GDPR kazne: AZOP, najveći slučajevi u Europi i izračun

GDPR kazne su upravne novčane kazne koje nadzorno tijelo izriče za povrede Opće uredbe o zaštiti podataka, do 20 milijuna eura ili 4 % ukupnog svjetskog godišnjeg prometa poduzetnika, ovisno o tome što je veće. U Hrvatskoj ih izriče Agencija za zaštitu osobnih podataka (AZOP). Od 2020. do 4. studenoga 2026. AZOP je objavio 105 kazni ukupno vrijednih oko 19 milijuna eura. Više od polovice odnosi se na označavanje videonadzora, a najveći iznosi na sigurnost podataka, prijenos podataka izvan EGP-a i biometriju.

Vodič prikazuje AZOP-ove kazne po godinama i najveće pojedinačne slučajeve, najveće kazne u Europi, način izračuna iznosa i postupak nakon rješenja. Stanje je na 4. studenoga 2026.

Ukratko

• Raspon: do 10 milijuna eura ili 2 % prometa za obveze voditelja i izvršitelja obrade, do 20 milijuna eura ili 4 % prometa za načela, pravne temelje, prava ispitanika, prijenose i naloge nadzornog tijela (čl. 83. st. 4. do 6. GDPR-a).
• AZOP: u 2025. izrekao je 13 kazni ukupno 6.725.500 eura. Najveća hrvatska kazna i dalje je 5,47 milijuna eura agenciji za naplatu potraživanja iz 2023.
• Novo u 2026.: 2,59 milijuna eura priređivaču igara na sreću zbog prikupljanja otisaka četiriju prstiju igrača bez valjane privole.
• Videonadzor: 58 od 105 AZOP-ovih kazni izrečeno je zbog oznaka videonadzora, u iznosima od 200 do 6.636,14 eura.
• Europa: najveća kazna i dalje je 1,2 milijarde eura (Meta, Irska, 2023.). Irski DPC izrekao je ukupno više od 4,4 milijarde eura kazni, a naplatio oko 20 milijuna, jer se kazne u Irskoj ne plaćaju dok ih sud ne potvrdi.
• Izračun: Smjernice EDPB-a 04/2022 propisuju pet koraka. Kod tvrtke s prometom do 50 milijuna eura početni iznos može se smanjiti na mali dio iznosa koji bi vrijedio za veliku tvrtku.
• Sud EU-a: kazna se može izreći samo za namjernu ili nepažnjom počinjenu povredu (C-807/21), a najviši iznos računa se prema prometu cijele grupe (C-383/23).

Kako GDPR kazne funkcioniraju

Nadzorno tijelo za svaki slučaj određuje kaznu koja je djelotvorna, proporcionalna i odvraćajuća (čl. 83. st. 1.). Cjenik ne postoji: iznos ovisi o težini i trajanju povrede, krivnji, broju pogođenih osoba, vrsti podataka, suradnji i drugim okolnostima.

Mjere koje nadzorno tijelo može izreći

Uz kaznu ili umjesto nje nadzorno tijelo može (čl. 58. st. 2.):

• izdati upozorenje ili službenu opomenu;
• naložiti ostvarivanje prava ispitanika;
• naložiti usklađivanje obrade u određenom roku;
• naložiti obavještavanje ispitanika o povredi podataka;
• privremeno ili trajno ograničiti ili zabraniti obradu;
• naložiti ispravak, brisanje ili ograničenje obrade;
• suspendirati prijenos podataka u treću zemlju;
• povući certifikat.

Korektivna mjera može pogoditi poslovanje jače od kazne. Zabrana obrade ili nalog za obustavu prijenosa podataka može zaustaviti proizvod, kampanju ili suradnju s dobavljačem. AZOP je u 2025. uz 13 kazni izrekao još 180 korektivnih mjera. Prethodno upozorenje nije uvjet za kaznu.

Raspon kazni prema članku 83.

Za poduzetnika vrijedi veći od dvaju iznosa: fiksni iznos ili postotak prometa iz prethodne financijske godine. Za grupu s prometom od milijardu eura gornja granica za najtežu skupinu povreda iznosi 40 milijuna eura.

Kada ista obrada krši više odredaba, ukupan iznos ne smije premašiti najviši iznos za najtežu povredu (čl. 83. st. 3.). Najviši iznos je gornja granica i ne izriče se automatski.

Tijelima javne vlasti u Hrvatskoj upravna novčana kazna ne može se izreći, ali AZOP prema njima primjenjuje ostale korektivne ovlasti (čl. 47. Zakona o provedbi, na temelju čl. 83. st. 7. GDPR-a).

AZOP kazne po godinama

AZOP na svojoj stranici o upravnim novčanim kaznama objavljuje svaku izrečenu kaznu s djelatnošću voditelja obrade, iznosom i povrijeđenim člancima. Zbroj po godinama:

Godine s velikim ukupnim iznosom godine su pojedinačnih velikih kazni. U 2024. izrečeno je najviše kazni, ali uglavnom manjih, za oznake videonadzora i kolačiće. Iznosi iz razdoblja prije uvođenja eura preračunati su po fiksnom tečaju.

Najveće kazne AZOP-a

Teleoperator: 4,5 milijuna eura

AZOP je 14. studenoga 2025. objavio kaznu teleoperatoru koji je podatke korisnika prenosio društvu iz iste grupe u Srbiji, koje je održavalo softver. Standardne ugovorne klauzule postojale su do 27. prosinca 2022., a nakon toga prijenos se odvijao bez instrumenta iz čl. 46. Izvršitelj u Srbiji imao je administratorski pristup cijeloj CRM bazi s podacima 847.862 korisnika, uključujući OIB, adrese, IBAN i podatke o SIM karticama. Procjena rizika prijenosa nije provedena, a politika privatnosti navodila je da se podaci „možda” dijele izvan EU-a.

Teleoperator je uz to prikupljao preslike osobnih iskaznica zaposlenika i potvrde da se protiv njih ne vodi kazneni postupak, bez pravnog temelja. AZOP je kao otegotnu okolnost naveo da je zanemareno mišljenje vlastite službenice za zaštitu podataka. U trenutku objave rješenje nije bilo pravomoćno.

Priređivač igara na sreću: 2,59 milijuna eura

AZOP je 2. listopada 2026. objavio kaznu casinu koji je igrače identificirao i otiscima prstiju. Društvo je tvrdilo da uzima otiske dvaju prstiju, a nadzorom je utvrđeno da uzima četiri. AZOP je zaključio da općenito pozivanje na „rezervne” otiske ne dokazuje nužnost i da privola ne može obradu prekomjernog opsega učiniti zakonitom. Izjava o privoli bila je evidentirana za 34.933 igrača.

Druge povrede: jedna privola spajala je više svrha (identifikaciju, profiliranje, statistiku, zaštitu imovine), a dokumenti o obradi bili su međusobno neusklađeni. Zakon o provedbi dopušta biometriju za sigurnu identifikaciju korisnika usluga uz izričitu privolu, pa je ovaj slučaj važan za svaku tvrtku koja uvodi otiske prstiju ili prepoznavanje lica.

Banka: 1,5 milijuna eura

AZOP je 18. prosinca 2025. objavio kaznu banci čija je aplikacija mobilnog bankarstva za Android i Huawei uređaje skenirala uređaj i u središnju bazu slala popis svih instaliranih aplikacija. Obrada je obuhvatila 433.922 korisnika. Banka se pozivala na propise o platnom prometu, koje AZOP nije prihvatio kao pravni temelj. Prema AZOP-u, banka je mogla pohranjivati samo aplikacije s „crne liste”. Popis aplikacija može otkriti i podatke o zdravlju, vjeri ili političkim stavovima. Rješenje u trenutku objave nije bilo pravomoćno.

Najčešći razlozi AZOP kazni

Iz AZOP-ovih tablica vidi se gdje hrvatske tvrtke najčešće griješe:

Izvršitelji obrade kažnjavaju se i sami: AZOP je kaznio tvrtku za ispis i kuvertiranje dokumenata (17.500 eura) i društvo za informatičke usluge (30.526,25 eura) zbog nedostatnih sigurnosnih mjera. Pravila za kamere objašnjava vodič Video nadzor i GDPR, a ovlasti i kontakt Agencije AZOP vodič.

Najveće GDPR kazne u Europi

Za sve kazne iz tablice koje je izrekao DPC njegov popis navodi da je žalba u tijeku, osim kazne Googleu, koja još nije potvrđena. Uber je podnio žalbu na kaznu iz 2026. Prema irskom zakonu kazna DPC-a ne postaje plativa dok je sud ne potvrdi. Zato je DPC od više od 4,4 milijarde eura izrečenih kazni do sada naplatio oko 20 milijuna eura.

Amazon više nije na popisu. Luksemburški Upravni sud poništio je 12. ožujka 2026. kaznu od 746 milijuna eura koju je CNPD Amazonu izrekao 2021. zbog ciljanog oglašavanja. Sud je potvrdio da je bilo povreda, ali je utvrdio da CNPD nije ocijenio jesu li počinjene namjerno ili iz nepažnje i nije razmotrio blažu mjeru. Predmet je vraćen CNPD-u.

Uber, 824,99 milijuna eura. Nizozemski AP utvrdio je da je Uber između 2018. i 2022. vozačima automatski privremeno blokirao račune kod sumnje na prijevaru ili niskih ocjena, a kod trajno niskih ocjena trajno ih deaktivirao. Povrijeđeni su čl. 22. (zabrana isključivo automatiziranog odlučivanja) i čl. 13. (informiranje). Postupak je pokrenut pritužbama 171 francuskog vozača.

Druge poznate kazne

Kaznu Googleu od 150 milijuna eura CNIL je izrekao prema francuskim pravilima o kolačićima, kojima je prenesena Direktiva o e-privatnosti. Pregledi kazni navode je jer pokazuje kako regulatori ocjenjuju privolu za kolačiće.

Što pokazuju velike kazne

Kako se određuje visina kazne

GDPR u čl. 83. st. 2. navodi okolnosti koje nadzorno tijelo uzima u obzir:

Pet koraka prema Smjernicama EDPB-a 04/2022

1. Utvrđivanje obrade i primjenjuje li se ograničenje iz čl. 83. st. 3.
2. Početni iznos prema vrsti povrede, njezinoj težini i prometu tvrtke. Za povredu niske težine početni iznos je od 0 do 10 % najvišeg iznosa, za srednju od 10 do 20 %, a za visoku od 20 do 100 %.
3. Otegotne i olakotne okolnosti iz prošlog i sadašnjeg ponašanja.
4. Provjera najvišeg iznosa iz čl. 83. st. 4. do 6.
5. Završna provjera je li iznos djelotvoran, proporcionalan i odvraćajuć.

Prilagodba prema prometu

Za tvrtke s prometom do 500 milijuna eura EDPB dopušta smanjenje početnog iznosa:

Primjer izračuna. Tvrtka s prometom od 1,5 milijuna eura obrađuje podatke bez pravnog temelja, što je povreda iz čl. 83. st. 5. s najvišim iznosom od 20 milijuna eura. Ako nadzorno tijelo povredu ocijeni srednje teškom, početni iznos je između 2 i 4 milijuna eura. Prilagodbom na 0,2 do 0,4 % dolazi se do raspona od oko 4.000 do 16.000 eura, prije otegotnih i olakotnih okolnosti. Primjer služi za razumijevanje metode i ne predviđa ishod konkretnog postupka.

Što ne smanjuje kaznu

• Suradnja koju zakon ionako traži (čl. 31.) je neutralna, a izostanak suradnje može biti otegotan.
• Izostanak ranijih povreda nije olakotna okolnost.
• Teška financijska situacija sama po sebi nije razlog za nižu kaznu. Tvrtka mora objektivnim dokazima, uključujući detaljne financijske podatke za posljednjih pet godina i projekcije, pokazati da bi kazna nepovratno ugrozila njezin opstanak.
• ISO 27001 nije mehanizam certificiranja iz čl. 42. GDPR-a, ali može biti dokaz sigurnosnih mjera pri ocjeni stupnja odgovornosti.

Presude Suda EU-a

• C-807/21, Deutsche Wohnen, 5. prosinca 2023.: kazna se pravnoj osobi može izreći samo ako je povreda počinjena namjerno ili iz nepažnje. Nije potrebno da se povreda prethodno pripiše određenoj fizičkoj osobi, primjerice članu uprave.
• C-383/23, ILVA, 13. veljače 2025.: pojam poduzetnika iz čl. 83. jednak je onome iz prava tržišnog natjecanja. Kad je voditelj obrade dio grupe, najviši iznos kazne računa se prema ukupnom svjetskom prometu grupe, a promet grupe uzima se u obzir i pri ocjeni je li kazna odvraćajuća.

Kazne za male i srednje tvrtke

GDPR ne izuzima male tvrtke. AZOP-ove tablice pokazuju koliko su kazne u praksi razmjerne veličini i povredi:

• oznake videonadzora: od 200 do 6.636,14 eura;
• kolačići bez valjane privole: od 2.500 do 30.000 eura;
• sukob interesa službenika za zaštitu podataka: od 10.000 do 40.000 eura;
• agencija za nekretnine zbog predugog čuvanja, obrade bez pravnog temelja i sigurnosti: 100.000 eura (2026.).

Najveći dio rizika male tvrtke čine oznake videonadzora, kolačići na web stranici, odgovori na zahtjeve ispitanika i ugovori s dobavljačima koji obrađuju podatke. Za prvu provjeru možete iskoristiti GDPR procjenu.

Kako smanjiti rizik od GDPR kazne

Kako izgleda valjana privola, s primjerima obrazaca, objašnjava vodič GDPR privola i obrasci. Kada je procjena učinka obvezna opisuje vodič DPIA procjena učinka, a tko mora imenovati službenika vodič DPO službenik za zaštitu podataka. Postupak kod povrede podataka opisuje vodič Upravljanje kibernetičkim incidentima.

Dokumentacija kao dokaz

Voditelj obrade mora moći dokazati usklađenost (čl. 5. st. 2.). Nadzor najčešće traži:

• evidenciju aktivnosti obrade;
• obavijesti o privatnosti i interne politike;
• ugovore s izvršiteljima obrade i dokaz provjere izvršitelja;
• zapise o privolama;
• procjene učinka;
• evidenciju povreda, uključujući one koje nisu prijavljene AZOP-u;
• mišljenja službenika za zaštitu podataka i odluke uprave o njima;
• zapise o edukaciji zaposlenika.

Dokumentacija mora odgovarati stvarnoj obradi. Kod teleoperatora politika je navodila da se podaci „možda” prenose izvan EU-a, a prijenos se stvarno događao. Kod casina su različiti dokumenti navodili različite svrhe za iste otiske prstiju.

Postupak i pravni lijekovi u Hrvatskoj

Za prekogranične predmete od 2. travnja 2027. primjenjuje se Uredba (EU) 2025/2518 o dodatnim postupovnim pravilima. Vodeće nadzorno tijelo nacrt odluke mora podnijeti u 15 mjeseci, uz mogućnost jednog produljenja do 12 mjeseci, a stranka ima pravo očitovati se o preliminarnim nalazima. Uredba vrijedi za postupke pokrenute nakon tog datuma.

Koraci nakon primitka rješenja

1. Analizirajte rješenje: koje su povrede utvrđene, koje su mjere naložene i u kojem roku.
2. Procijenite izglede upravnog spora s odvjetnikom za zaštitu podataka, u roku od 30 dana.
3. Provedite naložene mjere neovisno o sporu i dokumentirajte ih.
4. Ako trebate obroke, zatražite ih prema AZOP-ovim kriterijima za obročnu otplatu.
5. Spriječite ponavljanje: ponovljena povreda otegotna je okolnost i razlog za objavu imena.

Česta pitanja

Sljedeći korak

GDPR reviziju, dokumentaciju, pripremu za nadzor AZOP-a i komunikaciju s Agencijom tijekom postupka pružamo u sklopu usluge zaštite podataka i GDPR usklađenosti. Ulogu službenika za zaštitu podataka preuzimamo kroz uslugu vanjskog DPO-a. Obveze tvrtki prema hrvatskom zakonu opisuje vodič GDPR u Hrvatskoj, a kazne prema Zakonu o kibernetičkoj sigurnosti vodič NIS2 kazne i osobna odgovornost uprave.

Izvori i pregled

Pregledano 4. studenoga 2026. prema sljedećim primarnim izvorima:

• Opća uredba o zaštiti podataka (EU) 2016/679, čl. 58. i 83.
• Zakon o provedbi Opće uredbe o zaštiti podataka, NN 42/2018
• Zakon o upravnim sporovima, NN 36/2024
• AZOP: upravne novčane kazne po godinama
• AZOP: kazna teleoperatoru od 4,5 milijuna eura, 14. studenoga 2025.
• AZOP: kazna banci od 1,5 milijuna eura, 18. prosinca 2025.
• AZOP: kazna priređivaču igara na sreću od 2,59 milijuna eura, 2. listopada 2026.
• AZOP: Godišnje izvješće o radu za 2025.
• EDPB: Smjernice 04/2022 o izračunu upravnih novčanih kazni
• Sud EU-a: presuda C-807/21, Deutsche Wohnen
• Sud EU-a: presuda C-383/23, ILVA
• Uredba (EU) 2025/2518 o dodatnim postupovnim pravilima za GDPR
• Irski DPC: popis kazni i statusa
• Irski DPC: kazna Googleu od 403 milijuna eura, 21. rujna 2026.
• EDPB: nizozemski AP kaznio Uber s 824.990.000 eura
• EDPB: nizozemski AP kaznio Uber s 290 milijuna eura
• Linari: luksemburški sud poništio kaznu Amazonu

Vodič je informativan. Procesni status pojedine odluke provjerite u najnovijoj objavi nadležnog tijela ili suda.