Alkohol i energetska pića online: provjera dobi preko e-Građana od 15. 9. 2026.

Rok nije pomaknut. Obavijest Ministarstva gospodarstva od 27. srpnja 2026. s rokom 15. rujna i dalje je, na dan 31. listopada 2026., istaknuta na njegovim stranicama kao važeća uputa, a pravnoj osobi koja alkohol ili energetska pića prodaje online bez propisane provjere prijeti kazna od 5.000 do 39.810 eura. Obveza ne pogađa samo specijalizirane trgovine pića: obuhvaća i internetske platforme, a obrazac za upis predviđa obrte i obiteljska poljoprivredna gospodarstva, pa i vinariju koja vlastito vino prodaje preko webshopa.

U nastavku su četiri stvari: što Zakon o izmjenama i dopunama Zakona o trgovini (NN 59/2026) točno traži, kako provjera tehnički radi, kako je ugraditi u checkout i kojim redom ide upis. Ako ste rok propustili, na kraju piše što napraviti ovaj tjedan.

Ukratko

• Obveza vrijedi za alkoholna pića, pića koja sadrže alkohol i energetska pića prodana putem interneta, od 15. rujna 2026.
• Provjera ide preko sustava e-Građani, odnosno aplikacije m-Građani. Webshop natrag dobiva samo potvrdu je li kupac punoljetan, bez imena i OIB-a.
• Prije integracije webshop se mora upisati u evidenciju i dobiti client_id. Zahtjevi se prosljeđuju jednom tjedno, petkom.
• Ako kupac odbije provjeru, prodaja tih artikala mora se uskratiti.

Što točno propisuje članak 11.a Zakona o trgovini

Zakon je objavljen u Narodnim novinama 9. lipnja 2026., stupio je na snagu osmoga dana od objave, 17. lipnja, a članak 8. trgovcima je dao 90 dana da procese usklade s novim člankom 11.a. Otuda datum 15. rujna 2026., koji Ministarstvo gospodarstva navodi i u obavijesti o primjeni. Sadržaj obveze:

• Tko: trgovci, osobe iz članka 5. stavka 1. podstavaka 1. i 5. Zakona o trgovini i internetske platforme koji putem interneta prodaju alkoholna pića, pića koja sadrže alkohol i energetska pića.
• Što: kroz vlastiti informacijski sustav moraju implementirati i osigurati korištenje tehničkog rješenja za vjerodostojnu provjeru punoljetnosti kupca. Provjera se provodi posredstvom sustava e-Građani.
• Obveza kupca: kupac je dužan punoljetnost dokazati korištenjem tog sustava (stavak 3.).
• Upis u evidenciju: zahtjev se podnosi elektronički Ministarstvu gospodarstva. Zakon traži naziv, matični broj i OIB, a ministarstvo podatke potrebne za tehničko rješenje dostavlja najkasnije pet radnih dana od urednog zahtjeva.
• Ograničenje podataka: podaci dobiveni provjerom smiju se koristiti isključivo za trenutačnu verifikaciju, sukladno propisima o zaštiti osobnih podataka.
• Odbijanje provjere: ako je kupac odbije, prodaja se mora uskratiti (stavak 8.).

Ostale izmjene iz istog zakona

Isti zakon u članku 11. stavku 5. zabranjuje prodaju energetskih pića osobama mlađima od 18 godina u trgovini na malo općenito, ne samo online, a provjeru dobi uz osobnu ispravu proširuje i na samoposlužne blagajne (članak 11. stavak 8.). Novi članak 57.b jedinicama lokalne samouprave dopušta da odlukom ograniče prodaju alkoholnih pića u prodajnim objektima između 21 i 6 sati. Taj članak govori o prodajnim objektima, a ne izričito o internetskoj prodaji, pa trgovina koja ima i fizičku vinoteku treba pratiti odluku svog grada ili općine.

Novi članak 70.a propisuje kazne od 5.000 do 39.810 eura za pravnu osobu, od 2.000 do 6.630 eura za odgovornu osobu u pravnoj osobi, od 5.000 do 13.270 eura za obrtnika i osobu koja obavlja drugu samostalnu djelatnost te od 2.000 do 6.630 eura za fizičku osobu. Među prekršajima su prodaja putem interneta bez provjere preko e-Građana, prodaja bez upisa u evidenciju i prodaja kupcu koji je provjeru odbio.

Kako provjera tehnički radi

Ministarstvo je uz obavijest objavilo tehničku uputu iz koje je jasno da nije riječ o obrascu ni o učitavanju osobne iskaznice. Tijek odgovara standardnom OpenID Connect postupku s autorizacijskim kodom i PKCE zaštitom. Jedna provjera izgleda ovako:

1. Preusmjeravanje. Webshop šalje preglednik kupca na autorizacijsku adresu sustava s parametrima response_type=code, client_id, redirect_uri, scope=age.alcohol, nasumičnim state i nonce te code_challenge izračunatim metodom S256.
2. Potvrda na mobitelu. Kupac na prikazanoj stranici otvara aplikaciju m-Građani preko poveznice ili QR koda i potvrđuje provjeru. Stranica u međuvremenu prati status sesije.
3. Povratak u webshop. Preglednik se vraća na registrirani redirect_uri s jednokratnim kodom i istim state. Ako se state ne podudara, zahtjev se odbacuje.
4. Zamjena koda za token. Backend webshopa, ne preglednik, šalje kod i izvorni code_verifier na token endpoint.
5. Provjera tokena. Stiže id_token, JWT potpisan algoritmom RS256. Backend mora provjeriti potpis javnim ključem s JWKS adrese te vrijednosti aud, nonce, iss i istek tokena.
6. Odluka. Claim age.alcohol ima vrijednost true ili false. Narudžba s ograničenim artiklima ide dalje samo uz true.

Token ne sadrži ime ni OIB. Identifikator sub je pseudonim koji je različit za svaki webshop, pa trgovac iz provjere ne može saznati tko je kupac. Uputa traži da code_verifier generira backend i da nikad ne prođe kroz preglednik, URL ili local storage, a jednokratni kod smije se iskoristiti samo jednom. Zato se ova integracija ne rješava skriptom zalijepljenom u predložak: treba joj serverski dio koji čuva stanje provjere i validira token.

Kako to ugraditi u checkout, a da ostali kupci ništa ne primijete

Zakon kaže što mora biti provjereno, ne gdje u procesu kupnje. Ovako taj korak projektiramo kad je provjera dio webshopa od početka:

• Oznaka na artiklu, ne na kategoriji. Svaki proizvod nosi atribut „ograničeno 18+”. Energetsko piće u kategoriji „napitci” ili poklon-paket s bocom vina lako promaknu pravilu koje gleda samo kategoriju „alkohol”.
• Uvjetni korak. Provjera se pokreće samo ako košarica sadrži označeni artikl. Kupac koji naručuje sokove i čaše ne vidi ništa novo.
• Prije plaćanja, ne poslije. Ako kupac odbije ili ne završi provjeru, prodaja se mora uskratiti. Korak prije autorizacije kartice znači da nema naplate koju treba vraćati.
• Izlaz bez slijepe ulice. Kupcu koji nema m-Građane ili odustane ponudite da ukloni ograničene artikle i dovrši ostatak narudžbe.
• Provjera pri svakoj kupnji. Budući da se podaci smiju koristiti samo za trenutačnu verifikaciju, konzervativno rješenje je provjeru ponavljati pri svakoj kupnji, a ne pamtiti oznaku „punoljetan” na korisničkom računu.
• Minimalni zapis. Uz narudžbu je razumno zadržati samo podatak da je provjera provedena i kada, bez tokena i pseudonima. Opseg tog zapisa uskladite sa svojim savjetnikom za zaštitu podataka.

Na WooCommerceu ili Shopifyju provjerite postoji li dodatak koji podržava upravo ovaj tijek (m-Građani, scope=age.alcohol, PKCE) i može li umetnuti korak prije plaćanja samo za označene artikle. Ako ne postoji, integraciju piše developer, uz iste zahtjeve za serverski dio kao kod custom sustava. Isti obrazac, provjera prema državnom sustavu ugrađena u tok narudžbe, vrijedi i za Fiskalizaciju 2.0. Kako webshop povezujemo s vanjskim sustavima opisano je na stranici integracija, a povezivanje naplate na stranici o integraciji plaćanja.

Točan postupak upisa u evidenciju

Prema obavijesti, tehničkoj uputi i obrascu zahtjeva Ministarstva gospodarstva objavljenima 27. srpnja 2026., postupak ide ovim redom:

Zakon ministarstvu daje pet radnih dana od urednog zahtjeva da dostavi podatke za tehničko rješenje, a uputa opisuje tjedno prosljeđivanje petkom. U planu zato računajte barem tjedan dana do client_id-a, plus vrijeme za razvoj, testiranje i potvrdu produkcije.

Rok je prošao: što napraviti ovaj tjedan

Obveza nije nestala 15. rujna, a svaki dan prodaje bez provjere znači izloženost kaznama iz članka 70.a. Tri koraka ne čekaju developera:

1. Pošaljite zahtjev za upis odmah, i ako integracija još nije gotova. Tjedni ciklus teče neovisno o vašem razvoju.
2. Pregledajte cijeli katalog, uključujući energetska pića, pakete i poklon-setove, i označite svaki artikl na koji se obveza odnosi.
3. Privremeno isključite online prodaju označenih artikala dok provjera ne proradi. Zakon ne poznaje prijelazno rješenje s kvačicom.

Ova izmjena pogađa uži krug trgovaca od fiskalizacije ili eRačuna, pa ju je lako previdjeti, osobito u manjim vinarijama, craft pivovarama i specijaliziranim trgovinama pića. Istodobno upis u evidenciju nadzoru daje točan popis webshopova koji bi provjeru trebali imati. Od 17. studenoga 2026. trgovce s web stranicom čekaju i dodatna cijena i dnevni cjenik, a tko je obuhvaćen opisuje tekst Sidrena cijena i XML cjenik. Sve rokove na jednom mjestu ima kalendar zakonskih rokova za webshop, a širi pregled promjena u 2026. tekst Novi zakon za webshopove 2026.

Ako tek gradite webshop za pića

Ako tek planirate webshop za vino, pivo, žestoka ili energetska pića, provjeru dobi stavite u specifikaciju od prvog dana: oznaku na artiklu, uvjetni korak prije plaćanja, serverski dio za token i testiranje s MPUDT-om. Naknadno umetanje u gotov checkout u pravilu je više posla nego ugradnja u temeljni tok narudžbe. Što ozbiljan webshop danas uključuje opisujemo na stranici izrada webshopa.

Zaključak

Provjera punoljetnosti preko e-Građana nije promjena od pet minuta: upis u evidenciju, tjedni ciklus za client_id, serverska integracija, testiranje s jednim testerom i potvrda produkcije. Tko prodaje alkohol ili energetska pića, a postupak još nije pokrenuo, neka zahtjev pošalje danas, a do tada označene artikle ne prodaje online bez provjere.

Ako želite provjeriti kako vaš webshop stoji i s ostalim obvezama iz 2026., checklist webshopa sa 60 provjera prolazi ih redom. Ako vam treba sama integracija ili checkout koji je ima od prvog dana, zatražite ponudu: razgovarat ćete izravno s inženjerom koji će je graditi, a odgovor stiže unutar 24 sata radnim danom.