Kell süti-ablak, ha a látogatómérés sütit sem használ?

Igen, kell. Ha a mérőkód a böngésződben fut, és a látogató eszközéről küld vissza adatot, akkor ahhoz hozzájárulás kell, akkor is, ha egyetlen sütit sem tesz le. A szabály az eszközhöz való hozzáférésről szól, nem a sütiről.

Miért nem a sütin múlik?

Azért, mert az uniós szabály a „végberendezésen tárolt információhoz való hozzáférést” szabályozza, a süti csak az egyik példa. Az ePrivacy irányelv 5. cikk (3) bekezdése szerint az információ tárolása vagy a már tárolt információhoz való hozzáférés a felhasználó végberendezésén csak hozzájárulással vagy meghatározott szükségességi okból megengedett. Az EDPB (az európai adatvédelmi testület) 2/2023-as iránymutatása az 1. pontban kimondja: az 5. cikk (3) bekezdés nem kizárólag a sütikre, hanem a „hasonló technológiákra” is vonatkozik.

A magyar jogban ezt az elektronikus hírközlésről szóló 2003. évi C. törvény (Eht.) 155. § (4) bekezdése ülteti át. A hatályos szöveg a Jogtárban így szól: elektronikus hírközlő végberendezésen „csak az érintett felhasználó vagy előfizető világos és teljes körű – az adatkezelés céljára is kiterjedő – tájékoztatását követő hozzájárulása alapján lehet adatot tárolni, vagy az ott tárolt adathoz hozzáférni.”

Mit mond az EDPB a böngészőben futó szkriptről?

Azt, hogy ha te utasítod a látogató böngészőjét, hogy küldjön vissza adatot, az hozzáférés a végberendezéshez. A 2/2023-as iránymutatás (2024. október 7-i, 2.0 változat) három helyen fontos nekünk:

• 33. pont: ha a hozzáférő fél olyan szoftvert juttat a készülékre, amely aztán magától hív egy API-végpontot, az ugyanúgy az 5. cikk (3) hatálya alá esik. Példaként a JavaScript-kódot említi, amellyel az oldal arra utasítja a böngészőt, hogy aszinkron kéréseket küldjön a keresett információval.
• 47–48. pont: a követőpixel olyan hivatkozás, amelynek egyetlen célja, hogy a kliens kapcsolatot létesítsen a pixel gazdájával. A weboldalakon használt pixelekhez a tulajdonos olyan adatokat is fűzhet, amelyekből elemzői jelentések készülhetnek.
• 49–51. pont: a követőlinkek (az URL-hez fűzött azonosító) és a pixelek terjesztése tárolásnak számít, legalább a gyorsítótáron keresztül, akkor is, ha nem tartós. A dinamikusan összeállított pixeleknél az utasítás magának a programkódnak (általában JavaScriptnek) a terjesztése, ezért az azonosítók begyűjtése „hozzáférés” az 5. cikk (3) értelmében.

Az iránymutatás nem említ konkrét mérőeszközt, és nem tárgyalja külön a süti nélküli, adatkímélő mérést. Ez a mi értelmezésünk: egy mérőszkript, amely az oldalcímet, a hivatkozó oldalt és a képernyőméretet küldi vissza a böngészőből, pontosan abba a körbe esik, amit a 33. pont leír.

Mit mondott eddig a NAIH?

Olyan állásfoglalást vagy határozatot, amely kifejezetten a süti nélküli, adatkímélő látogatómérésről szólna, nem találtunk. Ezért kimondjuk: ebben a kérdésben nincs magyar hatósági álláspont, amire építhetnél.

Amit találtunk, az a hozzájárulási felület kialakításáról szól. A NAIH a NAIH-3195-11/2022. számú határozatában (két tévés weboldal ügyében) elmarasztalta az üzemeltetőt. Kifogásolta, hogy a „mindent elfogadás” az első szinten, érdemi tájékoztatás nélkül elérhető, a „mindent elutasítás” viszont csak a második szinten. A határozat GDPR-alapú, de a felület-tervezésre jól használható útmutatás.

Miben más a szerveroldali naplóelemzés?

Abban, hogy a szerver nem tárol semmit a látogató gépén, és nem is kér vissza tőle semmit. A weboldal kiszolgálásakor a szerver úgyis megkapja a kérést, a naplóból utólag számolhatsz oldalmegtekintést. Az Eht. 155. § (4) bekezdése, ahogy az EDPB 32–33. pontja is leírja, arra az esetre szól, amikor a hozzáférő fél „proaktívan utasítja” a készüléket, hogy adatot küldjön. Napló-elemzésnél ilyen utasítás nincs.

Ez nem jelenti azt, hogy szabad a pálya. Az IP-cím személyes adat, tehát a GDPR érvényes: kell jogalap, tájékoztatás, megőrzési idő. A naplóelemzés pontatlanabb is: a botokat nehezebb kiszűrni, és nem látod, mit csinált a látogató az oldalon belül. Ez a mi megfigyelésünk, nem jogszabályi állítás.

Milyen a korrekt hozzájárulási ablak?

Olyan, ahol az igen és a nem ugyanolyan könnyű, és a döntés előtt semmi nem fut. Konkrétan:

• Két egyenrangú gomb. Az „Elfogadom” és az „Elutasítom” ugyanakkora, ugyanolyan súlyú és kontrasztú, az első szinten.
• Döntés előtt nulla mérés. A szkript be sem töltődik, nincs kérés a mérőszerver felé. Ezt a böngésző hálózati paneljén ellenőrizheted.
• Nincs előre bejelölt opció. Az ablak bezárása legyen elutasítás.
• Rövid, érthető szöveg: mit mérsz, kinél van az adat, és kinek nem adod át.
• Könnyű visszavonás. A GDPR 7. cikk (3) bekezdése szerint a visszavonásnak ugyanolyan egyszerűnek kell lennie, mint a megadásnak. Egy állandó lábléc-link („Süti- és mérési beállítások”) ezt megoldja.
• A döntést megjegyzed, de nem örökre. Mi 12 hónapig tároljuk, utána újra rákérdezünk.

Mi a GDPR oldal?

A jogalap a hozzájárulás, és a mérés csak annyi adatot gyűjthet, amennyi a céljához kell. A GDPR 6. cikk (1) bekezdés a) pontja szerint a hozzájárulás önálló jogalap, az 5. cikk (1) bekezdés c) pontja pedig az adattakarékosságot írja elő. Az Eht. 155. § (4) bekezdése a készülékhez való hozzáférés feltétele, a GDPR a személyes adat kezelésének feltétele. Mérésnél a kettő együtt él, ezért ugyanaz a hozzájárulás szolgálja mindkettőt.

Az adatkímélő eszköz ebben segít, de nem helyettesíti a hozzájárulást: kevesebb adatot kezel, rövidebb ideig, és nem ad tovább reklámcégeknek. Az uniós, saját szerver pedig leegyszerűsíti a tájékoztatót, mert nincs harmadik országba történő adattovábbítás, amit külön meg kellene indokolni.

Hogyan csináltuk mi?

Ez a saját gyakorlatunk, nem szabályzat. Önállóan üzemeltetett Plausible példányt használunk, Németországban lévő szerveren. Mielőtt a látogató dönt, az oldal nulla mérési kérést küld. Az „Elfogadom” és az „Elutasítom” gomb egyenrangú, a döntést 12 hónapig tároljuk, a láblécben pedig ott a „Süti- és mérési beállítások” link a módosításhoz. Az adatmegőrzés 24 hónap. 2026 októberében ezt kigurítottuk minden általunk üzemeltetett oldalra.

Mit csinálj most?

1. Nyisd meg az oldaladat a böngésző hálózati paneljével, és nézd meg, mi megy ki, mielőtt bármit megnyomsz.
2. Ha mérőszkript fut döntés előtt, tedd hozzájáruláshoz kötötté.
3. Ellenőrizd, hogy az „Elutasítom” az első szinten ott van, és ugyanolyan jól látszik, mint az „Elfogadom”.
4. Tegyél a láblécbe állandó beállítás-linket.
5. Frissítsd az adatkezelési tájékoztatót: cél, jogalap, megőrzési idő, hol van az adat.
6. Elutasítás után ellenőrizd újra a hálózati panelt: nem mehet ki mérési kérés.

Források

1. Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, 2.0 változat — Európai Adatvédelmi Testület, 2024. október 7.
2. 2003. évi C. törvény az elektronikus hírközlésről, 155. § — Nemzeti Jogszabálytár
3. 2003. évi C. törvény az elektronikus hírközlésről, hatályos szöveg — Jogtár
4. NAIH-3195-11/2022. számú határozat — Nemzeti Adatvédelmi és Információszabadság Hatóság, 2022
5. 2002/58/EK irányelv (ePrivacy), 5. cikk (3) — EUR-Lex
6. (EU) 2016/679 rendelet (GDPR), 5., 6., 7. cikk — EUR-Lex