Tko te može kazniti zbog kolačića?
U Hrvatskoj se istodobno primjenjuju dva propisa i za svaki je nadležno drugo tijelo:
- Zakon o elektroničkim komunikacijama (ZEK), članak 43. stavak 4. Ondje je pravilo o kolačićima: spremanje podataka na uređaj posjetitelja ili njihovo čitanje dopušteno je samo uz privolu, osim kad je tehnički nužno. Nadzor provodi Hrvatska regulatorna agencija za mrežne djelatnosti (HAKOM), čiji inspektori nadziru primjenu ZEK-a. Više u vodiču Kolačići u Hrvatskoj.
- Opća uredba o zaštiti podataka (OUZP). Čim kolačići obrađuju osobne podatke, a kolačići za praćenje i analitiku to gotovo uvijek rade, ta obrada mora biti u skladu s OUZP-om. Nadzorno tijelo je Agencija za zaštitu osobnih podataka (AZOP).
Članak 51. ZEK-a omogućuje i HAKOM-u i AZOP-u da odlukom narede prestanak povrede pravila o povjerljivosti komunikacija, uključujući pravilo o kolačićima. U praksi su sve objavljene novčane kazne zbog kolačića koje smo pronašli kazne AZOP-a prema OUZP-u: AZOP je utvrdio da su društva obrađivala osobne podatke putem kolačića bez valjane privole.
Budući da pravilo o kolačićima nije dio OUZP-a, na njega se ne primjenjuje mehanizam jedinstvenog sustava (one-stop-shop). Svako nacionalno tijelo može djelovati zbog kolačića postavljenih na uređaje korisnika u svojoj zemlji, i kad tvrtka ima sjedište u drugoj državi članici. Francuski CNIL to je potvrdio u svojim odlukama protiv Googlea i Sheina.
Koliko visoke mogu biti kazne?
| Propis | Tijelo | Najviša kazna |
|---|---|---|
| OUZP, članak 83. stavak 5. (načela, zakonitost obrade, uvjeti privole, informiranje) | AZOP | 20 milijuna eura ili, za poduzetnika, 4 % ukupnog svjetskog godišnjeg prometa, ovisno o tome što je veće |
| OUZP, članak 83. stavak 4. (druge obveze, primjerice tehnička zaštita) | AZOP | 10 milijuna eura ili 2 % ukupnog svjetskog godišnjeg prometa |
| ZEK, članak 170. (između ostalog povreda članka 43. stavka 4.) | Prekršajni postupak, na prijedlog ili prekršajnim nalogom HAKOM-ova inspektora | Pravna osoba od 13.270 do 132.720 eura; odgovorna osoba u pravnoj osobi od 2.650 do 13.270 eura; fizička osoba od 1.320 do 6.630 eura |
Prema ZEK-u kazna je prekršajna: HAKOM-ov inspektor može izdati prekršajni nalog ili predložiti pokretanje prekršajnog postupka pred sudom (članak 162. ZEK-a). Ako je prekršaj počinjen iz koristoljublja, kazne za odgovornu osobu i fizičku osobu su više.
Iznosi iz OUZP-a su maksimumi. AZOP stvarni iznos određuje prema kriterijima iz članka 83. stavka 2., kao što su priroda, težina i trajanje kršenja, broj pogođenih osoba, je li kršenje bilo namjerno ili iz nepažnje i koliko je društvo surađivalo. Kazna nije jedina mjera: AZOP može izdati i upozorenje, opomenu ili naložiti usklađivanje.
Dvije hrvatske posebnosti iz Zakona o provedbi Opće uredbe o zaštiti podataka:
- Tijela javne vlasti (državna tijela te jedinice lokalne i područne samouprave) ne mogu dobiti upravnu novčanu kaznu prema OUZP-u (članak 47.). AZOP prema njima i dalje može primijeniti druge korektivne mjere.
- Javna objava. Pravomoćno rješenje objavljuje se na stranicama AZOP-a bez anonimizacije, među ostalim kad je izrečena kazna od najmanje 100.000 kuna (oko 13.272 eura) ili kad je počinitelj već prije prekršio propise (članak 48.).
Koje su kazne u Hrvatskoj već izrečene?
Objavljenih odluka zbog kolačića zasad je malo. Pronašli smo ove:
| Tijelo | Datum | Tko | Mjera | Što nije bilo u redu |
|---|---|---|---|---|
| HAKOM | 4. studenoga 2019. | Trgovačko društvo (ime nije objavljeno) | Nalog za usklađivanje u roku od 30 dana, uz najavu kazne od 50.000 kuna odgovornoj osobi ako ga ne izvrši | Banner je tvrdio da posjetitelj „pritiskom na bilo koju poveznicu” prihvaća kolačiće; nije bilo navedeno koje se vrste kolačića koriste, u koju svrhu ni koliko traju |
| AZOP | 25. kolovoza 2023. | Priređivač igara na sreću (ime nije objavljeno) | Upravna novčana kazna od 30.000 eura | Kolačići Google Analyticsa, Facebooka, LinkedIna i oglasnih mreža postavljeni već pri učitavanju stranice, bez privole; nije bilo moguće zasebno dati ili povući privolu po vrsti kolačića; nepotpune informacije |
| AZOP | 28. kolovoza 2023. | Priređivač igara na sreću (ime nije objavljeno) | Upravna novčana kazna od 20.000 eura | Kolačići Google Analyticsa i Facebooka postavljeni prije davanja privole; nije bilo zasebne privole po vrsti kolačića; obavijest o kolačićima bez pravne osnove, svrhe i trajanja |
| AZOP | 26. veljače 2024. | Priređivač igara na sreću (ime nije objavljeno) | Upravna novčana kazna od 20.000 eura | Statistički i marketinški kolačići (_ga, _gid, _fbp, _gcl_au) postavljeni već pri učitavanju stranice; jedna privola za analitiku, društvene mreže i oglase zajedno; općenita politika privatnosti |
Iz tih predmeta vrijedi izvući nekoliko pouka:
- AZOP provjerava sam. Sva tri predmeta pokrenuta su po službenoj dužnosti, u okviru plana nadzornih provjera web-stranica poslovnih subjekata iz uslužnog sektora. AZOP je pritom koristio alat Website Evidence Collector Europskog nadzornika za zaštitu podataka (EDPS), koji bilježi koje se kolačiće postavlja pri učitavanju stranice.
- Ispravak ne briše prošlost. U predmetu iz veljače 2024. društvo je nakon AZOP-ova upita uvelo novu platformu za upravljanje privolama, a kaznu je ipak dobilo za razdoblje od svibnja 2018. do studenoga 2022. AZOP je ispravak i suradnju uzeo u obzir kao olakotnu okolnost.
- Kazne su odmjerene prema prometu. Kazna od 20.000 eura u tom je predmetu prema AZOP-u iznosila 0,1 % najviše kazne koju je mogao izreći, a odluka se izričito poziva na opće odvraćanje drugih voditelja obrade.
Objavljenih prekršajnih kazni HAKOM-a zbog kolačića nismo pronašli.
Za usporedbu: najveće kazne za kolačiće u EU-u
Francuski CNIL daleko je najaktivnije europsko tijelo kad je riječ o kolačićima. Nekoliko njegovih odluka, sve preuzete iz objava samog CNIL-a:
| Datum odluke | Tvrtka | Kazna | Što nije bilo u redu |
|---|---|---|---|
| 31. prosinca 2021. | Google LLC i Google Ireland | 150 milijuna eura | Odbijanje kolačića na google.fr i youtube.com zahtijevalo je više klikova od prihvaćanja |
| 31. prosinca 2021. | Facebook Ireland (danas Meta Platforms Ireland) | 60 milijuna eura | Odbijanje kolačića na facebook.com nije bilo jednako jednostavno kao prihvaćanje |
| 1. rujna 2025. | Google LLC i Google Ireland | 325 milijuna eura | Oglasi u Gmailu bez privole i kolačići postavljeni pri otvaranju računa bez valjane privole |
| 1. rujna 2025. | Infinite Styles Services (Shein) | 150 milijuna eura | Oglašivački kolačići postavljeni prije ikakvog izbora, nepotpuni banneri, „Odbij sve” nije se poštovao |
CNIL kažnjava i mala poduzeća: 2024. i 2025. trgovci, izdavači i jedna jedinica lokalne samouprave kažnjeni su iznosima od 2.000 do 20.000 eura zbog kršenja povezanih s kolačićima.
Ostali rizici: naknada štete
Kazne nisu jedini rizik. Prema članku 82. OUZP-a svatko tko pretrpi materijalnu ili nematerijalnu štetu zbog kršenja OUZP-a može tražiti naknadu. U predmetu Österreichische Post (C-300/21, 4. svibnja 2023.) Sud EU-a utvrdio je da ne postoji prag ozbiljnosti, ali da samo kršenje ne znači automatski i štetu: mora postojati stvarna šteta i veza s kršenjem. Posjetitelji mogu podnijeti i zahtjev za utvrđivanje povrede prava AZOP-u.
Kako izbjeći probleme
Gore navedene kazne svode se na istih nekoliko pogrešaka:
- Bez kolačića prije privole. Blokiraj svaku skriptu kojoj treba privola dok posjetitelj ne pristane. Upravo to je AZOP provjeravao alatom za prikupljanje dokaza.
- Odbijanje jednako jednostavno kao prihvaćanje. Stavi „Odbijam” na prvu razinu, jednako istaknuto kao „Prihvaćam”, kako traži AZOP.
- Privola po svrsi. Analitika i marketing trebaju zasebne opcije, a ne jedan zajednički prekidač.
- Potpune informacije. Za svaki kolačić navedi svrhu, pružatelja i trajanje, u banneru i u politici kolačića.
- Poštuj izbor. Prestani čitati i postavljati kolačiće čim posjetitelj odbije ili povuče privolu.
- Bez iznuđene privole. Budi oprezan s cookie wallovima.
- Čuvaj dokaze i redovito provjeravaj. Bilježi što je svaki posjetitelj odabrao, a novi dodaci i oznake dodaju kolačiće, a da to nitko ne primijeti.
Cookie Confirm brine o tim koracima: skener provjerava tvoju web-stranicu svaki mjesec (uz neograničena ponovna skeniranja), skripte ostaju blokirane do privole, prihvaćanje i odbijanje nalaze se jedno pored drugoga, izjava o kolačićima generira se iz skeniranja, a svaka se privola bilježi 12 mjeseci. Za 7,95 € po web-stranici mjesečno, uz besplatnu probu od 7 dana.
Izvori
- Narodne novine: Zakon o elektroničkim komunikacijama, NN 76/2022 (članci 43., 51., 161., 162. i 170.)
- Narodne novine: Zakon o provedbi Opće uredbe o zaštiti podataka, NN 42/2018 (članci 4., 44., 47. i 48.)
- EUR-Lex: Uredba (EU) 2016/679 (OUZP), članci 58., 82. i 83.
- EUR-Lex: Direktiva 2002/58/EZ (Direktiva o e-privatnosti), članak 5. stavak 3.
- AZOP: Upravne novčane kazne zbog nezakonite obrade osobnih podataka putem kolačića (14. rujna 2023.)
- AZOP: Obrada osobnih podataka putem kolačića, upravne novčane kazne (tri rješenja, PDF)
- AZOP: Rješenje od 26. veljače 2024. (PDF)
- AZOP: Rješenje od 28. kolovoza 2023. (PDF)
- AZOP: Rješenje od 25. kolovoza 2023. (PDF)
- AZOP: Obrada osobnih podataka putem kolačića i pružanje informacija ispitanicima (preporuka)
- HAKOM: Rješenje o privoli krajnjih korisnika za pohranjivanje kolačića (4. studenoga 2019., PDF)
- EDPB: Smjernice 04/2022 o izračunu upravnih novčanih kazni prema OUZP-u
- AZOP: Zahtjev za utvrđivanje povrede prava
- CNIL: Sankcije koje je izrekao CNIL
- CNIL: Zatvaranje naloga izdanog Facebooku
- CNIL: Googleu kazna od 325 milijuna eura (rujan 2025.)
- CNIL: Sheinu kazna od 150 milijuna eura (rujan 2025.)
- CNIL: Sankcije i korektivne mjere u 2025.
- Sud EU-a: predmet C-300/21, Österreichische Post (4. svibnja 2023.)