Da li podatke o ličnosti iz Srbije smem da čuvam na serveru u EU (Frankfurt)?

Praktičan vodič za firme iz Srbije koje hostuju sajt, onlajn prodavnicu ili aplikaciju i žele da razumeju šta ZZPL traži od njih. Stanje na dan 30.09.2026.

Kratak odgovor

  1. 1Zakon o zaštiti podataka o ličnosti („Sl. glasnik RS“, br. 87/2018, ZZPL) ne zabranjuje čuvanje podataka na serveru u drugoj državi. Poglavlje o iznošenju podataka (čl. 63 do 69) postavlja uslove pod kojima se podaci mogu preneti u drugu državu.
  2. 2Prema čl. 64 ZZPL, prenos bez prethodnog odobrenja je moguć u državu za koju je utvrđen primereni nivo zaštite. Zakon navodi da se primereni nivo smatra obezbeđenim u državama članicama Konvencije Saveta Evrope o zaštiti lica u odnosu na automatsku obradu ličnih podataka (Konvencija 108). Status konkretne države proverite na zvaničnom spisku, ne na osnovu ovog teksta.
  3. 3Ako država nije obuhvaćena, čl. 65 dozvoljava prenos uz odgovarajuće mere zaštite, na primer standardne ugovorne klauzule koje je izradio Poverenik ili obavezujuća poslovna pravila.
  4. 4Odgovornost ostaje na vama kao rukovaocu. Obrada preko hosting provajdera mora biti uređena pisanim ugovorom (čl. 45 ZZPL). 4hosting ima servere u EU, u Frankfurtu, ne u Srbiji, i nudi ugovor o obradi podataka (DPA). Ne izdaje potvrdu o usklađenosti umesto vas. Stanje na dan 30.09.2026.

Šta ZZPL kaže o iznošenju podataka iz Srbije

ZZPL je objavljen u „Službenom glasniku RS“, br. 87/2018. Prema čl. 102, zakon se primenjuje po isteku devet meseci od dana stupanja na snagu, a u javnim izvorima se kao početak primene navodi avgust 2019. godine.

Poglavlje o iznošenju podataka počinje čl. 63: svaki prenos podataka u drugu državu ili međunarodnu organizaciju sme da se izvrši samo ako rukovalac i obrađivač postupaju u skladu sa uslovima iz tog poglavlja. Čl. 64 uređuje prenos na osnovu primerenog nivoa zaštite, a čl. 65 prenos uz odgovarajuće mere zaštite kada primerenost nije utvrđena. Čl. 65 nabraja mere koje ne traže posebno odobrenje Poverenika, među njima standardne ugovorne klauzule i obavezujuća poslovna pravila.

Čl. 66 do 69 uređuju posebne slučajeve. Njih ovde ne tumačimo: ako se vaša situacija ne uklapa u čl. 64 ili 65, potreban je pravni savet.

Ugovor sa hosting provajderom: čl. 45 ZZPL

Prema čl. 45, kada se obrada vrši u ime rukovaoca, obrada mora biti uređena ugovorom ili drugim pravno obavezujućim aktom u pisanom obliku, uključujući elektronski. Taj akt uređuje predmet i trajanje obrade, prirodu i svrhu, vrstu podataka i vrstu lica, kao i prava i obaveze rukovaoca.

Zakon predviđa i da obrađivač obrađuje podatke samo na osnovu pisanih uputstava rukovaoca, uključujući uputstva o prenosu podataka u druge države. Zato u ugovor sa hostingom treba da uđe i lokacija servera.

Šta to znači za sajt, prodavnicu ili aplikaciju

Formular za kontakt, baza kupaca, korisnički nalozi i porudžbine sadrže podatke o ličnosti. Pre izbora servera napravite spisak: koje podatke prikupljate, gde se čuvaju, ko ima pristup i kome ih još prosleđujete (e-pošta, računovodstvo, alati za marketing).

Lokacija servera je samo jedan deo slike. Bezbednosne mere, kontrola pristupa, rezervne kopije i postupak u slučaju incidenta jednako su važni kao adresa data centra.

Tri konkretna primera

Onlajn prodavnica iz Novog Sada na VPS-u

Prodavnica čuva porudžbine, adrese i telefone. Vlasnik u evidenciju upisuje hosting kao obrađivača, sa lokacijom servera (Frankfurt), pristupima preko SSH i rasporedom rezervnih kopija, i čuva potpisan ugovor o obradi podataka.

Stomatološka ordinacija iz Niša sa WordPress sajtom

Sajt ima formular za zakazivanje. Korisni koraci su manje polja u formularu, redovno ažuriranje dodataka, proveren povraćaj iz rezervne kopije i politika privatnosti koja tačno navodi šta se prikuplja. Za posebne vrste podataka o ličnosti potreban je i pravni savet.

IT firma iz Beograda sa klijentima u EU

SaaS aplikacija ima korisnike u više država. Tim sa pravnikom utvrđuje koja pravila važe za koju grupu lica, i na jednom mestu čuva ugovore o obradi svih dobavljača, uključujući hosting.

Česte greške

  • Pretpostavka da se server u EU automatski rešava sve obaveze. ZZPL traži da uslovi iz čl. 63 do 65 budu ispunjeni.
  • Nema pisanog ugovora sa provajderom koji upravlja serverima (čl. 45 ZZPL).
  • Pogrešno uverenje da odgovornost prelazi na hosting. Rukovalac je firma koja određuje svrhu obrade.
  • Podaci su raspoređeni po više mesta (e-pošta, tabele, baza), a niko ne zna tačno gde.
  • Nikada se ne proverava povraćaj iz rezervne kopije.

Kako vam 4hosting pomaže

  • Infrastruktura u EU, u Frankfurtu, ne u Srbiji, sa DDoS zaštitom L3/L4 do 1,5 Tbps u ceni.
  • Ugovor o obradi podataka (DPA) u smislu čl. 28 GDPR i standardne ugovorne klauzule za prenose; usklađivanje sa ISO 27001, što nije ISO 27001 sertifikat.
  • Mesečni sati DevOps i CyberSecurity usluga uključeni u plan, među njima Hardening & Compliance i WAF & DDoS. Sati se traže iz klijentskog panela, a ono što prelazi kvotu naplaćuje se posebno.
  • Podrška na engleskom i rumunskom. 4hosting nema NIS2, ISO ni SOC 2 sertifikate, ne potvrđuje usklađenost klijenta i ne potpisuje pravnu usklađenost umesto njega.

Česta pitanja

Da li moram da čuvam podatke na serveru u Srbiji?

U delovima ZZPL koje smo pročitali (čl. 45 i 63 do 65) nema opšte obaveze čuvanja isključivo u Srbiji; postoje uslovi za iznošenje podataka. Za sektorska pravila (na primer banke ili državni organi) proverite propise svog sektora.

Da li je dovoljno da je server u EU?

Ne automatski. Treba da ispunite uslove iz čl. 64 ili 65, uz pisani ugovor sa provajderom. Proverite status države na zvaničnom spisku i, ako ste nesigurni, tražite pravni savet.

Da li mi 4hosting garantuje usklađenost sa ZZPL?

Ne. 4hosting obezbeđuje infrastrukturu, DPA i DevOps i CyberSecurity usluge. Usklađenost vaše firme ostaje vaša odgovornost.

Pogledajte i