Apró süti – nagy bírság

Az alábbiakban Sill Abigél, a Jalsovszky csoportvezető ügyvédjének írását közöljük.

A francia eset

A francia adatvédelmi hatóság 2023 augusztusában végzett ellenőrzést a kínai internetes kereskedő, a Shein sütikezelési gyakorlatával kapcsolatosan. Ennek eredményeként, 2025. szeptember 1-jén a vállalkozásra egy jelentős, 150 millió eurós bírságot szabott ki. A vizsgálat több jogsértést is feltárt a Shein sütihasználatával és a felhasználók hozzájárulásának megszerzésével (vagy inkább meg nem szerzésével) összefüggésben. Egyes sütik – köztük hirdetési és nyomkövető sütik – már a weboldal megnyitásának pillanatában a felhasználók eszközeire kerültek, még mielőtt bárki interakcióba léphetett volna a sütikre vonatkozó hozzájárulás rögzítésére szolgáló ún. süti-panellel. Bizonyos sütik akkor is beolvasásra kerültek, ha a látogatók kifejezetten elutasították a sütiket az „Összes elutasítása” opcióval, vagy később visszavonták hozzájárulásukat, sőt, egyes esetekben új sütik is települtek. Maga a süti-panel sem adott elegendő tájékoztatást a sütik céljairól, különösen a hirdetési célúakról, és nem azonosította világosan az érintett harmadik feleket sem.

A bírság megállapításakor a hatóság hangsúlyozta, hogy a Shein rendelkezett a megfelelés biztosításához szükséges technikai és emberi erőforrásokkal, mégis gondatlanul járt el. A jogsértés mértéke is nagy súllyal esett latba: a Shein webhelye havonta körülbelül 12 millió független látogatót vonzott Franciaországban. A 150 millió eurós büntetés a cégcsoport 2023-as európai bevételeinek körülbelül 2%-át teszi ki, ami világosan jelzi, hogy a hasonló méretű és hasonló mennyiségű fogyasztót elérő vállalatok számára a nem megfelelés komoly pénzügyi kockázattal jár.

Itthon is számíthatunk rá?

A döntéssel a francia hatóság egyértelmű üzenetet küldött: a sütiszabályok betartása nem mellékes kérdés, hanem alapfeltétele a digitális térben való működésnek. A döntés rávilágít arra, hogy nem elegendő egyszerűen csak egy „Összes elutasítása” gombot vagy beállítási panelt biztosítani - ezeknek a lehetőségeknek a gyakorlatban is működniük kell. Egyúttal azt is jelzi, hogy a hatóság túlmegy a látszólag rendben lévő sütibeállítások kipipálásán, és benéz a felszín alá: a beállítások mögöttes működését is vizsgálja.

A döntés már csak azért is releváns az itthoni piacra, mert a sütik tárolására és felhasználására vonatkozó magyar szabályok teljes mértékig megfelelnek azon EU-s szabályoknak (ePrivacy Irányelv, GDPR), amely alapján a francia hatóság is eljárt. Azaz a Shein által alkalmazott gyakorlat szinte bizonyosan nem felelt volna meg a magyar szabályozásnak sem. Ez pedig azt vetíti előre, hogy hasonló ellenőrzések a magyar hatóságok gyakorlatában is előkerülhetnek és nem elképzelhetetlen a Shein-re kiszabott bírsággal összemérhető mértékű szankció alkalmazása sem.

Merre tovább sütiszabályok?

Az utóbbi években számos kritika és támadás érte a sütikre vonatkozó európai uniós szabályrendszert. A Bizottság ezért jelezte, hogy fontolóra veszi a vállalatok sütihasználattal kapcsolatos terheinek csökkentését, és hogy a jövőben a vonatkozó uniós jogszabályok az egyszerűbb, azonnali megoldások felé fordulhatnak – például a hozzájárulás megjelenítésének javítása és a webhelyenkénti panelek helyett a böngészőszintű süti-hozzájárulási beállításokra való áttérés útján. Ez a jövőben olyan letisztultabb mechanizmusokhoz vezethet, amelyek lehetővé teszik, hogy a felhasználók egyszer adják meg preferenciáikat, ahelyett, hogy minden látogatott oldalon újra és újra felugró panelekkel találkozzanak.

Noha ezek a reformok idővel átformálhatják a megfelelési környezetet és csökkenthetik a vállalatok adminisztratív terheit, jelenleg továbbra is az ePrivacy Irányelv és a GDPR alkotják az irányadó jogi keretet, és a nemzeti hatóságok teljes hatáskörrel rendelkeznek a szabályok betartatására. Amíg tehát új jogalkotási megoldások nem születnek, addig a Shein-ügy figyelmeztetésül szolgál minden digitális szolgáltatónak: az érvényes hozzájárulás, az érdemi átláthatóság és a felhasználói választás tiszteletben tartása nem opcionális extrák, hanem az uniós jog által előírt alapvető kötelezettségek. Aki ezeket nem tartja tiszteletben, olyan hatósági fellépésre számíthat, amely a cég bevételéből komoly darabot haraphat ki.

A címlapkép illusztráció. Címlapkép forrása: Getty Images