ZZPL za preduzetnike: šta moraš, a šta ne

Autor: Fakturko tim · Objavljeno 8. oktobar 2026. · 7 min čitanja

Dobiješ mejl od klijenta: "Pošaljite mi sve podatke koje imate o meni." Ili ti neko u razgovoru baci: "Imaš li ti uopšte politiku privatnosti? Znaš da su kazne milionske." Većina preduzetnika tu zastane, jer su o ovom zakonu čuli sve i ništa. Hajde da razdvojimo šta zakon stvarno traži od tebe, a šta je strašenje.

Šta je ZZPL i zašto te se tiče

Zakon o zaštiti podataka o ličnosti donet je 13. novembra 2018. i objavljen u "Službenom glasniku RS", br. 87/2018. Stupio je na snagu 21. novembra 2018, a primenjuje se od avgusta 2019. Zakon je pisan po uzoru na evropski GDPR, pa se u stručnim tekstovima često opisuje kao njegov bukvalan prevod. Otuda i utisak da je pisan za velike sisteme, a ne za frilensera i radnju sa dva zaposlena.

Ali zakon ne pita koliko si mali. Pita samo da li obrađuješ podatke o ličnosti. A ti ih obrađuješ čim izdaš prvu fakturu: ime i prezime fizičkog lica, adresa, mejl, telefon, broj računa. Ako imaš klijente fizička lica, saradnike, zaposlene ili kontakt osobe u firmama, ti si rukovalac podacima. Nadzor nad primenom vrši Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti, nezavisan državni organ.

Zato "mene se to ne tiče, ja sam samo paušalac" nije dobra odbrana.

Šta ZZPL stvarno traži od male firme

Ako sve svedeš na praksu, obaveze koje će te najverovatnije dotaći su ove:

Rok od 30 dana za odgovor može da se produži za još 60 dana, ako je to neophodno, ali samo ako klijenta obavestiš o produženju u prvih 30 dana. Ćutanje nije opcija.

Rok od 72 časa je onaj koji ljudi najčešće potcene. Ako ti ukradu laptop sa klijentskom bazom, ili mejl nalog neko provali, sat počinje da otkucava od trenutka kad si saznao. Prijava se podnosi na propisanom obrascu iz Pravilnika; obrazac potraži u Pravilniku ili kod Poverenika.

Evidencija radnji obrade: da li si izuzet?

Član 47 važećeg zakona propisuje evidenciju radnji obrade koju vodi rukovalac. U stručnim tekstovima se pominje izuzetak za subjekte sa manje od 250 zaposlenih, ali on ne važi kad je obrada rizična, nije povremena ili uključuje posebno osetljive podatke. Pošto taj stav nisam proverio u zvaničnom tekstu zakona, ne tvrdim da si izuzet. Pročitaj član 47 u zvaničnom tekstu ili pitaj knjigovođu ili pravnika. Ako vodiš evidenciju, ona je ionako jedna tabela: koje podatke čuvaš, zašto, koliko dugo i ko im ima pristup.

Lice za zaštitu podataka (DPO)

Član 56 nalaže da rukovalac i obrađivač u određenim situacijama odrede lice za zaštitu podataka o ličnosti. Ko to ne učini a mora, kažnjava se, a okvir kazni zavisi od toga da li je u pitanju pravno lice, preduzetnik ili fizičko lice. Da li spadaš među obveznike, zavisi od vrste i obima obrade, pa ni ja ne mogu da ti kažem "da" ni "ne" za paušalca uopšte. Ako ipak odrediš takvo lice dobrovoljno, moraš da objaviš njegove kontakt podatke i da ih dostaviš Povereniku.

Kazne: šta je tačno, a šta je GDPR priča

Na internetu kruži podatak da ZZPL kažnjava "do 20 miliona evra ili 4% godišnjeg prometa". To je GDPR, ne srpski zakon. U Srbiji su kazne fiksni iznosi u dinarima, bez veze sa prometom.

Prema članu 95, rukovalac ili obrađivač koji je pravno lice može biti kažnjen novčanom kaznom od 50.000 do 2.000.000 dinara, na primer zbog obrade podataka suprotno načelima iz člana 5. Za preduzetnika član 95 stav 2 propisuje novčanu kaznu od 20.000 do 500.000 dinara. Odgovorno lice kažnjava se od 5.000 do 150.000 dinara, a za pojedine prekršaje predviđen je i fiksni iznos preko prekršajnog naloga. Šta se tačno primenjuje na tvoj slučaj, proveri u zvaničnom tekstu zakona ili kod pravnika.

Protiv odluke Poverenika možeš da pokreneš upravni spor tužbom u roku od 30 dana od prijema odluke.

Novi zakon je samo nacrt, bar za sada

Ministarstvo pravde je 30. jula 2026. objavilo Nacrt novog Zakona o zaštiti podataka o ličnosti, a javna rasprava trajala je do 10. septembra 2026. Nacrt ima 175 članova, a važeći zakon 102. Po nacrtu, novi zakon stupa na snagu osmog dana od objavljivanja u "Službenom glasniku RS", a tada prestaje da važi sadašnji.

Šta to znači za tebe: nacrt nije zakon. Dok ne bude usvojen i objavljen, važi ZZPL iz 2018. Pre nego što menjaš bilo šta u dokumentima, proveri da li je nacrt u međuvremenu usvojen. Što se kazni tiče, izvori se razilaze oko detalja kaznene politike nacrta, pa konačne iznose treba proveriti u tekstu nacrta, a ne računati unapred.

Praktična lista za preduzetnika: šta da uradiš ovog meseca

Bez pravnika i bez velikih troškova, ovo je razuman minimum:

1. Popiši koje podatke čuvaš. Fakture, ugovori, mejlovi, tabele, telefon. Za svaku grupu odgovori: zašto mi treba i dokle ga čuvam?
2. Skupi manje. Ako ti za izdavanje fakture ne treba telefon, ne traži ga. Načelo je jednostavno: samo ono što ti stvarno treba.
3. Napiši kratku politiku privatnosti. Jedna strana, jasnim jezikom: koje podatke prikupljaš, zašto, koliko ih čuvaš i kome se klijent javlja ako želi uvid ili brisanje.
4. Odredi ko odgovara na zahteve. Kod solo preduzetnika to si ti, ali odluči unapred gde stiže zahtev i kako ćeš poštovati rok od 30 dana.
5. Zaštiti uređaje. Lozinke, ažuriranje, zaključan ekran, rezervne kopije. Najčešća povreda podataka nije hakerski napad nego izgubljen telefon.
6. Znaj šta radiš ako se desi povreda. Rok je 72 časa, pa nemoj da tek tada tražiš obrazac.
7. Ne šalji tuđe podatke naokolo. Cela baza klijenata u mejlu knjigovođi je u redu ako je on tvoj saradnik za knjigovodstvo; ista baza prosleđena prijatelju "da vidi kako izgleda" nije.

Tri primera iz prakse

Frilenser sa stranim i domaćim klijentima. Čuva ugovore, fakture i mejl prepisku. Njemu je najvažnije da zna šta ima gde i da može da obriše podatke kad ugovor prestane da traje i prođu rokovi koje propisi nalažu za čuvanje računovodstvene dokumentacije.

Paušalac sa radnjom i klijentima fizičkim licima. Frizerka, majstor, fotograf. Čuva imena, brojeve telefona i adrese. Treba joj kratko obaveštenje o tome zašto ih čuva i dokle.

Mala firma sa nekoliko zaposlenih. Tu se pojavljuju i podaci zaposlenih, koji su češće predmet pitanja nego podaci klijenata. Ovde je pametno da pravnik pogleda ceo spisak podataka koje čuvaš i da proveri da li ti je potreban DPO po članu 56.

Čega se kloniti

• Gotovih "paketa dokumenata za ZZPL" koje prodaju za sitne pare. Generički šabloni ne znaju šta ti stvarno obrađuješ.
• Straha od "milionskih kazni" kao jedinog motiva. Kazne postoje, ali ih najbolje izbegavaš običnom urednošću, ne panikom.
• Kopiranja tuđe politike privatnosti. Ako piše da koristiš kolačiće, a nemaš sajt, to je samo dokument koji laže.
• Čuvanja svega zauvek. Ako ne znaš zašto čuvaš podatak, verovatno ne treba da ga čuvaš.

Gde Fakturko ulazi u ovu priču

Najveći deo podataka o ličnosti kod preduzetnika završi u fakturama i spiskovima klijenata, pa je dobro da su na jednom mestu, a ne razbacani po mejlovima, sveskama i tabelama. U Fakturku klijente vodiš na jednom mestu, a podatke o firmi povlačiš iz APR registra umesto da ih prepisuješ i ostavljaš kopije po fajlovima. Kada ti klijent zatraži uvid u svoje podatke, znaš gde da ih tražiš.

Pri tom nemoj da shvatiš da aplikacija "radi ZZPL umesto tebe". Obaveze iz zakona (politika privatnosti, odgovor na zahtev, prijava povrede) ostaju tvoje, a alat ti samo olakšava da imaš red u podacima. Kada fakture šalješ knjigovođi, možeš da koristiš paket za knjigovođu, koji ide mejlom, ručno ili po rasporedu, pa ne moraš da prosleđuješ pojedinačne dokumente preko privatnih poruka.

Da zaokružimo

ZZPL nije zakon samo za banke i telekome. Tiče se i tebe čim imaš klijenta fizičko lice, ali obaveze se svode na red: znati šta čuvaš, zašto, kome ga daješ i šta radiš kad nešto pođe naopako. Nacrt novog zakona je u pripremi, pa prati stanje, a do tada važi ono što važi. Ako želiš da podatke o klijentima i fakturama držiš na jednom mestu, isprobaj Fakturko — registracija je besplatna i nov nalog dobija 90 dana punog Pro paketa, bez kartice.

Za sva pitanja o tome šta se tebe konkretno tiče, obrati se Povereniku ili pravniku. Tekst je informativne prirode i ne zamenjuje pravni savet.