Kolačići na sajtu: šta zakon traži, šablon politike kolačića i test banera (2026)

Ako vaš sajt koristi Google Analytics, Meta Pixel, ugrađeni YouTube video ili Google mapu, po zakonu u Srbiji morate da dobijete pristanak posetioca pre nego što se ti kolačići postave. Ne posle, ne „nastavkom korišćenja sajta“, već pre. Bez pristanka smeju da rade samo kolačići koji su neophodni da sajt radi: korpa u web shopu, prijava na nalog, izbor jezika.

To pravilo nije novo iz 2026. Uveo ga je Zakon o elektronskim komunikacijama još 2023. godine, i većina domaćih sajtova ga i dalje ne poštuje. Ispod su tačan tekst zakona, šablon politike kolačića, tabela kolačića za uobičajen WordPress sajt i test kojim za dva minuta proveravate da li vaš cookie baner zaista nešto blokira.

Ukratko: Neophodni kolačići rade bez pristanka. Analitički i marketinški tek kada posetilac klikne „Prihvatam“. Odbijanje mora biti jednako lako kao prihvatanje, a pristanak mora moći da se povuče. Baner koji samo obaveštava, dok se Google Analytics učitava u pozadini, ne ispunjava zakon.

Šta su kolačići na sajtu

Kolačići (cookies) su male tekstualne datoteke koje sajt čuva u pregledaču posetioca. Pomoću njih sajt pamti korpu, prijavu ili izabrani jezik, ali i prepoznaje istog posetioca pri sledećoj poseti, meri ponašanje i prikazuje oglase.

Dve podele koje treba znati:

• Kolačići prve strane postavlja sam vaš sajt. Kolačići trećih strana postavljaju drugi servisi preko vašeg sajta: Google, Meta, YouTube, TikTok.
• Po nameni: neophodni (sajt bez njih ne radi), funkcionalni (pamte izbore korisnika), analitički (merenje posećenosti) i marketinški (praćenje radi oglašavanja).

Zakon ne gleda tehničku vrstu kolačića, već svrhu. Isti mehanizam može biti neophodan (korpa) ili zahtevati pristanak (praćenje za oglase).

Šta tačno kaže zakon

Član 160 stav 4 Zakona o elektronskim komunikacijama („Sl. glasnik RS“, br. 35/2023):

„Korišćenje elektronskih komunikacionih mreža i usluga radi čuvanja ili pristupanja podacima pohranjenim u terminalnoj opremi krajnjeg korisnika, dozvoljeno je pod uslovom da je krajnji korisnik dao svoj pristanak, nakon što mu je dato jasno i potpuno obaveštenje o svrsi prikupljanja i obrade podataka, u skladu sa zakonom kojim se uređuje zaštita podataka o ličnosti, kao i da mu je pružena prilika da takvu obradu odbije.“

„Podaci pohranjeni u terminalnoj opremi“ su upravo kolačići i slične tehnologije (local storage, pikseli). Stav 5 istog člana pravi izuzetak za tehničko čuvanje podataka koje je neophodno da bi se prenela komunikacija ili pružila usluga koju je korisnik izričito zatražio. To je zakonski osnov da neophodni kolačići rade bez pristanka.

Šta se promenilo 2023. Stari zakon (član 126 stav 3) tražio je samo obaveštenje i mogućnost da korisnik odbije, što je u praksi značilo da kolačići rade dok ih korisnik ne isključi. Novi zakon traži da je korisnik dao pristanak. Stari član je ukinut (član 180 novog zakona), pa baner sa porukom „ovaj sajt koristi kolačiće, nastavkom korišćenja pristajete“ više nije dovoljan.

Kakav pristanak. Zakon upućuje na Zakon o zaštiti podataka o ličnosti (ZZPL), koji pristanak definiše kao dobrovoljno, određeno, informisano i nedvosmisleno izražavanje volje, izjavom ili jasnom potvrdnom radnjom (član 4). Pored toga (član 15):

• morate moći da dokažete da je pristanak dat;
• povlačenje pristanka mora biti jednako jednostavno kao davanje;
• posetilac mora pre pristanka da zna da ga može povući.

Identifikatori iz kolačića i IP adrese mogu biti podaci o ličnosti (ZZPL član 4), pa se na kolačiće za analitiku i oglašavanje primenjuje i ZZPL.

Šta je nejasno. Zakon o elektronskim komunikacijama, koliko smo uspeli da proverimo, nema posebnu prekršajnu kaznu vezanu za član 160. U praksi se zato primenjuje ZZPL i nadležnost Poverenika, sa kaznama od 50.000 do 2.000.000 dinara za pravno lice i od 20.000 do 500.000 dinara za preduzetnika (član 95). Neki stručni vodiči i dalje pišu da Srbija nema posebna pravila o kolačićima, ali i oni zaključuju da je za kolačiće koji nisu neophodni u praksi potreban prethodni pristanak.

Test za dva minuta: da li vaš baner zaista blokira kolačiće

1. Otvorite sajt u privatnom prozoru pregledača (Ctrl+Shift+N u Chrome-u).
2. Ne klikćite ništa na baneru.
3. Otvorite alatke za programere (F12), karticu Application, pa Cookies i adresu vašeg sajta.
4. Potražite _ga, _ga_ i _fbp. Ako postoje pre nego što ste kliknuli bilo šta, skripte se učitavaju pre pristanka.
5. Obrišite kolačiće, osvežite stranicu i kliknite Odbij. Ako se _ga ili _fbp ipak pojave, dugme za odbijanje ne radi.

Ovaj test pada većina domaćih sajtova, često zato što je baner dodat kao dekoracija, a skripte za analitiku su ubačene direktno u temu ili preko keširanja koje baner ne vidi.

Tabela kolačića za uobičajen WordPress sajt

Ovo su kolačići koje najčešće viđamo na sajtovima u Srbiji. Trajanje proverite u alatkama za programere, jer servisi ga povremeno menjaju, a pregledači ga skraćuju.

Ugrađeni YouTube video i Google mapa postavljaju kolačiće čim se stranica učita. Rešenje je da se umesto njih prikaže slika sa dugmetom „Učitaj video“ ili „Prikaži mapu“, koja učitava sadržaj tek posle pristanka.

Šablon politike kolačića

Politika kolačića je zaseban dokument od politike privatnosti: privatnost opisuje celu obradu podataka, a politika kolačića svaki kolačić posebno. Kako izgleda politika privatnosti, sa šablonom, objasnili smo u vodiču politika privatnosti za sajt. Zamenite sve u uglastim zagradama i u tabelu upišite samo kolačiće koje vaš sajt stvarno koristi.

POLITIKA KOLAČIĆA

Poslednja izmena: [datum]

1. Šta su kolačići. Kolačići su male tekstualne datoteke koje sajt [adresa sajta] čuva u vašem pregledaču. Koristimo ih da bi sajt radio, a uz vaš pristanak i za merenje posećenosti i oglašavanje.

2. Ko ih koristi. Rukovalac podacima je [poslovno ime], [adresa], PIB [PIB], e-mail [e-mail].

3. Pravni osnov. Neophodne kolačiće koristimo bez pristanka, jer bez njih sajt ne može da pruži uslugu koju ste zatražili. Analitičke i marketinške kolačiće postavljamo samo uz vaš prethodni pristanak, u skladu sa članom 160 Zakona o elektronskim komunikacijama i Zakonom o zaštiti podataka o ličnosti.

4. Koje kolačiće koristimo. [Tabela: naziv kolačića, ko ga postavlja, svrha, trajanje, da li je potreban pristanak.]

5. Kolačići trećih strana. Pojedine kolačiće postavljaju [Google, Meta, …] kada se na sajtu učitaju njihove usluge. Ti servisi podatke obrađuju i po svojim pravilima, a podaci mogu biti preneti van Republike Srbije. Detalji su u Politici privatnosti [link].

6. Upravljanje pristankom. Pristanak dajete, menjate ili povlačite u svakom trenutku preko linka „Podešavanja kolačića“ u podnožju sajta. Povlačenje pristanka ne utiče na zakonitost obrade pre povlačenja. Kolačiće možete obrisati i u podešavanjima svog pregledača.

7. Izmene. Politiku menjamo kada dodamo ili uklonimo servis koji koristi kolačiće. Važeća verzija je uvek na ovoj stranici, sa datumom poslednje izmene.

Primer objavljenog dokumenta možete videti na našoj politici kolačića.

Sedam grešaka koje viđamo najčešće

1. „Nastavkom korišćenja sajta prihvatate kolačiće.“ Nije pristanak. Pristanak je jasna potvrdna radnja, a ne ćutanje.
2. Baner bez dugmeta „Odbij“ ili sa odbijanjem sakrivenim iza tri klika. Odbijanje mora biti jednako lako kao prihvatanje.
3. Unapred čekirana polja za analitiku i marketing. Pristanak mora biti aktivan izbor.
4. Skripte se učitavaju pre pristanka. Baner izgleda ispravno, a _ga je već u pregledaču. To je najčešća i najskuplja greška.
5. Nema načina da se izbor promeni kasnije. Link „Podešavanja kolačića“ treba da bude stalno dostupan, najčešće u podnožju.
6. Tekst koji pominje samo GDPR. Za sajt koji posluje u Srbiji nadležni su domaći zakoni i Poverenik.
7. Prepisana politika koja nabraja kolačiće koje vaš sajt ne koristi, a izostavlja one koje koristi.

Google Consent Mode: da li vam treba u Srbiji

Google-ova pravila o pristanku izričito se odnose na posetioce iz Evropskog ekonomskog prostora, Velike Britanije i Švajcarske, a Srbija se ne pominje. Consent Mode vam ipak treba ako sajt posećuju korisnici iz EU ili ako koristite Google Ads sa remarketingom i konverzijama.

Consent Mode šalje Google-u četiri signala: ad_storage, analytics_storage, ad_user_data i ad_personalization. U osnovnom režimu Google oznake se ne učitavaju dok posetilac ne odgovori na baner. U naprednom se učitavaju sa podrazumevanim odbijanjem i šalju podatke bez kolačića. Za sajt koji cilja samo Srbiju, osnovni režim je najjednostavniji način da se uskladi i sa domaćim zakonom.

Šta dolazi: nacrt novog Zakona o zaštiti podataka o ličnosti

Ministarstvo pravde je od 30. jula do 10. septembra 2026. sprovelo javnu raspravu o nacrtu novog Zakona o zaštiti podataka o ličnosti. Ovo je nacrt, ne usvojen zakon, i tekst se može promeniti. Za kolačiće su bitne dve stvari iz nacrta:

• najniže kazne bi se povećale: za pravno lice i za preduzetnika bi počinjale od 200.000 dinara, umesto sadašnjih 50.000 i 20.000;
• pristanak bi mogao da se da i „konkludentnom radnjom“, što je nova formulacija u odnosu na važeći zakon.

Stručnjaci već upozoravaju da će baneri za kolačiće i forme na sajtovima morati da se usklade kada zakon bude usvojen. Tekst ćemo ažurirati kada se to desi.

Primer koji daje sam Poverenik

Sajt Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti koristi samo tri neophodna kolačića, nema Google Analytics ni Meta Pixel, i zato nema ni klasičan baner za pristanak. To je dobar podsetnik: najjednostavniji način da budete usklađeni je da ne koristite kolačiće koji vam ne trebaju.

Kada vam treba alat, a ne samo tekst

Politika kolačića je tekst. Pristanak je ponašanje sajta. Ako se skripte učitavaju pre klika, nijedan tekst ne pomaže. Na WordPress sajtovima naših klijenata to rešava RXN Cookie Kit: blokira skripte do pristanka, radi i uz keširanje stranica (WP Rocket, Cloudflare) i vodi popis kolačića koji je stvarno proveren na sajtu. Ako niste sigurni šta vaš sajt postavlja, provera je deo našeg održavanja sajta.

Napomena: Tekst je praktičan vodič, ne pravni savet. Citati zakona preuzeti su iz Zakona o elektronskim komunikacijama („Sl. glasnik RS“, br. 35/2023) i Zakona o zaštiti podataka o ličnosti („Sl. glasnik RS“, br. 87/2018). Stanje propisa provereno je 10. oktobra 2026.

Često postavljana pitanja

Da li moj sajt mora da ima cookie baner?

Ako koristi bilo koji kolačić koji nije neophodan za rad sajta (Google Analytics, Meta Pixel, ugrađeni YouTube ili Google mapu), mora da traži pristanak pre postavljanja tih kolačića, a baner je uobičajen način. Sajt koji koristi samo neophodne kolačiće baner ne mora da ima, ali kolačiće treba da opiše.

Koji kolačići ne zahtevaju pristanak?

Oni koji su neophodni da bi se pružila usluga koju je korisnik izričito zatražio: korpa u web shopu, prijava na nalog, bezbednost forme, izabrani jezik i pamćenje samog izbora o kolačićima.

Da li Google Analytics zahteva pristanak u Srbiji?

Da. Analitički kolačići nisu neophodni za rad sajta, pa po članu 160 Zakona o elektronskim komunikacijama smeju da se postave tek kada posetilac da pristanak.

Da li je dovoljno da piše „korišćenjem sajta prihvatate kolačiće“?

Ne. Od 2023. zakon traži pristanak, a pristanak po Zakonu o zaštiti podataka o ličnosti mora biti dat izjavom ili jasnom potvrdnom radnjom, ne nastavkom korišćenja sajta.

Da li mi treba posebna politika kolačića pored politike privatnosti?

Zakon ne propisuje poseban dokument, ali je praktično rešenje. Politika privatnosti opisuje celu obradu podataka, a politika kolačića svaki kolačić sa nazivom, svrhom i trajanjem, i lakše se ažurira kada dodate novi alat.

Kolika je kazna za kolačiće bez pristanka?

Po Zakonu o zaštiti podataka o ličnosti, obrada bez pristanka koji se može dokazati kažnjava se sa 50.000 do 2.000.000 dinara za pravno lice i 20.000 do 500.000 dinara za preduzetnika. Nacrt novog zakona predviđa više najniže kazne.

Izvori: Zakon o elektronskim komunikacijama („Sl. glasnik RS“, br. 35/2023), Zakon o zaštiti podataka o ličnosti, Paragraf: nacrt novog ZZPL, Google: pravila o pristanku korisnika, Google: Consent Mode, Poverenik: politika kolačića.