Akt o podacima: što webshop mora reći uz pametni uređaj

Ako prodajete pametni sat, robotski usisavač, pametnu žarulju ili fritezu koja se spaja na aplikaciju, od 12. rujna 2025. kupcu prije kupnje morate reći koje podatke taj uređaj prikuplja i kako do njih može doći. Obveza je na prodavatelju, ne samo na proizvođaču. Tako propisuje čl. 3. st. 2. Uredbe (EU) 2023/2854, poznate kao Akt o podacima (Data Act). Proveli smo i kratku provjeru 26. rujna 2026.: na 13 stranica takvih proizvoda u 12 webshopova koji prodaju u Hrvatskoj nismo pronašli ni spomen Akta o podacima ni poveznicu na proizvođačev dokument.

Ukratko

• Od 12. 9. 2025. prodavatelj povezanog proizvoda prije sklapanja ugovora kupcu daje barem četiri informacije o podacima uređaja (čl. 3. st. 2.).
• Izuzeće za mala poduzeća prati proizvođača, ne webshop. Mali webshop koji prodaje Xiaomi ili Samsung nije izuzet.
• Xiaomi, Samsung i Apple podatke su već objavili. Preporučujemo sažetak na stranici proizvoda, prije gumba za narudžbu.
• Od 27. 9. 2026. ZZP traži i minimalno razdoblje softverskih ažuriranja, ako ga je proizvođač dao trgovcu.
• Ni Komisijin prijedlog Digital Omnibusa ni stajalište Vijeća EU-a (21. 10. 2026.) ne mijenjaju čl. 3. ni čl. 7. Parlament stajalište još nije donio.
• Hrvatski provedbeni zakon još nije donesen; javno savjetovanje planirano je za IV. tromjesečje 2026.

Što Akt o podacima traži od webshopa

Uredba se izravno primjenjuje u cijeloj EU od 12. rujna 2025. (čl. 50., Uredba (EU) 2023/2854). Prema čl. 3. st. 2., prije sklapanja ugovora o kupoprodaji, najmu ili leasingu povezanog proizvoda prodavatelj kupcu „na jasan i razumljiv način” pruža barem informacije o sljedećem:

Uredba navodi „prodavatelj, najmodavac ili davatelj leasinga, koji mogu biti proizvođač”. Obvezu, dakle, ima svaki trgovac koji uređaj prodaje krajnjem kupcu, osim za proizvode izuzete prema čl. 7.

Koji su proizvodi „povezani proizvodi”

Povezani proizvod je predmet koji pribavlja, generira ili prikuplja podatke o svojoj uporabi ili okruženju i može ih prenositi putem elektroničke komunikacijske usluge, fizičke veze ili pristupa na uređaju (čl. 2. t. 5.), primjerice preko Wi-Fija ili Bluetootha. Nisu obuhvaćeni uređaji kojima je glavna funkcija pohrana, obrada ili prijenos podataka u ime nekoga tko nije korisnik. Komisija kao primjere navodi pametne kućanske aparate, potrošačku elektroniku, pametne telefone, televizore, medicinske uređaje i industrijske strojeve (Komisija, FAQ o Aktu o podacima, v1.4, 22. 1. 2026., pitanje 7).

Popis nije ograničen na satove i mobitele. Xiaomi je dokumente za Akt o podacima objavio i za svoje pametne friteze na vrući zrak, kuhala za vodu i električnu četkicu za zube. U dokumentu za četkicu sam napominje da nisu sve njegove četkice povezani proizvodi. Je li artikl povezani proizvod, utvrđuje se po modelu, ne po kategoriji.

Obveza je na prodavatelju, a mali webshop nije izuzet

Čl. 7. st. 1. isključuje obveze iz poglavlja II. za podatke koje generiraju proizvodi koje je proizvelo ili dizajniralo mikropoduzeće ili malo poduzeće, pod uvjetom da nema partnersko ili povezano poduzeće koje nije mikro ili malo i da mu proizvodnju ili dizajn tog proizvoda nije podugovaranjem povjerilo drugo poduzeće. Isto vrijedi za proizvode poduzeća koje je srednje poduzeće manje od godinu dana, kao i za povezane proizvode tijekom godine dana nakon što ih je srednje poduzeće stavilo na tržište. Veličina se određuje prema Preporuci 2003/361/EZ.

Izuzeće prati proizvođača, a ne trgovca. Webshop s troje zaposlenih koji prodaje Xiaomijev sat ne može se pozvati na vlastitu veličinu, jer je sat proizveo velik proizvođač. Obrnuto, mala hrvatska tvrtka koja sama razvije i prodaje povezani uređaj, primjerice pametnu vagu za košnice, u pravilu je za taj proizvod izuzeta. Tu razliku u hrvatskim pregledima Uredbe koje smo pročitali nismo pronašli.

Rabljeni uređaji i B2B kupci

Komisija izričito navodi da obvezu iz čl. 3. ima i prodavatelj rabljenog povezanog proizvoda (FAQ, pitanje 11). „Korisnik” je fizička ili pravna osoba (čl. 2. t. 12.), pa obveza vrijedi i za B2B webshop koji tvrtkama prodaje senzore, alate s aplikacijom ili strojeve. Ako pametne uređaje prodajete pod vlastitim brendom, pogledajte i što traži Cyber Resilience Act: za kibernetičku sigurnost tada ste proizvođač, sa znatno širim obvezama.

Što smo pronašli na 12 webshopova

Dana 26. rujna 2026. za četiri povezana uređaja pretraživali smo tražilicom, upitima s nazivom modela i riječima „cijena”, „kupi” ili „webshop” i uzeli stranice proizvoda trgovaca iz rezultata, bez usporednika cijena. Uređaji su Xiaomi Redmi Watch 5 Active (Xiaomi ga u svom dokumentu za Akt o podacima izričito navodi kao povezani proizvod), Samsung Galaxy Watch8 te robotski usisavači serija Xiaomi X20 i Roborock Q7. U HTML-u svake stranice tražili smo riječi „Akt o podacima” i „Data Act”, broj Uredbe i poveznicu na proizvođačevu stranicu za Data Act. Iste pojmove tražili smo i na naslovnicama trgovina.

Tri stranice smo isključili (dvije 404, jedna blokirana zaštitom od botova). Tražili smo pojmove, pa provjera ne pokazuje jesu li točke (a) do (d) opisane drugim riječima. Nismo pregledavali opće uvjete, korak naplate ni sadržaj koji se učitava tek nakon JavaScripta. To je stvarno ograničenje: pretraživanjem smo naišli na jednog hrvatskog prodavača Apple opreme koji tekst čl. 3. st. 2. ima u općim uvjetima kupnje i upućuje na Appleovu stranicu za Akt o podacima. Ovo je brza provjera, ne reprezentativan uzorak, a imena trgovina ne objavljujemo.

Uz ta ograničenja: Xiaomi i Samsung podatke su pripremili, a na pregledanim stranicama proizvoda nismo našli ni spomen Akta ni poveznicu na te dokumente. Je li trgovac informaciju dao drugdje prije sklapanja ugovora, ova provjera ne pokazuje.

Kako to riješiti u katalogu i na stranici proizvoda

Uredba ne propisuje format. Propisuje sadržaj (najmanje četiri točke), trenutak (prije sklapanja ugovora) i način (jasno i razumljivo). Xiaomijev dokument za satove za svaku vrstu podataka navodi svrhu, format, količinu, prikupljaju li se u stvarnom vremenu, gdje se pohranjuju i koliko dugo, a za pristup upućuje na dataact.mi.com. Samsung ima portal dataact.samsung.com.

Primjer sažetka za Redmi Watch 5 Active, sastavljenog samo od podataka iz Xiaomijeva dokumenta za satove (verzija od 24. 3. 2026.):

Naše čitanje, ne tumačenje nadležnog tijela: rečenica u općim uvjetima koja samo prepisuje čl. 3. st. 2. ne daje kupcu podatke o konkretnom uređaju, pa sama teško ispunjava obvezu. Isto vrijedi za poveznicu na dokument samo na engleskom, jer „razumljivo” treba mjeriti prema prosječnom hrvatskom kupcu. Kratki sažetak na hrvatskom uz poveznicu na izvor lako je obraniti. Kako takva polja povezati s nabavom, opisali smo u vodiču o integraciji webshopa s ERP-om, dostavom i plaćanjem.

Proizvodi stavljeni na tržište nakon 12. rujna 2026.

Za povezane proizvode stavljene na tržište nakon 12. rujna 2026. proizvođač mora osigurati da su podaci korisniku dostupni automatski, jednostavno, sigurno i besplatno, u strojno čitljivom formatu, a ako je to relevantno i tehnički izvedivo, i izravno (čl. 3. st. 1. i čl. 50.). Komisija naglašava da se stavljanje na tržište odnosi na svaki pojedini proizvod, ne na model (FAQ, pitanje 8). Stara i nova zaliha istog modela zato mogu imati različit pristup podacima, pa pri svakoj novoj seriji provjerite je li proizvođač izmijenio dokument.

Od 27. rujna 2026.: razdoblje softverskih ažuriranja

Izmjene Zakona o zaštiti potrošača (NN 59/2026) od 27. rujna 2026. za robu s digitalnim elementima koju prodajete potrošačima dodaju još dvije stavke:

• čl. 60. st. 1. t. 18. ZZP-a: prije sklapanja ugovora na daljinu trgovac obavještava potrošača o minimalnom razdoblju u kojem proizvođač pruža ažuriranja softvera, ako je proizvođač tu informaciju učinio dostupnom trgovcu;
• čl. 37. t. 33. ZZP-a: uvijek je nepoštena poslovna praksa uskratiti potrošaču informaciju da će ažuriranje softvera negativno utjecati na funkcioniranje robe.

U praksi jedan blok „Podaci i ažuriranja” na stranici pametnog uređaja pokriva oba propisa. Ostale obveze koje vrijede od 27. rujna 2026. opisali smo u članku o EU oznaci jamstva na webshopu.

Tko nadzire i kakve su kazne u Hrvatskoj

Kazne za kršenje Akta o podacima propisuju države članice, a o njima su trebale obavijestiti Komisiju do 12. rujna 2025. (čl. 40. st. 1. i 2.). Hrvatski zakon još nije donesen: Ministarstvo pravosuđa, uprave i digitalne transformacije u planu savjetovanja za 2026. predviđa javno savjetovanje o Zakonu o provedbi Uredbe (EU) 2023/2854 u IV. tromjesečju 2026. (MPUDT, plan savjetovanja). Pri ponovnoj provjeri 31. listopada 2026. plan je bio nepromijenjen, a nismo pronašli ni propis kojim je u Hrvatskoj određeno nadležno tijelo za Akt o podacima ni raspon kazni. Hrvatski sabor taj je zakon u Planu usklađivanja zakonodavstva s pravnom stečevinom EU za 2026. predvidio za sjednice u II. tromjesečju 2026. (točka 42., nositelj MPUDT, NN 26/2026), pa zakon kasni i u odnosu na taj plan.

To ne znači da obveza ne vrijedi. Uredba se primjenjuje izravno, a otvorena su i ova tri puta:

• Osobni podaci: za dio koji se odnosi na zaštitu osobnih podataka nadležno je tijelo za GDPR, u Hrvatskoj AZOP, koje za povrede poglavlja II. u okviru svoje nadležnosti može izreći upravne novčane kazne (čl. 37. st. 3. i čl. 40. st. 4.).
• Prekogranični nadzor: Akt o podacima dodan je u Prilog Uredbi (EU) 2017/2394 o suradnji tijela za zaštitu potrošača (čl. 47.).
• Predstavničke tužbe: uvršten je i u Prilog I. Direktivi (EU) 2020/1828, pa ovlašteni subjekti, primjerice udruge potrošača s tim statusom, mogu podnijeti predstavničku tužbu (čl. 48.).

Digital Omnibus: stanje postupka na dan 31. listopada 2026.

Za webshop zasad ništa. Komisijin prijedlog Digital Omnibusa iz studenoga 2025. predlaže izmjene više članaka Akta o podacima, među njima pravila o poslovnim tajnama (čl. 4. st. 8. i čl. 5. st. 11.), prebacivanje između usluga u oblaku i pametne ugovore, ali ne čl. 3. ni čl. 7. (COM(2025) 837). Vijeće EU-a usvojilo je 21. listopada 2026. pregovaračko stajalište, uz jaču zaštitu poslovnih tajni od curenja u treće zemlje (Vijeće EU-a, priopćenje). Ni stajalište Vijeća ne mijenja čl. 3. ni čl. 7. (mandat Vijeća, ST 14756/26). Stajalište Vijeća dira i odredbe o nadzoru i kaznama (čl. 37. i čl. 40.), pa ćemo dio o AZOP-u provjeriti kad tekst bude konačan. Europski parlament svoje stajalište još nije donio: postupak 2025/0360(COD) na dan 31. listopada 2026. stoji u fazi „čeka odluku odbora” (Legislative Observatory). Pregovori Vijeća i Parlamenta počinju tek nakon toga, pa do objave izmjena vrijedi postojeći tekst Uredbe.

Zaseban dio istog paketa, koji se odnosi na AI Act, već je donesen: Vijeće ga je usvojilo 29. lipnja 2026., a objavljen je kao Uredba (EU) 2026/1744 od 8. srpnja 2026., o čemu smo pisali u članku o Digital Omnibusu i AI Actu. Sve rokove na jednom mjestu imate u kalendaru zakonskih rokova za webshop 2026.

Redoslijed: četiri koraka za webshop

1. Označite povezane proizvode, uključujući male kućanske aparate s aplikacijom.
2. Za svaki model spremite proizvođačev dokument i napišite sažetak od četiri točke na hrvatskom, vidljiv prije narudžbe.
3. Dodajte minimalno razdoblje softverskih ažuriranja (obveza ZZP-a od 27. rujna 2026.), ako ga proizvođač daje.
4. Kad Ministarstvo objavi nacrt provedbenog zakona, provjerite nadzorno tijelo i kazne. Ako se dogovori Digital Omnibus, provjerite mijenja li konačni tekst čl. 3., čl. 7. ili odredbe o nadzoru i kaznama.

Ovaj članak nije pravni savjet. Za svoj slučaj obratite se pravniku ili, nakon donošenja provedbenog zakona, nadležnom tijelu.

Webshopove gradimo tako da su ovakvi podaci polja kataloga, a ne ručno kopirani tekst; kako izgleda cijeli projekt, opisali smo na stranici izrada webshopa. Ako želite da vaš katalog zna koji su artikli povezani proizvodi, zatražite ponudu: razgovarate izravno s inženjerom koji ga gradi, a odgovor stiže unutar 24 sata radnim danom.