Sledenje na strežniku (server-side tracking) in privolitev

Kaj je sledenje na strežniku, v čem se razlikuje od sledenja v brskalniku in zakaj strežniški Google Tag Manager, GA4 prek strežniškega vsebnika ali Meta Conversions API v Sloveniji še vedno potrebujejo privolitev. Plus kaj sledenje na strežniku izboljša in kako ga povežeš s pasico za piškotke.

Nazadnje preverjeno: 16 oktobra 2026

Na kratko

Sledenje na strežniku del dela prestavi iz brskalnika obiskovalca na strežnik, ki ga upravljaš ti. Podatke še vedno pošlje brskalnik.
225. člen ZEKom-2 velja za shranjevanje in branje podatkov na napravi. Lastni piškotek, ki ga nastavi strežniški vsebnik, potrebuje privolitev kot vsak drug sledilni piškotek.
Za to, kar se dogaja na strežniku, potrebuješ še pravno podlago po GDPR. Za oglaševanje in profiliranje je to v praksi privolitev.
Sledenje na strežniku ti da več nadzora nad tem, kaj dobijo ponudniki, ni pa način, da bi obšel pasico za piškotke.

Kaj je sledenje na strežniku?

Pri običajnem sledenju vse delo opravi brskalnik. Tvoja stran naloži skripte Googla, Mete in drugih ponudnikov, vsaka skripta pa podatke pošlje neposredno iz brskalnika obiskovalca na strežnike svojega ponudnika.

Pri sledenju na strežniku (server-side tracking) brskalnik podatke najprej pošlje na eno mesto: na strežnik, ki ga upravljaš ti, običajno na poddomeni tvojega spletnega mesta, na primer metrics.primer.si. Ta strežnik zahtevo sprejme, jo pretvori v dogodke in odloči, kaj bo posredoval kateremu ponudniku. Najbolj znan primer je strežniški Google Tag Manager: „strežniški vsebnik“, ki teče v Google Cloudu ali pri specializiranem ponudniku gostovanja, poleg običajnega spletnega vsebnika v brskalniku. Pogosta uporaba sta GA4 prek strežniškega vsebnika in Meta Conversions API, s katerim tvoj strežnik konverzije pošilja neposredno Meti.

	V brskalniku (client-side)	Na strežniku (server-side)
Kje se izvajajo oznake	V brskalniku obiskovalca	Na strežniku, ki ga upravljaš ti
Kdo prvi prejme podatke	Vsak ponudnik neposredno	Tvoj strežnik, ki jih posreduje naprej
Piškotki	Pogosto jih nastavijo skripte ponudnikov	Lahko jih nastavi tvoj strežnik na tvoji domeni
Nadzor nad tem, kaj dobijo ponudniki	Majhen: vsaka skripta zbira, kar želi	Podatke lahko odstraniš ali spremeniš, preden jih pošlješ

Pomembno: v večini postavitev brskalnik obiskovalca še vedno izvaja skripto in še vedno pošilja podatke. Razlika je le v tem, kam jih pošlje najprej.

Ali sledenje na strežniku potrebuje privolitev?

Veljata dva sklopa pravil, enako kot za vsako drugo sledenje (glej Zakon o piškotkih v Sloveniji):

225. člen Zakona o elektronskih komunikacijah (ZEKom-2), slovenska različica člena 5(3) Direktive o zasebnosti in elektronskih komunikacijah: shranjevanje podatkov na napravi obiskovalca ali dostop do njih je dovoljen samo s privolitvijo, razen če je nujno potreben za storitev, ki jo je obiskovalec izrecno zahteval.
GDPR z Zakonom o varstvu osebnih podatkov (ZVOP-2): za obdelavo osebnih podatkov potrebuješ pravno podlago, preglednost in zaščitne ukrepe.

Sledenje na strežniku te ne postavi zunaj 225. člena. Pravilo govori o tem, kaj se dogaja na napravi, ne o tem, kam podatki na koncu pridejo. Velja za vse podatke, osebne ali ne, kar je Sodišče EU potrdilo v zadevi Planet49 (2019). Informacijski pooblaščenec poudarja, da pravilo velja za vsako tehnologijo, ki shranjuje ali bere podatke na napravi, na primer sledilne piksle, lokalno shrambo in prstni odtis brskalnika. Evropski odbor za varstvo podatkov (EOVP) v Smernicah 2/2023 o tehničnem obsegu člena 5(3) pojasnjuje, da:

spletno mesto, ki z JavaScriptom brskalnik pripravi do tega, da pošlje podatke, do teh podatkov dostopa, kar spada pod pravilo;
dodajanje identifikatorjev v URL-je ali sledilne piksle pomeni navodilo napravi, naj identifikator pošlje nazaj, kar je prav tako dostop;
tudi zbiranje enoličnega identifikatorja, na primer zgoščenega e-poštnega naslova, s kodo v brskalniku spada pod pravilo;
lahko pod pravilo spada celo sledenje samo na podlagi IP-naslova, razen če lahko zagotoviš, da naslov ne izvira z naprave obiskovalca.

Postavitev na strežniku počne prav to: oznaka Google v brskalniku pošilja dogodke tvojemu strežniku, strežniški vsebnik pa lahko na tvoji domeni nastavi piškotek, ki obiskovalca prepozna. Lastni piškotek, ki ga nastavi strežniški vsebnik, zato za analitiko ali trženje potrebuje privolitev, enako kot piškotek, ki ga nastavi skripta.

EOVP dodaja, da uporaba pravila ne pomeni vedno, da je potrebna privolitev: nujno shranjevanje je izvzeto, nekatere države pa dovoljujejo omejeno merjenje obiskanosti brez privolitve. Slovenija ne. Po smernicah Informacijskega pooblaščenca analitični piškotki nikoli niso nujni, tudi če gre za analitiko z lastnimi piškotki, ki jo spletno mesto opravlja samo zase. Analitika na strežniku, ki na napravi obiskovalca kaj shranjuje ali bere, zato v Sloveniji vedno potrebuje predhodno privolitev. Več v vodniku Google Analytics in GDPR.

GDPR velja tudi na strežniku

Ko podatki pridejo na tvoj strežnik, za vse, kar z njimi počneš, velja GDPR: posredovanje Googlu ali Meti, dopolnjevanje s podatki o naročilih ali iz CRM, oblikovanje občinstev. Za vsak namen potrebuješ pravno podlago, smernice EOVP o privolitvi pa pravijo, da jo moraš, kadar je podlaga privolitev, pridobiti preden se obdelava začne.

Za oglaševanje in profiliranje je ta podlaga v praksi privolitev. Sodišče EU je v zadevi Meta Platforms proti Bundeskartellamt (C-252/21, 4. julij 2023) odločilo, da personalizirano oglaševanje brez privolitve uporabnika ne more upravičiti Metine obdelave podatkov kot zakonitega interesa. Spletno mesto, ki podatke obiskovalcev pošilja oglaševalski platformi za ciljanje ali merjenje konverzij, bo težko zagovarjalo zakoniti interes, kjer ga platforma sama ne more.

Kaj sledenje na strežniku spremeni

Sledenje na strežniku ni način, da bi obšel privolitev, lahko pa tvoje sledenje naredi prijaznejše do zasebnosti in lažje obvladljivo:

Nadzor nad tem, kaj ponudniki prejmejo. Google navaja, da imaš do podatkov v strežniškem vsebniku dostop samo ti, dokler jih ne pošlješ naprej. Polja lahko odstraniš, URL-je skrajšaš ali dogodke izpustiš, preden zapustijo tvoj strežnik.
IP-naslovi in identifikatorji. Lahko se odločiš, da celotnega IP-naslova ne posreduješ ali da identifikatorje zamenjaš, preden podatke pošlješ naprej. To podpira načelo najmanjšega obsega podatkov (člen 5(1)(c) GDPR).
Manj zahtev tretjim osebam v brskalniku. Manj skript ponudnikov na strani pomeni manj strani, ki lahko podatke berejo neposredno z naprave obiskovalca.
Prenosi zunaj Evrope. Če tvoj strežnik teče v EU in podatke očisti, preden jih posreduje, do ponudnikov zunaj Evrope pride manj osebnih podatkov. Francoski nadzorni organ CNIL opisuje takšen „posrednik“ (proxy) za merjenje obiskanosti pod strogimi pogoji: brez posredovanja IP-naslova, z zamenjanim identifikatorjem, brez napotitelja in parametrov URL, brez identifikatorjev med spletnimi mesti in z gostovanjem, ki preprečuje prenose zunaj EU. CNIL to predstavlja kot rešitev za prenose, ne kot razlog, da bi izpustil privolitev.

Sledenje na strežniku s pasico za piškotke in Consent Mode

Postavitev, ki deluje, je enaka kot brez strežniškega vsebnika, z enim dodatnim korakom:

Tvoja pasica za piškotke zbere izbiro in blokira analitične in trženjske oznake, dokler obiskovalec ne privoli.
Google Consent Mode v2 izbiro posreduje naprej (glej Google Consent Mode v2). Googlova dokumentacija pravi, da moraš Consent Mode nastaviti samo v spletnem vsebniku: oznaka Google stanje privolitve doda vsaki zahtevi, ki jo pošlje strežniškemu vsebniku.
Googlove oznake v strežniškem vsebniku sledijo temu stanju. V osnovnem načinu so oznake Analytics popolnoma blokirane in piškotki Analytics se ne nastavljajo ali berejo, ne v brskalniku ne na strežniku. V naprednem načinu oznake Analytics namesto tega pošiljajo anonimne meritve. Brez privolitve oznake za konverzije Google Ads piškotkov ne berejo in ne zapisujejo, zahteve za ponovno trženje Google Ads in Floodlight pa so blokirane. Ker tudi te meritve brskalnik pošlje z naprave obiskovalca in ker v Sloveniji analitika vedno potrebuje predhodno privolitev, je osnovni način previdnejša izbira.
Oznake drugih ponudnikov zahtevajo tvojo pozornost. Google to obljublja samo za svoje oznake. Oznaka Meta Conversions API ali katera koli druga oznaka v strežniškem vsebniku naj se sproži samo, če stanje privolitve to dovoljuje; to nastavi sam s sprožilci ali pogoji.

Pasica, kot je Cookie Confirm, privzete vrednosti Consent Mode nastavi, preden se naloži katera koli oznaka Google, in jih posodobi po izbiri obiskovalca, tako da stanje privolitve z vsako zahtevo pride do strežniškega vsebnika.

Meta Conversions API in privolitev

Meta Conversions API poveže tvoj strežnik z Meto, da lahko dogodke na spletnem mestu, kot so nakupi in povpraševanja, pošiljaš brez zanašanja samo na Meta Pixel v brskalniku. Meta te dogodke uporablja za merjenje in optimizacijo oglasov.

To je torej obdelava za oglaševanje. Metini pogoji za poslovna orodja (Business Tools Terms) zahtevajo, da imaš vse potrebne pravice in zakonito podlago za podatke, ki jih deliš, in da v državah, ki za shranjevanje ali dostop do podatkov na napravah zahtevajo privolitev (pogoji navajajo EU), od obiskovalcev pridobiš preverljivo privolitev. Po teh pogojih si za te podatke v EU upravljavec ti. V praksi:

dogodke Conversions API pošiljaj samo za obiskovalce, ki so v pasici sprejeli trženje;
Conversions API ne uporabljaj za „reševanje“ konverzij obiskovalcev, ki so zavrnili;
Meto in Conversions API omeni v politiki piškotkov in politiki zasebnosti.

Metina možnost „Limited Data Use“ je namenjena nekaterim zakonom o zasebnosti posameznih zveznih držav ZDA. Ni mehanizem privolitve za EU.

Pogoste napake

„Je brez piškotkov, zato privolitev ni potrebna.“ 225. člen ZEKom-2 zajema več kot piškotke: skripte, ki brskalnik pripravijo do pošiljanja podatkov, sledilne piksle, identifikatorje v URL-jih in enolične identifikatorje, po EOVP in Informacijskem pooblaščencu.
„Zdaj je lastni piškotek.“ Pravilo ne razlikuje med lastnimi piškotki in piškotki tretjih oseb ali med piškotki, ki jih nastavi skripta, in tistimi, ki jih nastavi strežnik. Odloča namen.
Pošiljanje podatkov pred izbiro. Če tvoj strežniški vsebnik ogledov strani ali konverzij ponudnikom posreduje, preden obiskovalec klikne v pasici, obdeluješ podatke brez pravne podlage.
„Zgoščen e-poštni naslov je anonimen.“ Zgoščen e-poštni naslov je psevdonimiziran podatek, ki ga GDPR še vedno obravnava kot osebni podatek (uvodna izjava 26). Zgosti se prav zato, da ga platforma, kot je Meta, lahko poveže z osebo.
Pozabljene oznake, ki niso Googlove. Consent Mode usmerja samo Googlove oznake. Vsaka druga oznaka v strežniškem vsebniku potrebuje svoje preverjanje privolitve.
Nepopolna politika piškotkov. Obiskovalci morajo vedeti, kateri ponudniki prejmejo njihove podatke, tudi kadar podatki gredo najprej prek tvojega strežnika. Glej predlogo politike piškotkov.

Kaj tvegaš v Sloveniji

Nadzor nad 225. členom ZEKom-2 izvaja Informacijski pooblaščenec. Za obdelavo podatkov z naprave obiskovalca brez predhodne privolitve in brez jasnega in izčrpnega obvestila ZEKom-2 predvideva globo za pravno osebo od 200 do 1.000 evrov, za srednjo ali veliko družbo od 1.000 do 20.000 evrov, poleg tega se kaznuje še odgovorna oseba. Če obdeluješ osebne podatke v nasprotju z GDPR, lahko Informacijski pooblaščenec izreče tudi globo po GDPR. Podrobnosti v vodniku Globe za piškotke.

Viri

Pogosta vprašanja

Ali je sledenje na strežniku skladno z GDPR?

Lahko je, vendar ne zato, ker teče na strežniku. Veljajo ista pravila kot za sledenje v brskalniku: privolitev po 225. členu ZEKom-2 za shranjevanje ali branje podatkov na napravi obiskovalca, pravna podlaga za obdelavo, preglednost in, ko podatki zapustijo Evropo, veljaven mehanizem prenosa. Sledenje na strežniku nekatere stvari olajša, na primer odstranjevanje podatkov, preden pridejo do ponudnika, privolitve pa ne nadomesti.

Ali potrebujem pasico za piškotke, če uporabljam strežniški Google Tag Manager?

Da, za analitične in trženjske oznake. Oznaka Google se še vedno izvaja v brskalniku obiskovalca in pošilja podatke tvojemu strežniškemu vsebniku, ta pa lahko na tvoji domeni nastavi piškotke. Oboje spada pod 225. člen ZEKom-2. Tvoja pasica zbere izbiro, Consent Mode pa jo posreduje strežniškemu vsebniku.

Ali Meta Conversions API potrebuje privolitev?

V EU da, kadar ga uporabljaš za oglaševanje. Metini pogoji za poslovna orodja (Business Tools Terms) tebi nalagajo, da imaš zakonito podlago in, kjer to zahteva zakon, preverljivo privolitev. Sodišče EU je leta 2023 odločilo, da se Meta za personalizirano oglaševanje brez privolitve ne more sklicevati na zakoniti interes. Dogodke pošiljaj samo za obiskovalce, ki so sprejeli trženje.

Ali so lastni piškotki, ki jih nastavi strežnik, izvzeti iz privolitve?

Ne. 225. člen ZEKom-2 ne razlikuje med lastnimi piškotki in piškotki tretjih oseb ali med piškotki, ki jih nastavi JavaScript, in tistimi, ki jih nastavi strežnik. Odločilno je, ali je piškotek nujen za storitev, ki jo je obiskovalec izrecno zahteval. Piškotek, ki obiskovalca prepozna za analitiko ali oglaševanje, ni. Informacijski pooblaščenec izrecno pravi, da privolitev potrebuješ tudi za analitiko z lastnimi piškotki.

Ali je zgoščen (hashiran) e-poštni naslov anonimen?

Ne. Zgoščevanje e-poštni naslov spremeni v stalno kodo, vendar isti naslov vedno da isto kodo, zato ga je mogoče povezati. Po GDPR so to psevdonimizirani podatki, ki so še vedno osebni podatki. Meta zgoščene e-poštne naslove zahteva prav zato, da jih lahko poveže s svojimi uporabniki.

Ali sledenje na strežniku deluje z Google Consent Mode v2?

Da. Consent Mode nastaviš v spletnem vsebniku; oznaka Google stanje privolitve doda vsaki zahtevi, ki jo pošlje strežniškemu vsebniku, Googlove oznake tam pa se mu prilagodijo. Oznake drugih ponudnikov v strežniškem vsebniku tega ne naredijo samodejno, zato moraš sam poskrbeti, da spoštujejo izbiro.

Ta vodnik je splošna informacija, ne pravni nasvet. Redno ga preverjamo, a zakoni in smernice se spreminjajo. Nisi prepričan glede svojega primera? Vprašaj pravnika.

Beri naprej

Več vodnikov

Vsi vodniki →

Prvih 7 dni povsem brezplačno

Ustvari brezplačen račun in preveri, ali je Cookie Confirm prava izbira zate. V živo v 5 minutah.

Brez kreditne kartice
Nato 7,95 € na mesec
Namestitev plug & play

Začni brezplačni preizkus

4,9/5 5.000+ spletnih mest