Kratak odgovor: Globalna primjena zakona o privatnosti prešla je 10,8 milijardi eura u ukupnim kaznama otkako je GDPR stupio na snagu 2018. godine, s pojedinačnim kaznama koje sada rutinski premašuju stotine miliona eura. Troškovi neusklađenosti daleko nadilaze samu kaznu; šteta po ugled, operativni poremećaji i obavezna sanacija mogu zasjeniti naslovnu kaznu. Svaka organizacija koja prikuplja, obrađuje ili prenosi lične podatke suočava se sa značajnom finansijskom i pravnom izloženošću ako njene prakse privatnosti nisu adekvatne.
Ključni zaključci
- Od jula 2026. godine, zabilježeno je preko 5.679 GDPR i ePrivacy izvršnih radnji u 33 evropske zemlje, s ukupnim kaznama većim od 10,8 milijardi eura [5]
- Najveća pojedinačna GDPR kazna i dalje iznosi 1,2 milijarde eura, izrečena kompaniji Meta Platforms Ireland 2023. godine zbog nezakonitog prenosa podataka između EU i SAD-a [1]
- U 2025. godini, TikTok je kažnjen sa 530 miliona eura od strane Irske komisije za zaštitu podataka zbog slanja korisničkih podataka u Kinu bez adekvatnih zaštitnih mjera [4]
- Sektor "Industrija i trgovina" predvodi sve sektore sa 572 zabilježene GDPR kazne, a slijede ga mediji, telekomunikacije i emitovanje sa 358 [3]
- Između 2022. i 2026. godine, velike tehnološke kompanije su kolektivno kažnjene sa 3,5 milijardi dolara posebno zbog korištenja ličnih podataka za obuku AI modela [7]
- Najčešća kršenja uključuju nedovoljnu pravnu osnovu za obradu (Član 6), nepoštovanje osnovnih principa obrade (Član 5) i neadekvatne sigurnosne mjere (Član 32) [8]
- Irska predvodi sve države članice EU sa 3 milijarde eura u ukupnim izrečenim kaznama, što odražava njenu ulogu sjedišta EU za većinu velikih tehnoloških firmi [6]
- GDPR kazne mogu doseći do 4% globalnog godišnjeg prometa ili 20 miliona eura, ovisno o tome što je više, čineći usklađenost finansijskim prioritetom na nivou odbora
Koje su najveće kazne za privatnost u historiji?
Najveće zabilježene kazne za privatnost koncentrisane su u eri GDPR-a, s Metom, Amazonom i TikTokom koji zauzimaju vodeće pozicije. Irska komisija za zaštitu podataka izrekla je najveću pojedinačnu GDPR kaznu, 1,2 milijarde eura protiv Meta Platforms Ireland u maju 2023. godine, zbog prenosa podataka korisnika iz EU na američke servere bez adekvatnih pravnih mehanizama [1].
Najveće GDPR kazne po iznosu:
| Kompanija | Iznos kazne | Godina | Kršenje |
|---|---|---|---|
| Meta Platforms Ireland | 1,2 milijarde eura | 2023 | Nezakoniti prenos podataka između EU i SAD-a |
| Amazon Europe Core | 746 miliona eura | 2021 | Kršenja saglasnosti za oglašavanje |
| TikTok | 530 miliona eura | 2025 | Prenos podataka u Kinu bez SCC-a |
| Meta (WhatsApp) | 225 miliona eura | 2021 | Propusti u transparentnosti |
| Meta (Instagram) | 405 miliona eura | 2022 | Nepravilno rukovanje podacima djece |
Od 2023. godine, primjena zakona se naglo ubrzala, pri čemu regulatori sve više ciljaju prekogranične prenose podataka i prakse podataka vezane za oglašavanje [9]. Prosječna GDPR kazna sada iznosi približno 3 miliona eura, iako je srednja kazna znatno viša, 8,2 miliona eura, što je jaz uzrokovan prevelikim kaznama izrečenim velikim tehnološkim platformama [6].
Koliko je Meta kažnjena zbog kršenja privatnosti?
Meta je akumulirala najveći kumulativni teret GDPR kazni od bilo koje pojedinačne kompanije. Kroz više izvršnih radnji koje pokrivaju WhatsApp, Instagram i njenu osnovnu platformu, ukupne GDPR kazne Mete premašuju 2 milijarde eura, pri čemu sama kazna za prenos od 1,2 milijarde eura predstavlja najveću pojedinačnu kaznu za privatnost ikada izrečenu prema GDPR-u [1].
Odluka iz 2023. godine fokusirala se na oslanjanje Mete na Standardne ugovorne klauzule (SCCs) kako bi opravdala transatlantske tokove podataka nakon poništenja EU-US Privacy Shielda. Regulatori su utvrdili da SCCs sami po sebi nisu dovoljni s obzirom na američke zakone o nadzoru, zahtijevajući od Mete da obustavi prenose između EU i SAD-a i implementira dopunske tehničke mjere.
Šta se dešava ako se ne pridržavate zakona o privatnosti?
Nepridržavanje pokreće kaskadu posljedica koje se protežu daleko izvan početne kazne. Regulatorne kazne su samo najvidljiviji element; stvarni troškovi neusklađenosti uključuju obavezne revizije, sanaciju sistema, pravne takse i štetu po ugled koja može godinama smanjivati akviziciju kupaca.
Specifične posljedice uključuju:
- Administrativne kazne do 4% globalnog godišnjeg prometa prema GDPR-u
- Nalozi za izvršenje koji zahtijevaju obustavu aktivnosti obrade podataka
- Obavezna obavještenja o povredi podataka pogođenim pojedincima (skupo u velikom obimu)
- Građanske parnice od strane pogođenih subjekata podataka, uključujući grupne tužbe
- Šteta po ugled mjerljiva u odljevu kupaca i smanjenom povjerenju u brend
- Operativni poremećaji zbog prisilnih promjena u arhitekturi podataka
U 2025. godini, obavještenja o povredi podataka povećana su za 22% u odnosu na prethodnu godinu, u prosjeku 443 obavještenja dnevno preko nadzornih tijela EU, pri čemu svako obavještenje potencijalno pokreće daljnju regulatornu kontrolu [2].
Kako se izračunavaju kazne za privatnost?
GDPR kazne se izračunavaju na višeslojnoj strukturi, pri čemu se ozbiljnost kršenja, saradnja organizacije s regulatorima i opseg štete uzimaju u obzir pri određivanju konačnog iznosa. Regulatori ne primjenjuju fiksnu formulu; umjesto toga, oni vagaju skup zakonskih kriterija.
Ključni faktori koji povećavaju ozbiljnost kazne:
- Priroda i trajanje kršenja
- Broj pogođenih subjekata podataka
- Namjerni naspram nemarnog karaktera kršenja
- Prethodna kršenja iste organizacije
- Finansijska korist proizašla iz kršenja
- Nepostojanje saradnje s nadzornim tijelom
Ublažavajući faktori uključuju proaktivnu saradnju, rano samoprijavljivanje i demonstrirane korake za sanaciju štete. Prema GDPR-u, kršenja prve kategorije (npr. neadekvatna sigurnost) nose kazne do 10 miliona eura ili 2% globalnog prometa, dok kršenja druge kategorije (npr. nezakonita obrada) dosežu 20 miliona eura ili 4% globalnog prometa.
Koje zemlje imaju najstrože kazne za privatnost?
Irska, Luksemburg i Francuska izriču najveće ukupne iznose kazni unutar EU, uglavnom zato što su velike tehnološke kompanije domicilirane u tim jurisdikcijama. Sama Irska čini 3 milijarde eura u ukupnim GDPR kaznama, što odražava njen status evropskog sjedišta za Metu, Apple, Google i TikTok [6].
Izvan EU, Sjedinjene Države primjenjuju zakone o privatnosti prvenstveno putem Federalne trgovinske komisije (FTC) i sektorskih zakona poput HIPAA i COPPA. SAD nema jedinstveni savezni zakon o privatnosti ekvivalentan GDPR-u, ali okviri na državnom nivou, kalifornijski CCPA/CPRA, virginijski CDPA i drugi, sve su aktivniji. Kineski Zakon o zaštiti ličnih podataka (PIPL) i brazilski LGPD također nose značajne kazne, iako zrelost primjene varira.
Koja je razlika između GDPR i CCPA kazni?
GDPR i CCPA se značajno razlikuju u svojim strukturama kazni, mehanizmima primjene i geografskom opsegu. GDPR se primjenjuje na svaku organizaciju koja obrađuje podatke stanovnika EU bez obzira na to gdje se organizacija nalazi, dok se CCPA primjenjuje specifično na profitne kompanije koje ispunjavaju određene pragove i koje prikupljaju podatke stanovnika Kalifornije.
Poređenje GDPR vs. CCPA kazni:
| Faktor | GDPR | CCPA/CPRA |
|---|---|---|
| Maksimalna kazna | 4% globalnog prometa ili 20 miliona eura | 7.500 dolara po namjernom kršenju |
| Provodi | Nacionalna nadzorna tijela | Kalifornijski državni tužilac / CPPA |
| Privatno pravo na tužbu | Ograničeno (povrede podataka) | Da, za povrede podataka |
| Opseg | Stanovnici EU globalno | Stanovnici Kalifornije |
| Primjenjuje se na | Organizacije bilo koje veličine | Preduzeća koja ispunjavaju pragove prihoda/podataka |
Praktična implikacija: GDPR nosi daleko veću finansijsku izloženost za velika preduzeća, dok se struktura CCPA-e po kršenju može brzo akumulirati za kompanije s velikim brojem korisnika u Kaliforniji i sistematskim neusklađenostima.
Koje industrije su najviše pogođene kaznama za privatnost?
Sektor industrije i trgovine predvodi sve sektore po obimu GDPR kazni, sa 572 zabilježene kazne od marta 2026. godine, a slijede ga mediji, telekomunikacije i emitovanje sa 358 [3]. Tehnološke platforme, finansijske usluge i zdravstvene organizacije dosljedno su među najviše kažnjenima.
Industrije s nesrazmjernom izloženošću uključuju:
- Tehnologija i društveni mediji, veliki obim podataka, prekogranični prenosi, poslovni modeli zasnovani na oglašavanju
- Finansijske usluge, osjetljivi finansijski podaci, složeni aranžmani dijeljenja s trećim stranama
- Zdravstvo, podaci posebne kategorije prema članu 9 GDPR-a, strogi zahtjevi za obavještavanje o povredi
- Maloprodaja i e-trgovina, saglasnost za kolačiće, praćenje ponašanja i prakse podataka programa lojalnosti
- Telekomunikacije, podaci o pretplatnicima u velikom obimu, podaci o lokaciji i obaveze Direktive o e-privatnosti
Mogu li mala preduzeća priuštiti usklađenost s privatnošću?
Usklađenost s privatnošću nije isključivo briga velikih preduzeća, ali proporcionalni teret troškova teže pada na manje organizacije. Mala preduzeća mogu implementirati osnovne mjere usklađenosti uz relativno niske troškove, posebno korištenjem strukturiranih alata za upravljanje saglasnošću i održavanjem jasnih evidencija o obradi podataka.
Praktična osnova za mala preduzeća uključuje:
- Provođenje vježbe mapiranja podataka kako bi se identificiralo koji se lični podaci prikupljaju i zašto
- Objavljivanje jasne, tačne politike privatnosti
- Implementacija platforme za upravljanje saglasnošću za saglasnost za kolačiće i praćenje
- Uspostavljanje procesa za obradu zahtjeva subjekata podataka za pristup
- Dokumentovanje pravne osnove za svaku aktivnost obrade
Alati poput Biscotti CMP pružaju strukturiranu infrastrukturu za upravljanje saglasnošću koja pomaže vlasnicima web stranica i malim preduzećima da demonstriraju usklađenost s GDPR i ePrivacy zahtjevima bez potrebe za posvećenim pravnim timovima. Troškovi takvih alata znatno su niži od čak i manje regulatorne kazne.
Koje su uobičajene greške u privatnosti koje dovode do kazni?
Najčešće kažnjavana kršenja prema GDPR-u uključuju nedovoljnu pravnu osnovu za obradu podataka, propuste u poštovanju osnovnih principa obrade i neadekvatne tehničke sigurnosne mjere [8]. Mnoge kazne proizlaze iz sistemskih praksi, a ne iz jednokratnih grešaka.
Uobičajena kršenja koja dovode do izvršnih radnji:
- Obrada ličnih podataka bez valjane pravne osnove (Član 6)
- Neuspjeh u dobivanju valjane, informisane saglasnosti za kolačiće i praćenje
- Neadekvatne procedure za otkrivanje i obavještavanje o povredi podataka
- Prenos podataka u treće zemlje bez odgovarajućih zaštitnih mjera
- Zadržavanje podataka duže nego što je potrebno za navedenu svrhu
- Pružanje nedovoljne transparentnosti u obavještenjima o privatnosti
- Neuspjeh u poštovanju prava subjekata podataka (pristup, brisanje, prenosivost)
"Najčešća GDPR kršenja uključuju nedovoljnu pravnu osnovu za obradu podataka (Član 6), kršenja osnovnih principa obrade (Član 5) i neadekvatne sigurnosne mjere (Član 32)." [8]
Kako kompanije izbjegavaju kršenja privatnosti i kazne?
Izbjegavanje kazni zahtijeva tretiranje usklađenosti s privatnošću kao stalne operativne discipline, a ne kao jednokratne vježbe dokumentacije. Organizacije koje ulažu u arhitekturu privatnosti po dizajnu, obuku osoblja i redovne revizije usklađenosti dosljedno pokazuju manju izloženost izvršnim radnjama.
Ključne preventivne mjere:
- Imenovanje službenika za zaštitu podataka (DPO) ako je to potrebno prema članu 37 GDPR-a
- Provođenje procjena uticaja na zaštitu podataka (DPIA) za obradu visokog rizika
- Vođenje evidencije aktivnosti obrade (RoPA) prema članu 30
- Implementacija i redovno testiranje plana odgovora na povredu podataka
- Korištenje usklađene platforme za upravljanje saglasnošću za sve web-bazirano prikupljanje podataka
- Godišnji pregled ugovora s trećim stranama za obradu podataka
- Proaktivno praćenje regulatornih smjernica nadzornih tijela
Da li kazne za privatnost zaista mijenjaju ponašanje kompanija?
Dokazi sugerišu da velike kazne zaista potiču promjenu ponašanja, ali je efekat jači kada je primjena dosljedna i javna. Ubrzanje primjene zakona od 2023. godine, posebno ciljajući prakse podataka vezane za AI, potaknulo je mnoge organizacije da proaktivno restrukturiraju programe upravljanja podacima [9].
Između 2022. i 2026. godine, velike tehnološke kompanije su kolektivno kažnjene sa 3,5 milijardi dolara zbog korištenja ličnih podataka za obuku AI modela bez adekvatne pravne osnove, pri čemu su Anthropic i Meta pretrpjeli najveće pojedinačne kazne od 1,5 milijardi dolara, odnosno 1,4 milijarde dolara [7]. Ove kazne su materijalno promijenile način na koji timovi za razvoj AI pristupaju izvorima podataka za obuku i dokumentaciji saglasnosti.
Međutim, za organizacije gdje je kazna mala u odnosu na prihod ostvaren neusklađenom praksom, odvraćanje je slabije. Upravo zbog toga je struktura kazni GDPR-a zasnovana na prometu dizajnirana da se skalira s veličinom kompanije.
Da li se isplati trošak usklađenosti s privatnošću?
Da, kada se mjeri u odnosu na puni trošak neusklađenosti, ulaganje u usklađenost s privatnošću dosljedno donosi pozitivne povrate. Prosječna GDPR kazna od približno 3 miliona eura [6], u kombinaciji s troškovima sanacije, pravnim taksama i štetom po ugled, daleko premašuje godišnje troškove strukturiranog programa usklađenosti za većinu organizacija.
Računica je jednostavna za preduzeća: proaktivni program usklađenosti koji košta desetine hiljada godišnje eliminira izloženost kaznama koje mogu doseći stotine miliona. Za manje organizacije, matematika je jednako jasna; čak i skromna kazna u rasponu od 10.000 do 50.000 eura (uobičajena za manja preduzeća) može biti egzistencijalno štetna.
Koliko je vremena potrebno za oporavak od kazne za privatnost?
Oporavak od velike kazne za privatnost obično traje dvije do pet godina, uzimajući u obzir finansijsko poravnanje, obaveznu sanaciju, regulatorno praćenje i rehabilitaciju ugleda. Operativni uticaj često nadživljava finansijsku kaznu.
Nakon značajne izvršne radnje, organizacije se obično suočavaju sa:
- Periodom pojačane regulatorne kontrole koji traje 12-36 mjeseci
- Obaveznim tehničkim i organizacionim promjenama s definisanim rokovima implementacije
- Kontinuiranim izvještavanjem o usklađenosti nadzornom tijelu
- Erozijom povjerenja kupaca koja zahtijeva stalne napore transparentnosti za preokret
Za kompanije koje uz kazne dobiju i naloge za obustavu prenosa, kao što je Meta učinila 2023. godine, operativni poremećaj restrukturiranja tokova podataka može koštati više od same kazne.
Česta pitanja
Koja je najveća GDPR kazna ikada izrečena? Najveća pojedinačna GDPR kazna iznosi 1,2 milijarde eura, izrečena kompaniji Meta Platforms Ireland od strane Irske komisije za zaštitu podataka u maju 2023. godine zbog nezakonitog prenosa podataka korisnika iz EU u Sjedinjene Države bez adekvatnih pravnih zaštitnih mjera [1].
Koliko je ukupno GDPR kazni izrečeno? Od jula 2026. godine, zabilježeno je preko 5.679 GDPR i ePrivacy izvršnih radnji u 33 evropske zemlje, s ukupnim kaznama većim od 10,8 milijardi eura [5].
Koja je kompanija platila najviše GDPR kazni? Meta je akumulirala najveći kumulativni teret GDPR kazni, s kaznama na svojim platformama (Facebook, Instagram, WhatsApp) koje ukupno premašuju 2 milijarde eura.
Može li mala web stranica biti kažnjena prema GDPR-u? Da. GDPR se primjenjuje na svaku organizaciju koja obrađuje lične podatke stanovnika EU, bez obzira na veličinu kompanije. Nadzorna tijela su izrekla kazne malim preduzećima, posebno zbog kršenja saglasnosti za kolačiće i neadekvatnih obavještenja o privatnosti.
Koja je razlika između GDPR kazne i CCPA kazne? GDPR kazne mogu doseći do 4% globalnog godišnjeg prometa ili 20 miliona eura. CCPA kazne su ograničene na 7.500 dolara po namjernom kršenju. GDPR nosi značajno veću finansijsku izloženost za velike organizacije s globalnim operacijama.
Šta pokreće GDPR istragu? Istrage se obično pokreću obavještenjima o povredi podataka, žalbama subjekata podataka, žalbama drugih nadzornih tijela ili proaktivnim revizijama nacionalnih tijela za zaštitu podataka.
Da li se povećavaju kazne za privatnost vezane za AI? Da. Između 2022. i 2026. godine, velike tehnološke kompanije su kolektivno kažnjene sa 3,5 milijardi dolara zbog korištenja ličnih podataka za obuku AI modela bez adekvatne pravne osnove, a regulatori su signalizirali da će se primjena zakona vezana za AI nastaviti intenzivirati [7].
Koje je najčešće GDPR kršenje? Nedovoljna pravna osnova za obradu podataka prema članu 6 najčešće je navedeno kršenje u GDPR izvršnim radnjama, a slijede je propusti u poštovanju osnovnih principa obrade prema članu 5 [8].
Da li plaćanje kazne okončava regulatornu stvar? Ne nužno. Kazne su često praćene izvršnim nalozima koji zahtijevaju specifične korake sanacije, a organizacije mogu ostati pod pojačanim nadzornim praćenjem godinama nakon plaćanja kazne.
Koju ulogu platforma za upravljanje saglasnošću igra u usklađenosti? Platforma za upravljanje saglasnošću (CMP) pomaže organizacijama da prikupljaju, bilježe i upravljaju saglasnošću korisnika za kolačiće i tehnologije praćenja, direktno rješavajući jedan od najčešće kažnjavanih nedostataka u usklađenosti prema GDPR i ePrivacy propisima.
Zaključak
Troškovi neusklađenosti, posmatrani kroz prizmu najvećih globalnih kazni za privatnost, predstavljaju uvjerljiv finansijski argument za proaktivno upravljanje podacima. S kumulativnim GDPR kaznama koje sada premašuju 10,8 milijardi eura i primjenom zakona koja ne pokazuje znakove usporavanja, usklađenost s privatnošću više nije pravna formalnost; to je ključna funkcija upravljanja poslovnim rizikom [5].
Akcioni koraci za organizacije bilo koje veličine:
- Revizija vaših praksi prikupljanja podataka u odnosu na pravne osnove dozvoljene prema GDPR-u ili vašem primjenjivom lokalnom zakonu, identificirajte svaku obradu kojoj nedostaje jasno, dokumentovano opravdanje.
- Implementirajte strukturirano upravljanje saglasnošću za sve web-bazirano praćenje i korištenje kolačića. Namjenski alat poput Biscotti CMP pruža evidenciju saglasnosti i revizijski trag koji regulatori očekuju.
- Pregledajte prekogranične prenose podataka, posebno ako vaša organizacija koristi cloud usluge, analitičke platforme ili AI alate sa sjedištem u SAD-u koji obrađuju lične podatke iz EU.
- Uspostavite plan odgovora na povredu s definisanim rokovima obavještavanja, s obzirom na to da su obavještenja o povredi porasla za 22% samo u 2025. godini [2].
- Pažljivo pratite prakse podataka vezane za AI, jer je to najbrže rastuće područje primjene zakona globalno [7].
Usklađenost s privatnošću nije odredište, to je kontinuirana operativna disciplina. Organizacije koje je tretiraju na taj način su one koje izbjegavaju da postanu sljedeći unos na rastućoj listi skupih izvršnih radnji.
Reference
[1] Statistics - https://www.enforcementtracker.com/statistics?utm_source=openai [2] DLA Piper GDPR Fines and Data Breach Survey January 2026 - https://www.dlapiper.com/en-ca/insights/publications/2026/01/dla-piper-gdpr-fines-and-data-breach-survey-january-2026?utm_source=openai [3] GDPR Fines Number by Industry - https://www.statista.com/statistics/1558502/gdpr-fines-number-by-by-industry/?utm_source=openai [4] GDPR Fines Tracker 2025-2026 - https://compliance-kit.eu/en/knowledge/gdpr-fines-tracker-2025-2026?utm_source=openai [5] cookiefines.eu - https://cookiefines.eu/?utm_source=openai [6] GDPR Fine Statistics - https://gdprfine.com/statistics?utm_source=openai [7] Big Tech Slapped with $3.5bn in Fines for Using Personal Data to Train AI - https://www.techradar.com/vpn/vpn-services/big-tech-slapped-with-usd3-5bn-in-fines-for-using-your-personal-data-to-train-ai-and-it-could-be-only-the-beginning-warns-surfshark?utm_source=openai [8] GDPR Fines Statistics - https://compliancedocshq.com/learn/gdpr-fines-statistics?utm_source=openai [9] GDPR Fines to Date: Biggest Penalties and Violations - https://legalclarity.org/gdpr-fines-to-date-biggest-penalties-and-violations/?utm_source=openai