Da li politika privatnosti mora biti na srpskom jeziku?

Za sajtove firmi registrovanih u Srbiji, politika mora biti dostupna na srpskom jeziku (latinicom ili ćirilicom). Ako sajt ima verzije na više jezika, politika privatnosti mora postojati na svakom jeziku sajta - engleska verzija sajta bez engleske politike privatnosti nije usklađena.

Da li mi treba politika privatnosti ako imam samo vizit sajt bez formi?

Ako sajt nema nijednu formu, ne koristi analitiku, ne postavlja marketinške kolačiće i ne prikuplja nikakve podatke - politika privatnosti nije obavezna. U praksi je to izuzetak - čim uključite Google Analytics ili cookie banner, obaveza počinje da važi. Bezbednije je uvek imati bar minimalnu verziju.

Kolike su kazne ako sajt nema politiku privatnosti u Srbiji?

Novčane kazne po ZZPL-u kreću se od 50.000 do 2.000.000 dinara za pravna lica po pojedinačnom prekršaju. Za preduzetnike su niže, do 500.000 dinara. Za sajtove koji podležu i GDPR-u, kazne mogu biti neuporedivo veće - do 20 miliona evra ili 4% globalnog prihoda.

Da li mogu da kopiram politiku privatnosti sa drugog sajta?

Pravno može, ali praktično je opasno - politika mora tačno odgovarati stvarnoj obradi podataka na vašem sajtu (koje forme, koji alati, koje treće strane). Ako se ne poklapa, ne ispunjava zakonske uslove čak i ako je tekst savršeno napisan. Bolje je koristiti šablon i prilagoditi ga konkretnoj firmi.

Da li mi treba i politika kolačića uz politiku privatnosti?

Ako sajt koristi bilo kakve kolačiće osim strogo neophodnih (a većina koristi kroz analitiku i marketinške alate), potrebna je i politika kolačića i cookie consent baner sa jasnim izborom prihvatanja ili odbijanja. Politika kolačića može biti poseban dokument ili poglavlje unutar politike privatnosti.

Da li mi je potreban advokat da napiše politiku privatnosti?

Za većinu malih biznisa nije - kvalitetan šablon prilagođen konkretnoj firmi, sa tačnim imenom, PIB-om i spiskom alata koje sajt koristi, zakonski je dovoljan. Advokat je opravdan trošak za osetljive delatnosti (medicina, finansije), velike prodavnice sa EU tržištem, ili firme koje rade sa maloletnicima.

Da li se politika privatnosti razlikuje od uslova korišćenja?

Da - to su dva različita dokumenta. Politika privatnosti se bavi obradom ličnih podataka. Uslovi korišćenja definišu prava i obaveze između sajta i korisnika - ko sme šta da koristi, autorska prava, ograničenja odgovornosti. Za većinu poslovnih sajtova potrebna su oba dokumenta, a za prodavnice se dodaje i politika reklamacija.

Kada sajt cilja i EU klijente - da li dovoljan ZZPL ili treba GDPR?

Ako sajt na bilo koji način cilja korisnike iz EU (jezik, valuta, isporuka, oglašavanje), primenjuje se i GDPR uz ZZPL. Politika privatnosti mora pokriti dodatne GDPR obaveze - poseban pravni osnov obrade, prava korisnika po GDPR-u, i po potrebi ugovor o obradi podataka (DPA) sa trećim stranama.

Da li moj sajt mora da ima Politiku privatnosti?

Kada mali biznis iz Novog Sada prvi put pokreće sajt, politika privatnosti je najčešće poslednja stvar o kojoj se razmišlja - i prva zbog koje kasnije stižu problemi. Pitanje je jednostavno: da li je politika privatnosti zakonom obavezna za sajt u Srbiji, ili je to nešto što se dodaje samo ako sajt radi sa klijentima iz EU? Kratak odgovor je - obavezna je za skoro svaki sajt, i to po srpskom zakonu, ne samo po GDPR-u. Kao agencija iz Novog Sada koja svakodnevno radi na izradi sajtova za klijente iz Vojvodine, Beograda i regiona, ovu temu vidimo kod svakog projekta. U ovom vodiču ćemo tačno pokazati šta srpski zakon traži, kada se dodatno primenjuje GDPR, šta politika privatnosti mora da sadrži, kolike su kazne za sajtove koji je nemaju, i kada je zaista potrebno angažovati advokata.

Kratak odgovor - da li vam treba politika privatnosti

Da ne biste čitali ceo tekst za odgovor na jednostavno pitanje, evo ga odmah:

Ako sajt ima kontakt formu, njuzleter, korisničke naloge ili bilo kakvu formu - politika privatnosti je obavezna
Ako sajt koristi Google Analytics, Meta Pixel, Hotjar ili slične alate za praćenje - obavezna je
Ako sajt koristi bilo kakve kolačiće osim strogo neophodnih - obavezna je i politika kolačića uz pristanak posetioca
Ako sajt prodaje robu ili usluge - obavezni su i politika privatnosti i uslovi korišćenja, a za online prodavnicu i politika reklamacija
Ako radite sa klijentima iz EU (ili sajt na engleskom cilja EU tržište) - dodaje se i GDPR usklađenost
Jedini sajtovi kojima politika privatnosti nije obavezna su čisto statične vizit karte - bez formi, bez analitike, bez ijednog kolačića preko strogo neophodnih

U praksi, to znači da 99% poslovnih sajtova u Srbiji mora da ima politiku privatnosti. U nastavku razlažemo tačno šta zakon traži i šta se dešava ako je nemate.

Šta kaže srpski zakon - Zakon o zaštiti podataka o ličnosti (ZZPL)

Osnovni propis koji reguliše ovu oblast u Srbiji je Zakon o zaštiti podataka o ličnosti (ZZPL), koji je stupio na snagu 21. avgusta 2019. godine. Zakon je u velikoj meri usklađen sa evropskim GDPR-om, što praktično znači da srpski standard nije blaži - u većini slučajeva je gotovo identičan.

Ključna definicija koju treba razumeti: pod ličnim podatkom se smatra svaka informacija koja se odnosi na identifikovano ili odredivo fizičko lice. To uključuje ime, mejl, broj telefona, adresu, IP adresu, korisničko ime, fotografiju, pa čak i kombinacije podataka iz kolačića kojima se posetilac može identifikovati. Drugim rečima, čim sajt prikupi bilo šta od toga - a skoro svaki sajt to radi - postaje rukovalac ličnim podacima po zakonu.

Nadležan organ za primenu zakona u Srbiji je Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti. Poverenik ima ovlašćenja da pokrene postupak po prijavi građanina ili po službenoj dužnosti, i može da izrekne novčane kazne pravnim licima, preduzetnicima i odgovornim licima.

Kada se dodatno primenjuje GDPR

GDPR (General Data Protection Regulation) je evropska uredba koja se ne primenjuje samo na firme iz EU. Primenjuje se na svaku firmu, iz bilo koje zemlje, koja obrađuje lične podatke građana Evropske unije. To znači da srpski sajt može biti podložan GDPR-u čak i ako je firma registrovana u Srbiji i nema fizičku kancelariju u EU.

Konkretni slučajevi u kojima GDPR obavezuje i srpske sajtove:

Sajt na engleskom koji cilja klijente iz Nemačke, Austrije, Italije ili bilo koje EU zemlje
Online prodavnica koja isporučuje robu u EU ili prihvata plaćanja iz EU
SaaS ili softverska firma iz Novog Sada čiji korisnici mogu biti iz EU
Konsultantska ili marketing agencija koja radi sa firmama iz EU
Bilo koji sajt koji ima ugrađenu opciju za registraciju korisnika iz EU zemalja

Ako se biznis ne uklapa ni u jedan od ovih scenarija - dovoljno je da politika privatnosti bude usklađena sa srpskim ZZPL-om. Ako spada u bilo koji - politika mora dodatno da pokrije GDPR obaveze, koje su nešto detaljnije (posebno u delu prava korisnika i pravnog osnova za obradu podataka).

Šta politika privatnosti mora da sadrži

Politika privatnosti nije formalnost koja se popuni s tri pasusa generičkog teksta. Da bi ispunila zakonske uslove, mora jasno da odgovori na tačno definisan skup pitanja. Minimum koji ZZPL (i GDPR) traži:

Ko je rukovalac podacima - puno ime firme, adresa, PIB i matični broj
Kontakt podaci za pitanja o privatnosti - najčešće mejl adresa (npr. privatnost@vasafirma.rs)
Koji se lični podaci prikupljaju - ime, mejl, IP, kolačići, podaci iz formi, itd.
Zašto se ti podaci prikupljaju - svrha obrade (odgovor na upit, slanje njuzletera, isporuka narudžbine)
Pravni osnov za obradu - pristanak, izvršenje ugovora, zakonska obaveza ili legitiman interes
Ko ima pristup podacima - treće strane, obradjivači (Google, hosting firma, platni procesor)
Da li se podaci prenose van Srbije ili EU - i pod kojim uslovima
Koliko dugo se podaci čuvaju - konkretno vreme za svaku kategoriju
Prava korisnika - pravo na uvid, ispravku, brisanje, prigovor i prenos podataka
Podaci o Povereniku i pravo na pritužbu

Politika privatnosti mora biti napisana jasnim, razumljivim jezikom - ne pravničkim rečnikom koji niko ne čita. Ovo je izričito propisano zakonom. Kopiran tekst na engleskom sa strane sajta ili preveden bez prilagođavanja konkretnoj firmi neće proći ako dođe do prijave.

Politika kolačića - poseban dokument ili deo iste politike

Ako sajt koristi bilo kakve kolačiće koji nisu strogo neophodni za funkcionisanje - a većina sajtova ih koristi, kroz Google Analytics, Facebook Pixel, Hotjar ili remarketing alate - obavezna je politika kolačića. Uz nju je obavezan i cookie consent banner koji od posetioca traži izričit pristanak PRE nego što se ti kolačići postave.

Politika kolačića se može urediti kao poseban dokument ili kao poglavlje unutar politike privatnosti. U svakom slučaju, mora da sadrži:

Objašnjenje šta su kolačići i kako se koriste
Spisak kolačića po kategorijama (neophodni, analitički, marketinški, funkcionalni)
Ime svakog konkretnog kolačića, ko ga postavlja i koliko dugo traje
Uputstvo kako posetilac može da povuče pristanak ili obriše kolačiće

Najčešća greška koju vidimo na sajtovima iz Srbije je da baner samo obaveštava posetioca da sajt koristi kolačiće, bez opcije da ih odbije. To ne ispunjava uslove ZZPL-a ni GDPR-a. Baner mora ponuditi jasan izbor - prihvati sve, odbij sve (ili samo neophodne), i po mogućnosti opciju prilagođavanja po kategoriji.

Šta se dešava ako sajt nema politiku privatnosti - kazne

Nedostatak politike privatnosti sam po sebi nije direktan prekršaj - ali sve što ide uz to jeste. Ako sajt prikuplja podatke bez jasno objavljenih informacija o obradi, bez pristanka gde je on potreban, ili bez ispunjenih obaveza informisanja - reč je o kršenju ZZPL-a i posledice mogu biti ozbiljne.

Novčane kazne po ZZPL-u za pravna lica kreću se od 50.000 do 2.000.000 dinara po prekršaju. Za preduzetnike su nešto niže (do 500.000 dinara), a za odgovorno lice u pravnom licu do 150.000 dinara. Ove kazne nisu teoretske - Poverenik je već izrekao višestruke kazne firmama iz Srbije zbog neusklađenosti sajta sa zakonom.

Za sajtove koji podležu i GDPR-u, kazne su neuporedivo veće - do 20 miliona evra ili 4% globalnog godišnjeg prihoda, u zavisnosti šta je veće. Male firme iz Srbije retko dobijaju maksimalne kazne, ali dovoljno je da jedan nezadovoljni klijent iz EU podnese prijavu i pokrene se postupak koji, i bez maksimalne kazne, ume da košta hiljade evra u pravnim troškovima i vremenu.

Osim direktnih kazni, praktične posledice uključuju i suspenziju Google Ads i Meta Ads naloga - obe platforme zahtevaju da sajt ima politiku privatnosti i jasan cookie consent pre nego što se oglasi puste. Sajtovi bez toga se povremeno automatski suspenduju bez upozorenja.

Da li vam treba advokat ili je dovoljan šablon

Ovo je pitanje na koje se odgovor razlikuje od biznisa do biznisa. Za većinu malih biznisa - lokalne uslužne firme, vizit sajtove, jednostavne kontakt sajtove - kvalitetan šablon prilagođen konkretnoj firmi je sasvim dovoljan. Angažovanje advokata za osnovnu verziju je preteran trošak koji većina agencija i dobrih šablona može da pokrije za mnogo manje novca.

Angažovanje advokata specijalizovanog za zaštitu podataka je opravdano u sledećim slučajevima:

Sajt obrađuje osetljive podatke - zdravstveni, biometrijski, finansijski
Online prodavnica sa velikim brojem korisnika i međunarodnim isporukama
SaaS ili softverska firma koja obrađuje podatke za treće strane
Firma koja radi sa velikim klijentima iz EU koji traže poseban ugovor o obradi podataka (DPA)
Bilo koja platforma koja radi sa maloletnicima kao korisnicima

Za sve ostale slučajeve, standardni šablon koji je prilagođen konkretnoj firmi (sa tačnim imenom, PIB-om, spiskom alata koji se koriste i realnim opisom obrade) je i pravno dovoljan i praktičan. Bitno je samo da šablon nije samo copy-paste sa drugog sajta - mora tačno odgovarati stvarnoj obradi podataka na vašem sajtu.

Gde tačno na sajtu politika privatnosti treba da stoji

Politika privatnosti mora biti dostupna sa svake stranice sajta, u svakom trenutku. Ne mora biti u glavnoj navigaciji (i najčešće nije - zbunjuje posetioce), ali mora postojati stalan link koji vodi do nje. Standardno mesto je futer sajta, zajedno sa uslovima korišćenja i politikom kolačića.

Dodatna mesta gde link ka politici privatnosti mora da postoji:

Ispod svake forme (kontakt, njuzleter, registracija) - sa jasnom napomenom o obradi podataka i linkom
U cookie consent baneru - link na politiku kolačića (ili odgovarajući deo politike privatnosti)
Na thank-you stranicama nakon slanja forme
Na stranicama registracije ili korisničkih naloga
Ako radi checkout - obavezno pre finalizacije narudžbine

Politika privatnosti je jedna od stranica koja mora da postoji na svakom ozbiljnom poslovnom sajtu - detaljniji spisak svih stranica koje sajt treba da ima pisali smo u vodiču o osnovnim stranicama sajta, gde se politika privatnosti posebno obrađuje u kontekstu zakonskih obaveza u Srbiji.

Za biznise iz Novog Sada - lokalne specifičnosti

Za firme koje su registrovane u Novom Sadu, Beogradu ili bilo kojem drugom srpskom gradu, primenjuje se srpski ZZPL bez izuzetka. Bez obzira što je hosting sajta u inostranstvu ili sajt komuniciran na engleskom, ako je firma pravno registrovana u Srbiji - obaveze idu po srpskom zakonu.

Praktični saveti koje dajemo klijentima iz Novog Sada kada pravimo sajt:

Ime i PIB firme na politici privatnosti moraju biti identični podacima iz APR-a (Agencija za privredne registre)
Adresa navedena u politici mora biti adresa registrovanog sedišta firme, ne kancelarije
Ako je firma paušalac ili preduzetnik, to takođe mora biti jasno navedeno - pravni status utiče na obaveze
Kontakt mejl za pitanja o privatnosti treba da bude nezavisan od glavnog kontakt mejla (može biti alias tipa privatnost@firma.rs)
Ako sajt cilja i regionalne posetioce (BiH, Crna Gora, Hrvatska), politika mora pokriti i te jurisdikcije - ali za većinu slučajeva srpski ZZPL je dovoljan osnov

Za sajtove koji tek startuju, politiku privatnosti obično uključujemo kao standardni deo svake izrade sajta po meri - zajedno sa politikom kolačića, cookie consent banerom i uslovima korišćenja gde su primenljivi. Konkretan obim posla i šta je uključeno u paket možete videti na našoj stranici sa cenama. Za većinu klijenata to je dovoljno da sajt bude zakonski usklađen bez dodatnih troškova advokata.

Kada treba obnoviti ili ažurirati politiku privatnosti

Politika privatnosti nije dokument koji se napiše jednom i zaboravi. Mora se ažurirati svaki put kada dođe do promene u obradi podataka. Konkretno, u ovim situacijama je obavezna revizija:

Kada se doda ili ukloni bilo koji alat koji radi sa podacima (nova analitika, nov chat, nov CRM)
Kada se doda nova funkcionalnost sajta (registracija, plaćanje, komentari)
Kada se izmeni pravni status firme ili sedište
Kada se izmeni zakon ili sudska praksa u ovoj oblasti (najmanje jednom godišnje pregledati)
Kada se doda nova zemlja u koju se šalju podaci ili nova treća strana

Svaka verzija politike privatnosti mora imati jasan datum stupanja na snagu, i po pravilu se čuva istorija verzija za slučaj prijave ili spora. Ovo je detalj koji većina firmi zaboravi - ali koji Poverenik traži u slučaju provere.

Česta pitanja

Da li politika privatnosti mora biti na srpskom jeziku?: Za sajtove firmi registrovanih u Srbiji, politika mora biti dostupna na srpskom jeziku (latinicom ili ćirilicom). Ako sajt ima verzije na više jezika, politika privatnosti mora postojati na svakom jeziku sajta - engleska verzija sajta bez engleske politike privatnosti nije usklađena.
Da li mi treba politika privatnosti ako imam samo vizit sajt bez formi?: Ako sajt nema nijednu formu, ne koristi analitiku, ne postavlja marketinške kolačiće i ne prikuplja nikakve podatke - politika privatnosti nije obavezna. U praksi je to izuzetak - čim uključite Google Analytics ili cookie banner, obaveza počinje da važi. Bezbednije je uvek imati bar minimalnu verziju.
Kolike su kazne ako sajt nema politiku privatnosti u Srbiji?: Novčane kazne po ZZPL-u kreću se od 50.000 do 2.000.000 dinara za pravna lica po pojedinačnom prekršaju. Za preduzetnike su niže, do 500.000 dinara. Za sajtove koji podležu i GDPR-u, kazne mogu biti neuporedivo veće - do 20 miliona evra ili 4% globalnog prihoda.
Da li mogu da kopiram politiku privatnosti sa drugog sajta?: Pravno može, ali praktično je opasno - politika mora tačno odgovarati stvarnoj obradi podataka na vašem sajtu (koje forme, koji alati, koje treće strane). Ako se ne poklapa, ne ispunjava zakonske uslove čak i ako je tekst savršeno napisan. Bolje je koristiti šablon i prilagoditi ga konkretnoj firmi.
Da li mi treba i politika kolačića uz politiku privatnosti?: Ako sajt koristi bilo kakve kolačiće osim strogo neophodnih (a većina koristi kroz analitiku i marketinške alate), potrebna je i politika kolačića i cookie consent baner sa jasnim izborom prihvatanja ili odbijanja. Politika kolačića može biti poseban dokument ili poglavlje unutar politike privatnosti.
Da li mi je potreban advokat da napiše politiku privatnosti?: Za većinu malih biznisa nije - kvalitetan šablon prilagođen konkretnoj firmi, sa tačnim imenom, PIB-om i spiskom alata koje sajt koristi, zakonski je dovoljan. Advokat je opravdan trošak za osetljive delatnosti (medicina, finansije), velike prodavnice sa EU tržištem, ili firme koje rade sa maloletnicima.
Da li se politika privatnosti razlikuje od uslova korišćenja?: Da - to su dva različita dokumenta. Politika privatnosti se bavi obradom ličnih podataka. Uslovi korišćenja definišu prava i obaveze između sajta i korisnika - ko sme šta da koristi, autorska prava, ograničenja odgovornosti. Za većinu poslovnih sajtova potrebna su oba dokumenta, a za prodavnice se dodaje i politika reklamacija.
Kada sajt cilja i EU klijente - da li dovoljan ZZPL ili treba GDPR?: Ako sajt na bilo koji način cilja korisnike iz EU (jezik, valuta, isporuka, oglašavanje), primenjuje se i GDPR uz ZZPL. Politika privatnosti mora pokriti dodatne GDPR obaveze - poseban pravni osnov obrade, prava korisnika po GDPR-u, i po potrebi ugovor o obradi podataka (DPA) sa trećim stranama.

Zaključak

Politika privatnosti nije formalnost, ali nije ni razlog za paniku. Za većinu malih i srednjih biznisa u Srbiji, kvalitetno prilagođen šablon koji tačno opisuje obradu podataka na sajtu je dovoljan da zadovolji ZZPL. Ako sajt cilja i EU tržište - dodaje se sloj GDPR obaveza koje su nešto strože, ali savladive bez advokata za jednostavne slučajeve. Ono što se ne isplati je odlagati - kazne po srpskom zakonu su realne, a suspenzija Google Ads ili Meta Ads naloga zbog nedostatka politike zna da košta više od godišnjeg troška izrade sajta.

Ako pravite novi sajt ili niste sigurni da li vaš postojeći sajt ispunjava zakonske uslove, kontaktirajte nas - proverićemo šta je postavljeno na sajtu, koje politike nedostaju i predložićemo šta konkretno treba dodati da sajt bude potpuno usklađen sa srpskim zakonom i GDPR-om gde je primenljivo.

Spremni za sajt koji donosi rezultate?

Zakažite besplatan razgovor i zajedno ćemo pronaći rešenje prilagođeno vašem biznisu.

Zakažite besplatan razgovor