Najčešće greške u usklađivanju sa GDPR-om i kako ih izbjeći [2025]

GDPR sve češće puni naslovnice jer zaštita privatnih podataka postaje tema koja brine građane i tvrtke diljem Hrvatske i EU. Pravila su jasna, no u praksi vidimo brojne propuste koji mogu skupo stajati organizacije. I najmanja pogreška može značiti visoke kazne ili gubitak povjerenja korisnika. Ovaj vodič pokazat će ti gdje poduzeća najčešće griješe i kako jednostavno izbjeći te zamke te ostati siguran i u skladu sa zakonom.

Nedostatak sveobuhvatne analize podataka

Mnoge tvrtke čine prvu i često najskuplju pogrešku već na početku procesa usklađenja s GDPR-om. Riječ je o preskakanju detaljne analize toka osobnih podataka. Bez dobre karte ili plana, teško je znati gdje podaci ulaze, tko ih koristi, gdje putuju i gdje završavaju. Zato je pravilna analiza osnova za sve ostale korake i štiti od neželjenih iznenađenja.

Što znači analiza toka osobnih podataka?

Analiza toka osobnih podataka nije samo brz pregled podataka koje tvrtka čuva. Ovdje govorimo o postupnom otkrivanju svih mjesta gdje se podaci skupljaju, obrađuju, spremaju i dijele. Zamisli to kao mapiranje puta po kojem podatak, recimo tvoj e-mail, putuje kroz sustav – od web forme, preko e-mail servera pa sve do baze korisnika.

Pri kvalitetnoj analizi trebaš razmotriti:

• Na kojim točkama prikupljaš osobne podatke (web stranice, aplikacije, telefonski pozivi).
• Tko ima pristup prikupljenim podacima i koliko dugo ih čuvaš.
• S kime se dijele podaci (npr. partneri, pružatelji IT podrške).
• Kako i gdje spremaš podatke (lokalno, u cloudu, fizički).
• Koje alate ili vanjske servise koristiš.

Bez ovih odgovora, tvoja mapa je nepotpuna i lako možeš previdjeti rizična mjesta.

Uobičajeni propušteni koraci kod mapiranja

U praksi tvrtke često zaboravljaju ili podcjenjuju neke važne elemente:

• Ne uključuju sve odjele – IT ekipa možda zna gdje su podaci, ali marketing i prodaja često barataju vlastitim bazama ili listama.
• Ignoriraju nerevidirane stare sustave – Zaboravljene baze i arhive iz prošlih godina mogu skrivati neusklađene podatke.
• Ne prate tok podataka izvan tvrtke – Ako podatke šalješ dobavljačima ili partnerima, moraš znati što se s njima tamo događa.
• Podcjenjuju fizičke podatke – Često se zaboravlja na printane dokumente ili sigurnost arhiva.

Zato svaka faza mapiranja mora uključiti sve aktivnosti tvrtke, kako bi proces bio cjelovit. Primjenom smjernica iz službenih izvora poput AZOP-ove stranice o pravima ispitanika možeš bolje razumjeti koja prava trebaš poštovati i što sve od podataka može biti rizično.

Zašto je ovo početna greška koja vodi u ostale probleme?

Preskakanje ili površno mapiranje podataka donosi lančane probleme. Bez jasne slike:

• Teško je sastaviti kvalitetne interne procedure i politike zaštite podataka.
• Ne možeš brzo i precizno odgovoriti na zahtjeve ispitanika za pristup, ispravak ili brisanje podataka.
• Postoji opasnost od neautoriziranog curenja ili nepropisnog dijeljenja podataka.
• Teže je dokazati zakonitost obrade, što je jedan od osnovnih uvjeta prema Smjernicama GDPR-a.

S vremenom, slabosti iz početne faze izlaze na vidjelo, često tek kad dođe do problema ili kazne. Upravo zato je detaljna analiza toka osobnih podataka temelj na kojem gradiš cijeli proces zaštite i usklađenja s GDPR-om.

Neadekvatna ili nepotpuna politika privatnosti

Mnogi misle da je dovoljno na web stranicu zalijepiti “Politiku privatnosti” i sve je odrađeno. Ipak, bez jasnih i potpunih informacija, taj dokument ne štiti ni tebe ni tvoje korisnike. Zbog toga često dolazi do kazni, prigovora ili nepovjerenja. Prava politika privatnosti nije formalnost, već tvoja obaveza i zaštita.

Što treba sadržavati politika privatnosti?

Politika privatnosti mora jasno reći korisniku što radiš s njegovim podacima. To znači konkretno navesti:

• koje osobne podatke prikupljaš (npr. ime, e-mail, IP adresa)
• zašto ih prikupljaš i koristiš
• na koji način ih čuvaš i koliko dugo
• tko sve ima pristup tim podacima (npr. partneri, vanjske tvrtke)
• koja su prava korisnika vezana uz njihove podatke (pristup, ispravak, brisanje, ograničenje obrade itd.)
• s kime dijeliš podatke i pod kojim uvjetima
• kontakt za povlačenje privole ili prigovor

Korisniku sve mora biti jasno na prvi pogled – bez “sitnih slova” i pravnih zavrzlama.

Najčešći propusti kod izrade politike privatnosti

Mnoge politike privatnosti imaju skrivene rupe ili nejasnoće. Evo što se često događa:

• Preopćenite informacije – Tekst ne objašnjava što se zapravo događa s podacima.
• Izostanak kontakta za korisnike – Korisnik nema kome poslati prigovor ili zahtjev.
• Nema informacija o pravima korisnika – Nisu navedena prava ili su prikazana zakomplicirano.
• Nedostatak informacija o dijeljenju podataka – Nije jasno navedeno s kime se osobni podaci dijele i u koje svrhe.
• Nepotpuna ili zastarjela verzija – Politika ne prati stvarnu praksu poduzeća ili promjene u zakonodavstvu.
• Nedostatak transparentnosti – Skrivene odredbe, nejasni opisi, ili tek formalno ispunjavanje zakonske forme bez pravih informacija.

Takvi propusti često donose više štete nego koristi. Korisnici gube povjerenje jer ne razumiju što će biti s njihovim podacima, a ti rizikuješ prijavu nadzornom tijelu ili visoke kazne.

Pravni rizici i posljedice neadekvatne politike privatnosti

Nejasna ili nepotpuna politika privatnosti nije “samo papir”, već ozbiljan pravni problem. Ako korisnik shvati da ne zna što se događa s njegovim podacima, često se obraća nadzornim tijelima. U Hrvatskoj je to Agencija za zaštitu osobnih podataka (AZOP). Tu kreću problemi:

• visoke novčane kazne, ovisno o veličini prekršaja i poslovanju organizacije
• negativna objava i rušenje ugleda
• nalozi za ispravke i dodatni nadzor tvrtke
• obaveza nadoknade štete korisnicima

Na europskoj razini kazne nisu rijetkost, a primjeri iz drugih država EU pokazuju ozbiljnost provedbe GDPR-a.

Najgore je kad korisnici osjećaju da im prava nisu poštovana, a komunikacija ne postoji. Osiguraj da su sve informacije jasne i ažurne – to je tvoja prva linija obrane i ključ dobrog poslovanja.

Ne zaboravi, savjeti i detalji o zaštiti osobnih podataka dostupni su na službenim izvorima kao što je stranica o pravima ispitanika AZOP-a i brojnim pouzdanim europskim vodičima.

Ako zanemariš ove osnove, problem neće nestati – samo postaje veći s vremenom.

Ignoriranje prava ispitanika

Velika greška mnogih tvrtki je zanemarivanje prava ispitanika, odnosno korisnika čiji se podaci obrađuju. GDPR jasno propisuje da svaka osoba ima pravo znati koje podatke držite o njoj, zatražiti ispravak, ograničenje, brisanje ili prijenos podataka. Ako ova prava ignoriraš, riskiraš kazne i gubiš povjerenje korisnika.

Najčešće greške kod ostvarivanja prava ispitanika

Kad korisnik zatraži pristup svojim podacima, odgovorna tvrtka mora promptno i potpuno odgovoriti. U praksi, tu dolazi do brojnih propusta:

• Nepravovremen odgovor – GDPR daje rok od mjesec dana za odgovor na zahtjev korisnika. Mnoge tvrtke kasne, zaborave ili zanemare zahtjev, što je težak prekršaj.
• Nepotpuni podaci – Često korisnik dobije nepotpun odgovor, primjerice fali opis gdje se podaci čuvaju, tko ih koristi ili se ne navedu svi podaci koje organizacija posjeduje.
• Kompleksna i zbunjujuća komunikacija – Umjesto jasnog, jednostavnog jezika organizacije često šalju pravne fraze i komplicirane dokumente.
• Ignoriranje zahtjeva za ispravak ili brisanje – Neke tvrtke zahtjeve za ispravak ili brisanje odbace bez jasnog razloga ili korisnika usmjere na nepotrebno komplicirane procedure.
• Nedostatak sljedivosti – Često nema dokaza kako i kada je korisnik poslao zahtjev i što je tvrtka odgovorila, što je problem kod nadzora i eventualnog spora.

Zbog ovakvih grešaka korisnici se često žale nadzornim tijelima, a Agencija za zaštitu osobnih podataka može vrlo brzo kazniti organizaciju.

Kako proceduralne greške vode do prijava i kazni

Sve što korisniku otežava ostvarenje prava otvara vrata regulatornim postupcima i visokim kaznama. Primjeri iz prakse pokazuju:

• Korisnik ne dobije informacije o svojim podacima u zakonskom roku.
• Traži ispravak podataka, ali proces traje mjesecima ili informacija nije ažurirana.
• Zahtjev za brisanje podataka se “izgubi”, pa korisnik i dalje prima promotivne e-mailove.
• Nema zapisa o komunikaciji s korisnikom pa tvrtka ne može dokazati da je odgovorila.

Kad dođe prijava AZOP-u, inspektori najčešće traže svu dokumentaciju o zaprimljenim zahtjevima, rokovima odgovora i sadržaju dostavljenih informacija. Kazne se izriču brzo, a najčešće pokrivaju:

• Kašnjenje ili nedavanje informacija iz zahtjeva,
• Otežavanje pristupa podacima,
• Neobavještavanje korisnika o pravima,
• Nepravilno vođena evidencija zahtjeva i odgovora.

Jednostavno, precizno vođenje evidencije i brza, jasna komunikacija su osnova dobre prakse. Vodič poput Vodiča prava ispitanika pomaže tvrtkama razumjeti što sve moraju osigurati kako bi korisnici stvarno mogli ostvariti svoja prava.

Što sve korisnici očekuju – i što ti moraš omogućiti

Korisnici očekuju:

• Jednostavan način podnošenja zahtjeva (web forma, e-mail, telefon).
• Jasne informacije o pravima.
• Pravovremen, razumljiv i potpun odgovor.
• Mogućnost ispravka i brisanja bez “tajnih uvjeta”.

Kao voditelj obrade podataka, tvoje je da osiguraš svaki korak. Koristi preporuke s europskih vodiča o poštovanju prava pojedinaca za jednostavniju organizaciju procesa.

Ako želiš biti siguran, svaka dokumentacija i svaki odgovor korisniku moraju biti sačuvani. Tako štitiš i sebe i korisnika – bez nepotrebnih strahova od prijava i kazni.

Slaba kontrola i zaštita pristupa podacima

Slaba kontrola pristupa podacima česta je i opasna greška u praksi. Čim više ljudi ima pristup osjetljivim podacima bez jasne potrebe, rizik od curenja i zloupotrebe naglo raste. Prava zaštita pristupa štiti i korisnike i tvoju organizaciju, a kad podcijeniš ovaj korak, šteta može biti velika.

Zašto je važno jasno odrediti tko ima pristup podacima

Ne smiju svi zaposlenici imati pristup svim osobnim podacima. Potrebno je točno razgraničiti tko smije što vidjeti i s kojom svrhom. Kad je pristup podacima neograničen:

• povećava se šansa za greške i slučajno dijeljenje podataka
• raste rizik od neovlaštenih radnji ili zloupotreba
• teško je pratiti tko je pregledavao i mijenjao podatke

Organizacije često preskoče ovu fazu zbog brzine ili neinformiranosti, no posljedice mogu biti skupe.

Uobičajene greške kod definiranja razina ovlaštenja

Jedan od glavnih problema je postavljanje “defaultnih” ili preširokih ovlasti svima koji rade s bazama podataka. Ovakvi propusti uključuju:

• grupne lozinke ili dijeljenje korisničkih računa
• svima dodijeljene administratorske ovlasti, čak i kad to nije nužno
• izostanak kontrole nad starim ili neaktivnim korisničkim računima
• nedovoljno ažuriranje prava kod promjene radnog mjesta ili odlaska iz tvrtke

Ove greške otvaraju vrata za slučajne propuste, ali i za namjerne zloupotrebe.

Tehnička zaštita: zašto nije dovoljno samo imati lozinku

Sama lozinka nije dovoljna kao zaštita, pogotovo ako je jednostavna ili se koristi godinama. Prava tehnička zaštita zahtijeva:

• dvofaktorsku autentikaciju za osjetljive sustave
• redovitu izmjenu lozinki
• šifriranje podataka, posebno kod slanja ili pohrane na prijenosnim uređajima
• praćenje pristupa kroz logove, kako bi bilo jasno tko je i kada pristupio podacima

Bez ovih sigurnosnih mjera, svaki prekid u sustavu može brzo dovesti do curenja podataka.

Posljedice curenja podataka: gubitak reputacije i pravne komplikacije

Kad podaci “procur” ili ih zlonamjerni korisnik neovlašteno iskoristi, posljedice su višestruke:

• Gubitak povjerenja korisnika – ljudi ne žele poslovati s firmom kojoj “bježe” osobni podaci
• Visoke novčane kazne – regulatorne agencije brzo reagiraju i izriču kazne zbog nemara i neadekvatne zaštite
• Objava incidenata u medijima – negativni publicitet može uništiti ugled koji si godinama gradio
• Novo administrativno opterećenje – bit ćeš dužan obavijestiti korisnike o incidentu, provesti dodatne istrage i mijenjati procese

Tablica ispod pokazuje nekoliko najčešćih posljedica curenja podataka:

Za dublje razumijevanje važnosti zaštite podataka, korisno je pratiti preporuke i vodiče na službenim stranicama EU ili savjetodavnim platformama poput Ureda europskog nadzornika za zaštitu podataka. Tamo možeš pronaći praktične savjete kako pravilno organizirati pristup podacima i smanjiti rizike.

Ključ svega? Svako pravo pristupa mora biti opravdano poslom, redovito kontrolirano i ograničeno samo na nužno.

Jasne razine pristupa i tehnička zaštita nisu luksuz, već osnovni preduvjet za sigurno i zakonito poslovanje.

Nedovoljna edukacija zaposlenika

Važnost dobre edukacije zaposlenika često se gura u drugi plan kad tvrtke rade na usklađivanju s GDPR-om. Ovo je velika greška. Zaposlenici su svakodnevno u kontaktu s osobnim podacima, a neznanje ili površno poznavanje pravila lako vode do propusta, povrede privatnosti ili čak visokih kazni. Bez jasnih uputa i redovitih treninga, organizacija riskira više nego što misli.

Edukacija kao temelj uspješne GDPR zaštite

Prava GDPR zaštita ne dolazi samo iz politike privatnosti ili tehničkih mjera. Ljudi koji provode pravila su ključ sigurnosti. Kad zaposlenici razumiju zašto su podaci osjetljivi i kako s njima postupati, mnogo je lakše spriječiti greške.

Dobar trening znači:

• Jasno objašnjene osnovne pojmove (koji podaci su osobni, što je privola, kada se prijavljuju incidenti)
• Pokazivanje svakodnevnih situacija u kojima može doći do povrede (npr. slanje e-maila krivoj osobi, ostavljanje dokumenata bez nadzora)
• Praktične vježbe prijavljivanja sumnjivih radnji ili kontakta sa zahtjevima korisnika

Tvrtke koje ulažu u redovitu edukaciju zaposlenika pokazuju odgovornost pred regulatorima i korisnicima, što može umanjiti kazne u slučaju incidenata. Više o tome možeš pročitati u tekstu o kaznama za nepoštivanje GDPR-a.

Najčešće propušteni sadržaji edukacija

Česte su edukacije općenite, bez dovoljno primjera iz stvarnog rada tvrtke. Osim osnovnih pravila, važno je pokriti sljedeće teme:

• Prepoznavanje prijetnji (phishing mailovi, socijalni inženjering)
• Postupanje kad korisnik zatraži pristup ili brisanje podataka
• Pravila za pohranu i uništavanje dokumenata s osobnim podacima
• Dijeljenje podataka s drugim odjelima ili vanjskim suradnicima

Nedostatak konkretnih smjernica pokazuje se baš u malim svakodnevnim greškama, koje se kasnije pretvore u veliki problem. Istraživanja pokazuju da većina prijavljenih povreda dolazi zbog ljudskog faktora, pogotovo kad zaposlenici ne znaju što je važno i kako reagirati.

Tipične nepažnje koje dovode do povrede privatnosti

Nepoznavanje pravila najčešće vodi do ponavljajućih pogrešaka koje su lako sprječive:

• Slanje osobnih podataka na pogrešnu e-mail adresu
• Ostavljanje ispisanih dokumenata na stolu ili u printeru
• Nezaključani ekrani u otvorenim uredima
• Korištenje nešifriranih USB stikova ili prijenosnih računala
• Otkrivanje lozinki i PIN-ova kolegama iz “praktičnosti”

Ove male greške često se ne prijavljuju jer zaposlenici nisu sigurni što učiniti, a ne žele “uzbuniti” rukovodstvo. Prava edukacija otklanja strahove i potiče brzu reakciju.

Ako te zanima više o korisnim iskustvima i savjetima iz prakse, pogledaj rad o implementaciji GDPR-a u malim poduzećima gdje su opisani konkretni primjeri svakodnevnih izazova i važnosti edukacije.

Kako izbjeći propuste kroz edukaciju

Najbolje rezultate daje stalna i jasna edukacija, uz podršku stvarnih primjera iz posla. Svako novo pravilo ili promjena unutar tvrtke treba odmah biti objašnjena svima koji dolaze u dodir s osobnim podacima.

Preporučljivo je najmanje jednom godišnje organizirati interne radionice i provjere znanja, a kod novih zaposlenika, trening napraviti odmah po dolasku. Neke tvrtke nude i certifikate ili kratke kvizove za provjeru razumijevanja.

Time zaštitu podataka pretvaraš iz “dosadne” obaveze u rutinu koja čuva i firmu i korisnike na duže staze. Ako želiš detaljnije upoznati prednosti interna edukacija, možeš pročitati članak o praktičnoj in-house edukaciji iz svakodnevne GDPR prakse na Fejk in-house edukacija u veljači.

Uz malo upornosti i jednostavnim rječnikom, svi zaposlenici mogu razumjeti osnove GDPR-a i lako ih primjenjivati. To je najjeftinija i najpametnija zaštita koju svaka tvrtka može uvesti.

Kako izbjeći najčešće greške i kontinuirano ostati usklađen

Nakon što prepoznaš gdje se najčešće griješi, dolazimo do praktičnih koraka koji čuvaju tvoje poslovanje i štite osobne podatke svakog korisnika. Stalno usklađivanje nije nešto što odradiš jednom pa zaboraviš. To je proces koji traje, baš poput održavanja automobila – treba ga pregledati, popravljati i redovito obnoviti. Evo kako to napraviti jednostavno i učinkovito, bez glavobolje.

Redoviti interni audit: sigurnosna provjera iznutra

Interni audit pomaže ti da vidiš radi li sve onako kako si zamislio. Pregledaj svakih 6 ili 12 mjeseci:

• jesu li svi procesi zapisani i slijede li se u praksi
• ima li novih usluga ili alata gdje “ulaze” osobni podaci
• poštuju li svi zaposlenici dogovorena pravila

Za lakšu organizaciju, možeš koristiti jednostavnu tablicu za “check listu”:

Ovaj “mini pregled” ne treba biti birokratski. Glavna poruka – otkrij rupe prije nego što postanu pravi problem. Ako zatrebaš više smjernica, pogledaj preporuke na službenoj stranici Europske komisije o GDPR-u.

Ažuriranja politika i dokumentacije: papir trpi, ali korisnici ne

GDPR se ne mijenja često, ali tvoj posao sigurno se razvija. Nova web stranica, partner ili alat znači da i politika privatnosti mora biti jasna i nova. Nemoj čekati nekoliko godina – presloži politiku svaki put kad uneseš bitnu promjenu. Zabilježi kada si ažurirao dokumente i objavi korisnicima da si nešto izmijenio.

Kriva ili zastarjela dokumentacija stvara nesigurnost kao loše postavljen znak na cesti. Imaj evidenciju svih verzija dokumenata, tako brzo možeš dokazati ažurnost ako te pita inspektor ili korisnik. Prati one EU vodiče koji pomažu pri prilagodbi poslovanja europskim pravilima i uvijek koristi zadnje preporuke.

Plan edukacije: zaposlenici su tvoj najbolji štit

Svaka nova osoba, softver ili procedura znači novi rizik – i novu priliku za grešku. Najbolji lijek je edukacija koja je kratka, konkretna i dostupna svima. Evo što trebaš napraviti:

• organiziraj radionice jednostavnim jezikom
• koristi stvarne primjere “grešaka iz života”
• podsjeti ekipu svaka 3 do 6 mjeseci na osnovna pravila
• prati tko je prošao edukaciju i planiraj ponavljanje

Obavezno dokumentiraj održane edukacije (datum, trajanje, tko je sudjelovao). Tu evidenciju pokaži inspektoru ako dođe kontrola. Edukacija ne mora biti naporna ni skupa – kratki digitalni kviz može biti dovoljan podsjetnik.

Suradnja sa stručnjacima: sigurnost dolazi kad pitaš one koji znaju

Nisi sam u ovom procesu. Ponekad je bolje pitati stručnjaka nego lutati. Vanjski savjetnici za zaštitu podataka, IT eksperti ili pravnici mogu pomoći kad uvodiš nove alate, ugovaraš nove partnere ili zatrebaš poseban odgovor korisniku.

Ako nisi siguran kojeg stručnjaka trebaš, možeš se informirati kroz pouzdane izvore o tome kako suradnja sa stručnjacima doprinosi kvaliteti usklađivanja, poput ovog vodiča o pravilima i zakonima EU za poduzetnike u Hrvatskoj gdje često navode iskustva i preporuke iz prakse.

Put do stalnog usklađenja je puno lakši kad razmišljaš unaprijed i imaš jasan plan. Dovoljno je malo redovnih provjera, osvježenja znanja i otvorenost prema savjetima izvana da sve teče glatko i bez straha od iznenadnih grešaka ili kazni.

Zaključak

Najveće greške kod usklađivanja s GDPR-om najčešće nastaju zbog površnog pristupa, zanemarivanja prava korisnika i neprilagođenih pravila koja ne prate stvaran rad tvrtke. Svaka od ovih pogrešaka može dovesti do novčanih kazni, gubitka ugleda ili povjerenja klijenata.

Zato nije dovoljno uskladiti poslovanje “jednom zauvijek”. Potrebno je stalno provjeravati, ažurirati i prilagoditi interne procese prema novim smjernicama i tehnologijama. Edukacija zaposlenika, pravovremene kontrole i brza prilagodba novim propisima donose sigurnost tvom poslovanju.

Ako želiš pratiti najnovija pravila i primjere iz europske prakse, redovito koristi provjerene izvore znanja. Pravodobno djelovanje štiti podatke tvojih korisnika i čuva tvoje poslovanje od neugodnih iznenađenja. Hvala ti što ulažeš trud u sigurnost podataka, jer svaka poboljšana praksa znači sigurnije okruženje za sve.