· 8 min branja
Piškotki in GDPR: kaj mora imeti slovenska spletna stran
Kdaj potrebujete pasico o piškotkih, kdaj je sploh ne, kaj mora vsebovati politika zasebnosti in kje se slovenska podjetja najpogosteje zmotijo.
Večina slovenskih strani ima pasico o piškotkih, ki je ne potrebuje, in nima politike zasebnosti, ki jo potrebuje. Poglejmo, kaj zakon dejansko zahteva.
To besedilo je splošno pojasnilo in ne pravni nasvet. Za konkreten primer se posvetujte s pravnikom — zlasti če obdelujete zdravstvene ali finančne podatke.
Kdaj pasice NE potrebujete
Če vaša stran ne nalaga ničesar tujega — brez Google Analytics, brez vgrajenih videov, brez Facebook piksla, brez zemljevida iz tujega strežnika — potem najbrž ne uporabljate piškotkov, za katere je potrebna privolitev. Pasica v tem primeru ni obvezna in obiskovalca le moti.
Nujno potrebni piškotki (na primer tisti, ki držijo sejo v spletni trgovini) privolitve ne potrebujejo. Prijaviti jih morate v politiki zasebnosti, ne pa ustaviti obiskovalca s pasico.
Kdaj jo potrebujete
- Uporabljate Google Analytics ali katerokoli merjenje obiska.
- Imate vgrajen YouTube ali Vimeo videoposnetek.
- Imate Facebook, Instagram ali TikTok piksel.
- Imate vgrajen Google Zemljevid prek okvirja iframe.
- Uporabljate klepet v živo ali orodje za e-novice.
Kako mora pasica delovati
- Nič se ne naloži pred privolitvijo. Najpogostejša napaka: pasica je tam, Analytics pa steče že ob nalaganju strani. To je kršitev, čeprav pasica obstaja.
- Zavrnitev mora biti enako enostavna kot privolitev. Gumb „Zavrni vse“ mora biti enako viden kot „Sprejmi vse“ — ne skrit v nastavitvah.
- Privolitev mora biti preklicljiva. Nekje mora biti povezava, prek katere obiskovalec izbiro spremeni.
- Brez vnaprej obkljukanih polj. Molk ni privolitev.
Politika zasebnosti: kaj mora vsebovati
Če prek obrazca zbirate ime, e-naslov ali telefon — kar počne skoraj vsaka stran — potrebujete politiko zasebnosti. Vsebovati mora:
- kdo je upravljavec podatkov (polno ime podjetja, naslov, kontakt),
- katere podatke zbirate in zakaj,
- pravno podlago (pri povpraševanju je to običajno privolitev ali izvedba pogodbe),
- kako dolgo jih hranite,
- komu jih posredujete (gostitelj, orodje za e-pošto, računovodstvo),
- pravice posameznika: vpogled, popravek, izbris, ugovor,
- kontakt za uveljavljanje pravic in podatek o pritožbi na Informacijskega pooblaščenca.
Tri napake, ki jih vidimo najpogosteje
- Prepisana politika z druge strani. Vsebuje tuje ime podjetja. To ni le neresno, ampak neveljavno.
- Obrazec brez privolitve. Ob polju za pošiljanje mora biti jasno zapisano, čemu bodo podatki služili, in povezava do politike.
- Kontaktni podatki podjetja niso nikjer. Zakon o elektronskem poslovanju zahteva ime, sedež, matično in davčno številko na dostopnem mestu — običajno v nogi ali na strani s podatki.
Pogosta vprašanja
- Ali lahko uporabim Google Analytics brez pasice?
- Ne. Analytics postavlja piškotke, za katere je potrebna privolitev, in se ne sme naložiti, dokler je obiskovalec ne da.
- Kaj pa, če stran nima obrazca in ne meri obiska?
- Potem privolitve ne potrebujete. Kontaktne podatke podjetja pa morate kljub temu objaviti.
- Ali je globa realna?
- Za mala podjetja je pogostejši ukrep opozorilo z rokom za odpravo. Vseeno gre za nepotrebno tveganje, ki ga uredite v eni uri.