Od kada se primjenjuje novi Zakon o zaštiti ličnih podataka u BiH?

Zakon je objavljen u Službenom glasniku BiH broj 12/25 dana 28.2.2025. Stupio je na snagu osmog dana od objave, a primjenjuje se nakon isteka 210 dana. Agencija za zaštitu ličnih podataka u BiH navodi da je primjena počela 4.10.2025. Obrade koje su postojale ranije firme moraju uskladiti u roku od dvije godine od stupanja zakona na snagu (član 116.).

Da li je novi zakon isti kao GDPR?

Zakon izričito navodi da se njime BiH usklađuje s GDPR-om, i njegova struktura prati GDPR gotovo član po član. Razlike postoje: rok za odgovor na zahtjev je 30 dana uz moguće produženje za još 60, videonadzor i biometrija imaju posebna domaća pravila, kazne su u KM, a o zemljama s adekvatnom zaštitom odlučuje Vijeće ministara BiH.

Mora li moja firma imati službenika za zaštitu ličnih podataka?

Obavezan je za javne organe i za firme čija se osnovna djelatnost sastoji od redovnog i sistemskog praćenja velikog broja ljudi ili od opsežne obrade posebnih kategorija podataka, npr. zdravstvenih (član 39.). Tipična mala trgovačka, uslužna ili IT firma u pravilu nije obavezna, ali Agencija preporučuje imenovanje svima. Službenik može biti i vanjski, na osnovu ugovora.

Smijemo li koristiti otisak prsta za evidenciju radnog vremena?

Samo ako to propisuje zakon ili ako je otisak prsta alternativa drugom načinu evidencije (npr. kartici ili PIN-u), uz izričitu saglasnost zaposlenika (član 57b). Za takvu obradu Agencija traži i procjenu uticaja na zaštitu podataka, a evidencija obrade je obavezna bez obzira na broj zaposlenih.

Smiju li podaci firme biti u EU cloudu ili u Microsoft 365?

Da, uz pravila. Pružalac clouda je obrađivač, pa s njim treba ugovor sa sadržajem iz člana 30. Agencija države članice EU smatra državama s adekvatnim nivoom zaštite, pa je smještaj podataka u EU dozvoljen bez dodatnih zaštitnih mjera. Za prijenos u SAD i druge zemlje vrijede posebna pravila (članovi 46. do 51.), a svaki prijenos se upisuje u evidenciju obrade i u pravila privatnosti.

Kolike su kazne po novom zakonu?

Za firme do 20.000.000 KM ili 2% godišnjeg svjetskog prometa za povrede organizacionih obaveza (evidencija, sigurnost, povrede, procjena uticaja), te do 40.000.000 KM ili 4% prometa za povrede principa, pravnih osnova, prava građana i pravila o prijenosu. Dodatno se kažnjavaju odgovorno lice (5.000 do 70.000 KM) i zaposleni (500 do 5.000 KM). Po starom zakonu najviša kazna bila je 100.000 KM.

Zakon o zaštiti ličnih podataka BiH: checklista

Stanje: oktobar 2026.

Novi Zakon o zaštiti ličnih podataka („Službeni glasnik BiH", broj 12/25) objavljen je 28.2.2025., a prema Agenciji za zaštitu ličnih podataka u BiH primjenjuje se od 4. oktobra 2025. Zakon izričito usklađuje BiH s evropskim GDPR-om. Za firme to znači: interna evidencija obrada umjesto prijave zbirki u Glavni registar, prijava povrede podataka Agenciji u roku od 72 sata, pisani ugovori s obrađivačima (knjigovodstvo, IT, cloud) i kazne do 40 miliona KM ili 4% prometa. Ispod je pregled promjena i checklista od 12 koraka.

Od kada važi novi zakon?

Objava: „Službeni glasnik BiH" 12/25, 28.2.2025.
Stupanje na snagu: osmog dana od objave (član 120.), odnosno početkom marta 2025.
Primjena: nakon isteka 210 dana od stupanja na snagu. Agencija kao početak primjene navodi 4.10.2025. Neki mediji pišu 5. oktobar, zavisno od načina računanja roka; mjerodavan je datum koji koristi Agencija.
Stari zakon („Sl. glasnik BiH" 49/06, 76/11 i 89/11) i pravilnici doneseni na osnovu njega prestali su važiti početkom primjene novog (član 119.).
Postojeće obrade: firme koje su obrade započele ranije dužne su ih uskladiti s novim zakonom u roku od dvije godine od stupanja zakona na snagu (član 116. stav 2.).

Na koga se zakon odnosi?

Na svaku firmu koja obrađuje lične podatke, a to je praktično svaka firma: podaci zaposlenih i obračun plata, kupci, dobavljači, kontakt forme na webu, kolačići, videonadzor, e-mail marketing.

Zakon razlikuje dvije uloge:

Kontrolor određuje svrhu i način obrade (npr. vaša firma za podatke svojih zaposlenih i kupaca).
Obrađivač obrađuje podatke u ime kontrolora (npr. knjigovodstveni servis, IT podrška, pružalac clouda ili hostinga).

Zakon važi za firme sa sjedištem u BiH, bez obzira gdje se obrada vrši, ali i za strane firme koje nude robu ili usluge ljudima u BiH ili prate njihovo ponašanje (član 6.). Takve firme moraju imenovati predstavnika u BiH (član 29.), uz izuzetke za povremenu i nisko rizičnu obradu.

Šta se mijenja u odnosu na zakon iz 2006.?

Tema	Stari zakon (49/06)	Novi zakon (12/25)
Evidencija	Evidencija zbirki i prijava u Glavni registar Agencije	Interna evidencija aktivnosti obrade (član 32.), Agenciji samo na zahtjev; Glavni registar se više ne vodi
Saglasnost	Pisana saglasnost (od izmjena 2011. samo za posebne kategorije)	Svaka jasna potvrdna radnja, ali saglasnost mora biti dokaziva i jednako lako povučena (član 9.)
Povreda podataka	Nema obaveze prijave	Prijava Agenciji najkasnije 72 sata od saznanja (član 35.)
Službenik za zaštitu	Ne postoji	Obavezan u određenim slučajevima (član 39.)
Procjena uticaja	Ne postoji	Obavezna za visokorizične obrade (član 37.)
Strane firme	Nisu obuhvaćene	Obuhvaćene ako nude usluge ljudima u BiH (član 6.)
Najviša kazna	100.000 KM	40.000.000 KM ili 4% svjetskog prometa (član 113.)

Struktura zakona prati GDPR gotovo član po član. Ako ste se već usklađivali s GDPR-om zbog klijenata iz EU, većina posla se prenosi. Domaće posebnosti su rok za odgovor od 30 dana (uz produženje za 60), pravila za videonadzor (član 57.) i biometriju (članovi 57a i 57b), kazne u KM i to što o zemljama s adekvatnom zaštitom odlučuje Vijeće ministara BiH.

Checklista: 12 koraka za firme

Popišite obrade. Zaposleni i plate, kupci, dobavljači, web forme i kolačići, kamere, newsletter. Za svaku: koji podaci, u koju svrhu, ko im pristupa, gdje se nalaze i koliko se čuvaju.
Odredite pravni osnov za svaku obradu (član 8.): ugovor, zakonska obaveza, saglasnost, legitimni interes i drugi. Ako se oslanjate na legitimni interes, procjenu dokumentujte (Agencija ima obrazac).
Provjerite saglasnosti. Moraju biti dokazive, odvojene od drugih uslova i povučene jednako lako kao što su date (član 9.). Za djecu ispod 16 godina kod online usluga treba saglasnost roditelja (član 10.).
Objavite pravila privatnosti s podacima iz članova 15. i 16.: ko je kontrolor, svrhe i pravni osnovi, primaoci, prijenos van BiH, rokovi čuvanja i prava. Prema uputi Agencije, kolačići koji nisu tehnički neophodni traže saglasnost korisnika.
Uspostavite postupak za zahtjeve građana. Odgovor bez odgađanja, najkasnije u 30 dana, uz moguće produženje za još 60 dana uz obrazloženje (član 14.). Ostvarivanje prava je besplatno.
Vodite evidenciju aktivnosti obrade (član 32.). Izuzetak za firme s manje od 250 zaposlenih ne važi ako obrada nije povremena ili uključuje posebne kategorije podataka. Obračun plata i kadrovska evidencija su stalne obrade, pa evidencija po našem čitanju treba gotovo svakoj firmi.
Potpišite ugovore s obrađivačima (član 30.): knjigovodstvo, IT podrška, cloud, hosting, kurirske službe. Ugovor mora biti pisani (može i elektronski) i sadržavati elemente iz člana 30. Agencija je 1.9.2026. donijela standardne ugovorne klauzule koje možete koristiti.
Provjerite prijenose van BiH (članovi 46. do 51.): gdje su vaši cloud i SaaS podaci i na kojem osnovu se prenose. Svaki prijenos upišite u evidenciju i u pravila privatnosti.
Sigurnosne mjere (član 34.): prava pristupa po ulozi, višefaktorska prijava (MFA), enkripcija, backup i testiranje oporavka. Zaposleni koji rade s ličnim podacima potpisuju izjavu o povjerljivosti. Agencija navodi da u inspekciji prvo provjerava upravo sigurnosne mjere.
Pripremite proceduru za povredu podataka. Prijava Agenciji najkasnije 72 sata od saznanja (član 35.), obrazac Agencije br. 7, interni registar svih povreda, i onih koje se ne prijavljuju. Kad postoji visok rizik, pogođene osobe se obavještavaju pisanim putem (član 36.).
Ocijenite potrebu za procjenom uticaja (član 37.). Agencija je 10.11.2025. objavila spisak obrada za koje je procjena obavezna, među njima biometrijska identifikacija zaposlenih i sistemi za praćenje rada, kretanja ili komunikacije zaposlenih.
Ocijenite obavezu imenovanja službenika za zaštitu (član 39.). Ako ga imenujete, kontakt objavite i dostavite Agenciji. Prema uputi Agencije, direktor ili šef ne može biti službenik zbog sukoba interesa.

Videonadzor i otisak prsta za radno vrijeme

Videonadzor (član 57.) je dopušten samo ako je nužan za zaštitu ljudi i imovine i ako ne pretežu interesi snimljenih osoba. Firma donosi odluku o videonadzoru (prostor, svrha, broj kamera, rok čuvanja snimaka, ko ima pristup), a na ulazu u vidokrug kamere mora biti oznaka s podacima o kontroloru i kontaktom za ostvarivanje prava. Zakon ne propisuje broj dana čuvanja snimaka; rok određujete u odluci.

Otisak prsta za evidenciju radnog vremena (član 57b) dopušten je samo ako ga propisuje zakon ili ako je alternativa drugom rješenju, uz izričitu saglasnost zaposlenika. U praksi zaposleni mora imati izbor, npr. karticu ili PIN. Za takvu obradu treba i procjena uticaja, a evidencija obrade je obavezna bez obzira na broj zaposlenih.

Lični podaci u dokumentima: gdje pomaže DMS

Većina ličnih podataka u firmi ne stoji u bazi nego u dokumentima: ugovori o radu, rješenja, platne liste, ponude s podacima kupaca, skenirane lične karte. Upravo tu zakon najčešće „pada", jer niko ne zna sa sigurnošću gdje sve postoje kopije. Sistem za upravljanje dokumentima i elektronska arhiva pomažu na pet mjesta:

Evidencija obrada: svaka vrsta dokumenta ima vlasnika, svrhu i mjesto čuvanja.
Prava pristupa po ulozi: kadrovsku dokumentaciju vidi kadrovska služba, ne cijela firma (članovi 27. i 34.).
Rokovi čuvanja i brisanje: princip ograničenja čuvanja (član 7.) traži da podaci ne žive duže nego što treba. U arhivi se rok postavlja po vrsti dokumenta. Pregled zakonskih rokova je u vodiču Rokovi čuvanja poslovne dokumentacije u FBiH.
Trag pristupa: ko je otvorio ili izmijenio dokument, što je dokaz usklađenosti (princip pouzdanosti, član 7. stav 2.).
Zahtjevi građana u roku: kad neko traži uvid u svoje podatke, pretraga po imenu u jednom sistemu traje minute, a ne dane.

Za evropski okvir i dokumente u DMS-u pogledajte i našu GDPR checklistu za enterprise dokumente.

Microsoft 365 i podaci u EU cloudu

Pružalac clouda je obrađivač. S njim treba ugovor sa sadržajem iz člana 30. Standardni ugovori velikih pružalaca pisani su za GDPR; vrijedi ih provjeriti tačku po tačku prema članu 30.
EU je u redu. Agencija u svojoj uputi o prijenosu navodi da se države članice EU smatraju državama s adekvatnim nivoom zaštite, pa smještaj podataka u EU ne traži dodatne zaštitne mjere.
SAD i ostale zemlje zahtijevaju poseban osnov: odluku o adekvatnosti, standardne ugovorne klauzule Agencije ili druge zaštitne mjere (članovi 47. do 51.). Lista zemalja s adekvatnom zaštitom Vijeća ministara još je u nacrtu.
Svaki prijenos se upisuje u evidenciju obrade i navodi u pravilima privatnosti.

Kazne

Član 113. propisuje dva nivoa kazni za kontrolore i obrađivače:

Do 20.000.000 KM ili do 2% godišnjeg svjetskog prometa (najmanje 10.000 KM): povrede organizacionih obaveza, npr. evidencija, sigurnost, prijava povrede, procjena uticaja, službenik za zaštitu, ugovori s obrađivačima.
Do 40.000.000 KM ili do 4% prometa (najmanje 20.000 KM): povrede principa i pravnih osnova, prava građana i pravila o prijenosu, te nepostupanje po nalogu Agencije.

Uz to se kažnjava odgovorno lice (5.000 do 70.000 KM) i zaposleni kod kontrolora ili obrađivača (500 do 5.000 KM). Pri odmjeravanju se uzima u obzir i da li je firma sama prijavila povredu, kako je sarađivala s Agencijom i koje je mjere primijenila.

Gdje su obrasci Agencije?

Agencija za zaštitu ličnih podataka u BiH na svojoj stranici Provođenje ZZLP: obrasci objavljuje obrasce za saglasnost, procjenu legitimnog interesa, izjavu o povjerljivosti, pravila privatnosti, evidenciju o obradi, izvještaj o povredi, procjenu uticaja i interna pravila za provođenje zakona, uz tematske upute za svaku oblast. Puni tekst zakona je na sluzbenilist.ba.

Tehnički dio usklađivanja (prava pristupa, MFA, backup, rokovi čuvanja u arhivi) radimo kroz IT podršku za firme i elektronsku arhivu.