Kazna TikToku od 530 miliona evra: GDPR i podatkovna suverenost

TikTok presuda koja je promenila podatkovnu suverenost

Ažurirano za 2026.

U maju 2025, irska Komisija za zaštitu podataka kaznila je TikTok sa 530 miliona evra. Razlog je bio jednostavan. TikTok je prenosio informacije EU korisnika u Kinu bez odgovarajućih zaštitnih mera.

Ovo je druga najveća pojedinačna GDPR kazna ikada. Samo kazna od 1,2 milijarde evra Meti iz 2023. je veća. Irska DPC je i tu izrekla — za prenos EU zapisa na Facebook-ove servere u SAD.

Oba slučaja dele jasan obrazac. Prekogranični prenosi bez odgovarajućih zaštitnih mera privlače najveće kazne. Regulatori će nastaviti sa pritiskom dok kompanije ne promene ponašanje.

Ukupne GDPR kazne dostigle su 5,65 milijardi evra do 2025. Sprovođenje propisa više nije pozadinski rizik. To je aktivni trošak poslovanja. Pogledajte naš GDPR vodič za usklađenost za praktičan pregled.

Šta je ovaj slučaj utvrdio

Ovaj slučaj nije bio o povredi podataka. Reč je o tome gde korisničke datoteke idu i koji je pravni osnov za njihov prekogranični prenos.

TikTok je čuvao EU korisničke datoteke na serverima. Osoblje u Kini moglo je da pristupi tim serverima. GDPR Članci 44–46 ograničavaju prenose u zemlje bez EU odluke o adekvatnoj zaštiti. Kina nema takvu odluku. TikTok je tvrdio da ima adekvatne tehničke mere. Regulatori su odbili tu tvrdnju.

Lekcija je jednostavna. Hosting u EU nije dovoljan ako osoblje van EU može da pristupi datotekama. Takođe nije dovoljan ako je kompanija obavezna da poštuje zakone iz neadekvatne zemlje.

Ovo je važno kada birate SaaS dobavljače. Dobavljač može reći „hostujemo u EU". Ali ako im je matična kompanija na drugom mestu, isti rizik se primenjuje. Ako njihovo osoblje za podršku pristupa korisničkim datotekama van EU, isti rizik se primenjuje. I njihovi klijenti dele taj rizik. Proverite naš kontrolni spisak za usklađenost pre potpisivanja DPA.

GDPR kazne: 5,65 milijardi evra i dalje raste

Regulatori su prešli sa postavljanja pravila na njihovu primenu. Prekršaji u prenosima sada privlače najveće kazne. Saznajte kako mi postupamo sa bezbednošću i zaštitnim merama.

Nemačka, Švajcarska i sektorska pravila

GDPR Članci 44–46 primenjuju se na sve sektore. Ali neke industrije suočavaju se sa dodatnim pravilima pored GDPR-a.

Nemačko zdravstvo: Zakon o socijalnom osiguranju (SGB V) ograničava zdravstvene dokumente na sisteme pod nemačkom kontrolom. Nemački osiguravač može koristiti oblačni alat za de-identifikaciju u Dablinu — to je EU. Ali može i dalje prekršiti SGB V ako je vlasnik alata firma koja nije nemačka.

Švajcarsko bankarstvo: Član 47 Zakona o bankama zabranjuje deljenje klijentskih dokumenata sa eksternim stranama. To uključuje provajdere u oblaku bez eksplicitne saglasnosti klijenta. Klijentske datoteke švajcarske banke, čak i u alatu koji se hostuje u EU, mogu pokrenuti ovaj zakon.

Nemački javni sektor: Smernice BfDI ograničavaju vladine dokumente na sisteme kojima upravlja vlada. Alat za de-identifikaciju na komercijalnim EU serverima provajdera u oblaku ne ispunjava ovaj standard.

Lekcija: GDPR usklađenost je minimum, ne plafon. Mnogi sektori suočavaju se sa strožijim pravilima. Naš pregled obrade entiteta mapira koja pravila se primenjuju po sektoru.

Ko ima odluku o adekvatnoj zaštiti?

GDPR dopušta zemljama da slobodno razmenjuju korisničke informacije ako Evropska komisija kaže da pružaju jednaku zaštitu. Ove zemlje ispunjavaju uslove:

Andora, Argentina, Kanada (komercijalne grupe), Farska Ostrva, Gernzi, Izrael, Ostrvo Man, Japan, Džerzi, Novi Zeland, Južna Koreja, Švajcarska, Velika Britanija, Urugvaj i SAD (Okvir privatnosti podataka).

Ove zemlje ne ispunjavaju uslove: Kina, Indija, Rusija, Brazil, većina Azijsko-Pacifičke regije, većina Bliskog istoka, većina Afrike.

EU-US Okvir privatnosti podataka ponovo je na snazi. Ali i dalje je osporen na sudu. Isti pravni argumenti uklonili su Safe Harbor (Schrems I) i Privacy Shield (Schrems II). Kompanije koje koriste ovaj okvir trebalo bi da planiraju za još jedno poništavanje.

Četiri nivoa zaštite za izbor alata

Slučajevi TikToka i Mete stvaraju jasnu ranglistu za procenu SaaS alata.

Nivo 1 — EU hosting: Korisničke informacije se obrađuju i čuvaju na EU serverima. Ovo ispunjava GDPR osnov za većinu slučajeva upotrebe.

Nivo 2 — EU-bazirani operater: Matična kompanija dobavljača je u EU. Nije predmet zakona neadekvatnih zemalja. Ovo rešava TikTok problem. EU hosting u kombinaciji sa izloženošću kineskim zakonima za matičnu kompaniju nije bezbedno.

Nivo 3 — Dizajn nultog znanja: Čak i ako je dobavljač hakovan ili dobije sudski nalog, ne može da čita vaše datoteke. Vi imate ključeve za šifrovanje. Oni imaju samo šifrovani tekst. anonym.legal nudi prijavu nultog znanja, a ne obradu nultog znanja; pogledajte naš pregled bezbednosti.

Nivo 4 — Lokalna obrada: Vaši dokumenti nikada ne napuštaju vaše sopstvene sisteme. Obrada se odvija na lokalnom hardveru ili sistemima koje kontroliše vlada. Ovo je jedini način da se u potpunosti ispune nemački SGB V, švajcarska bankarska tajnost i BfDI pravila. Za obradu koja nikada ne napušta vaš uređaj pogledajte naš srodni proizvod anonym.plus; Desktop App kompanije anonym.legal čita datoteke na vašem uređaju i pokreće detekciju na API-ju hostovanom u EU.

DPIA procenjivanja posle TikToka

GDPR Član 35 zahteva Procenu uticaja na zaštitu podataka za obradu visokog rizika. Ovo se naziva DPIA. Kada korisničke datoteke idu do procesora iz trećih zemalja, potrebna je i procena uticaja na prenos.

Nakon TikToka, DPIA za oblačne alate za redakciju moraju odgovoriti na četiri pitanja.

Nadležnost matične kompanije: Da li je matična kompanija dobavljača predmet zakona — CLOUD Act, kineski zakon o kiberbezbednosti — koji bi ih mogli prisiliti da predaju EU korisničke datoteke?

Pristup osoblja: Da li osoblje u neadekvatnim zemljama pristupa EU korisničkim datotekama u normalnom poslovanju?

Pravni osnov: Koji mehanizam GDPR Člana 46 pokriva sve prenose — SCC, BCR ili derogacije?

Uticaj povrede: Ako je dobavljač hakovan ili primoran da preda dokumente, šta bi bilo izloženo?

TikTok je pokazao da ugovori sami po sebi nisu dovoljni. Morate ih proceniti na adekvatnost. Dokumentujte svoje odgovore. Pregledajte naš FAQ za uobičajena DPIA pitanja.

Pitanja za nabavku u 2026.

Službenici za zaštitu podataka sada postavljaju veoma specifična pitanja kada pregledaju SaaS dobavljače za alate za obradu ličnih informacija.

• Gde se nalaze serveri? (EU?)
• Gde je matična kompanija? (EU? SAD? Drugo?)
• Da li osoblje van EU pristupa EU korisničkim datotekama?
• Koji zakon reguliše sudske naloge za lične dokumente?
• Da li dobavljač ima ključeve za šifrovanje, ili ih vi imate?
• Da li postoji opcija lokalne obrade?

Odgovori na ova pitanja — a ne samo potpisivanje DPA — određuju stvarnu usklađenost sa podatkovnom suverenosti. Saznajte kako je anonym.legal izgrađen da odgovori na sva ova pitanja u našoj izjavi osnivača. Možete takođe pregledati naš rečnik ključnih pojmova za brze definicije SCC, BCR i odluka o adekvatnoj zaštiti.

Post-TikTok okruženje je jasno. Regulatori pažljivo prate prekogranične prenose. Kazne su visoke. Rastu. Vaš izbor dobavljača sada je regulatorna odluka. Nije samo tehnička.

anonym.legal obrađuje tekst u EU-baziranim Hetzner centrima podataka (Falkenstein); nulto znanje važi za prijavu, pa vaša lozinka nikada ne napušta vaš uređaj. Potrebna vam je isključivo lokalna obrada? Naš srodni proizvod anonym.plus radi u potpunosti na vašem uređaju; Desktop App kompanije anonym.legal čita datoteke na vašem uređaju; detekcija se izvršava na API-ju hostovanom u EU.

Izvori

• Irska DPC: Odluka o kazni TikToku od 530 miliona evra — VERIFIED-EXTERNAL
• Wire: Digitalna suverenost 2025. — VERIFIED-EXTERNAL
• GDPR.eu Praćenje sprovođenja — VERIFIED-EXTERNAL