Kratak odgovor: Globalna provedba privatnosti prešla je 10,8 milijardi eura ukupnih kazni otkako je GDPR stupio na snagu 2018. godine, s pojedinačnim kaznama koje sada rutinski premašuju stotine milijuna eura. Trošak neusklađenosti proteže se daleko izvan same kazne, a šteta ugledu, operativni poremećaji i obvezna sanacija mogu zasjeniti glavnu kaznu. Svaka organizacija koja prikuplja, obrađuje ili prenosi osobne podatke suočava se s materijalnom financijskom i pravnom izloženošću ako njezine prakse privatnosti ne zadovoljavaju standarde.
Ključni zaključci
- Od srpnja 2026. zabilježeno je preko 5.679 provedbenih radnji GDPR-a i ePrivacyja u 33 europske zemlje, s ukupnim kaznama većim od 10,8 milijardi eura [5]
- Najveća pojedinačna GDPR kazna i dalje iznosi 1,2 milijarde eura, izrečena Meta Platforms Irelandu 2023. godine zbog nezakonitih prijenosa podataka između EU-a i SAD-a [1]
- Godine 2025. TikTok je kažnjen s 530 milijuna eura od strane Irske komisije za zaštitu podataka zbog slanja korisničkih podataka u Kinu bez odgovarajućih zaštitnih mjera [4]
- Sektor "Industrija i trgovina" predvodi sve sektore s 572 zabilježene GDPR kazne, a slijede ga mediji, telekomunikacije i emitiranje s 358 [3]
- Između 2022. i 2026. godine, velike tehnološke tvrtke su kolektivno kažnjene s 3,5 milijardi dolara posebno zbog korištenja osobnih podataka za obuku AI modela [7]
- Najčešći prekršaji uključuju nedovoljnu pravnu osnovu za obradu (članak 6.), nepoštivanje temeljnih načela obrade (članak 5.) i neadekvatne sigurnosne mjere (članak 32.) [8]
- Irska predvodi sve države članice EU-a s ukupno izrečenih 3 milijarde eura kazni, što odražava njezinu ulogu sjedišta EU-a za većinu velikih tehnoloških tvrtki [6]
- GDPR kazne mogu doseći do 4% globalnog godišnjeg prometa ili 20 milijuna eura, ovisno o tome što je više, čineći usklađenost financijskim prioritetom na razini uprave
Koje su najveće kazne za privatnost u povijesti?
Najveće zabilježene kazne za privatnost koncentrirane su u eri GDPR-a, s Metom, Amazonom i TikTokom na vodećim pozicijama. Irska komisija za zaštitu podataka izrekla je najveću pojedinačnu GDPR kaznu, 1,2 milijarde eura protiv Meta Platforms Irelanda u svibnju 2023., zbog prijenosa podataka korisnika iz EU-a na američke poslužitelje bez odgovarajućih pravnih mehanizama [1].
Najveće GDPR kazne prema iznosu kazne:
| Tvrtka | Iznos kazne | Godina | Prekršaj |
|---|---|---|---|
| Meta Platforms Ireland | 1,2 milijarde eura | 2023 | Nezakoniti prijenosi podataka između EU-a i SAD-a |
| Amazon Europe Core | 746 milijuna eura | 2021 | Kršenja pristanka za oglašavanje |
| TikTok | 530 milijuna eura | 2025 | Prijenosi podataka u Kinu bez SCC-ova |
| Meta (WhatsApp) | 225 milijuna eura | 2021 | Nedostaci u transparentnosti |
| Meta (Instagram) | 405 milijuna eura | 2022 | Nepravilno rukovanje podacima djece |
Od 2023. godine, provedba se naglo ubrzala, a regulatori sve više ciljaju prekogranične prijenose podataka i prakse podataka povezane s oglašavanjem [9]. Prosječna GDPR kazna sada iznosi približno 3 milijuna eura, iako je srednja kazna znatno viša, 8,2 milijuna eura, što je jaz uzrokovan prevelikim kaznama izrečenim velikim tehnološkim platformama [6].
Koliko je Meta kažnjena zbog kršenja privatnosti?
Meta je akumulirala najveći kumulativni teret GDPR kazni od bilo koje pojedinačne tvrtke. Kroz više provedbenih radnji koje pokrivaju WhatsApp, Instagram i njezinu osnovnu platformu, ukupne GDPR kazne Mete premašuju 2 milijarde eura, pri čemu samo kazna od 1,2 milijarde eura za prijenos predstavlja najveću pojedinačnu kaznu za privatnost ikada izrečenu prema GDPR-u [1].
Odluka iz 2023. godine usredotočila se na oslanjanje Mete na Standardne ugovorne klauzule (SCC) kako bi opravdala transatlantske tokove podataka nakon poništenja EU-US Privacy Shielda. Regulatori su utvrdili da SCC-ovi sami po sebi nisu bili dovoljni s obzirom na američke zakone o nadzoru, zahtijevajući od Mete da obustavi prijenose između EU-a i SAD-a i implementira dodatne tehničke mjere.
Što se događa ako se ne pridržavate zakona o privatnosti?
Nepoštivanje pokreće kaskadu posljedica koje se protežu daleko izvan početne kazne. Regulatorne kazne samo su najvidljiviji element, stvarni trošak neusklađenosti uključuje obvezne revizije, sanaciju sustava, pravne troškove i štetu ugledu koja može godinama potiskivati stjecanje kupaca.
Specifične posljedice uključuju:
- Administrativne kazne do 4% globalnog godišnjeg prometa prema GDPR-u
- Provedbene naloge koji zahtijevaju obustavu aktivnosti obrade podataka
- Obvezne obavijesti o povredi podataka pogođenim pojedincima (skupo u velikom opsegu)
- Građanske parnice od strane pogođenih ispitanika, uključujući skupne tužbe
- Šteta ugledu mjerljiva u odljevu kupaca i smanjenom povjerenju u marku
- Operativni poremećaji zbog prisilnih promjena u arhitekturi podataka
Godine 2025. obavijesti o povredi podataka porasle su za 22% u odnosu na prethodnu godinu, s prosjekom od 443 obavijesti dnevno diljem nadzornih tijela EU-a, pri čemu svaka obavijest potencijalno pokreće daljnji regulatorni nadzor [2].
Kako se izračunavaju kazne za privatnost?
GDPR kazne izračunavaju se na višeslojnoj strukturi, pri čemu se ozbiljnost prekršaja, suradnja organizacije s regulatorima i opseg štete uzimaju u obzir pri određivanju konačnog iznosa. Regulatori ne primjenjuju fiksnu formulu; umjesto toga, vagaju skup zakonskih kriterija.
Ključni čimbenici koji povećavaju ozbiljnost kazne:
- Priroda i trajanje povrede
- Broj pogođenih ispitanika
- Namjerni naspram nemarnog karaktera prekršaja
- Prethodni prekršaji iste organizacije
- Financijska korist proizašla iz povrede
- Nesuradnja s nadzornim tijelom
Ublažavajući čimbenici uključuju proaktivnu suradnju, rano samoprijavljivanje i dokazane korake za sanaciju štete. Prema GDPR-u, prekršaji razine 1 (npr. neadekvatna sigurnost) nose kazne do 10 milijuna eura ili 2% globalnog prometa, dok prekršaji razine 2 (npr. nezakonita obrada) dosežu 20 milijuna eura ili 4% globalnog prometa.
Koje zemlje imaju najstrože kazne za privatnost?
Irska, Luksemburg i Francuska izriču najveće ukupne iznose kazni unutar EU-a, uglavnom zato što su velike tehnološke tvrtke domicilirane u tim jurisdikcijama. Sama Irska čini 3 milijarde eura ukupnih GDPR kazni, što odražava njezin status europskog sjedišta za Metu, Apple, Google i TikTok [6].
Izvan EU-a, Sjedinjene Države provode privatnost prvenstveno putem Federalne trgovinske komisije (FTC) i sektorskih zakona poput HIPAA-e i COPPA-e. SAD nema jedinstveni savezni zakon o privatnosti ekvivalentan GDPR-u, ali okviri na državnoj razini, kalifornijski CCPA/CPRA, virginijski CDPA i drugi, sve su aktivniji. Kineski Zakon o zaštiti osobnih podataka (PIPL) i brazilski LGPD također nose značajne kazne, iako zrelost provedbe varira.
Koja je razlika između GDPR i CCPA kazni?
GDPR i CCPA značajno se razlikuju u svojim strukturama kazni, mehanizmima provedbe i geografskom opsegu. GDPR se primjenjuje na svaku organizaciju koja obrađuje podatke stanovnika EU-a bez obzira na to gdje se organizacija nalazi, dok se CCPA primjenjuje posebno na profitne tvrtke koje ispunjavaju određene pragove i prikupljaju podatke stanovnika Kalifornije.
Usporedba GDPR i CCPA kazni:
| Faktor | GDPR | CCPA/CPRA |
|---|---|---|
| Maksimalna kazna | 4% globalnog prometa ili 20 milijuna eura | 7.500 dolara po namjernom prekršaju |
| Provodi | Nacionalna nadzorna tijela | Glavni državni odvjetnik Kalifornije / CPPA |
| Privatno pravo na tužbu | Ograničeno (povrede podataka) | Da, za povrede podataka |
| Opseg | Stanovnici EU-a globalno | Stanovnici Kalifornije |
| Primjenjuje se na | Organizacije bilo koje veličine | Poduzeća koja ispunjavaju pragove prihoda/podataka |
Praktična implikacija: GDPR nosi daleko veću financijsku izloženost za velika poduzeća, dok se CCPA-ova struktura po prekršaju može brzo akumulirati za tvrtke s velikim brojem korisnika u Kaliforniji i sustavnom neusklađenošću.
Koje industrije dobivaju najviše kazni za privatnost?
Sektor industrije i trgovine predvodi sve sektore po broju GDPR kazni, s 572 zabilježene kazne od ožujka 2026., a slijede ga mediji, telekomunikacije i emitiranje s 358 [3]. Tehnološke platforme, financijske usluge i zdravstvene organizacije dosljedno su među najviše kažnjavanima.
Industrije s nerazmjernom izloženošću uključuju:
- Tehnologija i društveni mediji, veliki volumeni podataka, prekogranični prijenosi, poslovni modeli temeljeni na oglašavanju
- Financijske usluge, osjetljivi financijski podaci, složeni aranžmani dijeljenja s trećim stranama
- Zdravstvo, podaci posebne kategorije prema članku 9. GDPR-a, strogi zahtjevi za obavještavanje o povredi
- Maloprodaja i e-trgovina, pristanak na kolačiće, praćenje ponašanja i prakse podataka programa vjernosti
- Telekomunikacije, podaci o pretplatnicima u velikom opsegu, podaci o lokaciji i obveze Direktive o e-privatnosti
Mogu li mala poduzeća priuštiti usklađenost s privatnošću?
Usklađenost s privatnošću nije isključivo briga velikih poduzeća, ali proporcionalni teret troškova pada teže na manje organizacije. Mala poduzeća mogu implementirati temeljne mjere usklađenosti uz relativno niske troškove, posebno korištenjem strukturiranih alata za upravljanje pristankom i održavanjem jasnih zapisa o obradi podataka.
Praktična osnova za mala poduzeća uključuje:
- Provedbu vježbe mapiranja podataka kako bi se identificiralo koji se osobni podaci prikupljaju i zašto
- Objavljivanje jasne, točne politike privatnosti
- Implementaciju platforme za upravljanje pristankom za kolačiće i pristanak na praćenje
- Uspostavljanje procesa za rješavanje zahtjeva za pristup podacima ispitanika
- Dokumentiranje pravne osnove za svaku aktivnost obrade
Alati poput Biscotti CMP pružaju strukturiranu infrastrukturu za upravljanje pristankom koja pomaže vlasnicima web stranica i malim poduzećima da dokažu usklađenost sa zahtjevima GDPR-a i ePrivacyja bez potrebe za namjenskim pravnim timovima. Trošak takvih alata znatno je niži od čak i manje regulatorne kazne.
Koje su uobičajene pogreške u privatnosti koje dovode do kazni?
Najčešće kažnjavani prekršaji prema GDPR-u uključuju nedovoljnu pravnu osnovu za obradu podataka, nepoštivanje temeljnih načela obrade i neadekvatne tehničke sigurnosne mjere [8]. Mnoge kazne proizlaze iz sustavnih praksi, a ne iz jednokratnih pogrešaka.
Uobičajeni prekršaji koji dovode do provedbenih radnji:
- Obrada osobnih podataka bez valjane pravne osnove (članak 6.)
- Neuspjeh u dobivanju valjanog, informiranog pristanka za kolačiće i praćenje
- Neadekvatni postupci otkrivanja i obavještavanja o povredi podataka
- Prijenos podataka u treće zemlje bez odgovarajućih zaštitnih mjera
- Zadržavanje podataka dulje nego što je potrebno za navedenu svrhu
- Pružanje nedovoljne transparentnosti u obavijestima o privatnosti
- Neuspjeh u poštivanju prava ispitanika (pristup, brisanje, prenosivost)
"Najčešći GDPR prekršaji uključuju nedovoljnu pravnu osnovu za obradu podataka (članak 6.), kršenja temeljnih načela obrade (članak 5.) i neadekvatne sigurnosne mjere (članak 32.)." [8]
Kako tvrtke izbjegavaju kršenja privatnosti i kazne?
Izbjegavanje kazni zahtijeva tretiranje usklađenosti s privatnošću kao stalne operativne discipline, a ne jednokratne vježbe dokumentacije. Organizacije koje ulažu u arhitekturu privatnosti po dizajnu, obuku osoblja i redovite revizije usklađenosti dosljedno pokazuju manju izloženost provedbi.
Ključne preventivne mjere:
- Imenovanje službenika za zaštitu podataka (DPO) ako je to potrebno prema članku 37. GDPR-a
- Provedba procjena učinka na zaštitu podataka (DPIA) za obradu visokog rizika
- Vođenje evidencije aktivnosti obrade (RoPA) prema članku 30.
- Implementacija i redovito testiranje plana odgovora na povredu podataka
- Korištenje usklađene platforme za upravljanje pristankom za sve web-bazirano prikupljanje podataka
- Godišnji pregled ugovora s trećim stranama za obradu podataka
- Proaktivno praćenje regulatornih smjernica nadzornih tijela
Mijenjaju li kazne za privatnost zapravo ponašanje tvrtki?
Dokazi sugeriraju da velike kazne potiču promjenu ponašanja, ali učinak je jači kada je provedba dosljedna i javna. Ubrzanje provedbe od 2023. godine, posebno ciljajući prakse podataka povezane s umjetnom inteligencijom, potaknulo je mnoge organizacije da proaktivno restrukturiraju programe upravljanja podacima [9].
Između 2022. i 2026. godine, velike tehnološke tvrtke su kolektivno kažnjene s 3,5 milijardi dolara zbog korištenja osobnih podataka za obuku AI modela bez odgovarajuće pravne osnove, pri čemu su Anthropic i Meta pretrpjeli najveće pojedinačne kazne od 1,5 milijardi dolara, odnosno 1,4 milijarde dolara [7]. Ove kazne su materijalno promijenile način na koji timovi za razvoj umjetne inteligencije pristupaju izvorima podataka za obuku i dokumentaciji pristanka.
Međutim, za organizacije gdje je kazna mala u odnosu na prihod ostvaren neusklađenom praksom, odvraćanje je slabije. Upravo je zato GDPR-ova struktura kazni temeljena na prometu osmišljena da se prilagodi veličini tvrtke.
Isplati li se usklađenost s privatnošću?
Da, kada se mjeri u odnosu na puni trošak neusklađenosti, ulaganje u usklađenost s privatnošću dosljedno donosi pozitivne povrate. Prosječna GDPR kazna od približno 3 milijuna eura [6], u kombinaciji s troškovima sanacije, pravnim troškovima i štetom ugledu, daleko premašuje godišnji trošak strukturiranog programa usklađenosti za većinu organizacija.
Izračun je jednostavan za poduzeća: proaktivni program usklađenosti koji košta desetke tisuća godišnje eliminira izloženost kaznama koje mogu doseći stotine milijuna. Za manje organizacije, matematika je jednako jasna, čak i skromna kazna u rasponu od 10.000 do 50.000 eura (uobičajena za manja poduzeća) može biti egzistencijalno štetna.
Koliko je potrebno za oporavak od kazne za privatnost?
Oporavak od velike kazne za privatnost obično traje dvije do pet godina, uzimajući u obzir financijsko poravnanje, obveznu sanaciju, regulatorni nadzor i rehabilitaciju ugleda. Operativni utjecaj često nadmašuje financijsku kaznu.
Nakon značajne provedbene radnje, organizacije se obično suočavaju s:
- Razdobljem pojačanog regulatornog nadzora koje traje 12-36 mjeseci
- Obveznim tehničkim i organizacijskim promjenama s definiranim rokovima implementacije
- Tekućim izvještavanjem o usklađenosti nadzornom tijelu
- Erozijom povjerenja kupaca koja zahtijeva stalne napore u transparentnosti kako bi se preokrenula
Za tvrtke koje uz kazne dobiju i naloge za obustavu prijenosa, kao što je Meta učinila 2023. godine, operativni poremećaj restrukturiranja tokova podataka može koštati više od same kazne.
Često postavljana pitanja
Koja je najveća GDPR kazna ikada izrečena? Najveća pojedinačna GDPR kazna iznosi 1,2 milijarde eura, izrečena Meta Platforms Irelandu od strane Irske komisije za zaštitu podataka u svibnju 2023. godine zbog nezakonitog prijenosa podataka korisnika iz EU-a u Sjedinjene Države bez odgovarajućih pravnih zaštitnih mjera [1].
Koliko je ukupno GDPR kazni izrečeno? Od srpnja 2026. zabilježeno je preko 5.679 provedbenih radnji GDPR-a i ePrivacyja u 33 europske zemlje, s ukupnim kaznama većim od 10,8 milijardi eura [5].
Koja je tvrtka platila najviše GDPR kazni? Meta je akumulirala najveći kumulativni teret GDPR kazni, s kaznama na svojim platformama (Facebook, Instagram, WhatsApp) koje ukupno premašuju 2 milijarde eura.
Može li mala web stranica biti kažnjena prema GDPR-u? Da. GDPR se primjenjuje na svaku organizaciju koja obrađuje osobne podatke stanovnika EU-a, bez obzira na veličinu tvrtke. Nadzorna tijela izrekla su kazne malim poduzećima, posebno zbog kršenja pristanka na kolačiće i neadekvatnih obavijesti o privatnosti.
Koja je razlika između GDPR kazne i CCPA kazne? GDPR kazne mogu doseći do 4% globalnog godišnjeg prometa ili 20 milijuna eura. CCPA kazne su ograničene na 7.500 dolara po namjernom prekršaju. GDPR nosi značajno veću financijsku izloženost za velike organizacije s globalnim poslovanjem.
Što pokreće GDPR istragu? Istrage se obično pokreću obavijestima o povredi podataka, pritužbama ispitanika, pritužbama drugih nadzornih tijela ili proaktivnim revizijama nacionalnih tijela za zaštitu podataka.
Povećavaju li se kazne za privatnost povezane s umjetnom inteligencijom? Da. Između 2022. i 2026. godine, velike tehnološke tvrtke su kolektivno kažnjene s 3,5 milijardi dolara zbog korištenja osobnih podataka za obuku AI modela bez odgovarajuće pravne osnove, a regulatori su signalizirali da će se provedba povezana s umjetnom inteligencijom nastaviti intenzivirati [7].
Koje je najčešće kršenje GDPR-a? Nedovoljna pravna osnova za obradu podataka prema članku 6. najčešće je navedeno kršenje u provedbenim radnjama GDPR-a, a slijede je nepoštivanje temeljnih načela obrade prema članku 5. [8].
Završava li plaćanje kazne regulatorni postupak? Ne nužno. Kazne su često popraćene provedbenim nalozima koji zahtijevaju specifične korake sanacije, a organizacije mogu ostati pod pojačanim nadzornim praćenjem godinama nakon plaćanja kazne.
Koju ulogu platforma za upravljanje pristankom igra u usklađenosti? Platforma za upravljanje pristankom (CMP) pomaže organizacijama prikupljati, bilježiti i upravljati korisničkim pristankom za kolačiće i tehnologije praćenja, izravno rješavajući jedan od najčešće kažnjavanih nedostataka u usklađenosti prema GDPR-u i ePrivacy propisima.
Zaključak
Trošak neusklađenosti, promatran kroz prizmu najvećih globalnih kazni za privatnost, pruža uvjerljiv financijski argument za proaktivno upravljanje podacima. S kumulativnim GDPR kaznama koje sada premašuju 10,8 milijardi eura i provedbom koja ne pokazuje znakove usporavanja, usklađenost s privatnošću više nije pravna formalnost; to je temeljna funkcija upravljanja poslovnim rizikom [5].
Akcijski koraci za organizacije bilo koje veličine:
- Revizija praksi prikupljanja podataka u odnosu na pravne osnove dopuštene prema GDPR-u ili vašem primjenjivom lokalnom zakonu, identificirajte svaku obradu koja nema jasno, dokumentirano opravdanje.
- Implementirajte strukturirano upravljanje pristankom za sve web-bazirano praćenje i korištenje kolačića. Namjenski alat poput Biscotti CMP pruža zapise o pristanku i revizijski trag koji regulatori očekuju.
- Pregledajte prekogranične prijenose podataka, posebno ako vaša organizacija koristi cloud usluge, analitičke platforme ili AI alate sa sjedištem u SAD-u koji obrađuju osobne podatke iz EU-a.
- Uspostavite plan odgovora na povredu s definiranim rokovima obavještavanja, s obzirom na to da su obavijesti o povredi porasle za 22% samo u 2025. godini [2].
- Pažljivo pratite prakse podataka povezane s umjetnom inteligencijom, jer je to najbrže rastuće područje provedbe globalno [7].
Usklađenost s privatnošću nije odredište, to je kontinuirana operativna disciplina. Organizacije koje je tako tretiraju su one koje izbjegavaju postati sljedeći unos na rastućem popisu skupih provedbenih radnji.
Reference
[1] Statistics - https://www.enforcementtracker.com/statistics?utm_source=openai [2] DLA Piper GDPR Fines and Data Breach Survey January 2026 - https://www.dlapiper.com/en-ca/insights/publications/2026/01/dla-piper-gdpr-fines-and-data-breach-survey-january-2026?utm_source=openai [3] GDPR Fines Number by Industry - https://www.statista.com/statistics/1558502/gdpr-fines-number-by-by-industry/?utm_source=openai [4] GDPR Fines Tracker 2025-2026 - https://compliance-kit.eu/en/knowledge/gdpr-fines-tracker-2025-2026?utm_source=openai [5] cookiefines.eu - https://cookiefines.eu/?utm_source=openai [6] GDPR Fine Statistics - https://gdprfine.com/statistics?utm_source=openai [7] Big Tech Slapped with $3.5bn in Fines for Using Personal Data to Train AI - https://www.techradar.com/vpn/vpn-services/big-tech-slapped-with-usd3-5bn-in-fines-for-using-your-personal-data-to-train-ai-and-it-could-be-only-the-beginning-warns-surfshark?utm_source=openai [8] GDPR Fines Statistics - https://compliancedocshq.com/learn/gdpr-fines-statistics?utm_source=openai [9] GDPR Fines to Date: Biggest Penalties and Violations - https://legalclarity.org/gdpr-fines-to-date-biggest-penalties-and-violations/?utm_source=openai