Kolačići u Hrvatskoj: što traže ZEK i OUZP

Koji propis uređuje kolačiće?

U Hrvatskoj pravilo o kolačićima nije u zasebnom zakonu, nego u članku 43. stavku 4. Zakona o elektroničkim komunikacijama (ZEK, NN 76/22, s kasnijim izmjenama). Njime je u hrvatsko pravo prenesen članak 5. stavak 3. europske Direktive o e-privatnosti. Prema toj odredbi, pohrana podataka ili pristup već pohranjenim podacima u terminalnoj opremi korisnika, dakle na računalu, mobitelu ili tabletu, dopušteni su samo ako je korisnik dao privolu nakon što je dobio jasnu i potpunu obavijest, osobito o svrhama obrade.

Prije 2022. isto je pravilo bilo u članku 100. stavku 4. ranijeg Zakona o elektroničkim komunikacijama. Zato ga starije odluke i tekstovi navode pod tim brojem.

Zakon predviđa dvije iznimke. Privola nije potrebna za:

• tehničku pohranu ili pristup isključivo radi prijenosa komunikacije putem mreže;
• ono što je nužno za pružanje usluge informacijskog društva koju je korisnik izričito zatražio, kao što su košarica u web-trgovini ili prijava u korisnički račun.

Pravilo je tehnološki neutralno. Ne odnosi se samo na kolačiće nego i na lokalnu pohranu, piksele za praćenje i slične tehnike, kako objašnjava i Europski odbor za zaštitu podataka (EDPB) u Smjernicama 2/2023. Vrijedi i kad podaci nisu osobni podaci: HAKOM se u svom rješenju iz 2019. pozvao upravo na presudu Suda EU-a u predmetu Planet49.

Kad kolačići obrađuju osobne podatke, a kolačići za praćenje i analitiku to gotovo uvijek rade, primjenjuje se i Opća uredba o zaštiti podataka (OUZP). AZOP naglašava da se za takve kolačiće ne možeš pozvati na legitimni interes: pravna osnova je, osim u iznimkama iz zakona, isključivo privola.

Koji kolačići smiju bez privole?

Popis kolačića koje AZOP smatra izuzetima od privole temelji se na Mišljenju 04/2012 europske Radne skupine iz članka 29.: kolačići za unos korisnika, za autentifikaciju, sigurnosni kolačići, sesijski kolačići multimedijskog playera i za raspodjelu opterećenja te, za prijavljene članove, kolačići za dijeljenje sadržaja na društvenim mrežama. AZOP dodaje važnu napomenu: kolačić ostaje izuzet samo ako ima jednu od tih funkcija. Koristi li se isti kolačić i za, primjerice, personalizirano oglašavanje, za njega treba privola.

Za razliku od, primjerice, Francuske ili Nizozemske, Hrvatska nema posebnu iznimku za analitiku. Zakon poznaje samo dvije gore navedene iznimke, a AZOP piše da se analitički, marketinški i drugi kolačići koji nisu tehnički nužni ne smiju postaviti ni aktivirati prije nego što posjetitelj da valjanu privolu. Više o vrstama kolačića pročitaj u vodiču Što su kolačići?

Kako mora izgledati banner za kolačiće?

AZOP je u svojoj preporuci o obradi osobnih podataka putem kolačića (ažuriranoj u kolovozu 2024.) i u mišljenju iz kolovoza 2026. vrlo konkretan:

• Na prvoj razini „Prihvaćam” i „Odbijam”. Posjetitelj mora moći na jednostavan način, u jednom koraku, prihvatiti ili odbiti sve kolačiće. Banner s jednim gumbom „Prihvaćam” ili „OK” nije dovoljan.
• Jednak dizajn. Opcije „Odbijam kolačiće” i „Prihvaćam kolačiće” moraju biti oblikovane na isti način. AZOP kao primjere manipulativnog dizajna navodi gumb „Prihvaćam” istaknut bojom i unaprijed označene opcije.
• Postavke po svrsi. Ponudi i „Postavke kolačića”, gdje posjetitelj bira kategorije, primjerice analitiku i marketing. Sve osim nužnih kolačića u postavkama je isključeno dok ih posjetitelj sam ne uključi. Jedna privola za sve vrste kolačića nije valjana.
• Zatvaranje znači odbijanje. AZOP preporučuje oznaku X kojom posjetitelj zatvara banner, nakon čega stranica ne obrađuje njegove podatke putem kolačića, a on je normalno nastavlja koristiti.
• Ništa prije izbora. Dok posjetitelj ne da privolu, na uređaju smiju biti samo kolačići kojima privola nije potrebna. Šutnja, nastavak pregledavanja i unaprijed označene opcije nisu privola.
• Povlačenje jednako jednostavno. Poveznica na postavke kolačića treba biti u podnožju svake stranice, tako da posjetitelj u svakom trenutku može promijeniti izbor.
• Odbijanje bez posljedica. Odbijanje kolačića ne smije posjetitelju onemogućiti pristup osnovnom sadržaju i funkcijama stranice. Više u vodiču Cookie wall.

Uz banner trebaš i obavijest o kolačićima, kao dio politike privatnosti ili kao zaseban dokument. AZOP navodi što ona najmanje mora sadržavati, od identiteta voditelja obrade i svrhe svakog kolačića do primatelja i trajanja. Pogledaj naš predložak politike kolačića.

Tko provodi nadzor?

U Hrvatskoj su za kolačiće nadležna dva tijela:

• Hrvatska regulatorna agencija za mrežne djelatnosti (HAKOM) provodi inspekcijski nadzor nad primjenom Zakona o elektroničkim komunikacijama, pa tako i nad člankom 43. stavkom 4.
• Agencija za zaštitu osobnih podataka (AZOP) nadzorno je tijelo za OUZP, prema članku 4. Zakona o provedbi Opće uredbe o zaštiti podataka.

Članak 51. ZEK-a izričito omogućuje i HAKOM-u i AZOP-u da odlukom narede prestanak povrede pravila o povjerljivosti komunikacija, uključujući pravilo o kolačićima. U praksi su dosadašnje novčane kazne zbog kolačića koje smo pronašli došle od AZOP-a, na temelju OUZP-a.

Kakve su odluke već donesene?

HAKOM, studeni 2019. Nakon prijava korisnika HAKOM-ov inspektor utvrdio je da je jedno trgovačko društvo kolačiće postavljalo bez valjane privole. Banner je tvrdio da posjetitelj „pritiskom na bilo koju poveznicu” prihvaća kolačiće. HAKOM je naložio da društvo u roku od 30 dana jasno navede vrste kolačića, njihovu svrhu i trajanje te da za svaku vrstu kolačića omogući prethodnu privolu, uz najavu novčane kazne odgovornoj osobi ako to ne učini.

AZOP, 2023. i 2024. AZOP je provjeravao web-stranice po službenoj dužnosti, služeći se alatom Website Evidence Collector Europskog nadzornika za zaštitu podataka (EDPS). Na stranicama triju priređivača igara na sreću utvrdio je da se kolačići Google Analyticsa i Facebooka postavljaju već pri učitavanju stranice, prije bilo kakvog izbora, da banner ne omogućuje zasebnu privolu po svrsi i da obavijest o kolačićima ne navodi pravnu osnovu, svrhu ni trajanje kolačića. Izrekao je kazne od 30.000 eura (25. kolovoza 2023.), 20.000 eura (28. kolovoza 2023.) i 20.000 eura (26. veljače 2024.). Pojedinosti su u vodiču Kazne za kolačiće.

Za prekršaj iz članka 43. stavka 4. ZEK propisuje novčanu kaznu od 13.270 do 132.720 eura za pravnu osobu. Prema OUZP-u kazna za nevaljanu privolu može doseći 20 milijuna eura ili 4 % ukupnog svjetskog godišnjeg prometa.

Odgovoran si ti, a ne tvoj web dizajner

AZOP je u kolovozu 2026. odgovorio vlasnici stranice kojoj je web dizajner postavio banner sa samo jednim gumbom „Prihvaćam”, a u politici kolačića naveo analitičke i marketinške kolačiće za koje nije znala. Poruka je jasna: vlasnik web-stranice u pravilu je voditelj obrade, a to što je stranicu izradio netko drugi ne oslobađa ga odgovornosti. Moraš znati koji su kolačići i alati na stranici, koje podatke prikupljaju, u koje svrhe i kome ih šalju. Politika kolačića mora opisivati stvarno stanje, a ne tekst prepisan s druge stranice.

Kako uskladiti svoju web-stranicu

1. Utvrdi koje kolačiće i alate stranica stvarno koristi, uključujući one iz dodataka, ugrađenih videozapisa i oznaka kao što su Google Analytics i Meta Pixel. AZOP preporučuje i besplatni alat EDPB-a za provjeru web-stranica.
2. Ukloni ono što ti ne treba. Ako koristiš samo nužne kolačiće, banner za privolu ti ne treba, ali obavijest o kolačićima mora biti točna.
3. Razvrstaj ostalo po svrsi: nužni, funkcionalni, statistički i marketinški.
4. Postavi banner s „Prihvaćam” i „Odbijam” jedan pored drugoga na prvoj razini, jednako istaknutima, i s postavkama po kategoriji.
5. Blokiraj sve kolačiće kojima treba privola dok posjetitelj ne pristane i drži ih blokiranima nakon odbijanja.
6. Koristiš li Google Ads ili Google Analytics, prosljeđuj izbor posjetitelja putem Google Consent Mode v2.
7. Objavi obavijest o kolačićima sa svim kolačićima, njihovom svrhom, trajanjem i pružateljem, s poveznicom u podnožju svake stranice.
8. Čuvaj dokaz privole, jer prema OUZP-u moraš moći dokazati da je posjetitelj pristao.

Cookie Confirm pomaže u koracima 1 i 3 do 8: skener svaki mjesec (i kad god želiš) pronalazi kolačiće na tvojoj stranici, banner blokira skripte do privole i prosljeđuje izbor u Google Consent Mode v2, obavijest o kolačićima generira se iz skeniranja, a svaka se privola čuva 12 mjeseci. Za 7,95 € po web-stranici mjesečno, uz besplatnu probu od 7 dana.

Izvori

• Narodne novine: Zakon o elektroničkim komunikacijama, NN 76/2022 (članci 43., 51., 161., 162. i 170.)
• Narodne novine: Zakon o provedbi Opće uredbe o zaštiti podataka, NN 42/2018 (članci 4., 44. i 47.)
• EUR-Lex: Uredba (EU) 2016/679 (OUZP), članci 4., 6., 7., 13. i 83.
• EUR-Lex: Direktiva 2002/58/EZ (Direktiva o e-privatnosti), članak 5. stavak 3.
• AZOP: Obrada osobnih podataka putem kolačića i pružanje informacija ispitanicima (preporuka, ažurirano 6. kolovoza 2024.)
• AZOP: Obrada osobnih podataka putem kolačića i usklađivanje s Općom uredbom o zaštiti podataka (mišljenje, 14. kolovoza 2026.)
• AZOP: Obrada osobnih podataka putem kolačića (eng. cookies)
• AZOP: Vodič o obradi osobnih podataka putem kolačića
• AZOP: Upravne novčane kazne zbog nezakonite obrade osobnih podataka putem kolačića (14. rujna 2023.)
• AZOP: Obrada osobnih podataka putem kolačića, upravne novčane kazne (rješenja)
• HAKOM: Rješenje o privoli krajnjih korisnika za pohranjivanje kolačića (4. studenoga 2019., PDF)
• Radna skupina iz članka 29.: Mišljenje 04/2012 o izuzeću od privole za kolačiće
• EDPB: Smjernice 2/2023 o tehničkom opsegu članka 5. stavka 3. Direktive o e-privatnosti
• EDPB: Alat za provjeru web-stranica (website auditing tool)
• Sud EU-a: predmet C-673/17, Planet49
• Zakonodavni opservatorij Europskog parlamenta: postupak 2025/0360(COD), Digitalni omnibus