Šta donosi novi Zakon o zaštiti ličnih podataka u BiH (2025): rokovi, obaveze i kazne

Napomena: ovo nije pravni savjet. Pregled je napisan na osnovu teksta zakona objavljenog u „Službenom glasniku BiH“, br. 12/25, i javno dostupnih izvora, sa stanjem u oktobru 2026. Za vašu konkretnu obradu podataka konsultujte pravnika ili Agenciju za zaštitu ličnih podataka u BiH.

Kada je zakon donesen i od kada se primjenjuje

Zakon je objavljen 28. februara 2025. u „Službenom glasniku BiH“, br. 12/25. Prema članu 120, stupa na snagu osmog dana od objave, dakle u martu 2025, a primjenjuje se nakon 210 dana, odnosno od početka oktobra 2025. Istog dana prestao je važiti stari zakon iz 2006. godine.

Izvori se razlikuju za jedan dan oko tačnog datuma početka primjene: Paragraf.ba u jednom tekstu navodi 4. oktobar, a u drugom 5. oktobar 2025. Za praksu to nije bitno. Bitniji je rok iz člana 116: kontrolori i obrađivači koji su podatke obrađivali i prije novog zakona imaju dvije godine od stupanja na snagu da tu obradu usklade, što znači do marta 2027.

Datum	Šta se desilo	Osnov
Januar 2025.	Zakon usvojen u oba doma Parlamentarne skupštine BiH	Hitni postupak
28. 2. 2025.	Objava u „Službenom glasniku BiH“, br. 12/25	—
Mart 2025.	Stupanje na snagu (osmi dan od objave)	čl. 120.
Oktobar 2025.	Početak primjene, prestanak važenja zakona iz 2006.	čl. 119. i 120.
Mart 2027.	Krajnji rok za usklađivanje obrada koje su postojale prije zakona	čl. 116.

Tekst zakona: Paragraf.ba, Zakon o zaštiti ličnih podataka i PDF verzija na sajtu Agencije za statistiku BiH. Vijest o početku primjene: Paragraf.ba, oktobar 2025.

Zašto je BiH donijela novi zakon

Stari zakon („Službeni glasnik BiH“, br. 49/06, 76/11 i 89/11) pisan je prije društvenih mreža, kolačića za praćenje i cloud servisa. Novi zakon preuzima rješenja iz Opće uredbe EU o zaštiti podataka (GDPR, Uredba 2016/679) i Direktive 2016/680 za policiju i pravosuđe, kao dio usklađivanja s pravom EU.

Za firme to znači da pravila u BiH sada liče na pravila koja već poznaju iz poslovanja s EU partnerima. Ako vaš web shop već radi po GDPR-u za kupce iz Hrvatske ili Njemačke, veliki dio posla je urađen. Ako nikad niste imali politiku privatnosti ni banner za kolačiće, sada morate krenuti od nule.

Na koga se zakon odnosi

Zakon se odnosi na svakoga ko obrađuje lične podatke fizičkih lica u BiH: državne institucije, firme, obrte, udruženja, web shopove i aplikacije. Prema članu 6, važi i za strane firme bez sjedišta u BiH ako nude robu ili usluge osobama u BiH ili prate njihovo ponašanje na internetu.

Veličina firme ne oslobađa od zakona. Obrt s dvije narudžbe sedmično obrađuje ime, adresu, telefon i email kupca i ima iste osnovne obaveze kao velika trgovina. Razlika je u obimu: manji subjekti su oslobođeni nekih administrativnih obaveza, poput vođenja evidencije obrade, ali ne svih (vidi dalje).

Strane firme bez sjedišta u BiH koje ciljaju kupce u BiH, prema članu 29, u pravilu moraju imenovati predstavnika u BiH, uz izuzetke koje zakon navodi.

Šta se smatra ličnim podatkom

Lični podatak je svaka informacija po kojoj se fizičko lice može direktno ili indirektno identifikovati: ime, adresa, JMBG, telefon, email, ali i IP adresa, identifikator kolačića, lokacija, broj narudžbe povezan s kupcem i biometrijski podaci. Posebne kategorije, poput zdravstvenih podataka, imaju strožu zaštitu.

Kategorija	Primjeri	Gdje se javlja u firmi
Identifikacijski	ime, prezime, JMBG, broj lične karte	ugovori, kadrovska evidencija
Kontakt	adresa, telefon, email	narudžbe, newsletter, CRM
Online identifikatori	IP adresa, kolačići, ID uređaja	web analitika, oglasi, logovi servera
Finansijski	broj računa, podaci o kartici	plaćanje (najčešće kod procesora)
Posebne kategorije	zdravlje, biometrija, vjerska ili politička uvjerenja	apoteke, klinike, dodaci prehrani, kontrola pristupa

Načela i pravni osnov obrade

Član 7. propisuje da podaci moraju biti obrađeni zakonito, pošteno i transparentno, za određenu svrhu, u minimalnom obimu, tačni, čuvani samo koliko je potrebno i zaštićeni. Prema članu 8, svaka obrada mora imati jedan od šest pravnih osnova, a saglasnost je samo jedan od njih.

• Saglasnost: newsletter, marketinški kolačići, nagradne igre.
• Izvršenje ugovora: obrada adrese i telefona da bi se isporučila narudžba.
• Zakonska obaveza: čuvanje računa i knjigovodstvene dokumentacije.
• Vitalni interes: rijetko, npr. hitne medicinske situacije.
• Javni interes ili službena ovlast: institucije.
• Legitimni interes: npr. zaštita od prevara, ako ne preteže interes osobe.

Najčešća greška je tražiti saglasnost za sve, uključujući isporuku. To je pogrešno jer se saglasnost može povući u svakom trenutku (član 9), a vi adresu ipak morate imati da biste poslali paket. Za isporuku je osnov ugovor, a saglasnost ostavite za marketing. Za djecu mlađu od 16 godina saglasnost za usluge informacionog društva daje roditelj ili staratelj (član 10).

Prava građana: šta mogu tražiti od firme

Zakon daje svakoj osobi osam prava: na informaciju, pristup, ispravku, brisanje, ograničenje obrade, prenosivost, prigovor i zaštitu od isključivo automatizovanih odluka (članovi 15. do 24.). Firma mora odgovoriti bez nepotrebnog odgađanja, a najkasnije u roku od 30 dana, uz mogućnost produženja za još 60 dana uz obrazloženje.

Pravo	Član	Šta to znači u praksi
Pristup	17.	Osoba dobija kopiju podataka koje o njoj imate i informaciju kako ih koristite
Ispravka	18.	Netačna adresa ili ime se ispravljaju na zahtjev
Brisanje	19.	Brišete podatke koje više ne trebate i koje ne morate čuvati po drugom zakonu
Ograničenje obrade	20.	Podaci se čuvaju, ali se ne koriste dok se spor ne riješi
Prenosivost	22.	Podaci u strukturiranom formatu, npr. CSV, za prenos drugom pružaocu
Prigovor	23.	Na direktni marketing osoba može prigovoriti bilo kada i obrada tada prestaje
Automatizovane odluke	24.	Pravo da odluku s pravnim učinkom ne donese samo algoritam

Odgovori su po pravilu besplatni (član 14). Naknadu za stvarne administrativne troškove možete tražiti samo za očigledno neosnovane ili pretjerane zahtjeve. Ako zahtjev odbijete, u roku od 30 dana morate osobi navesti razloge i reći joj da se može obratiti Agenciji ili sudu.

Nove obaveze za firme

Firme sada moraju dokazati usklađenost, a ne samo tvrditi da je imaju. Zakon traži zaštitu podataka od samog dizajna sistema, pisane ugovore s obrađivačima, evidenciju obrade, sigurnosne mjere srazmjerne riziku, prijavu incidenata u 72 sata i procjenu uticaja za rizične obrade. Za neke subjekte obavezan je i službenik za zaštitu podataka.

Zaštita od samog početka (član 27.)

Kad pravite novi sistem, formular ili aplikaciju, zaštita mora biti ugrađena od početka, a zadane postavke moraju prikupljati samo ono što je potrebno. Primjer: polje za datum rođenja u formi za narudžbu ne smije biti obavezno ako vam ne treba za isporuku.

Ugovor s obrađivačem (član 30.)

Svako ko podatke obrađuje za vas, od hosting firme i knjigovodstvenog servisa do kurira i alata za email marketing, mora imati pisani ugovor s vama. Ugovor navodi predmet, trajanje, svrhu, vrstu podataka, sigurnosne mjere i šta se dešava s podacima kad saradnja prestane.

Evidencija aktivnosti obrade (član 32.)

Kontrolori i obrađivači vode evidenciju: koje podatke obrađuju, zašto, s kim ih dijele i koliko ih čuvaju. Firme s manje od 250 zaposlenih su oslobođene, osim ako obrada nije povremena, nosi rizik ili uključuje posebne kategorije. Web shop obrađuje narudžbe svaki dan, pa obrada nije povremena i evidenciju je pametno voditi.

Sigurnost i prijava incidenta (članovi 34. do 36.)

Mjere zaštite moraju odgovarati riziku: šifrovanje, kontrola pristupa, sigurnosne kopije i redovno testiranje. Ako dođe do povrede podataka, Agenciju obavještavate bez odgađanja, a gdje je moguće u roku od 72 sata od saznanja. Ako je rizik za ljude visok, obavještavate i njih, pisanim putem.

Procjena uticaja i službenik za zaštitu podataka (članovi 37. do 41.)

Procjena uticaja je obavezna prije visokorizične obrade, npr. sistematskog profilisanja ili obrade zdravstvenih podataka u velikom obimu. Službenika za zaštitu podataka moraju imenovati javni organi i subjekti čija je osnovna djelatnost redovno praćenje osoba u velikom obimu ili obrada posebnih kategorija u velikom obimu. Za većinu malih web shopova to nije obaveza.

Direktni marketing, newsletter i kolačići

Promotivne poruke smijete slati samo osobama koje su dale saglasnost ili s kojima već imate ugovorni odnos, a svako ko prigovori mora odmah biti uklonjen s liste. Javno dostupni kontakti iz imenika mogu se koristiti samo za prvi kontakt kojim tražite saglasnost, prema tumačenju objavljenom na Paragraf.ba.

Izvor: Paragraf.ba, septembar 2025. U praksi to znači: polje za prijavu na newsletter ne smije biti unaprijed označeno, svaki mail mora imati link za odjavu koji radi jednim klikom, a kupljene baze emailova ne koristite. Za kolačiće važi isto načelo: analitički i marketinški kolačići se ne učitavaju dok korisnik ne pristane, a odbijanje mora biti jednako lako kao prihvatanje.

Prenos podataka van BiH

Podaci se smiju prenijeti u drugu zemlju ako Vijeće ministara BiH, na prijedlog Agencije, utvrdi da ta zemlja ima odgovarajući nivo zaštite (član 47), ili uz odgovarajuće garancije kao što su standardne ugovorne klauzule koje usvaja Agencija (član 48) i obavezujuća korporativna pravila (član 49).

Ovo se tiče gotovo svake firme, jer email, CRM, analitika, oglasni alati i mnogi hosting servisi rade na serverima u EU ili SAD. Napravite listu servisa koje koristite, provjerite gdje drže podatke i da li nude ugovor o obradi podataka. Prenos navedite u politici privatnosti.

Kazne: od 10.000 do 40.000.000 KM

Član 113. propisuje dva nivoa kazni za pravna lica: od 10.000 KM do 20.000.000 KM ili do 2 % ukupnog godišnjeg prometa, i od 20.000 KM do 40.000.000 KM ili do 4 % prometa za teže prekršaje, pri čemu se primjenjuje viši iznos. Odgovorna osoba u firmi plaća od 5.000 do 70.000 KM, a zaposleni od 500 do 5.000 KM.

Ko	Raspon kazne	Osnov
Pravno lice, lakši prekršaji	10.000 do 20.000.000 KM ili do 2 % godišnjeg prometa	čl. 113. st. 4.
Pravno lice, teži prekršaji	20.000 do 40.000.000 KM ili do 4 % godišnjeg prometa	čl. 113. st. 5.
Odgovorna osoba	5.000 do 70.000 KM	čl. 113. st. 7.
Zaposleni	500 do 5.000 KM	čl. 113. st. 7.

Zastara za izricanje kazne je pet godina (član 113. stav 9). Uz kazne, Agencija može zabraniti obradu, a osoba kojoj je nanesena šteta može tražiti naknadu materijalne i nematerijalne štete (član 112). Teže zloupotrebe su krivično djelo po krivičnim zakonima (član 115). Ranije verzije ovog članka i mnogi drugi tekstovi navode kaznu od 500 do 5.000 KM za odgovorna lica: taj raspon se odnosi na zaposlene, a za odgovorne osobe je od 5.000 do 70.000 KM.

Šta je novo u odnosu na zakon iz 2006.

Najveće razlike su kazne vezane za promet firme, obavezna prijava incidenata u 72 sata, prava na brisanje i prenosivost, evidencija i procjena uticaja, službenik za zaštitu podataka, primjena na strane firme koje ciljaju BiH i jasna pravila za saglasnost i direktni marketing.

Tema	Zakon iz 2006.	Zakon iz 2025.
Kazne	Fiksni, relativno niski iznosi	Do 40.000.000 KM ili 4 % prometa
Prijava incidenta	Nije bila propisana na ovaj način	Agenciji u roku od 72 sata
Brisanje i prenosivost	Ograničeno	Izričita prava (čl. 19. i 22.)
Službenik za zaštitu podataka	Ne	Obavezan za određene subjekte
Strane firme	Nejasno	Zakon važi ako ciljaju osobe u BiH
Saglasnost djeteta	Nije posebno uređena	Od 16 godina, mlađi uz roditelja

Šta uraditi do marta 2027: plan u 8 koraka

Ako vaša firma još nije uskladila obradu, preostalo vrijeme do marta 2027. je dovoljno za uredan posao, ali ne i za odgađanje. Za malu firmu ili web shop cijeli postupak obično traje nekoliko sedmica, s tim da politiku privatnosti i ugovore treba pregledati pravnik.

Konkretne korake za online trgovinu, od checkout forme do kurirskih službi i WooCommerce postavki, opisali smo u tekstu kako zakon o zaštiti podataka utiče na web shopove u BiH. Šira pravna pravila za prodaju preko interneta su u vodiču pravni okvir za online prodaju u BiH.

Tehnička strana: šta može uraditi agencija, a šta pravnik

Pravnik piše i potvrđuje dokumente: politiku privatnosti, ugovore s obrađivačima i procjenu uticaja. Tehnički tim podešava sajt da te dokumente zaista poštuje: banner koji stvarno blokira kolačiće, forme bez suvišnih polja, izvoz i brisanje podataka, šifrovanu vezu i sigurnosne kopije. Jedno bez drugog ne daje usklađenost.

Česta situacija u BiH: firma plati pravnika za politiku privatnosti, objavi je, a Meta Pixel i Google Analytics se i dalje učitavaju prije pristanka jer niko nije promijenio kod sajta. Kad radimo održavanje web stranica ili novu izradu web shopa, provjeravamo upravo te stvari: koji skriptovi se učitavaju prije pristanka, koja polja forme su suvišna i kako se rade sigurnosne kopije.