Cosa fa un sito con i dati, oltre al testo del banner.

No. È una misurazione tecnica della superficie pubblica del sito, con prove e con i limiti di ogni rilievo. Molti obblighi della legge — la base del trattamento, i contratti con i responsabili, il registro dei trattamenti, la valutazione d’impatto, l’informazione dei dipendenti — non possono essere osservati dall’esterno e non compaiono nel report. Il punteggio non è un parere legale e non calcola alcuna sanzione.

Lo scanner trova il banner, preme il pulsante di rifiuto e ascolta le richieste di rete per altri tre secondi. Un tracker viene segnalato solo se trasmetteva già prima del consenso e continua anche dopo il rifiuto, senza un segnale di rifiuto nella richiesta. È l’unico controllo nel motore che richiede un browser vivo, interattivo, non un’immagine statica della pagina — ed è il motivo per cui la scansione dura secondi, non millisecondi.

No. Il motore è deterministico: gli stessi input danno lo stesso punteggio, e ogni peso e ogni soglia stanno in un unico file di costanti, non sparsi nel codice. Esiste un assistente che spiega il report, e quello è un modello di linguaggio — ma non ricalcola nulla, e se cita un articolo che non confermiamo nel testo della legge, la sua risposta non viene mostrata.

No. Significa che la superficie pubblica testata si comporta bene negli scenari testati. Un’organizzazione può avere un sito impeccabile e un registro dei trattamenti inesistente. Funziona meglio al contrario: un punteggio basso indica quasi certamente un problema reale, perché i controlli che incidono più a fondo — tracker prima del consenso, rifiuto che non blocca nulla — descrivono qualcosa che sta accadendo proprio ora a ogni visitatore.

È una singola visita, come quella di un visitatore ordinario, con un budget massimo di 45 secondi. Il user-agent si identifica e invia alla pagina che spiega la scansione e come rifiutarla, e il robots.txt del sito è rispettato per impostazione predefinita. Non vengono inviati moduli, non vengono creati account e non si tenta alcuna autenticazione.

Un banner nascosto in uno shadow-root chiuso rimane invisibile per costruzione — lo dichiariamo e abbiamo un test che ci fa rispettare la promessa. Non vediamo nemmeno cosa accade dopo l’autenticazione, cosa fa il server con i dati di un modulo inviato, dove essi arrivino più avanti o cosa prevedano i contratti. Il rapporto indica ciò che ha potuto osservare e ciò che no, e quando la pagina non è stata renderizzata correttamente conserva il verdetto invece di inventarne uno.

Esiste un registro con i 90 articoli della Legge 195/2024, con l’impronta MD5 del documento sorgente. Un articolo che non è nel registro non viene stampato. E se un testo attribuisce un rinvio a un altro atto — ad esempio al Regolamento UE 2016/679 — viene riconosciuto come tale, non dichiarato inventato. I due errori non sono simmetrici: una citazione vera respinta scompare senza che nulla sembri guasto.

195/2024, del 23 agosto 2026. Il codice non lo presume, lo calcola dalla data della scansione: prima di tale data, la 133/2011 era attiva e la 195/2024 era riportata come in preparazione; dopo, il contrario. Un rapporto vecchio rimane così leggibile nel suo regime, senza pretendere di aver detto altro.