Brzi odgovor: Direktiva o privatnosti u elektronskim komunikacijama i GDPR su dva različita, ali preklapajuća zakona EU koja zajednički regulišu pristanke za kolačiće i online privatnost. Direktiva o privatnosti postavlja specifična pravila za postavljanje kolačića na uređaje korisnika, dok GDPR definiše standarde za važeći pristanak. Većina veb sajtova koji posluju u EU mora da se pridržava oba, a od 2026. godine, u toku je velika zakonodavna reforma koja bi mogla da konsoliduje pravila o kolačićima direktno u GDPR.
Ključne tačke
- Direktiva o privatnosti u elektronskim komunikacijama (2002, ažurirana 2009) je osnovni zakon koji zahteva pristanak pre postavljanja neesencijalnih kolačića; GDPR (2018) definiše šta "važeći pristanak" zapravo znači.
- Oba zakona se istovremeno primenjuju na većinu veb sajtova usmerenih na EU, jedan ne zamenjuje drugi.
- Predložena Uredba o privatnosti je formalno povučena od strane Evropske komisije u februaru 2025.
- Digitalni omnibus paket, predstavljen u novembru 2025, predlaže integraciju pravila o pristanku za kolačiće u GDPR putem novih članova 88a i 88b.
- Esencijalni (strogo neophodni) kolačići su izuzeti od zahteva za pristanak prema Direktivi o privatnosti.
- Direktiva o privatnosti je različito prenesena u zakonodavstvo različitih država članica EU, što stvara varijacije u usklađenosti po zemljama.
- Istraživanje iz 2026. godine pokazalo je da je samo 30,66% veb sajtova imalo dugme "odbij sve", što ukazuje na široku neusklađenost [7].
- Baneri za pristanak na kolačiće mogu zadovoljiti oba zakona, ali samo ako ispunjavaju uslove GDPR-a za slobodno dat, specifičan, informisan i nedvosmislen pristanak.
- Platforme za upravljanje pristankom (CMP) će morati da se prilagode signalima pristanka na nivou pretraživača prema predloženim izmenama GDPR-a [3].
Koja je razlika između Direktive o privatnosti i GDPR-a
Direktiva o privatnosti i GDPR imaju različite, ali komplementarne funkcije. Direktiva o privatnosti (Direktiva 2002/58/EC, izmenjena 2009/136/EC) je zakon specifičan za sektor koji reguliše privatnost elektronskih komunikacija, uključujući korišćenje kolačića i sličnih tehnologija za praćenje. GDPR je opšti propis o zaštiti podataka koji postavlja pravni okvir za obradu ličnih podataka u svim sektorima, uključujući definiciju i zahteve za važeći pristanak.
Ključna razlika:
| Karakteristika | Direktiva o privatnosti | GDPR |
|---|---|---|
| Pravni oblik | EU Direktiva (zahteva nacionalno prenošenje) | EU Uredba (direktno primenljiva) |
| Primarni fokus | Kolačići, praćenje, elektronske komunikacije | Sva obrada ličnih podataka |
| Standard pristanka | Zahteva pristanak za neesencijalne kolačiće | Definiše šta važeći pristanak znači |
| Organi za sprovođenje | Nacionalni telekom/DPA regulatori | Nacionalne vlasti za zaštitu podataka |
| Status (2026) | Još uvek na snazi; reforma u toku | Na snazi; predložene izmene u toku |
Pošto je Direktiva o privatnosti Direktiva, a ne Uredba, svaka država članica EU je prenela je u nacionalno zakonodavstvo na različite načine, što stvara varijacije u sprovođenju i specifičnim zahtevima po zemljama [6].
Da li treba da se pridržavate i Direktive o privatnosti i GDPR-a, ili samo jednog
Oba zakona se istovremeno primenjuju, a usklađenost sa jednim ne zadovoljava drugi. Direktiva o privatnosti vam govori kada vam je potreban pristanak (pre postavljanja neesencijalnih kolačića); GDPR vam govori kako taj pristanak mora izgledati (slobodno dat, specifičan, informisan, nedvosmislen i povlačiv u bilo kojem trenutku) [5].
Razmislite o tome ovako: Direktiva o privatnosti je okidač, a GDPR je standard. Baner za kolačiće koji tehnički pojavljuje pre nego što se kolačići učitaju, ali koristi unapred označene kutije, krši zahteve GDPR-a za pristanak, čak i ako nominalno ispunjava obavezu obaveštavanja prema Direktivi o privatnosti.
Uobičajena greška: Pretpostavljanje da je obaveštenje o kolačićima (obaveštavanje korisnika da kolačići postoje) dovoljno. Prema oba okvira, pasivno obaveštavanje nije pristanak za neesencijalne kolačiće.
Kako se Direktiva o privatnosti primenjuje na kolačiće na vašem veb sajtu
Direktiva o privatnosti zahteva da operateri veb sajtova dobiju prethodni, informisani pristanak pre nego što skladište ili pristupaju informacijama na uređaju korisnika, što obuhvata kolačiće, piksele, lokalno skladište i slične tehnologije [6]. Ova obaveza se primenjuje bez obzira na to da li prikupljeni podaci kvalifikuju kao lični podaci prema GDPR-u.
Praktično, to znači:
- Nema neesencijalnih kolačića koji mogu biti aktivirani pre nego što korisnik preduzme afirmativnu akciju da da pristanak.
- Mehanizam pristanka mora biti jasan i ne sme biti povezan sa prihvatanjem uslova korišćenja.
- Korisnici moraju moći da povuku pristanak jednako lako kao što su ga dali.
Direktiva se primenjuje na svaku uslugu koja cilja korisnike u EU, bez obzira na to gde je operater veb sajta smešten.
Koji kolačići zahtevaju pristanak prema Direktivi o privatnosti naspram GDPR-a
Prema Direktivi o privatnosti, pristanak je potreban za sve kolačiće osim onih koji su "strogo neophodni" za uslugu koju je korisnik izričito zatražio. Prema GDPR-u, svaka obrada ličnih podataka zahteva pravnu osnovu, a za kolačiće za praćenje, ta osnova je gotovo uvek pristanak.
Kategorije kolačića i zahtevi za pristanak:
- Strogo neophodni kolačići (upravljanje sesijama, stanje prijave, korpa za kupovinu): Nema pristanka potrebnog prema Direktivi o privatnosti. Mogu se primeniti legitimni interes ili osnova za izvršenje ugovora prema GDPR-u.
- Analitički kolačići (npr. praćenje pregleda stranica koje identifikuje korisnike): Pristanak je potreban prema oba okvira.
- Kolačići za marketing i oglašavanje (behavioral targeting, retargeting): Pristanak je potreban prema oba okvira, ovo je kategorija sa najvećim rizikom za sprovođenje.
- Funkcionalni kolačići (jezičke preferencije, podešavanja korisničkog interfejsa): Raspravljano; ako obrađuju lične podatke, pristanak je najsigurniji pristup.
Da li se Direktiva o privatnosti zamenjuje, i šta je Uredba o privatnosti
Direktiva o privatnosti se ne zamenjuje GDPR-om. Međutim, predložena Uredba o privatnosti je bila namenjena da zameni Direktivu direktno primenljivim zakonodavstvom na nivou EU. Taj predlog je formalno povučen od strane Evropske komisije u februaru 2025, navodeći nedostatak predvidljivog dogovora među državama članicama i zastareli karakter predloga s obzirom na nedavne tehnološke promene [2].
Direktiva o privatnosti naspram predložene Uredbe o privatnosti: Uredba bi bila direktno obavezujuća za sve države članice (uklanjajući razlike u nacionalnom prenošenju), ali nikada nije usvojena.
Umesto toga, Evropska komisija je predstavila Digitalni omnibus paket 19. novembra 2025. Ovaj paket predlaže integraciju pravila o pristanku za kolačiće direktno u GDPR putem novih članova 88a i 88b [2][3]. Član 88a bi definisao scenarije u kojima pristanak nije potreban (kao što je prenos elektronskih komunikacija ili usluga koje je korisnik izričito zatražio). Član 88b bi uveo zahteve za automatske, mašinski čitljive mehanizme pristanka, uključujući signale pristanka na nivou pretraživača [3].
Od jula 2026, Digitalni omnibus paket još uvek prolazi kroz zakonodavne procese, a konačni tekst se očekuje do kraja 2026. ili početkom 2027. [4].
Da li esencijalni kolačići zahtevaju pristanak prema Direktivi o privatnosti
Ne. Strogo neophodni kolačići su izričito izuzeti od zahteva za pristanak prema Direktivi o privatnosti. To su kolačići bez kojih usluga koju je korisnik aktivno zatražio ne može funkcionisati, na primer, identifikatori sesija, tokeni za autentifikaciju i kolačići za korpu za kupovinu [6].
Iznimni slučaj: "Neophodno" se tumači usko. Kolačić koji poboljšava performanse ili omogućava analitiku nije strogo neophodan, čak i ako ga operater smatra operativno važnim. Kada ste u nedoumici, bolje je zahtevati pristanak.
Kako dobiti važeći pristanak za kolačiće koji zadovoljava oba propisa
Važeći pristanak prema GDPR-u (a samim tim i prema Direktivi o privatnosti, koja se oslanja na standarde pristanka GDPR-a) mora biti:
- Slobodno dat, bez zidova pristanka ili prisilnog povezivanja sa prihvatanjem uslova.
- Specifičan, odvojen pristanak za svaku kategoriju kolačića (analitika, marketing itd.).
- Informisan, korisnici moraju znati šta kolačići rade i ko obrađuje podatke.
- Nedvosmislen, potrebna je afirmativna akcija; unapred označene kutije su nevažeće.
- Povlačiv, povlačenje pristanka mora biti jednako lako kao i njegovo davanje [5].
Dobro konfigurisana Platforma za upravljanje pristankom (CMP) upravlja ovim radnim tokom. Biscotti CMP je dizajniran da podrži ove zahteve, uključujući granularne kategorije pristanka i evidenciju pristanka za potrebe revizije. Sa Digitalnim omnibus paketom koji predlaže signale pristanka na nivou pretraživača prema članu 88b, CMP-ovi će takođe morati da prihvate i poštuju signale iz podešavanja pretraživača, što predstavlja značajnu operativnu promenu za industriju [3].
Mogu li baneri za kolačiće zadovoljiti zahteve i Direktive o privatnosti i GDPR-a
Da, ali samo ako je baner pravilno dizajniran. Baner za kolačiće koji ispunjava standarde pristanka GDPR-a takođe će zadovoljiti zahtev za pristanak Direktive o privatnosti, jer se Direktiva oslanja na definiciju pristanka GDPR-a za države članice EU [5][6].
Usklađeni baner mora:
- Prikazati jasnu opciju "Prihvati" i "Odbij" (ili ekvivalentnu) sa jednakom vizuelnom istaknutošću.
- Ne koristiti tamne obrasce (npr. otežati pronalaženje "Odbij" u odnosu na "Prihvati").
- Blokirati neesencijalne kolačiće dok se ne dobije pristanak.
- Zabeležiti i čuvati pristanak sa vremenskom oznakom i referencom verzije.
- Omogućiti korisnicima da promene svoje preferencije u bilo kojem trenutku.
Istraživanje iz 2026. godine pokazalo je da je samo 30,66% veb sajtova imalo dugme "odbij sve", što znači da većina anketiranih sajtova verovatno ne ispunjava očekivanja u pogledu usklađenosti [7].
Postoje li zemlje u kojima se Direktiva o privatnosti ne primenjuje
Direktiva o privatnosti se primenjuje u svim državama članicama EU. Međutim, pošto je to Direktiva (a ne Uredba), svaka zemlja je prenela je u nacionalno zakonodavstvo sa određenim varijacijama u opsegu, prioritetima sprovođenja i kaznama [6]. Zemlje van EU, uključujući Veliku Britaniju nakon Brexita, imaju svoje ekvivalentne zakone (Pravilnik o privatnosti i elektronskim komunikacijama u Velikoj Britaniji, ili PECR).
Izaberite svoju osnovu za usklađenost na osnovu lokacije vaših korisnika, a ne samo na osnovu registracije vaše kompanije. Kompanija sa sedištem u SAD-u koja ima značajan promet iz EU mora se pridržavati i Direktive o privatnosti (kako je prenesena u relevantnim državama članicama) i GDPR-a.
Šta se dešava ako se ne pridržavate pravila Direktive o privatnosti
Neusklađenost sa Direktivom o privatnosti (kako je prenesena u nacionalno zakonodavstvo) može rezultirati novčanim kaznama i sprovođenjem akcija od strane nacionalnih regulatora. Kazne se razlikuju po državama članicama, ali mogu biti značajne, a kršenja GDPR-a izazvana nevažećim pristankom (na primer, obrada ličnih podataka putem kolačića za praćenje bez važeće pravne osnove) nose kazne do 4% globalnog godišnjeg prometa ili 20 miliona evra, u zavisnosti od toga šta je veće [5].
Nacionalne vlasti za zaštitu podataka (DPA) i dalje aktivno istražuju i kažnjavaju organizacije zbog neuspeha u vezi sa pristankom na kolačiće [1]. Akcije sprovođenja su usmerene na velike platforme i male operatore.
Uobičajene greške u usklađenosti:
- Aktiviranje analitičkih ili oglašivačkih kolačića prilikom učitavanja stranice pre nego što je pristanak registrovan.
- Korišćenje banera za pristanak koji ne blokiraju kolačiće dok se ne izvrši interakcija.
- Nepoštovanje povlačenja pristanka odmah.
- Ne ažuriranje evidencija pristanka kada se politike kolačića promene.
- Tretiranje obaveštenja o kolačićima kao ekvivalent mehanizmima pristanka.
Koliko dugo se kolačići mogu čuvati prema pravilima Direktive o privatnosti
Direktiva o privatnosti ne specificira maksimalno trajanje čuvanja kolačića direktno. Međutim, principi minimizacije podataka i ograničenja čuvanja prema GDPR-u se primenjuju kada kolačići obrađuju lične podatke. Pristanak bi trebao biti vremenski ograničen, a regulatori obično očekuju da organizacije periodično ponovo traže pristanak, a često se navodi da je 12 meseci razuman interval, iako to nije stroga zakonska granica [6].
Praktične smernice: Postavite periode isteka kolačića proporcionalne njihovoj svrsi. Kolačić sesije treba da istekne kada se pretraživač zatvori. Analitički kolačić ne treba da ima dvogodišnji vek trajanja ako šest meseci služi istoj svrsi.
Koje su uobičajene greške koje kompanije prave u vezi sa usklađenošću sa privatnošću
Pored problema navedenih iznad, nekoliko obrazaca se dosledno pojavljuje u slučajevima sprovođenja i revizijama:
- Implicitni pristanak: Pretpostavljanje da nastavak pretraživanja predstavlja pristanak. Ovo je izričito odbijeno od strane EU sudova i DPA.
- Povezani pristanak: Kombinovanje pristanka na kolačiće sa prihvatanjem politike privatnosti u jednom kliku.
- Nepodudarnost geo-targetinga: Primena strožih pravila o pristanku samo za korisnike iz određenih zemalja dok se kolačići za praćenje serviraju drugima, što je rizik s obzirom na to da sprovođenje može pratiti lokaciju korisnika.
- Ignorisanje nacionalnih varijacija: Pretpostavljanje da jedna konfiguracija banera zadovoljava sve države članice EU, dok u stvarnosti neke zemlje imaju strože nacionalne zahteve [6].
- Nema evidencije o pristanku: Ne beleženje šta su korisnici odobrili, kada i pod kojom verzijom obaveštenja o privatnosti [1].
Zaključak
Odnos između Direktive o privatnosti i GDPR-a: Navigacija pravilima o kolačićima u EU nije pitanje izbora jednog okvira umesto drugog, oba se primenjuju i oba moraju biti ispunjena. Direktiva o privatnosti definiše kada je pristanak potreban za kolačiće; GDPR definiše kako izgleda važeći pristanak. Zajedno čine pravnu osnovu za usklađenost sa kolačićima širom EU.
Regulatorni pejzaž se menja. Predlog Uredbe o privatnosti je povučen početkom 2025, a Digitalni omnibus paket sada predlaže da se pravila o kolačićima direktno integrišu u GDPR putem članova 88a i 88b. Konačni tekst se očekuje do kraja 2026. ili početkom 2027, ali trenutne obaveze ostaju u punoj snazi u međuvremenu.
Akcioni koraci za 2026:
- Proverite ponašanje kolačića na vašem veb sajtu kako biste potvrdili da nijedan neesencijalni kolačić ne aktivira pre nego što se zabeleži pristanak.
- Pregledajte svoj baner za pristanak zbog tamnih obrazaca i osigurajte da su opcije "odbij" jednako istaknute kao i "prihvati".
- Implementirajte CMP kao što je Biscotti CMP koja beleži evidenciju pristanka i podržava upravljanje granularnim kategorijama.
- Pratite napredak Digitalnog omnibus paketa i procenite da li vaš CMP dobavljač priprema podršku za signale pristanka na nivou pretraživača.
- Proverite nacionalno prenošenje Direktive o privatnosti u svakoj državi članici EU gde imate značajan promet korisnika.
Česta pitanja
P: Da li GDPR zamenjuje Direktivu o privatnosti za kolačiće? Ne. GDPR i Direktiva o privatnosti koegzistiraju. Direktiva o privatnosti ostaje osnovni zakon koji zahteva pristanak za kolačiće; GDPR reguliše šta važeći pristanak znači i kako se lični podaci obrađeni putem kolačića moraju tretirati.
P: Šta je Uredba o privatnosti i da li se još uvek predlaže? Uredba o privatnosti je bio predloženi zakon EU koji je trebao da zameni Direktivu o privatnosti direktno primenljivom uredbom. Formalno je povučena od strane Evropske komisije u februaru 2025. i neće se nastaviti u trenutnom obliku.
P: Šta je Digitalni omnibus paket? Digitalni omnibus paket, predstavljen u novembru 2025, je zakonodavni predlog EU koji bi pojednostavio digitalnu regulaciju integracijom pravila o pristanku za kolačiće u GDPR putem novih članova 88a i 88b. Od jula 2026. još uvek je pod zakonodavnom revizijom.
P: Da li su analitički kolačići izuzeti od zahteva za pristanak? Ne. Analitički kolačići koji identifikuju pojedinačne korisnike ili uređaje su neesencijalni i zahtevaju prethodni pristanak prema Direktivi o privatnosti, bez obzira na to da li se koriste u komercijalne svrhe.
P: Može li zid kolačića (blokiranje pristupa osim ako korisnici ne prihvate kolačiće) predstavljati važeći pristanak? Generalno ne. EU regulatori i sudovi su utvrdili da pristanak dobijen putem zidova kolačića nije slobodno dat prema GDPR-u, jer korisnici nemaju stvarni izbor. Neki nacionalni DPA dozvoljavaju zidove kolačića u ograničenim okolnostima ako se nudi plaćena alternativa, ali to ostaje sporno.
P: Koliko često treba ponovo tražiti pristanak korisnika za kolačiće? Ne postoji fiksni zakonski period, ali regulatori obično očekuju da se pristanak osveži kada se svrhe ili lista kolačića značajno promene, ili nakon razumnog perioda (često se navodi kao 12 meseci u praksi). Pristanak dobijen pod prethodnom verzijom obaveštenja o privatnosti možda neće pokriti nove aktivnosti obrade.
P: Šta je strogo neophodan kolačić? Strogo neophodan kolačić je onaj bez kojeg usluga koju je korisnik izričito zatražio ne može funkcionisati, na primer, token za prijavu ili identifikator korpe za kupovinu. Ovi su izuzeti od zahteva za pristanak prema Direktivi o privatnosti.
P: Da li se Direktiva o privatnosti primenjuje na ne-EU preduzeća? Da, ako ta preduzeća ciljaju ili opslužuju korisnike smeštene u EU. Teritorijalni opseg prati lokaciju korisnika, a ne registrovanu adresu operatera.
P: Na šta treba obratiti pažnju prilikom izbora Platforme za upravljanje pristankom? Usklađena CMP treba da blokira neesencijalne kolačiće pre pristanka, podržava granularne kategorije pristanka, beleži pristanak sa vremenskim oznakama, omogućava lako povlačenje i bude spremna da podrži signale pristanka na nivou pretraživača kako je to zahtevano prema predloženim izmenama GDPR-a.
P: Mogu li koristiti jedan baner za kolačiće za celu EU? Jedan baner može funkcionisati kao osnovna opcija, ali pošto je Direktiva o privatnosti različito prenesena u različitim državama članicama, neke zemlje mogu imati strože zahteve. Pravni pregled prema nacionalnom zakonu svake ciljne tržišne zemlje je preporučljiv za sajtove sa visokim prometom.
Reference
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai