Evropski odbor za za\u0161titu podataka (EDPB) usvojio je 17. septembra 2026. godine Smjernice 04\/2026 o primjeni ovla\u0161\u0107enja za izricanje administrativnih nov\u010danih kazni u odnosu na druga korektivna ovla\u0161\u0107enja prema GDPR-u. Novi dokument trebalo bi da doprinese ujedna\u010denijoj praksi evropskih nadzornih organa u jednom od najva\u017enijih pitanja primjene GDPR-a \u2013 kada utvr\u0111ena povreda treba da rezultira nov\u010danom kaznom, a kada su dovoljne druge korektivne mjere.<\/p>\n\n\n\n
Smjernice su trenutno otvorene za javne konsultacije, a zainteresovane strane mogu dostaviti komentare do 13. novembra 2026. godine, do 23:59 CET.<\/p>\n\n\n\n
Njihov zna\u010daj najbolje se razumije u odnosu na ranije EDPB Smjernice 04\/2022 o obra\u010dunu administrativnih nov\u010danih kazni. Dok se taj dokument prvenstveno bavi pitanjem kolika kazna treba da bude, nove Smjernice 04\/2026 bave se prethodnim pitanjem \u2013 da li je nov\u010danu kaznu uop\u0161te potrebno izre\u0107i. Istovremeno, one zamjenjuju ranije smjernice Radne grupe iz \u010dlana 29 o primjeni i odre\u0111ivanju administrativnih kazni.<\/p>\n\n\n\n
Pet koraka do odluke o nov\u010danoj kazni<\/strong><\/p>\n\n\n\n EDPB predla\u017ee metodologiju koja se sastoji od pet koraka. Prva tri odnose se na pravne pretpostavke za izricanje nov\u010dane kazne, dok se \u010detvrti i peti korak odnose na procjenu da li je, u okolnostima konkretnog slu\u010daja, nov\u010dana kazna odgovaraju\u0107a u odnosu na druga korektivna ovla\u0161\u0107enja.<\/p>\n\n\n\n Prvi korak jeste utvr\u0111ivanje da li konkretna povreda uop\u0161te mo\u017ee biti sankcionisana nov\u010danom kaznom. Nisu sve odredbe GDPR-a na isti na\u010din obuhva\u0107ene \u010dlanom 83, pa nadzorni organ najprije mora utvrditi postoji li pravni osnov za izricanje kazne u GDPR-u ili, kada je to dopu\u0161teno, u nacionalnom pravu.<\/p>\n\n\n\n Drugi korak odnosi se na pitanje ko mo\u017ee odgovarati za konkretnu povredu. To \u0107e naj\u010de\u0161\u0107e biti kontrolor podataka ili obra\u0111iva\u010d, ali odgovornost mo\u017ee postojati i kod sertifikacionih tijela i tijela za pra\u0107enje kodeksa pona\u0161anja.<\/p>\n\n\n\n Posebno je zna\u010dajno \u0161to EDPB, oslanjaju\u0107i se na praksu Suda pravde Evropske unije, potvr\u0111uje princip neposredne odgovornosti pravnog lica. Za izricanje kazne nije potrebno utvrditi da je uprava dru\u0161tva li\u010dno u\u010destvovala u povredi niti identifikovati konkretnog zaposlenog koji ju je izazvao. Postupanje zaposlenih i drugih lica koja djeluju u okviru poslovanja i za ra\u010dun kontrolora na\u010delno se pripisuje samom kontroloru. Ni \u010dinjenica da zaposleni nije po\u0161tovao interna pravila ili instrukcije sama po sebi ne osloba\u0111a organizaciju odgovornosti.<\/p>\n\n\n\n Neznanje propisa ne isklju\u010duje nepa\u017enju<\/strong><\/p>\n\n\n\n Tre\u0107i korak odnosi se na krivicu. Administrativna nov\u010dana kazna prema GDPR-u mo\u017ee se izre\u0107i samo ako je povreda izvr\u0161ena namjerno ili iz nepa\u017enje.<\/p>\n\n\n\n Me\u0111utim, upravo u pogledu nepa\u017enje Smjernice zauzimaju prili\u010dno strog pristup. Nije potrebno dokazati da je kontrolor podataka znao da kr\u0161i GDPR. Dovoljno je da je bio u poziciji da zna da je njegovo postupanje protivpravno, odnosno da je, uz odgovaraju\u0107u pa\u017enju, mogao i trebalo da bude upoznat sa svojim obavezama.<\/p>\n\n\n\n Zbog toga nepoznavanje propisa, pogre\u0161no pravno tuma\u010denje ili oslanjanje na pravni savjet ne\u0107e automatski isklju\u010diti odgovornost. EDPB, izme\u0111u ostalog, navodi primjer u kojem ni pribavljeno eksterno pravno mi\u0161ljenje ne osloba\u0111a kontrolora odgovornosti ako je morao biti svjestan da postoje suprotna pravna tuma\u010denja. Posebno se nagla\u0161ava da se eksterni pravni savjet ne mo\u017ee \u201eslijepo\u201c pratiti, naro\u010dito kada postoje jasne odredbe GDPR-a, smjernice EDPB-a ili poznati stavovi nadle\u017enog nadzornog organa.<\/p>\n\n\n\n Kada je povreda \u201emanja\u201c?<\/strong><\/p>\n\n\n\n Tek kada utvrdi da postoje pravne pretpostavke za izricanje kazne, nadzorni organ prelazi na \u010detvrti korak \u2013 procjenu da li se radi o manjoj povredi.<\/p>\n\n\n\n Pri tome se uzimaju u obzir kriterijumi iz \u010dlana 83. stav 2. GDPR-a: priroda, te\u017eina i trajanje povrede, broj pogo\u0111enih lica i stepen nastale \u0161tete, namjera ili nepa\u017enja, mjere preduzete radi ubla\u017eavanja posljedica, stepen odgovornosti kontrolora ili obra\u0111iva\u010da, ranije povrede, saradnja sa nadzornim organom, kategorije li\u010dnih podataka, na\u010din na koji je povreda otkrivena i druge ote\u017eavaju\u0107e ili olak\u0161avaju\u0107e okolnosti.<\/p>\n\n\n\n Ako je povreda ocijenjena kao manja, polazno pravilo jeste da se nov\u010dana kazna ne izri\u010de, ve\u0107 se, kada je potrebno, mo\u017ee izre\u0107i opomena. Ako povreda nije manja, situacija je obrnuta \u2013 prema metodologiji EDPB-a postoji sna\u017ena pretpostavka u korist izricanja nov\u010dane kazne.<\/p>\n\n\n\n Smjernice, me\u0111utim, pokazuju i koliko je va\u017ean \u0161iri kontekst. Jednokratno ka\u0161njenje u postupanju po zahtjevu nosioca podataka mo\u017ee, zavisno od okolnosti, predstavljati manju povredu. Ako se naknadno utvrdi da se ista gre\u0161ka ponavlja kod ve\u0107eg broja lica, to vi\u0161e ne predstavlja izolovani propust, ve\u0107 mo\u017ee ukazivati na sistemski problem u organizaciji i opravdati izricanje nov\u010dane kazne.<\/p>\n\n\n\n Kazna mora biti djelotvorna, srazmjerna i odvra\u0107aju\u0107a<\/strong><\/p>\n\n\n\n U petom koraku nadzorni organ mora procijeniti da li bi nov\u010dana kazna bila djelotvorna, srazmjerna i odvra\u0107aju\u0107a.<\/p>\n\n\n\n Ova tri kriterijuma nisu relevantna samo za odre\u0111ivanje visine kazne. Ona su va\u017ena i prilikom odlu\u010divanja da li kaznu u konkretnom slu\u010daju treba izre\u0107i. Sankcija mora biti dovoljno ozbiljna da obezbijedi po\u0161tovanje propisa i odvrati kontrolora, ali i druge subjekte, od budu\u0107ih povreda, ali istovremeno ne smije predstavljati mjeru koja je te\u017ea nego \u0161to je potrebno za ostvarivanje tog cilja.<\/p>\n\n\n\n Zbog toga sama ocjena povrede kao manje ili ozbiljnije ne dovodi automatski do unaprijed odre\u0111enog ishoda. EDPB ostavlja mogu\u0107nost da u posebnim okolnostima nov\u010dana kazna bude izre\u010dena i za manju povredu. Obrnuto, \u010dak i kod povrede koja nije manja mo\u017ee se odabrati druga korektivna mjera ako bi nov\u010dana kazna u konkretnim okolnostima bila nesrazmjerna.<\/p>\n\n\n\n Smjernice tako\u0111e poja\u0161njavaju odnos kazni prema drugim korektivnim ovla\u0161\u0107enjima. Upozorenje je preventivna mjera koja se izri\u010de kada planirana obrada jo\u0161 nije zapo\u010dela i zbog toga se za isto postupanje ne mo\u017ee istovremeno izre\u0107i nov\u010dana kazna. Nasuprot tome, nalozi za uskla\u0111ivanje, ograni\u010denje ili zabrana obrade mogu se, kada je povreda ve\u0107 nastupila, kombinovati sa nov\u010danom kaznom.<\/p>\n\n\n\n Za\u0161to su ove smjernice va\u017ene i za Bosnu i Hercegovinu?<\/strong><\/p>\n\n\n\n Iako EDPB Smjernice 04\/2026 nisu pravno obavezuju\u0107i izvor prava u Bosni i Hercegovini, njihov zna\u010daj za doma\u0107u praksu mogao bi biti veoma zna\u010dajan. Zakon o za\u0161titi li\u010dnih podataka BiH iz 2025. godine uskla\u0111en je sa GDPR-om, a odredbe koje ure\u0111uju korektivna ovla\u0161\u0107enja Agencije za za\u0161titu li\u010dnih podataka i izricanje nov\u010danih kazni u velikoj mjeri prate upravo strukturu \u010dlanova 58. i 83. GDPR-a. Zakon Agenciji, izme\u0111u ostalog, omogu\u0107ava da izrekne upozorenje ili opomenu, nalo\u017ei uskla\u0111ivanje, ograni\u010di ili zabrani obradu, te izda prekr\u0161ajni nalog ili pokrene prekr\u0161ajni postupak.<\/p>\n\n\n\n Jo\u0161 je zna\u010dajnije \u0161to \u010dlan 113. Zakona o za\u0161titi li\u010dnih podataka BiH preslikava osnovne kriterijume iz \u010dlana 83. GDPR-a. Agencija mora obezbijediti da izricanje nov\u010dane kazne u svakom pojedina\u010dnom slu\u010daju bude djelotvorno, srazmjerno i odvra\u0107aju\u0107e, dok se prilikom odlu\u010divanja o kazni i njenoj visini uzimaju u obzir priroda, te\u017eina i trajanje povrede, namjera ili nepa\u017enja, preduzete mjere za ubla\u017eavanje \u0161tete, prethodne povrede, saradnja sa Agencijom, kategorije podataka i druge ote\u017eavaju\u0107e ili olak\u0161avaju\u0107e okolnosti. Upravo zbog ove sadr\u017einske podudarnosti, nova metodologija EDPB-a mo\u017ee predstavljati va\u017ean interpretativni oslonac i za budu\u0107u praksu u BiH, iako se odluke Agencije i doma\u0107ih sudova moraju zasnivati na doma\u0107em Zakonu i pravilima prekr\u0161ajnog postupka.<\/p>\n\n\n\n Za kontrolore podataka u BiH to zna\u010di da pitanje sankcija vi\u0161e ne treba posmatrati samo kroz maksimalne iznose nov\u010danih kazni. Ako se doma\u0107a praksa bude razvijala u pravcu evropskih standarda, sve zna\u010dajniju ulogu ima\u0107e okolnosti koje prethode i slijede samu povredu: da li je kontrolor imao odgovaraju\u0107e interne procedure, da li ih je stvarno primjenjivao, koliko brzo je reagovao nakon utvr\u0111enog problema, da li je preduzeo mjere da umanji posljedice i sprije\u010di ponavljanje, te da li se radi o izolovanom propustu ili sistemskom nedostatku. U tom smislu, nove EDPB smjernice nisu va\u017ene samo za razumijevanje evropskog sistema ka\u017enjavanja, ve\u0107 mogu biti i dobar pokazatelj pravca u kojem se mo\u017ee razvijati doma\u0107a regulatorna praksa.<\/p>\n\n\n\n Autor teksta: Igor Letica<\/p>\n\n\n\n E-mail: igor@afsajic.com<\/p>\n","protected":false},"excerpt":{"rendered":" Evropski odbor za za\u0161titu podataka (EDPB) usvojio je 17. septembra 2026. godine Smjernice 04\/2026 o primjeni ovla\u0161\u0107enja za izricanje administrativnih nov\u010danih kazni u odnosu…<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[73,77,113],"tags":[],"class_list":["post-1728","post","type-post","status-publish","format-standard","hentry","category-clanaci","category-newsletter","category-novosti"],"_links":{"self":[{"href":"https:\/\/advokatskafirmasajic.com\/blog\/wp-json\/wp\/v2\/posts\/1728","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/advokatskafirmasajic.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/advokatskafirmasajic.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/advokatskafirmasajic.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/advokatskafirmasajic.com\/blog\/wp-json\/wp\/v2\/comments?post=1728"}],"version-history":[{"count":1,"href":"https:\/\/advokatskafirmasajic.com\/blog\/wp-json\/wp\/v2\/posts\/1728\/revisions"}],"predecessor-version":[{"id":1729,"href":"https:\/\/advokatskafirmasajic.com\/blog\/wp-json\/wp\/v2\/posts\/1728\/revisions\/1729"}],"wp:attachment":[{"href":"https:\/\/advokatskafirmasajic.com\/blog\/wp-json\/wp\/v2\/media?parent=1728"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/advokatskafirmasajic.com\/blog\/wp-json\/wp\/v2\/categories?post=1728"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/advokatskafirmasajic.com\/blog\/wp-json\/wp\/v2\/tags?post=1728"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}