A sütikkel kapcsolatban eddig leginkább a külföldi adatvédelmi hatóságok által a techóriás cégekre (Google, Amazon, Meta) kiszabott gigabírságokról olvashattunk. Az egyszerű weboldalak üzemeltetői – gazdasági megfontolásból – arra az utolsó utáni pillanatra vártak, ameddig a jogellenes gyakorlatukat kockázatok nélkül folytathatták.
A pillanat, legalábbis a magyar adatkezelők számára elérkezett, hiszen a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) közzétette az első és eddig egyetlen, sütikezeléssel kapcsolatos hatósági határozatát. Bár a NAIH mindössze csekély 10.000.000,- Ft (kb. 25.000 EUR) összegű bírságot szabott ki, azonban a határozat szövege szerint a bírság alacsony összegét az is indokolja, hogy a hatóság a sütikezelés kapcsán először indított vizsgálatot.
Nem érdemes azzal védekezni, hogy mindenki így csinálja: a NAIH kiemelte, hogy a jogsértés elterjedt jellege még nem teszi azt jogszerűvé. Ezzel összefüggésben rámutatott a NAIH arra is, hogy az IAB Europe keretrendszere szerinti működés nem feltétlenül jelent garanciát a megfelelőségre.
A hatóság mindenekelőtt kimondta, hogy a sütikben tárolt információ személyes adatnak minősül, hiszen azok olyan egyedi azonosítókat rendelnek egy adott személyhez, amelyek célja egy konkrét felhasználó azonosítása. Néhány pont a NAIH által kifogásolt gyakorlatból:
Jogellenes az a gyakorlat, amikor technikailag nehezebb „mindent elutasítani”, mint „mindent elfogadni”. A „mindent elfogadok” opció az első szinten volt lehetséges (egy kattintással), ugyanakkor a „mindent elutasítok” opció csak a második szinten érhető el (két kattintással). A tiltakozás, azaz jogos érdek esetén a sütik elhelyezésének megtagadása, ráadásul csak harmadik szinten (legalább három kattintás után) volt elérhető. Megjegyezzük, hogy ezzel egybecsengő határozatot hozott a francia adatvédelmi hatóság 2022. decemberében, amikor a Microsoft-ot a bing.com weboldalon folytatott cookie (süti) kezelési gyakorlata miatt 60 millió euróra bírságolta, többek között azért, mert míg az elfogadás egy kattintással lehetséges volt, az elutasításhoz kettőt kellett kattintani.
A tájékoztatás túl bonyolult, nehezen olvasható. A weboldal túl hosszú tájékoztató szöveget jelenített meg a sütikkel kapcsolatban, mindezt a képernyő indokolatlanul kicsi területén, egyszerre csak néhány soronként olvashatóan módon. A tájékoztatás összességében nem felelt meg az általános adatvédelmi rendeletnek. Az adatkezelő megnevezése oly módon, hogy „mi és partnereink”, még 754 partner esetén sem volt kellően egyértelmű.
Jogos érdek hibás használata. A weboldal megtévesztő módon használta a „jogos érdek” fogalmát. Tisztességtelen ugyanis feltüntetni ugyanazon adatkezelési célokat a hozzájáruláson alapuló és a jogos érdeken alapuló sütik esetén is. A weboldalak technikai működéséhez szükséges sütik esetén ezzel szemben kizárt a hozzájárulás mint jogalap használata, ehhez ugyanakkor az adatkezelő nem készített megfelelő érdekmérlegelési tesztet.
Harmadik országokba történő jogellenes adattovábbítás. A sütik által gyűjtött adatok a megjelölt 754 partneren keresztül több esetben harmadik országokba kerültek továbbításra, azonban a harmadik országba történő adattovábbítás kockázatait nem kezelték és az érintettek sem kaptak erről semmiféle információt.
Érdemes megjegyezni, hogy jogvédő szervezetek is aktívan hozzájárulhatnak a weboldalakat, illetve applikációkat érintő hatósági eljárások tömegessé válásához. A Maximilian Schrems, osztrák aktivista által vezetett NOYB nevű szervezet 2022 nyarán például közel 300 panaszt nyújtott be nemzeti adatvédelmi hatóságokhoz a OneTrust cookie bannereket használó weboldalakkal szemben.
Látható tehát, hogy elérkezett az utolsó utáni pillanat a weboldalak süti kezelési gyakorlatának és a cookie banner-beállítások felülvizsgálatára, mielőtt a NAIH teszi meg ugyanezt.