Brzi odgovor: Direktiva o e-privatnosti i GDPR su dva različita, ali preklapajuća zakona EU-a koji zajedno reguliraju saglasnost za kolačiće i online privatnost. Direktiva o e-privatnosti postavlja specifična pravila za postavljanje kolačića na uređaje korisnika, dok GDPR definira standarde za valjanu saglasnost. Većina web stranica koje posluju u EU moraju se pridržavati oba, a od 2026. godine u toku je velika zakonodavna reforma koja bi mogla konsolidirati pravila o kolačićima direktno u GDPR.
Ključne spoznaje
- Direktiva o e-privatnosti (2002., ažurirana 2009.) je primarni zakon koji zahtijeva saglasnost prije postavljanja nebitnih kolačića; GDPR (2018.) definira šta "valjana saglasnost" zapravo znači.
- Oba zakona se istovremeno primjenjuju na većinu web stranica okrenutih EU, jedan ne zamjenjuje drugi.
- Predložena Uredba o e-privatnosti formalno je povučena od strane Evropske komisije u februaru 2025.
- Digitalni omnibus paket, predstavljen u novembru 2025., predlaže integraciju pravila o saglasnosti za kolačiće u GDPR putem novih članova 88a i 88b.
- Bitni (strogo neophodni) kolačići izuzeti su od zahtjeva za saglasnost prema Direktivi o e-privatnosti.
- Direktiva o e-privatnosti je transponirana različito u državama članicama EU, stvarajući varijacije u usklađenosti po zemljama.
- Studija iz 2026. godine pokazala je da samo 30,66% web stranica ima dugme "odbij sve", što ukazuje na široko rasprostranjeno nepoštivanje [7].
- Baneri za saglasnost za kolačiće mogu zadovoljiti oba zakona, ali samo ako ispunjavaju GDPR uslove za slobodno datu, specifičnu, informiranu i nedvosmislenu saglasnost.
- Platforme za upravljanje saglasnošću (CMPs) morat će se prilagoditi signalima saglasnosti na nivou preglednika prema predloženim izmjenama GDPR-a [3].
Koja je razlika između Direktive o e-privatnosti i GDPR-a
Direktiva o e-privatnosti i GDPR služe različitim, ali komplementarnim funkcijama. Direktiva o e-privatnosti (Direktiva 2002/58/EC, izmijenjena Direktivom 2009/136/EC) je sektorski specifičan zakon koji regulira privatnost elektronskih komunikacija, uključujući upotrebu kolačića i sličnih tehnologija praćenja. GDPR je opća uredba o zaštiti podataka koja postavlja pravni okvir za obradu ličnih podataka u svim sektorima, uključujući definiciju i zahtjeve za valjanu saglasnost.
Ključna razlika:
| Značajka | Direktiva o e-privatnosti | GDPR |
|---|---|---|
| Pravni oblik | Direktiva EU (zahtijeva nacionalnu transpoziciju) | Uredba EU (direktno primjenjiva) |
| Primarni fokus | Kolačići, praćenje, elektronske komunikacije | Sva obrada ličnih podataka |
| Standard saglasnosti | Zahtijeva saglasnost za nebitne kolačiće | Definira šta znači valjana saglasnost |
| Tijelo za provođenje | Nacionalni regulatori za telekomunikacije/DPA | Nacionalna tijela za zaštitu podataka |
| Status (2026.) | Još uvijek na snazi; reforma u toku | Na snazi; predložene izmjene u toku |
Budući da je Direktiva o e-privatnosti Direktiva, a ne Uredba, svaka država članica EU ju je transponirala u nacionalno pravo na različite načine, što je rezultiralo varijacijama u provođenju i specifičnim zahtjevima u različitim zemljama [6].
Trebate li se pridržavati i Direktive o e-privatnosti i GDPR-a, ili samo jedne
Oba zakona se primjenjuju istovremeno, i usklađenost s jednim ne zadovoljava drugi. Direktiva o e-privatnosti vam govori kada vam je potrebna saglasnost (prije postavljanja nebitnih kolačića); GDPR vam govori kako ta saglasnost mora izgledati (slobodno data, specifična, informirana, nedvosmislena i povučena u bilo kojem trenutku) [5].
Razmislite o tome ovako: Direktiva o e-privatnosti je okidač, a GDPR je standard. Baner za kolačiće koji se tehnički pojavljuje prije učitavanja kolačića, ali koristi unaprijed označene okvire, prekršio bi GDPR zahtjeve za saglasnost, čak i ako nominalno ispunjava obavezu obavještavanja iz Direktive o e-privatnosti.
Česta greška: Pretpostavka da je obavijest o kolačićima (informiranje korisnika da kolačići postoje) dovoljna. Prema oba okvira, pasivno obavještavanje nije saglasnost za nebitne kolačiće.
Kako se Direktiva o e-privatnosti primjenjuje na kolačiće na vašoj web stranici
Direktiva o e-privatnosti zahtijeva da operatori web stranica dobiju prethodnu, informiranu saglasnost prije pohranjivanja ili pristupa informacijama na uređaju korisnika, što uključuje kolačiće, piksele, lokalnu pohranu i slične tehnologije [6]. Ova obaveza se primjenjuje bez obzira na to da li se prikupljeni podaci kvalificiraju kao lični podaci prema GDPR-u.
Praktično, to znači:
- Nijedan nebitni kolačić ne smije se aktivirati prije nego što korisnik poduzme afirmativnu radnju da da saglasnost.
- Mehanizam saglasnosti mora biti jasan i ne smije biti povezan s prihvatanjem uslova usluge.
- Korisnici moraju biti u mogućnosti povući saglasnost jednako lako kao što su je dali.
Direktiva se primjenjuje na bilo koju uslugu koja cilja korisnike u EU, bez obzira na to gdje je operator web stranice smješten.
Koji kolačići zahtijevaju saglasnost prema Direktivi o e-privatnosti vs. GDPR-u
Prema Direktivi o e-privatnosti, saglasnost je potrebna za sve kolačiće osim onih koji su "strogo neophodni" za uslugu koju je korisnik izričito zatražio. Prema GDPR-u, svaka obrada ličnih podataka zahtijeva pravni osnov, a za kolačiće za praćenje, taj osnov je gotovo uvijek saglasnost.
Kategorije kolačića i zahtjevi za saglasnost:
- Strogo neophodni kolačići (upravljanje sesijom, stanje prijave, korpa za kupovinu): Nije potrebna saglasnost prema Direktivi o e-privatnosti. Može se primijeniti legitimni interes GDPR-a ili osnova za izvršenje ugovora.
- Analitički kolačići (npr. praćenje pregleda stranica koje identificira korisnike): Saglasnost je potrebna prema oba okvira.
- Marketinški i reklamni kolačići (ciljanje ponašanja, retargeting): Saglasnost je potrebna prema oba okvira, ovo je kategorija s najvećim rizikom za provođenje.
- Funkcionalni kolačići (jezične preferencije, postavke korisničkog sučelja): Raspravlja se; ako obrađuju lične podatke, saglasnost je najsigurniji pristup.
Da li se Direktiva o e-privatnosti zamjenjuje, i šta je Uredba o e-privatnosti
Direktiva o e-privatnosti se ne zamjenjuje GDPR-om. Međutim, predložena Uredba o e-privatnosti imala je za cilj zamijeniti Direktivu direktno primjenjivim zakonom na nivou EU. Taj prijedlog je formalno povučen od strane Evropske komisije u februaru 2025. godine, navodeći nedostatak predvidivog dogovora među državama članicama i zastarjelost prijedloga s obzirom na nedavne tehnološke promjene [2].
Direktiva o e-privatnosti vs. predložena Uredba o e-privatnosti: Uredba bi bila direktno obavezujuća u svim državama članicama (eliminirajući razlike u nacionalnoj transpoziciji), ali nikada nije usvojena.
Umjesto toga, Evropska komisija je 19. novembra 2025. godine predstavila Digitalni omnibus paket. Ovaj paket predlaže integraciju pravila o saglasnosti za kolačiće direktno u GDPR putem novih članova 88a i 88b [2][3]. Član 88a bi definirao scenarije u kojima saglasnost nije potrebna (kao što je za prijenos elektronskih komunikacija ili usluge koje je korisnik izričito zatražio). Član 88b bi uveo zahtjeve za automatizirane, mašinski čitljive mehanizme saglasnosti, uključujući signale saglasnosti na nivou preglednika [3].
Od jula 2026. godine, Digitalni omnibus paket je još uvijek u zakonodavnom procesu, a konačni tekst se očekuje do kraja 2026. ili početka 2027. godine [4].
Da li bitni kolačići trebaju saglasnost prema Direktivi o e-privatnosti
Ne. Strogo neophodni kolačići su izričito izuzeti od zahtjeva za saglasnost iz Direktive o e-privatnosti. To su kolačići bez kojih usluga koju je korisnik aktivno zatražio ne može funkcionirati, na primjer, identifikatori sesije, tokeni za autentifikaciju i kolačići za korpu za kupovinu [6].
Granični slučaj: "Neophodno" se tumači usko. Kolačić koji poboljšava performanse ili omogućava analitiku nije strogo neophodan, čak i ako ga operator smatra operativno važnim. Kada ste u nedoumici, radije zahtijevajte saglasnost.
Kako dobiti valjanu saglasnost za kolačiće koja zadovoljava oba propisa
Valjana saglasnost prema GDPR-u (a time i prema Direktivi o e-privatnosti, koja se oslanja na GDPR standarde saglasnosti) mora biti:
- Slobodno data, Bez zidova saglasnosti ili prisilnog povezivanja s prihvatanjem uslova.
- Specifična, Odvojena saglasnost za svaku kategoriju kolačića (analitika, marketing, itd.).
- Informirana, Korisnici moraju znati šta kolačići rade i ko obrađuje podatke.
- Nedvosmislena, Potrebna je afirmativna radnja; unaprijed označeni okviri su nevažeći.
- Povučena, Povlačenje saglasnosti mora biti jednako lako kao i davanje [5].
Dobro konfigurirana Platforma za upravljanje saglasnošću (CMP) upravlja ovim tokom rada. Biscotti CMP je dizajniran da podrži ove zahtjeve, uključujući granularne kategorije saglasnosti i bilježenje saglasnosti za potrebe revizije. S obzirom na to da Digitalni omnibus paket predlaže signale saglasnosti na nivou preglednika prema članu 88b, CMP-ovi će također morati unositi i poštovati signale iz postavki preglednika, što je značajna operativna promjena za industriju [3].
Mogu li baneri za kolačiće zadovoljiti i zahtjeve e-privatnosti i GDPR-a
Da, ali samo ako je baner ispravno dizajniran. Baner za kolačiće koji ispunjava GDPR standarde saglasnosti također će zadovoljiti zahtjev za saglasnost iz Direktive o e-privatnosti, jer se Direktiva oslanja na GDPR definiciju saglasnosti za države članice EU [5][6].
Usklađen baner mora:
- Predstaviti jasnu opciju "Prihvati" i "Odbij" (ili ekvivalentnu) s jednakom vizualnom istaknutošću.
- Ne koristiti tamne obrasce (npr. otežavanje pronalaska opcije "Odbij" u odnosu na "Prihvati").
- Blokirati nebitne kolačiće dok se ne da saglasnost.
- Zabilježiti i pohraniti saglasnost s vremenskom oznakom i referencom na verziju.
- Omogućiti korisnicima da promijene svoje preferencije u bilo kojem trenutku.
Studija iz 2026. godine pokazala je da samo 30,66% web stranica ima dugme "odbij sve", što znači da većina anketiranih stranica vjerovatno ne ispunjava očekivanja usklađenosti [7].
Postoje li zemlje u kojima se Direktiva o e-privatnosti ne primjenjuje
Direktiva o e-privatnosti primjenjuje se u svim državama članicama EU. Međutim, budući da je to Direktiva (a ne Uredba), svaka zemlja ju je transponirala u nacionalno pravo s određenim varijacijama u opsegu, prioritetima provođenja i kaznama [6]. Zemlje izvan EU, uključujući UK nakon Brexita, imaju vlastite ekvivalentne zakone (UK-ove Uredbe o privatnosti i elektronskim komunikacijama, ili PECR).
Odaberite svoju osnovu usklađenosti na osnovu lokacije vaših korisnika, a ne samo gdje je vaše poslovanje registrirano. Kompanija sa sjedištem u SAD-u s značajnim prometom iz EU mora se pridržavati i Direktive o e-privatnosti (kako je transponirana u relevantnim državama članicama) i GDPR-a.
Šta se dešava ako se ne pridržavate pravila Direktive o e-privatnosti
Nepridržavanje Direktive o e-privatnosti (kako je transponirana u nacionalno pravo) može rezultirati novčanim kaznama i mjerama provođenja od strane nacionalnih regulatora. Kazne se razlikuju po državama članicama, ali mogu biti značajne, a kršenja GDPR-a izazvana nevažećom saglasnošću (na primjer, obrada ličnih podataka putem kolačića za praćenje bez valjanog pravnog osnova) nose kazne do 4% globalnog godišnjeg prometa ili 20 miliona eura, ovisno o tome što je veće [5].
Nacionalna tijela za zaštitu podataka (DPAs) nastavljaju aktivno istraživati i kažnjavati organizacije zbog propusta u saglasnosti za kolačiće [1]. Mjere provođenja su ciljale i velike platforme i male operatere.
Česte greške u usklađenosti:
- Aktivacija analitičkih ili reklamnih kolačića pri učitavanju stranice prije registracije saglasnosti.
- Korištenje banera za saglasnost koji ne blokiraju kolačiće dok se ne izvrši interakcija.
- Nepoštivanje povlačenja saglasnosti odmah.
- Neažuriranje zapisa o saglasnosti kada se promijene politike kolačića.
- Tretiranje obavijesti o kolačićima kao ekvivalenta mehanizmima saglasnosti.
Koliko dugo se kolačići mogu pohranjivati prema pravilima Direktive o e-privatnosti
Direktiva o e-privatnosti ne precizira direktno maksimalno trajanje pohrane kolačića. Međutim, principi minimizacije podataka i ograničenja pohrane GDPR-a primjenjuju se tamo gdje kolačići obrađuju lične podatke. Saglasnost bi trebala biti vremenski ograničena, a regulatori općenito očekuju od organizacija da povremeno ponovno zatraže saglasnost; često se navodi smjernica od 12 mjeseci kao razuman interval, iako to nije strogo zakonsko ograničenje [6].
Praktični savjeti: Postavite rokove isteka kolačića proporcionalno njihovoj svrsi. Kolačić sesije trebao bi isteći kada se preglednik zatvori. Analitički kolačić ne treba dvogodišnji vijek trajanja ako šest mjeseci služi istoj svrsi.
Koje su česte greške koje kompanije prave u vezi s usklađenošću s e-privatnošću
Osim gore navedenih problema, nekoliko obrazaca se dosljedno pojavljuje u slučajevima provođenja i revizijama:
- Prešutna saglasnost: Pretpostavka da nastavak pregledavanja predstavlja saglasnost. To su izričito odbacili sudovi EU i DPA.
- Združena saglasnost: Kombiniranje saglasnosti za kolačiće s prihvatanjem politike privatnosti u jednom kliku.
- Nedosljedno geo-ciljanje: Primjena strožih pravila saglasnosti samo za korisnike iz određenih zemalja, dok se kolačići za praćenje poslužuju drugima, što je rizik s obzirom na to da provođenje može pratiti lokaciju korisnika.
- Ignoriranje nacionalnih varijacija: Pretpostavka da jedna konfiguracija banera zadovoljava sve države članice EU, kada zapravo neke zemlje imaju strože nacionalne zahtjeve [6].
- Nedostatak revizijskog traga saglasnosti: Neuspjeh u bilježenju na šta su korisnici pristali, kada i pod kojom verzijom obavijesti o privatnosti [1].
Zaključak
Odnos između Direktive o e-privatnosti i GDPR-a: Navigacija pravilima EU-a o kolačićima nije pitanje odabira jednog okvira umjesto drugog, oba se primjenjuju i oba moraju biti zadovoljena. Direktiva o e-privatnosti definira kada je potrebna saglasnost za kolačiće; GDPR definira kako izgleda valjana saglasnost. Zajedno, oni čine pravni temelj za usklađenost s kolačićima širom EU.
Regulatorni pejzaž se mijenja. Prijedlog Uredbe o e-privatnosti povučen je početkom 2025. godine, a Digitalni omnibus paket sada predlaže uključivanje pravila o kolačićima direktno u GDPR putem članova 88a i 88b. Konačni tekst se očekuje do kraja 2026. ili početka 2027. godine, ali trenutne obaveze ostaju u potpunosti na snazi u međuvremenu.
Akcioni koraci za 2026. godinu:
- Revidirajte ponašanje kolačića na vašoj web stranici kako biste potvrdili da se nebitni kolačići ne aktiviraju prije nego što se dobije saglasnost.
- Pregledajte svoj baner za saglasnost za tamne obrasce i osigurajte da su opcije "odbij" jednako istaknute kao i "prihvati".
- Implementirajte CMP kao što je Biscotti CMP koji bilježi zapise o saglasnosti i podržava granularno upravljanje kategorijama.
- Pratite napredak Digitalnog omnibus paketa i procijenite da li se vaš CMP dobavljač priprema za podršku signalima saglasnosti na nivou preglednika.
- Provjerite nacionalnu transpoziciju Direktive o e-privatnosti u svakoj državi članici EU gdje imate značajan korisnički promet.
Često postavljana pitanja
P: Da li GDPR zamjenjuje Direktivu o e-privatnosti za kolačiće? Ne. GDPR i Direktiva o e-privatnosti koegzistiraju. Direktiva o e-privatnosti ostaje primarni zakon koji zahtijeva saglasnost za kolačiće; GDPR regulira šta znači valjana saglasnost i kako se moraju obrađivati lični podaci obrađeni putem kolačića.
P: Šta je Uredba o e-privatnosti i da li još uvijek dolazi? Uredba o e-privatnosti bila je predloženi zakon EU-a koji je imao za cilj zamijeniti Direktivu o e-privatnosti direktno primjenjivom uredbom. Formalno ju je povukla Evropska komisija u februaru 2025. godine i neće se nastaviti u svom sadašnjem obliku.
P: Šta je Digitalni omnibus paket? Digitalni omnibus paket, predstavljen u novembru 2025. godine, je zakonodavni prijedlog EU-a koji bi pojednostavio digitalnu regulativu integracijom pravila o saglasnosti za kolačiće u GDPR putem novih članova 88a i 88b. Od jula 2026. godine, još uvijek je u zakonodavnom pregledu.
P: Da li su analitički kolačići izuzeti od zahtjeva za saglasnost? Ne. Analitički kolačići koji identificiraju pojedinačne korisnike ili uređaje su nebitni i zahtijevaju prethodnu saglasnost prema Direktivi o e-privatnosti, bez obzira na to da li se koriste u komercijalne svrhe.
P: Može li zid kolačića (blokiranje pristupa osim ako korisnici ne prihvate kolačiće) predstavljati valjanu saglasnost? Općenito ne. Regulatori i sudovi EU-a utvrdili su da saglasnost dobivena putem zidova kolačića nije slobodno data prema GDPR-u, jer korisnici nemaju pravi izbor. Neki nacionalni DPA-ovi dopuštaju zidove kolačića u ograničenim okolnostima ako se nudi plaćena alternativa, ali to ostaje sporno.
P: Koliko često se korisnici moraju tražiti da ponovno daju saglasnost za kolačiće? Ne postoji fiksni zakonski period, ali regulatori općenito očekuju da se saglasnost osvježi kada se materijalno promijene svrhe ili lista kolačića, ili nakon razumnog perioda (često se u praksi navodi 12 mjeseci). Saglasnost dobivena prema prethodnoj verziji obavijesti o privatnosti možda ne pokriva nove aktivnosti obrade.
P: Šta je strogo neophodan kolačić? Strogo neophodan kolačić je onaj bez kojeg usluga koju je korisnik izričito zatražio ne može funkcionirati, na primjer, token za prijavu sesije ili identifikator korpe za kupovinu. Oni su izuzeti od zahtjeva za saglasnost iz Direktive o e-privatnosti.
P: Da li se Direktiva o e-privatnosti primjenjuje na poslovanja izvan EU? Da, ako ta poslovanja ciljaju ili opslužuju korisnike koji se nalaze u EU. Teritorijalni opseg prati lokaciju korisnika, a ne registriranu adresu operatora.
P: Šta trebam tražiti u Platformi za upravljanje saglasnošću? Usklađen CMP trebao bi blokirati nebitne kolačiće prije saglasnosti, podržavati granularne kategorije saglasnosti, bilježiti saglasnost s vremenskim oznakama, omogućiti jednostavno povlačenje i biti spreman podržati signale saglasnosti na nivou preglednika kako je propisano predloženim izmjenama GDPR-a.
P: Mogu li koristiti jedan baner za kolačiće za cijelu EU? Jedan baner može poslužiti kao osnova, ali budući da je Direktiva o e-privatnosti transponirana različito u državama članicama, neke zemlje mogu imati strože zahtjeve. Pravni pregled prema nacionalnom zakonu svakog ciljanog tržišta preporučuje se za web stranice s velikim prometom.
Reference
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai