Brzi odgovor: Globalna primena pravila o privatnosti premašila je 10,8 milijardi evra u ukupnim kaznama od kada je GDPR stupio na snagu 2018. godine, pri čemu pojedinačne kazne sada rutinski premašuju stotine miliona evra. Trošak neusklađenosti daleko prevazilazi samu kaznu; reputacijska šteta, operativne smetnje i obavezna sanacija mogu nadmašiti glavnu kaznu. Svaka organizacija koja prikuplja, obrađuje ili prenosi lične podatke suočava se sa materijalnim finansijskim i pravnim rizikom ako njene prakse privatnosti nisu adekvatne.
Ključne tačke
- Do jula 2026. godine, zabeleženo je više od 5.679 akcija sprovođenja GDPR-a i ePrivatnosti u 33 evropske zemlje, sa ukupnim kaznama većim od 10,8 milijardi evra [5]
- Najveća pojedinačna kazna prema GDPR-u ostaje 1,2 milijarde evra, koju je izrekla Meta Platforms Ireland 2023. godine zbog nezakonitih prenosa podataka između EU i SAD [1]
- U 2025. godini, TikTok je kažnjen sa 530 miliona evra od strane Irske komisije za zaštitu podataka zbog slanja korisničkih podataka u Kinu bez adekvatnih zaštitnih mera [4]
- Sektor "Industrija i trgovina" prednjači među svim sektorima sa 572 zabeležene kazne prema GDPR-u, a slede ga mediji, telekomunikacije i emitovanje sa 358 kazni [3]
- Između 2022. i 2026. godine, velike tehnološke kompanije su kolektivno kažnjene sa 3,5 milijardi dolara zbog korišćenja ličnih podataka za obuku AI modela [7]
- Najčešći prekršaji uključuju nedovoljnu pravnu osnovu za obradu (Član 6), nepoštovanje osnovnih principa obrade (Član 5) i nedovoljne mere bezbednosti (Član 32) [8]
- Irska prednjači među svim državama članicama EU sa 3 milijarde evra ukupno izrečenih kazni, što odražava njen status kao sedišta EU za većinu velikih tehnoloških firmi [6]
- Kazne prema GDPR-u mogu dostići do 4% globalnog godišnjeg prometa ili 20 miliona evra, u zavisnosti od toga šta je veće, čineći usklađenost finansijskim prioritetom na nivou uprave
Koje su najveće kazne za privatnost u istoriji?
Najveće kazne za privatnost na svetu su koncentrisane u eri GDPR-a, pri čemu Meta, Amazon i TikTok zauzimaju vrhunske pozicije. Irska komisija za zaštitu podataka izrekla je najveću pojedinačnu kaznu prema GDPR-u, 1,2 milijarde evra protiv Meta Platforms Ireland u maju 2023. godine, zbog prenosa podataka korisnika iz EU na servere u SAD bez adekvatnih pravnih mehanizama [1].
Najveće kazne prema GDPR-u po iznosu kazne:
| Kompanija | Iznos kazne | Godina | Prekršaj |
|---|---|---|---|
| Meta Platforms Ireland | 1,2 milijarde evra | 2023 | Nezakoniti prenosi podataka između EU i SAD |
| Amazon Europe Core | 746 miliona evra | 2021 | Prekršaji u vezi sa saglasnošću za oglašavanje |
| TikTok | 530 miliona evra | 2025 | Prenosi podataka u Kinu bez SCC-a |
| Meta (WhatsApp) | 225 miliona evra | 2021 | Neuspeh u transparentnosti |
| Meta (Instagram) | 405 miliona evra | 2022 | Nepravilno rukovanje podacima dece |
Od 2023. godine, sprovođenje je naglo ubrzano, sa regulatorima koji sve više ciljaju na prekogranične prenose podataka i prakse vezane za oglašavanje [9]. Prosečna kazna prema GDPR-u sada iznosi približno 3 miliona evra, iako je medijana kazna znatno viša, na 8,2 miliona evra, razlika koja je uzrokovana velikim kaznama izrečenim protiv velikih tehnoloških platformi [6].
Koliko je Meta kažnjena zbog prekršaja privatnosti?
Meta je akumulirala najveći kumulativni teret kazni prema GDPR-u od svih pojedinačnih kompanija. U okviru više akcija sprovođenja koje pokrivaju WhatsApp, Instagram i njenu osnovnu platformu, ukupne kazne Meta prema GDPR-u prelaze 2 milijarde evra, pri čemu sama kazna za prenos od 1,2 milijarde evra predstavlja najveću kaznu za privatnost ikada izrečenu prema GDPR-u [1].
Presuda iz 2023. godine fokusirala se na oslanjanje Mete na Standardne ugovorne klauzule (SCC) kako bi opravdala transatlantske tokove podataka nakon poništavanja EU-SAD Privacy Shield. Regulatori su utvrdili da SCC sami po sebi nisu dovoljni s obzirom na zakone o nadzoru u SAD-u, zahtevajući od Mete da obustavi prenose između EU i SAD i implementira dodatne tehničke mere.
Šta se dešava ako se ne pridržavate zakona o privatnosti?
Neusklađenost pokreće lanac posledica koje daleko prevazilaze početnu kaznu. Regulatorne kazne su samo najvidljiviji element; stvarni trošak neusklađenosti uključuje obavezne revizije, sanaciju sistema, pravne troškove i reputacijsku štetu koja može potisnuti sticanje kupaca godinama.
Specifične posledice uključuju:
- Administrativne kazne do 4% globalnog godišnjeg prometa prema GDPR-u
- Naredbe za sprovođenje koje zahtevaju obustavu aktivnosti obrade podataka
- Obavezna obaveštenja o povredi podataka pogođenim pojedincima (skupa na velikoj skali)
- Građanske tužbe od pogođenih subjekata podataka, uključujući kolektivne tužbe
- Reputacijska šteta merljiva u odlasku kupaca i smanjenom poverenju u brend
- Operativne smetnje usled obaveznih promena u arhitekturi podataka
U 2025. godini, obaveštenja o povredi podataka povećana su za 22% u odnosu na prethodnu godinu, prosečno 443 obaveštenja dnevno među nadzornim organima EU, pri čemu svako obaveštenje potencijalno pokreće dalju regulatornu kontrolu [2].
Kako se izračunavaju kazne za privatnost?
Kazne prema GDPR-u se izračunavaju na osnovu višeslojne strukture, pri čemu težina prekršaja, saradnja organizacije sa regulatorima i obim štete svi utiču na konačni iznos. Regulatori ne primenjuju fiksnu formulu; umesto toga, uzimaju u obzir skup zakonskih kriterijuma.
Ključni faktori koji povećavaju težinu kazne:
- Priroda i trajanje prekršaja
- Broj pogođenih subjekata podataka
- Namerni vs. nehotični karakter prekršaja
- Prethodni prekršaji iste organizacije
- Finansijska korist proizašla iz prekršaja
- Neuspeh u saradnji sa nadzornim organom
Otežavajuće okolnosti uključuju proaktivnu saradnju, ranu samoproklamaciju i pokazane korake za sanaciju štete. Prema GDPR-u, prekršaji prve kategorije (npr. nedovoljna bezbednost) nose kazne do 10 miliona evra ili 2% globalnog prometa, dok prekršaji druge kategorije (npr. nezakonita obrada) dostižu 20 miliona evra ili 4% globalnog prometa.
Koje zemlje imaju najstrože kazne za privatnost?
Irska, Luksemburg i Francuska izriču najveće ukupne iznose kazni unutar EU, uglavnom zato što su velike tehnološke kompanije registrovane u ovim jurisdikcijama. Irska sama čini 3 milijarde evra ukupnih kazni prema GDPR-u, što odražava njen status kao evropskog sedišta za Meta, Apple, Google i TikTok [6].
Van EU, Sjedinjene Američke Države primenjuju pravila o privatnosti prvenstveno kroz Saveznu trgovinsku komisiju (FTC) i zakone specifične za sektore poput HIPAA i COPPA. SAD nemaju jedinstveni savezni zakon o privatnosti ekvivalentan GDPR-u, ali okviri na nivou država, kao što su CCPA/CPRA u Kaliforniji, CDPA u Virginiji i drugi, postaju sve aktivniji. Zakon o zaštiti ličnih informacija u Kini (PIPL) i brazilski LGPD takođe nose značajne kazne, iako se zrelost sprovođenja razlikuje.
Koja je razlika između kazni prema GDPR-u i CCPA?
Kazne prema GDPR-u i CCPA-u se značajno razlikuju u svojim strukturama kazni, mehanizmima sprovođenja i geografskom obuhvatu. GDPR se primenjuje na svaku organizaciju koja obrađuje podatke rezidenata EU bez obzira na to gde se organizacija nalazi, dok se CCPA primenjuje isključivo na profitne kompanije koje ispunjavaju određene pragove i prikupljaju podatke rezidenata Kalifornije.
Poređenje kazni prema GDPR-u i CCPA-u:
| Faktor | GDPR | CCPA/CPRA |
|---|---|---|
| Maksimalna kazna | 4% globalnog prometa ili 20 miliona evra | 7.500 dolara po namernom prekršaju |
| Sprovodi | Nacionalni nadzorni organi | Generalni tužilac Kalifornije / CPPA |
| Privatno pravo na tužbu | Ograničeno (povrede podataka) | Da, za povrede podataka |
| Obuhvat | Rezidenti EU globalno | Rezidenti Kalifornije |
| Primena | Organizacije bilo koje veličine | Kompanije koje ispunjavaju pragove prihoda/podataka |
Praktična implikacija: GDPR nosi daleko veće finansijsko izlaganje za velike preduzeća, dok struktura CCPA-a po prekršaju može brzo akumulirati kazne za kompanije sa velikim korisničkim bazama u Kaliforniji i sistemskom neusklađenošću.
Koje industrije najviše trpe kazne za privatnost?
Sektor industrije i trgovine prednjači među svim sektorima u obimu kazni prema GDPR-u, sa 572 zabeležene kazne do marta 2026. godine, a slede ga mediji, telekomunikacije i emitovanje sa 358 kazni [3]. Tehnološke platforme, finansijske usluge i zdravstvene organizacije su dosledno među najviše kažnjavanim.
Industrije sa disproporcionalnim izlaganjem uključuju:
- Tehnologija i društveni mediji, visoki obim podataka, prekogranični prenosi, poslovni modeli zasnovani na oglašavanju
- Finansijske usluge, osetljivi finansijski podaci, složeni aranžmani deljenja sa trećim stranama
- Zdravstvo, posebna kategorija podataka prema Članu 9 GDPR-a, strogi zahtevi za obaveštavanje o povredama
- Maloprodaja i e-trgovina, saglasnost za kolačiće, praćenje ponašanja i prakse podataka o programima lojalnosti
- Telekomunikacije, podaci o pretplatnicima u velikim razmerama, podaci o lokaciji i obaveze prema Direktivi o ePrivatnosti
Mogu li mala preduzeća priuštiti usklađenost sa privatnošću?
Usklađenost sa privatnošću nije isključivo briga velikih preduzeća, ali proporcionalni trošak pada teže na manja preduzeća. Mala preduzeća mogu implementirati osnovne mere usklađenosti po relativno niskim troškovima, posebno korišćenjem strukturisanih alata za upravljanje saglasnošću i održavanjem jasnih evidencija o obradi podataka.
Praktična osnova za mala preduzeća uključuje:
- Sprovođenje vežbe mapiranja podataka kako bi se identifikovalo koje lične podatke se prikupljaju i zašto
- Objavljivanje jasne i tačne politike privatnosti
- Implementacija platforme za upravljanje saglasnošću za kolačiće i praćenje
- Uspostavljanje procesa za rukovanje zahtevima za pristup podacima subjekata
- Dokumentovanje pravne osnove za svaku aktivnost obrade
Alati poput Biscotti CMP pružaju strukturiranu infrastrukturu za upravljanje saglasnošću koja pomaže vlasnicima veb sajtova i malim preduzećima da pokažu usklađenost sa zahtevima GDPR-a i ePrivatnosti bez potrebe za posvećenim pravnim timovima. Trošak takvih alata je znatno niži čak i od manje regulatorne kazne.
Koje su uobičajene greške u vezi sa privatnošću koje dovode do kazni?
Najčešće kažnjavani prekršaji prema GDPR-u uključuju nedovoljnu pravnu osnovu za obradu podataka, neuspehe u održavanju osnovnih principa obrade i nedovoljne tehničke mere bezbednosti [8]. Mnoge kazne proističu iz sistemskih praksi, a ne iz pojedinačnih grešaka.
Uobičajeni prekršaji koji dovode do akcija sprovođenja:
- Obrada ličnih podataka bez važeće pravne osnove (Član 6)
- Neuspeh u dobijanju važeće, informisane saglasnosti za kolačiće i praćenje
- Nedovoljne procedure za otkrivanje i obaveštavanje o povredama podataka
- Prenos podataka u treće zemlje bez odgovarajućih zaštitnih mera
- Čuvanje podataka duže nego što je potrebno za navedenu svrhu
- Pružanje nedovoljne transparentnosti u obaveštenjima o privatnosti
- Nepridržavanje prava subjekata podataka (pristup, brisanje, prenosivost)
"Najčešći prekršaji prema GDPR-u uključuju nedovoljnu pravnu osnovu za obradu podataka (Član 6), kršenja osnovnih principa obrade (Član 5) i nedovoljne mere bezbednosti (Član 32)." [8]
Kako kompanije izbegavaju prekršaje privatnosti i kazne?
Izbegavanje kazni zahteva tretiranje usklađenosti sa privatnošću kao kontinuirane operativne discipline, a ne kao jednokratne dokumentacione vežbe. Organizacije koje ulažu u arhitekturu privatnosti po dizajnu, obuku osoblja i redovne revizije usklađenosti dosledno pokazuju niže izlaganje sprovođenju.
Ključne preventivne mere:
- Imenovati službenika za zaštitu podataka (DPO) ako je to zahtevano prema Članu 37 GDPR-a
- Sprovesti procene uticaja na zaštitu podataka (DPIA) za visoko rizične obrade
- Održavati evidenciju o aktivnostima obrade (RoPA) prema Članu 30
- Implementirati i redovno testirati plan odgovora na povredu podataka
- Koristiti usklađenu platformu za upravljanje saglasnošću za sve veb zasnovane prikupljanje podataka
- Godišnje pregledati ugovore sa trećim stranama koje obrađuju podatke
- Proaktivno pratiti regulatorne smernice od nadzornih organa
Da li kazne za privatnost zapravo menjaju ponašanje kompanija?
Dokazi sugerišu da velike kazne podstiču promene u ponašanju, ali je efekat jači kada je sprovođenje dosledno i javno. Ubrzanje sprovođenja od 2023. godine, posebno usmereno na prakse vezane za podatke o AI, podstaklo je mnoge organizacije da proaktivno restrukturiraju programe upravljanja podacima [9].
Između 2022. i 2026. godine, velike tehnološke kompanije su kolektivno kažnjene sa 3,5 milijardi dolara zbog korišćenja ličnih podataka za obuku AI modela bez adekvatne pravne osnove, pri čemu su Anthropic i Meta pretrpele najveće pojedinačne kazne od 1,5 milijardi i 1,4 milijarde dolara, redom [7]. Ove kazne su materijalno promenile način na koji timovi za razvoj AI pristupaju izvorima podataka za obuku i dokumentaciji saglasnosti.
Međutim, za organizacije gde je kazna mala u odnosu na prihod generisan neusklađenom praksom, odvraćanje je slabije. To je upravo razlog zašto je struktura kazni prema prometu u GDPR-u dizajnirana da se prilagođava veličini kompanije.
Da li je usklađenost sa privatnošću vredna troška?
Da, kada se meri u odnosu na ukupne troškove neusklađenosti, ulaganje u usklađenost sa privatnošću dosledno donosi pozitivne povratke. Prosečna kazna prema GDPR-u od približno 3 miliona evra [6], u kombinaciji sa troškovima sanacije, pravnim troškovima i reputacijskom štetom, daleko premašuje godišnje troškove strukturiranog programa usklađenosti za većinu organizacija.
Računica je jednostavna za preduzeća: proaktivan program usklađenosti koji košta desetine hiljada godišnje eliminiše izlaganje kaznama koje mogu dostići stotine miliona. Za manja preduzeća, matematika je jednako jasna; čak i skromna kazna u rasponu od 10.000 do 50.000 evra (uobičajena za manja preduzeća) može biti egzistencijalno štetna.
Koliko traje oporavak od kazne za privatnost?
Oporavak od velike kazne za privatnost obično traje od dve do pet godina, uzimajući u obzir finansijsko poravnanje, obaveznu sanaciju, regulatorno nadgledanje i rehabilitaciju reputacije. Operativni uticaj često traje duže od finansijske kazne.
Nakon značajne akcije sprovođenja, organizacije obično se suočavaju sa:
- Periodom pojačanog regulatornog nadzora koji traje 12-36 meseci
- Obaveznim tehničkim i organizacionim promenama sa definisanim rokovima za implementaciju
- Kontinuiranim izveštavanjem o usklađenosti nadzornom organu
- Erozijom poverenja kupaca koja zahteva trajne napore za transparentnost kako bi se preokrenula
Za kompanije koje dobiju naredbe o obustavi prenosa zajedno sa svojim kaznama, kao što je Meta učinila 2023. godine, operativne smetnje restrukturiranja tokova podataka mogu koštati više od same kazne.
Česta pitanja
Koja je najveća kazna prema GDPR-u ikada izrečena? Najveća pojedinačna kazna prema GDPR-u iznosi 1,2 milijarde evra, koju je izrekla Irska komisija za zaštitu podataka Meta Platforms Ireland u maju 2023. godine zbog nezakonitog prenosa podataka korisnika iz EU u Sjedinjene Američke Države bez adekvatnih pravnih zaštita [1].
Koliko je ukupno izrečeno kazni prema GDPR-u? Do jula 2026. godine, zabeleženo je više od 5.679 akcija sprovođenja GDPR-a i ePrivatnosti u 33 evropske zemlje, sa ukupnim kaznama većim od 10,8 milijardi evra [5].
Koja kompanija je platila najviše kazni prema GDPR-u? Meta je akumulirala najveći kumulativni teret kazni prema GDPR-u, sa kaznama na svojim platformama (Facebook, Instagram, WhatsApp) koje premašuju 2 milijarde evra u ukupnom iznosu.
Može li mala veb stranica biti kažnjena prema GDPR-u? Da. GDPR se primenjuje na svaku organizaciju koja obrađuje lične podatke rezidenata EU, bez obzira na veličinu kompanije. Nadzorni organi su izrekli kazne malim preduzećima, posebno zbog prekršaja u vezi sa saglasnošću za kolačiće i nedovoljno jasnih obaveštenja o privatnosti.
Koja je razlika između kazne prema GDPR-u i kazne prema CCPA-u? Kazne prema GDPR-u mogu dostići do 4% globalnog godišnjeg prometa ili 20 miliona evra. Kazne prema CCPA-u su ograničene na 7.500 dolara po namernom prekršaju. GDPR nosi značajno veće finansijsko izlaganje za velike organizacije sa globalnim operacijama.
Šta pokreće istragu prema GDPR-u? Istrage se obično pokreću obaveštenjima o povredama podataka, žalbama subjekata podataka, žalbama drugih nadzornih organa ili proaktivnim revizijama od strane nacionalnih organa za zaštitu podataka.
Da li se kazne vezane za AI povećavaju? Da. Između 2022. i 2026. godine, velike tehnološke kompanije su kažnjene sa 3,5 milijardi dolara zbog korišćenja ličnih podataka za obuku AI modela bez adekvatne pravne osnove, a regulatori su signalizovali da će sprovođenje vezano za AI nastaviti da se intenzivira [7].
Koji je najčešći prekršaj prema GDPR-u? Nedovoljna pravna osnova za obradu podataka prema Članu 6 je najčešće citirani prekršaj u akcijama sprovođenja prema GDPR-u, a slede ga neuspehi u održavanju osnovnih principa obrade prema Članu 5 [8].
Da li plaćanje kazne završava regulatornu stvar? Ne nužno. Kazne su često praćene naredbama za sprovođenje koje zahtevaju specifične korake sanacije, a organizacije mogu ostati pod pojačanim nadzorom godinama nakon što se kazna plati.
Koju ulogu igra platforma za upravljanje saglasnošću u usklađenosti? Platforma za upravljanje saglasnošću (CMP) pomaže organizacijama da prikupljaju, beleže i upravljaju saglasnošću korisnika za kolačiće i tehnologije praćenja, direktno rešavajući jedan od najčešće kažnjavanih nedostataka u usklađenosti prema GDPR-u i ePrivatnosti.
Zaključak
Trošak neusklađenosti, ispitivan kroz prizmu najvećih globalnih kazni za privatnost, čini uverljiv finansijski argument za proaktivno upravljanje podacima. Sa kumulativnim kaznama prema GDPR-u koje sada premašuju 10,8 milijardi evra i sprovođenjem koje ne pokazuje znakove usporavanja, usklađenost sa privatnošću više nije pravna formalnost; to je funkcija upravljanja rizikom u poslovanju [5].
Akcioni sledeći koraci za organizacije bilo koje veličine:
- Revizija praksi prikupljanja podataka u odnosu na pravne osnove dozvoljene prema GDPR-u ili vašem lokalnom zakonu, identifikujte svaku obradu koja nema jasnu, dokumentovanu pravdu.
- Implementacija strukturisanog upravljanja saglasnošću za sve veb zasnovane prakse praćenja i korišćenja kolačića. Alat kao što je Biscotti CMP pruža evidencije saglasnosti i trag revizije koje regulatori očekuju.
- Pregled prekograničnih prenosa podataka, posebno ako vaša organizacija koristi usluge u oblaku, analitičke platforme ili AI alate koji obrađuju lične podatke iz EU.
- Uspostavljanje plana odgovora na povredu sa definisanim rokovima obaveštavanja, s obzirom na to da su obaveštenja o povredama podataka povećana za 22% samo u 2025. godini [2].
- Pažljivo pratiti prakse vezane za AI, jer je ovo najbrže rastuće područje sprovođenja globalno [7].
Usklađenost sa privatnošću nije destinacija, već kontinuirana operativna disciplina. Organizacije koje je tretiraju na taj način su one koje izbegavaju da postanu sledeći unos u sve dužu listu skupih akcija sprovođenja.
Reference
[1] Statistics - https://www.enforcementtracker.com/statistics?utm_source=openai
[2] DLA Piper GDPR Fines and Data Breach Survey January 2026 - https://www.dlapiper.com/en-ca/insights/publications/2026/01/dla-piper-gdpr-fines-and-data-breach-survey-january-2026?utm_source=openai
[3] GDPR Fines Number by Industry - https://www.statista.com/statistics/1558502/gdpr-fines-number-by-by-industry/?utm_source=openai
[4] GDPR Fines Tracker 2025-2026 - https://compliance-kit.eu/en/knowledge/gdpr-fines-tracker-2025-2026?utm_source=openai
[5] cookiefines.eu - https://cookiefines.eu/?utm_source=openai
[6] GDPR Fine Statistics - https://gdprfine.com/statistics?utm_source=openai
[7] Big Tech Slapped with $3.5bn in Fines for Using Personal Data to Train AI - https://www.techradar.com/vpn/vpn-services/big-tech-slapped-with-usd3-5bn-in-fines-for-using-your-personal-data-to-train-ai-and-it-could-be-only-the-beginning-warns-surfshark?utm_source=openai
[8] GDPR Fines Statistics - https://compliancedocshq.com/learn/gdpr-fines-statistics?utm_source=openai
[9] GDPR Fines to Date: Biggest Penalties and Violations - https://legalclarity.org/gdpr-fines-to-date-biggest-penalties-and-violations/?utm_source=openai