Uvod: Paradoks zakonske usklađenosti na internetu
Kada posjetiš web stranicu odvjetničkog ureda, očekuješ najvišu razinu profesionalnosti, povjerljivosti i, naravno, zakonske usklađenosti. Paradoksalno, upravo su web stranice onih koji najbolje poznaju zakon često u prekršaju kada je riječ o digitalnoj privatnosti. No, ovaj problem nije rezerviran samo za pravnike.
Ako si vlasnik lokalnog biznisa u Hrvatskoj, bilo da si frizer, vodoinstalater, mehaničar, vlasnik wellness centra ili doktor, pravila Opće uredbe o zaštiti podataka (GDPR) odnose se i na tebe. U trenutku kad posjetitelj tvoje web stranice unese svoje ime i email adresu u kontakt formu kako bi zatražio ponudu za postavljanje pločica ili rezervirao termin za masažu, ti automatski postaješ "voditelj obrade podataka".
Mnogi mali poduzetnici i obrtnici ignoriraju ovaj aspekt misleći: "Moj biznis je premali, nitko me neće kazniti." AZOP provodi nadzor, a kazne mogu biti visoke. U ovom vodiču proći ćemo kroz sve ključne aspekte GDPR usklađenosti web stranica i objasniti na što obratiti pažnju bez obzira na to tko ti stranicu izrađuje ili održava.
Zašto je GDPR usklađenost kritična za tvoj digitalni identitet?
GDPR (Opća uredba o zaštiti podataka, Uredba (EU) 2016/679) primjenjuje se od 25. svibnja 2018. U kontekstu web stranica, osobni podatak je bilo koja informacija koja može identificirati osobu.
To uključuje očite stvari poput imena, prezimena, email adrese i broja telefona, ali i one manje očite poput IP adrese, kolačića za praćenje (tracking cookies) i lokacijskih podataka. Ako tvoja web stranica prati koliko posjetitelja imaš dnevno, prikupljaš podatke. Ako imaš kontakt formu putem koje ti klijenti šalju upite, prikupljaš podatke.
Tri ključna razloga zašto ovo ne smiješ ignorirati:
- Izgradnja povjerenja s klijentima: Zamisli potencijalnog klijenta koji želi angažirati tvoj odvjetnički ured ili računovodstveni servis. Ako tvoja web stranica nema osnovne uvjete privatnosti, klijent će se zapitati: "Ako ne paze na sigurnost vlastite web stranice, kako će paziti na moje osjetljive dokumente?" Transparentnost gradi povjerenje.
- Kazne: AZOP provodi nadzor, među ostalim po prijavama građana, i može izreći upravnu novčanu kaznu. GDPR (čl. 83.) ima dva raspona. Za povrede obveza poput sigurnosti obrade ili vođenja evidencija kazna ide do 10 milijuna eura ili do 2 % ukupnog godišnjeg prometa na svjetskoj razini. Za povrede načela obrade, zakonite osnove, uvjeta privole i prava ispitanika ide do 20 milijuna eura ili do 4 %. U oba slučaja vrijedi viši iznos. To su gornje granice, ne cjenik: AZOP gleda težinu, trajanje i namjeru povrede te veličinu tvrtke.
- Google i preglednici: HTTPS je jedan od Googleovih signala za rangiranje, a Chrome stranice bez njega označava kao „Nije sigurno". Pravna usklađenost sama po sebi nije faktor rangiranja, ali forma uz upozorenje preglednika sigurno ne donosi upite.
5 ključnih elemenata za GDPR usklađen web (i tko za njih odgovara)
Osigurati da je tvoja web stranica u skladu sa zakonom ne znači samo prekopirati tekst s tuđeg portala. Zahtijeva specifičnu strukturu i tehničke funkcionalnosti. Pogledajmo pet ključnih elemenata i na što obratiti pažnju kod svakog.
1. Transparentan banner za kolačiće (cookie banner)
Gotovo svaka web stranica danas koristi kolačiće. Neki su nužni za rad stranice (npr. spremanje stavki u košaricu ili jezičnih postavki), dok su drugi analitički (Google Analytics) ili marketinški (Facebook Pixel). Pravilo o kolačićima dolazi iz Direktive o e-privatnosti, koju u Hrvatskoj prenosi Zakon o elektroničkim komunikacijama, a standard privole iz GDPR-a. Analitičke i marketinške kolačiće ne smiješ postaviti dok posjetitelj na to izričito ne pristane.
Zastarjeli banneri koji samo kažu "Korištenjem ove stranice pristajete na kolačiće" uz gumb "OK" više nisu legalni. Korisnik mora imati mogućnost odbiti sve osim nužnih kolačića, i to jednako lako kao što ih može prihvatiti. Unaprijed označene kućice (pre-ticked boxes) su strogo zabranjene.
Na što obratiti pažnju: traži banner koji jasno razdvaja kolačiće u kategorije (nužni, analitički, marketinški) i koji pamti odabir posjetitelja tako da ga se ne pita iznova pri svakom posjetu. Povlačenje privole mora biti jednako lako kao davanje (čl. 7. st. 3. GDPR-a), pa na stranici treba stalno dostupan link za promjenu postavki kolačića. Ako ti netko ponudi generički banner koji samo "prekrije" problem gumbom OK, to nije rješenje, to je izlaganje riziku.
2. Stranica s Politikom privatnosti (Privacy Policy)
Tvoja web stranica mora imati posebnu podstranicu koja detaljno, ali jednostavnim jezikom objašnjava:
- Tko je voditelj obrade (tvoji podaci o firmi).
- Koje točno podatke prikupljaš (ime, email, IP adresa).
- Zašto ih prikupljaš (npr. "za obradu upita" ili "za zakazivanje termina").
- Koliko dugo ih čuvaš.
- Koja su prava korisnika (pravo na pristup, pravo na zaborav, pravo na ispravak).
Na što obratiti pažnju: generički predložak preuzet s druge stranice rijetko odgovara stvarnim podacima koje prikupljaš. Politika privatnosti mora biti prilagođena tvom konkretnom poslovanju, ne samo preslikana. Ako obrađuješ posebne kategorije podataka (npr. zdravstvene, čl. 9.) ili podatke o kaznenim djelima (čl. 10.), a u odvjetničkom poslu to je čest slučaj, forma na webu ne bi smjela tražiti više od imena, kontakta i kratkog opisa. Detalji idu na sastanak.
3. Sigurne kontakt forme bez "curenja" podataka
Kontakt forme su glavno sredstvo komunikacije na lokalnim web stranicama. Kada netko zatraži ponudu za knjigovodstvo ili procjenu nekretnine, ti podaci moraju putovati sigurnim kanalima. Ako tvoja stranica nema SSL certifikat (onaj mali lokot pored adrese u pregledniku), hakeri mogu presresti te podatke.
Na što obratiti pažnju: provjeri da forma šalje upite putem sigurne (HTTPS) veze, da su spremljeni negdje gdje ih samo ti vidiš, i da dobivaš obavijest za svaki novi upit. Ako ti neka postavka (SSL certifikat, sigurnosne nadogradnje hostinga) zvuči kao "tvoj problem nakon predaje", traži da to piše crno na bijelo u ponudi.
4. Sustavi za zakazivanje termina (Appointment Booking)
Ako si liječnik, kozmetičar ili vodiš salon za masažu, vjerojatno želiš sustav za online naručivanje. S pravne strane, prikupljanje podataka o terminima klijenata zahtijeva visoku razinu sigurnosti baze podataka.
Na što obratiti pažnju: pitaj gdje se i kako pohranjuju podaci klijenata koji rezerviraju termin, tko im ima pristup i je li podatke moguće izbrisati na zahtjev klijenta (pravo na zaborav). Svaki booking bi trebao dobiti jedinstvenu potvrdu, a vlasnik jasnu obavijest o novom terminu.
5. Chatbotovi i prikupljanje leadova na legitiman način
Korištenje virtualnih asistenata i chatbota na web stranicama postalo je standard. No, s njima dolaze i pitanja privatnosti: kako pratiti tko šalje poruku bez kršenja GDPR-a?
Na što obratiti pažnju: chatbot ne bi trebao pohranjivati sirove, prepoznatljive podatke (poput IP adrese) bez potrebe. Dobra praksa je da se identifikatori posjetitelja hashiraju prije spremanja. To je pseudonimizacija, ne anonimizacija: po GDPR-u je i dalje osobni podatak (uvodna izjava 26.), ali je rizik manji. Korištenje chatbota mora biti spomenuto u tvojoj Politici privatnosti. Od 2.8.2026. dodatno vrijedi Uredba (EU) 2024/1689 (Akt o umjetnoj inteligenciji), čl. 50: posjetitelj mora znati da razgovara s AI sustavom, ne s čovjekom. Ovo je primjer "privacy by design" pristupa koji GDPR izravno zagovara.
Web po mjeri ili gotovi builder: gdje je odgovornost
Vlasnici malih poduzeća u Hrvatskoj često se nađu pred teškim izborom kada žele profesionalnu web stranicu. S jedne strane, mogu platiti agenciju ili freelancera koji im izradi stranicu po mjeri. S druge strane, mogu se pokušati snalaziti sami u WordPressu ili gotovim builderima. Obje opcije imaju svoje zamke, posebno kada je u pitanju zakonska usklađenost koja se mijenja tijekom vremena, ne samo na dan lansiranja.
Zamka WordPressa
WordPress je nekada bio vladar interneta, no danas se za ljude bez tehničkog predznanja lako pretvori u noćnu moru. Da bi u WordPressu imao GDPR usklađen web, moraš kupiti hosting, instalirati temu, i onda žonglirati s 10 različitih dodataka (Elementor za dizajn, Yoast za SEO, razni dodaci za kolačiće i zaštitu). S vremenom, ti dodaci traže ažuriranja. Jedno pogrešno ažuriranje i tvoja stranica se ruši (tzv. "White Screen of Death") ili postaje meta za hakere. Ti si u tom trenutku odgovoran za potencijalno curenje podataka svojih klijenata.
Zamka generičkih "drag & drop" buildera (Wix / Squarespace)
Platforme poput Wixa nude previše opcija praznog platna ("blank canvas"), što početnike potpuno preplavi. Potrebni su sati i dani povlačenja elemenata po ekranu da bi to izgledalo iole profesionalno, a lokalizacija na hrvatski jezik (poput pravilno prevedenih GDPR obrazaca i kontakt formi) često je neuredna i nezgrapna.
Zašto je odgovornost ključno pitanje kod izrade weba
Bez obzira na tehnologiju, ti si voditelj obrade i odgovaraš AZOP-u, bez obzira na to tko je stranicu izradio. Tko ti održava web ili hosting obično je izvršitelj obrade, pa s njim trebaš ugovor o obradi podataka (čl. 28. GDPR-a). Ugovorom ne prebacuješ odgovornost, nego definiraš tko radi koji posao: sigurnosne nadogradnje, SSL, izmjene pravnih stranica kad se propis promijeni.
Izmjene nakon lansiranja: tko ih radi i koliko brzo
Recimo da se promijenio neki zakon o zaštiti potrošača i moraš dodati novu rečenicu u svoju sekciju za cijene. Kod nekih izvođača to znači slanje emaila, čekanje danima i plaćanje radnog sata. Dogovori unaprijed kako se rade takve izmjene: hoćeš li ih moći sam napraviti kroz jednostavno sučelje, ili ih naručuješ, i u kojem roku možeš očekivati odgovor.
Ovo je posebno važno za pravne stranice (Politika privatnosti, Uvjeti korištenja, Cookie banner) jer propisi znaju biti izmijenjeni, a stara verzija stranice koja "visi" mjesecima nakon promjene zakona je prvo što se u nadzoru vidi.
Google recenzije bez kršenja privatnosti
Recenzije su alfa i omega uspjeha lokalnog poslovanja. Ljudi biraju frizera, mehaničara ili odvjetnika na temelju onoga što su drugi rekli o njima.
Tehnički način na koji se recenzije prikazuju usko je vezan uz GDPR. Ako samo zalijepiš vanjski kod (iframe) s Googlea na svoju stranicu, taj kod može potajno pratiti tvoje posjetitelje, kršeći pravila o kolačićima. Bolje je da se Googleov sadržaj učitava tek nakon privole za kolačiće, ili da se recenzije prikazuju bez Googleove skripte u pregledniku, na način koji poštuje Googleove uvjete korištenja. Pitaj izvođača koji je pristup odabrao.
Blog i sadržaj: educiraj klijente na legalan način
Blog je izvrstan način da se pozicioniraš kao autoritet u svojoj struci. Odvjetnik može pisati o novostima u radnom pravu, dok vlasnik salona ljepote može pisati o novim trendovima u njezi kože. Ako tvoja web stranica ima blog, provjeri da su svi podaci posjetitelja koji ostavljaju komentare ili se prijavljuju na newsletter zaštićeni pod istom Politikom privatnosti koja vrijedi za ostatak stranice, ne pod nekim posebnim, zaboravljenim pravilom.
Česta pitanja
Što se događa ako nemam cookie banner na web stranici?
Ako tvoja stranica koristi alate poput Google Analyticsa ili Facebook Pixela, a nemaš funkcionalan banner za kolačiće koji omogućuje blokiranje istih prije privole, kršiš pravilo o kolačićima iz Zakona o elektroničkim komunikacijama, a obrada podataka bez valjane privole krši i GDPR. U Hrvatskoj to može rezultirati prijavom AZOP-u i novčanom kaznom.
Trebam li odvjetnika da mi napiše Politiku privatnosti?
Za jednostavan lokalni biznis s osnovnom kontakt formom, dobro pripremljen predložak prilagođen tvojim stvarnim podacima često je dovoljan. Ako obrađuješ posebno osjetljive podatke (zdravstvene, financijske, pravne dokumente klijenata) ili imaš nestandardne tokove podataka, konzultacija s pravnikom je razumna investicija.
Tko je odgovoran ako moja stranica nije usklađena?
Kao vlasnik biznisa, ti si "voditelj obrade podataka" i primarno odgovaraš AZOP-u, bez obzira na to tko je stranicu tehnički izradio. Zato je važno da ugovor s izvođačem jasno definira tko brine o tehničkoj strani usklađenosti (cookie banner, SSL, sigurnosne nadogradnje) nakon lansiranja.
Mogu li naknadno promijeniti vizualni dizajn svog weba?
Da, redizajn je uobičajen i uvijek moguć. Prije nego kreneš, provjeri hoće li redizajn zadržati postojeći tekst i pravne stranice ili ih treba iznova postaviti, i tko je za to odgovoran u tvom ugovoru o održavanju.
Zaključak
GDPR usklađenost web stranice nije jednokratna kućica koju otkvačiš kod lansiranja. Cookie banner, Politika privatnosti i sigurne forme moraju ostati ažurni dok se propisi mijenjaju, a odgovornost za to treba biti jasno podijeljena između tebe i onoga tko ti stranicu izrađuje i održava. Postavi to pitanje prije potpisa ugovora, ne poslije prve revizije.