Video nadzor i GDPR: pravila i kazne

Videonadzor je u Hrvatskoj dopušten samo za određenu, nužnu i opravdanu zaštitu osoba i imovine, uz valjan pravni temelj i pod uvjetom da interesi snimanih osoba ne prevagnu. Kamera smije zahvatiti samo prostor potreban za tu svrhu, oznaka mora biti vidljiva prije ulaska u kadar, pristup se ograničava i automatski bilježi, a šest mjeseci je najdulji zakonski rok čuvanja u uobičajenom slučaju. Snimke treba izbrisati i ranije, čim više nisu potrebne.

Ovaj vodič odgovara na namjeru pretraživanja „videonadzor GDPR i zakon u Hrvatskoj”. Pravila ovise o tome snima li se poslovni prostor, radno mjesto, stambena zgrada, privatni posjed ili javna površina.

Koji se propisi primjenjuju

GDPR se primjenjuje kada se videobradom obrađuju osobni podaci identificirane osobe ili osobe koju je moguće identificirati i obrada nije izvan njegova materijalnog područja primjene, primjerice zbog isključivo osobne ili kućne aktivnosti. To može uključiti automatiziranu obradu i bez pohrane snimke. Posebna pravila članaka 25. – 32. hrvatskog Zakona odnose se na sustav koji stvara snimku koja čini ili je namijenjena činiti dio sustava pohrane.

Ovisno o konkretnom sustavu primjenjuju se:

• GDPR, osobito načela iz članka 5., pravni temelji iz članka 6., transparentnost, prava, sigurnost i DPIA
• članci 25. – 32. Zakona o provedbi Opće uredbe o zaštiti podataka
• propisi o zaštiti na radu za kamere u radnim prostorijama
• sektorski propisi za posebno uređene djelatnosti i prostore
• druga pravila, primjerice radno, vlasničko ili kazneno pravo, ovisno o funkcijama i uporabi snimke.

Zakon o provedbi ne daje opću dozvolu za svaku sigurnosnu kameru. Voditelj mora istodobno zadovoljiti GDPR i posebna domaća ograničenja.

Svrha i pravni temelj

Članak 26. hrvatskog Zakona dopušta videonadzor samo za svrhu koja je nužna i opravdana radi zaštite osoba i imovine, pod uvjetom da ne prevladavaju suprotni interesi ispitanika. Zahvat može obuhvatiti samo prostorije, dijelove prostorija, vanjsku površinu objekta ili unutrašnjost javnog prijevoza koji su nužni za tu svrhu.

Za privatnu organizaciju pravni temelj često je legitimni interes iz članka 6. stavka 1. točke (f), ali ne automatski. Dokumentirajte:

1. svrhu: konkretan, stvaran interes, primjerice ponavljani rizik neovlaštenog ulaska
2. nužnost: može li rasvjeta, kontrola pristupa, zaštitar ili uži kadar jednako učinkovito ostvariti cilj
3. ravnotežu: koja su razumna očekivanja ljudi, koliko je prostor osjetljiv i kako smanjujete zadiranje.

Javna tijela za obavljanje svojih zadaća ne oslanjaju se na legitimni interes iz članka 6. stavka 1. točke (f); potreban je odgovarajući temelj u javnom interesu ili službenoj ovlasti i primjenjivom pravu.

Privola je za kontinuirani videonadzor rijetko primjeren temelj jer osoba često nema slobodan i stvaran izbor. Naljepnica s tekstom „ulaskom pristajete” ne stvara valjanu privolu.

Kadar, funkcije i zvuk

Usmjerite kameru tako da zahvati samo nužno područje. Maskirajte susjedni prostor, prozore, cestu ili radna mjesta kada nisu potrebni. Uključite samo funkcije za koje postoji dokaziva potreba.

Audio snimanje, zumiranje, praćenje pokreta, prepoznavanje lica i analitika nisu samo tehnički dodaci. Svaka funkcija mijenja opseg i rizik obrade te traži zasebnu procjenu nužnosti i pravnog temelja. Ako zvuk nije nužan i zakonit, deaktivirajte mikrofon. Biometrijska identifikacija može uključiti posebne kategorije podataka i dodatna hrvatska pravila.

Obvezna oznaka

Prema članku 27., oznaka mora biti vidljiva najkasnije pri ulasku u perimetar snimanja. Treba imati lako razumljivu sliku i jasno navesti:

• da je prostor pod videonadzorom
• podatke o voditelju obrade
• kontakt za ostvarivanje prava.

Zakon traži relevantne informacije iz članka 13. GDPR-a, a EDPB preporučuje slojevito informiranje. Na prvom sloju istaknite i najvažnije neočekivane informacije, svrhu, pravni temelj, rok i način pristupa punoj obavijesti. Drugi sloj mora biti lako dostupan, primjerice na internetskoj stranici ili recepciji, te sadržavati sve primjenjive informacije iz članka 13.

QR kod može pomoći, ali ne bi trebao biti jedini način pristupa informacijama. Predvidite i čitljivu internetsku adresu ili fizički dostupnu obavijest.

Tko smije pristupiti snimkama

Pristup imaju odgovorna osoba voditelja ili izvršitelja i osobe koje su ovlaštene. Snimke se ne smiju koristiti protivno utvrđenoj svrsi, a sustav mora biti zaštićen od neovlaštenog pristupa.

Članak 28. izričito zahtijeva automatizirani zapis pristupa koji sadrži vrijeme i mjesto pristupa te oznaku osobe koja je pristupila snimkama. Popis ovlaštenih osoba bez tehničkog loga nije dovoljan.

Ovisno o riziku uredite, primjerice:

• pojedinačne korisničke račune i najmanje potrebne ovlasti
• zabranu dijeljenih administratorskih računa gdje se gubi sljedivost
• pregled logova i opoziv pristupa nakon promjene uloge
• enkripciju, sigurnu mrežu, ažuriranje i sigurnosno kopiranje konfiguracije
• postupak izvoza snimke i evidenciju svake dostave.

Nadležna državna tijela mogu pristupiti u okviru svojega zakonom utvrđenog djelokruga. Zahtjev, pravni temelj, opseg i predaju treba dokumentirati; snimke se ne objavljuju niti neformalno dijele samo zato što prikazuju incident.

Koliko dugo čuvati snimke

Članak 29. dopušta čuvanje najviše šest mjeseci, osim kada drugi zakon propisuje dulji rok ili kada je snimka dokaz u sudskom, upravnom, arbitražnom ili drugom istovrijednom postupku.

Šest mjeseci nije zadani rok. GDPR traži brisanje čim snimka više nije potrebna za svrhu. Za običan ulaz često je opravdan znatno kraći rok, vezan uz vrijeme u kojem se incident realno otkriva i obrađuje.

Dokumentirajte:

• redovni rok i razlog
• automatsko prepisivanje ili brisanje
• tko i zašto izdvaja snimku incidenta
• datum pregleda potrebe za izdvojenom snimkom
• pravni predmet koji opravdava iznimku
• konačno brisanje i dokaz.

Videonadzor zaposlenika

Članak 30. dopušta obradu zaposlenika videonadzorom samo kada su ispunjeni i uvjeti propisa zaštite na radu. Zaposlenici moraju biti primjereno i unaprijed obaviješteni, a poslodavac ih mora informirati prije donošenja odluke o postavljanju sustava.

Kamere ne smiju obuhvatiti prostorije za odmor, osobnu higijenu i presvlačenje. Ako uređaji čitavo radno vrijeme prate sve pokrete radnika ili je radnik čitavo vrijeme rada u njihovu vidnom polju, potrebna je prethodna suglasnost radničkog vijeća odnosno sindikalnog povjerenika s pravima i obvezama radničkog vijeća. Nakon uskraćivanja suglasnosti poslodavac u roku od 15 dana može tražiti sudsku ili arbitražnu odluku koja je nadomješta. Poslodavac radnika pri zapošljavanju mora pisanim putem obavijestiti da će biti nadziran audio odnosno videouređajima.

Praktično:

• kamere usmjerite na ulaze, blagajnu ili konkretnu zonu rizika, ne na lice zaposlenika tijekom cijele smjene
• ograničite živi prikaz i pregled snimki
• snimke sigurnosnog videonadzora ne koristite za ocjenjivanje produktivnosti
• uključite DPO-a i predstavnike radnika kada je primjenjivo
• provedite DPIA-u kada nadzor ulazi u AZOP-ov popis ili je vjerojatan visok rizik.

Videonadzor stambene zgrade

Za stambenu ili poslovno-stambenu zgradu potrebna je suglasnost suvlasnika koji čine najmanje dvije trećine suvlasničkih dijelova. Ne broje se samo potpisi ili broj stanova.

Kadar smije obuhvatiti samo pristupe ulascima i izlascima te zajedničke prostorije. Zabranjeno je korištenje sustava za praćenje radne učinkovitosti domara, spremačica i drugih osoba koje rade u zgradi.

Zajednica treba jasno odrediti voditelja, ovlaštenike, dobavljača, logove, rok i kanal za prava. Neograničen prikaz svim stanarima može stvoriti nepotrebno otkrivanje i treba ga posebno procijeniti.

Privatni posjed i javna površina

Kućna iznimka iz članka 2. stavka 2. točke (c) može pokriti čisto osobnu ili kućnu aktivnost. Ne pretpostavljajte da vrijedi kada kamera sustavno zahvaća ulicu, susjedno dvorište, zajednički hodnik ili druge osobe izvan privatne sfere.

Članak 32. strogo uređuje praćenje javnih površina: dopušta ga određenim tijelima javne vlasti, pravnim osobama s javnim ovlastima i pružateljima javne službe kada je propisano zakonom i nužno za njihove zadaće ili zaštitu života, zdravlja i imovine.

Privatni vlasnik ili običan poslovni subjekt koji ne pripada kategorijama iz članka 32. treba kadar ili masku podesiti tako da ne prati javnu površinu ni tuđi posjed. Za tijela i pravne osobe navedene u članku 32. vrijede dodatni zakonski uvjeti. Fizički položaj kamere na vašoj fasadi ne znači da je cijeli kadar „privatan”.

Prava snimljenih osoba

Osoba može zatražiti potvrdu obrađuju li se njezini podaci i, kada se primjenjuje, pristup snimci i informacijama iz članka 15. Identitet, vrijeme i mjesto događaja mogu biti potrebni za razumno pronalaženje snimke.

Prava drugih osoba na snimci treba zaštititi, primjerice zamagljivanjem ili drugim tehničkim rješenjem. Prisutnost trećih osoba nije automatski razlog za potpuno odbijanje zahtjeva.

Ovisno o pravnom temelju i okolnostima mogu se primjenjivati prigovor, brisanje ili ograničenje. Brisanje nije apsolutno ako je snimka potrebna za postavljanje, ostvarivanje ili obranu pravnih zahtjeva ili vrijedi druga iznimka, ali izuzimanje mora biti ograničeno i dokumentirano.

Kazne za nezakonit videonadzor

AZOP za nezakonit videonadzor može izreći upravnu novčanu kaznu prema članku 83. GDPR-a:

• do 10 milijuna eura ili 2% ukupnog godišnjeg prometa za povrede obveza voditelja obrade, primjerice kada nije provedena obvezna procjena učinka ili snimke nisu zaštićene i pristup se ne bilježi
• do 20 milijuna eura ili 4% ukupnog godišnjeg prometa za snimanje bez valjanog pravnog temelja, kršenje načela obrade ili uskraćivanje prava snimljenih osoba, primjerice odbijanje zahtjeva za pristup snimci.

Za poduzetnika se primjenjuje viši od dvaju iznosa. Visina kazne ovisi o težini i trajanju povrede, broju snimanih osoba, namjeri ili nepažnji te o mjerama koje je voditelj poduzeo.

Uz kaznu AZOP može naložiti usklađivanje sustava, ograničiti ili zabraniti snimanje te naložiti brisanje snimki. Kazna se može izreći i fizičkoj osobi čija kamera snima susjedno dvorište, ulicu ili zajednički prostor, jer tada ne vrijedi kućna iznimka.

Neovlašteno snimanje u određenim okolnostima može biti i kazneno djelo prema Kaznenom zakonu, neovisno o upravnoj kazni AZOP-a.

Kada je potrebna DPIA

DPIA je izričito obvezna za sustavno praćenje javno dostupnog područja u velikoj mjeri. Potrebna može biti i za:

• sustave praćenja zaposlenika s AZOP-ova popisa
• povezivanje videa s biometrijom ili drugim skupovima podataka
• inteligentnu analitiku, profiliranje ili automatizirane odluke
• široku mrežu kamera, dugo praćenje ili ranjive osobe.

Jedna ograničena kamera nije automatski izuzeta: provedite početnu procjenu rizika i zabilježite zašto DPIA jest ili nije potrebna.

Kontrolni popis prije uključivanja kamera

1. Napišite konkretnu svrhu i opis stvarnog sigurnosnog problema.
2. Provjerite može li manje invazivna mjera ostvariti isti cilj.
3. Odredite pravni temelj i provedite test legitimnog interesa kada se na njega oslanjate.
4. Nacrtajte svaki kadar i maskirajte nepotrebna područja.
5. Isključite zvuk i analitiku bez zasebne opravdane potrebe.
6. Postavite oznaku prije ulaska u kadar i osigurajte punu obavijest.
7. Ograničite pristup te uključite automatizirani pristupni log.
8. Odredite najkraći opravdan rok i automatsko brisanje.
9. Uredite ugovor i sigurnost dobavljača.
10. Provjerite pravila za zaposlenike, zgrade ili javne površine.
11. Provedite DPIA-u kada je obvezna.
12. Testirajte zahtjev za pristup, izvoz incidenta i brisanje.

Za pregled kadrova, pravnog temelja, obavijesti, rokova i DPIA-e pogledajte usklađivanje videonadzora i zaštitu podataka.

Česta pitanja

Smijemo li čuvati snimke šest mjeseci?+

Šest mjeseci je zakonski maksimum u uobičajenom slučaju, ne automatsko dopuštenje. Odaberite kraći rok koji možete opravdati stvarnom svrhom, osim ako poseban zakon ili dokazni postupak opravdava dulje čuvanje.

Treba li kamera imati pristupni log?+

Da. Hrvatski Zakon traži automatizirani zapis vremena i mjesta pristupa te oznaku osobe koja je pristupila snimkama.

Smijemo li snimati zvuk?+

Ne pretpostavljajte da pravni temelj za sliku pokriva zvuk. Audio je dodatno i vrlo invazivno prikupljanje; isključite ga ako ne postoji posebna, dokaziva nužnost i pravna dopuštenost.

Može li policija dobiti snimku?+

Nadležna državna tijela imaju pristup u okviru svojega zakonskog djelokruga. Provjerite zahtjev i ovlast, izdvojite samo potreban opseg te evidentirajte pristup i predaju.

Izvori i pregled

Sadržaj je pregledan 8. kolovoza 2026. prema sljedećim primarnim i regulatornim izvorima:

• Zakon o provedbi Opće uredbe o zaštiti podataka, članci 25. – 32.
• Opća uredba o zaštiti podataka (GDPR)
• EDPB – Smjernice 3/2019 o obradi osobnih podataka videouređajima
• AZOP – preporuka i česta pitanja o videonadzoru
• AZOP – preporuka za test legitimnog interesa
• AZOP – popis obrada koje zahtijevaju DPIA-u
• Zakon o zaštiti na radu, članak 43.
• Izmjene Zakona o zaštiti na radu iz 2018., članak 12.

Vodič daje opće informacije; sektor, lokacija, radni odnosi, funkcije sustava i konkretan kadar mogu promijeniti pravni zaključak.