Mik azok a sütik, és miért kell engedélyt kérned a látogatóidtól?
A süti nem gonosz, csak félreértett. Elmondjuk, mi fut valójában az oldaladon, melyik négy kategóriába sorolható, mihez kell hozzájárulás, és hogyan nézed meg két perc alatt, hogy nálad rendben van-e.
Weboldal-tulajdonosként valószínűleg úgy találkoztál a sütikkel, hogy valaki szólt: „kell egy cookie banner, különben baj lesz”. Aztán felment egy banner, és ezzel le is lett tudva a téma. Pedig a süti nem jogi nyűg, hanem az alap, amire a látogatottságmérésed, a hirdetéseid és a webshopod kosara épül. Ebben a cikkben nem a látogatónak magyarázzuk el, mire kattint, hanem neked, hogy mi fut az oldaladon, mihez kell engedély, és hogyan nézed meg magad, hogy rendben van-e.
Mi az a süti pontosan?
A süti (cookie) egy apró szöveges bejegyzés, amit a weboldal a látogató böngészőjében tárol el, és amit a böngésző minden következő kérésnél visszaküld ugyanannak az oldalnak. Ennyi. Nem program, nem vírus, nem tud „belenézni” a gépbe. Arra jó, hogy az oldal emlékezzen: be vagy jelentkezve, mi van a kosaradban, magyarul kéred-e az oldalt, és hogy egy mérőrendszer felismerje, hogy ugyanaz a látogató jött vissza.
Eredetileg pont a kényelemért találták ki 1994-ben, hogy egy webshop kosara ne ürüljön ki oldalváltáskor. A gond akkor kezdődött, amikor a hirdetési rendszerek rájöttek, hogy ugyanezzel a mechanizmussal egy látogatót több ezer oldalon keresztül lehet követni. Ettől lett a süti adatvédelmi téma.
Első feles vagy harmadik feles: ez a lényeg
Az egész történet megértéséhez egy megkülönböztetés kell. Az első feles sütit a te domained rakja le (pl. studiobromo.hu), és csak a te oldalad olvassa vissza. A harmadik feles sütit egy másik domain rakja le a te oldaladon keresztül (pl. egy hirdetési hálózat), és ugyanaz a másik domain olvassa vissza minden más oldalon is, ahol jelen van. Ez utóbbi teszi lehetővé, hogy egy cipő, amit egyszer megnéztél, hetekig kövessen a hírportálokon.
Ez a fajta követés haldoklik: a Safari és a Firefox évek óta blokkolja a harmadik feles sütiket, a Chrome pedig többször nekifutott a kivezetésnek, aztán visszakozott, de a hirdetési szakma már nem épít rá. Ezért kerültek előtérbe az olyan megoldások, mint a szerveroldali mérés vagy a Google Consent Mode, ami a hiányzó adatot modellezéssel próbálja pótolni.
Nem csak a sütire vonatkozik a szabály
Gyakori félreértés, hogy ha valami technikailag nem süti, akkor nem kell hozzá hozzájárulás. A jogszabály „sütiről és hasonló technológiákról” beszél: ide tartozik a böngésző localStorage-a, a mérőpixelek (egy láthatatlan, 1×1 pixeles kép, ami betöltéskor jelez a szervernek), és az ujjlenyomat-készítés (fingerprinting), amikor a böngésző és a gép tulajdonságaiból raknak össze egyedi azonosítót. A kérdés nem az, hogy hova íródik az adat, hanem az, hogy azonosítható-e vele a látogató, és ehhez hozzájárult-e.
Négy kategória, és mihez kell hozzájárulás
A bannereken és a szabályozásban általában ez a négy kategória jelenik meg. A harmadik oszlop a fontos: csak az első kategóriához nem kell engedély.
| Kategória | Példa | Kell hozzájárulás? |
|---|---|---|
| Szükséges | bejelentkezés, kosár, CSRF-token, a banneren adott válasz megjegyzése | Nem. Sőt, ezekről nem is szabad kérdezni, mert nélkülük az oldal nem működik. |
| Preferencia (funkcionális) | nyelv, sötét mód, megjegyzett szűrők | Igen, bár a gyakorlatban a legtöbb oldal egy kapcsolóval kezeli a statisztikaival. |
| Statisztikai | Google Analytics, Hotjar, Clarity | Igen. Anonimizált IP-vel is. |
| Marketing | Meta Pixel, Google Ads, TikTok Pixel, remarketing | Igen. A Consent Mode v2 óta két külön jelet is vár rá a Google. |
Miért kell engedélyt kérni? Két szabály találkozik
A sütikről közvetlenül nem a GDPR rendelkezik, hanem az EU ePrivacy irányelve, amit Magyarországon az elektronikus hírközlési törvény 155. §-a ültetett át: a látogató gépén adatot tárolni vagy onnan adatot kiolvasni csak a látogató hozzájárulásával szabad, kivéve, ha a szolgáltatáshoz technikailag elengedhetetlen. A GDPR pedig azt mondja meg, mitől érvényes egy hozzájárulás: önkéntes, konkrét, tájékozott és egyértelmű legyen.
Ebből következik, hogy a „benne van az adatkezelési tájékoztatóban” megközelítés nem elég: a látogatónak aktívan kell igent mondania, kategóriánként külön, és ugyanolyan könnyen nemet is kell tudnia mondani. Hogy ez a gyakorlatban milyen bannert jelent, és miért nem elég egy „OK” gomb, arról a cookie bannerről szóló cikkünkben írtunk részletesen.
Mi a tét vállalkozóként?
A bírság a kisebbik. Létezik, és nem csak külföldön: a NAIH 2022-ben 10 millió forintra bírságolta a TV2-t, mert a tenyek.hu és a tv2play.hu a látogató döntésétől függetlenül rakott le követő sütiket, két párhuzamos bannert futtatott, és a hozzájárulást nehezebb volt visszavonni, mint megadni. A francia hatóság 2025 szeptemberében 325 millió euróra büntette a Google-t és 150 millióra a Sheint hasonló okokból. Egy kisvállalkozásnál nyilván nem ez a nagyságrend, de a hatóság panaszra indul, és egy elégedetlen ügyfél vagy versenytárs panasza elég hozzá.
A nagyobbik tét a mérés. Ha a sütikezelés rosszul van beállítva, két rossz dolog közül az egyik biztosan igaz: vagy hozzájárulás nélkül mérsz (jogi kockázat), vagy a hozzájárulás után sem indulnak el rendesen a mérőkódok (üzleti kár: a Google Ads és a Meta hibás adatból optimalizál, te pedig rossz helyre teszed a pénzt). Egy rendben lévő sütikezelés nem költség, hanem az az alap, amire a mérés épül. Erről szól a Consent Mode cikkünk is.
Nézd meg magad két perc alatt, mi fut az oldaladon
Ehhez nem kell fejlesztő. Nyisd meg az oldaladat egy privát (inkognitó) ablakban, hogy tiszta lappal indulj, és:
- Nyomj F12-t (Mac-en Cmd+Option+I), ez a böngésző fejlesztői panelje.
- Kattints az Application (Firefoxban: Storage / Tárhely) fülre, bal oldalt nyisd le a Cookies menüpontot, és kattints a domainedre.
- Még ne kattints a banneren semmire. Ami itt most látszik, az hozzájárulás nélkül lett lerakva. Ha itt `_ga`, `_gid`, `_fbp` vagy `_gcl_au` nevű sütit látsz, a GA, a Meta Pixel vagy a Google Ads engedély nélkül fut.
- Most kattints az „elutasítom” gombra, és frissítsd az oldalt. A listának nem szabad bővülnie.
- Végül fogadd el a sütiket, és nézd meg, hogy ekkor viszont megjelennek-e a mérőkódok sütijei. Ha nem, a banner és a mérés nincs összekötve, és a hozzájárulók adatát is elveszíted.
Tipikus meglepetések, amiket ilyenkor találunk: egy beágyazott YouTube-videó, egy Google Maps térkép vagy egy Facebook chat-widget, ami a tulajdonos tudta nélkül rak le harmadik feles sütiket. Ezek nem „a te sütijeid”, de a te oldaladon futnak, tehát a te felelősséged. Ha ez a lista hosszabb, mint gondoltad, vagy nem tudod eldönteni, melyik micsoda, erre való a süti audit: végigmegyünk rajta, és egy egyoldalas listát kapsz arról, mit érdemes megtartani, kicserélni vagy kidobni.
Mit érdemes tenned most?
- Csináld meg a fenti F12-es tesztet. Öt perc, és pontosan tudod, hol állsz.
- Ha hozzájárulás nélkül fut mérőkód: ez a sürgős. Vagy a banner nem blokkol rendesen, vagy egy plugin csak vizuálisan kéri az engedélyt.
- Ha hozzájárulás után sem indul a mérés: a banner és a Google-címkék nincsenek összekötve. Ezt a Consent Mode cikkben leírt módon lehet ellenőrizni és javítani.
- Ha mindkettő rendben: nézd meg, hogy az adatkezelési tájékoztatód ugyanazokat a sütiket sorolja-e fel, amiket a teszt mutatott. Sokszor a szöveg egy két évvel korábbi állapotot ír le.
Új oldal építésénél mindez sokkal egyszerűbb, mert nem utólag kell rendet rakni: a weboldal készítés során már a tervezőasztalon eldől, mi fut az oldalon, és a banner is úgy készül, hogy minél többen mondjanak rá igent. Ez utóbbi nem jogi, hanem UX-kérdés, és pont ettől lesz a sütikezelésből mérési előny, nem teher.
Nem tudod eldönteni, mi fut az oldaladon?
Süti auditnál végignézzük az oldalt, listázzuk, mi tölt be és miért, és megmondjuk, mit érdemes megtartani vagy kidobni. Ha a banner is hiányzik vagy rosszul van bekötve, azt is rendbe tesszük, Consent Mode v2-vel együtt. És ha kiderül, hogy nálad minden rendben van, azt is megmondjuk, ez az audit leggyakoribb jó vége.