Google Analytics i OUZP: smiješ li ga koristiti u Hrvatskoj?

Treba li Google Analytics privolu?

Na Google Analytics 4 primjenjuju se dva različita skupa pravila i korisno ih je držati odvojenima:

1. Pravilo o kolačićima. U Hrvatskoj je to članak 43. stavak 4. Zakona o elektroničkim komunikacijama, kojim je prenesen članak 5. stavak 3. Direktive o e-privatnosti. GA4 sprema kolačiće kao što je _ga, s jedinstvenim ID-om i trajanjem od dvije godine, u preglednik posjetitelja. Za to treba privola, osim ako se primjenjuje neka od dviju zakonskih iznimki.
2. OUZP. GA4 obrađuje osobne podatke, kao što su ID-ovi kolačića i podaci o uređaju. To traži pravnu osnovu, transparentnost i, kad podaci napuštaju Europu, valjan mehanizam prijenosa.

Zakon izuzima od privole samo tehničku pohranu radi prijenosa komunikacije i ono što je nužno za uslugu koju je posjetitelj izričito zatražio. Neke zemlje EU-a, primjerice Francuska i Nizozemska, dopuštaju mjerenje posjećenosti bez privole pod strogim uvjetima. Hrvatska takvu iznimku nema. AZOP-ov popis kolačića izuzetih od privole ne uključuje analitičke kolačiće, a u mišljenju iz kolovoza 2026. AZOP piše da se analitički, marketinški i drugi kolačići koji nisu tehnički nužni ne smiju postaviti ni aktivirati prije nego što korisnik da valjanu privolu. AZOP tamo Google Analytics izričito navodi među alatima koje vlasnik stranice treba provjeriti.

Za privolu za kolačiće ne možeš se osloniti ni na legitimni interes: prema AZOP-u pravna osnova za takve kolačiće je, osim u zakonskim iznimkama, isključivo privola.

Što je AZOP već kaznio

AZOP je 2023. i 2024. kaznio tri priređivača igara na sreću s 20.000 i 30.000 eura (pojedinosti u vodiču Kazne za kolačiće). U sva tri predmeta AZOP je, služeći se alatom za prikupljanje dokaza Europskog nadzornika za zaštitu podataka, utvrdio da se kolačići Google Analyticsa (_ga, a u nekima i _gid i _gat) postavljaju već pri učitavanju stranice, prije nego što je posjetitelj išta odabrao. Uz to banneri nisu omogućavali zasebnu privolu za statistiku i marketing, a obavijesti o kolačićima nisu navodile pravnu osnovu, svrhu ni trajanje pojedinog kolačića.

Pouka je jednostavna: Google Analytics smije početi mjeriti tek nakon što posjetitelj pristane na statističke kolačiće, i to zasebno od marketinških.

Što su nadzorna tijela odlučila 2022.

Nakon pritužbi organizacije za zaštitu privatnosti noyb nekoliko europskih nadzornih tijela ispitalo je Google Analytics, tada još stariji Universal Analytics. Austrijsko tijelo, francuski CNIL (veljača 2022.) i talijanski Garante (lipanj 2022.) bili su među onima koji su utvrdili da su određene web-stranice prenosile osobne podatke Googleu u SAD bez odgovarajuće zaštite od pristupa američkih obavještajnih službi. Naložili su tim web-stranicama da svoju upotrebu usklade ili je prekinu.

Ključni problem bio je prijenos u SAD, a ne analitika kao takva. Sud EU-a poništio je raniji Privacy Shield 2020. (Schrems II), a nadzorna tijela utvrdila su da Googleove dodatne mjere nisu dovoljne. Na stranicama AZOP-a nismo pronašli zasebnu odluku o Google Analyticsu i prijenosima u SAD.

Što se promijenilo s Okvirom za privatnost podataka

Europska komisija donijela je 10. srpnja 2023. odluku o primjerenosti za Okvir za privatnost podataka EU-a i SAD-a (DPF). Američke tvrtke koje se certificiraju u skladu s njim smiju primati osobne podatke iz EU-a bez dodatnih alata za prijenos. AZOP to objašnjava na svojim stranicama: prijenosi organizacijama s popisa sudionika DPF-a mogu se temeljiti na odluci o primjerenosti, bez standardnih ugovornih klauzula i dodatnih mjera. Google LLC je certificiran, a Google navodi da se za svoje proizvode za oglašavanje i analitiku oslanja na DPF.

Okvir je osporavan. Opći sud EU-a odbio je 3. rujna 2025. tužbu francuskog zastupnika Philippea Latombea (predmet T-553/23) i potvrdio da su SAD u trenutku donošenja DPF-a pružale odgovarajuću zaštitu. Latombe je podnio žalbu Sudu (predmet C-703/25 P). U listopadu 2026. ta je žalba u tijeku. Ako DPF padne, pitanje prijenosa se vraća.

Što GA4 radi s podacima

Prema Googleovoj vlastitoj dokumentaciji:

• IP adrese: GA4 ne bilježi i ne sprema IP adrese. Za korisnike u EU-u, UK-u i Švicarskoj IP adresa se na poslužiteljima u EU-u koristi za određivanje približne lokacije, a zatim se odbacuje.
• Uvjeti obrade podataka: Google za Google Analytics djeluje kao izvršitelj obrade na temelju Uvjeta obrade podataka za Google Ads (Google Ads Data Processing Terms). U odjeljku Administrator, pod Postavke računa, provjeri jesu li prihvaćeni.
• Značajke oglašavanja: ako uključiš Google signale ili značajke oglašavanja, ili povežeš Analytics s Google Adsom, podaci se koriste i za oglašavanje. Google navodi da si tada ti jedini voditelj obrade za te značajke. To uvijek traži privolu.
• Regionalne postavke: Google signale i detaljne podatke o lokaciji i uređaju možeš isključiti po regiji.

To su korisne mjere, ali ne mijenjaju polazište: kolačić _ga prepoznaje posjetitelja po jedinstvenom ID-u, a za to u Hrvatskoj trebaš privolu.

Alternative

Neki vlasnici web-stranica prelaze na alate koji se mogu konfigurirati tako da prikupljaju manje podataka ili da podatke sami hostaju, kao što je Matomo. U Hrvatskoj to ne uklanja potrebu za privolom: ako alat sprema ili čita podatke na uređaju posjetitelja radi mjerenja, primjenjuje se isto pravilo. Prednost može biti u tome što manje podataka odlazi trećim stranama i izvan EU-a. Navedi i te alate u svojoj politici kolačića.

U praksi

1. Blokiraj GA4 do privole, sa statistikom kao zasebnom kategorijom u banneru i „Odbijam” pored „Prihvaćam” na prvoj razini.
2. Koristi Google Consent Mode v2, tako da GA4 poštuje izbor i može modelirati podatke za posjetitelje koji odbiju, s analytics_storage zadano na „denied”. Pogledaj Google Consent Mode v2 objašnjen.
3. Isključi značajke koje ne koristiš, kao što su Google signali i povezivanje s oglašivačkim proizvodima, ili i za njih zatraži privolu.
4. Provjeri Uvjete obrade podataka u postavkama računa Google Analyticsa.
5. Navedi Google Analytics u svojoj politici kolačića i obavijesti o privatnosti, s kolačićima, svrhom, trajanjem, pravnom osnovom i prijenosom u SAD. Pogledaj predložak politike kolačića.

Cookie Confirm blokira Google Analytics do privole, šalje sva četiri signala Consent Modea i generira politiku kolačića iz skeniranja tvoje web-stranice, dakle i s kolačićima Google Analyticsa. Više o hrvatskim pravilima pročitaj u vodiču Kolačići u Hrvatskoj.

Izvori

• Narodne novine: Zakon o elektroničkim komunikacijama, NN 76/2022 (članak 43. stavak 4.)
• AZOP: Obrada osobnih podataka putem kolačića i usklađivanje s Općom uredbom o zaštiti podataka (mišljenje, 14. kolovoza 2026.)
• AZOP: Obrada osobnih podataka putem kolačića i pružanje informacija ispitanicima (preporuka)
• AZOP: Obrada osobnih podataka putem kolačića (eng. cookies)
• AZOP: Obrada osobnih podataka putem kolačića, upravne novčane kazne (rješenja)
• AZOP: Prijenos osobnih podataka u Sjedinjene Američke Države
• Direktiva 2002/58/EZ o e-privatnosti (pročišćeni tekst), članak 5. stavak 3.
• CNIL: Korištenje Google Analyticsa i prijenosi podataka u SAD
• Garante: odluka o Google Analyticsu od 9. lipnja 2022. (priopćenje za medije od 23. lipnja 2022.)
• Europska komisija: odluka o primjerenosti za Okvir za privatnost podataka EU-a i SAD-a
• Data Privacy Framework: Google LLC na popisu sudionika
• Sud EU-a: predmet T-553/23 i žalba C-703/25 P, Latombe protiv Komisije
• Google: proizvodi za oglašavanje i analitiku, međunarodni prijenosi podataka
• Pomoć za Google Analytics: podaci i privatnost usmjereni na EU, Švicarsku ili UK
• Pomoć za Google Analytics: Uvjeti obrade podataka
• Pomoć za Google Analytics: kolačići Google Analyticsa 4