Politika privatnosti je obavezna za gotovo svaki sajt u Srbiji. Čim sajt ima kontakt formu, Google Analytics, newsletter, porudžbine ili ugrađenu Google mapu, on obrađuje podatke o ličnosti, a Zakon o zaštiti podataka o ličnosti (ZZPL, „Sl. glasnik RS“, br. 87/2018) traži da posetiocima jasno kažete ko ste, koje podatke prikupljate, zašto, koliko ih čuvate i koja prava imaju.
U ovom vodiču dobijate besplatan šablon politike privatnosti na srpskom, koji možete da kopirate i prilagodite. Uz njega objašnjavamo šta zakon zaista traži, kako da šablon uskladite sa alatima koje koristite i koje greške vidimo na skoro svakom drugom sajtu.
Problem je veći nego što deluje. U RXN Digitalnom indeksu 2026 pregledali smo sajtove lokalnih firmi i samo 13 od 57 dostupnih sajtova (22,8%) imalo je jasno dostupnu informaciju o privatnosti. Uzorak je lokalni i nije nacionalna statistika, ali pokazuje koliko je ovaj dokument često zaboravljen.
Napomena: Ovaj tekst je praktičan vodič, ne pravni savet. Šablon pokriva uobičajen poslovni sajt. Ako obrađujete zdravstvene podatke, podatke dece, video nadzor ili radite profilisanje, konsultujte pravnika.
Da li vaš sajt mora da ima politiku privatnosti?
Skoro sigurno da. Podatak o ličnosti je svaki podatak koji se odnosi na fizičko lice čiji je identitet određen ili odrediv. To nije samo ime i prezime: e-mail adresa, broj telefona, IP adresa i identifikator iz kolačića takođe mogu biti podaci o ličnosti.
Politika privatnosti vam treba ako sajt ima bar jedno od sledećeg:
- kontakt formu, formu za upit ili zakazivanje;
- Google Analytics, Meta Pixel, Hotjar ili drugi alat za merenje i oglašavanje;
- prijavu na newsletter;
- online prodaju, korisničke naloge ili komentare;
- ugrađene sadržaje trećih strana, kao što su YouTube video, Google mapa ili Facebook dodatak;
- chat widget ili integraciju sa CRM-om.
Čak i sajt bez ijedne forme obično nije potpuno „čist“: server na kome se nalazi beleži IP adrese posetilaca u logovima. Zato je praktičan zaključak jednostavan: ako sajt ima posetioce, treba mu politika privatnosti.
Šta politika privatnosti mora da sadrži po ZZPL-u
Sadržaj politike nije stvar stila. Član 23 ZZPL-a navodi informacije koje morate pružiti kada podatke prikupljate direktno od osobe, što je slučaj sa skoro svakom formom na sajtu.
| Obavezni element | Šta konkretno napisati |
|---|---|
| Identitet i kontakt rukovaoca | Pun naziv firme ili preduzetnika, adresa, PIB, matični broj, e-mail |
| Lice za zaštitu podataka | Kontakt, ako ste ga odredili |
| Svrha i pravni osnov obrade | Zašto obrađujete podatke i na osnovu čega (pristanak, ugovor, zakonska obaveza, legitimni interes) |
| Legitimni interes | Koji interes, ako je on pravni osnov |
| Primaoci podataka | Hosting, knjigovodstvo, kurirska služba, alati za e-mail i analitiku |
| Iznošenje iz Srbije | Da li podaci idu u druge države i uz koje mere zaštite |
| Rok čuvanja | Koliko dugo čuvate podatke ili po kom kriterijumu određujete rok |
| Prava lica | Pristup, ispravka, brisanje, ograničenje obrade, prenosivost, prigovor |
| Opoziv pristanka | Da se pristanak može povući u svakom trenutku |
| Pritužba Povereniku | Pravo na pritužbu Povereniku za informacije od javnog značaja i zaštitu podataka o ličnosti |
| Obaveznost davanja podataka | Da li je davanje podataka zakonska ili ugovorna obaveza i šta se dešava ako ih osoba ne da |
| Automatizovano odlučivanje | Da li postoji profilisanje ili odlučivanje bez učešća čoveka |
Pravni osnovi su propisani članom 12 ZZPL-a. Za tipičan sajt to su četiri osnova: izvršenje ugovora (porudžbine), zakonska obaveza (računovodstvo), legitimni interes (odgovor na upit, bezbednost sajta) i pristanak (newsletter, analitički i marketinški kolačići).
Zakon traži i da informacije budu sažete, razumljive i lako dostupne, pisane jasnim i jednostavnim rečima. Dugačak pravnički tekst koji niko ne može da pročita ne ispunjava svrhu, čak i ako formalno sadrži sve elemente.
Besplatan šablon politike privatnosti (primer za kopiranje)
Šablon ispod je pisan za uobičajen sajt firme ili preduzetnika u Srbiji: kontakt forma, analitika uz pristanak, opcionalni newsletter i opcionalna online prodaja. Sve u uglastim zagradama zamenite svojim podacima, a delove koji se ne odnose na vaš sajt obrišite.
POLITIKA PRIVATNOSTI
Poslednja izmena: [datum]
Ova politika objašnjava koje podatke o ličnosti prikuplja sajt [naziv sajta] ([adresa sajta]), u koje svrhe ih obrađujemo, s kim ih delimo i koja prava imate. Politika je pripremljena u skladu sa Zakonom o zaštiti podataka o ličnosti („Sl. glasnik RS“, br. 87/2018, u daljem tekstu: ZZPL).
1. Rukovalac podacima
Rukovalac vašim podacima o ličnosti je [pun naziv firme ili preduzetnika], [adresa], PIB: [PIB], matični broj: [MB]. Kontakt: [e-mail], [telefon]. [Ako ste odredili lice za zaštitu podataka: Lice za zaštitu podataka o ličnosti možete kontaktirati na [e-mail].]
2. Koje podatke prikupljamo
Podatke koje nam sami date: ime i prezime, e-mail adresu, broj telefona i sadržaj poruke kada nas kontaktirate putem forme, e-maila ili telefona. [Za online prodaju: adresu za isporuku, podatke o porudžbini i plaćanju.] [Za newsletter: e-mail adresu i datum prijave.]
Tehničke podatke: IP adresu, tip uređaja i pregledača i podatke iz kolačića, u skladu sa našom Politikom kolačića.
Ne prikupljamo posebne vrste podataka (na primer podatke o zdravlju ili verskim uverenjima) i molimo vas da nam ih ne šaljete.
3. Svrhe i pravni osnov obrade
Podatke obrađujemo samo kada za to postoji pravni osnov iz člana 12 ZZPL-a: radi odgovora na vaš upit (legitimni interes ili radnje pre zaključenja ugovora na vaš zahtev); radi izvršenja ugovora, odnosno obrade porudžbine, isporuke i reklamacija; radi ispunjenja zakonskih obaveza, kao što je vođenje poslovnih knjiga; i na osnovu vašeg pristanka za newsletter i kolačiće koji nisu neophodni za rad sajta. Pristanak možete opozvati u svakom trenutku, bez uticaja na zakonitost obrade pre opoziva.
4. Kolačići i analitika
Neophodne kolačiće koristimo da bi sajt radio. Analitičke i marketinške kolačiće [na primer Google Analytics, Meta Pixel] aktiviramo tek nakon vašeg pristanka, koji možete promeniti u podešavanjima kolačića. Detalje o svakom kolačiću navodimo u Politici kolačića.
5. Ko ima pristup podacima
Podatke ne prodajemo i ne iznajmljujemo. Delimo ih samo sa obrađivačima koji nam pružaju usluge neophodne za rad sajta i poslovanja, na osnovu ugovora koji ih obavezuju da štite podatke: [pružalac hostinga], [servis za e-mail ili newsletter], [knjigovodstvena agencija], [kurirska služba], [analitički servis]. Podatke dostavljamo i nadležnim organima kada nas na to obavezuje propis.
6. Iznošenje podataka iz Republike Srbije
Pojedini naši dobavljači [navedite koji, na primer Google ili servis za newsletter] mogu obrađivati podatke van Srbije. Iznošenje se vrši samo u države sa primerenim nivoom zaštite ili uz odgovarajuće mere zaštite predviđene ZZPL-om, kao što su standardne ugovorne klauzule.
7. Koliko dugo čuvamo podatke
Upite i prepisku čuvamo [na primer 12 meseci] od poslednje komunikacije. Podatke o porudžbinama i računima čuvamo u rokovima koje propisuju poreski i računovodstveni propisi. Podatke obrađivane na osnovu pristanka čuvamo do opoziva pristanka. Po isteku roka podatke brišemo ili anonimizujemo.
8. Vaša prava
Imate pravo da zatražite pristup svojim podacima, njihovu ispravku ili brisanje, ograničenje obrade i prenos podataka drugom rukovaocu, kao i pravo na prigovor na obradu zasnovanu na legitimnom interesu. Zahtev možete poslati na [e-mail]. Odgovaramo bez odlaganja, a najkasnije u roku od 30 dana od prijema zahteva.
9. Pritužba Povereniku
Ako smatrate da obrada vaših podataka nije u skladu sa zakonom, imate pravo da podnesete pritužbu Povereniku za informacije od javnog značaja i zaštitu podataka o ličnosti, Bulevar kralja Aleksandra 15, 11120 Beograd, www.poverenik.rs.
10. Da li ste obavezni da nam date podatke
Davanje podataka je dobrovoljno. Bez imena i kontakta ne možemo da odgovorimo na upit, a bez podataka za isporuku ne možemo da izvršimo porudžbinu. Ne donosimo odluke isključivo automatizovanom obradom niti vršimo profilisanje koje proizvodi pravne posledice po vas.
11. Bezbednost i izmene politike
Primenjujemo tehničke i organizacione mere zaštite, uključujući šifrovanu vezu (HTTPS), ograničen pristup i redovno ažuriranje sistema. Ovu politiku možemo menjati zbog izmena propisa ili načina rada sajta. Važeća verzija je uvek objavljena na ovoj stranici, sa datumom poslednje izmene.
Šablon je sažeta verzija strukture koju koristimo u RXN Legal Kitu, našem WordPress alatu za pravne strane. Kako izgleda kompletna, objavljena verzija možete videti na našoj politici privatnosti.
Kako da prilagodite šablon svom sajtu u 5 koraka
Kopirani šablon bez prilagođavanja je bolji od ničega, ali samo malo. Politika mora da opisuje ono što vaš sajt stvarno radi.
- Popišite sve što sajt prikuplja. Prođite kroz svaku formu, plugin i skriptu. Otvorite sajt u pregledaču, pa u alatkama za programere pogledajte koje kolačiće i spoljne skripte učitava.
- Upišite svakog dobavljača. Hosting, e-mail servis, newsletter, analitika, kurirska služba, knjigovodstvo. Svaki od njih je primalac podataka i treba da bude naveden, bar kao kategorija.
- Odredite rokove čuvanja. „Dok je potrebno“ nije rok. Napišite konkretan broj meseci ili jasan kriterijum.
- Proverite pravni osnov za svaku svrhu. Newsletter i marketinški kolačići traže pristanak. Odgovor na upit ne traži pristanak, ali ga morate pokriti drugim osnovom.
- Objavite i povežite. Politika treba da ima svoju stranicu (na primer /politika-privatnosti/), link u podnožju svake stranice i link pored svake forme koja prikuplja podatke.
Evo šta da upišete za najčešće alate na sajtovima u Srbiji:
| Alat na sajtu | Koje podatke obrađuje | Šta navesti u politici |
|---|---|---|
| Kontakt forma | Ime, e-mail, telefon, poruka | Svrha: odgovor na upit; rok čuvanja; ko vidi poruke |
| Google Analytics | IP adresa, identifikatori kolačića, ponašanje na sajtu | Pristanak; Google kao obrađivač; iznošenje van Srbije |
| Meta Pixel | Identifikatori, posećene stranice, konverzije | Pristanak; Meta kao primalac; marketinška svrha |
| Newsletter (Brevo, Mailchimp) | E-mail, ime, otvaranja i klikovi | Pristanak; kako se odjaviti; servis kao obrađivač |
| WooCommerce prodavnica | Ime, adresa, telefon, porudžbina | Ugovor i zakonska obaveza; kurir; knjigovodstvo; rokovi |
| YouTube i Google mape | IP adresa, kolačići treće strane | Pristanak ili režim bez kolačića do klika |
| Hosting i server logovi | IP adresa, vreme pristupa | Legitimni interes: bezbednost i rad sajta |
Ako imate online prodavnicu, politika privatnosti je samo jedan od dokumenata. Prodavnici trebaju i uslovi prodaje, informacije o pravu na odustanak i reklamacijama. Ako prodajete preko Instagrama, iste obaveze važe i za vas; detalje daje vodič prodaja preko Instagrama: zakon i porez.
Politika privatnosti i kolačići: da li vam trebaju dva dokumenta?
Preporučujemo dva. Politika privatnosti opisuje celu obradu podataka, a politika kolačića detaljno navodi svaki kolačić: naziv, svrhu, trajanje i ko ga postavlja. Tako politika privatnosti ostaje čitljiva, a spisak kolačića možete menjati kad god dodate novi alat.
Važnije od teksta je ponašanje sajta. Analitički i marketinški kolačići treba da se aktiviraju tek kada posetilac da pristanak. Mnogi cookie baneri na domaćim sajtovima samo prikazuju poruku, dok se Google Analytics i Pixel učitavaju odmah. To je baner koji ništa ne štiti.
Kako da za dva minuta proverite da li vaš baner zaista blokira kolačiće, tabelu kolačića za WordPress sajt i šablon politike kolačića objasnili smo u vodiču kolačići na sajtu i politika kolačića. Za blokiranje skripti do pristanka, i uz keširanje, napravili smo RXN Cookie Kit, a primer dokumenta je na našoj politici kolačića.
GDPR ili ZZPL: koji zakon važi za vaš sajt?
ZZPL je u velikoj meri usklađen sa evropskom Opštom uredbom o zaštiti podataka (GDPR), pa su pojmovi i obaveze vrlo slični. Razlika je u tome ko na koga primenjuje koji propis:
- Firma iz Srbije sa sajtom za domaće korisnike primenjuje ZZPL. Politika treba da se poziva na ZZPL, a ne samo na GDPR.
- Firma iz Srbije koja nudi robu ili usluge korisnicima u EU ili prati njihovo ponašanje na sajtu može biti obuhvaćena i GDPR-om. Tada politika treba da pokrije oba propisa.
- Strana firma koja nudi robu ili usluge licima u Srbiji može biti obuhvaćena ZZPL-om i, po pravilu, treba da odredi predstavnika u Srbiji (član 44 ZZPL-a).
Česta greška je politika prepisana sa stranog sajta koja pominje samo GDPR, „EU predstavnika“ i pravo na pritužbu „nadzornom organu u vašoj državi članici“. Za posetioca iz Srbije nadležan je Poverenik, i to treba da piše u politici.
7 najčešćih grešaka u politikama privatnosti na domaćim sajtovima
- „Korišćenjem sajta prihvatate politiku privatnosti.“ Ova rečenica stoji na stotinama domaćih sajtova i ne znači ništa. Pristanak po ZZPL-u mora biti dobrovoljan, konkretan, informisan i nedvosmislen. Samo pregledanje sajta nije pristanak.
- Tekst prepisan sa tuđeg sajta. Ponekad sa sve tuđim nazivom firme i e-mail adresom. Takav dokument opisuje tuđu obradu, ne vašu.
- Nema naziva, PIB-a i kontakta rukovaoca. Posetilac mora da zna ko obrađuje njegove podatke i kome može da se obrati.
- Nisu navedeni alati koje sajt stvarno koristi. Politika ne pominje Google Analytics, a analitika radi. Ili pominje Meta Pixel koji je uklonjen pre dve godine.
- Nema rokova čuvanja. „Čuvamo podatke dok je potrebno“ ne govori ništa.
- Unapred označeno polje za pristanak. Checkbox za newsletter koji je već čekiran nije pristanak.
- Politika postoji, ali je niko ne može naći. Nema linka u podnožju, nema linka pored forme. Upravo to smo merili u Digitalnom indeksu: kod većine sajtova informacija o privatnosti nije bila jasno dostupna.
Ko kontroliše i kolike su kazne
Nadzor nad primenom ZZPL-a vrši Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti. Poverenik postupa po pritužbama, ali može da vrši i nadzor po službenoj dužnosti.
ZZPL u članu 95 predviđa novčane kazne od 50.000 do 2.000.000 dinara za pravna lica i od 20.000 do 500.000 dinara za preduzetnike, za niz prekršaja koji uključuju i nepružanje propisanih informacija licima čiji se podaci obrađuju. Odgovorno lice u pravnom licu može biti kažnjeno posebno.
Kazna ipak nije najčešći rizik. Mnogo češće su to izgubljeno poverenje kupaca, problemi sa oglašavanjem (Google i Meta zahtevaju politiku privatnosti za određene vrste oglasa i integracija) i zahtev partnera ili investitora da pokažete da poslujete u skladu sa propisima.
Kada šablon nije dovoljan
Šablon iz ovog teksta pokriva uobičajen poslovni sajt. Potrebna vam je detaljnija politika, a često i savet pravnika, ako:
- obrađujete podatke o zdravlju (ordinacije, apoteke, fitnes i wellness sa zdravstvenim upitnicima);
- sajt koriste deca ili prikupljate podatke o maloletnicima;
- radite profilisanje ili automatizovano odlučivanje (na primer bodovanje kupaca);
- imate video nadzor ili obrađujete podatke zaposlenih;
- podatke masovno šaljete van Srbije ili koristite veliki broj integracija.
Za WordPress sajtove naših klijenata pravne strane generiše RXN Legal Kit, iz jednog podešavanja podataka o firmi: politiku privatnosti, politiku kolačića, uslove korišćenja i formu za zahteve u vezi sa podacima o ličnosti. Ako želite da proverimo šta vaš sajt stvarno prikuplja i da li se politika poklapa sa tim, to je deo našeg održavanja sajta, a možete nam pisati i preko kontakt stranice.
Često postavljana pitanja
Da li mali sajt bez online prodaje mora da ima politiku privatnosti?
Da, ako ima kontakt formu, analitiku, newsletter ili ugrađene sadržaje trećih strana. Obaveza ne zavisi od veličine firme ni od toga da li prodajete online, već od toga da li sajt obrađuje podatke o ličnosti. Skoro svaki sajt to radi.
Mogu li da kopiram politiku privatnosti sa drugog sajta?
Možete da koristite tuđu strukturu kao polaznu tačku, ali ne i tuđi sadržaj bez prilagođavanja. Politika mora da opisuje vašu firmu, vaše alate, vaše dobavljače i vaše rokove. Tekst prepisan sa drugog sajta opisuje tuđu obradu podataka.
Gde na sajtu treba da stoji politika privatnosti?
Na posebnoj stranici, sa linkom u podnožju svake stranice sajta i linkom pored svake forme koja prikuplja podatke. Posetilac mora da je nađe pre nego što pošalje podatke, ne posle.
Da li je dovoljno da politika pominje samo GDPR?
Ne, ako ste firma iz Srbije i sajt je namenjen korisnicima u Srbiji. Tada se primenjuje ZZPL i politika treba da se poziva na njega i da navede Poverenika kao nadležni organ. GDPR navodite dodatno ako ciljate korisnike u EU.
Da li Google Analytics zahteva pristanak?
Analitički kolačići nisu neophodni za rad sajta, pa ih treba aktivirati tek nakon pristanka posetioca. Google Analytics treba navesti u politici privatnosti i politici kolačića, uz informaciju da podaci mogu biti iznošeni van Srbije.
Koliko često treba ažurirati politiku privatnosti?
Svaki put kada dodate novi alat, formu ili dobavljača, i bar jednom godišnje kao redovnu proveru. Datum poslednje izmene treba da bude vidljiv na vrhu ili dnu dokumenta.
