REPUBLIKA HRVATSKA

Poslovni broj: Usž-4082/2024-3

VISOKI UPRAVNI SUD REPUBLIKE HRVATSKE

Z A G R E B

Frankopanska 16

U  I M E  R E P U B L I K E  H R V A T S K E

P R E S U D A

Visoki upravni sud Republike Hrvatske u vijeću sastavljenom od sudaca toga suda Jelene Rajić, predsjednice vijeća, Marine Kosović Marković i mr.sc. Inge Vezmar Barlek članica vijeća, te sudskog savjetnika Alana Vučkovečkog, zapisničara, u upravnom sporu tužitelja SPECIJALNE BOLNICE ZA KIRURGIJU MEDICO, OIB: 57951842896, Rijeka, Agatićeva 8, koju zastupaju odvjetnici iz Odvjetničkog društva Vukić i partneri d.o.o., Rijeka, Nikole Tesle 9/V-VI, protiv rješenja tuženika Agencije za zaštitu osobnih podataka, OIB: 28454963989, Zagreb, Selska cesta 136, klasa: UP/I- 009-01/24-01/14, urbroj: 567-04-02/06-24-3 od 7. svibnja 2024., uz sudjelovanje zainteresirane osobe KČ, OIB: [osobni identifikacijski broj], [adresa], koju zastupa odvjetnica Ana Blečić Jelenović, iz Zajedničkog odvjetničkog ureda Ana Blečić Jelenović i Anela Troskot, Rijeka, F. Supila 11, radi zaštite osobnih podataka, odlučujući o žalbi tužitelja protiv presude Upravnog suda u Rijeci, poslovni broj: Us I- 834/2024-17 od 7. listopada 2024. na sjednici vijeća održanoj 12. ožujka 2025.

p r e s u d i o  j e

I. Odbija se žalba i potvrđuje presuda Upravnog suda u Rijeci, poslovni broj: Us I-834/2024-17 od 7. listopada 2024.

II.  Odbija se zahtjev zainteresirane osobe za naknadu troška sastava odgovora na žalbu.

Obrazloženje

1. Presudom prvostupanjskog suda odbijen je tužbeni zahtjev tužitelja za poništavanje rješenja tuženika, klasa: UP/I-009-01/24-01/14, urbroj: 567-04-02/06-24- 3 od 7. svibnja 2024. te odbijen zahtjev tužitelja za naknadu troškova upravnog spora i naloženo tužitelju da zainteresiranoj osobi naknadi trošak upravnog spora u iznosu od 3.750,00 €.

1.1. Rješenjem tuženika se utvrđuje da je zahtjev za utvrđivanje povrede prava na zaštitu osobnih podataka KČ iz [adresa] osnovan te se utvrđuje da je nedostavljanjem osobnih podataka (slikovna medicinska dokumentacija, odnosno ultrazvuk dojki i abdomena od 29. prosinca 2017. godine) na zahtjev KČ iz [adresa] od strane Specijalne bolnice Medico iz Rijeke, kao voditelja obrade osobnih podataka, došlo do povrede odredbi članka 15. stavka 3. te s tim u svezi članka 32. stavka 1. Uredbe (EU)2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/47/EZ (SL.L. 119, 4. svibnja 2016. - dalje: Opća uredba o zaštiti podataka). Nadalje, utvrđuje se da Specijalna bolnica Medico iz Rijeke, kao voditelj obrade osobnih podataka, nije informirala KČ iz [adresa] o gubitku njezinih osobnih podataka, što je protivno odredbi članka 34. stavka 1. Opće uredbe o zaštiti podataka.

2. Tužitelj u žalbi ističe da se akt temelji na izjavama treće osobe i to upravo ČČ predloženog i od strane tužitelja i od strane tuženika. Stoga smatra da je prvostupanjski sud neosnovano odbio sve dokazne prijedloge tužitelja. Smatra da je bilo nužno njegovo saslušanje jer je isti u svojstvu direktora izvršitelja obrade dostavio tuženiku svoje očitovanje te dao i u tijeku nadzora u društvu izvršitelja obrade određene izjave u odnosu na koje je bilo nužno provesti njegovo saslušanje. Ističe da sve do trenutka osposobljavanja predmetnog servera na način da se na istom mogu predmetni podaci isčitati tuženik ne može tvrditi da tužitelj, kao voditelj obrade nije osigurao kopiju osobnih podataka ovdje zainteresirane osobe. Dakle, ukoliko postoji kopija osobnih podataka ne može se govoriti o navodno učinjenoj povredi odredbe članka 32. stavka 1. Opće uredbe. Ističe da UZV pretrage kao takve zbog fizikalnih uvjeta nastanka slike nisu medicinske slike radiološke pretrage i kao takve se ne čuvaju u radiološkoj arhivi, pretrage se provode u jednom aktu te liječnik izravno u fizičkom kontaktu s pacijentom, tijekom pretrage uz pacijenta vrši potrebne akcije i istovremeno stvarajući mišljenje i zaključak što dokumentira u formi specijalističkog nalaza. U odnosu na navodno utvrđenu povredu članka 34. stavka 1. Opće uredbe ukazuje da do trajnog gubitka slikovne dokumentacije nije došlo te kopije istih postoje na serveru s kojeg se podaci trenutno ne mogu očitati, pa se ne može govoriti o tome da tužitelj nije kao voditelj obrade osobnih podataka provodio odgovarajuće tehničke organizacijske mjere. Smatra da odluka tuženika kao i presuda prvostupanjskog suda nisu obrazložene te predlaže usvojiti žalbu, presudu poništiti i predmet vratiti na ponovni postupak.

3. Tuženik u odgovoru na žalbu navodi da je u prekršajnom postupku koji se vodio pred Općinskim sudom u Rijeci na ročištu održanom 28. travnja 2022. tužitelj naveo da ne može dostaviti kopiju osobnih podataka u pogledu medicinske dokumentacije radioloških slika jer je ista nepovratno izgubljena o čemu spisu predmeta prileži zapisnik. Tijekom cijelog vremena trajanja upravnog postupka tužitelj je tvrdio kako je nepovratno izgubio osobne podatke, dok je tek u upravnom sporu po prvi put izjavio da su kopije i dalje prisutne na serveru. Ovaj navod je protivan temeljnim postulatima sigurnosnih mjera zaštite osobnih podataka koji se temelje na načelima povjerljivosti, integriteta, otpornosti i dostupnosti. Ističe da je ovdje jedino bitno što zainteresirana osoba nije dobila kopije svojih osobnih podataka, a što je njeno pravo iz članka 15. stavka 3. Opće uredbe, a do čega je došlo zbog kvara na dijelu servera tužitelja, odnosno zbog zanemarivanja potrebe njegove nadogradnje u smislu odredbe članka 32. stavka 1. Opće uredbe. Ističe da je do povrede odredbe članka 34. stavka 1. Opće uredbe o zaštiti podataka došlo jer tužitelj nije obavijestio zainteresiranu osobu o incidentu vezanom uz njene osobne podatke, a svi voditelji obrade osobnih podataka kod postojanja visokih rizika za prava i slobode pojedinaca su iste dužni informirati bez nepotrebnog odgađanja. Tužiteljev argument kako prvostupanjski sud nije utvrdio postoji li kopija osobnih podataka koje tužitelj obrađuje je irelevantna za povredu iz razloga što je primarno bitno da zainteresirana osoba nije dobila kopiju svojih osobnih podataka na izričito traženje. Predlaže žalbu odbiti.

4. Zainteresirana osoba u ovom upravnom sporu KČ u odgovoru na žalbu navodi da je sud sukladno odredbi članka 49. stavka 3. Zakona o upravnim sporovima presudu temeljio na dokazima i činjenicama utvrđenim u postupku donošenja odluke. Ističe da su žalbeni navodi usmjereni uglavnom na to da sud nije saslušao predložene svjedoke. Međutim, radi se o dokaznim prijedlozima za saslušanje svjedoka, te zakonskog zastupnika tužitelja pa se može zaključiti kako je riječ o prijedlozima čije usvajanje i izvođenje nije bilo potrebno za rješavanje ove upravne stvari. Predlaže žalbu odbiti, te potražuje trošak sastava odgovora na žalbu.

5. Žalba nije osnovana.

6. Sud nalazi da se osporena presuda prvostupanjskog upravnog suda ne može ocijeniti nezakonitom, ni po jednoj osnovi propisanoj odredbom članka 126. stavka 1. Zakona o upravnim sporovima ("Narodne novine", broj: 36/24. – dalje u tekstu: ZUS). To stoga jer je postupak prije donošenja osporene odluke proveden sukladno odredbama ZUS-a, a prvostupanjski upravni sud je istu utemeljio na dokazima i činjenicama utvrđenim u postupku donošenja pojedinačne odluke nakon čega je osnovano zaključio da nema mjesta usvajanju tužbenog zahtjeva tužitelja.

7. Prvenstveno treba reći da sud nije vezan prijedlozima stranaka ni u pogledu činjenica koje treba utvrditi ni dokaza kojima se one mogu utvrditi (članak 49. stavak 4. ZUS-a), međutim dužan je u obrazloženju presude izjasniti se o prijedlozima i prigovorima stranaka, što je prvostupanjski sud i učinio, osnovano ocijenivši suvišnim izvođenje dokaza koje je tužitelj predložio, kraj utvrđenog činjeničnog stanja u postupku koji je prethodio donošenju osporenog rješenja i to na temelju dokumentacije koja prileži spisu predmeta, zbog čega je i prema ocjeni ovog Suda osnovano taj dokazni prijedlog odbijen.

8. Naime, iz podataka spisa predmeta proizlazi da je ovdje zainteresirana osoba zatražila od tužitelja pristup svojim osobnim podacima, odnosno dostavi slikovne medicinske dokumentacije koje se odnose na UZV dojki i abdomena od 29. prosinca 2017., a na koji zahtjev joj je tužitelj dana 28. svibnja 2019. elektroničkom poštom dostavio odgovor u kojem u bitnom navodi da nije u mogućnosti izvršiti zahtjev za izdavanje tražene dokumentacije jer aparat nema mogućnost pohranjivanja istih.

9. Prema odredbi članka 15. stavka 3. Opće uredbe o zaštiti podataka voditelj obrade osigurava kopiju osobnih podataka koji se obrađuju. Za sve dodatne kopije koje zatraži ispitanik voditelj obrade može naplatiti razumnu naknadu na temelju administrativnih troškova. Ako ispitanik podnese zahtjev elektroničkim putem te osim ako ispitanik zatraži drukčije, informacije se pružaju u uobičajenom elektroničkom obliku.

10. Suprotno žalbenim navodima iz podataka spisa predmeta dostavljenog Sudu uz odgovor na žalbu proizlazi da je u upravnom postupku, kao i u postupku koji se vodio pred Općinskim sudom u Rijeci, Prekršajni odjel, tužitelj naveo da nije u mogućnosti dostaviti traženu dokumentaciju iz razloga jer aparat nema mogućnost pohranjivanja istih, te kako je u periodu od 2018./2019. mijenjan informacijski sustav prilikom čega je došlo na jednom dijelu servera do gubitka određenog slikovnog materijala te da uz sav trud informatičara iz više različitih informatičkih kuća nisu uspjeli povratiti taj slikovni materijal, koji je zbog toga trajno izgubljen.

11. Odredbom članka 32. stavka 1. Opće uredbe o zaštiti podataka propisano je kako uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao rizik različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik.

12. Imajući u vidu naprijed navedenu odredbu osnovano tuženik u odgovoru na žalbu navodi da se sigurnost informacijskog sustava temelji na načelima povjerljivosti, integriteta, otpornosti i dostupnosti te ukoliko su osobni podaci dostupni na serveru, ali ih se ne može isčitati to znači da su isti nedostupni te da je došlo do povrede dostupnosti osobnih podataka, a što je protivno naprijed navedenoj odredbi Opće uredbe o zaštiti podataka.

13. Naime, nije sporno da tužitelj, ovdje zainteresiranoj osobi, nije dostavio kopije njenih osobnih podataka, a na koje ista ima pravo sukladno odredbi članka 15. stavka 3. Opće uredbe o zaštiti podataka. Ovo iz razloga jer je došlo do kvara na serveru tužitelja odnosno, kako to iz podataka spisa predmeta proizlazi što je sve detaljno obrazložio tuženik u osporenom rješenju kao i prvostupanjski sud, zbog zanemarivanja potrebe nadogradnje servera na što je tužitelj bio upozoren od strane izvršitelja obrade zbog čega je osnovano zaključeno da je došlo do povrede odredbe članka 32. stavka 1. Opće uredbe o zaštiti podataka.

14. Konačno, nije osnovana niti tvrdnja tužitelja da nije došlo do povrede odredbe članka 34. stavka 1. Opće uredbe o zaštiti podataka, kojom je propisano da u slučaju povrede osobnih podataka koja će vjerojatno prouzročiti visok rizik za prava i slobode pojedinaca, voditelj obrade bez nepotrebnog odgađanja obavještava ispitanika o povredi osobnih podataka. Tužitelj nije obavijestio zainteresiranu osobu o incidentu vezanom uz njene osobne podatke, a svi voditelji obrade osobnih podataka su u slučaju povrede osobnih podataka kod postojanja visokog rizika za prava i slobode pojedinaca iste dužni informirati bez nepotrebnog odgađanja sukladno naprijed citiranoj odredbi članka 34. stavka 1. Opće uredbe o zaštiti podataka na što pravilno tuženik upire.

15. Konačno, suprotno navodima tužitelja, tuženik je svoju odluku obrazložio kako to nalaže odredba članka 98. stavka 5. Zakona o općem upravnom postupku ("Narodne novine", broj: 47/09. i 110/21.).

16. Također, prvostupanjski sud je na temelju razmatranja svih pravnih i činjeničnih pitanja, a uzimajući u obzir činjenice utvrđene u upravnom postupku pravilno utvrdio da je osporeno rješenje doneseno u pravilno provedenom postupku te na temelju potpuno i pravilno utvrđenog činjeničnog stanja i uz pravilnu primjenu materijalnog prava. U obrazloženju presude izložio je sve činjenice koje proizlaze iz izvedenih dokaza, te je s obzirom na utvrđeno činjenično stanje i relevantne propise, naveo razloge zbog kojih je odbio tužbeni zahtjev, odgovorivši pritom na sve tužbene navode, a naveo je i razloge zašto nije izveo predložene dokaze. Time je sud postupio u skladu s odredbom članka 119. stavka 5. ZUS-a.

17. Valjalo je stoga pozivom na odredbu članka 135. stavka 1. ZUS-a odlučiti kao u točki I. izreke, a odluka o troškovima spora (točka II. izreke) utemeljena je na odredbi članka 144. stavka 1. ZUS-a jer je ocijenjeno da odgovor na žalbu zainteresirane osobe nije bio od utjecaja na donošenje odluke u ovoj stvari.

U Zagrebu, 12. ožujka 2025.

Predsjednica vijeća

Jelena Rajić