REPUBLIKA HRVATSKA

TRGOVAČKI SUD U ZAGREBU

Zagreb, Trg J. F. Kennedyja 11

P-1197/2023-31

U  I M E  R E P U B L I K E  H R V A T S K E

P R E S U D A

Trgovački sud u Zagrebu, po sucu Maji Hilje, u pravnoj stvari tužitelja Poliklinika za zaštitu djece i mladih Grada Zagreba, Đorđićeva 26, Zagreb, OIB: 81725888904 , kojeg zastupa punomoćnica Ana Hrabar, odvjetnica u Odvjetničkom društvu Hrabar & partneri d.o.o., Zagreb, Gajeva 35, protiv tuženika GEROMAR d.o.o., Bestovje, Ulica Zdenci 3/I, OIB: 59222169394, kojeg zastupa punomoćnica Sanja Artuković, odvjetnica u Zagrebu, radi naknade štete, nakon održane javne glavne rasprave zaključene 26. studenog 2024. u prisutnosti zastupnice po zakonu i punomoćnice tužitelja te zastupnice po zakonu i punomoćnice tuženika, s danom objave 9. siječnja 2025.

p r e s u d i o  j e

I/ Odbija se, kao neosnovan, tužbeni zahtjev koji glasi:

"1. Nalaže se tuženiku GEROMAR d.o.o., Ulica Zdenci 3/I, Bestovje (Grad Sveta Nedelja), OIB: 59222169394 da tužitelju Poliklinika za zaštitu djece i mladih Grada Zagreba, Đorđićeva 26, Zagreb, OIB: 81725888904 na ime naknade neimovinske štete isplati iznos od 3.000,00 eura, zajedno sa pripadajućom zakonskom zateznom kamatom tekućom od podnošenja ove tužbe pa do isplate, po stopi koja se određuje za svako polugodište, uvećanjem kamatne stope koju je Europska središnja banka primijenila na svoje posljednje glavne operacije refinanciranja koje je obavila prije prvog kalendarskog dana tekućeg polugodišta za osam postotnih poena, sve u roku od 15 dana.

2. Nalaže se tuženiku GEROMAR d.o.o., Ulica Zdenci 3/I, Bestovje (Grad Sveta Nedelja), OIB: 59222169394 naknaditi tužitelju Poliklinika za zaštitu djece i mladih Grada Zagreba, Đorđićeva 26, Zagreb, OIB: 81725888904 troškove ovog parničnog postupka zajedno sa pripadajućom zakonskom zateznom kamatom tekućom od dana donošenja prvostupanjske presude pa do isplate, po stopi koja se određuje za svako polugodište, uvećanjem kamatne stope koju je Europska središnja banka primijenila na svoje posljednje glavne operacije refinanciranja

koje je obavila prije prvog kalendarskog dana tekućeg polugodišta za osam postotnih poena, sve u roku od 15 dana."

II/ Nalaže se tužitelju da u roku od 15 (petnaest) dana nadoknadi tuženiku troškove parničnog postupka u iznosu od 1.600,00 EUR.

III/ Odbija se, kao neosnovan, zahtjev tuženika za naknadu troškova postupka u iznosu od 500,00 EUR.

Obrazloženje

1. Tužitelj u tužbi podnesenoj 7. lipnja 2023. navodi da su stranke 24. lipnja 2021. sklopile Ugovor o poslovnoj suradnji na neodređeno vrijeme, počevši od 1. srpnja 2021., a predmet kojeg ugovora je poslovna suradnja u vidu oblikovanja sadržaja web stranice tužitelja. Prema odredbi čl. 4. tog Ugovora, tuženik se, kao izvršitelj, obvezao svakodnevno vršiti uvid u stanje web stranice tužitelja. Navodi da je 5. lipnja 2023. jedan od roditelja čije je dijete pacijent tužitelja obavijestio tužitelja da su na web stranici tužitelja javno dostupni podaci o njegovom djetetu, odnosno njemu, a što je alarmiralo tužitelja da bez odgode kontaktira tuženika koji je zadužen za održavanje web stranice. Ističe da je tužitelj u razgovoru sa predstavnicima tuženika te pretražujući web stranicu uvidio opseg javnog objavljivanja osobnih podataka maloljetnih pacijenata tužitelja i njihovih roditelja, odnosno da je utvrdio da su putem web stranice tužitelja javno bili dostupni podaci za desetke pacijenata i njihovih roditelja i to, prema navodima predstavnice tuženika, tijekom mjeseca travnja, svibnja i lipnja 2023. Tužitelj je istog dana obavijestio tuženika o uočenim nedostacima obavljenog posla održavanja web stranice, odnosno o neovlaštenoj javnoj objavi osobnih podataka pacijenata te je tuženik poduzeo radnje kako bi se navedeni podaci otklonili s web stranice tužitelja. Nadalje je 6. lipnja 2023. održan sastanak upravnog vijeća tužitelja, na kojem je prisustvovala i DŽG, predstavnica tuženika koja je navela da je objava osobnih podataka rezultat greške programera gospodina DŽ, a koja se dogodila prilikom njegovog rada na unaprjeđivanju web stranice i da tuženik u potpunosti preuzima odgovornost za tu grešku jer je DŽ posao obavljao po nalogu tuženika kao izvođača, odnosno isti je temeljem naloga tuženika 18. travnja 2023. programirao na web stranici mogućnost printanja obrazaca naručivanja pacijenata. Radi se o obrascima u koje roditelji unose povjerljive osobne podatke o sebi i svojoj maloljetnoj djeci kao pacijentima (ime i prezime, adresa, OIB, osobna i obiteljska anamneza, medicinske dijagnoze i sl.), pri čemu se formira dokument u PDF formatu koji bi odmah potom trebao biti izbrisan, što se zbog greške programera nije dogodilo, već su takvi podaci postali dostupni na web stranici tužitelja. Tužitelj ističe da se radi o posebnoj kategoriji osobnih podataka (medicinski i osobni podaci maloljetnih pacijenata) i da se podaci objavljeni na internetu gotovo nikada ne mogu u potpunosti izbrisati te da su razmjeri štete stoga dalekosežni. Tužitelj navodi da je zbog spomenute objave podataka koja je rezultat djelovanja i propusta tuženika, pretrpio značajnu neimovinsku štetu u vidu povrede prava osobnosti čiju naknadu potražuje u iznosu od 3.000,00 EUR sa zateznim kamatama tekućim od podnošenja tužbe do isplate.

2. Tuženik u odgovoru na tužbu u cijelosti osporava tužbu i tužbeni zahtjev. Naime, tuženik u bitnom navodi da nije sporan nastanak štetnog događaja, međutim osporava svoju odgovornost za isti budući da je za štetu odgovoran tužitelj, tj. društvo Proaxis d.o.o. koje je radilo usluge hostinga za web stranicu tužitelja, a koje društvo je sam tužitelj angažirao. Stoga ističe prigovor promašene pasivne legitimacije. Naime, tuženik tvrdi da je do vidljivosti PDF dokumenta s osobnim podacima djeteta došlo radi greške u konfiguraciji hostinga. Ne spori da je društvo Gaja Gati j.d.o.o. angažirano od strane tuženika radi pružanja usluga programiranja. Pojašnjava da se tuženik bavi oblikovanjem i prezentiranjem sadržaja, a ne programiranjem niti je to njegova obveza prema Ugovoru o poslovnoj suradnji od 24. lipnja 2021. Društvo Gaja Gati j.d.o.o. (programer) je na platformu (ekstenziju) stavio kontakt obrazac za naručivanje pacijenata pri čemu nije isključio opciju da se PDF dokumenti koji se putem navedenog kontakt obrasca za naručivanje pacijenata šalju na mail tužitelja automatski brišu. Stoga PDF dokument s podacima pacijentice nije automatski izbrisan, a programer nije znao niti morao znati da postoji opcija da se PDF automatski generira na serveru. Tuženik naglašava da se navedeno ne bi dogodilo da je hosting konfiguriran ispravno pa stoga smatra da je za štetu isključivo odgovorno društvo Proaxis d.o.o. Tuženik je sukladno čl. 4. Ugovora svakodnevno vršio uvid u stanje web stranice tužitelja i to od 2008. do 2023. pa je i u konkretnom slučaju nastale štete, sukladno dobrim poslovnim običajima i poslovnoj etici, isti dan (5. lipnja 2023.) na zahtjev glavne sestre tužitelja promptno reagirao i uklonio štetu iako nije štetnik, a poduzeo je i sve potrebne radnje prema tražilici Google na Search Consoli tako da se PDF-ovi ne mogu pretraživati. Dodaje da se i Gaja Gati j.d.o.o. (programer) također angažirao u rješavanju navedenog problema u suradnji s društvom Proaxis d.o.o., a kojom prilikom se utvrdilo da konfiguracija hostinga nije podešena ispravno, međutim i navedena se greška uklonila. Prema tome, tuženik je odradio hitnu intervenciju, organizirao programera, koordinirao komunikaciju s tužiteljem, odgovarao na brojne telefonske pozive i komunicirao s predsjednicom Upravnog vijeća, pravnikom tužitelja i društvom Proaxis d.o.o., sve s ciljem uklanjanja greške koja nije nastala krivnjom tuženika. Tuženik također navodi da je izjava DŽG o tome da tuženik u potpunosti preuzima odgovornost za konkretni događaj bez učinka budući da ona nije ovlaštena osoba za zastupanje tuženika pa tako niti ne može obvezivati tuženika. Dodaje da je ona navedenu izjavu dala isključivo iz razloga poslovnog bontona jer je zbog dugogodišnje poslovne suradnje tuženika i tužitelja koja traje od 2008. htjela izgladiti poslovne odnose te je na navedeni sastanak otišla s dobrim namjerama, dok je tužitelj navedeni sastanak održavao u vrlo neugodnom i neprofesionalnom tonu neprihvaćajući pritom niti jednu sugestiju gospođe BŽ. Ističe da je zbog neprofesionalnog ponašanja tužitelja na sjednici Upravnog vijeća od 6. lipnja 2023. tuženik 7. lipnja 2023. otkazao Ugovor te tužitelju nije obračunao četvrtinu mjesečnog paušala (583,98 EUR + PDV sukladno čl. 6. Ugovora), što čini iznos od 146 EUR + PDV, kao niti odrađene hitne intervencije u trajanju od 24 sata koje bi, prema procjeni tuženika, koštale minimalno 2.000,00 EUR. Pored navedenog, tuženik ističe da tužitelj nema dovoljno razrađen sustav zaštite osobnih podataka, što je isključiva odgovornost tužitelja. Osporava tužiteljeve tvrdnje da se podaci objavljeni na internetu nikada ne mogu u potpunosti izbrisati napominjući da je sporni PDF dokument s osobnim podacima isti dan uklonjen sa web stranice ažurnim postupanjem tuženika. Zaključno tuženik zatraženi iznos naknade štete smatra suviše visokim budući da je šteta odmah uklonjena i nisu nastupile dalekosežne posljedice za ugled i dobar glas tužitelja. Podredno, odgovornost za štetu nastalu ugledu tužitelja podijeljena je u omjeru 50%- 50% između tuženika koji je angažirao društvo Gaja Gati j.d.o.o. kao programera s jedne strane i društva Proaxis d.o.o. koji je zadužen za hosting web stranice tužitelja.

3. Očitujući se na navode tuženika, tužitelj je u daljnjem tijeku postupka naveo da je gospođa BŽ supruga jedinog člana društva tuženika i zastupnika po zakonu tuženika LŽ, u u sudskom registru je kao adresa elektroničke pošte za komunikaciju s navedenim društvom navedena upravo njezina e- mail adresa: [adresa elektroničke pošte] te je ista bila direktoricom tuženika od 29. siječnja 2014. do 30. studenog 2022., ona je u svojstvu zastupnika po zakonu tuženika potpisala Ugovor o poslovnoj suradnji između tužitelja i tuženika, a osim toga nju je tuženik, kao svoju predstavnicu, uputio na sastanak upravnog vijeća tužitelja koji je održan 6. lipnja 2023. Nadalje je naveo da se pod pojmom web-hostinga ima smatrati usluga smještaja web stranica na web-server prilikom koje pružatelj hostinga iznajmljuje korisniku hostinga dio prostora na serveru iz čega je jasno da je jedina uloga društva Proaxis d.o.o. najam, odnosno zakup prostora na internetu za web stranicu te navedeno društvo nema nikakve veze sa greškom tuženika. Ističe da je tuženik prema zakonu i Ugovoru sklopljenim sa tuženikom imao obvezu otkloniti nedostatke pa stoga nema osnove za naplatu "hitne intervencije", dok neobračunavanje četvrtine paušala za lipanj 2023. godine nije ni od kakvog značaja za predmet spora.

4. Tuženik je u nastavku postupka naveo da je gospođa BŽ na sastanku Upravnog vijeća tužitelja izrazila žaljenje zbog nastale štete, što tužitelj pogrešno prikazuje kao priznanje odgovornosti. Navodi da su i ona i tuženik pokazali ažurnost i dobru volju te su pomogli tužitelju u otklanjanju posljedica štete.

5. Sud je tijekom postupka izvršio uvid u dokumentaciju u spisu, preslušao je snimku sa sastanka Upravnog vijeća od 6. lipnja 2023., provedeno je informatičko vještačenje po stalnom sudskom vještaku Denisu Hrestaku iz RIVULUS d.o.o. te su saslušani zastupnici po zakonu stranaka.

6. Na temelju analize provedenih dokaza, i to kako svakog dokaza zasebno, tako i dovođenjem svih provedenih dokaza u međusobnu vezu (čl. 8. Zakona o parničnom postupku, ''Narodne novine'' broj 53/91., 91/92., 112/99., 88/01., 117/03., 88/05., 2/07. - odluka USRH, 84/08, 123/08., 57/11., 25/13., 28/13., 89/14. - odluka USRH i 70/19., 80/22., 114/22., 155/23. – dalje: ZPP), kao i na temelju rezultata cjelokupnog postupka, ovaj je sud došao do uvjerenja da tuženi zahtjev nije osnovan.

7. Naime, predmet spora predstavlja zahtjev tužitelja za naknadu štete u iznosu od 3.000,00 EUR zbog povrede prava osobnosti.

8. Između stranaka nije sporan nastanak štetnog događaja kojeg tužitelj opisuje u tužbi, odnosno da se tužitelju 5. lipnja 2023. putem e-maila obratio otac čije je dijete pacijent tužitelja sa zahtjevom da se uklone osobni podaci djeteta sa interneta (navedeno ujedno proizlazi iz e-maila od 5. lipnja 2023. na listu 7. spisa), jednako kao što nije sporno niti da su tužitelj i tuženik poduzeli sve moguće mjere da se utvrdi uzrok i uklone nedostatci, a kako to proizlazi iz e-mailova tužitelja i tuženika od 5. lipnja 2023. sa lista 5. spisa.

9. Naime, tužitelj je odmah od tuženika zatražio očitovanje u vezi navedenog te mu je tuženik odgovorio da je pronađena greška u programu koja je nastala kad su rješavali opcije obrasca. Naveo je da je greška odmah nađena i uklonjena tako da se to više ne može dogoditi. Ujedno se ispričao. Predmetni je e-mail potpisala DŽG.

10. Među strankama nije sporno niti da su tužitelj i tuženik bili u dugogodišnjem poslovnom odnosu s time da je posljednji Ugovor o poslovnoj suradnji sklopljen s početkom važenja od 1. srpnja 2021. (list 8.-9. spisa). Prema sadržaju navedenog ugovora, predmet istog je poslovna suradnja stranaka i to tužitelja kao Poliklinike i tuženika kao izvršitelja u vidu oblikovanja sadržaja web stranice tužitelja, što naročito obuhvaća uređivanje sadržaja web portala tužitelja sa dnevno aktualnim sadržajem, prilagođavanje tekstova web portala općoj čitalačkoj publici i djeci te moderiranje interaktivnih sadržaja sa korisnicima (djeca i roditelji). Odredbom čl. 4. ovog Ugovora tuženik se obvezao svakodnevno vršiti uvid u stanje web stranice te kreirati nove i dopunjavati stare sadržaje iz materijala dobivenog od tužitelja u dogovoru s predstavnikom tužitelja kojeg on odredi.

11. Među strankama je sporan uzrok javne vidljivosti podataka o pacijentima tužitelja na internetu te s tim u vezi odgovornost tuženika za eventualno nastalu štetu tužitelju.

12. Preslušavanjem snimke sa sastanka Upravnog vijeća tužitelja koji je održan 6. lipnja 2023. (list 160. spisa) utvrđeno je da je DŽG navela da je do incidenta došlo greškom programera jer se PDF dokument sačuvao u medijskoj zbirci kao upload zbog greške u samom sustavu koji je prestar i preopterećen. Navela je da PDF-ovi nisu bili objavljeni nego su bili dohvatljivi ako je netko išao pretraživati. Dodala je da problem otklonjen i da ti podaci više nisu vidljivi. Po njezinoj je procjeni navedeno bilo javno dostupno od 18. travnja 2023. kad je napravljen print.

13. Iz očitovanja Proaxis d.o.o. (list 75.-76. spisa), koje je tužitelju od strane tog društva dostavljeno putem e-maila od 15. ožujka 2024. (list 74. spisa), proizlazi da navedeno društvo ne održava smještaj (hosting) web stranica niti održava web stranice. U očitovanju je navedeno da je usluga hostinga, odnosno smještaja web stranica, na kojem se nalaze web stranice tužitelja, operativno vođena i održavana od strane društva Info-Impero d.o.o. te da je mišljenje IT stručnjaka društva Proaxis d.o.o. da je do incidenta došlo zbog dva ključna razloga, a to su brzopleto i neprikladno programiranje za vrstu podataka koja se obrađivala i nedovoljna pažnja oko konfiguracije web poslužitelja. Prema mišljenju ovog društva, propust u konfiguraciji je zasluga strane koja je održavala web stranice, a koja je, ako nema dovoljno znanja, trebala angažirati ili informirati davatelja usluge hostinga da su potrebna podešenja predmetne infrastrukture ili platforme.

14. Sud je na spornu okolnost uzroka javne vidljivosti podataka o pacijentima tužitelja odredio izvođenje dokaza informatičkim vještačenjem (rješenje od 20. veljače 2024. – list 70.-72. spisa).

15. Iz nalaza i mišljenja stalnog sudskog vještaka Denisa Hrestaka iz RIVULUS d.o.o. (list 83.-91. spisa) koji je podnesen u pisanoj formi 16. travnja 2024. proizlazi da su uzrok javne dostupnosti podataka pacijenata na web stranici tužitelja aktivnosti na doradi obrasca za prijavu pacijenata, odnosno kreiranje nove funkcionalnosti kojom bi ispunjeni obrazac dolazio na e-mail tužitelja u obliku pogodnom za ispis. Postavke modula Generate PDF using Contact form 7 nisu bile podešene na način da se obrasci brišu odmah nakon slanja, nego su oni, umjesto brisanja, spremani u zbirku medija na Internet stranici, odnosno platformi za razvoj web stranice (Wordpress) tužitelja. Vještak je naveo da nije uobičajno da zbirka medija na lokaciji /wp-contents/uploads bude javno dostupna korisnicima pa stoga smatra da se radi o propustu administratora stranice jer da su sigurnosne postavke bile ispravno podešene, obrasci za prijavu pacijenata ne bi bili javno dostupni čak i kada se ne bi obrisali odmah nakon slanja. Naveo je da Proaxis d.o.o. nije pružao usluge web hostinga za stranicu tužitelja, već je to radilo trgovačko društvo Info-Impero d.o.o., dok se Proaxis d.o.o. uključilo na molbu tužitelja u sanaciju problema, nakon što je utvrđeno da su obrasci za prijavu pacijenata javno dostupni te oni ne snosi nikakvu odgovornost za uzroke "curenja" podataka o pacijentima tužitelja. Vještak je naveo da pružatelji usluga web-hostinga nisu i ne mogu biti odgovorni za pogreške u konfiguracijskim parametrima Internet stranica koje udomljuju, već je to odgovornost korisnika, odnosno administratora stranice, pri čemu pod administratorom podrazumijeva osobu koja ima najvišu razinu ovlasti za upravljanje Internet stranicom. Naveo je da je Gaja Gati j.d.o.o. je bio podizvođač tuženika te do javne dostupnosti obrazaca za prijavu pacijenata ne bi došlo da to društvo nije provodilo izmjene po Internet stranici tužitelja. Međutim, kod izrade i promjena po Internet stranicama u Wordpress tehnologiji nije uobičajena praksa provjeravati sve parametre okruženja prilikom provedbe promjena po već postojećoj i aktivnoj Internet stranici. Postavke javne dostupnosti lokacije sa pohranjenim obrascima za prijavu pacijenata promijenjene su prije ove konkretne aktivnosti društva Gaja Gati j.d.o.o., odnosno nije ih na taj način postavilo društvo Gaja Gati j.d.o.o., već je navedeno društvo ove aktivnosti provodilo po nalogu tuženika. Ujedno je vještak naveo da su aktivnosti koje su dovele do javne dostupnosti obrazaca za prijavu pacijenata uključene u opis poslova čl. 1. Ugovora o poslovnoj suradnji od 24. lipnja 2021. koji je sklopljen između tužitelja i tuženika. Naveo je da tužitelj nije naložio Gaja Gati j.d.o.o. bilo kakvu aktivnost po njihovoj Internet stranici, već je to učinio tuženik koji je tom društvu dao i pristupne podatke administratorskom sučelju Internet stranice tužitelja, a detalje suradnje su tuženik i Gaja Gati j.d.o.o. ugovarali putem e-maila.

16. Usmeno dajući nalaz i mišljenje na ročištu održanom 7. listopada 2024. (list 124.-127. spisa) vještak je dodatno pojasnio da je administrator svaka osoba koja ima administratorske ovlasti odnosno pristup sustavu sa posebnim ovlastima koje mu omogućavaju izvođenje radnji koje obični korisnik ne može provesti. U ovom konkretnom slučaju administratorom se može smatrati cijeli lanac osoba bilo pravnih ili fizičkih koje su imale administratorske ovlasti, primarne administratorske ovlasti dobio je tužitelj pa je onda informacije o tome prenio na tuženika, a tuženik je opet to prenio na društvo Gaja Gati j.d.o.o., dakle svi su imali administratorska prava, međutim treba promatrati na koji su način korištena ta administratorska prava i što je dovelo do problema u radu aplikacije pa vještak smatra administratorom Gaja Gati j.d.o.o. koje je provodilo promjene po sustavu. Vještak se fokusirao na dan kad su nastali problemi koji su predmet tužbe te je u nalazu i mišljenju naveo tko je imao administratorska prava za taj dan, dok nije utvrđivao tko je sve imao pristup konfiguraciji servera i c- panelu. Naveo je da pružatelji usluga daju razinu usluga ovisno o ugovoru koji s njima se sklopi, najčešće je to osiguranje smještaja stranice i osiguranje podsustava koji omogućuju prezentaciju te stranice na internetu. Smatra da je ovdje prije svega potrebno razlučiti: word press koji služi za izradu web stranice i podešavanje svih konfiguracija i parametara potrebnih za rad web stranice te drugi podsustav c-panel koji zapravo predstavlja upravljačko sučelje hosting domene. U ovom slučaju pristupni podaci za c-panel nisu bili potrebni administratoru stranice jer su se sve radnje koje su se mogle obaviti kroz c-panel mogle obaviti i kroz sustav word press, pri čemu vještak misli na brisanje datoteka sa narudžbama odnosno imenima djece (spornih PDF dokumenata). Podešavanje pristupa pojedinim lokacijama ovdje se realiziralo kroz datoteku htaccess. Stoga administratorski pristup c-panelu nije bio nužan da bi se riješio sporni problem, a jednako tako pristup c-panelu nije bio potreban niti da bi se instalirali plug in-ovi koji su korišteni za generiranje i slanje e-mailom PDF datoteka o narudžbama. Naveo je da je do objave osobnih podataka došlo zbog načina na koji je podešen rad aplikacije i da hosting s time nema veze jer hosting samo pruža uslugu smještaja stranice na internetu. Dodao je da je pristup c-panelu imao Proaxis d.o.o. jer je tužitelj naknadno angažirao to društvo kako bi te datoteke bile izbrisane i za to mu omogućio pristup. Zaključno je naveo da je tuženik izdao nalog Gaja Gati j.d.o.o. da napravi promjene na web stranici, što je rezultiralo omogućavanjem dostupnosti PDF datoteka sa podacima o narudžbama javnosti.

17. Nakon saslušanja vještaka tuženik je ustrajao kod primjedbi i prigovora na njegov nalaz i mišljenje te je predložio provođenje novog vještačenja. Naime, tuženik ističe da je vještak u nalazu i mišljenju kao i tijekom saslušanja potvrdio postojanje dva uzroka u lancu kauzalnosti koja su dovela do štetnog događaja, od kojih je promjena konfiguracije vremenski prije naloga tuženika. Tuženik ističe da je upravo navedena promjena konfiguracije conditio sine qua non navodno nastale štete te da je ista promjena po redovnom tijeku stvari mogla dovesti do predmetne posljedice. Navodi da se ne mogu utvrditi činjenice vezane uz odgovornost za navodnu nastalu štetu jer se u nalazu i mišljenju vještaka spominju dva uzroka, od kojih okolnosti vezane uz prvi uzrok, koji prethodi drugome, nisu razjašnjene. Naime, tuženik ne spori da je podizvođač po nalogu tuženika proveo izmjene koje su omogućile naručivanje pacijenata tužitelja putem obrazaca, ali osporava da su radnje podizvođača dovele do objave obrazaca na stranici tužitelja jer isti nije imao pristup konfiguraciji modula niti je utjecao na postavke predmetnog modula.

18. Sud je ocijenio da nije svrsishodno provoditi novo informatičko vještačenje budući da su nalazom i mišljenjem sudskog vještaka Denisa Hrestaka, koji je sud prihvatio kao stručan i obrazložen, utvrđene sporne činjenice radi utvrđenja kojih je i određeno provođenje vještačenja. Naime, sudski je vještak detaljno i iscrpno odgovorio na postavljeni zadatak te je usmeno odgovorio na sva pitanja stranaka i argumentirano otklonio sve primjedbe tuženika.

19. Iz rezultata provedenog vještačenja proizlazi da je javna dostupnost podataka o pacijentima tužitelja rezultat aktivnosti podizvođača tuženika (društva Gaja Gati j.d.o.o.) na doradi obrasca za prijavu pacijenata, odnosno kreiranje nove funkcionalnosti kojom bi ispunjeni obrazac dolazio na e-mail tužitelja u obliku pogodnom za ispis, a s obzirom da podizvođač tuženika prilikom programiranja nije isključio opciju da se PDF dokumenti koji se putem kontakt obrasca za naručivanje pacijenata šalju na mail tužitelja automatski brišu. S navedenim hosting nema nikakve veze jer hosting samo pruža uslugu smještaja stranice na internetu.

20. Sud je, radi utvrđenja činjenica vezanih uz povredu časti i ugleda te prava na dobar glas tužitelja saslušao zastupnicu po zakonu tužitelja BŽG (list 152.-155. spisa). Ista je navela je da je 5. lipnja 2023. na službeni e-mail Poliklinike došao e-mail oca pacijentice u 14:57 sati u kojem je navedeno da je surfajući po internetu i pretražujući svoje ime naišao na formulare Poliklinike za narudžbu u kojima je naveden razlog dolaska, tko pacijenta upućuje, simptomi i podaci o roditeljima, odnosno podaci o zdravstvenom stanju djeteta te je zahtijevao da se navedeni podaci hitno otklone sa interneta. Zastupnica po zakonu tužitelja je odmah nakon saznanja za navedeno sazvala sjednicu upravnog vijeća na kojoj je bilo svo rukovodstvo Poliklinike uključujući i pravnika, a za 6. lipnja 2023. je sazvala izvanrednu sjednicu upravnog vijeća. Iskazala je da su odmah pisali svim platformama (Google, Bing, Yahoo) te su istražili je li došlo do curenja podataka još kojeg djeteta i utvrdili su da su od početka svibnja 2023. bili dostupni podaci iz ovih PDF formulara za ukupno 27 djece. Naime, na web stranici Poliklinike su prazni formulari koje roditelji ispunjavaju i kada ih popune te u PDF formatu vrate Poliklinici, oni automatski moraju biti uklonjeni. Nakon ovog događaja, provjeravali su jednog po jednog pacijenta od njih ukupno 300-tinjak te su utvrdili "googlanjem" odnosno ukucavanjem imena pacijenata u Google, Bing, Yahoo i Firefox da ih je na internetu vidljivo 27, međutim ne zna jesu li njihovi podaci bili vidljivi na glavnom izborniku web stranice Poliklinike. U vezi izvanredne sjednice upravnog vijeća, navela je da je na istoj bila prisutna zastupnica po zakonu tuženika koja se ispričala i rekla da je došlo do propusta, a na toj je sjednici odlučeno odmah otkazati ugovor tuženiku. Dodala je da je tužitelj u vezi web-a na kojem se nalazi formular za naručivanje cijelo vrijeme korespondirao samo sa tuženikom, a ugovor o nastavku suradnje sa tuženikom iz 2021. sklopljen je još za vrijeme kad je ravnateljica Poliklinike bila gospođa JŽ. Pojasnila je da je zastupnica po zakonu tuženika na izvanrednoj sjednici upravnog vijeća rekla da je došlo do greške u sustavu temeljem radnji i da je to propust onoga tko je to radio, a zbog toga su podaci postali javni. Sjeća se da je spominjala PDF formate i word press. Nema saznanja tko je izradio web stranicu tužitelja jer je ona već postojala kada se prije 12 godina zastupnica po zakonu tužitelja zaposlila kod tužitelja, ali sve vezano za web stranicu su rješavali temeljem ugovora sa tuženikom. Pojasnila je da sustav mailinga za tužitelja održava Proaxis d.o.o. te navedeno nema nikakve veze sa web stranicom Poliklinike, dok za Info- Impero d.o.o. ne zna jesu li, a ako jesu, koje su poslove obavljali za Polikliniku. Navela je da je tužitelj radi ovoga imao neugodnosti zbog samog angažmana većeg broja djelatnika Poliklinike i noću i danju. Pojašnjenja radi navela je da su u virtualni svijet izašli podaci djece kao što su dijagnoze: emocionalno zanemarivanje, teška reakcija na stres, neprikladna reakcija obitelji, tjelesno zlostavljanje, obiteljsko nasilje, emocionalni poremećaji u djetinjstvu, psihološko zlostavljanje, nedovoljna potpora obitelji, rizični činitelji odrastanja, emocionalno zlostavljanje i dr., a nema dokaza da netko nije pretraživanjem na internetu odnosno "googlanjem" došao do ovih podataka i da su djeca zbog toga imala probleme u vidu dodatne viktimizacije s obzirom na postojanje "soft" oblika zlostavljajućeg ponašanja. Navela je da navedeno, jednako kao niti jesu li poslodavci roditelja djece surfajući naišli na podatke o njihovoj ovisnosti ili uzimanju psihofarmaka, odnosno postajanju drugih problema, ne možemo znati. Tužitelj se ispričao roditelju koji ga je obavijestio o curenju podataka i koji protiv tuženika nije pokrenuo spor. Glede ugleda tužitelja je navela da mu se obraćaju državne institucije radi procjene zdravstvenog stanja djece i mladih, da tužitelj pro bono vrši ispitivanja za sud u parničnim i iznimno u kaznenim postupcima te da su stručnjaci Poliklinike eksperti Vijeća Europe.

21. Iskaz zastupnice po zakonu tužitelja nije u suprotnosti sa njezinim pisanim iskazom (list 52.-53. spisa) niti sa dokumentacijom u spisu.

22. S obzirom da je odredio izvođenje dokaza saslušanjem zastupnice po zakonu tužitelja, sud je raspravim rješenjem od 7. listopada 2024., u skladu s čl. 265. ZPP, odredio i izvođenje dokaza saslušanjem zastupnika po zakonu tuženika, dok je odbijen kao nesvrsishodan prijedlog da se saslušaju svjedoci DŽG i DŽ na okolnost uzroka vidljivosti podataka o pacijentima tužitelja.

23. Budući da je DŽG s danom 1. listopada 2024. imenovana direktorom tuženika, koja promjena je upisana u sudskom registru 5. studenog 2024., ista je saslušana u svojstvu zastupnice po zakonu tuženika na ročištu održanom 26. listopada 2024. (list 156.-157. spisa). Ona je u svom iskazu navela da web stranica Poliklinike postoji od 2008. kad je programirana od strane Ergoneta, da je 2012. Dizajn zona 42 izradila novi dizajn web stranice, a 2016. Neomedija, dok je ona od samog početka zadužena za sadržaj web stranice, odnosno za objavljivanje podataka o radu Poliklinike. Pojasnila je da je hosting držao Proaxis, to je zapravo server u fizičkom obliku u što programer stavlja oblik, dok se njezin posao sastojao u postavljanju sadržaja. Navela je da je, kad joj je sestra Poliklinike poslala e-mail nazvala programera iz Gaja Gati te su počeli radili na otklanjanju problema, uočili su da se na stanici generiraju PDF-ovi koji nisu smjeli biti vidljivi te niti ne bi bili vidljivi da nije bilo greške na konfiguraciji servera. Prema iskazu zastupnice po zakonu tuženika, u konkretnom slučaju nije došlo do curenja podataka jer PDF-ovi nisu objavljeni nego su postali vidljivi zbog greške na konfiguraciji servera. Dakle, jedan dio greške je bio u tome što se PDF-ovi generiraju, do čega je došlo zbog greške programera GŽ kojeg je tuženik angažirao kad se radila promjena obrazaca za naručivanje pacijenata, ali ti PDF-ovi ne bi bili vidljivi da nije bilo greške u konfiguraciji servera. Dakle, prilikom programiranja je napravljena greška da se PDF obrasci generiraju na serveru umjesto da se automatski brišu. Preko pravnika Poliklinike je tražila pristupne podatke od Proaxisa te su komunicirali sa gospodinom D iz Proaxisa i cijelo popodne i noć radili na tome da se podaci uklone, brisali su PDF-ove, a tu grešku na konfiguraciji servera nisu mogli ukloniti bez šifre i suradnje Proaxisa. Uspjeli su maknuti mogućnost da Google pokazuje PDF-ove te su oni odmah uklonjeni sa svih platformi i sa servera. Navela je da PDF-ovi nisu bili vidljivi na web stranici Poliklinike nego su se mogli vidjeti jedino pretraživanjem imena djece na Googlu i drugim platformama, a na sastanku ih je molila da to ne rade jer je algoritam tako podešen da se pretraživanjem potiče prikazivanje te postaje lakša dostupnost podataka. Navela je i da ne zna gdje se nalazi server, niti je bila informirana o tome da je došlo do promjene hosting providera budući da je od 2008. surađivala sa Proaxisom, a tek je u ovom sporu prvi put čula za Info- Impero. Navela je da je na sastanku upravnog vijeća priznala da je došlo do greške, osjećala se odgovorno i ispričala se za štetu jer je u tom trenutku mislila da je napravila grešku, dok je tek kasnije napravila ekspertizu i to polako počela istraživati. Na sastanku je bilo emotivno te je s obzirom na niz okolnosti (zahtjev tužitelja da makne vidljivost web stranice pa da je vrati te da u zadnje vrijeme nije bilo puno aktivnosti, odnosno tekstova) shvatila da su došli u situaciju da ne mogu dalje racionalno surađivati te je sutradan poslala otkaz ugovora. Ne sjeća se je li od strane tužitelja formalno napravljena kakva odluka o otkazu s njihove strane, dok je tuženik otkaz poslao e-mailom pravniku tužitelja. Dodatno je navela da obveza programiranja nije bila predviđena ugovorom o poslovnoj suradnji, već je tuženik bio odgovoran za uređivanje sadržaja, objavu, uređivanje fotografija, uređivanje sadržaja da bude zanimljiv javnosti, objavljivanje vijesti i sl., dok PDF obrasci ne predstavljaju sadržaj u tom smislu, ali se sve rješavalo preko nje pa je za to angažirala podizvođača. U vrijeme održavanja sjednice nije bio poznat uzrok vidljivosti predmetnih podataka te ona niti danas ne zna koji je uzrok, međutim dali su nalog Googlu, odnosno informaciju da ne čita PDF-ove koji nisu u modu "objavi". Zaključno je navela da načelno zna koji je uzrok vidljivosti, ali ne zna kad je to nastalo, niti tko je to napravio.

24. Iskazu zastupnice po zakonu tuženika sud je poklonio vjeru u dijelu u kojem je iskazivala o kronologiji događanja jer u tom dijelu njezin iskaz nije u suprotnosti sa iskazom zastupnice po zakonu tužitelja i materijalnim dokazima u spisu. Međutim, sud nije prihvatio njezin iskaz u dijelu u kojem je iskazivala o uzroku javne vidljivosti spornih PDF obrazaca jer je u tom dijelu njezin iskaz u suprotnosti sa rezultatima provedenog informatičkog vještačenja.

25. Iz rezultata provedenog postupka proizlazi da se otac pacijentice tužitelja obratio tužitelju putem e-maila 5. lipnja 2023. u 14:57:31 sati (list 7. spisa), da je navedeni e-mail proslijeđen tuženiku istog dana u 15:02 sati i da je tuženik na e-mail odgovorio u 15:52:24 sati (list 5. spisa) na način da je naveo da je pronađena i otklonjena greška i da se to više ne može dogoditi. Dakle, iz navedenog proizlazi da je tuženik u vrlo kratkom roku utvrdio uzrok javne dostupnosti PDF obrazaca za naručivanje sa osobnim podacima pacijenata i navedenu grešku otklonio, odnosno u roku od 50 minuta od primitka obavijesti tužitelja o navedenom problemu. Međutim, iz tonske snimke sa sjednice Upravnog vijeća tužitelja održane 6. lipnja 2023. proizlazi da su se podaci o narudžbama pacijenata tužitelja pretraživanjem mogli downloadati do 23:55 sati 5. lipnja 2023. S obzirom da je do objave osobnih podataka došlo zbog načina na koji je podešen rad aplikacije i da do javne dostupnosti obrazaca za prijavu pacijenata ne bi došlo da Gaja Gati d.o.o. po nalogu tuženika nije provodilo izmjene na web stranici tužitelja, dok pružatelj usluga hostinga s time nema nikakve veze jer on samo pruža uslugu smještaja stranice na internetu, sud je utvrdio da je tuženik, kao naručitelj odgovoran za rad svog podizvođača u skladu s odredbom čl. 601. Zakona o obveznim odnosima ("Narodne novine" broj 35/05., 41/08., 125/11., 78/15., 29/18., 126/21., 114/22., 156/22., 155/23. – dalje: ZOO). Neosnovan je stoga prigovor promašene pasivne legitimacije, jednako kao i prigovor podijeljene odgovornosti.

26. U odnosu na priznanje odgovornosti izvršeno od strane DŽG u vrijeme kad nije bila ovlaštena za zastupanje tuženika (6. lipnja 2023.) ukazuje se kako je uistinu, kad je riječ o pravnoj osobi, potrebno da takvo priznanje bude učinjeno od strane osobe koja je po zakonu ovlaštena zastupati pravnu osobu i u njezino ime preuzimati prava i obveze. Međutim, ne može se zanemariti činjenica da je u odnosu na poslovnu suradnju stranaka upravo DŽG bila kontakt osoba i da se suradnja stranaka odvijala isključivo posredstvom nje, kako to proizlazi iz činjenice da je ona kao tadašnja direktorica tuženika potpisala Ugovor o poslovnoj suradnji, da je ona surađivala sa tužiteljem preko 15 godina, kako je to sama iskazala na ročištu 26. studenog 2024. i da se tužitelj u vezi predmetnog problema obratio upravo njoj e- mailom od 5. lipnja 2023.

27. Opisanim propustom tuženika stvoreni su uvjeti za nastanak štete tužitelju u vidu povrede njegove časti i ugleda, kao i prava na dobar glas. Naime, u skladu s odredbom čl. 19. ZOO svaka pravna osoba ima pravo na zaštitu svojih prava osobnosti pod pretpostavkama utvrđenim zakonom. Pod pravima osobnosti u smislu ZOO razumijevaju se prava na život, tjelesno i duševno zdravlje, ugled, čast, dostojanstvo, ime, privatnost osobnog i obiteljskog života, slobodu i dr. Pravna osoba ima sva navedena prava osobnosti, osim onih vezanih uz biološku bit fizičke osobe, a osobito pravo na ugled i dobar glas, čast, ime, odnosno tvrtku, poslovnu tajnu, slobodu privređivanja i dr. Ugled se ogleda kao priznanje na čast i dostojanstvo koje se očituje ili izražava kao poštovanje pravne osobe u okruženju u kojem ona djeluje. Dobar glas predstavlja predodžbu koja je u javnosti stvorena o djelatnosti pravne osobe. Stoga, ako djelovanjem štetnika dobar glas pravne osobe postane upitan, radilo bi se o povredi prava osobnosti i neimovinskoj šteti. Međutim, svaka povreda prava osobnosti ne znači bezuvjetno pravo oštećenika na isplatu pravične novčane naknade jer to pravo pravna osoba ima samo ako to težina povrede i okolnosti slučaja opravdavaju.

28. Naime, tko drugome prouzroči štetu, dužan je naknaditi je ako ne dokaže da je šteta nastala bez njegove krivnje (čl. 1045. ZOO). Prema odredbi čl. 1046. ZOO povreda prava osobnosti predstavlja neimovinsku štetu. U slučaju povrede prava osobnosti oštećenik može zahtijevati, na trošak štetnika, objavljivanje presude, odnosno ispravka, povlačenje izjave kojom je povreda učinjena, ili što drugo čime se može ostvariti svrha koja se postiže pravičnom novčanom naknadom (čl. 1099. ZOO), a prema odredbi čl. 1100. st. 3. ZOO, za povredu ugleda i drugih prava osobnosti pravne osobe sud će, ako procijeni da to težina povrede i okolnosti slučaja opravdavaju, dosuditi joj pravičnu novčanu naknadu, nezavisno od naknade imovinske štete, a i kad nje nema.

29. U ovom je konkretnom slučaju sud, na temelju analize rezultata cjelokupnog postupka, zaključio da, čak i kada bi štetnom radnjom tuženika (odnosno osobe za koju on odgovara) bilo povrijeđeno pravo osobnosti tužitelja, odnosno njegovo pravo na čast, ugled i dobar glas, a za što sud ne smatra da je samim iskazom zastupnice po zakonu tužitelja dokazano s dostatnim stupnjem uvjerenja, dok tužitelj na te okolnosti nije predložio druge dokaze (čl. 221.a, u vezi čl. 219. ZPP), nisu ispunjene pretpostavke za naknadu štete u smislu odredbi čl. 1045. i čl. 1100. st. 3. ZOO. Naime, stav je ovog suda da okolnosti konkretnog slučaja, u kojem su, odmah nakon detektiranja problema, poduzete sve mjere i od strane tužitelja i od strane tuženika da se štetne posljedice izbjegnu ili svedu na najmanju moguću mjeru, ne opravdavaju dosuđivanje pravične novčane naknade. Tim više što tužitelj niti ne može sa sigurnošću tvrditi da je predmetna štetna radnja tuženika kod trećih izazvala učinak (posljedice) kakav joj tužitelj pripisuje, odnosno da je kod trećih postao upitan dobar glas koji tužitelj kao pravna osoba ima u okruženju u kojem djeluje, a iz navoda zastupnice po zakonu tužitelja proizlazi da protiv tužitelja nije pokrenut nikakav postupak u vezi navedenog incidenta, niti da je tužiteljev rad ili njegova suradnja sa domaćim i inozemnim tijelima na bilo koji način ugrožen.

30. Stoga je sud tužbeni zahtjev ocijenio neosnovanim te je odlučio kao pod točkom I. izreke presude.

31. Budući da tužitelj nije uspio u sporu, dužan je tuženiku nadoknaditi troškove postupka koji su mu nastali i koji su bili potrebni za vođenje spora (čl. 151. st. 1. i čl. 155. ZPP), a u skladu s odredbom čl. 154. st. 1. ZPP.

32. Tuženiku su priznati troškovi sastava odgovora na tužbu u iznosu od 200,00 EUR prema Tbr. 8. toč. 1. Tarife o nagradama i naknadi troškova za rad odvjetnika ("Narodne novine" broj 138/23. – dalje: Tarife), troškovi sastava podneska od 28. svibnja 2024. u iznosu od 200,00 EUR kojim se očitovao na nalaz i mišljenje sudskog vještaka (Tbr. 8. toč. 1. Tarife) te troškovi zastupanja na ročištima 20. veljače 2024., 7. listopada 2024. i 26. studenog 2024. u iznosima od po 200,00 EUR za svako ročište prema Tbr. 9. toč. 1. Tarife, što uvećano za troškove provođenja vještačenja u iznosu od 350,00 EUR ukupno iznosi 1.600,00 EUR.

33. Nisu mu priznati troškovi sastava podnesaka od 11. siječnja 2024. i 30. listopada 2024. budući da je sud ocijenio da ti troškovi ne predstavljaju izdatak koji je bio potreban za vođenje ovog spora.

34. Slijedom izloženog, riješeno je kao pod točkama II. i III. izreke presude.

U Zagrebu 9. siječnja 2025.

SUDAC

Maja Hilje

UPUTA O PRAVNOM LIJEKU

Protiv ove presude nezadovoljna stranka može podnijeti žalbu Visokom trgovačkom sudu Republike Hrvatske u roku 15 (petnaest) dana od dana kada se smatra da joj je dostava presude obavljena, odnosno od dana kada je održano ročište na kojem se presuda objavljuje (za stranku koja je bila uredno obaviještena o ročištu na kojem se presuda objavljuje) odnosno u roku osam dana od dana dostave prijepisa presude (za stranku koja nije bila uredno obaviještena o ročištu na kojem se presuda objavljuje).

Žalba se podnosi putem ovog suda.

Presuda kojom se završava postupak u sporovima male vrijednosti može se pobijati samo zbog bitne povrede odredaba parničnog postupka iz čl. 354. st. 2. ZPP osim zbog povrede iz čl. 354. st. 2. toč. 3. ZPP (čl. 467. st. 1. ZPP).