Je li VPN obvezan prema GDPR-u?

Mnoga europska poduzeća vjeruju da je korištenje virtualne privatne mreže (VPN) zakonska obveza prema Općoj uredbi o zaštiti podataka. Riječ je o čestoj zabludi — i razumljivoj, budući da pružatelji VPN usluga, IT dobavljači, pa čak i neki blogovi o usklađenosti ponavljaju tu tvrdnju bez pozivanja na stvarni tekst zakona.

GDPR izričito ne zahtijeva od svakog poduzeća u EU-u korištenje VPN-a. Umjesto toga, zahtijeva od organizacija provedbu prikladnih tehničkih i organizacijskih mjera za zaštitu osobnih podataka, odabranih prema rizicima njihovih specifičnih aktivnosti obrade. VPN može biti jedna od tih mjera. Nikada nije cjelovit odgovor.

Mit: „Imamo VPN, dakle usklađeni smo"

Pretražite „GDPR VPN zahtjev" i pronaći ćete mnoštvo stranica koje sugeriraju da je VPN tek kvačica na obrascu usklađenosti. Nije. Nigdje u Uredbi (EU) 2016/679 VPN, niti bilo koji drugi imenovani proizvod, nije propisan kao obavezan. Uredba je namjerno tehnološki neutralna — ona organizacijama govori koji rezultat moraju postići, a ne koji alat kupiti.

Ta razlika važnija je nego što zvuči. Mentalitet popisa za provjeru („kupili smo VPN, pokriveni smo") upravo je vrsta formalnog „kvačičanja" od koje se GDPR nastojao udaljiti. Nadzorna tijela procjenjuju jesu li uspostavljene mjere bile prikladne stvarnom riziku — a ne je li kupljen određeni proizvod.

Što zapravo zahtijeva čl. 32. GDPR-a

Ključna odredba jest čl. 32. — Sigurnost obrade. Zahtijeva od voditelja i izvršitelja obrade provedbu razine sigurnosti primjerene riziku, uzimajući u obzir najnovija dostignuća, troškove provedbe, prirodu, opseg, kontekst i svrhe obrade te vjerojatnost i ozbiljnost rizika za pojedince.

Čl. 32. st. 1. izričito navodi četiri kategorije mjera koje organizacije trebaju razmotriti:

• Pseudonimizaciju i enkripciju osobnih podataka
• Trajnu povjerljivost, cjelovitost, dostupnost i otpornost sustava obrade
• Sposobnost pravodobnog vraćanja dostupnosti i pristupa podacima nakon incidenta
• Postupak redovitog testiranja, procjenjivanja i vrednovanja učinkovitosti sigurnosnih mjera

Uočite što nije na tom popisu: VPN, poimence. To znači da se usklađenost s GDPR-om ne može svesti na jednostavno pravilo poput „imamo VPN, dakle usklađeni smo s GDPR-om". Čl. 32. traži rezultat — prikladnu, na riziku temeljenu sigurnost — i prepušta odabir alata organizaciji.

Kada VPN postaje prikladna mjera?

Iako nije univerzalno obvezan, VPN definitivno može biti prikladna sigurnosna mjera čim se sagleda stvaran profil rizika organizacije. Zamislite tvrtku čiji zaposlenici redovito rade na daljinu i pristupaju bazama podataka o klijentima, HR sustavima, CRM platformama ili internim aplikacijama koje sadrže osobne podatke. Povezivanje putem nezaštićenog javnog Wi-Fija — u kafiću, zračnoj luci, hotelu ili coworking prostoru — izlaže taj promet rizicima presretanja kojih zaključana uredska mreža nema.

Podaci to potvrđuju. Novija istraživanja industrije pokazuju da je 52% sigurnosnih incidenata u 2025. uključivalo uređaj ili vezu zaposlenika koji radi na daljinu, uz 78% organizacija koje su prijavile barem jedan sigurnosni incident povezan s radom na daljinu u protekloj godini. Zasebno, otprilike 29% zaposlenika na daljinu priznaje da barem jednom mjesečno koristi javni Wi-Fi za poslovne svrhe bez VPN-a. Povrede povezane s radom na daljinu također koštaju više, a njihovo obuzdavanje traje dulje — jedna analiza procjenjuje razliku na dodatnih 1,07 milijuna dolara u prosjeku i 58 dana dulje do obuzdavanja.

I regulatori u EU-u eksplicitni su po tom pitanju. Smjernice EDPB-a o radu na daljinu preporučuju uspostavu VPN-a kako bi se izbjeglo izlaganje internih usluga izravno internetu, uz dvofaktorsku autentifikaciju na samoj VPN vezi gdje je to moguće. ENISA ide i dalje, preporučujući da poslovne aplikacije budu dostupne isključivo putem šifriranih kanala poput SSL VPN-a ili IPSec VPN-a, u kombinaciji s višefaktorskom autentifikacijom na pristupnom portalu.

Drugim riječima: regulatori ne kažu „kupite VPN". Oni kažu „osigurajte udaljeni pristup osobnim podacima, a evo i kontrole koja taj posao dobro obavlja". Ispravno konfiguriran VPN stvara zaštićeni komunikacijski kanal između uređaja zaposlenika i sustava tvrtke — no ostaje samo jedan sloj, a ne cijeli zid.

VPN ne znači usklađenost s GDPR-om

Ova razlika ključna je za poduzeća u EU-u. Tvrtka može uvesti VPN korporativne razine za cijelu radnu snagu i i dalje ne ispuniti sigurnosna očekivanja GDPR-a ako joj nedostaje:

• Višefaktorska autentifikacija
• Snažna kontrola pristupa temeljena na ulogama
• Prikladna enkripcija podataka u mirovanju, ne samo u prijenosu
• Sigurnosni nadzor i bilježenje
• Redovito upravljanje ranjivostima i zakrpe
• Osposobljavanje zaposlenika o sigurnosti i prepoznavanju phishinga
• Postupci sigurnosne pohrane i oporavka od katastrofe
• Dokumentiran proces odgovora na incidente
• Redovito sigurnosno testiranje (čl. 32. st. 1. t. (d))
• Prikladne politike i evidenciju aktivnosti obrade

VPN automatski ne štiti poduzeće od phishinga, zlonamjernog softvera, ukradenih vjerodajnica, kompromitiranih uređaja, prekomjernih dopuštenja zaposlenika ili slabo osiguranih aplikacija trećih strana — a phishing ostaje pojedinačno najveći početni vektor napada na zaposlenike koji rade na daljinu, uključen u otprilike 43% pokušaja povreda u 2025. prema nekim procjenama. VPN šifrira „cijev"; ne čini ništa u vezi s onim što kroz nju prolazi ako je vjerodajnica već ukradena.

Kako zapravo izgleda provedba

Korisno je vidjeti koliko „neprikladne sigurnosne mjere" koštaju u praksi, jer slučajevi vezani uz čl. 32. rijetko ovise konkretno o nedostatku VPN-a — ovise o odsutnosti proporcionalne sigurnosti u cjelini. Kumulativne GDPR kazne diljem EU-a sada su premašile otprilike 7,1 milijardu eura, s oko 1,2 milijarde eura izrečenih samo u 2025., a tijela za zaštitu podataka trenutno bilježe procijenjenih 443 prijave povrede dnevno — porast od 22% na godišnjoj razini. Često citiran primjer jest kazna od 27 milijuna eura francuskom telekom operateru Free Mobile, slučaj izgrađen izravno na propustima prema čl. 5. st. 1. t. (f) i čl. 32., a ne na jednom konkretnom nedostajućem proizvodu.

Obrazac koji regulatori slijede dosljedan je: povreda je okidač za istragu, no kazna proizlazi iz toga jesu li uspostavljene sigurnosne mjere bile primjerene riziku — a ne iz odsutnosti jednog imenovanog alata. VPN može smanjiti vjerojatnost okidajućeg incidenta. Sam po sebi ne može zadovoljiti standard koji istražitelji zapravo primjenjuju.

Uparivanje VPN-a sa snažnom kontrolom pristupa

Usklađenost s GDPR-om nije samo pitanje šifriranja prometa — riječ je i o tome tko uopće može doći do podataka. Slabe ili ponovno korištene lozinke ostaju jedan od najčešćih temeljnih uzroka povreda podataka, s VPN-om ili bez njega. Uparivanje VPN-a s upraviteljem lozinki jača:

• Higijenu vjerodajnica u cijelom timu
• Upravljanje pristupom i provedbu načela najmanjih ovlasti
• Zaštitu od credential-stuffing napada
• Usklađenost s čl. 25. — zaštita podataka putem dizajna i putem zadanih postavki

Zajedno, šifrirana veza i disciplinirana kontrola pristupa čine znatno vjerodostojniju, na riziku temeljenu sigurnosnu poziciju nego bilo koja mjera zasebno.

Dakle, treba li vaše poduzeće koristiti VPN?

Ispravno GDPR pitanje nikada nije bilo „Je li VPN obvezan?". Ono glasi:

Za neke organizacije — timove koji rade na daljinu ili hibridno, poduzeća koja obrađuju podatke klijenata putem javnih mreža, ili tvrtke čije osoblje često putuje — VPN je istinski važan dio tog odgovora. Za druge, alternativna sigurnosna arhitektura (zero-trust pristup, ojačani krajnji uređaji, potpuno uredsko okruženje sa zaključanom mrežom) može pružiti jednakovrijednu ili jaču zaštitu bez ikakvog VPN-a.

GDPR slijedi pristup temeljen na riziku, a ne pristup temeljen na popisu za provjeru. Sigurnosna mjera zaslužuje svoje mjesto jer učinkovito rješava utvrđeni rizik — a ne zato što zvuči sigurno na prodajnoj stranici.

Zaključak

Ne, GDPR ne čini korištenje VPN-a obveznim za svako poduzeće u EU-u. No ako vaša organizacija obrađuje osobne podatke na daljinu, posluje na više lokacija, oslanja se na javne mreže ili zaposlenicima daje udaljeni pristup osjetljivim sustavima, VPN može biti vrlo vrijedna tehnička i organizacijska mjera. U konačnici, usklađenost s GDPR-om znači dokazati da je vaša organizacija procijenila svoje rizike i uspostavila sigurnosne kontrole proporcionalne tim rizicima — VPN može podupirati taj cilj, ali ga sam po sebi ne može jamčiti.

Rezervirajte besplatne konzultacije s GDPRGardom →

Pročitajte i:

• Kako VPN jača usklađenost s GDPR-om u 2026.: praktičan vodič
• Vaša AI značajka treba DPIA prije objave
• GDPR u 2026.: rekordne kazne, reforma u tijeku, i što učiniti sada