Kolačići i zaštita podataka na sajtu u Srbiji: opšti pregled

Napomena: ovaj tekst daje opšte informacije i praktična zapažanja iz izrade sajtova. Nije pravni savet i ne zamenjuje konsultaciju sa advokatom ili stručnjakom za zaštitu podataka o ličnosti, koji može proceniti vašu konkretnu situaciju.

Kolačići i zaštita podataka na sajtu tiču se gotovo svake firme u Srbiji koja ima kontakt formu, web shop ili Google Analytics. Čim sajt prikuplja ime, e-mail, telefon ili prati ponašanje posetilaca, primenjuje se Zakon o zaštiti podataka o ličnosti (ZZPL). U praksi to znači nekoliko stvari: da jasno objasnite koje podatke prikupljate i zašto, da imate pravni osnov za obradu, da ne skupljate više nego što vam treba i da za neobavezne kolačiće, poput analitičkih i marketinških, posetiocu date stvaran izbor.

Šta je ZZPL i na koga se odnosi

Zakon o zaštiti podataka o ličnosti u Srbiji je u velikoj meri usklađen sa evropskom Opštom uredbom o zaštiti podataka (GDPR). Odnosi se na svakoga ko obrađuje podatke fizičkih lica, što uključuje i malu firmu, preduzetnika ili udruženje. Nadzor sprovodi Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti, na čijem sajtu se mogu pronaći vodiči i obrasci.

Podatak o ličnosti je svaki podatak na osnovu kog se osoba može identifikovati, direktno ili posredno. Na sajtu to nisu samo ime i e-mail iz forme, već potencijalno i IP adresa, identifikatori u kolačićima ili podaci o narudžbini.

Osnovna načela obrade podataka, pojednostavljeno

Zakon počiva na nekoliko načela koja je korisno imati na umu već prilikom planiranja sajta:

• Zakonitost, poštenje i transparentnost – podaci se obrađuju na osnovu zakona, a korisnik zna šta se dešava sa njima.
• Ograničenje svrhe – podatke prikupljene radi odgovora na upit ne koristite automatski za nešto sasvim drugo.
• Minimizacija podataka – tražite samo ono što vam zaista treba.
• Tačnost – podaci treba da budu ažurni.
• Ograničenje čuvanja – podatke ne čuvate duže nego što je potrebno.
• Integritet i poverljivost – podaci su zaštićeni od neovlašćenog pristupa.
• Odgovornost – rukovalac treba da može da pokaže da poštuje pravila.

Svaka obrada mora imati i pravni osnov. Najčešći na sajtovima su pristanak lica, izvršenje ugovora (na primer isporuka porudžbine), zakonska obaveza (na primer čuvanje računa) i legitimni interes. Koji osnov važi za koju obradu, pitanje je za pravnu procenu, a ne za programera.

Kolačići: koje vrste postoje i kada treba pristanak

Kolačići (cookies) su male datoteke koje sajt čuva u pregledaču posetioca. Nisu svi isti, i upravo ta razlika određuje kako ih treba tretirati.

Pored ZZPL-a, i propisi o elektronskim komunikacijama sadrže pravila o čuvanju informacija na uređaju korisnika. Opšte prihvaćena praksa je da se analitički i marketinški kolačići ne postavljaju dok posetilac ne pristane.

Kako izgleda dobar baner za kolačiće

• Dugmad „Prihvati“ i „Odbij“ su jednako vidljiva, bez skrivanja opcije odbijanja.
• Postoji mogućnost podešavanja po kategorijama.
• Skripte za analitiku i oglase se zaista ne učitavaju pre pristanka, a ne samo prikazuje baner.
• Korisnik može kasnije da promeni izbor, na primer preko linka u podnožju.
• Baner je čitljiv i na telefonu i ne zaklanja ceo sadržaj.

Za Google alate postoji i „Consent Mode“, mehanizam koji prilagođava rad analitike i oglasa izboru korisnika. Ako koristite Google Ads oglašavanje ili pratite konverzije, vredi ga pravilno podesiti, a više o samoj analitici pišemo u tekstu o Google Analytics 4 i Search Console za početnike.

Politika privatnosti: šta obično sadrži

Politika privatnosti je dokument kojim posetiocima objašnjavate kako obrađujete njihove podatke. Kopiranje tuđe politike je loša ideja, jer mora odgovarati onome što vaš sajt stvarno radi. Uobičajeno sadrži:

1. Podatke o rukovaocu: naziv firme, adresu i kontakt.
2. Koje podatke prikupljate i iz kojih izvora (forme, porudžbine, kolačići).
3. Svrhu i pravni osnov za svaku obradu.
4. Kome se podaci prosleđuju (hosting, kurirska služba, platni procesor, alati za e-mail i analitiku).
5. Da li se podaci prenose van Srbije, što je čest slučaj kod stranih servisa.
6. Koliko dugo se podaci čuvaju.
7. Prava lica: pristup, ispravka, brisanje, prigovor, povlačenje pristanka, pritužba Povereniku.

Link ka politici privatnosti postavite u podnožje svake stranice i pored svake forme.

Kontakt forme i web shop u praksi

Kontakt forma je najčešće mesto gde sajt prikuplja podatke. Nekoliko praktičnih pravila koje primenjujemo pri izradi sajta:

• Tražite minimum polja. Za upit su obično dovoljni ime, e-mail ili telefon i poruka. Manje polja znači i više popunjenih formi.
• Ne čekirajte unapred saglasnost za newsletter. Prijava na marketinške poruke treba da bude poseban, dobrovoljan izbor.
• Pored dugmeta za slanje navedite kratku rečenicu sa linkom ka politici privatnosti.
• Zaštitite prenos SSL sertifikatom i ograničite ko ima pristup porukama. Više o tome u tekstu o bezbednosti sajta.
• Brišite stare upite kada više nisu potrebni, umesto da se godinama gomilaju u bazi i sandučetu.

Web shop obrađuje više podataka: adrese isporuke, istoriju porudžbina, korisničke naloge. Tu su važni i uslovi korišćenja, prava potrošača i pravila o plaćanju, pa je konsultacija sa pravnikom pre pokretanja internet prodavnice posebno preporučljiva.

Kolačići i zaštita podataka na sajtu: najčešće greške

• Baner za kolačiće postoji, ali Google Analytics i piksel se učitavaju odmah, bez obzira na izbor.
• Politika privatnosti je prevedena sa stranog sajta i pominje zakone i servise koje firma ne koristi.
• Forma traži JMBG, datum rođenja ili adresu, iako to nije potrebno za odgovor na upit.
• Posle promene alata (novi CRM, novi newsletter servis) politika se ne ažurira.

Zaključak

Zaštita podataka na sajtu nije samo pravna formalnost. Jasna politika privatnosti, pošten baner za kolačiće i kratke forme grade poverenje posetilaca, a to se vidi i u broju upita. Tehnički deo, poput pravilnog učitavanja skripti tek nakon pristanka, zaštite formi i SSL-a, možemo rešiti prilikom izrade ili dorade sajta, dok sadržaj pravnih dokumenata i procenu usklađenosti prepustite advokatu ili stručnjaku za zaštitu podataka. Ako želite da proverimo kako vaš sajt tehnički postupa sa kolačićima i formama, javite nam se.