Kolačići i ZZPL: šta sajt u Srbiji mora da prikaže posetiocu

Skoro svaki sajt dočeka vas prozorom o kolačićima, pa se postavlja pitanje: da li i vaš sajt to mora da ima, i šta tačno? Kratak odgovor je da obaveza ne dolazi od samog prozora, nego od podataka koje sajt prikuplja: kontakt forma, analitika i piksel za oglase nešto beleže o posetiocu, a Zakon o zaštiti podataka o ličnosti (ZZPL) traži da posetilac zna šta, zašto i koliko dugo. Evo šta to praktično znači za sajt firme u Srbiji, iz ugla onih koji sajtove prave.

ZZPL ukratko: čemu služi i na koga se odnosi

ZZPL se primenjuje od avgusta 2019. godine i u najvećoj meri prati evropski GDPR: isti principi i slična prava posetilaca. Podatak o ličnosti je sve što može da identifikuje osobu: ime, email, telefon, ali u praksi i IP adresa ili identifikator iz kolačića. Ako vaš sajt ima kontakt formu ili bilo kakvu analitiku, po pravilu već obrađujete podatke o ličnosti i zakon vas se tiče, ma koliko bili mali.

Važna razlika u odnosu na EU: u Srbiji ne postoji poseban propis o kolačićima kakav je evropska ePrivacy direktiva. Zato praksa kod nas sledi ZZPL i, kao orijentir, GDPR. To znači da se ne pita „ima li sajt banner”, nego „da li posetilac zna šta se prikuplja i da li je za nenužno pristao”.

Politika privatnosti: šta u njoj mora da piše

Politika privatnosti je stranica na kojoj posetiocu jednostavnim jezikom kažete šta radite sa njegovim podacima. Nije formalnost koju kopirate sa tuđeg sajta: ako opisuje alate koje ne koristite, a prećutkuje one koje koristite, ne ispunjava svrhu. Za većinu sajtova firmi u Srbiji politika treba da odgovori na pet pitanja.

Prvo, ko obrađuje podatke: puno ime firme, adresa i kontakt za pitanja o podacima. Drugo, koje podatke prikupljate: ime i email iz forme, IP adresu i podatke o uređaju iz analitike, podatke iz kolačića. Treće, u koju svrhu: odgovor na upit, merenje posete, prikazivanje oglasa. Četvrto, koliko dugo ih čuvate: dok traje prepiska, dok ne povučete saglasnost. Peto, koja prava posetilac ima: da traži uvid, ispravku, brisanje i da se usprotivi obradi, i kome se za to obraća.

Ako podatke prosleđujete drugima, na primer servisu za slanje mejlova ili alatu za analitiku čiji su serveri van Srbije, i to se navodi. Politiku linkujte iz podnožja svake stranice i iz same kontakt forme, da bude na dva klika od bilo kog mesta na sajtu.

Kontakt forma: šta se traži od posetioca

Kontakt forma je najčešći način na koji sajt prikuplja podatke, i tu se najviše greši. Prvo pravilo je minimum: tražite samo ono što vam treba da odgovorite. Ime, email i poruka su dovoljni za većinu upita; datum rođenja ili JMBG nemaju šta da traže u formi za ponudu. Drugo pravilo je jasna svrha: kratak tekst pored dugmeta koji kaže da podatke koristite za odgovor na upit, sa linkom ka politici privatnosti.

Da li vam treba i kućica za saglasnost? Za sam odgovor na upit u praksi se najčešće smatra da je osnov obrade legitiman interes ili preduzimanje radnji pre ugovora, jer je posetilac sam tražio kontakt. Kućica je neophodna kada želite više: da mu kasnije šaljete ponude i newsletter. Ta saglasnost mora da bude odvojena, nečekirana unapred i lako opoziva. Kako se podaci iz forme čuvaju i ko im pristupa spada u temu bezbednosti sajta: forma bez zaštite od spama nije uredna ni sa jedne strane.

Kolačići: koji su nužni, koji nisu i kako izgleda korektno obaveštenje

Kolačići su male datoteke koje sajt ostavlja u pregledaču posetioca. Nužni su oni bez kojih sajt ne radi: pamćenje korpe u webshopu, sesija prijavljenog korisnika, zaštita forme od zloupotrebe. Za njih se, po pravilu, ne traži saglasnost, ali se navode u politici. Nenužni su svi ostali: analitika (Google Analytics i slični), pikseli za oglase (Meta, Google Ads), ugrađeni video i mape koji sami postavljaju svoje kolačiće. Za njih je u praksi potrebna prethodna saglasnost.

Korektno obaveštenje se prepoznaje po tri osobine. Prvo, nenužni kolačići se ne pale dok posetilac ne klikne „prihvatam”; banner koji samo obaveštava dok analitika već radi promašuje suštinu. Drugo, „odbij” je jednako vidljivo i jednako lako kao „prihvati”, bez sakrivanja u sitna podešavanja. Treće, izbor se pamti i može da se promeni kasnije, obično linkom u podnožju. A najbolji banner je onaj koji vam ne treba: sajt sa samo nužnim kolačićima može bez njega, pa pre nego što ubacite bilo koji alat, pitajte šta on postavlja u pregledač.

Analitika bez kolačića: alternativa koju koristimo i sami

Većina firmi analitiku drži samo da bi znala koliko ljudi dolazi na sajt, odakle i koje stranice gledaju. Za to vam ne treba identifikator koji prati osobu mesecima. Postoje alati za analitiku bez kolačića, koji broje posete i pregledane stranice bez identifikacije pojedinca: ne postavljaju ništa u pregledač, ne prate ljude preko različitih sajtova.

Mi na svom sajtu merimo posete upravo tako, bez kolačića, i to je rešenje koje podrazumevano predlažemo klijentima kojima analitika služi za praćenje posete, a ne za oglase. Rezultat: sajt bez bannera i podaci o poseti koji su za poslovne odluke sasvim dovoljni. Kada zatrebaju kampanje sa piksel praćenjem, saglasnost se uvodi, ali sa jasnom slikom šta dobijate zauzvrat.

Kada prodajete kupcima iz EU: GDPR

Ako vaš sajt ili webshop cilja kupce u Evropskoj uniji, na primer ima cene u evrima, dostavu u EU ili verziju na nemačkom, uz ZZPL se u praksi primenjuje i GDPR. Dobra vest je da su dva propisa u velikoj meri usklađena, pa sajt uređen po ZZPL-u nije daleko od onoga što GDPR traži: politika privatnosti, saglasnost za nenužne kolačiće, prava korisnika. Razlika je što evropski nadzor strože tumači bannere o kolačićima, pa se tu ne isplati raditi „na minimum”.

Za webshop koji šalje u EU postoje i obaveze koje nisu vezane za podatke, od informisanja potrošača do prava na odustanak; njih smo pobrojali u tekstu o zakonskim obavezama webshopa. Ako imate i domaće i EU kupce, uredite sajt po strožem standardu, pa jedno rešenje pokriva obe strane.

Šta da proverite na svom sajtu ove nedelje

Pre spiska, jedna važna ograda: nismo pravni ni računovodstveni savetnici, propisi i njihova tumačenja se menjaju, a svaki sajt prikuplja nešto drugačije. Ovaj tekst opisuje praksu iz ugla onih koji sajtove prave; konkretnu obavezu za svoj slučaj potvrdite sa pravnikom, naročito ako obrađujete osetljive podatke, na primer u ordinaciji, ili prodajete u inostranstvo.

Praktična provera ima četiri koraka. Otvorite svoj sajt u anonimnom prozoru i pogledajte koji se kolačići postavljaju pre ijednog klika. Pročitajte svoju politiku privatnosti i proverite da li odgovara na pet pitanja iz ovog teksta. Pogledajte kontakt formu: da li traži samo neophodno i da li linkuje politiku. I zapitajte se da li vam analitika sa kolačićima uopšte treba.

Kada radimo sajt, ovaj deo je uključen u posao: pregled alata koje sajt učitava, analitika bez kolačića, ispravno obaveštenje gde je potrebno i osnova politike privatnosti koju vaš pravnik samo pregleda. Ako niste sigurni gde je vaš sajt, javite se i proći ćemo kroz njega zajedno.