Co strona robi z danymi, poza tekstem banera.

Nie. To techniczny pomiar publicznej powierzchni strony, z dowodami i z ograniczeniami każdego stwierdzenia. Wiele obowiązków ustawy — podstawa przetwarzania, umowy z podmiotami przetwarzającymi, rejestr czynności przetwarzania, ocena skutków, informowanie pracowników — nie da się zaobserwować z zewnątrz i nie pojawia się w raporcie. Wynik nie jest opinią prawną i nie oblicza żadnej kary.

Skaner znajduje baner, naciska przycisk odmowy i nasłuchuje żądań sieci przez kolejne trzy sekundy. Tracker jest sygnalizowany tylko wtedy, gdy wysyłał dane już przed zgodą i nadal to robi po odmowie, bez sygnału odmowy w żądaniu. To jedyny test w silniku, który wymaga żywej, interaktywnej przeglądarki, a nie statycznego obrazu strony — i to dlatego skanowanie trwa sekundy, a nie milisekundy.

Nie. Silnik jest deterministyczny: te same dane wejściowe dają ten sam wynik, a każda waga i każdy próg znajdują się w jednym pliku stałych, a nie są rozrzucone po kodzie. Istnieje asystent, który wyjaśnia raport, i to jest model językowy — ale niczego nie przelicza, a jeśli cytuje artykuł, którego nie potwierdzamy w tekście ustawy, jego odpowiedź nie jest wyświetlana.

Nie. Oznacza, że testowana publiczna powierzchnia zachowuje się dobrze w testowanych scenariuszach. Organizacja może mieć nienaganną stronę i nieistniejący rejestr czynności przetwarzania. Działa to też odwrotnie: zły wynik niemal na pewno pokazuje realny problem, ponieważ kontrole, które tną najgłębiej — trackery przed zgodą, odmowa, która niczego nie zatrzymuje — opisują coś, co dzieje się teraz każdej osobie odwiedzającej stronę.

To jedna wizyta, jak zwykłego odwiedzającego, z maksymalnym budżetem 45 sekund. User-agent identyfikuje się i przechodzi do strony wyjaśniającej skanowanie oraz sposób odmowy, a robots.txt witryny jest domyślnie respektowany. Nie są wysyłane formularze, nie są tworzone konta i nie podejmuje się żadnego logowania.

Baner ukryty w zamkniętym shadow-root pozostaje z definicji niewidoczny — deklarujemy to i mamy test, który nas z tego rozlicza. Nie widzimy też, co dzieje się po zalogowaniu, co serwer robi z danymi wysłanego formularza, dokąd trafiają dalej ani co przewidują umowy. Raport mówi, co udało się zaobserwować, a czego nie, a gdy strona nie wyrenderowała się poprawnie, zapisuje werdykt zamiast go wymyślać.

Istnieje rejestr zawierający 90 artykułów Ustawy 195/2024, z odciskiem MD5 dokumentu źródłowego. Artykuł, którego nie ma w rejestrze, nie jest drukowany. A jeśli tekst przypisuje odniesienie innemu aktowi — na przykład Rozporządzeniu UE 2016/679 — jest to rozpoznawane jako takie, a nie uznawane za zmyślone. Te dwa błędy nie są symetryczne: prawdziwe cytowanie odrzucone znika, nie sprawiając wrażenia, że coś jest zepsute.

195/2024, z 23 sierpnia 2026. Kod tego nie zakłada, tylko oblicza na podstawie daty skanowania: przed tą datą aktywna była 133/2011, a 195/2024 była raportowana jako przygotowywana; po niej — odwrotnie. Stary raport pozostaje więc czytelny w swoim reżimie, bez twierdzenia, że mówił coś innego.