Aug 21.2025

Službenik za zaštitu ličnih podataka (DPO) u BiH i EU: kompletan vodič za postizanje usklađenosti, praksu i greške koje vas mogu skupo koštati

Ko mora imenovati DPO, tačni zadaci po GDPR-u i novom Zakonu BiH, EDPB mišljenja, praksa u Srbiji i Hrvatskoj, FAQ i vodič za usklađivanje

U vremenu kada reputacija i povjerenje vrijede više od svake kampanje, službenik za zaštitu ličnih podataka (DPO) postaje jedan od ključnih stubova korporativne odgovornosti i pravne sigurnosti. Uloga DPO-a nije „štikliranje“ obaveze, već strateška funkcija koja spaja pravni okvir, tehničku sigurnost i poslovne procese. U Bosni i Hercegovini, novi Zakon o zaštiti ličnih podataka (Sl. glasnik BiH 12/25) približava standarde EU i uvodi jasnije obaveze za rukovaoce i obrađivače, uključujući kada i kako imenovati DPO-a, koje zadatke mora obavljati i kako mora biti pozicioniran da zaista bude efektivan. Zakon je objavljen 28.2.2025, stupio na snagu 8.3.2025, a primjenjuje se po proteku roka od 210 dana – od 4.10.2025. 

Ko može biti službenik za zaštitu ličnih podataka (DPO) i zašto ga (možda) morate imenovati?

DPO je interni ili eksterni stručnjak koji štiti interese nosilaca podataka, savjetuje menadžment (kontrolora podataka/rukovaoca obrade) i gradi most sa nadzornim organom (Agencijom za zaštitu ličnih podataka u BiH). Po novom Zakonu BiH i GDPR-u, obavezno ga imenujete kada: 

1. vršite redovno i sistematsko praćenje lica u velikom obimu; 
2. obrađujete posebne kategorije podataka (npr. zdravlje, biometrika, genetika) u velikim razmjerama; ili 
3. ste javni organ/tijelo (sem sudova u vršenju njihove pravosudne funkcije). 

BiH zakon taj prag i kriterije preslikava iz GDPR-a, uz eksplicitno naglašenu nezavisnost i zaštitu DPO-a od sankcionisanja zbog obavljanja dužnosti. 

U praksi, to znači da će banke, telekomunikacijski operateri, zdravstvene ustanove, priređivači igara na sreću, veći e-commerce i digitalne platforme gotovo sigurno potpasti pod obavezu imenovanja DPO. Ne radi se samo o broju i kontinuitetu obrada, već o prirodi, svrsi i riziku obrade – posebno ako uključuje profilisanje, monitoring ponašanja ili obradu osjetljivih podataka. 

Tačni zadaci Službenika za zaštitu ličnih podataka u BiH (DPO-a) prema GDPR-u (čl. 39) i „preslikani“ standard u BiH

GDPR član 39 precizno nabraja minimalne zadatke DPO-a, a to su:

1. informisanje i savjetovanje rukovaoca/obrađivača i zaposlenih o obavezama; 
2. praćenje usklađenosti sa GDPR i internim politikama, podizanje svijesti i obuke;
3. savjetovanje o DPIA (procjeni uticaja na privatnost) i praćenje njezine provedbe; 
4. saradnja s nadzornim organom;
5. djeluje kao kontakt tačka za nadzornog organ i za nosioce podataka. 

Zakon o zaštiti ličnih podataka u BiH normativno prati ovu listu. Prema Zakonu u BIH DPO:

1. nadzire usklađenost;
2. savjetuje rukovaoca/obrađivača o obavezama i DPIA (procjeni uticaja na privatnost), vodi i konsoliduje evidencije, organizuje obuke, koordinira prijavu povrede podataka u roku od 72 sata i služi kao kontakt prema Agenciji. Uloga je istovremeno operativna (procedure, incidenti, evidencije) i strateška (upravljanje rizicima, preporuke upravi, „privacy by design“). 

Položaj DPO-a: nezavisnost, resursi, pristup upravi/menadžmentu

EDPB Smjernice o DPO naglašavaju četiri uslova bez kojih funkcija DPO ne može biti uspješna u izvršenju svojih radnih zadataka:

(1) nezavisnost – bez smjenjivanja/kažnjavanja zbog obavljanja dužnosti; 

(2) odsustvo sukoba interesa – DPO ne smije istovremeno odlučivati o svrhama i sredstvima obrade (npr. direktor IT-a/marketinga/HR-a nije prihvatljiv); 

(3) dovoljni resursi i vrijeme; 

(4) direktan pristup najvišem menadžmentu i uključenost od početka projekata („privacy by design“). 

EDPB je koordinisanom akcijom 2023/24. potvrdio da su upravo resursi i sukob interesa najčešće slabosti kod organizacija prilikom imenovanja DPO-a.

Primjeri iz prakse: Primjena GDPR standarda vezanih za institut Službenika za zaštitu ličnih podataka u region – iskustva Srbije i Hrvatske

U Hrvatskoj, regulator AZOP eksplicitno upozorava na sukob interesa i insistira da DPO ima stvarna ovlaštenja, čak i kada imenovanje nije obavezno, dok je dobrovoljno imenovanje preporučljivo uz osiguranje pristupa upravi i uključenosti u donošenje  odluka (“privacy by design” model).

U Srbiji, Povjerenik za zaštitu podataka o ličnosti i slobodu pristupa informacijama vodi evidenciju lica za zaštitu podataka, a u praksi često ukazuje na formalistička imenovanja bez resursa i obuke, što kompromituje ulogu DPO-a i uvodi rizik od neusklađenosti. 

Pouka za BiH: nominalno imenovanje bez nezavisnosti DPO, dovoljne stručnosti i sertifikacije DPO-a i budžeta za sprovođenje zadataka – ili imenovanje lica koje upravlja IT, marketingom, opšte pravnike ili HR– vrlo vjerovatno će pasti na testu EDPB/AZOP/Poverenik kao i kriterijuma Agencije za zaštitu ličnih podataka u BiH, te Vas može dovesti do prekršaja i upravnih kazni.

Da biste se na najjednostavniji način uputili u sve obaveze koje nameće novi Zakon o zaštiti ličnih podataka u BiH, pripremili smo za sve zainteresovane kontrolore i obrađivače podataka “Praktični vodič kroz zaštitu ličnih podataka u BiH – Nove institute i poređenje sa starim zakonodavstvom”, od strane advokata Jovane Diljević – Sertifikovanog stručnjaka za zaštitu ličnih podataka na teritoriji Evrope. Praktični vodič „Kroz zaštitu ličnih podataka u BiH akcentuje ključne obaveze: obavezno imenovanje DPO-a u gore navedenim situacijama; DPIA (kada obrada može uzrokovati visok rizik); transparentnost prema nosiocima; pravo na prenosivost; prijava povrede u 72 sata, te tehničke i organizacione mjere (npr. enkripcija, pseudonimizacija). Posebno su obrađeni sektorski primjeri (npr. banke) i prenos podataka u treće zemlje, kao i poglavlja o kodeksima ponašanja i sertifikaciji kao dokazima usklađenosti. 

U nastavku je checklist-a koju možete samostalno provesti da biste utvrdili da li ste dužni da imenujete DPO-a (BiH i EU)

1. Najprije procijenite obavezu: mapirajte obrade, razmjer (koliko lica/podataka), tipove podataka (posebne kategorije), monitoring/profilisanje, pravne osnove.

2. Izaberite model: interni DPO (poželjno kod kontinuiranog i velikog obima) ili eksterni DPO (kada je ekonomičnije i realnije obezbijediti stručnost i nezavisnost). Obje varijante su dopuštene, uz iste standarde nezavisnosti. 

3. Formalizujte imenovanje: pismeni akt, opis zadataka i ovlaštenja, direktan pristup menadžmentu, definisani budžet i vrijeme.

4. Objavite kontakt podatke DPO-a (npr. u politici privatnosti) i obavijestite Agenciju gdje je to propisano i/ili preporučeno.

5. Uključite DPO-a  po principy „privacy by design – privatnost po dizajnu“: svaki novi proizvod/usluga mora proći procjenu privatnosti; DPO daje mišljenje i prati implementaciju.
6. Dokazujte odgovornost: evidencije aktivnosti (GDPR čl. 30), DPIA (čl. 35), bezbjednost (čl. 32), prijave povreda (čl. 33–34), kodeksi i/ili sertifikacija gdje ima smisla.

Najčešće greške pri imenovanju DPO-a i kako ih ispraviti:

DPO je ujedno IT/Marketing/HR direktor → Sukob interesa. 

Rješenje: premještaj nadzorne uloge van linijskog upravljanja ili eksterni DPO. 

„DPO na papiru “ bez resursa → Neefikasnost i rizik od kazni.

Rješenje: definisati procente radnog vremena, budžet, prioritetne KPI-jeve (npr. % obrađenih zahtjeva za prava, broj obuka, broj završenih DPIA). 

Praksa neprovođenja DPIA za visoko-rizične obrade → propuštanje obaveze i neprijavljeni rizici.

Rješenje: uspostavljanje matrice rizika, check-lista EDPB, prethodne konsultacije s Agencijom kad je potrebno. 

Kasne prijave povreda → proceduralni prekršaj i reputaciona šteta.

Rješenje: incident playbook s ulogama (CISO/IT/DPO/PR/pravna), 24/7 tok informacija, „table-top“ vježbe.

Plan usklađivanja (BiH + GDPR) – praktični koraci za usklađivanje u 90 dana

Prvih 30 dana: mapiranje obrada, legitimnih osnova, procjena da li je DPO obavezan; izbor modela (interni/eksterni); inicijalni „gap assessment“ prema GDPR i novom Zakonu BiH. 

30–60 dan: formalno imenovanje i objava kontakta; registri aktivnosti (čl. 30), DPIA za visoko-rizične procese; definisanje politika (privatnost, zadržavanje, bezbjednost, prava lica). 

60–90 dan: obuke, test incident response-a (72h), procedure za obezbjeđenje prava nosilaca podataka (30 dana), revizija ugovora s obrađivačima, odluka o kodeksu/sertifikaciji i plan redovnog izvještavanja upravi. 

Ukoliko razmišljate o imenovanju DPO ili Vam je potreban službenik za zaštitu ličnih podataka (interni ili eksterni model), procjena rizika ili DPIA za nove projekte, kontaktirajte nas putem kontakt forme na sajtu ili direktno na advokat@jovanadiljevic.com da zajedno postavimo realan, održiv i dokaziv okvir usklađenosti.