Server-side tracking i privola

Što je server-side tracking?

Kod običnog praćenja sav posao obavlja preglednik. Tvoja stranica učitava skripte Googlea, Mete i drugih pružatelja, a svaka skripta šalje podatke izravno iz preglednika posjetitelja na poslužitelje tog pružatelja.

Kod server-side trackinga, odnosno praćenja na strani poslužitelja, preglednik podatke najprije šalje na jedno mjesto: poslužitelj kojim ti upravljaš, obično na poddomeni tvoje web-stranice, primjerice metrics.primjer.hr. Taj poslužitelj prima zahtjev, pretvara ga u događaje i odlučuje što će proslijediti kojem pružatelju. Najpoznatiji primjer je server-side Google Tag Manager: „poslužiteljski spremnik” (server container) koji radi u Google Cloudu ili kod specijaliziranog pružatelja hostinga, uz uobičajeni web-spremnik u pregledniku. Česti primjeri su GA4 putem poslužiteljskog spremnika i Meta Conversions API, kojim tvoj poslužitelj šalje konverzije izravno Meti.

Važno je ovo: u većini postava preglednik posjetitelja i dalje pokreće skriptu i i dalje šalje podatke. Razlika je samo u tome kamo oni najprije idu.

Treba li server-side tracking privolu?

Primjenjuju se dva skupa pravila, kao i kod svakog drugog praćenja (pogledaj Pravila EU-a o kolačićima):

1. Pravilo o kolačićima. U Hrvatskoj je to članak 43. stavak 4. Zakona o elektroničkim komunikacijama (ZEK), kojim je prenesen članak 5. stavak 3. Direktive o e-privatnosti: spremanje informacija na uređaju posjetitelja ili pristup informacijama na njemu traži privolu, osim ako je riječ o tehničkoj pohrani za prijenos komunikacije ili ako je nužno za uslugu koju je posjetitelj izričito zatražio.
2. OUZP: obrada osobnih podataka traži pravnu osnovu, transparentnost i zaštitne mjere.

Server-side tracking ne izuzima te od pravila o kolačićima. Pravilo se odnosi na ono što se događa na uređaju, a ne na to gdje podaci završe. Vrijedi za sve informacije, bez obzira na to jesu li osobni podaci, kako je Sud EU-a potvrdio u predmetu Planet49 (2019.). Europski odbor za zaštitu podataka (EDPB) u Smjernicama 2/2023 o tehničkom opsegu članka 5. stavka 3. objašnjava da:

• web-stranica koja JavaScriptom navodi preglednik da pošalje informacije pristupa tim informacijama, što spada pod pravilo;
• dodavanje identifikatora u URL-ove ili piksele za praćenje uputa je uređaju da taj identifikator pošalje natrag, pa se i to smatra pristupom;
• prikupljanje jedinstvenog identifikatora, primjerice hashirane adrese e-pošte, putem koda u pregledniku također spada pod pravilo;
• čak i praćenje koje se temelji samo na IP adresi može spadati pod pravilo, osim ako možeš osigurati da adresa ne dolazi s uređaja posjetitelja.

Server-side postav radi upravo te stvari: Googleova oznaka u pregledniku šalje događaje tvom poslužitelju, a poslužiteljski spremnik može na tvojoj domeni postaviti kolačić kojim prepoznaje posjetitelja. Zato kolačić prve strane postavljen putem poslužiteljskog spremnika za analitiku ili marketing treba privolu jednako kao onaj koji postavlja skripta. EDPB dodaje da primjena pravila ne znači uvijek da treba privola: strogo nužna pohrana je izuzeta, a neke države dopuštaju ograničeno mjerenje posjećenosti bez privole. Hrvatska nije među njima: ZEK poznaje samo dvije spomenute iznimke, a AZOP piše da se analitički, marketinški i drugi kolačići koji nisu tehnički nužni ne smiju postaviti ni aktivirati prije valjane privole. Više u vodiču Kolačići u Hrvatskoj.

OUZP vrijedi i na poslužitelju

Kad podaci stignu na tvoj poslužitelj, OUZP se primjenjuje na sve što s njima radiš: prosljeđivanje Googleu ili Meti, obogaćivanje podacima o narudžbama ili iz CRM-a, izradu publika. Za svaku svrhu trebaš pravnu osnovu, a prema EDPB-ovim smjernicama o privoli, kad je privola osnova, mora se pribaviti prije početka obrade.

Za oglašavanje i izradu profila ta je osnova u praksi privola. U predmetu Meta Platforms i dr. (C-252/21, 4. srpnja 2023.) Sud EU-a presudio je da personalizirano oglašavanje ne može opravdati Metinu obradu podataka korisnika kao legitimni interes bez privole korisnika. Web-stranica koja šalje podatke o posjetiteljima oglašivačkoj platformi radi ciljanja ili mjerenja konverzija teško će se pozvati na legitimni interes kad to ne može ni sama platforma. AZOP uz to naglašava da se za kolačiće, osim u zakonskim iznimkama, ne možeš pozvati na legitimni interes.

Što server-side tracking ipak mijenja

Server-side tracking nije način da izbjegneš privolu, ali tvoje praćenje može učiniti privatnijim i lakšim za kontrolu:

• Kontrola nad onim što pružatelji dobivaju. Google navodi da samo ti imaš pristup podacima u poslužiteljskom spremniku dok ih ne odlučiš proslijediti. Polja možeš ukloniti, URL-ove skratiti ili događaje odbaciti prije nego što napuste tvoj poslužitelj.
• IP adrese i identifikatori. Možeš odlučiti da ne prosljeđuješ punu IP adresu ili da zamijeniš identifikatore prije slanja. To podupire načelo smanjenja količine podataka (članak 5. stavak 1. točka (c) OUZP-a).
• Manje zahtjeva trećim stranama u pregledniku. Manje skripti pružatelja na stranici znači manje strana koje mogu izravno čitati podatke s uređaja posjetitelja.
• Prijenosi izvan Europe. Ako tvoj poslužitelj radi u EU-u i uklanja podatke prije prosljeđivanja, manje osobnih podataka stiže do pružatelja izvan Europe. Francuski CNIL opisuje takav „proxy” za mjerenje posjećenosti pod strogim uvjetima: IP adresa se ne prosljeđuje, identifikator se zamjenjuje, referrer i parametri URL-a uklanjaju se, nema identifikatora između stranica, a hosting sprječava prijenose izvan EU-a. CNIL to predstavlja kao rješenje za prijenose, a ne kao razlog da se preskoči privola. U Hrvatskoj takav proxy ionako ne uklanja potrebu za privolom za kolačiće.

Server-side tracking s bannerom za kolačiće i Consent Modeom

Postav koji radi isti je kao bez poslužiteljskog spremnika, uz jedan korak više:

1. Tvoj banner za kolačiće prikuplja izbor i blokira oznake za analitiku i marketing dok posjetitelj ne pristane, s „Prihvaćam” i „Odbijam” na prvoj razini, kako traži AZOP.
2. Google Consent Mode v2 prosljeđuje izbor (pogledaj Google Consent Mode v2 objašnjen). Prema Googleovoj dokumentaciji Consent Mode trebaš postaviti samo u web-spremniku: Googleova oznaka dodaje stanje privole svakom zahtjevu koji šalje poslužiteljskom spremniku.
3. Googleove oznake u poslužiteljskom spremniku slijede to stanje. U osnovnom načinu oznake Analyticsa potpuno su blokirane i ne postavljaju se niti čitaju kolačići Analyticsa, ni u pregledniku ni na poslužitelju. U naprednom načinu oznake Analyticsa umjesto toga šalju anonimna mjerenja. Bez privole oznake za konverzije Google Adsa ne čitaju i ne pišu kolačiće, a zahtjevi za remarketing Google Adsa i Floodlight blokirani su.
4. Oznake drugih pružatelja traže tvoju pozornost. Google to obećava samo za vlastite oznake. Oznaka za Meta Conversions API ili bilo koja druga oznaka u poslužiteljskom spremniku smije se pokrenuti samo kad stanje privole to dopušta; to postavi sam, okidačima ili uvjetima.

Banner kao što je Cookie Confirm postavlja zadane vrijednosti Consent Modea prije učitavanja bilo koje Googleove oznake i ažurira ih nakon izbora posjetitelja, tako da stanje privole sa svakim zahtjevom stiže do poslužiteljskog spremnika. Za GA4 posebno pogledaj Google Analytics i OUZP.

Meta Conversions API i privola

Meta Conversions API povezuje tvoj poslužitelj s Metom, pa događaje s web-stranice, kao što su kupnje i upiti, možeš slati bez oslanjanja isključivo na Meta Pixel u pregledniku. Meta te događaje koristi za mjerenje i optimizaciju oglasa.

To je obrada u svrhu oglašavanja. Metini uvjeti za poslovne alate traže da imaš sva potrebna prava i zakonitu osnovu za podatke koje dijeliš te da u zemljama koje traže privolu za spremanje ili pristup informacijama na uređajima (uvjeti navode EU) od posjetitelja pribaviš provjerljivu privolu. Prema tim uvjetima u EU-u si ti voditelj obrade za te podatke. U praksi:

• šalji događaje putem Conversions API-ja samo za posjetitelje koji su u banneru prihvatili marketing;
• ne koristi Conversions API da „spasiš” konverzije posjetitelja koji su odbili;
• navedi Metu i Conversions API u svojoj politici kolačića i politici privatnosti.

Metina opcija „Limited Data Use” namijenjena je određenim zakonima o privatnosti saveznih država SAD-a. Nije mehanizam privole za EU.

Česte pogreške

• „Bez kolačića je, pa ne treba privola.” Pravilo obuhvaća više od kolačića: prema EDPB-u pod njega spadaju skripte koje navode preglednik da šalje podatke, pikseli za praćenje, identifikatori u URL-ovima i jedinstveni identifikatori.
• „Sad je to prva strana.” Pravilo ne razlikuje prvu i treću stranu, ni kolačiće koje postavlja skripta od onih koje postavlja poslužitelj. Odlučuje svrha.
• Slanje podataka prije izbora. Ako tvoj poslužiteljski spremnik prosljeđuje preglede stranica ili konverzije pružateljima prije nego što je posjetitelj kliknuo u banneru, obrađuješ podatke bez pravne osnove.
• „Hashirana e-pošta je anonimna.” Hashirana adresa e-pošte pseudonimizirani je podatak, a OUZP ga i dalje smatra osobnim podatkom (uvodna izjava 26.). Hashira se upravo zato da je platforma poput Mete može upariti s osobom.
• Zaboravljene oznake drugih pružatelja. Consent Mode upravlja samo Googleovim oznakama. Svaka druga oznaka u poslužiteljskom spremniku treba vlastitu provjeru privole.
• Neažurirana politika kolačića. Posjetitelji moraju znati koji pružatelji primaju njihove podatke, i kad podaci najprije prolaze kroz tvoj poslužitelj.

Hrvatska: ZEK, HAKOM i AZOP

U Hrvatskoj su za server-side tracking važna dva propisa i dva tijela:

• Članak 43. stavak 4. ZEK-a uređuje spremanje i čitanje informacija na uređaju. Nadzor nad ZEK-om provodi HAKOM. Za pravnu osobu zakon za taj prekršaj propisuje novčanu kaznu od 13.270 do 132.720 eura.
• OUZP i Zakon o provedbi Opće uredbe o zaštiti podataka uređuju obradu osobnih podataka na tvom poslužitelju i kod pružatelja. Nadzorno tijelo je AZOP, koje je 2023. i 2024. kaznilo tri web-stranice s 20.000 i 30.000 eura jer su se kolačići Google Analyticsa i Facebooka postavljali prije privole (pogledaj Kazne za kolačiće).

Za razliku od Francuske ili Nizozemske, Hrvatska nema iznimku za analitiku. Server-side analitika koja na uređaju posjetitelja sprema ili čita identifikator zato i u Hrvatskoj treba privolu, kao i server-side oglašavanje putem Conversions API-ja.

Izvori

• Narodne novine: Zakon o elektroničkim komunikacijama, NN 76/2022 (članci 43., 51., 161., 162. i 170.)
• Narodne novine: Zakon o provedbi Opće uredbe o zaštiti podataka, NN 42/2018 (članak 4.)
• EUR-Lex: Direktiva 2002/58/EZ (Direktiva o e-privatnosti), članak 5. stavak 3.
• EUR-Lex: Uredba (EU) 2016/679 (OUZP)
• EDPB: Smjernice 2/2023 o tehničkom opsegu članka 5. stavka 3. Direktive o e-privatnosti
• EDPB: Smjernice 05/2020 o privoli na temelju Uredbe 2016/679
• Sud EU-a: predmet C-673/17, Planet49
• Sud EU-a: predmet C-252/21, Meta Platforms i dr. (4. srpnja 2023.)
• AZOP: Obrada osobnih podataka putem kolačića i usklađivanje s Općom uredbom o zaštiti podataka (mišljenje, 14. kolovoza 2026.)
• AZOP: Obrada osobnih podataka putem kolačića i pružanje informacija ispitanicima (preporuka)
• AZOP: Obrada osobnih podataka putem kolačića, upravne novčane kazne (rješenja)
• Google: Uvod u server-side tagging
• Google: Consent mode sa server-side Tag Managerom
• Google: Prilagođena domena za server-side tagging
• Meta for Developers: Conversions API
• Meta for Developers: Data Processing Options for US users
• Meta: Business Tools Terms
• CNIL: Mjerenje posjećenosti i prijenosi podataka (na francuskom)