Novi Zakon o zaštiti ličnih podataka objavljen je u „Službenom glasniku BiH“ broj 12/25 i usklađuje naša pravila s evropskom Općom uredbom o zaštiti podataka (GDPR). Primjenjuje se od 4. oktobra 2025. Nadzor vrši Agencija za zaštitu ličnih podataka u BiH, a zakon predviđa visoke novčane kazne i za firmu i za odgovorno lice.
Za web stranicu to nije apstraktna tema. Svaka kontakt forma, newsletter, Google Analytics, ugrađena mapa ili video prikupljaju neki lični podatak — makar IP adresu. Ovaj vodič pokazuje šta da provjerite i kako to tehnički riješiti.
Kratak odgovor
Stranica treba imati jasnu politiku privatnosti, forme koje traže samo potrebne podatke, pristanak prije učitavanja analitike i marketinških alata, HTTPS i ugovore s dobavljačima koji obrađuju podatke za vas (hosting, email, newsletter). Zakon daje rok od dvije godine od stupanja na snagu za usklađivanje obrade koja je već postojala, ali nove forme i alate treba odmah raditi po novim pravilima.
Šta se smatra ličnim podatkom na stranici
Lični podatak je svaka informacija po kojoj se osoba može identifikovati, direktno ili posredno. Na web stranici to su najčešće:
- ime, email i telefon iz kontakt forme, narudžbe ili prijave za newsletter;
- IP adresa i identifikatori u kolačićima koje koriste analitika i oglasi;
- podaci o ponašanju posjetioca (koje stranice gleda, odakle dolazi) kad se povezuju s određenom osobom ili uređajem;
- podaci iz prijava za posao, zakazivanja termina ili korisničkih naloga.
Politika privatnosti: šta mora sadržavati
Zakon traži da osobu informišete jasno i razumljivo u trenutku prikupljanja podataka. Politika privatnosti treba navesti najmanje:
- ko ste vi (naziv firme, adresa, kontakt) i kontakt službenika za zaštitu podataka ako ga imate;
- koje podatke prikupljate i u koje svrhe;
- pravni osnov za svaku svrhu — npr. odgovor na upit, izvršenje narudžbe, zakonska obaveza ili pristanak;
- kome se podaci dostavljaju (hosting, email servis, kurirska služba, knjigovodstvo) i da li se prenose izvan BiH;
- koliko dugo se podaci čuvaju;
- prava osobe: pristup, ispravka, brisanje, ograničenje, prigovor, prenosivost i povlačenje pristanka;
- pravo na prigovor Agenciji za zaštitu ličnih podataka.
Na zahtjeve osoba treba odgovoriti u roku od 30 dana. Politika ne smije biti kopija tuđeg teksta — mora opisivati ono što vaša stranica zaista radi.
Kontakt forme i newsletter
- Tražite samo ono što vam treba. Za upit su obično dovoljni ime, email i poruka. Telefon neka bude neobavezan.
- Kratka napomena uz formu sa svrhom i linkom na politiku privatnosti.
- Pristanak samo gdje je on osnov. Za odgovor na upit ne treba vam kvačica „slažem se“ — obrađujete podatke da biste odgovorili na zahtjev. Za newsletter treba poseban pristanak koji nije unaprijed označen i koji se može lako povući.
- Možete dokazati pristanak — sačuvajte kada je i kako dat, i za newsletter koristite potvrdu putem emaila.
Kolačići, analitika i ugrađeni sadržaj
Kolačići i slični identifikatori kojima se prati posjetilac predstavljaju obradu ličnih podataka. U praksi:
| Vrsta | Primjer | Šta uraditi |
|---|---|---|
| Neophodni | Korpa, odabrani jezik, zaštita forme | Opisati u politici; pristanak obično nije potreban |
| Analitika | Google Analytics | Učitati tek nakon pristanka ili koristiti analitiku bez kolačića |
| Marketing | Meta Pixel, Google Ads | Samo uz pristanak |
| Ugrađeni servisi | YouTube video, Google mapa, fontovi s Googleovih servera | Učitati na klik ili hostovati lokalno |
Baner za kolačiće treba ponuditi odbijanje jednako lako kao prihvatanje. Baner koji samo kaže „koristimo kolačiće“ dok se analitika već učitava ne rješava ništa. Fontove je najbolje hostovati na vlastitom serveru — stranica je tada i brža, što je objašnjeno u vodiču zašto je web stranica spora.
Dobavljači koji obrađuju podatke za vas
Hosting, email servis, alat za newsletter, CRM ili sistem za zakazivanje obrađuju podatke u vaše ime. S njima treba imati ugovor ili uslove korištenja koji uređuju obradu podataka, i znati u kojoj državi se podaci čuvaju. Zakon posebno uređuje prenos podataka izvan BiH, pa prednost dajte servisima koji jasno navode gdje i kako čuvaju podatke.
Sigurnost i curenje podataka
- HTTPS na cijeloj stranici i redovne sigurnosne kopije.
- Ažurirani sistem i dodaci — većina provala na male stranice dolazi kroz zastarjele pluginove.
- Pristup administraciji samo osobama kojima treba, uz dvofaktorsku prijavu.
- Plan za incident: povredu podataka treba prijaviti Agenciji u roku od 72 sata od saznanja, osim ako ne predstavlja rizik za prava osoba.
Lista za provjeru vaše stranice
- Postoji ažurna politika privatnosti, dostupna iz podnožja svake stranice.
- Forme traže samo potrebne podatke i imaju napomenu s linkom na politiku.
- Analitika i marketinški alati se ne učitavaju prije pristanka.
- Video i mape se učitavaju tek na klik ili se koriste lokalno hostovani resursi.
- Stranica radi isključivo preko HTTPS-a.
- Znate gdje se čuvaju poruke s forme i koliko dugo.
- Imate pristup i kopije svih podataka, a ne samo vaš izvođač.
Javne institucije, zdravstvene ustanove i firme koje obrađuju osjetljive podatke imaju dodatne obaveze, poput imenovanja službenika za zaštitu podataka. Ako radite s pacijentima, pogledajte i vodič online zakazivanje termina.
Napomena
Ovaj vodič opisuje tehničko usklađivanje web stranice i nije pravni savjet. Za tumačenje zakona u vašem slučaju konsultujte pravnika ili Agenciju za zaštitu ličnih podataka u BiH.
Želite provjeriti svoju stranicu?
Pregledam forme, kolačiće, analitiku i ugrađene servise na vašoj stranici i dobijete listu tehničkih izmjena za usklađivanje. Pošaljite adresu stranice.
Engimotive · Objavljeno 28. oktobra 2026.