Kako napisati politiku kolačića: Vodič korak po korak

Politika kolačića vrijedi onoliko koliko je točna i jasna. Ovaj vas vodič vodi kroz proces izrade politike kolačića koja zadovoljava zakonske zahtjeve, služi vašim korisnicima i ostaje točna tijekom vremena. Slijedite ovih devet koraka kako biste izradili politiku koja je sveobuhvatna, transparentna i lako održiva.

Korak 1: Provedite reviziju kolačića

Prije nego što možete pisati o svojim kolačićima, morate točno znati koje kolačiće postavlja vaše web-mjesto. To je temelj cijele vaše politike — i korak koji većina organizacija radi pogrešno.

Temeljita revizija kolačića uključuje:

1. Skeniranje svake stranice. Kolačići se mogu razlikovati od stranice do stranice. Vaša početna stranica može postavljati različite kolačiće od stranice za naplatu, bloga ili korisničkih stranica. Potpuna revizija mora obuhvatiti sve vrste stranica.
2. Bilježenje kolačića prve i treće strane. Kolačiće prve strane postavlja vaša vlastita domena. Kolačiće treće strane postavljaju vanjske usluge — analitičke platforme, oglašivačke mreže, widgeti društvenih mreža, ugrađeni videozapisi, chat widgeti, procesori plaćanja i drugo.
3. Identificiranje pohrane koja nisu kolačići. Moderna web-mjesta koriste i localStorage, sessionStorage, IndexedDB te pikselske oznake. Sveobuhvatna politika obuhvaća sve mehanizme pohrane na strani klijenta, ne samo HTTP kolačiće.
4. Testiranje sa i bez privole. Neki se kolačići postavljaju bez obzira na privolu (strogo nužni kolačići). Drugi bi se trebali pojaviti tek nakon što je privola dana. Vaša revizija treba provjeriti jesu li nenužni kolačići doista blokirani dok privola nije dana.

Ručne revizije su nepouzdane. Ručno otvaranje razvojnih alata preglednika na nekoliko stranica propustit će kolačiće koje postavljaju skripte treće strane koje se učitavaju asinkrono, kolačiće koji se postavljaju samo pri određenim korisničkim radnjama te kolačiće koji se pojavljuju tek pri sljedećim posjetima. Koristite automatizirane alate za skeniranje kako biste dobili potpunu sliku.

Passirov automatizirani skener kolačića pretražuje cijelo vaše web-mjesto, identificira svaki kolačić i mehanizam pohrane te pruža kategorizirani izvještaj — idealna polazna točka za vašu politiku.

Korak 2: Kategorizirajte svaki kolačić

Kada imate potpuni popis kolačića, organizirajte ih u standardne kategorije. Najšire prihvaćena kategorizacija, koju koristi IAB Transparency and Consent Framework i koju preporučuje većina tijela za zaštitu podataka, jest:

Strogo nužni

Kolačići bez kojih web-mjesto ne može funkcionirati. Primjeri: kolačići sesije za status prijave, kolačići košarice, tokeni za CSRF zaštitu, kolačići balansera opterećenja, kolačići postavki privole za kolačiće. Oni su izuzeti od zahtjeva za privolom prema članku 5. stavku 3. Direktive o e-privatnosti, ali ih ipak morate navesti u svojoj politici.

Postavke / Funkcionalni

Kolačići koji omogućuju poboljšanu funkcionalnost i personalizaciju. Primjeri: odabir jezika, postavke regije/valute, veličine fonta, nedavno pregledane stavke. Oni nisu strogo nužni — web-mjesto bi funkcioniralo i bez njih — no poboljšavaju korisničko iskustvo. Zahtijevaju privolu.

Analitika / Statistika

Kolačići koji se koriste za prikupljanje podataka o tome kako posjetitelji komuniciraju s web-mjestom. Primjeri: kolačići Google Analyticsa (_ga, _gid), kolačići sesije Hotjara, Plausible Analytics. Oni zahtijevaju privolu u većini jurisdikcija EU-a, iako su neka tijela za zaštitu podataka (osobito francuski CNIL) uspostavila ograničene iznimke za alate za mjerenje publike koji ispunjavaju stroge uvjete.

Marketing / Oglašavanje

Kolačići koji se koriste za ciljano oglašavanje, ponovno oglašavanje i mjerenje uspješnosti oglasa. Primjeri: Google Ads (_gcl_*), Meta Pixel (_fbp), LinkedIn Insight Tag, kolačići oglašivačkih mreža. Oni uvijek zahtijevaju privolu i najviše su pod povećalom.

Svakom kolačiću dodijelite kategoriju i provjerite je li kategorizacija točna. Česta pogreška je kategoriziranje analitičkih ili marketinških kolačića kao „funkcionalnih” kako bi se izbjegao zahtjev za privolom — to nije u skladu s propisima i regulatori to lako otkrivaju.

Korak 3: Napišite uvod

Vaša politika kolačića trebala bi započeti kratkim uvodom koji obuhvaća:

• Tko ste. Pravni subjekt koji upravlja web-mjestom (naziv tvrtke, registrirana adresa).
• Što ovaj dokument obuhvaća. „Ova politika kolačića objašnjava kako [Naziv tvrtke] koristi kolačiće i slične tehnologije na [URL web-mjesta].”
• Kada je zadnji put ažuriran. Uključite jasno istaknut datum.
• Kako vas kontaktirati. Navedite kontaktnu e-poštu i, ako je primjenjivo, podatke o svom službeniku za zaštitu podataka.

Uvod ograničite na dvije ili tri rečenice. Korisnici su ovdje radi konkretnih informacija, a ne korporativnog predgovora.

Korak 4: Objasnite što su kolačići

Uključite kratko, netehničko objašnjenje što su kolačići. Mnogi vaši posjetitelji to neće znati. Dobro objašnjenje glasi:

Kolačići su male tekstualne datoteke koje se pohranjuju na vašem uređaju (računalu, tabletu ili telefonu) kada posjetite web-mjesto. Naširoko se koriste kako bi web-mjesta funkcionirala, radi poboljšanja učinkovitosti te pružanja informacija vlasnicima web-mjesta. Kolačići koje postavlja web-mjesto koje posjećujete nazivaju se „kolačići prve strane”. Kolačići koje postavljaju druge tvrtke (na primjer, analitičke ili oglašivačke usluge) nazivaju se „kolačići treće strane”.

Ako vaše web-mjesto koristi tehnologije osim HTTP kolačića — poput localStorage-a, pikselskih oznaka ili otiskivanja (fingerprinting) — spomenite i njih. „U ovoj politici pojam ‚kolačići’ koristimo za kolačiće i slične tehnologije, osim ako nije drugačije navedeno.”

Korak 5: Navedite kolačiće u obliku tablice

Prikažite svoje kolačiće u strukturiranoj tablici, organiziranoj po kategorijama. Za svaki kolačić uključite:

Polje	Opis	Primjer
Naziv	Tehnički naziv kolačića	_ga
Pružatelj	Tko postavlja ovaj kolačić	Google Analytics (google.com)
Svrha	Što kolačić radi, jednostavnim jezikom	Generira jedinstveni ID za bilježenje statističkih podataka o tome kako koristite web-mjesto
Vrsta	Prva ili treća strana; HTTP kolačić, localStorage itd.	HTTP kolačić treće strane
Trajanje	Koliko dugo kolačić traje	2 godine

Evo primjera dobro strukturirane tablice kolačića za kategoriju analitike:

Naziv kolačića	Pružatelj	Svrha	Vrsta	Trajanje
_ga	Google Analytics	Dodjeljuje jedinstveni ID za razlikovanje posjetitelja i izradu statističkih izvještaja	Treća strana	2 godine
_gid	Google Analytics	Dodjeljuje jedinstveni ID za svaku sesiju pregledavanja radi izrade statističkih izvještaja	Treća strana	24 sata
_gat_UA-*	Google Analytics	Ograničava brzinu prikupljanja podataka na web-mjestima s velikim prometom	Treća strana	1 minuta

Ponovite ovu tablicu za svaku kategoriju: strogo nužni, postavke, analitika i marketing.

Korak 6: Opišite svaku kategoriju

Prije svake tablice kolačića navedite kratak opis kategorije:

• Što rade kolačići u ovoj kategoriji — u općim crtama.
• Je li potrebna privola — strogo nužni kolačići ne zahtijevaju privolu; svi ostali je zahtijevaju.
• Što se događa ako korisnik odbije — „Ako odbijete analitičke kolačiće, nećemo prikupljati podatke o vašim posjetima. Web-mjesto će normalno funkcionirati.”

Ove kontekstualne informacije pomažu korisnicima donositi informirane odluke i zadovoljavaju zahtjeve GDPR-a za transparentnošću.

Korak 7: Objasnite kako korisnici mogu upravljati kolačićima

Ovaj odjeljak mora obuhvatiti dva mehanizma upravljanja:

Putem vašeg banera za privolu

Objasnite da korisnici mogu upravljati svojim postavkama kolačića u bilo kojem trenutku klikom na poveznicu ili ikonu za postavke kolačića. Opišite gdje je pronaći (npr. „Kliknite ikonu kolačića u donjem lijevom kutu svake stranice” ili „Kliknite ‚Postavke kolačića’ u podnožju”). Budite konkretni — nemojte samo reći „putem našeg banera za kolačiće”.

Putem postavki preglednika

Navedite poveznice na upute za upravljanje kolačićima za glavne preglednike:

• Google Chrome
• Mozilla Firefox
• Apple Safari
• Microsoft Edge

Napomenite posljedicu: „Imajte na umu da onemogućavanje kolačića putem postavki preglednika može utjecati na funkcionalnost ovog i drugih web-mjesta koja posjećujete.”

Korak 8: Dodajte kontaktne podatke i podatke o službeniku za zaštitu podataka

Navedite jasne kontaktne podatke za upite povezane s privatnošću:

• Identitet voditelja obrade: Naziv tvrtke, registrirana adresa, matični broj.
• E-pošta za pitanja privatnosti: Nadzirana adresa e-pošte (npr. [email protected]).
• Službenik za zaštitu podataka: Ako ste imenovali službenika za zaštitu podataka (obvezno za određene organizacije prema članku 37. GDPR-a), navedite njegovo ime i kontaktne podatke.
• Nadzorno tijelo: Navedite nadležno tijelo za zaštitu podataka i poveznicu na njihov mehanizam za podnošenje pritužbi. Na primjer: „Imate pravo podnijeti pritužbu [Naziv tijela za zaštitu podataka] na [URL].”

Korak 9: Datirajte politiku i planirajte ažuriranja

Uključite jasan datum „Zadnje ažuriranje”. Obvežite se na redoviti pregled i ažuriranje politike te kad god se promijeni vaša upotreba kolačića.

Razmislite o dodavanju izjave poput: „Redovito pregledavamo ovu politiku kolačića i ažurirat ćemo je kada bude potrebno. O svim značajnim promjenama obavijestit ćemo vas obavijesti na našem web-mjestu.”

U praksi, planirajte barem tromjesečni pregled. Usluge trećih strana često mijenjaju svoje kolačiće, a čak i manje ažuriranje integracije može uvesti nove kolačiće koji se moraju prijaviti.

Uobičajene pogreške koje treba izbjegavati

Čak i pažljivo napisane politike kolačića često sadrže sljedeće pogreške:

• Nejasni opisi svrhe. „Ovaj kolačić poboljšava vaše iskustvo” korisniku ne govori ništa. Budite konkretni: koje podatke kolačić prikuplja i za što se koristi?
• Zastarjeli popisi kolačića. Ako vaša politika navodi kolačiće alata koji ste uklonili prije šest mjeseci ili ne navodi kolačiće alata koji ste dodali prošli tjedan, ona je netočna. Netočno objavljivanje potkopava transparentnost.
• Kolačići treće strane koji nedostaju. Mnoge organizacije navode svoje vlastite kolačiće, ali zaborave dokumentirati kolačiće treće strane koje postavlja ugrađeni sadržaj (YouTube videozapisi, gumbi društvenih mreža, chat widgeti itd.). To su često najinvazivniji kolačići na web-mjestu u pogledu privatnosti.
• Pogreške u kategorizaciji. Klasificiranje marketinških ili analitičkih kolačića kao „funkcionalnih” ili „nužnih” kako bi se izbjegao zahtjev za privolom. Tijela za zaštitu podataka izričito traže upravo to.
• Nema mehanizma za promjenu postavki. Navođenje da korisnici mogu upravljati svojim postavkama, ali bez jasno opisanog, uvijek dostupnog mehanizma za to.
• Kopiranje predloška bez prilagodbe. Generički predlošci politike kolačića koji ne odražavaju vaše stvarne kolačiće, vaše stvarne usluge ili vašu stvarnu obradu podataka. Predložak je polazna točka, a ne dovršen dokument.
• Nepristupačan jezik. Pravni žargon, tehnička terminologija i nepotrebno složene rečenične strukture. GDPR zahtijeva jasan i jednostavan jezik. Pišite za publiku koja nije stručna.

Održavanje politike usklađene sa stvarnim kolačićima

Najteži dio održavanja politike kolačića nije njezino pisanje — već održavanje njezine točnosti. Web-mjesta su dinamična. Marketinški timovi dodaju nove alate, razvojni programeri integriraju nove usluge, sustavi za upravljanje sadržajem instaliraju dodatke s mogućnostima praćenja. Svaka promjena može uvesti kolačiće koje vaša politika ne spominje.

Rješenje je automatizirano, kontinuirano praćenje. Umjesto oslanjanja na ručne revizije (koje su rijetke, nepotpune i podložne pogreškama), koristite alat za skeniranje koji redovito pretražuje vaše web-mjesto, identificira sve aktivne kolačiće i uspoređuje ih s vašim prijavljenim popisom kolačića.

Passiro automatski skenira vaše web-mjesto, otkriva neprijavljene kolačiće i upozorava vas kada vašu politiku treba ažurirati. Time se osigurava da vaša politika kolačića uvijek odražava stvarno stanje — a ne snimku iz vremena kad se netko zadnji put sjetio provjeriti. Saznajte više o Passirovoj automatiziranoj usklađenosti kolačića.