Većina web stranica koje provjeravam nije usklađena s propisima ne zato što je njihovim vlasnicima svejedno, nego zato što je pravo stiglo posljednje. Dizajn je odobren, programer ga je izradio, stranica je objavljena — a onda se netko sjetio natpisa o kolačićima i zalijepio ga na vrh.
Upravo je taj redoslijed problem. Dok natpis stigne, fontovi se već učitavaju s poslužitelja u drugoj zemlji, karta već postavlja kolačiće, a analitička skripta već se pokreće prije nego što je itko išta kliknuo. Natpis postaje ukras preko odluka koje su donesene bez njega.
Web stranica nije brošura kojoj je prikvačena politika privatnosti. Svaki element na njoj odluka je o tuđim podacima.
Svaki element pravna je odluka
Kad izrađujete web stranicu, ne birate samo kako će izgledati. Birate koje tvrtke dobivaju podatke vaših posjetitelja, kada i na kojoj pravnoj osnovi. Nekoliko sasvim običnih primjera:
- Web fontovi. Učitavanje fontova izravno s poslužitelja treće strane šalje IP adresu svakog posjetitelja tom pružatelju. Njemački sud (LG München I) 2022. godine dosudio je posjetitelju naknadu štete upravo zbog toga. Smještanje fontova na vlastiti poslužitelj ne košta ništa i uklanja problem.
- Ugrađeni videozapisi i karte. YouTube videozapis ili Google karta mogu postaviti kolačiće i kontaktirati vanjske poslužitelje čim se stranica učita. Jednostavno rezervirano mjesto „kliknite za učitavanje” to rješava.
- Analitika. Alati za praćenje koji pohranjuju identifikatore na uređaju u pravilu prvo trebaju privolu. Rješenja bez kolačića koja poštuju privatnost često ne trebaju — to je dizajnerski izbor, a ne pravna sitnica.
- Kontaktni obrasci. Svaki obrazac prikuplja osobne podatke. Tko prima poruke, gdje se pohranjuju i koliko dugo?
- Chat widgeti, alati za newsletter, sustavi za rezervacije. Svaki od njih obično je izvršitelj obrade kojem je potreban ugovor (članak 28. GDPR-a) i redak u vašoj politici privatnosti.
Ništa od toga nije egzotično. To je uobičajena anatomija poslovne web stranice. Upravo zato pravno znanje pripada u brief, uz paletu boja i mapu stranice.
Što zakon zapravo traži
Bez žargona, pravila za tipičnu poslovnu web stranicu svode se na nekoliko načela:
- Privola prije kolačića koji nisu nužni. Prema pravilima o e-privatnosti (članak 5. stavak 3. Direktive o e-privatnosti, prenesen u nacionalna prava — u Hrvatskoj Zakonom o elektroničkim komunikacijama), pohranjivanje ili čitanje podataka na uređaju zahtijeva privolu, osim ako je to strogo nužno za uslugu koju je posjetitelj zatražio.
- Prava privola, a ne trik. Sud Europske unije presudio je u predmetu Planet49 (2019.) da unaprijed označeni kvadratići nisu valjana privola. Europska nadzorna tijela očekuju da je „odbij” jednako jednostavno kao „prihvati”.
- Pravna osnova za svaku obradu. Članak 6. GDPR-a: privola, ugovor, pravna obveza, legitimni interes — potrebna vam je jedna i morate znati koja.
- Transparentnost. Članak 13. GDPR-a: jasnim jezikom recite što prikupljate, zašto, tko to prima i koliko dugo čuvate.
- Tehnička i integrirana zaštita podataka. Članak 25. GDPR-a doslovno traži da se zaštita podataka ugradi u sustav od samog početka. Sam zakon kaže: prvo oblikovati, a ne kasnije krpati.
- Oprez pri prijenosu izvan EU-a. Mnogi alati šalju podatke u SAD. Okvir za privatnost podataka EU-SAD (od srpnja 2023.) obuhvaća certificirane tvrtke, ali i dalje morate znati koje alate koristite i na kojoj osnovi.
Zašto je naknadno popravljanje skuplje
Rizik iz naslova jest kazna prema GDPR-u: do 20 milijuna eura ili 4 % ukupnog godišnjeg prometa na svjetskoj razini. Za malu tvrtku to je rijetko realna prijetnja. Realne prijetnje manje su i češće:
- opomene konkurenata ili udruga — uobičajene u Njemačkoj i Austriji;
- zahtjevi posjetitelja za naknadu nematerijalne štete prema članku 82. GDPR-a;
- pritužbe nadzornom tijelu, koje zatim postavlja pitanja na koja morate odgovoriti;
- i tihi trošak: ponovna izrada dijelova stranice koji su se mogli odmah napraviti kako treba.
Zamjena ugrađene karte, ponovno smještanje fontova, preslagivanje analitike i prepisivanje politike privatnosti nakon objave traju dulje nego da se to učini tijekom izrade. Pravno znanje primijenjeno na vrijeme jednostavno je jeftinije.
Što se mijenja — a što ne
Europska komisija u studenom 2025. predložila je „Digital Omnibus” koji bi, među ostalim, pravila o kolačićima premjestio u GDPR i uveo neke iznimke, primjerice za određeno mjerenje posjećenosti. U listopadu 2026. taj je dio i dalje nacrt: Vijeće nije usuglasilo pregovaračko stajalište i ništa nije doneseno.
Praktično pravilo je jednostavno: gradite za važeće pravo, a ne za prijedlog. Sadašnja pravila o privoli primjenjuju se danas. Ako se pravila promijene, stranicu s urednom logikom privole bit će i najlakše prilagoditi.
Kratki popis za vašu sljedeću web stranicu
- Popišite svaku uslugu treće strane koju će stranica učitavati — prije nego što se dizajn odobri.
- Fontove i ključne skripte smjestite na vlastiti poslužitelj gdje god možete.
- Videozapise, karte i sadržaje društvenih mreža stavite iza rezerviranog mjesta „kliknite za učitavanje”.
- Blokirajte kolačiće koji nisu nužni do davanja privole; neka „odbij” bude jednako vidljiv kao „prihvati”.
- Sklopite ugovore o obradi s pružateljima obrazaca, hostinga, newslettera i chata.
- Politiku privatnosti napišite prema stvarnim postavkama — ne prema predlošku.
Bit
Pravo nije neprijatelj dobrog dizajna. Uredne, brze web stranice koje učitavaju samo ono što im treba obično su istodobno usklađenije i ugodnije za korištenje. Najbolji trenutak za razmišljanje o GDPR-u jest dok još odlučujete što će stranica biti. Nakon toga više ne oblikujete — popravljate.
Želite znati gdje je vaša trenutačna web stranica? Naša besplatna GDPR provjera i provjera kolačića pokazuje što se učitava, što postavlja kolačiće i što treba ispraviti — a za 99 € to ispravljamo umjesto vas.
Pravnik po obrazovanju, izrađivač web stranica po zanimanju. Goran piše o digitalnom pravu EU-a — GDPR-u, DSA-u i Aktu o umjetnoj inteligenciji — i o tome što ono znači za one koji izrađuju i vode web stranice.
Izvori
Ovaj članak je opća informacija, a ne pravni savjet. Odražava pravno stanje na dan objave.