A sütikhez adott hozzájárulást újraírják: mit változtat a Digital Omnibus

A sütibanner Európa legutáltabb felületi eleme. Nyolc év után jogilag is törékeny a webhelyek jelentős részén. Brüsszel végre úgy döntött, egyszerre kezeli mindkét problémát, a jármű pedig a 2025. november 19-én javasolt Digital Omnibus csomag.

Ez a cikk arról szól, mi van valójában a javaslatban, mi hatályos ma, és mit változtatnánk vagy nem változtatnánk most egy hozzájárulási megvalósításon. 2026. október 10-én a csomag GDPR-ra és ePrivacy irányelvre vonatkozó része még nem jutott el a háromoldalú tárgyalásokig: a Tanácsnak még nincs tárgyalási megbízatása, a Parlamentnek pedig nincs álláspontja, így ennek egy része mozogni fog.

Hogyan jutottunk idáig

A sütihozzájárulás soha nem a GDPR-ben lakott. A 2002-es, 2009-ben módosított ePrivacy irányelv 5. cikk (3) bekezdésében él, amely szerint a felhasználó végberendezésén való információtárolás vagy az onnan való hozzáférés hozzájárulást igényel, kivéve ha az feltétlenül szükséges a felhasználó által kért szolgáltatáshoz.

Ezt az irányelvet ePrivacy rendeletnek kellett volna felváltania. A javaslat nyolc évig állt a Tanácsban, és 2025. február 11-én hivatalosan visszavonták. Maradt egy 2002-es irányelv, huszonhét kissé eltérő módon átültetve, amely olyan webet felügyel, ami a megírásakor nem létezett.

Az eredmény az a rendetlenség, amit mindenki ismer: országonként eltérő bannerek, jogilag érvénytelen hozzájárulás rengeteg webhelyen, és felhasználók, akik reflexből kattintanak elfogadásra, mert az elutasítás tovább tart.

Mi kényszeríthető ki már ma

Mielőtt a javaslatra térnénk, érdemes őszintén beszélni a jelenlegi állapotról, mert sok csapat úgy véli, a bannere rendben van, pedig nincs.

A végrehajtás következetes és konkrét volt. 2025 szeptemberében a francia hatóság ugyanazon a napon 325 millió euróra bírságolta a Google-t és 150 millióra a Sheint. A megállapítások mechanikusak voltak, nem filozofikusak: sütiket helyeztek ki, mielőtt a banner megjelent volna, és az elutasítási lehetőség nem utasított el megbízhatóan.

A szabályok, amelyeket a hatóságok valóban alkalmaznak:

Semmi nem elengedhetetlen dolog a felhasználó cselekvése előtt. Sem az analitikai címke, sem a pixel, sem a csevegőwidget, sem a harmadik féltől származó betűtípus. Ha oldalbetöltéskor elindul, mindegy, mit mond a banner.

Az elutasításnak fel kell érnie az elfogadással. Ugyanaz a réteg, ugyanaz a vizuális súly, ugyanannyi kattintás. Az elutasítást kétlépéses beállításpanel-utazássá tenni, miközben az elfogadás egy gomb, sötét mintaként kezelendő, amely érvényteleníti a hozzájárulást.

A hozzájárulás részletes. Egyetlen kapcsoló, amely az analitikát, hirdetést és személyre szabást összevonja, nem konkrét hozzájárulás.

A visszavonásnak ugyanolyan könnyűnek kell lennie, mint a megadásnak. Állandóan elérhető vezérlő, nem támogatási e-mail.

A hozzájárulás lejár. A hatóságok többsége nagyjából hat-tizenhárom hónappal számol az ismételt megkérdezés előtt.

A hozzájárulás vagy fizetés modell szűk. Az Európai Adatvédelmi Testület 08/2024. sz. véleménye szerint a nagy platformok általában nem kínálhatnak bináris választást a nyomkövetés elfogadása és a fizetés között. Valódi ingyenes alternatívát várnak el, viselkedésalapú hirdetés nélkül.

Ha a bannere az első két ponton bármelyiknél elbukik, azt javítsa, mielőtt a reformmal foglalkozna. Ezek termelik ma a bírságokat.

Mit javasol a Digital Omnibus

A Bizottság javaslatában a központi szerkezeti lépés az, hogy a végberendezésre vonatkozó szabályokat kiveszik a régi irányelvből, és magába a GDPR-ba teszik, két új cikkel.

88a. cikk: hozzájárulás a végberendezéshez való hozzáféréshez

Felváltja az ePrivacy irányelv 5. cikk (3) bekezdését, és ami fontos, kiszélesíti azon célok körét, amelyek nem igényelnek hozzájárulást. A jelenlegi, feltétlenül szükségesre vonatkozó mentesség olyan szűk, hogy még az alapvető közönségmérés is általában bannert kíván. A javaslat a mentességeket a biztonság, az összesített közönségmérés és a szolgáltatás integritásának fenntartása felé bővíti.

Két működési változás kapja a legtöbb figyelmet:

• Egykattintásos elfogadás vagy elutasítás. A választásnak egy művelettel bemutathatónak kell lennie, mindkét irányba.
• Nyugalmi időszak. Ha egy felhasználó elutasít, hat hónapig nem lenne szabad újra megkérdezni. Már ez is a bannerfáradtság nagy részét megszüntetné.

88b. cikk: géppel olvasható hozzájárulási jelzések

Ez a mérnökök számára érdekesebb. A böngésző- vagy rendszerszintű hozzájárulási jelzéseket jogilag kötelezővé tenné az adatkezelőkre. Ha egy felhasználó egyszer kifejezi preferenciáját a böngészőben, a webhelyeknek tiszteletben kellene tartaniuk ahelyett, hogy újra kérdeznének.

A tagállamoknak is ez a rész tetszett a legkevésbé. A Tanács alább ismertetett szövege a 88b. cikket teljesen törli.

Egyéb tudnivalók

A csomag azt is javasolja, hogy a személyesadat-incidens bejelentési határideje 72-ről 96 órára nőjön, és több fogalommeghatározást igazít az álnevesített adatok és az MI-tanítás körül. Ez kívül esik e cikk keretein, de ugyanabban a járműben utazik, ami részben magyarázza, miért vitatott az ügy.

Miben tér el a Tanács szövege

A tagállamok egy másik szövegből dolgoznak. Az ír elnökség 2026. október 2-i kompromisszumos szövege (13886/26. sz. tanácsi dokumentum, amely a Tanácsnak a Parlamenttel folytatandó tárgyalásokra szóló megbízatásaként készült, és 2026. október 10-ig még nem fogadták el) több ponton módosítja a Bizottság konstrukcióját:

• A sütikre vonatkozó szabályok az ePrivacy irányelvben maradnak. Az 5. cikk (3) bekezdését a helyén írják át, a 88a. és a 88b. cikk pedig nem kerül be a GDPR-ba. Ez a szöveg nem írja elő a böngészőjelzések tiszteletben tartását.
• Hat célhoz nem kell hozzájárulás: egy közlés továbbítása, a felhasználó által kifejezetten kért szolgáltatás, anonim, összesített adatokat eredményező saját (first-party) közönségmérés, az európai médiaszabadság-rendelet szerinti médiaközönség-mérés, a biztonság, valamint a kontextuális hirdetések megjelenítésének és teljesítményének mérése, profilalkotás nélkül.
• Elutasítás egy kattintással. A felhasználóknak „egyetlen kattintással működő gombbal vagy azzal egyenértékű eszközzel” kell tudniuk elutasítani.
• Rövidebb várakozás. Elutasítás után ugyanarra a célra „legalább négy hónapig” nem lehet újra hozzájárulást kérni, szemben a Bizottság szövegében szereplő hat hónappal.
• A Bizottság két ötlete megmarad: a 96 órás incidensbejelentési határidő és a személyes adat relatív fogalma.

Ez tárgyalási álláspont, nem hatályos jog, és a Parlament még nem fogadta el a sajátját.

Időzítés, és miért ne tervezzen még erre

A reális kép 2026. október 10-én:

• A háromoldalú tárgyalások nem kezdődtek el. Az uniós nagykövetek tanácsi megbízatásról szóló, október 7-re tervezett szavazását elhalasztották, és értesülések szerint 2026. október 11-re tűzték ki újra.
• A Parlamentben a LIBE és az ITRE bizottság 2026. június 22-én tette közzé jelentéstervezetét, amelyhez több mint 1750 módosító indítvány érkezett. Bizottsági szavazás még nem volt.
• A Bizottság szövegében a 88a. cikk körülbelül hat hónappal a hatálybalépés után lenne alkalmazandó. A Tanács szövege 24 hónapot ad a tagállamoknak az új 5. cikk (3) bekezdésének átültetésére, bár a záró rendelkezései még hathónapos dátumot tartalmaznak; ezt az ellentmondást a tárgyalóknak kell majd feloldaniuk.
• A Bizottság szövegében a 88b. cikk körülbelül 24 hónapon belül lenne alkalmazandó. A Tanács szövege elhagyja.

Az egykattintásos és nyugalmi szabályok legkorábbi hihető dátuma tehát a Bizottság menetrendje szerint 2027, és később, ha a Tanács 24 hónapja megmarad. A böngészőjelzésekre vonatkozó kötelezettségek talán egyáltalán nem jönnek. Aki azt mondja, hogy a sütibanner idén meghal, elad Önnek valamit.

Mit változtatnánk most, és mit nem

A reform nem hatályos jog, de az irány elég stabil ahhoz, hogy az architektúrát terelje. Így tanácsoljuk az ügyfeleknek.

Ezt tegye most

Javítsa a mechanikát. Elutasítás ugyanolyan könnyen, mint elfogadás, semmi nem indul interakció előtt, részletes kategóriák, működő visszavonás. Ez hatályos jog, és itt vannak a bírságok.

Válassza szét a hozzájárulási állapotot a hozzájárulási felülettől. Tartson fenn hozzájárulási szolgáltatást, amely birtokolja az állapotot, elérhetővé teszi az alkalmazásnak, és verziószámmal együtt tárolja a bejegyzést. Ekkor a banner cserélhető megjelenítési réteg lesz. Ha a szabályok változnak, cseréli a felületet, és megtartja a vezetékezést.

Tárolja rendesen a hozzájárulási bejegyzéseket. Időbélyeg, kategóriánkénti állapot, a bannerszöveg verziójának azonosítója, a használt mechanizmus és a döntés forrása. A szövegverzió nélkül nem tudja bizonyítani, mihez járult hozzá valójában a felhasználó.

Kezdje figyelni a jelzéseket. A Global Privacy Control több joghatóságban már jogilag releváns, és nagyon keveset kóstál tiszteletben tartani. Ha most beolvassa, a 88b. cikkből, ha megérkezik, konfigurációváltás lesz projekt helyett.

Ellenőrizze valóban a címkéit. Ne a címkekezelő felületén, hanem a böngészőben, valós oldalon, tiszta profilban. Számolja meg a hozzájárulás előtti kéréseket. Általában több van, mint amennyire a csapat számít.

Ezt még ne tegye

Ne távolítsa el a részletes hozzájárulást arra a feltevésre, hogy a mentességek bővülnek. Ha a végleges szöveg ismét szűkül, újra kell építenie.

Ne írja át az adatvédelmi tájékoztatót tervezetbeli cikkszámok köré.

Ne távolítsa el a bannert a közönségmérés miatt. A bővített mentesség javaslat, nem engedély.

Ne kötelezze el magát 96 órás folyamat mellett. Működjön tovább 72-vel.

A tágabb tervezési kérdés

Van egy szélesebb elmozdulás, amelyet érdemes megnevezni. A hatóságok attól a kérdéstől, hogy van-e hozzájárulása, eljutottak addig, hogy hogyan szerezte. A felület mechanikája ma a végrehajtás felülete. Ezért forognak a sütibanner-ügyek a gombelhelyezés és a kattintásszám körül, nem egy szabályzat megfogalmazásán.

Ez a tendencia a Digital Omnibuson túl is folytatódik. A Digital Fairness Act, amely 2026 végén várható javaslatként, egyenesen a sötét mintákat, a manipulatív felületeket, a személyre szabott árazást és a függőséget okozó tervezést célozza. Az alkalmazás reálisan 2028 vagy később, de megmutatja, mely mintáknak van szavatossági ideje.

Ha a növekedési számai zavaros felülettől függnek, az most dátummal ellátott megfelelési kockázat, nem ügyes optimalizálás.

Egy megjegyzés az analitikáról

A bannerprobléma nagy része önokozott. A csapatok betöltenek egy hozzájárulást igénylő, harmadik féltől származó analitikai platformot, majd az elutasítások miatt elveszítik adataik harmadát, majd megpróbálják ezt tervezéssel megkerülni.

A saját tárhelyen futó, adatvédelemre figyelő analitika megváltoztathatja a számítást, mert a saját infrastruktúrán maradó, webhelyek közötti profilokat nem építő mérésnek sokkal erősebb érve van a mentességre, és kényelmesen beleférne az Omnibus által javasolt bővített mentességekbe. Egy lehetőséget a Matomo beállítási útmutatónkban írtunk le, ugyanez a logika érvényes a saját tárhelyes marketingautomatizálásra.

Ez nem megfelelési trükk. Ez valós csökkentése annak, amit indokolnia kell.

Hol áll ez a nagy képben

A sütihozzájárulás egy darab egy sokkal nagyobb szabályozási építkezésből. A teljes EU digitális megfelelési térkép 2026 lefedi a többit, a mérnöki GDPR-útmutató pedig az alatta lévő réteget.

Ha szeretné, hogy átnézzük a hozzájárulási megvalósítását ahhoz képest, amit a hatóságok valóban kikényszerítenek, vagy újraépítsük úgy, hogy a következő szabályváltozás konfiguráció legyen és ne újraírás, írjon az office@c9group.dev címre.

Rendszereket építünk, nem adunk jogi tanácsot, és az értelmezésről az utolsó szó a jogászaié.