REPUBLIKA HRVATSKA

UPRAVNI SUD U RIJECI

[adresa] Ž 5

Poslovni broj: Us I-1756/2024-16

U  I M E  R E P U B L I K E  H R V A T S K E

P R E S U D A

Upravni sud u Rijeci, po sutkinji Ani Sabljak, uz sudjelovanje zapisničarke Petre Horvat Delimehić, u upravnom sporu tužitelja Specijalne bolnice za kirurgiju MEDICO, OIB: 57951842896, Rijeka, Agatićeva 8, kojeg zastupaju opunomoćenici, odvjetnici iz Odvjetničkog društva Vukić i partneri d.o.o., Rijeka, Nikole Tesle 9/V-VI, protiv tuženika Agencije za zaštitu osobnih podataka, OIB: 28454963989, Zagreb, Selska cesta 136, radi zaštite osobnih podataka, 25. travnja 2025.,

p r e s u d i o  j e

I. Odbija se tužbeni zahtjev radi poništavanja rješenja tuženika KLASA: UP/I-034-01/24-01/23, URBROJ: 567-04-02/03-24-1 od 21. kolovoza 2024.

II. Odbija se zahtjev tužitelja za naknadu troškova upravnoga spora.

Obrazloženje

1. Rješenjem tuženika KLASA: UP/I-034-01/24-01/23, URBROJ: 567-04-02/03- 24-1 od 21. kolovoza 2024. (stranice 63/10 - 89/10 spisa) utvrđeno je u točki I. izreke da tužitelj, kao voditelj obrade osobnih podataka, nije na odgovarajući način propisao rokove čuvanja osobnih podataka iz snimki telefonskih razgovora što da je protivno odredbi čl. 5. st. 1. t. e) Uredbe EU 2016/679 Europskog parlamenta Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Službeni list Europske unije L119 od 4. svibnja 2016.; dalje: Opća uredba o zaštiti podataka), da tužitelj kao voditelj obrade osobnih podataka obrađuje osobne podatke ispitanika putem snimanja telefonskih razgovora putem pozivnog centra dostupnog na broju 072 100 100 bez pravne osnove iz članka 6. stavka 1. Opće uredbe o zaštiti podataka, odnosno kako isti u svezi s člankom 5. stavkom 2. Opće uredbe o zaštiti podataka nije dokazao pravnu osnovu za snimanje telefonskih razgovora (točka 2.), da tužitelj kao voditelj obrade osobnih podataka prilikom uspostave poziva na pozivnom centru putem broja 072 100 100 nije informirao ispitanike o obradi osobnih podataka koristeći jasan i jednostavan jezik, što da je protivno odredbi članka 12. stavka 1. Opće uredbe o zaštiti podataka te nije pružio ispitanicima sve potrebne informacije o prikupljanju njihovih osobnih podataka putem snimanja telefonskih razgovora na način propisan odredbom članka 13. stavka 1. točke c) i stavka 2. točke a) i b) Opće uredbe o zaštiti podataka (točka 3.), da tužitelj kao voditelj obrade osobnih podataka nije sklopio ugovor o obradi osobnih podataka s društvom Veridian Healthstream d.o.o. kao izvršiteljem obrade osobnih podataka, što da je protivno odredbi članka 28. stavka 3. Opće uredbe o zaštiti podataka (točka 4.), da tužitelj kao voditelj obrade osobnih podataka nije implementirao odgovarajuće tehničke mjere zaštite informacijskog radiološkog sustava u pogledu slikovnih datoteka (osobnih podataka) u odnosu na izradu sigurnosnih kopija osobnih podataka, što da je protivno odredbi članka 32. stavka 1. točke b) Opće uredbe o zaštiti podataka (točka 5.), da tužitelj kao voditelj obrade osobnih podataka nije informirao tuženika o sigurnosnom incidentu gubitka osobnih podataka ispitanika u pogledu slikovnih datoteka (osobnih podataka) iz radiološkog informacijskog sustava iz srpnja 2019. godine u roku od 72 sata od trenutka saznanja za incident, što da je protivno odredbi članka 33. stavka 1. Opće uredbe o zaštiti osobnih podataka (točka 6.), da tužitelj kao voditelj obrade osobnih podataka nije uključio službenicu za zaštitu osobnih podataka u pitanja vezana uz izradu/doradu politike privatnosti te u vezi snimanja telefonskih razgovora i propisivanja rokova čuvanja snimki telefonskih razgovora, što da je protivno odredbi članka 38. stavka 1. Opće uredbe o zaštiti podataka (točka 7.), slijedom čega je tužitelju izrečena upravna novčana kazna u iznosu od 190.000,00 EUR (točka 8.), uz ostale prateće odluke.

2. Tužitelj u tužbi i tijekom spora osporava zakonitost odluke tuženika zbog bitne povrede pravila postupka, pogrešno i nepotpuno utvrđenog činjeničnog stanja i pogrešne primjene materijalnog prava. Pozivajući se na odredbe Zakona o informacijama i podacima u zdravstvu osporava nadležnost tuženika za postupanje u konkretnom predmetu jer smatra da je za stručni nadzor nad radom pružatelja zdravstvene zaštite u područjima informacijske i kibernetičke sigurnosti te donošenju mjera u slučajevima opasnosti od uzrokovanja štete za zdravstvenu informacijsku infrastrukturu Republike Hrvatske nadležno Ministarstvo za zdravstvo. Vezano za povredu čl. 5. st. 1. točke e) Opće uredbe o zaštiti podataka pojašnjava da je ista netočno utvrđena jer je Politikom privatnosti tužitelja (dostavljenom tuženiku 13. ožujka 2024.) definiran, između ostalog, i rok čuvanja osobnih podataka prikupljenih od ispitanika. Osporava povredu iz članka 6. stavka 1. u svezi sa člankom 5. stavkom 2. Opće uredbe o zaštiti podataka uz objašnjenje da je Politikom privatnosti tužitelja jasno regulirano da se osobni podaci prikupljanju u cilju unapređenja usluge, odnosno da se prikupljaju i čuvaju u svrhu izvršavanja ugovora te poduzimanja radnji prije sklapanja ugovora i u skladu sa Zakonom o liječništvu i Zakonom o evidencijama, odnosno da se razgovori snimaju u skladu s odredbama članka 6. stavkom 1. točkama b), c) i f) Opće uredbe o zaštiti podataka, tj. da je obrada nužna za izvršavanje ugovora ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora, zbog poštovanja pravnih obveza voditelja obrade te za potrebe legitimnih interesa voditelja obrade ili treće strane. Za povredu članka 12. stavka 1. članka 13. stavka 1. točke c) i stavka 2. točke a) i b) Opće uredbe o zaštiti podataka pojašnjava da je samo privremeno korištena prilikom snimanja telefonskih poziva formulacija „ovaj razgovor može biti sniman“ te da se sada koristi formulacija „ovaj razgovor se snima“ te da su ispitanici, odnosno pacijenti, obavješteni da se njihovi podaci čuvaju onoliko koliko je potrebno u svrhu izvršavanja ugovora, odnosno poduzimanja radnji prije sklapanja ugovora, te uvijek mogu zatražiti pristup istima, odnosno brisanje i ispravak podataka u smislu članka 13. stavka 2. točke b) Opće uredbe o zaštiti podataka. Vezano za povredu članka 28. stavka 3. Opće uredbe o zaštiti podataka ističe da je s društvom Veridian Healthstream d.o.o. zaključio Ugovor o kupoprodaji licenci radiološkog informacijskog sustava s isporukama vezanih usluga za potrebe krajnjeg korisnika SB Medico od 28. studenoga 2018., da je istim društvom sklopio i Sporazum o povjerljivosti 21. studenoga 2018 i Ugovor o obradi osobnih podataka kojeg se obvezuje dostaviti naknadno. Za povredu članka 32. stavka 1. točke b) Opće uredbe o zaštiti podataka obrazlaže kako UZV pretrage nisu radiološke pretrage te samim time nisu medicinske slike radiološke pretrage i kao takve se ne čuvaju u radiološkoj arhivi. Osporava da bi počinio povredu članka 33. stavka 1. Opće uredbe o zaštiti podataka jer da do gubitka slikovne dokumentacije iz arhive nije niti došlo, nego su iste u svojem originalnom obliku migrirane u stopostotnom volumenu početkom 2019. godine iz stare PACS arhive te da kopija svih osobnih podataka koje tužitelj kao voditelj obrade obrađuje postoji, međutim da se nalazi na serveru koji privremeno iste ne može iščitati, odnosno privremeno su nedostupni. Prigovora visini izrečene upravne novčane kazne smatrajući iznos iste previsoko odmjerenim iz razloga što je dio navodnih povreda netočno utvrđen i ista nije razmjerna utvrđenim povredama. Predlaže da sud poništi osporavano rješenje tuženika i predmet vati na ponovni postupak.

3. Tuženik u odgovoru na tužbu osporava tužbu i tužbeni zahtjev u cijelosti. U odnosu na prigovor nenadležnosti tuženika ukazuje na članak 32. Opće uredbe o zaštiti podataka i 57. stavak 1. Opće uredbe o zaštiti podataka. Ističe kako informiranje ispitanika o snimanju razgovora nije u skladu sa odredbama Opće uredbe o zaštiti podataka, odnosno kako tužitelj nije ni internim aktima niti naknadno dostavljenom politikom privatnosti odredio rok do kada se čuvaju (odnosno kada se brišu ili periodički preispituje potreba zadržavanja podataka) osobni podaci prikupljeni putem snimanja telefonskih razgovora. Dalje, da tužitelj nije ničim dokazao legitimni interes za snimanje telefonskih razgovora u skladu s odredbom članka 6. stavka 1. točke (f) Opće uredbe o zaštiti podataka njegovi interesi za obradu podataka. Naglašava kako je s tim uvezi tužitelj u tijeku nadzora od 29. veljače 2024. naveo kako uopće nije rađena procjena rizika niti bilo kakav test razmjernosti kojim bi se procijenio utjecaj na prava ispitanika, a što je obveza kod dokazivanja navedene pravne osnove. Tuženik, neosnovano da je pozivanje na odredba Zakona o liječništvu jer se u istima u niti jednom dijelu ne referira na snimanje telefonskih razgovora pa samim time isto ne može niti biti pravna osnova za navedenu vrstu obrade osobnih podataka, dok Zakon o evidencijama ne postoji u pozitivnom ustavno pravnom poretku Republike Hrvatske te je pozivanje na nepostojeći zakon neprofesionalno te protivno pravilima struke. Neosnovan da je navod tužitelja kako je formulacija „ovaj razgovor može biti sniman" korištena samo privremeno jer je predmetna povreda trajala od 25. svibnja 2018. do najmanje nadzora nad tužiteljem 29. veljače 2024., odnosno više od pet godina, a što ne može biti okarakterizirano kao privremena aktivnost. Korištenjem nejasnih i dvosmislenih formulacija koje su podložne različitim tumačenjima ispitanike se može dovesti u zabludu u pogledu jasnoće oko obrade njihovih osobnih podataka, a na način detaljno opisan na stranici 13. osporavanog rješenja. Na navode tužitelja kako su ispitanici bili informirani o svrsi, pravnoj osnovi, rokovima čuvanja te pravu na pristup, brisanju te ispravku podataka, tuženik pojašnjava kako tužitelj u svojoj politici privatnosti, koja je i dalje javno dostupna, niti u jednom dijelu se ne referira na posebnosti obrade osobnih podataka kod snimanja telefonskih razgovora niti su ispitanicu informirani o takvoj obradi osobnih podataka. Tužitelj da posjeduje dvije politike privatnosti, od kojih politika privatnosti koja je namijenjena ispitanicima za snimanje telefonskih razgovora, odnosno koja je dostupna putem internetske stranice, ne sadržava navedene elemente, a politika privatnosti koju je tužitelj dostavio sudu uz tužbu nije dostupna ispitanicima čiji telefonski razgovori se snimaju (npr. putem mrežnih stranica ili putem telefonskog poziva), budući se ista nalazi isključivo u fizičkim prostorima tužitelja te nije dostupna svim ispitanicima koji nazovu telefonski broj pozivnog centra tužitelja niti na internetskim (mrežnim) stranicama, pa je navedena kategorija ispitanika ostala uskraćena za informacije iz članka 13. stavka 1. točke (c) i stavka 2. točke (a) i (b) Opće uredbe o zaštiti podataka, odnosno o svrsi i pravnoj osnovi snimanja razgovora, rokovima pohrane te pravu da se, između ostalog, uloži prigovor na takvu intenzivnu vrstu obrade osobnih podataka. Dalje obrazlaže kako je nadzornim aktivnostima utvrđeno nepostojanje ugovora odnosnog na obradu osobnih podataka sa izvršiteljem. Niti Ugovor o kupoprodaji licenci radiološkog informacijskog sustava od 28. studenog 2018. niti Sporazum o povjerljivosti od 21. studenog 2018. ne sadržavaju elemente iz članka 28. stavka 3. Opće uredbe o zaštiti podataka (npr. status voditelja te izvršitelja obrade, predmet i trajanje obrade osobnih podataka, priroda i svrha obrade osobnih podataka, vrsta osobnih podataka, kategorija ispitanika, mjere zaštite osobnih podataka itd.) pa ne mogu zamijeniti zasebni ugovor o obradi osobnih podataka, a koji je voditelj obrade bio u obvezi sklopiti, a nije ga sklopio. Takav ugovor tužitelj nije dostavio. U odnosu na utvrđenu povredu članka 32. stavka 1. točke (b) Opće uredbe o zaštiti podataka koja je utvrđena zbog nepostojanja sigurnosnih kopija u dijelu slikovne arhive iz radiološkog informacijskog sustava, a što je i sam tužitelj u tijeku nadzornog postupanja 29. veljače 2024. priznao, ističe kako je irelevantno u kojem formatu se pohranjuje kod tužitelja na radiološki informacijski sustav već je bitno što se za slikovnu arhivu radiološkog informacijskog sustava (osobni podaci) uopće nisu izrađivale sigurnosne kopije, a što predstavlja težu povreda Opće uredbe o zaštiti podataka. Ne radi se o sofisticiranim sigurnosnim mjerama zaštite osobnih podataka u radiološkom informacijskom sustavu već o bazičnoj mjeri zaštite koja je osnova zaštite osobnih podataka (ovdje zdravstvenih podataka kao podataka posebne kategorije) te obuhvaćena načelom dostupnosti osobnih podataka iz članka 32. stavka l. točke (b) Opće uredbe o zaštiti podataka. Budući da sigurnosne kopije nisu izrađene na način jasno preciziran u rješenju tuženika, došlo je do rečene povrede. Na navode tužitelja kako nije počinio povredu odredbi članka 33. stavka 1. Opće uredbe o zaštiti podataka iz razloga što se kopija osobnih podataka nalazi na serveru koji se privremeno ne može iščitati te kako nema povrede sve dok kopija podataka postoji, tuženik navodi kako isto nije od važnosti budući se povreda očituje u tome da tužitelj nije u roke od 72 sata od incidenta (nedostupnosti dijela zdravstvenih podataka, neovisno radi li se o privremenoj ili trajnoj nedostupnosti) prijavio incident tuženiku. U tom smislu se poziva i na Smjernice o obavješćivanju o povredi osobnih podataka na temelju Uredbe 2016/679, a u kojima je definirano: „Stoga je i sigurnosni incident kojim je došlo do privremene nedostupnosti osobnih podataka vrsta povrede, s obzirom na to da nepostojanje pristupa podacima može znatno utjecati na prava i slobode pojedinaca.“. Nadalje, da je u upravnom postupku utvrđeno kako je tužitelj isključio službenicu za zaštitu podataka iz pitanja vezanih uz obradu osobnih podataka. Zaključno, u odnosu na visinu izrečene upravno novčane kazne, poziva se na detaljno obrazloženje sa stranica 17. do 27. rješenja te ističe kako su prilikom odmjeravanja iste u cijelosti poštovane odredbe članka 83. Opće uredbe o zaštiti podataka. Predlaže sudu odbiti tužbeni zahtjev.

4. U sporu je održana rasprava te je strankama, u skladu s odredbom čl. 6. Zakona o upravnim sporovima (Narodne novine broj 36/24., dalje: ZUS), dana mogućnost da se izjasne o zahtjevima i navodima druge strane te o svim činjenicama i pravnim pitanjima koja su predmet ovog upravnog spora.

5. Sud je proveo dokazni postupak čitanjem dokumentacije koja se nalazi u spisu ovog upravnog spora i spisu predmeta upravnog postupka koji je prethodio ovom sporu te je u skladu s odredbom čl. 114. st. 3. ZUS-a utvrdio da je tužbeni zahtjev neosnovan. Sud je raspravnim rješenjem od 8. travnja 2025. odbio dokazni prijedlog tužitelja saslušanjem njegova zastupnika po zakonu ŽO te saslušanjem svjedoka NO, LO, ŽON i ĐO, ocijenivši navedene dokaze suvišnim za rješavanje ovoga spora budući se okolnosti na koje se predlaže saslušati navedene mogu utvrditi iz isprava koje se nalaze u spisu predmeta.

6. Prvenstveno je sud odlučivao o tužiteljevom prigovoru nenadležnosti tuženika za postupanje u konkretnoj pravnoj stvari te je ocijenio isti neosnovanim. Naime, odredbom čl. 57. st. 1. t. h) Opće uredbe o zaštiti podataka propisano je kako nadzorno tijelo (dakle, tuženik) provodi istrage o primjeni Opće uredbe o zaštiti podataka, a što uključuje i obradu osobnih podataka (čl. 32. Opće uredbe o zaštiti podataka) te je slijedom navedenog tuženik ovlašten za postupanje u konkretnom postupku zaštite osobnih podataka, odnosno u nadzoru primjene odredbi rečene Uredbe od strane tužitelja kao voditelja obrade osobnih podataka.

7. U odnosu na utvrđene povrede, odredbom čl. 5. st. 1. t. e) Opće uredbe o zaštiti podataka propisano je da osobni podaci moraju biti čuvani u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobnih podaci obrađuju te da se mogu pohraniti na dulja razdoblja ako će se obrađivati isključivo u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe u skladu s čl. 89. st. 1., što podliježe provedbi primjerenih tehničkih i organizacijskih mjera propisanih Uredbom radi zaštite prava i slobode ispitanika.

8. Suprotno tužbenim navodima, iz Politike privatnosti tužitelja ne proizlazi da bi tužitelj tim aktom (ni ijednim drugim koji prileži spisu upravnog postupka) propisao rokove čuvanja snimki telefonskih razgovora. Rečenom Politikom privatnosti su regulirani rokovi čuvanja drugih kategorija osobnih podataka (poput medicinskih nalaza, podataka o ambulantnom liječenju i kontakt podataka). Odredbom čl. 23. st. 4. Zakona o liječništvu (Narodne novine br. 121/03., 117/08.), na koju se tužitelj poziva u Politici privatnosti, propisano je kako se podaci o ambulantnom liječenju čuvaju deset godina nakon završetka liječenja, stoga predmetna odredba nije primjenjiva u konkretnom predmetu budući snimka telefonskog razgovora ni u kojem slučaju ne predstavlja ambulantno liječenje. Slijedom, sud utvrđuje kako je tuženik ispravo utvrdio povredu iz citirane odredbe Opće uredbe o zaštiti podataka.

9. Dalje, tužitelj nije sukladno odredbi čl. 5. st. 2. Opće uredbe o zaštiti podataka dokazao pravnu osnovu za snimanje razgovora predviđenu odredbama čl. 6. st. 1. iste Uredbe kojom je određeno da je obrada osobnih podataka zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećeg: a) da je ispitanik dao privolu, b) da je obrada nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora, c) da je obrada nužna radi poštovanja pravnih obveza voditelja obrade, d) da je obrada nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe, e) da je obrada nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade, f) da je obrada nužna za potrebe legitimnih interesa voditelja obrade ili treće strane. Naime, nije dokazano pozivanje tužitelja na osnove iz točke b) jer ničim ne dokazuje da bi snimanje određenog telefonskog razgovora bilo nužno za izvršavanje konkretnog ugovora radi pružanja medicinskih usluga u kojem je ispitanik stranka. Također nije dokazano ni da bi obrada bila nužna radi poštovanja pravnih obveza voditelja obrade (točka c)) jer takva obveza ne proizlazi iz Zakona o liječništvu, dok Zakon o evidencijama na koji se poziva nije na snazi u pravnom sustavu Republike Hrvatske. Legitiman interes voditelja obrade (točka f)) može predstavljati pravnu osnovu za obradu osobnih podataka pod uvjetom da interesi ili temeljna prava i slobode ispitanika nemaju prednost uzimajući u obzir razumna očekivanja ispitanika koja se temelje na njihovom odnosu s voditeljem obrade. Tuženik osnovano primjećuje da je voditelj obrade dužan dokazati postojanje legitimnog interesa provođenjem testa ravnoteže, a što je u ovom slučaju izostalo.

10. U odnosu na povredu odredbe čl. 12. st. 1. Opće uredbe o zaštiti podataka kojom je propisano da voditelj obrade poduzima odgovarajuće mjere kako bi se ispitaniku pružile sve informacije o svrsi obrade osobnih podataka, pravnoj osnovi, rokovima čuvanja te pravu na pristup, brisanju te ispravku podataka (čl. 13. st. 1. t. c) i st. 2. t. a) i b) Opće uredbe) u sažetom, transparentnom, lako dostupljivom obliku, uz uporabu jasnog i jednostavnog jezika te da se informacije pružaju u pisanom obliku ili drugim sredstvima, moguće i elektroničkim i usmenim putem, tužitelj ni ne osporava da se prilikom snimanja telefonskih razgovora od strane tužitelja koristila formulacija „ovaj razgovor može biti sniman“. Uz takvu formulaciju ne može se utvrditi da se radi o transparentnom obliku koju propisuje citirana odredba Opće uredbe. Nadalje, iz Politike privatnosti dostavljene od tužitelja u upravnom postupku 19. ožujka 2024., kao i iz službene zabilješka od 01. ožujka 2024. s priležećom snimkom, ne proizlazi da su pružene informacije iz čl. 13. st. 1. t. c) i st. 2. t. a) i b) Opće uredbe o zaštiti podataka. Dakle, i ovaj sud se slaže s utvrđenjem tuženika kako tužitelj nije na transparentan način informirao ispitanike kako se njihovi podaci prikupljaju, čuvaju i obrađuju.

11. Sukladno odredbi čl. 28. st. 3. Opće uredbe o zaštiti podataka obrada koju obavlja izvršitelj obrade uređuje se ugovorom ili drugim pravnim aktom u skladu s pravom Unije ili pravom države članice. Iz Zapisnika o provedenom nadzoru od 28. veljače 2024., a prema izjavi zastupnika po zakonu društva Veridian Healthstream d.o.o. SO, nije sklopljen ugovor koji bi se odnosio na obradu podataka. Nadalje, takav ugovor nije od strane tužitelja dostavljen ni u tijeku upravnog postupka ni ovog spora. Ugovor o kupoprodaji licenci radiološkog informacijskog sustava od 28. studenog 2018. i Sporazum o povjerljivosti od 21. studenog 2018. ne sadržavaju elemente iz čl. 28. st. 3. Opće uredbe o zaštiti podataka (status voditelja te izvršitelja obrade, predmet i trajanje obrade osobnih podataka, priroda i svrha obrade osobnih podataka, vrsta osobnih podataka, kategorija ispitanika, mjere zaštite osobnih podataka itd.), slijedom čega ne mogu zamijeniti zasebni ugovor o obradi osobnih podataka koji je tužitelj kao voditelj obrade bio u obvezi sklopiti. Stoga je ispravno utvrđena povreda odredbe čl. 28. st. 3. Opće uredbe o zaštiti podataka.

12. Odredbom čl. 32. st. 1. t. b) Opće uredbe o zaštiti podataka propisano je kako uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrha obrade, kao i rizik različitih razina vjerojatnosti o ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, uključujući sposobnost osiguravanja trajne povjerljivosti, cjelovitosti, dostupnosti i otpornosti sustava i usluga obrade. U postupku je utvrđena (očitovanje tužitelja od 7. prosinca 2023.) rečena povreda zbog nepostojanja sigurnosnih kopija u dijelu slikovne arhive iz radiološkog informacijskog sustava (promatrano općenito bez konkretnih ispitanika), a što niti tužitelj ne spori. Sud je suglasan u tom dijelu i sa stavom tuženika, a suprotno tužbenim navodima, da u ovom slučaju nije bitno u kojem formatu se pohranjuje na radiološki informacijski sustav, već je odlučno što se za slikovnu arhivu radiološkog informacijskog sustava (osobni podaci) nisu izrađivale sigurnosne kopije, a što čini povredu Opće uredbe o zaštiti podataka. Slijedom toga, irelevantna je i argumentacija o vrsti medicinske pretrage (UZV ili radiološka).

13. Sukladno odredbi čl. 33. st. 1. Opće uredbe o zaštiti podataka u slučaju povrede osobnih podataka voditelj obrade bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata nakon saznanja o toj povredi, izvješćuje nadzorno tijelo nadležno u skladu s člankom 55. o povredi osobnih podataka, osim ako nije vjerojatno da će povreda osobnih podataka prouzročiti rizik za prava i slobode pojedinaca. Ako izvješćivanje nije učinjeno unutar 72 sata, mora biti popraćeno razlozima za kašnjenje.

14. Iz očitovanja društva Veridian Healthstream d.o.o. od 3. srpnja 2024., elektroničke pošte od 23. srpnja 2019. upućene od strane tog društva s adrese RO na adresu tužitelja, te iskaza direktora Veridian Healthstream d.o.o. na Zapisnik o provedenom nadzoru od 28. veljače 2024., proizlazi da je tužitelj 23. srpnja 2019. saznao da je došlo do greške u inicijalizaciji memorije na dijelu servera na kojem se nalaze zdravstveni osobni podaci nekolicine ispitanika te kako su isti postali nedostupni. U odnosu na osporavanje tužitelja da bi time nastala povreda citiranog članka budući su podaci na serveru samo privremeno nedostupni, no da isti i dalje postoje, sud ističe da je sama nedostupnost podataka (neovisno da li trajno ili privremeno) razlog za prijavljivanje incidenta tuženiku. Naime, sigurnost informacijskog sustava temelji se na načelima povjerljivosti, integriteta, otpornosti i dostupnosti te ukoliko su osobni podaci dostupni na serveru, ali ih se ne može iščitati (a što tužitelj ne može učiniti od 2019. prema vlastitim navodima), to znači da su isti nedostupni te da je došlo do povrede dostupnosti osobnih podataka, odnosno do incidenta o kojem je tužitelj prema naprijed navedenoj odredbi Opće uredbe o zaštiti podataka bio obvezan izvijestiti tuženika.

15. Odredbom čl. 38. st. 1. Opće uredbe o zaštiti podataka propisano je da voditelj obrade i izvršitelj obrade osiguravaju da je službenik za zaštitu podataka na primjeren način i pravodobno uključen u sva pitanja u pogledu zaštite osobnih podataka. Iz iskaza službenice za zaštitu podataka kod tužitelja ŽON uzete tijekom postupka (Zapisnik o provedenom nadzoru od 7. ožujka 2024.) proizlazi da nije bila uključena oko aktivnosti obrade osobnih podataka, stoga je i saslušanje navedene svjedokinje u sporu sud ocijenio suvišnim, a tužitelj u odnosu na utvrđenu povredu nije obrazlagao razloge osporavanja.

16. Glede visine izrečene upravne novčane kazne, valja istaknuti kako je odredbom čl. 44. st. 1. Zakona o provedbi Opće uredbe o zaštiti osobnih podataka (Narodne novine br. 42/15.) propisano kako Agencija za zaštitu osobnih podataka izriče upravne novčane kazne za povrede odredaba toga Zakona i Opće uredbe o zaštiti podataka sukladno čl. 83. Opće uredbe o zaštiti podataka. Prema regulaciji članka 83. Opće uredbe o zaštiti osobnih podataka svako nadzorno tijelo osigurava da je izricanje upravnih novčanih kazni u skladu s tim člankom u pogledu kršenja te uredbe iz stavaka 4., 5. i 6. u svakom pojedinačnom slučaju učinkovito, proporcionalno i odvraćajuće (stavak 1.); upravne novčane kazne izriču se uz mjere ili umjesto mjera iz članka 58. stavka 2. točaka od (a) do (h) i članka 58. stavka 2. točke (j), ovisno o okolnostima svakog pojedinog slučaja, s time da se pri odlučivanju o izricanju upravne novčane kazne i odlučivanju o iznosu te upravne novčane kazne u svakom pojedinom slučaju dužna pozornost posvećuje sljedećem: (a) prirodi, težini i trajanju kršenja, uzimajući u obzir narav, opseg i svrhu obrade o kojoj je riječ kao i broj ispitanika i razinu štete koju su pretrpjeli; (b) ima li kršenje obilježje namjere ili nepažnje; (c) svakoj radnji koju je voditelj obrade ili izvršitelj obrade poduzeo kako bi ublažio štetu koju su pretrpjeli ispitanici, (d) stupnju odgovornosti voditelja obrade ili izvršitelja obrade uzimajući u obzir tehničke i organizacijske mjere koje su primijenili u skladu s člancima 25. i 32., (e) svim relevantnim prijašnjim kršenjima voditelja obrade ili izvršitelja obrade, (f) stupnju suradnje s nadzornim tijelom kako bi se otklonilo kršenje i ublažili mogući štetni učinci tog kršenja, (g) kategorijama osobnih podataka na koje kršenje utječe, (h) načinu na koji je nadzorno tijelo doznalo za kršenje, osobito je li i u kojoj mjeri voditelj obrade ili izvršitelj obrade izvijestio o kršenju, (i) ako su protiv dotičnog voditelja obrade ili izvršitelja obrade u vezi s istim predmetom prethodno izrečene mjere iz članka 58. stavka 2., poštovanju tih mjera, (j) poštovanju odobrenih kodeksa ponašanja u skladu s člankom 40. ili odobrenih mehanizama certificiranja u skladu s člankom 42. i (k) svim ostalim otegotnim ili olakotnim čimbenicima koji su primjenjivi na okolnosti slučaja, kao što su financijska dobit ostvarena kršenjem ili gubici izbjegnuti, izravno ili neizravno, tim kršenjem (stavak 2.). U skladu s odredbom čl. 83. st. 3. Opće uredbe o zaštiti podataka ako voditelj obrade ili izvršitelj obrade za istu ili povezane obrade namjerno ili iz nepažnje prekrši nekoliko odredaba ove Uredbe ukupan iznos novčane kazne ne smije biti veći od administrativnog iznosa utvrđenog za najteže kršenje. Čl. 83. st. 4. Opće uredbe o zaštiti podataka propisano je da se za kršenja sljedećih odredaba, u skladu sa stavkom 2., mogu izreći upravne novčane kazne u iznosu do 10 000 000 EUR, ili u slučaju poduzetnika do 2 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće: (a) obveza voditelja obrade i izvršitelja obrade u skladu s člancima 8., 11., od 25. do 39., te 42. i 43.; (b) obveza certifikacijskog tijela u skladu s člancima 42. i 43. i (c) obveza tijela za praćenje u skladu s člankom 41.stavkom 4., dok je stavkom 5. toga članka propisano da za kršenja sljedećih odredaba, u skladu sa stavkom 2.a, mogu se izreći upravne novčane kazne u iznosu do 20 000 000 EUR, ili u slučaju poduzetnika do 4 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće: (a) osnovnih načela za obradu, što uključuje uvjete privole u skladu s člancima 5., 6., 7. i 9., (b) prava ispitanika u skladu s člancima od 12. do 22., (c) prijenosa osobnih podataka primatelju u trećoj zemlji ili međunarodnoj organizaciji u skladu s člancima od 44. do 49., (d) svih obveza u skladu s pravom države članice donesenim na temelju poglavlja IX. i (e) nepoštovanja naredbe ili privremenog ili trajnog ograničenje obrade ili suspenzije protoka podataka nadzornog tijela u skladu s člankom 58. stavkom 2. ili uskraćivanje pristupa kršenjem članka 58. stavka 1.

17. Uzimajući u obzir osobito prirodu, težinu i trajanje kršenja, zatim narav, opseg i svrhu obrade, da je riječ o utvrđenoj povredi višestrukih odredbi Opće uredbe o zaštiti osobnih podataka, visinu izrečene upravne novčane kazne te zakonski maksimum zapriječene upravne novčane kazne i s aspekta generalne prevencije, sud ocjenjuje da je odluka tužene u analiziranom dijelu zakonita te valjano i podrobno obrazložena. Sud ocjenjuje i da razlozi rješavanje upravne stvari u dijelu izbora vrste i težine kazne imaju uporište u činjenicama utvrđenim tijekom postupka te logično i racionalno utemeljenje u mjerodavnom materijalnom propisu. Tužitelj nije osporio visinu ukupnog godišnjeg prihoda kako je to utvrđeno u osporenom rješenju, već je ocijenio da se svrha kažnjavanja mogla postići i izricanjem samo korektivnih mjera ili blažom novčanom kaznom.

18. Konačno, tuženik je svoju odluku obrazložio kako to nalaže odredba čl. 98. st. 5. Zakona o općem upravnom postupku (Narodne novine broj: 47/09. i 110/21.). U obrazloženju je izložio sve činjenice koje proizlaze iz izvedenih dokaza te je s obzirom na utvrđeno činjenično stanje i relevantne propise, naveo razloge za donošenje takve odluke u upravnoj stvari.

19. Slijedom, budući je osporeno rješenje doneseno u pravilno provedenom postupku na temelju potpuno i pravilno utvrđenog činjeničnog stanja i uz pravilnu primjenu materijalnog prava, zakonito je utvrđeno postojanje povreda u zaštiti osobnih podataka te je za isto pravilno izrečena upravna novčana kazna u utvrđenoj visini, time osporenim rješenjem nije povrijeđen zakon na štetu tužitelja pa je rješenje tuženika valjalo ocijeniti zakonitim.

20. Stoga je, na temelju odredbe čl. 116. st. 1. ZUS-a, odlučeno kao u t. I. izreke presude.

21. O trošku upravnog spora sud je odlučio primjenom odredbe čl. 147. st. 1. ZUS-a prema kojoj stranka koja izgubi spor u cijelosti snosi sve troškove spora, ako zakonom nije drukčije propisano. Kako tužitelj nije uspio u ovom upravnom sporu, nema zakonskog osnova udovoljiti njegovom zahtjevu za nadoknadu troškova upravnog spora. Stoga je sud odlučio kao u t. II. izreke ove presude.

U Rijeci 25. travnja 2025.

Sutkinja

Ana Sabljak

UPUTA O PRAVNOM LIJEKU:

Protiv ove presude dopuštena je žalba Visokom upravnom sudu Republike Hrvatske. Žalba se podnosi putem ovog suda u dovoljnom broju primjeraka za sud i sve stranke u sporu, u roku od 15 dana od dana dostave presude (čl. 131. st. 1. i 2. ZUS-a). Žalba odgađa izvršenje pobijane presude (čl. 126. st. 6. ZUS-a).