Politika kolačića: što je i što mora sadržavati

Politika kolačića dokument je koji posjetiteljima vašeg web-mjesta objašnjava koje kolačiće i slične tehnologije praćenja vaše web-mjesto koristi, zašto ih koristi te kako ih korisnici mogu kontrolirati. Riječ je o zakonskoj obvezi propisanoj i ePrivacy Direktivom i GDPR-om te predstavlja temelj transparentne obrade podataka.

Ovaj vodič obrađuje što je politika kolačića, kako se razlikuje od politike privatnosti, što mora sadržavati prema važećim propisima te kako je s vremenom održavati točnom.

Što je politika kolačića?

Politika kolačića zaseban je dokument — bilo samostalna stranica bilo jasno prepoznatljiv odjeljak unutar vaše politike privatnosti — koji pruža sveobuhvatne informacije o načinu na koji vaše web-mjesto koristi kolačiće i slične tehnologije (lokalno spremanje, spremanje sesije, pikselske oznake, web svjetionike, otiske prstiju i slično).

Pravni temelj za obvezu izrade politike kolačića proizlazi iz dvaju međusobno povezanih propisa:

• ePrivacy Direktiva (2002/58/EZ), članak 5. stavak 3. — zahtijeva da se korisnicima prije dobivanja privole pruže „jasne i sveobuhvatne informacije” o svrhama kolačića.
• GDPR, članci 12. – 14. — zahtijevaju transparentnost o obradi podataka, uključujući koji se podaci prikupljaju, u koje svrhe, s kim se dijele i koliko dugo se čuvaju.

Zajedno ovi propisi zahtijevaju da korisnicima točno objasnite koje tehnologije praćenja koristite i da im omogućite stvarnu kontrolu nad tim tehnologijama.

Politika kolačića u odnosu na politiku privatnosti

Politika kolačića i politika privatnosti komplementarni su, ali zasebni dokumenti. Razumijevanje razlike među njima je važno:

Aspekt	Politika kolačića	Politika privatnosti
Opseg	Konkretno kolačići i tehnologije praćenja	Sva obrada osobnih podataka (obrasci, računi, kupnje itd.)
Pravni temelj	ePrivacy Direktiva + zahtjevi transparentnosti iz GDPR-a	Članci 12. – 14. GDPR-a
Fokus sadržaja	Nazivi kolačića, svrhe, trajanja, vrste, kategorije, mehanizmi kontrole	Kategorije podataka, pravni temelji, prava, prijenosi, DPO, čuvanje
Format	Samostalna stranica ili odjeljak unutar politike privatnosti	Samostalna stranica (obvezno)
Učestalost ažuriranja	Kad god se kolačići promijene (dodavanje/uklanjanje alata, dobavljača)	Kad god se promijene prakse obrade podataka

Politiku kolačića možete uključiti kao odjeljak unutar politike privatnosti, no ona mora biti jasno prepoznatljiva i lako dostupna. Mnoge organizacije održavaju zasebnu stranicu s politikom kolačića radi jasnoće i zato što informacije o kolačićima mogu biti prilično detaljne.

Vaš baner o kolačićima trebao bi upućivati na vašu politiku kolačića. Ako su informacije o kolačićima odjeljak unutar politike privatnosti, poveznica bi trebala voditi izravno na taj odjeljak — nemojte prisiljavati korisnike da se probijaju kroz stranice nepovezanih informacija o privatnosti kako bi pronašli detalje o kolačićima.

Zakonska obveza izrade politike kolačića

ePrivacy Direktiva zahtijeva „jasne i sveobuhvatne informacije” kao preduvjet za valjanu privolu. Načelo transparentnosti iz GDPR-a (članak 5. stavak 1. točka (a)) i zahtjevi za informiranje (članci 13. – 14.) dodatno zahtijevaju da te informacije budu:

• Sažete, transparentne i razumljive (članak 12. stavak 1.)
• Pružene jasnim i jednostavnim jezikom (članak 12. stavak 1.)
• Lako dostupne (članak 12. stavak 1.)
• Pružene besplatno (članak 12. stavak 5.)

U praktičnom smislu: vaša politika kolačića mora biti napisana jezikom koji razumije i osoba bez tehničkog znanja, mora biti povezana s vašeg banera o kolačićima i podnožja web-mjesta te mora sadržavati konkretne informacije o svakom kolačiću koji vaše web-mjesto koristi.

Što politika kolačića mora sadržavati

Na temelju objedinjenih zahtjeva ePrivacy Direktive, GDPR-a i smjernica tijela za zaštitu podataka, uključujući ICO (UK), CNIL (Francuska) i Radnu skupinu iz članka 29., vaša politika kolačića mora uključivati sljedeće informacije:

1. Koje kolačiće koristite

Navedite potpuni popis svih kolačića i sličnih tehnologija aktivnih na vašem web-mjestu. To uključuje kolačiće koje postavlja vaš vlastiti kod (kolačići prve strane) kao i kolačiće koje postavljaju usluge trećih strana koje koristite (analitičke platforme, oglašivačke mreže, widgeti društvenih mreža, ugrađeni sadržaj, chatbotovi itd.).

Svaki kolačić treba biti identificiran nazivom. „Koristimo analitičke kolačiće” nije dovoljno — morate navesti konkretne kolačiće: primjerice _ga, _gid, _gat za Google Analytics.

2. Svrha svakog kolačića

Za svaki kolačić ili skupinu povezanih kolačića jednostavnim jezikom objasnite što on radi. Izbjegavajte tehnički žargon. Učinkoviti opisi svrhe:

• „Pohranjuje vaše postavke privole za kolačiće kako vas ne bismo pitali iznova pri svakom posjetu.”
• „Pomaže nam prebrojati koliko ljudi posjećuje naše web-mjesto i koje su stranice najpopularnije.”
• „Omogućuje nam da vam prikazujemo oglase relevantne za vaše interese na drugim web-mjestima.”

3. Prva strana u odnosu na treću stranu

Naznačite postavlja li svaki kolačić izravno vaše web-mjesto (prva strana) ili vanjska usluga (treća strana). Za kolačiće trećih strana identificirajte pružatelja i povežite se s njegovom politikom privatnosti. Korisnici imaju pravo znati ne samo da se njihovi podaci prikupljaju, već i tko ih prikuplja.

4. Trajanje / istek

Navedite koliko dugo svaki kolačić traje. Postoje dvije vrste:

• Kolačići sesije — brišu se kada korisnik zatvori preglednik. To jasno navedite: „Sesija (briše se kada zatvorite preglednik).”
• Trajni kolačići — ostaju na korisnikovu uređaju određeno razdoblje. Navedite konkretno trajanje: „2 godine”, „30 dana”, „13 mjeseci”. Nemojte koristiti nejasne izraze poput „dugoročno”.

Tijela za zaštitu podataka pomno su ispitivala trajanje kolačića. CNIL, primjerice, preporučuje da kolačići privole (kolačići koji pohranjuju korisnikov izbor privole) ne bi trebali premašivati 13 mjeseci.

5. Kako upravljati kolačićima i izbrisati ih

Objasnite kako korisnici mogu kontrolirati kolačiće putem dvaju mehanizama:

• Vaš baner za privolu. Objasnite da korisnici mogu u bilo kojem trenutku promijeniti svoje postavke kolačića putem vaših postavki kolačića (navedite lokaciju poveznice/ikone postavki).
• Postavke preglednika. Pružite opće upute za upravljanje kolačićima u uobičajenim preglednicima (Chrome, Firefox, Safari, Edge). Ne morate pružati upute korak po korak, ali trebate objasniti da postavke preglednika postoje i povezati se s odgovarajućim stranicama podrške za svaki preglednik.

6. Kako povući privolu

Članak 7. stavak 3. GDPR-a zahtijeva da povlačenje privole mora biti jednako jednostavno kao i njezino davanje te da korisnici budu obaviješteni o tom pravu prije davanja privole. Vaša politika kolačića mora objasniti:

• Da korisnik ima pravo povući privolu u bilo kojem trenutku.
• Kako to učiniti (obično: klikom na ikonu/poveznicu postavki kolačića vidljivu na svakoj stranici ili brisanjem kolačića putem postavki preglednika).
• Da povlačenje privole ne utječe na zakonitost obrade koja se temeljila na privoli prije njezina povlačenja.

7. Kategorije kolačića

Organizirajte kolačiće u standardne kategorije koje koristi vaš baner za privolu. Najšire prihvaćena kategorizacija je:

• Nužno potrebni — kolačići potrebni za funkcioniranje web-mjesta (sesije prijave, košarice, sigurnosni tokeni). Za njih se prema ePrivacy Direktivi ne zahtijeva privola.
• Preferencije / funkcionalni — kolačići koji pamte korisnikove izbore (jezik, regija, postavke prikaza). Oni poboljšavaju iskustvo, ali nisu ključni.
• Analitika / statistika — kolačići koji se koriste za prikupljanje anonimnih podataka o korištenju (pregledi stranica, izvori prometa, obrasci ponašanja korisnika).
• Marketing / oglašavanje — kolačići koji se koriste za ciljano oglašavanje, ponovno ciljanje i mjerenje oglasa.

Kategorije u vašoj politici kolačića trebaju odgovarati kategorijama u vašem baneru za privolu. Nedosljednost između tih dvaju dokumenata narušava transparentnost.

8. Kontaktni podaci

Pružite kontaktne podatke za pitanja o vašim praksama u vezi s kolačićima. To obično uključuje:

• Identitet voditelja obrade (naziv vaše tvrtke i registrirana adresa)
• Adresu e-pošte za upite o privatnosti
• Kontaktne podatke službenika za zaštitu podataka (DPO), ako ste ga imenovali
• Vaše nadzorno tijelo (nadležno tijelo za zaštitu podataka)

Gdje prikazati politiku kolačića

Vaša politika kolačića mora biti lako dostupna s više lokacija:

• Podnožje web-mjesta. Poveznica „Politika kolačića” u podnožju, vidljiva na svakoj stranici. To je standardna lokacija koju korisnici očekuju.
• Baner o kolačićima. Izravna poveznica s vašeg banera o kolačićima do potpune politike kolačića. To je zakonska obveza — korisnici moraju moći pristupiti detaljnim informacijama iz sučelja za privolu.
• Ploča postavki/preferencija kolačića. Drugi sloj vašeg sučelja za privolu trebao bi upućivati na politiku kolačića za korisnike koji žele više informacija.
• Politika privatnosti. Ako je vaša politika kolačića zaseban dokument, unakrsno je referirajte iz politike privatnosti i obratno.

Prikazivanje informacija o kolačićima

Najučinkovitiji i najtransparentniji format za prikaz pojedinačnih kolačića jest tablica. Tijela za zaštitu podataka, uključujući ICO, preporučuju ovaj format:

Naziv kolačića	Pružatelj	Svrha	Vrsta	Trajanje
_ga	Google Analytics	Razlikuje jedinstvene posjetitelje dodjeljivanjem nasumično generiranog broja	Treća strana, analitika	2 godine
_gid	Google Analytics	Razlikuje jedinstvene posjetitelje za tekući dan	Treća strana, analitika	24 sata
cookie_consent	Ovo web-mjesto	Pohranjuje vaše postavke privole za kolačiće	Prva strana, nužno	12 mjeseci

Ovaj je format jasan, pregledan i pruža sve potrebne informacije na prvi pogled.

Koliko često ažurirati

Vaša politika kolačića mora u svakom trenutku biti točna. Ažurirajte je kad god:

• Dodate novu uslugu treće strane koja postavlja kolačiće (novi analitički alat, novu marketinšku platformu, novi chatbot).
• Uklonite uslugu koja je prethodno postavljala kolačiće.
• Usluga treće strane promijeni svoje kolačiće (novi nazivi, nova trajanja, nove svrhe).
• Promijenite kategorije u vašem baneru za privolu.
• Promijene se regulatorne smjernice (novi zahtjevi, nove najbolje prakse).

Na vrhu ili na dnu politike kolačića navedite datum „Posljednje ažuriranje”. To pokazuje da se politika aktivno održava i pomaže korisnicima procijeniti njezinu aktualnost.

Izazov je, naravno, znati kada se vaši kolačići mijenjaju. Usluge trećih strana često ažuriraju svoje praćenje, pa je kolačić koji je postojao prije tri mjeseca možda zamijenjen ili preimenovan. Ručne provjere nisu pouzdane jer ovise o tome da se netko sjeti provjeriti.

Održavanje točnosti politike uz automatsko skeniranje

Najčešći propust u usklađenosti kod politika kolačića nije nedostatak informacija — već netočne informacije. Politika koja navodi kolačiće koje više ne koristite ili koja ne spominje kolačiće dodane nedavnom integracijom marketinškog alata nije usklađena.

Automatsko skeniranje kolačića rješava ovaj problem. Skener u redovitim intervalima posjećuje vaše web-mjesto, identificira sve kolačiće koji se postavljaju, uspoređuje ih s vašim prijavljenim kolačićima i upozorava vas na neusklađenosti.

Passiro automatski skenira vaše web-mjesto u potrazi za kolačićima, kategorizira ih i ističe sve neprijavljene kolačiće koji još nisu odraženi u vašoj politici. To znači da vaša politika kolačića ostaje točna bez ručnih provjera. Saznajte više o Passirovu automatskom skeniranju kolačića.