Pravila EU-a o kolačićima: Direktiva o e-privatnosti i OUZP

Odakle dolazi pravilo EU-a o kolačićima

Pravilo koje većina ljudi naziva „zakonom EU-a o kolačićima” jest članak 5. stavak 3. Direktive o e-privatnosti (Direktiva 2002/58/EZ). Otkad je izmijenjen Direktivom 2009/136/EZ, propisuje da je spremanje informacija na uređaj korisnika ili pristup informacijama koje su ondje već spremljene dopušteno samo ako je korisnik dao privolu nakon što je dobio jasne i potpune informacije. Države članice morale su izmijenjeno pravilo primjenjivati od 25. svibnja 2011.

Postoje dvije iznimke. Privola nije potrebna za spremanje ili pristup koji se koristi:

• isključivo za prijenos komunikacije putem mreže ili
• je strogo nužan za pružanje usluge koju je korisnik izričito zatražio, kao što su košarica, prijava ili spremanje posjetiteljeva izbora kolačića.

Za sve ostalo, kao što su analitika, oglašavanje, retargeting i pikseli društvenih mreža, načelno je potrebna privola. Neka nacionalna nadzorna tijela dopuštaju uske iznimke za mjerenje posjećenosti koje poštuje privatnost; Hrvatska takvu iznimku nema. Provjeri vodiče po zemljama u nastavku.

Ne samo kolačići

Pravilo je tehnološki neutralno. U svojim Smjernicama 2/2023 o tehničkom opsegu članka 5. stavka 3., konačno donesenima u listopadu 2024., Europski odbor za zaštitu podataka (EDPB) objašnjava da ono obuhvaća i piksele za praćenje, poveznice za praćenje, lokalnu pohranu, određene oblike fingerprintinga i slične tehnike. Više u vodiču Što su kolačići?

Kako ga primjenjuju države članice

Budući da je riječ o direktivi, svaka država članica unijela je pravilo u vlastito zakonodavstvo i svaka ima vlastito nadzorno tijelo. Nekoliko primjera:

Razlike su u pojedinostima: jesu li cookie wallovi dopušteni, koliko dugo treba pamtiti izbor, može li analitika biti izuzeta i koliko su visoke kazne. Naš vodič o kaznama za kolačiće opisuje stranu nadzora.

Kako je to u Hrvatskoj

U Hrvatskoj je pravilo preneseno u članak 43. stavak 4. Zakona o elektroničkim komunikacijama (NN 76/22; ranije članak 100. stavak 4. zakona iz 2008.). Zakon poznaje samo dvije iznimke iz direktive, tehničku pohranu radi prijenosa i ono što je nužno za uslugu koju je korisnik izričito zatražio, pa posebne iznimke za analitiku nema. Inspekcijski nadzor nad zakonom provodi HAKOM, a AZOP nadzire OUZP; oba tijela mogu narediti prestanak povrede. AZOP je objavio detaljnu preporuku o tome kako mora izgledati banner za kolačiće i zbog kolačića je već izrekao novčane kazne. Sve o tome pročitaj u vodiču Kolačići u Hrvatskoj.

Što dodaje OUZP

Direktiva o e-privatnosti sama ne definira privolu; upućuje na definiciju iz propisa o zaštiti podataka, danas Opće uredbe o zaštiti podataka (OUZP). Zato privola za kolačiće mora biti:

• Dobrovoljna: stvaran izbor, bez pritiska. Pristup web-stranici u pravilu ne bi smio ovisiti o prihvaćanju praćenja; pogledaj Cookie wall.
• Posebna: po svrsi, dakle ne jedno „prihvati” za sve bez mogućnosti izbora.
• Informirana: posjetitelj zna tko postavlja koje kolačiće, u koju svrhu i na koliko dugo.
• Nedvosmislena: dana jasnom, aktivnom radnjom. Šutnja, pomicanje stranice ili nastavak pregledavanja nisu privola.

Posjetitelj također mora moći povući privolu jednako lako kao što ju je dao.

Kad kolačići obrađuju osobne podatke, što kolačići za praćenje gotovo uvijek rade, OUZP se primjenjuje i na tu obradu: trebaš pravnu osnovu, moraš pružiti informacije i poštovati prava ispitanika.

Planet49: ključni sudski predmet

U predmetu Planet49 (predmet C-673/17, 1. listopada 2019.) Sud EU-a presudio je:

• da unaprijed označen okvir nije valjana privola;
• da zahtjev za privolom vrijedi bez obzira na to jesu li informacije osobni podaci;
• da informacije za korisnike moraju uključivati koliko dugo kolačići traju i mogu li im treće strane pristupiti.

Što se mijenja, a što ne

Uredba o e-privatnosti je povučena

Komisija je 2017. predložila Uredbu o e-privatnosti koja je trebala zamijeniti direktivu. Nakon godina bez dogovora najavila je njezino povlačenje u svom programu rada za 2025., a povlačenje je objavljeno u Službenom listu 6. listopada 2025. Direktiva o e-privatnosti stoga i dalje vrijedi.

Digitalni omnibus je prijedlog, a ne zakon

Komisija je 19. studenoga 2025. predstavila Digitalni omnibus (postupak 2025/0360(COD)). Među ostalim, predlaže da se pravila o pristupu uređajima koja uključuju osobne podatke premjeste iz Direktive o e-privatnosti u OUZP, da se uvede obvezna mogućnost odbijanja jednim klikom, da web-stranice poštuju izbor najmanje šest mjeseci, da korisnici mogu središnje postaviti svoje izbore (primjerice u pregledniku) te da se određene upotrebe niskog rizika, kao što je brojanje posjeta, izuzmu od privole.

U listopadu 2026. to je i dalje prijedlog: odbori Europskog parlamenta rade na svom izvješću, a Vijeće još nije usvojilo stajalište. Države članice i zastupnici predložili su izmjene, pa konačni tekst može izgledati drukčije. Dok ne bude donesen i dok se ne počne primjenjivati, gore navedeni nacionalni propisi o kolačićima ostaju na snazi.

Ujedinjeno Kraljevstvo je zasebno

Od Brexita Ujedinjeno Kraljevstvo ima vlastita pravila: pravilo 6. PECR-a zajedno s UK GDPR-om, a nadzor provodi ICO. Zakon Data (Use and Access) Act 2025 dodao je nove iznimke, primjerice za dio analitike, koje u EU-u ne postoje. Pogledaj UK cookie law (na engleskom).

Kako biti usklađen u cijelom EU-u

1. Skeniraj svoju web-stranicu u potrazi za svakim kolačićem, pikselom i skriptom, uključujući one iz dodataka i ugrađenog sadržaja.
2. Blokiraj sve što treba privolu dok posjetitelj ne pristane.
3. Ponudi stvaran izbor: „Prihvati” i „Odbij” jednako vidljivo na prvoj razini i postavke po svrsi.
4. Jasno informiraj u banneru i u politici kolačića.
5. Olakšaj povlačenje, primjerice putem poveznice na svakoj stranici.
6. Čuvaj dokaz svake privole.
7. Slijedi najstroža pravila tamo gdje imaš posjetitelje ili koristi geografska pravila po zemlji.
8. Koristi Google Consent Mode v2 ako koristiš Google Ads ili Analytics; pogledaj Google Consent Mode v2 objašnjen.

Cookie Confirm pokriva te korake: mjesečno skeniranje s neograničenim ponovnim skeniranjima, skripte blokirane do privole, geografska pravila po zemlji, banner u stilu tvog brenda prikazan na jeziku posjetitelja (više od 29 jezika), izjavu o kolačićima generiranu iz skeniranja i evidenciju privola koja se čuva 12 mjeseci. Za 7,95 € po web-stranici mjesečno, uz besplatnu probu od 7 dana.

Izvori

• EUR-Lex: Direktiva 2002/58/EZ (Direktiva o e-privatnosti)
• EUR-Lex: Direktiva 2009/136/EZ
• EUR-Lex: Uredba (EU) 2016/679 (OUZP)
• Sud EU-a: predmet C-673/17, Planet49 (1. listopada 2019.)
• EDPB: Smjernice 2/2023 o tehničkom opsegu članka 5. stavka 3. Direktive o e-privatnosti
• EDPB: Smjernice 05/2020 o privoli
• Vijeće EU-a: informativna bilješka o povučenim prijedlozima Komisije, SL C/2025/5423 (listopad 2025.)
• EUR-Lex: postupak 2017/0003(COD), Uredba o e-privatnosti
• Europska komisija: Digitalni paket (Digitalni omnibus), česta pitanja
• Zakonodavni opservatorij Europskog parlamenta: postupak 2025/0360(COD)
• Narodne novine: Zakon o elektroničkim komunikacijama, NN 76/2022 (članak 43. stavak 4. i članak 51.)
• AZOP: Obrada osobnih podataka putem kolačića i pružanje informacija ispitanicima (preporuka)
• Wetten.nl: Telecommunicatiewet, članak 11.7a
• Gesetze im Internet: § 25 TDDDG
• CNIL: Loi Informatique et Libertés (članak 82.)
• Garante privacy: Codice in materia di protezione dei dati personali
• BOE: Ley 34/2002 (LSSI)