GDPR kazne u Hrvatskoj 2025: kako zaštititi vašu tvrtku

AZOP je od 2020. godine izdao 32 upravne novčane kazne u ukupnom iznosu od 3,1 milijun eura. Samo u prvih pet mjeseci 2023. godine izrečeno je 13 kazni u visini od 2,3 milijuna eura. Najveća kazna do sada iznosila je 2,26 milijuna eura.

Većina tvrtki u Hrvatskoj i dalje ne razumije kako izbjeći GDPR kazne. Ovaj vodič otkriva najčešće greške koje koštaju milijune, s konkretnim primjerima iz hrvatskih slučajeva. Naučit ćete što pokreće kazne, kako prepoznati ranjivosti u vašoj organizaciji i korak-po-korak rješenja koja možete implementirati već danas.

Vrijeme čitanja: 10 minuta.

Želite li provjeriti usklađenost vaše tvrtke s GDPR-om? Pregledajte naše tečajeve koji pokrivaju GDPR usklađenost i zaštitu podataka.

AZOP (Agencija za zaštitu osobnih podataka) povećava broj provjera i strože primjenjuje propise. Od početka primjene GDPR-a u svibnju 2018. godine, broj izrečenih kazni u Hrvatskoj značajno je porastao.

Prema podacima AZOP-a, od 2020. godine izrečeno je 32 upravne novčane kazne. Ukupan iznos kazni doseže 3,1 milijun eura. Trend je zabrinjavajući: samo u prvih pet mjeseci 2023. godine izrečeno je 13 kazni u visini od 2,3 milijuna eura.

Najveće GDPR kazne u Hrvatskoj

Najveća kazna do sada izrečena u Hrvatskoj iznosila je 2,26 milijuna eura. Dodijeljena je agenciji za naplatu potraživanja B2 Kapital zbog kršenja više odredbi GDPR-a.

Druga najveća kazna iznosila je 30.000 eura za tvrtku iz sektora kockanja i klađenja zbog nezakonite obrade osobnih podataka putem kolačića. Treća najveća kazna iznosila je 20.000 eura, također za tvrtku iz istog sektora.

Ove kazne pokazuju da AZOP ne štedi ni velike ni male tvrtke. Svaka organizacija koja obrađuje osobne podatke mora biti usklađena s GDPR-om.

Želite li naučiti kako implementirati GDPR u vašoj organizaciji? Pregledajte naš tečaj o GDPR usklađenosti koji pokriva sve aspekte implementacije, od pristanka do rukovanja pravima pojedinaca.

Prema članku 83. GDPR-a, za najteža kršenja predviđene su kazne do 20 milijuna eura ili do 4% ukupnog godišnjeg prometa na svjetskoj razini, ovisno o tome što je veće.

AZOP razmatra nekoliko čimbenika pri određivanju visine kazne:

• Priroda i težina kršenja: Koliko je ozbiljno kršenje i koliko osoba je pogođeno
• Namjernost ili nepažnja: Je li kršenje bilo namjerno ili zbog nepažnje
• Mjere za sprječavanje kršenja: Je li tvrtka poduzela mjere za zaštitu podataka
• Povijest kršenja: Ima li tvrtka prethodne kazne
• Suradnja s AZOP-om: Kako je tvrtka surađivala tijekom istrage

Kategorije GDPR kazni

GDPR kazne dijele se u dvije kategorije:

Kategorija 1 - Do 10 milijuna eura ili 2% godišnjeg prometa:

• Neadekvatne tehničke i organizacijske mjere
• Neispravno vođenje evidencije obrade podataka
• Neispravno imenovanje DPO-a (Data Protection Officer)
• Neispravno provođenje procjene utjecaja na zaštitu podataka

Kategorija 2 - Do 20 milijuna eura ili 4% godišnjeg prometa:

• Kršenje osnovnih načela obrade podataka
• Neispravno dobivanje pristanka
• Neispravno rukovanje pravima pojedinaca
• Neispravno prenošenje podataka u treće zemlje

Prema analizi kazni izrečenih u Hrvatskoj, većina kršenja dolazi iz pet glavnih grešaka.

1. Neispravno upravljanje pristankom

Najčešća greška je neispravno dobivanje i upravljanje pristankom za obradu osobnih podataka. Tvrtke često:

• Traže pristanak za sve svrhe odjednom
• Ne omogućavaju lako povlačenje pristanka
• Ne vode evidenciju kada je pristanak dan
• Koriste pre-checked checkboxe (što nije valjani pristanak)

Primjer iz prakse: AZOP je izrekao kaznu od 30.000 eura tvrtki koja je koristila kolačiće bez valjanog pristanka. Tvrtka je imala pre-checked checkbox koji nije zadovoljavao GDPR zahtjeve.

2. Neispravno rukovanje pravima pojedinaca

GDPR daje pojedincima osam osnovnih prava. Tvrtke često ne poštuju ova prava:

• Pravo na pristup podacima
• Pravo na ispravak
• Pravo na brisanje ("pravo na zaborav")
• Pravo na ograničenje obrade
• Pravo na prenosivost podataka
• Pravo na prigovor
• Pravo na odluku o automatiziranoj obradi
• Pravo na obavještavanje o kršenju

3. Neispravno vođenje evidencije obrade podataka

Svaka tvrtka koja obrađuje osobne podatke mora voditi evidenciju obrade podataka. Većina tvrtki u Hrvatskoj ne vodi ovu evidenciju ili je vodi neispravno.

Evidencija mora sadržavati:

• Svrhu obrade podataka
• Kategorije osoba čiji se podaci obrađuju
• Kategorije osobnih podataka
• Primatelje podataka
• Rokove brisanja podataka
• Tehničke i organizacijske mjere zaštite

4. Neispravno rukovanje kršenjem podataka

Ako dođe do kršenja podataka koje predstavlja rizik za prava i slobode pojedinaca, morate obavijestiti AZOP unutar 72 sata. Ako je rizik visok, morate obavijestiti i pojedince čiji su podaci ugroženi.

Većina tvrtki:

• Ne prepoznaje što je kršenje podataka
• Ne obavještava AZOP na vrijeme
• Ne obavještava pojedince kada je potrebno
• Ne vodi evidenciju kršenja

5. Neispravno upravljanje dobavljačima

Ako dijelite osobne podatke s dobavljačima (npr. hosting, marketing agencije), morate imati ugovor o obradi podataka. Većina tvrtki nema ove ugovore ili ih ima neispravno sastavljene.

Primjer iz prakse: Tvrtka je dijelila osobne podatke s marketing agencijom bez valjanog ugovora o obradi podataka. AZOP je izrekao kaznu jer tvrtka nije osigurala da dobavljač poštuje GDPR zahtjeve.

Spremni za implementaciju GDPR-a? Naš tečaj o GDPR usklađenosti uključuje praktične predloške i vodiče koji vam omogućuju da implementirate sve potrebne procese u vašoj organizaciji.

Evo praktičnog vodiča kako zaštititi vašu tvrtku od GDPR kazni.

Korak 1: Provedite procjenu usklađenosti

Prvo, procijenite gdje se vaša tvrtka trenutno nalazi u odnosu na GDPR zahtjeve. Provedite internu provjeru ili angažirajte vanjskog stručnjaka.

Provjerite:

• Imate li evidenciju obrade podataka
• Kako dobivate pristanak za obradu podataka
• Kako rješavate zahtjeve pojedinaca
• Imate li mjere zaštite podataka
• Imate li ugovore s dobavljačima

Korak 2: Implementirajte sustav upravljanja pristankom

Implementirajte sustav koji vam omogućuje:

• Dobivanje valjanog pristanka za svaku svrhu obrade
• Lako povlačenje pristanka
• Vođenje evidencije pristanka
• Razlikovanje između različitih vrsta pristanka

Korak 3: Postavite procese za rukovanje pravima pojedinaca

Postavite procese koji vam omogućuju da odgovorite na zahtjeve pojedinaca unutar 30 dana. To uključuje:

• Sustav za primanje zahtjeva
• Proces provjere identiteta pojedinca
• Proces prikupljanja i pripreme podataka
• Proces brisanja podataka kada je potrebno

Korak 4: Implementirajte mjere zaštite podataka

Implementirajte tehničke i organizacijske mjere zaštite podataka:

• Enkripcija podataka
• Kontrola pristupa podacima
• Redovite sigurnosne provjere
• Obuka zaposlenika o zaštiti podataka
• Plan odgovora na kršenje podataka

Korak 5: Osigurajte ugovore s dobavljačima

Osigurajte da svi vaši dobavljači koji obrađuju osobne podatke imaju valjane ugovore o obradi podataka. Ugovor mora sadržavati:

• Svrhu obrade podataka
• Vrstu podataka koje se obrađuju
• Dužnosti dobavljača
• Mjere zaštite podataka
• Pravila povrata ili brisanja podataka

Ako dobijete GDPR kaznu od AZOP-a, imate pravo na žalbu. Međutim, važno je da razumijete proces i svoje opcije.

Proces žalbe

Imate 15 dana da podnesete žalbu na kaznu. Žalbu možete podnijeti:

• Pismeno AZOP-u
• E-poštom na službenu adresu AZOP-a
• Putem e-građana

U žalbi morate obrazložiti zašto smatrate da kazna nije opravdana. Možete priložiti dokaze koji podupiru vašu žalbu.

Smanjenje kazne

AZOP može smanjiti kaznu ako:

• Tvrtka je surađivala tijekom istrage
• Tvrtka je poduzela mjere za ispravljanje kršenja
• Tvrtka nema prethodne kazne
• Kazna bi predstavljala neproporcionalan teret za tvrtku

GDPR kazne u Hrvatskoj rastu. AZOP je od 2020. godine izdao 32 kazne u ukupnom iznosu od 3,1 milijun eura. Najveća kazna iznosila je 2,26 milijuna eura.

Većina kazni dolazi iz pet glavnih grešaka:

• Neispravno upravljanje pristankom
• Neispravno rukovanje pravima pojedinaca
• Neispravno vođenje evidencije obrade podataka
• Neispravno rukovanje kršenjem podataka
• Neispravno upravljanje dobavljačima

Ključni zaključci:

• Provedite procjenu usklađenosti vaše tvrtke
• Implementirajte sustav upravljanja pristankom
• Postavite procese za rukovanje pravima pojedinaca
• Implementirajte mjere zaštite podataka
• Osigurajte ugovore s dobavljačima

Najbolji način da izbjegnete GDPR kazne je da budete proaktivni. Ne čekajte da AZOP provjeri vašu tvrtku. Provedite provjeru usklađenosti već danas i implementirajte potrebne mjere.

Spremni za akciju? Provedite procjenu usklađenosti već danas. Identificirajte ranjivosti, implementirajte rješenja iz ovog vodiča i uspostavite kontinuirano praćenje usklađenosti.

Trebate pomoć? Pregledajte naše tečajeve ili kontaktirajte naš tim za stručno vodstvo.

Koliko iznose GDPR kazne u Hrvatskoj?

AZOP je od 2020. godine izdao 32 kazne u ukupnom iznosu od 3,1 milijun eura. Najveća kazna u Hrvatskoj iznosila je 2,26 milijuna eura. Prema GDPR-u, kazne mogu iznositi do 20 milijuna eura ili 4% godišnjeg prometa.

Tko izdaje GDPR kazne u Hrvatskoj?

AZOP (Agencija za zaštitu osobnih podataka) je nadzorno tijelo za zaštitu podataka u Hrvatskoj. AZOP provodi nadzore, prima pritužbe građana i izriče upravne novčane kazne za kršenje GDPR-a.

Koje su najčešće GDPR greške koje dovode do kazni?

Pet najčešćih grešaka: 1) Neispravno prikupljanje privole, 2) Neodgovaranje na zahtjeve ispitanika u roku od 30 dana, 3) Nepravilno vođenje evidencije obrade, 4) Nepravovremena prijava povrede podataka, 5) Nedostatak ugovora s obrađivačima podataka.

Kako izbjeći GDPR kazne?

Ključni koraci: provedite gap analizu, implementirajte sustav upravljanja privolama, educirajte zaposlenike, uspostavite proces za zahtjeve ispitanika, i dokumentirajte sve aktivnosti obrade. Redoviti auditi ključni su za održavanje usklađenosti.

Može li se GDPR kazna smanjiti ili ukinuti?

Da. AZOP može smanjiti kaznu ako tvrtka surađuje tijekom istrage, poduzme korektivne mjere i nema prethodnih kršenja. Moguće je uložiti žalbu na kaznu u roku od 30 dana.

Naši GDPR tečajevi

• GDPR usklađenost u reklamacijama — Upravljanje upitima, incidentima i zaštita podataka.
• GDPR u praksi: Vodič za usklađenost — Temeljna znanja za voditelje obrade.
• GDPR vodič za HR — Zaštita podataka zaposlenika.

Svi tečajevi

Ovaj članak služi kao informativni vodič i ne predstavlja pravni savjet. Za specifične situacije konzultirajte pravne stručnjake.