AZOP je od 2020. godine izdao 32 upravne novčane kazne u ukupnom iznosu od 3,1 milijun eura. Samo u prvih pet mjeseci 2023. godine izrečeno je 13 kazni u visini od 2,3 milijuna eura. Najveća kazna do sada iznosila je 2,26 milijuna eura.
Većina tvrtki u Hrvatskoj i dalje ne razumije kako izbjeći GDPR kazne. Ovaj vodič otkriva najčešće greške koje koštaju milijune, s konkretnim primjerima iz hrvatskih slučajeva. Naučit ćete što pokreće kazne, kako prepoznati ranjivosti u vašoj organizaciji i korak-po-korak rješenja koja možete implementirati već danas.
Vrijeme čitanja: 10 minuta.
Želite li provjeriti usklađenost vaše tvrtke s GDPR-om? Pregledajte naše tečajeve koji pokrivaju GDPR usklađenost i zaštitu podataka.
Zašto GDPR kazne rastu u Hrvatskoj
AZOP (Agencija za zaštitu osobnih podataka) povećava broj provjera i strože primjenjuje propise. Od početka primjene GDPR-a u svibnju 2018. godine, broj izrečenih kazni u Hrvatskoj značajno je porastao.
Prema podacima AZOP-a, od 2020. godine izrečeno je 32 upravne novčane kazne. Ukupan iznos kazni doseže 3,1 milijun eura. Trend je zabrinjavajući: samo u prvih pet mjeseci 2023. godine izrečeno je 13 kazni u visini od 2,3 milijuna eura.
Najveće GDPR kazne u Hrvatskoj
Najveća kazna do sada izrečena u Hrvatskoj iznosila je 2,26 milijuna eura. Dodijeljena je agenciji za naplatu potraživanja B2 Kapital zbog kršenja više odredbi GDPR-a.
Druga najveća kazna iznosila je 30.000 eura za tvrtku iz sektora kockanja i klađenja zbog nezakonite obrade osobnih podataka putem kolačića. Treća najveća kazna iznosila je 20.000 eura, također za tvrtku iz istog sektora.
Ove kazne pokazuju da AZOP ne štedi ni velike ni male tvrtke. Svaka organizacija koja obrađuje osobne podatke mora biti usklađena s GDPR-om.
Želite li naučiti kako implementirati GDPR u vašoj organizaciji? Pregledajte naš tečaj o GDPR usklađenosti koji pokriva sve aspekte implementacije, od pristanka do rukovanja pravima pojedinaca.
Što su GDPR kazne i kako se izračunavaju
Prema članku 83. GDPR-a, za najteža kršenja predviđene su kazne do 20 milijuna eura ili do 4% ukupnog godišnjeg prometa na svjetskoj razini, ovisno o tome što je veće.
AZOP razmatra nekoliko čimbenika pri određivanju visine kazne:
- Priroda i težina kršenja: Koliko je ozbiljno kršenje i koliko osoba je pogođeno
- Namjernost ili nepažnja: Je li kršenje bilo namjerno ili zbog nepažnje
- Mjere za sprječavanje kršenja: Je li tvrtka poduzela mjere za zaštitu podataka
- Povijest kršenja: Ima li tvrtka prethodne kazne
- Suradnja s AZOP-om: Kako je tvrtka surađivala tijekom istrage
Kategorije GDPR kazni
GDPR kazne dijele se u dvije kategorije:
Kategorija 1 - Do 10 milijuna eura ili 2% godišnjeg prometa:
- Neadekvatne tehničke i organizacijske mjere
- Neispravno vođenje evidencije obrade podataka
- Neispravno imenovanje DPO-a (Data Protection Officer)
- Neispravno provođenje procjene utjecaja na zaštitu podataka
Kategorija 2 - Do 20 milijuna eura ili 4% godišnjeg prometa:
- Kršenje osnovnih načela obrade podataka
- Neispravno dobivanje pristanka
- Neispravno rukovanje pravima pojedinaca
- Neispravno prenošenje podataka u treće zemlje
Najčešće greške koje vode do GDPR kazni
Prema analizi kazni izrečenih u Hrvatskoj, većina kršenja dolazi iz pet glavnih grešaka.
1. Neispravno upravljanje pristankom
Najčešća greška je neispravno dobivanje i upravljanje pristankom za obradu osobnih podataka. Tvrtke često:
- Traže pristanak za sve svrhe odjednom
- Ne omogućavaju lako povlačenje pristanka
- Ne vode evidenciju kada je pristanak dan
- Koriste pre-checked checkboxe (što nije valjani pristanak)
Primjer iz prakse: AZOP je izrekao kaznu od 30.000 eura tvrtki koja je koristila kolačiće bez valjanog pristanka. Tvrtka je imala pre-checked checkbox koji nije zadovoljavao GDPR zahtjeve.
2. Neispravno rukovanje pravima pojedinaca
GDPR daje pojedincima osam osnovnih prava. Tvrtke često ne poštuju ova prava:
- Pravo na pristup podacima
- Pravo na ispravak
- Pravo na brisanje ("pravo na zaborav")
- Pravo na ograničenje obrade
- Pravo na prenosivost podataka
- Pravo na prigovor
- Pravo na odluku o automatiziranoj obradi
- Pravo na obavještavanje o kršenju
3. Neispravno vođenje evidencije obrade podataka
Svaka tvrtka koja obrađuje osobne podatke mora voditi evidenciju obrade podataka. Većina tvrtki u Hrvatskoj ne vodi ovu evidenciju ili je vodi neispravno.
Evidencija mora sadržavati:
- Svrhu obrade podataka
- Kategorije osoba čiji se podaci obrađuju
- Kategorije osobnih podataka
- Primatelje podataka
- Rokove brisanja podataka
- Tehničke i organizacijske mjere zaštite
4. Neispravno rukovanje kršenjem podataka
Ako dođe do kršenja podataka koje predstavlja rizik za prava i slobode pojedinaca, morate obavijestiti AZOP unutar 72 sata. Ako je rizik visok, morate obavijestiti i pojedince čiji su podaci ugroženi.
Većina tvrtki:
- Ne prepoznaje što je kršenje podataka
- Ne obavještava AZOP na vrijeme
- Ne obavještava pojedince kada je potrebno
- Ne vodi evidenciju kršenja
5. Neispravno upravljanje dobavljačima
Ako dijelite osobne podatke s dobavljačima (npr. hosting, marketing agencije), morate imati ugovor o obradi podataka. Većina tvrtki nema ove ugovore ili ih ima neispravno sastavljene.
Primjer iz prakse: Tvrtka je dijelila osobne podatke s marketing agencijom bez valjanog ugovora o obradi podataka. AZOP je izrekao kaznu jer tvrtka nije osigurala da dobavljač poštuje GDPR zahtjeve.
Spremni za implementaciju GDPR-a? Naš tečaj o GDPR usklađenosti uključuje praktične predloške i vodiče koji vam omogućuju da implementirate sve potrebne procese u vašoj organizaciji.
Kako izbjeći GDPR kazne: korak-po-korak vodič
Evo praktičnog vodiča kako zaštititi vašu tvrtku od GDPR kazni.
Korak 1: Provedite procjenu usklađenosti
Prvo, procijenite gdje se vaša tvrtka trenutno nalazi u odnosu na GDPR zahtjeve. Provedite internu provjeru ili angažirajte vanjskog stručnjaka.
Provjerite:
- Imate li evidenciju obrade podataka
- Kako dobivate pristanak za obradu podataka
- Kako rješavate zahtjeve pojedinaca
- Imate li mjere zaštite podataka
- Imate li ugovore s dobavljačima
Korak 2: Implementirajte sustav upravljanja pristankom
Implementirajte sustav koji vam omogućuje:
- Dobivanje valjanog pristanka za svaku svrhu obrade
- Lako povlačenje pristanka
- Vođenje evidencije pristanka
- Razlikovanje između različitih vrsta pristanka
Korak 3: Postavite procese za rukovanje pravima pojedinaca
Postavite procese koji vam omogućuju da odgovorite na zahtjeve pojedinaca unutar 30 dana. To uključuje:
- Sustav za primanje zahtjeva
- Proces provjere identiteta pojedinca
- Proces prikupljanja i pripreme podataka
- Proces brisanja podataka kada je potrebno
Korak 4: Implementirajte mjere zaštite podataka
Implementirajte tehničke i organizacijske mjere zaštite podataka:
- Enkripcija podataka
- Kontrola pristupa podacima
- Redovite sigurnosne provjere
- Obuka zaposlenika o zaštiti podataka
- Plan odgovora na kršenje podataka
Korak 5: Osigurajte ugovore s dobavljačima
Osigurajte da svi vaši dobavljači koji obrađuju osobne podatke imaju valjane ugovore o obradi podataka. Ugovor mora sadržavati:
- Svrhu obrade podataka
- Vrstu podataka koje se obrađuju
- Dužnosti dobavljača
- Mjere zaštite podataka
- Pravila povrata ili brisanja podataka
Što učiniti ako dobijete GDPR kaznu
Ako dobijete GDPR kaznu od AZOP-a, imate pravo na žalbu. Međutim, važno je da razumijete proces i svoje opcije.
Proces žalbe
Imate 15 dana da podnesete žalbu na kaznu. Žalbu možete podnijeti:
- Pismeno AZOP-u
- E-poštom na službenu adresu AZOP-a
- Putem e-građana
U žalbi morate obrazložiti zašto smatrate da kazna nije opravdana. Možete priložiti dokaze koji podupiru vašu žalbu.
Smanjenje kazne
AZOP može smanjiti kaznu ako:
- Tvrtka je surađivala tijekom istrage
- Tvrtka je poduzela mjere za ispravljanje kršenja
- Tvrtka nema prethodne kazne
- Kazna bi predstavljala neproporcionalan teret za tvrtku
Zaključak: zaštitite vašu tvrtku od GDPR kazni
GDPR kazne u Hrvatskoj rastu. AZOP je od 2020. godine izdao 32 kazne u ukupnom iznosu od 3,1 milijun eura. Najveća kazna iznosila je 2,26 milijuna eura.
Većina kazni dolazi iz pet glavnih grešaka:
- Neispravno upravljanje pristankom
- Neispravno rukovanje pravima pojedinaca
- Neispravno vođenje evidencije obrade podataka
- Neispravno rukovanje kršenjem podataka
- Neispravno upravljanje dobavljačima
Ključni zaključci:
- Provedite procjenu usklađenosti vaše tvrtke
- Implementirajte sustav upravljanja pristankom
- Postavite procese za rukovanje pravima pojedinaca
- Implementirajte mjere zaštite podataka
- Osigurajte ugovore s dobavljačima
Najbolji način da izbjegnete GDPR kazne je da budete proaktivni. Ne čekajte da AZOP provjeri vašu tvrtku. Provedite provjeru usklađenosti već danas i implementirajte potrebne mjere.
Spremni za akciju? Provedite procjenu usklađenosti već danas. Identificirajte ranjivosti, implementirajte rješenja iz ovog vodiča i uspostavite kontinuirano praćenje usklađenosti.
Trebate pomoć? Pregledajte naše tečajeve ili kontaktirajte naš tim za stručno vodstvo.