Na Telegram kanalu @INFGRUPA objavljeno je 1,8 MB podataka za koje se tvrdi da potječu iz hrvatskog državnog sustava. Podaci uključuju osobne identifikatore i evidencije prekršajnih postupaka pred sudovima i policijskim postajama širom Hrvatske. Nadležne institucije do zaključenja teksta nisu potvrdile incident.
Što je objavljeno
Na Telegram kanalu koji se reklamira pod imenom INFGRUPA u nedjelju, 25. svibnja 2026., objavljena je datoteka veličine 1,8 megabajta pod nazivom [HRV]. Uz objavu stoji poruka da se radi o “20.000 podataka koji su procurili iz jednog Hrvatskog sistema” te poziv na kupnju dodatnih podataka putem direktne poruke.
Analiza sadržaja datoteke pokazuje da su podaci strukturirani u dva sloja. Prvi sloj sadrži osobne identifikatore: ime i prezime, OIB (osobni identifikacijski broj), JMBG (jedinstveni matični broj građana – identifikator koji je ukinut 1991., ali postoji u starijim bazama), te datum rođenja. Drugi, znatno osjetljiviji sloj sadrži evidencije prekršajnih postupaka – s brojevima predmeta, nazivima sudova i policijskih postaja.
Koji sustav je mogao biti izvor
Kombinacija starih JMBG-ova s OIB-om i prekršajnim evidencijama upućuje na to da podaci ne dolaze iz jednog, već iz najmanje dva različita državna sustava koji su naknadno spojeni ili su kompromitiran jedan integrirani sustav.
Prekršajni podaci u bazi sadrže prepoznatljive klasifikacijske oznake: predmeti u formatu Pp-XXX/XXXX karakteristični su za evidencije općinskih prekršajnih sudova, dok oznake u formatu 211-07/XX-X/XXXXX odgovaraju MUP-ovom sustavu klasifikacije dokumenata. U bazi su identificirani nazivi desetaka institucija – od Općinskog prekršajnog suda u Zagrebu i Splitu do konkretnih policijskih postaja poput Postaje prometne policije Dubrovnik, Policijske postaje Vinkovci i Postaje granične policije Vrgorac.
Institucije čiji bi sustavi mogli biti izvor podataka uključuju Ministarstvo unutarnjih poslova, Ministarstvo pravosuđa – putem sudskog informacijskog sustava e-Spis – te moguće elemente e-Građani infrastrukture koja integrira podatke iz više baza.
Zašto su prekršajni podaci posebno osjetljivi
Prema Općoj uredbi o zaštiti podataka (GDPR), podaci o kaznenim osudama i prekršajima spadaju u posebnu kategoriju osobnih podataka (članak 10.) čija je obrada strože regulirana od obrade standardnih osobnih podataka. Povreda takve baze nosi znatno teže pravne posljedice za voditelja obrade, uključujući obvezu obavijesti svakog pojedinačno pogođenog ispitanika.
Aktivan Telegram kanal uz prodaju podataka upućuje na to da se radi o kriminalnoj infrastrukturi, a ne o aktivizmu ili namijenjenoj razotkrivanju sigurnosnih propusta.
Portal ReStart uputio je upite Ministarstvu unutarnjih poslova, Ministarstvu pravosuđa i Agenciji za zaštitu osobnih podataka (AZOP). Do zaključenja ovog teksta nismo zaprimili odgovor ni od jedne institucije.
Prema GDPR-u, voditelj obrade koji je pretrpio povredu osobnih podataka obavezan je to prijaviti nadzornom tijelu – u Hrvatskoj je to AZOP – u roku od 72 sata od saznanja o incidentu. Ako povreda predstavlja visok rizik za prava i slobode ispitanika, što povreda koja uključuje prekršajne podatke svakako jest, voditelj je obavezan obavijestiti i sve pogođene osobe bez nepotrebnog odgađanja.
Portal ReStart nastavlja pratiti ovaj incident. Čim zaprimimo odgovore institucija ili dođemo do novih informacija o izvoru podataka, ažurirat ćemo ovaj tekst.
Autor: I.P.
Odgovori