# Sütisávra vonatkozó elvárások országonként

> Hogyan ítélik meg az uniós adatvédelmi hatóságok a sütisáv kialakítását: Spanyolországtól Belgiumig.

A GDPR hatálybalépése óta kevés téma vitatott annyira, mint a sütik és hasonló technológiák használatának feltételei. Több uniós adatvédelmi hatóság adott ki véleményt vagy iránymutatást, az Európai Unió Bírósága is foglalkozott a kérdéssel, de egységes álláspont még nincs. A legtöbb hatóság szerint a sütik használatához (néhány kivétellel) tájékoztatás és hozzájárulás kell, ezért sütisávot javasolnak, de a sávra vonatkozó követelmények eltérnek. Ez különösen fontos, ha a webhelyed több tagállamból elérhető: a bírságok és hatósági felszólítások elkerüléséhez fel kell mérned az eltérő elvárásokat.

## Háttér

A sütikre és hasonló technológiákra nem csak a GDPR és a nemzeti adatvédelmi törvények vonatkoznak, hanem az uniós ePrivacy-szabályok is. Az a kérdés, hogy szükséges-e előzetes hozzájárulás, kiegészül azzal, hogy mi a hozzájárulás feltétele. A Bíróság a 2019 októberi Planet49-döntésében általános útmutatást adott, a hatóságok értelmezése mégis eltér. Az elmúlt időszakban a bírságok és hatósági végzések száma nőtt: például a spanyol hatóság 2019 októberében 30 000 euró bírságot szabott ki egy spanyol fapados légitársaságra a spanyol sütiszabályok megsértése miatt.

## A GDPR követelményei

A GDPR 6. cikk (1) bekezdés a) pontja nem részletezi a hozzájárulás módját. A 4. cikk 11. pontja szerint a hozzájárulás az érintett akaratának önkéntes, konkrét, megfelelően tájékozott és egyértelmű kinyilvánítása, nyilatkozattal vagy a hozzájárulást félreérthetetlenül kifejező cselekedettel. A rendelet nem írja elő, milyen legyen a sütisáv; az adatkezelő szabadon választhatja meg a hozzájárulás formáját.

## A 29. cikk szerinti munkacsoport

A hozzájárulásról szóló 259. sz. iránymutatásában (WP 259) a munkacsoport kimondja, hogy a jogszerű hozzájárulás sokféle cselekedettel megadható, például a képernyőn egy sáv elhúzásával, a kamera előtti integetéssel vagy az okostelefon elforgatásával. Lényegében bármilyen forma lehetséges, ha a felhasználó számára kellően egyértelmű, hogy a cselekedettel nyilatkozik, és az jól megkülönböztethető a többi műveletétől.

## Az uniós hatóságok iránymutatásai

Több hatóság adott ki iránymutatást, különböző részletességgel. Abban széles az egyetértés, hogy a sávnak tájékoztatást kell adnia a használt sütikről, közvetlenül vagy hivatkozással. Abban viszont eltérnek, hogyan adhat hozzájárulást a látogató. A vélemények a gyakorlatilag bármilyen cselekedetet elfogadóktól addig terjednek, amelyek az első szinten minden sütikategóriához külön gombot kívánnak. Eltérő az is, hogy szükséges-e kifejezett „elutasítás” lehetőség.

| Ország | Álláspont röviden |
| --- | --- |
| Spanyolország | A legkevésbé szigorú. A kifejezett „elutasítás” és „elfogadás” gombon kívül jogszerűnek ismeri el azt is, ha a hozzájárulás az oldalra kattintással történik, feltéve, hogy a sáv kellően tájékoztat arról, mit jelent ez. |
| Olaszország | Nem szükséges elutasító gomb az első szinten. A látogatónak lehetővé kell tenni a nyomon követés nélküli továbblépést, például a sáv jobb felső sarkában lévő X-szel való bezárással. |
| Liechtenstein | Csak a GDPR 6. és 7. cikkére hivatkozik. A hozzájárulás többféle formában, akár ráutaló magatartással is megadható; kifejezett elutasító gombot nem ír elő. |
| Hollandia | A „cookie wall” (sütifal) nem megengedett, az előre bejelölt négyzet nem érvényes hozzájárulás. A sáv kialakításáról nem szól, ezért valószínűleg nem követel elutasító gombot az első szinten. |
| Ausztria | Nincs külön iránymutatás. Egy 2018 novemberi ügyben olyan sávot fogadtak el, ahol az „OK” gombra vagy a sávon kívüli területre kattintva lehetett hozzájárulni, mert a látogató tudatos döntést hozhatott. |
| Írország | Szigorúbb. A sávon kívüli kattintás vagy a görgetés nem elég, a látogatónak valódi választási lehetőséget kell kapnia. Elegendő lehet az első szinten egy „Elfogadás” gomb és egy gomb a további információkhoz; az elutasító gomb ajánlott, de valószínűleg nem kötelező. |
| Németország, Egyesült Királyság, Franciaország, Görögország | Sokkal szigorúbb. Az első szinten nem elég csak az elfogadás: a hozzájárulás önkéntessége megkívánja, hogy a sáv kifejezetten az elutasítást is felkínálja. A görög hatóság szerint az elfogadás és az elutasítás ugyanannyi kattintással, ugyanazon a szinten legyen elérhető. |
| Belgium, Dánia | A legszigorúbb. A dán iránymutatás szerint nincs önkéntes hozzájárulás, ha az első szinten csak egyetlen elfogadási lehetőség van a célok megkülönböztetése nélkül, még akkor sem, ha a második szinten ki lehet választani a célokat. A belga hatóság szerint, ha több sütitípus van, az első szinten kell külön hozzájárulást kérni mindegyikre, a második szint pedig sütinkénti, részletes választást adjon. |

Mivel az elvárások országonként eltérnek, a Complianz sávjait a [Földrajzi célzás](https://hub.hellowp.io/hu/plugins/complianz-gdpr-premium/foldrajzi-celzas/) segítségével régiónként más-más beállításra állíthatod, a sáv megjelenéséről pedig a [Hozzájárulási sáv](https://hub.hellowp.io/hu/plugins/complianz-gdpr-premium/hozzajarulasi-sav/) fejezetben olvashatsz.