Sadržaj vodiča
- Ukratko
- Kada je DPIA obvezna
- Tko provodi DPIA-u
- Četiri koraka provedbe
- Na koje rizike misliti
- Sadržaj DPIA dokumenta
- Primjeri iz prakse
- Primjer: DPIA za videonadzor u trgovini
- Primjer: DPIA za AI alat za odabir kandidata
- Prethodno savjetovanje s AZOP-om
- Promjene koje se pripremaju na razini EU-a
- DPIA i procjena učinka na temeljna prava
- Kada ažurirati DPIA-u
- Najčešće pogreške
- Česta pitanja
- Sljedeći korak
- Izvori i pregled
DPIA (engl. Data Protection Impact Assessment) je procjena učinka na zaštitu podataka: postupak u kojem voditelj obrade prije početka obrade opisuje obradu, procjenjuje njezinu nužnost i rizike za prava i slobode ljudi te određuje mjere za smanjenje rizika (čl. 35. GDPR-a). Obvezna je kada je vjerojatno da će obrada prouzročiti visok rizik. U Hrvatskoj je AZOP objavio popis od 13 vrsta obrada za koje je DPIA uvijek obvezna.
Ovaj vodič prikazuje stanje na 4. studenoga 2026. Uključuje AZOP-ov Vodič za procjenu učinka za male i srednje poduzetnike iz ožujka 2026. i EDPB-ov predložak DPIA-e koji je bio na javnom savjetovanju od 14. travnja do 9. lipnja 2026.
Ukratko
- DPIA se provodi prije obrade, a ne nakon što je sustav već uveden.
- Obvezna je u tri slučaja iz čl. 35. st. 3., u 13 slučajeva s AZOP-ova popisa i uvijek kada je vjerojatan visok rizik.
- Dva od devet kriterija iz smjernica WP248 u pravilu znače da je DPIA potrebna.
- Za DPIA-u odgovara voditelj obrade. Ako ima službenika za zaštitu podataka, mora zatražiti njegov savjet (čl. 35. st. 2.).
- Ako rizik ostane visok i nakon mjera, prije obrade obvezno je prethodno savjetovanje s AZOP-om, koji odgovara u roku od osam tjedana (čl. 36.).
- Kazna za izostanak DPIA-e kada je obvezna iznosi do 10 milijuna eura ili 2 % ukupnog godišnjeg svjetskog prometa (čl. 83. st. 4.).
Kada je DPIA obvezna
Tri slučaja iz GDPR-a
| Slučaj (čl. 35. st. 3.) | Primjer |
|---|---|
| sustavna i opsežna procjena osobnih aspekata, uključujući profiliranje, na kojoj se temelje odluke s pravnim ili sličnim značajnim učinkom | automatsko odobravanje kredita, automatizirani odabir kandidata |
| opsežna obrada posebnih kategorija podataka ili podataka o kaznenim osudama | bolnički informacijski sustav, biometrijska identifikacija u velikom opsegu |
| sustavno praćenje javno dostupnog područja u velikoj mjeri | videonadzor trgovačkog centra ili gradskih ulica |
AZOP-ov popis: 13 vrsta obrada
AZOP je Odlukom od 21. prosinca 2018. utvrdio da je DPIA obvezna i za:
- sustavno i opsežno profiliranje ili automatizirano odlučivanje koje značajno utječe na pojedinca ili odlučuje o pristupu usluzi ili pogodnosti, na primjer na temelju financijskog statusa, zdravlja, interesa, ponašanja ili lokacije;
- obradu posebnih kategorija podataka radi profiliranja ili automatiziranog odlučivanja;
- obradu podataka djece radi profiliranja, automatiziranog odlučivanja, marketinga ili izravne ponude usluga namijenjenih djeci;
- obradu podataka prikupljenih od trećih strana na temelju kojih se odlučuje o sklapanju, raskidu, odbijanju ili produljenju ugovora s fizičkim osobama;
- opsežnu obradu posebnih kategorija podataka ili podataka o kaznenoj ili prekršajnoj odgovornosti;
- opsežan sustavni nadzor javno dostupnih mjesta;
- nove tehnologije, na primjer internet stvari, pametne televizore, povezane igračke, pametne mjerače energije i sustave pametnih gradova, koje analiziraju ili predviđaju ekonomsku situaciju, zdravlje, interese, ponašanje ili kretanje ljudi;
- obradu biometrijskih podataka uz još barem jedan kriterij iz smjernica WP248;
- obradu genetskih podataka uz još barem jedan kriterij iz smjernica WP248;
- povezivanje, usporedbu ili provjeru podudarnosti podataka iz više izvora;
- praćenje lokacije ili ponašanja sustavnom obradom komunikacijskih podataka i metapodataka (GSM, GPS, Wi-Fi);
- uređaje i tehnologije kod kojih incident može ugroziti zdravlje jedne ili više osoba;
- obradu podataka zaposlenika aplikacijama ili sustavima za praćenje rada, kretanja ili komunikacije.
AZOP naglašava da popis nije zatvoren. Obveza procjene rizika vrijedi i za obrade koje na popisu nisu.
Devet kriterija visokog rizika (WP248)
| # | Kriterij | Primjer |
|---|---|---|
| 1 | procjena ili bodovanje, uključujući profiliranje | kreditno bodovanje, analiza ponašanja kupaca |
| 2 | automatizirano odlučivanje sa značajnim učinkom | automatsko odbijanje zahtjeva |
| 3 | sustavno praćenje | videonadzor, praćenje rada zaposlenika |
| 4 | osjetljivi podaci | zdravstveni, biometrijski, genetski, kazneni podaci |
| 5 | veliki opseg | podaci stanovnika cijelog grada ili svih korisnika usluge |
| 6 | povezivanje skupova podataka | spajanje baza iz različitih izvora i svrha |
| 7 | ranjivi ispitanici | djeca, zaposlenici, pacijenti, starije osobe |
| 8 | nove tehnologije | AI za odluke, prepoznavanje lica, internet stvari |
| 9 | obrada koja sprječava ostvarivanje prava ili korištenje usluge | provjera u bazi prije odobravanja kredita |
Obrada koja ispunjava dva kriterija u pravilu traži DPIA-u. Ponekad je dovoljan i jedan. Ako unatoč dva kriterija zaključite da visokog rizika nema, zapišite obrazloženje.
Veliki opseg se procjenjuje prema broju ispitanika ili udjelu u populaciji, količini i vrstama podataka, trajanju obrade i zemljopisnom dosegu.
Kada DPIA nije obvezna
AZOP-ov vodič za male i srednje poduzetnike navodi primjere obrada za koje DPIA u pravilu nije obvezna:
- podaci pacijenata pojedinog liječnika i klijenata odvjetnika;
- uobičajeno upravljanje školama i vrtićima: upisi, računi, prehrana, prijevoz, izleti;
- kadrovska evidencija kod poslodavca s manje od 250 zaposlenih;
- administracija ugovora s dobavljačima, narudžbi i naplate;
- kontrola fizičkog pristupa zgradi bez biometrije i bez posebnih kategorija podataka;
- obrada za zakonsku obvezu ili javnu zadaću ako je procjena već provedena pri donošenju propisa.
I kada nije obvezna, DPIA je dobar način da dokažete usklađenost s GDPR-om. Kada zaključite da DPIA nije potrebna, AZOP traži da razloge opravdate i zapišete, uključujući mišljenje službenika za zaštitu podataka.
Tko provodi DPIA-u
| Uloga | Zadaća |
|---|---|
| Voditelj obrade | odgovara za provedbu i za odluku o obradi |
| Službenik za zaštitu podataka | savjetuje i prati provedbu (čl. 39. st. 1. (c)) |
| Izvršitelj obrade | daje informacije o sustavu, mjerama i podizvršiteljima (čl. 28. st. 3. (f)) |
| Vlasnik procesa | opisuje svrhu, podatke i tok obrade |
| IT i informacijska sigurnost | procjenjuju tehničke rizike i mjere |
| Ispitanici ili njihovi predstavnici | njihovo mišljenje traži se kada je to primjereno (čl. 35. st. 9.) |
DPIA može izraditi i vanjski savjetnik, ali odluka i odgovornost ostaju na voditelju obrade.
Četiri koraka provedbe
AZOP-ov vodič iz 2026. dijeli DPIA-u u četiri koraka. Oni odgovaraju sadržaju iz čl. 35. st. 7. GDPR-a.
Korak 1: opišite obradu
- svrha i pravni temelj;
- kategorije ispitanika i podataka;
- izvori podataka, primatelji, izvršitelji i prijenosi izvan EU-a;
- sustavi, lokacije i tok podataka od prikupljanja do brisanja;
- rokovi čuvanja.
Korak 2: procijenite nužnost i razmjernost
Provjerite temeljna načela iz čl. 5.: je li svrha jasna, prikupljate li samo nužne podatke, jesu li podaci točni, je li rok čuvanja opravdan i znaju li ispitanici za obradu. Provjerite i kako ostvaruju prava na pristup, ispravak, brisanje i prigovor.
Korak 3: procijenite rizik
Za svaki rizik procijenite što se događa kod neovlaštenog pristupa, neovlaštene izmjene i gubitka podataka. Zatim odredite izvor prijetnje (zaposlenici, korisnici, treće osobe, oprema, mreža, lokacija) i ocijenite vjerojatnost i ozbiljnost.
| Razina | Vjerojatnost | Ozbiljnost posljedica |
|---|---|---|
| 1 zanemariva | rizik se čini nevjerojatnim | posljedica se prevlada bez problema, na primjer spam |
| 2 niska | rizik će se teško ostvariti | manje poteškoće, na primjer neočekivani trošak |
| 3 srednja | rizik se čini mogućim | ozbiljne poteškoće, na primjer financijski gubitak zbog prijevare |
| 4 visoka | rizik se lako ostvaruje | posljedice se ne mogu prevladati, na primjer veliki financijski gubitak ili nemogućnost zaposlenja |
Kombinacija vjerojatnosti i ozbiljnosti daje nizak, srednji ili visok rizik. AZOP-ov primjer vjerojatnosti: baza koja bilježi zapise o izmjenama i kojoj pristupaju samo ovlaštene osobe ima zanemarivu vjerojatnost neovlaštene izmjene. Baza bez lozinke ima visoku.
Korak 4: odredite mjere
| Rizik | Primjeri mjera |
|---|---|
| neovlašteni pristup | pristup po ulogama, dvofaktorska prijava, šifriranje, zapisi o pristupu |
| neovlaštena izmjena | kontrola izmjena, zapisi, provjera integriteta |
| gubitak podataka | sigurnosne kopije, plan oporavka, testiranje oporavka |
| pretjerano prikupljanje | smanjenje polja, pseudonimizacija, kraći rok čuvanja |
| netransparentnost | obavijest o obradi, informiranje zaposlenika |
| pogrešne automatizirane odluke | ljudska provjera, pravo na osporavanje, testiranje pristranosti |
Za svaku mjeru odredite vlasnika i rok. Nakon mjera ponovno ocijenite preostali rizik i zapišite odluku: obrada se provodi, provodi se uz dodatne mjere ili se traži prethodno savjetovanje s AZOP-om.
Na koje rizike misliti
DPIA procjenjuje rizik za ljude, a ne za tvrtku. GDPR kao moguće posljedice obrade navodi (uvodna izjava 75):
- diskriminaciju;
- krađu identiteta ili prijevaru;
- financijski gubitak;
- štetu ugledu;
- gubitak povjerljivosti podataka zaštićenih profesionalnom tajnom;
- neovlašteno poništenje pseudonimizacije;
- gubitak kontrole nad vlastitim podacima;
- nemogućnost ostvarivanja prava;
- procjenu osobnih aspekata, posebno profiliranje;
- obradu podataka djece i drugih ranjivih osoba.
Za svaki rizik zapišite tko je pogođen, kako bi se rizik mogao ostvariti i koliko bi posljedica bila ozbiljna.
Sadržaj DPIA dokumenta
Čl. 35. st. 7. GDPR-a propisuje najmanje:
- sustavan opis obrade i svrha, uključujući legitimni interes kada je primjenjiv;
- procjenu nužnosti i razmjernosti obrade;
- procjenu rizika za prava i slobode ispitanika;
- mjere za rješavanje rizika, zaštitne mjere i sigurnosne mehanizme.
U praksi dodajte: datum i verziju, sudionike, mišljenje službenika za zaštitu podataka, odluku uprave i datum sljedeće provjere.
| Predložak | Izdavatelj | Status |
|---|---|---|
| Obrazac procjene učinka (sedam koraka: potreba, opis, savjetovanje, nužnost, rizici, mjere, ishod) | AZOP, na stranici Obrasci i predlošci | primjer za korištenje |
| Vodič za procjenu učinka za male i srednje poduzetnike | AZOP, ožujak 2026. | četiri koraka i matrica rizika |
| EDPB-ov predložak DPIA-e | EDPB, usvojen 14. travnja 2026. | savjetovanje završeno 9. lipnja 2026.; konačna verzija još nije objavljena |
EDPB-ov predložak nakon savjetovanja treba postati jedinstveni predložak ili okvir s kojim će biti usklađeni nacionalni predlošci. Do tada EDPB potiče organizacije da ga koriste.
Primjeri iz prakse
| Obrada | Zašto je DPIA potrebna |
|---|---|
| videonadzor koji obuhvaća radna mjesta | sustavno praćenje, ranjivi ispitanici (AZOP točka 13.) |
| aplikacija za praćenje rada ili lokacije zaposlenika | AZOP točke 11. i 13. |
| biometrijska evidencija radnog vremena | biometrija uz ranjive ispitanike (AZOP točka 8.) |
| AI alat za odabir kandidata | procjena, automatizirano odlučivanje, ranjivi ispitanici |
| program vjernosti s profiliranjem kupaca | profiliranje, veliki opseg, povezivanje podataka |
| bolnički ili laboratorijski informacijski sustav | posebne kategorije u velikom opsegu |
| aplikacija za djecu s personaliziranim sadržajem | AZOP točka 3. |
| pametni mjerači energije s analizom potrošnje | AZOP točka 7. |
Biometrija zaposlenika: Zakon o provedbi Opće uredbe dopušta biometrijsku evidenciju radnog vremena i ulaska ako je propisana zakonom ili je alternativa drugom rješenju, uz izričitu privolu zaposlenika (čl. 23.). Te odredbe ne ukidaju obvezu DPIA-e (čl. 24. st. 2.).
Videonadzor: jedna kamera usmjerena na ulaz sama po sebi nije veliki opseg. Mreža kamera koja prati javne prostore jest. Pravila za kamere opisali smo u vodiču Videonadzor i zakon.
AI sustavi: AZOP kao primjere obrada koje traže procjenu navodi AI sustav za automatsko odlučivanje ili potporu odlučivanju u radnim odnosima, zdravstvu, financijama, osiguranju i obrazovanju, chatbot koji pristupa internim dokumentima s osobnim podacima, treniranje ili prilagodbu modela na internim podacima s osobnim podacima i AI nadzor produktivnosti, na primjer praćenje tipkanja. Subjekti koji uvode visokorizične AI sustave koriste informacije dobavljača za DPIA-u (čl. 26. st. 9. Akta o umjetnoj inteligenciji). Procjena učinka na temeljna prava iz čl. 27. tog Akta može se oslanjati na već provedenu DPIA-u. Više u vodiču AI Act.
Primjer: DPIA za videonadzor u trgovini
Primjer prikazuje kako izgleda sažetak procjene za trgovinu s 12 kamera koje snimaju prodajni prostor, skladište i ulaz za zaposlenike.
| Korak | Sažetak |
|---|---|
| Opis obrade | zaštita imovine i sigurnost ljudi; snimke kupaca i zaposlenika; pohrana 30 dana na lokalnom snimaču; pristup voditelj trgovine i zaštitarska tvrtka kao izvršitelj obrade |
| Pravni temelj | legitimni interes, uz pravila Zakona o provedbi Opće uredbe o videonadzoru |
| Nužnost i razmjernost | kamere su usmjerene na ulaze, blagajne i skladište; ne snimaju garderobe ni sanitarne prostorije; rok čuvanja opravdan rokom za otkrivanje krađe |
| Rizici | praćenje rada zaposlenika (AZOP točka 13.); neovlašten pristup snimkama; predugo čuvanje |
| Mjere | kamera ne snima radno mjesto zaposlenika kao cilj praćenja; pristup snimkama uz lozinku i zapis pristupa; automatsko brisanje nakon roka; ugovor s izvršiteljem iz čl. 28.; obavijest o videonadzoru na ulazu; obavijest zaposlenicima |
| Preostali rizik | nizak |
| Odluka | obrada se provodi; ponovna provjera kod svake promjene broja ili položaja kamera |
Primjer: DPIA za AI alat za odabir kandidata
| Korak | Sažetak |
|---|---|
| Opis obrade | alat rangira životopise za radna mjesta u prodaji; podaci kandidata iz prijave; dobavljač je izvršitelj obrade |
| Zašto je DPIA obvezna | procjena i bodovanje, ranjivi ispitanici, nova tehnologija; AZOP navodi AI za odlučivanje u radnim odnosima kao primjer |
| Glavni rizici | diskriminacija zbog pristranosti modela; odluka bez ljudske provjere; kandidat ne zna da se koristi AI; podaci se koriste za treniranje modela dobavljača |
| Mjere | čovjek donosi svaku odluku o odbijanju; testiranje rezultata po skupinama kandidata; obavijest kandidatima; zabrana korištenja podataka za treniranje u ugovoru; brisanje nakon završetka natječaja |
| Veza s AI Actom | sustav za odabir kandidata visokorizičan je prema Prilogu III.; obveze subjekta koji uvodi sustav primjenjuju se od 2. prosinca 2027. |
Prethodno savjetovanje s AZOP-om
Ako DPIA pokaže da bi obrada bez dodatnih mjera dovela do visokog rizika koji ne možete dovoljno smanjiti, prije početka obrade savjetujete se s AZOP-om (čl. 36.). Visok početni rizik koji mjere smanjuju nije razlog za savjetovanje.
| Korak | Pravilo |
|---|---|
| Zahtjev | voditelj dostavlja DPIA-u, podjelu odgovornosti, svrhe i sredstva, mjere i kontakt službenika za zaštitu podataka (čl. 36. st. 3.) |
| Rok | AZOP daje pisani savjet u roku od osam tjedana; rok se može produljiti za šest tjedana zbog složenosti (čl. 36. st. 2.) |
| Ovlasti | AZOP može ograničiti ili zabraniti obradu (čl. 58.) |
AZOP nije objavio poseban obrazac za prethodno savjetovanje. Zahtjev s cijelom procjenom učinka dostavlja se Agenciji, a AZOP-ov obrazac DPIA-e navodi: ako prihvaćate bilo koji preostali visok rizik, konzultirajte AZOP prije nego što nastavite.
Promjene koje se pripremaju na razini EU-a
Europska komisija predložila je 19. studenoga 2025. paket "Digitalni omnibus" (postupak 2025/0360(COD)). Prijedlog predviđa jedinstvene EU popise obrada za koje je DPIA obvezna ili nije potrebna, koje bi pripremao EDPB, te zajednički predložak i metodologiju za procjenu učinka. Vijeće je 21. listopada 2026. utvrdilo svoje stajalište za pregovore, prema kojem bi nacionalni popisi ostali na snazi dok se ne donesu EU popisi. Prijedlog još nije donesen, pa i dalje vrijedi AZOP-ov popis iz 2018.
DPIA i procjena učinka na temeljna prava
| DPIA (GDPR) | Procjena učinka na temeljna prava (AI Act) | |
|---|---|---|
| Propis | čl. 35. Opće uredbe o zaštiti podataka | čl. 27. Akta o umjetnoj inteligenciji |
| Tko provodi | voditelj obrade | javna tijela i neki subjekti koji uvode visokorizične AI sustave, na primjer za kreditno bodovanje |
| Kada | obrada vjerojatno prouzroči visok rizik | prije prve upotrebe visokorizičnog AI sustava |
| Što procjenjuje | rizik za prava i slobode zbog obrade osobnih podataka | učinak AI sustava na temeljna prava pogođenih osoba |
| Veza | služi kao podloga | može se oslanjati na već provedenu DPIA-u (čl. 27. st. 4.) |
Kada ažurirati DPIA-u
DPIA nije jednokratan dokument. Ponovite je ili dopunite kada se promijene svrha, kategorije podataka, tehnologija, izvršitelji, opseg ili rizik (čl. 35. st. 11.). Dobra praksa je redovita provjera i za obrade bez promjena.
Najčešće pogreške
- DPIA se radi nakon što je sustav već uveden.
- Opis obrade je preopćenit pa rizici nisu stvarni.
- Procjenjuje se samo IT sigurnost, a ne prava ljudi.
- Službenik za zaštitu podataka nije uključen.
- Mjere nemaju vlasnika ni rok.
- DPIA se ne ažurira kad se obrada promijeni.
- Organizacija se oslanja samo na AZOP-ov popis i ne procjenjuje druge obrade.
Česta pitanja
Što je DPIA?
DPIA je procjena učinka na zaštitu podataka iz čl. 35. GDPR-a. Voditelj obrade prije obrade opisuje obradu, procjenjuje njezinu nužnost i rizike za prava i slobode ispitanika te određuje mjere za smanjenje rizika.
Kada je DPIA obvezna?
Kada je vjerojatno da će obrada prouzročiti visok rizik. Uvijek u tri slučaja iz čl. 35. st. 3. GDPR-a i u 13 slučajeva s AZOP-ova popisa, na primjer kod praćenja zaposlenika, biometrije uz još jedan kriterij, obrade podataka djece za marketing ili nadzora javnih mjesta u velikom opsegu.
Tko provodi DPIA-u?
Voditelj obrade odgovara za DPIA-u. Ako ima službenika za zaštitu podataka, mora zatražiti njegov savjet. U izradi sudjeluju vlasnik procesa, IT i sigurnost, a izvršitelj obrade daje potrebne informacije.
Postoji li službeni predložak za DPIA-u?
AZOP je u ožujku 2026. objavio Vodič za procjenu učinka za male i srednje poduzetnike s četiri koraka i matricom rizika. EDPB je od 14. travnja do 9. lipnja 2026. proveo javno savjetovanje o jedinstvenom europskom predlošku i potiče organizacije da ga koriste.
Što ako DPIA pokaže visok rizik?
Uvedite dodatne mjere i ponovno procijenite rizik. Ako rizik ostane visok, prije početka obrade zatražite prethodno savjetovanje s AZOP-om. AZOP odgovara u roku od osam tjedana, uz mogućnost produljenja za šest tjedana.
Treba li DPIA za videonadzor?
Za sustavno praćenje javno dostupnih mjesta u velikom opsegu da, to je izričit slučaj iz GDPR-a i AZOP-ova popisa. Za videonadzor koji obuhvaća radna mjesta zaposlenika u pravilu također. Jedna kamera na ulazu obično ne traži DPIA-u, ali procjenu treba zapisati.
Treba li DPIA za biometrijsku evidenciju radnog vremena?
U pravilu da. Biometrija uz još jedan kriterij, na primjer zaposlenike kao ranjive ispitanike, nalazi se na AZOP-ovu popisu (točka 8.). Zakon o provedbi Opće uredbe izričito navodi da njegove odredbe o biometriji ne ukidaju obvezu DPIA-e.
Može li jedna DPIA pokriti više sličnih obrada?
Da, kada obrade imaju slične rizike, na primjer isti sustav na više lokacija (čl. 35. st. 1.). Razlike među obradama treba opisati.
Što ako ne provedem DPIA-u kada je obvezna?
AZOP može izreći upravnu novčanu kaznu do 10 milijuna eura ili 2 % ukupnog godišnjeg svjetskog prometa, ovisno o tome što je veće (čl. 83. st. 4. GDPR-a), te naložiti usklađivanje obrade. U izvješću za 2025. AZOP je opisao društvo za servisiranje kredita koje do nadzora nije provelo nijednu procjenu učinka ni za jednu obradu.
Je li DPIA isto što i procjena legitimnog interesa?
Ne. Procjena legitimnog interesa provjerava može li se obrada temeljiti na čl. 6. st. 1. (f) GDPR-a. DPIA procjenjuje rizike obrade za prava i slobode ljudi. Za istu obradu ponekad trebate obje.
Sljedeći korak
DPIA-e za videonadzor, praćenje zaposlenika, biometriju, AI alate i nove sustave izrađujemo u sklopu GDPR savjetovanja. Kao vanjski službenik za zaštitu podataka dajemo mišljenje na DPIA-e i pratimo provedbu mjera.
Izvori i pregled
Pregledano 4. studenoga 2026. prema sljedećim primarnim izvorima:
- Opća uredba o zaštiti podataka (EU) 2016/679, osobito članci 35. i 36.
- Zakon o provedbi Opće uredbe o zaštiti podataka, NN 42/2018, članci 21. do 24.
- AZOP: Odluka o popisu vrsta postupaka obrade koje podliježu procjeni učinka, 21. prosinca 2018.
- AZOP: Vodič za procjenu učinka na zaštitu podataka za male i srednje poduzetnike, 2026.
- AZOP: kako i kada provesti procjenu učinka
- AZOP: procjena učinka na zaštitu podataka, primjeri iz konteksta umjetne inteligencije
- AZOP: obrasci i predlošci
- AZOP: Godišnje izvješće o radu za 2025.
- EDPB: smjernice WP248 rev.01 o procjeni učinka
- EDPB: predložak za procjenu učinka, javno savjetovanje 2026.
Vodič ne zamjenjuje procjenu konkretnih tokova podataka, rizika i sektorskih propisa.
Ivana Ludiga, mag. iur., suradnica je u Vision Complianceu s fokusom na zaštitu podataka, provedbu GDPR-a i regulatorno savjetovanje. Podržava projekte usklađenosti za organizacije u zdravstvu, financijskim uslugama i tehnološkom sektoru.