Mire kell kiterjednie egy weboldal-megfelelőségi ellenőrzésnek az EU-ban

„Megfelel a weboldalunk a szabályoknak?” – ez egyetlen kérdésnek hangzik. Az EU-ban legalább hat kérdésről van szó, amelyeket különböző jogi aktusok szabályoznak, és különböző hatóságok érvényesítenek: a cookie-k és az adatvédelmi tájékoztatók esetében az adatvédelmi hatóságok, a webáruházak tájékoztatási kötelezettségeinél a fogyasztóvédelmi szervek, az akadálymentességnél pedig a piacfelügyeleti hatóságok. Egy jó megfelelőségi ellenőrzésnek – akár Ön végzi el, akár szkennert vásárol hozzá – mindegyikre ki kell terjednie, és minden megállapításnál meg kell mondania, melyik szabályból ered.

1. Cookie-k, tárolás és hozzájárulás

Az elektronikus hírközlési adatvédelmi irányelv (ePrivacy-irányelv) 5. cikk (3) bekezdése hozzájárulást ír elő ahhoz, hogy információt tároljanak a látogató eszközén vagy onnan kiolvassanak, kivéve, ha ez a látogató által kifejezetten kért szolgáltatáshoz feltétlenül szükséges. A szabály a cookie-kra, de a helyi tárolásra (local storage), a pixelekre és az ujjlenyomat-készítési technikákra is vonatkozik. A hozzájárulás mércéje az általános adatvédelmi rendeletben (GDPR) meghatározott: önkéntes, konkrét, megfelelő tájékoztatáson alapuló és egyértelmű (GDPR 4. cikk 11. pont és 7. cikk).

Egy ellenőrzésnek ezért:

• tiszta böngészőben, interakció nélkül kell betöltenie az oldalt, és rögzítenie kell minden cookie-t, tárolási bejegyzést és hálózati kérést, amely bármilyen döntés előtt megjelenik;
• meg kell ismételnie a látogatást az „Elutasítás” gombra kattintás után, és meg kell győződnie arról, hogy a nem szükséges követőkódok kikapcsolva maradnak;
• ellenőriznie kell, hogy az elutasítás ugyanolyan egyszerű-e, mint az elfogadás, hogy nincs-e előre bejelölt lehetőség, és hogy a hozzájárulás ugyanolyan könnyen visszavonható-e, mint ahogyan megadták (GDPR 7. cikk (3) bekezdés);
• össze kell vetnie, amit a banner és a cookie-lista állít, azzal, ami ténylegesen betöltődik.

Külön útmutatónk, a Cookie-hozzájárulás: mit írnak elő az ePrivacy-szabályok részletesen foglalkozik a témával.

2. Harmadik félhez irányuló kérések és adattovábbítás

Minden beágyazott betűtípus, videó, térkép, csevegőmodul vagy analitikai címke elküldi a látogató IP-címét és böngészőadatait egy másik vállalatnak. A GDPR szerint ez személyes adatok továbbítása, amelyhez jogalap szükséges (6. cikk), és ha a címzett az EGT-n kívül található, az V. fejezet szerinti továbbítási mechanizmus is. Az Európai Unió Bírósága (EUB) a Fashion ID-ügyben (C-40/17) kimondta, hogy a harmadik féltől származó beépülő modult beágyazó weboldal-üzemeltető közös adatkezelő lehet a látogatói adatok gyűjtése és továbbítása tekintetében.

Egy szkennernek fel kell sorolnia minden harmadik féltől származó hosztot, amellyel az oldal kapcsolatba lép, azt, hogy mikor teszi ezt (a hozzájárulás előtt vagy után), és ideális esetben azt is, hol van a címzett székhelye. A betűtípusok és szkriptek saját tárhelyen való kiszolgálása sok megállapításra a legegyszerűbb megoldás.

3. Az adatvédelmi tájékoztató

A GDPR 13. és 14. cikke felsorolja, miről kell tájékoztatni a látogatókat: ki az adatkezelő és hogyan érhető el (valamint az adatvédelmi tisztviselő, ha ilyet kijelöltek), az egyes adatkezelési tevékenységek céljai és jogalapjai, a címzettek, az EGT-n kívülre irányuló továbbítások, a megőrzési idők, az érintetti jogok, a felügyeleti hatóságnál történő panasztétel joga, valamint az, hogy sor kerül-e automatizált döntéshozatalra. A 12. cikk hozzáteszi, hogy a tájékoztatásnak tömörnek, átláthatónak és könnyen hozzáférhetőnek kell lennie.

Az automatizált eszközök meg tudják állapítani, hogy létezik-e tájékoztató, minden oldalról elérhető-e hivatkozással, és említi-e a kötelező elemeket. Az a legfontosabb, hogy a tartalom megfelel-e annak, amit az oldal ténylegesen tesz – és ezt a szkenner csak közelítőleg tudja megítélni, a tájékoztatót az általa talált követőkódokkal összevetve.

4. Szolgáltatói adatok („impresszum”)

Az elektronikus kereskedelemről szóló irányelv 5. cikke előírja, hogy minden információs társadalommal összefüggő szolgáltatás bizonyos adatokat „könnyen, közvetlenül és folyamatosan hozzáférhetővé” tegyen: a szolgáltató nevét, földrajzi címét, elérhetőségét, beleértve az e-mail-címét, a cégjegyzékbe való bejegyzését és cégjegyzékszámát, adószámát, valamint adott esetben a felügyeleti hatóságot vagy a szakmai szabályokat. Több tagállam ezt külön impresszumoldalként ülteti át (Németországban a § 5 DDG, Ausztriában a § 5 ECG, Szlovákiában a 22/2004. sz. törvény).

Egy ellenőrzésnek meg kell állapítania, hogy az oldal létezik-e, minden oldalról egy-két kattintással elérhető-e, és tartalmazza-e az összes elemet. Részletesebben: Impresszum és fogyasztóvédelmi tájékoztatási kötelezettségek uniós webáruházak számára.

5. Fogyasztóvédelmi tájékoztatás webáruházaknak

Ha az oldal fogyasztóknak értékesít, a fogyasztói jogokról szóló irányelv további követelményeket támaszt: szerződéskötés előtti tájékoztatás (6. cikk), a megrendelés gomb felirata (8. cikk (2) bekezdés) és a 14 napos elállási jog (9. cikk). Az Omnibus-irányelv (2019/2161) óta a webáruházaknak azt is el kell magyarázniuk, hogyan alakul ki a termékek rangsorolása, közölniük kell, hogy ellenőrzik-e és hogyan a fogyasztói értékeléseket, és árcsökkentés bejelentésekor fel kell tüntetniük a korábbi árat (árfeltüntetési irányelv, 6a. cikk).

6. Akadálymentesség

2025. június 28. óta az európai akadálymentesítési irányelv (European Accessibility Act, EAA) alkalmazandó a fogyasztóknak szóló e-kereskedelmi és számos más szolgáltatásra. A gyakorlatban ez az EN 301 549 webes követelményeinek teljesítését jelenti, amely a WCAG 2.1 AA szintjére hivatkozik. Az automatizált tesztelés megbízhatóan megtalálja a hiányzó alternatív szövegeket, az elégtelen kontrasztot, a címke nélküli űrlapmezőket és a hiányzó nyelvi attribútumokat; a billentyűzetes kezelhetőséget és a képernyőolvasós használatot azonban továbbra is kézzel kell tesztelni. Lásd: Akadálymentesség (EAA 2025) weboldalak számára.

Egyoldalas ellenőrzőlista

Amit egyetlen szkenner sem lát

Az adatkezelési tevékenységek nyilvántartása (GDPR 30. cikk), az adatfeldolgozói szerződések (28. cikk), az adatvédelmi hatásvizsgálatok (35. cikk), a szerveroldali követés és mindaz, ami a bejelentkezést igénylő területeken történik, láthatatlan egy crawler számára. A vizsgálat a legjobb első lépés és kiváló regressziós teszt, de nem teljes körű audit. Mit tudnak és mit nem tudnak ellenőrizni az automatizált megfelelőségi szkennerek című útmutatónk elmagyarázza, hol húzódik a határ.