Third-Party Trackeri — Google Analytics, Facebook Pixel i GDPR

Sta prikupljaju, Schrems II posledice, GDPR-compliant alternative i server-side tracking

1. Sta su third-party trackeri i kako rade

Third-party trackeri su skripte i kolacici koje postavljaju trece strane (ne vas sajt) na uredjaj korisnika. Prikupljaju podatke o ponasanju, interesovanjima i identitetu korisnika — cesto na vise sajtova odjednom.

• Korisnik poseti vasajt.rs → Google Analytics skripta se ucitava → salje podatke Google-u
• Isti korisnik poseti drugiajt.rs → isti GA kolacic → Google zna da je ista osoba
• Cross-site tracking: Facebook Pixel, Google Ads i LinkedIn prate korisnike KROZ sajtove za ciljano reklamiranje

2. Najcesci trackeri i sta prikupljaju

Tracker	Kompanija	Sta prikuplja	Kolacici	GDPR rizik
Google Analytics (GA4)	Google	Stranice, dogadjaji, lokacija, uredjaj, demografija	_ga, _gid (2 godine)	Visok (Schrems II)
Google Tag Manager	Google	Sam ne prikuplja — kontejner za druge skripte	Zavisi od tagova	Srednji
Meta Pixel (FB)	Meta	Posete, konverzije, pretraga, dodavanje u korpu	_fbp, _fbc (90 dana)	Vrlo visok
Hotjar	Hotjar (EU)	Session recording, heatmaps, klikovi, scroll	_hjSessionUser (1 god)	Srednji (EU hosting)
Microsoft Clarity	Microsoft	Session recording, heatmaps, klikovi	_clck, _clsk	Srednji
LinkedIn Insight	LinkedIn	Posete, konverzije, demografija profesionalaca	bcookie, li_sugr	Visok
Google AdSense	Google	Interesovanja, demografija za ciljane reklame	Mnostvo (IDE, DSID...)	Vrlo visok

3. Schrems II presuda i Google Analytics

Schrems II (CJEU, jul 2020) je presuda koja je poniitila EU-US Privacy Shield — pravni okvir za transfer podataka iz EU u SAD. Posledice za Google Analytics:

• Jan 2022 — Austrijski DPA: koriscenje GA je nelegalno jer podaci idu u SAD bez adekvatne zastite
• Feb 2022 — CNIL (Francuska): isto zakljucenje, naredba za prestanak koriscenja GA
• Jun 2022 — Garante (Italija): 90 dana rok za uskladjivanje ili prestanak koriscenja
• Jul 2023 — EU-US Data Privacy Framework (DPF) usvojen — novi pravni osnov za transfer
• 2024-2026 — DPF je na snazi ali pravna neizvesnost ostaje (moguc Schrems III)

4. GDPR-compliant alternative

Alternativa	Hosting	Cena	Kolacici	Consent potreban?	Open source
Plausible	EU (Nemacka)	Od €9/mesec	Nula	Obicno ne*	Da
Matomo	Self-hosted / EU cloud	Besplatan (self) / od €19	Opciono	Zavisi od konfig.	Da
Fathom	EU processing	Od $14/mesec	Nula	Obicno ne*	Ne
Simple Analytics	EU (Holandija)	Od €9/mesec	Nula	Ne	Ne
Umami	Self-hosted	Besplatan	Nula	Ne	Da
PostHog	EU opcija	Besplatan tier	Da	Da	Da

* "Obicno ne" jer ne koriste kolacice i ne prikupljaju PII, ali strogo pravno, neke jurisdikcije mogu zahtevati consent cak i za cookieless analytics (IP adresa je licni podatak).

5. Google Consent Mode v2

Obavezan od marta 2024 za sajtove sa Google servisima i EU korisnicima. Detaljnije u nasem Cookie Consent vodicu.

• Bez Consent Mode: Google ne obradjuje EU podatke, remarketing ne radi
• Sa Consent Mode + denied: Google koristi "modeling" (procenjuje podatke bez PII)
• Sa Consent Mode + granted: puno prikupljanje podataka
• Obavezni signali: ad_storage, analytics_storage, ad_user_data, ad_personalization

6. Server-side tracking

Server-side tracking (SST) je pristup gde se podaci salju VASEM serveru prvo, pa vas server prosledjuje filtrirane podatke trecim stranama.

Kako radi

<!-- Tradicionalno (client-side) -->
Browser → Google Analytics (direktno)
Browser → Facebook Pixel (direktno)
Browser → Hotjar (direktno)
(Korisnik vidi sve skripte, ad-blocker ih blokira)

<!-- Server-side -->
Browser → Vas Server (first-party)
  → Server filtrira/anonimizuje podatke
  → Server salje Google-u (samo ono sto zelite)
  → Server salje Facebook-u (samo konverzije)
(Korisnik vidi samo zahtev ka vasem serveru)

Prednosti SST

• Kontrola nad podacima — vi odlucujete sta se salje trecim stranama
• Anonimizacija — mozete ukloniti IP, User-Agent pre slanja
• Ad-blocker otpornost — zahtevi idu ka vasem domenu, ne ka google-analytics.com
• GDPR uskladjenost — lakse dokazati da kontrolisete tok podataka

Implementacija

• Google Tag Manager Server-Side — Google Cloud Run + GTM server container
• Stape.io — managed SST za GTM (od $20/mesec)
• Custom endpoint — vas FastAPI/Express server koji prima events i prosledjuje GA4 Measurement Protocol-u

7. Kako detektovati trackere na sajtu

• Web Security Scanner — automatski detektuje poznate trackere (GA, FB, Hotjar, Clarity, LinkedIn) na vasem sajtu
• Chrome DevTools — Network tab → filtrirajte po "google-analytics", "facebook", "hotjar"
• Blacklight — skenira sajt za trackere, kolacice i fingerprinting
• Ghostery / uBlock Origin — browser extensioni koji prikazuju sve trackere na stranici
• Cookiebot Scanner — detektuje sve kolacice i trackere, mapira ih po kategorijama

8. Najcesce greske

• Ucitavanje trackera pre consent-a — #1 greska. GA/FB skripta u <head> se ucitava odmah. Koristite Consent Mode ili blokirajte skriptu do consent-a.
• "Nama ne treba consent jer koristimo GA4" — GA4 i dalje prikuplja licne podatke (IP). Consent je obavezan.
• Zaboravljen Hotjar/Clarity — Session recording prikuplja SVE sto korisnik radi, ukljucujuci osetljive podatke u formama. Zahteva consent + konfiguraciju da maskira osetljiva polja.
• Facebook Pixel bez LDU — Meta nudi Limited Data Use za EU ali ga morate eksplicitno ukljuciti.
• Ne navodite trackere u Privacy Policy — GDPR zahteva da navedete SVE primaoce podataka.
• Server-side tracking = "ne treba consent" — NETACNO. SST menja KO salje podatke, ne DA LI se prikupljaju.

9. Reference i resursi

• NOYB — Schrems II Complaints
• CNIL — Google Analytics Decision
• Google — Consent Mode v2
• Plausible Analytics
• Matomo Analytics
• Fathom Analytics
• Umami — Open Source Analytics
• Blacklight — Tracker Scanner
• EDPB — Transfer Recommendations

Proverite trackere na vasem sajtu →