Poslovni broj: Us I-2678/2023-11

REPUBLIKA HRVATSKA

UPRAVNI SUD U SPLITU

Put Supavla 1

U  I M E  R E P U B L I K E  H R V A T S K E

P R E S U D A

Upravni sud u Splitu, po sucu Milanu Franiću, te Marijani Vidaković, zapisničarki, u upravnom sporu tužitelja PAX ET BONUM d.o.o., Kašteline 6, Kaštel Lukšić, OIB: 25114795185, kojeg zastupa opunomoćenik Marijo Granić, odvjetnik u Splitu, Starčevićeva 13, protiv tuženika Agencije za zaštitu osobnih podataka, Selska cesta 136, Zagreb, koju zastupaju službene osobe PI i SI, radi zaštite osobnih podataka, 17. ožujka 2025.

p r e s u d i o  j e

I. Odbija se kao neosnovan tužbeni zahtjev za poništenje rješenja tuženika KLASA: UP/I-034-01/23-01/24, URBROJ: 567-02/11-23-01 od 21. rujna 2023.

II. Odbija se tužiteljev zahtjev za naknadu troška ovoga spora.

Obrazloženje

1. Navedenim rješenjem tuženika (dalje: osporeno rješenje) je odlučeno: "1. Utvrđuje se da je društvo Pax et bonum d.o.o. iz Kaštel Lukšića, Kašteline 6, kao voditelj obrade obrađivalo osobne podatke ispitanika u prekomjernom opsegu u vidu podataka sigurnosnog broja bankovne kartice, odnosno CVC/CVV broja, kao i preslike osobnih dokumenta prilikom rezervacije smještaja Hotela Pax putem online obrasca Webbookingpro i putem e-pošte koju koristi Hotel Pax za čiju obradu osobnih podataka nije dokazano postojanje pravne osnove, a čime je povrijeđen članak 6. stavak 1. Opće uredbe o zaštiti podataka.

2. Utvrđuje se da društvo Pax et bonum d.o.o. iz Kaštel Lukšića, Kašteline 6, kao voditelj obrade nije na jasan/transparentan način informiralo ispitanike o obradi njihovih osobnih podataka putem dokumenta Opći uvjeti poslovanja - Hotel Pax Split, koji je dostupan na mrežnim (web) stranicama Hotela, a u pogledu prikupljanja osobnih podataka prilikom rezervacije smještaja Hotela putem online obrasca Webbookingpro i putem e- pošte, a što je protivno odredbi članka 13. stavka 1. i 2. Opće uredbe o zaštiti podataka.

3. Utvrđuje se da je društvo Pax et bonum d.o.o., iz Kaštel Lukšića, Kašteline 6, kao voditelj obrade prilikom slanja obrasca, Privola na korištenje osobnih podataka" u svrhu pružanja informacija ispitanicima o obradi njihovih osobnih podataka prilikom rezervacije smještaja hotela putem e-pošte, a koji obrazac ne sadrži točne ni cjelovite informacije, postupilo protivno odredbama članka 13. stavka 1. i 2. Opće uredbe o zaštiti podataka.

4. Utvrđuje se da je ne poduzimanjem odgovarajućih organizacijskih i tehničkih mjera zaštite kod obrade osobnih podataka ispitanika od strane društva Pax et bonum d.o.o. iz Kaštel Lukšića, Kašteline 6, kao voditelja obrade došlo do povrede članka 32. stavka 1 a) i d) i članka 32. stavka 4. Opće uredbe o zaštiti podataka.

5. Utvrđuje se da je društvo Pax et bonum d.o.o. iz Kaštel Lukšića, Kašteline 6, kao voditelj obrade imenovalo voditelja Hotela ŠI … OIB: …. službenikom za zaštitu podataka Hotela Pax Split protivno odredbama članka 38. stavka 6. Opće uredbe o zaštiti podataka.

6. Za kršenja opisana u točkama 1. -5. izreke ovog rješenja, u skladu s odredbama članka 83. Opće uredbe o zaštiti podataka, izriče se društvu Pax et bonum d.o.o. iz Kaštel Lukšića, Kašteline 6, kao voditelju obrade upravna novčana kazna u iznosu od.

15.000,00 EUR/113.017,50 kn¹

(slovima: …)

Društvo Pax et bonum d.o.o., iz Kaštel Lukšića, Kašteline 6, kao voditelj obrade dužno je platiti izrečenu upravnu novčanu kaznu u korist državnog proračuna u roku od 15 dana od dana pravomoćnosti ovog rješenja … .

7. Ukoliko društvo Pax et bonum d.o.o. iz Kaštel Lukšića, Kašteline 6, kao voditelj obrade u roku od 15 dana od pravomoćnosti ovog rješenja ne plati izrečenu upravnu novčanu kaznu, Agencija za zaštitu osobnih podataka će sukladno članku 46. stavku 2. Zakona o provedbi Opće uredbe o zaštiti podataka obavijestiti Područni ured Porezne uprave Ministarstva financija na čijem je području sjedište navedenog društva radi naplate upravne novčane kazne prisilnim putem prema propisima o prisilnoj naplati poreza.

8. Društvo Pax et bonum d.o.o. iz Kaštel Lukšića, Kašteline 6, kao voditelj obrade je dužno u roku od 15 dana od izvršene uplate dostaviti dokaz o uplati Agenciji za zaštitu osobnih podataka."

2. Tužitelj, u pravodobnoj tužbi i na raspravi, prigovara kako se izlaže u nastavku obrazloženja ove presude i ističe zahtjeve navedene u njenoj izreci.

3. Tuženik, u odgovoru na tužbu i na raspravi, navodi kako se izlaže u nastavku obrazloženja ove presude te se, kao neosnovanim u cijelosti, protivi svim navodima i dokaznim prijedlozima tužitelja i tužbenom zahtjevu.

4. U ovome sporu, kojega je predmet ocjena zakonitosti osporenog rješenja, dostavljanjem navedenih podnesaka, i održavanjem javne rasprave (10. prosinca 2024. i 13. veljače 2025.) u prisutnosti (zastupnika) stranaka, strankama je omogućeno izjašnjavanje o zahtjevima i navodima druge stranke te o svim činjenicama i pravnim pitanjima koja su predmet ovoga spora; shodno članku 6. Zakona o upravnim sporovima (Narodne novine, broj 36/24; dalje ZUS) koji se u konkretnome slučaju primjenjuje na temelju članka 169. stavka 1. toga zakona.

5. Ovaj sud je u ovome sporu izveo dokaz čitanjem spisa ovoga spora i spisa tuženika (u kojemu je osporeno rješenje doneseno) dostavljenog uz odgovor na tužbu. Osim čitanja dokumentacije koju je na spis tuženika tužitelj dostavio u upravnom postupku koji je prethodio ovome sporu, tužitelj je predložio u ovome sporu izvesti dokaz IT vještačenjem na činjenične navode tužbe o CVV broju. Taj dokaz nije izveden jer je to bilo suvišno za presuđenje kod navedenih izvedenih dokaza.

6. Tužbeni zahtjev nije osnovan.

7. Iz obrazloženja osporeno rješenja i spisa tuženika, proizlazi sljedeće.

8. Tuženik je zaprimio podnesak građanina koji se pritužuje da se kod rezervacije smještaja u splitskom Hotelu Pax (koji je hotelska djelatnost tužitelja kao trgovačkog društva i kao voditelja obrade podataka; dalje u tekstu: Hotel) traži potvrda rezervacije slanjem broja kreditne kartice (putem obrasca) potpuno nezaštićenim kanalima (e-poštom) bez upoznavanja/informiranja gosta tko ima pristup njegovim osobnim podacima te osobnom dokumentu (osobna iskaznica, putovnica, vozačka dozvola).

9. Kod tužitelja je stoga 5. travnja 2023. tuženik proveo izravan nadzor o kojemu je sastavio zapisnik od 13. travnja 2023. koji je u spis tuženika.

10. Tim su nadzorom provedene brojne, na tomu zapisniku i u osporenom rješenju detaljno opisane, nadzorne mjere, kojima je utvrđeno:

- da je službenik za zaštitu osobnih podataka ŠI koji je ujedno i voditelj Hotela;

- da se kod dva moguća načina rezervacije smještaja u Hotelu (od kojih je prvi način putem online obrasca Webbookingpro na web stranici Hotela a drugi način putem e-pošte Hotela) od gosta traži CVC/CVV broj kreditne kartice i dostavu preslike osobnog dokumenta (osobne iskaznice ili putovnice ili vozačke dozvole) radi eventualnog terećenja te kreditne kartice za iznos cijene rezervirane usluge u slučaju eventualnog neotkazanoga nekorištenja rezerviranom uslugom;

- da o prikupljanju navedenih osobnih podataka kod navedenih načina rezervacije tužitelj nije jasno i transparentno informirao ispitanike budući da na mrežnim stranicama Hotela objavljen akt Opći uvjeti poslovanja-Hotel Pax Split, a ni koji drugi akt, ne sadrži obavijest o prikupljanju navedenih podataka (CVC/CVV i preslika identifikacijskog dokumenta);

- da u obrascu Privole, koji se koristi kod rezervacije smještaja putem e-pošte Hotela, nisu sadržani podaci o razlogu zbog kojih se traži navedene podatke (CVC/CVV i preslika identifikacijskog dokumenta);

- da pozitivni propisi mjerodavni za rezervaciju hotelskog smještaja i sustav e- visitor ne propisuju prikupljanje navedenih podataka (CVC/CVV i preslika identifikacijskog dokumenta);

- da tužitelja u Hotelu nije proveo organizacijsko-tehničke zaštitne mjere u kod obrade osobnih podataka tj. nije organizirao radna mjesta po kriteriju (ne)mogućnosti pristupa tim podacima pomoću personaliziranih računalnih korisničkih imena i lozinki zaposlenika s različitim ovlastima pristupa,

- da imenovanjem voditelja hotela službenikom za zaštitu podataka, tužitelj nije osigurao da takve njegove zadaće i dužnosti ne dovedu do sukoba interesa.

11.Osporenim su rješenjem detaljno su obrazložene prethodno navedene činjenice, uzete za činjeničnu osnovu tim rješenjem utvrđenih 5 povreda, te je navedena pravna osnova odn. odredbe Opće uredbe o zaštiti podataka koje su time povrijeđene tj. za svaku tu povredu.

12. Navedena činjenična utvrđenja i pravnu ocjena na kojima je tuženik tako utemeljio i obrazložio osporeno rješenje, u cijelosti kao pravilne i potpune prihvaća i ovaj sud; jer imaju potpunog činjeničnog uporišta u svim poduzetim i u zapisniku te u obrazloženju osporenog rješenja detaljno opisanim radnjama koje je je u prilici predmetnoga nadzora kod tužitelja poduzeo tuženik, jer imaju pravnoga uporišta u, za utvrđenje tih povreda, mjerodavnim odredbama Opće uredbe o zaštiti podataka koje se u osporenom rješenja navodi i izlaže; i jer sve to iz nastavno navedenih razloga nije dovedena u sumnju nastavno navedenim prigovorima tužitelja.

13. Tužitelj u tužbi i na raspravi prigovara sljedeće. Hotelsko poslovanje na svjetskoj razini da u cijelosti funkcionira sa garancijom smještaja unaprijed. Svaki hotel, svaka agencija da definira svoju politiku garancije/potvrde rezervacije i gost u današnje vrijeme može birati gdje mu više odgovara ne samo cijena nego i uvjeti garancije/otkaza/potvrde. Garancija može biti u vidu osiguravanja sredstava "autorizacije" do iznosa rezervacije ili može biti u smislu naplate određenog dijela (do 100%) kao predujma. Svi oblici uzimanja garancije smatraju se legitimnim pravom hotelskog poslovanja. S obzirom da gost često nije fizički prisutan kod rezervacije u objektu Banke i POS uređaji dozvoljavaju offline naplatu bez prisustva i to isključivo za NKD 55.10 (Hoteli) i 77.10 (Rent a car). Svaka Banka definira uvjete korištenja POS uređaja i koji su potrebni podaci za unos prilikom offline naplate. Da bi Hotel i svi dionici u procesu rezervacije, a proces rezervacije može biti ne direktno s hotelom nego i putem određenih online turističkih agencija (OTA) poput Booking.coma koji je broj 1. svjetska agencija moraju se poštivati određena pravila. Booking.com generira veliku većinu rezervacija u Hotelima diljem svijeta, uključujući u Hrvatskoj. Booking.com također na svojim web stranicama putem rezervacije uzima podatke o kreditnoj kartici gosta, uključujući i CVV te ih prosljeđuje Hotelu u strogo definiranom i zaštićenom sučelju. Podatke koje šalje Booking.com idu preko partnera "Channel Manager" koji onda te podatke mora distribuirati dalje Hotelu poštujući međunarodna PCI-DSS pravila. PCI-DSS je standard koji moraju zadovoljiti svi dionici koji na neki način "barataju" s kreditnim karticama. Oni do 1 milijun transakcija moraju poštivati sva pravila, a oni preko moraju biti validirani od vanjske institucije koje to provjeravaju. Dio Podataka o kreditnoj kartici moraju biti pohranjeni na serverima koji imaju PCI-DSS pravila o sigurnosti. Za početak serveri na Kojima se spremaju ti podaci su u AWS Data Centru (Amazon) u Frankfurtu - unutar EU i taj Data centar zadovoljava najstrože uvjete pristupa i kontrole i čuvanja podataka koje zahtijevaju i PCI DSS i GDPR i mnogi drugi standardi. Slijedeći u nizu je pružatelj usluge Channel Managera koji prolazi 1 put godišnje self-assigment za PCI DSS "Attestation of Compliance for Self- Assessment Questionnaire D-PSP". Kreditna kartica čuva se najkasnije do odlaska gosta, a svakom trenutku može se obrisati. Svaki pristup kreditnoj kartici je s posebnom šifrom (različitom od redovnog ulaska u WebBookingPro), koja mora zadovoljiti PCIDSS pravili o dužini i težini šifre, te ne smije biti ista kao redovni ulaz. Svaka 3 mjeseca se mora promijeniti i svaka promjena ne smije biti ista kao protekle 3 šifre. CVV broj se nikad ne sprema kod tužitelja na serveru te ga tužitelj nikad nema nigdje spremljenog. Bilo da je od Booking.coma ili direktne rezervacije. CVV broj se isključivo šalje kao odvojeni email. Tužitelj kao hotelska kuća mora zadovoljiti PCI DSS D standard. Dakle, što se tiče postupka do hotela sve je po pravilima struke i PCI DSS, Hotel dalje to obrađuje prema svom pravilniku i legitimnom pravu za tim podacima. Tužitelj naglašava da 90% booking enginea u Hrvatskoj i dalje posluje na način da offline procesuiraju kreditnu karticu ili kroz autorizaciju ili naplatu. Dokaz da tužitelj kao hotelska kuća ima pravo tražiti cvv, da je nužan za izvršavanje mo/to (mail order i telephone order) transakcija autorizacija i predautorizacija, što je posebnost u hotelijerstvu je i činjenica što tuženik očito ne razumije da booking engine webbookingpro, ne autorizira kartice, već služi samo kao veza između korisnika usluge i hotela, koji onda autorizira kartice putem pos terminala za kojeg se šalje uputstvo, gdje izričito piše da je cvv potreban.

14. Ovim tužiteljevim navodima nije dovedena u sumnju zakonitost osporenog rješenja zbog sljedećih razloga.

15. Ovim se tužiteljevim navodima izlaže o onim načinima rezervacije (preko Booking.com, sa izravnom predautorizacijom) koji osporenim rješenjem nisu ni utvrđeni činjeničnom osnovom tim rješenjem utvrđenih povreda.

16. Osporenim rješenjem su za osnovu utvrđenih povreda uzeta jedino sljedeća dva načina rezervacije kod kojih tužitelj traži i dolazi u posjed CVC/CVV broja kreditne kartice gosta, i to u oba slučaja u formi e-maila koji zaprima tužiteljev Hotel.

17. Kod prvoga načina (onoga putem obrasca na web stranici tužiteljevog Hotela) traži se unijeti podatak CVV kartice gosta koji se podatak potom zaprima na e- mail tužiteljevog Hotela automatski generiranom posebnom e-mail porukom.

18. Kod drugoga načina (onoga putem e-pošte Hotela), CVV se traži izravno od gosta, putem Obrasca, koji se od gosta traži popunjen vratiti/poslati ne e-poštu Hotela.

19. Slijedi da oba ova načina dovode do pohrane toga podatka kod Hotela. Makar i privremeno odn. do brisanja tih e-mailova po realizaciji/naplati rezervacije na koju se odnose.

20. Kao se i navodi u odgovoru na tužbu te na zapisniku i u obrazloženju osporenog rješenja; prilikom nadzora na licu mjesta kod tužitelja i u prisutnosti tužiteljevog službenika za zaštitu osobnih podataka ŠI, putem web obrasca Hotela učinjena je rezervacija u koju se proizvoljno unijelo pogrešan CVV/CVC broj za kreditnu karticu i rezervacija je "prošla" te je sustav dojavio Hotelu e-mailom baš taj proizvoljan odn. pogrešan CVV. Već iz toga slijedi da je kod tužitelja sustav rezervacije na web-obrascu Hotela postavljen tako da se traži CVV podatak koji nije nužan za rezervaciju koja očito "prolazi" i kada se taj podatak (ne)namjerno pogrešno upiše.

21. Nadalje, tuženik je pravilno ukazao na raspravi 10. prosinca 2024. da postoji i uobičajen je način koji, za razliku od gore opisanih tužiteljevih načina, ne otvara mogućnost pohrane CVV/CVC broja od strane hotela. Na taj način i sam tužitelj ukazuje tužbenim navodima.

22. To je tzv. prijeautorizacija u sklopu koje hotel rezervira iznos na kartici gosta bez da ga odmah naplati, a koji postupak ne zahtijeva pohranu CVV broja jer je taj broj sam gost izravno upotrijebio tijekom inicijalne autorizacije. I iz ovoga, opet, slijedi, da davanje hotelu podatka o CVV/CVC broju kartice kod rezervacije, nije nužno.

23. Stoga se izložene navode tužitelja ne može prihvatiti te njima nije dovedena u sumnju osporenim rješenjem dana činjenična i pravna ocjena tuženika o postojanju njime utvrđenih pet povreda.

24. Za tih je 5 pravilno utvrđenih povreda, tužitelju osporenim rješenjem odmjerena i izrečena upravna novčana kazna u iznosu 15.000,00 EUR. U obrazloženju osporenog rješenja, svaki je kriterij iz propisa mjerodavnih za odmjeravanje odnosne kazne, pojedinačno i iscrpno obrazložen, pa se to obrazloženje kao pravilno u cijelosti prihvaća i na nj se ovom presudom upućuje budući da tomu dijelu osporenog rješenja tužitelj posebno ne prigovara gore izloženim prigovorima koje je iznio tijekom ovoga spora.

25. Zbog navedenog je osporeno rješenje zakonito dok su tužiteljevi prigovori neosnovani pa je, na temelju članka 116. stavka 1. ZUS-a, presuđeno kao pod točkom I. izreke.

26. Time je tužitelj izgubio ovaj spor pa je, na temelju članka 147. stavka 1. ZUS- a, odlučeno kao pod točkom I. izreke.

U Splitu 17. ožujka 2025.

SUDAC

Milan Franić

UPUTA O PRAVNOM LIJEKU: Protiv ove presude dopuštena je žalba, u roku 15 dana od dana dostave, putem ovoga sud, u 4 primjerka, za Visoki upravni sud Republike Hrvatske. Žalba ne odgađa izvršenje pobijane presude.

DNA:

- opun. tužitelja uz zapisnik o objavi

- tuženiku uz zapisnik o objavi

- u spis