Slučaj kibernetičkog napada na aplikaciju HZMO Live dobio je novu institucionalnu potvrdu i važan regulatorni okvir. Nacionalni centar za kibernetičku sigurnost (NCSC-HR) u odgovoru na upit ICTbusiness Media – ICTbusiness.info potvrđuje da je Hrvatski zavod za mirovinsko osiguranje obveznik Zakona o kibernetičkoj sigurnosti te da je incident prijavio kao značajan, u zakonski predviđenom roku i putem PiXi platforme. Time je potvrđeno da se incident obrađuje unutar formalnog nacionalnog sustava kibernetičke sigurnosti.

Hrvatski zavod za mirovinsko osiguranje potvrdio je da je 19. kolovoza 2026. zabilježen kibernetički napad na aplikaciju HZMO Live, korisnički centar koji služi za zaprimanje i odgovaranje na upite korisnika. Time je prvi put službeno potvrđeno da je u informacijskom okruženju Zavoda doista zabilježena aktivnost koju HZMO kvalificira kao kibernetički napad. Istodobno, još nema potvrde da su osobni podaci 105.000 hrvatskih građana, koje je skupina INF Grupa objavila tvrdeći da potječu iz HZMO-a, doista preuzeti upravo tijekom tog incidenta.

Agencija za zaštitu osobnih podataka pokrenula je po službenoj dužnosti nadzorno postupanje nad Hrvatskim zavodom za mirovinsko osiguranje nakon medijskih objava i informacija koje su se pojavile na internetu o mogućem hakerskom napadu i javnoj objavi osobnih podataka hrvatskih građana. Kako za ICTbusiness Media – ICTbusiness.info potvrđuju iz AZOP-a, cilj postupka je utvrditi sve relevantne činjenice povezane s navodnim incidentom i mogućom kompromitacijom osobnih podataka koja se povezuje s HZMO-om kao voditeljem obrade.

Hrvatski zavod za mirovinsko osiguranje 19. kolovoza našao se u središtu nove priče o mogućem velikom kibernetičkom incidentu nakon što je skupina koja se predstavlja kao INF Grupa objavila da raspolaže bazom sa 105.000 zapisa hrvatskih građana. Prema njihovim navodima, podaci potječu iz sustava HZMO-a, a obuhvaćaju imena i prezimena, telefonske brojeve, OIB-e i adrese elektroničke pošte. Napadači tvrde i da su bazu učinili dostupnom bez traženja otkupnine. HZMO je nakon prvih medijskih upita naveo da u tom trenutku nema informacija o sigurnosnom upadu, dok na njegovim službenim stranicama do trenutka naše provjere nije bilo objavljeno priopćenje o incidentu.

S obzirom na trenutno dostupne informacije o neovlaštenoj objavi osobnih podataka učenika i nastavnika iz hrvatskih škola, Agencija za zaštitu osobnih podataka pokrenula je žurno nadzorno postupanje nad CARNET-om po službenoj dužnosti. Agencija će, prema potrebi, poduzeti odgovarajuće radnje i prema drugim voditeljima/ izvršiteljima obrade ako se utvrdi povezanost s predmetnim incidentom.

Agencija za zaštitu osobnih podataka izrekla je bolnici, u rješenju anonimiziranoj kao Bolnica X, upravnu novčanu kaznu od 3.000 eura zbog niza propusta u zaštiti osobnih podataka pacijenata, među kojima su izostanak transparentnog informiranja ispitanika, neadekvatne organizacijske mjere zaštite, neprijavljivanje povrede podataka AZOP-u u zakonskom roku te neobavještavanje osobe čiji su podaci kompromitirani.

Agencija za zaštitu osobnih podataka izrekla je upravnu novčanu kaznu banci, kako se saznaje riječ je o Erste banci, kao voditelju obrade u ukupnom iznosu od 1.500.000,00 eura zbog višestrukih kršenja odredbi Opće uredbe o zaštiti podataka. Rješenje kojim je izrečena upravna novčana kazna nije pravomoćno. Voditelj obrade može pokrenuti upravni spor pred nadležnim upravnim sudom u roku od 30 dana od dana dostave rješenja.

Telemach oštro odbacuje navode objavljene na internetskoj stranici AZOP-a i pojedinim medijima te najavljuje da će poduzeti sva raspoloživa pravna sredstva u svrhu zaštite prava, integriteta i reputacije kompanije, ističu na upit ICTbusiness.info.

Nakon postupka koji je proveden po službenoj dužnosti, Agencija za zaštitu osobnih podataka izrekla je upravnu novčanu kaznu teleoperatoru (operatoru elektroničkih komunikacijskih mreža i usluga), kao voditelju obrade, u ukupnom iznosu od 4,5 milijuna eura zbog povreda odredaba Opće uredbe o zaštiti podataka i to u pogledu transfera osobnih podataka u treće zemlje bez valjanog instrumenta i bez transparentnog informiranja ispitanika, te obrade preslika osobnih iskaznica i uvjerenja o ne vođenju kaznenog postupka zaposlenika bez pravne osnove, kao i nepoduzimanja odgovarajuće prethodne kontrole izvršitelja obrade. Iako AZOP ne navodi o kome je riječ radi se o trećem po veličini domaćem telekomu Telemach Hrvatska.

Domaći regulator zaštite osobnih podataka Agencija za zaštitu osobnih podataka potvrdila je kako je AZOP proveo nadzorna postupanja kod Centra za vozila Hrvatske, Ministarstva unutarnjih poslova Republike Hrvatske, kao i drugih pravnih subjekata koji su se povezivali s predmetnom povredom osobnih podataka te je nadzornim aktivnostima utvrđeno kako navedeni poslovni subjekti ne raspolažu sa svim podacima sadržanim unutar sporne datoteke dostavljene AZOP-u, niti imaju mogućnosti raspolaganja takvom strukturom osobnih podataka.

Agencija za zaštitu osobnih podataka, u petak 26. siječnja 2024., povodom Europskog dana zaštite osobnih podataka organizirala je konferenciju „Poduzetnici i nove tehnologije“ namijenjenu malim i srednjim poduzetnicima u Ericssonu Nikoli Tesli. 

Agencija za zaštitu osobnih podataka zabranila je Gradu Zagrebu, Gradskom uredu za obnovu, izgradnju, prostorno uređenje, graditeljstvo, komunalne poslove i promet, kao voditelju obrade, omogućavanje uvida i/ili izuzimanje snimki nastalih videonadzorom javnih površina Odjelu komunalnog redarstva, posebice u svrhu postupanja u vezi utvrđivanja prekršaja protiv osoba koje nepropisno odbacuju otpad na površine javne namjene. Gradu Zagrebu, Gradskom uredu za obnovu, izgradnju, prostorno uređenje, graditeljstvo, komunalne poslove i promet naloženo je da u roku od 90 dana, između ostalog, donese odgovarajući unutarnji pravno provedbeni okvir upravljanja videonadzornim sustavom kojim će se utvrditi i provoditi politike i postupke povezane s videonadzorom javnih površina.

Agencija za zaštitu osobnih podatka izrekla je upravnu novčanu kaznu voditelju obrade – trgovačkom društvu za priređivanje igara na sreću – igara klađenja (sportskoj kladionici) u iznosu od 380.000,00 eura zbog sljedeće utvrđenih povreda Opće uredbe o zaštiti podataka koja se odnosni na to da je Voditelj obrade obrađivao je osobne podatke odnosno preslike bankovnih kartica ispitanika, a za čiju obradu nije dokazana pravna osnova čime je povrijeđen članak 6. stavak 1. Opće uredbe o zaštiti podataka.

Agencija za zaštitu osobnih podataka izrekla je upravnu novčanu kaznu voditelju obrade – agenciji za naplatu potraživanja B2 Kapital d.o.o. u iznosu od 2.265.000,00 eura (17.065.642,50 kuna).

Udruga za zaštitu osobnih podataka - UZOP, podnijela je prigovor Europskoj komisiji za kršenje temeljnog ljudskog prava na zaštitu privatnosti i osobnih podataka i EU regulative, radi imenovanja Zdravka Vukića na čelo Agencije za zaštitu osobnih podataka.