GDPR kazne u Hrvatskoj — što je stvarno izrečeno
Zbirka podataka o upravnim novčanim kaznama Agencije za zaštitu osobnih podataka (AZOP), s jasnim označavanjem izvora. Svaka brojka u nastavku nosi oznaku izvora i stanje provjere.
Ovo nisu pravni savjeti. Ovo je zbirka javno dostupnih regulatornih podataka. Za odluku o tome kako vaša tvrtka postupa s osobnim podacima obratite se odvjetniku ili DPO-u. Podaci su prikupljeni 06.10.2026. i mogu biti zastarjeli.
Brojke koje potvrđujemo
| Podatak | Izvor i stanje |
|---|---|
| 32 kazne, ukupno 3,1 milijuna eura (od 2020.) | izvor 1 sekundarni, tekst u cijelosti pročitan |
| Samo u prvih pet mjeseci 2023.: 13 kazni, 2,3 milijuna eura | izvor 1 sekundarni, tekst pročitan |
| Najveća kazna do tada: 2,26 milijuna eura — agencija za naplatu potraživanja B2 Capital | izvor 1 sekundarni, tekst pročitan |
| 2. po veličini: 30.000 eura — sektor kockanja i klađenja, kolačići | izvor 1 sekundarni, tekst pročitan |
| 3. po veličini: 20.000 eura — isti sektor | izvor 1 sekundarni, tekst pročitan |
| Seven novih kazni, ukupno 169.000 eura — objavljeno 24.03.2025. | izvor 4 primarni (AZOP), samo naslov i datum |
| Kazna od 1,5 milijuna eura povezana s GDPR-om | izvor 3 medijski, samo naslov — vidi napomenu ispod |
| Službeni registar kazni po godinama 2020.–2026. | izvor 2 primarni (AZOP), pročitan |
Neusklađenost izvora — čitaj prije nego što uspoređuješ.
Izvor 1 navodi najveću kaznu od 2,26 milijuna eura. Na vlastitom webu AZOP je međutim objavio odluku o kazni od 2,59 milijuna eura društvu za priređivanje igara na sreću.
To najvjerojatnije nije kontradikcija: izvor 1 prikazuje stanje na dan objave i zaključuje s 2024., dok je odluka o 2,59 milijuna vjerojatno novija (registar AZOP-a obuhvaća do 2026.). To nismo uspjeli dokazati iz istog izvora, pa brojke ne uspoređuj bez provjere datuma svake pojedine odluke. Za aktualan popis koristi službeni registar AZOP-a (izvor 2).
Pet grešaka koje ponavljaju gotovo svi predmeti
- Neispravno prikupljanje privole
- Neodgovaranje na zahtjeve ispitanika
- Nepotpuna evidencija obrade
- Zakašnjela prijava povreda osobnih podataka
- Nedostatak ugovora s izvršiteljima obrade
izvor 1 sekundarni izvor, tekst pročitan.
Kako AZOP pokreće postupke
- Po službenoj dužnosti — tematski nadzori po sektorima
- Po pritužbi građana — prema izvoru 1, pritužbe čine najveći udio pokretača, pa svaki nezadovoljni kupac, korisnik ili zaposlenik može pokrenuti inspekciju
- Na temelju prijave povrede osobnih podataka
Kazna nije jedina mjera
Uz novčanu kaznu AZOP može izreći i korektivne mjere: upozorenje, opomenu, nalog za usklađivanje obrade, nalog za obavještavanje ispitanika, privremeno ili trajno ograničenje obrade, pa čak i zabranu obrade. Te mjere mogu biti daleko skuplje od samog iznosa kazne jer mogu zaustaviti poslovne procese koji ovise o obradi osobnih podataka.
izvor 1 sekundarni, tekst pročitan.
Gornja granica
Prema članku 83. GDPR-a, za najteža kršenja predviđene su kazne do 20 milijuna eura ili do 4 % ukupnog godišnjeg prometa na svjetskoj razini — ovisno o tome što je veće. Pri određivanju visine AZOP uzima u obzir prirodu i težinu kršenja, namjernost ili nepažnju, mjere za sprječavanje kršenja i povijest kršenja.
izvor 1 sekundarni, tekst pročitan.
Objava podataka o počinitelju
Prema članku 48. Zakona o provedbi Opće uredbe o zaštiti podataka (NN 42/2018), pravomoćno rješenje objavljuje se na mrežnim stranicama Agencije bez anonimiziranja podataka o počinitelju ako se radi o obradi podataka maloljetnika, posebnih kategorija osobnih podataka, automatiziranom pojedinačnom donošenju odluke ili profiliranju, ako je voditelj ili izvršitelj obrade već prekršio GDPR, ili ako je izrečena kazna od najmanje 100.000,00 kuna.
izvor 2 primarni (AZOP), pročitan.
Što nismo mogli verificirati
Ovaj dio postoji da ne biš vjerovao brojkama koje nismo mogli otvoriti.
Izvor 4 (7 kazni, 169.000 eura): tijelo članka nije se učitalo — stranica se renderira kroz JavaScript. Potvrđeni su samo naslov i datum objave (24.03.2025.).
Izvor 3 (1,5 milijuna eura): tijelo članka nije dostupno — paywall/JavaScript. Potvrđen je naslov i pojava iznosa u sirovom HTML-u, ali tekst ne navodi kome je kazna izrečena, pa to nismo ni mi napisali.
Izvor 1 je komercijalni blog, a ne primarni izvor. Njegove brojke su sekundarna interpretacija podataka AZOP-a. Svaku brojku koju ovdje prikazujemo kao podatak pratite do službenog registra (izvor 2).
Izvori
- compliquest.com — GDPR kazne u Hrvatskoj: AZOP vodič za tvrtke — sekundarni; pročitan u cijelosti
- azop.hr — Upravne novčane kazne — primarni; službeni registar, pročitan
- lidermedia.hr — Erste banka: AZOP nas je kaznio s 1,5 milijuna eura zbog GDPR-a — medijski; samo naslov
- azop.hr — Izrečeno novih sedam upravnih novčanih kazni u iznosu od 169.000 eura — primarni; samo naslov i datum
Svi linkovi provjereni 06.10.2026. (HTTP 200). Sirovi HTML i izdvojeni tekst svih četiriju izvora spremljeni su lokalno radi revizije. Ova stranica ne šalje nikakve zahtjeve van izvorima navedenima iznad — linkovi se otvaraju tek klikom.