Pojmovnik usklađenosti
s propisima.

Anonimizacija je postupak kojim se osobni podaci nepovratno mijenjaju tako da se pojedinac više ne može identificirati, ni izravno ni neizravno, sredstvima koja se razumno mogu upotrijebiti. Anonimizirani podaci nisu osobni podaci i na njih se GDPR ne primjenjuje.

AZOP je neovisno nadzorno tijelo za zaštitu osobnih podataka u Republici Hrvatskoj. Nadzire primjenu GDPR-a i Zakona o provedbi Opće uredbe o zaštiti podataka, odlučuje o zahtjevima za utvrđivanje povrede prava i izriče upravne novčane kazne.

Compliance (hrv. usklađenost) znači da tvrtka posluje u skladu sa zakonima, propisima, internim pravilima i preuzetim obvezama te da to može dokazati. Isti pojam označava i funkciju u tvrtki koja za to brine: procjenjuje rizike, priprema interna pravila, educira zaposlenike i prati primjenu pravila.

CSRD (Direktiva (EU) 2022/2464 o korporativnom izvještavanju o održivosti) obvezuje velike poduzetnike da u izvještaj poslovodstva uključe izvještaj o održivosti, sastavljen prema europskim standardima ESRS, koji provjerava revizor. U Hrvatskoj je prenesena Zakonom o računovodstvu.

Dvofaktorska autentifikacija (2FA), odnosno višefaktorska autentifikacija (MFA), način je prijave u sustav u kojem korisnik uz lozinku mora dati i drugi dokaz identiteta, primjerice kod iz aplikacije na mobitelu, sigurnosni ključ ili otisak prsta. Napadač koji sazna lozinku bez drugog faktora ne može se prijaviti.

Dvostruka značajnost načelo je izvještavanja o održivosti prema kojem poduzetnik procjenjuje teme održivosti iz dvije perspektive: kako svojim poslovanjem utječe na ljude i okoliš (značajnost učinka) i kako pitanja održivosti utječu na njegov financijski položaj i rezultate (financijska značajnost). U praksi se naziva i dvostrukom materijalnošću.

Evidencija aktivnosti obrade pisani je popis obrada osobnih podataka koje provodi voditelj obrade, sa svrhama obrade, kategorijama ispitanika i podataka, primateljima, rokovima čuvanja i opisom sigurnosnih mjera. Vodi je i izvršitelj obrade. Propisuje je čl. 30. GDPR-a.

GDPR (engl. General Data Protection Regulation) je Opća uredba o zaštiti podataka, Uredba (EU) 2016/679. Uređuje kako se obrađuju osobni podaci pojedinaca i koja prava oni imaju, a u Hrvatskoj se primjenjuje izravno od 25. svibnja 2018., uz Zakon o provedbi Opće uredbe o zaštiti podataka.

Izvršitelj obrade fizička je ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade (čl. 4. toč. 8. GDPR-a), i to prema njegovim uputama. Primjeri su računovodstveni servis, pružatelj usluge u oblaku ili tvrtka koja održava informacijski sustav.

Kolačići su male datoteke koje web-stranica sprema na uređaj korisnika. Za kolačiće i slične tehnologije koji nisu strogo nužni za uslugu koju je korisnik zatražio, primjerice analitičke i marketinške, potrebna je prethodna privola korisnika.

KYC (engl. Know Your Customer, „upoznaj svoju stranku”) skup je postupaka kojima obveznik sprječavanja pranja novca utvrđuje tko je stranka, tko je njezin stvarni vlasnik i koja je namjena poslovnog odnosa te prati njezine transakcije. U hrvatskom propisu ti se postupci nazivaju dubinskom analizom stranke.

Legitimni interes jedna je od šest pravnih osnova za obradu osobnih podataka prema čl. 6. st. 1. t. (f) GDPR-a. Obrada je zakonita ako je nužna za legitimni interes voditelja obrade ili treće strane, osim kad su od tog interesa jači interesi ili temeljna prava i slobode ispitanika.

Mobing je sustavno i dugotrajno psihičko zlostavljanje na radu kojim se vrijeđa dostojanstvo radnika, primjerice stalnim omalovažavanjem, izoliranjem ili prijetnjama. U hrvatskom pravu radnika od takvog ponašanja štite pravila Zakona o radu o zaštiti dostojanstva radnika od uznemiravanja i spolnog uznemiravanja.

NIS2 (Direktiva (EU) 2022/2555) propis je EU-a o mjerama za visoku zajedničku razinu kibernetičke sigurnosti. Obvezuje ključne i važne subjekte iz kritičnih sektora da upravljaju kibernetičkim rizicima i prijavljuju značajne incidente. U Hrvatskoj je prenesena Zakonom o kibernetičkoj sigurnosti (NN 14/24).

Osobni podaci su svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi, izravno ili neizravno (čl. 4. toč. 1. GDPR-a). To su, primjerice, ime, OIB, adresa e-pošte, broj telefona, podaci o lokaciji, IP adresa i snimka lica.

Procjena rizika postupak je kojim se utvrđuju opasnosti i prijetnje, procjenjuju vjerojatnost i posljedice njihova ostvarenja te određuju mjere za uklanjanje ili smanjenje rizika. U Hrvatskoj je traži više propisa, a svaki poslodavac mora imati procjenu rizika na radu prema Zakonu o zaštiti na radu.

Pseudonimizacija je obrada osobnih podataka na način da se podaci više ne mogu pripisati određenom ispitaniku bez dodatnih informacija, koje se čuvaju odvojeno i zaštićene su tehničkim i organizacijskim mjerama (čl. 4. toč. 5. GDPR-a). Za voditelja obrade koji ima te dodatne informacije pseudonimizirani podaci i dalje su osobni podaci.

Ransomware je vrsta zlonamjernog softvera koji šifrira podatke ili zaključava sustave i od žrtve traži otkupninu, najčešće u kriptovaluti, za njihovo otključavanje. Napadači podatke često prije šifriranja i ukradu pa prijete njihovom objavom (dvostruka iznuda).

Stvarni vlasnik je fizička osoba koja je u konačnici vlasnik pravne osobe ili je kontrolira, odnosno osoba u čije se ime obavlja transakcija (čl. 28. Zakona o sprječavanju pranja novca i financiranja terorizma). Podaci o stvarnim vlasnicima upisuju se u Registar stvarnih vlasnika, a obveznici ih utvrđuju i provjeravaju u dubinskoj analizi stranke.

Sukob interesa postoji kad privatni interes osobe, primjerice financijski, obiteljski ili prijateljski, može utjecati ili je utjecao na njezinu nepristranost pri obavljanju posla ili javne dužnosti. Za javne dužnosnike uređuje ga Zakon o sprječavanju sukoba interesa, a u tvrtkama ponajprije interni akti, primjerice etički kodeks ili politika o sukobu interesa.

Transparentnost plaća skup je obveza poslodavaca iz Direktive (EU) 2023/970 kojima se olakšava ostvarivanje prava na jednaku plaću žena i muškaraca za jednak rad ili rad jednake vrijednosti: informacija o plaći prije zapošljavanja, podaci o plaćama na zahtjev radnika i izvješćivanje o razlici u plaćama. Rok za prijenos Direktive bio je 7. lipnja 2026.

Ugovor o obradi (engl. Data Processing Agreement, DPA) ugovor je ili drugi pravni akt kojim voditelj obrade uređuje obradu osobnih podataka koju u njegovo ime provodi izvršitelj obrade. Mora biti u pisanom obliku, što uključuje i elektronički, i sadržavati elemente iz čl. 28. st. 3. GDPR-a.

Videonadzor je prikupljanje i daljnja obrada osobnih podataka koja obuhvaća stvaranje snimke koja čini ili je namijenjena da čini dio sustava pohrane (čl. 25. Zakona o provedbi Opće uredbe o zaštiti podataka). Na njega se primjenjuju GDPR i posebna pravila iz čl. 25. do 32. tog Zakona, a za nadzor radnika i Zakon o zaštiti na radu.

Voditelj obrade je fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka (čl. 4. toč. 7. GDPR-a). Voditelj obrade odgovoran je za usklađenost obrade s GDPR-om i mora tu usklađenost moći dokazati.

Zlonamjerni softver (engl. malware) skupni je naziv za programe izrađene da bez znanja korisnika naštete računalnom sustavu, ukradu podatke ili napadaču omoguće pristup sustavu. Obuhvaća viruse, crve, trojance, špijunski softver i ransomware, a u sustav najčešće ulazi putem phishing poruka, zaraženih datoteka i nezakrpanih ranjivosti.

Zviždač je osoba koja prijavi ili javno razotkrije nepravilnosti o kojima je saznala u radnom okruženju, primjerice kršenje propisa, korupciju ili prijevaru. Hrvatski zakon za zviždača koristi naziv prijavitelj nepravilnosti, a njegovu zaštitu od osvete propisuje Zakon o zaštiti prijavitelja nepravilnosti (NN 46/22, 136/25), kojim je prenesena Direktiva (EU) 2019/1937.