Brzi odgovor: Direktiva o e-privatnosti i GDPR su dva različita, ali preklapajuća zakona EU-a koji zajednički reguliraju pristanak na kolačiće i online privatnost. Direktiva o e-privatnosti postavlja specifična pravila za postavljanje kolačića na uređaje korisnika, dok GDPR definira standarde za valjani pristanak. Većina web stranica koje posluju u EU-u mora se pridržavati oba zakona, a od 2026. godine u tijeku je velika zakonodavna reforma koja bi mogla konsolidirati pravila o kolačićima izravno u GDPR.
Ključne spoznaje
- Direktiva o e-privatnosti (2002., ažurirana 2009.) primarni je zakon koji zahtijeva pristanak prije postavljanja nebitnih kolačića; GDPR (2018.) definira što "valjani pristanak" zapravo znači.
- Oba zakona primjenjuju se istovremeno na većinu web stranica usmjerenih na EU, jedan ne zamjenjuje drugi.
- Predložena Uredba o e-privatnosti formalno je povučena od strane Europske komisije u veljači 2025.
- Digitalni omnibus paket, predstavljen u studenom 2025., predlaže integraciju pravila o pristanku na kolačiće u GDPR putem novih članaka 88.a i 88.b.
- Bitni (strogo nužni) kolačići izuzeti su od zahtjeva za pristanak prema Direktivi o e-privatnosti.
- Direktiva o e-privatnosti transponirana je različito u državama članicama EU-a, stvarajući varijacije u usklađenosti po zemljama.
- Studija iz 2026. godine pokazala je da samo 30,66% web stranica ima gumb "odbij sve", što ukazuje na široko rasprostranjenu neusklađenost [7].
- Banneri za pristanak na kolačiće mogu zadovoljiti oba zakona, ali samo ako ispunjavaju uvjete GDPR-a za slobodno dan, specifičan, informiran i nedvosmislen pristanak.
- Platforme za upravljanje pristankom (CMP) morat će se prilagoditi signalima pristanka na razini preglednika prema predloženim izmjenama GDPR-a [3].
Koja je razlika između Direktive o e-privatnosti i GDPR-a
Direktiva o e-privatnosti i GDPR služe različitim, ali komplementarnim funkcijama. Direktiva o e-privatnosti (Direktiva 2002/58/EZ, izmijenjena Direktivom 2009/136/EZ) je sektorski specifičan zakon koji regulira privatnost elektroničkih komunikacija, uključujući upotrebu kolačića i sličnih tehnologija praćenja. GDPR je opća uredba o zaštiti podataka koja postavlja pravni okvir za obradu osobnih podataka u svim sektorima, uključujući definiciju i zahtjeve za valjani pristanak.
Ključna razlika:
| Značajka | Direktiva o e-privatnosti | GDPR |
|---|---|---|
| Pravni oblik | Direktiva EU-a (zahtijeva nacionalnu transpoziciju) | Uredba EU-a (izravno primjenjiva) |
| Primarni fokus | Kolačići, praćenje, elektroničke komunikacije | Sva obrada osobnih podataka |
| Standard pristanka | Zahtijeva pristanak za nebitne kolačiće | Definira što znači valjani pristanak |
| Tijelo za provedbu | Nacionalni regulatori telekomunikacija/DPA | Nacionalna tijela za zaštitu podataka |
| Status (2026.) | Još uvijek na snazi; reforma u tijeku | Na snazi; predložene izmjene u tijeku |
Budući da je Direktiva o e-privatnosti direktiva, a ne uredba, svaka država članica EU-a transponirala ju je u nacionalno zakonodavstvo različito, što je rezultiralo varijacijama u provedbi i specifičnim zahtjevima diljem zemalja [6].
Trebate li se pridržavati i Direktive o e-privatnosti i GDPR-a, ili samo jednog
Oba zakona primjenjuju se istovremeno, a usklađenost s jednim ne zadovoljava drugi. Direktiva o e-privatnosti govori vam kada vam je potreban pristanak (prije postavljanja nebitnih kolačića); GDPR vam govori kako taj pristanak mora izgledati (slobodno dan, specifičan, informiran, nedvosmislen i povlačiv u bilo kojem trenutku) [5].
Razmislite o tome ovako: Direktiva o e-privatnosti je okidač, a GDPR je standard. Banner za kolačiće koji se tehnički pojavljuje prije učitavanja kolačića, ali koristi unaprijed označene okvire, prekršio bi zahtjeve GDPR-a za pristanak, čak i ako nominalno udovoljava obvezi obavijesti iz Direktive o e-privatnosti.
Česta pogreška: Pretpostavka da je obavijest o kolačićima (informiranje korisnika da kolačići postoje) dovoljna. Prema oba okvira, pasivna obavijest nije pristanak za nebitne kolačiće.
Kako se Direktiva o e-privatnosti primjenjuje na kolačiće na vašoj web stranici
Direktiva o e-privatnosti zahtijeva da operatori web stranica dobiju prethodni, informirani pristanak prije pohranjivanja ili pristupa informacijama na korisnikovom uređaju, što uključuje kolačiće, piksele, lokalnu pohranu i slične tehnologije [6]. Ova obveza primjenjuje se bez obzira na to kvalificiraju li se prikupljeni podaci kao osobni podaci prema GDPR-u.
Praktično, to znači:
- Nijedan nebitni kolačić ne smije se aktivirati prije nego što korisnik poduzme afirmativnu radnju za pristanak.
- Mehanizam pristanka mora biti jasan i ne smije biti povezan s prihvaćanjem uvjeta usluge.
- Korisnici moraju moći povući pristanak jednako lako kao što su ga dali.
Direktiva se primjenjuje na bilo koju uslugu usmjerenu na korisnike u EU-u, bez obzira na to gdje je operator web stranice smješten.
Koji kolačići zahtijevaju pristanak prema Direktivi o e-privatnosti vs. GDPR-u
Prema Direktivi o e-privatnosti, pristanak je potreban za sve kolačiće osim onih koji su "strogo nužni" za uslugu koju je korisnik izričito zatražio. Prema GDPR-u, svaka obrada osobnih podataka zahtijeva pravnu osnovu, a za kolačiće za praćenje, ta osnova je gotovo uvijek pristanak.
Kategorije kolačića i zahtjevi za pristanak:
- Strogo nužni kolačići (upravljanje sesijom, stanje prijave, košarica): Nije potreban pristanak prema Direktivi o e-privatnosti. Može se primijeniti legitimni interes GDPR-a ili osnova izvršenja ugovora.
- Analitički kolačići (npr. praćenje pregleda stranica koje identificira korisnike): Pristanak je potreban prema oba okvira.
- Marketinški i reklamni kolačići (ciljano ponašanje, ponovno ciljanje): Pristanak je potreban prema oba okvira, ovo je kategorija s najvećim rizikom za provedbu.
- Funkcionalni kolačići (jezične postavke, postavke korisničkog sučelja): Raspravlja se; ako obrađuju osobne podatke, pristanak je najsigurniji pristup.
Zamjenjuje li se Direktiva o e-privatnosti i što je Uredba o e-privatnosti
Direktiva o e-privatnosti ne zamjenjuje se GDPR-om. Međutim, predložena Uredba o e-privatnosti trebala je zamijeniti Direktivu izravno primjenjivim zakonom na razini EU-a. Taj je prijedlog Europska komisija formalno povukla u veljači 2025., navodeći nedostatak predvidivog dogovora među državama članicama i zastarjelost prijedloga s obzirom na nedavne tehnološke promjene [2].
Direktiva o e-privatnosti vs. predložena Uredba o e-privatnosti: Uredba bi bila izravno obvezujuća u svim državama članicama (eliminirajući razlike u nacionalnoj transpoziciji), ali nikada nije usvojena.
Umjesto toga, Europska komisija je 19. studenog 2025. predstavila Digitalni omnibus paket. Ovaj paket predlaže integraciju pravila o pristanku na kolačiće izravno u GDPR putem novih članaka 88.a i 88.b [2][3]. Članak 88.a definirao bi scenarije u kojima pristanak nije potreban (kao što je za prijenos elektroničkih komunikacija ili usluge koje je korisnik izričito zatražio). Članak 88.b uveo bi zahtjeve za automatizirane, strojno čitljive mehanizme pristanka, uključujući signale pristanka na razini preglednika [3].
Od srpnja 2026. Digitalni omnibus paket još uvijek prolazi zakonodavne procese, a konačni tekst očekuje se krajem 2026. ili početkom 2027. [4].
Trebaju li bitni kolačići pristanak prema Direktivi o e-privatnosti
Ne. Strogo nužni kolačići izričito su izuzeti od zahtjeva za pristanak iz Direktive o e-privatnosti. To su kolačići bez kojih usluga koju je korisnik aktivno zatražio ne može funkcionirati, na primjer, identifikatori sesije, tokeni za autentifikaciju i kolačići za košaricu [6].
Granični slučaj: "Nužno" se tumači usko. Kolačić koji poboljšava performanse ili omogućuje analitiku nije strogo nužan, čak i ako ga operator smatra operativno važnim. U slučaju sumnje, radije zahtijevajte pristanak.
Kako dobiti valjani pristanak na kolačiće koji zadovoljava oba propisa
Valjani pristanak prema GDPR-u (a time i prema Direktivi o e-privatnosti, koja se oslanja na standarde pristanka GDPR-a) mora biti:
- Slobodno dan, Bez zidova pristanka ili prisilnog povezivanja s prihvaćanjem uvjeta.
- Specifičan, Odvojen pristanak za svaku kategoriju kolačića (analitika, marketing itd.).
- Informiran, Korisnici moraju znati što kolačići rade i tko obrađuje podatke.
- Nedvosmislen, Potrebna je afirmativna radnja; unaprijed označeni okviri su nevažeći.
- Povlačiv, Povlačenje pristanka mora biti jednako lako kao i davanje [5].
Dobro konfigurirana platforma za upravljanje pristankom (CMP) obrađuje ovaj tijek rada. Biscotti CMP je dizajniran za podršku ovim zahtjevima, uključujući granularne kategorije pristanka i bilježenje pristanka za potrebe revizije. S obzirom na to da Digitalni omnibus paket predlaže signale pristanka na razini preglednika prema članku 88.b, CMP-ovi će također morati unositi i poštivati signale iz postavki preglednika, što je značajna operativna promjena za industriju [3].
Mogu li banneri za kolačiće zadovoljiti i zahtjeve e-privatnosti i GDPR-a
Da, ali samo ako je banner ispravno dizajniran. Banner za kolačiće koji ispunjava standarde pristanka GDPR-a također će zadovoljiti zahtjev za pristanak iz Direktive o e-privatnosti, jer se Direktiva oslanja na definiciju pristanka GDPR-a za države članice EU-a [5][6].
Usklađen banner mora:
- Predstaviti jasnu opciju "Prihvati" i "Odbij" (ili ekvivalentnu) s jednakom vizualnom istaknutošću.
- Ne koristiti tamne obrasce (npr. otežavanje pronalaska "Odbij" u odnosu na "Prihvati").
- Blokirati nebitne kolačiće dok se ne da pristanak.
- Zabilježiti i pohraniti pristanak s vremenskom oznakom i referencom na verziju.
- Omogućiti korisnicima da u bilo kojem trenutku promijene svoje postavke.
Studija iz 2026. godine pokazala je da samo 30,66% web stranica ima gumb "odbij sve", što znači da većina anketiranih stranica vjerojatno ne ispunjava očekivanja usklađenosti [7].
Postoje li zemlje u kojima se Direktiva o e-privatnosti ne primjenjuje
Direktiva o e-privatnosti primjenjuje se u svim državama članicama EU-a. Međutim, budući da je to Direktiva (a ne Uredba), svaka ju je zemlja transponirala u nacionalno zakonodavstvo s određenim varijacijama u opsegu, prioritetima provedbe i kaznama [6]. Zemlje izvan EU-a, uključujući Ujedinjeno Kraljevstvo nakon Brexita, imaju vlastite ekvivalentne zakone (britanski propisi o privatnosti i elektroničkim komunikacijama, ili PECR).
Odaberite svoju osnovu usklađenosti na temelju lokacije vaših korisnika, a ne samo na temelju mjesta registracije vašeg poslovanja. Tvrtka sa sjedištem u SAD-u s značajnim prometom iz EU-a mora se pridržavati i Direktive o e-privatnosti (kako je transponirana u relevantnim državama članicama) i GDPR-a.
Što se događa ako se ne pridržavate pravila Direktive o e-privatnosti
Nepridržavanje Direktive o e-privatnosti (kako je transponirana u nacionalno zakonodavstvo) može rezultirati novčanim kaznama i provedbenim radnjama nacionalnih regulatora. Kazne se razlikuju po državama članicama, ali mogu biti značajne, a kršenja GDPR-a izazvana nevaljanim pristankom (na primjer, obrada osobnih podataka putem kolačića za praćenje bez valjane pravne osnove) nose kazne do 4% globalnog godišnjeg prometa ili 20 milijuna eura, ovisno o tome što je veće [5].
Nacionalna tijela za zaštitu podataka (DPA) nastavljaju aktivno istraživati i kažnjavati organizacije zbog propusta u pristanku na kolačiće [1]. Provedbene radnje ciljale su i velike platforme i male operatere.
Česte pogreške u usklađenosti:
- Aktivacija analitičkih ili reklamnih kolačića pri učitavanju stranice prije registracije pristanka.
- Korištenje bannera za pristanak koji ne blokiraju kolačiće dok se ne izvrši interakcija.
- Neuspjeh u brzom poštivanju povlačenja pristanka.
- Neažuriranje zapisa o pristanku kada se promijene politike kolačića.
- Tretiranje obavijesti o kolačićima kao ekvivalentnih mehanizmima pristanka.
Koliko dugo se kolačići mogu pohranjivati prema pravilima Direktive o e-privatnosti
Direktiva o e-privatnosti izravno ne određuje maksimalno trajanje pohrane kolačića. Međutim, načela minimizacije podataka i ograničenja pohrane GDPR-a primjenjuju se tamo gdje kolačići obrađuju osobne podatke. Pristanak bi trebao biti vremenski ograničen, a regulatori općenito očekuju od organizacija da povremeno ponovno zatraže pristanak, često se navodi 12 mjeseci kao razuman interval, iako to nije strogo zakonsko ograničenje [6].
Praktični savjet: Postavite razdoblja isteka kolačića proporcionalno njihovoj svrsi. Kolačić sesije trebao bi isteći kada se preglednik zatvori. Analitički kolačić ne treba dvogodišnji vijek trajanja ako šest mjeseci služi istoj svrsi.
Koje su česte pogreške koje tvrtke čine u vezi s usklađenošću s e-privatnošću
Osim gore navedenih problema, nekoliko se obrazaca dosljedno pojavljuje u slučajevima provedbe i revizijama:
- Prešutni pristanak: Pretpostavka da nastavak pregledavanja predstavlja pristanak. To su izričito odbacili sudovi EU-a i DPA-ovi.
- Združeni pristanak: Kombiniranje pristanka na kolačiće s prihvaćanjem politike privatnosti u jednom kliku.
- Nedosljedno geo-ciljanje: Primjena strožih pravila o pristanku samo za korisnike iz određenih zemalja dok se kolačići za praćenje poslužuju drugima, rizik s obzirom na to da provedba može slijediti lokaciju korisnika.
- Ignoriranje nacionalnih varijacija: Pretpostavka da jedna konfiguracija bannera zadovoljava sve države članice EU-a, kada u stvarnosti neke zemlje imaju strože nacionalne zahtjeve [6].
- Nema revizijskog traga pristanka: Neuspjeh u bilježenju na što su korisnici pristali, kada i pod kojom verzijom obavijesti o privatnosti [1].
Zaključak
Odnos između Direktive o e-privatnosti i GDPR-a: Snalaženje u pravilima EU-a o kolačićima nije pitanje odabira jednog okvira umjesto drugog, oba se primjenjuju i oba moraju biti zadovoljena. Direktiva o e-privatnosti definira kada je pristanak potreban za kolačiće; GDPR definira kako izgleda valjani pristanak. Zajedno, oni čine pravni temelj za usklađenost s kolačićima diljem EU-a.
Regulatorni krajolik se mijenja. Prijedlog Uredbe o e-privatnosti povučen je početkom 2025., a Digitalni omnibus paket sada predlaže uključivanje pravila o kolačićima izravno u GDPR putem članaka 88.a i 88.b. Konačni tekst očekuje se krajem 2026. ili početkom 2027., ali trenutne obveze ostaju u potpunosti na snazi u međuvremenu.
Akcijski sljedeći koraci za 2026.:
- Revidirajte ponašanje kolačića na svojoj web stranici kako biste potvrdili da se nebitni kolačići ne aktiviraju prije nego što se zabilježi pristanak.
- Pregledajte svoj banner za pristanak na tamne obrasce i osigurajte da su opcije "odbij" jednako istaknute kao i "prihvati".
- Implementirajte CMP kao što je Biscotti CMP koji bilježi zapise o pristanku i podržava granularno upravljanje kategorijama.
- Pratite napredak Digitalnog omnibus paketa i procijenite priprema li se vaš dobavljač CMP-a za podršku signalima pristanka na razini preglednika.
- Provjerite nacionalnu transpoziciju Direktive o e-privatnosti u svakoj državi članici EU-a u kojoj imate značajan korisnički promet.
Često postavljana pitanja
P: Zamjenjuje li GDPR Direktivu o e-privatnosti za kolačiće? Ne. GDPR i Direktiva o e-privatnosti koegzistiraju. Direktiva o e-privatnosti ostaje primarni zakon koji zahtijeva pristanak za kolačiće; GDPR regulira što znači valjani pristanak i kako se moraju obrađivati osobni podaci obrađeni putem kolačića.
P: Što je Uredba o e-privatnosti i hoće li se još uvijek donijeti? Uredba o e-privatnosti bila je predloženi zakon EU-a namijenjen zamjeni Direktive o e-privatnosti izravno primjenjivom uredbom. Europska komisija ju je formalno povukla u veljači 2025. i neće se nastaviti u svom sadašnjem obliku.
P: Što je Digitalni omnibus paket? Digitalni omnibus paket, predstavljen u studenom 2025., je zakonodavni prijedlog EU-a koji bi pojednostavio digitalnu regulativu integriranjem pravila o pristanku na kolačiće u GDPR putem novih članaka 88.a i 88.b. Od srpnja 2026. još uvijek je u zakonodavnom pregledu.
P: Jesu li analitički kolačići izuzeti od zahtjeva za pristanak? Ne. Analitički kolačići koji identificiraju pojedinačne korisnike ili uređaje nisu bitni i zahtijevaju prethodni pristanak prema Direktivi o e-privatnosti, bez obzira na to koriste li se u komercijalne svrhe.
P: Može li zid kolačića (blokiranje pristupa osim ako korisnici ne prihvate kolačiće) predstavljati valjani pristanak? Općenito ne. Regulatori i sudovi EU-a utvrdili su da pristanak dobiven putem zidova kolačića nije slobodno dan prema GDPR-u, jer korisnici nemaju pravi izbor. Neki nacionalni DPA-ovi dopuštaju zidove kolačića u ograničenim okolnostima ako se nudi plaćena alternativa, ali to ostaje sporno.
P: Koliko često se korisnike mora tražiti da ponovno pristanu na kolačiće? Ne postoji fiksno zakonsko razdoblje, ali regulatori općenito očekuju da se pristanak osvježi kada se svrhe ili popis kolačića materijalno promijene, ili nakon razumnog razdoblja (često se u praksi navodi 12 mjeseci). Pristanak dobiven prema prethodnoj verziji obavijesti o privatnosti možda ne pokriva nove aktivnosti obrade.
P: Što je strogo nužan kolačić? Strogo nužan kolačić je onaj bez kojeg usluga koju je korisnik izričito zatražio ne može funkcionirati, na primjer, token za prijavu u sesiju ili identifikator košarice. Oni su izuzeti od zahtjeva za pristanak iz Direktive o e-privatnosti.
P: Primjenjuje li se Direktiva o e-privatnosti na tvrtke izvan EU-a? Da, ako te tvrtke ciljaju ili opslužuju korisnike koji se nalaze u EU-u. Teritorijalni opseg slijedi lokaciju korisnika, a ne registriranu adresu operatora.
P: Što trebam tražiti u platformi za upravljanje pristankom? Usklađen CMP trebao bi blokirati nebitne kolačiće prije pristanka, podržavati granularne kategorije pristanka, bilježiti pristanak s vremenskim oznakama, omogućiti jednostavno povlačenje i biti spreman podržati signale pristanka na razini preglednika kako je propisano predloženim izmjenama GDPR-a.
P: Mogu li koristiti jedan banner za kolačiće za cijelu EU? Jedan banner može funkcionirati kao osnovna linija, ali budući da je Direktiva o e-privatnosti transponirana različito u državama članicama, neke zemlje mogu imati strože zahtjeve. Za web stranice s velikim prometom preporučuje se pravni pregled nacionalnog zakona svakog ciljanog tržišta.
Reference
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai