Najvažnije ukratko
- Pohranu ili čitanje informacija na uređaju u Njemačkoj uređuje § 25 TDDDG, u Austriji § 165 st. 3 TKG 2021: bez privole samo ono što je nužno.
- Privola zahtijeva aktivnu radnju. Odbiti mora biti jednako jednostavno kao prihvatiti, unaprijed označeni okviri ne vrijede.
- Privolu obično trebaju statistika s kolačićima, oglasni pikseli, ugrađeni videozapisi i karte te fontovi koji se učitavaju s tuđih poslužitelja.
- Tko fontove drži na vlastitom poslužitelju, koristi štedljivu statistiku i na karte i videozapise upućuje poveznicom umjesto da ih ugrađuje, obično uopće ne treba banner.
- Izjava o zaštiti podataka ipak je potrebna. Ovaj članak je opća informacija, a ne pravni savjet.
Ovaj članak je opća informacija, a ne pravno ili porezno savjetovanje u pojedinačnom slučaju. Zakoni, strukovne smjernice i članarine komora se mijenjaju: pojedinosti prije odluke provjerite kod svoje komore, nadležnog tijela ili strukovnog udruženja.
Dva skupa pravila: pristup uređaju i GDPR
Kod bannera za kolačiće djeluju dva skupa pravila. Prvi štiti uređaj: tko na računalu ili pametnom telefonu posjetitelja pohranjuje informacije ili ih odande čita, primjerice postavlja kolačić, u načelu treba privolu. U Njemačkoj to propisuje § 25 TDDDG, Zakon o zaštiti podataka u telekomunikacijama i digitalnim uslugama, koji se do svibnja 2024. zvao TTDSG. U Austriji to uređuje § 165 st. 3 TKG 2021. Oba provode istu direktivu EU-a i poznaju istu iznimku: ono što je nužno za rad usluge koju je korisnik izričito zatražio ne treba privolu.
Drugi skup pravila je GDPR. Primjenjuje se čim se obrađuju osobni podaci, a u njih se ubraja već i IP adresa. Tko učitava font, videozapis ili kartu s tuđeg poslužitelja, prenosi IP adresu tom pružatelju, čak i bez ikakvog kolačića. Za to je potrebna pravna osnova, a kod usluga bez kojih web-stranica može, to je u praksi često samo privola.
- Dobrovoljno i aktivno: privola zahtijeva svjesnu radnju. Sud EU-a odlučio je 2019. u predmetu Planet49 da unaprijed označeni okvir nije valjana privola.
- Informirano i određeno: posjetitelji moraju znati na što pristaju, koji su pružatelji uključeni i koliko se dugo podaci pohranjuju.
- Opozivo: povlačenje privole mora biti jednako jednostavno kao njezino davanje (čl. 7. st. 3. GDPR-a), primjerice trajnom poveznicom „Postavke kolačića“ u podnožju.
- Unaprijed: usluge koje trebaju privolu smiju se učitati tek nakon nje, a ne odmah pri otvaranju stranice.
Što treba privolu, a što ne
Odlučuje ne riječ „kolačić“, nego što se tehnički događa i je li to web-stranici potrebno. Sljedeći pregled pokazuje tipične sastavne dijelove web-stranica ureda. U pojedinačnom slučaju odlučuje konfiguracija.
| Sastavni dio | Treba li privola? | Napomena |
|---|---|---|
| Kolačić koji pamti odabir u banneru | ne | nužan kako bi se poštovala odluka |
| Sesijski kolačić za obrazac ili prijavu | ne | ako se koristi samo za traženu funkciju |
| Statistika bez kolačića, skraćene IP adrese | prema raširenom mišljenju ne | ipak pravna osnova i napomena u izjavi o zaštiti podataka |
| Google Analytics ili druga statistika s kolačićima | da | učitati tek nakon privole |
| Oglasni i konverzijski pikseli (Google Ads, Meta, LinkedIn) | da | uredima uglavnom nepotrebni, vidi niže |
| Ugrađeni YouTube ili Vimeo videozapisi | da | i „način poboljšane privatnosti“ učitava sadržaj s Googleovih poslužitelja |
| Ugrađena karta Google Maps | da | alternativa: slika karte s poveznicom na Google Maps |
| Google Fonts učitani s Googleova poslužitelja | da | alternativa: fontovi na vlastitom poslužitelju |
| Vanjski widget za rezervacije ili chat | često da | riješiti poveznicom na vlastitu stranicu pružatelja |
Ako je banner potreban: ovako izgleda ispravno
Tko koristi usluge koje trebaju privolu, treba banner koji ostavlja stvaran izbor. Njemačka nadzorna tijela opisala su svoja očekivanja u smjernicama za pružatelje digitalnih usluga, a Europski odbor za zaštitu podataka objavio je 2023. rezultate svoje radne skupine za bannere za kolačiće. Bit: odbijanje mora biti moguće na istoj razini i jednako lako kao prihvaćanje.
Ovako je ispravno
- „Prihvati sve“ i „Odbij sve“ jednake veličine i na prvoj razini
- Razumljivo navesti svrhe i pružatelje, s odabirom po kategorijama
- Usluge koje trebaju privolu učitati tek nakon nje
- Ponuditi trajnu poveznicu „Postavke kolačića“ u podnožju
- Impressum i izjavu o zaštiti podataka ostaviti dostupnima i dok je banner otvoren
Radije ne
- Odbijanje omogućiti samo preko „Postavki“ i nekoliko klikova
- Prihvaćanje istaknuti bojom, a odbijanje sakriti kao blijedu tekstualnu poveznicu
- Unaprijed označiti okvire za statistiku ili marketing
- Nastavak pregledavanja ili pomicanje smatrati privolom
- Učitati analitiku ili piksele prije odluke
Alat za upravljanje privolama vanjskog pružatelja i sam često učitava podatke s tuđih poslužitelja. Provjerite gdje je smješten, postoji li ugovor o obradi podataka i provodi li odabir doista tehnički. Banner koji samo lijepo izgleda dok se u pozadini sve učitava gori je od nikakvog.
Najbolje: bez bannera
Najelegantnije rješenje je web-stranica koja ne učitava ništa za što bi morala pitati. Za urede je to gotovo uvijek moguće, jer su tipični razlozi za banner oglasno praćenje i ugrađeni tuđi sadržaji, a web-stranici ureda rijetko treba jedno ili drugo. Dobitak: nema bannera ispred prvog dojma, potpuna statistika i jasan signal da s podacima postupate pažljivo. Za urede koji i sami savjetuju o zaštiti podataka to je čak dokaz stručnosti; više u vodiču o web-stranici za urede za IT pravo i zaštitu podataka.
Fontovi lokalno
Sve datoteke fontova nalaze se na vlastitom poslužitelju. To vrijedi i za fontove s ikonama i skripte iz tuđih izvora.
Statistika bez kolačića
Štedljiva statistika poput Matoma bez kolačića ili Plausiblea, sa skraćenim IP adresama. Kako njome mjeriti uspjeh, pokazuje vodič Mjerenje online vidljivosti.
Karta kao slika
Umjesto ugrađene karte Google Maps slika karte ili fotografija ulaza s poveznicom „Planiraj rutu“. Brže se učitava i nikome ništa ne otkriva.
Videozapisi kao pregledna slika
Pregledna slika s poveznicom na YouTube ili videozapis na vlastitom poslužitelju. Alternativno se videozapis učitava tek nakon klika, uz napomenu o pružatelju.
Poveznice umjesto widgeta
Online rezervacija termina, profili na društvenim mrežama i recenzije kao obične poveznice umjesto ugrađenih widgeta. Više u vodiču o online terminima.
Bez oglasnih piksela
Bez kampanja na Google Adsu ili Meti pikseli nisu potrebni. Ako oglašavate, pročitajte vodič o Google Adsu i odmah planirajte banner.
Posebnost ureda: povjerljivost već prije prvog kontakta
Kod ureda već i posjet stranici mnogo govori. Tko noću čita stranicu „kaznena obrana“, „razvod“ ili „stečaj“, otkriva mnogo o sebi. Oglasni piksel na tim stranicama to javlja oglasnoj platformi. Pravno je to uz privolu dopušteno, ali se loše uklapa u struku čija je srž čuvanje tajne. Isto vrijedi za kontaktne obrasce: upiti bi trebali stizati izravno Vama, prenositi se šifrirano i ne prolaziti kroz uslugu obrazaca izvan EU-a.
To jednako vrijedi za javne bilježnike i revizore, koji posebno paze na neovisnost i nepristranost. Vitka web-stranica bez praćenja ovdje nije samo pravno sigurnija, nego daje i dosljedniju sliku.
Izjava o zaštiti podataka: što pripada u nju
I bez bannera trebate izjavu o zaštiti podataka, jer svaka web-stranica obrađuje osobne podatke, barem kod pružatelja hostinga i u kontaktnom obrascu. Obveze informiranja proizlaze iz čl. 13. GDPR-a. Kao i impressum, izjava o zaštiti podataka mora biti dostupna jednim klikom sa svake stranice. Što pripada u impressum, objašnjavaju vodiči o obveznim podacima, primjerice za odvjetnike u Njemačkoj ili porezne savjetnike u Austriji.
Sadržaj izjave o zaštiti podataka
- Naziv i kontakt ureda kao voditelja obrade, prema potrebi i službenika za zaštitu podataka
- Svrhe i pravne osnove: hosting i zapisi poslužitelja, kontaktni obrazac i e-pošta, statistika
- Primatelji, primjerice pružatelj hostinga i statistike, te idu li podaci u treće zemlje
- Razdoblje pohrane ili kriteriji za njega
- Prava na pristup, ispravak, brisanje, ograničenje, prigovor i prenosivost podataka
- Napomena o povlačenju danih privola
- Pravo na pritužbu nadzornom tijelu: u Austriji Datenschutzbehörde, u Njemačkoj tijelo za zaštitu podataka savezne zemlje
Dvije napomene iz prakse. Prvo: izjava o zaštiti podataka web-stranice nije isto što i informacija o zaštiti podataka za klijente koju predajete na početku mandata. Drugo: prema § 38 BDSG uredi u Njemačkoj u pravilu moraju imenovati službenika za zaštitu podataka ako je najmanje 20 osoba stalno zaposleno automatiziranom obradom osobnih podataka. Predložak s interneta rijetko točno odgovara; dajte izjavu prilagoditi uslugama koje stvarno koristite.
Usput riješite i impressum
Naš besplatni generator impressuma poznaje obvezne podatke za urede u Austriji i Njemačkoj, od komore do strukovnih pravila.
Kako sami provjeriti web-stranicu
Šalje li Vaša web-stranica bez pitanja podatke trećima, možete sami provjeriti za nekoliko minuta, bez stručnog znanja. Treba Vam samo preglednik.
Provjera u pet minuta
- Otvoriti web-stranicu u privatnom prozoru preglednika i još ništa ne kliknuti
- Tipkom F12 otvoriti alate za razvojne programere, karticu „Mreža“ i ponovno učitati stranicu
- Tražiti tuđe adrese, npr. fonts.googleapis.com, google-analytics.com, googletagmanager.com, facebook.net, youtube.com
- Na kartici „Pohrana“ ili „Aplikacija“ pogledati koji su kolačići već postavljeni
- Provjeriti banner: odbijanje na prvoj razini, nakon odbijanja nema poziva tuđih poslužitelja
- Provjeriti podnožje: impressum, izjava o zaštiti podataka i prema potrebi postavke kolačića povezani
Ako pronađete pozive tuđih poslužitelja prije nego što ste dali privolu, razgovarajte sa svojom agencijom. To se obično može ispraviti s nekoliko izmjena, a nakon toga često nestane i cijeli banner.
Web-stranica ureda bez bannera za kolačiće
Naše web-stranice učitavaju fontove lokalno, mjere štedljivo bez kolačića i ne ugrađuju tuđe usluge bez pitanja. Impressum i izjava o zaštiti podataka su pripremljeni. Zatražite besplatni pregled.
Neobvezujući pregled kako bi web-stranica Vašeg ureda mogla izgledati kod nas.
Izvori
- Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz § 25 (Njemačka)
- RIS – Telekommunikationsgesetz 2021 § 165 (Austrija)
- Opća uredba o zaštiti podataka (EU) 2016/679
- Sud EU-a, presuda od 1. listopada 2019., C-673/17 (Planet49)
- Europski odbor za zaštitu podataka – izvješće radne skupine za bannere za kolačiće
- Datenschutzkonferenz – smjernice za pružatelje digitalnih usluga
- Bundesdatenschutzgesetz § 38 (službenici za zaštitu podataka)
- Austrijsko tijelo za zaštitu podataka (Datenschutzbehörde)
- LG München I, presuda od 20.01.2022., posl. br. 3 O 17493/20 (Google Fonts)
