Novi Zakon o zaštiti ličnih podataka BiH: smijete li hostovati podatke u EU?

Praktičan vodič za bh. firme koje imaju web stranicu, online prodavnicu ili SaaS aplikaciju: šta novi zakon mijenja u odnosu s hosting provajderom i šta trebate provjeriti prije nego što podatke čuvate na serverima u Evropskoj uniji.

Kratak odgovor

  1. 1Da, uz pravni osnov: novi zakon ne zahtijeva da serveri budu u BiH, ali svaki prijenos podataka u drugu državu mora biti u skladu s poglavljem IV zakona (član 46).
  2. 2Zakon je objavljen u "Službenom glasniku BiH" broj 12/25 (28.02.2025), stupio je na snagu 08.03.2025, a primjenjuje se od 04.10.2025 (član 120).
  3. 3Prijenos je dozvoljen u državu s adekvatnim nivoom zaštite; adekvatnim se smatra i nivo u državama za koje je Evropska unija utvrdila da osiguravaju adekvatnu zaštitu (član 47).
  4. 4Bez odluke o adekvatnosti, prijenos je moguć uz odgovarajuće zaštitne mjere, npr. standardne ugovorne klauzule koje usvaja Agencija za zaštitu ličnih podataka (član 48).
  5. 5Odnos s hosting provajderom kao obrađivačem mora biti uređen ugovorom (član 30), a kazne za pravna lica idu do 40.000.000 KM ili do 4 % ukupnog godišnjeg prometa.

Šta kaže zakon: rokovi i članovi bitni za hosting

Zakon o zaštiti ličnih podataka objavljen je u "Službenom glasniku BiH" broj 12/25 od 28.02.2025. Prema članu 120, stupio je na snagu osmog dana od objave (08.03.2025), a primjenjuje se od 04.10.2025. Član 119 stavlja van snage raniji zakon ("Službeni glasnik BiH" broj 49/06, 76/11 i 89/11). Zakon je usklađen s Općom uredbom EU o zaštiti podataka (GDPR), a nadzorni organ je Agencija za zaštitu ličnih podataka u BiH.

Član 30 uređuje odnos s obrađivačem: obrada koju za vas vrši hosting provajder mora biti uređena ugovorom ili drugim pravnim aktom u kojem su navedeni predmet i trajanje, priroda i svrha obrade. Obrađivač smije obrađivati podatke samo po vašim dokumentovanim uputama i mora osigurati povjerljivost ovlaštenih osoba.

Kazne su znatno strože nego ranije: za pravna lica do 40.000.000 KM ili do 4 % ukupnog godišnjeg prometa na svjetskom nivou, a za odgovorne osobe od 500 KM.

Prijenos podataka u EU: članovi 46–49

Poglavlje IV propisuje da se svaki prijenos ličnih podataka u drugu državu ili međunarodnu organizaciju može obaviti samo u skladu sa zakonom (član 46). Član 47 dozvoljava prijenos kada druga država osigurava adekvatan nivo zaštite — o tome odlučuje Vijeće ministara BiH na prijedlog Agencije, a adekvatnim se smatra i nivo u državama za koje je Evropska unija utvrdila da osiguravaju adekvatnu zaštitu.

Ako se ne oslanjate na odluku o adekvatnosti, član 48 dozvoljava prijenos uz odgovarajuće zaštitne mjere: obavezujuća poslovna pravila (detaljno u članu 49), odobreni kodeks ponašanja, odobreni postupak certifikacije ili standardne ugovorne klauzule koje usvaja Agencija. Za server u Njemačkoj ili Rumuniji dokumentujte koji od ova dva osnova koristite i provjerite aktuelne odluke Vijeća ministara i Agencije.

Primjeri iz bh. prakse

Online prodavnica u Sarajevu čuva imena, adrese i brojeve telefona kupaca u bazi na VPS-u u Frankfurtu. Prodavnica je kontrolor, hosting obrađivač: potreban je ugovor po članu 30 i dokumentovan osnov prijenosa po članu 47 ili 48.

IT outsourcing firma u Banjoj Luci koja razvija softver za klijente iz EU može biti obrađivač za njih i kontrolor za podatke vlastitih zaposlenih — dvije uloge, dva seta ugovora.

Privatna ordinacija u Mostaru s online zakazivanjem obrađuje i zdravstvene podatke: prije migracije na server u inostranstvu treba procijeniti rizike i dokumentovati osnov prijenosa.

Česte greške

  • Misliti da je stari zakon iz 2006. još mjerodavan: član 119 ga stavlja van snage, a interni pravilnici pisani po njemu trebaju reviziju.
  • Nemati ugovor o obradi s hosting provajderom, nego samo opće uslove prihvaćene jednim klikom.
  • Ne znati gdje su fizički serveri i rezervne kopije — to je prvo pitanje za svaki prijenos u inostranstvo.
  • Pretpostaviti da "EU" automatski znači "bez papirologije": dokumentujte na koji član zakona (47 ili 48) oslanjate prijenos.

Kako vam 4hosting pomaže

Serveri 4hostinga nalaze se u data centru u Evropskoj uniji (Frankfurt), ne u Bosni i Hercegovini — kažemo to jasno, jer vam je taj podatak potreban za procjenu prijenosa. Nudimo ugovor o obradi podataka (DPA) po članu 28 GDPR-a, standardne ugovorne klauzule za prijenose a procese usklađujemo sa standardom ISO 27001 (bez tvrdnje o certifikatu).

Svaki VPS, dedicirani ili GPU server, kao i cPanel paketi od cPanel Advanced naviše, uključuju mjesečne sate DevOps i CyberSecurity usluga: hardening servera, backup otporan na ransomware, WAF i DDoS zaštitu, centralizovane logove i plan odgovora na incidente.

4hosting nije certifikator usklađenosti i ne potpisuje pravnu usklađenost u vaše ime — konačnu procjenu radi vaša firma, po mogućnosti uz pravnika.

Česta pitanja

Da li novi zakon zahtijeva da serveri budu u Bosni i Hercegovini?

Ne. Zakon ne propisuje lokalno čuvanje podataka, ali prijenos u drugu državu mora imati osnov u članu 47 (adekvatnost) ili članu 48 (odgovarajuće zaštitne mjere).

Ko odlučuje koja država ima adekvatan nivo zaštite?

Vijeće ministara BiH, na prijedlog Agencije za zaštitu ličnih podataka. Pored toga, član 47 adekvatnim smatra i države za koje je EU utvrdila adekvatan nivo zaštite. Provjerite aktuelne odluke za državu u kojoj su vaši serveri.

Da li 4hosting certificira moju usklađenost sa zakonom?

Ne. 4hosting pruža infrastrukturu i ugovor o obradi podataka; usklađenost vašeg poslovanja ostaje odgovornost vaše firme kao kontrolora.

Pogledajte i

Vodiči za firme u Bosni i Hercegovini