Pravo · 7. studenoga 2026. · 4 min čitanja
§ 25 TDDDG: kolačići i praćenje u Njemačkoj
§ 25 TDDDG (ranije TTDSG) uređuje kolačiće i skripte: kada je potrebna privola, koje iznimke vrijede i što to znači za analitičke alate.
Tko u Njemačkoj pogoni web stranicu, kod teme kolačića nailazi na § 25 TDDDG. Propis se u svakodnevnom govoru često još naziva „TTDSG paragraf“ i razlog je zašto postoje cookie banneri. Ovaj članak objašnjava što uređuje, kada vrijedi, koje iznimke postoje i što to znači za analitičke i marketinške skripte.
Iz TTDSG-a je nastao TDDDG
Pravilo vrijedi od 1. prosinca 2021. i isprva je stajalo u njemačkom Zakonu o zaštiti podataka u telekomunikacijama i telemedijima (TTDSG). Od 14. svibnja 2024. zakon se zove Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), odnosno Zakon o zaštiti podataka u telekomunikacijama i digitalnim uslugama. Preimenovanje nije promijenilo ništa u sadržaju § 25. Zakon nalazite na gesetze-im-internet.de.
Što zahtijeva § 25 st. 1
Prema tekstu, pohrana informacija u terminalnoj opremi krajnjeg korisnika ili pristup informacijama koje su ondje već pohranjene dopušteni su samo ako je krajnji korisnik dao privolu na temelju jasnih i sveobuhvatnih informacija. Informiranje i privola moraju biti u skladu s GDPR-om.
Tri su stvari važne:
- Riječ je o uređaju, a ne o osobnim podacima. Pravilo vrijedi i kad na kraju ne nastaju nikakvi osobni podaci. Pravna osnova za kasniju obradu je drugo pitanje. Kako su oba koraka provjere povezana, stoji u Prepoznavanje posjetitelja i GDPR: trijezna procjena.
- Riječ je o više od kolačića. I lokalna pohrana preglednika (localStorage, sessionStorage) jest pohrana u terminalnoj opremi. Čitanje informacija o uređaju skriptom može biti pristup.
- Privola mora biti aktivna. To je Sud EU-a u vezi s kolačićima odlučio već 2019. Unaprijed označena kvačica nije dovoljna (Sud EU-a, C-673/17, Planet49).
Iznimke u stavku 2
Privola Vam nije potrebna u dva slučaja:
- Prijenos poruke (br. 1). Isključiva svrha je prijenos poruke preko javne telekomunikacijske mreže.
- Bezuvjetno potrebno (br. 2). Pohrana ili pristup bezuvjetno su potrebni da bi pružatelj mogao staviti na raspolaganje digitalnu uslugu koju je korisnik izričito zatražio.
Druga iznimka tumači se usko. Konferencija za zaštitu podataka (Datenschutzkonferenz, DSK), udruženje njemačkih nadzornih tijela, u svojim je smjernicama za telemedije prikupila primjere. U pravilu bez prethodne privole prolazi ono što sama web stranica treba da bi funkcionirala, primjerice košarica, prijava ili pohrana odluke o kolačićima. Odvagivanje interesa prema čl. 6. st. 1. točki f GDPR-a ne pretvara skriptu za praćenje u bezuvjetno potrebnu funkciju. Mjerenje dosega i statistiku tijela u pravilu ne ubrajaju ovamo. To je linija nadzora, sud u pojedinačnom slučaju može presuditi drugačije.
Posljedice za analitičke i marketinške skripte
Za praksu proizlazi jednostavno okvirno pravilo: čim skripta u pregledniku nešto pohrani ili iz preglednika pročita, a to nije potrebno za prikaz stranice, prethodno trebate privolu.
| Alat | Pristup uređaju? | Privola prema § 25 |
|---|---|---|
| Fontovi i slike s vlastitog poslužitelja | Ne | Nije potrebna |
| Kolačić košarice | Da, ali potrebno | Nije potrebna (br. 2) |
| Web analitika s kolačićem ili identifikatorom uređaja | Da | U pravilu potrebna |
| Oglašivački pikseli i pikseli za retargeting | Da | Potrebna |
| Toplinske karte i snimanje miša | Da | U pravilu potrebna |
Tehnički to znači: skripta se smije učitati tek nakon što posjetitelj pristane na odgovarajuću kategoriju. Banner koji samo informira, a skripte ipak odmah učitava, ne ispunjava pravilo. Kako to izgleda pri ugradnji preko upravitelja oznaka, opisuje pomoć o privoli u upravitelju oznaka. O videozapisima miša više čitajte u Session replay i zaštita podataka: kako ispravno koristiti videozapise miša.
Što prijeti pri kršenjima
Tko pohranjuje ili pristupa suprotno § 25 st. 1 rečenici 1., prema § 28 st. 1 br. 13 TDDDG čini prekršaj. Novčana kazna prema § 28 st. 2 može iznositi do 300.000 eura. Uz to obrada prema GDPR-u može imati vlastite posljedice. To kontroliraju nadzorna tijela za zaštitu podataka.
Kako to rješavaju Austrija i Švicarska
Pravilo potječe iz ePrivacy direktive (čl. 5. st. 3.). Austrija ga provodi u § 165 st. 3 TKG 2021, više o tome u Kolačići u Austriji: § 165 TKG 2021 objašnjen. Švicarska ide drugim putem, što možete pročitati u Praćenje web stranice u Švicarskoj: revDSG i FMG.
Često postavljana pitanja
Vrijedi li § 25 TDDDG i za zapisnike poslužitelja? Ne, ne za ono što poslužitelj ionako prima pri pozivu stranice. Propis se primjenjuje na pohranu na uređaju i na pristup onome što je ondje pohranjeno. Spada li IP adresa pri pozivu pod GDPR, zasebno je pitanje koje obrađuje IP adresa i GDPR: je li osobni podatak?.
Trebam li privolu za puko mjerenje dosega? Prema stajalištu njemačkih nadzornih tijela u pravilu da, ako se pritom pristupa uređaju. Mjerenje dosega ne smatra se bezuvjetno potrebnim.
Je li dovoljno skratiti trajanje kolačića? Ne. Trajanje ne mijenja pitanje pohranjuje li se ili čita. Odlučujuća je svrha pristupa.
