Какво ни научи GDPR за EAA

Вече сме били тук

През 2018 г. GDPR влезе в сила и реакцията на повечето организации следваше предвидима крива. Период на почти пълно мълчание. После, с приближаването на крайния срок, суматоха. После, когато прилагането действително пристигна, истинска спешност и надпревара да станат съответстващи в срок, който беше далеч по-кратък, отколкото трябваше да бъде.

Европейският акт за достъпност е на същата траектория. Крайният срок — 28 юни 2025 г. — вече изтече. Прилагането е в ход. И организациите, които третираха достъпността като въпрос от типа “ще се погрижим някой ден”, сега откриват, че този “някой ден” е настъпил.

Ако сте преминали през GDPR, голяма част от това, което следва, ще ви се стори познато.

Какво имат общо

Краен срок за съответствие, който повечето организации пропуснаха

Когато GDPR влезе в сила през май 2018 г., проучванията показаха, че мнозинството от бизнесите в ЕС не са съответстващи — в някои доклади цифрата беше над 60%. Историята с EAA изглежда подобна. Проучвания, публикувани малко преди крайния срок през юни 2025 г., последователно показваха, че само малка част от бизнесите, обхванати от акта, са постигнали значимо съответствие.

И двата закона споделят един и същ основен модел: дълъг подготвителен период, през който повечето организации предприемат ограничени действия, последван от прилив на активност с приближаването на крайния срок, последван от текущо прилагане за онези, които не са действали достатъчно бързо.

Териториален обхват, който много бизнеси подцениха

GDPR се прилага за всяка организация, която обработва данни на жители на ЕС, независимо къде е базирана организацията. EAA действа по подобен начин: ако вашият дигитален продукт или услуга се продава на клиенти в ЕС и организацията ви отговаря на праговете за размер (повече от 10 служители и над €2 million оборот), трябва да сте в съответствие — независимо дали централата ви е в Мюнхен или Сан Франциско.

Много бизнеси извън ЕС бяха изненадани от обхвата на GDPR. Същото се случва и с EAA.

Рамка на санкциите с реални зъби

Глобите по GDPR — до 4% от глобалния годишен оборот или €20 million, което от двете е по-голямо — станаха заглавия. Организациите се оказаха на приемащия край на многомилионни глоби за пропуски, които в много случаи бяха предотвратими.

Санкциите по EAA се определят на национално ниво, така че варират между държавите членки. Но не са тривиални. Италия и Франция предвиждат глоби в диапазона на десетки хиляди евро за нарушение. Прилагането на Barrierefreiheitsstärkungsgesetz (BFSG) в Германия включва значителни санкции. И за разлика от GDPR, при който много нарушения бяха открити чрез изтичане на данни или оплаквания, провалите в достъпността са видими за всеки, който посети уебсайта ви с екранен четец — което включва застъпническите организации за хора с увреждания, които подават оплаквания за достъпност.

Нарушенията на достъпността са видими отвън

Нарушенията на GDPR често изискваха вътрешно оплакване или уведомление за пробив, за да излязат наяве. Провалите в достъпността са публично откриваеми. Всеки може да отвори уебсайта ви, да стартира автоматизирано сканиране или да го тества с екранен четец и да документира това, което открие. Групите за застъпничество на хората с увреждания правят точно това, систематично.

Това означава, че кръгът от потенциални оплакващи се е много по-голям, а бариерата за подаване на оплакване е много по-ниска. Не ви трябва достъп до вътрешни системи или изтекли документи. Трябва ви само браузър.

Техническият стандарт вече е определен

GDPR изискваше организациите да прилагат “подходящи технически и организационни мерки” за защита на данните — стандарт, който беше умишлено неясен, за да позволи технологична промяна. EAA определя конкретен технически стандарт: EN 301 549, който препраща към Насоките за достъпност на уеб съдържанието (WCAG 2.1/2.2) на ниво AA.

Тази яснота е нож с две остриета. От една страна, организациите знаят точно какво трябва да постигнат. От друга страна, тя улеснява доказването на несъответствие — автоматизираните инструменти могат да генерират подробен доклад за нарушения за секунди.

Ранното прилагане вече се случва

GDPR имаше относително спокойна първа година на прилагане, преди да пристигнат големите глоби. Прилагането на EAA се движи по-бързо. Френските власти започнаха да издават уведомления на големи търговци на дребно скоро след крайния срок. Съд в Париж се произнесе по дело за достъпност на училищна платформа, което включваше потенциални глоби от €25,000 годишно. Застъпнически организации в държавите членки на ЕС активно подават оплаквания.

”Ще станем съответстващи, преди прилагането да ни достигне” не е стратегия

Много организации направиха тази сметка с GDPR и откриха, че прилагането беше по-бързо и по-целенасочено, отколкото очакваха. Оплакванията за достъпност се подават сега. Организациите, които изпреварват това, са онези, които започват да правят одити и отстраняване, преди да получат официално уведомление.

Документацията има толкова значение, колкото и техническата поправка

GDPR изискваше организациите да поддържат записи за дейностите по обработка, оценки на въздействието върху защитата на данните и доказателства за съгласие. EAA изисква достъпни платформи и, в много национални прилагания, декларации за достъпност, които документират текущите нива на съответствие, известните изключения и механизмите за контакт, чрез които потребителите да съобщават за бариери.

Наличието на декларация за достъпност, която точно отразява текущото ви състояние — и способността да демонстрирате непрекъснато подобрение — е значимо доказателство за добросъвестно съответствие.

Съответствието е процес, а не проект

Капанът на мисленето при GDPR беше третирането на съответствието като отметка за поставяне: наеми правен екип, актуализирай политиката за поверителност, добави банери за бисквитки, готово. Много организации след това спряха — само за да открият, че трябва да преразгледат съответствието си, когато пускат нови продукти или актуализират съществуващи.

Достъпността работи по същия начин. Всяка нова функция, всеки компонент от трета страна, всяко освежаване на дизайна може да въведе нови бариери. Устойчивото съответствие изисква интегриране на достъпността в процесите ви на разработка и създаване на съдържание, а не третирането ѝ като еднократно отстраняване. Нашето ръководство за достъпност в жизнения цикъл на разработка на софтуер обхваща как изглежда това на практика.

Започнете с базова оценка

Преди да можете да планирате отстраняване, трябва да разберете къде се намирате в момента. Това означава да проведете одит — както автоматизиран, така и ръчен — за да документирате провалите, да ги приоритизирате по въздействие и честота и да създадете реалистичен план за отстраняване.

Ако все още не сте направили това, най-бързата отправна точка е безплатно автоматизирано сканиране, което ви дава незабавна картина на автоматизируемите нарушения. За пълната картина — включително приблизително 60–70% от бариерите, които автоматизираните инструменти не могат да открият — е необходимо ръчно тестване от хора, които използват помощни технологии.

Организациите, които се справиха добре с GDPR, не чакаха прилагането. Те оцениха позицията си, направиха план и го изпълниха със същата спешност, която биха приложили към всеки друг съществен бизнес риск. EAA заслужава същото отношение.