Kratak odgovor: TDDDG (Telecommunications Digital Services Data Protection Act) je njemački nacionalni zakon koji regulira način na koji web stranice i digitalne usluge moraju postupati s pristankom na kolačiće i pristupom pohrani uređaja. Nadilazi GDPR zahtijevajući prethodni, izričiti pristanak prije aktiviranja bilo kojeg nebitnog kolačića ili tehnologije praćenja, a primjenjuje se na svaki subjekt koji digitalno posluje unutar Njemačke, bez obzira na to gdje mu je sjedište.
Ključne spoznaje
- TDDDG je preimenovan iz TTDSG-a 14. svibnja 2024. kako bi se uskladio s EU Digital Services Actom, iako su njegove temeljne odredbe ostale nepromijenjene [1]
- Odjeljak 25 TDDDG-a zahtijeva prethodni pristanak prije pohranjivanja ili pristupa bilo kojoj informaciji na korisnikovom uređaju, s uskim izuzećima za tehnički nužne kolačiće [4]
- Važeći pristanak mora biti slobodno dan, specifičan, informiran, nedvosmislen i opoziv, unaprijed označeni okviri i pasivno pregledavanje ne kvalificiraju se [3]
- Nepoštivanje može pokrenuti TDDDG kazne do 300.000 € po prekršaju, plus GDPR kazne do 20 milijuna € ili 4% globalnog godišnjeg prometa [2]
- Zakon se primjenjuje na tvrtke, javne vlasti, obrazovne institucije, udruge i samozaposlene osobe s online prisutnošću u Njemačkoj [1]
- Američke tvrtke i tvrtke izvan EU-a koje ciljaju njemačke korisnike moraju se pridržavati TDDDG-a
- Uredba o upravljanju pristankom (EinwV), koja stupa na snagu u travnju 2025., uvela je centralizirane usluge upravljanja pristankom kako bi se smanjio zamor korisnika od pristanka [3]
- Banneri za kolačiće moraju nuditi istinsku opciju "odbij" koja je jednako istaknuta kao i opcija "prihvati" [5]
Što je TDDDG? Objašnjen njemački nacionalni zakon o digitalnoj privatnosti
TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, ili Telecommunications Digital Services Data Protection Act) je primarni njemački statut koji regulira pohranu i pristup informacijama na uređajima krajnjih korisnika. On se nalazi uz GDPR i nadopunjuje ga, rješavajući specifičnu prazninu koju GDPR ne pokriva izravno: trenutak kada kolačić ili skripta za praćenje prvi put dodirne korisnikov preglednik.
Izvorno donesen kao TTDSG u prosincu 2021., zakon je preimenovan u TDDDG 14. svibnja 2024. kako bi odražavao terminologiju uvedenu EU Digital Services Actom. Preimenovanje je bilo uglavnom nominalno; suštinska pravila, posebno ona u Odjeljku 25 koja reguliraju pristanak na kolačiće, ostala su nepromijenjena [1].
Zakon provodi višeslojna struktura vlasti: Savezni povjerenik za zaštitu podataka (BfDI), Savezna agencija za mreže (BNetzA) i 16 državnih tijela za zaštitu podataka koordiniranih putem Konferencije za zaštitu podataka (DSK) [2]. Ovaj distribuirani model provedbe znači da nema jednog uskog grla, kršenja se mogu progoniti iz više smjerova istovremeno.
Kako se TDDDG razlikuje od GDPR-a?
TDDDG i GDPR su komplementarni, a ne konkurentni. GDPR regulira što se događa s osobnim podacima nakon što su prikupljeni i obrađeni. TDDDG regulira raniji trenutak: je li web stranici uopće dopušteno pohranjivati ili čitati podatke na korisnikovom uređaju [6].
Ključne razlike:
| Dimenzija | GDPR | TDDDG |
|---|---|---|
| Opseg | Obrada osobnih podataka | Pohrana/pristup na korisničkim uređajima |
| Opcije pravne osnove | Šest zakonitih osnova (pristanak, legitimni interes itd.) | Samo pristanak ili tehnička nužnost |
| Primjenjuje se na | Voditelje i izvršitelje obrade podataka | Bilo koji subjekt s digitalnom prisutnošću u Njemačkoj |
| Provedba | Tijela za zaštitu podataka | BfDI, BNetzA, državni DPA-i |
| Točka okidača | Aktivnosti obrade podataka | Aktivacija kolačića/praćenja |
Kritična praktična razlika: prema GDPR-u, "legitimni interes" ponekad može opravdati praćenje bez pristanka. Prema TDDDG-u, ta opcija ne postoji za pohranu uređaja. Pristanak ili stroga tehnička nužnost jedina su dva valjana osnova [4].
Objašnjeni TDDDG zahtjevi za kolačiće
Odjeljak 25 TDDDG-a je operativna jezgra zakona. On nalaže da pohranjivanje informacija na korisnikovom terminalnom uređaju, ili pristup informacijama koje su tamo već pohranjene, zahtijeva prethodni pristanak korisnika, osim ako je radnja strogo nužna za prijenos komunikacije ili za pružanje usluge koju je korisnik izričito zatražio [4].
Ova odredba pokriva mnogo više od tradicionalnih HTTP kolačića. Primjenjuje se na:
- Browser localStorage i sessionStorage
- Piksele za praćenje i web-beacone
- Skripte za otiske uređaja
- Flash kolačiće i slične trajne identifikatore
- Bilo koji drugi mehanizam koji čita ili piše na korisnikov uređaj
Izuzeća su uska. Kolačići sesije košarice, tokeni za autentifikaciju prijave i kolačići za balansiranje opterećenja kvalificiraju se kao tehnički nužni. Kolačići za analitiku, tragači za oglašavanje, skripte za A/B testiranje i dodaci za društvene mreže ne kvalificiraju se, oni zahtijevaju prethodni pristanak bez obzira na to kako su formulirani [5].
Koje web stranice moraju biti usklađene s TDDDG-om?
TDDDG se primjenjuje na sve subjekte koji posluju u Njemačkoj i pohranjuju ili pristupaju informacijama na korisničkim uređajima. To nije ograničeno na njemačke tvrtke. Svaka tvrtka, institucija ili pojedinac s web stranicom dostupnom njemačkim korisnicima, a koja koristi nebitne kolačiće ili praćenje, spada u opseg [1].
To uključuje:
- E-commerce trgovine i SaaS platforme
- Izdavače medija i novinske portale
- Javne vlasti i vladine portale
- Obrazovne institucije s online prisutnošću
- Neprofitne udruge i nevladine organizacije
- Slobodnjake i samozaposlene osobe koje vode poslovne web stranice
Moraju li američke tvrtke slijediti TDDDG? Da. Ako je web stranica američke tvrtke dostupna u Njemačkoj i koristi kolačiće ili tehnologije praćenja na uređajima njemačkih posjetitelja, primjenjuje se TDDDG. Doseg zakona određuje se prema lokaciji korisnika, a ne prema mjestu registracije operatera [2]. To odražava teritorijalnu logiku GDPR-a prema članku 3.
TDDDG zahtjevi za pristanak za praćenje
Važeći pristanak prema TDDDG-u mora ispunjavati pet kumulativnih kriterija: mora biti slobodno dan, specifičan, informiran, nedvosmislen i opoziv [3]. Svaki kriterij nosi stvarnu operativnu težinu.
- Slobodno dan znači da korisnik ne snosi nikakvu kaznu za odbijanje. Blokiranje pristupa sadržaju osim ako se kolačići ne prihvate ("cookie wall") pravno je osporavano i općenito se smatra neusklađenim.
- Specifičan znači da se pristanak dobiva po svrsi, analitika se ne može povezati s oglašavanjem.
- Informiran znači da korisnik točno zna na što pristaje prije nego što se pristanak zabilježi.
- Nedvosmislen znači da je potrebna afirmativna radnja. Unaprijed označeni okviri, pomicanje ili nastavak pregledavanja ne predstavljaju pristanak [3].
- Opoziv znači da povlačenje pristanka mora biti jednako jednostavno kao i davanje.
Postavke na razini preglednika (kao što je ugrađeni signal "ne prati" preglednika) ne prihvaćaju se kao valjan pristanak prema TDDDG-u [2]. Pravilno konfigurirana platforma za upravljanje pristankom standardni je mehanizam za prikupljanje i dokumentiranje usklađenog pristanka.
TDDDG kazne i sankcije za nepoštivanje
Kršenja TDDDG-a mogu rezultirati administrativnim kaznama do 300.000 € po pojedinačnom prekršaju [2]. Budući da svako postavljanje kolačića bez pristanka na svakoj korisničkoj sesiji tehnički može predstavljati zaseban prekršaj, ukupna izloženost za web stranice s velikim prometom je značajna.
Osim TDDDG-specifičnih kazni, regulatori mogu istovremeno provoditi GDPR kazne za naknadnu obradu podataka prikupljenih bez valjanog pristanka. GDPR kazne mogu doseći 20 milijuna € ili 4% globalnog godišnjeg prometa, ovisno o tome što je veće [2].
Što se događa ako prekršite TDDDG? Provedbene radnje mogu uključivati formalna upozorenja, naloge za prestanak neusklađenih praksi i novčane kazne. S obzirom na to da je provedba distribuirana na 17 tijela (BfDI plus 16 državnih DPA-a), vjerojatnost nadzora značajno je veća nego u jurisdikcijama s jednim regulatorom.
Tko je izuzet od TDDDG pravila?
Izuzeća prema TDDDG-u ograničena su na tehnički nužne kolačiće i operacije pohrane. Operacija se kvalificira kao tehnički nužna samo ako ispunjava oba uvjeta: potrebna je isključivo za prijenos komunikacije preko mreže, ili je strogo nužna za pružanje usluge koju je korisnik izričito zatražio [4].
Uobičajeni izuzeti slučajevi upotrebe:
- Kolačići sesije koji održavaju stanje prijave
- Trajnost košarice tijekom jedne sesije pregledavanja
- Kolačići za balansiranje opterećenja koji usmjeravaju promet preko poslužitelja
- Sigurnosni kolačići koji sprječavaju krivotvorenje zahtjeva s više web mjesta (CSRF)
Analitika, personalizacija, retargetiranje i funkcionalnosti dijeljenja na društvenim mrežama nisu izuzete, čak i ako ih operater smatra operativno važnima. Test je može li usluga funkcionirati za korisnika koji je zatražio uslugu bez te specifične operacije pohrane, a ne bi li tvrtka radije imala podatke.
Kako učiniti svoju stranicu usklađenom s TDDDG-om
Usklađenost s TDDDG-om postiže se strukturiranim pristupom. Sljedeći koraci odražavaju trenutni regulatorni standard od 2026. godine:
- Pregledajte sve kolačiće i tragače na svojoj stranici. Kategorizirajte svaki kao strogo nužan ili nebitan.
- Blokirajte sve nebitne skripte od učitavanja dok korisnik ne da izričit pristanak.
- Implementirajte usklađeni banner za pristanak koji prikazuje opcije prihvaćanja i odbijanja s jednakom vizualnom istaknutošću. Opcija odbijanja ne smije biti skrivena iza sekundarnih izbornika [5].
- Konfigurirajte granularne svrhe pristanka tako da korisnici mogu prihvatiti analitiku odvojeno od oglašavanja, na primjer.
- Zabilježite zapise o pristanku s vremenskim oznakama, identifikatorima korisnika (gdje je primjenjivo) i specifičnom prikazanom verzijom pristanka.
- Omogućite jednostavno povlačenje pristanka, trajna poveznica na postavke pristanka mora biti dostupna sa svake stranice.
- Pregledajte EinwV okvir (na snazi od travnja 2025.) ako se želite integrirati s priznatim centraliziranim uslugama upravljanja pristankom, koje korisnicima omogućuju pohranu preferencija na više web mjesta [3].
Platforma za upravljanje pristankom kao što je Biscotti CMP dizajnirana je za rukovanje tehničkom implementacijom ovih zahtjeva, uključujući bilježenje pristanka, konfiguraciju bannera i blokiranje skripti.
TDDDG najbolje prakse za banner za kolačiće
Usklađeni TDDDG banner za kolačiće nije samo obavijest, to je funkcionalni mehanizam pristanka. Regulatori su jasno dali do znanja da banneri dizajnirani da potaknu korisnike na prihvaćanje putem tamnih uzoraka nisu usklađeni.
Najbolje prakse uključuju:
- Jednaka istaknutost gumba: Gumbi "Prihvati sve" i "Odbij sve" moraju biti vizualno ekvivalentni po veličini, boji i položaju.
- Bez unaprijed odabranih opcija: Svaki prekidač za pristanak mora biti isključen prema zadanim postavkama.
- Bez ometanja sadržaja: Banner ne smije sprječavati korisnike da čitaju stranicu, iako se može pojaviti kao preklapanje.
- Jasni opisi svrhe: Svaka kategorija kolačića mora biti opisana jednostavnim jezikom, a ne pravnim žargonom.
- Dostupan mehanizam za povlačenje: Poveznica "Postavke kolačića" u podnožju, dostupna u svakom trenutku, ispunjava ovaj zahtjev.
- Bez obmanjujućeg dizajna: Korištenje efekata zasjenjenja na gumbu za odbijanje, ili zahtijevanje više klikova za odbijanje dok je prihvaćanje jedan klik, predstavlja tamni uzorak i nije usklađeno.
Uobičajene pogreške u usklađenosti s TDDDG-om koje treba izbjegavati
Čak i dobronamjerni operateri često čine pogreške koje ih izlažu riziku provedbe.
Pogreška 1: Smatranje usklađenosti s GDPR-om dovoljnom. GDPR i TDDDG rješavaju različita pravna pitanja. Stranica može biti usklađena s GDPR-om u svojim praksama obrade podataka, a da i dalje krši TDDDG učitavanjem tragača prije nego što se zabilježi pristanak.
Pogreška 2: Oslanjanje na signale preglednika kao pristanak. Postavke privatnosti na razini preglednika ne zadovoljavaju standard pristanka TDDDG-a [2].
Pogreška 3: Povezivanje svrha pristanka. Traženje od korisnika da prihvate "sve kolačiće" kao jedan izbor, bez mogućnosti prihvaćanja analitike, ali odbijanja oglašavanja, krši zahtjev specifičnosti.
Pogreška 4: Neuspjeh u blokiranju skripti trećih strana. Mnogi alati trećih strana (platforme za analitiku, upravitelji oznaka, pikseli za oglašavanje) automatski se učitavaju prilikom renderiranja stranice. Bez tehničkog blokiranja, aktiviraju se prije dobivanja pristanka, što je izravno kršenje TDDDG-a.
Pogreška 5: Neažuriranje zapisa o pristanku. Ako se promijene svrhe za koje je dobiven pristanak, prethodno prikupljeni pristanak više nije valjan za nove svrhe. Korisnike je potrebno ponovno pitati.
TDDDG vs. Direktiva o e-privatnosti: Ključne razlike
TDDDG je njemačka nacionalna provedba Direktive o e-privatnosti (2002/58/EC, izmijenjena 2009.), ali u nekoliko aspekata ide dalje. Direktiva o e-privatnosti postavila je okvir na razini EU-a koji zahtijeva od država članica da nalože pristanak na kolačiće; njemački TDDDG je domaći statut koji ispunjava, a u nekim područjima i nadilazi, tu obvezu [6].
Očekivana Uredba o e-privatnosti, koja bi zamijenila Direktivu u svim državama članicama EU-a izravno primjenjivom uredbom, godinama je u zakonodavnom limbu. Dok se ne donese, nacionalni zakoni poput TDDDG-a ostaju operativni standard u Njemačkoj. Operateri ne mogu pretpostaviti da usklađenost s provedbom e-privatnosti druge države članice EU-a zadovoljava njemačke zahtjeve.
Zaključak: Praktični sljedeći koraci za usklađenost s TDDDG-om 2026.
TDDDG predstavlja namjeran izbor Njemačke da strože provodi standarde digitalne privatnosti od minimalnog praga EU-a. Za vlasnike web stranica, programere i marketinške timove koji posluju na njemačkom tržištu, zahtjevi zakona su specifični, provedivi i aktivno ih nadzire 17 zasebnih tijela.
Akcijski sljedeći koraci:
- Provedite potpunu reviziju kolačića pomoću alata za skeniranje kako biste identificirali svaki tragač na svojoj stranici.
- Provjerite jesu li sve nebitne skripte tehnički blokirane prije pristanka, a ne samo otkrivene.
- Pregledajte svoj banner za pristanak u odnosu na zahtjeve jednake istaknutosti i bez prethodnog odabira.
- Osigurajte da su vaši zapisi o pristanku zabilježeni s dovoljnom granularnošću kako biste dokazali usklađenost ako se provede revizija.
- Procijenite je li centralizirani okvir za pristanak EinwV relevantan za vašu korisničku bazu i tehnički stog.
- Procijenite namjenski izgrađenu platformu za upravljanje pristankom kao što je Biscotti CMP za automatizaciju tehničkih i dokumentacijskih zahtjeva.
Trošak neusklađenosti, do 300.000 € po prekršaju prema TDDDG-u, s dodatnom izloženošću GDPR-u, daleko premašuje ulaganje potrebno za implementaciju usklađenog tijeka rada pristanka. Za bilo koji subjekt sa značajnim njemačkim web prometom, usklađenost nije opcija; to je osnovni operativni zahtjev.
Česta pitanja
Što znači TDDDG? TDDDG je kratica za Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, prevedeno kao Zakon o zaštiti podataka u telekomunikacijama i digitalnim uslugama. To je njemački nacionalni zakon koji regulira pristanak na kolačiće i pristup pohrani uređaja.
Kada je TTDSG preimenovan u TDDDG? Preimenovanje je stupilo na snagu 14. svibnja 2024. Promjena je uskladila terminologiju zakona s EU Digital Services Actom. Suštinska pravila o pristanku na kolačiće u Odjeljku 25 nisu promijenjena [1].
Primjenjuje li se TDDDG na mala poduzeća? Da. TDDDG se primjenjuje na sve subjekte s online prisutnošću u Njemačkoj koji pohranjuju ili pristupaju informacijama na korisničkim uređajima, uključujući mala poduzeća, slobodnjake i udruge [1].
Može li se legitimni interes koristiti umjesto pristanka prema TDDDG-u? Ne. Za razliku od GDPR-a, TDDDG ne dopušta legitimni interes kao pravnu osnovu za pohranu ili pristup uređaju. Samo pristanak ili tehnička nužnost su valjani razlozi [4].
Što je EinwV i kako se odnosi na TDDDG? Einwilligungsverwaltungsverordnung (EinwV), na snazi od travnja 2025., uspostavila je okvir za priznate centralizirane usluge upravljanja pristankom. Omogućuje korisnicima pohranu preferencija kolačića na više web stranica, smanjujući ponavljajuće zahtjeve za pristanak [3].
Jesu li analitički kolačići izuzeti od TDDDG zahtjeva za pristanak? Ne. Analitički kolačići nisu tehnički nužni i zahtijevaju prethodni pristanak korisnika prema Odjeljku 25 TDDDG-a, bez obzira na to obrađuju li osobne podatke [5].
Što čini banner za kolačiće neusklađenim prema TDDDG-u? Uobičajeni pokazatelji neusklađenosti uključuju: opciju odbijanja koju je teže pronaći od opcije prihvaćanja, unaprijed odabrane prekidače za pristanak, bannere koji učitavaju skripte za praćenje prije nego što se zabilježi pristanak i odsutnost granularnih kontrola na razini svrhe [2].
Je li TDDDG samo za njemačke web stranice? Ne. TDDDG se primjenjuje na temelju lokacije korisnika, a ne na temelju sjedišta operatera web stranice. Svaka web stranica dostupna korisnicima u Njemačkoj koja koristi nebitne kolačiće mora biti usklađena [2].
Koja je maksimalna kazna za kršenje TDDDG-a? Sam TDDDG predviđa kazne do 300.000 € po prekršaju. Odvojeno, kršenja GDPR-a pokrenuta prikupljanjem podataka bez pristanka mogu rezultirati kaznama do 20 milijuna € ili 4% globalnog godišnjeg prometa [2].
Kako se TDDDG odnosi na Direktivu o e-privatnosti? TDDDG je njemačka nacionalna provedba EU Direktive o e-privatnosti. On ispunjava i u nekim aspektima nadilazi zahtjeve Direktive, a ostaje operativni standard u Njemačkoj dok se predložena Uredba o e-privatnosti ne donese na razini EU-a [6].
Reference
[1] Tdddg - https://skill-sprinters.de/foerderungen/glossar/tdddg/?utm_source=openai [2] De Tdddg - https://www.consentstack.io/regulations/de-tdddg?utm_source=openai [3] Germany Gdpr Compliance Bdsg Dpo Rules And Penalties - https://legalclarity.org/germany-gdpr-compliance-bdsg-dpo-rules-and-penalties/?utm_source=openai [4] Cookies Einwilligung Tdddg - https://konfora.de/ratgeber/cookies-einwilligung-tdddg?utm_source=openai [5] Cookie Banner Pflicht - https://cookie-consent-tools.com/cookie-banner-pflicht.html?utm_source=openai [6] Ttdsg - https://www.preeco.de/en/glossary/data-protection/ttdsg?utm_source=openai