Kako novi Zakon o zaštiti ličnih podataka utiče na vlasnike web shopova u BiH

Napomena: ovo nije pravni savjet. Tekst se oslanja na Zakon o zaštiti ličnih podataka („Službeni glasnik BiH“, br. 12/25) i naše iskustvo s tehničkim podešavanjem web shopova. Pravne dokumente za svoj shop neka pregleda pravnik.

Ovaj članak je proširena verzija našeg teksta „Kako novi Zakon o zaštiti ličnih podataka u BiH utiče na vlasnike web shopova“ iz septembra 2025. Opći pregled zakona, datume i sve kazne naći ćete u tekstu šta donosi novi Zakon o zaštiti ličnih podataka. Ovdje se bavimo samo time šta treba promijeniti na samom web shopu.

Zašto se zakon tiče i najmanjeg web shopa

Svaka narudžba sadrži ime, adresu, telefon i email kupca, a svaka posjeta ostavlja IP adresu i kolačiće. To su lični podaci, pa zakon važi za web shop s pet narudžbi mjesečno jednako kao za veliku trgovinu. Kazne idu do 40.000.000 KM ili 4 % prometa, a odgovorna osoba plaća od 5.000 do 70.000 KM.

Realan rizik za mali shop nije maksimalna kazna, nego tri češće situacije: kupac koji se žali Agenciji jer dobija newsletter na koji se nije prijavio, procurjela baza zbog nezaštićenog dodatka u WooCommerceu, i banka ili procesor plaćanja koji odbija kartično plaćanje dok shop nema urednu politiku privatnosti. Sve tri se rješavaju istim mjerama.

Mapa podataka: šta vaš web shop zaista prikuplja

Prvi korak je lista svih mjesta gdje shop prikuplja ili šalje podatke: forma za narudžbu, korisnički nalog, newsletter, kontakt forma, chat, analitika, oglasni pikseli, kurir, procesor plaćanja i knjigovođa. Za svako mjesto upišite podatke, svrhu, pravni osnov i rok čuvanja. Ta tabela je ujedno i osnova politike privatnosti.

Gdje	Podaci	Svrha	Pravni osnov
Narudžba	ime, adresa, telefon, email	isporuka i komunikacija o narudžbi	izvršenje ugovora
Račun	ime, iznos, datum	fiskalne i knjigovodstvene obaveze	zakonska obaveza
Korisnički nalog	email, lozinka (hash), historija narudžbi	brža kupovina	ugovor ili saglasnost
Newsletter	email, ime	promotivne poruke	saglasnost
Google Analytics	IP, ID kolačića, ponašanje na sajtu	analitika	saglasnost
Meta Pixel, Google Ads	ID kolačića, događaji kupovine	oglašavanje i remarketing	saglasnost
Kurirska služba	ime, adresa, telefon, iznos pouzeća	dostava i naplata	izvršenje ugovora
Procesor plaćanja	podaci o kartici (kod procesora), iznos	naplata	izvršenje ugovora

Ako koristite procesor plaćanja kao što su Monri ili WSPay s preusmjeravanjem na njihovu stranicu za plaćanje, brojevi kartica ne prolaze kroz vaš server. To je velika prednost i za sigurnost i za usklađenost, pa ne pristajte na rješenja koja traže unos kartice direktno na vašem shopu bez potrebe.

Pravni osnov: ugovor za isporuku, saglasnost za marketing

Za isporuku narudžbe ne trebate saglasnost kupca jer je osnov izvršenje ugovora (član 8). Saglasnost trebate za newsletter, marketinške kolačiće i remarketing. Mnogi shopovi stave obavezan checkbox „slažem se s obradom podataka“ na checkout, što je pogrešno i zbunjuje kupce.

• Checkout: checkbox za prihvatanje uslova kupovine je u redu, ali uz njega stoji link na politiku privatnosti kao informacija, ne kao saglasnost.
• Newsletter: poseban checkbox, nikad unaprijed označen, s jasnim tekstom šta će kupac dobijati.
• Recenzije: ako objavljujete ime kupca uz recenziju, recite to jasno prije slanja.
• Račun i knjigovodstvo: podaci se čuvaju koliko propisuju porezni i računovodstveni propisi, i kada kupac traži brisanje.

Politika privatnosti koja odgovara vašem shopu

Politika privatnosti mora sadržavati informacije iz člana 15: ko ste, koje podatke obrađujete, zašto i na kojem osnovu, kome ih dajete, da li ih prenosite van BiH, koliko ih čuvate, koja prava kupac ima i kako se obraća vama i Agenciji. Šablon s drugog sajta skoro nikad ne navodi vaše stvarne primaoce.

• puni naziv firme, adresa, ID broj i email za pitanja o podacima;
• lista svrha i pravnih osnova (možete preuzeti iz mape podataka iznad);
• imena kategorija primalaca: kurirska služba, procesor plaćanja, hosting, alat za email, knjigovodstveni servis, oglasne platforme;
• prenos van BiH, npr. Google i Meta servisi, i na kojem osnovu;
• rokovi čuvanja po vrsti podataka;
• sva prava iz članova 17. do 24. i rok za odgovor od 30 dana;
• pravo na prigovor Agenciji za zaštitu ličnih podataka u BiH;
• datum posljednje izmjene.

Politika mora biti dostupna iz podnožja svake stranice i iz koraka naplate. Pišite je jednostavnim jezikom. Kupac koji razumije zašto vam treba broj telefona (da ga kurir nazove prije isporuke) lakše ga upisuje tačno.

Kolačići, Google Analytics i Meta Pixel

Analitički i marketinški kolačići se smiju učitati tek kad kupac pristane. Banner mora ponuditi „Prihvati“ i „Odbij“ jednako vidljivo, i mora stvarno blokirati skripte do izbora. Strogo neophodni kolačići, poput korpe i prijave, rade bez pristanka, ali ih navodite u politici kolačića.

Najčešći problem koji nalazimo pri pregledu shopova u BiH: banner postoji, ali Google Analytics, Meta Pixel ili TikTok Pixel se učitavaju prije klika jer su ubačeni direktno u temu ili kroz poseban dodatak koji ne zna za banner. Provjera je jednostavna: otvorite sajt u privatnom prozoru, ne kliknite ništa na banneru i u alatima za programere pogledajte da li su se učitali kolačići _ga, _fbp ili slični.

• Koristite Google Consent Mode v2 da bi Google Ads i Analytics poštovali izbor korisnika.
• Sve skripte za praćenje učitavajte kroz Google Tag Manager ili alat za saglasnost, ne direktno u temu.
• Za Meta oglase razmislite o Conversions API-ju uz poštovanje saglasnosti, jer bez pristanka pixel ne bi trebao slati podatke.
• Omogućite promjenu izbora kasnije, npr. linkom „Postavke kolačića“ u podnožju.

Odbijeni kolačići znače manje podataka u analitici i oglasima. To je cijena usklađenosti, a dio se nadoknađuje modeliranjem u Google alatima. Kako mjeriti uspjeh i uz ograničene podatke opisujemo u tekstu o mjerenju uspjeha web stranice.

Newsletter i email marketing

Promotivne mailove šaljete samo onima koji su se prijavili ili s kojima već imate ugovorni odnos, a svaki mail ima odjavu koja radi odmah. Kad se neko odjavi ili prigovori, njegov kontakt se uklanja s liste bez odgađanja. Kupljene baze emailova i kontakti prepisani s tuđih sajtova ne dolaze u obzir.

• Dozvoljeno: prijava preko forme s neoznačenim checkboxom, potvrda prijave mailom (double opt-in), mail o statusu narudžbe, mail o vraćenoj korpi kupcu koji je dao email u toj kupovini, uz mogućnost odjave.
• Nije dozvoljeno: automatska prijava svih kupaca na newsletter, unaprijed označen checkbox, slanje na adrese iz javnih imenika bez prethodnog traženja saglasnosti, odjava koja traži prijavu na nalog.

Tumačenje o direktnom marketingu nakon početka primjene zakona objavio je Paragraf.ba. Vodite evidenciju kada i kako se ko prijavio, jer prema članu 9. vi morate dokazati da saglasnost postoji. Alati kao što su Mailchimp, Brevo ili Klaviyo to rade automatski ako se prijave idu kroz njihove forme. Više o automatizacijama koje rade i uz ova pravila pišemo u tekstu o email marketingu za web shop.

Kuriri, procesori plaćanja i drugi obrađivači

Svaka firma koja podatke kupaca obrađuje za vas je obrađivač i s njom vam treba pisani ugovor po članu 30: kurirska služba, hosting, knjigovodstveni servis, alat za email, chat, CRM, agencija koja održava shop. Kod većine stranih servisa ugovor o obradi podataka (DPA) već postoji u uslovima korištenja i samo ga prihvatite.

Obrađivač	Šta provjeriti
Kurirska služba (BH Pošta, Pošta Srpske, EuroExpress, X Express, A2B)	Da ugovor o saradnji ima odredbe o zaštiti podataka primalaca pošiljki
Procesor plaćanja (Monri, WSPay, bankovni gateway)	Gdje se čuvaju podaci o karticama i da li je procesor PCI DSS certificiran
Hosting	Lokacija servera, sigurnosne kopije, ko ima pristup
Alat za email marketing	DPA, lokacija podataka, evidencija saglasnosti
Agencija za održavanje	Ugovor o obradi, pristup administraciji samo s ličnim nalozima
Knjigovodstveni servis	Način razmjene podataka o kupcima i računima

Servisi s podacima u SAD ili drugim zemljama van BiH znače prenos podataka, koji mora imati osnov iz članova 47. do 49. Navedite ga u politici privatnosti.

Sigurnost web shopa: minimum koji zakon očekuje

Član 34. traži mjere srazmjerne riziku. Za tipičan web shop to znači SSL na cijelom sajtu, redovna ažuriranja platforme i dodataka, dvofaktorsku prijavu za administratore, lične naloge umjesto zajedničke lozinke, dnevne sigurnosne kopije čuvane van servera i uklanjanje starih podataka koji vam više ne trebaju.

• SSL: HTTPS na svim stranicama, ne samo na checkoutu.
• Ažuriranja: WordPress, WooCommerce i dodaci najmanje jednom mjesečno, sigurnosne zakrpe odmah.
• Nalozi: svaki zaposleni svoj nalog s minimalnim pravima, bez dijeljenja lozinke „admin“.
• Dvofaktorska prijava: obavezna za sve s pravima administratora ili menadžera prodavnice.
• Sigurnosne kopije: dnevno, s čuvanjem van servera i testom vraćanja barem jednom kvartalno.
• Brisanje viška: stari izvozi narudžbi u Excelu na laptopu su rizik; obrišite ih.

Šta tačno uključuje redovno održavanje i koliko ga košta opisano je u tekstu kako održavati i ažurirati web shop.

WooCommerce i Shopify: ugrađeni alati

WordPress i WooCommerce imaju ugrađen izvoz i brisanje ličnih podataka (Alati, Izvoz i Brisanje ličnih podataka) i postavke za zadržavanje podataka o narudžbama i neaktivnim nalozima. Shopify ima slične alate u administraciji. Alati postoje, ali ih neko mora uključiti i podesiti rokove.

• U WooCommerce postavkama (Postavke, Računi i privatnost) podesite rokove zadržavanja za neaktivne naloge, otkazane i neuspjele narudžbe.
• Odredite stranicu politike privatnosti u WordPress postavkama da se link pojavljuje na checkoutu.
• Ugasite obavezno kreiranje naloga ako vam ne treba: kupovina kao gost znači manje podataka.
• Uklonite dodatke koje ne koristite. Svaki neaktivan dodatak je potencijalna rupa.
• Provjerite šta dodaci za recenzije, chat i analitiku šalju trećim stranama.

Shopify kao platforma preuzima dio sigurnosti, ali vi ostajete kontrolor podataka i odgovorni ste za politiku privatnosti, saglasnosti i aplikacije koje instalirate. Razlike platformi u kontekstu BiH opisali smo u poređenju WooCommerce vs Shopify.

Zahtjevi kupaca: pristup, brisanje, odjava

Kupac može tražiti kopiju svojih podataka, ispravku, brisanje ili prestanak marketinga. Odgovarate u roku od 30 dana, besplatno. Brišete sve što ne morate čuvati po drugim propisima: nalog, email listu, adrese, historiju pregleda. Račune i knjigovodstvene podatke zadržavate koliko traže porezni propisi i to kupcu kažete.

1. Zahtjev stiže na email naveden u politici privatnosti. Zabilježite datum prijema.
2. Provjerite identitet, npr. odgovorom s istog emaila s kojeg je naručivao.
3. U WooCommerceu pokrenite izvoz ili brisanje, a ručno obrišite kontakt iz alata za email i CRM-a.
4. Pošaljite potvrdu šta je obrisano, a šta se zadržava i zašto.
5. Upišite zahtjev u internu evidenciju.

Plan za incident: šta raditi ako shop bude hakovan

Ako neovlaštena osoba dođe do podataka kupaca, imate 72 sata da obavijestite Agenciju za zaštitu ličnih podataka u BiH (član 35). Ako je rizik za kupce visok, npr. procurile su lozinke ili adrese s brojevima telefona, obavještavate i njih pisanim putem (član 36). Plan se piše prije incidenta, ne tokom njega.

Kontrolna lista: 20 provjera za web shop

Ovih 20 tačaka pokriva većinu obaveza koje zakon postavlja pred tipičan web shop u BiH. Ako ih prođete prije marta 2027, kada ističe rok za usklađivanje postojećih obrada, imate dobru osnovu. Pravni tekstovi i dalje trebaju pregled pravnika.

• Mapa podataka napravljena i ažurirana.
• Za svaku obradu upisan pravni osnov.
• Politika privatnosti navodi sve primaoce i prenos van BiH.
• Politika kolačića navodi stvarne kolačiće.
• Banner nudi „Prihvati“ i „Odbij“ jednako vidljivo.
• Analitika i pikseli se ne učitavaju prije pristanka.
• Google Consent Mode v2 podešen.
• Checkbox za newsletter nije unaprijed označen.
• Svaki promotivni mail ima odjavu jednim klikom.
• Evidencija saglasnosti postoji u alatu za email.
• Kupovina kao gost je moguća.
• Forma za narudžbu nema suvišnih obaveznih polja.
• Ugovori ili DPA s kurirom, hostingom, alatom za email i agencijom.
• SSL aktivan na cijelom sajtu.
• Dvofaktorska prijava za administratore.
• Lični nalozi za svakog zaposlenog.
• Dnevne sigurnosne kopije van servera.
• Rokovi zadržavanja u WooCommerceu podešeni.
• Postupak za zahtjeve kupaca s rokom od 30 dana.
• Plan za incident i kontakt Agencije zapisani.

Tehnički dio liste, od bannera do sigurnosnih kopija, radimo kao dio održavanja web stranica i web shopova, a na novim projektima izrade web shopa je uključen od prvog dana.