Cookie- és adatvédelmi szabályozások: globális áttekintés

A cookie-megfelelést nem egyetlen jogszabály szabályozza. Nemzeti és regionális rendeletek tarka mozaikja alakítja, amelyek hatókörükben, követelményeikben és végrehajtásukban jelentősen eltérnek egymástól. Minden nemzetközi közönséggel rendelkező weboldal számára – ami a nyílt interneten szinte minden weboldalt jelent – elengedhetetlen annak megértése, hogy mely jogszabályok érvényesek és miben térnek el.

Ez az útmutató feltérképezi a cookie-k és az online nyomkövetés globális szabályozási környezetét, az EU hozzájárulás-központú modelljétől kezdve az USA tájékoztatáson és választáson alapuló megközelítésén át egészen a máshol kialakuló keretrendszerekig.

A globális mozaik

Nem létezik egyetlen „cookie-törvény”. Ehelyett a cookie-megfelelés az adatvédelmi rendeletek, az elektronikus hírközlési irányelvek és a fogyasztóvédelmi jogszabályok metszéspontjában helyezkedik el. Az eredmény egy összetett, olykor ellentmondásos környezet, ahol ugyanaz a weboldal különböző szabályok hatálya alá tartozhat attól függően, hogy látogatói hol tartózkodnak.

Két átfogó modell alakult ki:

• Az EU-modell (hozzájárulás-központú): a nem elengedhetetlen cookie-k csak azután helyezhetők el, hogy a felhasználó tájékozott, konkrét, önkéntes hozzájárulását adta. Az alapértelmezett a nyomkövetés hiánya. A felhasználónak aktívan hozzá kell járulnia.
• Az USA-modell (tájékoztatás és választás): a vállalkozásoknak nyilvánosságra kell hozniuk adatgyűjtési gyakorlataikat, és lehetőséget kell adniuk a felhasználóknak bizonyos felhasználási módok (különösen a személyes adatok értékesítése vagy megosztása) elutasítására. Az alapértelmezett a nyomkövetés, a felhasználó lehetőségével annak elutasítására.

A világ legtöbb új adatvédelmi rendelete az EU-modell felé közelít, bár helyi eltérésekkel. Mindkét modell – valamint az azokon belüli konkrét jogszabályok – megértése szükséges minden határokon átnyúlóan működő weboldal számára.

Az EU-keretrendszer: az ePrivacy irányelv + GDPR

Az Európai Unió cookie-szabályozási megközelítése két, egymással együttműködő jogi eszközre épül:

Az ePrivacy irányelv (2002/58/EK)

Az ePrivacy irányelv – amelyet gyakran „cookie-irányelvnek” neveznek – az EU elsődleges jogszabálya, amely a cookie-k és hasonló nyomkövetési technológiák használatát szabályozza. Kulcsfontosságú rendelkezése, az 5. cikk (3) bekezdése kimondja:

A tagállamok biztosítják, hogy egy előfizető vagy felhasználó végberendezésében történő információtárolás vagy a már ott tárolt információkhoz való hozzáférés csak azzal a feltétellel engedélyezett, hogy az érintett előfizető vagy felhasználó egyértelmű és teljes körű tájékoztatás birtokában hozzájárulását adta.

Az egyetlen kivétel azon cookie-kra vonatkozik, amelyek a felhasználó által kifejezetten kért szolgáltatás nyújtásához „feltétlenül szükségesek” – például a bevásárlókosárhoz vagy a bejelentkezési állapothoz szükséges munkamenet-cookie-k.

Fontos: az ePrivacy irányelv egy irányelv, nem pedig rendelet. Ez azt jelenti, hogy minden EU-tagállam a nemzeti jogába ültette át, helyi eltérésekkel. Az alapelv (a nem elengedhetetlen cookie-khoz szükséges hozzájárulás) egységes, de a végrehajtás részletei eltérnek. Például:

• Franciaország (CNIL): részletes cookie-iránymutatásokat adott ki, beleértve bizonyos, szigorú feltételeket (anonimizálás, oldalak közötti nyomkövetés hiánya, korlátozott megőrzés) teljesítő közönségmérési eszközökre vonatkozó korlátozott mentességet.
• Németország: a TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) révén hajtja végre, amely 2021 decemberében lépett hatályba, és kifejezetten kodifikálta a hozzájárulási követelményt.
• Olaszország (Garante): 2021-ben részletes cookie-iránymutatásokat tett közzé, amelyek elutasítás gombot írnak elő az első rétegen, és tiltják a cookie-falakat.
• Hollandia (AP): valamivel megengedőbb álláspontot foglalt el a cookie-falakkal kapcsolatban, azt sugallva, hogy elfogadhatók lehetnek, ha a felhasználónak van valódi alternatív módja a tartalom elérésére.

A GDPR ((EU) 2016/679 rendelet)

Az általános adatvédelmi rendelet nem említi kifejezetten a cookie-kat, de a személyes adatok kezelését szabályozza – a cookie-k pedig gyakran személyes adatokat érintenek. A GDPR több szempontból is releváns a cookie-megfelelés szempontjából:

• Hozzájárulási követelmény (4. cikk (11) bekezdés, 7. cikk): a GDPR meghatározza, mi minősül érvényes hozzájárulásnak: önkéntes, konkrét, tájékozott, egyértelmű, egyértelmű megerősítő cselekedettel megadott. Ez a követelmény az ePrivacy irányelv szerint megszerzett cookie-hozzájárulásra is vonatkozik.
• Átláthatóság (12–14. cikk): amikor a cookie-k személyes adatokat kezelnek, a GDPR átláthatósági követelményei érvényesek. Ez azt jelenti, hogy cookie-szabályzatának konkrét információkat kell nyújtania az érintett adatkezelésről.
• Jogalap (6. cikk): a személyes adatok cookie-kon keresztüli kezeléséhez jogalap szükséges. A nem elengedhetetlen cookie-k esetében ez a jogalap a hozzájárulás. Egyes adatkezelők a jogos érdekre (6. cikk (1) bekezdés f) pont) próbálnak támaszkodni, de az adatvédelmi hatóságok egyre inkább elutasítják a jogos érdeket a hirdetési és analitikai nyomkövetés jogalapjaként.
• Az érintettek jogai (15–22. cikk): a felhasználóknak joguk van adataik hozzáféréséhez, helyesbítéséhez, törléséhez és hordozhatóságához – beleértve a cookie-kon keresztül gyűjtött adatokat is.
• Területen kívüli hatály (3. cikk): a GDPR minden olyan szervezetre vonatkozik, amely az EU-ban tartózkodó személyek személyes adatait kezeli, függetlenül attól, hogy a szervezet hol van bejegyezve. Egy EU-s ügyfeleket célzó amerikai vállalatnak meg kell felelnie.

A közelgő ePrivacy rendelet

Az Európai Bizottság 2017-ben javasolt egy ePrivacy rendeletet az ePrivacy irányelv felváltására, a szabályok tagállamok közötti harmonizálására és korszerű technológiákhoz való igazítására. 2026 elejéig a rendelet nem véglegesült. A tárgyalások elhúzódtak, nézeteltérésekkel a jogos érdekre vonatkozó kivételek, a cookie-falakra vonatkozó rendelkezések és a böngészőszintű hozzájárulási mechanizmusok terén.

Amikor végül elfogadják, az ePrivacy rendelet közvetlenül alkalmazandó lesz minden tagállamban (ellentétben a jelenlegi irányelvvel, amely nemzeti átültetést igényel). Addig a meglévő ePrivacy irányelv és annak nemzeti végrehajtásai maradnak az irányadó jog.

Az USA-keretrendszer: állami szintű adatvédelmi jogszabályok

Az Egyesült Államoknak nincs szövetségi cookie-törvénye és nincs szövetségi átfogó adatvédelmi törvénye (2026 eleje szerint). Ehelyett az adatvédelmi szabályozás állami szinten alakult ki, tarka mozaikot alkotva a követelményekből.

Kalifornia: CCPA és CPRA

A California Consumer Privacy Act (CCPA), a California Privacy Rights Act (CPRA) által módosítva, az USA legátfogóbb állami adatvédelmi törvénye. A cookie-k szempontjából releváns kulcsfontosságú rendelkezések:

• Az értékesítés/megosztás elutasításához való jog. A fogyasztóknak joguk van elutasítani személyes adataik „értékesítését” vagy „megosztását”. A CPRA szerint a „megosztás” magában foglalja az adatok harmadik felekkel való megosztását kontextusokon átnyúló viselkedésalapú hirdetés céljából – ami pontosan az, amit a legtöbb hirdetési cookie tesz.
• Nincs szükség előzetes hozzájárulásra. Az EU-modellel ellentétben a CCPA/CPRA nem ír elő előzetes hozzájárulást a cookie-khoz. Az alapértelmezett az, hogy a nyomkövetés megengedett, és a felhasználóknak aktívan el kell azt utasítaniuk.
• „Do Not Sell or Share” hivatkozás. A vállalkozásoknak feltűnő „Do Not Sell or Share My Personal Information” hivatkozást kell biztosítaniuk weboldalukon.
• Global Privacy Control (GPC). A vállalkozásoknak érvényes elutasítási kérésként kell tiszteletben tartaniuk a GPC böngészőjelet. Ha egy felhasználó böngészője GPC-jelet küld, a vállalkozásnak úgy kell kezelnie, mintha a felhasználó a „Do Not Sell or Share” gombra kattintott volna.
• Tájékoztatás a gyűjtéskor. A vállalkozásoknak a gyűjtés pontjánál vagy azt megelőzően közölniük kell a gyűjtött személyes adatok kategóriáit és felhasználásuk céljait.

Egyéb amerikai állami jogszabályok

Kalifornia példáját követve számos amerikai állam fogadott el átfogó adatvédelmi törvényt. 2026 eleje szerint az aktív adatvédelmi törvénnyel rendelkező államok közé tartoznak:

További államok fogadtak el 2025-ös és 2026-os hatálybalépési dátummal rendelkező törvényeket. A tendencia egyértelmű: az állami szintű adatvédelmi szabályozás bővül, és a legtöbb új törvény tartalmaz elutasítási jogokat a célzott hirdetésre vonatkozóan, amelyek közvetlenül érintik a cookie-gyakorlatokat.

Egyéb figyelemre méltó szabályozások

Egyesült Királyság: UK GDPR és PECR

A Brexit után az Egyesült Királyság „UK GDPR” néven megtartotta a GDPR-t, és továbbra is érvényesíti a Privacy and Electronic Communications Regulations (PECR) rendeletet, amely az ePrivacy irányelvet hajtja végre. A cookie-kra vonatkozó követelmények lényegében megegyeznek az EU-éval: a nem elengedhetetlen cookie-khoz előzetes hozzájárulás szükséges, szűk kivétellel a feltétlenül szükséges cookie-k esetében. Az Information Commissioner's Office (ICO) érvényesíti ezeket a szabályokat, és részletes cookie-útmutatót tett közzé.

Brazília: LGPD

Brazília Lei Geral de Protecao de Dados (LGPD) törvénye, amely 2020 óta hatályos, erősen a GDPR ihlette. Jogalapot ír elő a személyes adatok kezeléséhez, beleértve a cookie-kon keresztül gyűjtött adatokat is. Bár az LGPD nem rendelkezik az ePrivacy irányelv cookie-specifikus rendelkezésének közvetlen megfelelőjével, a cookie-alapú adatkezeléshez hozzájárulást vagy jogos érdeket kell megállapítani. Az ANPD (nemzeti adatvédelmi hatóság) fokozatosan ad ki iránymutatásokat a cookie-król és a hozzájárulásról.

Kanada: PIPEDA és a C-27 törvényjavaslat

Kanada Personal Information Protection and Electronic Documents Act (PIPEDA) törvénye „érdemi hozzájárulást” ír elő a személyes adatok gyűjtéséhez, felhasználásához és nyilvánosságra hozatalához. A személyes adatokat gyűjtő cookie-k esetében a szervezeteknek hozzájárulást kell szerezniük, és egyértelmű tájékoztatást kell nyújtaniuk gyakorlataikról. A C-27 törvényjavaslat, a javasolt Consumer Privacy Protection Act, erősebb hozzájárulási követelményekkel modernizálná Kanada keretrendszerét, de elfogadása késik.

Japán: APPI

Japán 2022-ben módosított Act on the Protection of Personal Information (APPI) törvénye bevezette a „személyekre visszavezethető információ” fogalmát, amely bizonyos kontextusokban cookie-azonosítókat is magában foglalhat. Amikor a cookie-adatokat más információkkal kombinálják egy személy azonosítása érdekében, hozzájárulási követelmények lépnek életbe.

Dél-Korea: PIPA

Dél-Korea 2023-ban módosított Personal Information Protection Act (PIPA) törvénye hozzájárulást ír elő a személyes adatok gyűjtéséhez és felhasználásához, amely magában foglalhatja a cookie-adatokat is, amikor azok egy személyt azonosítanak vagy azonosíthatnak.

Konvergencia-tendencia

A jelenlegi mozaik ellenére egyértelmű tendencia rajzolódik ki: a legtöbb új adatvédelmi törvény az EU-modellt követi, azaz a hozzájárulás-központú, felhasználót megerősítő szabályozást. Még az amerikai állami törvények is, bár technikailag az elutasításon és nem a beleegyezésen alapulnak, a szigorúbb követelmények felé mozdulnak el univerzális elutasítási jelekkel (GPC), adattakarékossági elvekkel és a „személyes adat” kibővített meghatározásaival, amelyek magukban foglalják a cookie-azonosítókat.

Gyakorlati szempontból ez a konvergencia azt jelenti, hogy az EU-szintű cookie-megfelelést megvalósító weboldalak (előzetes hozzájárulás, egyértelmű elfogadás/elutasítás, részletes kategóriák, átlátható szabályzatok) jó helyzetben vannak a legtöbb más joghatósággal való megfelelés szempontjából. Az EU-szabvány a legmagasabb közös nevező.

Kockázatértékelés: mely jogszabályok vonatkoznak a weboldalára?

Minden weboldal-üzemeltető számára a kulcskérdés: mely jogszabályok vonatkoznak rám? A válasz két tényezőtől függ:

1. Ahol a szervezete be van jegyezve. Azon joghatóságok adatvédelmi jogszabályainak hatálya alá tartozik, ahol szervezetének telephelye (iroda, leányvállalat, fiók) van.
2. Ahol felhasználói tartózkodnak. A GDPR területen kívüli hatálya (3. cikk (2) bekezdés) értelmében az EU adatvédelmi jogának hatálya alá tartozik, ha árukat vagy szolgáltatásokat kínál az EU-ban tartózkodó személyeknek, vagy ha az EU-ban tartózkodó személyek viselkedését figyeli. Hasonló területen kívüli rendelkezések léteznek az UK GDPR-ban, Brazília LGPD-jében és más jogszabályokban.

A gyakorlatban, ha weboldala elérhető az EU-ban tartózkodó felhasználók számára – és van bármilyen EU-forgalma, ami gyakorlatilag minden weboldalra igaz –, meg kell felelnie az ePrivacy irányelvnek és a GDPR-nak. Ha van amerikai forgalma, foglalkoznia kell a CCPA/CPRA-val (Kalifornia) és más alkalmazandó állami jogszabályokkal.

Egy pragmatikus megközelítés:

• Valósítson meg EU-szabványú hozzájárulást minden EU/EGT/UK látogató számára (előzetes beleegyezés a nem elengedhetetlen cookie-khoz).
• Valósítson meg elutasítási mechanizmusokat az amerikai látogatók számára (Do Not Sell/Share hivatkozás, GPC-támogatás).
• Alapértelmezetten a magasabb szabványt válassza, ha a földrajzi felismerés nem kivitelezhető. Az EU-szintű hozzájárulás gyakorlatilag minden joghatóságnak megfelel.

Területen kívüli hatály

A modern adatvédelmi szabályozás egyik legfontosabb aspektusa a területen kívüli hatálya. A GDPR (3. cikk (2) bekezdés) az EU-n kívüli szervezetekre vonatkozik, amelyek:

• árukat vagy szolgáltatásokat kínálnak az EU-ban tartózkodó személyeknek (még ha ingyenesen is – egy EU-ban elérhető, EU-s felhasználókat célzó weboldal ide tartozik), vagy
• figyelik az EU-ban tartózkodó személyek viselkedését (az analitika és a hirdetési nyomkövetés figyelésnek minősül).

Ez azt jelenti, hogy egy Google Analyticset futtató amerikai vállalat, amelynek weboldala EU-forgalmat kap, technikailag a GDPR és az ePrivacy irányelv cookie-követelményeinek hatálya alá tartozik. Az EU-n kívüli szervezetekkel szembeni végrehajtás történelmileg korlátozott volt, de növekszik, különösen a nagyvállalatok esetében. A kisebb szervezetek gyakorlati kockázata a láthatóságtól és a panaszok mennyiségétől függ, de a jogi kötelezettség mérettől függetlenül fennáll.

Végrehajtási környezet

A cookie-megfelelés végrehajtása drámaian felerősödött 2020 óta. Fő tendenciák:

Ki érvényesíti

Az EU-ban a nemzeti adatvédelmi hatóságok (DPA-k) érvényesítik mind az ePrivacy irányelvet, mind a GDPR-t. A jelentős aktív végrehajtók közé tartozik a CNIL (Franciaország), a Garante (Olaszország), a Datatilsynet (Dánia és Norvégia), a BfDI (Németország szövetségi szinten) és az APD (Belgium). Az EDPB koordinálja a határokon átnyúló végrehajtást.

Az USA-ban a kaliforniai főügyész és a California Privacy Protection Agency érvényesíti a CCPA/CPRA-t. Az állami főügyészek érvényesítik a többi állami jogszabályt.

Hogyan érvényesítik

• Panaszalapú vizsgálatok. A legtöbb végrehajtás egy felhasználó DPA-hoz benyújtott panaszával kezdődik. A panasz kiváltja a weboldal cookie-gyakorlatainak vizsgálatát.
• Átfogó vizsgálatok. A DPA-k időszakosan ágazati szintű átfogó vizsgálatokat végeznek, több száz weboldalt átvizsgálva a cookie-megfelelés szempontjából. A CNIL, az olasz Garante és a dán Datatilsynet mind végzett nyilvánosságra hozott átfogó vizsgálatokat.
• NGO-panaszok. Az olyan adatvédelmi civil szervezetek, mint a noyb (Max Schrems vezetésével), tömeges panaszokat nyújtottak be több száz weboldal ellen, jelentős végrehajtási volument teremtve. Önmagában a noyb cookie-bannerekkel kapcsolatos panaszai több tucat végrehajtási intézkedéshez vezettek az EU-ban.

Szankciók

A cookie-jogsértésekért kiszabott GDPR-bírságok elérhetik a 20 millió eurót vagy az éves globális árbevétel 4%-át, attól függően, melyik a magasabb. A gyakorlatban a cookie-jogsértésekért kiszabott bírságok a figyelmeztetésektől (kisebb szervezetek esetében kisebb jogsértéseknél) a 150 millió euróig (Google, CNIL, 2022) terjedtek. A tendencia a magasabb bírságok és a gyakoribb végrehajtás felé mutat.

A bírságokon túl a meg nem felelés reputációs kockázatot, a fogyasztói bizalom sérülését és a szabályozói rendelet szerinti sürgősségi helyreállítás működési költségét is magában hordozza.

A Passiro segít eligazodni ebben a szabályozási komplexitásban automatizált megfeleléssel, amely alkalmazkodik a látogatóira vonatkozó jogszabályokhoz. Tudja meg, hogyan egyszerűsíti a Passiro a cookie-megfelelést a joghatóságokon átívelően.