Jogi megfelelőség: GDPR, sütik, akadálymentesség

Bírságkockázat

A GDPR szerinti bírság felső határa 20 millió euró vagy az éves globális árbevétel 4 százaléka, a kettő közül a magasabb. A gyakorlatban a magyar hatóság jóval kisebb összegeket szab ki, de a süti-kezelés visszatérő téma. A hozzájárulás előtt futó mérőkód dokumentálható, visszamérhető hiba.

Üzleti következmények

Az EAA hatálya alá eső webshopnál az akadálymentesség nem opció. Közbeszerzésnél és nagyvállalati beszállítói auditnál a Lighthouse-pontszám gyakran belépő. Több ajánlatkérésben láttunk konkrét küszöböt.

Mérési adat minősége

Ha a hozzájárulás-kezelés rosszul van bekötve, az analitika torzul. Vagy mindent mérsz jogalap nélkül, vagy semmit sem mérsz. A Google Consent Mode helyes bekötése pont ezt a kettőt oldja fel.

SEO- és AI-hatás

A tartalmat elfedő modális ablak rontja az indexelhetőséget. Az akadálymentességi hibák egy része közvetlenül SEO-hiba is: hiányzó alt, törött címsor-hierarchia, kattinthatatlan gomb. Ezek ugyanúgy zavarják a nyelvi modellek olvasatát, mint a képernyőolvasót.

Kikre vonatkozik

• Minden oldal, ami sütit tesz le vagy mér: ide tartozik a Google Analytics 4 (GA4), a Meta Pixel, a Google Tag Manager (GTM) és minden remarketing-kód.
• Minden EU-s látogatót kiszolgáló oldal: a GDPR a látogató helye szerint is érvényes, nem csak a cég székhelye szerint.
• Webshopok: itt egyszerre jön a süti-kérdés, az adatvédelmi tájékoztató, az impresszum és a vásárlói tájékoztatás.
• EAA-hatálya alá eső szolgáltatások: e-kereskedelem, banki, utazási, távközlési felületek.

Kikre vonatkozik kevésbé

• Teljesen statikus, mérés nélküli oldal: ha nincs süti és nincs űrlap, a süti-blokk kiesik. Az akadálymentesség attól még számít.
• Belső, jelszóval védett rendszer: nincs nyilvános hozzáférés, más a kockázati profil.
• Staging és fejlesztői környezet: ott a noindex, meta robots és X-Robots-Tag és a jelszó a fontos, nem a süti-sáv.

A mikrovállalkozásokra az EAA szolgáltatási része mentességet ad. Hogy a konkrét cég beleesik-e, jogi kérdés, nem technikai.

Lépések böngészőből

1. Nyiss inkognitó ablakot, hogy ne legyen korábbi hozzájárulás.
2. Indítsd el a DevTools panelt, majd töltsd be az oldalt.
3. Az Application fülön nézd meg a Cookies listát, mielőtt bármire kattintanál.
4. A Network fülön szűrj a collect, gtag, fbevents és analytics kifejezésekre.
5. Kattints az Elutasítom gombra, majd töltsd újra, és nézd meg ugyanezt.
6. Keresd meg az adatvédelmi tájékoztató linkjét a láblécben, és nyisd meg.
7. Futtass Lighthouse Accessibility auditot asztali és mobil nézetben.
8. Próbáld végigjárni az oldalt csak Tab billentyűvel, kattintás nélkül.

Jó jel

• Hozzájárulás előtt csak technikailag szükséges süti van (munkamenet, kosár, CSRF).
• A bannerben az elutasítás ugyanolyan könnyű, mint az elfogadás.
• Elutasítás után nem indul mérőkérés a Network fülön.
• Az adatvédelmi tájékoztató 200-as státusszal válaszol és indexelhető.
• A Lighthouse akadálymentességi pontszám 90 felett van.
• A fókusz látható, és a Tab végigvisz a menün.

Rossz jel

• _ga, _gid, _fbp süti már az első másodpercben.
• Csak Elfogadom gomb van, elutasítás nincs vagy több kattintás.
• A banner bezárása után is ugyanazok a kérések futnak.
• Az adatvédelmi oldal 404-et ad vagy PDF-ben van elrejtve.
• Lighthouse 70 alatt, sok hiányzó alt és címkézetlen űrlapmező.
• A modális ablak billentyűzettel nem zárható be.

WordPress

1. Telepíts egy valódi blokkolásra képes hozzájárulás-kezelőt, ne csak sávot megjelenítő plugint.
2. A plugin beállításainál kapcsold be a szkript-blokkolást, és rendeld kategóriákhoz a mérőkódokat.
3. Ha Google Tag Managert használsz, ott állítsd be a Consent Mode alapállapotot denied értékre.
4. Nézd át a témát és a pluginokat: a téma beállításaiba kézzel bemásolt GA-kódot a CMP nem fogja blokkolni.
5. Hozz létre adatvédelmi oldalt, és linkeld a láblécből minden aloldalon.
6. Akadálymentességhez ellenőrizd a menü kontrasztját, a alt mezőket a médiatárban és az űrlap-címkéket.

Shopify

1. A Customer Privacy beállításoknál kapcsold be a süti-bannert és a régió-alapú megjelenítést.
2. Az alkalmazásokat nézd át: a Customer Privacy API-t nem használó appok hozzájárulás nélkül is mérhetnek.
3. A theme.liquid fájlba kézzel tett pixeleket vidd át Custom Pixel formába, mert azt a rendszer kezeli.
4. Az adatvédelmi szöveget a Policies menüben töltsd ki, és tedd ki a láblécbe.
5. Sablonváltás után futtass új Lighthouse auditot, mert a téma frissítés felülírja a javításokat.

Unas

1. A süti-kezelés beállításánál engedélyezd a kategóriánkénti választást, ne csak a tudomásul vételt.
2. A saját kódrészletek között keresd meg a beillesztett mérőkódokat, és kösd őket a hozzájáruláshoz.
3. A dokumentumok között töltsd ki az adatvédelmi tájékoztatót és az ÁSZF-et.
4. Sablonszinten javítsd a képek alt mezőit a termék-adatlapokon.

Shoprenter

1. A beépített süti-kezelőnél állítsd be a kategóriákat, és ellenőrizd, hogy blokkol is.
2. A Marketing modulban lévő pixeleket rendeld a megfelelő hozzájárulási kategóriához.
3. A dokumentum-oldalakat tedd elérhetővé a láblécben, ne csak a pénztár folyamatában.
4. A sablon kontrasztját és gombméretét a téma CSS-ében javítsd.

Egyedi fejlesztés

1. Tedd a mérőkódokat feltételes betöltés mögé, ne közvetlenül a head blokkba.
2. Állítsd be a Consent Mode alapértékeit a GTM konténer betöltése előtt.
3. Tárold a hozzájárulást verziószámmal, hogy később bizonyítható legyen.
4. Használj szemantikus HTML-t: nav, main, button, valódi címsor-hierarchia.
5. Építs be automata akadálymentességi ellenőrzést a CI-folyamatba.
6. Teszteld a fókusz-csapdát a modális ablakokban, és az Escape zárást.

• Süti-sáv blokkolás nélkül: a banner megjelenik, a GA és a pixel mögötte már fut, így a hozzájárulás formális.
• Nincs elutasítás gomb: csak az Elfogadom látszik, vagy az elutasítás három kattintás mélyen van, ami nem szabad választás.
• Előre bepipált kategóriák: a marketing kapcsoló alapból bekapcsolva van, pedig az aktív hozzájárulás kell.
• A hozzájárulás nem visszavonható: nincs újra megnyitható beállítás, így a látogató nem tud meggondolni magát.
• Kézzel bemásolt mérőkód a sablonban: a CMP nem látja, ezért nem is tudja blokkolni, lásd tracking-sütik hozzájárulás előtt.
• Adatvédelmi tájékoztató noindex-szel: a jogi oldal nem látszik a keresőben, és gyakran a robotnak sem, lásd noindex, meta robots és X-Robots-Tag.
• Overlay-plugin akadálymentesítés helyett: a rátét-eszköz eltakarja a hibát, de nem javítja a kódot.

A Consent Mode alapállapota még a Google-szkriptek előtt fut le. Minden mérés denied állapotból indul.

<script>
  window.dataLayer = window.dataLayer || [];
  function gtag() { dataLayer.push(arguments); }
  gtag('consent', 'default', {
    'ad_storage': 'denied',
    'ad_user_data': 'denied',
    'ad_personalization': 'denied',
    'analytics_storage': 'denied',
    'wait_for_update': 500
  });
</script>

Hozzájárulás után a kezelő frissíti az állapotot:

<script>
  gtag('consent', 'update', {
    'analytics_storage': 'granted',
    'ad_storage': 'granted'
  });
</script>

Parancssorból is ránézhetsz, hogy a szerver tesz-e le sütit hozzájárulás nélkül:

curl -sI https://pelda.hu/ | grep -i set-cookie

Ha itt csak munkamenet-süti jelenik meg, az rendben van. Ha analitikai vagy hirdetési azonosító, akkor szerveroldalon is javítani kell. A kliensoldali sütiket a DevTools Application fülén ellenőrizd, mert azokat a curl nem látja.