REPUBLIKA HRVATSKA

UPRAVNI SUD U ZAGREBU

Poslovni broj: Us I-2416/2023-12

Zagreb, Avenija Dubrovnik 6

U  I M E  R E P U B L I K E  H R V A T S K E

P R E S U D A

Upravni sud u Zagrebu, po sutkinji toga suda Meri Dominis Herman, uz sudjelovanje Slobodanke Gorsensky, zapisničarke, u upravnom sporu tužitelja B2 KAPITAL d.o.o., Zagreb, Radnička cesta 41, OIB: 57509775367, kojeg zastupa opunomoćenica Dina Čeliković, odvjetnica u Odvjetničkom društvu Bardek, Lisac, Mušec, Skoko i partneri d.o.o., Zagreb, Ilica 1, protiv tuženika Agencije za zaštitu osobnih podataka, Zagreb, Ulica grada Vukovara 54, OIB: 28454963989, radi prava na zaštitu osobnih podataka, nakon objave presude, 29. travnja 2025.,

p r e s u d i o  j e

I Odbija se tužbeni zahtjev za poništenje rješenja tuženika Agencije za zaštitu osobnih podataka, KLASA: UP/I-034-01/23-01/14, URBROJ: 567-02/15-23-01 od 2. svibnja 2023.

II Odbija se zahtjev za nadoknadu troškova upravnog spora.

O b r a z l o ž e nj e

1.Osporenim rješenjem tuženika KLASA: UP/I-034-01/23-01/14, URBROJ: 567- 02/15-23-01 od 2. svibnja 2023. utvrđeno je da tužitelj kao voditelj obrade osobnih podataka nije na jasan i točan način informirao svoje ispitanike o obradi njihovih osobnih podataka putem dokumenata pod nazivom: „Politika zaštite osobnih podataka“ – obavijest o obradi osobnih podataka, a koja je dostupna putem URL poveznice: https:/www.b2kapital.hr/politikazastiteosobnihpodataka, a u pogledu pravne osnove kod povrata preplaćenih sredstva (točka 1. izreke). Točkom 2. izreke utvrđeno je da tužitelj kao voditelj obrade osobnih podataka nije sklopio ugovor o obradi osobnih podataka s društvom El Koncept d.o.o. iz Zagreba, Julija Knifera 2 kao izvršiteljem obrade za uslugu praćenja jednostavnog stečaja potrošača. Točkom 3. izreke utvrđeno je da je nepoduzimanjem odgovarajućih tehničkih i organizacijskih mjera zaštite kod obrade osobnih podataka od strane društva B2 Kapital d.o.o. iz Zagreba, Radnička cesta 41 kao voditelja obrade došlo do kršenja sigurnosti osobnih podataka ispitanika tužitelja najmanje u strukturi ime i prezime, datum rođenja i OIB. Točkom 4. izreke izrečena je upravna novčana kazna u iznosu od 2.265.000,00 eura/17.065.642,50 kuna, koju kaznu je tužitelj dužan platiti u roku 15 dana od dana pravomoćnosti rješenja uz upozorenje na pravne posljedice koje će nastupiti u slučaju ne postupanja po istom te je utvrđena i obveza dostave dokaza o uplati (točka 5. i 6. izreke).

2. Tužitelj osporava zakonitost pobijanog akta i u bitnome navodi kako je u skladu s odredbom članka 13. stavka 1. GDPR-a informirao ispitanike o obradi njihovih osobnih podataka putem dokumentacije koja je objavljena na stranicama pod naslovom „Politika zaštite osobnih podataka“ („Politika“). Tužitelj citira navedenu odredbu te navodi kako je namjera teksta Politike bila da se ispitanicima neki elementi primjene GDPR-a pojasne na razumljiv način navodeći konkretne primjene pojedinih obrada, a sve iz razloga što je svjestan svoje obveze iz članka 12. stavka 1. GDPR-a, da ispitanike obavijesti u vezi s obradom u sažeto, transparentnom, razumljivom obliku uz uporabu jasnog i jednostavnog jezika. Ističe kako je u tijeku postupka dostavio i evidenciju aktivnosti obrade („Evidencija“) sastavljenu u skladu s člankom 30. GDPR- a – interni dokument, u kojem su opisane sve aktivnosti obrade koje se provode te koji sadrži svrhu obrade, opis kategorija ispitanika i osobnih podataka koji se obrađuju. Navodi kako je s obzirom na uvodnu izjavu 39 GDPR-a, bilo potrebno ispitanicima na jasan i njima razumljiv način objasniti kako je zaštita njihovih ugovornih prava bitan dio ugovornog odnosa te da imaju pravo na povrat preplaćenih sredstava. Napominje da u Politici nije spominjao „životno važne interese ispitanika“ nego da je naveo da se radi o „zaštiti ključnih interesa ispitanika“. Naime, ističe da s obzirom da povrat preplaćenih sredstava direktno utječe na financijsko stanje dužnika, razvidno je da je obrada podataka radi povrata sredstava zaista predstavlja obradu kojim se štiti jedan od ključnih interesa ispitanika – interes za financijsku stabilnost i očuvanje vlastite imovine. Navodi kako je u Politici, zaštita interesa ispitanika u slučaju povrata preplaćenih sredstava navedena kako bi se ispitaniku mogla pobliže prikazati njegova prava koja ima u sklopu ugovornog odnosa s njim te da je ključan interes ispitanika u konkretnom odnosu povrat duga pod ugovorenim uvjetima, odnosno očuvanje njihove imovine. Navodi kako je tuženik pogrešno protumačio njegov podnesak od 11. travnja 2023., u kojem je samo pojašnjen teoretski koncept povezanih, odnosno kompatibilnih svrha koje se mogu pojaviti prilikom obrade. Smatra da ukoliko je tuženik smatrao kako je tužiteljevim politikama i internim aktima propisana nedovoljno jasna odredba vezana za obrazloženje svrhe obrade imao je na raspolaganju druge korektivne mjere koje nisu toliko oštre kao što je izricanje upravne novčane kazne. Ističe da nije ažurirao svoje interne akte kako bi tuženik mogao neometano izvršiti temeljitu analizu svih dokumenata informacija predanih tuženiku za vrijeme trajanja postupka nadzora.

2.1. U odnosu na drugu točku izreke rješenja navodi da je tuženik pogrešno procijenio uloge sudionika u obradi osobnih podataka te da je stoga i pogrešno utvrdio da je morao sklopiti ugovor o obradi osobnih podataka (data processing agreement - DPA). Nadalje opisuje odnos s pružateljem usluga i uloge svakog dionika. Navodi da budući da nema resurse za praćenje javno dostupnih podataka o stečajevima, angažirao je društvo El Koncept koji je ujedno i vlasnik portala Fininfo.hr ("Fininfo") internetskog portala koji pruža informacije o financijskom stanju, poslovanju i rizicima pravnih subjekata u Republici Hrvatskoj koje prikuplja iz javno dostupnih baza podataka. Navodi kako mu od 2018. El Koncept pruža razne usluge, između ostalih monitoring javnih objava u vezi pravnih osoba i da je ugovorni odnos nastao putem prihvata ponude i plaćanja računa za izvršenu uslugu. Ističe kako ugovor nije sklopljen je isto nije bilo potrebno iz razloga što Zakon o obveznim odnosima za ugovor o pružanju usluga ne predviđa posebni oblik. Također navodi kako mu je El Koncept počeo pružati usluge monitoringa javnih objava u vezi fizičkih osoba. Navodi kako mu nije bilo poznato da A za El Koncept izrađuje i održava aplikacije koje prate promjene na javnim izvorima kao što su sudski registar, obrtni registar, e-oglasna ploča i predstečajne nagodbe. Ističe da je zbog navedenog odlučio uvesti dodatnog pružatelja usluga te da je i raskinuo ugovorni odnos s El Konceptom u vezi navedenih usluga. Ističe kako su on i društvo El Koncept svatko u sklopu obavljanja svoje djelatnosti samostalni voditelji obrade osobnih podataka te da je kreiranje baze podataka nužan preduvjet za pružanje usluga El Koncepta. Navodi da GDPR ne predviđa situaciju izvršitelja bez voditelja te da je El Koncept samostalni voditelj u slučaju kad kompilira i održava bazu podataka za potrebe portala Fininfo. Ističe da prilikom prihvaćanja podataka od El Koncepta nije ispitanik, niti voditelj obrade, niti izvršitelj obrade, a ni osoba koja je ovlaštena za obradu osobnih podataka pod izravnom nadležnošću voditelja obrade ili izvršitelja obrade, nego stupa u ulogu treće strane.

2.2. U svezi utvrđenja tuženika kako nije poduzeo odgovarajuće tehničke i organizacijske mjere prilikom obrade osobnih podataka zbog čega je došlo do povrede odredbe članka 32. st. 1. točke b) i d) te članka 32. stavka 2. GDPR-a i kršenja sigurnosti osobnih podataka, navodi kako je takav zaključak pogrešan. Smatra da je tuženik zanemario nalaze stručnjaka koji je proveo detaljnu analizu informacijskog sustava tužitelja te da pri tome tuženik nije angažirao druge neovisne stručnjake koji bi mogli utvrditi činjenično stanje detaljnim pregledom. Navodi kako je u tijeku postupka isticao više mogućnosti u vezi curenja podataka od trećih strana, a da tuženik nije dokazao da je Datoteka zaista iscurila iz tužiteljeva sustava. Ističe da je El Koncept za njega vršio uslugu monitoringa jednostavnog stečaja potrošača ali da je u stvarnosti praćenje stečaja potrošača kao podizvođač El Koncepta vršila Hierarchia o čemu nije imao saznanja. Napominje kako je tuženik pogrešno ocijenio okolnosti u vezi datoteka B2_Tracked. Smatra da činjenica da se OIB kojeg nema u poslovnim sustavima tužitelja i koji je kod tužitelja pronađen isključivo u e-mail poruci koju je poslao El Konceptu nije nikako i ne može biti dokaz da su podaci iscurili iz njegovog sustava. Navodi kako je tuženik zanemario činjenicu da se datoteka B2_Tracked nalazi u sustavima bar još jednog subjekta – pošiljatelja predmetne e-mail poruke. Ističe kako tuženik nije izvršio procjenu tehničkih i organizacijskih mjera niti stupnja sigurnosti obrade i prijenosa podataka u informacijskim sustavima El Koncepta ili Hierarchie. Navodi da mjera automatske obavijesti o pokušaju korištenja USB-a na računalima tužitelja ne bi bila svrsishodna, jer je korištenje USB medija onemogućeno na računalima tužitelja te da su jedina računala u koja se može uključiti USB medij računala voditelja Odjela, Odjela IT, Službe za upravljanje osiguranim portfeljima, Prokurista, Uprave i kontrolinga. Tužitelj nadalje pojašnjava razlog mogućnosti korištenja USB-a od strane g. AB. Ističe da posjeduje mjeru automatizirane obavijesti u slučaju slanja zaštićenih podataka e-mailom te smatra da je stoga poduzeo potrebne mjere kako bi osigurao sprječavanje neovlaštenog kopiranja i curenja podataka iz sustava. Nabraja popis najbitnijih i implementiranih tehničkih sigurnosnih kontrola, internih pravila i procesa veznih za zaštitu podataka. Napominje kako je u tijeku postupka u dogovoru sa stručnjakom implementirao dodatne mjere za sigurnost obrade podataka.

2.3. U svezi načina utvrđivanja i visini upravne kazne ističe kako ista nije obrazložena i da je paušalno određena. Navodi kako tuženik može izreći korektivne mjere i/ili upravnu novčanu kaznu. Smatra da je u rješenju trebalo obrazložiti razloge izračuna kazne isključivo u odnosu na maksimalni iznos iz članka 83. stavka 5. GDPR- a, koji se primjenjuje u slučaju povrede prava ispitanika te ističe da tuženik nije uzeo u obzir da se kaza za povredu iz točke II. I III. Izreke rješenja mora izračunavati u odnosu na maksimalni iznos iz članka 83. stavka 4. GDPR-a. Također navodi kako je izostalo obrazloženje povezanosti između tužitelja i B2 Holding Grupe. Navodi da tuženik prilikom odmjeravanja kazne nije uzeo u obzir odnosno pogrešno je procijenio razne faktore kojima je obvezan posvetiti dužnu pažnju prilikom izricanja kazne u skladu s člankom 83. stavka 2. GDPR-a. Smatra posebno relevantnim i svojstvo i razinu štete koju su ispitanici mogli pretrpjeti. Naime navodi kao su na mediju bili sadržani samo ime, prezime, OIB te datum rođenja ispitanika te da s obzirom na navedene kategorije podataka ispitanicima nije nastala niti je mogla nastati šteta, jer da podaci nisu postali javno dostupni. Smatra kao je tu jedno mogla nastati neimovinska šteta u vidu narušavanja ugleda. Također navodi kako je kazna koja mu je izrečene višestruko viša od ostalih kazni koje je tuženik izrekao u slučajevima sličnih povreda. Poziva se i navodi pravne osobe kojima je izrečena kazna.

3. Predlaže da Sud poništi rješenje tuženika te potražuje troškove upravnog spora.

4. Tuženik u odgovoru na tužbu navodi kako je ista neosnovana iz razloga iznesenih u obrazloženju osporenoga rješenja. Navodi kako je postupajući po službenoj dužnosti, a temeljem anonimne prijave od 2. prosinca 2023., utvrdio da je tužitelj povrijedio odredbu članka 13. stavka 1. Opće uredbe o zaštiti podataka, budući da nije na jasan i točan način informirao svoje ispitanike o obradi njihovih osobnih podataka putem dokumenata pod nazivom: „Politika zaštite osobnih podataka“ – obavijest o obradi osobnih podataka u pogledu pravne osnove kod povrata preplaćenih sredstva, zatim da je povrijedio odredbu članka 28. stavka 3. Opće uredbe o zaštiti podataka, budući da nije sklopio ugovor o obradi osobnih podataka s izvršitelje obrade društvom El Koncept d.o.o. iz Zagreba za obradu osobnih podataka u sklopu pružanja usluge praćenja jednostavnog stečaja potrošača te da je povrijedio odredbe članka 32. stavak 1. točke b) i d) i stavka 2. Opće uredbe o zaštiti podataka, jer nije poduzeo mjere zaštite kako bi osigurao sigurnost osobnih podataka svojih ispitanika. Ističe kako su u predmetnoj politici privatnosti jasno navedene u dijelu pravnih osnova, pravne osnove za obradu pojedinih osobnih podataka te da je za povrat preplaćenih sredstava jasno navedeno da je obrada nužna za zaštitu ključnih interesa ispitanika ili drugih fizičkih osoba. Navodi kako tužitelj pogrešno tumači Opću uredbu o zaštiti podataka kao i rješenje tuženika. Poziva se na odredbu članak 6. stavka 1. Opće uredbe te ističe kako je u rješenju u cijelosti postupljeno sukladno navedenoj odredbi te da je pravilno primijenjeno materijalno pravo. Ističe kako je jezična sintaka vitalnih interesa u rješenju korištena kako bi se bolje objasnila povreda čl. 13. st. 1 u pogledu pogrešnog navođenja pravne osnove te objasnilo kako se navedena pravna osnova može koristiti samo u slučaju zaštite vitalnih interesa ispitanika koji dovode u pitanje očuvanje života ispitanika, a što zasigurno ne uključuje zaštitu imovine kod povrata sredstava ili financijsku stabilnost, a sve u sukladno uvodnoj izjavi br. 46. uz normativni dio teksta Opće uredbe. Ističe kako s obzirom na to da nije izrekao korektivne mjere već je pristupio izricanju upravne novčane kazne uslijed višestrukih povreda nije bio dužan naznačiti na generičkoj razini što točno tužitelj treba popraviti, odnosno na koji način treba uskladiti svoje poslovanje s Općom uredbom o zaštiti podataka.

4.1. Navodi da je tužitelj povrijedio odredbe članka 13., 28. i 32. Opće uredbe o zaštiti podataka u tri različita područja te da su povrede trajale nekoliko godina pa da je stoga odlučeno da se izrekne upravno novčana kazna, a koje razloge je obrazložio u rješenju. Ističe da je tužitelj angažirao društvo El Koncept u svrhu usluge praćenja jednostavnog stečaja potrošača, odnosno u svrhu praćenja promjena kod javno dostupnih izvora o fizičkim osobama – ispitanicima društva B2 te je u tu svrhu društvo B2 u više navrata od 14. veljače 2019. godine slalo datoteke s popisima OIB-ova koje je bilo potrebno pratiti te je društvo El Koncept „obogaćivalo“ podatke putem svojih sustava i dostavljalo obavijest tužitelju uz popis OIB-ova, a nakon završenog pretraživanja. Ističe da je El Koncept, a što je i utvrđeno u provedenom postupku obrađivao takve podatke u ime i za račun tužitelja. Osim toga navodi da je tužitelj odredio i ključna sredstva obrade kao načine obrade osobnih podataka, a što je također učinio tužitelj koji je odredio kategorije te konkretne osobne podatke koji će se obrađivati u postupku kod izvršitelja obrade, koliko dugo će se obrađivati te tko će im pristupati. Nadalje navodi kako sporna izjava od 14. prosinca 2020., jasno ukazuje kako je tužitelj od navedenog datuma bio upoznat s činjenicom da je društvo El Koncept d.o.o. angažiralo podizvođača za praćenje usluge jednostavnog stečaja potrošača te je navedeno potvrđeno potpisom odgovorne osobe tužitelja te kao takvo obvezuje tužitelja u pravnom smislu. Ističe kako prema odredbi članka 32. Opće uredbe o zaštiti podataka za utvrđenje povrede nije odlučno da li je došlo do „curenja“ osobnih podataka iz sustava voditelja obrade već da li je voditelj obrade implementirao odgovarajuće mjere sigurnosti u odnosu na elemente iz članka 32. Opće uredbe o zaštiti podataka. Ističe da kod tužitelja postoji visoki rizik u smislu obveze provođenja procjene učinaka, te da predmetna obrada osobnih podataka ispitanika od strane tužitelja predstavlja čak i visoki rizik što dodatno govori o potrebi poduzimanja odgovarajućih mjera zaštite koje moraju biti na visokoj razini. Smatra kako voditelji obrade moraju napraviti sve što je u njihovoj moći da maksimalno preveniraju u skladu s razumnim mogućnostima povrede osobnih podataka ili da ih svedu na najmanji mogući rizik u s skladu s navedenim.

4.2. Nadalje navodi kako mjere zaštite koje je implementirao tužitelj nisu odgovarajuće, naime tužitelj kako navodi nije implementirao SIEM sustav koji na temelju prikupljenih sistemskih zapisa (tzv. logova) s različitih sustava u stvarnom vremenu omogućava detekciju, analizu, korelaciju i pohranjivanje relevantnih sigurnosnih događaja zabilježenih u računalnom sustavu te alarmiranje ovlaštenih osoba zaduženih za sigurnost informacijskih sustava o pristupu većim količinama osobnih podataka iz baze. Ističe kako dodjela ovlaštenja za korištenje prijenosne memorije ne može zadovoljiti standarde zaštite visoko rizičnih obrada iz razloga što kontroli ovlaštenja treba pristupati i na tehničkoj razini u svakom zasebnom slučaju te da bi korištenje USB prijenosne memorije trebalo štiti na način da korištenje takvih memorija imaju propisani ovlaštenici, ali isključivo u onim situacijama kada je to nužno u poslovne svrhe, a što se kako navodi moglo kontrolirati putem osporavane mjere utvrđene u osporenom aktu. Nadalje ističe da činjenica da je neki zaposlenik super administrator ne znači da takva osoba može neopaženi i nenadzirano pristupati bazi podataka bez odgovarajućih zaštitnih mjera. Ističe kao je bilo potrebno implementirati sustav nadzora i nad radom super administratora čija uloga bi se trebala svesti na obavljanje poslova administracije sustava sa maksimalnim ovlaštenjima, ali uz kontrolu po uzoru na pravni standard provjera i ravnoteža. Navodi kako se tuženik nije bavio implementiranom mjerom slanja obavijesti kada se putem elektroničke pošte obrađuju osobni podaci, već u odnosu na ostale komponente sustava, a koje nisu bile nadzirane. Ističe kako niti jedna od mjera koje navodi tužitelj nije mogla prikupiti te analizirati sistemske zapise svih komponenti sustava/baze podataka tužitelja te alarmirati ovlaštene osobe za sigurnost informacijskog sustava u realnom vremenu po uočenim anomalijama sustava, a što je kako navodi u odnosu na opisane rizike od predmetne obrade osobnih podataka izravno dovelo do kršenja odredbi članak 32. Opće uredbe o zaštiti podataka.

4.3. U svezi izricanja upravne novčane kazne ističe kao je glavni razlog izricanja u višestrukim povredama Opće uredbe za zaštitu osobnih podataka, a čije povrede leže upravo u srži temeljne djelatnosti tužitelja te je povredama obuhvaćen veliki broj ispitanika i iste su trajale od 25. svibnja 2018. godine. Pojašnjava razloge izricanja novčane kazne u drugim predmetima te navodi kako se prilikom odlučivanja o visini upravne novčane kazne uzimaju u obzir i prihodi voditelja obrade, a tužitelj kao dio grupacije na svjetskoj razini za relevantnu financijsku godinu je imao ukupne prihode od 267.576.965,48 eura. Zaključno navodi kao je primarni razlog za kažnjavanje tužitelja bio taj što tužitelj nije imao sigurnosni sustav pohrane osobnih podataka ispitanika, da je u potpunosti izgubio kontrolu kretanja nad osobnim podacima ispitanika te da ujedno nije bio sklopio ugovor s izvršiteljem obrade, čime je došlo do ugrožavanja sigurnosti osobnih podataka ispitanika. Navodi kako o navedenom svjedoči i činjenica kako je u tijeku nadzornog postupanja kod društva El Koncept pronašao datoteku koja sadrži 83896 OIB-ova ispitanika tužitelja i to nakon prestanka poslovnog odnosa između tužitelja i navedenog društva, a do čijeg pronalaska nije trebalo niti doći, jer je datoteka trebala biti izbrisana s elektroničkog sustava El Koncepta, a za što krivnju snosi tužitelj, jer je trebao prepoznati da se radi o odnosu voditelja i izvršitelja obrade i ugovorom jasno definirati između ostaloga da El Koncept obriše sve kopije osobnih podataka u svojim bazama nakon završetka predmetne poslovne suradnje. Time je kako navodi tuženik tužitelj izložio osobne podatke rizičnoj obradi putem elektroničke pošte kod navedenog društva bez da je postavio pitanje što se dalje radilo po osobnim podacima njegovih ispitanika.

5. Predlaže da Sud odbije tužbeni zahtjev.

6. U odnosu na navode tuženika tužitelj se očitovao podneskom od 4. prosinca 2023. i podneskom od 12. ožujka 2025., uz koji je dostavio sudsku praksu Suda Europske unije.

7. Sud je 4. travnja 2025., održao usmenu i javnu raspravu u prisutnosti opunomoćenika tužitelja i tuženika čime je u skladu s odredbom članka 6. Zakona o upravnim sporovima (Narodne novine, broj 36/24., dalje ZUS) dana mogućnost da se izjasne o zahtjevima i navodima drugih stranaka te o svim pitanjima koja su predmet ovog upravnog spora. Na navedenoj raspravi stranke spora u bitnome navode kao u tužbi, odnosno odgovoru na tužbu.

8. Na temelju razmatranja svih činjeničnih i pravnih pitanja Sud ocjenjuje da tužbeni zahtjev nije osnovan.

9. Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 94/56/EZ od 27. travnja 2016 (Službeni list Europske unije L119; u daljnjem tekstu: Opća uredba o zaštiti podataka ili skraćeno GDPR), u članku 4. stavku 1., definiran je pojam "osobni podaci", a što znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik”); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca.

9.1. "Obrada" znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje (članak 4. stavak 2. GDPR-a).

9.2. Uređujući načela obrade osobnih podataka, Opća uredba o zaštiti podataka, u članku 5. stavku 1., propisuje da osobni podaci moraju biti: (a) zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika („zakonitost, poštenost i transparentnost”); (b) prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama; daljnja obrada u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe, u skladu s člankom 89. stavkom 1. ne smatra se neusklađenom s prvotnim svrhama („ograničavanje svrhe”); (c) primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju („smanjenje količine podataka”); (d) točni i prema potrebi ažurni; mora se poduzeti svaka razumna mjera radi osiguravanja da se osobni podaci koji nisu točni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili isprave („točnost”); (e) čuvani u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju; osobni podaci mogu se pohraniti na dulja razdoblja ako će se osobni podaci obrađivati isključivo u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe u skladu s člankom 89. stavkom 1., a što podliježe provedbi primjerenih tehničkih i organizacijskih mjera propisanih tom uredbom radi zaštite prava i sloboda ispitanika („ograničenje pohrane”); (f) obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera („cjelovitost i povjerljivost”).

9.3. Člankom 6. stavkom 1. Opće uredbe o zaštiti podataka propisano je da je obrada zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećeg: a) ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha, b) obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora, c) obrada je nužna radi poštovanja pravnih obveza voditelja obrade, d) obrada je nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe, e) obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade, f) obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.

9.4. Informacije koje voditelj obrade u trenutku prikupljanja osobnih podataka treba dostaviti ako se ti podaci prikupljaju od ispitanika propisani su člankom 13. Opće uredbe o zaštiti podataka.

9.5. Prema odredbi članka 25. stavka 1. Opće uredbe o zaštiti podataka uzimajući u obzir najnovija dostignuća, trošak provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca koji proizlaze iz obrade podataka, voditelj obrade, i u vrijeme određivanja sredstava obrade i u vrijeme same obrade, provodi odgovarajuće tehničke i organizacijske mjere, poput pseudonimizacije, za omogućavanje učinkovite primjene načela zaštite podataka, kao što je smanjenje količine podataka, te uključenje zaštitnih mjera u obradu kako bi se ispunili zahtjevi iz te Uredbe i zaštitila prava ispitanika. Prema stavku 2. toga članka Voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kojima se osigurava da integriranim načinom budu obrađeni samo osobni podaci koji su nužni za svaku posebnu svrhu obrade. Ta se obveza primjenjuje na količinu prikupljenih osobnih podataka, opseg njihove obrade, razdoblje pohrane i njihovu dostupnost. Točnije, takvim se mjerama osigurava da osobni podaci nisu automatski, bez intervencije pojedinca, dostupni neograničenom broju pojedinca.

9.6. Uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, uključujući prema potrebi: pseudonimizaciju i enkripciju osobnih podataka i d) proces za redovno testiranje, ocjenjivanje i procjenjivanje učinkovitosti tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade (članak 32. stavak 1. točka a) i d) Opće uredbe o zaštiti podataka).

10. Prema podacima spisa proizlazi da je tuženik 2. prosinca 2022., zaprimio anonimnu predstavku u kojoj se navodi da je došlo do neovlaštene obrade većeg broja osobnih podataka fizičkih osoba (dužnika) od strane tužitelja. Predstavci je prilože USB stick na kojem se nalaze osobni podaci većeg broja fizičkih osoba u strukturi ime i prezime, datum rođenja te OIB, a koji su imali nepodmireno dugovanje prema kreditnim institucijama koje je temeljem ugovora o cesiji otkupio tužitelj. Isto tako, u predmetnoj predstavci navedeno je kako je potrebno provesti hitan nadzor te da ostaje nerazjašnjeno pod kojim uvjetima i okolnostima se materijaliziralo neovlašteno odavanje osobnih podataka izrazito velikog broja ispitanika (77.317 redova zapisa o fizičkim osobama) pa da stoga postoji visok rizik za prava i slobode dužnika i drugih osoba.

11. Po zaprimljenoj prijavi, tuženik je prove nadzorno postupanje nad tužiteljem o čemu je i sastavljen zapisnik KLASA: 042-03/22-01/109, URBROJ: 567-12/09-22-04 od 19. prosinca 2022. U pogledu točke 1. izreke osporenoga rješenja utvrđeno je kako voditelj obrade nije na jasan i točan način informirao svoje ispitanike o obradi njihovih osobnih podataka putem obavijesti o obradi osobnih podataka (politike privatnosti), a u pogledu pravne osnove kod povrata preplaćenih sredstava, čime je došlo do netransparentne obrade osobnih podatka ispitanika, odnosno pogrešnog informiranja u pogledu pravne osnove obrade iz članka 6. stavka 1. Opće uredbe o zaštiti podataka, kojih je u trenutku provođenja nadzora bilo (najmanje) 13.2652, a politika privatnosti ostala je nepromijenjena te povreda nije otklonjena, odnosno ista traje od 25. svibnja 2018., što je sve protivno odredbi članka 13. stavka 1. Opće uredbe o zaštiti podataka. Naime uvidom u sadržaj politike privatnosti utvrđeno je kako dijelu podnaslova pod nazivom: "Koja je pravna osnova za obradu Vaših podataka?" navedeno, između ostaloga kako tužitelj obrađuje osobne podatke ispitanika na temelju više pravnih osnova, a ovisno od svrhe u kojoj se podaci obrađuju te da je u dijelu pravne osnove zaštite ključnih interesa fizičkih osoba navedeno kako se ista koristi kod vraćanja pretplaćenih sredstava. Tuženik je zaključio kako se navedena pravna osnova može koristiti samo u slučaju zaštite vitalnih interesa ispitanika koji dovode u pitanje očuvanje života ispitanika, a što ne uključuje zaštitu imovine kod povrata sredstava ili financijsku stabilnost (Izjava br. 46. uz normativni dio teksta Opće uredbe o zaštiti podataka).

12. Nadalje je pogledu točke 2. točke izreke osporenoga rješenja utvrđeno, kako voditelj obrade nije sklopio ugovor o obradi osobnih podataka s izvršiteljem obrade za uslugu praćenja jednostavnog stečaja potrošača tj. s društvom El Koncept d.o.o. Naime utvrđeno je da je tužitelj angažirajući navedeno društvo u svrhu praćenja promjena kod javno dostupnih izvora o fizičkim osobama – ispitanicima tužitelja u tu svrhu u više navrata od 14. veljače 2019., slao datoteke s popisima OIB-ova koje je bilo potrebno pratiti te je društvo El Koncept "obogaćivalo" podatke putem svojih sustava i dostavljalo obavijest tužitelju uz popis OIB-ova, a nakon završenog pretraživanja. Navedeno je društvo aktivno pratilo promjene podataka na bazi javnih izvora, a u svrhu praćenja promjena za usluge jednostavnog stečaja potrošača te radi namirenja potraživanja, a što nije vrha obrade vezana uz poslovanje društva El Koncept d.o.o., te je navedeno društvo obrađivalo takve podatke u ime i za račun tužitelja. Prema ocjeni tuženika glavna poluga kod određivanja svrhe i sredstava obrade je bila u rukama tužitelja te je društvo El Koncept bilo zaduženo za samo svojevrsnu tehničku uslugu praćenja javno dostupnih podataka i na temelju istih "obogaćivanja" podataka fizičkih osoba, a što odgovara definiciji izvršitelja iz članka 4. stavka 1. točke 8. Opće uredbe o zaštiti podataka. Smatra kako se tu radilo o tehničkim metodama obrade osobnih podataka, a ne o sredstvima obrade te je utvrđeno kako se u predmetnom slučaju radilo o odnosu voditelj te izvršitelj obrade. Prema ocjeni tuženika tužitelj je takvim načinom postupanja povrijedio odredbu članka 28. stavak 3. Opće uredbe o zaštiti podatka i time ugrozio sigurnost osobnih podataka velikog broja ispitanika. Tuženik smatra da je tužitelj u tom pogledu trebao sklopiti Ugovor koji mora imati obvezne sastojke iz članka 28. stavka 3. Uredbe, a da Opći uvjeti poslovanja na koje se poziva tužitelj su samo načelno regulirali pitanja korištenja portala Fininfo te se ne odnose na usluge praćenja jednostavnog stečaja potrošača i istima se ne definiraju pitanja vezana uz određivanje svrhe sredstava obrade osobnih podataka u pogledu ispitanika tužitelja.

13. Također je u točki 3. izreke osporenoga rješenja utvrđeno kako voditelj obrade nije poduzimao odgovarajuće tehničke i organizacijske mjere zaštite kod obrade osobnih podataka, što je protivno članku 32. stavku 1. točke b) i d) i stavku 2. Opće uredbe o zaštiti podataka. Naime, u postupku je utvrđeno da je voditelj obrade podataka propustio dizajnirati sustav na način da implementira softversko rješenje koje će izvijestiti odgovornu osobu ustava kada netko od zaposlenika ili trećih osoba na USB port radne stanice/računala u vlasništvu tužitelja spoji vanjsku prijenosnu memoriju, a s ciljem prevencije možebitnog neovlaštenog snimanja datoteka sa sadržanim osobnim podacima ispitanika ili zbog prevencije od mogućeg širenja datoteke sadržane na istoj USB prijenosnoj memoriji. Utvrđeno je kako se izvještaji (s osobnim podacima ispitanika) generiraju u okviru DWH i Artron sutava štite na način da je propisano da se isti pohranjuju u štićene mape dok je također utvrđeno kako je internim organizacijskim mjerama propisano kako je zabranjeno pohranjivati osjetljive dokumente na lokalne diskove koji nisu zaštićeni putem sustava DLP. Također je utvrđeno kako je uspostavljeni sustav MDM (Mobile Device Menager) koji funkcionira na način da štiti od neovlaštene obrade podataka putem mobilnih uređaja te sustav Acive Directory koji blokira uporabu USB prijenosne memorije na računalima na kojima je onemogućena mogućnost korištenja USB-a (u koje mjere zaštite nisu uključeni računala voditelja odjela, članova uprave te osobe koje su dobile zbog poslovnih potreba pravo korištenja USB prijenosne memorije na računalima zaposlenika). U postupku je zatraženo da tužitelj dostavi sistemske zapise (logove) iz kojih proizlazi kako su u trenutku nadzora od 14. prosinca 2022. zabilježene radnje AB kao super administratora računalnog sustava tužitelja unutar sustava SQL Server Management Studio te ostalih zaposlenika u obliku tko je pristupao sustavu, bazi podataka, i što je tko radio na bazi podataka te sistemske zapise o aktivnostima pohranjenih datoteka u Excel formatu iz baze podataka tužitelja na USB prijenosni medij koji je predan u tijeku nadzora. Tužitelj je na zatraženo dostavio izliste sistemskih zapisa (logova) iz sustava Artron i DWH za zaposlenike koji su sudjelovali nadzoru te tužitelj na višekratno traženje nije dostavio izliste sistemskih zapisa (logova) iz sustava SQL Server Management Studio za zaposlenika AB kao niti sistemski zapis o pohrani Excel datoteke na USB prijenosni medij ovlaštenih osoba tuženika.

13.1. Tuženik je zaključio kako s obzirom na opseg, odnosno količinu osobnih podataka ispitanika, broj voditelja obrade koje imaju ovlaštenja pristupa osobnih podacima ispitanika te postojeće predvidive rizike, tužitelj je trebao imati implementiranu tehničku mjeru nadzora sustava kao npr. SIEM (Security Inforamtion end Event Management) za prikupljanje, normalizaciju i automatiziranu analizu sigurnosnih događaja i logova s različitih uređaja u stvarnom vremenu te da se u istom po potrebi može podesiti i slanje notifikacije za potencijalno opasne događaje. Propustom implementiranja rješenja i dizajniranja sustava onemogućeno je nepoznatom počinitelju pristup osobnih podacima i izvoz istih van sustava bez da su te radnje uočene i o tome obaviještene odgovoren osobe unutar voditelja obrade. Tuženik je u postupku također uočio da je baza podataka sa svim OIB-ovima pronađena na adresi elektroničke pošte zaposlenice te je bila pohranjena na lokalnom računalu izvan svih zaštitnih alarma sustava koji to nisu detektirali. Ovo posljednje prema ocjeni tuženika upravo upućuje na ozbiljnost povrede tužitelja te je zaključak kako očito niti jedna mjera koju je tužitelj primijenio nije mogla prikupiti te analizirati sistemske zapise svih komponenti sustava/baze podataka tužitelja te alarmirati ovlaštene osobe za sigurnost informacijskog sustava u realnom vremenu po uočenim anomalijama sustava, a što je dovelo do kršenja odredbi članka 32. Opće uredbe o zaštiti podataka.

14. Tuženik je nadalje ocijenio neosnovanim negiranje tužitelja da su osobni podaci izuzeti iz njihovog sustava pohrane te navođenje da tim osobnim podacima raspolažu i druga tijela javne uprave. Naime, prema ocjeni tuženika podatak da je određena osoba u dužničko-vjerovničkom odnosu upravo s tužiteljem uz ostale osobne podatke, nema evidentiranih ni u jednom sustavu pohrane kod drugih institucija, osim u sustavu tužitelja.

15. U odnosu na izrečenu kaznu odnosno visinu iste tuženik se pozvao na odredbe članka 83. stavka 5. Opće uredbe o zaštiti podataka, te je prilikom odmjeravanja iste uzeo u obzir sve okolnosti slučaja, a naročito višestruke povrede koje su učinjene to od strane jedne od vodećih kompanija u području naplate potraživanja, a kojim povredama je i obuhvaćen veliki broj ispitanika, kao i trajanje povrede od 25. svibnja 2018.

16. S obzirom na sve naprijed navedeno, imajući u vidu opsežno i detaljno provedeni postupak nadzora u kojem je saslušano više svjedoka, a koji postupak je dodatno potkrepljen dokumentacijom koja prileži spisu, pravilno je prema ocjeni ovoga suda postupio tuženik u predmetnom slučaju te s obzirom na utvrđene nepravilnosti zakonito ocijenio kako je kod tuženika zbog manjkavosti u sustavu sigurnosti došlo je do nesigurne obrade osobnih podataka velikim brojem ispitanika. Također valja napomenuti da sklapanje ugovora s izvršiteljem obrade jedna od svojevrsnih sigurnosnih poluga koja osigurava da su jasno ugovorena pravila obrade osobnih podataka, njihov tijek u poslovnom odnosu između voditelja i izvršitelja obrade te kako bi se voditelj obrade osigurao da izvršitelj obrade zadovoljava tehničke i organizacijske mjere zaštite kod obrade osobnih podataka velikog broja ispitanika pa ne sklapanje takvog ugovora je kako to i pravilno navodi tuženik učinjena povreda odrede članka 28. stavka 3. Opće uredbe o zaštiti podataka.

16.1. Nadalje, u predmetnom se slučaju radi o kršenju većeg broja odredbi Opće uredbe o zaštiti podataka i to od strane tužitelja kao jednog od vodećih kompanija u području naplate potraživanja, a koja kako prema ocijeni tuženika tako i ovog Suda nije smjela dopustiti da obrađuje osobne podatke velikog broja ispitanika na netransparentan i nesiguran način. Tuženik se pravilno pozvao i citirao zakonske odredbe te je na temelju pravilno utvrđenog činjeničnog stanja iste pravilno i primijenio na konkretan slučaj. Također s obzirom na to da se radi i osobnim podacima koji su pohranjeni u sustavima agencije za naplatu potraživanja, a koji su financijske prirode i isti su i prilično osjetljivi, a povreda je i trajala u dužem vremenskom razdoblju, a sve zbog nepoduzimanja odgovarajućih mjera zaštite, čime su učinjene povrede koje su osnovano dovele do izricanja novčane kazne.

17. U odnosu na odmjeravanje kazne, ovaj sud je stava da je tuženik razmotrio sve parametre prilikom odmjeravanje iste i pravilno je obrazložio sve elemente za izricanje iste. Naime, prema odredbi članka 83. Opće uredbe o zaštiti podataka svako nadzorno tijelo osigurava da je izricanje upravnih novčanih kazni u skladu s ovim člankom u pogledu kršenja te uredbe iz stavaka 4., 5. i 6. u svakom pojedinačnom slučaju učinkovito, proporcionalno i odvraćajuće (stavak 1.); upravne novčane kazne izriču se uz mjere ili umjesto mjera iz članka 58. stavka 2. točaka od (a) do (h) i članka 58. stavka 2. točke (j), ovisno o okolnostima svakog pojedinog slučaja, s time da se pri odlučivanju o izricanju upravne novčane kazne i odlučivanju o iznosu te upravne novčane kazne u svakom pojedinom slučaju dužna pozornost posvećuje sljedećem: (a) prirodi, težini i trajanju kršenja, uzimajući u obzir narav, opseg i svrhu obrade o kojoj je riječ kao i broj ispitanika i razinu štete koju su pretrpjeli; (b) ima li kršenje obilježje namjere ili nepažnje; (c) svakoj radnji koju je voditelj obrade ili izvršitelj obrade poduzeo kako bi ublažio štetu koju su pretrpjeli ispitanici, (d) stupnju odgovornosti voditelja obrade ili izvršitelja obrade uzimajući u obzir tehničke i organizacijske mjere koje su primijenili u skladu s člancima 25. i 32., (e) svim relevantnim prijašnjim kršenjima voditelja obrade ili izvršitelja obrade, (f) stupnju suradnje s nadzornim tijelom kako bi se otklonilo kršenje i ublažili mogući štetni učinci tog kršenja, (g) kategorijama osobnih podataka na koje kršenje utječe, (h) načinu na koji je nadzorno tijelo doznalo za kršenje, osobito je li i u kojoj mjeri voditelj obrade ili izvršitelj obrade izvijestio o kršenju, (i) ako su protiv dotičnog voditelja obrade ili izvršitelja obrade u vezi s istim predmetom prethodno izrečene mjere iz članka 58. stavka 2., poštovanju tih mjera, (j) poštovanju odobrenih kodeksa ponašanja u skladu s člankom 40. ili odobrenih mehanizama certificiranja u skladu s člankom 42. i (k) svim ostalim otegotnim ili olakotnim čimbenicima koji su primjenjivi na okolnosti slučaja, kao što su financijska dobit ostvarena kršenjem ili gubici izbjegnuti, izravno ili neizravno, tim kršenjem (stavak 2.).

17.1. U skladu s odredbom članka 83. stavka 3. Opće uredbe o zaštiti podataka ako voditelj obrade ili izvršitelj obrade za istu ili povezane obrade namjerno ili iz nepažnje prekrši nekoliko odredaba ove Uredbe ukupan iznos novčane kazne ne smije biti veći od administrativnog iznosa utvrđenog za najteže kršenje.

17.2. Člankom 83. stavkom 4. Opće uredbe o zaštiti podataka propisano je da se za kršenja sljedećih odredaba, u skladu sa stavkom 2., mogu izreći upravne novčane kazne u iznosu do 10000000 EUR, ili u slučaju poduzetnika do 2 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće: (a) obveza voditelja obrade i izvršitelja obrade u skladu s člancima 8., 11., od 25. do 39., te 42. i 43.; (b) obveza certifikacijskog tijela u skladu s člancima 42. i 43. i (c) obveza tijela za praćenje u skladu s člankom 41.stavkom 4., dok je stavkom 5. toga članka propisano da za kršenja sljedećih odredaba, u skladu sa stavkom 2.a, mogu se izreći upravne novčane kazne u iznosu do 20000000 EUR, ili u slučaju poduzetnika do 4 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće: (a) osnovnih načela za obradu, što uključuje uvjete privole u skladu s člancima 5., 6., 7. i 9., (b) prava ispitanika u skladu s člancima od 12. do 22., (c) prijenosa osobnih podataka primatelju u trećoj zemlji ili međunarodnoj organizaciji u skladu s člancima od 44. do 49., (d) svih obveza u skladu s pravom države članice donesenim na temelju poglavlja IX. i (e) nepoštovanja naredbe ili privremenog ili trajnog ograničenje obrade ili suspenzije protoka podataka nadzornog tijela u skladu s člankom 58. stavkom 2. ili uskraćivanje pristupa kršenjem članka 58. stavka 1.

18. Sud s obzirom na sve navedeno ocjenjuje se da je tuženik prilikom određivanja iznosa novčane kazne posvetio dužnu pažnju popisu okolnosti koje se odnose na obilježja kršenja (njegovu ozbiljnost) te smatra da je konačni iznos novčane kazne učinkovit, proporcionalan i odvraćajući i ista nije veća od zakonskog maksimuma predviđenog odredbom članka 83. stavak 4. do 6. Opće uredbe o zaštiti podataka. Tuženik je također uzeo u obzir prirodu, težinu i trajanju kršenja kao i narav, opseg i svrhu obrade, broj ispitanika, zatim ima li kršenje obilježje namjere ili nepažnje te je sve pravilno i za ovaj sud prihvatljivo obrazložio. Isto tako prema ocjeni suda tuženik je mogao s obzirom na trajanje kršenja (od 2018. godine) istom kod odmjeravanje kazne pridati veću važnost, jer što kršenje duže traje to je veća važnost koju tuženik može pridati tom čimbeniku. Voditelj obrade najveći stupanj odgovornosti snosi zbog nepoduzimanja tehničkih mjera zaštite, budući da je upravo zbog manjkavosti u takvom sustavu sigurnosti došlo do nesigurne obrade većeg broja osobnih podataka, a koja bi bila i nastavljena da tuženik nije upozoren na to anonimnom prijavom. Tužitelj je izgubio potpuni nadzor nad kretanjem osobnih podataka njihovih ispitanika te tijekom postupka nije mogao objasniti uzroke neovlaštenog izvlačenja osobnih podataka. Sud ocjenjuje da je tuženik prilikom odmjeravanja kazne uzeo u obzir sve otegotne ali i olakotne okolnosti pri izboru vrste i težine kazne, a koje su opisane u rješenju, odnosno visine izrečene upravne novčane kazne.

19. Sud ocjenjuje neosnovanim navod tužitelja kako ukupni godišnji promet poduzetnika ne bi trebao biti automatizmom uzet u obzir prilikom određivanja stvarne kazne. Naime u konkretnom slučaju tužitelj je tuženiku u odnosu na utvrđenje prihoda, dostavio razne interne dokumente koji se odnose na sustave korporativne sigurnosti, organizaciju rada, obradu osobnih podataka, a koji su dobiveni od B2 Holding Grupe iz kojih proizlazi da u svim bitnijim poslovnim stvarima tužitelj dobiva jasne upute od grupacije i kojih se je obvezan pridržavati te na koje ne može utjecati svojim samostalnim odlukama i stoga je bitna okolnost da navedena grupacija ima odlučujući utjecaj na poslovanje. Ovime proizlazi da je tuženik uzimajući u obzir između ostaloga i promet poduzetnika kao jedan od relevantnih elemenata koji je pokazatelj veličine i gospodarske snage poduzetnika i u tom dijelu sagledao sve čimbenike u svrhu određivanja iznose konkretne novčane kazne te je ispitao njezinu učinkovitost, odvraćanje i proporcionalnost. Također se napominje tužitelju u svezi dostavljene prakse Suda Europske unije u odnosu na postupanje nadzornih tijela u drugim državama, da se svaki slučaj povrede osobnih podataka i izricanja kazne radi povrede, ocjenjuje zasebno i da su okolnosti konkretnog slučaja odlučujuće u donošenju odluke od strane upravnog tijela. Naime nadzorno tijelo ispituje sve čimbenika u odnosu na činjenice slučaja u cjelini i kontekstu okolnosti konkretnog slučaja i na temelju te analize utvrđuje povrede i iznos novčane kazne koji se izračunava na temelju konkretne ocjene svakog pojedinačnog slučaja i u skladu s parametrima propisanim Općom uredbom za zaštitu podataka.

20. Stoga Sud ocjenjuje da razlozi rješavanje upravne stvari u dijelu izbora vrste i težine kazne imaju uporište u činjenicama utvrđenim tijekom postupka te logično i racionalno utemeljenje u mjerodavnom materijalnom propisu. Ocjena je ovog suda da se tuženik, suprotno navodima tužitelja, detaljno očitovao o svim navodima te iznio dostatne i valjane razloge bitne za odlučivanje u postupku radi zaštite osobnih podataka. Naime, tuženik je u iscrpnom obrazloženju svog rješenja odgovorio na sve navode tužitelja, a koje tužitelj iznosi i u tužbi. Stoga Sud u cijelosti prihvaća obrazloženje tuženika i osporenim rješenjem nije povrijeđen zakon na štetu tužitelja.

21. Trebalo je stoga na temelju odredbe članka 116. stavka 1. ZUS-a, odlučiti kao u točki I izreke.

22. Točkom II izreke odbijen je zahtjev za nadoknadu troškova upravnog spora pozivom na odredbu članka 147. ZUS-a.

U Zagrebu, 29. travnja 2025.

Sutkinja:

Meri Dominis Herman

Uputa o pravnom lijeku:

Protiv ove presude dopuštena je žalba Visokom upravnom sudu Republike Hrvatske. Žalba se podnosi putem ovog suda u dovoljnom broju primjeraka za sud i sve stranke u sporu, u roku od 15 dana od dana dostave presude.

DNA:

1. Odvjetnica Dina Čeliković, Zagreb, Ilica 1,

2. Agencija za zaštitu osobnih podataka, Zagreb, Ulica grada Vukovara 54

3.U spis