GDPR kazne u 2025. godini: Šta svaki DPO mora da nauči? pokazale su da regulatorni organi više ne prihvataju formalnu ili isključivo dokumentacionu usklađenost. Organizacije moraju da dokažu da se pravila o zaštiti podataka stvarno primenjuju u svakodnevnom poslovanju.
Odluke protiv kompanija TikTok i Vodafone, kao i slučaj zdravstvene ustanove Marina Salud, ukazuju na ozbiljne rizike povezane sa međunarodnim prenosima podataka, nedovoljnim nadzorom obrađivača, slabim metodama autentifikacije i neadekvatnim upravljanjem osetljivim podacima.
Ranije velike kazne protiv kompanija Meta i Amazon i dalje su važne za razumevanje regulatorne prakse, ali nisu izrečene 2025. godine. Njihove pouke ostaju relevantne jer se isti propusti ponavljaju: nedovoljna procena rizika, netransparentna obrada i oslanjanje na dokumentaciju bez odgovarajućih tehničkih i organizacionih mera.
2025. postavlja rekord: Više od 3 milijarde evra GDPR kazni
Samo u prvoj polovini 2025. godine, organi za zaštitu podataka širom Evrope izrekli su kazne u ukupnom iznosu većem od 3 milijarde evra zbog povreda Opšte uredbe o zaštiti podataka (GDPR).
Od tehnoloških giganata do zdravstvenih ustanova i telekom operatera, ove kazne ukazuju na trajne i sistemske propuste u praksi zaštite podataka.
Meta — 1,2 milijarde evra
Povreda: Nezakonit prenos podataka u SAD
Pouka: Standardne ugovorne klauzule (SCC) same po sebi nisu dovoljne. Neophodne su procene rizika, tehničke mere zaštite i kontinuirani nadzor.
Amazon — 746 miliona evra
Povreda: Ciljano oglašavanje bez važeće saglasnosti
Pouka: Saglasnost mora biti slobodno data, dokumentovana i laka za povlačenje.
TikTok — 530 miliona evra
Povreda: Zaposleni u Kini imali pristup podacima korisnika iz EU; nedostatak transparentnosti
Pouka: Potpuna transparentnost o skladištenju podataka, pristupu i uključenosti trećih zemalja je obavezna.
Marina Salud — 500.000 evra
Povreda: Deljenje osetljivih zdravstvenih podataka sa podizvođačima bez važećih ugovora
Pouka: Sa svim dobavljačima moraju postojati potpisani ugovori o obradi podataka i potpuna kontrola nad lancem obrade.
Vodafone — 200.000 + 45 miliona evra
Povreda: Slaba provera identiteta prilikom SIM zamene i loš nadzor podobrađivača
Pouka: Neophodne su jake metode autentifikacije i redovne provere usklađenosti podobrađivača.
Šta DPO moraju da nauče iz ovih kazni?
Najveće kazne u 2025. godini otkrivaju ponavljajuće obrasce neusaglašenosti. Prema Krete Paal, kompanije moraju da pređu sa „papirne usklađenosti“ na stvarnu operativnu primenu:
- Mapiranje tokova podataka i prekograničnih prenosa
- Provera da svi dobavljači i podobrađivači imaju ažurirane ugovore o obradi podataka
- Redovno ažuriranje politika privatnosti i mehanizama saglasnosti
- Sprovođenje revizija zasnovanih na proceni rizika
- Kontinuirana obuka zaposlenih iz oblasti zaštite podataka
Kako GDPR Register pomaže u održavanju usklađenosti
GDPR Register je alat za upravljanje privatnošću razvijen u Estoniji, osmišljen da pojednostavi i organizuje GDPR usklađenost. Platforma omogućava kompanijama da:
- Automatizuju i upravljaju evidencijama obrada (RoPA), DPIA analizama i dobavljačima
- Prate međunarodne prenose podataka i rizike obrade
- Budu spremne za inspekciju kroz dokumentaciju u realnom vremenu
- Centralizuju operacije zaštite podataka unutar grupacija
Zašto GDPR kazne nastaju u praksi — i gde DPO ima ključnu ulogu?
GDPR kazne više nisu izuzetak, već direktna posledica slabog upravljanja podacima, nejasne odgovornosti i formalne uloge DPO.
Na V Međunarodnom kongresu pravnika – govoriće se o GDPR kaznama, stvarnoj odgovornosti u sistemima zaštite podataka i ulozi DPO u prevenciji rizika — od organizacije procesa do odnosa sa dobavljačima i regulatorima.
Ako se baviš pravom, zaštitom podataka, compliance-om ili donošenjem odluka u organizaciji, ovo su teme koje direktno utiču na tvoju profesionalnu odgovornost.
🔗 Više informacija:
