Online korisnički račun definira se kao osobni online prostor dodijeljen korisniku ili više korisnika koji koriste različite profile, a kojem se pristupa putem autentifikacijskog mehanizma koji uključuje identifikator i lozinku. Ovo ne obuhvaća osobne online prostore koji su privremeno dostupni putem privremenih pristupnih tokena i ne zahtijevaju lozinku.

Online korisnički računi najčešće se nude korisnicima e-trgovina prije pregledavanja mrežnog mjesta ili obavljanja kupnje. Stvaranje računa zahtijeva da korisnik pruži informacije koje služe kao jedinstveni identifikator (npr. adresu e-pošte).

Preporuke EDPB br. 2/2025 o pravnoj osnovi za zahtijevanje stvaranja korisničkih računa na mrežnim stranicama e-trgovine od prosinca 2025 (nekonačne – trenutačno u fazi savjetovanja) odnose se na:

– mrežne stranice e-trgovine, a koje uključuju web-aplikacije i mobilne aplikacije,

– platforme e-trgovine koje djeluju kao posrednici između profesionalnih trgovaca i potrošača, poput online tržišta.

Preporuke se ne odnose na:

–              usluge online platformi koje povezuju pojedince međusobno u neprofesionalnom svojstvu u svrhu prodaje proizvoda ili pružanja usluga,

–              usluge društvenih mreža, uključujući tržišta na društvenim mrežama,

–              usluge internetskih pretraživača,

–              usluge softverskih aplikacija na internetu, audiovizualne medijske usluge i internetske stranice s vijestima.

Rizici za ispitanike prilikom stvaranja korisničkog računa

1. Sustavno praćenje i identifikacija korisnika. Otvaranje računa stvara okruženje u kojem je korisnik stalno identificiran, što omogućuje prikupljanje velikih količina podataka, uključujući i podatke koje korisnik ne daje svjesno (npr. praćenje ponašanja).
2. Pretjerano dugo zadržavanje podataka. Podaci se često čuvaju dulje nego što je nužno za kupnju — čak i kada korisnik godinama ne koristi račun — što krši načelo ograničenja pohrane.
3. Povećana ranjivost na sigurnosne napade, osobito zbog korištenja istih lozinki na više servisa, što povećava rizik krađe identiteta, lažnih narudžbi, phishinga itd.
4. Veća izloženost praćenju i profiliranju. Trgovci mogu kombinirati podatke iz različitih kanala, stvarati identifikatore (npr. hash otiske) te graditi profile za komercijalno ciljanje — bez valjane pravne osnove to predstavlja kršenje GDPR-a.
5. Ostali rizici: zloporaba registracijskih procesa od strane botova, manipulativni dizajn, zavaravajući linkovi (phishing).

Pravne osnove za obradu podataka pri stvaranju korisničkog računa

A.     Izvršenje ugovora 

1. NE kod jednokratne kupnje. Potrebni podaci za izvršenje prodaje mogu se prikupiti bez otvaranja računa.
2. DA kod pretplate na robu ili uslugu kroz određeno ili neodređeno razdoblje, uz jednokratno ili periodično plaćanje. Postojati mora stvaran i valjan ugovor.
3. DA kod pristupa ekskluzivnim ponudama samo kada je riječ o članstvima s posebnim uvjetima i dugoročnim poslovnim odnosom, gdje je registracija glavni predmet ugovora.
4. NE kod uvjetne kupnje (npr. popusti za studente, zdravstvene djelatnike). Postoje manje nametljiva alternativna rješenja, pa se nužnost obrade ne može opravdati.
5. NE za ugovore o primanju personaliziranih preporuka.
6. NE za after-sales usluge ili upravljanje potrošačkim pravima ili pravima prema GDPR-u U potonja dva slučaja test nužnosti neće biti ispunjen

B.     Zakonska obveza 

Voditelj obrade mora procijeniti postoji li zakon koji zahtijeva obvezno otvaranje računa. U praksi je malo vjerojatno da će se moći primijeniti ova osnova jer test nužnosti najčešće nije ispunjen.

C.    Legitimni interes 

Može se primijeniti kada ispitanici razumno očekuju obveznu registraciju, npr. kod usluga s ograničenim pristupom (preporuka člana).

Test nužnosti i ravnoteže ne bi bio ispunjen za slučajeve:

1. praćenja narudžbe
2. upravljanje izmjenama narudžbe
3. izgradnju lojalnosti kupaca
4. olakšavanje ponovljenih narudžbi

D.    Privola

Za otvaranje računa radi pristupa ponudama ili obavljanja kupnje privola ne može biti slobodno dana, pa stoga nije valjana pravna osnova.

***

Ovaj članak potrebno je po potrebi uskladiti nakon prihvaćanja konačnih preporuka od strane EDPB, te trenutačno služi samo u informativne svrhe.

Odvjetnik Igor Dlacic

08.12.2025.