REPUBLIKA HRVATSKA

UPRAVNI SUD U OSIJEKU

Poslovni broj: Us I-1469/2023-18

Osijek, Trg A. Starčevića 7/II

U  I M E  R E P U B L I K E  H R V A T S K E

P R E S U D A

Upravni sud u Osijeku, po sutkinji Jasenki Beker Rupčić, uz sudjelovanje zapisničarke Sabine Branković, u upravnom sporu tužitelja MRKVICA d.o.o., Botinec, Grad Zagreb, Dunda Maroja 17, OIB: 20334219762, kojeg zastupa opunomoćenik Kristijan Pehar, odvjetnik u Zagrebu, II. Loparska ulica 2, protiv tuženika Agencije za zaštitu osobnih podataka, Zagreba, Selska cesta 136, OIB: 28454963989, radi poništenja rješenja o izricanju novčane kazne, 17. siječnja 2025.

p r e s u d i o  j e

I. Odbija se tužbeni zahtjev za poništavanje rješenja tuženika KLASA: UP/I- 034-01/23-01/03, URBROJ: 567-14/02-23-01 od 25. siječnja 2023.

II. Odbija se zahtjev tužitelja za naknadu troškova upravnog spora.

Obrazloženje

1. Rješenjem predsjednice Visokog upravnog suda Republike Hrvatske poslovni broj: 31 Su-582/2023-2 od 23. studenog 2023. predmet Upravnog suda u Zagrebu poslovni broj: Us I-891/2023 ustupljen je na rješavanje Upravnom sudu u Osijeku te je isti kod ovoga Suda zaveden pod poslovnim brojem: Us I-1469/2023.

2. Osporavanim rješenjem tuženika utvrđeno je kako je tužitelj, kao voditelj obrade, protivno članku 27. stavku 2. Zakona o provedbi Opće uredbe o zaštiti podataka propustio prilikom postavljanja obavijesti o videonadzoru u/na objektu trgovine Mrkvica na adresi [adresa] u [adresa] naznačiti sve relevantne informacije, i to podatke o voditelju obrade i podatke za kontakt putem kojih ispitanik može ostvariti svoja prava (točka 1. izreke rješenja), a za predmetnu povredu, u skladu s odredbom članka 51. stavka 1. alineje 1. Zakona o provedbi Opće uredbe o zaštiti podataka, tužitelju je izrečena upravna novčana kazna u iznosu od 1.500,00 eura (točka 2. izreke rješenja).

3. Tužitelj u tužbi u bitnome navodi da je zbog povećanog opsega posla djelatnica tužitelja propustila uz obavijest da je objekt pod videonadzorom zalijepiti odgovarajuću naljepnicu o čemu dostavlja njenu izjavu. Nadalje, ističe kako iz osporavanog rješenja proizlazi da na strani tužitelja nije postojala namjera kršenja odredaba Zakona o provedbi Opće uredbe o zaštiti podataka (''Narodne novine", broj: 42/18., dalje u tekstu: ZPOUZP) ni Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) jer se obavijest o postojanju videonadzora nalazila u gornjem lijevom kutu staklene stijene ulaznih vrata u sam prostor trgovine na adresi [adresa] i sastojala se od teksta ''Prostor je pod videonadzorom'' te je u tom smislu kod tužitelja postojala zabluda o protupravnosti budući da je isti smatrao da je postavljanjem obavijesti ispunio svoje obveze vezano za obavještavanje o postojanju videonadzora sukladno ZPOUZP-u i Općoj uredbi o zaštiti podataka. Navodi kako su člankom 58. stavkom 2. Opće uredbe o zaštiti podataka propisane i mjere upozorenja, opomene i naredbe da se postupci obrade usklade s odredbama Uredbe. Ističe kako je odmah po upozorenju službene osobe ispravio utvrđene nepravilnosti, da je bio kooperativan tijekom cijelog postupka nadzora, da nije postupao s namjerom, da nije recidivist u smislu kršenja istog propisa te da mu unatoč svemu tome nije izrečena mjera upozorenja, opomene i naredbe. Smatra da izrečena novčana kazna nije proporcionalna počinjenom propustu te da se tužitelju morala izreći opomena, narediti da se postupci obrade usklade s odredbama Uredbe, prema potrebi na točno određen način i u točno zadanom roku. Predlaže Sudu poništiti osporavano rješenje tuženika te naložiti tuženiku nadoknaditi tužitelju troškove upravnog spora.

4. Tuženik u odgovoru na tužbu u bitnome u cijelosti ostaje kod navoda danih u obrazloženju osporavanog rješenja. Ističe kako je člankom 51. stavkom 1. alinejom 1. ZPOUZP-a izričito propisano kažnjavanje voditelja obrade podataka novčanom kaznom za postupanje protivno odredbi članka 27. navedenog Zakona te da nije bilo mogućnosti za primjenu blaže korektivne mjere predviđene člankom 58. stavkom 2. Opće uredbe o zaštiti podataka jer se ZPOUZP-om osigurava provedba Opće uredbe o zaštiti podataka te se istim ujedno detaljnije propisuje obrada osobnih podataka u posebnim slučajevima, uključujući i obradu osobnih podataka putem sustava videonadzora. Poziva se na tumačenje iz ''Smjernica o primjeni i odrađivanju upravnih novčanih kazni za potrebe Uredbe 2016/679'' te ističe kako pokazatelj težine kršenja može biti ne samo priroda kršenja, već i opseg, svrha predmetne obrade kao i broj ispitanika. Navodi da je tužitelj postupao protivno odredbi članka 27. stavka 2. ZPOUZP-a dvije godine budući je videonadzorni sustav postavljen dvije godine prije provođenja nadzornog postupanja koje je provedeno 10. listopada 2022., a budući se na adresi prodajnog objekta tužitelja obavlja djelatnost prodaje, na istoj adresi redovito dolazi do velike fluktuacije ispitanika te posljedično neminovno do obrade njihovih osobnih podataka putem videonadzornog sustava. Izrečenu upravnu novčanu kaznu tuženik smatra učinkovitom, proporcionalnom i odvraćajućom. Navodi i kako je okolnost da je tužitelj u tijeku nadzornog postupanja dana 10. listopada 2022. postavio odgovarajuću obavijest o videonadzornom postupanju, odnosno da je isti ispravio do tada svoje nezakonito postupanje, prilikom odmjeravanja visine upravne novčane kazne uzeta u obzir, a zbog čega je i donesena upravna novčana kazna u visini od 1.500,00 eura, sve uzimajući u obzir da je maksimalni propisani iznos kazne 6.636,14 eura. Ističe i kako u postupku nije niti sporno tužiteljevo nezakonito postupanje, a što sve tužitelj potvrđuje i svojim navodima i dokazima koje prilaže u prilogu tužbe kao i dostavljenom izjavom gđe. KH, voditeljice trgovine Mrkvica, od 25. veljače 2023., u kojoj ista potvrđuje kako na prodajnom mjestu nije bila postavljena obavijest o videonadzoru. Ujedno, tuženik ističe kako je isključivo tužitelj kao voditelj obrade odgovoran za poštivanje propisa o zaštiti podataka, a ne njegovi zaposlenici. Slijedom navedenoga, predlaže Sudu odbiti tužbeni zahtjev u cijelosti.

5. Tužitelj u podnesku od 5. veljače 2024. navodi da je odredbom članka 288. stavka 2. Ugovora o funkcioniranju Europske unije propisano da svaka Uredba Europskog parlamenta i Vijeća ima opću primjenu, da je obvezujuća u cijelosti i da se izravno primjenjuje u svim državama članicama. Citira odredbu članka 58. stavka 2. Opće uredbe o zaštiti podataka te ističe kako je samo jedna od korektivnih ovlasti koje tuženik ima u svojoj lepezi ovlasti izricanje upravnih novčanih kazni, a što je očito suprotno navodima tuženika iz odgovora na tužbu. Poziva se i na odredbu članka 83. stavka 1. Opće uredbe o zaštiti podataka kojom je propisano da nadzorno tijelo osigurava da je izricanje upravnih novčanih kazni u pogledu kršenja Uredbe u svakom pojedinačnom slučaju učinkovito, proporcionalno i odvraćajuće te citira odredbu stavka 2. istog članka. Smatra da se tužitelju prvo morala izreći opomena te naredba da se postupke obrade uskladi s odredbama Uredbe. Predlaže da Sud poništi osporavano rješenje tuženika, predmet vrati na ponovni postupak i nadoknadi tužitelju troškove ovog spora.

6. U podnesku od 3. listopada 2024. tuženik pojašnjava kako je Opća uredba o zaštiti podataka u cijelosti obvezujuća i izravno se primjenjuje u Republici Hrvatskoj od 25. svibnja 2018. te da se njome predviđaju specifikacije ili ograničenja njezinih pravila pravom države članice i da države članice mogu, u mjeri u kojoj je to potrebno radi usklađenosti i kako bi nacionalne odredbe bile razumljive osobama na koje se primjenjuju, elemente Opće uredbe uključiti u svoje nacionalno pravo. Nadalje, pojašnjava kako je Republika Hrvatska 27. travnja 2018. donijela ZPOUZP koji je stupio na snagu 25. svibnja 2018. i kojim su propisani uvjeti obrade osobnih podataka putem sustava videonadzora, pa je tako člankom 51. navedenog Zakona propisano i izricanje upravne novčane kazne u iznosu od 50.000,00 kuna voditelju odnosno izvršitelju obrade koji ne označi objekt, prostorije, dijelove prostorija te vanjsku površinu objekta na način propisan člankom 27. toga Zakona, dok istim nije predviđena mogućnost izricanja druge korektivne mjere za kršenje Zakona. Navodi da kada bi se u konkretnom slučaju primjenjivale odredbe Opće uredbe u pogledu izricanja novčane kazne tužitelju bi se za utvrđenu povredu mogla izreći znatno veća novčana kazna budući da je odredbom članka 83. stavka 5. točke a) Opće uredbe o zaštiti podataka za kršenja osnovnih načela za obradu osobnih podataka uključujući načelo transparentnosti, propisana mogućnost izricanja novčane kazna do 20.000,00 eura ili u slučaju poduzetnika do 4% ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu.

7. Sud je rješenjem poslovni broj: Us I-1469/2023-15 od 14. listopada 2024. pozvao stranke da se u roku od 15 dana od dana dostave toga rješenja očituju o tome jesu li suglasne da se ovaj spor riješi bez održavanja rasprave na temelju postojeće dokumentacije u spisu te su stranke Sudu dostavile podneske u kojima daju svoju suglasnost da se spor riješi bez održavanja rasprave.

8. Budući da su se u ovom upravnom sporu stranke izrijekom suglasile da se upravni spor riješi bez održavanja rasprave, a Sud je utvrdio da nije potrebno izvoditi nove dokaze, Sud je na temelju ovlaštenja iz odredbe članka 98. točke 5. Zakona o upravnim sporovima („Narodne novine", broj: 36/24., - dalje: ZUS) upravni spor riješio bez rasprave.

9. Tijekom dokaznoga postupka Sud je izvršio uvid u spis, spis upravnoga postupka te u sve isprave koje prileže istima te je na temelju razmatranja svih činjeničnih i pravnih pitanja sukladno odredbi članka 114. stavka 1. ZUS-a, utvrdio da je tužbeni zahtjev neosnovan.

10. Osobni podaci prema članku 4. točki 1. Opće Uredbe o zaštiti podataka znače svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik”); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca.

11. Obrada prema članku 4. točki 2. navedene Uredbe znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima, kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje.

12. Člankom 5. Opće Uredbe o zaštiti podataka propisano je da osobni podaci moraju biti: zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (načelo zakonitosti, poštenosti i transparentnosti); prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama (načelo ograničavanje svrhe); primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju (načelo smanjenja količine podataka); točni i prema potrebi ažurni; mora se poduzeti svaka razumna mjera radi osiguravanja da se osobni podaci koji nisu točni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili isprave (načelo točnosti); čuvani u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju; (načelo ograničenja pohrane); obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera (načelo cjelovitosti i povjerljivosti).

13. Odredbom članka 6. Opće uredbe o zaštiti podataka propisano je da je obrada zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega: (a) ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha; (b) obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora; (c) obrada je nužna radi poštovanja pravnih obveza voditelja obrade; (d) obrada je nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe; (e) obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade; (f) obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka.

14. Člankom 27. stavkom 1. i 2. ZPOUZP-a propisano je da je voditelj obrade ili izvršitelj obrade dužan označiti da je objekt odnosno pojedina prostorija u njemu te vanjska površina objekta pod videonadzorom, a oznaka treba biti vidljiva najkasnije prilikom ulaska u perimetar snimanja. Obavijest treba sadržavati sve relevantne informacije sukladno odredbi članka 13. Opće uredbe o zaštiti podataka, a posebno jednostavnu i lako razumljivu sliku uz tekst kojim se ispitanicima pružaju sljedeće informacije: da je prostor pod videonadzorom, podatke o voditelju obrade i podatke za kontakt putem kojih ispitanik može ostvariti svoja prava.

15. Odredbom članka 51. stavka 1. alineje 1. ZPOUZP-a propisano je da će se upravnom novčanom kaznom u iznosu do 50.000,00 kuna kazniti voditelj obrade i izvršitelj obrade koji ne označe objekt, prostorije, dijelove prostorije te vanjsku površinu objekta na način propisan člankom 27. ovoga Zakona.

16. Iz podataka spisa proizlazi da je ovlaštena službenica tuženika po službenoj dužnosti dana 10. listopada 2022. provela bez prethodne najave izravni nadzor nad obradom i provođenjem zaštite osobnih podataka glede prikupljanja i obrade osobnih podataka učinjenih videonadzornim sustavom koji je postavljen u/na prostorijama trgovine Mrkvica na adresi [adresa] u [adresa], a o kojem je sastavljen Zapisnik o provedenom nadzoru KLASA: 042-03/22-01/85, URBROJ: 567-12/13-22-28 od 10. listopada 2022.

17. Tijekom nadzora utvrđeno je da je u prostorijama trgovine Mrkvica instaliran videonadzorni sustav koji se sastoji od 4 videonadzorne kamere i snimača. Tri videonadzorne kamere su postavljene unutar prostora trgovine, a svojim zahvatom obuhvaćaju prostor blagajne i polica u trgovini, dok je četvrta videonadzorna kamera postavljena na vanjskom zidu trgovine s lijeve strane te svojim zahvatom obuhvaća prostor ulaza u trgovinu, kolnik i travnatu površinu, dok se snimač nalazi u zasebnoj prostoriji – ostavi.

18. Nadalje je utvrđeno kako se obavijest o videonadzoru nalazi u gornjem lijevom kutu staklene stijene (ulaznih vrata) i sastoji se od teksta „Prostor je pod video nadzorom“, kao i da je videonadzorni sustav postavljen prije dvije godine kada je otvorena trgovina. Također, u tijeku nadzora postavljena je dodatna obavijest o videonadzoru koja se sastoji od grafičkog prikaza kamere i teksta: „Prostor je pod video nadzorom; Voditelj obrade osobnih podataka: Mrkvica d.o.o., D. Maroja 17, 10020 Zagreb, Kontakt podaci: [broj telefona], infoducan-mrkvica.hr“, a ista je postavljena pored prethodno navedene obavijesti o videonadzoru.

19. Tuženik je zaključio da je tužitelj kao voditelj obrade najmanje dvije godine (od dana postavljanja sustava videonadzora pa sve do 10. listopada 2022. kada je u tijeku nadzornog postupanja postavljena obavijest koja sadrži sve informacije sukladno članku 27. stavku 2. ZPOUZP-a obrađivao osobne podatke u prostorijama trgovine Mrkvica putem sustava videonadzora bez prethodno postavljene obavijesti o predmetnoj obradi koja sadrži sve relevantne informacije, a čime je postupio protivno odredbi članka 27. stavka 2. ZPOUZP-a, kao i da na adresi objekta u kojem je vršen videonadzor dolazi do velike fluktuacije ispitanika te posljedično i do obrade njihovih osobnih podataka putem videonadzornog sustava.

20. Nadalje, tuženik je utvrdio da kršenje ima obilježja nepažnje, da nije bilo evidentiranih prethodnih kršenja Opće uredbe o zaštiti osobnih podatka od strane tužitelja, da je tužitelj surađivao sa tuženikom te da je u tijeku nadzornog postupanja 10. listopada 2022. voditelj obrade postavio odgovarajuću obavijest o videonadzornom sustavu, odnosno ispravio do tada svoje nezakonito postupanje.

21. Stoga je tužitelju za navedenu povredu izrečena upravna novčana kazna u iznosu od 1.500,00 eura, uzimajući u obzir prirodu, težinu i trajanje kršenja, narav, opseg i svrhu obrade kao i broj ispitanika i razinu štete koju su pretrpjeli sukladno članku 51. stavku 1. alineji 1. ZPOUZP-a.

22. Dakle, u provedenom nadzoru dokazano je da je tužitelj počinio povredu odredbe članka 27. stavka 2. ZPOUZP-a te je iz tog razloga tuženik imao osnove izreći novčanu kaznu iz članka 51. stavka 1. alineje 1. navedenog Zakona, a svoju je odluku detaljno i valjano obrazložio te dao valjane razloge na temelju kojih se izrečena novčana kazna može smatrati razmjernom utvrđenoj povredi osobito uzimajući u obzir trajanje kršenja (najmanje dvije godine), opseg (4 kamere) i veliki broj ispitanika.

23. Tužitelj niti ne osporava da je počinio povredu odredbe članka 27. stavka 2. ZPOUZP-a već smatra da mu je za predmetnu povredu trebala biti izrečena neka druga blaža korektivna mjera umjesto izrečene novčane kazne.

24. Međutim, budući da je odredbom članka 51. stavka 1. alineje 1. ZPOUZP-a za navedenu povredu izričito propisano izricanje novčane kazne, pravilno tuženik smatra da nije bilo mogućnosti izreći blažu korektivnu mjeru.

25. Imajući u vidu prethodno citirane odredbe te podatke sadržane u spisu tuženika, Sud ocjenjuje da je tuženik pravilno utvrdio povredu prava na zaštitu osobnih podataka, a za koju povredu je tužitelju izrekao primjerenu novčanu kaznu unutar zakonom propisanog okvira te je stoga na temelju odredbe članka 116. stavka 1. ZUS- a valjalo odbiti tužbeni zahtjev tužitelja kao neosnovan te odlučiti kao u točki I. izreke ove presude.

26. Budući da je tužitelj u cijelosti izgubio spor, prema članku 147. stavku 1. ZUS- a, odbijen je i zahtjev tužitelja za naknadom troškova ovoga spora, te je odlučeno kao u točki II. izreke presude.

U Osijeku 17. siječnja 2025.

Sutkinja

Jasenka Beker Rupčić

UPUTA O PRAVNOM LIJEKU:

Protiv ove presude dopuštena je žalba Visokom upravnom sudu Republike Hrvatske. Žalba se podnosi putem ovog suda, u dovoljnom broju primjeraka za sud i sve stranke u sporu, u roku od 15 dana od dana dostave presude. Žalba protiv presude odgađa izvršenje presude (članak 126. stavak 6. ZUS-a).

DNA:

1. Tužitelju po opunomoćeniku

2. Tuženiku