GDPR i Zakon o provedbi Opće uredbe o zaštiti podataka (NN 42/2018): hosting osobnih podataka u EU

Praktičan pregled za hrvatske tvrtke s web-stranicom, web-trgovinom ili aplikacijom: kako su povezani GDPR i hrvatski provedbeni zakon, što radi AZOP i što provjeriti prije nego podatke spremite na poslužitelje u EU-u.

Stanje na dan 30.09.2026.

Kratak odgovor

1. 1U Hrvatskoj osobne podatke izravno štiti Opća uredba (GDPR); Zakon o provedbi (NN 42/2018) je dopunjuje i određuje nadzorno tijelo.
2. 2Nadzorno tijelo je Agencija za zaštitu osobnih podataka (AZOP), neovisno državno tijelo koje rješava pritužbe i provodi nadzor.
3. 3Hosting na poslužiteljima unutar EU-a nije prijenos u treću zemlju, pa se poglavlje V. GDPR-a (čl. 44. i dalje) ne primjenjuje na samu lokaciju podataka.
4. 4S pružateljem hostinga koji obrađuje podatke u vaše ime sklapate pisani ugovor o obradi prema čl. 28. GDPR-a.
5. 5Odgovornost za zakonitost obrade ostaje na vama kao voditelju obrade; pružatelj hostinga je ne preuzima niti potvrđuje.

Što kaže pravni okvir

Uredba (EU) 2016/679 (GDPR) u Hrvatskoj se primjenjuje izravno. Zakon o provedbi Opće uredbe o zaštiti podataka (Narodne novine 42/2018, objavljen 9. svibnja 2018., na snazi od 25. svibnja 2018.) uređuje ono što Uredba prepušta državama članicama. Člankom 4. Agencija za zaštitu osobnih podataka određena je kao nadzorno tijelo, a člankom 6. uređene su njezine ovlasti. Člankom 19. za pružanje usluga informacijskog društva djetetu određena je dob od 16 godina.

Nadzorno tijelo je AZOP (azop.hr). Gornja granica upravnih novčanih kazni u GDPR-u iznosi do 20 milijuna EUR ili 4 % ukupnog godišnjeg prometa u svijetu (čl. 83.).

Za hosting su ključna tri članka GDPR-a. Članak 28. uređuje odnos voditelja i izvršitelja obrade: mora postojati pisani ugovor, a izvršitelj podizvršitelje smije angažirati samo pod propisanim uvjetima. Članak 32. traži odgovarajuće tehničke i organizacijske mjere. Članak 33. nalaže prijavu povrede nadzornom tijelu u roku od 72 sata od saznanja, ako povreda uzrokuje rizik za prava pojedinaca.

Poglavlje V. (čl. 44. do 46.) odnosi se na prijenose u treće zemlje. Poslužitelji unutar EU-a nisu takav prijenos. Pazite ipak na udaljeni pristup i alate trećih strana: i oni mogu značiti prijenos, a tada su potrebne, primjerice, standardne ugovorne klauzule.

Tri praktične situacije

Najčešće pogreške

• Pretpostavka da poslužitelj „u EU-u“ automatski znači usklađenost: GDPR uređuje i pravnu osnovu, smanjenje količine podataka i sigurnost, ne samo lokaciju.
• Nepostojeći ugovor o obradi ili ugovor koji ne navodi podizvršitelje i sigurnosne mjere.
• Nikad isprobane sigurnosne kopije i nema postupka za incident: povredu treba prijaviti nadzornom tijelu u roku od 72 sata od saznanja (čl. 33.), ako postoji rizik za prava pojedinaca.
• Zaboravljeni vanjski alati (analitika, slanje e-pošte, chat) koji šalju podatke izvan EU-a i trebaju vlastiti mehanizam prijenosa prema čl. 44. do 46.

Kako pomaže 4hosting

Poslužitelje imamo u podatkovnom centru u EU-u, u Frankfurtu; u Hrvatskoj ih nema. Nudimo ugovor o obradi prema čl. 28. GDPR-a, standardne ugovorne klauzule za prijenose gdje su potrebne i GDPR-ready okruženje sa zaštitom od DDoS napada. Sigurnosne prakse usklađene su s normom ISO 27001 (riječ je o usklađenosti, a ne o certifikatu).

Svaki paket uključuje mjesečne sate DevOpsa i CyberSecurityja koje zatražite iz panela: hardening poslužitelja, sigurnosne kopije, upravljanje pristupima, plan reakcije na incident. 4hosting nije certifikacijsko tijelo i ne potvrđuje usklađenost s GDPR-om umjesto vas; voditelj obrade ostajete vi. Migracija je besplatna. Podrška je na engleskom i rumunjskom.

Česta pitanja

Vidi i

• Zakon o kibernetičkoj sigurnosti i NIS2: što znači za hosting
• Politika privatnosti 4hostinga
• Migracija na 4hosting