Poslovni broj: Usž-4080/2024-3

REPUBLIKA HRVATSKA

VISOKI UPRAVNI SUD REPUBLIKE HRVATSKE

Z A G R E B

Frankopanska 16

U  I M E  R E P U B L I K E  H R V A T S K E

P R E S U D A

Visoki upravni sud Republike Hrvatske u vijeću sastavljenom od sudaca toga suda Ane Berlengi Fellner, predsjednice vijeća, Mirjane Čačić i Arme Vagner Popović, članica vijeća, te više sudske savjetnice-specijalistice Ivane Mamić Vuković, zapisničarke, u upravnom sporu tužitelja SPECIJALNE BOLNICE ZA KIRURGIJU MEDICO, OIB: 57951842896, Rijeka, Agatićeva 8, koju zastupaju odvjetnici iz Odvjetničkog društva Vukić i partneri d.o.o., Rijeka, Nikole Tesle 9/V-VI, protiv tuženika Agencije za zaštitu osobnih podataka, OIB: 28454963989, Zagreb, Selska cesta 136, uz sudjelovanje zainteresirane osobe SIJ, OIB: [osobni identifikacijski broj], [adresa], koju zastupa odvjetnica Anela Troskot, iz Zajedničkog odvjetničkog ureda Ana Blečić Jelenović i Anela Troskot, Rijeka, F. Supila 11, radi zaštite osobnih podataka, odlučujući o žalbi tužitelja protiv presude Upravnog suda u Rijeci, poslovni broj: Us I-833/2024-15 od 7. listopada 2024. na sjednici vijeća održanoj 13. ožujka 2025.

p r e s u d i o  j e

I. Odbija se žalba tužitelja i potvrđuje presuda Upravnog suda u Rijeci, poslovni broj: Us I-833/2024-15 od 7. listopada 2024.

II.  Odbija se zahtjev zainteresirane osobe za naknadu troška sastava odgovora na žalbu.

Obrazloženje

1. Presudom prvostupanjskog suda odbijen je tužbeni zahtjev tužitelja za poništavanje rješenja tuženika, KLASA: UP/I-009-01/24-01/16, URBROJ: 567-04- 02/05-24-3 od 7. svibnja 2024. te odbijen zahtjev tužitelja za naknadu troškova upravnog spora i naloženo tužitelju da zainteresiranoj osobi naknadi trošak upravnog spora u iznosu od 2.500,00 €. Rješenjem tuženika se utvrđuje da je zahtjev za utvrđivanje povrede prava na zaštitu osobnih podataka ovdje zainteresirane osobe SIJ osnovan te se utvrđuje da je nedostavljanjem osobnih podataka (slikovna medicinska dokumentacija, odnosno ultrazvuk dojki i abdomena od 9. veljače 2017. godine) na zahtjev zainteresirane osobe od strane tužitelja kao voditelja obrade osobnih podataka došlo do povrede odredbi članka 15. stavka 3. te s tim u svezi članka 32. stavka 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/47/EZ (SL.L. 119, 4. svibnja 2016. - dalje: Opća uredba o zaštiti podataka). Nadalje, utvrđuje se da tužitelj, kao voditelj obrade osobnih podataka, nije informirao zainteresiranu osobu o gubitku njezinih osobnih podataka, što je protivno odredbi članka 34. stavka 1. Opće uredbe o zaštiti podataka.

2. Tužitelj u žalbi ističe da se akt temelji na izjavama treće osobe i to upravo SI, čije saslušanje je predložio tužitelj i tuženik. Smatra da je prvostupanjski sud neosnovano odbio sve dokazne prijedloge tužitelja. Smatra da je bilo nužno njegovo saslušanje jer je isti u svojstvu direktora izvršitelja obrade dostavio tuženiku svoje očitovanje te i u tijeku nadzora u društvu izvršitelja obrade dao je određene izjave. Ističe da sve do trenutka osposobljavanja predmetnog servera na način da se na istom mogu predmetni podaci iščitati, tuženik ne može tvrditi da tužitelj kao voditelj obrade nije osigurao kopiju osobnih podataka ovdje zainteresirane osobe. Dakle, ukoliko postoji kopija osobnih podataka ne može se govoriti o navodno učinjenoj povredi odredbe članka 32. stavka 1. Opće uredbe o zaštiti podataka. Ističe da UZV pretrage kao takve zbog fizikalnih uvjeta nastanka slike nisu medicinske slike radiološke pretrage i kao takve se ne čuvaju u radiološkoj arhivi te se iste provode u jednom aktu te liječnik izravno u fizičkom kontaktu s pacijentom, tijekom pretrage uz pacijenta vrši potrebne akcije i istovremeno stvarajući mišljenje i zaključak što dokumentira u formi specijalističkog nalaza. U odnosu na navodno utvrđenu povredu članka 34. stavka 1. Opće uredbe o zaštiti podataka ukazuje da do trajnog gubitka slikovne dokumentacije nije došlo te kopije istih postoje na serveru s kojeg se podaci trenutno ne mogu očitati, pa se ne može govoriti o tome da tužitelj nije kao voditelj obrade osobnih podataka provodio odgovarajuće tehničke organizacijske mjere. Predlaže usvojiti žalbu, presudu poništiti i predmet vratiti na ponovni postupak.

3. Tuženik u odgovoru na žalbu navodi da je tužitelj u odgovoru zainteresiranoj osobi 12. rujna 2022. naveo da joj ne može dostaviti kopiju osobnih dokumenata u pogledu medicinske dokumentacije radioloških slika jer je ista nepovratno izgubljena te joj istu stoga nije dostavio. Tijekom cijelog vremena trajanja upravnog postupka tužitelj je tvrdio kako je nepovratno izgubio osobne podatke, dok je tek u upravnom sporu po prvi put izjavio da su kopije i dalje prisutne na serveru. Ovaj navod je protivan temeljnim postulatima sigurnosnih mjera zaštite osobnih podataka koji se temelje na načelima povjerljivosti, integriteta, otpornosti i dostupnosti. Ističe da je ovdje jedino bitno što zainteresirana osoba nije dobila kopije svojih osobnih podataka, a što je njeno pravo iz članka 15. stavka 3. Opće uredbe o zaštiti podataka, a do čega je došlo zbog kvara na dijelu servera tužitelja, odnosno zbog zanemarivanja potrebe njegove nadogradnje u smislu odredbe članka 32. stavka 1. Opće uredbe o zaštiti podataka. Ističe da je do povrede odredbe članka 34. stavka 1. Opće uredbe o zaštiti podataka došlo jer tužitelj nije obavijestio zainteresiranu osobu o incidentu vezanom uz njene osobne podatke, a svi voditelji obrade osobnih podataka kod postojanja visokih rizika za prava i slobode pojedinaca su iste dužni informirati bez nepotrebnog odgađanja. Tužiteljev argument kako prvostupanjski sud nije utvrdio postoji li kopija osobnih podataka koje tužitelj obrađuje je irelevantna za povredu iz razloga što je primarno bitno da zainteresirana osoba nije dobila kopiju svojih osobnih podataka na izričito traženje. Predlaže žalbu odbiti.

4. Zainteresirana osoba u odgovoru na žalbu u bitnom navodi da je sud presudu temeljio na dokazima i činjenicama utvrđenim u postupku donošenja odluke. Ističe da su žalbeni navodi usmjereni uglavnom na to da sud nije saslušao predložene svjedoke. Međutim, radi se o dokaznim prijedlozima za saslušanje svjedoka, te zakonskom zastupniku tužitelja pa se može zaključiti kako je riječ o prijedlozima čije usvajanje i izvođenje nije bilo potrebno za rješavanje ove upravne stvari. Predlaže žalbu odbiti, te potražuje trošak sastava odgovora na žalbu.

5. Žalba nije osnovana.

6. Sud nalazi da se osporena presuda prvostupanjskog upravnog suda ne može ocijeniti nezakonitom, ni po jednoj osnovi propisanoj odredbom članka 126. stavka 1. Zakona o upravnim sporovima ("Narodne novine", broj: 36/24. – dalje u tekstu: ZUS). To stoga jer je postupak prije donošenja osporene odluke proveden sukladno odredbama ZUS-a, a prvostupanjski upravni sud je istu utemeljio na dokazima i činjenicama utvrđenim u postupku donošenja pojedinačne odluke nakon čega je osnovano zaključio da nema mjesta usvajanju tužbenog zahtjeva tužitelja.

7. U pogledu prigovora tužitelja o neizvođenju predloženih dokaza, valja reći da sud nije vezan prijedlozima stranaka ni u pogledu činjenica koje treba utvrditi ni dokaza kojima se one mogu utvrditi (članak 49. stavak 4. ZUS-a), međutim dužan je u obrazloženju presude izjasniti se o prijedlozima i prigovorima stranaka, što je prvostupanjski sud i učinio, osnovano ocijenivši suvišnim izvođenje dokaza koje je tužitelj predložio, kraj utvrđenog činjeničnog stanja u postupku koji je prethodio donošenju osporenog rješenja i to na temelju dokumentacije koja prileži spisu predmeta, zbog čega je i prema ocjeni ovog Suda osnovano isto odbio.

8. Nije sporno da je zainteresirana osoba zatražila od tužitelja pristup svojim osobnim podacima, odnosno da joj se dostavi slikovna medicinska dokumentacija koja se odnosi na UZV dojki i abdomena od 9. veljače 2017., a na koji zahtjev joj je tužitelj 12. rujna 2022. elektroničkom poštom dostavio odgovor u kojem u bitnom navodi da nije u mogućnosti izvršiti zahtjev za izdavanje tražene dokumentacije jer kad se memorija aparata popuni slike se prenose u radiološki informacijski sustav koji se nalazi na serveru. Međutim, uslijed promjene informacijskog sustava tijekom 2018/2019. godine došlo je do nepovratnog gubitka materijala koji se nalazio na serveru.

9. Odredbom članka 15. stavka 3. Opće uredbe o zaštiti podataka propisano je da voditelj obrade osigurava kopiju osobnih podataka koji se obrađuju. Za sve dodatne kopije koje zatraži ispitanik voditelj obrade može naplatiti razumnu naknadu na temelju administrativnih troškova. Ako ispitanik podnese zahtjev elektroničkim putem te osim ako ispitanik zatraži drukčije, informacije se pružaju u uobičajenom elektroničkom obliku. Prema odredbi članka 32. stavka 1. Opće uredbe o zaštiti podataka propisano je kako uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik. Odredbom članka 34. stavka 1. Opće uredbe o zaštiti podataka propisano je da u slučaju povrede osobnih podataka koja će vjerojatno prouzročiti visok rizik za prava i slobode pojedinaca, voditelj obrade bez nepotrebnog odgađanja obavještava ispitanika o povredi osobnih podataka.

10. Tužitelj je tijekom postupka navodio da nije u mogućnosti dostaviti traženu slikovnu dokumentaciju ultrazvuka iz razloga jer aparat nema mogućnost pohranjivanja istih, te kako je u periodu od 2018./2019. godine mijenjan informacijski sustav prilikom čega je došlo do trajnog gubitka određenog slikovnog materijala na serveru.

11. Imajući u vidu naprijed navedenu odredbu članka 32. stavka 1. Opće uredbe o zaštiti podataka, osnovano tuženik u odgovoru na žalbu navodi da se sigurnost informacijskog sustava temelji na načelima povjerljivosti, integriteta, otpornosti i dostupnosti te ukoliko su osobni podaci dostupni na serveru, ali ih se ne može isčitati to znači da su isti nedostupni te da je došlo do povrede dostupnosti osobnih podataka, a što je protivno naprijed navedenoj odredbi Opće uredbe o zaštiti podataka.

12. Također nije sporno da tužitelj zainteresiranoj osobi nije dostavio kopije njenih osobnih podataka, a na koje ista ima pravo sukladno odredbi članka 15. stavka 3. Opće uredbe o zaštiti podataka. Ovo iz razloga jer je došlo do kvara na serveru tužitelja odnosno zbog zanemarivanja potrebe nadogradnje servera na što je tužitelj bio upozoren od strane izvršitelja obrade zbog čega je osnovano zaključeno da je došlo do povrede odredbe članka 32. stavka 1. Opće uredbe o zaštiti podataka.

13. Tužitelj nesporno nije obavijestio zainteresiranu osobu o incidentu vezanom uz njene osobne podatke, a svi voditelji obrade osobnih podataka su u slučaju povrede osobnih podataka kod postojanja visokog rizika za prava i slobode pojedinaca iste dužni informirati bez nepotrebnog odgađanja sukladno naprijed citiranoj odredbi članka 34. stavka 1. Opće uredbe o zaštiti podataka pa je ista odredba u konkretnom slučaju također povrijeđena.

14. Prema ocjeni ovog Suda, tuženik je svoju odluku obrazložio u skladu s odredbom članka 98. stavka 5. Zakona o općem upravnom postupku ("Narodne novine", broj: 47/09. i 110/21.) pa su neosnovani prigovori tužitelja istaknuti u tom pravcu.

15. Prvostupanjski sud je na temelju razmatranja svih pravnih i činjeničnih pitanja, a uzimajući u obzir činjenice utvrđene u upravnom postupku pravilno utvrdio da je osporeno rješenje doneseno u pravilno provedenom postupku te na temelju potpuno i pravilno utvrđenog činjeničnog stanja i uz pravilnu primjenu materijalnog prava. U obrazloženju presude izložio je sve činjenice koje proizlaze iz izvedenih dokaza, te je s obzirom na utvrđeno činjenično stanje i relevantne propise, naveo razloge zbog kojih je odbio tužbeni zahtjev, odgovorivši pritom na sve tužbene navode, a naveo je i razloge zašto nije izveo predložene dokaze. Time je sud postupio u skladu s odredbom članka 119. stavka 5. ZUS-a.

16. Slijedom svega izloženog, na temelju odredbe članka 135. stavka 1. ZUS-a odlučeno je kao u točki I. izreke, a odluka o troškovima spora (točka II. izreke) utemeljena je na odredbi članka 144. stavka 1. ZUS-a jer je ocijenjeno da odgovor na žalbu zainteresirane osobe nije bio od utjecaja na donošenje odluke u ovoj stvari.

U Zagrebu, 13. ožujka 2025.

Predsjednica vijeća

Ana Berlengi Fellner