Politika kolačića: pristanak po ZEK i ZZPL (Srbija)

Politika kolačića i pristanak korisnika: kako uskladiti sajt

U Srbiji kolačiće uređuju dva propisa zajedno Zakon o elektronskim komunikacijama (ZEK) i Zakon o zaštiti podataka o ličnosti (ZZPL). Prema članu 160 ZEK, za čuvanje ili pristup podacima na uređaju korisnika (što kolačići i rade) potreban je pristanak korisnika, uz prethodno jasno obaveštenje i mogućnost da odbije, osim za tehnički nužne kolačiće. Ako sajt cilja i EU tržište, dodatno važi stroži EU režim (ePrivacy direktiva i GDPR).

Skoro svaki sajt danas koristi kolačiće za prijavu korisnika, pamćenje jezika, analitiku ili oglašavanje. Pitanje koje nam preduzetnici najčešće postave glasi: „Moram li da imam onaj banner za kolačiće i da tražim pristanak?“

Odgovor je: u Srbiji po pravilu da, za sve osim nužnih kolačića. A ako ciljate i korisnike u EU, pravila su još stroža. U ovom tekstu razdvajamo ta dva slučaja jasno, i pokazujemo šta vaša politika kolačića treba da sadrži.

Šta je kolačić i zašto je pravno relevantan?

Kolačić je mala tekstualna datoteka koja se smešta na uređaj korisnika kada poseti sajt. Postavlja je sam sajt ili treća strana s kojom sajt sarađuje, a u njoj se beleže podaci o poseti: pregledani sadržaj, izbor jezika, vreme i trajanje poseta, viđeni oglasi.

Kolačić je pravno relevantan iz dva razloga koji se preklapaju:

• Kolačić se smešta i čita sa uređaja korisnika (računara, telefona, tableta) a upravo to čuvanje i pristup podacima na uređaju uređuje Zakon o elektronskim komunikacijama.
• Kada informacija koju kolačić prikuplja predstavlja podatak o ličnosti (npr. preko online identifikatora), njeno prikupljanje i analiza jeste obrada podataka o ličnosti, što uređuje ZZPL.

Pored kolačića, isti efekat imaju i druge tehnologije praćenja: pikseli, web beacon-i, tagovi, „device fingerprinting“ i slično. Pravila se na njih primenjuju jednako, jer i one podrazumevaju čuvanje ili pristup podacima na uređaju korisnika.

Da li je za kolačiće u Srbiji potreban pristanak?

Da, za sve kolačiće osim tehnički nužnih. To izričito propisuje član 160 stav 4 Zakona o elektronskim komunikacijama („Sl. glasnik RS“, br. 35/2023), koji je domaći pravni osnov za kolačiće.

Mnogi domaći „cookie“ tekstovi pozivaju se samo na GDPR ili tvrde da srpsko pravo kolačiće ne uređuje. To nije tačno: srpsko pravo ima izričitu odredbu o kolačićima, i ona se nalazi u ZEK.

Član 160 ZEK: pravilo o pristanku

Prema članu 160 stav 4 ZEK, čuvanje podataka ili pristupanje podacima pohranjenim u terminalnoj opremi krajnjeg korisnika (računar, telefon, tablet, dakle uređaji na kojima se kolačići smeštaju) dozvoljeno je pod uslovom da:

• je korisnik dao pristanak,
• mu je prethodno pruženo jasno i potpuno obaveštenje o svrsi prikupljanja i obrade podataka, i
• mu je pružena prilika da takvu obradu odbije.

Praktično, to znači da kolačić (koji nije nužan) ne smete postaviti pre nego što korisnika jasno obavestite i pre nego što on pristane, uz to da mora imati mogućnost da kaže „ne“.

Izuzetak: nužni kolačići ne traže pristanak

Član 160 stav 5 ZEK predviđa izuzetak. Pravilo o pristanku ne sprečava tehničko čuvanje ili pristup podacima koji su isključivo u svrhu:

• obezbeđivanja komunikacije preko elektronske komunikacione mreže, ili
• pružanja usluge koju je korisnik izričito zatražio.

Odatle dolazi uobičajena i praktična podela:

Tumačenje (naše, ne izričita odredba): granicu „nužnog“ treba tumačiti usko, nužan je onaj kolačić bez kog tražena usluga tehnički ne radi, a ne onaj koji je vama koristan za analitiku ili marketing.

Kako izgleda valjan pristanak? (uloga ZZPL)

Čim kroz kolačić obrađujete podatke o ličnosti, paralelno se primenjuje i ZZPL, pre svega njegova pravila o tome kako pristanak mora da izgleda.

Po ZZPL, da bi pristanak bio valjan:

• Rukovalac mora biti u stanju da dokaže da je lice pristalo.
• Kada se pristanak daje uz izjavu koja pokriva i druga pitanja, zahtev za pristanak mora biti jasno izdvojen, razumljiv i napisan jednostavnim rečima.
• Lice ima pravo da opozove pristanak u svakom trenutku, a opoziv mora biti jednako jednostavan kao i davanje pristanka.
• Pre davanja pristanka, lice mora biti obavešteno o pravu na opoziv i njegovom dejstvu.

Tumačenje: praktično, ovo znači da rešenja tipa „nastavkom korišćenja sajta prihvatate kolačiće“ ili unapred štiklirano polje ne zadovoljavaju standard. ZEK traži da korisnik da pristanak i da mu se pruži prilika da odbije; ZZPL traži da taj pristanak bude izdvojen, nedvosmislen i lako opoziv. Pasivno „prihvatanje“ ne ispunjava ni jedno ni drugo.

Šta politika kolačića za srpski sajt mora da sadrži?

Politika kolačića je dokument kojim ispunjavate obavezu obaveštavanja iz člana 160 ZEK i obavezu transparentnog informisanja iz ZZPL. Treba da sadrži:

• Ko je rukovalac (identitet i kontakt).
• Koje kolačiće sajt koristi, podeljene na nužne i one za koje se traži pristanak.
• U koju svrhu se koriste i koji se podaci kroz njih obrađuju.
• Pravni osnov obrade.
• Da li se podaci dele s primaocima (npr. analitičke ili oglasne platforme).
• Rok čuvanja kolačića ili kriterijume za njegovo određivanje.
• Prava korisnika (pristup, ispravka, brisanje, prigovor, opoziv pristanka, pritužba Povereniku).
• Kako korisnik daje, menja i opoziva pristanak.

Šta ako sajt cilja i klijente u EU?

Čim ciljate korisnike u EU (prodaja, ciljano oglašavanje, sadržaj na jeziku EU tržišta), u igru ulazi i EU okvir koji je za kolačiće koncepcijski sličan srpskom, ali ga primenjuju EU nadzorni organi.

Napomena: sledeće opisuje pravni okvir EU. Navodimo ga jer se tiče svakog srpskog preduzetnika koji opslužuje EU klijente.

Na nivou EU, kolačiće uređuju ePrivacy direktiva (Direktiva 2002/58/EZ, sa izmenama) i GDPR. Ključno je član 5(3) ePrivacy direktive: čuvanje informacija ili pristup informacijama već smeštenim na uređaju korisnika dozvoljeno je samo ako je korisnik dao prethodni informisani pristanak, pošto mu je pružena jasna i potpuna informacija, uključujući svrhu obrade.

Kao i u srpskom pravu, i EU okvir poznaje izuzetke. Pristanak nije potreban za kolačiće koji služe isključivo prenosu komunikacije ili su strogo nužni za uslugu koju je korisnik izričito zatražio.

Paralela: Srbija i EU ukratko

Tumačenje: praktičan savet, ako već danas ciljate ili planirate EU klijente, isplati se da banner i politiku postavite po strožem (EU) standardu. Time pokrivate oba tržišta odjednom i ne morate da prepravljate sajt kasnije.

Najčešće greške koje vidimo u praksi

Sledeće je naše praktično zapažanje, ne odredba propisa:

• Kolačići se postavljaju pre pristanka – analitika i pikseli se učitaju čim korisnik otvori sajt, iako pristanak još nije dat.
• „Nastavkom korišćenja prihvatate kolačiće“ – pasivno prihvatanje umesto pristanka i mogućnosti odbijanja.
• Nema opcije „Odbij“ – samo dugme „Prihvati“, bez ravnopravne mogućnosti odbijanja.
• Generička, prevedena politika koja se poziva samo na GDPR, a ne pominje ZEK ni ZZPL.
• Sve svrstano u „nužne“ kako bi se izbegao pristanak, iako su u pitanju analitički i marketinški kolačići.

Zaključak

Politika kolačića nije univerzalni šablon koji se „nalepi“ sa tuđeg sajta. U Srbiji počiva na članu 160 ZEK (pristanak i obaveštenje za kolačiće, uz izuzetak za nužne) i na ZZPL (uslovi pristanka i prava korisnika). Za sajtove koji ciljaju EU dolazi stroži režim ePrivacy direktive i GDPR-a. Najveća greška je pretpostaviti da je svejedno pa preuzeti tuđi banner i tekst koji ne odgovaraju ni vašem tržištu ni načinu na koji vaš sajt zaista koristi kolačiće.

Često postavljana pitanja

Da li mi treba pristanak za Google Analytics u Srbiji?
Da. Analitički kolačići nisu tehnički nužni za pružanje usluge koju je korisnik zatražio, pa ne potpadaju pod izuzetak iz člana 160 stav 5 ZEK. Za njih je potreban pristanak korisnika, pre učitavanja.

Da li je „nastavkom korišćenja sajta prihvatate kolačiće“ dovoljno?
Ne. Član 160 ZEK traži da korisnik da pristanak i da ima priliku da obradu odbije, a ZZPL da pristanak bude nedvosmislen i lako opoziv. Pasivno prihvatanje kroz nastavak korišćenja ne ispunjava te uslove.

Koji kolačići ne traže pristanak?
Oni koji su tehnički nužni, isključivo radi prenosa komunikacije ili pružanja usluge koju je korisnik izričito zatražio (član 160 stav 5 ZEK). Primeri su kolačić korpe u prodavnici ili sesija prijavljenog korisnika.

Koji propis u Srbiji uređuje kolačiće?
Pre svega član 160 Zakona o elektronskim komunikacijama, koji traži pristanak za čuvanje/pristup podacima na uređaju korisnika. Paralelno se primenjuje ZZPL kad kolačić obrađuje podatke o ličnosti.

Da li smem samo da kopiram politiku kolačića sa drugog sajta?
Ne preporučuje se. Politika mora da odražava kolačiće koje baš vaš sajt koristi i da se poziva na srpske propise (ZEK i ZZPL); prevedeni šablon koji pominje samo GDPR najčešće ne odgovara ni vašem sajtu ni srpskom okviru.

Niste sigurni koji režim važi za vaš sajt i kako da postavite banner i politiku kolačića da budu usklađeni sa ZEK i ZZPL? U Digitalno Legalno analiziramo koje kolačiće vaš sajt koristi, ko su vam korisnici i izrađujemo politiku kolačića i mehanizam pristanka prilagođen baš vašem slučaju.