Gyors válasz: Az ePrivacy Irányelv és a GDPR két különálló, de átfedő EU-s jogszabály, amelyek közösen szabályozzák a süti hozzájárulást és az online adatvédelmet. Az ePrivacy Irányelv meghatározza a sütik felhelyezésére vonatkozó konkrét szabályokat a felhasználók eszközein, míg a GDPR a érvényes hozzájárulásra vonatkozó standardokat határozza meg. A legtöbb EU-ban működő weboldalnak mindkettőnek meg kell felelnie, és 2026-tól egy jelentős jogalkotási átalakítás van folyamatban, amely közvetlenül a GDPR-ba integrálhatja a süti szabályokat.
Főbb megállapítások
- Az ePrivacy Irányelv (2002, frissítve 2009) az elsődleges jogszabály, amely hozzájárulást követel meg nem alapvető sütik beállítása előtt; a GDPR (2018) határozza meg, mit jelent az "érvényes hozzájárulás".
- Mindkét jogszabály egyidejűleg vonatkozik a legtöbb EU-ra irányuló weboldalra, egyik sem helyettesíti a másikat.
- Az Európai Bizottság 2025 februárjában hivatalosan visszavonta a javasolt ePrivacy Rendeletet.
- A 2025 novemberében bemutatott Digitális Omnibusz Csomag javasolja a süti hozzájárulási szabályok integrálását a GDPR-ba az új 88a és 88b cikkeken keresztül.
- Az alapvető (szigorúan szükséges) sütik mentesülnek a hozzájárulási követelmények alól az ePrivacy Irányelv szerint.
- Az ePrivacy Irányelvet az EU tagállamaiban eltérően ültették át, ami országonkénti megfelelési eltéréseket eredményezett.
- Egy 2026-os tanulmány megállapította, hogy csak a weboldalak 30,66%-a tartalmazott "mindent elutasító" gombot, ami széleskörű nem megfelelőséget jelez [7].
- A süti hozzájárulási bannerek mindkét jogszabálynak megfelelhetnek, de csak akkor, ha teljesítik a GDPR feltételeit a szabadon adott, specifikus, tájékozott és egyértelmű hozzájárulásra.
- A Hozzájáruláskezelő Platformoknak (CMP-k) alkalmazkodniuk kell a böngésző szintű hozzájárulási jelekhez a javasolt GDPR változások alatt [3].
Mi a különbség az ePrivacy Irányelv és a GDPR között
Az ePrivacy Irányelv és a GDPR különböző, de kiegészítő funkciókat szolgálnak. Az ePrivacy Irányelv (2002/58/EK irányelv, amelyet a 2009/136/EK módosított) egy szektor-specifikus jogszabály, amely az elektronikus kommunikációs adatvédelemre vonatkozik, beleértve a sütik és hasonló nyomkövető technológiák használatát. A GDPR egy általános adatvédelmi rendelet, amely jogi keretet biztosít a személyes adatok feldolgozásához minden szektorban, beleértve az érvényes hozzájárulás definícióját és követelményeit.
A kulcsfontosságú megkülönböztetés:
| Jellemző | ePrivacy Irányelv | GDPR |
|---|---|---|
| Jogi forma | EU Irányelv (nemzeti átültetést igényel) | EU Rendelet (közvetlenül alkalmazandó) |
| Elsődleges fókusz | Sütik, nyomkövetés, elektronikus kommunikáció | Minden személyes adatfeldolgozás |
| Hozzájárulási standard | Hozzájárulás szükséges a nem alapvető sütikhez | Meghatározza, mit jelent az érvényes hozzájárulás |
| Végrehajtó szerv | Nemzeti távközlési/DPA szabályozók | Nemzeti Adatvédelmi Hatóságok |
| Állapot (2026) | Még érvényben; reform folyamatban | Érvényben; javasolt módosítások alatt |
Mivel az ePrivacy Irányelv Irányelv, nem pedig Rendelet, minden EU tagállam eltérően ültette át azt nemzeti jogba, ami eltéréseket eredményezett a végrehajtásban és a konkrét követelményekben az országok között [6].
Meg kell felelnie mind az ePrivacy Irányelvnek, mind a GDPR-nak, vagy csak az egyiket kell betartani?
Mindkét jogszabály egyidejűleg vonatkozik, és az egyiknek való megfelelés nem elégíti ki a másikat. Az ePrivacy Irányelv megmondja, mikortól szükséges a hozzájárulás (nem alapvető sütik beállítása előtt); a GDPR megmondja, milyen legyen az a hozzájárulás (szabadon adott, specifikus, tájékozott, egyértelmű és bármikor visszavonható) [5].
Gondoljunk így: az ePrivacy Irányelv a kiváltó ok, a GDPR pedig a standard. Egy süti banner, amely technikailag a sütik betöltése előtt jelenik meg, de előre bejelölt négyzeteket használ, megsérti a GDPR hozzájárulási követelményeit, még ha formálisan megfelel is az ePrivacy Irányelv értesítési kötelezettségének.
Gyakori hiba: Feltételezni, hogy egy süti értesítés (amely tájékoztatja a felhasználókat a sütik létezéséről) elegendő. Mindkét keretrendszer alatt a passzív értesítés nem minősül hozzájárulásnak a nem alapvető sütikhez.
Hogyan vonatkozik az ePrivacy Irányelv a sütikre a weboldalán
Az ePrivacy Irányelv megköveteli, hogy a weboldal üzemeltetői előzetes, tájékozott hozzájárulást kérjenek, mielőtt információt tárolnának vagy hozzáférnének a felhasználó eszközén, ez magában foglalja a sütiket, pixeleket, helyi tárolást és hasonló technológiákat [6]. Ez a kötelezettség független attól, hogy az összegyűjtött adatok személyes adatoknak minősülnek-e a GDPR szerint.
Gyakorlatilag ez azt jelenti:
- Nem lehetnek nem alapvető sütik, amíg a felhasználó nem tesz egyértelmű lépést a hozzájárulás megadására.
- A hozzájárulási mechanizmusnak világosnak kell lennie, és nem lehet összekapcsolva a szolgáltatási feltételek elfogadásával.
- A felhasználóknak könnyen vissza kell tudni vonniuk a hozzájárulást, ahogyan azt adták.
Az Irányelv minden olyan szolgáltatásra vonatkozik, amely az EU felhasználóit célozza, függetlenül attól, hogy a weboldal üzemeltetője hol található.
Milyen sütik igényelnek hozzájárulást az ePrivacy Irányelv és a GDPR szerint
Az ePrivacy Irányelv szerint hozzájárulás szükséges minden sütihez, kivéve azokat, amelyek "szigorúan szükségesek" egy felhasználó által kifejezetten kért szolgáltatáshoz. A GDPR szerint a személyes adatok bármilyen feldolgozása jogalapot igényel, és a nyomkövető sütik esetében ez a jogalap szinte mindig a hozzájárulás.
Süti kategóriák és hozzájárulási követelmények:
- Szigorúan szükséges sütik (üléskezelés, bejelentkezési állapot, bevásárlókosár): Az ePrivacy Irányelv szerint nem szükséges hozzájárulás. A GDPR jogos érdeken vagy szerződés teljesítésén alapuló jogalap alkalmazható.
- Elemző sütik (pl. oldalmegtekintések nyomkövetése, amelyek azonosítják a felhasználókat): Hozzájárulás szükséges mindkét keretrendszer alatt.
- Marketing és hirdetési sütik (viselkedésalapú célzás, újracélzás): Hozzájárulás szükséges mindkét keretrendszer alatt, ez a legnagyobb kockázatú kategória a végrehajtás szempontjából.
- Funkcionális sütik (nyelvi preferenciák, UI beállítások): Vitatható; ha személyes adatokat dolgoznak fel, a hozzájárulás a legbiztonságosabb megközelítés.
Helyettesíti az ePrivacy Irányelvet a GDPR, és mi az ePrivacy Rendelet
Az ePrivacy Irányelvet nem helyettesíti a GDPR. Azonban egy javasolt ePrivacy Rendelet célja az volt, hogy közvetlenül alkalmazandó, EU-szerte érvényes jogszabállyal helyettesítse az Irányelvet. Ezt a javaslatot az Európai Bizottság 2025 februárjában hivatalosan visszavonta, hivatkozva a tagállamok közötti előrelátható megállapodás hiányára és a javaslat elavult jellegére a közelmúlt technológiai változásai fényében [2].
Az ePrivacy Irányelv vs. a javasolt ePrivacy Rendelet: A Rendelet közvetlenül kötelező lett volna az összes tagállamra (megszüntetve a nemzeti átültetési eltéréseket), de soha nem került elfogadásra.
Helyette az Európai Bizottság bemutatta a Digitális Omnibusz Csomagot 2025. november 19-én. Ez a csomag javasolja a süti hozzájárulási szabályok közvetlen integrálását a GDPR-ba az új 88a és 88b cikkeken keresztül [2][3]. A 88a cikk meghatározná azokat a helyzeteket, amikor nem szükséges a hozzájárulás (például elektronikus kommunikációk vagy a felhasználó által kifejezetten kért szolgáltatások továbbítása esetén). A 88b cikk bevezetné az automatizált, gépileg olvasható hozzájárulási mechanizmusok követelményeit, beleértve a böngésző szintű hozzájárulási jeleket [3].
2026 júliusáig a Digitális Omnibusz Csomag még jogalkotási folyamatban van, a végső szöveg várhatóan 2026 végére vagy 2027 elejére készül el [4].
Szükséges-e a hozzájárulás az alapvető sütikhez az ePrivacy Irányelv szerint
Nem. A szigorúan szükséges sütik kifejezetten mentesülnek az ePrivacy Irányelv hozzájárulási követelménye alól. Ezek olyan sütik, amelyek nélkül a felhasználó által aktívan kért szolgáltatás nem működhet, például üléseken azonosítók, hitelesítési tokenek és bevásárlókosár sütik [6].
Határeset: A "szükséges" szűken értelmezendő. Egy süti, amely javítja a teljesítményt vagy lehetővé teszi az elemzést, nem szigorúan szükséges, még akkor sem, ha az üzemeltető operatív szempontból fontosnak tartja. Kétség esetén a hozzájárulás megkövetelése a biztonságosabb megközelítés.
Hogyan lehet érvényes süti hozzájárulást szerezni, amely mindkét rendeletnek megfelel
Az érvényes hozzájárulás a GDPR szerint (és így az ePrivacy Irányelv szerint is, amely a GDPR hozzájárulási standardjaira hivatkozik) a következőképpen kell, hogy legyen:
- Szabadon adott, Nincs hozzájárulási fal vagy kényszerített összekapcsolás a feltételek elfogadásával.
- Specifikus, Külön hozzájárulás minden süti kategóriához (elemző, marketing stb.).
- Tájékozott, A felhasználóknak tudniuk kell, hogy a sütik mit csinálnak és ki dolgozza fel az adatokat.
- Egyértelmű, Egy egyértelmű lépés szükséges; az előre bejelölt négyzetek érvénytelenek.
- Visszavonható, A hozzájárulás visszavonása ugyanolyan könnyű kell, hogy legyen, mint a megadása [5].
Egy jól konfigurált Hozzájáruláskezelő Platform (CMP) kezeli ezt a munkafolyamatot. A Biscotti CMP úgy lett tervezve, hogy támogassa ezeket a követelményeket, beleértve a részletes hozzájárulási kategóriákat és a hozzájárulás naplózását audit célokra. A Digitális Omnibusz Csomag javaslata a böngésző szintű hozzájárulási jelekre a 88b cikk alatt, a CMP-knek is be kell fogadniuk és tiszteletben kell tartaniuk a böngésző beállításaiból származó jeleket, ami jelentős működési váltást jelent az ipar számára [3].
Megfelelhetnek-e a süti bannerek mind az ePrivacy, mind a GDPR követelményeinek
Igen, de csak akkor, ha a banner helyesen van megtervezve. Egy süti banner, amely megfelel a GDPR hozzájárulási standardjainak, szintén teljesíti az ePrivacy Irányelv hozzájárulási követelményeit, mivel az Irányelv a GDPR hozzájárulás definíciójára hivatkozik az EU tagállamai számára [5][6].
A megfelelőségi bannernek:
- Világos "Elfogadom" és "Elutasítom" (vagy megfelelő) opciót kell bemutatnia, egyenlő vizuális hangsúllyal.
- Nem használhat sötét mintákat (pl. az "Elutasítom" gomb nehezebben megtalálható, mint az "Elfogadom").
- Blokkolnia kell a nem alapvető sütiket, amíg a hozzájárulás meg nem történik.
- Rögzítenie és tárolnia kell a hozzájárulást időbélyeggel és verzióreferenciával.
- Lehetővé kell tennie a felhasználók számára, hogy bármikor megváltoztathassák preferenciáikat.
Egy 2026-os tanulmány megállapította, hogy csak a weboldalak 30,66%-a tartalmazott "mindent elutasító" gombot, ami azt jelenti, hogy a megkérdezett weboldalak többsége valószínűleg nem felel meg a megfelelési elvárásoknak [7].
Vannak olyan országok, ahol az ePrivacy Irányelv nem vonatkozik
Az ePrivacy Irányelv minden EU tagállamra vonatkozik. Azonban mivel ez egy Irányelv (nem Rendelet), minden ország eltérően ültette át azt nemzeti jogba, némi eltéréssel a hatály, a végrehajtási prioritások és a büntetések terén [6]. Az EU-n kívüli országok, beleértve az Egyesült Királyságot a Brexit után, saját megfelelő törvényeikkel rendelkeznek (az Egyesült Királyság Adatvédelmi és Elektronikus Kommunikációs Szabályai, vagy PECR).
Válassza ki a megfelelési alapját a felhasználói elhelyezkedés alapján, nem csupán a vállalkozás bejegyzett helye alapján. Egy, az Egyesült Államokban bejegyzett vállalat, amely jelentős EU forgalmat generál, köteles megfelelni mind az ePrivacy Irányelvnek (a vonatkozó tagállamokban átültetett formában), mind a GDPR-nak.
Mi történik, ha nem felel meg az ePrivacy Irányelv szabályainak
Az ePrivacy Irányelv (mint nemzeti jogba átültetett) megsértése bírságokat és végrehajtási intézkedéseket vonhat maga után a nemzeti szabályozóktól. A büntetések tagállamonként változnak, de jelentősek lehetnek, és a GDPR megsértése, amelyet érvénytelen hozzájárulás váltott ki (például személyes adatok feldolgozása nyomkövető sütik révén érvényes jogalap nélkül), akár a globális éves forgalom 4%-ának vagy 20 millió eurónak megfelelő bírságot vonhat maga után, attól függően, hogy melyik a magasabb [5].
A Nemzeti Adatvédelmi Hatóságok (DPA-k) továbbra is aktívan vizsgálják és bírságolják a szervezeteket a süti hozzájárulás hiányosságai miatt [1]. A végrehajtási intézkedések nagy platformokat és kis üzemeltetőket egyaránt céloztak.
Gyakori megfelelési hibák:
- Elemző vagy hirdetési sütik betöltése az oldal betöltésekor, mielőtt a hozzájárulás rögzítve lenne.
- Olyan hozzájárulási bannerek használata, amelyek nem blokkolják a sütiket a kölcsönhatás előtt.
- A hozzájárulás visszavonásának késlekedése.
- A hozzájárulási nyilvántartások frissítésének elmulasztása, amikor a süti szabályok változnak.
- A süti értesítések kezelése a hozzájárulási mechanizmusokkal egyenértékűként.
Milyen hosszú ideig tárolhatók a sütik az ePrivacy Irányelv szabályai szerint
Az ePrivacy Irányelv nem határoz meg közvetlenül maximális süti tárolási időtartamot. Azonban a GDPR adatminimalizálási és tárolási korlátozási elvei érvényesek, ahol a sütik személyes adatokat dolgoznak fel. A hozzájárulásnak időben korlátozottnak kell lennie, és a szabályozók általában elvárják, hogy a szervezetek időszakonként újra kérjék a hozzájárulást, a gyakran hivatkozott iránymutatás 12 hónapot javasol ésszerű időintervallumként, bár ez nem kötelező jogi határidő [6].
Gyakorlati iránymutatás: Állítson be süti lejárati időszakokat, amelyek arányosak a céljukkal. Egy munkamenet süti akkor jár le, amikor a böngésző bezárul. Egy elemző süti nem igényel kétéves élettartamot, ha a hat hónap is elegendő a cél eléréséhez.
Milyen gyakori hibákat követnek el a cégek az ePrivacy megfelelés során
A fent említett problémákon túl több minta is következetesen megjelenik a végrehajtási esetekben és auditokban:
- Implikált hozzájárulás: Feltételezni, hogy a folyamatos böngészés hozzájárulásnak minősül. Ezt az EU bíróságai és DPA-i kifejezetten elutasították.
- Összekapcsolt hozzájárulás: A süti hozzájárulás kombinálása a magánélet védelmére vonatkozó irányelv elfogadásával egyetlen kattintásban.
- Inkonzisztens geo-célzás: Szigorúbb hozzájárulási szabályok alkalmazása csak bizonyos országok felhasználói számára, miközben másoknak nyomkövető sütiket szolgáltatnak, ami kockázatos, mivel a végrehajtás a felhasználó helyét követheti.
- Nemzeti eltérések figyelmen kívül hagyása: Feltételezni, hogy egyetlen banner konfiguráció megfelel az összes EU tagállamnak, amikor valójában egyes országok szigorúbb nemzeti követelményekkel rendelkeznek [6].
- Nincs hozzájárulási audit nyomvonal: Elmulasztani, hogy nyilvántartást vezessenek arról, hogy a felhasználók mit fogadtak el, mikor és melyik verziójú adatvédelmi értesítő alapján [1].
Következtetés
Az ePrivacy Irányelv és a GDPR közötti kapcsolat nem arról szól, hogy az egyik keretrendszert a másik helyett válasszuk, mindkettő vonatkozik, és mindkettőnek meg kell felelnie. Az ePrivacy Irányelv meghatározza, mikor szükséges a hozzájárulás a sütikhez; a GDPR meghatározza, milyen az érvényes hozzájárulás. Együtt alkotják a jogi alapot a süti megfeleléshez az EU-ban.
A szabályozási táj képviselője változik. Az ePrivacy Rendelet javaslatát 2025 elején visszavonták, és a Digitális Omnibusz Csomag most javasolja a süti szabályok közvetlen integrálását a GDPR-ba a 88a és 88b cikkeken keresztül. A végső szöveg várhatóan 2026 végére vagy 2027 elejére készül el, de a jelenlegi kötelezettségek addig teljes mértékben érvényben maradnak.
Teendők 2026-ra:
- Ellenőrizze weboldala süti viselkedését, hogy megbizonyosodjon arról, hogy nem indulnak el nem alapvető sütik, mielőtt a hozzájárulás rögzítve lenne.
- Tekintse át hozzájárulási bannerét sötét minták szempontjából, és győződjön meg arról, hogy az "elutasítom" opciók ugyanolyan hangsúlyosak, mint az "elfogadom".
- Valósítson meg egy CMP-t, mint például a Biscotti CMP, amely naplózza a hozzájárulási rekordokat és támogatja a részletes kategóriakezelést.
- Figyelje a Digitális Omnibusz Csomag előrehaladását, és értékelje, hogy a CMP szolgáltatója felkészül-e a böngésző szintű hozzájárulási jelzések támogatására.
- Ellenőrizze az ePrivacy Irányelv nemzeti átültetését minden EU tagállamban, ahol jelentős felhasználói forgalma van.
GYIK
K: A GDPR helyettesíti az ePrivacy Irányelvet a sütik esetében? Nem. A GDPR és az ePrivacy Irányelv együtt létezik. Az ePrivacy Irányelv marad az elsődleges jogszabály, amely hozzájárulást követel meg a sütikhez; a GDPR szabályozza, mit jelent az érvényes hozzájárulás, és hogyan kell kezelni a sütik révén feldolgozott személyes adatokat.
K: Mi az ePrivacy Rendelet, és még mindig várható? Az ePrivacy Rendelet egy javasolt EU-s jogszabály volt, amely az ePrivacy Irányelvet kívánta közvetlenül alkalmazandó rendelettel helyettesíteni. Ezt az Európai Bizottság 2025 februárjában hivatalosan visszavonta, és a jelenlegi formájában nem fog tovább haladni.
K: Mi a Digitális Omnibusz Csomag? A Digitális Omnibusz Csomag, amelyet 2025 novemberében mutattak be, egy EU-s jogalkotási javaslat, amely egyszerűsítené a digitális szabályozást azáltal, hogy integrálja a süti hozzájárulási szabályokat a GDPR-ba az új 88a és 88b cikkeken keresztül. 2026 júliusáig még jogalkotási felülvizsgálat alatt áll.
K: A nyomkövető sütik mentesülnek a hozzájárulási követelmények alól? Nem. Azok az elemző sütik, amelyek az egyes felhasználókat vagy eszközöket azonosítják, nem alapvetőek, és előzetes hozzájárulást igényelnek az ePrivacy Irányelv szerint, függetlenül attól, hogy kereskedelmi célokra használják-e őket.
K: Érvényes hozzájárulásnak minősülhet-e egy süti fal (hozzájárulás nélkül nem enged hozzáférést)? Általában nem. Az EU-s szabályozók és bíróságok megállapították, hogy a süti falon keresztül szerzett hozzájárulás nem szabadon adott a GDPR szerint, mivel a felhasználóknak nincs valódi választási lehetőségük. Néhány nemzeti DPA korlátozott körülmények között megengedi a süti falakat, ha egy fizetős alternatíva is elérhető, de ez vitatott marad.
K: Milyen gyakran kell a felhasználóknak újra hozzájárulniuk a sütikhez? Nincs rögzített jogi időszak, de a szabályozók általában elvárják, hogy a hozzájárulást frissítsék, amikor a célok vagy a süti lista lényegesen megváltozik, vagy egy ésszerű időszakonként (gyakran 12 hónapként említve) újra kérjék. A korábbi adatvédelmi értesítő alapján megszerzett hozzájárulás nem terjedhet ki új feldolgozási tevékenységekre.
K: Mi az a szigorúan szükséges süti? A szigorúan szükséges süti az, amely nélkül a felhasználó által kifejezetten kért szolgáltatás nem működhet, például egy bejelentkezési munkamenet token vagy egy bevásárlókosár azonosító. Ezek mentesülnek az ePrivacy Irányelv hozzájárulási követelménye alól.
K: Vonatkozik az ePrivacy Irányelv a nem EU-s vállalkozásokra? Igen, ha ezek a vállalkozások az EU-ban található felhasználókat célozzák vagy szolgálják ki. A területi hatály a felhasználó helyét követi, nem az üzemeltető bejegyzett címét.
K: Mire kell figyelni egy Hozzájáruláskezelő Platformban? Egy megfelelőségi CMP-nek blokkolnia kell a nem alapvető sütiket a hozzájárulás megadása előtt, támogatnia kell a részletes hozzájárulási kategóriákat, naplóznia kell a hozzájárulást időbélyeggel, lehetővé kell tennie a könnyű visszavonást, és fel kell készülnie a böngésző szintű hozzájárulási jelek támogatására a javasolt GDPR módosítások szerint.
K: Használhatok egyetlen süti bannert az egész EU-ra? Egyetlen banner működhet alapként, de mivel az ePrivacy Irányelvet eltérően ültették át a tagállamokban, egyes országok szigorúbb követelményekkel rendelkezhetnek. Jogi felülvizsgálat javasolt minden célpiac nemzeti jogának megfelelően a nagy forgalmú weboldalak esetében.
Hivatkozások
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai