GDPR i web stranica idu zajedno čim stranica prikuplja bilo kakve osobne podatke, a prikuplja ih gotovo svaka: kontakt forma, upit za rezervaciju, analitika, čak i logovi servera. Za malu firmu to u praksi znači tri stvari: politiku privatnosti koja pošteno opisuje što radite s podacima, cookie banner ako koristite kolačiće koji nisu tehnički nužni i uredne privole na formama. To je jezgra; sve ostalo su detalji koji ovise o tome što stranica radi.
U ovom vodiču prolazimo tu jezgru bez pravničkog žargona: što morate imati, što ne morate iako svi misle da moraju, i koje greške viđamo najčešće na stranicama lokalnih firmi. Cilj je da nakon čitanja znate točno što provjeriti na svojoj stranici i što tražiti od izvođača koji vam je radi.
Važno: Nismo odvjetnici i ovaj tekst nije pravni savjet. Ovo je praktičan vodič iz perspektive ljudi koji rade web stranice i svakodnevno provode ove zahtjeve u praksi. Za tumačenje propisa i konkretne pravne dvojbe obratite se odvjetniku ili Agenciji za zaštitu osobnih podataka (AZOP), koja je nadležno tijelo u Hrvatskoj i objavljuje besplatne upute za male poduzetnike.
Što je GDPR i zašto se tiče vaše stranice
GDPR je europska uredba o zaštiti osobnih podataka, na snazi od 2018. godine. Osobni podatak je sve što se može povezati s konkretnom osobom: ime, telefon, IP adresa, podaci o ponašanju na stranici. Čim vaša web stranica takve podatke prikuplja ili prosljeđuje, a prikuplja ih i obična kontakt forma, uredba se odnosi na vas, bez obzira na to imate li jednog zaposlenog ili stotinu.
Zašto bi vas to trebalo brinuti izvan straha od kazni? Prvo, kazne postoje i za male firme, iako nadzorna tijela u praksi prvo opominju i traže ispravak. Drugo, i važnije: uređena stranica djeluje ozbiljno. Gost koji ostavlja podatke za rezervaciju apartmana ili pacijent koji se naručuje kod stomatologa primijeti razliku između stranice s jasnom politikom privatnosti i one koja o podacima šuti.
Dobra vijest za male firme: za tipičnu prezentacijsku stranicu ili stranicu apartmana zahtjevi su sasvim podnošljivi. Ne trebate službenika za zaštitu podataka, ne trebate skupe revizije, ne trebate pravni tim. Trebate razumjeti što vaša stranica radi s podacima i to pošteno napisati. Većina posla napravi se jednom, kod izrade stranice, i onda samo održava.
Problem nastaje kad se tema ignorira pa se rješava panikom: kopiranom politikom privatnosti s tuđe stranice i cookie bannerom koji je sam sebi svrha. Oba “rješenja” znaju biti gora od praznog mjesta, jer opisuju tuđu stranicu, a ne vašu. Zato krenimo od onoga što stvarno trebate.
Što vaša stranica mora imati: kratki popis
Za tipičnu stranicu male firme, obveze se svode na ovaj popis. Detalje svake stavke razrađujemo u nastavku.
- Politika privatnosti: stranica koja opisuje koje podatke prikupljate, zašto, koliko ih čuvate i koja prava ljudi imaju. Obavezna praktički uvijek.
- Cookie banner: samo ako koristite kolačiće koji nisu tehnički nužni, npr. analitiku ili marketinške piksele. Stranica bez takvih kolačića banner ne treba.
- Privole na formama: jasno rečeno što se s podacima iz forme radi; za newsletter posebna, dobrovoljna kvačica.
- HTTPS: šifrirana veza, ono zbog čega adresa počinje s https. Danas standard i za Google i za GDPR.
- Podaci o vlasniku: tko stoji iza stranice, s kontaktom. Za firme i obrte to traže i drugi propisi, ne samo GDPR.
- Uvjeti kupnje: ako imate web shop, uz sve gore ide i jasan opis uvjeta prodaje, dostave i povrata.
Primijetite čega na popisu nema: nema obveznog bannera na svakoj stranici, nema potvrde “prihvaćam sve” da biste smjeli pokazati cjenik, nema plaćanja mjesečnih licenci za “GDPR certifikat”. Velik dio onoga što se prodaje malim firmama pod GDPR uslugama rješava se jednostavnije i jeftinije.
Politika privatnosti bez mistifikacije
Politika privatnosti je obična podstranica na kojoj ljudskim jezikom piše što se na vašoj stranici događa s osobnim podacima. Ne mora biti dugačka ni pisana pravničkim stilom; mora biti točna, potpuna i vaša, a ne kopija s interneta.
Što u njoj treba pisati:
- Tko ste: naziv firme ili obrta, adresa i kontakt. Kupac mora znati kome se obraća.
- Koje podatke prikupljate: npr. ime, telefon i poruku iz kontakt forme; podatke o posjetama ako imate analitiku; podatke za račun ako prodajete.
- Zašto ih prikupljate: odgovor na upit, izrada ponude, slanje newslettera, izvršenje narudžbe.
- Koliko ih čuvate: konkretno, npr. upiti godinu dana, računi koliko traži zakon o računovodstvu.
- Kome ih prosljeđujete: hosting, računovodstvo, dostavna služba, alati poput Google Analyticsa. Bez skrivanja.
- Koja prava ljudi imaju: uvid, ispravak, brisanje, prigovor, i kome se javljaju da ih ostvare.
Najčešća greška je kopiranje tuđe politike u kojoj piše da koristite alate koje ne koristite, ili obrnuto, ne piše da koristite one koje koristite. Takva politika je gora od nikakve, jer dokumentirano ne govori istinu. Bolje pet kratkih, točnih odlomaka nego deset stranica prepisane proze.
Politiku napišite jednom pošteno, pa je ažurirajte kad se nešto promijeni: novi alat na stranici, novi način prikupljanja upita. Kod nas je izrada politike privatnosti dio projekta kad radimo stranicu; popis materijala koje za to trebamo naći ćete u vodiču što pripremiti prije izrade web stranice.
Kolačići i cookie banner: kada treba, a kada ne
Kolačići su male datoteke koje stranica sprema u preglednik posjetitelja. Dijele se na dvije bitne skupine i tu podjelu vrijedi zapamtiti, jer o njoj ovisi treba li vam banner.
Prva skupina su tehnički nužni kolačići: bez njih stranica ne radi. Košarica u web shopu, prijava korisnika, zaštita formi od spama. Za njih vam ne treba ničija privola i ne treba vam banner. Druga skupina je sve ostalo: analitika koja prati posjete, marketinški pikseli koji pamte posjetitelje za oglase, ugrađeni sadržaji koji šalju podatke trećima. Za te kolačiće trebate privolu prije nego što se aktiviraju.
Iz toga slijedi pravilo koje mnoge iznenadi: jednostavna prezentacijska stranica bez analitike i piksela ne treba cookie banner. Banner nije ukras ni dokaz ozbiljnosti; on je mehanizam za privolu koja se traži samo kad za nju postoji razlog. Stranica koja ne koristi ništa osim nužnih kolačića, a prikazuje banner “prihvati kolačiće”, gnjavi posjetitelje bez ikakve pravne potrebe.
Ako banner trebate, mora biti pošten:
- Analitika i marketing ne smiju se učitati prije nego što posjetitelj pristane.
- “Odbij” mora biti jednako dostupno kao “Prihvati”: ista razina, ne sitni link nakon tri klika.
- Unaprijed označene kvačice ne vrijede kao privola.
- Posjetitelj koji odbije mora normalno koristiti stranicu.
- Izbor se mora dati promijeniti kasnije, npr. linkom u podnožju.
Banneri koji nude samo “U redu” ili sakriju odbijanje iza labirinta klikova ne ispunjavaju svrhu; privola iznuđena dosađivanjem nije privola. U praksi to znači: ili stranicu držite bez nepotrebnih kolačića, pa živite bez bannera, ili koristite alat za privole koji stvarno blokira skripte dok pristanka nema.
Napomena: Pravila o kolačićima ne dolaze samo iz GDPR-a nego i iz posebnih propisa o elektroničkim komunikacijama, ali za vlasnika male stranice praktičan zaključak je isti: nužni kolačići idu slobodno, sve ostalo tek nakon stvarne privole.
Forme i privole: kontakt, newsletter, rezervacije
Forme su mjesto gdje stranica najizravnije prikuplja podatke, pa tu vrijedi biti uredan. Srećom, pravila su logična kad se svedu na princip: čovjek mora znati što se s njegovim podacima radi, a podatke smijete koristiti samo za ono zbog čega ih je dao.
Za običnu kontakt formu ili upit za rezervaciju ne treba vam posebna kvačica “pristajem na obradu podataka”. Osoba vam piše da bi dobila odgovor; korištenje njenih podataka za taj odgovor je očekivano i legitimno. Što treba: kratka napomena uz formu, npr. “Podatke koristimo samo za odgovor na upit”, s linkom na politiku privatnosti. I disciplina iza kulisa: te podatke ne trpate u newsletter listu i ne dijelite ih dalje.
Newsletter je druga priča. Tu podatke koristite za nešto što osoba nije nužno tražila, pa treba izričita privola: posebna kvačica koju osoba sama označi, uz jasan tekst na što se prijavljuje. Kvačica ne smije biti unaprijed označena ni skrivena u tekstu “slanjem forme prihvaćate…”. Svaka poslana poruka mora imati odjavu koja radi iz prvog klika.
Za web shopove vrijedi isto, s dodatkom: podaci za izvršenje narudžbe (ime, adresa, telefon za dostavu) idu bez posebne privole jer bez njih narudžbe nema, ali marketing nakon kupnje opet traži svoju kvačicu. Kako se to tehnički posloži bez gušenja prodaje, dio je posla kod izrade web shopa. Posebno pazite kod djelatnosti s osjetljivijim podacima, poput zdravstvenih usluga: forma za naručivanje kod stomatologa ne smije tražiti više nego što za naručivanje treba.
Analitika i alati trećih strana
Većina stranica koristi tuđe alate: Google Analytics za posjete, Facebookov piksel za oglase, ugrađene karte, fontove s tuđih servera, YouTube video. Svaki od njih potencijalno šalje podatke posjetitelja trećoj strani, i zato spadaju u GDPR priču.
Praktičan pristup u tri koraka. Prvo, popišite što stranica stvarno učitava; izvođač vam to može ispisati za deset minuta. Drugo, izbacite što ne koristite: piksel od kampanje koja je stala prije dvije godine nije “neka stoji”, nego rizik i usporenje bez koristi. Treće, za ono što ostaje odlučite: alati koji prate posjetitelje idu iza privole u cookie banneru, a tehničke stvari poput fontova rješavaju se elegantnije, smještanjem na vlastiti server, pa podaci uopće ne putuju van.
Za analitiku razmislite trebate li baš alat koji zahtijeva privolu. Malim stranicama često je dovoljna analitika koja ne prati pojedinačne posjetitelje i time ne diže cookie banner. Manje podataka, manje obveza, a brojke koje vas stvarno zanimaju, koliko ljudi dolazi i odakle, i dalje imate. Ovakve odluke najlakše je donijeti kod izrade ili redizajna stranice, dok se sve ionako slaže; to je jedan od razloga zašto izradu web stranica u Zadru radimo sa što manje vanjskih ovisnosti: stranica je brža, a papirologija tanja.
Što trebate ovisno o tipu stranice
Da bude pregledno, evo obveza po tipu stranice kakve male firme najčešće imaju. Tablica je orijentacijska; presuđuje ono što vaša stranica stvarno radi s podacima.
| Tip stranice | Politika privatnosti | Cookie banner | Posebne privole |
|---|---|---|---|
| Prezentacijska, bez formi i analitike | Da, kratka | Ne | Ne |
| S kontakt formom, bez analitike | Da | Ne | Napomena uz formu |
| S analitikom ili pikselima | Da | Da, s pravim blokiranjem | Napomena uz formu |
| S newsletterom | Da | Ovisno o alatima | Kvačica za newsletter |
| Apartmani s upitom za rezervaciju | Da | Ovisno o alatima | Napomena uz formu |
| Web shop | Da | Najčešće da | Kvačica za marketing + uvjeti kupnje |
Za iznajmljivače jedna česta situacija: stranica apartmana s kalendarom i formom za upit obično može bez cookie bannera, ako se ne koriste marketinški alati. Više o tome kakva stranica apartmanu treba pisali smo na stranici web stranice za apartmane.
Fotografije, recenzije i zaposlenici: GDPR izvan formi
Osobni podaci na stranici ne završavaju s formama. Nekoliko situacija iz svakodnevice malih firmi zaslužuje kratko pojašnjenje, jer se pitanja o njima stalno vraćaju.
Fotografije ljudi. Slika na kojoj se osoba prepoznaje je osobni podatak. Za fotografije vlastitih zaposlenika na stranici “o nama” tražite pristanak i primite k znanju da ga zaposlenik smije uskratiti bez posljedica. Za goste i kupce na fotografijama iz restorana, s eventa ili plaže pravilo je još jednostavnije: ili birajte kadrove bez prepoznatljivih lica, ili tražite dopuštenje. Fotografija zadovoljnih gostiju na terasi izgleda sjajno na stranici konobe, ali samo ako gosti znaju da su na njoj.
Recenzije i preporuke. Objava recenzije s imenom i prezimenom na vlastitoj stranici traži pristanak osobe koja ju je napisala. Praktično rješenje: kad vam netko pošalje pohvalu, pitajte smijete li je objaviti i s kojim potpisom; većina rado pristane. Recenzije s Google profila prikazujte kroz službene widgete, a ne kopiranjem u vlastiti dizajn.
Zaposlenici i natječaji. Ako preko stranice primate prijave za posao, životopisi su hrpa osobnih podataka s rokom trajanja: čuvajte ih koliko traje natječaj i obrišite nakon toga, osim ako kandidat pristane da ga zadržite za buduće prilike. I to napišite u politici privatnosti, jednom rečenicom.
Ništa od navedenog ne traži pravni tim, samo naviku da se prije objave zapitate: je li osoba na slici ili u tekstu s time računala? To pitanje riješi devedeset posto dvojbi prije nego što postanu problem.
Najčešće greške na stranicama malih firmi
Kroz preglede stranica viđamo iste propuste toliko često da zaslužuju vlastiti popis. Provjerite svoju stranicu protiv njega; treba vam deset minuta.
Kopirana politika privatnosti s tuđim podacima. U tekstu piše naziv druge firme ili alati koje stranica ne koristi. Događa se češće nego što mislite, a otkriva se jednim čitanjem. Rješenje: napišite svoju, kraću i točnu.
Banner koji ništa ne blokira. Stranica prikazuje pitanje o kolačićima, a analitika i pikseli se učitaju prije bilo kakvog odgovora. To je najrašireniji propust uopće: izgleda usklađeno, a ne mijenja ništa. Rješenje: alat za privole koji skripte drži ugašene do pristanka, ili izbacivanje alata koji privolu traže.
Forma koja traži previše. Za upit o terminu ne treba OIB, adresa stanovanja ni datum rođenja. Svako polje viška je podatak koji čuvate bez razloga i prepreka koja smanjuje broj upita; ovdje se GDPR i prodaja iznimno slažu. Ostale prodajne propuste ovog tipa skupili smo u članku o najčešćim greškama na stranicama lokalnih firmi.
Stranica bez HTTPS-a. Podaci s formi putuju nešifrirano, preglednici prikazuju upozorenje “nije sigurno”, a Google spušta pozicije. Certifikat je danas besplatan i uključen u svaki pristojan hosting; nema izgovora.
Zaboravljeni podaci. Upiti od prije pet godina u sandučiću, stare liste primatelja, izvozi u Excelu po računalima. GDPR traži da podatke čuvate koliko treba, pa obrišete; posao koji se najlakše rješava jednom godišnje, po rasporedu.
Kako sve posložiti u pet koraka
Ako krećete od nule ili sumnjate da stranica nije uredna, ovaj redoslijed pokriva bitno bez panike:
Popišite što stranica radi s podacima
Koje forme postoje i što traže, koji se vanjski alati učitavaju, gdje završavaju upiti. Bez tog popisa sve ostalo je nagađanje.
Izbacite višak
Nekorišteni pikseli, polja u formama koja nikome ne trebaju, stari dodaci. Manje podataka znači manje obveza i bržu stranicu.
Napišite politiku privatnosti
Kratku, točnu, svoju. Po popisu iz prvog koraka, jezikom koji razumije i vaš kupac. Objavite je u podnožju stranice.
Posložite privole
Napomena uz kontakt formu, kvačica za newsletter, cookie banner samo ako ostaju alati koji ga traže, s pravim blokiranjem skripti.
Uvedite godišnju rutinu
Jednom godišnje: pregled alata, brisanje starih podataka, provjera piše li u politici i dalje istina. Pola sata posla kad je temelj dobar.
Savjet: Ako stranicu tek naručujete, tražite da ovih pet koraka bude odrađeno u sklopu izrade i pisano potvrđeno u ponudi. Naknadno sređivanje uvijek košta više od ugrađivanja od početka, a kod nas je dio standardnog opsega; vidljivo je i u cjeniku izrade web stranice.
Česta pitanja o GDPR-u i web stranicama
Treba li svaka web stranica cookie banner?
Ne. Banner treba samo stranica koja koristi kolačiće izvan tehnički nužnih: analitiku koja prati posjetitelje, marketinške piksele i slično. Prezentacijska stranica bez tih alata banner ne treba, ali politiku privatnosti treba gotovo svaka.
Mogu li politiku privatnosti kopirati s druge stranice?
Ne biste smjeli, jer tuđa politika opisuje tuđu stranicu: druge alate, druge podatke, druge rokove. Netočna politika je dokumentirana neistina. Ispravan put je kratak popis onoga što vaša stranica stvarno radi, pretočen u vlastiti tekst.
Odnosi li se GDPR na obrt s jednim zaposlenim?
Da. Uredba ne razlikuje firme po veličini nego po tome obrađuju li osobne podatke. Razlika je u opsegu obveza: mali obrt s kontakt formom treba osnovnu higijenu opisanu u ovom vodiču, ne odjel za usklađenost.
Kolike su kazne i kažnjavaju li se male firme?
Papirnati maksimumi su visoki, ali u praksi nadzor prema malima najčešće kreće opomenom i nalogom za ispravak. Veći stvarni rizik je prigovor nezadovoljnog kupca ili bivšeg zaposlenika koji pokrene provjeru. Urednost se isplati kao osiguranje.
Trebam li službenika za zaštitu podataka?
Tipična mala firma ne treba. Obveza postoji za organizacije koje sustavno i opsežno prate ljude ili masovno obrađuju osjetljive podatke, što prezentacijska stranica, apartmani ni mali shop nisu. Ako ste granični slučaj, provjerite s AZOP-om ili odvjetnikom.
Smijem li slati newsletter ljudima koji su mi poslali upit?
Ne bez njihove privole. Upit je dan radi odgovora, ne radi marketinga. Za newsletter treba posebna, dobrovoljna kvačica ili prijava, s odjavom u svakoj poruci. Kupcima smijete slati srodne ponude uz jasnu mogućnost odjave od početka.
Što s Google Analyticsom: smijem li ga koristiti?
Smijete uz privolu kroz cookie banner koji stvarno blokira učitavanje do pristanka i uz navođenje u politici privatnosti. Alternativa za male stranice je analitika bez praćenja pojedinaca, koja privolu ne traži i banner ne diže.
Vrijedi li ovo i za stranice apartmana koje gosti koriste iz inozemstva?
Vrijedi, GDPR pokriva cijeli EU, a upiti stranih gostiju su osobni podaci kao i domaći. Praktično: napomena uz formu i politika privatnosti prevedene na jezike stranice, isti principi privole za sve.
Tko je u Hrvatskoj nadležan i gdje mogu provjeriti detalje?
Nadležna je Agencija za zaštitu osobnih podataka (AZOP). Na njihovim stranicama postoje upute i odgovori prilagođeni malim poduzetnicima, kao i obrasci za prigovore. Za tumačenja koja izlaze iz okvira ovog vodiča, to je prava adresa.
Niste sigurni je li vaša stranica uredna?
Pošaljite adresu stranice i pogledat ćemo forme, kolačiće i politiku privatnosti, pa reći što nedostaje. Besplatno i bez obveze.
