Izvještaj nosi i osobne podatke

Tko je u kojoj ulozi

Voditelj obrade određuje svrhe i sredstva obrade; izvršitelj obrađuje podatke u njegovo ime. U uobičajenoj postavi klijent je voditelj, a knjigovodstveni servis izvršitelj. Ako dva subjekta zajednički određuju svrhe obrade, riječ je o zajedničkim voditeljima — a to je odnos koji se uređuje, ne pretpostavlja.

Izvršitelj smije angažirati podizvršitelja samo uz pisano odobrenje voditelja, i to uz iste obveze koje ima sam. Svaki alat u lancu je dakle nečija odluka koja se dokumentira. Izvršitelj uz to vodi vlastitu evidenciju aktivnosti obrade.

Prijenos prema centrali

Ako je centrala u Europskoj uniji, prijenos podataka ne otvara pitanje treće zemlje. Ako nije, Opća uredba postavlja opće načelo i tri temelja na kojima se prijenos može zasnovati:

• odluka o primjerenosti — Europska komisija je za tu državu utvrdila primjerenu razinu zaštite
• odgovarajuće zaštitne mjere — standardne ugovorne klauzule ili obvezujuća korporativna pravila
• odstupanja za posebne situacije — iznimke, ne redovni temelj za mjesečni izvještaj

Uz to stoji i računovodstveno pravilo iz prethodnog dijela: knjigovodstvene isprave i poslovne knjige smiju se izvan Hrvatske čuvati samo u drugoj državi članici EU. Dva propisa, isti smjer — i razlog zašto podaci kod nas ne izlaze iz Unije.

Sigurnost i automatizirane odluke

Opća uredba traži tehničke i organizacijske mjere primjerene riziku, među njima i enkripciju. Odvojeno od toga, odluka koja se donosi isključivo automatiziranom obradom i ima značajan učinak na pojedinca u pravilu nije dopuštena — što je važno ako grupa nad podacima o zaposlenicima vrti vlastite modele.

Kad se u obradi koriste generativni AI sustavi, Akt o umjetnoj inteligenciji dodaje obveze transparentnosti. Mi AI koristimo za jezičnu obradu i uvijek uz vlastitu provjeru — nikad kao posljednju instancu nad tuđim podacima.

Nadzorno tijelo u Hrvatskoj je AZOP, a nacionalni okvir uz Opću uredbu daje Zakon o provedbi Opće uredbe o zaštiti podataka.

Na kojim propisima ovo stoji

• Opća uredba o zaštiti podataka (Uredba (EU) 2016/679) — čl. 4. t. 7. i 8. (voditelj i izvršitelj), čl. 9. (posebne kategorije), čl. 22. (automatizirano odlučivanje), čl. 26. (zajednički voditelji), čl. 28. st. 2. i 4. (podizvršitelj), čl. 30. st. 2. (evidencija izvršitelja), čl. 32. (sigurnost obrade), čl. 44. (opće načelo prijenosa), čl. 45. (odluka o primjerenosti), čl. 46. i 47. (zaštitne mjere, BCR), čl. 49. (odstupanja)
• Zakon o provedbi Opće uredbe o zaštiti podataka (NN 42/18) — čl. 1. i 4. (nacionalni okvir, AZOP kao nadzorno tijelo)
• Uredba (EU) 2024/1689 (Akt o umjetnoj inteligenciji) — čl. 50. (obveze transparentnosti)
• Zakon o računovodstvu — čl. 10. st. 2., 3., 5. i 6. te čl. 13. (čuvanje isprava i knjiga, EU-only, nadzorni pristup)

Izravni primarni izvori: Opća uredba o zaštiti podataka, hrvatski provedbeni zakon, Akt o umjetnoj inteligenciji i Zakon o računovodstvu.

Provjereno na dan 2. kolovoza 2026. Propisi se mijenjaju — ako je od tog datuma prošlo više od godine, provjerite je li stranica ažurirana.