Süti-tájékoztató és hirdetésmérés mi kell, és mibe került egy magyar cégnek

Az alapszabály az ePrivacy irányelv 5. cikkének (3) bekezdése. A magyar szöveg szerint a felhasználó végberendezésében történő adattárolás, illetve az ott tárolt adatokhoz való hozzáférés csak akkor megengedett, ha a felhasználó az adatkezelés céljáról szóló egyértelmű és teljes körű tájékoztatás alapján előzetes hozzájárulását adta.

Három részlet, amit érdemes kiemelni ebből a mondatból. Nem a „sütiről” szól — bármilyen tárolásról és hozzáférésről. A hozzájárulásnak előzetesnek kell lennie — tehát a mérőkód nem futhat le előbb. És nincs benne „személyes adat” kikötés — a technikai művelet önmagában kiváltja a szabályt.

Ennek van egy következménye, amivel kevesen számolnak. Az Európai Adatvédelmi Testület 2024 októberében elfogadott iránymutatása szerint a követő pixel és a linkbe fűzött követőazonosító is ugyanide tartozik — a testület szerint az így begyűjtött azonosítók „hozzáférésnek” minősülnek az 5. cikk (3) értelmében. Vagyis a Meta-pixel és az e-mailes nyomkövető pixel jogilag ugyanaz az eset, mint a klasszikus süti. A „sütimentes” megoldás nem kerüli meg a szabályt.

A kivétel az, aminek kizárólagos célja a közléstovábbítás, vagy amire a felhasználó által kifejezetten kért szolgáltatás nyújtásához feltétlenül szükség van. Ezt a WP29 bontotta le tételes listára, amit a NAIH is átvett magyarul:

Két szabály tartozik a listához. Ha egy süti több célt szolgál, csak akkor mentesül, ha mindegyik célja külön-külön is mentesülne. És a mentesülő süti élettartamának közvetlen kapcsolatban kell állnia a céllal — vagyis egy „működéshez szükséges”, kétéves lejáratú süti gyanús.

És most a legfontosabb, amit a legtöbben félreértenek: az analitika nem tartozik ide. A WP29 véleménye szó szerint azt mondja, hogy bár az analitikát gyakran „feltétlenül szükségesnek” tekintik, valójában nem az — a felhasználó a weboldal összes funkcióját eléri akkor is, ha ezek a sütik ki vannak kapcsolva. Ezért az analitikai sütik nem esnek a kivétel alá. Volt egy javaslat egy harmadik kivételre a saját, anonimizált statisztikára — de az csak javaslat maradt, ilyen kivétel ma nem létezik.

2022 szeptemberében a NAIH tízmillió forintos bírságot szabott ki egy nagy magyar médiacégre a sütikezelése miatt. A határozat megállapította, hogy a cég nem adott megfelelő tájékoztatást, és a hozzájárulás-kezelő keretrendszer nem átlátható és világos módon gyűjtötte a hozzájárulásokat. A hatóság a jogsértést szándékosnak minősítette.

További konkrétumok ugyanabból a határozatból, amik közvetlenül alkalmazhatók: nem tisztességes az az elvárás, hogy a látogató 754 partner tájékoztatóját olvassa el és egyenként vonja vissza a hozzájárulást. Nem lehet két párhuzamos, egymással nem látható kapcsolatú hozzájárulás-kezelő ugyanazon az oldalon. És ami a legkeményebb mondat: „Az, hogy ezt a gyakorlatot esetleg más adatkezelők is elterjedten alkalmazzák, még nem teszi jogszerűvé.”

Két fontos pontosítás. A NAIH-nak nincs GDPR utáni, önálló süti-útmutatója — a részletes elvárás-listája (sütinként név, élettartam, cél feltüntetése) egy 2017-es, tehát GDPR előtti webáruház-tájékoztatóból származik. És jogszabályban sehol nem szerepel szó szerint, hogy „Elutasítom” gombnak kell lennie az első szinten — ezt a NAIH kifogásként, az átláthatóság körében rótta fel.

És ami a visszavonást illeti: a GDPR 7. cikkének (3) bekezdése szerint „a hozzájárulás visszavonását ugyanolyan egyszerű módon kell lehetővé tenni, mint annak megadását”. Az EDPB ezt így pontosítja: ha egy kattintással adtad meg, egy kattintással kell tudni visszavonni, ugyanazon a felületen — másik csatornára terelni indokolatlan erőfeszítés lenne. Ha a visszavonás nem felel meg ennek, a testület szerint az egész hozzájárulási mechanizmus nem felel meg.

A gyakorlati kérdés: mit veszítesz, ha valaki elutasít. Röviden: hirdetési célra nem íródnak új sütik, az uniós látogatók kimaradhatnak a remarketing-közönségekből, és a mérésed egy része eltűnik. A Google ezt modellezéssel pótolná — de a modellezésnek küszöbei vannak, amiket magyar méretben gyakran nem érsz el.

Egy tévhitet érdemes eloszlatni: a Google beleegyezési módja nem hozzájárulás-kezelő. A Google saját dokumentációja mondja ki: a beleegyezési mód bekapcsolása „nem biztosít módot arra, hogy hozzájárulást kérj a felhasználóktól”. Az egyik átadja a választ, a másik beszerzi — kettő kell.

WordPressre a Google saját dokumentációja két dolgot ír elő: a WP Consent API bővítményt, ami szabványosítja a bővítmények közti kommunikációt, és egy külön hozzájárulás-kezelőt. Háromat nevesít: Complianz, Cookiebot és CookieYes. Fontos: ez működési kompatibilitás, nem jogi megfelelőségi tanúsítás — a Google maga írja, hogy a kezelőket nem ellenőrzi teljes jogi megfelelésre.

Meta-pixelnél a mechanizmus hasonló: az fbq('consent', 'revoke') hívás felfüggeszti a küldést, a grant engedélyezi — és a dokumentáció szerint a felfüggesztést minden oldalon meg kell tenni, amíg nincs hozzájárulás. A Meta hozzáteszi: „minden cég maga felelős a saját GDPR-megfeleléséért.” A pixel beállításáról külön cikket írtam.

Elég, ha csak „Elfogadom” gomb van?

Az EDPB iránymutatása szerint ha a tartalom csak elfogadással érhető el, nincs valódi választás, tehát a hozzájárulás nem önkéntes. A NAIH külön kifogásolta azt is, amikor az elutasítás csak a második szinten volt elérhető.

Az anonim analitikához sem kell hozzájárulás?

A WP29 véleménye szerint az analitikai sütik nem esnek a kivétel alá. Az anonimizálást a testület kockázatcsökkentő tényezőként említi, nem mentesülésként. GDPR utáni magyar hatósági állásfoglalást erről nem találtam — ez értelmezést igénylő kérdés.

Mit kell tartalmaznia a süti-tájékoztatónak?

A NAIH 2017-es anyaga sütinként kéri a nevet, az élettartamot, a célt és azt, milyen adatokhoz fér hozzá. Az Európai Bíróság a Planet49-ügyben szintén kimondta, hogy tájékoztatni kell a sütik működésének időtartamáról és arról, hogy harmadik felek hozzáférhetnek-e.

Magyar nyelvű kell, hogy legyen?

Erre nem találtam kimondott jogszabályhelyet. A GDPR 12. cikke „világosan és közérthetően megfogalmazva” követelményt ír elő — magyar közönségnek szóló oldalnál ebből nehezen következik más, mint a magyar nyelv, de ez levezetés, nem idézet.

Ha tanúsított kezelőt használok, rendben vagyok?

Nem automatikusan. A NAIH határozata szerint az iparági keretrendszer használata önmagában nem bizonyítja a megfelelést, a Google pedig kimondja, hogy a kezelőket nem ellenőrzi teljes jogi megfelelésre. Az eszköz segít — a felelősség a tiéd marad.