvikelser mellan språkversionerna är den polska versionen bindande.

Version 1.0 · Senast uppdaterad: 16 oktober 2026

1. Vad det handlar om och vad den här sidan är

Den här sidan är konsekvensbedömningen avseende dataskydd (DPIA) för formexposed enligt Art. 35 GDPR. Först besvaras den inledande frågan om huruvida en konsekvensbedömning över huvud taget krävs – för varje behandling för sig, inte för tjänsten som helhet. Där svaret är ja genomförs bedömningen enligt Art. 35(7)(a)–(d): en systematisk beskrivning, nödvändighet och proportionalitet, riskerna för de registrerade och åtgärderna för att hantera dem. Därefter följer den kvarstående risken, frågan om förhandssamråd enligt Art. 36 och reglerna för översyn.

Art. 35 kräver inte att en konsekvensbedömning publiceras. Vi publicerar den av två skäl. För det första behöver kunder som använder leveranskontrollen eller skanningen bakom inloggningen fakta som bara vi känner till för sin egen bedömning; dessa fakta är vi som personuppgiftsbiträde under alla omständigheter skyldiga att lämna (Art. 28(3)(f) GDPR). För det andra kontrollerar vår crawler webbplatser vars innehavare inte känner oss. De ska kunna läsa vilka risker vi ser för dem och för personerna på deras sidor, och vad vi gör åt dem.

Rättslig karaktär. Denna konsekvensbedömning är den personuppgiftsansvariges dokumentation enligt Art. 35 GDPR, som vi publicerar frivilligt. Den utgör inte del av något avtal och utgör inte någon utfästelse, garanti eller överenskommelse om kvalitet gentemot kunder eller tredje parter. Vilka tjänster och skyddsåtgärder vi är skyldiga kunder regleras av användarvillkoren, personuppgiftsbiträdesavtalet och dess bilagor; när det gäller dessa skyldigheter har de företräde framför denna sida. Sidan beskriver läget per dagen för denna version. Riskklassificeringar och bedömningar är vår egen uppfattning och föregriper inte någon rättslig bedömning från en tillsynsmyndighet eller en domstol; åtgärder som beskrivs som ”planerade” är avsikter utan bindande datum. För kunder är sidan ett underlag för deras egen bedömning, inte juridisk rådgivning.

Detta är den första versionen av tröskelbedömningen. Den prövar, behandling för behandling, om en konsekvensbedömning krävs, och redovisar resultatet i avsnitt 3.5.

Varje faktauppgift omfattas av samma princip som i våra övriga juridiska dokument: uppmätt, inte avsett. Det som är belagt i koden eller i databasen anges här med källhänvisning. Det som inte kunde beläggas markeras ”inte verifierat”. Det som bara är planerat kallas ”planerat”. Vi redovisar öppna punkter öppet, tillsammans med den planerade åtgärden; en konsekvensbedömning som bara räknar upp styrkor hjälper inte de personer den gäller.

Begrepp: en innehavare är den som driver en kontrollerad webbplats. En kund har ett konto hos formexposed. En besökare är den som använder en kunds webbplats, till exempel dess kontaktformulär. En källhänvisning avser en fil, funktion eller inställning i källkoden, uppmätt mot utvecklingssystemets läge den 11 oktober 2026.

Vi drar medvetet en gräns för öppenheten: öppna punkter i skyddet av våra egna servrar beskrivs endast i allmänna termer (R13). Vi anger risken och dess nivå, men inte vägen till en specifik sårbarhet; detaljerna lämnar vi till en tillsynsmyndighet på begäran.

2. Roller: vem bär skyldigheten, och för vad

Art. 35 lägger skyldigheten på den personuppgiftsansvarige. formexposed är personuppgiftsansvarig för vissa behandlingar, personuppgiftsbiträde åt sina kunder för andra, och ingetdera för de uppgifter som vårt WordPress-tillägg och vår TYPO3-extension lagrar på en kunds webbplats. Svaret på nästan varje fråga i detta dokument beror på vilken roll frågan gäller. Fördelningen följer integritetspolicyn och personuppgiftsbiträdesavtalet.

Behandling	Roll för formexposed	Vem bär skyldigheten enligt Art. 35
Kontroll av tredje parters webbplatser utan instruktioner från deras innehavare: gratis kontroll, kontroll av potentiella kunder för byråer, studie	Personuppgiftsansvarig	formexposed
Kontroll av domäner i kundkontot: övervakning, aktiva testinskickningar, webbläsarflöden, exponerade filer, formulärpuls	Personuppgiftsansvarig för kundens konto- och kontrolldata; personuppgiftsbiträde för tredje parters personuppgifter som syns på kundens verifierade webbplats; så länge en domän inte är verifierad, personuppgiftsansvarig som vid den gratis kontrollen	formexposed för sin egen del; kunden för tredje parters uppgifter på sin webbplats
Skanning bakom inloggningen med ett testkonto	Personuppgiftsbiträde: inloggningsuppgifterna och innehållet bakom inloggningen hör till kundens webbplats	Kunden; formexposed bistår
Leveranskontroll med kontrollkopia	Personuppgiftsbiträde	Kunden; formexposed bistår
Svärmskydd: gemensam lista över länkdomäner från blockerad skräppost	Personuppgiftsansvarig: vi sammanför rapporterna från många webbplatser, sammanställer listan och distribuerar den	formexposed
Kundkonton, inloggning, loggar, support, e-postutskick, betalningar, bevisregister	Personuppgiftsansvarig	formexposed
Kundportal och månadsrapport till en byrås prenumeranter	Personuppgiftsbiträde	Byrån
Uppgifter som tillägget och extensionen lagrar på kundens webbplats (karantän, skyddsnät, sparade förfrågningar)	Ingetdera: uppgifterna lämnar aldrig webbplatsen	Webbplatsens innehavare

Detta leder till en åtskillnad som vi uttryckligen anger, eftersom den ofta blir fel åt båda hållen. Där formexposed är personuppgiftsansvarig genomför vi bedömningen själva och står för resultatet. Där vi är personuppgiftsbiträde kan vi inte genomföra kundens bedömning i dess ställe, avgöra frågan om nödvändighet åt den eller samråda med tillsynsmyndigheten enligt Art. 36 för dess räkning. Vad vi kan och måste göra där är att förse den med allt den behöver: beskrivningen enligt led (a), de uppmätta fakta om riskerna enligt led (c) och en ärlig statuslista över åtgärderna enligt led (d). För leveranskontrollen och skanningen bakom inloggningen är den här sidan precis det.

En kund som oförändrat övertar avsnitten om leveranskontrollen som sin egen konsekvensbedömning har inte genomfört någon. Huruvida kontrollkopian är motiverad för dess formulär, huruvida särskilda kategorier av personuppgifter kan förväntas där och hur den informerar sina besökare är frågor som bara den kan avgöra. Avsnitt 11 sammanfattar vad som behöver klargöras för detta.

3. Tröskelbedömning: krävs en konsekvensbedömning?

3.1 Art. 35(1) och Art. 35(3)

Art. 35(1) kräver en konsekvensbedömning när en typ av behandling, särskilt med användning av ny teknik och med beaktande av behandlingens art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Art. 35(3) nämner tre fall där detta särskilt gäller. Inget av de tre passar formexposed, och det bör motiveras snarare än påstås:

• Led (a) – en systematisk och omfattande bedömning av personliga aspekter avseende fysiska personer som grundar sig på automatiserad behandling och på vilken beslut grundas som har rättsliga följder för personerna eller på liknande sätt i betydande grad påverkar dem. Vi bedömer formulär och webbplatser, inte personliga aspekter hos människor. Tjänsten fattar inget beslut med rättslig verkan för någon person. Det som ligger närmast är svärmskyddet: meddelanden som innehåller en länk till en listad domän hamnar i karantän på de anslutna webbplatserna. Det är en automatiserad följd för meddelandet, inte en omfattande bedömning av en person; vi behandlar det under kriteriet ”Utvärdering eller poängsättning” i avsnitt 3.3.
• Led (b) – behandling i stor omfattning av särskilda kategorier enligt Art. 9 eller av uppgifter som rör brott enligt Art. 10. Inte avsett och inte byggt. Sådana uppgifter kan ändå nå oss på en väg: i kontrollkopian av verkliga besökarmeddelanden i leveranskontrollen. Det beror på det enskilda fallet och är inte i stor omfattning i den mening som avses i denna bestämmelse; det beaktas dock i riskbedömningen (R1).
• Led (c) – systematisk övervakning av en allmänt tillgänglig plats i stor omfattning. Detta avser fysisk observation av platser, inte hämtning av offentliga webbsidor. Att åberopa denna bestämmelse som grund för en webbcrawler vore felaktigt.

Den korrekta vägen är därför Art. 35(1) i sig, tillämpad genom de nio kriterierna i artikel 29-arbetsgruppens riktlinjer om konsekvensbedömning avseende dataskydd (WP248 rev.01, godkända av Europeiska dataskyddsstyrelsen), och den polska tillsynsmyndighetens förteckning enligt Art. 35(4) (avsnitt 3.4).

3.2 De nio kriterierna i riktlinjerna WP248

Riktlinjerna anger nio kännetecken som tyder på en sannolik hög risk. Som tumregel kräver en behandling som uppfyller två av dem i de flesta fall en konsekvensbedömning. En personuppgiftsansvarig kan komma till en annan slutsats i ett enskilt fall, men måste då motivera och dokumentera det. Omvänt kan ett enda kriterium räcka. På den här sidan använder vi följande korta beteckningar:

1. C1 – Utvärdering eller poängsättning, inklusive profilering och förutsägelse, till exempel av arbetsprestation, ekonomisk situation, tillförlitlighet eller beteende.
2. C2 – Automatiserat beslutsfattande med rättslig eller liknande betydande verkan.
3. C3 – Systematisk övervakning, dvs. behandling som används för att observera, övervaka eller kontrollera registrerade, även via nätverk. Riktlinjerna motiverar uttryckligen detta kriterium med att registrerade ofta inte vet vem som samlar in deras uppgifter och i vilket syfte.
4. C4 – Känsliga uppgifter eller uppgifter av mycket personlig natur: särskilda kategorier enligt Art. 9 och 10, men även uppgifter vars röjande i betydande grad påverkar det dagliga livet, inklusive elektronisk kommunikation vars konfidentialitet bör skyddas.
5. C5 – Uppgifter som behandlas i stor omfattning, mätt i antal registrerade, mängd och bredd av uppgifter, varaktighet och geografisk utbredning.
6. C6 – Matchning eller kombination av datamängder som härrör från olika behandlingar eller från olika personuppgiftsansvariga, på ett sätt som registrerade inte skulle förvänta sig.
7. C7 – Uppgifter om sårbara registrerade, till exempel anställda, barn, patienter eller andra personer i en situation med obalans i maktförhållandet.
8. C8 – Innovativ användning eller tillämpning av nya tekniska eller organisatoriska lösningar; i tillsynspraxis behandlas användning av artificiell intelligens regelmässigt som omfattad av detta kriterium.
9. C9 – Behandling som hindrar registrerade från att utöva en rättighet eller använda en tjänst eller ett avtal.

Vi bedömer varje kriterium som ”uppfyllt”, ”gränsfall” eller ”inte uppfyllt” och motiverar bedömningen utifrån koden. Ett gränsfall räknas inte som uppfyllt i summan, men anges i resultatet; där flera gränsfall pekar i samma riktning tar vi med behandlingen i bedömningen.

3.3 Bedömning per behandling

P1 – Gratis kontroll utan konto (kontroll av valfri tredje parts webbplats på begäran)

Vem som helst kan ange en domän på startsidan. Crawlern hämtar då högst åtta offentliga sidor på webbplatsen, läser formulären, tar skärmbilder och skapar en rapport som alla som känner till dess slumpmässiga länk kan se. Webbplatsens innehavare får inte veta något om detta, såvida hen inte lägger märke till crawlerns identifierare i sina loggar.

• C1 – gränsfall. Rapporten bedömer ett formulärs skydd med en nivå (”Exponerat”, ”Delvis skyddat”, ”Skyddat”) och en poäng. För ett aktiebolag gäller detta inte en fysisk person. För enskilda näringsidkare och frilansare kan domänen hänföras till individen, och nivån säger då något om den omsorg som läggs ned i hens yrkesverksamhet. Det som bedöms är dock en teknisk konfiguration, inte en persons beteende eller egenskaper. Vi behandlar detta som ett gränsfall.
• C2 – inte uppfyllt. Inget beslutas i förhållande till innehavaren. I förhållande till den som begär kontrollen gäller gränser per IP-adress och session (cfg/check_lib.php); en avvisad kontroll har ingen betydande verkan.
• C3 – inte uppfyllt. Det är en enstaka hämtning på begäran, högst en gång per domän och vecka (cfg/check_lib.php, inställningen fc_domain_days = 7). Inga människor observeras. Den omständighet som riktlinjerna anför för att motivera C3 – de registrerade vet inget om behandlingen – föreligger dock. Den beaktas i riskbedömningen (R5).
• C4 – inte uppfyllt. Det som lagras är formulärstrukturen och fynden, inte inmatade värden (scanner/src/crawl.js lagrar för synliga fält endast längden på ett värde). Skannern läser början av förifyllda dolda fält (upp till 24 tecken) och dataattribut (upp till 60 tecken) endast under kontrollen, för att upptäcka token och tidsstämplar; de lagras inte. Skärmbilder kan tillfälligt visa personer och namn; en läkarmottagnings webbplats visar sin specialitet i bilden. Detta är offentliga yrkesuppgifter, inte hälsouppgifter om en viss person.
• C5 – gränsfall. Det dagliga taket är 200 godkända kontroller (fc_daily_cap), dvs. räknat upp till omkring 73 000 webbplatser om året. Endast ett fåtal personuppgifter uppstår per webbplats, och varaktigheten är kort (30 dagar). Uppmätt i utvecklingssystemet finns 2 anonyma kontroller i datamängden. Inte uppfyllt i dag; gränsfall med hänsyn till den dimensionerade kapaciteten.
• C6 – inte uppfyllt. Utöver hämtningen av sidorna frågar tjänsten efter domänens ålder via RDAP-tjänsten rdap.org (endast domännamnet överförs; endast registreringsdatumet lagras, cachat) och slår upp DNS. Detta är tekniska uppgifter om domänen, inte en kombination av datamängder om människor.
• C7 – inte uppfyllt.
• C8 – uppfyllt, i svag form. En automatiserad webbläsare kontrollerar sidorna, och en språkmodell på vår egen server klassificerar formulär som reglerna inte känner igen (scanner/src/classify.js). Modellen ser sidtiteln, adressen, fältetiketter och upp till 400 tecken formulärtext. Den kan aldrig göra ett formulär ”möjligt att skicka in”.
• C9 – inte uppfyllt.

Delresultat P1: ett kriterium i svag form (C8), två gränsfall (C1, C5). Ingen skyldighet enligt tumregeln. Eftersom båda gränsfallen pekar i samma riktning och de registrerade inte vet något om behandlingen tar vi med P1 i bedömningen.

P2 – Kontroll av potentiella kunder för byråer

En byrå med Business-planen och ett eget varumärke konfigurerat kan låta en potentiell kunds webbplats kontrolleras passivt. Den får ett kort fynd under sitt varumärke och en utförlig rapport, och vidarebefordrar länken själv (cfg/akquise_lib.php). Vi kontaktar ingen.

• C1 – gränsfall, starkare än för P1. Det korta fyndet är uttryckligen avsett som en ”dörröppnare för det första samtalet”. Bedömningen av webbplatsen blir därmed underlag för att kommersiellt kontakta en person.
• C5 – inte uppfyllt. Högst 30 kontroller per byrå och månad (prospect_monthly), raderade efter 90 dagar.
• C8 – uppfyllt, i svag form (samma teknik som P1).
• Övriga kriterier – inte uppfyllda. Fyndet presenteras med byråns varumärke, men kopplas inte till andra uppgifter om innehavaren.

Delresultat P2: ingen skyldighet enligt tumregeln; medtagen av samma skäl som P1 och eftersom ändamålet – kundanskaffning – medför en egen risk (R6).

P3 – Studien ”Form Security Index”

För en studie kontrolleras en lista över webbplatser passivt, strypt till högst fem öppna jobb per körning av statusprocessen, som körs var femte minut (cfg/studie_lib.php). Endast summor publiceras, och segment endast från 20 webbplatser med formulär (study_min_segment, cfg/studie_lib.php). Rådata raderas vid publiceringen (cfg/studie_lib.php).

• C5 – gränsfall, uppfyllt för stora listor. Listans storlek är inte begränsad i koden; strypningen tillåter räknat mer än tusen kontroller om dagen. En studie av en nationell marknad omfattar tusentals webbplatser, många av dem drivna av enskilda näringsidkare. Från en sådan storlek betraktar vi kriteriet som uppfyllt.
• C8 – uppfyllt, i svag form.
• C1 – inte uppfyllt. Även om den enskilda webbplatsen bedöms publiceras endast summan; bedömningen tjänar inte till att uttala sig om den enskilda innehavaren.
• Övriga kriterier – inte uppfyllda.

Delresultat P3: för studier av den dimensionerade storleken, två kriterier (C5, C8). Studien når därmed tröskeln; formexposed genomför bedömningen som personuppgiftsansvarig. Uppmätt i utvecklingssystemet har ingen studie skapats hittills.

P4 – Kontroll av domäner i kundkontot

Kunden låter domänerna i sitt konto kontrolleras regelbundet. När den har bevisat att den har rätt att kontrollera domänen tillkommer aktiva testinskickningar (högst fem per kontroll), sökningen efter exponerade filer och konfigurerade webbläsarflöden.

• C3 – inte uppfyllt. Kontrollen är schemalagd och återkommande, men den gäller kundens egen webbplats och utförs på dess begäran, inte för att observera människor.
• C4 – gränsfall, nej. Sökningen efter exponerade filer läser högst de första 8 KB från sökvägar som /backup.sql eller en felsökningslogg för att utifrån innehållet avgöra om filen verkligen är exponerad (cfg/dateien_lib.php). Ett sådant utdrag kan innehålla formulärinmatningar gjorda av besökare. Det kontrolleras endast i minnet och lagras aldrig; det som lagras är sökväg, typ och allvarlighetsgrad.
• C8 – uppfyllt, i svag form.
• Övriga kriterier – inte uppfyllda.

Delresultat P4: ingen skyldighet. Medtagen eftersom de aktiva testinskickningarna och filkontrollen beror på ett bevis som aldrig förnyas (R7).

P5 – Skanning bakom inloggningen

För en verifierad domän kan kunden lagra ett testkonto för sin webbplats. Skannern loggar in med det och läser formulären på upp till fem angivna sidor i medlemsområdet (cfg/login_lib.php, scanner/src/login.js).

• C4 – gränsfall. Inloggningsuppgifter är inte uppgifter av mycket personlig natur i den mening som avses i riktlinjerna, men missbruk av dem öppnar medlemsområdet. Beroende på webbplatsen kan konfidentiellt innehåll finnas bakom en inloggning, till exempel i en medlems- eller patientportal. Det beror på kunden, inte på oss.
• C8 – inte uppfyllt. Automatiserade inloggningar är vanliga i övervakningstjänster.
• Övriga kriterier – inte uppfyllda.

Delresultat P5: ingen skyldighet enligt tumregeln. För kunder vars medlemsområde visar konfidentiellt innehåll kan detta ändras; beslutet ligger då hos dem. Medtagen på grund av säkerhetsriskerna (R8).

P6 – Leveranskontroll med kontrollkopia

Kunden anger en kontrolladress hos formexposed som dold kopia i sitt formulärs e-postinställningar. Därmed går varje formulärmejl även till vår kontrollbrevlåda – vårt testmeddelande liksom varje verkligt meddelande från en besökare. En automatisk hämtning läser headers och de första 8 KB, tilldelar e-postmeddelandet, utvärderar SPF, DKIM och DMARC och raderar det (cfg/zustellung_lib.php).

• C4 – uppfyllt. Det besökare skriver i ett kontaktformulär är elektronisk kommunikation till ett företag med godtyckligt innehåll. På webbplatsen för en läkarmottagning, en advokatbyrå, en rådgivningstjänst eller en skola kan uppgifter enligt Art. 9 eller om barn förväntas. Riktlinjerna nämner uttryckligen konfidentiell elektronisk kommunikation under detta kriterium.
• C3 – gränsfall, snarast uppfyllt. Varje meddelande kopieras planmässigt och fortlöpande och utvärderas automatiskt, utan att avsändaren märker det. Syftet är att kontrollera e-postvägen, inte att observera människor. Den omständighet med vilken riktlinjerna motiverar kriteriet – registrerade vet inte vem som tar emot deras uppgifter – föreligger dock fullt ut så länge kunden inte informerar sina besökare.
• C7 – beroende på kunden. Patienter, advokatbyråers klienter, arbetssökande, föräldrar och elever befinner sig ofta i ett beroendeförhållande till mottagaren av sitt meddelande.
• C5 – gränsfall, nej. Inte i stor omfattning för den enskilda kunden. Hos formexposed sammanstrålar många kunders kopior i en brevlåda; det ökar tyngden av ett intrång, inte antalet per personuppgiftsansvarig.
• Övriga kriterier – inte uppfyllda. Tilldelningen till domän och test är inte en matchning av datamängder om människor; tekniken är inte ny.

Delresultat P6: C4 uppfyllt, C3 gränsfall och snarast uppfyllt, C7 uppfyllt för många typiska kunder. I den typiska konstellationen är därmed två eller fler kriterier uppfyllda. En konsekvensbedömning krävs – som en skyldighet för kunden, som är personuppgiftsansvarig. Avsnitt 6–11 ger kunden fakta för detta.

P7 – Svärmskydd

Anslutna WordPress-webbplatser rapporterar en gång om dagen domänerna för länkar från meddelanden som deras skyddslager har stoppat. En domän som förekommer på minst tre olika webbplatser med minst fem träffar inom sju dagar sätts upp på en gemensam lista; listan skickas tillbaka till alla anslutna webbplatser, som då placerar meddelanden med länkar till den domänen i karantän (cfg/swarm_lib.php).

• C6 – uppfyllt. Rapporter från många av varandra oberoende webbplatser, dvs. från olika personuppgiftsansvariga, sammanförs och returneras till dem alla som en gemensam lista.
• C1 – uppfyllt, i den mån en domän kan hänföras till en fysisk person. Listan är en klassificering som skräppostkälla. Riktlinjerna nämner kontroll mot en gemensam bedrägeridatabas som exempel på detta kriterium. De flesta domäner på en sådan lista tillhör företag eller är engångsdomäner; en privatpersons domän kan dock hamna där, med rätta eller genom avsiktligt planterade falska rapporter.
• C9 – gränsfall. Ett meddelande med en listad länk når inte mottagaren direkt, utan ligger i dennes karantän tills hen släpper det. Det går inte förlorat.
• C2 – inte uppfyllt. Karantänen är en automatiserad följd för ett meddelande, utan rättslig verkan och med mänskligt frisläppande av mottagaren.
• Övriga kriterier – inte uppfyllda. IP-nät är avstängda (swarm_ip_enabled = 0, cfg/swarm_lib.php).

Delresultat P7: två kriterier (C6, C1) och ett gränsfall (C9). Tröskeln nås; formexposed genomför bedömningen som personuppgiftsansvarig. Med IP-nät påslagna skulle C1 och C6 vara uppfyllda utan begränsning; att slå på dem kräver en ny version av denna bedömning (avsnitt 12). Uppmätt i utvecklingssystemet finns varken rapporter eller listposter.

P8 – Kundkonton, inloggning, loggar, support, e-post, betalningar

• C1 och C9 – inte uppfyllda. Iögonfallande beteende i den gratis kontrollen leder till en anteckning med IP-adressen (cfg/check_lib.php) och i förekommande fall till att ytterligare kontroller avvisas. Det är förebyggande av missbruk med liten verkan, inte en bedömning av personliga aspekter.
• Övriga kriterier – inte uppfyllda. Det rör sig om de vanliga uppgifterna för en tjänst riktad till företag.

Delresultat P8: ingen konsekvensbedömning krävs. Behandlingarna beskrivs i registret över behandlingar.

P9 – Tilläggets siffror, fältfel, inspelare, märke, kundportal, ”Fix it for me”

• Tillägget och extensionen överför dagliga siffror, tilläggsinventeringen och felkategorier, och WordPress-tillägget överför dessutom länkdomäner för svärmskyddet (påslaget som standard) (P7), inget innehåll, inga adresser, namn eller besökar-IP:n; inspelaren håller selektorer i högst 15 minuter i administratörens webbläsare. Inga kriterier uppfyllda.
• När märket laddas överförs de vanliga anslutningsuppgifterna till webbserverns logg, utan cookie. Inga kriterier uppfyllda.
• Kundportalen behandlar prenumeranters e-postadresser med dubbel opt-in för byråns räkning. Inga kriterier uppfyllda.
• ”Fix it for me” låter en språkmodell på vår egen server skriva om inklistrad formulärkod; koden lagras inte. C8 i svag form, inget annat.

Delresultat P9: ingen konsekvensbedömning krävs.

3.4 Den polska tillsynsmyndighetens förteckning enligt Art. 35(4)

Behörig myndighet är ordföranden för dataskyddsmyndigheten (Prezes Urzędu Ochrony Danych Osobowych, UODO). Ordföranden offentliggjorde förteckningen över de typer av behandlingar som kräver en konsekvensbedömning i meddelandet av den 17 juni 2019 (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, punkt 666). Förteckningen hänför sina poster till kriterierna i riktlinjerna WP248, ger exempel och är uttryckligen inte uttömmande; den ersätter inte bedömningen enligt Art. 35(1).

Enligt vår läsning motsvarar följande typer av behandling i förteckningen i sak behandlingar hos formexposed:

Typ av behandling enligt förteckningen (omskriven)	Tillhörande kriterium	Behandling hos formexposed	Bedömning
Jämförelse, utvärdering eller slutledning baserad på analys av uppgifter från olika källor	C6	P7 Svärmskydd	tillämplig
Utvärdering eller poängsättning, inklusive profilering	C1	P7 Svärmskydd; P1 och P2 som gränsfall	tillämplig på P7
Behandling av särskilda kategorier av personuppgifter	C4	P6 Leveranskontroll	tillämplig beroende på kunden
Innovativ användning eller tillämpning av tekniska lösningar	C8	P1 till P4 (språkmodell för klassificering)	tillämplig i svag form
Behandling i stor omfattning	C5	P3 Studie	tillämplig på stora listor
Systematisk övervakning av allmänt tillgängliga platser, även med igenkänning av kännetecken	C3	–	inte tillämplig: avser platser, inte webbplatser

Denna hänförning är en läsning, inte ett citat; postens ordalydelse ska kontrolleras mot den i den juridiska granskningen. Den bekräftar resultatet i avsnitt 3.3 men ändrar det inte. Såvitt vi vet har UODO inte offentliggjort någon förteckning enligt Art. 35(5) – behandlingar för vilka ingen konsekvensbedömning krävs.

3.5 Resultat av tröskelbedömningen

Behandling	Uppfyllt	Gränsfall	Resultat
P1 Gratis kontroll	C8 (svag)	C1, C5	inte obligatorisk; medtagen
P2 Kontroll av potentiella kunder	C8 (svag)	C1	inte obligatorisk; medtagen
P3 Studie	C8 (svag), C5 för stora listor	–	krävs (skyldighet för formexposed)
P4 Kontroll av kunders domäner	C8 (svag)	C4 (filkontroll)	inte obligatorisk; medtagen
P5 Skanning bakom inloggningen	–	C4	inte obligatorisk; medtagen; för kunden beroende på innehåll
P6 Leveranskontroll	C4; C7 beroende på kunden	C3 (snarast uppfyllt), C5	krävs (skyldighet för kunden; denna sida bistår enligt Art. 28(3)(f))
P7 Svärmskydd	C6, C1	C9	krävs (skyldighet för formexposed)
P8 Konton, loggar, support, betalningar	–	–	krävs inte
P9 Tilläggets siffror, märke, portal, ”Fix it for me”	C8 (svag, endast ”Fix it for me”)	–	krävs inte

Resultat avseende Art. 35(1): En konsekvensbedömning krävs för enskilda behandlingar hos formexposed. Den krävs för svärmskyddet och för studier av den dimensionerade storleken, och formexposed genomför den som personuppgiftsansvarig. För leveranskontrollen krävs den i den typiska konstellationen, men som en skyldighet för kunden; formexposed tillhandahåller underlaget. För övriga kontroller av tredje parters och egna webbplatser är den inte obligatorisk. Vi tar ändå med dem, eftersom de använder samma teknik, eftersom flera gränsfall pekar i samma riktning och eftersom de registrerade – innehavare utan konto och personer på kontrollerade sidor – inte vet något om behandlingen. Ingen bedömning krävs för konton, loggar, support och betalningar.

Avsnitt 6–10 gäller därför för P1 till P7. Där en uppgift gäller endast en av dessa behandlingar markeras det.

4. Dataskyddsombud: bedömningen enligt Art. 37

Inget dataskyddsombud har utsetts. Art. 37(1) binder personuppgiftsansvarig och personuppgiftsbiträde lika; frågan är därför vår egen. De tre lagstadgade fallen:

Art. 37(1)	Villkor	Resultat
led (a)	Myndighet eller offentligt organ	Inte tillämpligt; LW IT Solutions Company Lukas Wójcik är en privat enskild firma.
led (b)	Kärnverksamheten består av behandling som kräver regelbunden och systematisk övervakning av registrerade i stor omfattning	Kärnverksamheten är kontroll och övervakning av webbplatser och formulär, regelbundet och systematiskt. Inga människor övervakas dock: crawlern observerar inget beteende, och leveranskontrollen utvärderar e-postmeddelanden endast med avseende på leverans och äkthet. Inte uppfyllt.
led (c)	Kärnverksamheten består av behandling i stor omfattning av uppgifter enligt Art. 9 eller 10	Inte genom utformningen. Särskilda kategorier kan nå oss genom leveranskontrollens kontrollkopia; det är tillfälligt, inte en kärnverksamhet. Inte uppfyllt.

Enligt vår bedömning finns därför ingen skyldighet att utse ett dataskyddsombud. Huruvida polsk rätt därutöver kräver ett utnämnande enligt Art. 37(4) är en öppen fråga för den juridiska granskningen. Eftersom inget dataskyddsombud har utsetts är rådgivningen enligt Art. 35(2) inte tillämplig. Om den juridiska granskningen kommer fram till att det finns en skyldighet att utse ett ombud, inhämtas råd från det då utsedda dataskyddsombudet innan denna bedömning godkänns (avsnitt 12). Kontaktperson för frågor om denna bedömning är ägaren på contact@lukaswojcik.com.

5. Metod, källor och begränsningar i denna version

Fakta i detta dokument kommer från applikationens och skannerns källkod, från databasschemat samt från radantal och inställningar i utvecklingssystemet, uppmätta den 11 oktober 2026. Databasen och servrarna lästes endast. Där en mätning motsäger en avsikt – inklusive en uppgift i våra egna juridiska dokument – redovisar vi mätningen. Vi tillämpar inga godkända uppförandekoder enligt Art. 40, vars efterlevnad skulle behöva beaktas enligt Art. 35(8).

• Utvecklingssystemet mättes. Tjänsten har ännu inte lanserats. Siffrorna är därför små och delvis artefakter från testning: 112 kontroller, varav 110 utan kunddomän; 432 skärmbilder; 2 domäner, varav 1 verifierad; ingen leveranskontroll påslagen; inget testkonto lagrat för skanningen bakom inloggningen; ingen studie; inga rapporter i svärmskyddet. Mätningarna ska upprepas före lanseringen och därefter med jämna mellanrum.
• Inte uppmätt i denna version och ska kompletteras före godkännandet är: produktionssystemets konfiguration, inklusive huruvida och hur kontrollbrevlådan är konfigurerad och huruvida nyckelparet för skanningen bakom inloggningen är konfigurerat där; huruvida språkmodellens programvara loggar förfrågningar; läget för serveradministrationen (R13); avtalet med e-postleverantören.
• Det kunde inte mätas hur många verkliga besökarmeddelanden som kommer att passera genom kontrollkopian och från vilka branscher kunderna kommer att komma. Båda avgör tyngden av R1 och R2 och ska fastställas efter lanseringen.
• Källhänvisningarna pekar på filer och funktioner i utvecklingssystemets källkod. Det avgörande är den beskrivna funktionen, inte dess placering i filen.

Detta dokument är ett utkast. Det har ännu inte godkänts av den personuppgiftsansvarige (avsnitt 12), och två av dess slutsatser – bedömningen av omfattningen för P1 och P3 och tyngden av leveranskontrollen – beror på siffror som finns först efter lanseringen.

6. (a) Systematisk beskrivning av behandlingarna och ändamålen

6.1 Hur kontrollsystemet är uppbyggt

formexposed körs på egna servrar i Polen, utan extern webbhotelleverantör: en webbserver med applikationen och databasen, och en skanningsserver med kontrolltjänsten och en lokal språkmodell, båda i samma interna nätverk. En kontroll går till så här:

1. Applikationen skapar ett jobb i databasen – med förbehåll för de gränser och spärrar som anges i avsnitt 6.3.
2. Kontrolltjänsten på skanningsservern hämtar jobbet, kontrollerar spärrlistan, värdnamnen och, för anonyma kontroller, domänens ålder en andra gång, och startar en isolerad container för just detta jobb: eget nätverk med egna filterregler, inga särskilda behörigheter, skrivskyddat filsystem, minnes- och processgränser samt en tidsgräns (scanner/src/worker.js).
3. I containern hämtar en automatiserad webbläsare högst åtta offentliga sidor, först startsidan, därefter helst kontakt-, företagsinformations- och supportsidor. Dessförinnan läser den robots.txt; ett undantag för FormExposedBot eller för alla crawlers som omfattar startsidan avslutar kontrollen, liksom en robots.txt som inte går att nå eller ett serverfel vid hämtningen (scanner/src/net.js). Förbud för enskilda undersökvägar beaktas inte separat. Formulärpuls, hämtning av bevis, header-verktyget och sökningen efter exponerade filer läser inte robots.txt. Utöver de åtta sidorna tillkommer upp till tre sidor med ett klick på ”Avvisa” i cookiebannern, upp till tre sidor i mobilvy, aktiva sonderingar för verifierade domäner och upp till fem sidor bakom en inloggning; sidorna laddas en efter en, inte parallellt. Varje förfrågan från webbläsaren – inklusive omdirigeringar och inbäddat innehåll – passerar ett filter som avvisar privata nätverk och andra portar.
4. Containern skriver ett resultat och skärmbilderna till en tillfällig katalog. Kontrolltjänsten lämnar resultatet och bilderna till applikationen via det interna nätverket och raderar den tillfälliga katalogen, även efter ett fel (scanner/src/worker.js).
5. Applikationen behandlar resultatet, jämför det för kunddomäner med föregående kontroll och rapporterar förändringar till de mål som kunden har konfigurerat.

6.2 Vad crawlern lagrar – och vad den inte lagrar

Objekt	Vad som lagras	Vad som inte lagras	Källhänvisning
Sidor	Adress, HTTP-status, headers, Content Security Policy, begärda tredjepartsvärdar (högst 120)	Sidinnehåll som text eller HTML	scanner/src/crawl.js
Formulärfält	Typ, namn, etikett, platshållare, obligatoriskt fält, synlighet, längd på ett befintligt värde	Fältvärden; för dolda fält läses de första 24 tecknen av värdet endast under kontrollen (för att upptäcka token)	scanner/src/crawl.js
Mottagaradresser i formuläret	endast domänen	adressen	scanner/src/crawl.js
Skript	Inventering med kontrollsumma; adresser och inledande text utan kontoidentifierare för reklam- och analystjänster	Konto- och pixelidentifierare	scanner/src/crawl.js
Medläsare	vilka reklampixlar och inspelningsverktyg som laddas före och efter att ”Avvisa” klickas i cookiebannern, och om de maskerar inmatningar	Identifierare för kontona hos dessa tjänster	scanner/src/mitleser.js, scanner/src/einwilligung.js
Formulärtext	upp till 400 tecken går till den lokala språkmodellen om reglerna inte känner igen typen	Utlämnande till tredje parter; lagring av texten	scanner/src/classify.js
Skärmbilder (crawler)	synligt område av den första sidan; för varje synligt formulär en bild av formulärelementet	–	scanner/src/crawl.js
Skärmbilder (aktiv kontroll)	Bild av svarssidan på testinskickningen; dessutom status, måladress, titel och de första 300 tecknen av dess text	–	scanner/src/active.js
Skärmbilder (webbläsarflöden)	Bild av formuläret med svärtade inmatningsfält, komprimerad, högst 32 KB	Inmatningar	scanner/src/browser.js
Bakom inloggningen	som för formulärfält ovan	Skärmbilder, cookies, länkar	scanner/src/login.js

Personuppgifter ingår inte i dessa objekt genom utformningen, men förekommer tillfälligt: namnet på en kontaktperson bredvid formuläret, ett teamfoto på startsidan, ett telefonnummer i en etikett, en privatpersons e-postdomän, ett namn i en platshållare. Bakom inloggningen tillkommer uppgifter om testkontot och, beroende på webbplats, om andra användare.

6.3 Vem som utlöser en kontroll, och vad som då gäller

Utlösare	Förtroendenivå i jobbet	Testinskickningar	Resultatet åtkomligt via	Radering
Någon anger en domän på startsidan (gratis kontroll)	anonym	nej	Rapport under en slumpmässig länk	30 dagar, inklusive bilder (cfg/check_lib.php)
Tillägg eller extension utan konto	tillägg	nej	Rapport under en slumpmässig länk	30 dagar
Byrå för en potentiell kund	registrerad	nej	Kort fynd och rapport under en slumpmässig länk	90 dagar (cfg/akquise_lib.php)
Kund, domän utan bevis	registrerad	nej	Konto; rapport under en slumpmässig länk	13 månader, den senaste kontrollen behålls
Kund, domän med bevis	verifierad	ja, högst fem per kontroll	Konto; rapport under en slumpmässig länk	13 månader, den senaste kontrollen behålls (cfg/fristen_lib.php)
Studie	intern	nej	endast summor efter publicering	vid publicering; utan publicering ingen tidsgräns (R4)
Intern kontroll från kommandoraden av leverantören	intern; för våra egna test- och demodomäner även ”verifierad”	nej; med nivån ”verifierad” ja (endast våra egna test- och demodomäner)	endast internt	ingen tidsgräns (R4)

Flera lager ligger framför den gratis kontrollen (cfg/check_lib.php): ett nödstopp; reCAPTCHA; samma domän högst en gång på sju dagar (därefter visas den befintliga rapporten); gränser per IP-adress, per session (som hashvärde, aldrig själva sessionsidentifieraren) och för hela tjänsten per dag; spärrlistan från opt-out och robots.txt; kontrollen att domänen pekar på offentliga adresser; och en spärr för mycket nya eller okända domäner. Avvikelser – många olika domäner från en IP-adress, många förfrågningar på kort tid – noteras med IP-adressen och utlöser en signal utan innehåll (cfg/check_lib.php).

6.4 Kontroll av domäner i kundkontot

Kunden bevisar att den har rätt att kontrollera en domän: genom DNS-post, metatagg, fil eller via vårt tillägg (cfg/verify_lib.php). Först då behandlas domänen som verifierad. Övervakningens schemaläggare planerar regelbundna kontroller endast för aktiva, övervakade och verifierade domäner (cfg/monitor_lib.php).

• Aktiva testinskickningar är knutna till två spärrar: applikationen sätter det aktiva läget för kunder endast för verifierade domäner (för våra egna test- och demodomäner kan leverantören skapa en kontroll med nivån ”verifierad” via ett internt kommandoradsverktyg), och kontrolltjänsten kontrollerar förtroendenivån och nödstoppet fc_active_enabled på nytt (scanner/src/worker.js). Endast ett formulär kan skickas in som reglerna med hög säkerhet känner igen som ett allmänt kontaktformulär, som inte har några obligatoriska fält för verkliga personuppgifter och vars domän inte ser ut som en myndighet, utbildningsinstitution, klinik, läkarmottagning, polis eller domstol (scanner/src/classify.js). Språkmodellen kan inte göra ett formulär möjligt att skicka in (scanner/src/classify.js). Högst fem inskickningar går ut per kontroll (fc_active_max_posts), tydligt märkta, med avsändaren dummy@formexposed.com, en adress under .invalid för att testa e-postvalideringen och en harmlös extra headerrad för att upptäcka headerinjektion (scanner/src/active.js).
• Webbläsarflöden kontrollerar konfigurerade formulärflöden i en webbläsare fram till precis före inskickningen. Endast GET- och HEAD-förfrågningar är tillåtna; allt annat avbryts, liksom adresser som innehåller ord för utloggning, radering, köp eller betalning (scanner/src/browser.js). För kontrollen fylls obligatoriska fält med påhittade värden som aldrig lämnar webbläsaren.
• Exponerade filer söks varje vecka, endast för verifierade domäner, med högst en hämtning per sökväg, högst 8 KB, och innehållet lagras aldrig (cfg/dateien_lib.php).
• En oberoende andra sond har förberetts och är avstängd som standard (browser_probe_enabled = 0). Om den slås på skulle den endast få domän, adress, selektor, steg och val av webbläsare, aldrig inloggningsuppgifter, skärmbilder eller besökaruppgifter (cfg/formular_probe_lib.php).

6.5 Skanning bakom inloggningen

Förutsättningar: funktionen är konfigurerad, domänen är verifierad och kunden har en betald plan och är ägare eller administratör av arbetsytan (cfg/login_lib.php); kunden bekräftar att kontot är ett testkonto med så få rättigheter som möjligt (cfg/login_lib.php).

1. Användarnamnet och lösenordet krypteras omedelbart på webbservern med skanningsserverns publika nyckel: en engångsnyckel per post (X25519), nyckelhärledning (HKDF-SHA256), AES-256-GCM, bunden till domänen (cfg/login_lib.php). Endast kontrolltjänsten på skanningsservern har den privata nyckeln (scanner/src/geheim.js). Den som har webbservern, databasen eller en säkerhetskopia har endast chiffertext.
2. Gränssnittet visar endast det första tecknet och längden på användarnamnet (cfg/login_lib.php). Inloggningsuppgifter visas aldrig, loggas aldrig och lämnas aldrig ut via API:t.
3. För en kontroll bifogar applikationen chiffertexten till jobbet. Kontrolltjänsten dekrypterar den, rensar omedelbart fältet i jobbet och lämnar inloggningsuppgifterna till containern endast via standardinmatningen, aldrig som kommandoradsargument (scanner/src/worker.js). Rester i avbrutna jobb rensas av statusprocessen efter en timme (cfg/login_lib.php).
4. I containern loggar webbläsaren in. Den avbryter om inloggningssidan omdirigerar till en annan värd, om inloggningsformuläret har en CAPTCHA (vi kringgår inte CAPTCHA) eller om ett lösenordsfält fortfarande syns efter inskickningen (scanner/src/login.js). Därefter rensar den lösenordsfältet i sidans minne och glömmer inloggningsuppgifterna (scanner/src/login.js).
5. Den läser högst fem sidor på samma domän som kunden har angett. Adresser som innehåller ord för utloggning, radering, borttagning eller uppsägning är spärrade (scanner/src/login.js). Inget skickas in bakom inloggningen, inga skärmbilder tas, och cookies och länkar hamnar inte i resultatet (scanner/src/login.js).
6. Raderingen är slutgiltig: chiffertexten skrivs över med slumpdata av samma längd, raden raderas och väntande jobb rensas (cfg/login_lib.php). När domänen raderas försvinner raden automatiskt via en främmande nyckel.

6.6 Leveranskontroll

Leveranskontrollen besvarar frågan om ett e-postmeddelande från kontaktformuläret verkligen kommer fram, och utvärderar dess äkthetskännetecken. Den är valfri, avstängd som standard och kräver att en kontrollbrevlåda är konfigurerad (cfg/zustellung_lib.php).

1. Om kunden slår på den får domänen en slumpmässig tagg. Kunden anger kontrolladressen med denna tagg som dold kopia i sitt formulär.
2. Från och med då går varje formulärmejl även till kontrollbrevlådan: våra märkta testinskickningar och alla verkliga meddelanden från besökare. E-postmeddelandena går direkt till brevlådan hos Namecheap, Inc. (Private Email), Phoenix, Arizona, USA – de kommer bara fram om MX-posterna för vår domän pekar dit; via vidarebefordran, till exempel hos domänregistratorn Namecheap, Inc., når de inte brevlådan – och ligger kvar där tills de hämtas.
3. Statusprocessen hämtar från brevlådan var femte minut (srv/cron_status.php). För varje e-postmeddelande läser den headers och högst de första 8 KB av texten, utan att markera dem som lästa (cfg/zustellung_lib.php).
4. Utifrån headers fastställer den taggen och därmed domänen, och utifrån texten i förekommande fall identifieraren för vårt test (cfg/zustellung_lib.php). Det som lagras är tidpunkten, domänen och i förekommande fall testidentifieraren (cfg/zustellung_lib.php), i 180 dagar (cfg/zustellung_lib.php).
5. Utifrån headers utvärderar den SPF, DKIM och DMARC och lagrar resultatet för domänen: kontrollresultaten, domänen för avsändaradressen, signaturernas domäner och adressen till den sändande e-postservern (cfg/zustellung_lib.php). Om resultatet försämras skickas ett larm, som kan nämna avsändardomänen, till kunden en gång (cfg/zustellung_lib.php).
6. Därefter markerar den varje hämtat e-postmeddelande för radering, även ett som inte kunde tilldelas någon domän, och tar bort det från brevlådan i slutet av körningen (cfg/zustellung_lib.php). Om körningen avbryts dessförinnan ligger e-postmeddelandena kvar till nästa lyckade körning.
7. Endast kopian av just det aktuella testet räknas som bevis på leverans (cfg/zustellung_lib.php). Om den inte kommer fram inom tre timmar (delivery_wait_h) rapporterar tjänsten ”Leverans saknas”.

Texten i verkliga meddelanden skrivs aldrig till databasen, och inte heller besökarens adress. Båda läses dock: hämtningen laddar de första 8 KB av varje e-postmeddelande i minnet för att söka efter testidentifieraren.

6.7 Svärmskydd

1. WordPress-tilläggets skyddslager stoppar ett meddelande som skräppost och räknar domänerna för länkarna i det. En gång om dagen rapporterar tillägget dessa domäner med antal träffar till oss, högst 60 per dag; inga adresser, ingen text, inga IP-adresser (cfg/swarm_lib.php).
2. En gång om dagen sammanställer vi listan utifrån detta: en domän sätts upp på den om den inom sju dagar har rapporterats av minst tre olika webbplatser och med minst fem träffar (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). Stora tjänster från en fast undantagslista och våra kunders domäner, i båda fallen inklusive underdomäner, hamnar aldrig på listan (cfg/swarm_lib.php).
3. Listan går till alla anslutna webbplatser med svaret på den dagliga rapporten. Deras skyddslager placerar meddelanden med länkar till listade domäner i karantän, inte i papperskorgen.
4. Det som inte längre förekommer i den nya listan faller bort; rapporter raderas efter 30 dagar (cfg/swarm_lib.php).
5. IP-nät (/24 eller /48) har förberetts men är avstängda tills den juridiska granskningen är slutförd (cfg/swarm_lib.php).

6.8 Användning av artificiell intelligens

En språkmodell körs på vår egen skanningsserver, inte hos en AI-leverantör. Den används på två ställen: i kontrolltjänsten klassificerar den formulär vars typ reglerna inte känner igen; därvid ser den sidtitel, sidadress, etiketter på skicka-knapparna, fälttyper, namn, etiketter och platshållare samt upp till 400 tecken formulärtext (scanner/src/classify.js). Den tillfrågas endast om reglerna ger ”okänd”; formulär som klassificerats på detta sätt skickas aldrig in och räknas inte in i poäng och omdöme. Poäng, omdöme, förebyggande av missbruk, svärmskydd och skräppostregler är fasta regler, inte AI. I ”Fix it for me” skriver den om inklistrad formulärkod; koden lagras inte. Modellen fattar inga beslut om människor. Mer om detta på sidan EU:s AI-förordning: så använder formexposed AI.

6.9 Rättsliga grunder

Behandling	Rättslig grund
P1 Gratis kontroll: kontroll av den begärda domänen; gränser och förebyggande av missbruk	i förhållande till den som begär kontrollen Art. 6(1)(b); i förhållande till innehavaren och avbildade personer Art. 6(1)(f); förebyggande av missbruk Art. 6(1)(f)
P2 Kontroll av potentiella kunder	Art. 6(1)(f) (berättigat intresse hos byrån och hos formexposed)
P3 Studie	Art. 6(1)(f)
P4 Kontroll av kunders domäner	Art. 6(1)(b) i förhållande till kunden; för tredje parters uppgifter på dess webbplats kundens instruktioner enligt Art. 28
P5 Skanning bakom inloggningen	Kundens instruktioner enligt Art. 28; kundens rättsliga grund
P6 Leveranskontroll	Kundens instruktioner enligt Art. 28; kundens rättsliga grund (i vårt textförslag för kunder Art. 6(1)(f))
P7 Svärmskydd	Art. 6(1)(f) (gemensamt försvar mot skräppost över många webbplatser)

Vårt berättigade intresse i P1 till P3 ligger i att visa innehavare och deras tjänsteleverantörer svagheter i deras formulär innan de utnyttjas för skräppost eller missbruk, och i att tillhandahålla tjänsten. Uppgifterna kommer från allmänt tillgängliga källor. Intresseavvägningen redovisas i avsnitt 7; huruvida Art. 6(1)(f) stöder kontroll av tredje parters webbplatser på begäran är en öppen fråga för den juridiska granskningen.

6.10 Mottagare och överföringar till tredjeländer

Mottagare	Vad	Behandling	Status
Ingen utanför formexposed	Kontrollresultat, skärmbilder, klassificering av språkmodellen	P1–P5	Kontrolltjänsten och språkmodellen körs på våra egna servrar; i crawlerns kontrollväg hittades inget anrop till en tredje part utöver till den kontrollerade webbplatsen själv, till de tjänster vars innehåll den bäddar in (som för varje besökare) och till RDAP-tjänsten rdap.org för domänåldern (endast domännamnet); övervakningens bevakningar anges på nästa rad
Alla som känner till länken	Rapport med fynd och skärmbilder	P1, P2, P4	slumpmässig länk med 128 bitar (cfg/check_lib.php), sidor med noindex (www/report.php)
Tjänster som tillfrågas av övervakningen av en kunddomän	DNS-spärrlistor (SpamCop, PSBL, Mailspike, SURBL): domäner och IP-adresser till servrar, inga besökaruppgifter; Google Web Risk endast om det är konfigurerat: startsidans adress; tidsstämplingsmyndigheterna Certum och DigiCert: endast ett hashvärde av bevisloggen; RDAP via IANA-registret: endast domännamnet; leverantörers statussidor: inget överförs; wpvulnerability.net: identifierare för ett tillägg (utan version) eller tema och WordPress-versionen	P4	i bruk; detaljer i registret över behandlingar och på sidan Underbiträden
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Kontrollkopior inklusive verkliga besökarmeddelanden	P6	Avtal ännu inte ingått; behandlingsplats och överföringsmekanism återstår att granska
Namecheap, Inc. (USA)	Registrator och DNS; tills brevlådan är konfigurerad vidarebefordran av allmän e-post till adresser på vår domän, inte av kontrollkopiorna (dessa når brevlådan endast via MX-poster som pekar direkt på den)	– (inga kontrollkopior)	Överföringsmekanism ska granskas
Larmkanaler som kunden valt (e-post, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	Händelse, domän, länk; för äkthetskontrollen avsändardomänen om den inte tillhör webbplatsen	P4, P6	mål valt av kunden; delvis utanför EU. Telegram-meddelanden skickar vi via vår bot; överföringsmekanismen för detta är en öppen fråga för den juridiska granskningen
Alla anslutna webbplatser	Lista över länkdomäner	P7	via svaret till tillägget
Andra sond	Domän, formuläradress, selektor, steg	P4	avstängd

6.11 Lagring, uppmätt, inte avsedd

Radering sker huvudsakligen nattetid kl. 03:00 i statusprocessen (srv/cron_status.php, cfg/fristen_lib.php); svärmskyddets rapporter och rader för potentiella kunder raderas dagligen från kl. 04:00, tilldelningar i leveranskontrollen vid varje hämtning; anonyma rapporter och rapporter om potentiella kunder raderas via sitt utgångsdatum (cfg/check_lib.php). Skärmbilder raderas från disken tillsammans med sin skanning (cfg/fristen_lib.php).

Uppgifter	Tid enligt koden	Källhänvisning	Fynd
Gratis kontroll inklusive bilder	30 dagar	cfg/check_lib.php	verksam
Kontroll av potentiella kunder inklusive bilder	90 dagar	cfg/akquise_lib.php; srv/cron_status.php (rader för potentiella kunder)	verksam
Kontroller av en kunddomän	13 månader; den senaste behålls så länge domänen finns	cfg/fristen_lib.php	verksam
Resultat av webbläsarflöden inklusive svärtade bilder	13 månader	cfg/fristen_lib.php	verksam
Uppgifter för en raderad domän	omedelbart; kvarlevor nattetid	cfg/fristen_lib.php (fe_domain_loeschen(), fe_fristen_lauf())	verksam, inklusive skriptinventeringen och skriptändringarna, som utöver detta inte har någon egen lagringstid (se registret över behandlingar)
Studie: rådata inklusive bilder	vid publicering	cfg/studie_lib.php	utan publicering ingen tidsgräns; listan över kontrollerade värdar finns kvar utan tidsgräns även efter publicering
Interna kontroller utan domän och utan rapport	ingen	–	ingen radering; uppmätt: 85 kontroller med 369 bilder sedan den 22 september 2026 (R4)
Tilldelningar i leveranskontrollen	180 dagar	cfg/zustellung_lib.php	verksam
Resultat av äkthetskontrollen för domänen	till nästa resultat eller till radering av domänen	cfg/zustellung_lib.php	skrivs över, inte tidsbegränsat
Kontrollkopior i brevlådan	till nästa lyckade hämtning (femminutersintervall)	cfg/zustellung_lib.php	kopior och säkerhetskopior hos brevlådeleverantören inte verifierade
Inloggningsuppgifter för skanningen bakom inloggningen	tills kunden raderar dem eller domänen raderas; i jobbet högst till körningens slut, rester efter en timme	cfg/login_lib.php	verksam; i säkerhetskopior endast som chiffertext i upp till 14 dagar
Rapporter i svärmskyddet	30 dagar	cfg/swarm_lib.php	verksam
Gränser för den gratis kontrollen (IP, land, sessionshash)	7 dagar	srv/cron_status.php	verksam
Anteckningar om iögonfallande beteende med IP-adress	90 dagar efter lösning	srv/cron_status.php	olösta anteckningar utan tidsgräns; uppmätt: 3 anteckningar, alla lösta
IP-adress, land, webbläsare i samband med en opt-out	12 månader; undantaget finns kvar	cfg/fristen_lib.php	verksam
Säkerhetskopior av databasen	14 dagar	cfg/backup_lib.php	verksam; säkerhetskopiorna lagras för närvarande på samma plats som databasen och är inte separat krypterade; en krypterad kopia på en andra plats är planerad (R13)

7. (b) Bedömning av nödvändighet och proportionalitet

Måttstocken är de angivna ändamålen: att visa innehavare om deras formulär är skyddade mot skräppost och missbruk (P1 till P5), att kontrollera om formulärmejl kommer fram och framstår som äkta (P6) och att gemensamt försvara sig mot skräppost över många webbplatser (P7). Dessa ändamål är legitima. Frågan enligt Art. 35(7)(b) är snävare: är denna behandling nödvändig i detta djup för ändamålet, och står ingreppet i proportion till nyttan?

Beståndsdel	Nödvändig för ändamålet?	Proportionerlig i den form den byggts?
Hämtning av några offentliga sidor, formulärens struktur, upptäckta skyddsåtgärder	Ja. Utan dem finns inget fynd.	Ja. Högst åtta sidor (plus vyerna från avsnitt 6.1), ett förbud för startsidan i robots.txt respekteras, inga värden i synliga fält, mottagaradresser endast som domän.
Skärmbild per formulär	Ja, som bevis i rapporten: innehavaren kan se vilket formulär som avses.	I stort sett. Fälten är tomma eftersom crawlern inte skriver in något. Bilden visar dock formulärelementets omgivning utan att något svärtas (R3).
Skärmbild av startsidan	Inte nödvändig för själva fyndet. Den tjänar till att känna igen den kontrollerade webbplatsen i rapporten.	Endast i begränsad utsträckning; ytterligare minimering planerad. Startsidor visar ofta människor: teamfoton, kontaktpersoner, kundomdömen med namn. Se R3 och avsnitt 9.3.
Läsning av värden i dolda fält (de första 24 tecknen, endast under kontrollen)	Ja: token och tidsstämplar upptäcks utifrån dem.	Ja. Endast igenkänningsresultatet lagras, inte värdet, även bakom inloggningen (R8).
Svarssida på testinskickningen (bild och 300 tecken text)	Ja, som bevis på hur formuläret svarade.	Ja. Svaret gäller vårt märkta testmeddelande utan personuppgifter.
Klassificering av språkmodellen	Användbar, inte nödvändig: utan den förblir fler formulär ”okända”.	Ja. Lokal, utan utlämnande, utan rätt att skicka in.
Aktiva testinskickningar	Ja. Om ett skydd fungerar visar sig först när det testas.	Ja, med tak och märkning. Förutsättningen – bevis på kontroll – förnyas dock aldrig (R7).
Sökning efter exponerade filer	Ja för kunden, vars formulärdata kan vara exponerade där.	Ja. Endast verifierade domäner, högst 8 KB, innehållet lagras aldrig.
Skanning bakom inloggningen	Ja för formulär i medlemsområdet som annars skulle förbli okontrollerade.	I stort sett. Kryptering och radering är omsorgsfullt byggda; inloggningen accepterar dock okrypterade anslutningar och felaktiga certifikat (R8).
Kontrollkopia av verkliga besökarmeddelanden	Inte för beviset på leverans. Det bygger endast på kopian av vårt test (cfg/zustellung_lib.php). Verkliga meddelanden följer med eftersom en dold kopia i formuläret inte skiljer mellan ett test och ett verkligt meddelande. De är användbara för äkthetskontrollen (SPF, DKIM, DMARC) eftersom de visar den faktiska sändningsvägen.	Delvis. Innehållet lagras inte men läses, och det ligger kvar hos brevlådeleverantören, vars avtal fortfarande är öppet, fram till hämtningen (R1, R2). En mindre ingripande utformning är tekniskt möjlig: med vårt tillägg skulle den dolda kopian kunna begränsas till märkta testmeddelanden (avsnitt 9.3).
Lagring av avsändardomänen för verkliga meddelanden	Delvis: den visar om formuläret skickar med besökarens adress som avsändare (en vanlig orsak till att klassas som skräppost).	Villkorligt. För en privatperson med egen domän är domänen en personuppgift, och den går med i larmet till kunden och dess kanaler (R1).
Gemensam lista över länkdomäner	Ja. En skräppostlänk som förekommer på många webbplatser samtidigt är en stark signal som en enskild webbplats inte har.	Ja, med minimiantal, undantag och karantän i stället för radering. IP-nät skulle inte vara proportionerliga utan en ny bedömning.
Studiens rådata	Fram till utvärderingen, ja.	Utan maximal tid, nej (R4).
Rapport under en slumpmässig länk	Ja. Att vidarebefordra rapporten – till exempel till den tjänsteleverantör som sköter webbplatsen – är ändamålet med den gratis kontrollen.	Ja. Slumpmässig länk med 128 bitar, noindex, gratisrapport endast som utdrag (cfg/check_lib.php, FE_FREE_DETEKTOREN), radering efter 30 dagar.

Laglighet. För P1 till P3 och P7 stöder vi oss på Art. 6(1)(f). Till förmån för avvägningen talar: uppgifterna är offentliga och hämtas på samma sätt som av varje besökare; inget skickas in; personuppgifter är tillfälliga och ringa; tiderna är korta; innehavaren kan utesluta ytterligare kontroller av crawlern genom ett förbud för startsidan i robots.txt och varje ytterligare kontroll genom vår opt-out-sida, omedelbart och utan bevis; nyttan – ett skyddat formulär – tillfaller även innehavaren och dess besökare. Emot talar: innehavaren får inte veta något om kontrollen, rapporten är avsedd för tredje parter och för enskilda näringsidkare bedömer den en person. Vi anser att avvägningen är försvarbar så länge åtgärderna i avsnitt 9.1 kvarstår; juridisk bekräftelse återstår.

Information till registrerade (Art. 13 och 14). Vi informerar innehavare och personer på kontrollerade sidor via crawlersidan, som anges i identifieraren för varje hämtning, via integritetspolicyn och via opt-out-sidan. Att informera personer som tillfälligt förekommer i en skärmbild individuellt vore möjligt endast om vi identifierade dem – vilket skulle vara ett ytterligare, allvarligare ingrepp. I den delen stöder vi oss på Art. 14(5)(b). Besökare vars meddelanden passerar genom kontrollkopian informeras av kunden; personuppgiftsbiträdesavtalet kräver detta, och vi tillhandahåller ett textblock för det.

Uppgiftsminimering (Art. 5(1)(c)). Den syns på många ställen och är förankrad i koden: inga fältvärden, mottagaradresser endast som domän, kontoidentifierare i skriptadresser dolda, inget innehåll från kontrollkopian i databasen, inga skärmbilder bakom inloggningen, endast domäner i svärmskyddet. På två ställen är ytterligare minimering möjlig och planerad (avsnitt 9.3): för skärmbilden av startsidan utan svärtning och för avsändardomänen för verkliga meddelanden.

Lagringsminimering (Art. 5(1)(e)). Sedan den 27 september 2026 följer den nattliga körningen tiderna i integritetspolicyn för kunduppgifter och rensar uppgifter som blivit kvar utan tillhörande domän från tiden dessförinnan (cfg/fristen_lib.php). Två vägar utan tidsgräns är fortfarande öppna: interna kontroller och opublicerade studier (R4).

Korrekthet (Art. 5(1)(d)). Ett fynd kan vara fel: ett formulär framstår som oskyddat eftersom skyddet laddas först efter en interaktion, eller så behandlades crawlern annorlunda av en brandvägg än en besökare. För en innehavare vars webbplats offentligt sprids som ”Exponerad” är detta en fråga om anseende. Rapporten anger därför metoden, visar bevis och påpekar begränsningarna hos en kontroll utifrån.

Resultat avseende proportionalitet: Kontrollen av tredje parters och egna webbplatser är i den form den byggts i huvudsak proportionerlig. På tre ställen finns ett förbättringsbehov som kan avhjälpas med vanliga medel och för vilket åtgärder är planerade (avsnitt 9.3): skärmbilderna av startsidan, de interna kontrollerna utan tidsgräns och den okrypterade inloggningen för skanningen bakom inloggningen. Leveranskontrollen är proportionerlig för testkopian och för äkthetskontrollen; för verkliga besökarmeddelanden håller den endast så länge deras innehåll inte lagras, vägen via brevlådeleverantören är avtalsmässigt säkrad och kunden informerar sina besökare. I dag saknas den andra av dessa tre punkter.

8. (c) Bedömning av riskerna för de registrerades rättigheter och friheter

Det som bedöms är risken för de registrerade, inte för formexposed. Sannolikheten bedöms som avlägsen, möjlig, sannolik eller inträffad; ”inträffad” innebär att händelsen inte är en prognos utan ett uppmätt tillstånd. Allvarlighetsgraden bedöms som begränsad, betydande, allvarlig eller mycket allvarlig, beroende på vad personen riskerar att förlora: konfidentialiteten i sitt meddelande, kontrollen över ett konto, sitt affärsmässiga anseende, möjligheten att utöva en rättighet. Nivån följer av båda och beskriver det nuvarande läget med åtgärderna i avsnitt 9.1.

Nr	Risk	Behandling	Sannolikhet	Allvarlighetsgrad	Nivå
R1	Verkliga besökarmeddelanden i kontrollkopian, inklusive möjliga särskilda kategorier	P6	Inträffad när den slås på	Allvarlig	Hög
R2	Kontrollkopians väg via brevlådeleverantören utan ingått avtal och med möjlig koppling till tredjeland	P6	Sannolik så länge avtalet saknas	Allvarlig	Hög
R3	Skärmbilder av tredje parters webbplatser utan svärtning	P1–P4	Sannolik	Begränsad	Medel
R4	Kontrolldata och skärmbilder utan raderingsväg	P3, interna kontroller	Inträffad	Betydande	Hög
R5	Kontroll och offentlig bedömning av tredje parters webbplatser utan innehavarens vetskap; missbruk som rekognoseringsverktyg	P1	Möjlig	Betydande	Medel
R6	Kontroll av potentiella kunder som underlag för oönskade kontakter	P2	Sannolik	Begränsad	Medel
R7	Bevis på kontroll förnyas aldrig	P4, P5	Möjlig	Betydande	Medel
R8	Inloggningsuppgifter och innehåll i skanningen bakom inloggningen	P5	Möjlig	Allvarlig	Medel; hög för verkliga konton
R9	Aktiva testinskickningar och filkontroll på kundens webbplats	P4	Avlägsen	Betydande	Låg
R10	Klassificering av en språkmodell	P1–P4	Avlägsen	Begränsad	Låg
R11	Gemensam spärrlista utifrån rapporter från många webbplatser	P7	Möjlig	Begränsad	Låg till medel; hög med IP-nät
R12	Rapporter och skärmbilder under en offentlig länk	P1, P2, P4	Möjlig	Begränsad	Låg
R13	Svagheter i infrastrukturen: säkerhetskopior, serveråtkomst, skanningsserver	alla	Möjlig	Allvarlig	Hög
R14	De registrerades rättigheter för personer som inte känner oss	P1–P6	Sannolik	Begränsad	Låg

R1 – Verkliga besökarmeddelanden i kontrollkopian

Detta är tjänstens allvarligaste risk, och den uppstår inte genom ett fel utan genom utformningen. En dold kopia i formuläret skiljer inte mellan vårt testmeddelande och en besökares meddelande. Om en kund slår på leveranskontrollen når varje meddelande som skickas via formuläret vår kontrollbrevlåda (cfg/zustellung_lib.php). Hämtningen läser in headers och de första 8 KB av texten i minnet för att söka efter vår testidentifierare (cfg/zustellung_lib.php). För ett vanligt kontaktformulär innebär det namn, e-postadress, telefonnummer och hela meddelandet.

Vad besökaren skriver bestämmer hen själv, och fältet inbjuder till personligt innehåll: en bokningsförfrågan med en beskrivning av symtom till en läkarmottagning, en redogörelse för en rättstvist till en advokatbyrå, en jobbansökan, en fråga om ett barn till en skola. Våra juridiska dokument säger att kopior ”inte bör innehålla några särskilda kategorier av personuppgifter”. Det är en uppmaning till kunden, inte en skyddsåtgärd: varken kunden eller vi vet i förväg vad en besökare kommer att skriva.

Två sidovägar hör hit. För det första lagrar äkthetskontrollen domänen för avsändaradressen för domänen (cfg/zustellung_lib.php). Om formuläret skickar med besökarens adress som avsändare är detta besökarens domän – betydelselöst för en stor e-postleverantör, men en personuppgift för en privatperson med egen domän. Denna domän förekommer också i det larm som går till kunden och till de kanaler den har valt (cfg/zustellung_lib.php). För det andra lagrar den adressen till den sändande e-postservern (cfg/zustellung_lib.php); i regel är detta webbplatsens server, inte besökarens.

Sannolikhet – inträffad när den slås på. Frågan är inte om verkliga meddelanden kommer fram, utan hur många. Uppmätt i utvecklingssystemet är funktionen inte påslagen för någon domän. Allvarlighetsgrad – allvarlig. Konfidentialiteten i ett meddelande till ett företag är viktig för många människor, och uppgifter enligt Art. 9 kan förväntas för en del av de typiska kunderna. Allvarlighetsgraden mildras av att innehållet inte hamnar i databasen, ligger kvar i brevlådan endast kort och inte läses av någon person hos formexposed. Nivå – hög.

R2 – Kontrollkopians väg via brevlådeleverantören utan ingått avtal

Innan vår hämtning ser en kontrollkopia ligger den i brevlådan hos Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Den kommer bara fram dit om MX-posterna för vår domän pekar direkt på denna brevlåda; vidarebefordran hos domänregistratorn Namecheap, Inc. är inte en station för kontrollkopiorna (via vidarebefordran når de inte brevlådan). För den station som återstår är de avtalsmässiga arrangemangen fortfarande öppna: avtalet med brevlådeleverantören har inte ingåtts, dess lagringsplatser, underbiträden och tider för säkerhetskopior har inte fastställts, och huruvida ett beslut om adekvat skyddsnivå eller standardavtalsklausuler krävs för dess behandlingsplats och är tillämpliga är öppet. För våra egna transaktionella e-postmeddelanden är detta en fråga om avtalsutformning. För kontrollkopiorna är det allvarligare: där är det uppgifter som vi tar emot som personuppgiftsbiträde, och varje tjänsteleverantör längs vägen är ett underbiträde som vi ansvarar för enligt Art. 28(4).

Dessutom gäller ”raderas efter hämtning” endast vår vy av brevlådan. Huruvida leverantören behåller raderade e-postmeddelanden i sina egna säkerhetskopior eller i en papperskorg, och hur länge, har inte verifierats. Om en hämtning avbryts ligger e-postmeddelandena kvar till nästa lyckade körning (cfg/zustellung_lib.php); om statusprocessen fallerar ligger de kvar på obestämd tid. Slutligen är skyddet av själva hämtningen en av de punkter som ska kontrolleras i produktionssystemet före lanseringen (avsnitt 9.3).

Sannolikhet – sannolik så länge avtalet saknas: varje kontrollkopia tar denna väg. Allvarlighetsgrad – allvarlig, av samma skäl som R1. Nivå – hög. Applikationens konfigurationschecklista rapporterar den saknade brevlådan som en varning; det finns ingen spärr som blockerar leveranskontrollen utan dokumenterat avtal.

R3 – Skärmbilder av tredje parters webbplatser utan svärtning

Crawlern tar en skärmbild av det synliga området på den första sidan och en bild av formulärelementet för varje synligt formulär (scanner/src/crawl.js). Därvid svärtas ingenting. Annorlunda är det för webbläsarflöden: där maskeras inmatningsfält före skärmbilden (scanner/src/browser.js). Det är alltså endast bilderna från webbläsarflöden som är ”rensade”, inte de från crawlern och inte bilden av svarssidan från en aktiv kontroll.

Eftersom crawlern inte skriver in något är formulärfälten tomma. Startsidan för ett litet företag visar dock ofta ägaren, teamet, kundomdömen med namn och foton, eller ett chattfönster med bild på en anställd. Allt detta är offentligt; skärmbilden gör det till en kopia som lagras hos oss, visas i rapporten och kan vidarebefordras med länken.

Sannolikhet – sannolik. 432 skärmbilder uppmättes i utvecklingssystemets datamängd. Allvarlighetsgrad – begränsad: innehållet är redan offentligt, och tiderna för kontroller utan konto är korta. Nivå – medel, eftersom de avbildade personerna är ovetande och bilden av startsidan inte behövs för fyndet.

R4 – Kontrolldata och skärmbilder utan raderingsväg

Den nattliga körningen raderar kontroller via två vägar: via en rapports utgångsdatum (cfg/check_lib.php) och via tiden för kontroller av en kunddomän (cfg/fristen_lib.php, endast för kontroller med domän). En kontroll som varken har rapport eller domän faller genom båda näten. Det är kontrollerna med förtroendenivån ”intern”: studier och kontroller som leverantören skapar från kommandoraden.

• Studier raderar sina rådata vid publiceringen (cfg/studie_lib.php). Om en studie aldrig publiceras – eftersom den har för få webbplatser med formulär (cfg/studie_lib.php vägrar då publicering) eller eftersom den blir liggande – finns kontroller, formulär, fynd och skärmbilder kvar utan tidsgräns.
• Interna kontroller från kommandoraden har ingen raderingsväg alls. Uppmätt den 11 oktober 2026: 85 sådana kontroller av tredje parters webbplatser med 978 formulär och 369 skärmbilder, den äldsta från den 22 september 2026, ingen med rapport eller domän.
• Anteckningar om iögonfallande beteende i den gratis kontrollen innehåller IP-adressen och raderas 90 dagar efter att de har lösts (srv/cron_status.php). En anteckning som aldrig löses finns kvar. Uppmätt: tre anteckningar, alla lösta.

Sannolikhet – inträffad. De 85 kontrollerna är inte ett scenario utan befintliga data. I utvecklingssystemet är de kontroller från ett fälttest; samma kod gäller i produktionssystemet. Allvarlighetsgrad – betydande: det finns ingen lagringstid för dessa uppgifter. Med hänsyn till principen om lagringsminimering (Art. 5(1)(e)) är detta en öppen punkt med en planerad åtgärd (avsnitt 9.3, prioritet ”först”), och den berör just personer som inte vet något om kontrollen. Interna kontroller beskrivs i registret över behandlingar; integritetspolicyn nämner dem ännu inte separat (avsnitt 9.4). Nivå – hög.

R5 – Kontroll och offentlig bedömning av tredje parters webbplatser utan innehavarens vetskap

Vem som helst kan låta vilken allmänt tillgänglig webbplats som helst kontrolleras, utan konto och utan någon koppling till den. Innehavaren underrättas inte. Resultatet är en rapport som bedömer webbplatsen som ”Exponerad”, ”Delvis skyddad” eller ”Skyddad” och som alla med länken kan se. Två följder är tänkbara för de registrerade. En enskild näringsidkare får offentligt – om än bara för mottagarna av länken – en bedömning som kan vara ett felaktigt fynd. Och rapporten visar en spammare vilket formulär som kan fyllas i utan hinder.

Mot detta står en rad spärrar (cfg/check_lib.php): högst en kontroll per domän på sju dagar, därefter samma rapport; gränser per IP-adress och session; ett dagligt tak för hela tjänsten; inga kontroller av mycket nya domäner, som är typiska för missbruk; en anteckning och en signal vid iögonfallande beteende; robots.txt och opt-out, kontrollerade två gånger (cfg/check_lib.php och i kontrolltjänsten). Gratisrapporten är ett utdrag: den visar endast de grundläggande fynden, inte bevisen från alla detektorer. Och den säger inget som en bot inte själv skulle kunna ta reda på på några sekunder – ett oskyddat formulär syns utifrån.

Sannolikhet – möjlig. Allvarlighetsgrad – betydande för en enskild näringsidkare vars formulär angrips efter en rapport eller vars bedömning är fel. Nivå – medel.

R6 – Kontroll av potentiella kunder som underlag för oönskade kontakter

I gränssnittet beskrivs kontrollen av potentiella kunder som en ”dörröppnare för det första samtalet”. Hur byrån använder det korta fyndet bestämmer byrån; tekniskt kan den också skicka det till en innehavare som inte har bett om det. Vi kontaktar ingen (cfg/akquise_lib.php), och användarvillkoren förpliktar byrån att följa reglerna om reklam och marknadsföring. Ett oombett e-postmeddelande med fyndet är dock direktmarknadsföring även mellan företag, vilket i Polen (Art. 398 i lagen om elektronisk kommunikation (Prawo komunikacji elektronicznej, PKE)) och i Tyskland (§ 7(2) i den tyska lagen mot otillbörlig konkurrens (Gesetz gegen den unlauteren Wettbewerb, UWG)) kräver förhandssamtycke. Gränssnittet påpekar inte detta; texterna för kontrollen av potentiella kunder talar endast om ”passiv” och ”opt-out-lista”.

Sannolikhet – sannolik, eftersom funktionen tjänar kundanskaffning och vi inte kan kontrollera om mottagaren har samtyckt. Allvarlighetsgrad – begränsad: för innehavaren är det ett irriterande marknadsföringsmejl med en bedömning av webbplatsen. Nivå – medel. Risken ligger i byråns agerande; eftersom funktionen kommer från oss är en upplysning i gränssnittet planerad (avsnitt 9.3).

R7 – Bevis på kontroll förnyas aldrig

Aktiva testinskickningar, sökningen efter exponerade filer och skanningen bakom inloggningen kräver att kunden har bevisat att den har rätt att kontrollera domänen. Detta bevis kontrolleras en gång (cfg/verify_lib.php) och aldrig igen. Det finns ingen väg i koden genom vilken en domän förlorar sitt bevis. Om domänen byter ägare, en byrå avslutar sitt uppdrag eller innehavaren tar bort DNS-posten fortsätter kontrollerna – upp till dagligen, med upp till fem testinskickningar och, om lagrad, med inloggningen till ett testkonto som den nya innehavaren kanske inte känner till. Det som däremot inte är möjligt är att överföra beviset till en annan värd genom namnbyte: värdnamnet för en domän med bevis på kontroll kan inte ändras.

Sannolikhet – möjlig: byten av domän och uppdrag är vardag för byråer. Allvarlighetsgrad – betydande för den nya innehavaren och dess anställda, som tar emot märkta testmeddelanden och vars webbplats genomsöks efter exponerade filer utan deras samtycke. Nivå – medel. Testmeddelandena förklarar sig själva och hänvisar till crawlersidan och opt-out; opt-out fungerar även mot kunders kontroller.

R8 – Inloggningsuppgifter och innehåll i skanningen bakom inloggningen

Krypteringen av inloggningsuppgifterna är omsorgsfullt byggd: webbservern kan inte längre läsa dem efter lagringen, databasen och säkerhetskopian innehåller endast chiffertext, posten är bunden till sin domän, inloggningsuppgifterna kommer in i containern endast via standardinmatningen och rensas därefter ur minnet (avsnitt 6.5). Två luckor kvarstår; en tredje punkt gäller endast läsning, inte lagring.

• Okrypterad inloggning är tillåten. Adresskontrollen tillåter http vid sidan av https (cfg/login_lib.php, scanner/src/login.js). Om kunden anger en inloggningssida med http färdas användarnamn och lösenord över internet i klartext vid varje kontroll.
• Certifikatfel stoppar inte inloggningen. Inloggningen avbryts för närvarande inte när certifikatet för kundens webbplats är ogiltigt (scanner/src/login.js). Certifikatet skyddar därför inte fullt ut inloggningsuppgifterna på vägen till kundens webbplats. Avbrott vid certifikatfel är planerat (avsnitt 9.3, prioritet ”först”).
• Värden i dolda fält bakom inloggningen läses, lagras inte. Crawlern läser de första 24 tecknen av värdet i dolda fält (scanner/src/crawl.js), och samma extraheringsfunktion körs bakom inloggningen (scanner/src/login.js). Där innehåller dolda fält ofta ett kundnummer, en användaridentifierare eller e-postadressen för det inloggade kontot; endast fältnamn, typ, etikett och igenkänningsresultatet hamnar dock i fältkartan och fynden.

Till detta kommer det som koden inte kan förhindra: kunden bekräftar att den använder ett testkonto med så få rättigheter som möjligt (cfg/login_lib.php), men den kan ange ett verkligt administratörskonto. Vilka sidor skannern då läser bestäms av kunden; adresser som innehåller ord för utloggning och radering är spärrade, men andra åtgärder som en webbplats utlöser via en enkel förfrågan är det inte.

Sannolikhet – möjlig. Allvarlighetsgrad – allvarlig om ett konto med vida rättigheter berörs; medlemsområdet med alla användares uppgifter är då öppet. Nivå – medel för ett testkonto med få rättigheter, hög för ett verkligt konto. Uppmätt i utvecklingssystemet finns inget testkonto lagrat.

R9 – Aktiva testinskickningar och filkontroll på kundens webbplats

En testinskickning går till de personer som läser kundens formulärmejl – dess anställda eller en tjänsteleverantör. Den innehåller inga personuppgifter: avsändaren är dummy@formexposed.com, text och ämne är märkta och anger kontrollidentifieraren (scanner/src/active.js). Risken ligger i en felklassificering: om skannern tog ett ansöknings-, boknings- eller rådgivningsformulär för ett kontaktformulär skulle testmeddelandet hamna i en process som får följder. Mot detta står de strikta reglerna för ”möjligt att skicka in” (scanner/src/classify.js), spärren för domäner som tillhör myndigheter, utbildningsinstitutioner, kliniker, läkarmottagningar, polis och domstolar (scanner/src/classify.js) och uteslutningen av språkmodellen från detta beslut (scanner/src/classify.js). Från svaret lagras status, måladress, titel, 300 tecken text och en bild; de gäller vårt testmeddelande.

Filkontrollen läser högst 8 KB från typiska sökvägar. Om en databasdump verkligen är exponerad där kan dessa 8 KB innehålla formulärinmatningar gjorda av besökare. De kontrolleras endast mot en signatur och kastas (cfg/dateien_lib.php); det som lagras är sökväg, typ och allvarlighetsgrad.

Sannolikhet – avlägsen. Allvarlighetsgrad – betydande. Nivå – låg. Uppmätt i utvecklingssystemet finns en aktiv kontroll i datamängden, utan godkänd inskickning.

R10 – Klassificering av en språkmodell

För formulär som reglerna inte känner igen får språkmodellen sidtitel, adress, knapptexter, fältbeskrivningar och upp till 400 tecken formulärtext (scanner/src/classify.js). Detta kan omfatta ett namn, till exempel ”Din kontaktperson: …”. Den körs på vår egen server; i koden går ingenting till en tredje part. Huruvida modellprogramvaran loggar förfrågningar har inte verifierats. Dess resultat avgör endast den visade formulärtypen och kan inte göra ett formulär möjligt att skicka in; en felaktig klassificering leder till ett sämre fynd, inte till en åtgärd.

Sannolikhet – avlägsen. Allvarlighetsgrad – begränsad. Nivå – låg.

R11 – Gemensam spärrlista utifrån rapporter från många webbplatser

En domän på listan gör att meddelanden med länkar till den hamnar i karantän på alla anslutna webbplatser. Om domänen tillhör en privatperson – en hantverkare, en fotograf, en blogg – når hens meddelanden som innehåller en länk till den egna webbplatsen mottagarna sent. En sådan domän kan hamna på listan för att spammare missbrukar den, eller för att någon avsiktligt skickar meddelanden som innehåller den och som stoppas till flera webbplatser.

Mot detta står (cfg/swarm_lib.php): minst tre olika webbplatser och fem träffar inom sju dagar; fasta undantag för stora tjänster; aldrig våra kunders domäner; manuell borttagning via ett verktyg på servern; karantän i stället för radering; listan byggs om dagligen, och det som inte längre rapporteras faller bort. De berörda kan inte se listan och har ingen egen väg att begära borttagning, annat än via oss.

Sannolikhet – möjlig. Allvarlighetsgrad – begränsad, eftersom ingenting går förlorat och mottagaren kan släppa meddelandet. Nivå – låg till medel. Med IP-nät påslagna skulle nät hos hela leverantörer beröras, IP-adresser är personuppgifter, och allvarlighetsgraden skulle stiga till betydande: hög.

R12 – Rapporter och skärmbilder under en offentlig länk

Rapporter från den gratis kontrollen, kontrollen av potentiella kunder och kontrollerna av kunddomäner kan nås utan inloggning under en slumpmässig länk. Länken innehåller 128 bitar slumpmässighet och kan inte gissas (cfg/check_lib.php). Sidorna har noindex, applikationen skickar en referrer-policy som endast vidarebefordrar ursprunget (www/.htaccess), och skärmbilder levereras endast tillsammans med den rapport de hör till; ett annat bildnummer ger ”hittades inte” (www/shot.php). Risken är inte kryptografisk utan mänsklig: en länk vidarebefordras, kopieras in i ett ärende, delas i en chatt. Den som öppnar den registreras endast i loggen över sidvisningar som vilken sidvisning som helst (60 dagar), där själva länken endast förekommer i maskerad form; det finns ingen lista över läsare per rapport.

Sannolikhet – möjlig. Allvarlighetsgrad – begränsad, eftersom rapporten endast visar offentlig information och löper ut efter 30 respektive 90 dagar; rapporter om kunddomäner förblir åtkomliga så länge kontrollen finns (13 månader, den senaste längre). Nivå – låg.

R13 – Svagheter i infrastrukturen

Följande punkter anges som öppna i vårt interna granskningsunderlag och slätas inte över här. Vi beskriver dem så exakt som kunder behöver för sin egen bedömning, men inte så exakt att beskrivningen visar en angripare vägen; detaljerna lämnar vi till en tillsynsmyndighet på begäran.

• Säkerhetskopior av databasen lagras för närvarande på samma plats som databasen och är inte separat krypterade; en krypterad kopia på en andra plats är planerad (cfg/backup_lib.php). Till dess skyddar de inte mot förlust av platsen, och den som kommer åt databasen kommer också åt säkerhetskopiorna. Inloggningsuppgifterna för skanningen bakom inloggningen finns i dem endast som chiffertext.
• Ingen kryptering av databasen i vila. Undantagen är de fält som krypteras individuellt (inloggningsuppgifter för testkonton, hemlighet för andra faktorn).
• Anslutningar inom vårt interna nätverk är inte genomgående krypterade.
• Serveradministration. Säkerheten för den administrativa åtkomsten till våra servrar uppfyller ännu inte den standard vi avser för driften; härdningen av serveradministrationen pågår.
• Kontrollmiljö. Skanningsservern öppnar tredje parters webbplatser i en webbläsare. Kontrollcontainrarna är isolerade – eget nätverk, inga särskilda behörigheter, skrivskyddade, begränsade (scanner/src/worker.js). Åtskillnaden mellan kontrollmiljön och tjänstens övriga delar stärks ytterligare (avsnitt 9.3).

Sannolikhet – möjlig. Allvarlighetsgrad – allvarlig, eftersom allt skulle beröras på en gång i ett nödläge. Nivå – hög. De enskilda punkterna kan avhjälpas med vanliga medel (avsnitt 9.3).

R14 – De registrerades rättigheter för personer som inte känner oss

Den som tillfälligt förekommer i en skärmbild eller vars meddelande har passerat genom en kontrollkopia vet oftast inte att vi finns. Även om hen vet det har hen ingen nyckel till ”sina” uppgifter: vi lagrar dem inte per person utan per domän och kontroll. Vi kan besvara en begäran om tillgång enligt Art. 15 endast om personen anger domänen; vi kan då gå igenom de befintliga kontrollerna och bilderna. För verkliga besökarmeddelanden finns inget att lämna ut, eftersom vi inte lagrar dem – med undantag för avsändardomänen från R1. Opt-out fungerar endast för innehavare av en domän, inte för avbildade personer; för dem återstår vägen via contact@lukaswojcik.com.

Sannolikhet – sannolik som strukturellt förhållande. Allvarlighetsgrad – begränsad, eftersom uppgifterna är kortlivade och inte ordnade per person. Nivå – låg.

9. (d) Åtgärder för att hantera riskerna

Varje åtgärd har en status, och statusarna är inte dekorativa. Genomförd i dag – verifierad innebär: läst i utvecklingssystemets kod och, där det är möjligt, uppmätt mot databasen. Delvis innebär: mekanismen finns men uppnår ännu inte helt sitt syfte. Planerad innebär: föreslagen av denna bedömning och inte byggd; om och när avgörs av ägaren. Återstår att fastställa är rutiner och beslut som ingen kod ersätter. En konsekvensbedömning som framställer planerade åtgärder som genomförda förlorar sitt värde just i den situation där den behövs.

9.1 Genomförd i dag – verifierad

Åtgärd	Hanterar	Källhänvisning
robots.txt läses av crawlern före varje kontroll; ett undantag som omfattar startsidan, en robots.txt som inte går att nå eller ett serverfel avslutar kontrollen (undersökvägar beaktas inte individuellt; puls, hämtning av bevis, header-verktyg och filsökning läser den inte)	R5, laglighet	scanner/src/net.js
Opt-out utan bevis, verksam omedelbart, för domänen och dess www-variant, för anonyma kontroller, potentiella kunder, studier och kundkontroller (pågående övervakning upphör vid nästa schemalagda kontroll); kontrolleras två gånger (applikation och kontrolltjänst); hävs endast av oss på begäran mot bevis	R5, R7, Art. 21	cfg/check_lib.php; cfg/akquise_lib.php; cfg/studie_lib.php; scanner/src/worker.js
Gratis kontroll: nödstopp, reCAPTCHA, en kontroll per domän och vecka, gränser per IP-adress och session, dagligt tak, inga nya domäner, endast offentliga adresser, anteckning och signal utan innehåll vid avvikelser	R5	cfg/check_lib.php
För gränser lagras sessionen endast som hashvärde, aldrig sessionsidentifieraren	Minimering	cfg/check_lib.php
Inga fältvärden (början av dolda fält och dataattribut läses endast under kontrollen, avsnitt 6.2); mottagaradresser endast som domän; kontoidentifierare i skriptadresser dolda	Minimering	scanner/src/crawl.js
Gratisrapporten är ett utdrag: endast grundläggande fynd, inga bevis från alla detektorer	R5	cfg/check_lib.php, FE_FREE_DETEKTOREN
Rapporter under en slumpmässig länk på 128 bitar, noindex, bilder endast för den egna rapporten, utanför den offentliga webbkatalogen; länken förekommer i loggen över sidvisningar endast i maskerad form	R12	cfg/check_lib.php; www/report.php; www/shot.php
Radering: anonyma rapporter efter 30 dagar, potentiella kunder efter 90 dagar, kundkontroller efter 13 månader (den senaste per domän behålls så länge domänen finns), uppgifterna för en raderad domän omedelbart (för undantag se avsnitt 6.11), bilder i varje fall tillsammans med dem	Lagringsminimering	cfg/check_lib.php; cfg/fristen_lib.php
Studie: publicering endast som summa, segment endast från 20 webbplatser med formulär, rådata raderas vid publicering	R4 delvis, P3	cfg/studie_lib.php
Kontrollcontainrar: eget isolerat nätverk, inga särskilda behörigheter, skrivskyddade, minnes- och processgränser, tidsgräns; filter mot privata mål för varje förfrågan, service workers blockerade och WebSocket-anslutningar stängda så att inget kringgår filtret; förfrågningar från webbservern endast på webbportar och endast till exakt den i förväg kontrollerade offentliga adressen	R13	scanner/src/worker.js; scanner/src/net.js
Aktiv kontroll för kunder endast för en verifierad domän (internt även för våra egna test- och demodomäner) och med nödstoppet påslaget, kontrollerat två gånger; högst fem inskickningar; endast tydligt igenkända kontaktformulär utan obligatoriska personuppgifter; inga domäner som tillhör myndigheter, utbildningsinstitutioner, kliniker, läkarmottagningar, polis eller domstolar; språkmodellen får inte frisläppa något; testmeddelande utan personuppgifter, märkt, med hänvisning till crawlersidan och opt-out	R9	scanner/src/worker.js; scanner/src/classify.js; scanner/src/active.js
Webbläsarflöden: endast GET och HEAD, farliga adresser spärrade, påhittade värden lämnar inte webbläsaren, bilder med svärtade inmatningsfält	R3 (för dessa bilder), R9	scanner/src/browser.js
Filkontroll: endast verifierade domäner, en hämtning per sökväg, högst 8 KB, innehållet lagras aldrig	R9	cfg/dateien_lib.php
Andra sond: avstängd som standard; skulle endast få en fast lista över harmlösa uppgifter, signerad	Mottagare	cfg/formular_probe_lib.php
Skanning bakom inloggningen: endast verifierad domän, betald plan, ägare eller administratör, bekräftelse ”testkonto”; kryptering med skanningsserverns publika nyckel, bunden till domänen; inloggningsuppgifter visas, loggas eller lämnas ut via API:t aldrig; överlämning endast via standardinmatningen; fältet i jobbet rensas omedelbart, rester efter en timme; inga skärmbilder, inga inskickningar, inga utloggnings- eller raderingsadresser, avbrott vid CAPTCHA; slutgiltig radering med överskrivning	R8	cfg/login_lib.php; scanner/src/login.js; scanner/src/geheim.js; scanner/src/worker.js
Leveranskontroll: avstängd som standard; hämtningen läser endast headers och 8 KB, utan läsmarkering; innehåll och besökaradress aldrig i databasen; varje hämtat e-postmeddelande raderas, även sådana som inte kan tilldelas; tilldelningar raderas efter 180 dagar; bevis endast via kopian av just detta test	R1, R2	cfg/zustellung_lib.php
Svärmskydd: endast domäner, IP-nät avstängda; minimiantal; undantag för stora tjänster och kunddomäner; karantän i stället för radering; listan byggs om dagligen; rapporter raderas efter 30 dagar	R11	cfg/swarm_lib.php
Språkmodell på vår egen server, utan rätt att skicka in	R10	scanner/src/classify.js
Signaler via Telegram innehåller endast en fast mening utan variabler	Mottagare	cfg/check_lib.php
Veckovis återställningstest av säkerhetskopian, med larm vid fel	Tillgänglighet	cfg/backup_lib.php; srv/cron_status.php

9.2 Delvis – finns på plats, men uppnår ännu inte sitt syfte

Åtgärd	Varför den ännu inte är fullt verksam
”Rensade” skärmbilder	Endast bilderna från webbläsarflöden svärtas. Crawlerns bilder – startsida och formulärelement – och bilden av svarssidan från en aktiv kontroll svärtas inte (R3).
Tider för kontrolldata	Verksamma för anonyma kontroller, kontroller av potentiella kunder och kundkontroller; inte för interna kontroller och opublicerade studier; olösta anteckningar om avvikelser utan tidsgräns (R4).
Radering av kontrollkopiorna	Verksam i vår vy av brevlådan. Om körningen avbryts ligger e-postmeddelanden kvar; vad brevlådeleverantören behåller i sina egna säkerhetskopior har inte verifierats (R2).
Skydd av inloggningsuppgifter i skanningen bakom inloggningen	Starkt i vila och i kontrolltjänsten; inte på vägen till webbplatsen: http är tillåtet, certifikatfel ignoreras (R8).
Bevis på kontroll	Kontrolleras en gång och gäller därefter för alltid; värdnamnet för en domän med bevis på kontroll kan dock inte ändras, så att beviset inte går över till en annan värd (R7).
Information till registrerade	På plats för innehavare via crawlersidan, identifieraren, integritetspolicyn och opt-out; för besökare i leveranskontrollen beroende av att kunden använder textblocket; applikationen kontrollerar inte detta.
Uppmaning till kunder att inte låta särskilda kategorier hamna i kontrollkopian	Anges i de juridiska dokumenten, men stöds inte tekniskt: vid konfigurationen frågar applikationen inte efter typen av webbplats och varnar inte för domäner som ser ut att gälla hälsa, juridik eller utbildning (R1).

9.3 Planerad – inte genomförd

Åtgärd	Hanterar	Prioritet
Raderingsväg för interna kontroller: radera kontroller utan domän och utan rapport efter en fast tid (förslag: 30 dagar); radera rådata från en studie senast en fast tid efter att den avslutats, även utan publicering (förslag: 90 dagar); radera de befintliga 85 kontrollerna med 369 bilder en gång	R4	Först
Aktivera leveranskontrollen först när avtalet med brevlådeleverantören har ingåtts, lagringsplatser, underbiträden och tider för säkerhetskopior har dokumenterats, överföringsmekanismen för brevlådeleverantören har klarlagts och MX-posterna för vår domän pekar direkt på brevlådan; till dess hålls funktionen spärrad i produktionssystemet	R2	Först
Kontrollera säkerheten för brevlådehämtningen i produktionssystemet och dokumentera den innan leveranskontrollen aktiveras	R2	Först
Skanning bakom inloggningen endast via https och med giltigt certifikat; avvisa http-adresser; certifikatfel vid inloggning som skäl för avbrott	R8	Först
Inte lagra värden i dolda fält bakom inloggningen (endast namn, typ och längd) – redan genomfört på detta sätt, inget ytterligare steg	R8	Klart
Begränsa kontrollkopian till testmeddelanden där tillägget eller extensionen används: dold kopia endast för inskickningar med vår testidentifierare	R1	Hög
Inte lagra avsändardomänen för verkliga meddelanden eller skriva in den i larm om den varken är webbplatsens domän eller domänen för en känd utskickstjänst; i larmet i stället ”främmande avsändardomän”	R1	Hög
Varning vid konfiguration av leveranskontrollen för domäner som ser ut att gälla hälsa, juridik, socialtjänst eller utbildning, med hänvisning till kundens egen konsekvensbedömning	R1	Hög
Förnya bevis på kontroll regelbundet (förslag: före varje aktiv kontroll verifiera om DNS-posten, metataggen, filen eller tilläggsanslutningen fortfarande finns; annars fortsätta passivt och underrätta kunden)	R7	Hög
Sluta fotografera startsidan, eller endast med svärtade bilder och ansikten; begränsa formulärbilder till formulärelementet (som i dag) och maskera inmatningsfält som för webbläsarflöden	R3	Hög
Upplysning i gränssnittet för kontrollen av potentiella kunder: att skicka det korta fyndet oombett via e-post eller telefon är direktmarknadsföring även mellan företag och kräver förhandssamtycke (Art. 398 i den polska lagen om elektronisk kommunikation; i Tyskland § 7(2) UWG, även om förmodat samtycke räcker för samtal till företag)	R6	Hög
Infrastruktur: slutföra härdningen av serveradministrationen; krypterad kopia av säkerhetskopian på en andra plats; kryptera anslutningar i det interna nätverket genomgående; ytterligare stärka åtskillnaden mellan skanningsservern och applikationen	R13	Hög
Tidsgräns för olösta anteckningar om avvikelser (förslag: lösning inom 30 dagar, annars radering av IP-adressen)	R4	Medel
En sida eller ett formulär genom vilket någon kan begära att en domän tas bort från svärmskyddet	R11, R14	Medel
Innan IP-nät slås på i svärmskyddet: en ny version av denna bedömning	R11	Villkor
Fastställa om språkmodellens programvara lagrar förfrågningar och i så fall stänga av dessa loggar	R10	Låg

9.4 Rutiner och beslut som återstår att fastställa

Utöver tekniska skyddsåtgärder kräver Art. 35(7)(d) även rutiner. Dessa återstår:

• Personuppgiftsincident. Upptäckt: ägaren, applikationens fellarm, rapporter via kontaktpunkten för sårbarhetsrapporter eller contact@lukaswojcik.com. Beslut om anmälan till UODO inom 72 timmar (Art. 33(1)): ägaren. Information till berörda kunder som personuppgiftsansvariga: utan onödigt dröjsmål, om möjligt inom 48 timmar, som utlovat i personuppgiftsbiträdesavtalet. Återstår att fastställa: en skriftlig rutinbeskrivning och en första övning; för leveranskontrollen dessutom hur man fastställer vilka kunder som berörs av en incident hos brevlådeleverantören.
• Branscher. Återstår att fastställa: huruvida leveranskontrollen erbjuds, erbjuds med en varning eller utesluts för webbplatser inom hälsa, juridik, socialtjänst och utbildning.
• Interna kontroller. Återstår att fastställa: vad leverantören använder interna kontroller från kommandoraden till, vem som får skapa dem och hur länge deras resultat finns kvar; samt huruvida de, utöver registret över behandlingar, behöver nämnas i integritetspolicyn.
• Studier. Återstår att fastställa: vem som sammanställer listor, från vilka källor, med vilken maximal storlek, samt en kontroll före varje studie av om den överensstämmer med antagandena i denna bedömning.
• De registrerades synpunkter (Art. 35(9)). De har inte inhämtats för denna version. Art. 35(9) kräver att de inhämtas endast ”när det är lämpligt”; enligt vår bedömning är så för närvarande inte fallet här. Innehavare av kontrollerade webbplatser och besökare på kunders webbplatser har ingen egen kanal till oss; att rikta sig särskilt till dem vore i sig en ny behandling av deras uppgifter, och tjänsten har ännu inte lanserats, så det finns ännu ingen grupp av faktiska registrerade. Deras intressen beaktas indirekt: genom robots.txt och opt-out, genom de korta tiderna och genom att innehållet i kontrollkopior inte lagras. Vid varje översyn enligt avsnitt 12 prövar vi på nytt om det är lämpligt att inhämta deras synpunkter, till exempel via återkoppling på crawlersidan eller från kunder som använder leveranskontrollen.

10. Kvarstående risk och förhandssamråd enligt Art. 36

Art. 36(1) kräver förhandssamråd med tillsynsmyndigheten om konsekvensbedömningen visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken. Frågan är därför inte om höga risker har identifierats – fyra har det – utan om en hög risk kvarstår när åtgärderna är på plats.

För de behandlingar där formexposed är personuppgiftsansvarig (P1 till P4, P7) kan de höga riskerna R4 och R13 avhjälpas med vanliga medel: en raderingsväg och en rensning av befintliga data, en krypterad säkerhetskopia på annan plats och härdning av två servrar. Med åtgärderna i 9.3 sjunker de till låg till medel. R3, R5, R6 och R7 ligger på medel och sjunker till låg med de föreslagna åtgärderna. Svärmskydd utan IP-nät förblir låg till medel. Förhandssamråd är inte påkallat för denna del om de åtgärder som markerats ”först” och ”hög” genomförs före lanseringen. Om någon av dessa åtgärder inte har genomförts före lanseringen kvarstår en hög risk för den berörda behandlingen. Den behandlingen startas då först när åtgärden har genomförts, eller så samråder vi först med UODO enligt Art. 36(1).

För leveranskontrollen (P6) är läget ett annat, av ett skäl som ingen åtgärd helt undanröjer: vad en besökare skriver bestämmer hen själv. Med ett ingått avtal, säkrad hämtning, begränsning till testmeddelanden där det är möjligt och avstående från avsändardomänen sjunker R2 till låg och R1 till medel. För kunder vars besökare typiskt lämnar uppgifter enligt Art. 9 kan R1 ändå förbli hög. Skyldigheten att samråda ligger då hos kunden som personuppgiftsansvarig, inte hos formexposed. Vår rekommendation till sådana kunder är att inte konfigurera kontrollkopian för det allmänna kontaktformuläret, utan endast för formulär utan känsligt innehåll, eller att avstå från leveranskontrollen.

Kvarstående risk, ärligt redovisad. I dag, med åtgärderna i 9.1, ligger fyra risker på hög: R1 och R2 (leveranskontroll), R4 (kontrolldata utan raderingsväg) och R13 (infrastruktur). Med åtgärderna i 9.3 sjunker R2, R4 och R13 till låg till medel. R1 förblir på medel och är permanent beroende av beslut som kunderna fattar. Ingen av de övriga riskerna ligger över medel efter åtgärderna.

Art. 36 är inget straff, och ett samråd är inget medgivande. Det är den väg som förordningen anvisar för situationen där ett användbart förfarande medför en risk som den personuppgiftsansvarige inte helt kontrollerar. En kund som vill använda leveranskontrollen för meddelanden som innehåller hälsouppgifter hittar här fakta för det beslutet.

11. Vad kunder behöver för sin egen konsekvensbedömning (Art. 28(3)(f))

För leveranskontrollen och skanningen bakom inloggningen är kunden personuppgiftsansvarig. Den här sidan ger kunden beskrivningen (avsnitt 6.5 och 6.6), riskerna ur vårt perspektiv (R1, R2, R8) och status för åtgärderna (avsnitt 9). Följande frågor kan endast kunden besvara:

1. Vad skriver mina besökare? Kan man förvänta sig att uppgifter om hälsa, religion, ursprung, medlemskap i fackförening, sexuell läggning, brott eller om barn kommer in via formuläret? Då krävs i regel en konsekvensbedömning för kontrollkopian, och kontrollkopian för detta formulär bör övervägas på nytt.
2. Behöver jag kontrollkopian för alla meddelanden? För att bevisa att vårt testmeddelande kommer fram räcker den för det meddelandet. Där formuläret tillåter det, ställ in den dolda kopian endast för testmeddelanden.
3. Hur informerar jag mina besökare? Personuppgiftsbiträdesavtalet kräver det; Text till integritetspolicyn för din webbplats beskriver kopians väg och vår roll.
4. Vilken rättslig grund har jag? Vårt textförslag anger Art. 6(1)(f) (tillförlitligt mottagande av förfrågningar). För uppgifter enligt Art. 9 räcker denna grund inte ensam.
5. Vilka larmkanaler väljer jag? Larm från äkthetskontrollen kan nämna avsändardomänen. Den som skickar larm till chattjänster utanför EU överför den dit.
6. För skanningen bakom inloggningen: Är testkontot verkligen ett testkonto med minsta nödvändiga rättigheter? Kan inloggningssidan nås endast via https? Ser testkontot andra användares uppgifter? Om ja: på vilka av de angivna sidorna?
7. När raderar jag? Leveranskontrollen och testkontot kan stängas av och raderas när som helst; testkontot skrivs då över permanent.

Ytterligare dokument för kundens bedömning: personuppgiftsbiträdesavtalet, de tekniska och organisatoriska åtgärderna, förteckningen över underbiträden och registret över behandlingar. Frågor om enskilda fakta besvarar vi på contact@lukaswojcik.com.

12. Översyn, version och godkännande

Art. 35(11) kräver en översyn för att bedöma om behandlingen utförs i enlighet med konsekvensbedömningen, åtminstone när risken förändras. Vi ser över denna bedömning minst en gång om året och dessutom före var och en av följande händelser; var och en utlöser en ny mätning, inte bara en genomläsning:

• start av produktionsdriften, med siffror från produktionssystemet i stället för utvecklingssystemet;
• första aktiveringen av leveranskontrollen i produktionssystemet och ingående av avtalet med brevlådeleverantören;
• påslagning av IP-nät i svärmskyddet;
• den första studien, och varje studie med en större lista än den föregående;
• påslagning av den andra sonden eller en ny mottagare i kontrollvägen;
• varje ny användning av språkmodellen som går utöver klassificering av formulär och ”Fix it for me”;
• varje ändring av skärmbilderna, tiderna eller förutsättningarna för aktiva kontroller.

Uppgift	Innehåll
Personuppgiftsansvarig	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen · NIP 7252266190 · contact@lukaswojcik.com
Behörig tillsynsmyndighet	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Polen
Dataskyddsombud	Inte utsett; bedömning enligt Art. 37 i avsnitt 4
Faktaunderlag	Källkod för applikationen och kontrolltjänsten, databasschema, radantal och inställningar i utvecklingssystemet, uppmätta den 11 oktober 2026, endast läsning
Relaterade dokument	Integritetspolicy, Personuppgiftsbiträdesavtal, Tekniska och organisatoriska åtgärder, Underbiträden, Register över behandlingar, EU:s AI-förordning, Godtagbar användning och missbruk, FormExposedBot, Opt-out
Version	1.0 av den 11 oktober 2026, första versionen
Översyner enligt Art. 35(11)	Inga ännu (första versionen). Varje översyn förs in här med datum, anledning och resultat.
Godkännande	Ännu inte godkänd. Godkännande av ägaren efter juridisk granskning och efter beslut om åtgärderna i avsnitt 9.3 och frågorna i avsnitt 9.4. Extern dataskyddsrådgivning har hittills inte inhämtats.

En avslutande iakttagelse hör hemma i dokumentet och inte i ett följebrev. De delar av formexposed som når längst in i andras domäner – testinskickningarna och inloggningen med någon annans inloggningsuppgifter – är byggda med störst försiktighet: två spärrar, hårda tak, kryptering som stänger ute till och med oss själva. Riskerna i denna bedömning ligger mestadels på annat håll: i det som följer med av en händelse – verkliga meddelanden i en dold kopia, människor i en skärmbild, kontroller som ingen längre raderar. Det är ett gynnsamt utgångsläge, eftersom det som följer med av en händelse kan stoppas utan att tjänsten ändras.