Kolačići u webshopu: kako postaviti privolu po zakonu

Webshop u Hrvatskoj smije bez privole koristiti samo kolačiće koji su nužni da trgovina radi: košaricu, prijavu kupca i spremanje izbora iz bannera. Za sve ostalo, od Google Analyticsa do Meta Pixela i oglasnih kolačića, kupac mora prvo pristati, i to aktivno, nakon jasne obavijesti o svrsi. Privolu mora moći odbiti i povući jednako lako kao što je daje.

Ukratko

• Pravilo je u članku 43. stavku 4. Zakona o elektroničkim komunikacijama: pohrana podataka na uređaj korisnika dopuštena je samo uz privolu, osim kad je nužna za uslugu koju je korisnik zatražio.
• Kolačići koji traže privolu ne smiju se postaviti pri prvom otvaranju stranice, nego tek nakon pristanka.
• Velika većina europskih nadzornih tijela traži da uz "Prihvati" na istom sloju bannera bude i mogućnost odbijanja, bez unaprijed označenih kućica.
• Za Google Ads Google traži privolu za personalizaciju oglasa i da mu kupčev izbor proslijedite preko Consent Modea.
• Vijeće EU-a 21. 10. 2026. dogovorilo je stajalište koje bi smanjilo broj bannera, ali to još nije zakon.

Što kaže zakon

U Hrvatskoj kolačiće uređuje Zakon o elektroničkim komunikacijama (ZEK, NN 76/22, 14/24, 45/26). Članak 43. stavak 4. kaže da je pohrana podataka ili pristup podacima u terminalnoj opremi korisnika dopušten samo ako je korisnik dao privolu, nakon što je dobio jasnu i potpunu obavijest, osobito o svrhama obrade. Iznimka je pohrana koja je nužna za prijenos komunikacije ili za uslugu koju je korisnik izričito zatražio.

Terminalna oprema je uređaj kupca: mobitel, laptop ili tablet. Pravilo zato ne vrijedi samo za kolačiće, nego i za druge tehnologije koje nešto spremaju na uređaj ili s njega čitaju.

ZEK u članku 166. korištenje takve pohrane bez privole ili bez potpune obavijesti navodi među teškim povredama zakona. Nadzor provodi HAKOM. U jednom rješenju iz studenoga 2019., donesenom po prijavama korisnika i prema tadašnjem zakonu, HAKOM je tvrtki naložio da u roku od 30 dana u obavijesti navede vrstu kolačića, svrhu, uvjete korištenja i trajanje, te da za svaku vrstu kolačića omogući prethodno označavanje privole.

Koji kolačići ne trebaju privolu, a koji trebaju

Privolu ne trebaju kolačići bez kojih usluga koju je kupac zatražio ne bi radila. Europska komisija na portalu Vaša Europa kao primjere navodi kolačiće za unose korisnika i kolačiće za potvrdu identiteta. Kolačići za praćenje i kolačići treće strane za oglašavanje traže privolu i ne smiju se postaviti pri prvom otvaranju stranice.

U webshopu to obično izgleda ovako:

• Bez privole: košarica, prijava u korisnički račun, zaštita obrazaca i plaćanja, spremanje kupčeva izbora iz bannera.
• Uz privolu: Google Analytics, Meta Pixel, Google Ads konverzije i remarketing, alati za snimanje posjeta, oglasni kolačići.

Kolačić ne proglašavajte nužnim samo zato što vam je koristan. Europski odbor za zaštitu podataka (EDPB) u izvješću radne skupine za cookie bannere, usvojenom 17. 1. 2023., upozorava na voditelje stranica koji kao "nužne" označavaju kolačiće čija svrha to nije. Isto izvješće podsjeća da kolačić koji pamti korisnikov izbor smije biti nužan.

Kako izgleda ispravan banner

Ispravan banner kupcu daje stvaran izbor. Iz EDPB-ova izvješća i pravila o prethodnoj privoli proizlazi pet zahtjeva:

• Odbijanje uz "Prihvati". Velika većina nadzornih tijela u EDPB-ovu izvješću smatra da banner koji na sloju s gumbom za pristanak nema i mogućnost odbijanja ne daje valjanu privolu.
• Bez unaprijed označenih kućica. Prema istom izvješću, unaprijed označena kućica nije valjana privola.
• Bez skrivanja odbijanja. Izvješće kao očito zavaravajući primjer navodi gumb za odbijanje toliko slabog kontrasta da se tekst ne može pročitati.
• Nema kolačića prije klika. Prema portalu Vaša Europa, analitika i oglasi pokreću se tek nakon što kupac pristane.
• Povlačenje privole uvijek dostupno. EDPB predlaže malu, stalno vidljivu ikonu ili poveznicu na vidljivom mjestu, primjerice u podnožju stranice.

Kupac koji odbije kolačiće i dalje mora moći kupovati. Portal Vaša Europa navodi da korisnik koji povuče privolu mora zadržati pristup barem dijelu stranice. U webshopu to znači da odbijanje nikad ne smije blokirati košaricu ili plaćanje.

Obavijest o kolačićima pišite za kupca, a ne za pravnika. Za svaku vrstu kolačića navedite čemu služi, tko ga postavlja i koliko traje. Vrstu, svrhu i trajanje kolačića HAKOM je tražio i u rješenju iz 2019.

Kako postaviti privolu u praksi

Privolu je najlakše riješiti alatom za upravljanje privolama (engl. consent management platform, CMP) ili ugrađenim bannerom vaše platforme. Kod odabira provjerite četiri stvari:

• Blokira li skripte do pristanka. Banner koji samo prikazuje poruku, a analitiku učitava odmah, ne rješava ništa.
• Pamti li dokaz privole. Prema članku 7. Opće uredbe o zaštiti podataka (GDPR), kad se obrada temelji na privoli, morate moći dokazati da je osoba pristala. Alat zato treba bilježiti kada je izbor dan i koji je bio.
• Omogućuje li povlačenje. Isti članak kaže da se privola može povući u bilo kojem trenutku i da povlačenje mora biti jednako jednostavno kao davanje.
• Pokriva li ugrađeni sadržaj. Video, karte ili chat treće strane mogu postavljati vlastite kolačiće. Ako ih postavljaju, i oni moraju čekati privolu.

Google Analytics, Google Ads i Consent Mode

Ako koristite Googleove alate, banner nije dovoljan sam za sebe: Google traži da mu javite i kupčev izbor. Prema Googleovim pravilima o privoli korisnika iz EU-a, od korisnika iz Europskog gospodarskog prostora, Ujedinjenog Kraljevstva i Švicarske morate dobiti privolu za kolačiće gdje je zakonom potrebna te za prikupljanje, dijeljenje i korištenje osobnih podataka za personalizaciju oglasa.

Consent Mode je Googleov način na koji banner javlja tagovima što je kupac odabrao, pa se oni ponašaju u skladu s tim izborom. Na stranici o Consent Modeu za razvojne programere Google navodi da izbor korisnika morate proslijediti Googleu. Za webshop su najvažnija četiri signala:

• analytics_storage: kolačići za analitiku, primjerice Google Analytics.
• ad_storage: kolačići za oglašavanje.
• ad_user_data: smiju li se podaci o korisniku slati Googleu za oglašavanje.
• ad_personalization: smiju li se prikazivati personalizirani oglasi.

Kad kupac odbije personalizirane oglase, remarketing u Google Adsu za njega ne dobiva podatke. Ako vodite Google Ads kampanje, Consent Mode postavite zajedno s bannerom, jer Google traži da mu proslijedite kupčev izbor.

Što se mijenja: prijedlog EU-a o kolačićima

Europska komisija predložila je 19. 11. 2025., u paketu Digital Omnibus, jednostavnija pravila o kolačićima. Prema Komisiji, cilj je da se banneri pojavljuju rjeđe, da korisnik privolu može dati jednim klikom i da izbore spremi u središnjim postavkama preglednika.

Vijeće EU-a dogovorilo je svoje stajalište 21. 10. 2026. Pravila o kolačićima ostaju u Direktivi o privatnosti i elektroničkim komunikacijama, ali s jasnijim i dodatnim svrhama za koje privola ne bi bila potrebna, primjerice kad je kolačić nužan za uslugu, za mjerenje posjećenosti ili za sigurnost uređaja. Pregovori s Europskim parlamentom počinju tek kad Parlament donese svoje stajalište.

Dakle, to još nije zakon. Dok se pravila ne donesu i ne prenesu u hrvatsko pravo, za vaš webshop vrijedi članak 43. ZEK-a i sve opisano gore.

Kako to izgleda u našim webshopovima

U svim FLORERA paketima Google Analytics 4 pokreće se tek uz privolu za kolačiće. U paketu GROWTH Meta Pixel u pregledniku također radi samo uz privolu, a Google Ads konverzije dolaze iz GA4, pa i one ovise o istom izboru kupca. Što točno ulazi u koji paket, pogledajte na stranici Cijene.

Provjera bannera u pet koraka

• Otvorite webshop u privatnom prozoru i provjerite da se analitika ne učitava prije klika: u alatima za razvojne programere preglednika, pod Application i Cookies, prije pristanka ne smiju se pojaviti kolačići poput _ga ili _fbp.
• Provjerite jesu li "Prihvati" i "Odbij" na istom sloju i jednako vidljivi.
• Provjerite da nijedna kućica nije unaprijed označena.
• Dodajte stalno vidljivu poveznicu za promjenu postavki kolačića.
• Ako koristite Google Ads, provjerite šalje li banner signale privole Googleu.

Česta pitanja

Treba li mi banner ako ne koristim Google Analytics ni piksele?

Ako webshop koristi samo nužne kolačiće, poput košarice i prijave, privola za njih nije potrebna. Kupca svejedno obavijestite koje kolačiće koristite, primjerice u politici privatnosti. Čim dodate analitiku, piksel ili ugrađeni sadržaj koji postavlja kolačiće, treba vam banner.

Smijem li analitiku pokrenuti prije klika i ugasiti je ako kupac odbije?

Ne. Kolačići koji traže privolu ne smiju se postaviti pri prvom otvaranju stranice, nego tek nakon pristanka.

Mora li gumb "Odbij" izgledati isto kao "Prihvati"?

Zakon ne propisuje boju ni veličinu, a EDPB kaže da se dizajn procjenjuje od slučaja do slučaja. Odbijanje ne smije biti skriveno ni nečitljivo. Najsigurnije je da su oba gumba jednako vidljiva.

Ukida li EU cookie bannere?

Ne zasad. Vijeće EU-a u stajalištu od 21. 10. 2026. predlaže manje bannera uvođenjem više iznimaka od privole, ali pregovori s Parlamentom još nisu počeli.

Zaključak

Nužni kolačići ne trebaju privolu, a sve ostalo čeka klik na "Prihvati". Banner neka nudi jednako vidljivo odbijanje, neka pamti dokaz privole i neka šalje signale Googleu ako vodite Google Ads. Ovo je pregled propisa na dan 23. 10. 2026., a ne pravni savjet. Ako pokrećete novi webshop i želite da kolačići budu riješeni od prvog dana, pošaljite upit. Kad riješite kolačiće, provjerite i vrijedi li za vas Zakon o pristupačnosti te smijete li imati Google Business Profile.