Evropski odbor za zaštitu podataka (EDPB) usvojio je 17. septembra 2026. godine Smjernice 04/2026 o primjeni ovlašćenja za izricanje administrativnih novčanih kazni u odnosu na druga korektivna ovlašćenja prema GDPR-u. Novi dokument trebalo bi da doprinese ujednačenijoj praksi evropskih nadzornih organa u jednom od najvažnijih pitanja primjene GDPR-a – kada utvrđena povreda treba da rezultira novčanom kaznom, a kada su dovoljne druge korektivne mjere.
Smjernice su trenutno otvorene za javne konsultacije, a zainteresovane strane mogu dostaviti komentare do 13. novembra 2026. godine, do 23:59 CET.
Njihov značaj najbolje se razumije u odnosu na ranije EDPB Smjernice 04/2022 o obračunu administrativnih novčanih kazni. Dok se taj dokument prvenstveno bavi pitanjem kolika kazna treba da bude, nove Smjernice 04/2026 bave se prethodnim pitanjem – da li je novčanu kaznu uopšte potrebno izreći. Istovremeno, one zamjenjuju ranije smjernice Radne grupe iz člana 29 o primjeni i određivanju administrativnih kazni.
Pet koraka do odluke o novčanoj kazni
EDPB predlaže metodologiju koja se sastoji od pet koraka. Prva tri odnose se na pravne pretpostavke za izricanje novčane kazne, dok se četvrti i peti korak odnose na procjenu da li je, u okolnostima konkretnog slučaja, novčana kazna odgovarajuća u odnosu na druga korektivna ovlašćenja.
Prvi korak jeste utvrđivanje da li konkretna povreda uopšte može biti sankcionisana novčanom kaznom. Nisu sve odredbe GDPR-a na isti način obuhvaćene članom 83, pa nadzorni organ najprije mora utvrditi postoji li pravni osnov za izricanje kazne u GDPR-u ili, kada je to dopušteno, u nacionalnom pravu.
Drugi korak odnosi se na pitanje ko može odgovarati za konkretnu povredu. To će najčešće biti kontrolor podataka ili obrađivač, ali odgovornost može postojati i kod sertifikacionih tijela i tijela za praćenje kodeksa ponašanja.
Posebno je značajno što EDPB, oslanjajući se na praksu Suda pravde Evropske unije, potvrđuje princip neposredne odgovornosti pravnog lica. Za izricanje kazne nije potrebno utvrditi da je uprava društva lično učestvovala u povredi niti identifikovati konkretnog zaposlenog koji ju je izazvao. Postupanje zaposlenih i drugih lica koja djeluju u okviru poslovanja i za račun kontrolora načelno se pripisuje samom kontroloru. Ni činjenica da zaposleni nije poštovao interna pravila ili instrukcije sama po sebi ne oslobađa organizaciju odgovornosti.
Neznanje propisa ne isključuje nepažnju
Treći korak odnosi se na krivicu. Administrativna novčana kazna prema GDPR-u može se izreći samo ako je povreda izvršena namjerno ili iz nepažnje.
Međutim, upravo u pogledu nepažnje Smjernice zauzimaju prilično strog pristup. Nije potrebno dokazati da je kontrolor podataka znao da krši GDPR. Dovoljno je da je bio u poziciji da zna da je njegovo postupanje protivpravno, odnosno da je, uz odgovarajuću pažnju, mogao i trebalo da bude upoznat sa svojim obavezama.
Zbog toga nepoznavanje propisa, pogrešno pravno tumačenje ili oslanjanje na pravni savjet neće automatski isključiti odgovornost. EDPB, između ostalog, navodi primjer u kojem ni pribavljeno eksterno pravno mišljenje ne oslobađa kontrolora odgovornosti ako je morao biti svjestan da postoje suprotna pravna tumačenja. Posebno se naglašava da se eksterni pravni savjet ne može „slijepo“ pratiti, naročito kada postoje jasne odredbe GDPR-a, smjernice EDPB-a ili poznati stavovi nadležnog nadzornog organa.
Kada je povreda „manja“?
Tek kada utvrdi da postoje pravne pretpostavke za izricanje kazne, nadzorni organ prelazi na četvrti korak – procjenu da li se radi o manjoj povredi.
Pri tome se uzimaju u obzir kriterijumi iz člana 83. stav 2. GDPR-a: priroda, težina i trajanje povrede, broj pogođenih lica i stepen nastale štete, namjera ili nepažnja, mjere preduzete radi ublažavanja posljedica, stepen odgovornosti kontrolora ili obrađivača, ranije povrede, saradnja sa nadzornim organom, kategorije ličnih podataka, način na koji je povreda otkrivena i druge otežavajuće ili olakšavajuće okolnosti.
Ako je povreda ocijenjena kao manja, polazno pravilo jeste da se novčana kazna ne izriče, već se, kada je potrebno, može izreći opomena. Ako povreda nije manja, situacija je obrnuta – prema metodologiji EDPB-a postoji snažna pretpostavka u korist izricanja novčane kazne.
Smjernice, međutim, pokazuju i koliko je važan širi kontekst. Jednokratno kašnjenje u postupanju po zahtjevu nosioca podataka može, zavisno od okolnosti, predstavljati manju povredu. Ako se naknadno utvrdi da se ista greška ponavlja kod većeg broja lica, to više ne predstavlja izolovani propust, već može ukazivati na sistemski problem u organizaciji i opravdati izricanje novčane kazne.
Kazna mora biti djelotvorna, srazmjerna i odvraćajuća
U petom koraku nadzorni organ mora procijeniti da li bi novčana kazna bila djelotvorna, srazmjerna i odvraćajuća.
Ova tri kriterijuma nisu relevantna samo za određivanje visine kazne. Ona su važna i prilikom odlučivanja da li kaznu u konkretnom slučaju treba izreći. Sankcija mora biti dovoljno ozbiljna da obezbijedi poštovanje propisa i odvrati kontrolora, ali i druge subjekte, od budućih povreda, ali istovremeno ne smije predstavljati mjeru koja je teža nego što je potrebno za ostvarivanje tog cilja.
Zbog toga sama ocjena povrede kao manje ili ozbiljnije ne dovodi automatski do unaprijed određenog ishoda. EDPB ostavlja mogućnost da u posebnim okolnostima novčana kazna bude izrečena i za manju povredu. Obrnuto, čak i kod povrede koja nije manja može se odabrati druga korektivna mjera ako bi novčana kazna u konkretnim okolnostima bila nesrazmjerna.
Smjernice takođe pojašnjavaju odnos kazni prema drugim korektivnim ovlašćenjima. Upozorenje je preventivna mjera koja se izriče kada planirana obrada još nije započela i zbog toga se za isto postupanje ne može istovremeno izreći novčana kazna. Nasuprot tome, nalozi za usklađivanje, ograničenje ili zabrana obrade mogu se, kada je povreda već nastupila, kombinovati sa novčanom kaznom.
Zašto su ove smjernice važne i za Bosnu i Hercegovinu?
Iako EDPB Smjernice 04/2026 nisu pravno obavezujući izvor prava u Bosni i Hercegovini, njihov značaj za domaću praksu mogao bi biti veoma značajan. Zakon o zaštiti ličnih podataka BiH iz 2025. godine usklađen je sa GDPR-om, a odredbe koje uređuju korektivna ovlašćenja Agencije za zaštitu ličnih podataka i izricanje novčanih kazni u velikoj mjeri prate upravo strukturu članova 58. i 83. GDPR-a. Zakon Agenciji, između ostalog, omogućava da izrekne upozorenje ili opomenu, naloži usklađivanje, ograniči ili zabrani obradu, te izda prekršajni nalog ili pokrene prekršajni postupak.
Još je značajnije što član 113. Zakona o zaštiti ličnih podataka BiH preslikava osnovne kriterijume iz člana 83. GDPR-a. Agencija mora obezbijediti da izricanje novčane kazne u svakom pojedinačnom slučaju bude djelotvorno, srazmjerno i odvraćajuće, dok se prilikom odlučivanja o kazni i njenoj visini uzimaju u obzir priroda, težina i trajanje povrede, namjera ili nepažnja, preduzete mjere za ublažavanje štete, prethodne povrede, saradnja sa Agencijom, kategorije podataka i druge otežavajuće ili olakšavajuće okolnosti. Upravo zbog ove sadržinske podudarnosti, nova metodologija EDPB-a može predstavljati važan interpretativni oslonac i za buduću praksu u BiH, iako se odluke Agencije i domaćih sudova moraju zasnivati na domaćem Zakonu i pravilima prekršajnog postupka.
Za kontrolore podataka u BiH to znači da pitanje sankcija više ne treba posmatrati samo kroz maksimalne iznose novčanih kazni. Ako se domaća praksa bude razvijala u pravcu evropskih standarda, sve značajniju ulogu imaće okolnosti koje prethode i slijede samu povredu: da li je kontrolor imao odgovarajuće interne procedure, da li ih je stvarno primjenjivao, koliko brzo je reagovao nakon utvrđenog problema, da li je preduzeo mjere da umanji posljedice i spriječi ponavljanje, te da li se radi o izolovanom propustu ili sistemskom nedostatku. U tom smislu, nove EDPB smjernice nisu važne samo za razumijevanje evropskog sistema kažnjavanja, već mogu biti i dobar pokazatelj pravca u kojem se može razvijati domaća regulatorna praksa.
Autor teksta: Igor Letica
E-mail: igor@afsajic.com
