Što je kolačić?
Kolačić je mala tekstualna datoteka koju web-stranica sprema u preglednik posjetitelja. Kad preglednik sljedeći put učita stranicu s te web-stranice, šalje kolačić natrag. Tako web-stranica može zapamtiti stvari: da si prijavljen, što ti je u košarici, koji si jezik odabrao ili da si već bio na stranici.
Kolačići sami po sebi nisu ni dobri ni loši. Važno je za što se koriste. Kolačić koji čuva tvoju košaricu nešto je što ti treba; kolačić koji te prati na stotinama web-stranica kako bi izradio oglašivački profil nešto je na što prvo moraš pristati.
Pravilo o kolačićima ukratko
U EU-u pravilo se nalazi u članku 5. stavku 3. Direktive o e-privatnosti, prenesenom u nacionalno zakonodavstvo svake zemlje. U Hrvatskoj je to članak 43. stavak 4. Zakona o elektroničkim komunikacijama: podatke smiješ spremati na uređaj posjetitelja ili ih s njega čitati samo ako je posjetitelj dobio jasnu i potpunu obavijest, osobito o svrsi, i dao privolu.
Postoje dvije iznimke. Privola nije potrebna za tehničku pohranu koja služi isključivo za prijenos komunikacije ni za ono što je nužno za uslugu koju je posjetitelj izričito zatražio. Kad je privola potrebna, mora ispunjavati standard OUZP-a: dobrovoljna, posebna, informirana i dana jasnom radnjom. Sud EU-a presudio je u predmetu Planet49 (2019.) da unaprijed označen okvir nije valjana privola, bez obzira na to sadrži li kolačić osobne podatke.
Vrste kolačića
Prema tome tko ih postavlja
- Kolačiće prve strane postavlja web-stranica koju posjećuješ, pod vlastitom domenom.
- Kolačiće treće strane postavlja druga domena, primjerice oglašivačka mreža, video platforma ili widget društvene mreže ugrađen u stranicu.
Prema tome koliko traju
- Sesijski kolačići nestaju kad zatvoriš preglednik.
- Trajni kolačići ostaju do određenog datuma isteka, od nekoliko minuta do nekoliko godina. Kolačić _ga Google Analyticsa, primjerice, standardno traje dvije godine.
Prema svrsi
Ova podjela odlučuje treba li ti privola. AZOP kolačiće prema funkciji dijeli na tehničke (nužne), funkcionalne, statističke i marketinške.
| Svrha | Primjeri | Treba li privola u Hrvatskoj? |
|---|---|---|
| Tehnički nužni | Košarica, sesija prijave, raspodjela opterećenja, sigurnost, sam izbor kolačića | Ne |
| Funkcionalni | Jezik, regija, podaci uneseni u obrazac | Ne, ako samo pamte izbor koji je posjetitelj napravio ili podatke koje je unio; inače da |
| Statistički / analitički | Broj posjetitelja, prikazi stranica, Google Analytics | Da |
| Marketinški / praćenje | Meta Pixel, Google Ads, LinkedIn Insight Tag, retargeting | Da |
| Ugrađeni sadržaj | YouTube videozapisi, karte, objave s društvenih mreža | Obično da |
Popis kolačića koje AZOP smatra izuzetima od privole temelji se na Mišljenju 04/2012 europske Radne skupine iz članka 29.: kolačići za unos korisnika, autentifikaciju, sigurnost, reprodukciju multimedijskog sadržaja i raspodjelu opterećenja te, za prijavljene članove, kolačići za dijeljenje sadržaja na društvenim mrežama. AZOP pritom naglašava da kolačići mogu biti višenamjenski: kolačić ostaje izuzet samo ako ima jednu od tih funkcija. Koristi li se, primjerice, kolačić košarice i za personalizirano oglašavanje, za njega treba privola.
Neke druge zemlje EU-a, kao što su Francuska i Nizozemska, dopuštaju strogo konfiguriranu analitiku bez privole. Hrvatska takvu iznimku nema. Više u vodiču Google Analytics i OUZP, a o svim hrvatskim pravilima u vodiču Kolačići u Hrvatskoj.
Ne samo kolačići
Pravilo je tehnološki neutralno. Obuhvaća sve što sprema informacije na uređaj ili ih s njega čita. U Smjernicama 2/2023 EDPB, među ostalim, navodi:
- lokalnu pohranu i pohranu sesije (local storage i session storage) u pregledniku;
- piksele za praćenje i dekoraciju poveznica (identifikatore dodane URL-ovima);
- skripte koje prikupljaju informacije s uređaja i šalju ih na poslužitelj;
- fingerprinting, koji prepoznaje uređaj po njegovim obilježjima;
- identifikatore u aplikacijama i povezanim uređajima.
I hrvatski zakon govori općenito o „pohrani podataka ili pristupu već pohranjenim podacima u terminalnoj opremi”, a ne samo o kolačićima. Dakle, „ne koristimo kolačiće, samo piksel” ne izuzima te od pravila.
Što to znači za tvoju web-stranicu
- Saznaj što tvoja stranica stvarno postavlja. Dodaci, ugrađeni videozapisi i marketinške oznake često dodaju kolačiće za koje ne znaš. Skener kolačića ih prikazuje.
- Razvrstaj ih prema svrsi: strogo nužni, postavke, statistika i marketing.
- Blokiraj sve što treba privolu dok posjetitelj ne pristane i učini odbijanje jednako jednostavnim kao prihvaćanje.
- Objasni to u politici kolačića: svaki kolačić, njegovu svrhu, tko ga postavlja i koliko traje. Pogledaj naš predložak politike kolačića.
AZOP u odgovoru vlasnici jedne web-stranice iz 2026. naglašava da odgovornost snosi vlasnik stranice, i kad je stranicu izradio vanjski web dizajner: on mora znati koje kolačiće i alate stranica koristi.
Cookie Confirm skenira tvoju stranicu svaki mjesec (uz neograničena ponovna skeniranja), razvrstava pronađene kolačiće, blokira skripte do privole i drži tvoju politiku kolačića ažurnom.
Izvori
- Direktiva 2002/58/EZ o e-privatnosti (pročišćeni tekst), članak 5. stavak 3.
- Sud EU-a: predmet C-673/17, Planet49
- EDPB: Smjernice 2/2023 o tehničkom opsegu članka 5. stavka 3. Direktive o e-privatnosti
- Narodne novine: Zakon o elektroničkim komunikacijama, NN 76/2022 (članak 43. stavak 4.)
- AZOP: Obrada osobnih podataka putem kolačića (eng. cookies)
- AZOP: Obrada osobnih podataka putem kolačića i pružanje informacija ispitanicima (preporuka)
- AZOP: Obrada osobnih podataka putem kolačića i usklađivanje s Općom uredbom o zaštiti podataka (mišljenje, 14. kolovoza 2026.)
- Radna skupina iz članka 29.: Mišljenje 04/2012 o izuzeću od privole za kolačiće
- CNIL: Rješenja za alate za mjerenje posjećenosti
- Pomoć za Google Analytics: korištenje kolačića na web-stranicama