Novi zakon o zaštiti podataka i vaše fakture

Autor: Fakturko tim · Objavljeno 5. septembar 2026. · 9 min čitanja

Klijent te zove u utorak popodne: "Slušaj, obriši moje podatke iz sistema, ne želim više da vas imam u bazi." Ti imaš 30 dana da odgovoriš, a inspektor Poverenika za informacije od javnog značaja može da pokuca bilo kada. Ako vodiš fakture u Excelu na desktopu bez lozinke, ili u fascikli "Klijenti 2026" na Google Drive-u, već si u prekršaju — i pre nego što si stigao da pročitaš šta piše u Zakonu o zaštiti podataka o ličnosti.

Za srpske preduzetnike, ovo nije apstraktna EU priča. Zakon o zaštiti podataka o ličnosti ("Sl. glasnik RS", br. 87/2018) primenjuje se od avgusta 2019, a Poverenik je poslednjih godina zategao kontrole — naročito onima koji obrađuju podatke fizičkih lica kroz fakturisanje, mejling liste i CRM. Evo šta konkretno moraš da imaš u malom biznisu, i gde su najčešće rupe.

Ko mora da poštuje ZZPL — i da, ti si u tome

Ako vodiš bilo kakvu evidenciju o ljudima (klijenti, dobavljači fizička lica, zaposleni, kandidati sa CV-jem, pretplatnici na newsletter), ti si rukovalac podataka i ZZPL se odnosi na tebe. Nema izuzetka za paušalce, frilensere ili mikro firme sa jednim zaposlenim.

Konkretno, obradom ličnih podataka smatra se:

• čuvanje ime/prezime/adresa/JMBG kupca fizičkog lica na fakturi
• baza mejl adresa klijenata za slanje ponuda ili newslettera
• WhatsApp/Viber grupa sa kontaktima klijenata
• CV-jevi kandidata koji su ti se javili na oglas i koje "čuvaš za slučaj"
• fotografije sa događaja gde se prepoznaju lica
• IP adrese posetilaca sajta kroz Google Analytics

Za pravna lica (firma-firma odnos) ZZPL se ne primenjuje direktno, ali čim na fakturi ili u komunikaciji imaš ime i prezime kontakt-osobe u firmi klijentu — obradio si lični podatak te osobe.

Za većinu malih biznisa ne treba da imaš Lica za zaštitu podataka (DPO). Obaveza postoji uglavnom za javne organe i za one koji sistematski i u velikom obimu prate lica ili obrađuju posebne kategorije podataka (zdravstveni, biometrijski). Prevedeno: knjigovodstvena agencija sa 200 klijenata najverovatnije ne mora, ali marketinška agencija koja radi ciljanje i profiling — treba da proveri.

Šest obaveza koje moraš da ispuniš odmah

Da ne bi lutao po zakonu od 102 člana, evo šta u praksi mora da postoji kod tebe:

Poslednja stavka najviše iznenađuje ljude. Kad koristiš knjigovođu, cloud hosting, mejling servis (Mailchimp, ActiveCampaign), softver za fakturisanje ili čak virtuelnu asistentkinju — svi oni obrađuju podatke tvojih klijenata u tvoje ime. Sa svima moraš imati pisani ugovor o obradi podataka (DPA — Data Processing Agreement). Ako ti dobavljač to ne nudi, to je ozbiljna crvena zastava.

Fakture i lični podaci — gde su konkretne rupe

Fakture su najzanemarenije mesto u priči o ZZPL, a tu su podaci najosetljiviji. Evo tipičnih situacija i šta sa njima:

Situacija 1: Fakturišeš fizičkim licima (paušalac za konsultacije). Na fakturi imaš ime, prezime, adresu i najčešće JMBG (ako ide preko SEF-a ili zbog PDV-a). Ovo su lični podaci punog obima. Ne smeš ih deliti sa trećim licima bez osnova, moraš ih čuvati bezbedno, i imaš zakonsku obavezu čuvanja fakture 10 godina — što je i tvoj pravni osnov za obradu (izvršenje ugovora + zakonska obaveza), pa pristanak ovde nije potreban.

Situacija 2: Šalješ mejl podsetnik za neplaćenu fakturu. Legitimno, ne treba poseban pristanak — ovo je izvršenje ugovora. Ali ako iz iste baze klijenata pošalješ "novogodišnji promo popust", to je marketing i treba ti pristanak. Ovo dvoje mora tehnički da bude odvojeno.

Situacija 3: Klijent traži da mu obrišeš podatke. Ne možeš da obrišeš fakturu — imaš zakonsku obavezu čuvanja 10 godina po Zakonu o računovodstvu. Ali možeš (i moraš) da izbrišeš njegove podatke iz marketing baze, iz CRM-a, iz mejling liste. Odgovor kroz 30 dana obavezan, u pisanoj formi, sa objašnjenjem šta si obrisao i šta ne možeš i zašto.

Situacija 4: Hakovan ti mejl i procurele su fakture sa JMBG-om. Imaš 72 sata da prijaviš Povereniku (obrazac na poverenik.rs), i moraš obavestiti sva pogođena lica ako je rizik po njih visok. Kazna za neprijavljivanje ide do 2 miliona dinara po članu 95 ZZPL.

Situacija 5: Prosleđuješ knjigovođi fasciklu skeniranih faktura preko WhatsApp-a. WhatsApp je end-to-end enkriptovan, ali podaci se čuvaju na serverima Meta (SAD). Ovo je prekogranični prenos podataka i formalno treba da imaš osnov po članu 65 ZZPL. U praksi: koristi namenski kanal (SEF, portal, cloud sa DPA), ne konsumer chat aplikaciju.

Politika privatnosti — šta mora da piše

Ovo je jedini javni dokument koji svako mora da ima, i najčešće je copy-paste sa nekog engleskog sajta koji nema veze sa srpskim ZZPL. Minimum sadržaja po članu 23 ZZPL:

1. Ko si ti — pun naziv, PIB, adresa, kontakt mejl
2. Koje podatke prikupljaš — ime, mejl, telefon, IP, cookies, itd.
3. Zašto ih prikupljaš — svrha svake kategorije
4. Pravni osnov — ugovor, zakonska obaveza, pristanak, legitimni interes
5. Koliko ih čuvaš — konkretan rok, ne "koliko je potrebno"
6. S kim ih deliš — knjigovođa, hosting, mejling servis (imenom)
7. Da li ih šalješ van Srbije — i na kom osnovu
8. Prava lica — uvid, ispravka, brisanje, prenosivost, prigovor
9. Pravo na žalbu Povereniku — sa linkom

Ako ti politika privatnosti pominje "GDPR" a ne pominje ZZPL i Poverenika u Beogradu — nije usklađena. GDPR je EU regulativa; kod nas važi ZZPL, koji je sličan ali nije identičan.

Kazne: koliko te ovo košta ako ignorišeš

Kaznene odredbe ZZPL su realne i visoke, čak i za mikro biznise:

Poverenik u praksi prvo šalje upozorenje i nalog za usklađivanje, ali ako ignorišeš — kazna dolazi. Ono što najviše boli male firme nije kazna već reputaciona šteta: ako klijent podnese žalbu Povereniku i to postane javno u rešenju na sajtu poverenik.rs, taj podatak ostaje trajno. B2B klijenti to gledaju pre nego što potpišu ugovor.

Za detalje o zakonu i primenu proveri direktno sajt Poverenika — tamo su i modeli obrazaca i aktuelna praksa.

Praktični plan za 7 dana

Ako sada shvatiš da nisi usklađen, evo redosleda po kome to rešiš bez panike:

Dan 1-2: Popis podataka. Sedi i napiši spisak: gde sve imaš podatke o ljudima. Excel? Gmail contacts? CRM? Softver za fakturisanje? Fascikla na desktopu? WhatsApp Business? Sve to.

Dan 3: Napravi evidenciju radnji obrade. Za svaku bazu iz koraka 1 upiši: šta se obrađuje, zašto, koliko čuvaš, s kim deliš. Šablon možeš skinuti sa sajta Poverenika.

Dan 4: Politika privatnosti. Napiši (ili plati advokatu 200-500 evra da napiše) sa svim tačkama iz gornje sekcije. Postavi na sajt u footer.

Dan 5: Ugovori sa obrađivačima. Napravi listu svih alata i servisa koji obrađuju podatke u tvoje ime. Pošalji svakom zahtev za DPA. Ako neko odbija ili ne odgovara — zameni ga.

Dan 6: Tehničke mere. Uključi 2FA na sve poslovne naloge, stavi lozinku na laptop, šifrifruj backup, ograniči ko od zaposlenih vidi šta. Ovo nije predlog, ovo je član 42 ZZPL.

Dan 7: Interni proces za zahteve. Napiši sebi (i timu) proceduru: kad stigne mejl "obrišite moje podatke", ko ga vidi, u kom roku odgovaramo, ko potpisuje. Postavi mejl adresu tipa privatnost@tvojafirma.rs i objavi je u politici privatnosti.

Šta sa alatima koje koristiš — kako da proveriš

Ne moraš da čitaš 40 strana Terms of Service od svakog alata. Traži tri stvari:

1. DPA (Data Processing Agreement) — svaki ozbiljan SaaS ga ima javno dostupan, ili ti ga potpiše na zahtev. Nema DPA = ne koristi.
2. Gde su serveri — EU/Srbija je uvek jednostavnije od SAD. Ako je SAD, moraju imati standardne ugovorne klauzule ili neki drugi validan osnov po članu 65 ZZPL.
3. Sigurnosni sertifikati — ISO 27001, SOC 2 Type II. To su znaci da neko ozbiljno tretira bezbednost.

Za softvere koji hostuju u Srbiji ili EU i imaju domaći DPA na srpskom — priča je najjednostavnija, jer ne moraš da rešavaš prekogranični prenos podataka.

Gde Fakturko sedi u ovoj priči

Kada podatke klijenata držiš u Fakturko, oni žive na serverima u EU, sa enkripcijom u prenosu i mirovanju, redovnim backup-ima i pristupom samo tebi i onim korisnicima kojima si eksplicitno dao pristup (npr. knjigovođi). DPA je deo Uslova korišćenja, pa nemaš potrebu da pregovaraš poseban ugovor — jedan check-box na registraciji pokriva ovo.

Konkretno u svakodnevnom radu: kad ti klijent pošalje zahtev "obrišite me", možeš da izbrišeš njegove podatke iz baze klijenata jednim klikom (fakture ostaju zbog zakonske obaveze čuvanja 10 godina, ali lični identifikatori idu). Pristup za knjigovođu je poseban nalog sa logom aktivnosti — vidiš ko je i kada video koje podatke, što ti trebaše ako ikada dođe kontrola Poverenika. A kad prosleđuješ mesečni paket knjigovođi, ne ide preko WhatsApp-a i mejla — ide kroz sistem, unutar EU, sa tragom.

Šta uraditi ovog vikenda

Ne moraš da postaneš pravnik. Moraš da imaš popis onoga što obrađuješ, dokument koji to opisuje javno, ugovore sa svima kojima šalješ podatke, i tehničke mere da ti se ne procure. To je 90% posla i to je ono što Poverenik traži prvo kad dođe.

Najveća greška koju vidim kod srpskih preduzetnika: čekaju "kad budem imao vremena" ili "kad me neko prijavi pa da vidim". Kazna od 500.000 dinara za jednog paušalca je godinu dana zarade. Kontrola stiže kad je ne očekuješ — obično kad te bivši saradnik ili nezadovoljni klijent prijavi.

Ako želiš da bar deo priče — čuvanje faktura i podataka klijenata — skineš sa vrata odmah, možeš napraviti nalog za Fakturko besplatno i preneti postojeće fakture za nekoliko minuta. Ostatak posla (politika privatnosti, evidencija obrade) rešavaš zasebno, ali osnova gde ti podaci klijenata žive je već pod kontrolom.