A „nem kell banner” ígérete

Az adatvédelemre fókuszáló analitikai eszközök gyakran cookie-mentesként reklámozzák magukat, és némelyik még tovább megy, azt sugallva, hogy már nincs szüksége consent bannerre. Egy karcsú stackkel rendelkező kiadónak ez vonzó gondolat. A valóság árnyaltabb. Hogy kell-e beleegyezés, az attól függ, mit csinál az eszköz ténylegesen az eszközön, milyen adatokat dolgoz fel, hol vannak a felhasználói, és mi fut még az oldalain.

Ez a cikk elmagyarázza, milyen kérdéseket tegyen fel, mielőtt eltávolítja az analitikát a beleegyezési beállításból. Általános útmutatás, nem jogi tanácsadás.

A cookie-k nem az egyetlen kiváltó ok

Az EU-ban az eszközökre vonatkozó beleegyezési szabály az ePrivacy-irányelv 5. cikkének (3) bekezdéséből ered. Ez a felhasználó eszközén történő információtárolásra, illetve az onnan történő információ-hozzáférésre vonatkozik — nem csak a cookie-kra. Ide eshet a helyi tároló, a munkamenet-tároló, az információ olvasását kiváltó pixelek, valamint az eszköz jellemzőiből azonosítót képző technikák is. Az Európai Adatvédelmi Testület ezt a tág értelmezést az 5. cikk (3) bekezdésének technikai hatályáról szóló 2/2023. számú iránymutatásában rögzítette.

Tehát a „nem állítunk be cookie-kat” az elemzés kezdete, nem a vége. Tudnia kell, hogy az eszköz egyáltalán tárol vagy olvas-e valamit az eszközön.

Négy kérdés bármely analitikai eszközhöz

1. Tárol vagy olvas valamit az eszközön?

Oldalbetöltés után ellenőrizze a böngésző tárolópaneljeit: cookie-k, helyi tároló, munkamenet-tároló, IndexedDB. Ellenőrizze, hogy a script tartalmaz-e olyan kódot, amely az eszköz jellemzőit gyűjti azonosító képzéséhez. Ha bármit tárolnak vagy olvasnak analitikai célból, az ePrivacy-szabály érvényes, hacsak nem vonatkozik rá kivétel.

2. Személyes adatokat dolgoz fel?

Eszköztárolás nélkül is az analitika általában IP-címeket, user agenteket és oldal-URL-eket dolgoz fel. A GDPR szerint ezek személyes adatok lehetnek. Ehhez jogalap kell — amely lehet jogos érdek, nem feltétlenül beleegyezés — plusz átláthatóság az adatvédelmi tájékoztatóban, adattakarékosság és megfelelő megőrzés. A „nincs banner” sosem jelenti azt, hogy „nincsenek kötelezettségek”.

3. Vonatkozik-e kivétel a felhasználói országaiban?

Egyes szabályozók elismerik, hogy a korlátozott közönségmérés mentesülhet a beleegyezés alól, ha szigorú feltételek teljesülnek. A francia CNIL közzétette a közönségmérő követők mentesítésének feltételeit, és programot működtet azon eszközök azonosítására, amelyek konfigurálhatók a teljesítésükre. A feltételek jellemzően: kizárólag első féltől származó használat, kizárólag összesített statisztika, nincs webhelyek közötti követés és korlátozott megőrzés. Az Egyesült Királyság 2025-ös Data (Use and Access) Act törvénye új kivételeket vezetett be a PECR beleegyezési követelménye alól, többek között bizonyos statisztikai célokra, olyan feltételekkel, mint a világos tájékoztatás és a tiltakozás lehetősége. Nem minden ország vallja ugyanazt az álláspontot, ezért ellenőrizze a helyzetet minden kiszolgált piacon, és hogy mely rendelkezések vannak hatályban.

4. Megosztják az adatokat bárki mással?

Ha az eszköz olyan szállítónak küld adatot, amely saját céljaira használja, vagy ügyfelek között kombinálja őket, a kivételek általában megszűnnek. Olvassa el az adatkezelési feltételeket, ne csak a marketingoldalt.

Mi igényel általában még beleegyezést

• Hirdetési tagek. A hirdetésekből élő kiadóknak a személyre szabott hirdetéshez és a hirdetési szállítók eszköztárolásához beleegyezés kell, bármit csinál is az analitikai eszközük.
• Munkamenetek közötti azonosítókat használó eszközök. A tartós látogatóazonosítók, még az első féltől származóak is, általában kiviszik az eszközt a legtöbb kivételből.
• Munkamenet-visszajátszás és hőtérképek. Részletes viselkedést rögzítenek, és ritkán tekintik őket mentes mérésnek.
• Beágyazott tartalom és közösségi widgetek. Saját cookie-kat és azonosítókat állítanak be.
• Konverziós és remarketing pixelek. A viselkedés és a hirdetés összekapcsolására léteznek.

A legtöbb hirdetésekből élő webhelyen a banner a hirdetési stack miatt mindenképp kötelező. Az igazi kérdés az, hogy az analitika legyen-e az egyik feltételhez kötött kategória, vagy futhat-e önállóan, egy szűk kivétel alapján.

Gyakorlati módszer a döntéshez

1. Sorolja fel az összes analitikai scriptet, és hogy mit tárol, olvas és küld.
2. Azonosítsa azokat az országokat, ahol a felhasználóinak többsége van.
3. Eszközönként ellenőrizze, hogy a konfigurációja megfelel-e az ezekben az országokban elismert kivételnek.
4. Állítsa be az eszközt a szükséges legszigorúbb változatra: IP-csonkolás, nincs tartós azonosító, rövid megőrzés, nincs adatmegosztás.
5. Dokumentálja az indoklást, és az analitikai eszközt mindenképp tartsa felsorolva a cookie-szabályzatban és az adatvédelmi tájékoztatóban.
6. Ellenőrizze újra, ha a szállító módosítja a termékét, vagy a piacai változnak.

Mentes analitika futtatása a CMP mellett

Ha úgy dönt, hogy egy eszköz megfelel, a CMP-ben szigorúan szükségesként vagy mentesként tüntesse fel, hogy közölve legyen, de ne legyen feltételhez kötve, és gondoskodjon róla, hogy a konfigurációja a kivételen belül maradjon. Sok kiadó emellett fenntart egy beleegyezéstől függő analitikai beállítást a gazdagabb méréshez, és a Google Consent Mode v2-vel vagy hasonló jelekkel igazítja a felhasználó döntéséhez. A FlexyConsent az IAB TCF 2.4 és az IAB GPP v1.1 mellett támogatja a Google Consent Mode v2-t.

Legfontosabb tanulságok

• A „cookie-mentes” nem jelenti automatikusan, hogy „nem kell beleegyezés”; az 5. cikk (3) bekezdése minden eszköztárolást vagy hozzáférést lefed.
• Az eszköztárolás nélküli analitika is feldolgozhat személyes adatokat, és jogalapot és átláthatóságot igényel.
• A közönségméréshez egyes országokban léteznek kivételek, de szigorú feltételekkel.
• A hirdetési, munkamenet-visszajátszási és remarketing tagek továbbra is beleegyezést igényelnek.
• Dokumentálja, miért tekintenek egy eszközt mentesnek, és rendszeresen ellenőrizze újra.