GDPR és a céges weboldal: sütik, adatkezelési tájékoztató, űrlapok

A GDPR sok cégtulajdonosnak egy szorongás: valami bonyolult, büntetéssel fenyeget, és senki nem mondja meg pontosan, mi a teendő. A weboldalad szempontjából viszont a lényeg néhány gyakorlati pontba sűríthető. Leírom, mi az, ami tényleg kell, mi a félreértés, és hol húzódik a határ a fejlesztői és a jogi feladat között. Fontos: én fejlesztő vagyok, nem jogász, ez a cikk tájékoztatás, nem jogi tanács.

Sütik: nem mindegyik egyforma

A süti (cookie) egy kis adat, amit az oldal a látogató böngészőjében tárol. Jogi szempontból két csoport számít:

• Feltétlenül szükséges sütik: amelyek nélkül az oldal alapfunkciói nem működnek (például a bejelentkezés vagy a kosár megjegyzése). Ezekhez nem kell hozzájárulás.
• Minden más süti: statisztika (Google Analytics), hirdetés, beágyazott tartalom. Ezekhez az Európai Unió Bírósága szerint előzetes, aktív hozzájárulás kell: a látogatónak kell rákattintania az „Elfogadom”-ra, mielőtt a süti elindul.

Ebből következik néhány dolog, amit sokan rosszul csinálnak: az előre bepipált jelölőnégyzet nem ér, a „az oldal használatával elfogadod” mondat nem ér, és a statisztikai sütit nem indíthatod el, mielőtt a látogató igent mond. A sütitájékoztatónak azt is közölnie kell, meddig élnek a sütik, és hozzáfér-e harmadik fél.

Mit jelent ez a gyakorlatban?

Egy sütikezelő (consent management) eszközre van szükség, amely a betöltéskor megkérdezi a látogatót, és csak a hozzájárulás után enged be nem szükséges sütiket. Van ingyenes és havidíjas megoldás is (például CookieYes vagy Cookiebot). Az új weboldalaknál ezt alapból beállítom; a szolgáltató havidíjas csomagját, ha azt választod, közvetlenül neki fizeted.

Adatkezelési tájékoztató

Ha a weboldalad bármilyen személyes adatot kezel – és egy sima kapcsolatfelvételi űrlap is ilyen –, kell egy adatkezelési tájékoztató. Ebben leírod, milyen adatot, milyen célból, meddig kezelsz, kinek adod tovább, és milyen jogai vannak az érintettnek. Én adok hozzá egy sablont, amit a saját adataiddal töltesz ki, de a használata a te felelősséged: jogi tanácsot nem adok, és jogi felelősséget nem vállalok érte. Ha az adatkezelésed nem triviális (hírlevél, webshop, profilalkotás), nézesd át ügyvéddel vagy adatvédelmi szakemberrel.

Űrlapok: csak annyi adat, amennyi kell

A GDPR egyik alapelve az adattakarékosság: csak azt az adatot kérd, ami a célhoz tényleg szükséges. Egy ajánlatkéréshez általában elég a név, az e-mail-cím és az üzenet. Minden extra mező (adószám, cím, „honnan hallott rólunk”) nemcsak a GDPR szempontjából kockázatosabb, de csökkenti is a kitöltések számát. Az űrlapnál érdemes egy rövid, egyértelmű jelölőt tenni arról, hogy a beküldéssel elfogadod az adatkezelési tájékoztatót, és linkelni rá.

Hol tárolódnak az adatok?

Ha az űrlap beküldéseit egy külső rendszerbe küldöd (hírlevélküldő, CRM), az is adatkezelés, és a tájékoztatóban szerepelnie kell. Érdemes olyan szolgáltatót választani, amely EU-s szervereken tárol, vagy megfelelő garanciákkal dolgozik. Ha a céges rendszereiddel kell összekötni az oldalt, azt integrációként oldom meg, átlátható adatúttal.

Három gyakori tévhit

• „Elég egy sütisáv a láblécben.” Nem: a sávnak valódi választást kell adnia, és a nem szükséges sütiket a döntésig blokkolnia.
• „Kis cégnek nem kell foglalkoznia a GDPR-ral.” A GDPR a cég méretétől függetlenül érvényes, ha személyes adatot kezelsz.
• „A fejlesztő elintézi a jogi részt is.” A technikai megvalósítás az enyém (sütikezelő, biztonságos űrlap, sablon), a jogi tartalom és a felelősség a tiéd.

Összefoglalva

A weboldalad GDPR-oldalról akkor van rendben, ha: működik egy valódi sütikezelő, van kitöltött adatkezelési tájékoztató, az űrlapok csak a szükséges adatot kérik, és tudod, hová kerülnek a beküldött adatok. A technikai részt én beállítom, a jogi tartalmat érdemes szakemberrel véglegesíteni. Ha nem tudod, hol áll most az oldalad, kérj ingyenes állapotfelmérést, és megnézem.