Október 21-én az uniós tagállamok nagykövetei elfogadták a Tanács tárgyalási mandátumát a Digital Omnibus csomagról. Ez az első szöveg, amelyre mind a 27 kormány rábólintott arról, hogyan nézhet ki néhány év múlva a sütikezelés és a consent bannerek. A rövid verzió: a banner marad, de kevesebb mindenre kell majd rákérdezni, az elutasítást pedig legalább négy hónapig tiszteletben kell tartani.
Ma még semmi nem változik. Ez tárgyalási álláspont, nem jogszabály, és a Parlament még meg sem szólalt. Az alábbiakban végigmegyek azon, mi van a szövegben, mi maradt ki belőle, és mire érdemes már most figyelni a mérési és hirdetési beállításoknál.
Hol tart a jogalkotás
A Bizottság 2025. november 19-én tette le a Digital Omnibus javaslatot. Egyetlen csomagban nyúl hozzá a GDPR-hez, az ePrivacy irányelvhez, a Data Acthez és a kiberbiztonsági incidensjelentés szabályaihoz. A mesterséges intelligenciáról szóló részt a Tanács 2026. június 29-én véglegesen elfogadta, így az már külön jogszabály, az adatvédelmi rész most jutott el a Tanácsban a közös álláspontig.
Az út nem volt sima. Október 7-én a nagykövetek bizottsága (Coreper) nem fogadta el az ír elnökség kompromisszumát, mert Németország és Franciaország erősebb üzletititok-védelmet akart a Data Act részben. A beharangozott október 11-i döntés sem jött össze. Október 21-én végül megszületett a megállapodás, a szöveget másnap ST 14756/26 számon tették közzé.
A másik társjogalkotó, az Európai Parlament még nem fogadta el a saját álláspontját. Az illetékes ITRE és LIBE bizottság nem szavazott, a képviselők több mint ezer módosító javaslatot adtak be. Amíg ez nincs meg, a háromoldalú egyeztetés (trilógus) nem indulhat el, és addig a szöveg bármelyik pontja változhat.
A sütiszabály az ePrivacy irányelvben marad
A Bizottság eredetileg átköltöztette volna a sütikre vonatkozó szabályt a GDPR-be (új 88a. cikk), mellé pedig egy 88b. cikket tett volna a böngészőből küldött, gépileg olvasható hozzájárulási jelzésekről. A Tanács mindkettőt kihúzta. Helyette teljesen újraírja az ePrivacy irányelv 5. cikk (3) bekezdését, vagyis azt a szabályt, amiért ma minden uniós oldalon ott a banner.
Az alapelv ugyanaz marad: a felhasználó eszközén bármit tárolni vagy onnan kiolvasni csak hozzájárulással lehet, és ennek a hozzájárulásnak a GDPR mércéjét kell megütnie.
Annak, hogy irányelv marad, két gyakorlati következménye van. Minden tagállamnak saját jogszabályban kell átültetnie, nálunk ez az elektronikus hírközlésről szóló 2003. évi C. törvény (Eht.) 155. § (4) bekezdését érinti, mert ez ültette át a mai sütiszabályt. A felügyelet is mozdul: egy új 15a. cikk (5) bekezdés szerint a sütiszabályt az adatvédelmi hatóság felügyelné, így ahol ma hírközlési vagy fogyasztóvédelmi hatóság foglalkozik vele, ott a hatáskör átkerülne.
Hat cél, amihez nem kellene consent
A kivételek zárt listát alkotnak, és mindegyikre ugyanaz a szűrő vonatkozik: a tárolás vagy kiolvasás csak akkor mentes, ha kizárólag az adott célhoz kapcsolódik, és ahhoz szigorúan szükséges.
| Cél | Mit takar | Feltétel a tanácsi szövegben |
|---|---|---|
| (a) Kommunikáció továbbítása | A hálózati továbbításhoz szükséges adatok | Nincs külön feltétel, ez a mai kivétel |
| (b) Kifejezetten kért szolgáltatás | Kosár, nyelvi beállítás, űrlapkitöltés segítése és hasonló funkciók | Csak a felhasználó által kért funkcióhoz |
| (c) Saját közönségmérés | Anonim, összesített adat egy online szolgáltatás használatáról | A szolgáltató vagy a megbízottja végzi; nem használható más célra, nem osztható meg harmadik féllel, nem kapcsolható harmadik fél adataihoz |
| (d) Médiaközönség-mérés | Az Európai médiaszabadság-rendelet (EMFA) 24. cikke szerinti mérés, jellemzően ipari közönségmérési rendszerekben | Gyűjtés után pszeudonimizálni kell; nincs más cél; nincs követés a mért szolgáltatáson kívül; kifelé csak személyes adat nélküli riport mehet |
| (e) Technikai biztonság | A szolgáltatás vagy az eszköz biztonságának fenntartása, helyreállítása | Csak a kért szolgáltatáshoz szigorúan szükséges mértékben |
| (f) Kontextuális hirdetés mérése | Kizárólag az aktuális tartalomra vagy egyetlen keresésre épülő hirdetés megjelenése és teljesítménye | Nincs profilozás, nincs múltbeli, jövőbeli vagy oldalakon átívelő aktivitás; pszeudonimizálás; más célra (programmatic hirdetésre sem) nem használható |
Az első kettő lényegében a mai „feltétlenül szükséges” kategória. Az igazi újdonság a (c), a (d) és az (f). A (d) főleg a médiacégeket érinti, a másik kettő viszont szinte minden hirdetőt.
Analitika banner és consent nélkül? Csak szűk körben
Ezt a pontot fogják a legtöbben félreérteni. A (c) kivétel nem azt mondja, hogy a webanalitika hozzájárulásmentes lesz. Azt mondja, hogy egy online szolgáltatás közönségét meg lehet mérni hozzájárulás nélkül, ha az eredmény anonim és összesített, és az adat nem megy tovább sehová.
A 44d. preambulumbekezdés ki is fejti: a szolgáltató összesített képet kaphat a használatról, de nem elemezheti az egyes felhasználók viselkedését. Az adat nem kapcsolható össze a szolgáltató más szolgáltatásaiból vagy harmadik féltől származó adatokkal, például más oldalak analitikai adataival. Az összesített riportot viszont bárkivel meg lehet osztani.
Mi a helyzet a GA4-gyel? A szöveg egyetlen terméket sem nevez meg, így jogi minősítést nem tudok adni. A feltételekből annyi következik, hogy ha a mérési adat hirdetési rendszerbe kerül, remarketing-közönséget épít, vagy más szolgáltatások adataival kapcsolódik össze, az kívül esik a kivételen, mert a szöveg kifejezetten tiltja a más célú felhasználást, a megosztást és az összekapcsolást. Ahogy az sem, ha a mérési szolgáltató az adatot a saját céljaira is felhasználhatja.
Szerintem ebből nem az következik, hogy holnap le kell cserélni az eszközöket. Inkább az, hogy érdemes külön kezelni a mérést, ami csak számol, és azt, ami hirdetési rendszereket táplál. Az előbbi egyszer talán hozzájárulás nélkül is futhat, az utóbbi biztosan nem.
Kontextuális hirdetések mérése és a frekvenciakorlát
Az (f) pont teljesen új. Hozzájárulás nélkül mérhető lenne egy hirdetés megjelenése és teljesítménye, ha a hirdetés kizárólag az éppen látott tartalomra épül egy adott látogatás során, vagy egyetlen keresési lekérdezésre. A mérés nem járhat profilozással, és nem nyúlhat a felhasználó korábbi vagy későbbi aktivitásához, az oldalakon és szolgáltatásokon átívelő aktivitást is beleértve. Az adatot gyűjtés után pszeudonimizálni kell, és más célra nem lehet használni.
A 44g. preambulumbekezdés név szerint említi a frekvenciakorlátozó (capping) és a hirdetésmérési sütiket. Ugyanez a bekezdés zárja ki, hogy az adat profilozásra vagy programmatic hirdetésre menjen tovább.
Két dolgot érdemes ebből kiolvasni. Az egyik egyértelmű: a viselkedésalapú hirdetés, a retargeting és a programmatic kampányok mérése továbbra is hozzájáruláshoz kötött. A másik kevésbé. Egy frekvenciakorlát attól működik, hogy megjegyzi, az eszköz már látta a hirdetést, ez pedig múltbeli aktivitás. A PPC Land elemzése szerint a szöveg elsősorban az oldalakon átívelő esetet célozza, az egy oldalon belüli korlátról pedig a hatóságok és esetleg a bíróságok döntenek majd.
Egy kattintás a nemhez, négy hónap csend utána
A hat kivétel után jönnek a banner működésére vonatkozó szabályok. Mindössze három mondat, de a CMP-beállításokat ez írja át a legjobban:
- Az elutasításnak egyszerűnek és érthetőnek kell lennie, egy kattintásos gombbal vagy azzal egyenértékű módon.
- Ha a felhasználó hozzájárult, ugyanarra a célra nem lehet újra rákérdezni, amíg a hozzájárulás érvényes.
- Ha elutasította, ugyanarra a célra legalább négy hónapig nem lehet újra kérni.
A Bizottság eredetileg hat hónapot javasolt, a Tanács négyre csökkentette. A francia hirdetőipari szövetség, az Alliance Digitale a szabály teljes törlését kérte, ez nem ment át.
A 45. preambulumbekezdés szerint a tilalom mindenkire vonatkozik, aki bármit tárol a felhasználó eszközén, a harmadik féltől származó sütiket is beleértve. Két kiskapu van. Újra lehet kérdezni, ha változik az adatkezelés célja, például új szolgáltatás indul. És akkor is, ha az elutasítást rögzítő süti a szolgáltatón kívüli okból elveszett, mert a felhasználó törölte. A böngészők sütikorlátozásai miatt (gondoljunk a Safarira) a négy hónap a gyakorlatban rövidebb is lehet.
Ugyanebben a bekezdésben áll, hogy a módosítás nem szabályozza a médiaszolgáltatók online bevételi modelljeit. A „fizess vagy fogadd el” konstrukciót nem nevezi meg, de ez a mondat láthatóan kívül tartja a kérdést.
A 45. preambulumbekezdés maga írja le a problémát: aki elutasít, gyakran minden látogatáskor újra megkapja a kérdést, és van, aki végül csak azért fogad el, hogy ne kelljen többet kattintania. Ez a gyakorlat megszűnne. Cserébe az első kérdés súlya megnő: ha csak négyhavonta lehet kérdezni, nagyon nem mindegy, mit és hogyan kérdezünk.
Ami kimaradt, és ami csendben bekerült
A bizottsági javaslat talán leglátványosabb eleme a böngészőben (vagy az EU digitális identitás-tárcában) beállítható, gépileg olvasható hozzájárulási jelzés volt. Ezt a weboldalaknak kötelező lett volna tiszteletben tartaniuk. A Tanács már júniusban kivette, szeptemberben 19 szervezet kérte a visszaírását, de a végleges mandátumban sincs benne. A Google által megrendelt tanulmány évi 40–50 milliárd euró költséget becsült a mechanizmusra, a noyb ezt a számot vitatja. A Parlament ezen a ponton másképp is dönthet.
Ami viszont bekerült, és az adatmegosztás szempontjából talán többet nyom a latban minden sütiszabálynál, az egy új GDPR 25a. cikk a pszeudonimizálásról. Eszerint a pszeudonimizált adat nem személyes adat annak a harmadik félnek, amely nem tudja azonosítani az érintettet. Ha viszont az adat olyan félhez kerül tovább, akinek megvan az eszköze az azonosításhoz, az már személyesadat-kezelés. Az adatfeldolgozónál pedig mindig személyes adat marad. A gyakorlati részletekről az Európai Adatvédelmi Testület (EDPB) adna ki véleményt.
Marketing oldalon ez a data clean roomokat, a mérési partnereket és az adatot fogadó platformokat érinti. Egy megbízottként dolgozó mérési cég nem hivatkozhat arra, hogy nála nincs személyes adat.
Mikor változhat bármi
A Parlament álláspontja és a trilógus még hátravan. Az elfogadás után a tagállamoknak 24 hónapjuk lesz az átültetésre, és a szöveg szerint ugyanettől a naptól kell alkalmazniuk is. A Bizottság 12 hónapon belül jelentést ad az eszközön tárolt adatokat érintő adatvédelmi technológiákról, ami újabb módosításokat hozhat.
Mit érdemes most tenni
A bannert ma nem kell átírni, a hatályos szabályok érvényesek. Néhány előkészítő lépést viszont már most érdemes megtenni.
- Cél szerinti leltár a sütikről és tagekről: melyik tartozhat a hat kivétel valamelyikébe, és melyik szolgál marketingcélt.
- A mérés és a hirdetési jelek szétválasztása a tagkezelőben, hogy a csak számláló mérést külön lehessen kezelni a hirdetési rendszereket tápláló tagektől: ez jelenthet a jövőben akár egy második Google Analytics property-t, ami nem kapcsolódik más termékekhez (pl Google Ads), de akár azt is jelentheti, hogy a változás teret ad azoknak az analitikai megoldásoknak, amelyet saját infrastruktúrán (és annak költségével) lehet használni az új szabályoknak megfelelő módon.
- Egyeztetés a CMP-szállítóval: tud-e célonként elutasítást tárolni, újrakérési időzítőt kezelni, és van-e egy kattintásos elutasítás. Az EDPB 2023-as munkacsoporti jelentése szerint a hatóságok nagy többsége már ma is jogsértőnek tartja, ha a banneren az elfogadás mellett nincs elutasítási lehetőség.
- És persze a Parlament álláspontjának követése. A böngészőjelzés és a négy hónap is változhat a trilógusban.
Gyakori kérdések
Kell most változtatni a sütibanneren?
Nem. A tanácsi szöveg tárgyalási álláspont, nem jogszabály. Ma a hatályos ePrivacy szabályok, a GDPR és a nemzeti törvények érvényesek.
Futtathatom majd a Google Analyticset hozzájárulás nélkül?
A szöveg nem nevez meg terméket. Hozzájárulás nélkül csak az anonim, összesített, más célra nem használt és harmadik féllel meg nem osztott közönségmérés futhatna. Ha a mérési adat hirdetési fiókokba vagy remarketing-közönségekbe is bekerül, az már más célú felhasználás, így nem fér bele. Megeshet, hogy egyfajta új best practice keretében sok cég két Google Analyticset üzemeltet majd.
Mérhetők lesznek a hirdetések hozzájárulás nélkül?
Csak a kontextuális hirdetések: azok, amelyek kizárólag az aktuális oldal tartalmára vagy egyetlen keresésre épülnek. A viselkedésalapú, retargeting és programmatic hirdetés mérése továbbra is hozzájáruláshoz kötött.
Mit jelent a négy hónapos szabály?
Ha valaki elutasítja a hozzájárulás-kérést, ugyanarra a célra legalább négy hónapig nem lehet újra megkérdezni. Kivétel, ha változik az adatkezelés célja, vagy ha a felhasználó törölte az elutasítást rögzítő sütit.
Mikor lép hatályba?
Leghamarabb az elfogadás után 24 hónappal, mert a tagállamoknak ennyi idejük lesz az átültetésre. Az uniós „One Europe, One Market” menetrend 2027 végéig zárná le az egyszerűsítési csomagokat, így a legal247 elemzése szerint a gyakorlatban fontos változások 2028 előtt aligha lépnek életbe.
