Poslovni broj: Usž-2440/2025-2

REPUBLIKA HRVATSKA

VISOKI UPRAVNI SUD REPUBLIKE HRVATSKE

Z A G R E B

Frankopanska 16

U  I M E  R E P U B L I K E  H R V A T S K E

P R E S U D A

Visoki upravni sud Republike Hrvatske u vijeću sastavljenom od sudaca toga suda Borisa Markovića, predsjednika vijeća, Blanše Turić i Željke Zrilić Ježek, članova vijeća te sudske savjetnice Tajane Šimunović, zapisničarke, u upravnom sporu tužitelja SECURITAS HRVATSKA d.o.o, Zagreb, Oreškovićeva 6n/2, OIB: 33679708526, kojeg zastupa opunomoćenik Neven Marić, odvjetnik u Odvjetničkom društvu Bradvica Marić Wahl Cesarec, Zagreb, Miramarska 24, protiv tuženika Agencije za zaštitu osobnih podataka Republike Hrvatske, Zagreb, Ulica grada Vukovara 54, radi prava na zaštitu osobnih podataka, odlučujući o žalbi tužitelja protiv presude Upravnog suda u Zagrebu, poslovni broj: Us l-779/2021-11 od 12. srpnja 2024., na sjednici vijeća održanoj 9. srpnja 2025.

p r e s u d i o  j e

Odbija se žalba tužitelja i potvrđuje se presuda Upravnog suda u Zagrebu, poslovni broj: Us l-779/2021-11 od 12. srpnja 2024.

Obrazloženje

1. Presudom Upravnog suda u Zagrebu odbijen je tužbeni zahtjev za poništenje rješenja Agencije za zaštitu osobnih podataka Republike Hrvatske, klasa: UP/I-041- 02/20-01/29, urbroj: 567-12/07-21-01 od 5. veljače 2021. Točkom II. izreke presude odbijen je zahtjev tužitelja za naknadom troškova upravnog spora.

2. Osporenim rješenjem tuženika od 5. veljače 2021. točkom I. utvrđuje se da je nepoduzimanjem odgovarajućih tehničkih mjera sigurnosti obrade osobnih podataka od strane tužitelja kao izvršitelja obrade, društva Kaufland Hrvatska k.d. kao voditelja obrade, protivno članku 32. stavku 1. točke b) i d) te stavku 2. i 4. Opće uredbe o zaštiti podataka, došlo do neovlaštene obrade osobnih podataka ispitanika ĆD iz [adresa] njihovom javnom objavom na društvenim mrežama i medijima. Točkom 2. rješenja tužitelju je za navedeno opisano kršenje u skladu s odredbama članka 83. stavka 2. i 4. točke a) Opće uredbe o zaštiti podataka izrečena upravna novčana kazna u iznosu od 487.500,00 kuna te mu je naloženo da novčanu kaznu plati u roku od 15 dana od pravomoćnosti tog rješenja, uz upozorenje da će se u suprotnom naplata provesti prisilnim putem.

3. Protiv označene presude tužitelj je podnio žalbu iz svih zakonom propisanih razloga. Prigovara što se prvostupanjski sud nije očitovao na tužiteljeve navode te smatra da presuda ne udovoljava standardima obrazložene odluke. Navodi da se protiv njega vodio upravni postupak koji ima sva obilježja kaznenog postupka, ističe analogiju postupka pred Agencijom za zaštitu tržišnog natjecanja i nastoji prikazati određene standarde koji su se trebali primijeniti i na postupak pred tuženikom. Smatra da kazna koja se izriče za povrede pravila tržišnog natjecanja kao i za povrede zaštite osobnih podataka ima kazneni karakter, a postupci koji dovode do izricanja tih kazni usporedivi su s odlukama o sumnji ili optužbi za kazneno djelo. Pozivajući se na odredbu članka 45. Zakona o provedbi Opće uredbe o zaštiti podataka ističe kako je tuženik pogrešno označio naziv upravnog akta kojim je riješio konkretnu upravnu stvar. Smatra da je tuženik povrijedio načelo saslušanja stranaka te pravila koja se odnose na vođenje ispitnog postupka kao i da je tuženik bio dužan provesti usmenu raspravu. Ističe da je tuženik postupak vodio na način da pribavljenu dokumentaciju i očitovanja od društva Kaufland nije dostavio tužitelju. Prigovara što je sud odbio dokazne prijedloge. Ističe prigovor promašene pasivne legitimacije te smatra da je postupak koji je pokrenut protiv tužitelja zapravo bio pokrenut protiv KD s obzirom da je izašao izvan okvira svojih radnih obveza. Ponavlja kako je poduzeo sve potrebne tehničke i organizacijske mjere te ujedno nastoji istaknuti razliku između navedenih mjera. Navodi kako nije bio uključen u početnu fazu uvođenja konkretnog procesa već je pristupio kao izvršitelj obrade postojećem sustavu u video-nadzoru koji je Kaufland kao voditelj obrade već organizirao u tehničkom smislu. Smatra da su prvostupanjski sud i tuženik pogrešno tužitelju stavili na teret nepoduzimanje odgovarajućih tehničkih mjera sigurnosti te poštivanje propisa i pridržavanje mjera koje ni na teorijskoj razini nisu njegova odgovornost. Ističe da tuženik u upravnom postupku nije dokazao koje su to radnje koje je tužitelj kao stručnjak propustio poduzeti odnosno nije dokazao da tužitelj nije postupao s pažnjom dobrog gospodarstvenika prilikom poduzimanja odgovarajućih tehničkih i organizacijskih mjera. Smatra nejasnim što voditelj obrade koji određuje svrhu i sredstva obrade, organizator je mjera sigurnosti obrade te koji treba dokazati usklađenost procesa obrade s odredbama Opće uredbe o zaštiti podataka nije uopće odgovoran, dok je izvršitelj obrade koji samo postupa po uputama voditelja obrade u cijelosti i primarno odgovoran za provođenje cjelokupnog procesa obrade i organiziranje mjera sigurnosti obrade. Smatra da je novčana kazna previsoko određena te da je predmetna povreda trajala samo nekoliko dana jer nije došlo do povrede u smislu nepoduzimanja mjera. Ističe kako je tuženik prilikom odmjeravanja visine novčane kazne pogrešno utvrdio otegotne okolnosti. Poziva se na praksu Europskog suda za ljudska prava te na određena pravna mišljenja. Predlaže da Sud preinači osporenu presudu, usvoji tužbeni zahtjev te poništi osporeno rješenje tuženika, podredno ukine presudu te predmet vrati prvostupanjskom sudu na ponovni postupak uz naknadu troškova postupka.

4. Tuženik u odgovoru na žalbu ističe da žalbene navode tužitelja osporava u cijelosti kao neosnovane. Navodi da presuda udovoljava standardima obrazložene odluke te ističe pravno neutemeljenim prigovore tužitelja kojima povlači paralele sa postupkom Agencije za zaštitu tržišnog natjecanja te tužiteljeve navode u pogledu pozivanja na kazneni postupak. Ističe da je u konkretnom slučaju u primjeni Zakon o općem upravnom postupku kao temeljni procesni zakon kojim je tuženik u potpunosti vezan te je u skladu s navedenim Zakonom proveo ispitni postupak te pisanim putem dao mogućnost tužitelju da se izjasni o svim relevantnim činjenicama i okolnostima. Vezano za tužiteljev prigovor o pogrešnoj pasivnoj legitimaciji ističe da je predmet postupka nepoduzimanje odgovarajućih tehničkih mjera sigurnosti obrade osobnih podataka od strane tužitelja. Tuženik u cijelosti ostaje kod citiranog rješenja i navoda iz njegovog obrazloženja te kod svih činjeničnih navoda, dokaza na ročištu i podnescima dostavljenim sudu tijekom vođenja upravnog spora te smatra da je prvostupanjski sud donio na zakonu osnovanu odluku. Predlaže da Sud odbije žalbu kao neosnovanu i potvrdi prvostupanjsku presudu.

5. Žalba nije osnovana.

6. Ispitujući osporenu presudu u granicama razloga navedenih u žalbi, pazeći na ništavost po službenoj dužnosti, sukladno odredbi članka 134. stavka 1. Zakona o upravnim sporovima (“Narodne novine“, broj: 36/24), ovaj Sud je utvrdio da ne postoje žalbeni razlozi radi kojih se presuda osporava.

7. Analizirajući podatke spisa predmeta, ovaj Sud prihvaća stajalište prvostupanjskog suda da je došlo do neovlaštene obrade osobnih podataka ispitanika ĆD njihovom javnom objavom na društvenim mrežama i u medijima, a do koje obrade je došlo nepoduzimanjem odgovarajućih tehničkih mjera sigurnosti obrade osobnih podataka od strane tužitelja kao izvršitelja obrade podataka protivno članku 32. stavku 1. točke b) i d) te stavku 2. i 4. Opće uredbe o zaštiti podataka (Uredba (EU) 2016/679, SL EU L119).

8. Članak 32. stavak 1. Opće uredbe o zaštiti podataka propisuje da uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, uključujući prema potrebi : b) sposobnost osiguravanja trajne povjerljivosti, cjelovitosti, dostupnosti i otpornosti sustava i usluga obrade i d) proces za redovito testiranje, ocjenjivanje i procjenjivanje učinkovitosti tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade. Stavak 2. istog članka propisuje da se prilikom procjene odgovarajuće razine sigurnosti u obzir posebno uzimaju rizici koje predstavlja obrada, posebno rizici od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja osobnih podataka ili neovlaštenog pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani. Stavkom 4. istog članka je propisano da voditelj obrade i izvršitelj obrade poduzimaju mjere kako bi osigurali da svaki pojedinac koji djeluje pod odgovornošću voditelja obrade ili izvršitelja obrade, a koji ima pristup osobnim podacima, ne obrađuje te podatke ako to nije prema uputama voditelja obrade, osim ako je to obvezan učiniti prema pravu Unije ili pravu države članice.

9. Iz podataka spisa predmeta proizlazi da je zaposlenik društva Securitas Hrvatska d.o.o. koje temeljem Okvirnog ugovora o pružanju usluga privatne zaštite od 1. travnja 2020. godine obavlja poslove tehničke i fizičke zaštite na lokaciji poslovnice br. 1430 u Vinkovcima društva Kaufland Hrvatska d.d, u razdoblju između 15. i 18. travnja 2020. snimio mobilnim uređajem video zapis učinjen 15. travnja 2020. s nadzornog ekrana te podijelio isti s trećom osobom, nakon čega je snimka dospjela na društvene mreže, a 18. travnja 2020. je objavljena i u medijima. Na predmetnom video zapisu zabilježen je ulazak odrasle muške osobe u trgovinu kojom prilikom je isti nakon uzimanja dezinficijensa za ruke kleknuo i prekrižio se. U tijeku nadzornog postupka Agencije utvrđeno je da se radi o ispitaniku ĆD iz [adresa].

10. Imajući u vidu utvrđeno činjenično stanje i mjerodavne odredbe Opće uredbe o zaštiti podataka proizlazi da je tužitelj kao izvršitelj obrade propustio provesti odgovarajuće tehničke mjere sigurnosti sukladno postojećim i predvidljivim rizicima, čime je postupio protivno odredbama Opće uredbe o zaštiti podataka, stoga je pravilno tuženik sukladno svojim ovlastima iz članka 58. stavka 2. Opće uredbe o zaštiti podataka izrekao tužitelju upravnu novčanu kaznu u iznosu od 487.500,00 kuna.

11. Iz navedenih razloga, pravna mišljenja i presude na koje se tužitelj poziva u žalbi ne mogu utjecati na drugačije rješenje ove upravne stvari, a prvostupanjski sud je prema ocjeni ovoga Suda, dostatno raspravio sve tvrdnje na kojima tužitelj temelji svoje zahtjeve i prigovore, te je utvrdio činjenice odlučne za prosudbu osnovanosti tužbenog zahtjeva. Slijedom svega navedenog, proizlazi da je prvostupanjski sud na utvrđene činjenice pravilno primijenio i protumačio materijalno pravo, te je za razloge odbijanja tužbenog zahtjeva tužitelja naveo pravno relevantne razloge koje prihvaća i ovaj Sud.

12. Nisu osnovani prigovori tužitelja u pogledu njegovog pozivanja na odredbe Zakona o kaznenom postupku. Naime, u konkretnom slučaju se ne može primijeniti navedeni Zakon jer se prilikom nadzornog postupanja i odlučivanja o mogućoj povredi prava na zaštitu osobnih podataka u procesnom smislu primjenjuje Zakon o općem upravnom postupku.

13. Iz podataka spisa predmeta proizlazi da je tuženik proveo ispitni postupak sukladno odredbama Zakona o općem upravnom postupku te je pisanim putem dana mogućnost tužitelja da se u postupku izjasni o svim relevantnim činjenicama i okolnostima. Stoga tužitelj neosnovano prigovara da mu nije omogućeno sudjelovanje u upravnom postupku te obzirom na to da su činjenice i dokazi prikupljeni zatraženim očitovanjem, u konkretnom slučaju suprotno žalbenim navodima tužitelja nije bilo nužno provesti usmenu raspravu u smislu članka 54. Zakona o općem upravnom postupku.

14. Na drukčije rješenje ove stvari ne utječe ni navod tužitelja kojeg je isticao u tužbi, o promašenoj pasivnoj legitimaciji. Naime, predmet ovog postupka jest propust tužitelja da u skladu s člankom 32. Opće uredbe o zaštiti podataka uspostavi odgovarajuće tehničke i organizacijske mjere sigurnosti obrade podataka. Zbog tog propusta došlo je do neovlaštene obrade i javne objave osobnih podataka od strane zaposlenika koji je postupao pod tužiteljevom odgovornošću i imao pristup podacima. Stoga je novčana kazna izrečena tužitelju za navedeni propust u osiguranju mjera, a ne za samu radnju obrade koju je proveo zaposlenik.

15. Nadalje, vezano za žalbeni navod tužitelja kojim osporava trajanje kršenja obveza glede provedbe tehničkih mjera, ističe se da je tuženik pravilno utvrdio da s obzirom da se Opća uredba o zaštiti podataka obvezujuće primjenjuje u svim državama članicama od 25. svibnja 2018. kršenje obveze tužitelja glede provedbe odgovarajućih tehničkih mjera sigurnosti obrade osobnih podataka traje od 25. svibnja 2018. i dalje odnosno dvije i pol godine jer tužitelj i nakon spornog incidenta nije implementirao odgovarajuće tehničke mjere zaštite kako bi se rizici sveli na najmanju moguću mjeru te spriječili slični incidenti.

16. Tuženik je sukladno ovlastima iz članka 58. stavka 2. Opće uredbe o zaštiti podataka, nakon razmatranja svih okolnosti i kriterija propisanih odredbom članka 83. stavka 2. navedene Uredbe uključujući otegotne okolnosti izrekao upravnu novčanu kaznu koja je učinkovita i proporcionalna. Naime, odluka tuženika je donesena u skladu s propisima i pravilno obrazložena, zbog čega prigovori tužitelja u vezi s određenom upravnom novčanom kaznom i njezinom visinom nisu osnovani.

17. Uzimajući u obzir da sukladno članku 49. stavku 4. Zakona o upravnim sporovima, sud nije vezan dokaznim prijedlozima stranaka, a kako su pravno relevantne činjenice za donošenje odluke u cijelosti utvrđene iz dokumentacije koja se nalazi u spisu tuženika, ovaj Sud ne nalazi povrede postupka na koje se tužitelj poziva u žalbi.

18. Prema ocjeni ovoga Suda, suprotno navodima tužitelja proizlazi da je prvostupanjska presuda sačinjena na način kako je to propisano odredbom članka 119. stavka 5. Zakona o upravnim sporovima te se ne može ocijeniti osnovanim navod tužitelja da prvostupanjski sud nije obrazložio razloge za svoju odluku i odgovorio na prigovore tužitelja iz tužbe.

19. Iz svega navedenog proizlazi da je prvostupanjski sud na činjenice utvrđene u predmetnom upravnom postupku pravilno primijenio i protumačio materijalno pravo te ovaj Sud nalazi da se navodi žalbe koji su u bitnome istovjetni navodima tužbe, ne mogu ocijeniti osnovanim i od utjecaja na drukčije rješenje predmetne upravne stvari.

20. Trebalo je stoga na temelju odredbe članka 135. stavka 1. Zakona o upravnim sporovima odlučiti kao u izreci presude.

21. Budući da tužitelj nije uspio u upravnom sporu, pravilno je na temelju odredbe članka 147. stavka 1. Zakona o upravnim sporovima odbijen njegov zahtjev za naknadu troškova upravnog spora.

U Zagrebu, 9. srpnja 2025.

Predsjednik vijeća

Boris Marković