GDPR.
Zakonito obrađujte osobne podatke, štitite prava i sljedivo dokazujte provedbu.
- Uredba (EU) 2016/679 · BDSG
- Autor: Derya Altinay
- Stanje: 22. 10. 2026.
- Vrijeme čitanja: 8 min.
Kratak odgovor.
GDPR uređuje obradu osobnih podataka u europskom području primjene. Poduzeća trebaju odgovarajuće pravne osnove, transparentne informacije, postupke za prava ispitanika i zaštitne mjere primjerene riziku. Prema članku 5. GDPR-a voditelji obrade snose odgovornost: moraju moći dokazati poštovanje načela. Izvršitelji obrade imaju vlastite obveze i podupiru voditelja pri njihovu ispunjavanju.
GDPR: zaštita podataka nadilazi IT sigurnost.
Opća uredba o zaštiti podataka izravno je primjenjivo pravo EU-a za zaštitu fizičkih osoba pri obradi njihovih osobnih podataka. Uredba (EU) 2016/679 primjenjuje se od 25. svibnja 2018.; GDPR je njezina engleska kratica. U Njemačkoj europski okvir dopunjuju osobito Savezni zakon o zaštiti podataka i sektorski propisi.
GDPR najprije pita je li obrada dopuštena i u koju svrhu. Sigurna baza podataka još ne odgovara jesu li prikupljene informacije potrebne ili koliko se dugo smiju čuvati. Članci 5. i 6. GDPR-a povezuju načela i pravne osnove; članak 32. unutar tog okvira odnosi se na sigurnost obrade.
Zaštita podataka ostaje trajna zadaća jer se svrhe, tokovi podataka i korištene usluge mijenjaju. Prema članku 24. GDPR-a voditelj obrade mora poduzeti odgovarajuće mjere, provjeriti njihovu primjerenost i prema potrebi ih ažurirati. Jednom ispunjen dokument ne zamjenjuje tu trajnu procjenu.
Na koja se poduzeća primjenjuje GDPR.
Prema članku 2. GDPR se primjenjuje na ondje obuhvaćenu obradu osobnih podataka bez obzira na veličinu poduzeća. Primjerice, to uključuje podatke klijenata, prijave za posao ili sadržaje korisničke podrške koji sadrže osobne podatke. Pseudonimizirani podaci također ostaju osobni ako se osoba može identificirati dodatnim informacijama; stvarno anonimne informacije razvrstavaju se drukčije.
Teritorijalno područje primjene proizlazi iz članka 3. GDPR-a. Uz obradu u okviru poslovnog nastana u EU-u, mogu biti obuhvaćene određene ponude osobama u EU-u ili praćenje njihova ponašanja od strane poduzeća izvan EU-a. Sama lokacija poslužitelja ili dostupnost internetske stranice nije odlučujuća.
Uloga se utvrđuje za konkretnu aktivnost: voditelji obrade odlučuju o svrhama i sredstvima, a izvršitelji obrađuju podatke u ime voditelja. Organizacija može imati različite uloge ovisno o aktivnosti. Članci 26. i 28. GDPR-a zahtijevaju odgovarajuće aranžmane pri zajedničkom vođenju odnosno izvršavanju obrade; sam naslov ugovora ne razjašnjava stvarnu ulogu.
Zahtjevi GDPR-a za poduzeća.
Zahtjevi GDPR-a povezuju pravne odluke sa stvarnim odvijanjem obrade. Sedam radnih područja pruža orijentaciju; dodatne posebne obveze ovise o ulozi, podacima, djelatnosti i rizicima za osobe na koje se podaci odnose.
Odredite načela i pravne osnove.
Članci 5. i 6. GDPR-a zahtijevaju zakonitu, svrhovito ograničenu i sljedivu obradu. Ograničite podatke i čuvanje na potrebno te održavajte informacije točnima. Privola je jedna od mogućih pravnih osnova; njezini preduvjeti ne smiju se preskočiti, kao ni preduvjeti drugih pravnih osnova.
Omogućite transparentnost i prava ispitanika.
Članci 12. do 22. GDPR-a odnose se na razumljive informacije i prava poput pristupa, ispravka ili brisanja. Prava imaju različite preduvjete i iznimke. Odgovornosti, pretraživanje podataka, provjera identiteta i siguran odgovor moraju biti usklađeni; sama obavijest o privatnosti još ne obrađuje zahtjev.
Organizirajte odgovornost i pružatelje usluga.
Članci 24. do 30. GDPR-a uređuju organizacijske obveze, oblikovanje primjereno zaštiti podataka, uloge i evidencije. Izvršavanje obrade prema članku 28. uz prikladnu ugovornu osnovu zahtijeva dostatna jamstva pružatelja usluge. Procjena treba obuhvatiti stvarno korištene podizvršitelje i putove podataka, a ne samo opće uvjete ugovora.
Pretvorite članak 32. GDPR-a u učinkovite zaštitne mjere.
Tehničke i organizacijske mjere moraju osigurati razinu sigurnosti primjerenu riziku. Članak 32. GDPR-a uzima u obzir kontekst obrade, stanje tehnike, troškove te vjerojatnost i težinu mogućih posljedica za ljude. Ovisno o riziku uključuje zaštitu pristupa, šifriranje, mogućnost obnove i redovitu provjeru učinkovitosti; fiksni univerzalni popis nije dovoljan.
Provjerite posebne rizike i savjetovanje.
Procjena učinka na zaštitu podataka prema članku 35. GDPR-a potrebna je prije obrade koja će vjerojatno prouzročiti visok rizik za prava i slobode. Provjerite i uvjete za službenike za zaštitu podataka prema članku 37. te dodatno § 38 BDSG. Savjetodavna funkcija ne zamjenjuje odgovornost za obradu.
Procijenite i prijavite povrede osobnih podataka.
Članak 33. GDPR-a načelno zahtijeva prijavu nadležnom nadzornom tijelu, osim ako nije vjerojatno da će povreda prouzročiti rizik za prava i slobode. Članak 34. zasebno uređuje obavješćivanje ispitanika pri vjerojatnom visokom riziku. Izvršitelji obrade bez odgode obavješćuju voditelja; dokumentiranje incidenta ostaje zasebna obveza.
Zasebno osigurajte prijenose u treće zemlje.
Poglavlje V. GDPR-a postavlja dodatne zahtjeve za prijenose u treće zemlje. Provjerite stvarne primatelje, pristupe i relevantan mehanizam prijenosa. Dopušten prijenos ne zamjenjuje pravnu osnovu obrade ni ostale obveze zaštite podataka; ni lokacija hostinga u EU-u ne odgovara na svako pitanje vanjskih pristupa.
Provedba GDPR-a kao trajan proces.
Odredite obrade i uloge.
Kao praktičan početak evidentirajte svrhe, ispitanike, podatke, sustave i primatelje konkretne aktivnosti te razjasnite tko odgovara za koju odluku.
Provjerite dopuštenost i informiranje.
Ocijenite pravne osnove, nužnost i čuvanje te usporedite stvarnu obradu s informacijama za ispitanike.
Procijenite rizike i posebne obveze.
Provjerite rizike za ljude i uvjete za procjenu učinka, službenike za zaštitu podataka, izvršavanje obrade i prijenose u treće zemlje prije uvođenja ili bitne promjene obrade.
Provedite i provjerite mjere.
Povežite pravne i organizacijske odluke s prikladnim tehničkim mjerama te provjerite funkcioniraju li, primjerice, pravila pristupa, brisanje i obnova u razmatranoj usluzi.
Praktično pripremite postupanje s pravima i incidentima.
Uvježbajte prepoznavanje, eskalaciju, procjenu i pravodobnu obradu zahtjeva i povreda osobnih podataka, uključujući primopredaje između poduzeća i pružatelja usluga.
Ažurirajte dokumentaciju uz promjene.
Ažurirajte odluke i dokaze pri promjeni svrha, primatelja ili rizika te odredite tko prati otvorene mjere i pokreće sljedeću provjeru.
Dokazi prema GDPR-u i dobrovoljna certifikacija.
Odgovornost prema članku 5. stavku 2. GDPR-a znači moći objasniti i dokazati poštovanje načela. Prikladna dokumentacija može uključivati evidencije obrade, obrazložene pravne osnove, ugovore, informacije o zaštiti podataka, procjene učinka i provjere zaštitnih mjera. Presudno je odražava li stvarnu obradu i pokazuje li koja je odluka donesena na kojoj osnovi.
Nadzorno tijelo za zaštitu podataka ima istražne i korektivne ovlasti prema članku 58. GDPR-a. Dokumentacija zato treba biti dostupna, razumljiva i ažurna. Uredba ne uspostavlja opću obvezu certifikacije kojom bi poduzeće konačno završilo svu zaštitu podataka; odgovornost ostaje na voditelju obrade i ostalim obveznim sudionicima.
Certifikacija prema članku 42. GDPR-a dobrovoljna je i odnosi se na postupke obrade prema odobrenim kriterijima. Prema stavku 4. ne umanjuje zakonsku odgovornost; stavak 7. ograničava trajanje na najviše tri godine uz mogućnost obnove. Certifikat informacijske sigurnosti nije automatski takva certifikacija zaštite podataka.
Odluku o prijavljivanju povrede osobnih podataka treba dokazati zasebno. Članak 33. predviđa prijavu bez odgode i po mogućnosti unutar 72 sata od saznanja, osim ako vrijedi iznimka vezana uz rizik. Dokumentacija prema stavku 5. obuhvaća i neprijavljene povrede; obavješćivanje prema članku 34. slijedi vlastiti prag rizika i ondje uređene iznimke.
Daljnje čitanje na blogu.
- GDPR i sigurnostPovežite obrade, pravnu procjenu i zaštitne mjere u poslovanju.
- Provjera izvršavanja obradeUsporedite ugovorne obveze sa stvarnim putovima podataka pružatelja usluge.
- Prijavljivanje povrede osobnih podatakaDetaljnije pripremite procjenu incidenta, odluku o prijavljivanju i dokumentaciju.
- Obrada zahtjeva za pristupOrganizirajte pretraživanje, provjeru i sigurnu dostavu odgovora na zahtjev za pristup.
GDPR i drugi okviri.
ISO 27001 podupire organizaciju informacijske sigurnosti, ali ne zamjenjuje provjeru pravnih osnova i prava ispitanika. NIS2 ima vlastite adresate i obveze prijavljivanja; incident može zahtijevati zasebne procjene prema oba pravna okvira. Akt EU-a o UI-ju dopunjuje zahtjeve za određene UI sustave bez zamjene provjere zaštite podataka pri obradi osobnih podataka.
U Secaniju.
Secani nudi profil zaštite podataka za uloge, kontekst obrade i prijenose te urednički katalog provjere GDPR-a. Profil bilježi podatke poduzeća i podupire strukturirano utvrđivanje stanja. Stručna ocjena stvarne obrade i njezine zakonitosti ostaje samostalna zadaća; profil nije odobrenje nadležnog tijela ni automatska pravna provjera.
Sljedeći korak.
Počnite s jasno određenom obradom, primjerice obradom upita korisničkoj podršci. Opišite svrhu, podatke, ispitanike, uključene usluge i primatelje te s nadležnim stručnjacima provjerite prikladnu pravnu osnovu. Zatim zabilježite koje su zaštitne mjere i postupci za prava i incidente zaista potrebni.
Izvori.
- Uredba (EU) 2016/679: Opća uredba o zaštiti podataka
- BfDI: GDPR – BDSG, Info 1, stanje ožujak 2026.
- Europska komisija: područje primjene i uloge GDPR-a
- Europska komisija: načela obrade
- Europska komisija: obveze poduzeća
- EDPB: sigurnost osobnih podataka
- EDPB: povrede osobnih podataka
- EDPB: prava ispitanika
- § 38 BDSG: službenici za zaštitu podataka nejavnih tijela
Česta pitanja.
Ne. Članak 6. GDPR-a poznaje različite pravne osnove s vlastitim uvjetima. Koja je prikladna ovisi o konkretnoj svrsi i činjenicama; dodatne zahtjeve, primjerice za posebne kategorije podataka, treba provjeriti zasebno.
Ne. Prijava nadzornom tijelu prema članku 33. GDPR-a može izostati ako nije vjerojatno da će povreda prouzročiti rizik za prava i slobode. Povredu ipak treba dokumentirati; obavješćivanje ispitanika prema članku 34. procjenjuje se zasebno.
Ne. ISMS može poduprijeti sigurnost obrade, ali ne odgovara automatski na pitanja pravne osnove, transparentnosti ili prava ispitanika. Njegovo područje primjene i stvarnu obradu treba provjeriti zasebno.
Da, ako njihova obrada ulazi u materijalno i teritorijalno područje primjene. Sama veličina poduzeća ne stvara opću iznimku; pojedine obveze ovise o dodatnim uvjetima.
Sljedivo organizirajte zaštitu podataka.
Upoznajte profil zaštite podataka i urednički katalog GDPR-a u Secaniju.
Ova stranica pruža opće objašnjenje i ne zamjenjuje pravnu provjeru pojedinog slučaja. Mjerodavni su važeći propisi i konkretna obrada.