Kolačići i cookie baner - da li vam treba po srpskom zakonu?

Kada mali biznis iz Novog Sada pokrene sajt, cookie baner često deluje kao neprijatna formalnost - prozor koji zatrpava posetioca čim otvori stranicu. Pitanje je logično: da li mi je zaista potreban, ili može bez njega? Kratak odgovor je - za većinu poslovnih sajtova u Srbiji jeste obavezan, i to po srpskom Zakonu o zaštiti podataka o ličnosti (ZZPL), ne samo po evropskom GDPR-u. Kao agencija iz Novog Sada koja svakodnevno pravi sajtove za klijente iz Vojvodine, Beograda i regiona, kroz svaki projekat prolazimo kroz istu temu. U ovom vodiču razlažemo šta kolačići zapravo jesu, kada su cookie baner i politika kolačića zakonom obavezni, kako treba da izgleda ispravan baner, koje greške vidimo na svakom drugom srpskom sajtu, i kolike su realne kazne ako sajt ne poštuje pravila.

Kratak odgovor - da li vam treba cookie baner

Da ne biste čitali ceo tekst za odgovor na jednostavno pitanje, evo ga odmah:

• Ako sajt koristi Google Analytics, Meta Pixel, Hotjar ili bilo koji sličan analitički ili marketinški alat - cookie baner je obavezan
• Ako sajt koristi YouTube embed, Google Maps embed, Facebook plugin ili sličan sadržaj trećih strana - baner je obavezan jer embed sam postavlja kolačiće
• Ako sajt postavlja remarketing ili konverzijske kolačiće (Google Ads, Meta Ads, TikTok Ads, LinkedIn Insight) - baner je obavezan
• Ako sajt koristi samo strogo neophodne kolačiće (sesija, košarica, login) - baner tehnički nije obavezan, ali politika kolačića jeste
• Ako sajt radi i sa posetiocima iz EU - dodaje se GDPR, koji je stroži od srpskog standarda
• Jedini sajtovi koji su potpuno izuzeti su statične vizit kartice bez analitike, bez embedova i bez trećih strana

U praksi to znači da 95% poslovnih sajtova u Srbiji mora da ima ispravan cookie baner - ne samo obaveštenje da sajt koristi kolačiće, već funkcionalan mehanizam za prihvatanje ili odbijanje pre nego što se bilo šta postavi.

Šta su kolačići i koje vrste postoje

Pre nego što raspravljamo obavezu banera, važno je razumeti o čemu se tačno priča. Kolačić (cookie) je mala tekstualna datoteka koju sajt postavi u pretraživač posetioca - najčešće da bi se zapamtila sesija, jezik, sadržaj korpe ili korisničko ponašanje. Posetilac često ni ne primeti da se nešto desilo, ali svaki kolačić je potencijalno prikupljanje podataka.

Zakon ne tretira sve kolačiće isto. U praksi se dele u četiri kategorije:

• Strogo neophodni - omogućavaju osnovno funkcionisanje sajta (login sesija, korpa, pamćenje jezika). Za njih se pristanak ne traži.
• Funkcionalni - pamte izbor posetioca (tema, font, lokacija), ne služe za praćenje. Za njih je obično potreban pristanak.
• Analitički - mere ponašanje posetilaca (Google Analytics, Hotjar, Matomo). Pristanak je obavezan - čak i za anonimizovanu analitiku.
• Marketinški - prate posetioca kroz više sajtova (Meta Pixel, Google Ads, TikTok Pixel, LinkedIn Insight). Najstroži standard - pristanak mora biti izričit, informisan i opoziv.

Kada se raspravlja o obavezi banera, misli se na sve osim strogo neophodnih. Ako sajt ima ijedan kolačić izvan te kategorije, bez pristanka ne sme da ga postavi.

Šta kaže srpski zakon o kolačićima

Kolačići se u Srbiji primarno regulišu Zakonom o zaštiti podataka o ličnosti (ZZPL), koji je stupio na snagu 21. avgusta 2019. godine. ZZPL je u velikoj meri usklađen sa evropskim GDPR-om, tako da standard koji se traži za cookie pristanak nije blaži - u većini slučajeva je identičan.

Ključna definicija koja povezuje kolačiće i zakon: IP adresa, identifikator uređaja, ID iz kolačića i slični tehnički podaci po ZZPL-u smatraju se ličnim podacima. Čim sajt postavi kolačić koji može dovesti do identifikacije ili praćenja posetioca - a svaki analitički ili marketinški kolačić to radi - sajt postaje rukovalac ličnim podacima po zakonu i mora da postupa po pravilima o pristanku, informisanju i pravima korisnika.

ZZPL propisuje da svaki pristanak za obradu ličnih podataka mora biti slobodan, konkretan, informisan i nedvosmislen. Praktično za cookie baner to znači:

• Posetilac mora da zna šta tačno prihvata - koji kolačići, koja treća strana, koja svrha
• Pristanak mora biti aktivna radnja - klik na dugme, ne pasivno prihvatanje ili nastavak surfovanja
• Odbijanje mora biti jednako lako kao prihvatanje - ne sakriveno ispod dva klika u 'podešavanjima'
• Pristanak mora biti opoziv - posetilac u svakom trenutku može da ga povuče istom lakoćom kojom ga je dao
• Sajt mora da vodi evidenciju kad je i na šta tačno pristao korisnik - za slučaj prijave ili provere

Nadležan organ u Srbiji je Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti, koji ima ovlašćenja da pokrene postupak po prijavi građanina ili po službenoj dužnosti - i da izrekne novčane kazne pravnim licima, preduzetnicima i odgovornim licima.

Kada GDPR dodatno obavezuje srpski sajt

GDPR se primenjuje na svaku firmu koja obrađuje podatke posetilaca iz Evropske unije - bez obzira gde je firma pravno registrovana. Za srpske sajtove to znači da GDPR važi uporedo sa ZZPL-om u sledećim slučajevima:

• Sajt ima verziju na engleskom koja cilja klijente iz Nemačke, Austrije, Italije ili bilo koje EU zemlje
• Online prodavnica isporučuje robu u EU ili prihvata plaćanja iz EU zemalja
• SaaS ili softverska firma iz Novog Sada čiji su korisnici iz EU
• Konsultantska ili marketing agencija radi sa EU klijentima
• Sajt na srpskom cilja dijasporu u EU i oglašava se preko Google Ads ili Meta Ads

GDPR je u delu kolačića nešto stroži od ZZPL-a - posebno traži detaljnu kategorizaciju kolačića, specifičan pristanak po kategoriji i mogućnost da posetilac odbije ne samo marketing, već i analitiku. Ako sajt podleže GDPR-u, baner mora imati najmanje tri opcije - prihvati sve, odbij sve (ili samo neophodni) i detaljno podešavanje po kategoriji.

Kako izgleda ispravan cookie baner

Ispravan baner nije stvar dizajna, već funkcije. Da bi zadovoljio ZZPL i GDPR, mora da ispuni jasno definisane uslove - svaki od njih je testiran na stotinama evropskih presuda i preporuka organa za zaštitu podataka.

Minimum koji baner mora da sadrži:

• Jasno pitanje - posetilac mora odmah da razume o čemu se traži pristanak i zašto
• Dugme 'Prihvatam sve' - vidljivo i funkcionalno
• Dugme 'Odbijam sve' ili 'Samo neophodni' - istog ranga, iste veličine i boje kao dugme za prihvatanje
• Dugme 'Podešavanja' - gde posetilac bira po kategoriji (analitika, marketing, funkcionalnost)
• Link ka politici kolačića - gde se vidi detaljan spisak svih kolačića na sajtu
• Mehanizam za povlačenje pristanka - mala ikonica ili link u futeru koji omogućava novo podešavanje bez brisanja kolačića iz pretraživača

Pre nego što posetilac klikne na nešto - sajt ne sme da postavi nijedan analitički ili marketinški kolačić. Ovo je čest kvar na sajtovima iz Srbije: baner se prikazuje, ali Google Analytics već radi u pozadini. Takav baner nema pravnu težinu, i tehnički je gori nego da ga uopšte nema - jer potvrđuje da sajt zna za obavezu, a svesno je ne poštuje.

Dodatna preporuka koja ne spada u strogi minimum, ali je dobra praksa: snimiti verziju banera koju je posetilac video i njegov izbor, sa vremenskom oznakom. Ako kasnije dođe do prijave, to je dokaz da je pristanak dat na ispravan način.

Najčešće greške na banerima u Srbiji

Nažalost, većina banera koje srećemo na srpskim sajtovima ne ispunjava uslove. Evo šest grešaka koje vidimo na gotovo svakom drugom sajtu i koje zakonski ne prolaze:

• Baner samo obaveštava - 'Ovaj sajt koristi kolačiće' sa jednim dugmetom 'U redu'. Nema izbora, nema pristanka. Pravno beskorisno.
• Dugme 'Odbijam' je skriveno u 'Podešavanjima' ili sakriveno pod dva klika - zakon traži da je odbijanje jednako lako kao prihvatanje
• Kolačići se postavljaju pre nego što posetilac klikne - Google Analytics radi dok se baner još prikazuje
• Kvazi-prihvatanje - polja za marketinške i analitičke kolačiće već čekirana, posetilac mora ručno da ih isključi. Pristanak koji nije aktivan nije pristanak.
• Nema mehanizma za povlačenje - jednom kada se klikne, posetilac ne može da se predomisli bez brisanja kolačića iz pretraživača
• Baner nema link ka politici kolačića - ili link vodi na generičku politiku privatnosti bez spiska kolačića po imenu, svrsi i trajanju

Svaka od ovih grešaka je razlog za prijavu Povereniku. U praksi, kazne se najčešće izriču posle konkretne prijave građanina ili konkurencije, ne nasumičnom kontrolom - ali to ne znači da rizik ne postoji.

Kazne za sajtove bez ispravnog pristanka

Novčane kazne po ZZPL-u za pravna lica kreću se od 50.000 do 2.000.000 dinara po pojedinačnom prekršaju. Za preduzetnike su niže, do 500.000 dinara, a za odgovorno lice u pravnom licu do 150.000 dinara. Prekršaj se vezuje za svaki slučaj neispravne obrade - ne za svaki pogrešan baner, već za svaku situaciju gde je građanin prijavio obradu bez pristanka.

Za sajtove koji podležu i GDPR-u, maksimalne kazne su neuporedivo veće - do 20 miliona evra ili 4% globalnog godišnjeg prihoda, u zavisnosti šta je veće. Male srpske firme retko dobijaju maksimalne iznose, ali dovoljno je jedan ozbiljan slučaj prijave iz EU da postupak traje mesecima i košta hiljade evra u pravnim troškovima.

Osim direktnih kazni, postoji i praktična kazna koja pogađa odmah: Google Ads i Meta Ads suspenduju naloge sajtova koji nemaju ispravan cookie consent. Suspenzija dolazi bez upozorenja i jedini način da se nalog vrati je potpuna usaglašenost - što znači prepravka banera, politike kolačića i često i politike privatnosti.

Tehnička implementacija - šta sajt mora da radi

Pored same vizuelne komponente banera, postoje tehnički uslovi bez kojih nijedan baner ne prolazi:

• Blokada analitike i marketinga pre pristanka - skripte Google Analytics-a, Meta Pixel-a, Hotjar-a i sličnih alata ne smeju da se učitavaju dok posetilac ne klikne
• Granularni toggle - svaka kategorija (analitika, marketing, funkcionalnost) mora da se može zasebno uključiti i isključiti
• Čuvanje izbora - posetilac ne sme da vidi isti baner na svakoj stranici; izbor se pamti dok ga sam ne izmeni
• Period trajanja pristanka - preporučeno maksimum 12 meseci, posle čega se traži ponovno izjašnjavanje
• Lokalno čuvanje izbora - obično u localStorage ili posebnom tehničkom kolačiću koji nije tracker
• Fallback za zemlju posetioca - ako sajt detektuje da je posetilac iz EU, mora da prikaže stroži GDPR baner, a ne skraćenu srpsku verziju

U praksi, većina sajtova ovo rešava gotovim rešenjima - Cookiebot, Osano, CookieYes, Termly i slični provajderi nude integraciju koja pokriva veći deo tehničkih zahteva. Za WordPress sajtove postoje besplatni plaginovi (CookieYes free, Complianz) koji rade za jednostavnije slučajeve. Za custom Next.js i React sajtove preporučujemo rešenja koja ne učitavaju spoljnu skriptu zbog brzine, već se baner piše kao deo samog sajta sa integracijom ka Google Consent Mode v2 - od 2024. godine praktičan standard bez kog Google Ads kampanje gube deo izveštavanja.

Za biznise iz Novog Sada - lokalne specifičnosti

Za firme registrovane u Novom Sadu, Beogradu ili bilo kojem drugom gradu u Srbiji, ZZPL se primenjuje bez izuzetka - bez obzira gde je hosting, ko je pravio sajt i da li je sajt na srpskom ili engleskom. Praktični saveti koje dajemo klijentima:

• Baner mora biti dostupan na jeziku na kom je sajt - engleska verzija sajta zahteva engleski baner, srpska srpski
• Politika kolačića mora navoditi puno ime firme, PIB i matični broj iz APR-a (Agencija za privredne registre)
• Ako sajt cilja i EU klijente, baner se automatski podiže na GDPR nivo - ne postoji sredina
• Google Consent Mode v2 je od 2024. praktičan standard - bez njega Google Ads kampanje gube deo konverzijskog izveštavanja
• Za lokalne biznise koji koriste samo kontakt formu i Google Maps embed, obaveza i dalje važi - jer embed učitava Google kolačiće trećih strana

Cookie baner skoro nikad ne stoji sam - gotovo uvek ide uz politiku kolačića i politiku privatnosti. Detaljnije smo o samoj politici pisali u vodiču o politici privatnosti za sajt, gde objašnjavamo šta politika mora da sadrži i kada je advokat opravdan trošak. Širi spisak svih stranica koje poslovni sajt treba da ima - uključujući politiku kolačića i uslove korišćenja - pokriva vodič o osnovnim stranicama sajta.

Za sajtove koje mi pravimo, cookie baner, politika kolačića i integracija sa Google Consent Mode v2 su standardni deo izrade sajta po meri - zajedno sa politikom privatnosti i tehničkim blokiranjem analitike dok posetilac ne pristane. Konkretan obim posla i šta je uključeno u paket možete videti na našoj stranici sa cenama.

Zaključak

Cookie baner nije tema koja zaslužuje paniku, ali ni koja može da se zaboravi. Za većinu poslovnih sajtova u Srbiji - čim imate Google Analytics, remarketing ili ijedan embed - baner je obavezan, i to po srpskom ZZPL-u, bez čekanja na GDPR. Osnovna pravila su jednostavna: pitati pre postavljanja kolačića, dati jednaku šansu da se odbije kao i da se prihvati, pamtiti izbor i dokumentovati pristanak. Sve ostalo je detalj implementacije - i razlika između banera koji štiti od prijave i banera koji je samo kozmetika.

Ako niste sigurni da li vaš sajt poštuje srpski zakon ili pravite novi sajt za koji želite da budete sigurni da neće dobiti prijavu, kontaktirajte nas - proverićemo šta sajt zapravo postavlja u pretraživač, da li baner ispunjava zakonske uslove i predložićemo konkretne izmene da sve bude usklađeno sa ZZPL-om i GDPR-om gde je primenljivo.