Zakon o zaštiti podataka o ličnosti: vodič za vaš sajt
Autor: Nemanja Vukmirović, Lizzard Solutions. Poslednje ažuriranje: 8. novembar 2026. Tekst je opšta informacija, a ne pravni savet.
Vaš sajt ima kontakt formu, Google Analytics, možda polje za newsletter i čet. Svaki od tih delova prikuplja podatke o ličnosti, a Zakon o zaštiti podataka o ličnosti (ZZPL) za svaki od njih postavlja jasna pravila, uz kazne do 2.000.000 dinara za pravna lica.
Ovaj vodič prevodi zakon na jezik sajta. Videćete koje delove sajta zakon pokriva, šta mora da piše u obaveštenju o privatnosti, kako da rešite forme i kolačiće, šta da radite posle curenja podataka, uz kontrolnu listu koju ove nedelje možete da prođete sa svojim programerom.
Ukratko
- ZZPL važi za firme i preduzetnike iz Srbije, ali i za strane firme koje nude robu ili usluge ljudima u Srbiji ili prate njihovo ponašanje.
- U trenutku prikupljanja podataka sajt mora da kaže ko ste, zašto vam podaci trebaju, po kom osnovu, ko ih dobija i koja prava ljudi imaju.
- Povredu podataka koja može da ugrozi ljude prijavljujete Povereniku bez nepotrebnog odlaganja, a ako je moguće u roku od 72 časa.
Šta je Zakon o zaštiti podataka o ličnosti (ZZPL)?
Zakon o zaštiti podataka o ličnosti (ZZPL) je srpski zakon koji uređuje kako se podaci o ličnosti prikupljaju, čuvaju i dele. Objavljen je u „Službenom glasniku RS“ br. 87/2018, a primenjuje se od avgusta 2019. Licima daje prava nad njihovim podacima, nadzor vrši Poverenik, a po strukturi blisko prati evropski GDPR.
Na Paragrafu možete pročitati integralni tekst Zakona o zaštiti podataka o ličnosti. Nadzorni organ je Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti, kome se podnose pritužbe i prijave povreda podataka i koji sprovodi nadzor.
Ključna poruka
Ako imate sajt za kupce u Srbiji, ZZPL se gotovo sigurno odnosi i na vas, čak i ako ste preduzetnik koji radi sam.
Da li se ZZPL odnosi na vaš sajt?
Član 3 određuje kada se zakon primenjuje:
- kada je vaša firma registrovana u Srbiji, bez obzira gde se podaci zaista obrađuju (na primer na serveru u Nemačkoj);
- kada firma nije iz Srbije, ali nudi robu ili usluge licima u Srbiji, uz naplatu ili besplatno;
- kada firma nije iz Srbije, ali prati ponašanje lica u Srbiji, na primer kroz praćenje i profilisanje.
Pojam podatka o ličnosti (član 4) je širok. Obuhvata ime i mejl, ali i podatke o lokaciji i identifikatore u elektronskim komunikacionim mrežama, pa su važni i IP adrese, ID-jevi kolačića i analitički identifikatori. Strane firme iz druge i treće grupe po pravilu moraju pismeno da odrede predstavnika u Srbiji (član 44), uz uske izuzetke za povremenu obradu niskog rizika.
Gde vaš sajt prikuplja podatke o ličnosti?
Većina sajtova malih firmi prikuplja više nego što vlasnik misli. Ovo je tipična mapa, sa osnovom iz člana 12 koji obično odgovara. Osnov za vaš slučaj treba da potvrdi pravnik.
| Deo sajta | Podaci o ličnosti | Uobičajeni osnov (čl. 12) |
|---|---|---|
| Kontakt forma ili upit za ponudu | Ime, mejl, telefon, poruka | Radnje pre zaključenja ugovora na zahtev lica ili legitimni interes |
| Prijava na newsletter | Mejl, ime | Pristanak |
| Naplata u web prodavnici | Ime, adresa, telefon, istorija porudžbina | Izvršenje ugovora; zakonska obaveza za račune |
| Analitika i marketinški pikseli | IP adresa, ID kolačića, ponašanje | Najčešće pristanak |
| Čet ili AI četbot | Poruke, ponekad ime i mejl | Zavisi od svrhe; navedite pružaoca četa |
| Serverski i bezbednosni logovi | IP adresa, pregledač, vreme pristupa | Legitimni interes (bezbednost) |
Dva načela iz člana 5 važe za svaki red: minimizacija podataka (prikupljate samo ono što vam treba) i ograničenje čuvanja (čuvate podatke samo koliko je potrebno). Formi za ponudu retko treba JMBG ili kućna adresa.
Uradite danas: otvorite svoj sajt i zapišite svaku formu, skriptu i dodatak koji dodiruje podatke posetilaca. Obrišite polja koja ne koristite.
Šta mora da piše u obaveštenju o privatnosti?
Član 23 navodi šta morate da saopštite licu u trenutku prikupljanja podataka. Za sajt to znači da link ka obaveštenju o privatnosti stoji pored svake forme, a ne samo u futeru. Obaveštenje sadrži:
- naziv firme i kontakt podatke (i predstavnika ili lica za zaštitu podataka, ako postoje);
- svrhu svake obrade i pravni osnov;
- legitimni interes, ako se na njega pozivate;
- primaoce podataka, na primer hosting, mejl ili CRM servis;
- da li podaci izlaze iz Srbije i uz koje mere zaštite;
- rok čuvanja podataka ili kriterijume za njegovo određivanje;
- prava na pristup, ispravku, brisanje, ograničenje obrade, prigovor i prenosivost;
- pravo na opoziv pristanka u svakom trenutku i pravo na pritužbu Povereniku;
- da li je davanje podataka obavezno i šta se dešava ako ih lice ne da;
- postojanje automatizovanog odlučivanja ili profilisanja.
Član 21 dodaje da informacije moraju biti sažete, transparentne i napisane jasnim i jednostavnim rečima. Prepisan strani šablon sa pravničkim žargonom i pogrešnim nazivom firme taj test ne prolazi.
Uradite danas: uporedite postojeće obaveštenje o privatnosti sa ovih deset tačaka i označite šta postoji, a šta nedostaje.
Pristanak kako treba: forme, newsletter i kolačići
Kada se oslanjate na pristanak, ZZPL je precizan. Pristanak mora biti dobrovoljan, određen, informisan i nedvosmislen, dat izjavom ili jasnom potvrdnom radnjom (član 4). Po članu 15 morate moći da dokažete pristanak, opoziv mora biti jednostavan kao i davanje, a uslugu ne smete uslovljavati pristankom koji za nju nije potreban.
- Newsletter: polje za pristanak bez unapred postavljene kvačice, čuvanje datuma, vremena i verzije forme za svaku prijavu, i link za odjavu u svakom mejlu.
- Kontakt forma: ne spajajte marketinški pristanak sa dugmetom „Pošalji“. Odgovor na upit i slanje promocija su različite svrhe.
- Maloletnici: lice koje je navršilo 15 godina samo daje pristanak za usluge informacionog društva; za mlađe od 15 pristanak daje roditelj ili zakonski zastupnik (član 16).
- Kolačići i alati za praćenje: analitički i reklamni kolačići se najčešće zasnivaju na pristanku. Pravila za kolačiće dolaze i iz propisa o elektronskim komunikacijama, pa sa pravnikom proverite šta tačno važi za vaš sajt.
Tehnički, „prvo pristanak“ znači da se skripte koje nisu neophodne ne učitavaju dok posetilac ne prihvati. Proverite to u alatima za programere u pregledaču, na kartici Network, pre nego što bilo šta kliknete na baneru.
Uradite danas: otvorite sajt u privatnom prozoru, odbijte kolačiće i proverite da li zahtevi ka alatima za praćenje i dalje odlaze.
Hosting, mejl alati i automatizacije: vaši obrađivači
Svaki servis koji u vaše ime rukuje podacima posetilaca je obrađivač: hosting, alati za forme, CRM, mejl marketing, četbot i platforme za automatizaciju. Član 45 traži pismeni ugovor, može i u elektronskom obliku, koji uređuje predmet, trajanje, svrhu, vrste podataka i obaveze obrađivača. Veliki servisi ga obično nude kao ugovor o obradi podataka (DPA).
Ako obrađivač čuva podatke van Srbije, to mora da piše u obaveštenju (član 23), a prenos mora imati osnov po pravilima zakona o prenosu u druge države. Platforme za automatizaciju zaslužuju posebnu pažnju jer podatke iz forme kopiraju u više alata odjednom; u našem poređenju alata Zapier, Make i n8n piše gde svaki od njih čuva podatke.
Uradite danas: napravite spisak svih servisa kojima sajt šalje podatke i sačuvajte DPA svakog od njih u zajednički folder.
Bezbednost i curenje podataka: pravilo od 72 časa
Član 50 traži tehničke, organizacione i kadrovske mere srazmerne riziku. Među primerima su kriptozaštita, brzo vraćanje podataka posle incidenta i redovno testiranje mera bezbednosti.
- svaka stranica ide preko HTTPS-a, uz zaštite iz naše kontrolne liste bezbednosnih zaglavlja sajta;
- forme zaštitite od botova i zloupotrebe, kao u našem vodiču za zaštitu kontakt forme od spama;
- imajte proverene rezervne kopije, da biste podatke vratili posle ransomvera ili neuspelog ažuriranja;
- ograničite administratorske naloge, koristite jake lozinke i prijavu u dva koraka.
Ako dođe do povrede podataka koja može da proizvede rizik po prava ljudi, član 52 traži da obavestite Poverenika bez nepotrebnog odlaganja, a ako je moguće u roku od 72 časa od saznanja. Ako rok propustite, morate obrazložiti zašto. Kada je rizik visok, član 53 traži i da obavestite lica čiji su podaci pogođeni. Svaku povredu dokumentujte, i kada je mala.
Ključna poruka
Napišite plan za incidente na jednoj strani već sada: ko odlučuje, ko zove hosting, ko obaveštava Poverenika. Sedamdeset dva časa brzo prođu.
Uradite danas: pokrenite našu besplatnu proveru bezbednosti sajta i pronađite nedostatke u HTTPS-u, zastareli softver i slaba zaglavlja.
Zahtevi lica: rok od 30 dana
Posetioci i kupci mogu tražiti uvid u svoje podatke, ispravku, brisanje, ograničenje obrade, prigovor ili prenos podataka. Po članu 21 odgovarate bez odlaganja, a najkasnije u roku od 30 dana od prijema zahteva. Rok se može produžiti za još 60 dana kod složenih slučajeva, ako u prvih 30 dana obavestite lice i navedete razloge. Odgovor je besplatan, osim kod očigledno neosnovanih ili preteranih zahteva.
Uradite danas: odredite jednu adresu za ove zahteve (na primer privacy@ ili glavnu adresu firme) i upišite je u obaveštenje o privatnosti.
Evidencija i lice za zaštitu podataka: šta treba maloj firmi
Član 47 traži evidenciju radnji obrade. Firme sa manje od 250 zaposlenih su izuzete, osim ako obrada može da prouzrokuje visok rizik, nije povremena ili obuhvata posebne vrste podataka, kao što su podaci o zdravlju. Sajt koji svakog dana prima upite teško da obavlja povremenu obradu, pa je jednostavna evidencija jeftina sigurnost.
Lice za zaštitu podataka (DPO) je obavezno samo za organe vlasti, za firme čija se osnovna delatnost sastoji od redovnog i sistematskog nadzora velikog broja lica i za obradu posebnih vrsta podataka ili podataka o krivičnim delima u velikom obimu (član 56). Većina malih uslužnih firmi tu ne spada, ali ordinacija ili aplikacija za praćenje zdravlja može.
Koje su kazne po ZZPL-u?
Član 95 propisuje novčane kazne za prekršaj od 50.000 do 2.000.000 dinara za pravna lica kao rukovaoce ili obrađivače i od 20.000 do 500.000 dinara za preduzetnike, između ostalog za kršenje načela obrade, obradu bez dokazivog pristanka ili neprijavljivanje povrede podataka. Odgovorno lice u pravnom licu može biti kažnjeno posebno.
Kontrolna lista: usklađenost sajta sa ZZPL
Koristite je kao radni dokument sa programerom. Svaki red upućuje na član zakona iz kog potiče.
| Provera | Član ZZPL | Urađeno? |
|---|---|---|
| Link ka obaveštenju o privatnosti pored svake forme, jasnim jezikom | čl. 21, 23 | ☐ |
| Svaka forma traži samo polja koja zaista koristite | čl. 5 | ☐ |
| Newsletter bez unapred postavljene kvačice; pristanak se beleži | čl. 4, 15 | ☐ |
| Kolačići i pikseli koji nisu neophodni učitavaju se tek posle pristanka | čl. 15 (i propisi o el. komunikacijama) | ☐ |
| Određen rok čuvanja za upite, porudžbine i logove | čl. 5, 23 | ☐ |
| Potpisan DPA sa hostingom, CRM-om, mejl i alatima za automatizaciju | čl. 45 | ☐ |
| Prenos podataka van Srbije naveden u obaveštenju | čl. 23 | ☐ |
| HTTPS, bezbednosna zaglavlja, rezervne kopije i prijava u dva koraka | čl. 50 | ☐ |
| Plan za incidente sa korakom prijave u roku od 72 časa | čl. 52, 53 | ☐ |
| Adresa i postupak za zahteve lica u roku od 30 dana | čl. 21 | ☐ |
| Jednostavna evidencija radnji obrade | čl. 47 | ☐ |
| Određen predstavnik u Srbiji (samo strane firme) | čl. 44 | ☐ |
Ako imate i kupce u EU, uz ZZPL može da se primenjuje i evropski GDPR.
ZZPL i vaš sajt: česta pitanja
Da li je ZZPL isto što i GDPR?
Nije, ali je vrlo blizak. ZZPL je poseban srpski zakon koji po strukturi prati GDPR: slična načela, pravni osnovi, prava lica i pravila o povredi podataka. Nadzor vrši Poverenik, a ne organi EU, i kazne se izriču u dinarima po prekršajnim pravilima. Mnoge firme moraju da poštuju oba propisa.
Da li mi treba baner za kolačiće na sajtu u Srbiji?
Ako koristite analitiku, reklamne piksele ili druge alate za praćenje koji nisu neophodni, po pravilu vam treba pristanak posetioca pre njihovog učitavanja, a baner je uobičajen način da ga dobijete. Neophodni kolačići, na primer za korpu, tretiraju se drugačije. Sa pravnikom proverite koja pravila o elektronskim komunikacijama važe za vaš sajt.
Da li mala firma u Srbiji mora da ima lice za zaštitu podataka?
Uglavnom ne. Član 56 propisuje obavezu za organe vlasti i za firme čija se osnovna delatnost sastoji od sistematskog nadzora velikog broja lica ili obrade posebnih podataka, kao što su zdravstveni, u velikom obimu. I tada je korisno da interno odredite odgovornu osobu za zahteve i incidente.
Šta da radim ako je sajt hakovan?
Zaustavite incident, promenite pristupne podatke i vratite sajt iz čiste rezervne kopije. Zatim procenite da li su podaci o ličnosti otkriveni. Ako povreda može da ugrozi ljude, obavestite Poverenika bez nepotrebnog odlaganja, a ako je moguće u roku od 72 časa, a pogođena lica obavestite kada je rizik visok. Sve što utvrdite i uradite zapišite.
Niste sigurni šta vaš sajt danas prikuplja? Naša besplatna provera sajta pokazuje forme, skripte i bezbednosne propuste koji su važni za usklađenost.
Želite da proverimo sajt u odnosu na ZZPL?
Pregledamo forme, kolačiće, servise i bezbednosna podešavanja i dajemo vam spisak izmena po prioritetu za vašeg programera. Pravne formulacije ostaju pravniku, tehnički deo je naš.
Zakažite besplatne konsultacije