Vizsgálják a hatóságok a honlapok sütihasználatát, mutatjuk, mire kell ügyelni

Megosztás Tetszik

Összehangolt ellenőrzések keretében vizsgálják az európai felügyeleti hatóságok a honlapok sütihasználatát. Míg számos tagállami hatóságnak e tekintetben részletes iránymutatás áll rendelkezésre, Magyarországon az nem rendelkezik erről a Nemzeti Adatvédelmi és Információszabadság Hatóság, így más tagállami hatóságok idegen nyelvű döntései segítségével kell tájékozódni. Cikkünkkel ezt igyekszünk megkönnyíteni, ismertetjük a legfontosabb tudnivalókat.

Mire használhatók a honlapsütik?

A sütik egyrészt lehetővé teszik a honlap működését, például azzal, hogy információkat tárolnak arról, hogy a felhasználó elfogadja-e a hozzájáruláshoz kötött sütik használatát, amelyek értékes információkat tárolhatnak a honlapot látogató személyhez kapcsolódóan. Ilyen információ lehet az, hogy a látogató mely oldalról jött, mennyi ideig böngészik az egyes oldalakon, ott pontosan mit tekint meg, illetve az érintett böngészési adatai alapján reklámok is megjelenítésre kerülhetnek számára. A felhasználó az eszközein megtekintheti, illetve törölni is tudja a sütiket, melyek egyebekben a honlaplátogatás időtartamától évekig terjedő időtartamban kezelhetik a személyes adatokat.

A süti is adatkezelés, hiába cáfolja az IT-részleg

A személyes adatok kezelését és védelmét szabályozó 2016/679. számú Általános Adatvédelmi Rendelet (GDR) 4. cikke szerint személyes adat az azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ. Azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható. Ahhoz tehát, hogy személyes adatról beszéljünk, nem szükséges tudni, hogy az érintett név szerint pontosan ki volt. Elegendő az, hogy a honlap látogatása során XY felhasználó kapott egy egyedi azonosítót, melynek segítségével a szokásait valamely adatkezelő megfigyeli és elemzi. Innentől kezdve pedig nem állítható azt, hogy az adatkezelés anonimizált módon történt.

A sütikezeléshez is szükséges tájékoztatás és jogalap

Személyes adat kezelése esetén jogok illetik meg az érintettet, azaz azt, akinek a személyes adatát kezelik. Az egyik legfontosabb érintetti jog a tájékoztatáshoz való jog. Ennek keretében

– az érintettet tájékoztatni kell arról, hogy a honlap sütiket használ,
– melyek pontosan ezek a sütik,
– mi a sütik kezelésének célja, jogalapja, meddig tárolnak személyes adatot,
– illetve történik-e harmadik országba irányuló adattovábbítás.

Célszerű ezt a tájékoztatást táblázatos formában megadni. Az adatkezelés jogalapja jogos érdek, illetve hozzájárulás lehet. Jogos érdek lehet a jogalapja, így nem szükséges hozzájárulás azon sütikhez, melyek nélkül a honlap megfelelően nem tud működni, illetve, amelyek az információbiztonsági követelmények érvényesüléséhez szükségesek.

Az ilyen sütiket egyenként be kell mutatni, másrészt pedig úgynevezett érdekmérlegelési tesztben is dokumentálni kell, hogy ténylegesen szükség van az alkalmazásukra, valamint igazolni kell a jogos érdek fennállását, és annak az érintetti érdekeket és jogokat megelőző jellegét. Minden további süti használatához célonként és előzetesen szükséges hozzájárulást beszerezni.

Ilyen adatkezelési célok jellemzően a statisztikai vagy marketingcélok. Ezek kapcsán fontos arra is ügyelni, hogy ha a felhasználó nem adja a hozzájárulását, abban az esetben ezeket az érintett eszközére nem lehet letölteni. Azt, hogy ez teljesül-e, egyszerű szoftverrel is lehet ellenőrizni, így nem célszerű ezt az adatkezelési tájékoztatóban feltüntetni.

További fontos szempontok, melyekre ügyelni kell

Vizsgálja a hatóság a harmadik országbeli adattovábbításokat, így a Facebook/Google sütijeinek alkalmazását is. Ezek megfelelőségét mindenképpen ellenőrizzük, és azt is gondoljuk át, hogy ezek szükségesek-e. Amennyiben igen, abban az esetben kérjük az érintett előzetes hozzájárulását, melyet megfelelő adatkezelési tájékoztatás előzzön meg.

A weboldalon működhet a Facebook által biztosított „_fbp” süti is, amely Facebook pixel-hez tartozik, és felhasználása csak akkor történik a Facebook által, ha a felhasználó érintett rendelkezik Facebook fiókkal és abban a célzott reklámok megjelenítését engedélyezi, így ehhez nem a weboldalon keresztül kell hozzájárulni. Az „_fbp” süti általában a Facebook Pixel-hez kapcsolódik, amelynek elhelyezését a Weboldal üzemeltetője kell, hogy engedélyezze, így azért közösen felel a Facebookkal. Ezt is szükséges tehát ellenőrizni.