Пристанак и банери

Navigacija sankcijama i teritorijalnim opsegom: Pregled najstrožih zakona o privatnosti u svetu

7. јул 2026. · 17 min čitanja

Brzi odgovor: Najstroži zakoni o privatnosti u svetu, predvođeni EU GDPR-om, kineskim PIPL-om i kalifornijskim CCPA-om, nameću značajne finansijske kazne i proširuju svoj domet daleko izvan svojih granica. Svaka organizacija koja prikuplja ili obrađuje lične podatke od stanovnika u ovim jurisdikcijama mora se pridržavati, bez obzira na to gde se ta organizacija fizički nalazi. Razumevanje teritorijalnog opsega i struktura sankcija je prvi korak ka izgradnji odbrambenog stava u vezi sa usklađenošću.

Ključne tačke

Preko 160 zemalja je usvojilo sveobuhvatnu legislativu o zaštiti podataka, čineći globalnu usklađenost osnovnim očekivanjem, a ne izuzetak [1].
GDPR nosi najveće finansijske kazne od svih zakona o privatnosti: do 20 miliona evra ili 4% globalnog godišnjeg prihoda, u zavisnosti od toga šta je veće [1].
Kazne za sprovođenje GDPR-a premašile su 7 milijardi evra od početka sprovođenja, sa velikim kaznama protiv Meta, Amazona i TikToka [7].
Kineski PIPL i EU GDPR se primenjuju ekstrateritorijalno, strane kompanije koje pružaju usluge stanovnicima u tim jurisdikcijama moraju se pridržavati [1].
SAD nemaju jedinstveni savezni zakon o privatnosti; usklađenost zavisi od sektora i države, pri čemu je CCPA iz Kalifornije najuticajniji okvir na nivou države [2].
Teritorijalni opseg određuje koji zakon se primenjuje na vaše poslovanje; više zakona može se istovremeno primenjivati na jednu organizaciju.
Male kompanije nisu automatski izuzete, CCPA pragovi i GDPR-ov test "uspostavljanja" mogu obuhvatiti kompanije različitih veličina.
Uobičajeni propusti u usklađenosti uključuju nedovoljne mehanizme pristanka, loše mapiranje podataka i ignorisanje pravila o prekograničnom prenosu.
Platforma za upravljanje pristankom (CMP) kao što je Biscotti CMP može pomoći organizacijama da operacionalizuju zahteve za pristanak prema više okvira.

Koji su najstroži zakoni o privatnosti u svetu po zemljama

Najstroži zakoni o privatnosti globalno su EU Opšta uredba o zaštiti podataka (GDPR), kineski Zakon o zaštiti ličnih informacija (PIPL), brazilski Lei Geral de Proteção de Dados (LGPD) i kalifornijski CCPA/CPRA. Svaki od njih kombinuje širok teritorijalni doseg sa značajnim mehanizmima sprovođenja.

What Are the World's Strictest Privacy Laws by Country

Evo sažetka poređenja glavnih okvira:

Zakon	Jurisdikcija	Maksimalna kazna	Ekstrateritorijalno?	Na snazi od
GDPR	Evropska unija	20M € ili 4% globalnog prihoda	Da	Maj 2018
UK GDPR	Ujedinjeno Kraljevstvo	17.5M £ ili 4% globalnog prihoda	Da	Jan 2021
PIPL	Kina	Do 50M ¥ ili 5% godišnjeg prihoda	Da	Nov 2021
CCPA/CPRA	Kalifornija, SAD	Do 7,988 $ po namernom kršenju	Ograničeno	Jan 2020
LGPD	Brazil	Do 2% prihoda u Brazilu, ograničeno na 50M R$	Da	Sep 2020

GDPR ostaje globalna mera. Njegova kombinacija visokih kazni, širokog opsega i aktivnog sprovođenja čini ga okvirom koji većina organizacija prvo prioritizuje prilikom izgradnje međunarodnih programa usklađenosti [1].

Kako funkcionišu sankcije GDPR-a i koje su kazne

Sankcije GDPR-a funkcionišu na osnovu strukture kazni sa dva nivoa. Kršenja nižeg nivoa, kao što je neodržavanje evidencije o aktivnostima obrade, mogu rezultirati kaznama do 10 miliona evra ili 2% globalnog godišnjeg prometa. Kršenja višeg nivoa, uključujući nezakonitu obradu ličnih podataka ili ignorisanje prava subjekata podataka, nose kazne do 20 miliona evra ili 4% globalnog godišnjeg prihoda, u zavisnosti od toga šta je veće [1].

Pored kazni, nadzorna tela mogu izreći privremene ili trajne zabrane obrade podataka, što u praksi može biti štetnije za poslovanje od novčane kazne. Od početka sprovođenja, kumulativne kazne za GDPR premašile su 7 milijardi evra, sa značajnim slučajevima protiv Meta Irske, Amazona Luksemburga i TikToka [7].

Ključni faktori koje regulatori uzimaju u obzir prilikom izračunavanja kazni:

Priroda, težina i trajanje kršenja
Da li je kršenje bilo namerno ili nepažljivo
Saradnja sa nadzornim telom
Istorija prethodnih prekršaja
Kategorije ličnih podataka koje su pogođene (zdravstveni, finansijski ili biometrijski podaci privlače veću pažnju)

Razlika između GDPR-a, CCPA-e i drugih propisa o privatnosti

GDPR i CCPA dele isti cilj, zaštitu ličnih podataka, ali se značajno razlikuju u opsegu, pravima koja se dodeljuju i mehanizmima sprovođenja [2].

GDPR se primenjuje na svaku organizaciju koja obrađuje podatke stanovnika EU, bez obzira na veličinu kompanije. Zahteva zakonitu osnovu za svaku aktivnost obrade, obavezuje na procene uticaja na zaštitu podataka za visoko rizičnu obradu i dodeljuje pojedincima prava uključujući pristup, brisanje, prenosivost i prigovor.

CCPA/CPRA se primenjuje samo na profitne kompanije koje ispunjavaju barem jedan od ovih pragova: godišnji bruto prihod veći od 25 miliona dolara, kupovina ili prodaja ličnih podataka od 100,000 ili više potrošača iz Kalifornije godišnje, ili dobijanje 50% ili više godišnjeg prihoda od prodaje ličnih podataka [2]. Fokusira se više na transparentnost i prava na odustajanje nego na zahtev za zakonitu osnovu za obradu.

PIPL (Kina) odražava strukturu GDPR-a, ali dodaje strože zahteve za lokalizaciju podataka i zahteva vladine bezbednosne procene pre nego što se "važni" podaci prenesu u inostranstvo [1].

Praktična razlika: GDPR je po defaultu opt-in za većinu obrada; CCPA je uglavnom opt-out. PIPL kombinuje oba pristupa dok dodaje nacionalne bezbednosne slojeve koje GDPR nema.

Šta je teritorijalni opseg u zakonu o privatnosti

Teritorijalni opseg definiše geografske granice unutar kojih se zakon o privatnosti primenjuje i, što je ključno, da li se odnosi na organizacije koje deluju izvan tih granica. Većina modernih zakona o privatnosti usvojila je ekstrateritorijalni model, što znači da fizička prisutnost u zemlji više nije potrebna da bi se obavezale obaveze usklađenosti.

Teritorijalni opseg GDPR-a uređuje član 3, koji primenjuje uredbu na svaku organizaciju koja je osnovana u EU, kao i na organizacije van EU koje nude robu ili usluge stanovnicima EU ili prate njihovo ponašanje [1]. UK GDPR prati identičan model [9].

Kineski PIPL se primenjuje na strane entitete koji nude proizvode ili usluge pojedincima u Kini, analiziraju ili procenjuju ponašanje pojedinaca u Kini, ili se nalaze u okolnostima definisanim u drugim primenljivim zakonima [1].

Navigacija sankcijama i teritorijalnim opsegom: pregled najstrožih zakona o privatnosti u svetu otkriva dosledan obrazac: trend je ka maksimalnom dohvatu. Regulatori žele da spreče organizacije da izbegnu obaveze jednostavno osnivanjem offshore.

Kako se zakoni o privatnosti primenjuju na kompanije izvan svoje zemlje

Zakoni o privatnosti se primenjuju na strane kompanije kroz koncept ekstrateritorijalne jurisdikcije. Kompanija sa sedištem u Singapuru koja vodi veb sajt koji cilja nemačke potrošače i prikuplja njihove adrese e-pošte podložna je GDPR-u, čak i bez jednog zaposlenog ili kancelarije u EU.

Okidači za ekstrateritorijalnu primenu obično uključuju:

Aktivno oglašavanje stanovnicima jurisdikcije (jezik, valuta, lokalne metode plaćanja)
Obrada ličnih podataka stanovnika, čak i pasivno kroz analitiku ili kolačiće
Praćenje ponašanja (behavioral advertising, tracking pixels)
Rad lokalnog predstavništva, čak i male kancelarije

Program bezbednosti podataka DOJ-a u SAD-u, koji stupa na snagu 8. aprila 2025, dodaje još jedan sloj: nameće kontrole izvoza kako bi se sprečilo da strane neprijateljske zemlje pristupe osetljivim ličnim podacima iz SAD-a, zabranjujući određene transakcije podataka sa određenim "zemljama od interesa" [5].

Uobičajena greška: Pretpostavka da, pošto kompanija nema fizičku prisutnost u jurisdikciji, nema obaveze usklađenosti. Ovo je netačno za GDPR, PIPL, UK GDPR i LGPD.

Koji zakon o privatnosti je najteže poštovati

GDPR se široko smatra najzahtevnijim zakonom o privatnosti za usklađenost, iz tri razloga: obim njegovih zahteva, strogoća njegovih standarda pristanka i obim sprovođenja koje preduzimaju nadzorna tela EU.

Usklađenost sa GDPR-om zahteva od organizacija da dokumentuju svaku aktivnost obrade, imenuju službenika za zaštitu podataka u određenim slučajevima, sprovode procene uticaja na zaštitu podataka za visoko rizičnu obradu i implementiraju "privatnost po dizajnu i po defaultu" u svim sistemima. Standard pristanka prema GDPR-u, slobodno dat, specifičan, informisan i nedvosmislen, znatno je zahtevniji od modela opt-out prema CCPA [2].

Kineski PIPL je blizu drugog mesta, posebno za multinacionalne kompanije, jer kombinuje zahteve za pristanak na nivou GDPR-a sa zahtevima za lokalizaciju podataka i procesima vladine bezbednosne provere za prekogranične transfere [1][4].

Izaberite GDPR kao vašu osnovnu meru usklađenosti ako vaša organizacija služi bilo kojim stanovnicima EU ili UK. Ispunjavanje zahteva GDPR-a zadovoljiće većinu suštinskih zahteva UK GDPR-a i dobro će vas pozicionirati za usklađenost sa LGPD-om i PIPL-om uz postepene prilagodbe.

Šta se dešava ako prekršite propise GDPR-a ili CCPA-e

Prekršaji GDPR-a mogu rezultirati kaznama do 20 miliona evra ili 4% globalnog godišnjeg prihoda, naredbama za sprovođenje, zabranama obrade i reputacionom štetom zbog obaveznih obaveštenja o povredama [1]. Nadzorna tela širom država članica EU pokazala su jasnu spremnost da izriču značajne kazne kompanijama svih veličina.

Prekršaji CCPA-e sprovode Kalifornijska agencija za zaštitu privatnosti (CPPA). Civilne kazne dostižu do 2,663 $ po nenamernom prekršaju i 7,988 $ po namernom prekršaju, prilagođene godišnjoj inflaciji [3]. Za razliku od GDPR-a, CCPA takođe pruža privatno pravo na tužbu za povrede podataka, omogućavajući potrošačima da tuže direktno.

Pored finansijskih kazni, sekundarne posledice su često štetnije:

Obavezna javna objava akcija sprovođenja
Gubitak poverenja potrošača i brend ekvivalent
Operativne smetnje usled zabrana obrade
Povećano regulatorno nadgledanje u drugim jurisdikcijama

Da li se zakoni o privatnosti primenjuju na male kompanije ili samo na velike

Zakoni o privatnosti mogu se primenjivati na male kompanije, iako pragovi variraju prema okviru. GDPR nema prag prihoda ili veličine; ako mala kompanija obrađuje lične podatke stanovnika EU, podložna je GDPR-u. CCPA, s druge strane, primenjuje se samo na profitne kompanije koje ispunjavaju određene pragove prihoda ili obima podataka, što znači da mnoge male kompanije ispadaju iz njenog okvira [2].

Izuzeci GDPR-a za male organizacije su uski: Kompanije sa manje od 250 zaposlenih su delimično izuzete od održavanja detaljnih evidencija o aktivnostima obrade, ali samo ako njihova obrada ne može rezultirati rizikom za prava pojedinaca, nije povremena ili ne uključuje posebne kategorije podataka.

Iznimni slučaj: Samostalni preduzetnik koji vodi specijalizovanu e-trgovinu koja cilja kupce iz EU i koristi alate za oglašavanje zasnovane na ponašanju gotovo sigurno podliježe GDPR-u, bez obzira na godišnji prihod.

Uobičajene greške koje kompanije prave u vezi sa usklađenošću sa zakonima o privatnosti

Najčešći propusti u usklađenosti nisu tehnički, već organizacioni. Kompanije rutinski podcenjuju obim svog prikupljanja podataka, ne ažuriraju obaveštenja o privatnosti da odraze stvarnu obradu i tretiraju pristanak kao jednokratnu stavku umesto kao kontinuirani odnos.

Najčešće greške u usklađenosti, rangirane prema učestalosti:

Nedovoljni mehanizmi pristanka, korišćenje unapred označenih kutija, povezani pristanak ili pristanak zakopan u uslovima korišćenja.
Nema dokumentovane zakonite osnove, obrada podataka bez identifikacije i beleženja važeće pravne osnove prema članu 6. GDPR-a.
Ignorisanje pravila o prekograničnom prenosu, prenos ličnih podataka u treće zemlje bez standardnih ugovornih klauzula ili ekvivalentnih zaštita.
Nepotpuno mapiranje podataka, neznanje o tome koji se lični podaci prikupljaju, gde se čuvaju i ko ima pristup.
Neispunjavanje zahteva subjekata podataka, propuštanje 30-dnevnog roka za odgovore na zahteve za pristup, brisanje ili prenosivost.
Zastarela obaveštenja o privatnosti, objavljivanje obaveštenja koja ne opisuju tačno trenutne aktivnosti obrade.

Pravilno konfigurisana CMP kao što je Biscotti CMP direktno se bavi nekoliko ovih tačaka propusta upravljanjem prikupljanjem, skladištenjem i povlačenjem pristanka kroz više regulatornih okvira.

Kako odrediti koji zakoni o privatnosti se primenjuju na vaše poslovanje

Određivanje primenljivih zakona o privatnosti zahteva odgovaranje na četiri pitanja: Gde je vaša organizacija osnovana? Gde se nalaze vaši korisnici ili kupci? Koje kategorije ličnih podataka obrađujete? I da li ispunjavate bilo koje pragove specifične za jurisdikciju?

Praktičan okvir za donošenje odluka:

Ako imate poslovnicu u EU ili UK, ili aktivno ciljate stanovnike EU/UK: GDPR i/ili UK GDPR se primenjuju [1][9].
Ako nudite robu ili usluge potrošačima u Kini ili analizirate njihovo ponašanje: PIPL se primenjuje [1].
Ako ste profitna kompanija koja ispunjava pragove prihoda ili obima podataka u Kaliforniji: CCPA/CPRA se primenjuje [2].
Ako poslujete u Brazilu i obrađujete lične podatke stanovnika Brazila: LGPD se primenjuje.
Ako vaše poslovanje uključuje međunarodni prenos osetljivih ličnih podataka iz SAD-a: pregledajte zahteve DOJ Programa bezbednosti podataka [5].

Više zakona može se primenjivati istovremeno. SaaS kompanija sa sedištem u SAD-u koja ima kupce u EU, zaposlene u Kaliforniji i marketinšku bazu podataka koja uključuje brazilske kontakte može biti obavezna da se pridržava GDPR-a, CCPA-e i LGPD-a istovremeno.

Da li postoje zakoni o privatnosti koji nemaju teritorijalni doseg

Neki okviri o privatnosti su namerno ograničeni u teritorijalnom opsegu. Zakon o zaštiti podataka DIFC-a u Dubaiju, na primer, primenjuje se na kontrolore i obrađivače koji su osnovani u DIFC-u, ili na one koji obrađuju podatke unutar DIFC-a, ali ne tvrdi širok ekstrateritorijalni doseg uporediv sa GDPR-om [8]. Slično tome, mnogi stariji ili sektorski specifični savezni zakoni u SAD-u (HIPAA za zdravstvene podatke, FERPA za obrazovne evidencije) primenjuju se na osnovu prirode podataka i tipa entiteta, a ne na osnovu lokacije subjekata podataka.

Međutim, globalni trend je jasno usmeren ka širem teritorijalnom dohvatu. Navigacija sankcijama i teritorijalnim opsegom: pregled najstrožih zakona o privatnosti u svetu pokazuje da su noviji zakoni, PIPL, LGPD i UK GDPR posle Brexita, svi usvojili ekstrateritorijalne modele, što signalizira da su okviri sa ograničenim opsegom postali izuzetak, a ne pravilo.

Kako se sankcije razlikuju između GDPR-a i drugih okvira o privatnosti

Sankcije GDPR-a su najstrože i najaktivnije sprovedene od svih globalnih okvira o privatnosti, ali se mehanizmi značajno razlikuju među režimima.

Okvir	Telo za sprovođenje	Maksimalna finansijska kazna	Privatno pravo na tužbu
GDPR	Nacionalna nadzorna tela	20M € ili 4% globalnog prihoda	Ograničeno (varira po članici)
UK GDPR	ICO	17.5M £ ili 4% globalnog prihoda	Ograničeno
PIPL	CAC / sektorski regulatori	50M ¥ ili 5% godišnjeg prihoda	Da (za pojedince)
CCPA/CPRA	CPPA	7,988 $ po namernom prekršaju	Da (za povrede podataka)
LGPD	ANPD	2% prihoda u Brazilu, max 50M R$	Da

Model sprovođenja GDPR-a je jedinstven jer funkcioniše kroz mrežu od 27 nacionalnih tela za zaštitu podataka, stvarajući neusklađenost u tome koliko agresivno različite članice države progone prekršaje. Irski DPC, koji nadgleda mnoge velike američke tehnološke kompanije zbog njihovog sedišta u EU, suočio se sa kritikama zbog sporog sprovođenja, iako su značajne kazne protiv Meta i TikToka pokazale da sistem može doneti značajne rezultate [7].

Zaključak: Akcioni koraci za navigaciju sankcijama i teritorijalnim opsegom

Navigacija sankcijama i teritorijalnim opsegom: pregled najstrožih zakona o privatnosti u svetu jasno pokazuje da je era tretiranja usklađenosti sa privatnošću kao regionalnog pitanja završena. Svaka organizacija sa online prisustvom i međunarodnom korisničkom bazom je, najverovatnije, podložna barem jednom velikom okviru o privatnosti sa stvarnim posledicama sprovođenja.

Odmah preduzmite sledeće korake:

Sprovedite vežbu mapiranja podataka kako biste identifikovali svaku kategoriju ličnih podataka koji se prikupljaju, njihov izvor, mesto skladištenja i svrhu obrade.
Identifikujte primenljive zakone koristeći kriterijume teritorijalnog opsega navedene iznad, ne pretpostavljajte da geografska lokacija sama određuje vaše obaveze.
Proverite svoje mehanizme pristanka kako biste osigurali da ispunjavaju najviši primenljivi standard (GDPR pristanak je najstroža mera).
Pregledajte aranžmane za prekogranični prenos podataka i osigurajte da su standardne ugovorne klauzule ili ekvivalentne zaštite na mestu.
Implementirajte usklađenu CMP, Biscotti CMP pruža infrastrukturu za upravljanje prikupljanjem i dokumentovanjem pristanka kroz više regulatornih okvira.
Uspostavite proces zahteva subjekata podataka sa dokumentovanim radnim tokovima i rokovima odgovora.
Pregledajte godišnje, zakon o privatnosti nije statičan. DOJ Program bezbednosti podataka (na snazi od 2025), evolucioni propisi o implementaciji PIPL-a i potencijalna savezna zakonodavna rešenja o privatnosti u SAD-u predstavljaju pokretne ciljeve [5].

Organizacije koje tretiraju usklađenost sa privatnošću kao kontinuiranu operativnu disciplinu, a ne kao jednokratni projekat, biće daleko bolje pozicionirane da izbegnu kazne koje su definisale pejzaž sprovođenja u proteklih nekoliko godina.

Česta pitanja

P: Da li se GDPR primenjuje na američku kompaniju bez kancelarije u EU? Da. Ako američka kompanija aktivno cilja stanovnike EU, na primer, nudeći usluge na evropskim jezicima ili valutama, GDPR se primenjuje bez obzira na to gde je kompanija registrovana [1].

P: Koja je razlika između kontrolora podataka i obrađivača podataka prema GDPR-u? Kontrolor podataka određuje svrhe i sredstva obrade ličnih podataka. Obrađivač podataka obrađuje podatke u ime kontrolora. Obe imaju različite obaveze prema GDPR-u, a obrađivači mogu biti direktno odgovorni za određena kršenja.

P: Može li kompanija istovremeno da se suoči sa kaznama GDPR-a i CCPA-e? Da. Kompanija koja služi i stanovnicima EU i Kalifornije može se suočiti sa akcijama sprovođenja prema oba okvira za iste osnovne prakse obrade podataka, budući da su zakoni nezavisni jedni od drugih.

P: Šta je zakonita osnova za obradu prema GDPR-u? Član 6. GDPR-a zahteva da svaka aktivnost obrade počiva na jednoj od šest zakonitih osnova: pristanak, izvršenje ugovora, pravna obaveza, vitalni interesi, javni zadatak ili legitimni interesi. Obrada bez dokumentovane zakonite osnove predstavlja kršenje višeg nivoa.

P: Kako se kineski PIPL razlikuje od GDPR-a u vezi sa prekograničnim prenosima podataka? PIPL zahteva vladinu bezbednosnu procenu pre nego što se "važni" podaci prenesu u inostranstvo, pored zahteva zasnovanih na pristanku. GDPR se oslanja na odluke o adekvatnosti, standardne ugovorne klauzule ili obavezujuća korporativna pravila, ne zahteva vladinu prethodnu saglasnost za većinu prenosa [1][4].

P: Da li postoje kazne za neimenovanje službenika za zaštitu podataka prema GDPR-u? Da. Neimenovanje DPO-a kada je to potrebno (za javne vlasti, sistematsko praćenje u velikim razmerama ili obrada posebnih kategorija podataka u velikim razmerama) predstavlja kršenje nižeg nivoa GDPR-a, podložno kaznama do 10 miliona evra ili 2% globalnog prihoda.

P: Da li se CCPA primenjuje na neprofitne organizacije? Ne. CCPA se primenjuje samo na profitne kompanije koje ispunjavaju njene pragove. Neprofitne organizacije su generalno izuzete, iako mogu biti podložne drugim zakonima o privatnosti u Kaliforniji.

P: Šta je DOJ Program bezbednosti podataka? Na snazi od 8. aprila 2025, DOJ Program bezbednosti podataka u SAD-u nameće kontrole izvoza kako bi se sprečilo da strane neprijateljske zemlje pristupe osetljivim ličnim podacima iz SAD-a. Zabranjuje određene transakcije podataka sa određenim "zemljama od interesa" [5].

P: Koliko brzo mora biti prijavljena povreda podataka prema GDPR-u? Kontrolori moraju obavestiti svoje nadzorno telo u roku od 72 sata od saznanja o povredi ličnih podataka, gde je to moguće. Ako povreda verovatno dovodi do visokog rizika za pojedince, ti pojedinci takođe moraju biti obavešteni bez nepotrebnog odlaganja.

P: Može li platforma za upravljanje pristankom pomoći u usklađenosti sa više jurisdikcija? Da. CMP kao što je Biscotti CMP može upravljati prikupljanjem, skladištenjem i povlačenjem pristanka kroz različite regulatorne okvire, pomažući organizacijama da održe dokumentovanu evidenciju o pristanku, što je osnovni zahtev prema i GDPR-u i PIPL-u.