Cookie banner 2026.: što je dopušteno, što nije i kada treba privola?

ODGOVOR U JEDNOJ MINUTI

Kada web stranica treba tražiti privolu za kolačiće?

Najjednostavnije pravilo glasi: tehnički nužni kolačići mogu raditi bez prethodne privole, dok za nenužne tehnologije koje pohranjuju podatke ili pristupaju podacima na uređaju korisnika u pravilu treba prethodno riješiti privolu.

To posebno postaje važno kod analitike, marketinga, remarketinga, pixela i drugih sustava koji prate ponašanje korisnika.

Ako je privola potrebna, nije dovoljno korisniku pokazati samo veliki gumb „Prihvaćam”.

AZOP navodi da korisnik treba moći jednako jednostavno prihvatiti i odbiti nenužne kolačiće, a nenužne kategorije trebaju ostati deaktivirane dok korisnik ne napravi aktivan izbor.

MALI FILEOVI · VELIK UTJECAJ

Što su zapravo kolačići?

Kolačići su male datoteke koje preglednik može pohraniti na računalo, mobitel ili drugi uređaj korisnika.

Mogu služiti vrlo različitim svrhama.

Jedan kolačić može biti potreban da webshop zapamti sadržaj košarice.

Drugi može zapamtiti jezik stranice.

Treći može povezivati posjete i pomagati stvaranju analitičkih izvještaja.

Četvrti može omogućavati praćenje korisnika radi oglašavanja i remarketinga.

Zato sama riječ „cookie” nije dovoljna za odluku.

Ključno pitanje je: čemu ta tehnologija služi?

TRACKING NE MORA IMATI OBLIK .COOKIE

Problem nije ograničen samo na klasične kolačiće

Moderno praćenje korisnika ne mora se oslanjati isključivo na klasične cookie datoteke.

U praksi treba promatrati i druge tehnologije, primjerice:

• tracking pixele
• lokalnu pohranu preglednika
• identifikatore uređaja ili preglednika
• skripte za mjerenje ponašanja
• social media plugine
• određene embedove trećih strana

Zato cookie banner treba promatrati kao sustav upravljanja privolom, a ne kao vizualni prozor koji samo pokriva donji dio ekrana.

DVA SLOJA PRAVILA

Zakon o elektroničkim komunikacijama i GDPR rade zajedno

Kod kolačića se često govori samo o GDPR-u, ali hrvatski regulatorni okvir uključuje i pravila elektroničkih komunikacija.

Članak 43. Zakona o elektroničkim komunikacijama uređuje pohranu podataka odnosno pristup već pohranjenim podacima na terminalnoj opremi korisnika.

Iznimka postoji za tehničku pohranu ili pristup koji je potreban za prijenos komunikacije, odnosno kada je to nužno za pružanje usluge koju je korisnik izričito zatražio.

Kada se putem takvih tehnologija obrađuju osobni podaci, pojavljuje se i GDPR sa svojim zahtjevima zakonitosti, transparentnosti i odgovornosti.

IZUZETAK OD PRETHODNE PRIVole

Što su nužni kolačići?

Nužni kolačić nije onaj koji je „nužan marketing odjelu” ili „nužan jer vlasnik želi statistiku”.

Gleda se nužnost iz perspektive funkcije koju korisnik traži.

Tipični primjeri mogu uključivati:

• košaricu webshopa
• autentifikaciju prijavljenog korisnika
• sigurnosne funkcije
• pohranu korisnikova consent izbora
• određene session funkcije potrebne za rad stranice

Takvi kolačići mogu biti unaprijed aktivni ako stvarno spadaju u nužnu kategoriju.

„POBOLJŠAVA ISKUSTVO” NIJE AUTOMATSKO IZUZEĆE

Funkcionalni kolačići zahtijevaju pažljivu procjenu

Naziv kategorije sam po sebi ne rješava pitanje privole.

Ako određena funkcionalnost nije nužna za uslugu koju je korisnik zatražio, treba provjeriti spada li u izuzeće ili treba biti deaktivirana do izbora korisnika.

Zato univerzalni consent plugin koji svaki kolačić automatski označi kao „functional” nije zamjena za stvarnu analizu.

STATISTIKA JE KORISNA · ALI NIJE ISTO ŠTO I NUŽNOST

Analitički kolačići i alati

Analitika vlasniku može biti vrlo korisna: broj posjeta, izvori prometa, popularne stranice, konverzije i ponašanje korisnika.

Ali činjenica da je nešto korisno poslovanju ne znači automatski da je tehnički nužno za korisnika koji želi pročitati stranicu.

Ako analitičko rješenje koristi nenužne kolačiće ili druge tehnologije koje zahtijevaju privolu, treba biti povezano sa stvarnim consent izborom.

PRAĆENJE RADI OGLAŠAVANJA

Marketinški kolačići i pixeli

Marketinški alati često služe:

• remarketingu
• izradi publika
• mjerenju konverzija
• profiliranju
• personalizaciji oglasa
• povezivanju aktivnosti između različitih stranica i platformi

AZOP je u aktualnom pojašnjenju iz kolovoza 2026. izričito naveo Meta Pixel kao primjer alata koji se u pravilu ne bi trebao aktivirati prije dobivanja odgovarajuće privole korisnika.

KLJUČNA ODLUKA

Kada trebate privolu?

Privola je potrebna kada tehnologija ne spada u zakonsko izuzeće za nužnu funkciju, odnosno kada korisnikov uređaj koristi za nenužnu pohranu ili pristup podacima.

U praksi su česti kandidati:

• marketinški kolačići
• Meta Pixel
• remarketing tagovi
• nenužna analitika koja koristi kolačiće
• tracking platforme
• određeni social media i video embedovi

Najvažnije je da odluku ne donosimo prema nazivu plugina, nego prema stvarnom tehničkom ponašanju.

NE TREBA SVE BLOKIRATI

Kada prethodna privola za kolačić nije potrebna?

Iznimka postoji kada je pohrana ili pristup tehnički nužan za prijenos komunikacije ili za pružanje usluge informacijskog društva koju je korisnik izričito zatražio.

Primjer: korisnik stavi proizvod u košaricu.

Ako bez session podatka webshop ne može zapamtiti proizvod, ta funkcija može biti nužna za ono što je korisnik upravo zatražio.

No analitički izvještaj vlasniku o tome koliko je korisnika otvorilo proizvod nije ista vrsta nužnosti.

PRISTANAK MORA BITI STVARAN

Kako izgleda valjana privola?

GDPR privolu definira kroz nekoliko ključnih obilježja.

Šutnja, nastavak pregledavanja, unaprijed označena opcija ili skriveni izbor nisu dobar način dokazivanja aktivne privole.

PRVA RAZINA BANNERA

„Prihvati” i „Odbij” trebaju biti jednako dostupni

Jedna od najvažnijih promjena u praksi jest prestanak dizajna u kojem je „Prihvati sve” veliki zlatni ili zeleni gumb, a odbijanje sitna tekstualna poveznica nekoliko klikova dalje.

AZOP izričito preporučuje da se prihvaćanje i odbijanje mogu izvršiti jednako jednostavno i da dizajn ne smije korisnika navoditi prema prihvaćanju.

DARK PATTERN

Dizajn ne smije manipulirati korisnikom

Consent banner je UX element, ali taj UX ne bi smio biti napravljen kako bi korisnik slučajno ili iz frustracije prihvatio praćenje.

Problematični obrasci uključuju:

• jako istaknut „Prihvaćam”, a gotovo nevidljiv „Odbijam”
• više dodatnih koraka za odbijanje nego prihvaćanje
• zbunjujuće formulacije
• lažni osjećaj da je prihvaćanje obvezno
• blokiranje osnovnog sadržaja bez stvarnog izbora

DEFAULT MORA POŠTOVATI ODLUKU

Analitika i marketing ne bi trebali biti unaprijed uključeni

Ako korisnik otvori postavke i pronađe već aktivirane prekidače za Analytics i marketing, nije napravio jasnu potvrdnu radnju kojom je sam odabrao te svrhe.

Nužni kolačići mogu ostati aktivni, ali nenužne kategorije koje zahtijevaju privolu trebaju čekati korisnikov izbor.

A ŠTO AKO KORISNIK NE KLIKNE NIŠTA?

Zatvaranje bannera nije isto što i prihvaćanje

AZOP u svojim preporukama navodi i mogućnost zatvaranja bannera oznakom X.

Ako korisnik tako zatvori banner bez davanja privole, stranica ne bi trebala interpretirati samo zatvaranje kao pristanak na nenužno praćenje.

Korisnik može nastaviti koristiti osnovni sadržaj bez aktivacije nenužnih kategorija.

NIJE SVE ILI NIŠTA

Korisniku omogućite upravljanje kategorijama

Uz „Prihvati sve” i „Odbij sve” korisno je omogućiti i detaljne postavke.

Primjerice:

• Nužni – uvijek aktivni
• Funkcionalni – prema stvarnoj potrebi
• Analitički – izbor korisnika
• Marketinški – izbor korisnika

Važno je da kategorije stvarno odgovaraju skriptama i kolačićima koji su u njih svrstani.

PRIVOLA NIJE JEDNOSMJERNA ULICA

Korisnik mora moći naknadno promijeniti odluku

Ako je korisnik danas prihvatio analitiku, sutra treba imati mogućnost povući tu privolu jednako jednostavno.

AZOP preporučuje da poveznica na postavke kolačića bude trajno dostupna, primjerice u footeru stranice.

Zato nakon zatvaranja prvog bannera korisnik ne bi trebao izgubiti svaki način upravljanja odlukom.

OVO JE NAJVAŽNIJI TEHNIČKI TEST

Što se učitava prije nego što korisnik išta klikne?

Vizualni pregled bannera nije dovoljan.

Potrebno je otvoriti web u čistoj sesiji i provjeriti mrežne zahtjeve, kolačiće i aktivirane skripte prije korisnikova izbora.

Ako prije izbora već vidimo:

• marketinške pixele
• remarketing zahtjeve
• nenužne analytics kolačiće
• tracking skripte trećih strana

tada consent platforma možda samo prikazuje prozor, ali ne kontrolira stvarno ponašanje stranice.

GOOGLE ANALYTICS

„To je samo statistika” nije dovoljna analiza

Google Analytics može biti vrlo koristan za razumijevanje prometa, ali njegova pravna i consent konfiguracija ne smije se pretpostaviti samo prema nazivu alata.

Treba provjeriti:

• koja je verzija i konfiguracija alata
• koje kolačiće ili identifikatore koristi
• kada se skripta aktivira
• koji podaci se šalju
• što se događa kada korisnik odbije analitiku

Ako koristite analitičke kolačiće koji nisu nužni, nemojte ih učitavati kao „always active” samo zato što želite statistiku.

META PIXEL

Oglašavanje na Facebooku ne znači automatski da trebate Pixel

Ovo je posebno zanimljivo jer je AZOP upravo taj primjer naveo u svom odgovoru iz kolovoza 2026.

Samo oglašavanje na Facebooku ili Instagramu ne znači da na vašoj web stranici automatski mora postojati Meta Pixel.

Ako ga ipak ugradite radi:

• praćenja posjetitelja
• mjerenja konverzija
• izrade publika
• personaliziranog oglašavanja

AZOP navodi da se takav alat u pravilu ne smije aktivirati prije dobivanja privole korisnika.

TEHNOLOGIJA NE DONOSI PRAVNU ODLUKU UMJESTO VAS

Consent Mode nije čarobni štit

Sustavi poput Google Consent Modea mogu pomoći tehničkoj provedbi korisnikova izbora.

Ali sama činjenica da je „Consent Mode instaliran” ne dokazuje da je cijela stranica pravilno postavljena.

I dalje treba provjeriti:

• što banner korisniku govori
• koje su početne postavke
• koje se skripte aktiviraju
• poštuje li implementacija odbijanje
• odgovara li politika privatnosti stvarnom stanju

EMBED NIJE SAMO SLIKA NA STRANICI

YouTube, Google Maps, chat i drugi vanjski elementi

Kada u stranicu ugradite sadržaj druge platforme, preglednik korisnika može uspostaviti komunikaciju s poslužiteljima te platforme.

Zato treba analizirati:

• YouTube i Vimeo
• Google Maps
• Instagram i Facebook embedove
• live chat
• booking widgete
• recenzijske platforme
• anti-spam i CAPTCHA rješenja

Ponekad je moguće koristiti privacy-enhanced, placeholder ili click-to-load pristup, ali rješenje treba prilagoditi konkretnom servisu.

COOKIE BANNER JE SAMO JEDAN DIO SUSTAVA

Vanjski servisi i obrada podataka

Consent audit zato mora uključiti i popis svih vanjskih servisa.

Tipičan WordPress web može imati:

• hosting
• CDN
• Google servise
• Meta servise
• newsletter platformu
• CRM
• booking
• chat
• payment provider
• anti-spam sustav

Svaki od njih treba razmotriti prema stvarnoj ulozi i podacima koje obrađuje.

BANNER I DOKUMENTACIJA MORAJU GOVORITI ISTO

Što treba sadržavati politika kolačića?

Politika kolačića treba odgovarati onome što stranica stvarno koristi.

Korisniku je važno objasniti:

• koje kategorije tehnologija koristite
• u koje svrhe
• tko su relevantni primatelji
• koliko dugo pojedini kolačići traju
• kako može promijeniti ili povući privolu
• postoje li relevantni prijenosi podataka

Dokument koji nabraja deset Google i Facebook kolačića na stranici koja ih zapravo nema također nije kvalitetna dokumentacija.

SESSION I 2 GODINE NISU ISTA STVAR

Trajanje kolačića treba biti transparentno

Neki kolačići postoje samo tijekom jedne sesije.

Drugi mogu trajati danima, mjesecima ili dulje.

Zato politika kolačića ne bi trebala navesti samo ime tehnologije, nego i razdoblje pohrane ili barem razumljiv kriterij njegova određivanja.

MOŽETE LI POKAZATI ŠTO JE KORISNIK ODABRAO?

Privola mora biti dokaziva

Consent sustav nije samo pitanje paljenja i gašenja skripti.

Voditelj obrade mora biti u stanju dokazati da je valjana privola dobivena.

Zato kvalitetne consent platforme mogu voditi evidenciju:

• verzije bannera
• kategorija koje je korisnik odabrao
• vremena izbora
• promjena ili povlačenja privole

Naravno, i sama evidencija treba biti organizirana u skladu s načelima zaštite podataka.

PLUGIN JE ALAT · NE ODGOVOR

WordPress consent plugin nije dovoljan ako je pogrešno konfiguriran

Complianz, CookieYes, Cookiebot i druga rješenja mogu biti vrlo korisna.

Ali plugin ne može znati sve o vašem poslovanju i svim custom skriptama samo zato što je instaliran.

Nakon instalacije treba provjeriti:

• jesu li pronađeni svi relevantni servisi
• jesu li pravilno kategorizirani
• blokiraju li se nenužne skripte
• radi li odbijanje
• može li se odluka promijeniti
• odgovaraju li tekstovi stvarnom stanju

NAJČEŠĆI PROBLEMI

Deset pogrešaka koje cookie banner pretvaraju u dekoraciju

COOKIE CONSENT CHECK

Je li vaš cookie banner stvarno povezan s onim što web radi?

Odgovorite na dvanaest pitanja. Rezultat nije pravno mišljenje, nego tehnički pokazatelj postoji li područje koje treba detaljnije provjeriti.

ČESTA PITANJA

Cookie banner, kolačići i privola – najčešća pitanja

ZAKLJUČAK

Dobar cookie banner nije prozor – nego tehnički sustav

Najveća pogreška je procjenjivati usklađenost samo po tome postoji li na stranici banner.

Prava provjera počinje pitanjem: što se događa prije nego što korisnik išta klikne?

Ako nenužni tracking već radi, lijep banner ne rješava problem.

Ako korisnik može prihvatiti u jednom kliku, ali za odbijanje mora otvoriti tri prozora, izbor nije jednak.

Ako je Analytics unaprijed aktiviran ili se zatvaranje bannera tretira kao pristanak, ponovno imamo problem.

Dobar sustav radi obrnuto: najprije nužne funkcije, zatim korisnikov izbor, pa tek onda aktivacija nenužnih kategorija koje je korisnik stvarno odabrao.

U sljedećem dijelu serijala prelazimo s privatnosti na drugo područje koje je od 2025. dobilo puno veću pravnu važnost:

Pristupačnost web stranica: na koga se odnose novi zahtjevi i što hrvatski webshopovi trebaju provjeriti?