22. srpnja 2026. / 7 min čitanja
GDPR i kolačići za mali obrt: što stvarno trebate
Pravilo ne ovisi o tome imate li banner, nego o tome koje kolačiće postavljate. Evo kako razlikovati jedno od drugog.
Oko kolačića se stvorila zbrka u kojoj svatko stavlja banner jer ga svi imaju, a malo tko zna zašto. Pravilo je jednostavnije nego što izgleda i svodi se na jedno pitanje: postavlja li vaša stranica kolačiće koji nisu nužni za njezin rad.
Dvije vrste kolačića
Nužni kolačići su oni bez kojih stranica ne radi: sesija prijavljenog korisnika, sadržaj košarice, zapamćen jezik, podatak da ste već vidjeli obavijest. Za njih privola nije potrebna. Dovoljno ih je opisati u pravilima privatnosti.
Sve ostalo, analitika, marketinški pikseli, remarketing, ugrađeni videi i karte koje postavljaju vlastite kolačiće, traži privolu prije postavljanja. Ne nakon, nego prije: kolačić se ne smije postaviti dok korisnik ne pristane.
Zašto banner samo s gumbom Prihvati često nije u redu
Ako postavljate kolačiće koji nisu nužni, korisnik ih mora moći odbiti jednako lako kao što ih prihvaća. Banner koji nudi samo Prihvati, ili koji ima unaprijed označenu kvačicu, nije valjana privola. AZOP je to jasno naveo u svojim uputama o kolačićima.
To nije teorija. AZOP je izrekao kazne zbog kolačića: dvjema tvrtkama iz djelatnosti kockanja i klađenja 20.000 i 30.000 eura. Riječ je o stranicama koje su koristile marketinške i analitičke kolačiće uz banner koji nije nudio pravi izbor.
Primjer: ova stranica
Stranica koju upravo čitate sprema tri stvari: podatak da ste vidjeli obavijest, odabrani jezik i oznaku da ste u ovoj sesiji već bili na stranici. Nema analitike, nema marketinških piksela, fontovi su na našem serveru pa se ne učitavaju s tuđeg. Sve troje je nužno za rad stranice.
Zato obavijest ima samo gumb za potvrdu: nema se što odbiti jer se ništa neobavezno ne postavlja. Da smo dodali Google Analytics, ista bi obavijest odjednom postala neispravna i trebala bi pravi izbor.
Banner ne čini stranicu usklađenom. Usklađenost dolazi iz toga što stranica radi, a banner samo to opisuje.
Što mali obrt stvarno treba
- Popis kolačića koje stranica stvarno postavlja, provjeren, ne prepisan s tuđe stranice
- Pravila privatnosti koja navode tko obrađuje podatke, na kojoj pravnoj osnovi i koliko dugo se čuvaju
- Imenovane izvršitelje obrade: uslugu preko koje ide kontakt obrazac, hostera, alat za newsletter
- Privolu uz kontakt obrazac, s kvačicom koja nije unaprijed označena
- Obavijest o kolačićima koja nudi pravi izbor ako postavljate išta osim nužnog
- AZOP naveden kao nadzorno tijelo, s adresom
Najčešća greška
Prepisana pravila privatnosti s tuđe stranice. Takav tekst obično navodi alate koje ne koristite, a prešućuje one koje koristite. Netočna izjava gora je od nepotpune, jer tvrdi nešto što se lako provjeri. Ako u pravilima piše da ne dijelite podatke s trećima, a kontakt obrazac ide preko vanjske usluge, to nije točno.
FAQ
Česta pitanja
Ne morate tražiti privolu ako postavljate samo nužne kolačiće. Kratka obavijest s poveznicom na pravila privatnosti je korisna jer pokazuje da znate što radite, ali nije obveza u smislu privole.
Oni obično postavljaju vlastite kolačiće čim se učitaju, pa tada trebate privolu prije učitavanja. Rješenje je učitati ih tek nakon pristanka, ili kartu zamijeniti slikom i poveznicom.
Zakonski maksimum od 20 milijuna eura odnosi se na najteže povrede velikih obrađivača i nije realan scenarij za mali obrt. U praksi AZOP prvo upozorava i nalaže usklađivanje. Kazne koje su izrečene zbog kolačića bile su u redu veličine desetaka tisuća eura i ticale su se tvrtki s velikim prometom podataka.