Što je DPO? Službenik za zaštitu osobnih podataka u Hrvatskoj

DPO (engl. Data Protection Officer) je službenik za zaštitu podataka: osoba koja u organizaciji prati usklađenost s GDPR-om, savjetuje upravu i zaposlenike te je kontakt za ispitanike i Agenciju za zaštitu osobnih podataka (AZOP). Uređuju ga članci 37. do 39. Opće uredbe o zaštiti podataka. DPO može biti zaposlenik ili vanjski stručnjak na temelju ugovora o uslugama (čl. 37. st. 6.).

Imenovanje je obvezno u tri slučaja: za tijela javne vlasti, za organizacije čija je osnovna djelatnost redovito i sustavno praćenje ispitanika u velikoj mjeri i za organizacije čija je osnovna djelatnost opsežna obrada posebnih kategorija podataka ili podataka o kaznenim osudama (čl. 37. st. 1.). Broj zaposlenih nije kriterij. Ovaj vodič prikazuje stanje na 4. studenoga 2026.

Ukratko

• Obveza ovisi o djelatnosti, a ne o veličini. Obrt od pet ljudi može imati obvezu, a društvo od 500 zaposlenih ne mora.
• DPO je neovisan: ne prima upute o tome kako obavlja zadaće i izravno izvješćuje najvišu upravu (čl. 38. st. 3.).
• Ne smije biti razriješen ni kažnjen zbog obavljanja svojih zadaća (čl. 38. st. 3.).
• Kontaktne podatke DPO-a organizacija objavljuje i priopćuje AZOP-u (čl. 37. st. 7.).
• Odgovornost za usklađenost ostaje na voditelju obrade. DPO savjetuje i prati.
• Kazna za neimenovanje kada je DPO obvezan iznosi do 10 milijuna eura ili 2 % ukupnog godišnjeg svjetskog prometa (čl. 83. st. 4.).
• AZOP je u europskoj provjeri DPO-a 2023. pokrenuo 417 nadzornih radnji, prema izvješću Europskog odbora za zaštitu podataka (EDPB).

Što znači DPO

Kratica DPO dolazi od engleskog Data Protection Officer. Hrvatski tekst GDPR-a koristi naziv službenik za zaštitu podataka, a u praksi se koristi i službenik za zaštitu osobnih podataka te kratica SZP.

GDPR ne traži da DPO bude pravnik ni da ima određeni certifikat. Traži stručne kvalifikacije, a osobito stručno znanje o pravu i praksi zaštite podataka (čl. 37. st. 5.). Potrebna razina znanja ovisi o složenosti i osjetljivosti obrade.

Kada je DPO obvezan

Obveza se procjenjuje posebno za voditelja i posebno za izvršitelja obrade. Izvršitelj kojemu je osnovna djelatnost opsežno praćenje za klijente može imati obvezu i kada je njegovi klijenti nemaju.

1. Tijela javne vlasti i javna tijela

Sva tijela javne vlasti i javna tijela, bez obzira na vrstu podataka. Iznimka su sudovi kada djeluju u okviru sudske nadležnosti (čl. 37. st. 1. (a)).

U Hrvatskoj to su ministarstva i druga državna tijela, gradovi, općine i županije, javne ustanove (škole, vrtići, bolnice, domovi zdravlja, muzeji, knjižnice), agencije i regulatorna tijela. Za trgovačka društva u javnom vlasništvu i pravne osobe s javnim ovlastima status se procjenjuje prema nacionalnom pravu. Smjernice o DPO-ima preporučuju imenovanje i privatnim organizacijama koje obavljaju javne zadaće.

2. Redovito i sustavno praćenje u velikoj mjeri

Organizacije čija se osnovna djelatnost sastoji od postupaka koji zbog prirode, opsega ili svrhe traže redovito i sustavno praćenje ispitanika u velikoj mjeri (čl. 37. st. 1. (b)).

Praćenje uključuje profiliranje, praćenje lokacije, ponašanja na internetu, korištenja usluge ili uređaja. Tipični primjeri:

• telekomunikacijski operatori i pružatelji internetskih usluga;
• banke i osiguratelji kod procjene kreditne sposobnosti, rizika i prijevara;
• oglašavanje prema ponašanju korisnika i programi vjernosti;
• aplikacije za praćenje zdravlja, kondicije ili lokacije;
• zaštitarske tvrtke koje provode videonadzor javnih prostora i trgovačkih centara.

3. Opsežna obrada posebnih kategorija ili kaznenih podataka

Organizacije čija je osnovna djelatnost opsežna obrada posebnih kategorija podataka iz čl. 9. ili podataka o kaznenim osudama iz čl. 10. (čl. 37. st. 1. (c)).

Posebne kategorije su podaci o zdravlju, genetski i biometrijski podaci, rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja, članstvo u sindikatu te spolni život i seksualna orijentacija. Primjeri obveznika su bolnice, poliklinike i laboratoriji, zdravstveni osiguratelji i pružatelji usluga biometrijske identifikacije.

Što su osnovna djelatnost i veliki opseg

Osnovna djelatnost obuhvaća obrade bez kojih organizacija ne može ostvariti svoj glavni cilj. Bolnica ne može liječiti bez obrade zdravstvenih podataka, pa je to njezina osnovna djelatnost. Obračun plaća ili IT podrška su pomoćne djelatnosti svake organizacije.

Veliki opseg GDPR ne određuje brojem. Smjernice o DPO-ima navode četiri čimbenika: broj ispitanika ili njihov udio u populaciji, količinu i vrste podataka, trajanje obrade i zemljopisni doseg. Obrada podataka pacijenata kod pojedinačnog liječnika u pravilu nije veliki opseg. Obrada u bolnici jest.

Kada nemate obvezu

Ako zaključite da DPO nije obvezan, zapišite procjenu i razloge. Ponovite je kada se promijene poslovni model, vrste podataka, tehnologija ili opseg praćenja. Takav zapis pokazuje AZOP-u da ste obvezu ozbiljno procijenili.

Organizacija može imenovati DPO-a i dobrovoljno. Tada vrijede ista pravila o položaju, neovisnosti i zadaćama kao kod obveznog imenovanja. Ako želite vanjskog savjetnika bez statusa DPO-a, u ugovoru i komunikaciji koristite drugi naziv.

Zadaće DPO-a

Članak 39. GDPR-a propisuje najmanje pet zadaća:

Ispitanici se mogu obratiti DPO-u u vezi sa svim pitanjima obrade svojih podataka i ostvarivanja prava (čl. 38. st. 4.). DPO pri radu vodi računa o riziku povezanom s obradom (čl. 39. st. 2.).

Organizacije DPO-u često povjeravaju i vođenje evidencije aktivnosti obrade iz čl. 30., odgovore na zahtjeve ispitanika i koordinaciju kod povrede podataka. Obveze iz tih članaka i dalje su obveze voditelja obrade.

Što DPO ne radi

• Ne odlučuje o obradi: svrhe i sredstva obrade određuje uprava.
• Ne preuzima odgovornost: za usklađenost odgovara voditelj obrade (čl. 24.).
• Ne zabranjuje obradu: upozorava na rizik i daje mišljenje. Kada uprava ne prihvati mišljenje DPO-a, razloge treba zapisati.
• Ne provodi sam sve mjere: mjere provode pravna, IT, kadrovska i sigurnosna služba.

Kvalifikacije DPO-a

Certifikati poput IAPP CIPP/E, CIPM ili certifikata za DPO-e pokazuju razinu znanja, ali nisu zakonski uvjet. U europskoj provjeri iz 2023. većina DPO-a navela je iskustvo u zaštiti podataka, a nadzorna tijela su ipak zaključila da dio DPO-a nema dovoljno znanja ni redovite edukacije.

AZOP je za DPO-e u javnom sektoru objavio priručnik s uputama, a 31. ožujka 2025. održao je besplatnu online edukaciju za DPO-e i zaposlenike javnog zdravstva.

Interni ili vanjski DPO

Prema izvješću EDPB-a iz 2024., 70 % DPO-a u provjeri bili su zaposlenici organizacija. Nadzorna tijela su istaknula manjak resursa i zamjenika: kada DPO ode na godišnji, razboli se ili otkaže, organizacija ostaje bez funkcije.

Vanjski DPO ima smisla kada interno nemate osobu s potrebnim znanjem, kada obrada ne traži svakodnevnu prisutnost ili kada DPO trebate odmah. Ugovor treba urediti glavnu kontakt osobu, zamjenu, dostupnost, rokove odgovora, povjerljivost, pristup informacijama i izvješćivanje uprave.

Jedan DPO može raditi za grupu poduzetnika ako je lako dostupan iz svakog poslovnog nastana (čl. 37. st. 2.). Više tijela javne vlasti može imenovati zajedničkog DPO-a, uzimajući u obzir svoju strukturu i veličinu (čl. 37. st. 3.).

Kako odabrati vanjskog DPO-a

Prije ugovora provjerite:

1. Znanje i iskustvo u vašoj djelatnosti i s obradama koje provodite, na primjer zdravstvenim podacima ili videonadzorom.
2. Dostupnost: tko je imenovana osoba, tko je zamjenjuje i u kojem roku odgovara na upit ispitanika ili AZOP-a.
3. Jezik: AZOP kao uvjet za zajedničkog DPO-a navodi poznavanje jezika ispitanika; za hrvatske ispitanike to je hrvatski.
4. Sukob interesa: pruža li isti pružatelj i usluge koje bi DPO trebao nadzirati, na primjer IT podršku.
5. Metodu rada: kako prati usklađenost, kako izvješćuje upravu i što dobivate pisano.
6. Povjerljivost: obvezu tajnosti i postupanje s vašom dokumentacijom.

Što urediti ugovorom

Godišnji plan rada DPO-a

Plan pokazuje AZOP-u i upravi da DPO zadaće iz čl. 39. stvarno obavlja. EDPB je u provjeri iz 2023. kao čest problem naveo izostanak izvješćivanja najviše uprave.

Neovisnost i zaštita DPO-a

Zaštita položaja odnosi se na zadaće DPO-a. Radnopravne odluke iz razloga koji s tim zadaćama nisu povezani procjenjuju se prema radnom pravu.

Sukob interesa

DPO smije imati i druge zadaće ako one ne dovode do sukoba interesa (čl. 38. st. 6.). Sud Europske unije u presudi C-453/21 X-FAB Dresden potvrdio je da se sukob procjenjuje u svakom pojedinom slučaju. Sukob postoji kada osoba određuje svrhe i sredstva obrade koju bi kao DPO trebala neovisno nadzirati.

Funkcije koje su u pravilu nespojive s ulogom DPO-a:

• predsjednik ili član uprave, direktor;
• direktor poslovanja ili financija;
• voditelj IT-a;
• voditelj ljudskih resursa;
• voditelj marketinga;
• voditelj službe koji odlučuje o obradi podataka klijenata ili pacijenata.

AZOP na stranici za imenovanje upozorava da su nespojiva "uvijek rukovodeća mjesta kao što su direktori, ravnatelji, načelnici i gotovo uvijek radna mjesta kao što su voditelji odjela, ureda i sl." U mišljenju iz 2022. AZOP je naveo da i direktor odjela za informacijsku sigurnost može određivati način obrade, pa je u sukobu interesa.

Odlučuju stvarne ovlasti, a ne naziv radnog mjesta. Prije imenovanja zapišite druge zadaće kandidata, odluke koje on donosi o obradi i liniju izvješćivanja. U europskoj provjeri iz 2023. do 15 nadzornih tijela prijavilo je slučajeve mogućeg sukoba interesa ili ugrožene neovisnosti DPO-a.

Imenovanje i obavijest AZOP-u

1. Procijenite obvezu i zapišite zaključak.
2. Odredite model: interni, vanjski ili kombinirani.
3. Provjerite sukob interesa kandidata.
4. Donesite pisanu odluku o imenovanju ili sklopite ugovor s opisom zadaća.
5. Osigurajte resurse: pristup sustavima, vrijeme, zamjenu, proračun za edukaciju.
6. Objavite kontakt DPO-a na mrežnoj stranici i u obavijesti o obradi.
7. Priopćite podatke AZOP-u putem AZOP-ova obrasca za imenovanje službenika za zaštitu podataka.
8. Uključite DPO-a u projekte, ugovore s izvršiteljima i postupke kod povrede podataka.

AZOP prima podatke o DPO-u isključivo putem web obrasca na svojim stranicama. Podatke poslane poštom ili e-poštom ne uzima u obzir. Pitanja o imenovanju šalju se pisano na registar@azop.hr. Kod svake promjene ponovno se ispunjava cijeli obrazac.

Objavljeni kontakt mora omogućiti izravnu komunikaciju. GDPR ne traži javnu objavu imena DPO-a.

AZOP za ispitanike i DPO-e postupa bez naplate (čl. 43. Zakona o provedbi Opće uredbe). Ravnatelj, zamjenik i službenici AZOP-a ne smiju biti DPO za drugog voditelja ili izvršitelja obrade (čl. 11. istog Zakona).

Što su nadzorna tijela utvrdila

EDPB je 2023. proveo koordiniranu provjeru položaja DPO-a u 25 nadzornih tijela. Izvješće je usvojeno 16. siječnja 2024.:

Najčešći problemi bili su neimenovanje kada je DPO obvezan, nedovoljni resursi, manjak znanja i edukacije, zadaće koje DPO-u nisu jasno povjerene, sukob interesa i izostanak izvješćivanja najviše uprave. EDPB je 2025. započeo rad na novim smjernicama za DPO-e.

AZOP je u toj provjeri poslao upitnike na više od 6.000 organizacija s imenovanim DPO-om i zaprimio 3.038 ispunjenih upitnika. U izvješću za 2023. zaključio je da organizacije "općenito imaju problema s imenovanjem odgovarajućih službenika", da velik broj DPO-a nema potrebna znanja i dovoljno neovisnosti te da se njihovi savjeti često ne poštuju. AZOP je 2026. ponovio istraživanje radi izrade novih smjernica za DPO-e.

AZOP-ove kazne vezane uz DPO-a

Škola je kao razlog navela da nastavnicima ti poslovi nisu u opisu rada i da nema sredstava za vanjsku uslugu. AZOP je podsjetio da više javnih tijela može imenovati zajedničkog DPO-a.

DPO, NIS2 i kibernetička sigurnost

Zakon o kibernetičkoj sigurnosti (NN 14/2024) ne uvodi DPO-a, ali se obveze preklapaju:

U organizacijama koje su obveznici oba zakona DPO i osoba za kibernetičku sigurnost trebaju zajednički postupak za incidente. Jedna osoba može obavljati obje uloge samo ako ne odlučuje o sredstvima obrade koju nadzire.

Najčešće pogreške

1. DPO bez stvarne uloge: imenovan je na papiru, a ne sudjeluje u projektima ni odlukama.
2. Sukob interesa: DPO je ujedno direktor, voditelj IT-a ili ljudskih resursa.
3. Bez resursa: nema vremena, proračuna ni zamjene.
4. Bez pristupa informacijama: DPO ne zna koje se obrade provode.
5. Kazna zbog mišljenja: DPO trpi posljedice jer upozorava na rizike.
6. AZOP nije obaviješten ili su podaci o DPO-u zastarjeli.
7. Odluka da DPO nije potreban nije zapisana.

Česta pitanja

Sljedeći korak

Ulogu vanjskog službenika za zaštitu podataka preuzimamo za organizacije bez internog stručnjaka: procjenu obveze, evidenciju aktivnosti obrade, procjene učinka, zahtjeve ispitanika i komunikaciju s AZOP-om. Interne kandidate pripremamo kroz edukaciju za službenike za zaštitu podataka. Za jednokratne projekte pogledajte GDPR savjetovanje.

Povezani vodiči: Što je GDPR, DPIA: procjena učinka i AZOP: vodič za građane i tvrtke.

Izvori i pregled

Pregledano 4. studenoga 2026. prema sljedećim primarnim izvorima:

• Opća uredba o zaštiti podataka (EU) 2016/679, članci 24., 37. do 39. i 83.
• Zakon o provedbi Opće uredbe o zaštiti podataka, NN 42/2018
• AZOP: obrazac za imenovanje službenika za zaštitu podataka
• AZOP: često postavljana pitanja o službenicima za zaštitu podataka
• EDPB: smjernice o službenicima za zaštitu podataka (WP243 rev.01)
• EDPB: koordinirana provjera položaja DPO-a, izvješće od 16. siječnja 2024.
• AZOP: Godišnje izvješće o radu za 2025.
• AZOP: Godišnje izvješće o radu za 2023.
• AZOP: Godišnje izvješće o radu za 2024.
• AZOP: upravne novčane kazne

Vodič daje opće kriterije. Obveza imenovanja i sukob interesa utvrđuju se prema stvarnim obradama i ovlastima u organizaciji.