Cookie-k és GDPR a foglalási oldalon: mihez kell hozzájárulás?

A sütikre két szabályrendszer vonatkozik egyszerre. Az ePrivacy-szabályok (Magyarországon az elektronikus hírközlési törvényen keresztül) főszabály szerint hozzájárulást kívánnak meg minden olyan adat eszközön való tárolásához vagy kiolvasásához, amely nem feltétlenül szükséges a felhasználó által kért szolgáltatáshoz. A GDPR pedig akkor lép be, amikor a sütikkel személyes adatot — például egyedi azonosítót — kezelünk, ami a gyakorlatban a legtöbb sütire igaz.

A kettő együtt a következő alapképletet adja: a szolgáltatás működéséhez elengedhetetlen sütik hozzájárulás nélkül használhatók, minden más — statisztikai, marketing, közösségi média — süti csak előzetes, tájékozott, önkéntes hozzájárulással. A hozzájárulásnak a GDPR mércéje szerint kell megfelelnie: az előre bepipált négyzet vagy a puszta továbbgörgetés nem érvényes hozzájárulás.

Egy foglalási oldalon tipikusan szükséges sütinek minősül a munkamenet-azonosító (amely a foglalási folyamat lépései között megjegyzi a kiválasztott szolgáltatást és időpontot), a bejelentkezést kezelő süti, a biztonsági célú — például a visszaélések elleni védelmet szolgáló — süti, valamint a cookie-beállításokat magát megjegyző süti. Ezek nélkül az ügyfél által kifejezetten kért funkció, maga a foglalás nem működne.

Fontos, hogy a »szükséges« kategóriába nem sorolhatunk be tetszőlegesen sütiket csak azért, hogy megkerüljük a hozzájárulást. Az általános szabály szerint az számít szükségesnek, ami a felhasználó által igényelt szolgáltatás nyújtásához technikailag elengedhetetlen — a statisztika és a marketing kényelmes, de nem elengedhetetlen. A szükséges sütikről is tájékoztatni kell a látogatót, csak épp hozzájárulást nem kell kérni hozzájuk.

A látogatottságmérő eszközök (például webanalitika), a remarketinget kiszolgáló pixelek és a hirdetési platformok sütijei hozzájáruláshoz kötöttek, mert nem a foglalás lebonyolításához kellenek, hanem a vállalkozás üzleti céljait szolgálják. Ezeket a sütiket csak azután szabad elhelyezni a látogató eszközén, hogy a hozzájárulását ténylegesen megadta — a banner megjelenése önmagában nem elég.

A hozzájárulásnak granulárisnak is kell lennie: a látogató kategóriánként (statisztika, marketing) dönthessen, és az elutasítás legyen ugyanolyan egyszerű, mint az elfogadás. Az a banner, amelyen csak »Elfogadom« gomb van, vagy ahol az elutasítás többlépcsős kattintgatást igényel, a felügyeleti hatóságok gyakorlata szerint nem felel meg a szabályoknak. A megadott hozzájárulás bármikor visszavonható kell legyen, jellemzően egy állandóan elérhető cookie-beállítások linken keresztül.

Gyakori félreértés, hogy a cookie-hozzájárulás »letudja« a GDPR-t. Valójában a foglaláskor megadott név, elérhetőség és időpontadatok kezelése a sütiktől független adatkezelés, amelynek saját jogalapja van: jellemzően a szerződés teljesítése (maga a foglalás és a szolgáltatásnyújtás), az emlékeztetők esetében szintén a szerződéshez kapcsolódó jogalap, a marketing célú megkereséshez viszont külön hozzájárulás kell.

Ezért a foglalási oldalhoz két, jól elkülönülő dokumentum tartozik: a cookie-tájékoztató (amely a sütikről szól) és az adatkezelési tájékoztató (amely a foglalási adatok kezelését írja le: célok, jogalapok, megőrzési idők, adatfeldolgozók, érintetti jogok). Az idopontok.hu mint a foglalási rendszer szolgáltatója adatfeldolgozóként jelenik meg a vállalkozás tájékoztatójában — az adatkezelő maga a szolgáltató vállalkozás marad.

A szabályos cookie-banner az első betöltéskor jelenik meg, röviden elmagyarázza a sütik célját, és három egyenrangú lehetőséget kínál: mindent elfogad, mindent elutasít (a szükségeseken kívül), illetve részletes beállítás kategóriánként. A hozzájárulás megadásáig a nem szükséges sütik nem töltődnek be, a döntést pedig a rendszer naplózza, hogy utólag igazolható legyen.

Érdemes évente felülvizsgálni, milyen sütik futnak ténylegesen az oldalon — a marketingeszközök cserélődésével a cookie-tájékoztató könnyen elavul. Ha a foglalási oldalon harmadik féltől származó eszközt (analitikát, remarketing kódot) használunk, azt mindig vegyük fel a tájékoztatóba. Összetettebb esetben — például több platformon futó kampányoknál — érdemes adatvédelmi szakemberrel egyeztetni a beállításokat.