Straipsnis
Slapukai: teisingai arba visai be jų
Slapukų juosta smulkaus verslo svetainėje beveik visada įdiegiama paskutinė, jau veikiančiai svetainei. Todėl dažniausiai ji atsiranda ne vietoj sekimo, o šalia jo: Google Analytics arba Facebook pikselis pasileidžia tą pačią sekundę, kai puslapis atsidaro, o juosta klausia sutikimo jau po to. Čia surašyta, ko iš tikrųjų reikalauja įstatymas, kaip per dvi minutes pasitikrinti savo svetainę ir kodėl antras kelias, be nebūtinų slapukų iš viso, mažai įmonei dažnai išeina pigesnis.
Ką iš tikrųjų sako įstatymas
Slapukai Lietuvoje reguliuojami ne vienu, o dviem teisės aktais, ir tai paaiškina daugumą painiavos. Pareiga klausti sutikimo kyla iš Elektroninių ryšių įstatymo 73 straipsnio 4 dalies, o sutikimo kokybė, jo atšaukimas ir informavimas, iš Bendrojo duomenų apsaugos reglamento.
To paties įstatymo 81 straipsnis reguliuoja visai kitą dalyką: ne slapukus, o rinkodaros laiškų ir skambučių siuntimą. Apie jį rašėme straipsnyje „Naujienlaiškis ir sutikimas: ką iš tikrųjų galima siųsti klientui“.
Elektroninių ryšių įstatymas sako, kad saugoti informaciją arba naudotis jau saugoma informacija lankytojo galiniame įrenginyje, tai yra jo telefone ar kompiuteryje, leidžiama tik tada, kai lankytojui pateikta aiški ir išsami informacija ir jis davė sutikimą. Ta pati dalis nurodo ir išimtį: sutikimo nereikia, kai saugojimas techniškai būtinas informacijai perduoti arba paslaugai, kurios lankytojas pats paprašė, suteikti.
- Būtinieji slapukai sutikimo nereikalauja. Krepšelis, prisijungimo seansas, kalbos pasirinkimas, apsauga nuo formos piktnaudžiavimo. Bet apie juos vis tiek reikia informuoti.
- Visi kiti reikalauja. Statistikos ir rinkodaros slapukai, įskaitant Google Analytics, yra nebūtini. VDAI tai įvardija tiesiai: prieš įgalinant bet kokios rūšies, išskyrus būtinuosius, slapukų veikimą būtina gauti lankytojo sutikimą.
- Sutikimas duodamas aktyviu veiksmu. Iš anksto pažymėti langeliai, kuriuos galima atžymėti, sutikimu nelaikomi. Naršymas toliau irgi ne.
- Atšaukti turi būti taip pat lengva, kaip duoti. Tai BDAR 7 straipsnio reikalavimas, ir praktikoje jis reiškia nuolat pasiekiamą nuorodą arba piktogramą, ne vienkartinį langą.
Vertinga žinoti ir tai, kad ši nuostata nėra lietuviška išmonė. Ji įgyvendina 2002 m. e. privatumo direktyvos 5 straipsnio 3 dalį, todėl taisyklė vienoda visoje Europos Sąjungoje, o skiriasi tik priežiūros institucijų praktika.
Šaltiniai: Lietuvos Respublikos elektroninių ryšių įstatymas, 73 straipsnis „Ryšio konfidencialumas“, suvestinė redakcija nuo 2026-07-01; VDAI, „Slapukų naudojimo praktikos apibendrinimas“, 2025-04-02. Patikrinta 2026-08-20.
Kur pažeidimas prasideda: skriptas pasileidžia pirmas
Beveik visos diskusijos apie slapukus sukasi apie juostos išvaizdą: kokie mygtukai, kokia spalva, kur nuoroda. Bet dažniausia klaida, kurią matome Lietuvos smulkaus verslo svetainėse, yra ne juostoje, o eilės tvarkoje.
Įstatymas kalba apie momentą, kada informacija įrašoma į lankytojo įrenginį. Jei Google Analytics, Google Tag Manager arba Meta pikselis įrašytas tiesiai svetainės antraštėje, jis pasileidžia tada, kai naršyklė perskaito puslapį, tai yra dar prieš tai, kai žmogus pamato juostą. Slapukas jau įrašytas. Mygtukas „Nesutinku“ tuo momentu nebeturi ko sustabdyti.
Sutikimo įskiepis gali blokuoti tik tai, ką jis pats valdo. Jei sekimo kodas įdėtas per įskiepio nustatymus, jis palauks. Jei tas pats kodas kadaise buvo įklijuotas rankomis į temos antraštę, į Google Site Kit, į el. parduotuvės nustatymus arba į reklamos platformos integraciją, įskiepis apie jį nieko nežino ir nieko nestabdo.
Todėl juosta gali atrodyti tvarkinga, o svetainė vis tiek neatitikti reikalavimo. Tai ne įskiepio kaltė ir ne jo trūkumas. Tiesiog niekas po įdiegimo nepatikrino, ar liko kas nors, kas pasileidžia anksčiau.
Antra pagal dažnumą to paties šeimos klaida: slapukai, kurie iš tikrųjų yra statistikos, priskiriami prie būtinųjų. Tada įskiepis juos sąžiningai paleidžia be sutikimo, nes taip jam nurodyta. VDAI tai įvardija atskirai ir pabrėžia, kad slapukų skirstymas į rūšis nėra formalus teorinis dalykas: nuo jo priklauso, ar visas sutikimo mechanizmas apskritai veikia teisingai.
Dviejų minučių patikra savo svetainei
Šito nereikia užsakyti kaip audito. Tai galima padaryti pačiam, kompiuteryje, per porą minučių. Reikia tik nieko nespausti juostoje.
- 1Atidarykite savo svetainę naujame inkognito langeKad naršyklė neatsimintų anksčiau duoto sutikimo.
- 2Paspauskite F12 ir pasirinkite kortelę „Network“Chrome ir Edge naršyklėse ji vadinasi taip pat. Įjunkite žymimąjį langelį „Disable cache“.
- 3Perkraukite puslapį ir nelieskite slapukų juostosNespauskite nei „Sutinku“, nei „Nesutinku“. Palikite ją kaip yra.
- 4Filtro laukelyje surinkite google-analyticsPaskui pakartokite su googletagmanager, connect.facebook.net, hotjar, clarity.ms.
- 5Jei sąraše kas nors atsirado, sekimas jau veikiaNespaudus nieko. Būtent tai ir yra neatitikimas reikalavimui.
- 6Pasitikrinkite ir kortelėje „Application“Skiltyje „Cookies“ matysite, kas realiai įrašyta į įrenginį. Slapukai, prasidedantys _ga arba _fbp, yra sekimo slapukai.
Jei sąrašas tuščias, kol nieko nepaspausta, jūsų juosta veikia taip, kaip turi. Jei ne, taisyti reikia ne juostos tekstą, o vietą, iš kurios kodas pasileidžia.
Septynios klaidos, kurias VDAI įvardijo
2024 metais Valstybinė duomenų apsaugos inspekcija atliko slapukų naudojimo stebėseną Lietuvos svetainėse, o 2025 m. balandžio 2 d. paskelbė apibendrinimą su gerosios ir blogosios praktikos pavyzdžiais. Dokumentas viešas ir jame yra ekrano nuotraukos. Verta perskaityti jį patiems, o žemiau, kas jame įvardyta kaip pažeidimas.
- Pirmame juostos lygyje nėra atsisakymo mygtuko. Kai naudojami nebūtini slapukai, mygtuko „Nesutinku“, „Atsisakau“ ar „Tik būtini slapukai“ nebuvimas šalia „Sutinku“ laikomas Elektroninių ryšių įstatymo ir BDAR pažeidimu.
- Nustatymuose iš anksto pažymėtos kategorijos. Paspaudus „Slapukų nustatymai“, rinkodaros ar statistikos langeliai negali būti pažymėti iš anksto. Iš anksto pažymėti gali būti tik būtinieji.
- Atsisakymas paslėptas tekste. Kai vienintelė alternatyva sutikimui yra žodis juostos tekste arba nuoroda už juostos ribų, į kurią dėmesio niekas neatkreipia.
- Mygtukų dizainas skatina sutikti. Ryškus „Sutinku“ ir blyškus, vos įskaitomas „Nesutinku“. Geriausia praktika, kurią VDAI įvardija tiesiai, yra vienodas mygtukų dizainas.
- Slapukai naudojami remiantis teisėtu interesu. Tai atskiras pažeidimo tipas apibendrinime. Slapukams teisinis pagrindas yra sutikimas, ir teisėtas interesas jo nepakeičia.
- Netinkamai priskirti būtinieji. Kai analitiniai ar nustatymų slapukai klasifikuojami kaip būtinieji, visas sutikimo valdymas tampa neteisingas.
- Nėra kaip atšaukti sutikimo. Reikia nuolat matomo būdo grįžti prie nustatymų, pavyzdžiui, slenkančios piktogramos arba nuorodos lengvai randamoje vietoje.
Straipsniuose apie slapukus įprasta pacituoti didžiausią įmanomą BDAR baudą. Mes to nedarysime, nes tas skaičius nieko nepasako apie tai, kas realiai nutinka Lietuvos smulkiajai įmonei.
Ką galima pasakyti tiksliai: VDAI skundus dėl slapukų nagrinėja ir sprendimus skelbia viešai. Pavyzdžiui, 2025 m. sausio 20 d. sprendimas Nr. 3R-64 yra būtent dėl slapukų naudojimo pagal 73 straipsnį, ir jame pažeidimų nenustatyta. Viešame sprendimų sąraše baudos konkrečiai už slapukus nematėme, todėl ir nerašome nė vieno skaičiaus. Realesnė rizika smulkiam verslui yra ne bauda, o nurodymas pašalinti pažeidimą ir tai, kad skundą dažniausiai parašo konkurentas arba nepatenkintas klientas.
Šaltinis: VDAI, „Slapukų naudojimo praktikos apibendrinimas“, 2025-04-02, parengtas pagal 2024 m. stebėsenos rezultatus; VDAI sprendimų sąrašas, 2025 m.; VDAI priminimas dėl slapukų ir kitų sekimo technologijų, 2026-07-23. Patikrinta 2026-08-20.
„Be slapukų“ nereiškia „be sekimo“
Pastaraisiais metais atsirado įrankių, kurie reklamuojasi kaip veikiantys be slapukų, todėl neva nereikalaujantys jokio sutikimo. Prie tokių priskiriami sekimo pikseliai, duomenų laikymas naršyklės vietinėje saugykloje ir įrenginio atpažinimas pagal jo savybes.
Europos duomenų apsaugos valdyba šitą klausimą uždarė. 2024 m. spalio 7 d. patvirtintose gairėse 2/2023 ji išaiškino, kokioms technologijoms taikoma e. privatumo direktyvos 5 straipsnio 3 dalis, ir atsakymas platesnis, nei tikisi dauguma:
- Taisyklė galioja informacijai, ne tik asmens duomenims. Tai reiškia, kad argumentas „mes nerenkame asmens duomenų“ šiuo atveju nieko nekeičia.
- Sekimo pikseliai patenka į taikymo sritį. Gairėse pikselių ir nuorodų sekimas nagrinėjamas kaip pirmas atskiras atvejis.
- Vietinė saugykla ir unikalūs identifikatoriai taip pat. Techninis būdas, kuriuo informacija atsiduria įrenginyje ar iš jo išsiunčiama, taisyklės nekeičia.
Praktinė išvada mažai įmonei viena. Slapukų pakeitimas pikseliu sutikimo pareigos nepanaikina. Jei kas nors siūlo sekimo sprendimą su pažadu, kad juostos nebereikės, verta paklausti, kas tiksliai įrašoma į lankytojo įrenginį ir kas iš jo nuskaitoma.
Šaltinis: Europos duomenų apsaugos valdyba, gairės 2/2023 dėl e. privatumo direktyvos 5 straipsnio 3 dalies techninės taikymo srities, 2.0 versija, patvirtinta 2024-10-07. Patikrinta 2026-08-20.
Antras kelias: neturėti nebūtinų slapukų
Visa aukščiau surašyta tvarka reikalinga tam, kad rinktumėte duomenis. Todėl prieš ją diegiant verta atsakyti į vieną klausimą: ar tuos duomenis kas nors realiai skaito.
Vizitinės kortelės tipo svetainėje, kurios tikslas yra vienas telefono skambutis arba viena užklausa, atsakymas dažnai yra ne. Analytics įdiegtas, nes taip įprasta, o į ataskaitas niekas neužeina nuo įdiegimo dienos. Tokiu atveju paprasčiausias sprendimas yra sekimo neturėti visai.
- Nereikia juostos. Nėra nebūtinų slapukų, nėra ir sutikimo. Puslapis atsidaro iškart, be lango per visą ekraną.
- Nereikia atšaukimo mechanizmo. Nėra ko atšaukti, todėl dingsta ir dažniausiai pamirštamas reikalavimas.
- Privatumo politikoje lieka vienas sakinys. Ir tai vienas stipriausių sakinių visame dokumente, nes jį galima patikrinti per pusę minutės.
- Svetainė kraunasi greičiau. Sekimo skriptai ir sutikimo įskiepiai yra vieni sunkiausių dalykų tipinėje smulkaus verslo svetainėje.
Prarandate lankytojų elgesio duomenis: kiek žmonių atsidarė, kuriuos puslapius skaitė, iš kur atėjo. Jei vykdote mokamą reklamą ir matuojate jos grąžą, arba turite parduotuvę, kurioje reikia matyti krepšelio kelią, analitika jums reikalinga ir šitas skyrius jums netinka.
Kas lieka be jokių slapukų: Google Search Console parodo, kokiomis frazėmis jūsų svetainė randama paieškoje, ir jai jokio kodo į lankytojo įrenginį rašyti nereikia. Serverio įrašai talpinimo skydelyje parodo apsilankymų skaičių, nes jie renkami serveryje, ne lankytojo telefone. O svarbiausias skaičius mažoje įmonėje vis tiek yra tas, kurio Analytics niekada ir nerodė: kiek žmonių paskambino ir kiek užsakė.
Tai ne universalus patarimas ir ne principas. Tai sprendimas, kurį priėmėme sau: šios svetainės privatumo politikoje skyrius apie slapukus yra vienas sakinys, nes nebūtinų slapukų čia nėra nė vieno. Galite pasitikrinti tuo pačiu būdu, kuris aprašytas trečiame skyriuje.
Kontrolinis sąrašas
Dešimt punktų. Pirmi trys svarbesni už likusius septynis, nes be jų likusieji nieko nekeičia.
- 1Niekas nepasileidžia prieš sutikimąPatikrinta „Network“ kortelėje, nespaudus juostos.
- 2Būtinieji slapukai yra tikrai būtiniejiAnalitika ir rinkodara prie jų nepriskirtos.
- 3Sekimo kodo nėra temos antraštėjeJis valdomas per sutikimo įrankį, o ne įklijuotas rankomis.
- 4„Nesutinku“ yra pirmame lygyjeŠalia „Sutinku“, ne po dviejų paspaudimų.
- 5Mygtukai vienodo dizainoVienodas dydis, kontrastas ir ryškumas.
- 6Nustatymuose iš anksto pažymėti tik būtiniejiRinkodara ir statistika neaktyvios, kol lankytojas jų neįjungia.
- 7Sutikimą galima atšaukti bet kadaNuolat pasiekiama nuoroda arba piktograma.
- 8Pateiktas slapukų sąrašas ir jų tikslaiRūšys, renkama informacija, saugojimo terminas.
- 9Pasakyta apie duomenų perdavimą už Europos Sąjungos ribųNaudojant Google ar Meta įrankius duomenys perduodami į Jungtines Valstijas, ir apie tai reikia informuoti.
- 10Arba nė vieno nebūtino slapukoTada devyni punktai aukščiau netaikomi.
Nesirinkome konkretaus sutikimo įrankio ir nelyginome jų tarpusavyje, nes tinkamas įrankis priklauso nuo to, kuo svetainė padaryta. Bendrieji reikalavimai bet kuriai verslo svetainei surašyti straipsnyje „Ką verslo svetainė privalo turėti pagal įstatymą“, o tai, ką apie slapukus rašyti pačiame dokumente, straipsnyje „Privatumo politika: ką joje realiai parašyti“. Jei parduodate internetu, atskirai verta „El. parduotuvės taisyklės ir 14 dienų teisė“, o kam priklauso pati svetainė, jos domenas ir kodas: „Kam priklauso jūsų svetainė“.
Nesame teisininkai ir tai nėra teisinė konsultacija. Slapukų sutikimo įrankių taip pat neplatiname ir jais neprekiaujame, tad čia nieko neparduodame. Šis tekstas surinktas iš pirminių šaltinių: įstatymo teksto, VDAI apibendrinimo ir Europos duomenų apsaugos valdybos gairių, ne iš kitų straipsnių apie slapukus. Patikrą iš trečio skyriaus einame patys prieš kiekvieną svetainę, kurią perduodame klientui.
Įstatymai keičiasi. Jei skaitote tai po metų, spauskite nuorodas ir pasitikrinkite. Būtent todėl datos čia ir yra.
Nesate tikri, ar jūsų svetainėje kas nors pasileidžia per anksti
Atsiųskite nuorodą. Pasitikrinsime ir parašysime, kas pasileidžia prieš sutikimą ir iš kurios vietos. Nemokamai ir be įpareigojimų, net jei svetainės pas mus nedarysite.
Parašyti užklausą labas@arbitas.lt