Što je GDPR i što znači
GDPR je pokrata engleskog naziva General Data Protection Regulation, a službeni hrvatski naziv je Opća uredba o zaštiti podataka. Riječ je o propisu Europske unije koji određuje pod kojim uvjetima tvrtke, ustanove i tijela javne vlasti smiju prikupljati i obrađivati osobne podatke te koja prava pritom imaju pojedinci.
GDPR je uredba, a ne direktiva, pa se primjenjuje izravno, bez prenošenja u nacionalno zakonodavstvo. Donesen je 2016., a primjenjuje se od 25. svibnja 2018. Pojedina pitanja države članice uređuju same, pa je u Hrvatskoj donesen Zakon o provedbi Opće uredbe o zaštiti podataka, koji uređuje, primjerice, videonadzor, obradu biometrijskih podataka i postupak pred AZOP-om.
GDPR se primjenjuje na sve organizacije s poslovnim nastanom u Europskoj uniji, ali i na one izvan EU-a koje osobama u Uniji nude robu ili usluge ili prate njihovo ponašanje.
Što su osobni podaci
Osobni podaci su sve informacije koje se odnose na fizičku osobu čiji je identitet utvrđen ili se može utvrditi, izravno ili neizravno. To su očiti podaci, poput imena, OIB-a, adrese i adrese e-pošte, ali i manje očiti, poput IP adrese, podataka o lokaciji, identifikatora kolačića, fotografija i snimki videonadzora.
Strožu zaštitu imaju posebne kategorije osobnih podataka iz članka 9.: podaci o zdravlju, rasnom ili etničkom podrijetlu, političkim mišljenjima, vjerskim ili filozofskim uvjerenjima, članstvu u sindikatu, spolnom životu ili spolnoj orijentaciji te genetski podaci i biometrijski podaci za jedinstvenu identifikaciju osobe. Njihova je obrada u načelu zabranjena, osim u slučajevima koje GDPR izričito dopušta.
Zašto je GDPR važan za hrvatske tvrtke
U Hrvatskoj provedbu GDPR-a nadzire AZOP, koji rješava zahtjeve građana, provodi nadzore i izriče upravne novčane kazne. Kazne su posljednjih godina znatno porasle: AZOP je samo u 2025. izrekao 13 kazni u ukupnom iznosu od 6,73 milijuna eura. Više o tome u članku GDPR kazne u Hrvatskoj.
Usklađenost nije važna samo zbog kazni. Klijenti, partneri i javni naručitelji sve češće traže dokaze o zaštiti podataka: politiku privatnosti, ugovore o obradi i evidencije. Tvrtka koja ih ne može pokazati gubi poslove.
Sedam načela GDPR-a
Svaka obrada osobnih podataka mora poštovati načela iz članka 5.:
- Zakonitost, poštenost i transparentnost: podaci se obrađuju na temelju pravne osnove, a ispitanici su jasno obaviješteni o obradi.
- Ograničavanje svrhe: podaci se prikupljaju za određene i zakonite svrhe i ne koriste se kasnije na način koji nije spojiv s tim svrhama.
- Smanjenje količine podataka: prikuplja se samo ono što je nužno za svrhu.
- Točnost: podaci moraju biti točni i ažurni.
- Ograničenje pohrane: podaci se ne čuvaju dulje nego što je potrebno.
- Cjelovitost i povjerljivost: podaci su zaštićeni odgovarajućim tehničkim i organizacijskim mjerama.
- Pouzdanost: voditelj obrade mora moći dokazati da poštuje sva načela.
Načelo pouzdanosti najčešće se podcjenjuje. GDPR ne traži samo usklađenost, nego i dokaze o njoj, pa su evidencije, politike i dokazi o edukaciji zaposlenika presudni.
Pravne osnove obrade
Prema članku 6., obrada je zakonita samo ako postoji jedna od šest pravnih osnova:
- privola ispitanika, koja mora biti dobrovoljna, posebna, informirana i nedvosmislena te se mora moći povući jednako lako kao što je dana
- izvršavanje ugovora u kojem je ispitanik stranka ili poduzimanje radnji na zahtjev ispitanika prije sklapanja ugovora
- pravna obveza voditelja obrade, primjerice prema poreznim ili radnim propisima
- zaštita ključnih interesa ispitanika ili druge osobe, primjerice u hitnim medicinskim situacijama
- zadaća od javnog interesa ili izvršavanje službene ovlasti
- legitimni interes voditelja obrade ili treće strane, ako od njega nisu jači interesi ili temeljna prava i slobode ispitanika, što treba procijeniti i dokumentirati.
Česta je pogreška oslanjati se na privolu ondje gdje je prikladnija druga osnova. Privola nije zadana osnova i često je najslabija jer je ispitanik može u svakom trenutku povući.
Prava ispitanika
GDPR pojedincima daje niz prava. Tvrtka mora znati prepoznati zahtjev i odgovoriti na njega bez nepotrebnog odgađanja, a najkasnije u roku od mjesec dana, uz mogućnost produljenja za još dva mjeseca, ovisno o složenosti i broju zahtjeva:
- pravo na informiranje o obradi
- pravo na pristup podacima i dobivanje njihove kopije
- pravo na ispravak netočnih podataka
- pravo na brisanje, poznato i kao pravo na zaborav
- pravo na ograničenje obrade
- pravo na prenosivost podataka
- pravo na prigovor, osobito na izravni marketing
- prava u vezi s automatiziranim donošenjem odluka, uključujući izradu profila.
Detalje i postupak objašnjavamo u članku Prava ispitanika prema GDPR-u.
Ključne obveze tvrtke
- Evidencija aktivnosti obrade (čl. 30.): popis obrada sa svrhom, kategorijama podataka, primateljima i rokovima čuvanja.
- Ugovori o obradi (čl. 28.): pisani ugovor sa svakim izvršiteljem obrade, primjerice s pružateljem IT usluga ili računovodstvenim servisom.
- Službenik za zaštitu podataka (čl. 37.): obvezan za tijela javne vlasti i organizacije čije se osnovne djelatnosti sastoje od redovitog i sustavnog praćenja ispitanika u velikoj mjeri ili opsežne obrade posebnih kategorija podataka ili podataka o kaznenim osudama i kažnjivim djelima.
- Procjena učinka na zaštitu podataka (čl. 35.): kad je vjerojatno da će obrada prouzročiti visok rizik za prava ispitanika.
- Tehnička i integrirana zaštita podataka (čl. 25.): zaštita podataka ugrađena u procese i sustave od početka te zadane postavke kojima se obrađuju samo podaci nužni za svrhu.
- Sigurnost obrade (čl. 32.): odgovarajuće mjere poput enkripcije, kontrole pristupa i dvofaktorske autentifikacije.
- Prijava povrede osobnih podataka (čl. 33. i 34.).
Povreda osobnih podataka i rok od 72 sata
Povreda osobnih podataka je kršenje sigurnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podacima. Tipični primjeri su e-pošta s podacima poslana pogrešnom primatelju, izgubljeno prijenosno računalo, ransomware ili phishing koji je doveo do provale u račun.
Voditelj obrade povredu prijavljuje AZOP-u bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata nakon što je za nju saznao, osim ako nije vjerojatno da će prouzročiti rizik za prava i slobode pojedinaca. Ako je rizik visok, o povredi obavještava i same ispitanike. Zbog kratkog roka presudno je da zaposlenici povredu znaju prepoznati i odmah je prijaviti unutar tvrtke.
Kazne
GDPR propisuje dva razreda upravnih novčanih kazni (čl. 83.):
- do 10 milijuna eura ili 2 % ukupnog godišnjeg prometa, ovisno o tome koji je iznos veći, primjerice za povrede obveza vođenja evidencije, sigurnosti obrade ili obveza prema izvršiteljima
- do 20 milijuna eura ili 4 % ukupnog godišnjeg prometa, ovisno o tome koji je iznos veći, za teže povrede, primjerice kršenje načela, obradu bez pravne osnove ili kršenje prava ispitanika.
Kaznu može dobiti i mala tvrtka. Pri odmjeravanju AZOP uzima u obzir prirodu, težinu i trajanje povrede, broj pogođenih osoba, namjeru ili nepažnju te suradnju voditelja obrade.
Primjeri primjene GDPR-a u praksi
Izravni marketing i newsletter. Za slanje promotivnih poruka novim kontaktima u pravilu je potrebna privola. Postojećim kupcima, čiju je adresu e-pošte tvrtka dobila pri prodaji, poruke o vlastitim sličnim proizvodima ili uslugama mogu se slati i bez nje, ako im je pri prikupljanju adrese i u svakoj poruci dana besplatna i jednostavna mogućnost odjave. Ako ispitanik uloži prigovor na izravni marketing, obrada u tu svrhu mora prestati. Kupljene baze kontakata gotovo su uvijek problematične.
Podaci zaposlenika. Poslodavac obrađuje mnogo podataka zaposlenika, od ugovora i plaća do evidencije radnog vremena. Privola zaposlenika rijetko je doista dobrovoljna zbog odnosa podređenosti, pa se obrada uglavnom temelji na ugovoru o radu, pravnoj obvezi ili legitimnom interesu. Praćenje zaposlenika, primjerice videonadzorom ili nadzorom e-pošte, dopušteno je samo pod posebnim uvjetima i uz prethodnu obavijest.
Mrežne stranice i kolačići. Za kolačiće koji nisu nužni za rad stranice, primjerice za analitiku i oglašavanje, potrebna je prethodna privola korisnika, a takvi se kolačići ne smiju aktivirati prije nego što korisnik pristane. Stranica mora imati jasnu politiku privatnosti koja odgovara stvarnim obradama.
Dobavljači i usluge u oblaku. Ako vanjski pružatelj obrađuje podatke u ime tvrtke, potreban je ugovor o obradi. Ako se podaci prenose izvan Europskog gospodarskog prostora, potrebna je odluka o primjerenosti ili druga zaštitna mjera, primjerice standardne ugovorne klauzule.
Kako postići usklađenost
- Popišite obrade i izradite evidenciju aktivnosti obrade.
- Odredite pravnu osnovu za svaku obradu.
- Uredite odnose s dobavljačima i sklopite ugovore o obradi.
- Ažurirajte politike: obavijest o privatnosti, internu politiku zaštite podataka i postupak za zahtjeve ispitanika.
- Uvedite sigurnosne mjere: kontrolu pristupa, enkripciju, sigurnosne kopije i dvofaktorsku autentifikaciju.
- Pripremite se za povrede i uspostavite postupak prijave u roku od 72 sata.
- Educirajte zaposlenike jer većina povreda počinje ljudskom pogreškom.
Najčešće pogreške hrvatskih tvrtki
- Oslanjanje na privolu ondje gdje je prikladnija druga pravna osnova.
- Politika privatnosti preuzeta s interneta koja ne odgovara stvarnim obradama.
- Nepostojanje ugovora o obradi s ključnim dobavljačima.
- Predugo čuvanje podataka i snimki videonadzora.
- Zaposlenici koji ne znaju prepoznati povredu osobnih podataka ni zahtjev ispitanika.
Često postavljana pitanja
Što znači GDPR?
GDPR je pokrata engleskog naziva General Data Protection Regulation. Službeni hrvatski naziv je Opća uredba o zaštiti podataka, a riječ je o Uredbi (EU) 2016/679.
Od kada se primjenjuje GDPR?
Od 25. svibnja 2018. Uredba je donesena 2016. i izravno se primjenjuje u svim državama članicama EU-a.
Primjenjuje li se GDPR na male tvrtke i obrtnike?
Da, neovisno o veličini. Subjekti s manje od 250 zaposlenih oslobođeni su vođenja evidencije aktivnosti obrade samo iznimno, ako obrada nije redovita, ne uključuje posebne kategorije podataka ni podatke o kaznenim osudama i vjerojatno ne predstavlja rizik za ispitanike.
Mora li svaka tvrtka imati službenika za zaštitu podataka?
Ne. Službenik je obvezan za tijela javne vlasti i za organizacije čije se osnovne djelatnosti sastoje od redovitog i sustavnog praćenja ispitanika u velikoj mjeri ili opsežne obrade posebnih kategorija podataka ili podataka o kaznenim osudama.
Koliko dugo smijemo čuvati osobne podatke?
Onoliko koliko je potrebno za svrhu zbog koje su prikupljeni ili koliko propisuju posebni zakoni, primjerice računovodstveni i radni propisi.
Vrijedi li GDPR i za poslovne kontakte?
Da. GDPR štiti podatke fizičkih osoba, pa i kad je riječ o kontakt-osobama poslovnih partnera. Poslovna adresa e-pošte s imenom i prezimenom osobni je podatak.
Tko nadzire GDPR u Hrvatskoj?
Agencija za zaštitu osobnih podataka (AZOP).
Povezani članci
- GDPR kazne u Hrvatskoj: iznosi i primjeri
- Prava ispitanika prema GDPR-u
- GDPR privola: kako je pravilno prikupiti
Izvori
- Uredba (EU) 2016/679, Opća uredba o zaštiti podataka (EUR-Lex)
- Zakon o provedbi Opće uredbe o zaštiti podataka (NN 42/2018)
- Agencija za zaštitu osobnih podataka
Ovaj je članak informativne naravi i nije pravni savjet.