Pristanak i baneri

Evolucija kolačića: Od osnovnog praćenja do stroge usklađenosti

7. srpnja 2026. · 16 min čitanje

Kratak odgovor

Kolačići preglednika započeli su 1994. godine kao jednostavno rješenje za održavanje stanja košarice za kupovinu tijekom web sesija, ali evolucija kolačića od osnovnog praćenja do stroge usklađenosti pretvorila ih je u jednu od najreguliranijih tehnologija u digitalnoj povijesti. Danas, postavljanje kolačića bez izričitog pristanka korisnika može izložiti organizacije značajnim regulatornim kaznama prema okvirima uključujući GDPR i CCPA. Razumijevanje ove evolucije ključno je za svakog vlasnika web stranice, programera ili stručnjaka za privatnost podataka koji posluje 2026. godine.

Ključne spoznaje

Kolačiće je izumio Lou Montulli u Netscapeu 1994. godine kako bi riješio problem HTTP-a bez stanja, a ne za praćenje korisnika
Kolačići trećih strana omogućili su unakrsno profiliranje ponašanja, pokrećući globalne regulatorne odgovore od sredine 2000-ih nadalje
GDPR (2018.) i CCPA (2020.) temeljno su promijenili način na koji web stranice moraju dobiti i dokumentirati pristanak za kolačiće
Googleovo ukidanje kolačića trećih strana u Chromeu ubrzalo je usvajanje alternativa koje čuvaju privatnost, uključujući strategije podataka prve strane i analitiku na strani poslužitelja
Platforme za upravljanje pristankom (CMPs) sada su zahtjev za usklađenost, a ne opcionalno poboljšanje, za većinu komercijalnih web stranica
Kolačići prve strane ostaju zakoniti i funkcionalni; teret usklađenosti prvenstveno pada na kolačiće za praćenje i oglašavanje
Banneri za pristanak na kolačiće moraju ispunjavati specifične pravne standarde: unaprijed označeni okviri, skupni pristanak i tamni obrasci zabranjeni su prema GDPR-u
Korisnici mogu izbrisati kolačiće u bilo kojem trenutku, ali to utječe na personalizaciju, postojanost prijave i točnost analitike

Što su kolačići i kako funkcioniraju?

Kolačići su male tekstualne datoteke koje web poslužitelj nalaže pregledniku da pohrani lokalno na korisnikovom uređaju. Kada korisnik ponovno posjeti istu stranicu, preglednik šalje pohranjeni kolačić natrag poslužitelju, omogućujući mu da prepozna sesiju, zapamti postavke ili poveže ponašanje na različitim stranicama.

Tehnički, kolačić se sastoji od para ime-vrijednost plus opcionalnih atributa: datuma isteka, opsega domene, putanje i sigurnosnih zastavica kao što su HttpOnly i Secure. Sesijski kolačići istječu kada se preglednik zatvori; trajni kolačići ostaju do definiranog datuma isteka ili dok ih korisnik ne izbriše. [8]

Ključne vrste kolačića prema funkciji:

Vrsta	Svrha	Tipičan vijek trajanja
Sesijski	Održavanje stanja prijave	Sesija preglednika
Trajni	Pamćenje postavki	Dani do godine
Prve strane	Postavlja posjećena domena	Različito
Treće strane	Postavljaju vanjske domene	Često 1-2 godine
Analitički	Mjerenje ponašanja prometa	13-26 mjeseci
Marketing/Praćenje	Izrada profila oglasa	Do 2 godine

Povijest kolačića u web preglednicima

Evolucija kolačića od osnovnog praćenja do stroge usklađenosti počinje s jednostavnim inženjerskim problemom. Godine 1994. Lou Montulli, inženjer u Netscape Communicationsu, trebao je način za implementaciju virtualne košarice za kupovinu bez pohranjivanja podataka sesije na strani poslužitelja. Njegovo rješenje bio je HTTP kolačić, izveden iz postojećeg Unix koncepta nazvanog "magični kolačić". [7]

Netscapeov preglednik isporučen je s podrškom za kolačiće 1994. godine, a Internet Explorer je usvojio standard do 1995. Do 1997. IETF je formalizirao specifikaciju u RFC 2109. [8] Ono što je započelo kao zaobilazno rješenje za protokol bez stanja brzo je postalo okosnica personalizacije, autentifikacije i, kritično, oglašavanja.

Ključne prekretnice u povijesti kolačića:

1994.: Lou Montulli izmišlja HTTP kolačić u Netscapeu [5]
1996.: Financial Times objavljuje jedno od prvih javnih upozorenja o praćenju temeljenom na kolačićima [7]
2000-te: Oglasne mreže implementiraju kolačiće trećih strana za izradu unakrsnih profila ponašanja
2011.: EU Direktiva o kolačićima zahtijeva informirani pristanak za nebitne kolačiće
2018.: GDPR dramatično podiže ljestvicu usklađenosti, zahtijevajući izričit, granularan pristanak
2020.: CCPA daje potrošačima u Kaliforniji pravo na odustajanje od prodaje podataka temeljenih na kolačićima
2024.: Google započinje fazno ukidanje kolačića trećih strana u Chromeu [10]

Kolačići prve strane naspram kolačića trećih strana: Koja je razlika?

Kolačiće prve strane postavlja domena koju korisnik aktivno posjećuje. Kolačiće trećih strana postavlja druga domena, obično oglasna mreža, pružatelj analitike ili platforma društvenih medija ugrađena na stranicu.

Ova razlika je izuzetno važna i za funkcionalnost i za usklađenost. Kolačići prve strane općenito se smatraju manje rizičnima jer korisnik ima izravan odnos s domenom koja ih postavlja. Kolačići trećih strana, naprotiv, omogućuju jednom oglasnom entitetu da prati ponašanje korisnika na tisućama nepovezanih web stranica, gradeći detaljne profile ponašanja bez značajne svijesti korisnika. [6]

"Kolačić treće strane postao je motor ekonomije nadzora, ne zato što je bio dizajniran za tu svrhu, već zato što je njegova tehnička arhitektura učinila unakrsno praćenje trivijalno lakim za implementaciju u velikom opsegu."

Većina modernih propisa o privatnosti posebno cilja kolačiće za praćenje trećih strana, iako se zahtjevi za pristanak primjenjuju na sve nebitne kolačiće bez obzira na podrijetlo.

Što je GDPR i kako utječe na kolačiće?

Opća uredba o zaštiti podataka (GDPR), koja je stupila na snagu u svibnju 2018., tretira identifikatore kolačića kao osobne podatke kada se mogu koristiti za identifikaciju ili profiliranje pojedinca. Prema GDPR-u, web stranice koje opslužuju stanovnike EU moraju dobiti slobodno dan, specifičan, informiran i nedvosmislen pristanak prije postavljanja bilo kakvih nebitnih kolačića. [2]

Zahtjevi za usklađenost s GDPR-om za kolačiće uključuju:

Pristanak se mora dobiti prije postavljanja kolačića, a ne nakon
Korisnici moraju moći odbiti pristanak jednako lako kao što ga mogu prihvatiti
Unaprijed označeni okviri za pristanak izričito su zabranjeni
Pristanak mora biti granularan: korisnici mogu prihvatiti analitičke kolačiće, ali odbiti reklamne kolačiće
Zapisi o pristanku moraju biti pohranjeni i podložni reviziji
Korisnici moraju moći povući pristanak u bilo kojem trenutku

Kršenja nose potencijalne kazne do 4% globalnog godišnjeg prometa ili 20 milijuna eura, ovisno o tome što je veće. Regulatorna provedba pojačana je od 2020. godine, a tijela za zaštitu podataka diljem Francuske, Irske, Italije i Španjolske izrekla su značajne kazne za neusklađene bannere za pristanak. [4]

CCPA zahtjevi za usklađenost s kolačićima

California Consumer Privacy Act (CCPA), na snazi od siječnja 2020. i ojačan California Privacy Rights Act (CPRA) 2023. godine, zauzima drugačiji, ali komplementaran pristup. Umjesto da zahtijeva opt-in pristanak za sve kolačiće za praćenje, CCPA daje potrošačima pravo da se odjave od "prodaje" ili "dijeljenja" svojih osobnih podataka, što uključuje podatke o ponašanju temeljene na kolačićima prenesene platformama za oglašavanje trećih strana.

CCPA obveze za korištenje kolačića uključuju:

Veza "Ne prodaj ili dijeli moje osobne podatke" mora biti jasno prikazana
Tvrtke moraju poštovati signale Global Privacy Control (GPC) kao valjan mehanizam za odjavu
Pravila o privatnosti moraju otkriti kategorije osobnih podataka prikupljenih putem kolačića
Potrošači imaju pravo zatražiti brisanje podataka prikupljenih putem kolačića

Tvrtke koje podliježu CCPA-u, a također opslužuju korisnike EU, moraju uskladiti oba okvira, obično implementacijom rješenja za upravljanje pristankom sposobnog za rukovanje skupovima pravila specifičnim za jurisdikciju.

Kako dobiti pristanak korisnika za kolačiće

Dobivanje valjanog pristanka za kolačiće zahtijeva više od postavljanja bannera na stranicu. Pristanak mora ispunjavati pravne standarde primjenjive jurisdikcije prije nego što se aktiviraju bilo kakvi nebitni kolačići.

Usklađen tijek pristanka slijedi ove korake:

Blokirajte sve nebitne kolačiće da se aktiviraju dok se pristanak ne zabilježi
Prikažite jasnu, jednostavnu obavijest o pristanku koja objašnjava koji se kolačići koriste i zašto
Ponudite stvarne opcije prihvaćanja i odbijanja na istoj razini istaknutosti
Omogućite granularne kontrole kategorija (analitika, marketing, postavke)
Zabilježite događaj pristanka s vremenskom oznakom, verzijom i korisničkim identifikatorom
Odmah poštujte povlačenje pristanka i proširite promjenu na sve aktivne oznake

Platforme kao što je Biscotti CMP dizajnirane su za rukovanje ovim radnim tokom, upravljajući prikupljanjem, pohranom i distribucijom signala pristanka nizvodnim marketinškim i analitičkim alatima u više jurisdikcija.

Najbolje prakse za bannere za pristanak na kolačiće

Loše dizajniran banner za pristanak sam po sebi je rizik za usklađenost. Regulatori su posebno ciljali tamne obrasce, uključujući dizajne koji otežavaju odbijanje, skrivaju opciju odbijanja iza više klikova ili koriste kontrast boja kako bi korisnike nagovorili na prihvaćanje.

Karakteristike usklađenog bannera za pristanak:

Jednaka vizualna težina za gumbe za prihvaćanje i odbijanje
Nema unaprijed odabranih preklopnika za nebitne kategorije
Jasan jezik bez pravnog žargona
Trajan mehanizam za ponovno posjećivanje i promjenu postavki pristanka
Responzivan izgled za mobilne uređaje koji ne zaklanja sadržaj stranice

Dizajn bannera za pristanak treba testirati prema specifičnim smjernicama koje je izdalo relevantno tijelo za zaštitu podataka. Francuski CNIL, na primjer, objavio je detaljne tehničke preporuke o prihvatljivim formatima bannera koji nadilaze osnovni tekst GDPR-a. [9]

Što je zamijenilo kolačiće trećih strana nakon što ih je Google ukinuo?

Googleovo ukidanje kolačića trećih strana u Chromeu, koje je ozbiljno započelo 2024. godine, ubrzalo je potragu za funkcionalnim alternativama. Nijedna pojedinačna zamjena nije postigla univerzalno usvajanje, ali nekoliko pristupa je steklo popularnost. [10]

Vodeće alternative kolačićima 2026. godine:

Strategije podataka prve strane: Prikupljanje podataka o ponašanju izravno putem vlastitih svojstava i autentificiranih sesija
Analitika na strani poslužitelja: Premještanje izvršavanja oznaka na poslužitelj kako bi se smanjila ovisnost o kolačićima na strani klijenta
Privacy Sandbox API-ji: Googleov paket API-ja temeljenih na pregledniku (Topics API, Protected Audience API) dizajniranih za omogućavanje oglašavanja temeljenog na interesima bez unakrsnih identifikatora
Kontekstualno oglašavanje: Ciljanje na temelju sadržaja stranice, a ne povijesti korisnika
Čiste prostorije za podatke: Okruženja koja čuvaju privatnost gdje se skupovi podataka prve strane iz više strana mogu podudarati bez razmjene sirovih podataka
Univerzalni ID-ovi: Hashed identifikatori temeljeni na e-pošti koji se dijele preko izdavačkih mreža uz pristanak korisnika

Svaka alternativa nosi vlastite implikacije za pristanak i usklađenost. Kontekstualno oglašavanje ne zahtijeva korisničke podatke; rješenja za autentificirane ID-ove i dalje zahtijevaju izričit pristanak prema GDPR-u.

Jesu li kolačići sigurni i koji su rizici za privatnost?

Kolačići sami po sebi nisu izvršni kod i ne mogu instalirati zlonamjerni softver. Međutim, nose značajne rizike za privatnost, posebno kada se koriste za unakrsno praćenje ili kada se presretnu putem nesigurnih veza.

Primarni rizici za privatnost povezani s kolačićima:

Unakrsno profiliranje: Kolačići trećih strana omogućuju detaljne profile ponašanja bez svijesti korisnika
Otmica sesije: Kolačiće prenesene putem nešifriranog HTTP-a mogu presresti napadači na zajedničkim mrežama
Sinkronizacija kolačića: Oglasne mreže međusobno dijele identifikatore kolačića, proširujući doseg praćenja izvan jedne platforme
Zombie kolačići: Neke tehnologije praćenja pokušavaju ponovno stvoriti izbrisane kolačiće koristeći otiske preglednika ili lokalnu pohranu

Zastavice HttpOnly i Secure ublažavaju neke vektore napada, ali ne rješavaju strukturne rizike za privatnost praćenja ponašanja. [8]

Kako provjeriti koje kolačiće web stranica koristi

Svaki korisnik ili programer može provjeriti kolačiće web stranice pomoću alata ugrađenih u preglednik. U Chromeu ili Firefoxu, otvaranjem Alata za razvojne programere (F12) i navigacijom do kartice Aplikacija ili Pohrana otkrivaju se svi kolačići trenutno postavljeni za aktivnu domenu, uključujući njihova imena, vrijednosti, domene, datume isteka i sigurnosne zastavice.

Za strukturiraniju reviziju, alati koji pretražuju stranicu i kategoriziraju kolačiće prema vrsti i svrsi pružaju potpuniju sliku, što je posebno korisno za dokumentaciju usklađenosti. Web stranice bi trebale provoditi periodične revizije kolačića jer skripte trećih strana dodane putem upravitelja oznaka mogu uvesti nove kolačiće bez izričite provjere.

Kako kolačići utječu na performanse web stranice?

Kolačići imaju mjerljiv, ali obično skroman utjecaj na performanse učitavanja stranice. Svaki HTTP zahtjev za domenu uključuje sve kolačiće postavljene za tu domenu u zaglavlju zahtjeva, što dodaje opterećenje proporcionalno broju i veličini prisutnih kolačića.

Značajnije implikacije na performanse dolaze od JavaScripta koji postavlja kolačiće: skripte oznaka trećih strana, platforme za upravljanje pristankom i biblioteke analitike sve doprinose težini stranice i vremenu izvršavanja. Loše upravljane implementacije oznaka mogu dodati stotine milisekundi vremenu do prvog bajta (TTFB) i najvećem sadržajnom prikazu (LCP), što oboje utječe na rezultate Core Web Vitals.

Najbolja praksa je asinkrono učitavanje nebitnih skripti, korištenje sustava za upravljanje oznakama za kontrolu redoslijeda izvršavanja i redovito provjeravanje skripti kolačića trećih strana radi redundancije.

Mogu li korisnici izbrisati kolačiće i što se događa?

Da, korisnici mogu izbrisati kolačiće u bilo kojem trenutku putem postavki preglednika, a to je trenutačno i potpuno za pohranjene kolačiće. Posljedice ovise o vrsti izbrisanog kolačića.

Brisanje sesijskih kolačića odjavljuje korisnika iz aktivnih sesija
Brisanje kolačića postavki poništava spremljene postavke kao što su jezik ili opcije prikaza
Brisanje analitičkih kolačića poništava identifikaciju posjetitelja, uzrokujući da se korisnici koji se vraćaju pojavljuju kao novi posjetitelji na analitičkim platformama
Brisanje reklamnih kolačića uklanja profile ciljanja oglasa, iako praćenje temeljeno na otiscima prstiju može djelomično ostati

Korisnici koji izbrišu kolačiće, ali ne prilagode svoje postavke pristanka, obično će ponovno dobiti kolačiće pri sljedećem posjetu, jer se zapis o pristanku sam po sebi može pohraniti kao kolačić. Neki CMP-ovi koriste pohranu pristanka na strani poslužitelja za rješavanje ovog problema.

Can Users Delete Cookies and What Happens?

Zaključak: Navigacija budućnošću usklađenosti s kolačićima

Evolucija kolačića od osnovnog praćenja do stroge usklađenosti odražava šire suočavanje s načinom na koji je digitalna infrastruktura izgrađena bez odgovarajućih zaštitnih mjera privatnosti. Ono što je započelo kao inženjersko rješenje od 30 redaka 1994. godine postalo je temelj ekosustava oglašavanja vrijednog bilijun dolara, a zatim je postalo jedna od najspornijih tehnologija u regulatornoj povijesti. [1]

Akcijski sljedeći koraci za vlasnike web stranica i programere 2026. godine:

Provedite potpunu reviziju kolačića vaše web stranice, uključujući sve skripte trećih strana učitane putem upravitelja oznaka
Implementirajte platformu za upravljanje pristankom kao što je Biscotti CMP za rukovanje prikupljanjem i dokumentacijom pristanka svjesnog jurisdikcije
Pregledajte svoj banner za pristanak prema trenutnim regulatornim smjernicama, posebno provjeravajući tamne obrasce i opcije prihvaćanja/odbijanja jednake težine
Razvijte strategiju podataka prve strane kako biste smanjili ovisnost o kolačićima za praćenje trećih strana
Postavite ponavljajući podsjetnik u kalendaru za tromjesečnu ponovnu reviziju kolačića, jer se skripte trećih strana često mijenjaju
Osigurajte da vaša politika privatnosti točno odražava kategorije i svrhe svih kolačića u upotrebi

Krajolik usklađenosti nastavit će se razvijati. Propisi o privatnosti šire se geografski, provedba se pojačava, a dobavljači preglednika ugrađuju dodatna ograničenja izravno u svoje platforme. Organizacije koje upravljanje kolačićima tretiraju kao stalnu operativnu disciplinu, a ne kao jednokratni projekt implementacije, bit će najbolje pozicionirane za održavanje povjerenja korisnika i regulatornog statusa.

Često postavljana pitanja

Koja je razlika između sesijskog kolačića i trajnog kolačića? Sesijski kolačić se briše kada se preglednik zatvori i koristi se za održavanje stanja tijekom jedne posjete, kao što je održavanje korisnika prijavljenim. Trajni kolačić ima definiran datum isteka i ostaje na uređaju između sesija, koristi se za postavke, analitiku i oglašavanje.

Zahtijevaju li svi kolačići pristanak prema GDPR-u? Ne. Strogo potrebni kolačići, kao što su oni potrebni za autentifikaciju prijave ili funkcionalnost košarice za kupovinu, izuzeti su od zahtjeva za pristanak prema GDPR-u. Svi nebitni kolačići, uključujući analitičke i reklamne kolačiće, zahtijevaju izričit prethodni pristanak.

Što je platforma za upravljanje pristankom (CMP)? CMP je softverski alat koji upravlja prikupljanjem, pohranom i provedbom korisničkog pristanka za kolačiće. Prikazuje banner za pristanak, bilježi korisničke odabire i signalizira te odabire nizvodnim marketinškim i analitičkim oznakama. Biscotti CMP (www.biscotti-cmp.com) je jedna takva platforma izgrađena za usklađenost s više jurisdikcija.

Može li web stranica funkcionirati bez kolačića? Da, ali sa značajnim ograničenjima. Osnovne funkcionalnosti kao što su postojanost prijave, košarice za kupovinu i personalizirani sadržaj obično ovise o kolačićima prve strane. Analitičke i reklamne funkcije mogu se djelomično zamijeniti alternativama bez kolačića, ali s smanjenom preciznošću.

Što je tamni obrazac u banneru za pristanak na kolačiće? Tamni obrazac je tehnika dizajna koja manipulira korisnicima da prihvate kolačiće koje bi inače odbili. Primjeri uključuju isticanje gumba "Prihvati sve" i bojanje, dok se "Odbij sve" skriva iza više izbornika, ili korištenje unaprijed označenih potvrdnih okvira za nebitne kategorije.

Koliko dugo se moraju čuvati zapisi o pristanku? Prema GDPR-u, zapisi o pristanku trebaju se čuvati sve dok se aktivnost obrade nastavlja, plus razumno razdoblje za dokazivanje usklađenosti u slučaju regulatornog upita. Mnoge organizacije čuvaju zapise o pristanku najmanje tri godine.

Što je Global Privacy Control (GPC)? GPC je signal na razini preglednika koji automatski komunicira korisnikovu preferenciju za odjavu web stranicama. Prema CCPA/CPRA, tvrtke u Kaliforniji dužne su poštovati GPC signale kao valjanu odjavu od prodaje ili dijeljenja osobnih podataka.

Smatraju li se analitički kolačići osobnim podacima prema GDPR-u? Općenito da. Analitički kolačići koji dodjeljuju jedinstveni identifikator pregledniku mogu se koristiti za profiliranje individualnog ponašanja tijekom vremena, što predstavlja obradu osobnih podataka prema GDPR-u, zahtijevajući pravnu osnovu kao što je pristanak.

Što se događa ako web stranica ne poštuje pravila GDPR-a o kolačićima? Tijela za zaštitu podataka mogu izdati upozorenja, opomene i novčane kazne. GDPR kazne za kršenja kolačića kretale su se od desetaka tisuća do stotina milijuna eura, ovisno o ozbiljnosti, trajanju i broju pogođenih pojedinaca.

Je li implicitni pristanak (nastavak pregledavanja) valjan prema GDPR-u? Ne. Sud Europske unije i više tijela za zaštitu podataka potvrdili su da nastavak pregledavanja ne predstavlja valjan pristanak. Pristanak mora biti afirmativan, nedvosmislen čin.