GDPR za vlasnike web stranica: osam obveza na koje vlasnici rijetko misle
Autorica: Biljana Jelić, vlasnica agencije Digitalni Puls. Bavi se SEO-om, izradom i održavanjem WordPress web stranica i web trgovina. Članak nije pravni savjet.
Ako vaša web stranica ima kontaktni obrazac, newsletter, Google Analytics ili web trgovinu, obrađujete osobne podatke. Time ste po Općoj uredbi o zaštiti podataka (GDPR) voditelj obrade, isto kao banka ili teleoperater. Obveze su vam manje opsežne, ali vrste obveza su iste.
Većina vlasnika misli da je GDPR riješen bannerom za kolačiće i politikom privatnosti koju je netko kopirao 2018. Nije. A Agencija za zaštitu osobnih podataka (AZOP) ne kažnjava samo velike: u 2025. je kaznila i dva restorana i dvije trgovine.
Koga je sve AZOP kaznio u 2025. i zbog čega
Prema godišnjem izvješću koje je AZOP podnio Hrvatskom saboru, Agencija je u 2025. zaprimila 1.939 pritužbi i izrekla 13 upravnih novčanih kazni u ukupnom iznosu od 6.725.500 eura.
| Tko je kažnjen | Zbog čega | Iznos |
|---|---|---|
| Teleoperater | Prijenos podataka izvan EU-a bez zaštitnih mjera, nepotpuno informiranje korisnika | 4.500.000 € |
| Banka | Obrada bez pravne osnove, nepotpuno informiranje, nedovoljna tehnička zaštita | 1.500.000 € |
| Toplinarska tvrtka | Sigurnost obrade, nesuradnja s Agencijom | 320.000 € |
| Kladionica | Čuvanje podataka dulje nego što treba, sigurnost obrade | 175.000 € |
| Udruženje osiguravatelja | Čuvanje podataka dulje nego što treba, sigurnost obrade | 101.000 € |
| IT i komunikacijska tvrtka | Sigurnost obrade | 50.000 € |
| Veledrogerija | Sigurnost obrade, nepotpuno informiranje ispitanika | 35.000 € |
| Tvrtka za vodoopskrbu | Sigurnost obrade | 25.000 € |
| Trgovina | Kršenje načela zakonitosti, ograničenja svrhe i smanjenja količine podataka | 6.500 € |
| Restoran | Nezakonita obrada, videonadzor | 5.000 € |
| Restoran | Nesuradnja s Agencijom | 3.500 € |
| Trgovina | Videonadzor bez propisane oznake | 2.500 € |
| Osnovna škola | Obrada bez pravne osnove | 2.000 € |
Iz tablice se vidi dvoje. Sigurnost obrade (čl. 32.) pojavljuje se u sedam od trinaest kazni. I mala kazna može doći zbog nečega banalnog: jedan restoran platio je 3.500 eura jer nije surađivao s Agencijom, a ne zbog samih podataka.
Za kolačiće u 2025. nije bilo kazne, ali AZOP je za njih kažnjavao ranije. U rujnu 2023. dvije tvrtke za priređivanje igara na sreću platile su 20.000 i 30.000 eura. U travnju 2024. još dvije platile su 15.000 i 20.000 eura, jer su kolačiće postavljale prije nego što je posjetitelj dao privolu.
Osam obveza vlasnika web stranice
1. Politika privatnosti
Posjetitelj mora znati tko obrađuje njegove podatke, zašto, na kojoj osnovi, kome ih šaljete, koliko ih čuvate i koja prava ima (čl. 13.). Politika kopirana s tuđe web stranice gotovo nikad ne odgovara vašoj: navodi alate koje nemate, a izostavlja one koje imate.
Provjera: usporedite popis dodataka i servisa na web stranici s onim što piše u politici. Newsletter, chat, paketomati, Meta piksel, Google Ads: svaki od njih mora biti naveden.
2. Kolačići tek nakon privole
Zakon o elektroničkim komunikacijama (čl. 43. st. 4.) dopušta spremanje kolačića koji nisu nužni samo uz privolu korisnika. AZOP traži da gumbi „Prihvaćam” i „Odbijam” budu jednako istaknuti i da se privola daje posebno za svaku vrstu kolačića.
Najčešća greška nije nedostatak bannera, nego banner koji ništa ne blokira. Ove jeseni smo to vidjeli na dvije web stranice zaredom, uključujući vlastitu: banner se prikazivao, a Google Analytics i oglasni kolačići postavljali su se već na prvi pomak miša, prije ikakvog klika. Uzrok su bili dodaci za ubrzavanje web stranice, koji odgađaju skripte pa ih banner više ne prepoznaje.
Provjera: otvorite web stranicu u anonimnom prozoru, ne klikajte ništa na banneru i u alatima za razvojne programere (F12 > Application > Cookies) pogledajte postoje li kolačići _ga ili _gcl_au. Ako postoje, privola ne radi.
3. Evidencija aktivnosti obrade
Članak 30. traži popis svih obrada: što obrađujete, zašto, o kome, kome šaljete i koliko čuvate. Izuzeće postoji za tvrtke s manje od 250 zaposlenih, ali ne vrijedi ako obrada nije povremena. Web trgovina koja svaki dan prima narudžbe ili web stranica koja svaki dan bilježi posjete u Google Analyticsu obrađuje podatke stalno, pa se izuzeće na nju u pravilu ne odnosi.
Evidencija je i praktična: iz nje pišete politiku privatnosti, odgovarate na zahtjeve kupaca i pokazujete je AZOP-u ako zatraži. Možete je voditi u tablici, a kod WordPress web stranice evidenciju aktivnosti obrade možete složiti i iz same web stranice, jer dodaci i servisi koje web stranica koristi već pokazuju koje podatke obrađujete.
4. Ugovori s onima koji podatke obrađuju za vas
Hosting, servis za newsletter, knjigovodstvo, agencija koja održava web stranicu: svi oni obrađuju podatke vaših kupaca u vaše ime. S njima mora postojati ugovor o obradi (čl. 28.). Veliki servisi ga imaju u općim uvjetima, a kod manjih domaćih pružatelja često ga treba posebno zatražiti.
Provjera: za svakog pružatelja na popisu pronađite gdje mu je ugovor o obradi, odnosno DPA (Data Processing Agreement). Ako ga ne možete naći, pišite im.
5. Podaci koji odlaze izvan EU-a
Najveća kazna u 2025. bila je upravo za prijenos podataka izvan EU-a bez valjanih zaštitnih mjera. Na web stranici to su najčešće američki servisi: analitika, oglašavanje, newsletter, chat. Za prijenos u SAD danas se većinom oslanjate na to je li tvrtka uključena u okvir EU-a i SAD-a za privatnost podataka (Data Privacy Framework) ili ima standardne ugovorne klauzule. To mora pisati i u politici privatnosti.
6. Zahtjevi posjetitelja i kupaca u roku od mjesec dana
Svatko može tražiti da mu pošaljete sve podatke koje imate o njemu, da ih ispravite ili obrišete. Rok je mjesec dana od primitka zahtjeva, a može se produljiti za još dva mjeseca ako je zahtjev složen, uz obavijest u prvom mjesecu (čl. 12.). Odgovor je besplatan, a zahtjev može stići bilo kojim kanalom: mailom, porukom na Facebooku ili telefonom.
Provjera: znate li gdje sve imate podatke o jednom kupcu? Uz WordPress su tu i newsletter, poslovna pošta, knjigovodstvo i dostavna služba.
7. Sigurnost i povrede podataka
Sedam od trinaest kazni u 2025. odnosi se na sigurnost obrade (čl. 32.). Za web stranicu to znači ažuran WordPress i dodatke, jake lozinke i dvostruku provjeru za administratore, redovite sigurnosne kopije i samo onoliko korisničkih računa koliko vam stvarno treba.
Ako se dogodi povreda, primjerice provala u web stranicu ili poslan mail s popisom kupaca u vidljivoj kopiji, AZOP-u je prijavljujete bez nepotrebnog odgađanja, najkasnije 72 sata nakon što ste za nju saznali, ako je izvedivo (čl. 33.). Svaku povredu morate i zabilježiti, i onu koju ne prijavljujete.
8. Odgovor Agenciji
Kad AZOP pošalje upit, odgovarate u roku i s traženim dokumentima. Restoran iz tablice platio je 3.500 eura upravo zato što nije surađivao. To je najlakše izbjegnuta kazna na popisu.
Ako imate i fizičku trgovinu ili ured s kamerama: dvije manje kazne u 2025. odnose se na videonadzor. Ulaz u prostor pod videonadzorom mora imati vidljivu oznaku s propisanim podacima.
Kontrolni popis za pola sata
| Obveza | Što provjeriti | Gotovo |
|---|---|---|
| Politika privatnosti | Navodi li sve alate i servise koje stvarno koristite? | ☐ |
| Kolačići | Postavljaju li se _ga i oglasni kolačići prije klika na banner? | ☐ |
| Evidencija obrade | Postoji li, makar kao tablica? | ☐ |
| Ugovori o obradi | Imate li DPA za hosting, newsletter, knjigovodstvo, agenciju? | ☐ |
| Prijenos izvan EU-a | Znate li koji servisi su iz SAD-a i na čemu se temelji prijenos? | ☐ |
| Zahtjevi | Znate li sva mjesta gdje su podaci jednog kupca? | ☐ |
| Sigurnost | Ažuriranja, sigurnosne kopije, dvostruka provjera za administratore? | ☐ |
| Povrede | Znate li kome i u kojem roku prijavljujete povredu? | ☐ |
Mi pratimo Google i zakone, a vi radite svoj posao.
Pišemo samo kad je važno, o promjenama u Googleu i propisima koje utječu na vaš posao, uz savjete i besplatne alate koje sami razvijamo.
Popis od 17 obveza koje vaša web stranica mora imati u 2026., uz svaku propis i rok.
- Samo kad je važno
- Bez spama
- Odjava jednim klikom
