Van egy dokumentum a weboldalad alján. Valószínűleg a láblécben, apró betűvel, két másik link mellett.
Nagy eséllyel úgy került oda, hogy valahonnan letöltötted, kicserélted benne a nevet és a céget, feltetted, és azóta nem nyitottad meg. Ez teljesen érthető. Tizenöt oldal jogi szöveg, tele hivatkozásokkal, és a napodnak amúgy is van fontosabb része is.
A helyzet mégis az, hogy ez a dokumentum nem attól lesz jó, hogy létezik. Attól lesz jó, hogy igaz arra, ami a te oldaladon valóban történik.
Ez a cikk nem ijesztgetni akar, és nem is akarja eladni neked a megnyugvást. Azt szeretném megmutatni, mi az a néhány dolog egy ilyen tájékoztatóban, ami tényleg számít egy egyszemélyes szolgáltatónál, és mi az, ami csak a hosszúságát növeli.
Ez a cikk tájékoztató jellegű, nem jogi tanácsadás. Azt írom le, mit mond a jogszabály és mit tartalmaz a hatósági gyakorlat. Azt nem tudom megmondani, a te vállalkozásodra pontosan mi vonatkozik. A saját kötelezettségeidet érdemes szakemberrel, a saját helyzetedre nézve ellenőriztetned. óó
A legtöbb tájékoztató úgy készül, mintha egy ellenőrzésre kellene felkészülni vele. Ebből lesz a tizenöt oldal, a sok idézett jogszabályhely és az a mondatszerkezet, amit senki nem olvas végig.
Fordítsuk meg egy pillanatra.
Van valaki az oldaladon. Elolvasott rólad három bekezdést, megnézte a munkáidat, és most éppen beírja az e-mail-címét egy űrlapba. Ebben a pillanatban ad neked valamit, ami az övé. Nem sokat, egyetlen sornyi adatot, de attól még az övé.
Az adatvédelmi tájékoztató annak a kérdésnek a válasza, amit ilyenkor a legtöbben meg sem fogalmaznak magukban: „és most mi lesz ezzel?”
Ezt a nézőpontot maga a szabály is így fogalmazza meg. Az általános adatvédelmi rendelet (GDPR) 12. cikke szerint a tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva kell megadni. Nem szakembereknek, hanem az érintettnek.
Vagyis a hosszúság nem érdem. A rendelet szövege szerint a rövidség és az érthetőség az elvárás. A teljesség pedig nem ugyanaz, mint a terjedelem.
Ha sokáig nem néztél rá a sajátodra, nyisd meg úgy, mintha most járnál először az oldaladon. Olvasd el az első, a képernyőn megjelenő szakaszt, és nézd meg, megtudsz-e belőle bármit magadról.
Ez a cikk legfontosabb szakasza, mert a legtöbb hiba nem jogi, hanem tárgyi. A dokumentum olyasmiről beszél, ami nincs, és hallgat arról, ami van.
Egy szolgáltató oldalán tipikusan négy-öt helyen keletkezik adat. Nézzük végig őket egyenként.
Itt keletkezik a legnyilvánvalóbb adat: név, e-mail-cím, telefonszám, és az az üzenet, amit valaki beír. Ez utóbbi néha jóval személyesebb, mint gondolnád: egy coach vagy egy masszőr kapcsolati űrlapjába emberek időnként egészségügyi részleteket írnak, mert azt hiszik, ez a beszélgetés kezdete.
Rajtad kívül lát bele a tárhelyszolgáltató, mert a weboldal adatbázisában és a levelezésben ott van az üzenet. Ha az űrlap külön bővítménnyel vagy külső űrlapszolgáltatóval működik, akkor az is. Sok WordPress-oldalon az űrlapmodul minden beérkezett üzenetet el is ment az adatbázisba, nemcsak továbbküldi. Érdemes tudni, hogy ez alapból be van-e kapcsolva nálad.
Itt már nemcsak az e-mail-cím keletkezik. A hírlevélrendszerek jellemzően rögzítik a feliratkozás időpontját, a forrását, és utána azt is, hogy ki mit nyitott meg és mire kattintott.
Rajtad kívül lát bele a hírlevélrendszer szolgáltatója. Ez lényeges pont: ha az eszközöd szerverei az Európai Unión kívül vannak, az egy külön kérdéskör, amit a rendelet külön fejezetben szabályoz. Az, hogy hány eszközön keresztül folyik ilyen adat, gyakran magának a vállalkozónak is meglepetés. Erről szól a 6 marketingeszköz, amire nem gondolsz elsőre című cikk is.
Egy foglalórendszer sokkal többet tud, mint egy űrlap. Tudja, ki mikor jön, milyen szolgáltatásra, hányszor járt már nálad, és sokszor azt is, mit írt be a megjegyzés rovatba.
Rajtad kívül lát bele a foglalórendszer szolgáltatója, és ha a rendszer a naptáradba is ír, akkor a naptárszolgáltatód is. Ha fizetést is kezel, akkor a fizetési szolgáltató.
Ez a legkevésbé látható réteg, mert nem kér semmit az olvasótól. Egyszerűen fut.
Egy mérőkód jellemzően rögzíti, honnan érkezett a látogató, milyen oldalakat nézett meg, mennyi ideig, milyen eszközről és nagyjából milyen földrajzi helyről. Ha van hirdetési képpontod (Meta, Google Ads), az ennél többet is összekapcsolhat.
Rajtad kívül lát bele az adott mérőeszköz szolgáltatója. Hogy pontosan mit mér és mit nem, azt a beállításaid döntik el; a Google Analytics működéséről szóló cikkben részletesebben is végigmegyek ezen.
Ez a szakasz azért fontos, mert a tájékoztatók nagy része pont itt csúszik el. Vagy felsorol egy hirdetési képpontot, ami sosem került fel az oldalra, vagy kihagyja azt a mérőkódot, amit a webfejlesztő két éve beépített, és azóta senki nem gondolt rá.
Ha bármit el is adsz az oldalon, egy hatodik réteg is belép: számlázási adatok, vásárlási előzmény, esetleg szállítási cím.
Rajtad kívül lát bele a fizetési szolgáltató, a számlázóprogram, és jellemzően a könyvelőd. Itt ráadásul olyan megőrzési szabályok is szerepet játszanak, amelyek nem az adatvédelmi rendeletből, hanem a számviteli előírásokból jönnek.
Nyiss egy üres dokumentumot, és írd össze egyetlen oszlopban, mely eszközök futnak most a weboldaladon. Ehhez semmilyen jogi tudás nem kell, és a legtöbb tájékoztató-probléma pont ennek a listának a hiányából keletkezik.
Ha a fenti listád megvan, a dokumentum lényege négy kérdésre szűkíthető. A GDPR 13. cikke ennél több elemet sorol fel, a gyakorlatban viszont ez a négy az, amin a legtöbb szolgáltatói oldal áll vagy bukik.
Mit gyűjtesz. Nem kategóriákban, hanem konkrétan: név, e-mail-cím, üzenet tartalma, foglalási adatok, látogatási statisztika.
Miért. Ez az a pont, ahol a legtöbb sablon üresen marad. A cél nem az, hogy „adatkezelés céljából”. A cél az, hogy válaszolni tudj a megkeresésre, hogy el tudd küldeni a hírlevelet, hogy lássad, honnan érkeznek az olvasók.
Meddig tartod meg. Ez a leggyakrabban hiányzó elem. Nem elég annyi, hogy „a szükséges ideig”. A rendelet a tárolás időtartamát, vagy ha ez nem adható meg, az időtartam meghatározásának szempontjait kéri.
Ki fér hozzá. Vagyis az a lista, amit az előző szakaszban összeírtál. A tárhely, a hírlevélrendszer, a foglalórendszer, a mérőeszközök, a fizetési szolgáltató.
Ha ez a négy nincs benne érthetően, akkor a dokumentum hossza nem segít rajta. Egy tizenöt oldalas szöveg, amiből nem derül ki, meddig őrzöd meg valakinek az e-mail-címét, ugyanúgy nem válaszol, mint egy hiányzó oldal, csak tovább tart, míg kiderül.
Olvasd el a sajátodat ezzel a négy kérdéssel a kezedben, és jelöld meg, melyikre nem találsz benne választ öt percen belül.
Ez a leggyakoribb technikai hiba a magyar oldalakon, és külön érdemes róla beszélni, mert látszatra teljesen rendben van.
A jelenség így néz ki: megnyitod az oldalt, felugrik a sütibanner, és megkérdezi, elfogadod-e a sütiket. Közben viszont a mérőkódok már betöltődtek. A banner egy ablak, ami az oldal fölött lebeg. Attól, hogy ott van, a mögötte lévő szkriptek már elindultak.
Nem minden süti egyforma, és ez nem jogi finomság, hanem működésbeli különbség.
A működéshez szükséges sütik nélkül az oldal nem tudja ellátni azt, amiért az olvasó odament. Ilyen a bejelentkezés fenntartása, a kosár tartalmának megjegyzése, vagy annak rögzítése, hogy a látogató már döntött a sütibannerről. Ezeknél a hozzájárulás nem is a megfelelő jogalap. Az MF Partners összefoglalója a NAIH süti-határozatáról kifejezetten kiemeli, hogy a technikai működéshez szükséges sütiknél a hatóság szerint más jogalapot kell keresni.
A mérési és marketingsütik ezzel szemben nem az oldal működéséhez kellenek, hanem hozzád: hogy lásd a látogatottságot, hogy mérni tudd a hirdetéseidet, hogy összekapcsolhasd az eszközöket.
Egy weboldal fentről lefelé épül fel. A fejlécben elhelyezett mérőkód abban a pillanatban elindul, amikor a böngésző odaér, jóval azelőtt, hogy a látogató bármire rákattintana.
Ha a sütibanner csak egy megjelenő ablak, akkor nem csinál mást, mint hogy elfedi ezt. A kód akkor is lefutott, ha valaki a „nem fogadom el” gombot nyomta meg.
Egy hozzájárulás-kezelő megoldás ettől abban különbözik, hogy visszatartja a szkriptek betöltését, amíg döntés nem születik. Ez nem beállítás kérdése egyetlen kapcsolóban, hanem azon múlik, hogyan van összekötve a bannered az oldalon futó kódokkal.
Ezt te magad is meg tudod nézni. Nyiss egy privát vagy inkognitóablakot, hogy a korábbi döntésed ne szóljon bele, és tölts be egy aloldalt a saját weboldaladról. Ne kattints a banneren semmire. Nyisd meg a böngésző fejlesztői eszközeit (a legtöbb böngészőben az F12 vagy a jobb klikk → „Vizsgálat”), keresd meg az Application vagy Tárhely fület, és nézd meg a Cookies listát. Ha ott már ott ülnek az analitikai vagy hirdetési sütik, miközben te nem döntöttél semmiről, akkor a banner és a kódok nincsenek összekötve.
Ha nem szeretnél a fejlesztői eszközökkel bíbelődni, van egy egyszerűbb változat is. Nyisd meg az analitikád valós idejű nézetét egy másik eszközön vagy böngészőben, aztán inkognitóban látogasd meg a saját oldaladat, és ne fogadd el a bannert. Ha a valós idejű nézetben megjelensz, a mérés elindult a döntésed előtt.
Van egy pont, ami majdnem minden magyar oldalon hiányzik, pedig a rendelet szövegében egyetlen mondat.
A GDPR 7. cikkének (3) bekezdése szerint a hozzájárulás bármikor visszavonható, és a visszavonásnak ugyanolyan egyszerűnek kell lennie, mint a megadásának.
Ez volt az egyik kifogásolt pont abban az ügyben is, amelyben a Nemzeti Adatvédelmi és Információszabadság Hatóság az első hazai süti-bírságot kiszabta. A NAIH weboldal süti-hozzájárulási keretrendszerről szóló határozata kimondja, hogy a hozzájárulás megadásával azonos könnyűséggel kell lehetővé tenni annak visszavonását is.
Mit jelent ez a gyakorlatban egy weboldalon? Az elfogadás jellemzően egy kattintás egy jól látható gombon. A visszavonás viszont sok oldalon vagy sehogy nem lehetséges, vagy úgy, hogy a látogatónak a saját böngészője beállításai között kell megkeresnie, hol törölheti a sütiket.
Az egy dolog, hogy technikailag létezik egy út, és egészen más, hogy az az út ugyanolyan egyszerű-e.
Amit a szabály elvár, az szimmetria. Ha egy kattintással lehet igent mondani, akkor a nemet is elérhető helyről, hasonló ráfordítással kell tudni jelezni, jellemzően úgy, hogy a sütibeállítások bármikor újra előhívhatók az oldalról.
Nézd meg a saját oldaladon, hogy találsz-e bárhol egy pontot, ahol a korábbi süti-döntésed újra megnyitható. Ha nincs ilyen, azt legalább már tudod, és tudsz róla kérdezni a fejlesztődet.
Igen és nem, és ez most nem kitérés.
A sablon kiindulásnak jó. Egy tisztességesen összeállított minta megmutatja a szerkezetet, a bekezdések sorrendjét, azt, hogy egyáltalán milyen kérdésekre kell válaszolni. Ezt nulláról kitalálni fölösleges munka lenne.
A gond ott kezdődik, hogy a sablon egy általános vállalkozásról szól, a tájékoztatónak viszont a te oldaladról kell szólnia.
Két irányban tud elromlani.
Az egyik: felsorol olyat, ami nincs. Ott van benne a hirdetési képpont, a webshop, a hírlevél, miközben te csak egy kapcsolati űrlapot használsz. Ez első ránézésre ártalmatlan, valójában viszont pontosan azt rontja el, amit a rendelet 12. cikke kér: az érthetőséget. Aki elolvassa, nem tudja meg, mi történik nála.
A másik: kihagy olyat, ami van. Ez a gyakoribb. A tájékoztató két éve készült, azóta felkerült egy foglalórendszer és egy chatablak, a dokumentumban viszont egyikről sincs szó.
Amikor a weboldal elkészül, ez a rész szinte mindig az utolsó napokra csúszik, pedig ez is része annak, hogy mit kezdj a kész weboldaladdal. A sablon tehát váz, nem tartalom. A tartalom az a lista, amit az előbb összeírtál.
Ezt a részt szándékosan hagytam a végére, mert nem ez a lényeg. A teljesség kedvéért viszont érdemes tudni, hol tart a magyar gyakorlat.
Az első hazai süti-bírságot a NAIH 2023. február 13-án szabta ki a TV2 Média Csoport Zrt.-re, 10 millió forint összegben. A kifogásolt hibák között szerepelt, hogy a tájékoztatás nem volt kellően érthető és hozzáférhető, túl hosszú volt, hiányoztak belőle a konkrét adatkezelői megjelölések, és a hozzájárulás visszavonása nem volt ugyanolyan egyszerű, mint a megadása. Forrás: MF Partners összefoglalója.
Ez egy nagy médiacég ügye volt, több száz hirdetési partnerrel. Egy egyszemélyes szolgáltató helyzete ettől gyökeresen különbözik, és ebből az összegből semmilyen következtetés nem vonható le egy kisvállalkozásra, sem az összegre, sem a valószínűségre nézve. Amit viszont tanulságos megnézni, az a hibák természete: a felsoroltak közül egyik sem arról szólt, hogy hiányzott volna a dokumentum. Arról szóltak, hogy nem volt érthető, és nem lehetett visszalépni.
Ami 2026-ban változott a képen: a hatósági gyakorlat már nem csak a nagy médiacégeket érinti. Egy jogi szakértői összefoglaló szerint a NAIH kis- és középvállalkozásokkal szemben is eljár a weboldal adatvédelmi tájékoztatójának hiányosságai miatt.
Ennyi a tényállás. Nem több és nem kevesebb. Hogy ebből a saját vállalkozásodra mi következik, az az a kérdés, amit érdemes szakemberrel átbeszélni.
Ez nem jogi megfelelőségi audit, és nem is helyettesít egyet. Ez egy józan átnézés: az a néhány dolog, amit magad is meg tudsz nézni fél óra alatt, hogy tudd, hol tartasz, és értelmes kérdéseket tudj feltenni annak, aki érti.
Ez a nyolc kérdés nem mond ítéletet semmiről. Egy térképet ad arról, hogy mi az, ami az oldaladon most valóban történik, és a legtöbb esetben már ettől is sokkal kevesebb lesz a bizonytalanság.
Ha van egy visszatérő időpontod, amikor átnézed a weboldalt, ez a lista jól illik egy ilyen alkalomhoz; erről szól a weboldal körüli egyéb kötelezettségek átgondolása, például az akadálymentesítés kérdése is.
A rendelet nem az oldal méretéhez, hanem a személyes adatok kezeléséhez köti a tájékoztatási kötelezettséget. Ha az oldalon bárhol keletkezik személyes adat (egy kapcsolati űrlap, egy hírlevél-feliratkozás, egy mérőkód), akkor adatkezelés történik. Azt, hogy egy konkrét oldal esetében pontosan mi a helyzet, a tényleges működés dönti el, és ezt érdemes szakemberrel megnézetni.
Nem a banner mint látványelem kötelező, hanem a hozzájárulás azoknál a sütiknél, amelyek nem az oldal működéséhez szükségesek. Ha egy oldalon egyáltalán nem futnak mérési vagy marketingsütik, más a helyzet, mint ott, ahol analitika és hirdetési képpont is dolgozik. A hatósági gyakorlat a működéshez szükséges sütiket külön kezeli: ezeknél a NAIH álláspontja szerint nem a hozzájárulás a megfelelő jogalap.
A sablon jó vázat ad, a tartalmat viszont az adott oldal működése határozza meg. Ha felsorol olyan adatkezelést, ami nálad nincs, vagy kihagy olyat, ami van, akkor pont az érthetőséget veszíti el, amit a GDPR 12. cikke kifejezetten elvár. A vázat érdemes kiindulásnak használni, a tartalmát pedig a saját eszközlistádhoz igazítani.
Nyiss inkognitóablakot, tölts be egy aloldalt, és ne kattints a banneren. Utána a böngésző fejlesztői eszközeiben az Application vagy Tárhely fül alatt nézd meg a sütilistát. Ha ott már ülnek analitikai vagy hirdetési sütik, akkor a kódok a döntésed előtt lefutottak. Ugyanezt ellenőrizheted úgy is, hogy közben az analitikád valós idejű nézetét figyeled egy másik eszközön.
A GDPR 7. cikkének (3) bekezdése szerint a hozzájárulás bármikor visszavonható, és ennek ugyanolyan egyszerűnek kell lennie, mint a megadásának. A gyakorlatban ez szimmetriát jelent: ha egy kattintással lehet elfogadni, akkor a visszalépésnek is elérhető helyről, hasonló ráfordítással kell működnie. A NAIH süti-határozata is kimondja ezt a követelményt.
Technikailag igen, ezért is szerepelnek a tájékoztatókban. A tárhelyen fut a weboldal adatbázisa, a hírlevélrendszerben pedig a feliratkozók listája és a megnyitási adatok. Hogy pontosan melyik szolgáltató milyen szerepben és milyen feltételekkel jár el, az az adott szerződéstől függ. Ezt a saját szolgáltatóid dokumentációjából és egy szakember segítségével lehet tisztázni.
A GDPR 12. cikke tömör, átlátható, érthető és könnyen hozzáférhető formát ír elő. Ebből az következik, hogy a hosszúság önmagában nem érték. Az első hazai süti-bírság indoklásában is szerepelt, hogy a tájékoztatás túl hosszú volt, és nem volt kellően érthető, vagyis a terjedelem nem pótolja azt, ha a lényegi információk nehezen találhatók meg benne.
Akkor, amikor változik az, amiről szól. Egy új hírlevélrendszer, egy foglalómodul, egy chatablak vagy egy hirdetési képpont mind olyan változás, ami után a dokumentum már nem írja le pontosan a valóságot. Sok oldalon a tájékoztató évekig változatlan marad, miközben az eszközök körül minden más átalakult. Ez a leggyakoribb elcsúszás.
Az adatvédelmi tájékoztató nem attól lesz jó, hogy hosszú, és nem is attól, hogy jogásznak hangzik. Attól lesz jó, hogy igaz: hogy leírja, mi történik a te oldaladon, és ezt érthetően teszi.
A négy kérdés, ami köré az egész felépül, egyszerű: mit gyűjtesz, miért, meddig tartod meg, és ki fér hozzá. Ha ez a négy világosan benne van, a dokumentum már többet ad, mint a legtöbb tizenöt oldalas letöltött szöveg.
A sütibannernél pedig nem a látvány számít, hanem az időzítés. Egy ablak, ami kérdez, miközben a válasz már megszületett, nem kérdés, csak díszlet.
Ez a cikk tájékoztató jellegű, és semmiképp nem helyettesíti a szakértői véleményt. Azt viszont meg tudod tenni magadtól, hogy összeírod, mi fut az oldaladon, és végignézed a fenti nyolc kérdést. Innentől nem a bizonytalansággal indulsz el, hanem egy listával mész oda ahhoz, aki érti.