Mit mérj, és mit szabad mérni? GDPR a gyakorlatban

Hat szám, ami kis cégnél tényleg számít

Kis darabszámnál a százalék félrevezet. Ha egy hónapban nyolc megkeresésből kettő lesz üzlet, az 25%. Jövő hónapban ugyanabból a nyolcból egy, és az 12,5%. Semmi nem romlott el — egyszerűen kevés az adat. Ezért kis cégnél nem rátát nézünk, hanem darabot és okot.

Hat szám, ami a weboldalad körül tényleg megéri:

• Hány megkeresés jött összesen. Az űrlap, a telefon és a beérkező e-mail együtt. A telefonost is írd fel — az analitika sosem fogja látni, mégis gyakran az a legtöbb.
• Melyik oldalról érkezett a megkeresés. Nem az, hogy melyik oldalt nézték a legtöbben. Az, amelyik után írtak. A kettő ritkán ugyanaz.
• Mennyi idő alatt tölt be az oldalad telefonon. Ehhez nem kell süti, nem kell hozzájárulás, és nem kell analitika sem — kívülről is megmérhető.
• Hányan nyitják meg telefonon, és hányan asztali gépen. Egyetlen szám, ami rengeteg tervezési vitát eldönt.
• Hány látogató mondott nemet a süti-sávnál. Ezt szinte senki nem nézi meg. Pedig ez mondja meg, mennyire hihető az összes többi számod.
• Hány megkeresésből lett aláírt munka. Ezt nem a webanalitika tudja. Ezt te írod fel.

Az első négyet gép méri. Az utolsó kettőhöz te kellesz — és a második lista a fontosabb. Hogy a megkeresések útján hol szakad el a lánc, azt a sales funnel oldalon vettük végig tételesen.

Mikor ne vágj bele

Öt helyzet van, amikor a mérésbe fektetett munka nem térül meg. Előre kimondjuk, mert ezen lehet a legtöbbet spórolni.

• Havi néhány száz látogatód van. A Google Analytics ilyenkor egyszerűen elrejti az adat egy részét: ha kevés a felhasználó egy szűk időszakban, a rendszer küszöböt alkalmaz, hogy egyéneket ne lehessen azonosítani. Ez a küszöb nem állítható. Nem elromlott a mérés — kevés az adat.
• Nincs olyan döntésed, amit a szám megváltoztatna. Ha a válaszod mindkét eredmény esetén ugyanaz, a mérés csak egy újabb fül a böngészőben.
• Még nincs adatkezelési tájékoztatód. Akkor ne követőkóddal kezdd. A magyar hatóság 2025–2026-ban közzétett határozataiban a bírságok jellemzően a hiányos tájékoztatón csattantak, nem a süti-sáv finomságain.
• Az oldal még hetente változik. Hőtérképet olyan oldalra érdemes tenni, ami már áll. Különben azt méred, amit két hét múlva kidobsz.
• Csak azért kell, hogy „legyen Analytics”. Volt olyan ügyfelünk — egy coach —, akinél a legjobb adatvédelmi lépés az volt, hogy kivettük az Analyticset és a süti-felugrót az oldaláról, mert egyikre sem volt szüksége. Az oldal gyorsabb lett, és a látogatónak nem kell semmit elfogadnia. Ez is megoldás, és ritkán ajánlják, mert nincs rajta miből számlázni.

A három kötelezettség, ami ma tényleg vonatkozik rád

A süti-sávok körüli vitákban könnyű elveszni. Kis cégnél három dolog az, ami tényleg kötelező — és ezek közül kettő nem is a bannerről szól.

1 · Hozzájárulás mindenhez, amit a látogató eszközén tárolsz vagy onnan olvasol. Ezt Magyarországon az elektronikus hírközlésről szóló törvény 155. § (4) bekezdése mondja ki: a felhasználó végberendezésén csak világos és teljes körű — az adatkezelés céljára is kiterjedő — tájékoztatást követő hozzájárulás alapján lehet adatot tárolni, vagy az ott tárolt adathoz hozzáférni. Egy apróság, amit érdemes tudni: a magyar törvényszöveg maga nem sorolja fel a technikailag szükséges sütikre vonatkozó kivételeket — azok az uniós irányelvből és a hatósági gyakorlatból következnek.

2 · Önálló, megtalálható adatkezelési tájékoztató. A GDPR 12. és 13. cikke előzetes tájékoztatást ír elő. A magyar hatóság 2026-os határozatában elvi éllel mondta ki, hogy az ÁSZF-be ágyazott, más tartalmak közé rejtett adatvédelmi információ önmagában sérti ezt, mert az érintettől nem várható el, hogy kikutassa. Legyen külön oldal — és legyen ott az űrlap mellett is, ahol az adatot kéred.

3 · Adatfeldolgozói szerződés azzal, aki a nevedben kezeli az adatokat. A GDPR 28. cikke szerint ez kötelező, attól a pillanattól, hogy egy vendég neve vagy e-mail-címe bekerül a rendszerbe. A webfejlesztőd, a levelezőrendszered, a foglalószoftvered mind ide tartozik. Lentebb tételesen is végigvesszük, mit kell tartalmaznia.

Ez a három. Nem hosszú lista, és a sorrend számít: a hatósági gyakorlat alapján a második a legdrágább hiba, nem az első.

Mennyibe kerül, és mi az, ami külön tétel?

Nálunk a mérés bekötése nem külön termék, hanem az oldal része. Egy weboldal 350 000 Ft-tól indul, a legtöbb megbízás 500 000 Ft körül alakul, teljes rendszer 1 millió Ft környékén kezdődik. Minden ár nettó.

Ami ezen felül külön tétel, és amiről érdemes előre beszélni:

• A süti-kezelő felület. Van ingyenes változat, és van havidíjas. A havidíjas jellemzően azt adja, hogy nyilvántartást is vezet a hozzájárulásokról — ez akkor számít, ha egyszer bizonyítani kell, ki mihez járult hozzá. A Google európai hozzájárulási szabályzata például kifejezetten előírja a hozzájárulások nyilvántartását annak, aki Google-termékeket használ.
• A hőtérkép vagy a munkamenet-felvétel. Ez nálunk nem alapfelszerelés, mert hozzájárulás-kaput és külön döntést kíván. Külön árazott szolgáltatásként ezt nem kínáljuk. Ahol indokolt, a weboldal-munka részeként kötjük be — de csak akkor, ha a hozzájárulás-kapu is megvan hozzá.
• Az ügyvédi réteg. A jogi dokumentumokat nem mi írjuk — ügyvéd nézi át őket, mielőtt élesbe mennek. Ezt a költséget nem mi számlázzuk: az ügyvéddel közvetlenül szerződsz, és a díját ő állapítja meg. Mi annyit teszünk hozzá, hogy megmondjuk, mire van szükséged, és összekötünk vele.
• Az üzemeltetés. 24 000 Ft + áfa havonta, és nem kötelező.

Egy dolgot ne várj ettől a tételtől: a mérés önmagában nem hoz megkeresést. Azt mondja meg, hol folyik el az, amit már megszereztél.

Két perc a saját oldaladon: kipipálható lista

Nyisd meg a saját oldaladat egy privát böngészőablakban, és menj végig ezen. Nem kell hozzá fejlesztő, és nem kell hozzá senkit felhívnod.

Amit sokan még mindig hisznek — és már nem igaz

Ezek a mondatok mind elhangzottak nálunk egy tárgyaláson, és mind elavultak.

• „A Google Analytics tiltott az EU-ban.” Ez a 2022-es osztrák és francia hatósági döntésekből maradt fenn. A Bizottság 2023. júliusi megfelelőségi határozata óta a tanúsított amerikai szolgáltatók felé az adattovábbítás jogszerű. A pontos 2026-os mondat viszont nem az, hogy „rendben van, felejtsd el” — hanem az, hogy ma jogszerű, de nem szabad rá úgy tervezni, mintha örökre az maradna.
• „Elég egy süti-tájékoztató a lábléc alján.” Nem elég. A törvény előzetes, tájékoztatáson alapuló hozzájárulást követel. A tájékoztató ennek egyik feltétele, nem a helyettesítője.
• „A hozzájárulás csak a sütikre vonatkozik.” Az Európai Adatvédelmi Testület 2024 októberében elfogadott iránymutatása kimondja, hogy a követő pixel, a követő link, a böngészőben tárolt adat, az ujjlenyomatolás és az egyedi azonosítók is idetartoznak. A „mi nem használunk sütit, csak pixelt” védekezés nem működik.
• „Be kell kapcsolni az IP-anonimizálást.” Ez a régi Analytics korszakából maradt reflex. Az új Google Analyticsben nincs ilyen kapcsoló, és a Google saját dokumentációja szerint nem naplózza és nem tárolja az EU-s, svájci és brit felhasználók egyedi IP-címét — az IP-t csak átmenetileg használja a földrajzi hely levezetésére. Aki 2026-ban ezt kéri a fejlesztőjétől, elavult listából dolgozik.
• „Majd a régi Analytics-adatokból nézzük az összehasonlítást.” Nincs miből. A régi Universal Analytics 2023 nyarán leállt az adatgyűjtéssel, és 2024 júliusától a Google véglegesen törölte az adatokat, a felülettel együtt.
• „A görgetés vagy a továbbkattintás elfogadásnak számít.” Nem. A hozzájárulást pozitív cselekvéssel kell kifejezni, és alapértelmezésben egyetlen hozzájárulás-köteles süti sem helyezhető el.
• „A GDPR-bírság csak a nagy cégeket érinti.” A magyar hatóság 2026-ban közzétett határozatai közt egy mikrovállalkozás tízmilliós bírságot kapott, egy évi néhány tucat vásárlós webshop pedig kétszázezreset — pusztán az adatkezelési tájékoztató hiányosságai miatt. Ezeket a részleteket ügyvédi összefoglalóból ismerjük, nem a teljes határozatokból; a nagyságrend viszont beszédes. A bírság a jogsértés súlyához igazodik, nem a cégmérethez.
• „Mindjárt jön az új uniós szabály, várjunk vele.” A Bizottság 2025 februárjában visszavonta a 2017 óta húzódó ePrivacy-rendelet javaslatát. A helyére szánt új csomag 2026 augusztusában még csak javaslat. A várakozás nem stratégia.

Mitől jogszerű egy süti-sáv, és mitől nem?

A gyakorlati szabályokat leginkább az európai adatvédelmi hatóságok 2023 januári süti-munkacsoport-jelentéséből és a magyar hatóság határozataiból lehet kiolvasni. Négy dolog jön elő újra és újra.

• Legyen elutasítás, és ugyanott legyen. A hatóságok döntő többsége jogsértésnek tekinti, ha a sávban semmilyen szinten nincs elutasítási lehetőség. Az első magyar süti-bírság — a hatóság 2022-es, tízmillió forintos határozata egy médiacégre — pontosan azt kifogásolta, hogy a „mindent elfogadás” az első szinten volt elérhető, a „mindent elutasítás” viszont csak a másodikon.
• Ne legyen előre bepipálva semmi. Alapértelmezésben egyetlen hozzájárulás-köteles süti sem helyezhető el, és az előre bepipált négyzet nem érvényes hozzájárulás.
• A „feltétlenül szükséges” kategóriát neked kell tudni igazolni. Ha egy sütit ide sorolsz, ellenőrzéskor meg kell tudnod indokolni, miért esszenciális. Ez a legkönnyebben kikezdhető pont a legtöbb magyar oldalon, mert ebbe a fiókba szokás betolni mindent, amiről nem akarunk kérdezni.
• A visszavonás legyen ugyanolyan könnyű, mint a megadás, és legyen folyamatosan elérhető — egy állandó link vagy egy lebegő ikon.

Amiért eddig ténylegesen bírságoltak

Ugyanez a magyar határozat elmarasztalta a „jogos érdek” fül használatát is a sávban: ha ugyanazok a célok szerepelnek a hozzájárulási és a jogos érdek felületen, az tisztességtelen és átláthatatlan, mert azt a látszatot kelti, hogy a nemet mondás mellett is folyik ugyanaz az adatkezelés. Érdekmérlegelés pedig egyáltalán nem készült abban az ügyben.

Hogy ez nem elméleti kockázat, arra a francia hatóság 2025. szeptemberi döntései a legerősebb jelzés: 325 millió eurós bírság a Google-nek és 150 millió eurós a Sheinnek, mindkettő sütikezelés miatt. Nyilván nem egy magyar kkv a célpont — de a szabályok ugyanazok, és a hatóságok nyilvánvalóan nem hagyják elfeküdni a témát.

Amikor a túl szigorú blokkolás visszaüt

Egy technikai buktató a végére, mert ebbe sokan belefutnak. Ha a sávod teljesen blokkolja a Google-címkék betöltését addig, amíg a látogató nem nyomott gombot, akkor a Google nem tudja ellenőrizni a hozzájárulás állapotát, és a saját dokumentációja szerint ez adatvesztéssel jár. A helyes megoldás nem a blokkolás, hanem az, hogy a címke elindul, de alapból elutasított állapotban, és a látogató döntése kapcsolja át.

Hőtérkép és képernyő-felvétel: szabad, de nem magától

A hőtérkép megmutatja, hova kattintanak és meddig görgetnek. A munkamenet-felvétel ennél többet ad: gyakorlatilag visszanézhető, merre járt egy látogató az oldalon, hány másodpercet töltött egy blokkon, és hol akadt el egy folyamat. Ez a legjobb eszköz arra, hogy egy hosszú űrlapról vagy egy foglalási lépcsőről kiderüljön, pontosan hol veszíted el az embereket.

És pontosan ezért adatkezelés is, nem csak UX-eszköz.

• Hozzájárulás kell hozzá. A látogató eszközén azonosítót tárol. A Microsoft Clarity 2025. október 31-től maga kényszeríti ki a hozzájárulási jelzést az európai, brit és svájci forgalomra: hozzájárulási jel nélkül nem helyez el sütit. Ha eddig azt hitted, ez szürke zóna, a gyártó maga döntötte el helyetted.
• A beírt adatokat maszkolni kell. Nem kerülhet a felvételre e-mail-cím, telefonszám vagy jelszó. Hogy egy eszköz mit maszkol alapból, az eszközönként eltér — ezt a szolgáltató dokumentációjából kell kiolvasni, nem feltételezni.
• Hatásvizsgálat is szóba jön. A magyar hatóság hatásvizsgálati listája szerint a viselkedési jellemzők alapján végzett módszeres profilozás és az érintettekre irányuló szisztematikus megfigyelés adatvédelmi hatásvizsgálatot kíván. A lista nem kimerítő: ha a törvényi feltételek teljesülnek, akkor is kötelező, ha a tevékenységed nem szerepel rajta.

Amit itt nem tudunk kimondani. Magyar hatósági döntést kifejezetten hőtérképről vagy munkamenet-felvételről nem találtunk. A fenti levezetés a törvényből, az uniós iránymutatásból és a hatásvizsgálati listából következtetés, nem lezárt hatósági állásfoglalás. Arra sincs számszerű uniós definíció, mikortól számít egy kis forgalmú oldal megfigyelése „nagymértékűnek”. Ha ilyet vezetsz be, ezt a pontot érdemes ügyvéddel átnézetni — mi is ezt tesszük.

A saját szabályunk. Az általunk épített oldalakon alapból nincs harmadik féltől származó süti. Ha hőtérkép vagy felvétel kell, az külön döntés: hozzájárulás-kapu mögé kerül, és európai tárolású megoldást választunk hozzá. Egy esküvő- és rendezvényhelyszínnek szóló ajánlatunkban ezt előre le is írtuk, mert a saját szabályunkba ütközött volna. Nem tesszük fel csak azért, mert lehet.

A Google Analytics három csapdája, amit senki nem mond el

Három olyan viselkedése van a Google Analyticsnek, ami rendszeresen félreértést okoz kis cégeknél. Egyik sem hiba — mind dokumentált, csak nem szokás róla beszélni.

• Adatküszöbölés. Ha a jelentésed demográfiai adatot tartalmaz, vagy szűk időszakra kevés a felhasználó, a Google egyszerűen elrejti az adatot, hogy egyéneket ne lehessen azonosítani. A küszöb nem állítható. A megoldás a hosszabb időszak vagy a demográfiai adatgyűjtés kikapcsolása — nem az újramérés, és nem a fejlesztő felhívása.
• Adatmegőrzés. Az ingyenes változatban a felhasználó- és eseményszintű adat megőrzési ideje 2 vagy 14 hónap; a hosszabb, 26–50 hónapos opciók csak a fizetős verzióban élnek. A kor, nem és érdeklődés szerinti adat mindig csak 2 hónapig marad meg, a beállítástól függetlenül. A megőrzési idő módosítása 24 óra múlva lép életbe — vagyis ha most kapcsolod 14 hónapra, a régi adatot már nem hozza vissza. Ezt érdemes az első héten megnézni, nem az első évforduló után.
• A Consent Mode nem pótolja a hiányzó adatot. Sokan úgy adják el, hogy „a modellezés visszahozza azokat, akik nemet mondtak”. Ez elvben igaz — de a Google saját feltétele az, hogy a mérőfiók naponta legalább ezer eseményt gyűjtsön elutasított állapotban, legalább hét napon át, és legalább ezer napi felhasználó küldjön eseményt elfogadott állapotban az előző 28 napból legalább héten. Egy tipikus magyar kkv-oldal ezt gyakorlatilag sosem éri el. A Consent Mode nálad a jogszerűséget adja meg, nem a hiányzó számokat.

Ebből egy praktikus következtetés adódik, és ez az egész oldal egyik lényege. Ha kevés a látogatód, ne az analitikára építsd a döntéseidet, hanem arra, amit te írsz fel: hány megkeresés jött, honnan, és mi lett velük. A gép ott pontos, ahol sok az adat. Nálad kevés van — és ez nem baj, csak más módszert kíván.

Adatfeldolgozói szerződés: mit kell tartalmaznia, és miért a te pajzsod

A GDPR 28. cikke szerint, ha valaki a te nevedben és a te utasításodra kezeli az ügyfeleid adatait, arról írásbeli szerződés kell. Te vagy az adatkezelő; a webfejlesztőd, a levelezőrendszered, a foglalószoftvered az adatfeldolgozó. Ez nem attól függ, mekkora a céged — attól, hogy egy vendég neve vagy e-mail-címe bekerült-e egy rendszerbe.

Mit kell tartalmaznia? Ez nem ízlés kérdése, a rendelet felsorolja:

• az adatkezelés tárgyát, időtartamát, jellegét és célját, az adatok típusát és az érintettek körét
• hogy az adatfeldolgozó csak írásbeli utasításodra kezelhet adatot — a harmadik országba történő továbbítást is beleértve
• titoktartást
• a biztonsági intézkedéseket
• a további adatfeldolgozókra vonatkozó feltételeket
• segítséget az érintetti kérelmek megválaszolásában (adathoz jutás, törlés, tiltakozás)
• segítséget adatvédelmi incidens és hatásvizsgálat esetén
• hogy a szolgáltatás végén a te döntésed szerint töröl vagy visszaad minden adatot
• hogy mindent rendelkezésre bocsát az ellenőrzéshez, a helyszíni vizsgálatot is beleértve

A további adatfeldolgozók listája a leggyakrabban kihagyott pont. A mi szerződésünk névvel felsorolja az egész láncot: adatbázis, fizetési szolgáltató, számlázás, levélküldés, tárhely, Google-szolgáltatások, AI-feldolgozás. Ha egy szolgáltató nem tudja megmondani neked, kihez kerül az adatod, az önmagában információ — és nem jó irányba mutató.

Miért a te védelmed, és nem papírmunka

Ezt a papírt nyűgnek szokták nézni. Fordítva érdemes: ez a te védelmed. Ez dokumentálja, hogy az adatokkal csak a te utasításodra dolgoznak, biztonságosan tartják, és a végén törlik vagy visszaadják őket. Ha egyszer kérdez a hatóság vagy egy ügyfeled, ez az, amit elő tudsz venni.

Gyakorlati lépés, ami ma megvan: kérd el attól, aki jelenleg az oldaladat és a leveleidet üzemelteti. Ha nincs neki, az legalább olyan fontos válasz, mint ha van.

E-mail: mit szabad mérni rajta, és milyen jogalapon megy ki

Amit a levelek mérésénél nem ígérünk: a megnyitási arányt. Két okból. Egyrészt a levelezőrendszerek képvédelme miatt megbízhatatlan. Másrészt az e-mailbe ágyazott követő pixel maga is adatkezelés — az európai iránymutatás kifejezetten nevesíti, mert az azonosító visszaküldése hozzáférésnek minősül —, és ronthatja a levél kézbesíthetőségét is. Amit mérünk és vállalunk: kattintás, naptárba tétel, lemondás. Inkább kevesebbet pontosan, mint többet félrevezetően.

Előbb a jogalap, csak utána a mérés

A mérés előtt viszont van egy kérdés, ami eldönti, egyáltalán kimehet-e a levél: milyen jogalapon megy ki. A foglalás visszaigazolása, az emlékeztető és a számla a szolgáltatás része. Az akció, a termékajánlat és a hírlevél marketing: ahhoz hozzájárulás kell, és az bármikor visszavonható. Hogy melyik automata levél melyik körbe esik, és mit ír elő rá a magyar reklámtörvény, azt tételesen ott vettük végig.

Ami ebből a mérés oldalára tartozik, az a beállítás: két pipa az űrlapon, nem egy. Az egyik a kötelező adatkezeléshez, a másik az opcionális hírlevélhez. Egy rendezvényszervező ügyfelünknél pontosan így épült meg, és a hírlevél-funkciót addig nem élesítettük, amíg az ügyvéd rá nem nézett a jogalapra. A felület kész volt, a gomb nem működött — ez a helyes sorrend.

Ugyanez visszafelé is igaz. Ha van egy régi e-mail-listád, amiről nem tudod, honnan gyűlt és volt-e hozzá hozzájárulás, arra ne indíts hírlevelet. Előbb az új hozzájárulás, utána a kampány. Kényelmetlen sorrend, és ez a helyes. Egy szálláshely-ügyfelünknél emiatt indult később az e-mail-marketing, mint ahogy szerettük volna.

És ha a kettőt mégis egy rendszerben, egy hozzájárulással kezeled, nem a jogsértés a valószínűbb kár: a vendég leiratkozik, és onnantól a foglalási visszaigazolást sem kapja meg. Egy szállásadónál vagy egy étteremnél ez néha rosszabb, mint maga a jogsértés.

Ami 2026-ban épp mozgásban van — és amit nem tudunk

Két dolog van napirenden, és mindkettőről többet írnak, mint amennyi valójában eldőlt.

Az EU–USA adattovábbítás. A jogalap ma a Bizottság 2023. júliusi végrehajtási határozata, ami hatályban van — vagyis a Google, a Meta, a Microsoft és a hasonló, tanúsított amerikai szolgáltatók felé az adattovábbítás jogszerű. Ami 2026-ban történt: az amerikai Legfelsőbb Bíróság júniusi ítélete után az elnök szabadon menesztheti a szövetségi versenyhatóság biztosait — és éppen ennek a hatóságnak a függetlenségére épít a megfelelőségi határozat egyik lába. Az Európai Adatvédelmi Testület elnöke 2026. július 31-én hivatalos levélben kérte a Bizottságtól, hogy alaposan vizsgálja meg, érinti-e ez a fejlemény a határozat működését. Emellett a keretet megtámadó egyik per fellebbezési szakaszban van az uniós bíróság előtt.

És most jön az őszinte rész: nem tudjuk, mi lesz. Nyilvános bizottsági választ nem találtunk, és semmilyen hivatalos lépést sem a határozat felfüggesztésére vagy visszavonására. Aki azt mondja neked, hogy „a keret hamarosan megszűnik”, az spekulál. Aki azt mondja, hogy „ez le van rendezve, ne foglalkozz vele”, az szintén.

A süti-szabályok reformja. A 2017 óta húzódó ePrivacy-rendeletet a Bizottság 2025 februárjában visszavonta, mert nem volt kilátás megegyezésre. A helyére szánt új csomag a süti-szabályt a GDPR-ba emelné át, és olyan könnyítéseket hozna, mint az egykattintásos elutasítás, a hat hónapos újrakérdezési tilalom elutasítás után, és a böngésző-szintű, gépi olvasható hozzájárulás-jelzés. De ez 2026 augusztusában még csak javaslat, a Parlament és a Tanács tárgyalja, és a szövegben a legvitatottabb rész pont az, hogy a felhőalapú analitika belefér-e a tervezett mentességbe. Ne tervezz arra, hogy jövőre nem kell majd süti-sáv.

Amit ebből érdemes tenni, az független attól, mi lesz a végkifejlet: ne építs olyan rendszert, amiből nem tudod kihozni a saját adataidat, és ne köss olyan szerződést, amiben a szolgáltató nem cserélhető. Ez a két dolog minden jogszabály-változást túlél. Ugyanez a logika áll a digitális jelenlét többi rétegére is.

Hogy csináljuk mi — a saját korlátainkkal együtt

Négy dolgot csinálunk másképp, mint ahogy általában szokás. Kettő ezek közül a saját korlátunk.

• Hirdetés nem indul mérés-ellenőrzés nélkül. Ez nálunk blokkoló feltétel: indítás előtt élőben megnézzük a hirdetési pixelt a hozzá való böngésző-kiegészítővel, és valós időben visszamérjük a saját böngészőnkből, hogy megjelenik-e a látogatás az analitikában. Ez azért lett kötelező kör, mert egyszer egy kampány úgy indult volna el, hogy a mérés csendben nem működött. Egy hirdetés, ami nem mér, nem hirdetés — csak kiadás.
• Az analitikai és hirdetési fiók az ügyfél nevén áll. Nekünk technikai hozzáférésünk van hozzá, nem tulajdonunk. Ha egyszer elválnak az útjaink, az adat marad, ahol van. Ezt átvételkor érdemes bárkitől megkérdezni, akivel dolgozol — és írásban.
• A jogi réteget nem mi írjuk. Erre állandó ügyvédi partnerünk van: dr. Necz Dániel adatvédelmi és infokommunikációs szakjogász, a SimpLEGAL csapatából. Az adatkezelési tájékoztatót, a süti-tájékoztatót és az adatfeldolgozói szerződést ő nézi át, mielőtt bármi élesbe megy. Nálunk a bekötés a feladat: hogy a szöveg ott legyen, ahol az adatot kérjük, és hogy a rendszer tényleg úgy működjön, ahogy a dokumentum állítja. Ha van saját ügyvéded, vele is dolgozunk.
• Néha az a megoldás, hogy nem tárolunk. Egy rendezvényes ügyfelünknél az ötletgyűjtő űrlap adatai egyenesen e-mailbe mennek, adatbázis nélkül — mert ott nem volt szükség tárolásra, és amit nem tárolsz, azt nem is kell védened. A legolcsóbb adatvédelem az adatminimalizálás, és ez nem tréfa: ez a legtöbbször kihagyott lépés.

Amit nem vállalunk. Jogi tanácsot nem adunk — arra ügyvéd van, és ezt nem udvariasságból mondjuk. Megnyitási arányt nem ígérünk. És a legmélyebb követési szintre — hogy mi történik a látogatóval, miután elhagyta az oldalt — nem állunk be: ott a haszon nem éri meg a jogi és technikai terhet, és nem is állunk rá készen.

A mérés és az adatvédelem ugyanannak a kérdésnek a két fele: mennyit kell tudnod ahhoz, hogy jól dönts, és mi az, amit már nem szabad tudnod. Egy jól megépített rendszerben ez a két határ nagyjából egybeesik. Ha nagyon messze van egymástól, valamelyik oldalon baj van.