REPUBLIKA HRVATSKA

UPRAVNI SUD U RIJECI

[adresa] Ć 5

Poslovni broj: Us I-2520/2025-14

U  I M E  R E P U B L I K E  H R V A T S K E

P R E S U D A

Upravni sud u Rijeci, po sutkinji Mariji Renner Jakovljević, uz sudjelovanje zapisničarke Mirjane Jakić, u upravnom sporu tužitelja ĆN iz [adresa], OIB: [osobni identifikacijski broj], kojeg zastupa opunomoćenik Danijel Jurić, odvjetnik u Rijeci, Andrije Medulića 4, protiv tuženika Agencije za zaštitu osobnih podataka, Zagreb, Ulica Metela Ožegovića 16, OIB: 28454963989, uz sudjelovanje zainteresirane osobe HEP-Proizvodnja d.o.o., Zagreb, Ulica grada Vukovara 37, OIB: 09518585073, koju zastupa službena osoba AN, radi zaštite osobnih podataka, 7. svibnja 2026.,

p r e s u d i o  j e

I. Odbija se tužbeni zahtjev radi poništenja rješenja Agencije za zaštitu osobnih podataka KLASA: UP/I-009-01/25-07/6, URBROJ: 567-04-02/05-01 od 30. rujna 2025. te vraćanja predmeta na ponovni postupak tuženiku.

II. Odbija se zahtjev tužitelja za naknadu troškova ovog spora.

III. Odbija se zahtjev zainteresirane osobe za naknadu troška upravnog spora u vidu sudskih pristojbi.

Obrazloženje

1. Osporavanim rješenjem tuženika KLASA: UP/I-009-01/25-07/6, URBROJ: 567-04-02/05-01 od 30. rujna 2025., odbijen je kao neosnovan zahtjev za utvrđivanje povrede prava na zaštitu osobnih podataka tužitelja.

2. Tužitelj osporava zakonitost tuženikove odluke i tvrdi, u bitnome, sljedeće. Tuženik je nepotpuno utvrdio činjenično stanje iz razloga što nije proveo dokaze koje mu je tužitelj dostavio u svom zahtjevu i kasnijim dopunama zahtjeva. Nadalje, smatra da je u osporenom rješenju pogrešno primijenjeno materijalno pravo te da je tuženik unatoč dostavljenoj dokumentaciju i osnovanim argumentima donio pogrešnu odluku o predmetnom zahtjevu i pritužbama tužitelja. Formalne propuste tužitelj vidi u nepostupanju po formalnoj proceduri koju je tuženik morao provesti temeljem predmetnog zahtjeva. Tužitelj ističe da je svoj zahtjev tuženiku podnio sukladno članku 77. stavak 1. Uredbe (EU) 2016/679 Europskog parlamenta i vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (dalje: Uredba) zbog čitavog niza nezakonitih obrada osobnih podataka tužitelja koje su proveli njegov prijašnji poslodavac HEP-Proizvodnja d.o.o., te treće osobe angažirane od strane ranijeg poslodavca. Također, navodi da su predmet obrade osobni podaci koji su pripadali tužitelju, a koji su se nalazili na 15 tvrdih diskova (s 3 računala i 12 odvojenih tvrdih diskova). Tužitelj smatra da tuženik unatoč višekratnom ukazivanju na nezakonitosti počinjenim u obradi podataka nije poduzeo potrebne mjere za zaštitu njegovih prava koje mu stoje na raspolaganju sukladno Uredbi. U odnosu na činjenični supstrat, tužitelj navodi da je bio dugogodišnji zaposlenik HEP-Proizvodnja d.o.o., da je radio na lokaciji GHE Vinodol u Triblju, a njegov posao (i privatna aktivnost van radnog mjesta) bio je između ostalog i održavanje računala procesnog sustava. Zbog toga, ističe, je njegov radni prostor sadržavao veću količinu službene i privatne računalne opreme na kojoj su se nalazili njegovi osobni podaci i osobni podaci trećih osoba nevezanih s poslodavcem. Navodi da je za vrijeme njegova bolovanja jedno od računala u njegovom radnom prostoru koji je poslodavac naziva „inženjerska radna stanica“ (dalje: IRS) je bez njegovog utjecaja prestalo raditi, zbog čega je tužitelj došao u svoj radni prostor, uočio neispravnost, odspojio i ugasio računala koja nisu ispravna ili ne trebaju raditi, presložio opremu te napustio svoj radni prostor. Nakon toga, navodi tužitelj, njegov poslodavac je na drugoj lokaciji u cijelosti uspostavio IRS koja je neovisna od tužiteljeve opreme, a nakon čega je tužitelj optužen za sabotažu IRS te je započeta interna istraga temeljem koje je sva računalna oprema (i privatna i službena) izuzeta iz njegovog radnog prostora i obavljena je obrada njegovih osobnih podataka i osobnih podataka trećih osoba bez njegovog znanja, čega on nije bio svjestan, ni količine iznesene opreme i osobnih podataka, niti tko je i kada prenosio tu opremu i osobne podatke, ni kojem voditelju obrade niti koje vrste obrade osobnih podataka su počinjene. Nadalje, navodi da mu je u travnju 2022. uručen otkaz ugovora o radu, pozivajući se na nezakonito izvršenu obradu osobnih podataka tužitelja, a da je on tek naknadno u sudskom postupku došao do saznanja o obavljenim obradama i počiniteljima tih obrada. Stoga je podnio pritužbu (i zahtjev za utvrđenje povrede prava) sa saznanjima koja je u tom trenutku imao. Nadalje je, navodi, dostavio tri dodatna očitovanja, dva nova zahtjeva za utvrđenje povrede prava, izmjenu jednog zahtjeva, podnio prigovor na postupanje tuženika te zahtjev za razdvajanje predmeta. Tužitelj smatra da niti jedan od tri obrađena računala nije IRS, da na službenim računalima nije zabranjeno držati osobne podatke, da su obrađivane posebne kategorije osobnih podataka (čija obrada je striktno zabranjena sukladno članku 9. stavku 1. Uredbe). Također, navodi i da je po nazivu datoteke, čije ime eksplicitno se navodi, je razvidno da se radi o osobnim podacima te da je voditelj obrade iz naziva datoteke prije obrade znao da pregledava osobne podatke te da je unatoč tome počinio njihovu obradu. Stoga smatra da su počinjene obrade osobnih podataka nezakonite jer podaci nisu prikupljeni zakonito, pošteno i transparentno, da nisu ograničeni na ono što je nužno, da nisu prikupljeni sa svrhom, a jedina svrha voditelja obrade je istraga temeljem zlouporabe IRS kojom je obavljena obrada. Stoga su tuženiku na temelju članka 77. stavka 1. Uredbe upućene pritužbe - zahtjevi za utvrđenje povrede prava to jest zahtjevi za pokretanje upravno prekršajnih postupaka utvrđenjem povrede prava na zaštitu osobnih podataka. Spornim smatra i to što je zatraženo očitovanje o obradama samo jednog računala unatoč činjenici da je zahtjevom navedeno da su iz njegova ureda iznesena tri računala i razni privatni i službeni mediji s osobnim podacima za koje je izvršena nezakonita obrada njegovih podataka. S obzirom da je tuženik zaprimio zahtjev za utvrđenje povrede prava zbog nezakonite obrade osobnih podataka u koju su bila uključena dva voditelja obrade, tužitelj smatra da je tuženik radi utvrđenja materijalne istine bio dužan utvrditi njihov međusobni ugovorni odnos kojim reguliraju obradu sukladno članku 26. ili 28. Uredbe, a što je on propustio učiniti. Nadalje, tužitelj smatra spornim utvrđivanje nedopuštenosti cijelog predmeta na bazi pretpostavke o tome što tužitelj namjerava učiniti sa svojim osobnim podacima kada ih dobije te smatra da ima pravo pristupa svojim osobnim podacima, a tuženik mu nema pravo uskraćivati to pravo na temelju puke pretpostavke o tome što bi tužitelj s tim podacima mogao uraditi. Nadalje, tužitelj smatra da je u osporenom rješenju tuženik pogrešno primijenio uvodnu izjavu (20) Uredbe jer da ona ne stvara prepreku neovisnog provođenja ovog predmeta i postupka na sudu jer ne postoji kolizija u nadležnostima. Nadalje, smatra da je pogrešno tumačem članak 9.(2)(b) Uredbe iz razloga što njime propisani uvjeti, konkretno treći uvjet ne može biti ispunjen jer da je sukladno članku 9. stavku 1. Uredbe obrada posebne kategorije osobnih podataka zabranjena. Nadalje, smatra i da članak 9. stavak 2. (f) Uredbe nije temelj za internu istragu to su toga što poslodavac ne smije obavljati obradu podataka s nadom da će mu možda zatrebati, a potom kad nastane spor, reći da je to bilo nužno za obranu pravnog zahtjeva. Slijedom navedenog, tužitelj predlaže da Sud poništi osporavano rješenje tuženika te predmet vrati tuženiku na ponovni postupak. Tužitelj potražuje naknadu troška ovog spora.

3. Tuženik u odgovoru na tužbu navodi da tužbeni navodi nisu osnovani iz sljedećih razloga. Tuženik je u ovoj stvari postupao sukladno načelima Zakona o općem upravnom postupku ("Narodne novine", broj 47/09. i 110/21., dalje: ZUP) uključujući poštivanje načela utvrđivanja materijalne istine i načela samostalnosti i slobodne ocjene dokaza. Ističe da načelo slobodne ocjene dokaza kako je navedeno u članku 9. ZUP-a traži da službena osoba samostalno ocjenjuje činjenice u postupku na temelju savjesne ocjene pojedinačnih dokaza te dokaza u svojoj ukupnosti. Nadalje, navodi da je činjenično stanje u ovoj upravnoj stvari utvrđeno na temelju očitovanja stranaka i dokaza pri čemu su opseg dostavljene dokumentacije te detaljno i iscrpno opisana kronologija događaja u predmetnom slučaju bili dostatni za utvrđenje svih relevantnih činjenica zbog čega tuženik otklanja navod o neprovođenju nadzora nad voditeljima obrade čime da se sugerira da tuženik nije prikupio dokaze koji bi govorili u prilog nezakonitosti obrade i povredi prava tužitelja na zaštitu osobnih podataka. Također, smatra da je u ovom slučaju nepobitna činjenica da između tužitelja (kao bivšeg zaposlenika) i voditelja obrade (bivšeg poslodavca) postoji čitav niz prijepora, međusobnih optužbi i postupaka u odnosu na povrede prava i obveze iz radnog odnosa pa i počinjenja kaznenih djela. S tim u svezi navodi da disponiranje osobnim podacima od strane voditelja obrade (poslodavca) koji se nalaze na računalima (opremi poslodavca) se ne može promatrati izolirano i odvojeno od svrhe zbog koje je računalo oduzeto pa da bi zaposlenik imao pravo na zaštitu osobnih podataka. Naime, navodi da je ovdje računalo oduzeto zaposleniku u svrhu provedbe interne istrage i prikupljanja dokaza koji možebitno upućuju na njegova skrivljena ponašanja u okviru radnog odnosa te svrha i namjera poslodavca nije obrada njegovih osobnih podataka. Stoga ako u takvim okolnostima i dođe do prikupljanja/obrade osobnih podataka uslijed oduzimanja računala zaposleniku, takva obrada je u suštini slučajna i uzgredna iz razloga što poslodavac ne zna i ne može unaprijed znati nalaze li se na predmetnom računalu osobni podaci zaposlenika te o kojoj količini i kategoriji osobnih podataka se radi. Stoga tuženik smatra da je važno napomenuti da se u slučaju izuzimanja/daljnjeg korištenja „pronađenih“ osobnih podataka zaposlenika od strane poslodavca radi o njihovom legitimnom korištenju, a radi dokazivanja u određenom (sudskom) postupkom. U tom pogledu se tuženik pozvao na odredbu (20) Opće uredbe o zaštiti podataka (uvodnog dijela Uredbe). Nadalje navodi da se u ovom slučaju ne bi moglo govoriti o povredi prava na zaštitu osobnih podataka zaposlenika zajamčenih Uredbom, iz razloga što ih on nije prosljeđivao ili učinio dostupnim trećim osobama niti ih zloupotrijebio, zbog čega je tuženik ocijenio da nije došlo do nezakonitog postupanja odnosno do povrede prava na zaštitu osobnih podataka na štetu tužitelja. Stoga smatra, a imajući u vidu prethodno navedeno, da je u ovoj upravnoj stvari irelevantna količina i kategorije osobnih podataka na što se u više navrata referira tužitelj, kao što je irelevantan i broj voditelja obrade. Zaključno navodi da je u ovoj stvari pravilno primijenjeno materijalno pravo te da su pojašnjene relevantne odredbe Uredbe prema kojima je obrada osobnih podataka zakonita, kao i izuzeće od obrade osobnih podataka od strane nadležnih sudskih tijela, a sve u kontekstu konkretnog slučaja. Slijedom navedenog, predlaže da Sud odbije tužbeni zahtjev kao neosnovan.

4. Zainteresirana osoba u odgovoru na tužbu u pogledu činjeničnog supstrata ove upravne stvari navodi da se 2. prosinca 2021. dogodio sigurnosni incident u Hidroelektrani Vinodol (GHE Vinodol), u dijelu zainteresirane osobe. Naime, inženjerska radna stanica (IRS) koja je smještena u uredu koji je koristio tužitelj je uslijed kvara na opremi ostala bez neprekidnog napajanja te je bilo nužno uključiti i prijaviti se, kako bi se poslovni procesi mogli nesmetano odvijati. U tom je trenutku, navodi, tužitelj bio na bolovanju te unatoč upozorenjima nadređenih da nije potrebno da dolazi na radnu lokaciju, on se ipak pojavio i ušao u radni prostor kojim se koristio (ured) gdje se nalazila IRS. Navodi nadalje, da je tijekom tog ulaska u radni prostor tužitelj pokušao manipulirati opremom i nije dopustio pristup računalnim podacima na IRS-u drugim kolegama. Uzgredno, navodi da nije istina da je tvrdi disk iz IRS-a privatno vlasništvo tužitelja budući da je IRS u cijelosti bila u vlasništvu zainteresirane osobe, nabavljena kao dio sustava upravljanja hidroelektranom. Pri tome da je tužitelj samovoljno, bez odobrenja, umetao i uklanjao hardware iz IRS-a, kao i mijenjao lozinku za pristup. Osim toga, da je pohranio i poslao čitav službeni projekt preko javne mreže, što je predstavljalo značajan sigurnosni rizik. Također, da je pohranio na radnom mjestu pornografski i erotski sadržaj u datotekama koje su se nalazile na disku u IRS-u. Nadalje, zainteresirana osoba navodi da je obrada podataka tužitelja izvršena od strane Ureda za korporativnu sigurnost HEP d.d., u sklopu interne istrage sigurnosnog incidenta. Pri tome, ta je obrada bila nužna da se osigura nastavak rada i sigurnost postrojenja GHE Vinodol, sukladno Zakonu o energiji ("Narodne novine", broj 120/12., 14/14., 95/15., 102/15., 68/18.) i ranije važećem Zakonu o kritičnim infrastrukturama ("Narodne novine", broj 56/13. i 114/22.). Osim toga, da je obrada bila potrebna za osiguranje sigurnosti cjelokupnog elektroenergetskog sustava Republike Hrvatske, unutar kojeg predmetna hidroelektrana predstavlja dio nacionalne kritične infrastrukture. Nadalje, smatra da prema članku 6(1)(c) Uredbe zainteresirana osoba ima zakonsku osnovu za obradu podataka te da je obrada bila nužna radi poštovanja pravnih obveza voditelja obrade. Prema članku 6(1)(f) Uredbe da zainteresirana osoba ima i legitimni interes za zaštitu svog informacijskog sustava od mogućih malware-a, virusa i drugih kibernetskih napada. Također i da postoji legitiman interes za zaštitu nacionalne kritične infrastrukture jer je hidroelektrana dio elektroenergetskog sustava Republike Hrvatske, kao i interes za zaštitu svojih zaposlenih od rizika koje kršenja sigurnosnih procedura stvaraju. Također smatra i da postoji interes za sprječavanje propuštanja povjerljivog tehnološkog znanja koji je vlasništvo HEP grupe. Nadalje, smatra da je test proporcionalnosti zadovoljen, jer je obrada bila ograničena samo na podatke na opremi iz radnog prostora tužitelja, samo na podatke relevantne za sigurnosni incident i samo na podatke kojima je mogao manipulirati tužitelj. Nadalje, zainteresirana osoba smatra da je tuženik u svojoj analizi ispravno zaključio da je obrada bila proporcionalna, da vizualni pregled podataka na diskovima nije bio cilj sam sebi jer je cilj bio saniranje IRS-a te provjera sigurnosti procesne mreže. Osim toga navodi i da podaci erotskog i pornografskog karaktera nisu namjerno prikupljani, već su pronađeni tijekom tehničkog pregleda, jer da su diskovi pregledani kako bi se provjerilo postoje li malware ili virusi na diskovima te kako bi IRS bio doveden u funkcionalno stanje. Također smatra, da je prema članku 9(2)(f) Uredbe obrada posebnih kategorija zakonita kada je nužna za uspostavu, ostvarivanje ili obranu pravnih zahtjeva. Nadalje, navodi da je u predmetnom slučaju Ured za korporativnu sigurnost proveo istragu, jer je tužitelj radio u GHE Vinodol (što je dio HEP-Proizvodnje d.o.o., koja je kćer- društvo HEP d.d.), a incident je bio povezan sa sigurnosnom prijetnjom procesnoj mreži hidroelektrane. Nadalje, napominje da Ured za korporativnu sigurnost i HEP- Proizvodnja d.o.o., nisu bili odvojeni voditelji obrade u smislu članka 4(7) Uredbe. To stoga što je Ured za korporativnu sigurnost kao služba unutar HEP d.d., provodio istragu kao ovlaštena osoba u ime zainteresirane osobe stoga nije bilo potrebe za ugovorom između dva voditelja obrade prema članku 26. Uredbe, jer je samo jedan voditelj i to HEP-Proizvodnja d.o.o. kao poslodavac tužitelja. Zainteresirana osoba navodi i da tužitelj u svom podnesku traži pristup podacima ne zbog nadzora nad obradom na njima već kako bi dokazao navodno protuzakonito postupanje poslodavca u zasebnim sudskim sporovima koje vodi sa zainteresiranom osobom, a što nije cilj članka 15. Uredbe. Slijedom navedenog zainteresirana osoba predlaže da Sud odbije tužbeni zahtjev kao neosnovan te potvrdi osporavano rješenje tuženika od 30. rujna 2025.

5. U tijeku spora održana je rasprava 30. travnja 2026. kako bi se sukladno odredbi članka 6. Zakona o upravnim sporovima („Narodne novine“, broj 36/24 i 39/26, dalje: ZUS) omogućilo strankama u sporu da usmeno obrazlože svoje navode iz tužbe i odgovora na tužbu. Na navedenu raspravu pristupili su opunomoćenik tužitelja, tužitelj osobno, službena osoba tuženika te zainteresirana osoba. Na istom ročištu za raspravu stranke su u cijelosti ostale kod navoda iznesenih u tijeku upravnog spora, te nakon izlaganja stranaka Sud je izveo dokaze uvidom u dokumentaciju koja se nalazi u spisu predmeta upravnog postupka u kojem je doneseno osporavano rješenje i u spisu ovog spora, dok druge dokaze nije izvodio iz razloga što su se odlučne činjenice mogle utvrditi uvidom u navedenu dokumentaciju.

6. Nesporno je da je tužitelj bio zaposlenik zainteresirane osobe, odnosno njezinog dijela GHE Vinodol. Također, nesporno je i da je zainteresirana osoba iz ureda tužitelja oduzela računalo kojim se koristio tužitelj i više prijenosnih memorija, koji su sadržavali, uz službene, i osobne podatke tužitelja. Također, nesporno je i da je tužitelj po tom oduzimanju, poduzimajući radnje koje je smatrao potrebnim, a radi sigurnosnog incidenta te sigurnosne istrage, došao do osobnih podataka tužitelja na poslovnom računalu tužitelja u vlasništvu zainteresirane osobve, čime je poduzeo obradu takvih podataka.

7. Sporno je među strankama spora je li pravilno i zakonito tuženik odlučio o zahtjevu tužitelja za utvrđivanje povrede prava na zaštitu njegovih osobnih podataka.

8. Na temelju razmatranja nespornih činjenica i spornog pravnog pitanja, Sud je ocijenio da tužbeni zahtjev tužitelja nije osnovan.

9. Odredbom članka 4. točkom 1. Uredbe definirano je da „osobni podaci” znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik”); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca.

10. Odredbom članka 5. stavka 1. Uredbe propisano je, da osobni podaci moraju biti: (a) zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika („zakonitost, poštenost i transparentnost”); (b) prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama; daljnja obrada u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe, u skladu s člankom 89. stavkom 1. ne smatra se neusklađenom s prvotnim svrhama („ograničavanje svrhe”); (c) primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju („smanjenje količine podataka”); (d) točni i prema potrebi ažurni; mora se poduzeti svaka razumna mjera radi osiguravanja da se osobni podaci koji nisu točni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili isprave („točnost”); (e) čuvani u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju; osobni podaci mogu se pohraniti na dulja razdoblja ako će se osobni podaci obrađivati isključivo u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe u skladu s člankom 89. stavkom 1., što podliježe provedbi primjerenih tehničkih i organizacijskih mjera propisanih ovom Uredbom radi zaštite prava i sloboda ispitanika („ograničenje pohrane”); (f) obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera („cjelovitost i povjerljivost”).

11. Odredbom članka 6. stavka 1. točki (c) i (f) Uredbe propisano je, da je obrada zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega: obrada je nužna radi poštovanja pravnih obveza voditelja obrade; te obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.

12. Odredbom članka 9. stavkom 1. Uredbe propisano je da se zabranjuje obrada osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca, podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentaciji pojedinca. Stavkom 2. istog članka točkom (f) propisano je da se stavak 1. ne primjenjuje ako je ispunjeno sljedeće: obrada je nužna za uspostavu, ostvarivanje ili obranu pravnih zahtjeva ili kad god sudovi djeluju u sudbenom svojstvu.

13. Člankom 49. uvodnog dijela Uredbe propisano je da obrada osobnih podataka u mjeri koja je nužna i proporcionalna za potrebe osiguravanja sigurnosti mreže i informacija, odnosno sposobnosti mreže ili informacijskog sustava da se odupre, na danom stupnju povjerljivosti, slučajnim događajima ili nezakonitim ili zlonamjernim radnjama koje ugrožavaju dostupnost, autentičnost, integritet i povjerljivost pohranjenih ili prenesenih osobnih podataka te sigurnost povezanih usluga koje nude ili koje su dostupne putem tih mreža i sustava, koju provode tijela javne vlasti, jedinice za hitne računalne intervencije (CERT-ovi), jedinice za računalne sigurnosne incidente (CSIRT-ovi), pružatelji elektroničkih komunikacijskih mreža i usluga te davatelji sigurnosnih tehnologija i usluga smatra se legitimnim interesom dotičnog voditelja obrade podataka. To bi, na primjer, moglo uključivati sprečavanje neovlaštenog pristupa elektroničkim komunikacijskim mrežama i širenja zlonamjernih kodova te zaustavljanje napada „uskraćivanjem usluge” te sprečavanje štete na računalnim i elektroničkim komunikacijskim sustavima.

14. Prema ocjeni Suda pravilno su i zakonito tuženik, u obrazloženju osporenog rješenja i odgovoru na tužbu, te zainteresirana osoba, u odgovoru na tužbu, odgovorili na sve navode tužitelja, zbog čega Sud radi izbjegavanja ponavljanja upućuje tužitelja na te navode. To stoga što je predmetni postupak koji je prethodio ovom upravnom sporu proveden pravilno, u kojem je činjenično stanje pravilno i potpuno utvrđeno, a na koje je materijalno pravo zakonito primijenjeno, zbog čega je, u konačnici, i doneseno rješenje tuženika zakonito.

15. Naime, pravilno je utvrđeno, da su djelatnici zainteresirane osobe morali pristupiti u ured tužitelja u vrijeme kad se on nalazio na bolovanju, a radi kvara na IRS-u, a što je bilo nužno da bi se poslovni procesi mogli nesmetano odvijati. Iz toga je razvidno, da je pristupljeno službenom računalu zainteresirane osobe, u službenoj prostoriji iste osobe, a koju koristi tužitelj. Osim toga, razvidno je i da navedenom kompjuteru nije pristupljeno radi obrade (osobnih) podataka tužitelja, već radi otklanjanja kvara na navedenom računalu, nužnom za funkcioniranje sustava zainteresirane osobe, a kojom prilikom je na tvrdom disku, priključenom na navedeno službeno računalo, uočen neprimjeren sadržaj pornografskog, erotskog te zabavnog sadržaja, a za što je razumno pretpostaviti da predstavlja opasnost te ugrozu za funkcioniranje računalnog, a time i cjelokupnog proizvodnog, sustava zainteresirane osobe. Dakle, potrebno je naglasiti da postupanje zainteresirane osobe nije poduzeto s ciljem obrade osobnih podataka tužitelja, već radi otklanjanja tehničkog kvara i ponovnog stavljanja u rad računala koje se nalazilo u uredu koji je koristio tužitelj. S obzirom da je zainteresirana osoba iz navedenih razloga postupala na službenom računalu i vanjskoj memoriji koji su se nedvojbeno nalazili u njezinom poslovnom prostoru, a u uredu koji je koristio tužitelj, nije bilo osnove za pretpostavku prije samog postupanja da će se tom prilikom na navedenom računalu i memoriji zateći i osobni podaci tužitelja. Pri tome, nije odlučno jesu li oni tamo smjeli biti ili ne, na što tužitelj upućuje u tužbi, već to da su oni zatečeni u službenom računalu, čime je sam tužitelj omogućio njihovu obradu, te da je zainteresirana osoba, s obzirom na razloge postupanja, prirodu zatečenih osobnih podataka te svoje obveze u vidu održavanja i funkcioniranja hidroelektrane, bila ovlaštena ispitati sigurnost predmetnog računala i memorije u cjelini. Nadalje, imajući u vidu da je obrada osobnih podataka tužitelja provedena od strane Ureda za korporativnu sigurnost, kao dijela krovnog društva (HEP d.d.) koncerna u kojem posluje i zainteresirana osoba, kao raniji poslodavac tužitelja, a da je sama obrada provedena radi sprječavanja štete na računalima i elektroničkim komunikacijskim sustavima u vlasništvu tog poslodavca, pravilno je utvrđeno da je navedeno provedeno sukladno citiranom članku 49. uvodnog dijela Uredbe. Osim toga, a s obzirom obradu izvršenu na podatcima sadržanim u opremi koja se nalazi u radnom prostoru zainteresirane osobe, a koji je koristio tužitelj, Sud smatra i da je test proporcionalnosti zadovoljen, jer je obrada podataka ograničena samo na podatke sadržane u navedenoj opremi, koji su relevantni za navedeni proizvodni proces i sigurnosni incident te na podatke kojima je upravljao tužitelj.

16. Također zakonitom se ocjenjuje i utvrđena osnova za predmetnu obradu osobnih podataka, a na temelju članka 6.1.(f) Uredbe, odnosno utvrđenje da je obrada bila nužna za potrebe legitimnih interesa voditelja obrade. To stoga što su se obrađeni podaci nalazili na diskovima nađenim u službenim prostorijama, u službenom računalu zainteresirane osobe, unutar IRS-a, a koji je ključni dio procesnog sustava zainteresirane osobe, što je od posebne važnosti ne samo za zainteresiranu osobu, već za cijeli energetski sustav Republike Hrvatske, iz čega je razvidan legitimni interes za predmetnu obradu (pri čemu se zainteresirana osoba pozvala na odredbe Zakona o energiji i Zakona o kritičnim infrastrukturama), kao i nužnost poštivanja pravnih obveza voditelja obrade (osnova za obradu sukladno članku 6(1)(c) Uredbe. Nastavno na navedeno, a s obzirom na utvrđeni sigurnosni incident radi kojeg se pristupilo IRS-u kojim je upravljao tužitelj, Sud smatra da je sukladno citiranom članku 9(2)(f) Uredbe poduzeta obrada posebnih kategorija zakonita, s obzirom da je bila nužna za uspostavu, ostvarivanje, odnosno obranu pravnih zahtjeva, iz razloga što je interna istraga za sigurnosne incidente pravni zahtjev zainteresirane osobe, a javni interes jest zaštita mreže i infrastrukture, pri čemu takvo postupanje navedene osobe poduzeto radi istrage navedenog incidenta, a ne s namjerom obrade tužiteljevih osobnih podataka.

17. Nadalje, u odnosu na tužbene navode kojima se spori postojanje jednog, odnosno više voditelja obrade te postojanje ugovornog odnosa među njima, pravilno je zainteresirana osoba navela da ta osoba te Ured za korporativnu sigurnost nisu bili odvojeni voditelji obrade u smislu članka 4(7) Uredbe, a s obzirom da je Ured za korporativnu sigurnost odjel unutar krovnog društava HEP d.d., te je on provodio istragu u ime zainteresirane osobe. Stoga nije niti bilo potrebe za ugovornim odnosom između tih subjekata kao voditelja obrade prema članku 26. Uredbe.

18. Nadalje, u odnosu na pristup osobnim podacima tužitelja, potrebno je istaknuti da je tuženik pravilno istaknuo da sukladno članku 15. Uredbe je svaki poslodavac kao voditelj obrade dužan radniku kao ispitaniku omogućiti pravo pristupa osobnim podacima, a kako bi radnik, odnosno ispitanik bio svjestan obrade osobnih podataka te mogao nadzirati zakonitost obrade tih podataka. No, jednako tako, pravilno je utvrdio i da namjera tužiteljeve konzumacije tog prava nije kontrola zakonitosti same obrade njegovih osobnih podataka, već ostvarivanje nekih drugih prava za koja smatra da su mu povrijeđena te o kojima se odlučuje u drugom sudskom postupku (ne ovom sporu). Stoga je potrebno navedeno pravo pristupa dovesti u vezi s pravima i obvezama drugih subjekata, a koje su u određenoj svezi. Stoga ostvarenje navedenog prava treba ocijeniti u kontekstu prava i obveze zainteresirane osobe na zaštitu informacijskog i poslovnog sustava i infrastrukture te u tom kontekstu prava na provođenje interne istrage zbog utvrđene ugroze, a što bi i opravdalo ukidanje pristupa službenom e-mailu, poslovnom sustavu poslodavca (zainteresirane osobe) te izuzimanja osobnih podataka tužitelja radi zaštite navedenih legitimnih interesa, kao i omogućavanje pristupa osobnim podacima, a koji ne bi mogli ugroziti zaštitu navedenih legitimnih interesa.

19. Sud ukazuje na praksu Ustavnog suda Republike Hrvatske zauzetoj u Odluci, broj: U-III-1916/2020, od 20. travnja 2022., u kojoj je navedeno da: "… Ustavni sud ističe da načela kontradiktornosti i jednakosti oružja kao temeljna postupovna jamstva pravičnosti postupka podrazumijevaju pravo stranaka u postupku da iznose navode, budu saslušane i osobno postavljaju pitanja svjedocima, čak i kad su zastupane po kvalificiranim punomoćnicima odvjetnicima. Ova načela također podrazumijevaju pravo stranaka da predlažu dokaze, a premda sudovi nisu dužni izvesti svaki dokaz koji stranka predloži, ipak su obvezni iznijeti dostatne i relevantne razloge za odbijanje dokaznih prijedloga…"

20. Stoga, imajući na umu navedeni stav Ustavnog suda Republike Hrvatske, ovaj Sud ukazuje da za potpuno i pravilno utvrđenje činjeničnog stanja nije bilo nužno bezuvjetno prihvaćanje svih dokaznih prijedloga tužitelja, jer bi takvo postupanje dovodilo do kršenja načela ekonomičnosti i učinkovitosti postupka, već je u tom kontekstu bilo potrebno sagledati je li odbijeni dokazni prijedlog mogao utjecati na drugačije rješavanje upravne stvari. Osim toga, u upravnom je postupku službena osoba odgovorna za kvalitetno obavljanje svih radnji dokaznog postupka pa tako između ostalog mora odrediti koje bitne činjenice treba utvrđivati u postupku te koja su dokazna sredstva prikladna za njihovo dokazivanje, čime izravno utječe na tijek dokaznog postupka. Međutim, dužnost joj je omogućiti da stranke u dokaznom postupku ostvare i zaštite svoja prava, odnosno očituju se o činjenicama i pravnim pitanjima važnim za rješavanje upravne stvari. Budući da je tuženik postupio u skladu s navedenim, neodlučnima za odluku u sporu se ocjenjuju navodi kojima se spori neprihvaćanje svih dokaznih prijedloga tužitelja. Također, s obzirom da je jasan predmet te okolnosti obrade osobnih podataka tužitelja, odnosno da svaki novi zahtjev tužitelja spram tuženika, suštinski i sadržajno ne mora stvarno biti novi zahtjev, već ponavljanje prethodnih zahtjeva, a imajući u vidu sve prethodno navedeno, ocjena je Suda da nije osnovan navod tužitelja da je tuženik morao posebno odlučivati o svakom oduzetom predmetu (kompjuteru, vanjskoj memoriji) na temelju kojeg je došlo do obrade osobnih podataka tužitelja, s obzirom da je u odnosu na sve sadržajno jednako postupljeno.

21. Slijedom navedenog, osporavano rješenje tuženika ocijenjeno je zakonitim pa je Sud na temelju odredbe članka 116. stavka 1. ZUS-a odlučio kao u točki I. izreke ove presude.

22. Točka II. izreke ove presude temelji se na odredbi članka 147. stavka 1. ZUS-a prema kojoj odredbi stranka koja izgubi spor u cijelosti snosi sve troškove spora.

23. Točka III. izreke ove presude temelji se na odredbi članka 144. stavak 1. ZUS-a prema kojoj troškove spora čine opravdani izdaci učinjeni tijekom ili u povodu spora, a koji izdatak u vidu zatraženog troška sudske pristojbe zatražen u odgovoru na tužbu zainteresirane osobe nije nastao zainteresiranoj osobi, jer se sudske pristojbe u upravnom sporu sukladno čl. 22. Zakona o sudskim pristojbama ("Narodne novine" 118/18 i 53/91) plaćaju samo (na podnošenje tužbe i donesenu odluku) ako Sud odbaci tužbu ili odbije tužbeni zahtjev, dok zainteresirana osoba u upravnom sporu nije podnositelj tužbe, već je to tužitelj pa nije niti obveznik plaćanja sudske pristojbe.

U Rijeci, 7. svibnja 2026.

Sutkinja

Marija Renner Jakovljević

UPUTA O PRAVNOM LIJEKU:

Protiv ove presude dopuštena je žalba Visokom upravnom sudu Republike Hrvatske. Žalba se podnosi putem ovog Suda u tri primjerka, u roku od 15 dana od dana dostave presude.

DNA:

- opunomoćeniku tužitelja odvjetniku Danijelu Juriću, Rijeka, Andrije Medulića 4,

- tuženiku Agencije za zaštitu osobnih podataka, Zagreb, Ulica Metela Ožegovića 16,

- zainteresiranoj osobi HEP-Proizvodnja d.o.o., Zagreb, Ulica grada Vukovara 37