Valjana GDPR privola mora biti dobrovoljna, posebna, informirana i nedvosmislena te izražena jasnom potvrdnom radnjom. Voditelj mora moći dokazati tko je, kada, kako i za što dao privolu, a povlačenje mora biti jednako jednostavno kao davanje.
Ovaj vodič odgovara na namjeru pretraživanja „GDPR obrazac privole i primjer”. Predlošci su polazište, ne gotova pravna osnova: tekst i korisničko sučelje moraju odgovarati stvarnoj svrsi, primateljima, rokovima i odnosu s osobom.
Treba li vam uopće privola
Privola je samo jedan od šest pravnih temelja iz članka 6. GDPR-a. Prije obrasca provjerite je li obrada objektivno potrebna za:
- izvršavanje ugovora s osobom
- ispunjenje pravne obveze
- zaštitu životno važnih interesa
- zadaću od javnog interesa ili službenu ovlast
- legitimni interes koji prolazi test nužnosti i ravnoteže.
Ne tražite privolu „za svaki slučaj”. Ako osoba nema stvaran izbor ili bi obrada svakako bila provedena po drugoj osnovi, poruka je zbunjujuća i može biti nevaljana.
Kada je privola dobar izbor
Privola može biti primjerena za neobvezni newsletter, dobrovoljnu objavu fotografije ili dodatnu personalizaciju koja nije potrebna za ugovor. Mora postojati mogućnost odbijanja bez štete za osnovnu uslugu.
Kada je privola rizična
U radnom odnosu neravnoteža moći često znači da zaposlenik ne može slobodno odbiti. Javno tijelo također treba posebno oprezno procijeniti slobodu izbora. Izvršenje ugovora ne smije se uvjetovati privolom za obradu koja nije potrebna za taj ugovor.
Pet praktičnih uvjeta valjane privole
1. Dobrovoljna
Odbijanje ili povlačenje ne smije izazvati neopravdanu štetu. Ako je svrha sporedna, odvojite je od obveznog dijela usluge.
2. Posebna
Za različite svrhe dajte zasebne izbore. Newsletter, dijeljenje s partnerima i javna objava fotografije nisu jedna svrha.
3. Informirana
Prije izbora navedite najmanje identitet voditelja, svrhu, vrste podataka, pravo povlačenja i, kada je primjenjivo, automatizirano odlučivanje, prijenose ili rizike. Puna obavijest može biti povezana, ali ključne informacije ne smiju biti skrivene.
4. Nedvosmislena
Potrebna je jasna potvrdna radnja: neoznačeni okvir, potpis, izričit odabir ili druga radnja koja nedvojbeno pokazuje izbor. Šutnja, nastavak korištenja, unaprijed označeno polje ili neaktivnost nisu privola.
5. Dokaziva i opoziva
Evidencija mora povezati osobu, verziju teksta, datum, kanal i radnju. Povlačenje treba biti dostupno kroz kanal usporedive jednostavnosti i mora zaustaviti buduću obradu temeljenu na privoli.
Primjer: privola za newsletter
Primjer korisničkog sloja:
☐ Želim da mi društvo Primjer d.o.o. na adresu e-pošte šalje mjesečni newsletter s novostima i ponudama. Privolu mogu povući u svakom trenutku poveznicom za odjavu u svakoj poruci. Povlačenje ne utječe na zakonitost ranije obrade. Više o voditelju, pružatelju slanja i roku čuvanja nalazi se u obavijesti o privatnosti.
Uz ovaj tekst osigurajte:
- neoznačeno polje koje nije uvjet kupnje ili računa
- izravnu poveznicu na odgovarajuću obavijest
- zapis verzije teksta prikazane osobi
- potvrdu prijave kada je potrebna za pouzdan dokaz
- funkcionalnu odjavu bez obvezne prijave u korisnički račun.
„Double opt-in” nije izričita univerzalna obveza GDPR-a, ali može ojačati dokaz da vlasnik adrese kontrolira prijavu. I dalje trebate dokazati sadržaj, svrhu i povlačenje.
Newsletter, e-pošta i SMS u Hrvatskoj
GDPR nije jedino pravilo za elektronički marketing. Članak 50. Zakona o elektroničkim komunikacijama za automatske pozivne sustave, telefaks, e-poštu, SMS i MMS u svrhu izravne promidžbe i prodaje traži prethodnu privolu krajnjeg korisnika.
Postoji uska iznimka za trgovca koji je adresu e-pošte dobio od svojeg potrošača pri prodaji: može oglašavati samo vlastite slične proizvode ili usluge ako potrošaču omogući jasan, besplatan i jednostavan prigovor pri prikupljanju i u svakoj poruci, pod uvjetom da uporabu nije unaprijed odbio. Stavci 1. i 2. članka 50. ne primjenjuju se na takvu komunikaciju prema pravnim osobama, ali GDPR i dalje može biti relevantan za imenovanu poslovnu adresu fizičke osobe.
Nemojte pretpostaviti da legitimni interes prema GDPR-u uklanja posebne uvjete elektroničkih komunikacija. U svakom slučaju poruka mora imati ispravan identitet pošiljatelja i besplatan kanal za zaustavljanje daljnje komunikacije.
Primjer: dvije odvojene svrhe
Ne koristite jednu kućicu:
☐ Prihvaćam marketing i dijeljenje podataka s partnerima.
Odvojite odluke:
☐ Želim primati ponude društva Primjer d.o.o. e-poštom.
☐ Želim da društvo Primjer d.o.o. proslijedi moju adresu e-pošte imenovanim partnerima A i B kako bi mi oni slali svoje ponude.
Razlikujte uloge. Partner koji obrađuje podatke samo prema dokumentiranim uputama voditelja jest izvršitelj: ne mora biti imenovan u samom zahtjevu za privolu, ali obavijest iz članaka 13. i 14. mora navesti primatelje ili njihove kategorije, uključujući izvršitelje. Partner koji određuje vlastitu svrhu slanja ponuda zaseban je voditelj obrade. Ako se takav voditelj želi osloniti na izvornu privolu za vlastiti marketing, svaki voditelj mora biti imenovan; same kategorije nisu dovoljne. Kada se doda novi zasebni voditelj, prije njegova marketinga zatražite novu privolu koja ga imenuje.
Posebne kategorije podataka
Kada se oslanjate na izričitu privolu iz članka 9. stavka 2. točke (a), tekst treba jasno pokazati da osoba pristaje na obradu određene posebne kategorije za određenu svrhu:
Izričito pristajem da Primjer d.o.o. obrađuje podatak o mojoj alergiji isključivo radi prilagodbe obroka za događaj 10. rujna 2026. Podatak će se izbrisati najkasnije 30 dana nakon događaja, osim ako je dulje čuvanje potrebno radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva. Privolu mogu povući putem privatnost@primjer.hr.
Izričita privola nije automatski najbolji ili dopušten temelj za svaku obradu zdravstvenih, biometrijskih ili drugih podataka iz članka 9. Provjerite postoji li poseban zakon i je li privola u konkretnom odnosu doista dobrovoljna.
Djeca i usluge informacijskog društva
Hrvatski Zakon određuje 16 godina kao dob u kojoj dijete može samo dati privolu za uslugu informacijskog društva koja mu se nudi izravno, kada se obrada temelji na članku 6. stavku 1. točki (a). Prema članku 19. stavku 2. hrvatskog Zakona, to se pravilo primjenjuje na dijete čije je prebivalište u Republici Hrvatskoj. Za mlađe dijete privolu daje ili odobrava nositelj roditeljske odgovornosti, a voditelj ulaže razumne napore u provjeru, uzimajući u obzir tehnologiju.
To pravilo ne znači da je svaka obrada dječjih podataka dopuštena uz privolu. Informacije moraju biti napisane jezikom koji dijete razumije, a najbolji interes i drugi propisi mogu postaviti dodatna ograničenja.
Što čuvati kao dokaz
Evidencija privole može sadržavati:
- interni identifikator osobe ili zapisa
- svrhu i kategoriju kontakta
- datum, vrijeme i kanal
- konkretnu potvrdnu radnju
- verziju obrasca i obavijesti
- tehnički trag potreban za dokaz, bez pretjeranog prikupljanja
- datum i način povlačenja
- datum prestanka daljnje obrade i slanja.
Ne čuvajte dokaz beskonačno. Odredite rok prema svrsi, mogućim zahtjevima i načelu ograničenja pohrane.
Obrazac za povlačenje
Povlačenje ne mora imati propisanu formu. Jednostavan kanal može sadržavati:
Povlačim privolu za slanje newslettera na adresu [adresa]. Molim da zaustavite buduće poruke temeljene na toj privoli.
Organizacija ne smije zahtijevati poseban obrazac ako osoba jasno izrazi povlačenje drugim dostupnim kanalom. Nakon povlačenja provjerite postoje li podaci koji se zakonito čuvaju po drugoj osnovi; nemojte retroaktivno „prebaciti” istu svrhu na novi temelj samo radi nastavka obrade.
Obrasci za zahtjeve ispitanika
GDPR ne uvjetuje ostvarivanje prava službenim predloškom. Organizacija ipak može ponuditi obrazac koji pomaže usmjeriti zahtjev:
- koje pravo osoba želi ostvariti
- na koji se odnos, račun ili obradu zahtjev odnosi
- željeni kanal odgovora
- dodatne informacije potrebne za razumnu provjeru identiteta.
Obrazac ne smije tražiti nepotrebne podatke niti postati zapreka. Zahtjev primljen običnom e-poštom i dalje treba prepoznati i obraditi.
Evidencija aktivnosti obrade
Evidencija iz članka 30. nije samo popis aplikacija. Za voditelja uključuje svrhe, kategorije ispitanika i podataka, primatelje, prijenose, predviđene rokove brisanja i opći opis sigurnosnih mjera gdje je moguće.
Iznimka za manje od 250 zaposlenih uska je i ne vrijedi za obradu koja nije povremena, koja može prouzročiti rizik ili uključuje posebne kategorije ili kaznene podatke. Redovite obrade zaposlenika i klijenata često izlaze iz iznimke.
Obavijest o privatnosti nije privola
Potpis izjave „pročitao sam politiku privatnosti” u pravilu samo potvrđuje primitak informacije; ne stvara pravni temelj. Obavijest opisuje obradu prema člancima 13. i 14., dok privola bilježi dobrovoljan izbor za točno određenu svrhu.
Isto tako, ugovor s izvršiteljem iz članka 28. nije obrazac privole. On uređuje obveze pružatelja koji obrađuje podatke u ime voditelja.
Za provjeru je li temelj primjeren te usklađivanje obrazaca s procesima pogledajte pregled GDPR dokumentacije.
Česta pitanja
Mora li privola biti potpisana na papiru?
Ne. Može biti elektronička ili usmena ako ispunjava sve uvjete i voditelj je može dokazati. Za izričitu privolu potreban je posebno jasan izraz, ali GDPR ne propisuje uvijek papir.
Treba li nova privola nakon svake promjene politike privatnosti?
Ne automatski. Nova privola potrebna je kada se mijenja svrha ili opseg tako da stara privola više nije posebna i informirana. Čisto urednička izmjena obavijesti nije sama po sebi razlog za ponovno traženje.
Može li se povučena privola vratiti?
Osoba može kasnije dati novu privolu. Zabilježite novu potvrdnu radnju i verziju informacija; nemojte samo ponovno aktivirati stari status.
Izvori i pregled
Sadržaj i primjeri pregledani su 8. kolovoza 2026. prema sljedećim službenim izvorima:
- Opća uredba o zaštiti podataka, osobito članci 4., 6., 7., 8., 9., 13. i 30.
- EDPB – Smjernice 05/2020 o privoli
- Zakon o provedbi Opće uredbe o zaštiti podataka, članak 19.
- Zakon o elektroničkim komunikacijama, članak 50., NN 76/2022
- Izmjene i dopune Zakona o elektroničkim komunikacijama, NN 45/2026
Primjere treba prilagoditi konkretnoj obradi i povezati s potpunom obavijesti; oni nisu jamstvo valjanosti u svakom odnosu.
Ivana Ludiga, mag. iur., suradnica je u Vision Complianceu s fokusom na zaštitu podataka, provedbu GDPR-a i regulatorno savjetovanje. Podržava projekte usklađenosti za organizacije u zdravstvu, financijskim uslugama i tehnološkom sektoru.