Zaštita podataka na sajtu: kolačići i forme

Zakon o zaštiti podataka o ličnosti i vaš sajt: kolačići, forme i obaveštenje

Ako vaš sajt ima kontakt formu, newsletter, narudžbine ili alate kao što su Google Analytics i Meta Pixel, vi obrađujete podatke o ličnosti i Zakon o zaštiti podataka o ličnosti (Sl. glasnik RS, br. 87/2018) se odnosi na vas. U praksi to znači tri stvari: kolačiće koji nisu neophodni postavljate tek posle pristanka, iz formi uzimate samo podatke koji su vam potrebni i na sajtu imate jasno obaveštenje o obradi.

Zakon se primenjuje od 21. avgusta 2019. godine i važi i za male firme i preduzetnike. Nadzor vrši Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti (poverenik.rs). Pravila za kolačiće su u Zakonu o elektronskim komunikacijama (Sl. glasnik RS, br. 35/2023), koji upućuje na zakon o zaštiti podataka.

Ovaj tekst nije pravni savet. Pisali smo ga kao tim koji pravi sajtove, da bismo vlasnicima firmi objasnili šta ti zakoni znače za sajt u praksi. Za vašu konkretnu situaciju, a pogotovo ako obrađujete podatke o zdravlju ili deci, posavetujte se sa advokatom.

U nastavku navodimo članove zakona na koje se pozivamo, da možete sami da ih proverite.

UslugaIzrada sajta

Tri mesta na sajtu gde se obrađuju podaci

01Kolačići i skripte

Analitika, piksel za oglase, ugrađeni video ili mapa. Mnogi od njih čuvaju podatke na uređaju posetioca ili čitaju podatke sa njega.

02Forme

Kontakt forma, prijava na newsletter, zakazivanje, narudžbina. Ime, mejl i telefon su podaci o ličnosti, i u mejlu koji vam forma pošalje.

03Obaveštenje

Stranica koja posetiocu kaže ko ste, šta prikupljate, zašto, kome to dajete, koliko dugo čuvate i koja prava ima. Na mnogim sajtovima se zove politika privatnosti.

Kolačići: kada vam treba pristanak

Za kolačiće koji nisu neophodni za rad sajta treba vam pristanak posetioca pre nego što ih postavite. Zakon o elektronskim komunikacijama (Sl. glasnik RS, br. 35/2023) u članu 160 kaže da je čuvanje ili pristup podacima u terminalnoj opremi korisnika dozvoljeno pod uslovom da je korisnik dao pristanak, nakon jasnog i potpunog obaveštenja o svrsi, u skladu sa zakonom o zaštiti podataka o ličnosti, i da mu je pružena prilika da takvu obradu odbije.

Isti član pravi izuzetak za tehničko čuvanje ili pristup isključivo radi prenosa komunikacije ili pružanja usluge koju je korisnik izričito zatražio. To su, na primer, kolačić za korpu u web shopu, za prijavu na nalog ili za izabrani jezik.

Analitika i oglasi nisu u tom izuzetku, jer posetilac nije tražio da ga merite. Zato se Google Analytics, Meta Pixel i slični alati učitavaju tek kada posetilac klikne na prihvatanje. Kako se GA4 podešava da poštuje taj izbor objasnili smo u posebnom vodiču.

Dobar primer daje i sam Poverenik: na svom sajtu, u politici upotrebe kolačića, navodi da koristi samo tehnički neophodne kolačiće (izbor jezika i pisma) i da za njih nije potreban prethodni pristanak.

VodičGA4 podešavanje

Kako izgleda ispravno obaveštenje o kolačićima

Zakon o zaštiti podataka o ličnosti u članu 15 propisuje da rukovalac mora da može da dokaže da je lice dalo pristanak, da lice može da opozove pristanak u svakom trenutku i da opozivanje mora biti jednostavno kao i davanje pristanka.

Za sajt to znači: kolačići za analitiku i oglase ne rade dok posetilac ne klikne na prihvatanje, sajt beleži kada je i na šta pristanak dat, a na dnu svake stranice postoji link kojim posetilac može da promeni izbor.

Isti član kaže da se pri oceni da li je pristanak slobodno dat posebno gleda da li se usluga uslovljava pristankom koji za nju nije neophodan. Zato sajt ne sme da se "zaključa" dok posetilac ne prihvati sve kolačiće.

Dugmad za prihvatanje i odbijanje stavljamo jedno pored drugog, iste veličine. Zakon ne propisuje izgled dugmadi, ali ako je odbijanje sakriveno iza tri klika, a prihvatanje je jedno veliko dugme, teško je reći da je opoziv jednostavan kao davanje pristanka.

Kontakt forma: tražite samo ono što vam treba

Član 5 zakona propisuje načela obrade, među kojima je minimizacija: podaci moraju biti primereni, bitni i ograničeni na ono što je neophodno u odnosu na svrhu. Za odgovor na upit dovoljni su ime i mejl ili telefon. Datum rođenja, adresa i JMBG u kontakt formi nemaju šta da traže.

Za odgovor na upit pristanak obično nije potreban. Član 12 kaže da je obrada zakonita i kada je neophodna za preduzimanje radnji na zahtev lica pre zaključenja ugovora, a upit za ponudu je upravo to.

Newsletter je druga priča. Ako mejl iz kontakt forme hoćete da koristite i za slanje ponuda, to je posebna svrha i za nju vam treba poseban pristanak. Polje za to ostavite prazno, da ga posetilac sam označi, i ne vezujte ga za slanje upita.

Ne zaboravite gde forma završava. Mejlovi iz forme stoje u vašem poštanskom sandučetu, a ponekad i u bazi sajta. Odredite koliko dugo ih čuvate i brišite ih kada više ne trebaju, jer član 5 traži i ograničenje čuvanja.

Šta mora da piše u obaveštenju o obradi

Kada podatke prikupljate od samog lica, na primer kroz formu, član 23 zakona traži da mu u trenutku prikupljanja date sledeće informacije:

Najjednostavnije je da obaveštenje bude posebna stranica na sajtu, a da ispod svake forme stoji kratka rečenica sa linkom do nje. Obaveštenje mora da opisuje vaš sajt i vaše alate. Kopija sa tuđeg sajta skoro sigurno navodi pogrešne svrhe i primaoce.

Ko ste i kako se sa vama kontaktira, i kontakt lica za zaštitu podataka ako ga imate.
Svrhu obrade i pravni osnov, a ako se pozivate na legitimni interes, koji je to interes.
Kome podatke dajete, na primer firmi za slanje mejlova ili knjigovođi.
Da li podatke iznosite u drugu državu i na osnovu čega.
Koliko dugo čuvate podatke ili po kom kriterijumu to određujete.
Prava lica: pristup, ispravka, brisanje, ograničenje obrade, prigovor i prenosivost.
Pravo na opoziv pristanka, ako je obrada zasnovana na pristanku.
Pravo da podnese pritužbu Povereniku.
Da li je davanje podataka obavezno i šta je posledica ako ih lice ne da.

Ko još vidi podatke: hosting, analitika, mejl servis

Mali sajt retko obrađuje podatke sam. Hosting čuva bazu, servis za newsletter čuva listu, analitika šalje podatke o posetama. Kada neko obrađuje podatke u vaše ime, zakon ga zove obrađivač.

Član 45 traži da obrada od strane obrađivača bude uređena ugovorom ili drugim obavezujućim aktom u pismenom obliku, što uključuje i elektronski oblik. Veliki servisi obično imaju standardni ugovor o obradi podataka koji prihvatate u podešavanjima naloga.

Ako je obrađivač u inostranstvu, to je prenos podataka. Član 64 smatra da je primereni nivo zaštite obezbeđen u državama članicama Konvencije Saveta Evrope o zaštiti lica u odnosu na automatsku obradu ličnih podataka i u državama za koje je EU utvrdila primeren nivo zaštite. Za ostale države zakon traži dodatne mere.

Napravite spisak: koji alat, koja firma, koji podaci, koja država. Taj spisak vam treba i za obaveštenje i za razgovor sa onim ko održava sajt.

UslugaOdržavanje sajta

Evidencija radnji obrade i kazne

Član 47 propisuje da rukovalac vodi evidenciju radnji obrade. Privredni subjekti sa manje od 250 zaposlenih nisu dužni da je vode, osim ako obrada može da prouzrokuje visok rizik, ako obrada nije povremena ili ako obuhvata posebne vrste podataka. Poverenik na svom sajtu objašnjava da se evidencija ne dostavlja unapred, nego na zahtev Poverenika.

Kontakt forma koja radi svakog dana teško se može nazvati povremenom obradom. Zato je kratka evidencija (šta, zašto, koliko dugo, kome) razuman korak i za malu firmu, a pomaže i kada pišete obaveštenje.

Kazne su u članu 95. Pravno lice koje, na primer, licu ne pruži informacije iz člana 23 ili ne može da dokaže da je lice dalo pristanak, kažnjava se novčanom kaznom od 50.000 do 2.000.000 dinara, a preduzetnik od 20.000 do 500.000 dinara. Kazna je predviđena i za odgovorno lice u pravnom licu.

Kako da sami proverite svoj sajt za 15 minuta

Otvorite sajt u privatnom prozoru pregledača, tako da nema sačuvanih kolačića. Pre nego što kliknete bilo šta na baneru, otvorite alatke za programere (taster F12), karticu Application ili Storage, pa Cookies. Ako tu već vidite kolačiće analitike, na primer one koji počinju sa _ga, ili piksela za oglase, sajt ih postavlja bez pristanka.

Zatim kliknite na odbijanje i osvežite stranicu. Kolačići za analitiku i oglase ne bi trebalo da se pojave. Proverite i da li na dnu stranice postoji link kojim možete da promenite izbor.

Na kraju pošaljite upit kroz svoju kontakt formu. Pogledajte koja polja su obavezna, da li ispod forme postoji link do obaveštenja i da li je polje za newsletter već označeno. Ako jeste, to treba ispraviti.

Ako imate web shop, obaveze ne staju ovde. Šta Zakon o zaštiti potrošača traži od prodaje na daljinu pisali smo u posebnom tekstu.

VodičZakon o zaštiti potrošača za web shop

PaketiPaketi za izradu sajta

Tri greške koje viđamo na sajtovima malih firmi

01Analitika pre pristanka

Baner postoji, ali je Google Analytics ugrađen direktno u kod i radi od prvog učitavanja, bez obzira na to šta posetilac izabere.

02Prepisana politika privatnosti

Tekst sa drugog sajta, sa tuđim nazivom firme, alatima koje ne koristite i bez onih koje koristite. Posetiocu ne govori ništa tačno o vašoj obradi.

03Unapred označen pristanak

Polje za newsletter već čekirano ili spojeno sa slanjem upita. Teško je dokazati da je takav pristanak dat slobodno i za posebnu svrhu.

KontaktPitajte nas za svoj sajt

Česta pitanja o zaštiti podataka na sajtu

Da li mi treba pristanak za Google Analytics?

Da, po našem čitanju člana 160 Zakona o elektronskim komunikacijama. Analitika čuva i čita podatke na uređaju posetioca, a nije neophodna za uslugu koju je posetilac zatražio. Zato se učitava tek posle klika na prihvatanje.

Da li je za kolačić korpe ili prijave potreban pristanak?

Ne. Član 160 Zakona o elektronskim komunikacijama izuzima tehničko čuvanje podataka isključivo radi pružanja usluge koju je korisnik izričito zatražio. Korpa, prijava na nalog i izabrani jezik spadaju u to, ali ih navedite u obaveštenju.

Mogu li da kopiram politiku privatnosti sa drugog sajta?

Ne preporučujemo. Član 23 traži da obaveštenje navede vaše svrhe, primaoce, rokove čuvanja i prenos u inostranstvo. Tuđi tekst opisuje tuđu obradu i skoro sigurno nije tačan za vaš sajt.

Da li mala firma mora da vodi evidenciju radnji obrade?

Firme sa manje od 250 zaposlenih nisu dužne, osim ako obrada nije povremena, nosi visok rizik ili obuhvata posebne vrste podataka. Forma koja radi svakog dana teško je povremena, pa je kratka evidencija razuman korak.

Kome mogu da se obratim ako nisam siguran?

Za tumačenje zakona advokatu koji se bavi zaštitom podataka, a zvanični tekstovi i stavovi su na sajtu Poverenika (poverenik.rs). Za tehnički deo, baner, forme i učitavanje skripti, možete da pitate nas.