Pristanak i baneri

Snalaženje u sankcijama i teritorijalnim opsezima: Pogled na najstrože zakone o privatnosti na svijetu

7. srpnja 2026. · 17 min čitanje

Kratak odgovor: Najstroži zakoni o privatnosti na svijetu, predvođeni GDPR-om EU-a, kineskim PIPL-om i kalifornijskim CCPA-om, nameću značajne financijske kazne i protežu se daleko izvan svojih matičnih granica. Svaka organizacija koja prikuplja ili obrađuje osobne podatke stanovnika u tim jurisdikcijama mora se pridržavati propisa, bez obzira na to gdje se ta organizacija fizički nalazi. Razumijevanje teritorijalnog opsega i struktura sankcija prvi je korak prema izgradnji obrambenog stava usklađenosti.

Ključni zaključci

Preko 160 zemalja donijelo je sveobuhvatno zakonodavstvo o privatnosti podataka, čineći globalnu usklađenost osnovnim očekivanjem, a ne iznimkom [1].
GDPR nosi najviše financijske kazne od svih zakona o privatnosti: do 20 milijuna eura ili 4% globalnog godišnjeg prihoda, ovisno o tome što je veće [1].
GDPR kazne za provedbu premašile su 7 milijardi eura od početka provedbe, s velikim kaznama protiv Mete, Amazona i TikToka [7].
Kineski PIPL i GDPR EU-a primjenjuju se ekstrateritorijalno; strane tvrtke koje pružaju usluge stanovnicima u tim jurisdikcijama moraju se pridržavati propisa [1].
SAD-u nedostaje jedinstveni savezni zakon o privatnosti; usklađenost ovisi o sektoru i državi, pri čemu je kalifornijski CCPA najutjecajniji okvir na državnoj razini [2].
Teritorijalni opseg određuje koji se zakon primjenjuje na vaše poslovanje; više zakona može se primjenjivati istovremeno na jednu organizaciju.
Mala poduzeća nisu automatski izuzeta; CCPA pragovi i GDPR-ov test "uspostave" mogu obuhvatiti tvrtke različitih veličina.
Uobičajeni propusti u usklađenosti uključuju neadekvatne mehanizme pristanka, loše mapiranje podataka i ignoriranje pravila prekograničnog prijenosa.
Platforma za upravljanje pristankom (CMP) kao što je Biscotti CMP može pomoći organizacijama u operativnoj primjeni zahtjeva za pristanak prema više okvira.

Koji su najstroži zakoni o privatnosti na svijetu po zemljama

Najstroži zakoni o privatnosti globalno su Opća uredba o zaštiti podataka (GDPR) EU-a, kineski Zakon o zaštiti osobnih podataka (PIPL), brazilski Lei Geral de Proteção de Dados (LGPD) i kalifornijski CCPA/CPRA. Svaki kombinira širok teritorijalni doseg sa značajnim mehanizmima provedbe.

What Are the World's Strictest Privacy Laws by Country

Evo sažete usporedbe glavnih okvira:

Zakon	Jurisdikcija	Maksimalna kazna	Ekstrateritorijalno?	Na snazi od
GDPR	Europska unija	20 milijuna eura ili 4% globalnog prihoda	Da	Svibanj 2018.
UK GDPR	Ujedinjeno Kraljevstvo	17,5 milijuna funti ili 4% globalnog prihoda	Da	Siječanj 2021.
PIPL	Kina	Do 50 milijuna ¥ ili 5% godišnjeg prihoda	Da	Studeni 2021.
CCPA/CPRA	Kalifornija, SAD	Do 7.988 USD po namjernom kršenju	Ograničeno	Siječanj 2020.
LGPD	Brazil	Do 2% prihoda u Brazilu, ograničeno na 50 milijuna R$	Da	Rujan 2020.

GDPR ostaje globalni standard. Njegova kombinacija visokih kazni, širokog opsega i aktivne provedbe čini ga okvirom kojem većina organizacija daje prioritet pri izgradnji međunarodnih programa usklađenosti [1].

Kako funkcioniraju GDPR sankcije i koje su kazne

GDPR sankcije djeluju na dvostupanjskoj strukturi kazni. Kršenja nižeg stupnja, kao što je neuspjeh u vođenju evidencije o aktivnostima obrade, mogu rezultirati kaznama do 10 milijuna eura ili 2% globalnog godišnjeg prometa. Kršenja višeg stupnja, uključujući nezakonitu obradu osobnih podataka ili ignoriranje prava ispitanika, nose kazne do 20 milijuna eura ili 4% globalnog godišnjeg prihoda, ovisno o tome što je veće [1].

Osim novčanih kazni, nadzorna tijela mogu izdati privremene ili trajne zabrane obrade podataka, što u praksi može biti štetnije za poslovanje od same novčane kazne. Od početka provedbe, kumulativne GDPR kazne premašile su 7 milijardi eura, s povijesnim slučajevima protiv Meta Ireland, Amazon Luxembourg i TikTok [7].

Ključni čimbenici koje regulatori uzimaju u obzir pri izračunu kazni:

Priroda, težina i trajanje kršenja
Je li kršenje bilo namjerno ili iz nehata
Suradnja s nadzornim tijelom
Prethodna povijest kršenja
Kategorije osobnih podataka na koje je utjecalo (zdravstveni, financijski ili biometrijski podaci privlače veću pažnju)

Razlika između GDPR-a, CCPA-a i drugih propisa o privatnosti

GDPR i CCPA dijele isti cilj, zaštitu osobnih podataka, ali se značajno razlikuju u opsegu, dodijeljenim pravima i mehanizmima provedbe [2].

GDPR se primjenjuje na svaku organizaciju koja obrađuje podatke stanovnika EU-a, bez obzira na veličinu tvrtke. Zahtijeva zakonitu osnovu za svaku aktivnost obrade, nalaže procjene učinka na zaštitu podataka za obradu visokog rizika i dodjeljuje pojedincima prava uključujući pristup, brisanje, prenosivost i prigovor.

CCPA/CPRA primjenjuje se samo na profitne tvrtke koje ispunjavaju barem jedan od ovih pragova: godišnji bruto prihod veći od 25 milijuna dolara, kupnja ili prodaja osobnih podataka 100.000 ili više kalifornijskih potrošača godišnje, ili ostvarivanje 50% ili više godišnjeg prihoda od prodaje osobnih podataka [2]. Više se fokusira na transparentnost i prava na odustajanje nego na zahtijevanje zakonite osnove za obradu.

PIPL (Kina) odražava GDPR u strukturi, ali dodaje strože zahtjeve za lokalizaciju podataka i nalaže vladine sigurnosne procjene prije prijenosa "važnih" podataka u inozemstvo [1].

Praktična razlika: GDPR je prema zadanim postavkama opt-in za većinu obrade; CCPA je uglavnom opt-out. PIPL kombinira oba pristupa dodajući nacionalne sigurnosne slojeve koje GDPR nema.

Što je teritorijalni opseg u zakonu o privatnosti

Teritorijalni opseg definira geografske granice unutar kojih se primjenjuje zakon o privatnosti i, kritično, doseže li organizacije koje djeluju izvan tih granica. Većina modernih zakona o privatnosti usvojila je ekstrateritorijalni model, što znači da fizička prisutnost u zemlji više nije potrebna za obveze usklađenosti.

Teritorijalni opseg GDPR-a reguliran je člankom 3., koji primjenjuje uredbu na svaku organizaciju osnovanu u EU-u, te na organizacije izvan EU-a koje nude robu ili usluge stanovnicima EU-a ili prate njihovo ponašanje [1]. UK GDPR slijedi identičan model [9].

Kineski PIPL primjenjuje se na strane subjekte koji nude proizvode ili usluge pojedincima u Kini, analiziraju ili procjenjuju ponašanje pojedinaca u Kini, ili spadaju pod okolnosti definirane u drugim primjenjivim zakonima [1].

Snalaženje u sankcijama i teritorijalnim opsezima: pogled na najstrože zakone o privatnosti na svijetu otkriva dosljedan obrazac: trend je prema maksimalnom dosegu. Regulatori žele spriječiti organizacije da izbjegnu obveze jednostavnim osnivanjem offshore tvrtki.

Kako se zakoni o privatnosti primjenjuju na tvrtke izvan njihove zemlje

Zakoni o privatnosti primjenjuju se na strane tvrtke putem koncepta ekstrateritorijalne jurisdikcije. Tvrtka sa sjedištem u Singapuru koja vodi web stranicu namijenjenu njemačkim potrošačima i prikuplja njihove adrese e-pošte podliježe GDPR-u, čak i bez ijednog zaposlenika ili ureda u EU-u.

Okidači za ekstrateritorijalnu primjenu obično uključuju:

Aktivno oglašavanje stanovnicima jurisdikcije (jezik, valuta, lokalne metode plaćanja)
Obrada osobnih podataka stanovnika, čak i pasivno putem analitike ili kolačića
Praćenje ponašanja (bihevioralno oglašavanje, pikseli za praćenje)
Poslovanje lokalnog poduzeća, čak i malog predstavništva

Program sigurnosti podataka američkog Ministarstva pravosuđa (DOJ), na snazi od 8. travnja 2025., dodaje još jedan sloj: nameće kontrolu izvoza kako bi spriječio strane protivnike da pristupe osjetljivim osobnim podacima SAD-a, zabranjujući određene transakcije podacima s određenim "zemljama od interesa" [5].

Uobičajena pogreška: Pretpostavka da tvrtka, budući da nema fizičku prisutnost u jurisdikciji, nema tamo nikakve obveze usklađenosti. To je netočno za GDPR, PIPL, UK GDPR i LGPD.

Koji je zakon o privatnosti najteže uskladiti

GDPR se široko smatra najzahtjevnijim zakonom o privatnosti za usklađivanje, iz tri razloga: širine njegovih zahtjeva, strogosti njegovih standarda pristanka i broja provedbenih radnji koje su poduzela nadzorna tijela EU-a.

Usklađenost s GDPR-om zahtijeva od organizacija da dokumentiraju svaku aktivnost obrade, u određenim slučajevima imenuju službenika za zaštitu podataka, provode procjene učinka na zaštitu podataka za obradu visokog rizika i implementiraju "privatnost po dizajnu i po zadanim postavkama" u svim sustavima. Standard pristanka prema GDPR-u, slobodno dan, specifičan, informiran i nedvosmislen, znatno je zahtjevniji od opt-out modela prema CCPA-u [2].

Kineski PIPL je odmah iza, posebno za multinacionalne tvrtke, jer kombinira zahtjeve za pristanak na razini GDPR-a sa zahtjevima za lokalizaciju podataka i procesima vladine sigurnosne provjere za prekogranične prijenose [1][4].

Odaberite GDPR kao svoj osnovni standard usklađenosti ako vaša organizacija pruža usluge bilo kojim stanovnicima EU-a ili UK-a. Ispunjenje zahtjeva GDPR-a zadovoljit će većinu suštinskih zahtjeva UK GDPR-a i dobro će vas pozicionirati za usklađenost s LGPD-om i PIPL-om uz postupne prilagodbe.

Što se događa ako prekršite GDPR ili CCPA propise

Kršenja GDPR-a mogu rezultirati kaznama do 20 milijuna eura ili 4% globalnog godišnjeg prihoda, provedbenim nalozima, zabranama obrade i štetom ugledu zbog obveznih obavijesti o povredi [1]. Nadzorna tijela diljem država članica EU-a pokazala su jasnu spremnost za izricanje značajnih kazni tvrtkama svih veličina.

Kršenja CCPA-a provodi Kalifornijska agencija za zaštitu privatnosti (CPPA). Građanske kazne dosežu do 2.663 USD po nenamjernom kršenju i 7.988 USD po namjernom kršenju, prilagođene godišnje za inflaciju [3]. Za razliku od GDPR-a, CCPA također pruža privatno pravo na tužbu za povrede podataka, omogućujući potrošačima da izravno tuže.

Osim financijskih kazni, sekundarne posljedice često su štetnije:

Obvezno javno objavljivanje provedbenih radnji
Gubitak povjerenja potrošača i vrijednosti marke
Operativni poremećaji zbog zabrana obrade
Povećani regulatorni nadzor u drugim jurisdikcijama

Primjenjuju li se zakoni o privatnosti na mala poduzeća ili samo na velike tvrtke

Zakoni o privatnosti mogu se primjenjivati na mala poduzeća, iako se pragovi razlikuju ovisno o okviru. GDPR nema prag prihoda ili veličine; ako malo poduzeće obrađuje osobne podatke stanovnika EU-a, podliježe GDPR-u. CCPA se, nasuprot tome, primjenjuje samo na profitne tvrtke koje ispunjavaju specifične pragove prihoda ili volumena podataka, što znači da mnoga mala poduzeća spadaju izvan njegovog opsega [2].

GDPR izuzeća za male organizacije su uska: Poduzeća s manje od 250 zaposlenika djelomično su izuzeta od vođenja detaljne evidencije o aktivnostima obrade, ali samo ako njihova obrada vjerojatno neće rezultirati rizikom za prava pojedinaca, nije povremena ili ne uključuje posebne kategorije podataka.

Granični slučaj: Samostalni trgovac koji vodi nišnu e-trgovinu namijenjenu kupcima iz EU-a i koristi alate za bihevioralno oglašavanje gotovo sigurno podliježe GDPR-u, bez obzira na godišnji prihod.

Uobičajene pogreške koje tvrtke čine pri usklađivanju sa zakonom o privatnosti

Najčešći propusti u usklađenosti nisu tehnički, već organizacijski. Tvrtke rutinski podcjenjuju opseg prikupljanja podataka, ne ažuriraju obavijesti o privatnosti kako bi odražavale stvarnu obradu i tretiraju pristanak kao jednokratnu kvačicu, a ne kao stalni odnos.

Najčešće pogreške u usklađenosti, rangirane po učestalosti:

Neadekvatni mehanizmi pristanka, Korištenje unaprijed označenih okvira, skupnog pristanka ili pristanka skrivenog u uvjetima usluge.
Nema dokumentirane zakonite osnove, Obrada podataka bez identificiranja i bilježenja valjane pravne osnove prema članku 6. GDPR-a.
Ignoriranje pravila prekograničnog prijenosa, Prijenos osobnih podataka u treće zemlje bez standardnih ugovornih klauzula ili ekvivalentnih zaštitnih mjera.
Nepotpuno mapiranje podataka, Neznanje o tome koji se osobni podaci prikupljaju, gdje se pohranjuju i tko ima pristup.
Neispunjavanje zahtjeva ispitanika, Propuštanje roka od 30 dana za zahtjeve za pristup, brisanje ili prenosivost.
Zastarjele obavijesti o privatnosti, Objavljivanje obavijesti koja ne opisuje točno trenutne aktivnosti obrade.

Pravilno konfiguriran CMP poput Biscotti CMP izravno rješava nekoliko ovih točaka propusta upravljanjem prikupljanjem, pohranom i povlačenjem pristanka u više regulatornih okvira.

Kako odrediti koji se zakoni o privatnosti primjenjuju na vaše poslovanje

Određivanje primjenjivih zakona o privatnosti zahtijeva odgovore na četiri pitanja: Gdje je vaša organizacija osnovana? Gdje se nalaze vaši korisnici ili kupci? Koje kategorije osobnih podataka obrađujete? I ispunjavate li pragove specifične za jurisdikciju?

Praktični okvir za donošenje odluka:

Ako imate poduzeće u EU-u ili UK-u, ili aktivno ciljate stanovnike EU-a/UK-a: primjenjuju se GDPR i/ili UK GDPR [1][9].
Ako nudite robu ili usluge kineskim potrošačima ili analizirate njihovo ponašanje: primjenjuje se PIPL [1].
Ako ste profitna tvrtka koja ispunjava kalifornijske pragove prihoda ili volumena podataka: primjenjuje se CCPA/CPRA [2].
Ako poslujete u Brazilu i obrađujete osobne podatke brazilskih stanovnika: primjenjuje se LGPD.
Ako vaše poslovanje uključuje međunarodni prijenos osjetljivih osobnih podataka SAD-a: pregledajte zahtjeve DOJ programa sigurnosti podataka [5].

Više zakona može se primjenjivati istovremeno. SaaS tvrtka sa sjedištem u SAD-u s kupcima iz EU-a, zaposlenicima u Kaliforniji i marketinškom bazom podataka koja uključuje brazilske potencijalne klijente možda će se morati istovremeno pridržavati GDPR-a, CCPA-a i LGPD-a.

Postoje li zakoni o privatnosti koji nemaju teritorijalni doseg

Neki okviri privatnosti namjerno su ograničeni u teritorijalnom opsegu. Zakon o zaštiti podataka DIFC-a u Dubaiju, na primjer, primjenjuje se na kontrolore i obrađivače osnovane u DIFC-u, ili one koji obrađuju podatke unutar DIFC-a, ali ne tvrdi širok ekstrateritorijalni doseg usporediv s GDPR-om [8]. Slično tome, mnogi stariji ili sektorski specifični savezni zakoni SAD-a (HIPAA za zdravstvene podatke, FERPA za obrazovne zapise) primjenjuju se na temelju prirode podataka i vrste subjekta, a ne na temelju lokacije ispitanika.

Međutim, globalni trend je jasno prema širem teritorijalnom dosegu. Snalaženje u sankcijama i teritorijalnim opsezima: pogled na najstrože zakone o privatnosti na svijetu pokazuje da novije zakonodavstvo, PIPL, LGPD i UK GDPR nakon Brexita, svi usvajaju ekstrateritorijalne modele, signalizirajući da okviri ograničenog opsega postaju iznimka, a ne pravilo.

Kako se sankcije razlikuju između GDPR-a i drugih okvira privatnosti

GDPR sankcije su najstrože i najaktivnije provedene od svih globalnih okvira privatnosti, ali se mehanizmi značajno razlikuju među režimima.

Okvir	Provedbeno tijelo	Maksimalna financijska kazna	Privatno pravo na tužbu
GDPR	Nacionalna nadzorna tijela	20 milijuna eura ili 4% globalnog prihoda	Ograničeno (razlikuje se po državi članici)
UK GDPR	ICO	17,5 milijuna funti ili 4% globalnog prihoda	Ograničeno
PIPL	CAC / sektorski regulatori	50 milijuna ¥ ili 5% godišnjeg prihoda	Da (za pojedince)
CCPA/CPRA	CPPA	7.988 USD po namjernom kršenju	Da (za povrede podataka)
LGPD	ANPD	2% prihoda u Brazilu, maks. 50 milijuna R$	Da

Model provedbe GDPR-a jedinstven je po tome što djeluje putem mreže od 27 nacionalnih tijela za zaštitu podataka, stvarajući nedosljednost u tome koliko agresivno različite države članice progone kršenja. Irski DPC, koji nadzire mnoge velike američke tehnološke tvrtke zbog njihovih sjedišta u EU-u, suočio se s kritikama zbog spore provedbe, iako povijesne kazne protiv Mete i TikToka pokazuju da sustav može proizvesti značajne rezultate [7].

Zaključak: Koraci za snalaženje u sankcijama i teritorijalnim opsezima

Snalaženje u sankcijama i teritorijalnim opsezima: pogled na najstrože zakone o privatnosti na svijetu jasno pokazuje da je era tretiranja usklađenosti s privatnošću kao regionalne brige završena. Svaka organizacija s online prisutnošću i međunarodnom bazom korisnika, po svoj prilici, podliježe barem jednom velikom okviru privatnosti s stvarnim posljedicama provedbe.

Neposredne radnje koje treba poduzeti:

Provedite vježbu mapiranja podataka kako biste identificirali svaku kategoriju prikupljenih osobnih podataka, njihov izvor, lokaciju pohrane i svrhu obrade.
Identificirajte primjenjive zakone koristeći gore navedene kriterije teritorijalnog opsega; nemojte pretpostavljati da samo geografija određuje vaše obveze.
Pregledajte svoje mehanizme pristanka kako biste osigurali da ispunjavaju najviši primjenjivi standard (GDPR pristanak je najstroži standard).
Pregledajte aranžmane za prekogranični prijenos podataka i osigurajte da su standardne ugovorne klauzule ili ekvivalentne zaštitne mjere na snazi.
Implementirajte usklađeni CMP, Biscotti CMP pruža infrastrukturu za upravljanje prikupljanjem i dokumentacijom pristanka u više regulatornih okvira.
Uspostavite proces zahtjeva ispitanika s dokumentiranim radnim tokovima i rokovima odgovora.
Pregledajte godišnje, zakon o privatnosti nije statičan. DOJ program sigurnosti podataka (na snazi 2025.), razvijajući PIPL provedbene propise i potencijalno savezno zakonodavstvo o privatnosti SAD-a predstavljaju pokretne ciljeve [5].

Organizacije koje usklađenost s privatnošću tretiraju kao kontinuiranu operativnu disciplinu, a ne kao jednokratni projekt, bit će daleko bolje pozicionirane da izbjegnu kazne koje su definirale krajolik provedbe u posljednjih nekoliko godina.

Često postavljana pitanja

P: Primjenjuje li se GDPR na američku tvrtku bez ureda u EU-u? Da. Ako američka tvrtka aktivno cilja stanovnike EU-a, na primjer, nudeći usluge na europskim jezicima ili valutama, GDPR se primjenjuje bez obzira na to gdje je tvrtka osnovana [1].

P: Koja je razlika između voditelja obrade podataka i izvršitelja obrade podataka prema GDPR-u? Voditelj obrade podataka određuje svrhe i sredstva obrade osobnih podataka. Izvršitelj obrade podataka obrađuje podatke u ime voditelja obrade. Oba imaju različite obveze prema GDPR-u, a izvršitelji obrade mogu biti izravno odgovorni za određena kršenja.

P: Može li se tvrtka istovremeno suočiti s GDPR kaznama i CCPA kaznama? Da. Tvrtka koja pruža usluge stanovnicima EU-a i Kalifornije može se suočiti s provedbenim radnjama prema oba okvira za iste temeljne prakse podataka, budući da su zakoni neovisni jedan o drugome.

P: Što je zakonita osnova za obradu prema GDPR-u? Članak 6. GDPR-a zahtijeva da se svaka aktivnost obrade temelji na jednoj od šest zakonitih osnova: pristanak, izvršenje ugovora, pravna obveza, vitalni interesi, javni zadatak ili legitimni interesi. Obrada bez dokumentirane zakonite osnove je kršenje višeg stupnja.

P: Kako se kineski PIPL razlikuje od GDPR-a u pogledu prekograničnog prijenosa podataka? PIPL zahtijeva vladinu sigurnosnu procjenu prije prijenosa "važnih" podataka u inozemstvo, uz zahtjeve temeljene na pristanku. GDPR se oslanja na odluke o primjerenosti, standardne ugovorne klauzule ili obvezujuća korporativna pravila; ne zahtijeva vladino prethodno odobrenje za većinu prijenosa [1][4].

P: Postoje li kazne za neimenovanje službenika za zaštitu podataka prema GDPR-u? Da. Neimenovanje službenika za zaštitu podataka kada je to potrebno (za javna tijela, sustavno praćenje velikih razmjera ili obradu posebnih kategorija podataka velikih razmjera) je kršenje GDPR-a nižeg stupnja, podložno kaznama do 10 milijuna eura ili 2% globalnog prihoda.

P: Primjenjuje li se CCPA na neprofitne organizacije? Ne. CCPA se primjenjuje samo na profitne tvrtke koje ispunjavaju njegove pragove. Neprofitne organizacije su općenito izuzete, iako mogu podlijegati drugim kalifornijskim zakonima o privatnosti.

P: Što je DOJ program sigurnosti podataka? Na snazi od 8. travnja 2025., DOJ program sigurnosti podataka SAD-a nameće kontrolu izvoza kako bi spriječio strane protivnike da pristupe osjetljivim osobnim podacima SAD-a. Zabranjuje određene transakcije podacima s određenim "zemljama od interesa" [5].

P: Koliko brzo se mora prijaviti povreda podataka prema GDPR-u? Voditelji obrade moraju obavijestiti svoje nadzorno tijelo u roku od 72 sata od saznanja o povredi osobnih podataka, gdje je to izvedivo. Ako povreda vjerojatno rezultira visokim rizikom za pojedince, ti pojedinci također moraju biti obaviješteni bez nepotrebnog odgađanja.

P: Može li platforma za upravljanje pristankom pomoći u usklađenosti s više jurisdikcija? Da. CMP poput Biscotti CMP može upravljati prikupljanjem, pohranom i povlačenjem pristanka u različitim regulatornim okvirima, pomažući organizacijama da održe dokumentirani dokaz o pristanku, što je ključni zahtjev prema GDPR-u i PIPL-u.