Cookie-nyilatkozat: 2026-os megfelelőségi útmutató weboldal-tulajdonosoknak

A cookie-nyilatkozat világos, hozzáférhető közlemény, amely tájékoztatja a weboldal látogatóit a sütik használatáról, és ahol azt a jogszabály megkívánja, beszerzi a hozzájárulásukat. Az alapul szolgáló mechanizmus szakmai megnevezése „hozzájárulás-kezelő platform” vagy „hozzájárulási sáv”, a „cookie-nyilatkozat” azonban azt a látható értesítést jelenti, amelyet a felhasználók látnak. A GDPR, az ePrivacy Directive, a CCPA és a CPRA alapján a weboldalaknak meg kell jeleníteniük ezt az értesítést, mielőtt nem elengedhetetlen sütiket helyeznének el a látogató eszközén. Ennek elmulasztása hatósági fellépésnek, bírságoknak és a felhasználói bizalom elvesztésének teszi ki a vállalkozásokat. Ez az útmutató bemutatja, mit ír elő a jog, hogyan hozzon létre megfelelő értesítést, és hogyan tartsa azt fenn az idő múlásával.

Milyen jogszabályok írnak elő cookie-nyilatkozatot?

Három nagy szabályozási keretrendszer határozza meg a cookie-nyilatkozatra vonatkozó követelményeket világszerte. A GDPR és az ePrivacy Directive az EU lakosait célzó weboldalakat szabályozza. A CCPA és a CPRA a kaliforniai lakosok adatait kezelő vállalkozásokra vonatkozik. Brazília LGPD-je hasonló, hozzájáruláson alapuló modellt követ. Minden keretrendszernek megvannak a maga sajátos szabályai, de mind egy alapelven osztozik: a felhasználóknak érdemi ellenőrzést kell gyakorolniuk afölött, hogyan gyűjtik az adataikat.

A GDPR és a PECR alapján a nem elengedhetetlen sütik előzetes, kifejezett és egyértelmű hozzájárulást igényelnek, mielőtt bármilyen nyomkövető szkript lefutna. A „feltétlenül szükséges” sütik, például a munkamenet-tokenek és a kosáradatok, mentesülnek ez alól. Az analitikai sütik, a hirdetési képpontok és a közösségimédia-nyomkövetők nem mentesülnek, és aktív beleegyezést (opt-in) igényelnek.

Az egyesült államokbeli tagállami törvények másképp működnek. A CCPA és a CPRA lemondási (opt-out) modellt követ, ami azt jelenti, hogy a weboldalak alapértelmezetten elhelyezhetnek sütiket, de egyértelmű „Ne adja el vagy ossza meg személyes adataimat” mechanizmust kell biztosítaniuk. Számos egyesült államokbeli tagállam azt is előírja, hogy a weboldalak tartsák tiszteletben a Global Privacy Control (GPC) jelzéseket, amelyek böngészőszintű jelzések, és automatikusan közlik a felhasználó lemondási preferenciáját.

A főbb keretrendszerek közös alapelvei:

• A hozzájárulásnak önkéntesnek kell lennie. A felhasználók nem büntethetők a nem elengedhetetlen sütik elutasításáért.
• A hozzájárulásnak konkrétnak kell lennie. Az összes süti általános elfogadása nem elégíti ki a GDPR követelményeit.
• A hozzájárulásnak tájékozottnak kell lennie. A felhasználóknak meg kell érteniük, mit tesznek a sütik, mielőtt beleegyeznek.
• A hozzájárulásnak visszavonhatónak kell lennie. A visszavonásnak olyan egyszerűnek kell lennie, mint a megadásnak.
• A feltétlenül szükséges sütik mindig mentesülnek a hozzájárulási követelmények alól.

Az EU adatvédelmi hatóságai megkövetelik, hogy az Elfogadás és Elutasítás lehetőségek azonos vizuális hangsúlyt kapjanak. Az Elutasítás gomb további kattintások mögé rejtése, vagy szürkére állítása, miközben az Elfogadás gomb élénkzöld, elismerten nem megfelelő minta.

Hogyan hozzon létre hatékony cookie-nyilatkozati üzenetet

Egy hatékony cookie-nyilatkozat három dolgot közöl világosan: milyen sütiket használ az oldal, miért használja őket, és mit tehet ezzel kapcsolatban a felhasználó. Az üzenetnek bármely nem elengedhetetlen süti lefutása előtt kell megjelennie, nem pedig az oldal betöltődése után.

A sáv szövegének tartalmaznia kell:

• A használatban lévő süti-kategóriák közérthető leírását (szükséges, analitikai, marketing, preferenciák).
• Az egyes kategóriák célját, például: „az analitikai sütik segítenek megérteni, hogyan használják a látogatók az oldalunkat.”
• Hivatkozást egy önálló cookie-szabályzat dokumentumra, amely teljes technikai részletességgel szolgál.
• Egyértelmű Elfogadás és Elutasítás gombokat, azonos vizuális súllyal.
• Hivatkozást vagy gombot a kategóriánkénti részletes preferenciák kezeléséhez.

Maga a cookie-szabályzat egy különálló jogi dokumentum. A cookie-szabályzatnak el kell magyaráznia minden használt sütit, azok kategóriáit, az adatkezelés jogalapjait és a felhasználói jogokat. Ennek az információnak egy általános adatvédelmi szabályzatba rejtése nem felel meg a hatósági elvárásoknak.

Profi tipp: Soha ne jelölje be előre a hozzájárulási jelölőnégyzeteket. Az előre bejelölt négyzetek a GDPR alapján nem minősülnek érvényes hozzájárulásnak. Minden hozzájárulási kategóriának bejelöletlenül kell indulnia, és a felhasználónak aktívan kell kiválasztania azt.

A megtévesztő minták (dark patterns) gyakori megfelelőségi hibák. Egy „süti-fal”, amely megakadályozza az oldal elérését, hacsak a felhasználó nem fogad el minden sütit, nem felel meg a GDPR-nak, mert a hozzájárulás nem önkéntes, ha a hozzáférés attól függ. A hatóságok kifejezetten e gyakorlat ellen indítottak hatósági eljárásokat.

A jó sávszöveg közvetlen és konkrét. „Analitikai sütiket használunk a forgalom mérésére, marketingsütiket pedig releváns hirdetések megjelenítésére. Elfogadhatja mindet, elutasíthatja mindet, vagy kezelheti preferenciáit.” A rossz sávszöveg homályos és manipulatív: „Sütiket használunk az élmény javítására”, mindössze egy látható Elfogadás gombbal.

Technikai megvalósítás: szkriptek blokkolása és a hozzájárulás tárolása

A leggyakoribb megfelelőségi hiba az, hogy a hozzájárulási sáv megjelenítése közben a nyomkövető szkriptek továbbra is betöltődnek a háttérben. A nem elengedhetetlen szkripteket alapértelmezetten blokkolni kell, amíg a felhasználó aktívan meg nem adja a hozzájárulását. Egy szkript néhány másodperces késleltetése nem elégíti ki ezt a követelményt.

A helyes technikai megközelítés három rétegből áll:

1. Szkriptek alapértelmezett blokkolása. Lássa el az összes nem elengedhetetlen szkriptet olyan type attribútummal, amely megakadályozza, hogy a böngésző lefuttassa őket. A hozzájárulás-kezelő platform ezután csak akkor cseréli le a blokkolt címkét aktívra, miután a felhasználó hozzájárult a vonatkozó kategóriához.
2. Hozzájárulási kategóriák leképezése. Csoportosítsa a szkripteket kategóriákba: szükséges, analitikai, marketing és preferenciák. Amikor a felhasználó elfogadja az analitikait, de elutasítja a marketinget, csak az analitikai szkripteknek szabad lefutniuk.
3. Hozzájárulás tárolása és auditnaplók. A hozzájárulási nyilvántartásoknak tartalmazniuk kell egy időbélyeget, az elfogadott hozzájárulási kategóriákat, valamint az adott időpontban érvényes cookie-szabályzat verzióját. Egy hashelt azonosító elegendő. Nevek vagy e-mail-címek tárolása erre a célra szükségtelen, és további adatkockázatot teremt.

Profi tipp: Tesztelje a megvalósítást a böngésző fejlesztői eszközeinek megnyitásával, és ellenőrizze a Network (Hálózat) fület, mielőtt bármit tenne a hozzájárulási sávval. Semmilyen analitikai vagy marketingkérésnek nem szabad megjelennie, amíg rá nem kattint az Elfogadás gombra.

A felhasználók számára állandó mechanizmust is biztosítani kell a hozzájárulásuk megváltoztatásához. Egy kis „Süti beállítások” hivatkozás az oldal láblécében, amely újra megnyitja a hozzájárulás-kezelőt, kielégíti ezt a követelményt. E hivatkozás eltávolítása az első látogatás után olyan megfelelőségi hiányosság, amelyet a hatóságok auditok során jeleztek.

A megfelelőség fenntartása: sütik auditálása és a nyilatkozatok frissítése

A cookie-megfelelőség nem egyszeri feladat. A weboldalak folyamatosan változnak. Az új bővítmények, harmadik féltől származó widgetek, beágyazott videók és hirdetési szkriptek olyan sütiket vezethetnek be, amelyeket az eredeti hozzájárulási értesítésben soha nem közöltek. A felhasználói hozzájárulás nélkül lefutó, kategorizálatlan sütik közvetlen hatósági jogsértést jelentenek, még akkor is, ha van sáv.

A rendszeres süti-auditálás során a weboldalt átvizsgálják, hogy azonosítsák az összes használatban lévő sütit és nyomkövető technológiát, majd ellenőrzik, hogy mindegyik helyesen van-e kategorizálva és közölve. A vizsgálatoknak minden fontosabb oldalra ki kell terjedniük, nem csak a kezdőlapra, mert a harmadik féltől származó szkriptek gyakran eltérően töltődnek be a különböző oldaltípusokon.

Legjobb gyakorlatok a folyamatos megfelelőséghez:

• Ütemezzen süti-vizsgálatokat legalább negyedévente, vagy minden jelentős oldalfrissítés után.
• Dokumentáljon minden talált sütit, beleértve annak nevét, szolgáltatóját, kategóriáját, időtartamát és célját.
• Frissítse a cookie-szabályzatot és a sáv kategóriáit, valahányszor új sütit adnak hozzá vagy távolítanak el.
• Vizsgálja felül a hozzájárulási folyamatokat új földrajzi piacokra való belépéskor, mivel a regionális szabályok eltérőek.
• Őrizze meg a hozzájárulási nyilvántartásokat legalább az alkalmazandó jog által előírt ideig.

A földrajzi célzás egy további réteget ad hozzá. Egy olyan weboldalnak, amely EU-s és egyesült államokbeli látogatókat is kiszolgál, szükség lehet arra, hogy az európai látogatóknak beleegyezési (opt-in) sávot, a kaliforniai lakosoknak pedig lemondási (opt-out) értesítést jelenítsen meg, az egyes felhasználók észlelt helye alapján. Egy cookie-megfelelőségi ellenőrzőlista segít ellenőrizni, hogy minden regionális folyamat megfelel-e a helyes szabványnak.

A Passiro süti-vizsgáló eszközei automatizálják a felfedezési és kategorizálási folyamatot, csökkentve a több domainre kiterjedő, pontos süti-nyilvántartás fenntartásához szükséges kézi munkát.

Gyakori hibák és javításuk

A legtöbb cookie-nyilatkozati hiba néhány ismétlődő mintába sorolható. Ezek korai azonosítása megelőzi a hatósági kockázatot.

• Előre bejelölt hozzájárulási négyzetek. Távolítsa el őket. A GDPR alapján minden hozzájárulási kategóriának alapértelmezetten bejelöletlennek kell lennie.
• Süti-falak. Távolítsa el a süti-elfogadáshoz kötött hozzáférési korlátozásokat. A hozzájárulásnak önkéntesnek kell lennie.
• Rejtett Elutasítás lehetőségek. Az Elutasítás vagy Mindet elutasítom gombnak ugyanolyan láthatónak és hozzáférhetőnek kell lennie, mint az Elfogadás gombnak.
• Nincs auditnapló. Valósítson meg hozzájárulás-naplózást időbélyegekkel, kategóriákkal és szabályzatverzió-számokkal.
• Szkriptek futása a hozzájárulás előtt. Használjon megfelelő, script-type alapú blokkolást, ne csupán késleltetett betöltést.
• Nincs visszavonási mechanizmus. Adjon hozzá egy állandó „Süti beállítások” hivatkozást a lábléchez.
• Elavult cookie-szabályzat. Vizsgálja felül és frissítse a szabályzatot minden olyan oldalváltoztatás után, amely nyomkövetést ad hozzá vagy távolít el.

Profi tipp: Használjon privát böngészőablakot a hozzájárulási sáv első látogatóként való teszteléséhez. Ellenőrizze, hogy semmilyen analitikai vagy hirdetési süti ne jelenjen meg a böngésző tárolópaneljén, mielőtt a sávval bármit tenne.

A böngészők és eszközök közötti tesztelés is számít. A hozzájárulási viselkedés eltérhet a Chrome, Firefox, Safari és a mobilböngészők között. Egy olyan sáv, amely asztali gépen helyesen blokkolja a szkripteket, mobilon meghiúsulhat, ha a megvalósítás olyan böngészőfunkciókra támaszkodik, amelyeknek a támogatottsága ingadozó. Ellenőrizze a teljes hozzájárulási folyamatot legalább három böngésző- és eszközkombináción az indítás előtt.

Legfontosabb tanulságok

Egy megfelelő cookie-nyilatkozat megköveteli a nem elengedhetetlen szkriptek alapértelmezett blokkolását, azonos súlyú Elfogadás és Elutasítás lehetőségek felkínálását, időbélyeggel ellátott hozzájárulási nyilvántartások tárolását, valamint a sütik rendszeres auditálását a közlemények pontosságának megőrzése érdekében.

Miért érdemes elsőre jól csinálni a megfelelőséget

A cookie-hozzájárulás megfelelősége kívülről egyszerűnek tűnik. Megjelenik egy sáv, a felhasználó rákattint, az oldal pedig továbblép. A valóság azonban igényesebb. Több tucat megvalósítást vizsgáltam át, amelyek úgy jelenítenek meg egy sávot, hogy közben egyszerre töltik be a Google Analyticsöt, a Meta Pixelt és a hirdetési szkripteket a háttérben. A sáv csak akkor nyújt jogi fedezetet, ha a mögöttes technikai viselkedés megfelel annak, amit ígér.

Egy jól megvalósított hozzájárulási értesítés értéke túlmutat a bírságok elkerülésén. Azok a felhasználók, akik egy világos, őszinte sávot látnak valódi Elutasítás lehetőséggel, nagyobb valószínűséggel bíznak meg az oldalban, és idővel nagyobb valószínűséggel adják meg hozzájárulásukat. Az átlátható sávokon a hozzájárulási arányok következetesen felülmúlják a manipulatív terveken tapasztaltakat, mert a kényszerítettséget érző felhasználók gyakran teljesen elhagyják az oldalt.

A folyamatos karbantartási követelmény az, ahol a legtöbb kis- és középvállalkozás elmarad. Egy bővítményfrissítés, egy új hirdetési partner vagy egy beágyazott YouTube-videó egyik napról a másikra bevezethet nem közölt sütiket. Egy ütemezett auditfolyamat nélkül ezek a kiegészítések csendben halmozódnak, amíg egy panasz vagy hatósági felülvizsgálat napvilágra nem hozza őket.

A technikai megvalósítás egyszeri helyes elvégzése, majd egy negyedéves felülvizsgálat beépítése a szokásos oldalüzemeltetésbe a legköltséghatékonyabb út a tartós megfelelőséghez. Az alternatíva a hatósági megkeresés utáni reaktív helyreállítás, amely lényegesen többe kerül időben, jogi költségekben és hírnévbeli károkban.

— Bo

A Passiro egyszerűvé teszi a cookie-hozzájárulás megfelelőségét

Egy megfelelő cookie-hozzájárulási beállítás kiépítéséhez nincs szükség vállalati szoftverre vagy állandó jogi csapatra. A Passiro ingyenes cookie-hozzájárulási eszközöket kínál, amelyek támogatják a GDPR, ePrivacy, CCPA, CPRA és LGPD szabályozásokat, lefedve azokat a keretrendszereket, amelyek a ma működő legtöbb weboldalt érintik.

A Passiro közvetlenül integrálódik a WordPress, Wix, Squarespace és Webflow rendszerekkel, részletes dokumentációval, amely fejlesztői szakértelem nélkül vezet végig a beállításon. Kifejezetten weboldalépítők számára a Passiro weboldalépítő megoldása alapból kezeli a hozzájárulási sáv telepítését, a szkriptblokkolást és a hozzájárulás tárolását. A WordPress-felhasználók telepíthetik a Passiro WordPress-bővítményt egy ingyenes, TCF 2.3-kompatibilis hozzájárulási beállításhoz, amely automatikusan frissül a szabályozások fejlődésével. A több ügyféldomaint kezelő ügynökségek egyetlen fiókból skálázhatnak az összes oldalon.

GYIK

Mi az a cookie-nyilatkozat?

A cookie-nyilatkozat egy weboldalon megjelenített értesítés, amely tájékoztatja a látogatókat a sütik használatáról, és ahol a jogszabály megkívánja, beszerzi a hozzájárulásukat, mielőtt nem elengedhetetlen sütiket helyeznének el az eszközükön.

Jogilag kötelező-e a cookie-nyilatkozat?

Az EU lakosait célzó weboldalaknak a GDPR és az ePrivacy Directive alapján hozzájárulási sávot kell megjeleníteniük, mielőtt nem elengedhetetlen sütiket helyeznének el. A kaliforniai lakosokat kiszolgáló egyesült államokbeli weboldalaknak lemondási (opt-out) mechanizmust kell biztosítaniuk a CCPA és a CPRA alapján.

Mi a különbség a cookie-nyilatkozat és a cookie-szabályzat között?

A cookie-nyilatkozat a látható sáv vagy értesítés, amely begyűjti a hozzájárulást. A cookie-szabályzat egy különálló jogi dokumentum, amely részletezi az összes használt sütit, azok célját, jogalapját és a felhasználói jogokat.

Használhatok előre bejelölt hozzájárulási négyzetet?

Az előre bejelölt négyzetek a GDPR alapján nem minősülnek érvényes hozzájárulásnak. Minden hozzájárulási kategóriának alapértelmezetten bejelöletlennek kell lennie, és a felhasználóknak aktívan kell kiválasztaniuk azokat a kategóriákat, amelyekhez hozzájárulnak.

Milyen gyakran kell frissítenem a cookie-nyilatkozatomat?

Vizsgálja felül és frissítse a cookie-értesítést minden jelentős oldalváltoztatás után, és végezzen teljes süti-auditot legalább negyedévente, hogy elkapja a bővítmények vagy harmadik féltől származó szkriptek által bevezetett, nem közölt nyomkövető technológiákat.

Ajánlott

• Cookie-megfelelőségi ellenőrzőlista – 25 pontos ellenőrzés a weboldalához | Passiro
• Cookie-megfelelőség – Teljes útmutató a cookie-hozzájáruláshoz és az adatvédelmi szabályozásokhoz | Passiro
• Cookie-hozzájárulás Wix, Squarespace és Webflow rendszerhez | Passiro
• Cookie-sávok – Tervezési, megvalósítási és megfelelőségi útmutató | Passiro