GDPR kazne u praksi: Stvarni primeri i kako ih izbeći

← Blog

Brojke koje moraju biti zanimljive menadžmentu

Od maja 2018. kada je GDPR stupio na snagu, nadzorna tela su izrekla kazne u ukupnoj vrednosti preko €4 milijarde. Broj kazni raste svake godine. 2024. je bila rekordna godina sa 1.500+ formalnih kazni u EU.

Bitna napomena: kazne ne dobijaju samo giganti. Medijalna kazna u EU je oko €5.000 — sasvim realna za firmu od 10 zaposlenih. Mikro preduzeća su kažnjavana za propuste koji su se mogli sprečiti za manje od €500.

British Airways — €22 miliona (2020)

Šta se desilo: Skimming napad na sajt BA. Maliciozni JavaScript kod (Magecart) je ubačen na stranicu za plaćanje i krao podatke kreditnih kartica direktno u browseru. Kompromitovano je 500.000 korisničkih naloga i podataka o karticama. Napad je trajao 2 meseca pre otkrivanja.

Tehnički uzroci:

• Nije bilo Subresource Integrity (SRI) provere za third-party skripte — napadač je modifikovao CDN skriptu
• Nije bio implementiran Content Security Policy (CSP) koji bi blokirao neovlašćene skripte
• Nije bio monitoring koji bi detektovao neočekivani outbound saobraćaj sa payment stranice
• 2 meseca bez detekcije = neadekvatan monitoring (Art. 32)

Kako ste vi zaštićeni: CSP header koji blokira sve skripte osim eksplicitno dozvoljenih, SRI za sve CDN resurse, monitoring outbound konekcija sa payment stranica.

Marriott International — €20.4 miliona (2020)

Šta se desilo: Hakovana baza podataka Starwood hotelskog sistema, koja je bila kompromitovana još pre Marriott akvizicije 2016. Marriott nije sproveo adekvatni due diligence security review pri akviziciji. Oko 339 miliona gostiju je imalo izložene podatke, uključujući nešifrovane brojeve pasoša.

Tehnički uzroci:

• Enkripcija ličnih podataka u bazi nije bila implementirana — brojevi pasoša su čuvani plain text
• Nije bio sprovedan security audit pri akviziciji kompanije (due diligence propust)
• Nedovoljna network segmentacija — napadači su imali pristup celoj bazi, ne samo delu

Lekcija: Enkripcija osetljivih podataka u bazi nije "nice to have" — to je tehnička obaveza po Art. 32. Svaki broj pasoša, JMBG ili zdravstveni podatak mora biti enkriptovan i u bazi.

Meta (Facebook) — €1.2 milijarda (2023)

Šta se desilo: Prenos ličnih podataka građana EU u SAD bez adekvatnih zaštitnih mehanizama. Meta je koristila Standard Contractual Clauses ali nisu bile dovoljne da kompenzuju US Surveillance zakone (FISA 702) koji omogućuju US obaveštajnim agencijama pristup podacima.

Lekcija za regularnu firmu: Ako koristite US cloud provajdere (AWS, Azure, GCP, ili bilo koji SaaS sa US bazom), proverite da li su podaci u EU Data Center-ima. Koristite EU instance eksplicitno.

Amazon — €746 miliona (2021)

Šta se desilo: Neprikladan cookie consent — korisnici nisu dobili pravi izbor između prihvatanja i odbijanja tracking cookie-ja. Amazon je koristio dark pattern: dugme za prihvatanje je bilo prominentno, odbijanje je zahtevalo više koraka.

Tehnički uzroci:

• Analytics i targeting cookie-ji su se učitavali pre pristanka
• Dizajn je favorizovao "accept all" (dark pattern)
• Nije bila implementirana granularnost: mogućnost da prihvatiš samo neke kategorije

Šta proveriti: U browseru bez cookie-ja otvorite vaš sajt. Da li se ikakvi cookie-ji osim striktno neophodnih postavljaju pre nego što kliknete "Accept"? Ako da — kršite GDPR.

Španija — Vodafone €8.15 miliona (2022)

Šta se desilo: Slanje marketinških SMS i email poruka bez pristanka, neodgovaranje na zahteve za brisanje podataka, nedovoljne tehničke mere.

Lekcija: Pravo na brisanje (Art. 17) ima rok od 30 dana. Svaki zahtev mora biti dokumentovan i odgovoreno. Automatizirajte ovaj process — ručno je prerizično.

Pet tehničkih mera koje bi sprečile 80% ovih kazni

1. Content Security Policy (CSP): Blokira ubačene maliciozne skripte (British Airways scenario)
2. Subresource Integrity (SRI): Verifikuje integritet third-party resursa
3. Enkripcija osetljivih podataka u bazi: Čak i ako napadač dođe do baze, podaci su nečitljivi (Marriott scenario)
4. Pravi cookie consent: Tehnički ispravna implementacija bez dark pattern-a (Amazon scenario)
5. EU data residency: Eksplicitno konfigurisan EU region za sve cloud servise koje koristite (Meta scenario)

← Blog

Numbers That Should Interest Management

Since May 2018 when GDPR came into force, supervisory authorities have issued fines totaling over €4 billion. The number of fines grows each year. 2024 was a record year with 1,500+ formal fines in the EU.

Important note: fines aren't just for giants. The median fine in the EU is around €5,000 — perfectly realistic for a 10-person company. Micro-businesses have been fined for violations that could have been prevented for less than €500.

British Airways — €22 Million (2020)

What happened: Skimming attack on the BA website. Malicious JavaScript (Magecart) was injected onto the payment page and stole credit card data directly in the browser. 500,000 user accounts and card details were compromised. The attack lasted 2 months before discovery.

Technical causes:

• No Subresource Integrity (SRI) checking for third-party scripts — attacker modified a CDN script
• No Content Security Policy (CSP) that would block unauthorized scripts
• No monitoring that would detect unexpected outbound traffic from the payment page
• 2 months without detection = inadequate monitoring (Art. 32)

Marriott International — €20.4 Million (2020)

What happened: Hacked database of the Starwood hotel system, which had been compromised even before Marriott's 2016 acquisition. Marriott did not conduct adequate security due diligence during the acquisition. Around 339 million guests had data exposed, including unencrypted passport numbers.

Lesson: Encryption of sensitive data at rest isn't "nice to have" — it's a technical obligation under Art. 32. Every passport number, national ID, or health record must be encrypted in the database.

Amazon — €746 Million (2021)

What happened: Improper cookie consent — users didn't get a real choice between accepting and rejecting tracking cookies. Amazon used dark patterns: the accept button was prominent, rejection required multiple steps.

What to check: Open your site in a browser without cookies. Do any non-essential cookies get set before you click "Accept"? If yes — you're violating GDPR.

Five Technical Measures That Would Have Prevented 80% of These Fines

1. Content Security Policy (CSP): Blocks injected malicious scripts (British Airways scenario)
2. Subresource Integrity (SRI): Verifies the integrity of third-party resources
3. Encryption of sensitive data at rest: Even if an attacker reaches the database, data is unreadable (Marriott scenario)
4. Proper cookie consent: Technically correct implementation without dark patterns (Amazon scenario)
5. EU data residency: Explicitly configured EU region for all cloud services you use (Meta scenario)