A legtöbb kisvállalkozói weboldal adatvédelmi problémája nem szándékos. Senki nem akar adatot gyűjteni – csak bekerül egy térkép a kapcsolat oldalra, egy beágyazott videó a nyitólapra, egy látogatottságmérő a láblécbe, és mindegyik magával hoz néhány sütit és adattovábbítást, amiről a tulajdonos nem tud. A jogi felelősség viszont az övé, nem a fejlesztőé. Ezért ez a lap nem jogi elméletről szól, hanem azokról a döntésekről, amelyeket a megrendelőnek kell meghoznia.
Ez tájékoztató ismertetés, nem jogi tanács. Ha a weboldal különleges adatokat (például egészségügyi adatot) kezel, vagy nagy volumenű profilozást végez, kérj adatvédelmi szakértőtől egyedi véleményt.
Két szabályrendszer, nem egy
Gyakori félreértés, hogy a sütikre „a GDPR” vonatkozik. Valójában két szabály találkozik.
Az egyik az általános adatvédelmi rendelet ((EU) 2016/679 rendelet, GDPR), amely minden személyes adat kezelésére vonatkozik: arra is, amit egy űrlapon beküldenek, és arra is, ami egy sütin keresztül keletkezik.
A másik az elektronikus hírközlésről szóló 2003. évi C. törvény (Eht.) 155. § (4) bekezdése, amely az uniós elektronikus hírközlési adatvédelmi irányelv (2002/58/EK) 5. cikk (3) bekezdését ülteti át. Ez arról szól, hogy a felhasználó eszközén adatot tárolni vagy az ott tárolt adathoz hozzáférni – ez a süti lényege – főszabályként csak világos és teljes körű tájékoztatás után adott hozzájárulással lehet. Ez akkor is igaz, ha a süti tartalma önmagában nem személyes adat; az Európai Unió Bírósága a Planet49-ügyben (C-673/17, 2019. október 1.) kifejezetten így értelmezte az irányelvet.
Mely sütik nem igényelnek hozzájárulást?
A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) a webáruházakra vonatkozó adatvédelmi követelményekről szóló tájékoztatójában (NAIH/2017/1060/V) a sütik csoportosításánál az uniós adatvédelmi munkacsoport 2012/4. számú véleményét tekinti irányadónak. Eszerint nem kell hozzájárulást kérni – elég tájékoztatni – többek között
- a felhasználó által bevitt adatokat tároló sütikhez (például egy kosár tartalma);
- a hitelesítési munkamenet-sütikhez (bejelentkezés);
- a felhasználóközpontú biztonsági sütikhez;
- a multimédia-lejátszó és a terheléskiegyenlítő munkamenet-sütikhez;
- a felhasználói felület testreszabását segítő munkamenet-sütikhez.
Ami ezen kívül esik – jellemzően a látogatottságmérés, a reklám- és remarketingsütik, a közösségi bővítmények –, az főszabályként hozzájárulást igényel. A NAIH ugyanebben a tájékoztatóban azt is rögzíti, hogy a sütik alkalmazásáról mindkét esetben előzetesen tájékoztatni kell a felhasználót, hogy a hozzájáruláshoz kötött sütik a hozzájárulás megszerzése előtt nem települhetnek, és hogy a hozzájárulást sütinként kell kérni, nem egyetlen „mindent elfogadok” csomagban.
Mit kell tartalmaznia a sütitájékoztatónak?
A NAIH-tájékoztató szerint minden sütinél meg kell adni a nevét, azt, hogy milyen adatokhoz fér hozzá, az élettartamát, és röviden, közérthetően a funkcióját – miért szükséges. Ezt a listát valakinek össze kell állítania, és ez a valaki a gyakorlatban a fejlesztő, mert ő tudja, mi fut az oldalon. A tartalmáért viszont te felelsz.
A Planet49-ítélet egy további gyakorlati szabályt is kimondott: az előre bejelölt jelölőnégyzettel „megadott” hozzájárulás nem érvényes. Ha egy sütisáv alapból bekapcsolt kapcsolókkal jelenik meg, az nem hozzájárulás.
A kapcsolati űrlap: melyik jogalap?
Egy egyszerű kapcsolati űrlap is személyes adatot kezel: nevet, e-mail-címet, sokszor telefonszámot és az üzenet tartalmát. A GDPR 6. cikk (1) bekezdése hat jogalapot sorol fel; egy céges űrlapnál a gyakorlatban három szokott szóba jönni.
- b) pont – szerződés előkészítése. Ha az érdeklődő árajánlatot kér vagy megrendelés előtt kérdez, az adatkezelés az ő kérésére, a szerződés megkötését megelőző lépésekhez szükséges.
- f) pont – jogos érdek. Általános megkereséseknél gyakran erre hivatkoznak. Ehhez a vállalkozásnak érdekmérlegelést kell végeznie és dokumentálnia.
- a) pont – hozzájárulás. Ha az adatot olyan célra is használnád, amely nem következik a megkeresésből (például hírlevélre), ahhoz külön, kifejezett hozzájárulás kell, amelyet a GDPR 7. cikk (3) bekezdése szerint ugyanolyan egyszerűen vissza is lehet vonni, mint megadni.
Hogy melyik illik a te űrlapodhoz, az attól függ, mire használod a beérkező adatokat. Ez nem a fejlesztő döntése, hanem a tiéd – és ezt kell az adatkezelési tájékoztatóban leírni.
Két egyszerű, sokat segítő szabály: csak azt kérd be, amire tényleg szükséged van (a GDPR 5. cikk (1) bekezdés c) pontja, az adattakarékosság elve), és döntsd el előre, mennyi ideig őrzöd a beérkezett üzeneteket.
Az adatkezelési tájékoztató
A GDPR 13. cikke sorolja fel, mit kell közölni, amikor az adatot közvetlenül az érintettől gyűjtik. A legfontosabb elemek: az adatkezelő kiléte és elérhetősége; az adatkezelés célja és jogalapja; jogos érdek esetén maga az érdek; a címzettek (például a tárhelyszolgáltató vagy egy hírlevélküldő rendszer); harmadik országba történő továbbítás, ha van; az őrzési idő; az érintetti jogok; a hozzájárulás visszavonásának joga; és a panasztétel joga a felügyeleti hatóságnál, Magyarországon a NAIH-nál.
Egy letöltött mintaszöveg ritkán felel meg ennek, mert nem a te oldaladon futó eszközöket írja le. A tájékoztatónak azt kell tükröznie, ami valóban történik.
Analitika és beágyazott tartalmak
Látogatottságmérés. A NAIH által irányadónak tekintett mentességi listában a statisztikai sütik nem szerepelnek, ezért az analitika főszabályként hozzájárulást igényel. A döntésed itt az, hogy szükséged van-e rá, és ha igen, milyen részletességgel. Egy kisvállalkozói oldalnál sokszor elég a szervernaplóból készült összesítés is: ez nem helyez el sütit a látogató eszközén, de mivel a napló IP-címeket tartalmaz, a GDPR szerinti adatkezelésnek ez is része, és a tájékoztatóban szerepelnie kell.
Beágyazott videó, térkép, közösségi gomb. Ezek a tartalmak gyakran már az oldal betöltésekor kapcsolatba lépnek a szolgáltatójuk szerverével, és adatot továbbítanak – függetlenül attól, hogy a látogató rákattint-e. Az Európai Unió Bírósága a Fashion ID-ügyben (C-40/17, 2019. július 29.) kimondta, hogy a közösségi bővítményt beágyazó weboldal üzemeltetője az adatok gyűjtése és továbbítása tekintetében közös adatkezelő. A NAIH 2017-es tájékoztatója az „inaktív” közösségi bővítményt említi megoldásként: a tartalom csak akkor kapcsolódik a külső szolgáltatóhoz, amikor a látogató kifejezetten kéri. Ugyanez a logika alkalmazható térképre és videóra is: helyette egy előnézeti kép és egy „betöltés” gomb, amely mellett ott a rövid tájékoztatás.
Kérdések a fejlesztőnek
- Pontosan milyen sütiket és külső szolgáltatásokat tölt be az oldal hozzájárulás nélkül? Kérek róla listát.
- A hozzájárulást igénylő sütik valóban csak elfogadás után települnek?
- A sütisávban az elutasítás ugyanolyan egyszerű, mint az elfogadás? Nincsenek előre bekapcsolt kapcsolók?
- A beágyazott videók és térképek csak kattintásra töltődnek be?
- Hol tárolódnak az űrlapon beküldött adatok – csak e-mailben, vagy adatbázisban is? Ki fér hozzájuk, és mikor törlődnek?
Ha a weboldal egyáltalán nem helyez el sütit és nem tölt be külső követőkódot, nincs miről hozzájárulást kérni. Ha csak hozzájárulást nem igénylő sütiket használ, a NAIH 2017-es tájékoztatója szerint az első látogatáskor akkor is röviden tájékoztatni kell róluk, a teljes tájékoztatóra mutató hivatkozással – de elfogadtatni nem kell. Minél kevesebb külső elem fut az oldalon, annál egyszerűbb a megfelelés. Hogy mi kell még kötelezően az oldalra, azt a kötelező tartalmakról szóló lapon foglaltuk össze.
Ez a lap a megjelenésekor hatályos szabályokat ismerteti, tájékoztató jelleggel. Jogszabály és szabályzat változhat; egyedi helyzetben kérd szakember véleményét.