Cookiebot i GDPR za hrvatske stranice: što morate imati

GDPR kazne mogu doseći 20 milijuna eura ili 4% globalnog prometa: što god je veće. Za malu hrvatsku firmu to znači gašenje firme. AZOP (Agencija za zaštitu osobnih podataka) pojačava inspekcije u 2026., i većina hrvatskih web stranica nije usklađena, uglavnom zato što je to “skupo i komplicirano”.

Realnost: nije ni skupo ni komplicirano. Standardna postavka za malu firmu košta 6–40 €/mj i traje 2 sata za implementaciju. Ovaj vodič je realan vodič, što AZOP traži, kako Cookiebot rješava, što s analytics i marketing kolačićima u 2026.

1. AZOP: što stvarno traži

AZOP je hrvatsko nadzorno tijelo za GDPR. Direktno provodi inspekcije i izriče kazne. Nije EU institucija, to je hrvatska agencija.

Što AZOP eksplicitno zahtijeva za web stranice

1. Politika privatnosti: javno dostupna, jasno označena, u podnožju stranice
2. Obavijest o kolačićima: banner pri prvom posjetu
3. Mogućnost odbijanja: korisnik mora moći reći NE prije nego što se postavlja bilo koji ne-neophodan kolačić
4. Granularan pristanak: ne smije se nuditi samo “Prihvati sve” bez “Odbij sve”
5. Vidljiv opt-out: link u podnožju za promjenu pristanka

Što AZOP zabranjuje

• “Cookie wall”: gdje korisnik mora prihvatiti da bi koristio stranicu
• Pre-checked boxes: kolačići aktivni prije nego što korisnik pritisne “Prihvati”
• Nejasno označavanje: “kolačići za poboljšanje iskustva” bez detalja
• Forsiranje pristanka: gdje “Odbij” gumb skriven ili otežan

Kategorije kolačića po GDPR-u

1. Strogo neophodni (functional): login, košarica, security. Ne traže pristanak.
2. Postavke (preferences): jezik, valuta, izgled. Traže pristanak.
3. Statistika (analytics): GA, Hotjar. Traže pristanak.
4. Marketing: Meta pixel, Google Ads, retargeting. Traže pristanak.

2. Cookiebot: što je i zašto najpopularniji

Cookiebot (vlasnik Usercentrics) je Consent Management Platform (CMP): alat koji upravlja kolačićima i pristankom.

Što radi

1. Skenira vašu stranicu automatski (svaki mjesec)
2. Identificira sve kolačiće koje stranica koristi
3. Kategorizira ih po pravilima GDPR-a
4. Prikazuje banner s opcijama pristanka
5. Pamti odluku korisnika i poštuje je
6. Generira audit log za AZOP inspekciju

Cijene

• Free plan: do 50 podstranica, brand Cookiebot vidljiv
• Premium Small: od ~6 GBP (~7 €) po domeni mjesečno, do 50 podstranica
• Premium Medium: od ~15 GBP (~17 €), do 100 podstranica
• Premium Large: od ~78 GBP (~92 €), preko 7.000 podstranica

Za prosječnu hrvatsku malu firmu (do 50 podstranica): 7 €/mj.

Alternative

• CookieYes: jeftiniji (od 5 €/mj), ali manje robustan
• Iubenda: od 27 €/godišnje, manje fleksibilan
• OneTrust: enterprise, od 1.500 €/mj
• Regula Consent: hrvatski CMP, dobar za lokalne usluge

Za većinu hrvatskih MSP-a, Cookiebot Premium Small je najbolji omjer cijene i funkcionalnosti.

3. Praktična postavka: 2 sata rada

Korak 1: Registracija (5 min)

Idite na cookiebot.com → kreirajte račun → dodajte domenu.

Korak 2: Prvo skeniranje (10 min)

Cookiebot automatski skenira stranicu. Lista kolačića se pojavljuje s kategorijama. Provjerite da je sve točno označeno (npr. Google Analytics → Statistika, Facebook Pixel → Marketing).

Korak 3: Konfiguracija banner-a (15 min)

• Jezik: Hrvatski (Cookiebot ima HR prevod)
• Pozicija: dno stranice, ne overlay koji blokira sadržaj
• Opcije: minimum “Prihvati sve”, “Odbij sve”, “Postavke”
• Logo i boje: prilagodite vašem brendu

Korak 4: Integracija s Google Tag Managerom (30 min)

Cookiebot ima službenu integraciju s GTM-om. Što napraviti:

1. U GTM-u dodajte Cookiebot tag (Tag Template iz Galerije)
2. Sve marketinške tagove (Meta pixel, GA, Google Ads) postavite na Consent Mode V2
3. Tagovi se aktiviraju samo ako korisnik prihvati relevantnu kategoriju

Korak 5: Politika privatnosti (45 min)

Cookiebot generira sekciju o kolačićima koja se može uklopiti u vašu politiku privatnosti. Plus, trebate:

• Tko ste vi (firma, OIB, kontakt)
• Što prikupljate (osobni podaci, ne samo kolačići)
• Zašto prikupljate
• Komu šaljete (ad platforme, hosting, analitika)
• Koliko čuvate
• Prava korisnika (pristup, brisanje, prigovor)
• AZOP kao nadzorno tijelo

Korak 6: Test (15 min)

• Otvorite stranicu u incognito modu
• Provjerite da banner se pojavljuje
• Test “Odbij sve”: provjerite da GA i Meta pixel ne učitavaju
• Test “Prihvati sve”: provjerite da svi tagovi rade

4. Consent Mode V2: što je novo

Google je u 2024. zahtijevao implementaciju Consent Mode V2 za sve oglase u EU. Bez toga, Google Ads izvještavanje i Meta CAPI ne rade točno.

Što Consent Mode V2 radi

Šalje signale pristanka ad platformama:

• ad_storage: da li korisnik dopušta kolačiće za oglase
• ad_user_data: da li dopušta dijeljenje osobnih podataka
• ad_personalization: da li dopušta personalizirane oglase
• analytics_storage: da li dopušta analitiku

Što napraviti

U GTM-u, postavite:

1. Default consent state prije Cookiebot učitavanja (sve “denied”)
2. Update consent state kad Cookiebot daje signal (na osnovu izbora korisnika)
3. Svi marketinški tagovi povezani s odgovarajućim consent state-om

Cookiebot ovo automatski radi ako koristite njihovu GTM integraciju. Bez Consent Mode V2 vaše Ads kampanje gube 20–40% konverzijskih signala.

5. Što s analitikom za korisnike koji odbiju

Velika dilema: ako većina korisnika odbije marketing kolačiće, kako uopće mjeriti?

Rješenje 1: Google Analytics 4 s Consent Mode

GA4 može raditi bez kolačića za korisnike koji odbiju, koristi agregirane signale (browser fingerprinting na koji su pristali kao “nužno”). Točnost niža (60–80% korisnika ulazi u podatke vs 95%+ ranije), ali GA4 koristi machine learning da popuni gap.

Rješenje 2: Server-side tracking

Kao u prethodnom članku, server-side tracking + Consent Mode V2 = bolji rezultati nego klasično postavljanje. Stape automatski poštuje consent state.

Rješenje 3: Privacy-first analytics

Alternative GA-u koje ne trebaju pristanak za osnovne metrike:

• Plausible: open source, 9 €/mj
• Fathom: 14 €/mj
• Simple Analytics: 19 €/mj

Manje funkcionalnosti od GA-a, ali rade za sve posjete bez consent banner-a (jer ne koriste kolačiće).

6. Najveće greške hrvatskih stranica

Iz audita 100+ hrvatskih web stranica u zadnjih 18 mjeseci:

1. Nema banner-a

Stranica koristi Google Analytics i Meta pixel, ali nema cookie banner. Direktan GDPR prekršaj. Vjerojatnost AZOP inspekcije: niska, ali kazna ako se dogodi: 500–10.000 € za malu firmu.

2. Banner postoji, ali kolačići se učitavaju prije pristanka

Najčešća greška. Banner se prikaže, ali Meta pixel i GA su već učitani u sekundi prije nego što korisnik klikne. Tehnički prekršaj.

Rješenje: ovo Cookiebot rješava automatski kad je ispravno integriran s GTM-om.

3. Bez “Odbij sve” gumba

Samo “Prihvati sve” + “Postavke”. Korisnik mora kliknuti 2–3 puta da odbije. AZOP je u 2024. eksplicitno zabranio.

Rješenje: Cookiebot ima opciju “Odbij sve” gumba u default postavkama.

4. Politika privatnosti iz 2018.

Stranica je promijenjena, dodani novi alati, ali politika privatnosti je iz 2018. Ne navedu se novi alati, GDPR-ov “right to be forgotten” mehanizam ne postoji.

Rješenje: politiku privatnosti aktualizirajte minimum jednom godišnje.

5. Bez log-a pristanka

AZOP u inspekciji traži log: dokaz da ste dobili pristanak korisnika. Bez log-a nema dokaza.

Rješenje: Cookiebot automatski čuva log za 12 mjeseci na njihovim serverima.

6. Pogrešna kategorizacija

Stranica označi Meta pixel kao “Statistika” umjesto “Marketing”. Korisnik koji odbije marketing ali prihvati statistiku, ipak će se tračkati.

Rješenje: Cookiebot automatski klasificira na temelju baze poznatih kolačića. Provjerite kvartalno.

7. Što ako vas AZOP nazove

Rijetko, ali događa se. Tipičan scenarij:

1. Konkurent ili nezadovoljan korisnik prijavi vas
2. AZOP šalje e-mail s pitanjima
3. Vi imate 30 dana za odgovor
4. AZOP provjerava odgovor, eventualno inspekcija

Što morate imati spremno

• Log pristanka (Cookiebot generira)
• Politika privatnosti s datumom posljednje izmjene
• Cookie deklaracija (Cookiebot generira)
• Dokaz tehničke implementacije: screenshot banner-a, konfiguracija GTM-a
• Audit za GA / Meta: dokaz da se ne učitava prije pristanka

Što izbjegavati u odgovoru

• “Nismo znali da treba”: ne pomaže, AZOP-u svi su odgovorni za samostalno usklađivanje
• Lažne tvrdnje: ako kažete da imate sustav, mora se dokazati
• Ignoriranje roka: automatska kazna

8. Tipičan trošak usklađenosti za hrvatsku malu firmu

Sami

• Cookiebot Premium Small: 7 €/mj = 84 €/god
• Vlastiti rad postavke: 2–4 sata
• Politika privatnosti (šablon + dopune): besplatno (s online generatorom)
• Ukupno prvi godina: 84 € + vrijeme

S agencijom

• Cookiebot Premium Small: 7 €/mj
• Implementacija (jednom): 200–500 €
• Politika privatnosti i pravni dokumenti: 200–600 €
• Audit kvartalno: 100 €/kvartal
• Ukupno prvi godina: 1.300–2.500 €

Bez ikakvog rješenja

• Trošak GDPR kazne ako se dogodi inspekcija: 500–10.000 €
• Reputacijski rizik: mjerljiv u izgubljenim klijentima
• Realna ekonomija: Cookiebot se isplati u jednom GDPR slučaju

Kratak zaključak

GDPR usklađenost u 2026. nije više opcionalna za hrvatske web stranice. AZOP pojačava inspekcije, kazne se povećavaju, i Consent Mode V2 utječe direktno na vaš Ads performans (manje signala = lošija optimizacija).

Što napraviti u sljedećih 7 dana:

1. Dan 1: Cookiebot račun (5 min)
2. Dan 2: Prvi skenir + konfiguracija banner-a (30 min)
3. Dan 3: GTM integracija s Consent Mode V2 (1h)
4. Dan 4–5: Politika privatnosti aktualizirana
5. Dan 6: Test cijelog postavljanja
6. Dan 7: Mjesečni audit alarm postavljen

Trošak: 7 €/mj + 2–4 sata rada (sami) ili 500–1.000 € (s agencijom). Mirno spavanje: neprocjenjivo.

Ako vas zanima konkretan audit vaše stranice, provjeravamo Cookiebot postavku, Consent Mode V2, politiku privatnosti, log pristanka. Trajanje 60 minuta, rezultat, punu listu što treba popraviti.