Skoraj ni spletne strani, ki ne bi obdelovala osebnih podatkov. Kontaktni obrazec, prijava na novice, naročilo v spletni trgovini, pa tudi naslovi IP, zabeleženi v dnevniških datotekah strežnika, štejejo za osebne podatke. Zato GDPR, splošna uredba Evropske unije o varstvu podatkov, praktično velja za vse lastnike spletnih strani, tudi za mala podjetja in strani, ki jih upravljajo posamezniki.

V tem vodniku pogledamo, kako sta povezana varstvo podatkov in gostovanje: kdo med lastnikom spletne strani in ponudnikom gostovanja odgovarja za kaj, kakšno tehnično zaščito mora nuditi gostovanje, kaj sodi v obvestilo o zasebnosti in upravljanje piškotkov, kaj storiti po kršitvi varstva osebnih podatkov in kaj se je spremenilo do leta 2026. Na koncu najdeš tudi kontrolni seznam.

Ta članek je splošna informacija, ne pravni nasvet. Za presojo konkretne obdelave se obrni na strokovnjaka za varstvo podatkov.

Kateri osebni podatki so na tvojem gostovanju?

Osebni podatek je vsaka informacija, ki jo je mogoče povezati z živim človekom. Na gostovanju povprečne spletne strani se pojavljajo:

• Strežniški dnevniki: spletni strežnik pri vsaki zahtevi zabeleži naslov IP obiskovalca, zahtevano stran, čas in podatke brskalnika. Naslov IP je po praksi Sodišča Evropske unije lahko osebni podatek.
• Obrazci: kontakt, zahteva za ponudbo, registracija: ime, e-poštni naslov, telefonska številka, sporočilo.
• Podatkovna baza: uporabniki WordPressa, podatki komentatorjev, kupci spletne trgovine, njihova naročila in naslovi za dostavo.
• E-pošta: sporočila, shranjena v nabiralnikih, in imenik.
• Piškotki in merilne kode: analitični in marketinški piškotki shranjujejo identifikatorje in pogosto posredujejo podatke tretjim osebam (na primer Googlu ali Meti).
• Varnostne kopije: varnostne kopije vsebujejo kopijo vsega naštetega in jih je treba enako varovati.

Upravljavec in obdelovalec: kdo odgovarja za kaj?

GDPR razlikuje dve vlogi in odgovornost se deli po njiju.

Ti, lastnik spletne strani, si upravljavec. Ti odločaš, katere podatke zbiraš, za kakšen namen, na kakšni pravni podlagi in kako dolgo. Ti moraš obveščati obiskovalce, izpolniti njihove zahteve (dostop, popravek, izbris) in ti odgovarjaš za to, da je programska oprema tvoje spletne strani (WordPress, vtičniki, tema) posodobljena in varna.

Ponudnik gostovanja je obdelovalec. Podatke hrani in obdeluje v imenu upravljavca in po njegovih navodilih: upravlja strežnik, varuje omrežje in operacijski sistem, izdeluje varnostne kopije. Podatkov ne sme uporabljati za lastne namene.

Razmerje med njima je treba po 28. členu GDPR določiti v pogodbi o obdelavi podatkov. Ta opisuje, katere podatke in za kakšen namen obdeluje ponudnik, katere varnostne ukrepe uporablja, koga lahko vključi (podizvajalci) in kako upravljavcu pomaga ob incidentu ali zahtevi posameznika. Pri aWh v skladu s splošnimi pogoji poslovanja sklenemo pogodbo o obdelavi podatkov, če nam zaupaš obdelavo osebnih podatkov; če jo potrebuješ, nam piši.

Odgovornost je torej razdeljena, a se ne zabriše. Če vdrejo prek operacijskega sistema strežnika, je to napaka ponudnika. Če prek zastarelega vtičnika WordPress ali uhajajočega gesla, je to napaka upravljavca. Pri VPS meja poteka drugje: tam sta tudi posodabljanje operacijskega sistema in zaščita strežnika tvoja naloga.

Kaj pričakovati od gostovanja?

1. člen GDPR predpisuje tehnične in organizacijske ukrepe, »sorazmerne s tveganjem«, konkretne tehnologije pa ne navaja. V praksi je od gostovanja vredno pričakovati naslednje.

Lokacija podatkov

Če je strežnik v Evropski uniji (natančneje v Evropskem gospodarskem prostoru), za shranjevanje podatkov ni potrebna posebna pravna podlaga za prenos. Pri ponudniku zunaj EU, na primer ameriškem ponudniku oblaka, je za prenos potrebno posebno jamstvo: pri ameriških podjetjih je to običajno certifikacija po okviru za varstvo podatkov EU-ZDA (Data Privacy Framework), sprejetem leta 2023, ali standardne pogodbene klavzule Evropske komisije. Zakonitost okvira je Splošno sodišče EU potrdilo leta 2025, a pravni spor ni zaključen, zato je shranjevanje znotraj EU bolj predvidljiva rešitev. Vprašaj ponudnika, kje so njegovi strežniki in varnostne kopije.

Šifriranje

• HTTPS na celotni strani: podatki, vneseni v obrazce, prijavni podatki in piškotki naj potujejo le po šifrirani povezavi. Za to zadošča tudi brezplačno potrdilo Let’s Encrypt, ki ga je na vseh gostovanjih aWh mogoče nastaviti samodejno; plačljivo potrdilo SSL potrebuješ, če želiš overiti tudi podatke svojega podjetja.
• Šifrirana pošta: med poštnim programom in strežnikom IMAPS, POP3S in SMTPS (TLS), spletna pošta prek HTTPS.
• Šifriran prenos datotek: namesto FTP uporabi SFTP ali FTPS, saj navadni FTP tudi geslo pošilja nešifrirano.

Zaščita dostopa

Večina vdorov se začne z ukradenim ali uganjenim geslom. Vklopi dvostopenjsko overjanje (2FA) v nadzornem vmesniku gostovanja (v cPanelu takole), v računu stranke in v skrbniškem vmesniku WordPress. Vsak, ki dela na spletni strani, naj ima svoj račun in le toliko pravic, kot jih potrebuje za delo; dostop sodelavcev, ki odidejo, ali zunanjih razvijalcev izbriši.

Zaščita na strani strežnika

Na deljenem gostovanju za zaščito strežnika odgovarja ponudnik: za sistemske posodobitve, požarni zid, filtriranje DDoS in iskanje zlonamerne kode. Na strežnikih cPanel aWh zlonamerno kodo išče ImunifyAV+, CloudLinux CageFS pa račune izolira med seboj, zato vdrti sosednji račun ne more dostopati do tvojih datotek.

Varnostne kopije in obnovljivost

1. člen GDPR izrecno pričakuje, da je po incidentu mogoče dostopnost podatkov pravočasno obnoviti. Za to potrebuješ redne varnostne kopije, shranjene ločeno od strežnika. Plačljivi paketi gostovanja aWh se varnostno kopirajo samodejno (gostovanji cPanel in WordPress vsak dan), kopije pa hranimo na geografsko ločeni lokaciji. Pomisli tudi na to, da izbrisani podatki v varnostnih kopijah še nekaj časa ostanejo; to je vredno navesti v obvestilu o zasebnosti.

Hranjenje dnevnikov

Strežniški dnevniki so potrebni za odpravljanje napak in preiskavo napadov, a jih ni treba hraniti za vedno. Vprašaj ponudnika, kako dolgo hrani dnevnike spletnega in poštnega strežnika, in tudi to zapiši v obvestilo.

Tvoje naloge na spletni strani

Obvestilo o zasebnosti

Vsaka spletna stran potrebuje lahko dostopno, razumljivo obvestilo o zasebnosti. V njem naj bodo:

• ime in kontakt upravljavca (tebe ali tvojega podjetja),
• katere podatke, za kakšen namen in na kakšni pravni podlagi (privolitev, izvajanje pogodbe, zakonska obveznost, zakoniti interes) obdeluješ,
• kako dolgo hraniš podatke,
• seznam obdelovalcev: ponudnik gostovanja, pošiljatelj novic, program za izdajanje računov, kurirska služba, analitični ponudnik, plačilni ponudnik,
• če obstaja, prenos zunaj EU in njegova jamstva,
• pravice posameznikov in kje lahko vložijo pritožbo (v Sloveniji pri Informacijskem pooblaščencu).

Ne kopiraj predloge brez sprememb: obvestilo mora opisovati resnično obdelavo. Ko uvedeš novo orodje (nov pošiljatelj novic, nova analitika, klepetalni robot), ga posodobi, enkrat na leto pa ga preglej tudi, če se ni nič spremenilo.

Obrazci in najmanjši obseg podatkov

Zahtevaj le toliko podatkov, kot jih za namen nujno potrebuješ: za kontakt zadoščata ime in e-poštni naslov, telefonska številka naj bo neobvezna. Kjer zahtevaš privolitev (na primer za novice), potrditveno polje ne sme biti vnaprej označeno in privolitev ne sme biti pogoj za storitev. Sporočil in vnosov v podatkovno bazo, ki prihajajo iz obrazcev, ne hrani dlje, kot je potrebno.

Piškotki in merilne kode

Po slovenskem Zakonu o elektronskih komunikacijah (in za njim po evropski direktivi ePrivacy) je za piškotke, ki za delovanje niso nujno potrebni, torej za analitične in marketinške piškotke, potrebna predhodna privolitev obiskovalca. V praksi to pomeni:

• Pasica s piškotki pred sprejemom ne sme naložiti merilne kode (Google Analytics, Meta Pixel in podobne).
• »Zavrni« naj bo enako lahko dostopen kot »Sprejmi«.
• Privolitev naj bo mogoče kadar koli preklicati, na primer s povezavo v nogi strani.
• Za uporabo Google Analytics in Google Ads Google od leta 2024 v EGP pričakuje tudi nastavitev Consent Mode v2.

Obstajajo tudi manjši, pogosto pozabljeni prenosi podatkov: če tvoja spletna stran pisave nalaga z Googlovih strežnikov (Google Fonts) ali uporablja vdelane videe YouTube in zemljevide, naslov IP obiskovalca pride do Googla že ob odprtju strani. Pisave prenesi in jih streži s svojega gostovanja, videe in zemljevide pa nalagaj šele ob kliku.

Evropska komisija je konec leta 2025 pod imenom »Digital Omnibus« predlagala poenostavitev pravil o piškotkih, med drugim z znaki privolitve, nastavljivimi v brskalniku. To je zaenkrat predlog, ne veljavno pravilo, zato veljajo zgornje zahteve.

Novice

Sporočilo z oglasno vsebino smeš po slovenskem Zakonu o elektronskih komunikacijah poslati le nekomu, ki je za to dal predhodno, nedvoumno privolitev. Dvojna potrditev (double opt-in), ko naročnik naslov potrdi s klikom na povezavo, prejeto po e-pošti, ni v vseh primerih obvezna, a z njo najlaže dokažeš, da privolitev res izvira od imetnika naslova. V vsakem sporočilu naj bo preprosta možnost odjave. Novic ne pošiljaj s poštnega strežnika gostovanja, temveč z namensko storitvijo za pošiljanje novic, ki upravlja tudi prijave in odjave.

Zahteve posameznikov

Tvoji obiskovalci lahko zahtevajo, da jim poveš, katere podatke hraniš o njih, jim daš kopijo, jih popraviš ali izbrišeš. Nanje moraš odgovoriti v enem mesecu (v utemeljenih primerih je ta rok mogoče podaljšati še za dva meseca). Vredno je vnaprej vedeti, kje so podatki: v podatkovni bazi WordPress, v nabiralniku, pri pošiljatelju novic, v programu za izdajanje računov. Vgrajena orodja WordPressa (Orodja › Izvozi osebne podatke oziroma Izbriši osebne podatke) pomagajo pri podatkih, shranjenih v podatkovni bazi WordPress.

Kršitev varstva osebnih podatkov: kaj storiti?

Kršitev varstva osebnih podatkov je vsak varnostni dogodek, pri katerem so osebni podatki uničeni, izgubljeni, spremenjeni ali do njih dostopajo nepooblaščeni: vdrta spletna stran, ukraden prenosnik, seznam strank, poslan napačnemu prejemniku.

1. Ustavi škodo: povsod zamenjaj gesla, izključi napadalca, po potrebi izklopi stran.
2. Oceni škodo: kateri podatki, koliko ljudi in od kdaj so bili prizadeti. Ponudnik gostovanja ti lahko pri tem pomaga s strežniškimi dnevniki in varnostnimi kopijami; če si stranka aWh, odpri zahtevek za podporo.
3. Prijavi: če kršitev pomeni tveganje za posameznike, jo moraš v 72 urah prijaviti Informacijskemu pooblaščencu. Če je tveganje visoko (na primer so ušla gesla, podatki plačilnih kartic ali zdravstveni podatki), moraš obvestiti tudi prizadete posameznike.
4. Obnovi: stran obnovi iz čiste varnostne kopije, posodobi programsko opremo in odpravi napako, skozi katero je napadalec vstopil.
5. Dokumentiraj: vsako kršitev moraš evidentirati, tudi tiste, ki jih ni bilo treba prijaviti.

Sankcija lahko po GDPR v hudih primerih znaša do 20 milijonov evrov ali do 4 % celotnega svetovnega letnega prometa podjetja v preteklem letu, v manj hudih primerih do 10 milijonov evrov ali 2 %. Nadzorni organ pri višini globe upošteva težo kršitve, velikost podjetja in tudi, kaj je upravljavec storil za omilitev škode. Dobro dokumentirana, pravočasno prijavljena kršitev je veliko boljši položaj kot prikrita.

Kaj se je spremenilo do leta 2026?

• NIS2 in zakon o kibernetski varnosti: pravila, ki prenašajo direktivo EU NIS2 (v Sloveniji Zakon o informacijski varnosti), v številnih sektorjih (energetika, promet, zdravstvo, digitalne storitve, predelava hrane, proizvodnja in drugi) srednjim in velikim podjetjem nalagajo obveznosti kibernetske varnosti. Spletne strani povprečnega malega podjetja to neposredno ne zadeva, a če tvoje podjetje spada na njihovo področje uporabe, sta tudi spletna stran in pošta del obvladovanja tveganj.
• AI Act: pravila uredbe EU o umetni inteligenci začenjajo veljati postopoma. Če na tvoji spletni strani teče klepetalni robot na osnovi umetne inteligence, moraš uporabnike obvestiti, da se pogovarjajo s strojem, v obvestilu o zasebnosti pa opisati tudi, katere podatke dobi ponudnik klepetalnega robota.
• Data Act: uporablja se od septembra 2025 in se nanaša predvsem na podatke povezanih naprav in menjavo med oblačnimi storitvami; olajša menjavo ponudnika in prenosljivost podatkov.
• Krajša veljavnost SSL: od marca 2026 javna potrdila SSL veljajo največ 200 dni, v prihodnjih letih pa se bo ta rok še skrajšal. Poteklo potrdilo ni kršitev varstva osebnih podatkov, pomeni pa izpad šifriranja, zato je zamenjavo potrdil vredno avtomatizirati.

Kontrolni seznam GDPR za lastnike spletnih strani

• Imam pogodbo o obdelavi podatkov s ponudnikom gostovanja in drugimi obdelovalci (pošiljatelj novic, izdajanje računov, analitika).
• Vem, kje (v kateri državi) so strežniki in varnostne kopije; pri prenosu zunaj EU imam pravno podlago.
• Celotna spletna stran je dostopna prek HTTPS, pošta in nalaganje datotek potekata po šifrirani povezavi.
• V nadzornem vmesniku, računu stranke in skrbniškem vmesniku WordPress je vklopljeno dvostopenjsko overjanje.
• WordPress, vtičniki in tema so posodobljeni, neuporabljene vtičnike sem izbrisal.
• Izdeluje se dnevna varnostna kopija, shranjena ločeno, obnovo pa sem preizkusil.
• Obvestilo o zasebnosti opisuje resnično obdelavo in sem ga pregledal v zadnjem letu.
• Obrazci zahtevajo le potrebne podatke, privolitev ni vnaprej označena.
• Merilne kode se naložijo šele po privolitvi v pasici s piškotki, zavrnitev je enako preprosta.
• Pisave strežem s svojega gostovanja, vdelana vsebina se naloži šele ob kliku.
• Vem, kako v enem mesecu izpolnim zahtevo za dostop ali izbris.
• Imam načrt, kaj storim ob kršitvi, in vodim evidenco kršitev.

Povzetek

Skladnost z GDPR ni enkraten dokument, temveč stalno delo, pri katerem lastnik spletne strani in ponudnik gostovanja sodelujeta. Ponudnik odgovarja za varnost strežnika, varnostne kopije in obveznosti iz pogodbe o obdelavi podatkov; ti pa za namen obdelave, obveščanje, upravljanje piškotkov in varnost programske opreme svoje spletne strani.

Na gostovanjih aWh pri tehnični plati pomagajo HTTPS, dvostopenjsko overjanje, ločeno shranjene varnostne kopije, filtriranje DDoS in na naših strežnikih cPanel iskanje zlonamerne kode. Če imaš vprašanje glede obdelave podatkov, nam piši.

Oglej si naše pakete gostovanja

Pogosta vprašanja

Je GDPR obvezen za vse spletne strani?

Da, če spletna stran obdeluje osebne podatke, kar velja skoraj za vse: zadošča že kontaktni obrazec, analitični piškotek ali naslov IP, zabeležen v strežniških dnevnikih. Izjema je le povsem zasebna, družinska dejavnost, javna spletna stran pa je le redko taka.

Ali moram imenovati pooblaščeno osebo za varstvo podatkov (DPO)?

Večina malih podjetij ne. Obvezna je pri organih javne oblasti in kadar je tvoja glavna dejavnost obsežno, redno spremljanje ljudi ali obsežna obdelava posebnih vrst podatkov (na primer zdravstvenih). Pri povprečni poslovni spletni strani ali spletni trgovini zadošča, da določiš notranjo odgovorno osebo.

Ali lahko uporabljam ameriškega ponudnika, na primer Google Analytics?

Da, vendar za to potrebuješ predhodno privolitev obiskovalca, v obvestilu moraš navesti ponudnika in prenos zunaj EU ter nastaviti ponudnikove nastavitve zasebnosti (na primer krajšanje naslovov IP, Consent Mode). Če se temu želiš izogniti, obstajajo tudi analitična orodja brez piškotkov, ki tečejo v EU ali na lastnem gostovanju.

Ali zadošča brezplačno potrdilo SSL?

Za šifriranje da: brezplačno potrdilo Let’s Encrypt daje enako močno šifriranje kot plačljivo. Plačljivo potrdilo se razlikuje po overjanju podatkov podjetja in z njim povezanih storitvah, z vidika varstva podatkov ni obvezno.

Kdo odgovarja, če vdrejo v mojo spletno stran?

Odvisno od tega, kje je bila napaka. Če je napadalec vstopil prek operacijskega sistema strežnika ali infrastrukture ponudnika, ponudnik. Če prek zastarelega vtičnika, šibkega gesla ali slabo nastavljenega obrazca, potem ti kot upravljavec. Obveznost prijave v obeh primerih bremeni upravljavca, ponudnik pa pri tem pomaga.

Ali za GDPR potrebujem poseben vtičnik WordPress?

WordPress vsebuje orodja za zasebnost (predloga strani o zasebnosti, izvoz in izbris osebnih podatkov), za pasico s piškotki in upravljanje privolitev pa je običajno potreben vtičnik. Vtičnik sam po sebi strani ne naredi zakonite: nastavitve morajo odražati resnično obdelavo, preveriti pa je treba tudi, da se merilne kode res naložijo šele po privolitvi.

Kako dolgo smem hraniti podatke?

Dokler je to potrebno za dosego namena ali dokler to predpisuje zakon. Račune in računovodske listine je treba v Sloveniji na primer hraniti 10 let, kontaktnega sporočila pa po odgovoru na vprašanje običajno ni upravičeno hraniti dolgo. Roke hrambe zapiši v obvestilo o zasebnosti.

Kolikšno globo lahko pričakujem?

GDPR omogoča globo do 20 milijonov evrov ali v višini 4 % letnega svetovnega prometa, vendar nadzorni organ znesek prilagodi teži kršitve in velikosti podjetja. Pri malih podjetjih je globa običajno za velikostne razrede manjša, organ pa pogosto najprej pozove k odpravi kršitve. Najboljša obramba je dokumentirana, premišljena obdelava podatkov.

• varstvo podatkov
• zakonodaja
• spletno gostovanje
• varnost spletne strani
• vodniki