UsI-1615/2023-16
REPUBLIKA HRVATSKA
UPRAVNI SUD U SPLITU
Split, Put Supavla 1
U I M E R E P U B L I K E H R V A T S K E
P R E S U D A
Upravni sud u Splitu, po sucu toga suda Silviu Čoviću, sucu pojedincu, te Milki Škaro Grozdanić, zapisničarki, u upravnom sporu tužitelja „Hattrick-PSK“ d. o. o. (OIB: 92265244213) sa sjedištem u [adresa], zastupanog po opunomoćenicima, odvjetnicima u Odvjetničkom društvu „Kovačević, Prpić & Simeunović“ d. o. o. iz Zagreba, Trg žrtava fašizama 6, protiv tužene Agencije za zaštitu osobnih podataka, Zagreb, Selska cesta 136, zastupane po ravnatelju DĆ, univ. mag. oec., a on po opunomoćenicima PĆ, CĆ i OĆ, zaposlenicima tužitelja, radi zaštite osobnih podataka, nakon neposredne i javne rasprave zaključene 28. studenoga 2024. u prisutnosti opunomoćenika stranaka, 30. prosinca 2024.,
p r e s u d i o j e
I. Odbija se tužbeni zahtjev za poništenjem rješenja tužene Agencije za zaštitu osobnih podataka KLASA: UP/I-034-01/23-01/13, URBROJ: 567-12/14-23- 01 od 15. svibnja 2023. kao neosnovan.
II. Odbija se zahtjev tužitelja za naknadom troškova upravnog spora kao neosnovan.
Obrazloženje
1. Tužitelj je pravovremeno 16. lipnja 2023. podnio ovom sudu tužbu, kojom je osporio zakonitost rješenja tužene KLASA: UP/I-034-01/23-01/13, URBROJ: 567- 12/14-23-01 od 15. svibnja 2023. zbog svih zakonskih razloga, bitne povrede postupka, pogrešne primjene materijalnog prava te pogrešno i nepotpuno utvrđenog činjeničnog stanja. Tvrdi da su mu tim rješenjem utvrđene povrede GDPR-a i izrečena upravna novčana kazna u iznosu od 380.000,00 eura/2.863.110,00 kuna.
1.1. Vezano za prvu povredu da je obrađivao osobne podatke u vidu preslika bankovnih kartica ispitanika, a za čiju obradu nije dokazana pravna osnova čime je povrijedio članak 6. stavak 1. Uredbe, istaknuo je da je tužena to obrazložila da opisana obrada preslika bankovnih kartica nije bila nužna za ispunjenje ugovora o sudjelovanju u igri između ispitanika (igrača) i njega kao voditelja obrade i priređivača igre na sreću klađenjem, a s obzirom na to da je riječ o samo jednoj od opcija isplate dobitka s korisničkog računa koji je ispitanik stekao na temelju ugovora o sudjelovanju u igri. Tvrdi da je tužena stajališta da obrada nije nužna radi poštivanja zakonskih obveza koje proizlaze iz Zakona o sprječavanju pranja novca, a budući da se dubinska analiza ispitanika može provesti i bez prikupljanja obostranih preslika bankovnih kartica. Smatra da su bila ispunjena oba taksativno navedena uvjeta iz članka 6. stavka 1. GDPR-a za obradu osobnih podataka i da je postojala valjana pravna osnova obrade osobnih podataka. Istaknuo je da je obrada podatka bankovnih kartica bila nužna za izvršavanje ugovora o sudjelovanju u igri na sreću klađenjem i to za isplatu dobitaka putem usluge VISA brze isplate, a u cilju provjere podataka vezano za aktiviranje te usluge brze isplate i to kada se pri redovnoj kontroli poslovanja i usklađenosti utvrdi da igrač pokušava izvršiti isplatu na karticu kojoj nije nositelj i zbog provjere podudarnosti podataka pri isplati velikih iznosa. S tim u vezi tvrdi da nije sporno da su on i ispitanici sklopili ugovor o sudjelovanju u igri na sreću i da su oni zatražili korištenje usluge VISA brze isplate koju je on odobrio, da je on tu uslugu i izvršio te da taj način nije nejasna kategorija, već da je riječ o opciji isplate koju su ugovorili on i igrač ugovorom o sudjelovanju u igri. Smatra da pritom nije bitno je li način isplate izrijekom sadržan u ugovoru o sudjelovanju u igri ili je u tom pogledu sklopljen zaseban ugovor (koji je smatra mogao biti sklopljen i usmeno, prešutno konkludentnim radnjama ili na drugi zakonom dopušten način. To ako se osobito uzme u obzir da je člankom GDPR-a pojašnjeno da bi se obrada osobnih podataka trebala smatrati zakonitom ako je potrebna u kontekstu ugovora ili namjere sklapanja ugovora. Tvrdi i da nije sporno da su ispitanici htjeli i zatražili uslugu VISA brze isplate, da ju je on odobrio i kao takvu izvršio, a što znači da je ugovor sklopljen i konzumiran. U tom dijelu je pojasnio da se ugovor o sudjelovanju u igri sklapa putem prihvaćanja Pravila igre na sreću klađenje Hattrick – PSK d. o. o., a na koja je Ministarstvo financija dalo suglasnost KLASA: UP/I- 461-04/22-02/322, URBROJ: 513-07-21-01-22-02 od 9. kolovoza 2022. (u daljnjem tekstu: Pravila igre). Tvrdi da je to jedini pravni temelj za sklapanje ugovora o sudjelovanju igara na sreću, da se ugovor sklapa na temelju prihvaćanja odredbi Pravila igre po slobodno izraženoj volji igraća i da se taj ugovor smatra sklopljenim u trenutku zaključenja oklade, odnosno uplatom listića (članak 4. Pravila igre). Istaknuo je i da je Pravilima igre, u članku 24., propisano da se ugovorene isplate dobitaka mogu, vršiti i putem kreditnih kartica i da priređivač zadržava pravo provjeriti imena i prezimena na virtualnom račun i kreditnoj kartici igrača; da se tim pravilima ne razrađuju detaljno svaki način isplate dobitka, a ako se uzme u obzir osobito da se ti načini isplate učestalo i ubrzano mijenjaju kao posljedica razvoja informatičkih usluga i tržišta igara na sreću koja se učestalo mijenjaju. S druge strane, tužitelj smatra i da je obrada podataka bankovnih kartica bila nužna i radi poštivanja pravnih obveza voditelja obrade. Istaknuo je da je bio dužan (osim na temelju ugovora o igri na sreću) prikupljati i obrađivati navedene podatke iz bankovnih kartica ispitanika, igrača i zbog provjere podudarnosti podataka pri isplati velikih iznosa u cilju provedbe mjere dubinske analize, a što, ocjenjuje, znači da je obrada bila nužna radi poštivanja pravnih obveza voditelja obrade iz Zakona o igrama na sreću i Zakona o sprječavanju pranja novca i financiranja terorizma. Svoje stajalište je utemeljio na odredbama člana 15. stavka 1. točke 4., članka 16. stavka 1. točke 4., članka 20. stavka 8., članka 21. i 65. Zakona o igrama na sreću. U tom dijelu je zaključio da je bio dužan utvrditi osobu kojoj je namijenjena transakcija (što se smatra ne može utvrditi samo osobnim dokumentom, već uvidom u bankovnu karticu na koju je igrač namijenio isplatiti dobitke od igara na sreću), da je pogrešna ocjena tužene da se dubinska analiza ispitanika može provesti i bez prikupljanja preslike (djelomično zatamnjenih) bankovnih kartica i da zakon o igrama na sreću nema elemenata koji bi ukazivali na postojanje pravne obveze prikupljanja i pohranjivanja preslike bankovnih kartica.
1.2. Glede druge utvrđene povrede da, kao voditelj obrade, nije na adekvatan način obavijestilo ispitanike o obradi osobnih podataka, odnosno o obradi podataka sadržanim na preslikama bankovnih kartica, a čime je navodno povrijedio odredbe članka 13. stavka 1. i 2. Uredbe, tvrdi da je tuženik u obrazloženju suštinski ocijenio da njegova politika privatnosti, izjava o mjerama zaštite osobnih podataka i standardizirana obavijest igračima ne sadrži dostatne informacije o pravnoj osnovi i svrsi te obrade (članak 13. stavak 1. točka c) Uredbe) i razdoblje čuvanja i pohranjivanja podataka iz preslikanih bankovnih kartica (članak 13. stavak 2. točka a) Uredbe). Tvrdi upravo suprotno, da je on navedenim aktima obavijestio ispitanike o obradi osobnih podataka iz preslikanih bankovnih kartica, da su pravna osnova i svrha obrade osobnih podataka propisani u odjeljku 2. Pravila o privatnosti, gdje je, u točki 2.1., propisano da on obrađuje osobne podatke igrača u cilju pružanja usluge igara na sreću organiziranih na mjestima prodaje i da je pravna osnova za takvu obradu izvršavanje ugovora (odnosno pružanje usluga igara na sreću) kojeg je ispitanik ugovorna strana i gdje je, u točki 2.2., propisano da se ti podatci obrađuju u cilju usklađenosti s obvezama određenim posebnim zakonodavstvom koje se na njega primjenjuje, a osobito Zakonom o sprječavanju pranja novca i financiranja terorizma, Zakonom o igrama na sreću, Zakonom o računovodstvu i Općim poreznim zakonom. Vezano za razdoblje pohranjivanja prikupljenih osobnih podataka, istaknuo je da je Pravilima o privatnosti određeno da će se ti podatci obrađivati za razdoblje trajanja ugovora a u situaciji obrade radi ispunjavanja zakonskih obveza voditelja obrade za razdoblje određeno pojedinim zakonodavstvom, ali ne dulje od 11 godina od godine u kojoj je došlo do prestanka ugovornog odnosa. S tim u vezi tvrdi da je donio Politiku o zadržavanju i brisanju podataka s Matricom zadržavanja u prilogu koji sadrže naznaku da se podaci igrača koji se obrađuju čuvaju 10 godina. Zaključio je da je tužena pogrešno utvrdila činjenično stanje u tom dijelu, da je poštivao odredbe članka 13. stavka 1. i 2. Uredbe vezano za isticanje pravne osnove, svrhe i razdoblja pohranjivanja osobnih podataka ispitanika, igrača i da je posljedično tomu pogrešno primijenio i materijalno pravo.
1.3. Vezano za treću utvrđenu mu povredu, koja se, prema ocjeni tužene, sastoji u tomu da je, kao voditelj obrade, pri kreiranju novog poslovnog procesa za uslugu brze isplate na VISA bankovnu karticu nije implementiralo odgovarajuće tehničke i organizacijske mjere, čime je povrijedio odredbe članka 25. stavak 1. i 2. Opće uredbe o zaštiti podataka, ali i četvrtu povredu da on, kao voditelj obrade, nije primjenjivao tehničku mjeru enkripcije na osobne podatke ispitanika pohranjene u bazama podataka voditelja obrade te da on nije redovno procjenjivao učinkovitosti tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade, a čime je povrijedio članak 32. stavak 1. toč. a) i d) Opće uredbe o zaštiti podataka, istaknuo je da je obveza enkripcije propisana u određenoj mjeri internim aktom, da je izvan ovlasti i djelokruga nadzora tužene utvrđivati provodi li tužitelj dosljedno svoje interne obveze, da je taj nadzor ograničen na provedbu GDPR-a, da Uredba, u člancima 25. stavku 1. i članku 32. stavku 1., propisuje da je voditelj obrade dužan provoditi odgovarajuće mjere tehničke i organizacijske mjere uključivši i enkripciju za ograničavanje učinkovite primjene načela zaštite osobnih podataka i prema potrebi. Smatra da je tužena arbitrarno i proizvoljno ocijenila da je on bio dužan provoditi mjeru enkripcije i da je on propustio primijeniti i minimalne tehničke mjere i ograničenje pristupa; da je ona bila dužna utvrditi je li u svakom pojedinom predmetu i s obzirom na osobite okolnosti konkretne upravne stvari bio dužan procijeniti jesu li poduzete tehničke i organizacijske mjere odgovarajuće u smislu zaštite osobnih podataka, da je tužena propustila, rješavajući upravnu stvar, uzeti u obzir cjelokupni kontekst tehničkih i organizacijskih mjesta koje je on provodio u trenutku nadzora (a koje su uključivale i enkripciju u situaciji prijenosa) i koje su u njihovoj ukupnosti i uz nedostatke nekih dodatnih razina enkripcije bile odgovarajuće u smislu GDPR-a. Smatra da je arbitrarna i netočna tvrdnja da on nije primjenjivao ni minimalne tehničke mjere i ograničenja pristupa osobnim podacima. U tom dijelu je istaknuo i da je pristup tim podacima bio omogućen samo iz korporativne mreže tužitelja i to samo ovlaštenim osobama, zaposlenicima koji su za to imali posebno odobrenje, da je pristup bio omogućen na razini Aktivnog direktorija i razini same mape (foldera) u kojoj se nalaze datoteke te da ja za pristup bilo nužno imati aktivnog korisnika unutar Aktivnog direktorija i lozinku s kojom se taj isti korisnik spaja u domenu/računalo. Tvrdi i da politika izmjene lozinki nije dopuštalo korištenje iste lozinke dulje od 90 dana, da su se sva neaktivna računala automatski zaključavala prema standardu s ciljem onemogućavanja proboja u njegov sustav, da je sva komunikacija i da su svi podaci pohranjeni na sustavu pohrane kriptirani s SSL/(TLS enkripcijom kao i s certifikatima koje je izdao Odjel, a kojem pristup imaju samo ovlaštene osobe unutar IT odjela. Glede provođenja mjera ograničenja fizičkog pristupa podacima pohranjenima u sjedištu tužitelja, istaknuo je da su samo ovlašteni zaposlenici IT sektora imali pristup pohrani i da se oprema nalazila pod sigurnosnom bravom i aktivnim video nadzorom, da se oprema nalazila unutar zaključanog ormara kojem su imali pristup samo zaposlenici IT sektora, da pristup samoj zgradi sjedišta tužitelja ograničen samo na osobe s pametnom karticom, koja se odvojeno očitava na dva mjesta unutar zgrade, da je cijeli vanjski prostor pod dodatnom odvojenim video nadzorom i da kontrolu nadzora vrši osoba zaposlenik, kontrolor. U tom dijelu se tužitelj osobito osvrnuo i na zaključak tužene da on nije redovito provjeravao učinkovitost implementiranih tehničkih i organizacijskih mjera. Smatra takvo utvrđenje arbitrarnim i proturječnim sadržaju spisa predmeta i izvedenih dokaza, istaknuvši da tužena nije vodila računa o tomu da se navedene mjere kontroliraju, preispituju i ažuriraju prema potrebi, a ne redovito, da Uredba ne propisuje i da je on, kao voditelj obrade, bio dužan propisati procese procjene tehničkih i organizacijskih mjera te da tužena nije konkretizirala u čemu se sastoji detaljnije propisivanje procesa procjene učinkovitosti tehničkih i organizacijskih mjera. Ocijenio je i da je ona u analiziranom dijelu pod točkama 3. i 4. izreke osporene odluke prekršila odredbe članka 8. i 98. stavka 5. ZUP- a i temeljna načela upravnog postupka među kojima i načelo utvrđivanja materijalne istine.
1.4. Najzad, vezano za izrečenu novčanu kaznu, tužitelj je istaknuo da je, prema članku 83. stavku 1. Uredbe, nadzorno tijelo, tužena bila dužna osigurati da izricanje upravnih novčanih kazni u svakom pojedinom predmetu bude učinkovito, proporcionalno i odvraćajuće, da je ona bila dužna dosljedno razmotriti i primijeniti kriterije određivanja visine kazne, da u konkretnom predmetu ispitanici nisu pretrpjeli ikakvu štetu, da je to utvrdila i tužena tijekom nadzora, pogrešno ocijenivši da nije riječ o olakotnoj okolnosti, da se upravo ta okolnost trebala uzeti u obzir pri izboru vrste i težine sankcije, odnosno u cilju proporcionalnog i učinkovitog izricanja kazne, da je tužena trebala uzeti u obzir i okolnost da nije zaprimio nijednu pritužbu ispitanika čiji podaci su se obrađivali u cilju korištenja usluga VISA brze isplate, da je mali broj zaposlenika koji imaju pristup osobnim podacima koje je prikupio a koji su i vezani obvezama povjerljivosti i da je stoga vrlo mali rizik da bi došlo do ikakve povrede zaštite osobnih podataka te da je o svemu tomu tužena trebala voditi računa pri izricanju vrste i težine (novčane) kazne. Smatra da je trebalo svakako izreći blažu kaznu u kontekstu kratkotrajne primjene Uredbe i uzimajući u obzir njegovu suradnju s tuženom u cilju cjelovitije i jače zaštite osobnih podataka igrača.
1.5. Zaključio je da je tužena pogrešno utvrdila i postojanje grube nepažnje, s obzirom na to da Uredba takvu povredu ne spominje osim što razlikuje namjeru od nepažnje; da u osjetljivu kategoriju osobnih podataka ne ulaze i financijski podaci u smislu članka 9. Uredbe, da činjenicu da je riječ o financijskim podacima zbog toga nije mogla uzeti kao otegotnu okolnost pri izricanju novčane kazne; da je tužena pogrešno primijenila i kriterij proporcionalnosti, jer se svrha Uredbe mogla postići i primjenom blažih mjera; da je tužena propustila uzeti u obzir i da je riječ o eventualnom prvom propustu u primjeni Uredbe te da je svrha postignuta već samim nadzorom a ne i navedenom drakonskom kaznom. Smatra i da se tužena, pri određivanju vrste i težine sankcije/kazne, nije vodila ni Smjernicama Radne skupine iz članka 29. o primjeni i određivanju upravnih novčanih kazni za potrebe GDPR-a od 3. listopada 2017. Europskog odbora za zaštitu podataka i da je upitno koliko je (priznate) okolnosti u vidu stupanj odgovornosti nakon provedenog nadzora i stupanj suradnje s nadzornim tijelom tužena uistinu i suštinski uzela u obzir pri određivanju kazne. Stoga je zatražio poništiti osporeno rješenje.
2. Tužena je odgovorila na tužbu, predloživši odbiti tužbeni zahtjev zbog razloga navedenih u osporenom rješenju. Njime je točkom 1. izreke navedenog rješenja utvrđeno da je tužitelj obrađivalo osobne podatke u vidu preslika bankovnih kartica ispitanika, a za čiju obradu nije dokazana pravna osnova čime je povrijeđen članak 6. stavak 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 94/56/EZ od 27. travnja 2016 (Službeni list Europske unije L119; u daljnjem tekstu: Opća uredba o zaštiti podataka ili skraćeno GDPR); točkom 2. izreke je utvrđeno da on, kao voditelj obrade, nije na adekvatan način obavijestilo ispitanike o obradi osobnih podataka, odnosno o obradi podataka sadržanim na preslikama bankovnih kartica, čime je povrijeđen članak 13. stavak 1. i 2. Opće uredbe o zaštiti podataka; točkom 3. izreke je utvrđeno da tužitelj, kao voditelj obrade, pri kreiranju novoga poslovnog procesa za uslugu brze isplate na VISA bankovnu karticu nije implementiralo odgovarajuće tehničke i organizacijske mjere, čime je povrijedio odredbe članka 25. stavak 1. i 2. Opće uredbe o zaštiti podataka; točkom 4. izreke je utvrđeno da tužitelj, kao voditelj obrade, nije primjenjivalo tehničku mjeru enkripcije na osobne podatke ispitanika pohranjene u bazama podataka voditelja obrade te da on nije redovno procjenjivao učinkovitosti tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade, a čime je povrijeđen članak 32. stavak 1. toč. a) i d) Opće uredbe o zaštiti podataka, dok mu je, u točki 5. izreke, za kršenja GDPR-a opisanih u točkama 1. do 4. izreke, u skladu s odredbama članka 83. Opće uredbe o zaštiti podataka, izrečena upravna novčana kazna u iznosu od 380.000,00 eura/2.863.110,00 kuna, s time da će se, prema točki 6. izreke, ta kazna prisilno naplatiti prema propisima o prisilnoj naplati poreza u situaciji da tužitelj ju ne plati dobrovoljno u određenom roku od 15 dana od dana pravomoćnosti toga rješenja.
2.1. Vezano za prvu povredu istaknula je da se proces prikupljanja podataka potrebnih za verifikaciju bankovne kartice provodio tako da su zaposlenici u Odjelu korisničke podrške predmetnog voditelja obrade, nakon što zaprime poruku igrača sa zahtjevom aktiviranja navedene usluge, igraču odgovarali standardiziranom porukom u kojoj je priložen i slikovni prikaz/primjer bankovne kartice na kojoj je na prednjoj strani crnim pravokutnikom zatamnjen srednji dio niza brojeva bankovne kartice, dok je na stražnjoj strani crnim pravokutnikom zatamnjen CVV broj te da je sporno što je on, kao voditelj obrade, zatražio obostranu presliku fizičkog dokumenta i na kojima je sadržan veći broj osobnih podataka od onih koji su nužni za verifikaciju bankovne kartice. Smatra i obrazloženje o samostalnosti usluge brze isplate kao zasebnog ugovora neživotnim te da nisu prihvatljivi argumenti da su podaci iz bankovnih kartica prikupljani u cilju poštivanja obveza iz Zakona o sprječavanju pranja novca i financiranja terorizma, budući da su ti podaci prikupljani bez obzira na visinu iznosa isplate te budući da je on dubinsku analizu bio dužan provesti samo za uplate u iznos od 15.000,00 kuna i više.
2.2. U odnosu na drugu utvrđenu povredu i navod tužitelja da su ispitanici kombinacijom tri različita dokumenta upoznati sa svim relevantnim informacijama prema članku 13. Uredbe, istaknula je da je tužitelj bio dužan na jednostavan i lako razumljiv način njima pružiti sve informacije glede obrade osobnih podataka, da kombiniranjem informacija iz više izvora, a na koje ispitanik nije upućen kroz Politiku privatnosti s ciljem saznanja kako voditelj obrade vrši obradu osobnih podataka ne može zadovoljiti kriterije transparentnosti iz Uredbe, da je kršenje članka 13. stavka 1. i 2. Uredbe razvidno i iz Izjave o mjerama zaštite osobnih podataka, 4. odjeljka naziva Sigurnost plaćanja kreditnim karticama (koji akt čini dio Politike privatnosti) iz kojeg je razvidno da voditelj obrade ne pohranjuje brojeve bankovnih kartica te da iz Pravila o privatnosti nije pružena cjelovita informacija u odnosu na sveukupna utvrđenja vezano za obradu i zaštitu osobnih podataka.
2.3. Vezano za treću i četvrtu povredu, istaknula je da, iako je donesen akt kojima je predviđena mjera enkripcije u mirovanju u prijenosu za zaštitu financijskih podataka igrača, voditelj obrade tu mjeru nije proveo, da je tužitelj bio dužan analizirati rizike koji proizlaze iz konkretne obrade osobnih podataka i na temelju takve procjene odrediti i implementirati tehničke (odnose se na konkretnu tehnologiju i sigurnosne postupke koje voditelj obrade koristi) i organizacijske mjere (koje se odnose i na uspostavljanje politika i procedura za obradu podataka, obuku zaposlenika o pravilima zaštite podataka i utvrđivanje odgovornosti za obradu podataka unutar organizacije), da je on bio dužan provesti mjere koje je propisao internim aktom Information classification policy, da je on bio dužan redovito testirati, ocjenjivati i procjenjivati učinkovitost tehničkih i organizacijskih mjera za osiguranje sigurnosti obrade i s ciljem unaprijeđena normativnog okvira i radi utvrđenja jesu li osobni podaci ispitanika/igrača kriptirani, da on nije mogao obvezu prikupljanja smanjene količine podataka prenijeti na ispitanike, već je bio dužan uzeti u obzir rizike za prava i slobode pojedinaca koji proizlaze iz obrade podataka i najnovija tehnološka dostignuća i njihovom primjenom osigurati načelo prikupljanja smanjene količine podataka, odnosno podataka koji su nužni za postizanje svrhe obrade. Istaknula je i da je tijekom nadzora utvrđeno da je tužitelj pohranjivao obostrane preslike bankovnih kartica koje nisu na odgovarajući način bile zatamnjene, odnosno na njima je bio razvidan puni opseg podataka uključujući i sigurnosni CVV broj i cijeli broj bankovne kartice i da on nije primjenjivao enkripciju financijskih podataka u mirovanju ni pri prikupljanju, a koju mjere je on sam u internim aktu odredio kao zaštitnu mjeru po osnovi procjene učinaka na zaštitu podataka. S tim u vezi tvrdi i da je na 655 preslika bankovnih kartica na kojima je bio razvidan puni opseg podataka od ukupno prikupljenih 2078 kartica, a koje je očito voditelj sektora korisničkih operacija propustio prepoznati. Usprotivila se vještačenju po vještaku iz područja informatičke sigurnosti, s obzirom da su tijekom nadzora utvrđene sve bitne činjenice i da tumačenje odredbi Uredbe nije u nadležnosti vještaka i s obzirom na to da je aktom tužitelja bila predviđena zaštitna mjera enkripcije, ali da se ona u praksi nije provodila.
2.4. Glede izrečene novčane kazne, istaknula je da je riječ o kršenju zaštite osjetljivih podataka te da je ocijenila da blaže korektivne mjere ne bi bile dostatno učinkovite. Ocijenila je da je obrada imala za posljedicu visokorizičnu povredu trećine od ukupno obrađenih podataka, s obzirom na to da je iz trećine preslika bankovnih kartica bio razvidan puni opseg osobnih podataka te da je riječ o grubom kršenju Uredbe s obzirom da je obrada u svrhu isplate dobitaka osnovna djelatnost voditelja obrade. To i s obzirom na to da je riječ o voditelju obrade koji je imao sve preduvjete za pravovremeno implementiranje odgovarajućih mjera, s obzirom na značajan vremenski odmak od obvezujuće primjene Uredbe i veliki broj stručno educiranih osoba uključenih u obradu potaka i s ciljem generalnog odvraćanja od činjenja opisanih povreda zaštite osobnih podataka. Zaključno je u tom dijelu istaknula i da se proporcionalnost kazne očituje i u tomu da je on izrekao novčanu kaznu u iznosu od 380.000,00 eura, a koji iznos, tvrdi, čini 1,9% u odnosu na maksimalni iznos kazne koji je u konkretnom predmetu mogla, odnosno bila ovlaštena izreći. Tvrdi i da je u tom smislu uzeo u obzir i ponašanje samog tužitelja, koji je nakon nadzora proveo analizu cjelokupnog procesa, izvršio dodatna ulaganja u procesu plaćanja, tako da je sustav unaprijeđen uključujući da se od ispitanika više ne traži dostavljanje preslike bankovnih kartica, da je on obrisao sve pohranjene bankovne kartice, unaprijedio poslovne procese nadzora nad obradom osobnih podatka i educirao zaposlenike. Smatra da je uzeo u obzir sve otegotne ali i olakotne okolnosti pri izboru vrste i težine, odnosno visine (novčane) kazne.
3. Podneskom od 22. siječnja 2024. (list 130 do 138) tužitelj se očitovao na navode tužene iz odgovora na tužbu. Vezano za sam proces i svrhu prikupljanja preslika bankovnih kartica igrača, istaknuo je da nije precizan zaključak tuženika da je on morao provjeravati odgovara li bankovna kartica s koje se provodi uplata imenu i prezimenu na virtualnom računu, jer je on Pravilima igre zadržao pravo provjere istovjetnosti podataka bez obzira je li bila riječ o uplatnoj ili isplatnoj transakciji; da je on provjeravao uplatne transakcije, ali da ih nije verificirao, odnosno da nije postizao isti stupanj vjerojatnosti/sigurnosti istovjetnosti igrača i nositelja kartice pri uplatnim i isplatnim transakcijama; da su se kartice u postupku VISA brze isplate verificirale zato što nisu bile prethodno verificirane u cilju utvrđivanja istovjetnosti korisničkog računa i nositelja kartice; da se verifikacija kartice mogla izvršiti samo uvidom u preslike kartica bez obzira na to je li se kartica verificirala pri uplati ili isplati s obzirom na tadašnje tehničke mogućnosti te da nije točan navoda da je on, tražeći obostrano preslikavanje bankovne kartice, u biti, tražio dostavljanje većeg opsega podataka od onih koji su nužni za postupak njezinih verifikacija, budući da je slao igračima standardiziranu uputu putem elektroničke pošte da prekriju sve podatke na karticama koji nisu nužni za verifikaciju i da je to razvidno iz dokaza priloženih tijekom nadzora ali i zapisnika o nadzoru. Istaknuo je i da je pravilima igre općenito reguliran način uplate i isplate na virtualni korisnički račun igrača, ali ne i način konkretne isplate dobitka; da se ugovor o sudjelovanju u igri ne može smatrati izvršenim samo u situaciji isplate osvojenog dobitka, već i u slučaju isplate na virtualan račun igrača; da je ugovor o sudjelovanju u igri online izvršen u trenutku isplate na virtualan račun, a ne u trenutku unovčenja dobitka (što ide u prilog samostalnosti konkretnog načina isplate) te da je način isplate dobitka zaseban sporazum između igrača i njega koji se vremenom, razvojem informatičkih usluga i tržišta igara na sreću, učestalo mijenja (tvrdi i da je način isplate općenito reguliran u Pravilima igre).
3.1. Vezano za transparentnost obavijesti o obradi osobnih podataka, odnosno zaključak tuženika da kombiniranje informacija o tomu iz više izvora, a na koje ispitanik nije upućen kroz Politiku privatnosti i da to navodno ne zadovoljava zahtjeve i kriterije transparentnosti iz GDPR-a, istaknuo je da GDPR ni na koji način ne ograničava ili zabranjuje mogućnost da se obavijesti o obradi ispitanicima pruži kroz nekoliko različitih dokumenata, da je procjena voditelja obrade kako će najprikladnije obavijestiti o tom informacijama ispitanike, da takav zaključak tuženika, a u uvjetima kada se bolja transparentnost i dostupnost informacija postiže upravo slanjem standardiziranih obavijest i uputa (jer, tvrdi, malen broj igrača detaljno iščitava Politike privatnosti), nije životan i logičan.
3.2. Vezano za sigurnost obrade i navodne povrede članka 32. GDPR-a, istaknuo je da enkripcija nije isključiva odgovarajuća tehnička i organizacijska mjera, da prema GDPR-u nije bio dužan primjenjivati mjeru enkripcije (jer ona govori o provedbi te mjere po potrebi); da je provodio mjeru enkripcije pri prijenosu podataka, da je u procesima pohrane i centralnom sustavu primijenio najsuvremenije tehnološko- tehničke procese zaštite prema ITIL i SEM/SIEM standardima kao i ISO 27001 za sigurnost koji je u procesu implementacije od IT odjela; da je proveo sve mjere potrebne za održavanje sigurnosti infrastrukture svjedoče i rezultati penetracijskih izvješća provedenih 2020. koja su uključivala testiranje eksterne (vanjske) i interne (unutarnje) probojnosti sustava (tvrdi da je testiranje provelo strano društvo Gaming Associates Europ LTD) te da je provedeno ispitivanje potvrdio da je on provodio redovito različite tehničke mjere i da su rezultati istraživanja/testiranja pokazali da je njegova infrastruktura u vrijeme nadzora bila dostatno sigurna i da nije postojao veliki rizik od sigurnosnog incidenta u smislu Uredbe. Tvrdi i da je redovito provodio tjedne sastanke, nenajavljene kontrole procesa rada te informacije o provođenju radnih obveza, da je rukovoditelj sektora korisničkih operacija redovito utvrđivao je li postupanje zaposlenika bilo usklađeno s propisima.
4. U dokaznom postupku saslušani su svjedoci, zaposlenici tužitelja MĆ i ĐĆ na okolnost ne postojanja povreda kako su mu one činjenično stavljene na teret i postojanja valjanje pravne osnove za opisanu obradu osobnih podataka ispitanika, igrača. Saslušani su i svjedok ZĆ, koordinator smjene korisničke podrške na okolnost načina ugovaranja usluge VISA brze isplate, provođenja redovitih kontrola rada zaposlenika i na okolnost broja zaposlenika i mogućnosti zloupotrebe podataka. Saslušan je i svjedok FĆ, rukovoditelj Sektora informatike na okolnost provođenja mjera glede infrastrukture tužitelja i sigurnosti IT sustava. Čitan spis predmeta upravnog tijela KLASA: UP/I-034-01/23-
01/13 ali i cjelokupna ključna dokumentacija koje su stranke priložile uz tužbu i odgovor na tužbu te podneske tijekom spora a koja je sadržana i navedenom spisu upravnog tijela i bila raspoloživa tijekom nadzora.
4.1. Stranke nisu imale ikakvih drugih dokaznih prijedloga.
4.2. Tužitelj je podneskom od 19. travnja 2024., a što je, po opunomoćenicima, potvrdio i na ročištu od 26. travnja iste godine povukao prijedlog za izvođenjem dokaza vještačenjem po stalnom sudskom vještaku iz područja informatike i telekomunikacija, odnosno područja informacijske sigurnosti radi razjašnjenja je li tužitelj primijenio/primjenjivao odgovarajuće tehnološke (tehničke) i organizacijske mjere zaštite osobnih podataka igrača/ispitanika te je li redovito procjenjivao učinkovitost tehničkih mjera za osiguranje sigurnosti osobnih podataka.
5. Tužitelj je popisao troškove upravnog spora, dok tužena to nije učinila do zaključenja rasprave.
6. Ocjenom svakoga pojedinog dokaza i svih zajedno, a na temelju rezultata cjelokupnog dokaznog postupka, sud ocjenjuje da tužbeni zahtjev nije osnovan.
7. Predmet ovoga spora je ocjena zakonitosti odluka koje su donijete po službenoj dužnosti u postupku nadzora zaštite osobnih podataka fizičkih osoba, ispitanika, korisnika usluga priređivanja igara na sreću, a koje je organizirao tužitelj. O nadzoru je sačinjen zapisnik o nadzoru KLASA: 042-03/22- 01/99, URBROJ: 567- 12/09-22-07 od 25. studenog 2022 (u daljnjem tekstu: Zapisnik o nadzoru).
8. Pokazalo se spornim je li tužitelj počinio četiri povrede koje su činjenično opisane i pravno okvalificirane u točkama 1. do 4. izreke osporene odluke.
8.1. Pokazalo se spornim izvor vrste i težine izrečene kazne. Tužitelj je u tom dijelu osporio i visinu izrečene upravne novčane kazne.
9. Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 94/56/EZ od 27. travnja 2016 (Službeni list Europske unije L119; u daljnjem tekstu: Opća uredba o zaštiti podataka ili skraćeno GDPR, u članku 4. stavku 1., definiran je pojam "osobni podaci", a što znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik”); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca.
9.1. "Obrada" znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje (članak 4. stavak 2. GDPR-a).
9.2. Uređujući načela obrade osobnih podataka, Opća uredba o zaštiti podataka, u članku 5. stavku 1., propisuje da osobni podaci moraju biti: (a) zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika („zakonitost, poštenost i transparentnost”); (b) prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama; daljnja obrada u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe, u skladu s člankom 89. stavkom 1. ne smatra se neusklađenom s prvotnim svrhama („ograničavanje svrhe”); (c) primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju („smanjenje količine podataka”); (d) točni i prema potrebi ažurni; mora se poduzeti svaka razumna mjera radi osiguravanja da se osobni podaci koji nisu točni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili isprave („točnost”); (e) čuvani u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju; osobni podaci mogu se pohraniti na dulja razdoblja ako će se osobni podaci obrađivati isključivo u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe u skladu s člankom 89. stavkom 1., a što podliježe provedbi primjerenih tehničkih i organizacijskih mjera propisanih tom uredbom radi zaštite prava i sloboda ispitanika („ograničenje pohrane”); (f) obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera („cjelovitost i povjerljivost”).
9.3. Člankom 6. stavkom 1. Opće uredbe o zaštiti podataka propisano je da je obrada zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećeg: a) ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha, b) obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora, c) obrada je nužna radi poštovanja pravnih obveza voditelja obrade, d) obrada je nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe, e) obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade, f) obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.
9.4. Informacije koje voditelj obrade u trenutku prikupljanja osobnih podataka treba dostaviti ako se ti podaci prikupljaju od ispitanika propisani su člankom 13. Opće uredbe o zaštiti podataka.
9.5. Prema odredbi članka 25. stavka 1. Opće uredbe o zaštiti podataka uzimajući u obzir najnovija dostignuća, trošak provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca koji proizlaze iz obrade podataka, voditelj obrade, i u vrijeme određivanja sredstava obrade i u vrijeme same obrade, provodi odgovarajuće tehničke i organizacijske mjere, poput pseudonimizacije, za omogućavanje učinkovite primjene načela zaštite podataka, kao što je smanjenje količine podataka, te uključenje zaštitnih mjera u obradu kako bi se ispunili zahtjevi iz te Uredbe i zaštitila prava ispitanika. Prema stavku 2. toga članka Voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kojima se osigurava da integriranim načinom budu obrađeni samo osobni podaci koji su nužni za svaku posebnu svrhu obrade. Ta se obveza primjenjuje na količinu prikupljenih osobnih podataka, opseg njihove obrade, razdoblje pohrane i njihovu dostupnost. Točnije, takvim se mjerama osigurava da osobni podaci nisu automatski, bez intervencije pojedinca, dostupni neograničenom broju pojedinca.
9.6. Uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, uključujući prema potrebi: pseudonimizaciju i enkripciju osobnih podataka i d) proces za redovno testiranje, ocjenjivanje i procjenjivanje učinkovitosti tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade (članak 32. stavak 1. točka a) i d) Opće uredbe o zaštiti podataka).
10. Vezano za (ne)postojanje prve povrede, valja istaknuti sljedeće.
10.1. Iz Zapisnika o nadzoru proizlazi da je tužitelj, voditelj obrade proces prikupljanja podataka potrebnih za verifikaciju bankovne kartice provodio tako da su zaposlenici u Odjelu korisničke podrške, nakon što zaprime poruku igrača sa zahtjevom aktiviranja navedene usluge, igraču odgovarali standardiziranom porukom u kojoj je priložen i slikovni prikaz/primjer bankovne kartice na kojoj je na prednjoj strani crnim pravokutnikom zatamnjen srednji dio niza brojeva bankovne kartice, dok je na stražnjoj strani crnim pravokutnikom zatamnjen CVV broj te da je voditelj obrade zatražio obostranu presliku fizičkog dokumenta i na kojima je sadržan veći broj osobnih podataka od onih koji su nužni za verifikaciju bankovne kartice. Iz Zapisnika o nadzoru proizlazi i da je tužitelj u nadziranom razdoblju pohranio preslike identifikacijskih dokumenata za 27 igrača, preslike bankovnih kartica (VISA, MAESTRO, MASTERCARD) za 2078 igrača, od čega 52 bankovne kartice MAESTRO i MASTERCARD koje nisu podržane uslugom brze VISA isplate, a na 665 pohranjenih preslika bankovnih kartica je bio razvidan i verifikacijski broj bankovne kartice, koji je jedinstveni 3 ili 4-znamenkasti broj otisnut na kartici uz broj računa koji služi kao dokaz o fizičkom posjedovanju kartice u trenutku online kupnje kojim se smanjuje mogućnost prijevare. To je razvidno i iz sadržaja službene bilješke KLASA: 042-03/22-01/99, URBROJ:567-12/13-23-12 od 27. veljače 2023. koja je priložena spisu predmeta tužene.
10.1. Iznesena ključna činjenična utvrđenja iz Zapisnika o nadzoru su dostatno u suglasju i s iskazima svjedoka MĆ, ĐĆ (saslušani su na ročištu od 28. studenoga 2024. – list 920 do 924 spisa), ali i iskazima svjedoka ZĆ i FĆ koji su saslušani na ročištu od 26. travnja 2024. (list 896 do 900). Ti svjedoci su supstancijalno potvrdili ključne činjenice utvrđene tijekom postupka nadzora na temelju kojih je tužena zakonito zaključila da je tužitelj, voditelj obrade obrađivao osobne podatke na opisan način bez dokazane valjane pravne osnove i da je time povrijedio članak 6. stavak 1. Opće uredbe o zaštiti podataka.
10.2. Sud smatra i dostatno utvrđenim da opisana obrada preslika bankovnih kartica nije bila nužna za ispunjenje ugovora o sudjelovanju u igri između ispitanika (igrača) i njega kao voditelja obrade, priređivača igre na sreću klađenjem, a s obzirom na to da je riječ o samo jednoj od opcija isplate dobitka s korisničkog računa koji je ispitanik stekao na temelju ugovora o sudjelovanju u igri te s obzirom na to da je riječ o, u biti, opcionalnom načinu isplate dobitaka. Sud smatra i da opisana obrada nije vršena a niti je bila nužna radi poštivanja obveza koje proizlaze iz Zakona o sprječavanju pranja novca i financiranja terorizma („Narodne novine“, broj: 108/17., 39/19. i 151/22.), a budući da se dubinska analiza ispitanika mogla provesti i bez prikupljanja obostranih preslika bankovnih kartica. Naime, iz sadržaja Zapisnika o nadzoru proizlazi da su ti osobni podatci prikupljani i obrađivani bez obzira na visinu iznosa isplate te da je bila riječ o isplatama u manjim iznosima i to do par tisuća kuna (što je izrijekom potvrdio i svjedok ĐĆ u svom iskazu – list 923 spisa), za koje nisu ni proizlazile ikakve obveze tužitelja u vidu provođenja mjera, radnji i postupaka koje obveznici i nadležna državna tijela poduzimaju radi sprječavanja i otkrivanja pranja novca i financiranja terorizma te druge preventivne mjere u svrhu sprječavanja korištenja financijskoga sustava za pranje novca i financiranje terorizma.
10.3. Iznesene ključne činjenice iz Zapisnika o nadzoru su, u biti, potvrdili i saslušani svjedoci MĆ, ĐĆ, ZĆ i FĆ ako se potanko analizira sadržaj njihovih iskaza. Riječ o svjedocima koji su zaposlenici tužitelja i imaju neposredna saznanja o ključnim činjenicama osobito vezano za način prikupljanja i obradu spomenutih osobnih podataka igrača, visinu isplata dobitaka i da je usluga brze isplate putem Visa bankovnih kartica bila opcionalna ali ne i nužna za izvršavanje ugovora o igrama na sreću.
10.4. Stoga sud vjeruje Zapisniku o nadzoru kao objektivnom i vjerodostojnom dokazu, budući da je riječ o javnoj ispravi, budući da je njegov sadržaj dostatno u suglasju sa ostalim izvedenim pisanim dokazima i budući da je njegov sadržaj dostatno suglasan i sa iskazima spomenutih svjedoka (čiji su iskazi u tom dijelu i međusobno dostatno usuglašeni). Sud vjeruje Zapisniku o nadzoru u analiziranom dijelu u kontekstu i svih drugih ključnih činjenica utvrđenih tijekom nadzora koje tužitelj, u biti, nije ni osporio tijekom upravnog postupka te s obzirom na to da se tužbeni navodi u tom dijelu svode na općenito osporavanje činjeničnih utvrđenja ali i na iznošenje pravnih stajališta i ocjena koja nemaju logično i racionalno utemeljenje u mjerodavnom materijalnom propisu ali i u izvedenim dokazima.
11. Vezano za drugu utvrđenu povredu, valja istaknuti sljedeće.
11.1. Nije, u biti, sporno da je tužitelj, voditelj obrade ispitanicima informacije o obradi osobnih podataka pružio kroz akte Politika privatnosti i Izjave o mjerama zaštite osobnih podataka (koja čini dio Politike privatnosti) te kroz standardiziranu obavijest koju bi zaprimili prilikom traženja isplate na VISA bankovnu karticu. To su dijelom potvrdili i svjedoci ZĆ i MĆ u svojim iskazima.
11.2. Iz sadržaja Zapisnika o nadzoru proizlazi da navedena tri dokumenta nisu sadržavala informacije o pravnoj osnovi, svrsi, razdoblju pohrane preslika bankovnih kartica, a niti informacije o tomu je li pružanje preslika bankovnih kartica zakonska ili ugovorna obveza ili je riječ o uvjetu nužnom za sklapanje ugovora. Sud vjeruje Zapisniku o nadzoru u tom dijelu, budući da je riječ o javnoj ispravi, budući da je njegov sadržaj u suglasju sa tim internim aktima tužitelja te budući da suprotno ne proizlazi niti iz iskaza svjedoka ZĆ i MĆ, koje je tužitelj predložio saslušati.
11.3. U izloženom, a osobito uzimajući u obzir da je tužitelj kombinacijom tri različita općenita ali i informacijama o zaštiti osobnih podataka manjkavim dokumentima upoznavao igrače sa zaštitom i obradom osobnih podataka, sud smatra dostatno utvrđenim da je on počinio povredu iz članka 13. stavka 1. i 2. Opće uredbe o zaštiti podataka. Tužitelj je, naime, bio dužan jednostavno i na lako razumljiv način učiniti dostupnim cjelovite informacije glede obrade i zaštite osobnih podataka. Postupivši na opisani način tužitelj nije udovoljio zahtjevima transparentnosti i obvezi informiranja ispitanika o načinu obrade i zaštite osobnih podataka.
12. Glede (ne)postojanja treće i četvrte povrede, ističe se sljedeće.
12.1. Nije sporno da je tužitelj donio interni akt kojim je kao jednu od tehničkih mjera zaštite osobnih podataka predvidio i enkripciju u mirovanju u prijenosu za zaštitu financijskih podataka igrača.
12.2. Iz Zapisnika o nadzoru proizlazi da tužitelj normativno predviđenu mjeru enkripcije nije faktično proveo u mirovanju a ni pri prikupljanju podataka; da on, kao voditelj obrade, nije analizirao rizike koji proizlaze iz konkretne obrade osobnih podataka i na temelju takve procjene odredio a niti implementirao tehničke mjere (koje se odnose na konkretnu tehnologiju i korištene sigurnosne postupke) i organizacijske mjere (koje se odnose i na uspostavljanje politika i procedura za obradu podataka, obuku zaposlenika o pravilima zaštite podataka i utvrđivanje odgovornosti za obradu podataka unutar organizacije), da on nije proveo niti mjere koje je propisao internim aktom Information classification policy, da on nije redovito testirao, ocjenjivao i procjenjivao učinkovitost tehničkih i organizacijskih mjera za osiguranje sigurnosti obrade i s ciljem unaprijeđena normativnog okvira i radi utvrđenja jesu li osobni podaci ispitanika/igrača kriptirani. Iz njega proizlazi i da voditelj obrade, tužitelj nije implementirao odgovarajuće tehničke i organizacijske mjere s ciljem učinkovite zaštite osobnih podataka igrača, ispitanika; da se on, vezano za procese redovitog procjenjivanja učinkovitosti tehničkih i organizacijskih mjera a osiguravanje sigurnosti obrade vod voditelj obrade, oslanjao na obvezu koja proizlazi iz radno-pravne obveze neposrednih rukovoditelja da nadziru rad zaposlenika, a što obuhvaća i provođenje interne upute za zaposlenike voditelja obrade naziva „Proces isplate na VISA bankovne kartice", a kojom je propisano kako je potrebno obrisati nepropisno dostavljene preslike bankovnih kartica od strane ispitanika te da je on tijekom nadzora naveo da provodi tjedne kolegije, nenajavljene kontrole procesa rada te informacija o provođenju radnih obveza, a o čemu se ne sastavlja zapisnik ako nije došlo do povrede koju je nužno dokumentirati te da je rukovoditelj Sektora korisničkih operacija redovito ustanovljavao da je postupanje zaposlenika u vezi obrade osobnih podataka bilo usklađeno s propisima. Iz Zapisnika o nadzoru je razvidno i da voditelj obrade nije detaljnije uredio proces za redovito testiranje, ocjenjivanje i procjenjivanje učinkovitosti tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade te se oslonio na organizacijsku mjeru u vidu sistematizacije rada te postupak nadzora ispunjenja radnih obveza, a koje voditelj obrade nije izrijekom propisao internim aktima.
12.3. Da nije provođena tehnička mjera enkripcije ili pseudonimizacije ili neke druge odgovarajuće zamjenske mjere na osobne podatke igrača, ispitanika potvrdio je u svom iskazu i svjedok FĆ (saslušan na ročištu od 26. travnja 2024.), inače u vrijeme nadzora direktor za IT tehnologiju, odnosno rukovoditelj Sektora informatike u društvu tužitelja.
12.4. Svjedok FĆ je kazao i da je sustav sigurnosti i IT tehnologija kod tužitelja uspostavljena 2010.; da je taj sustav od tada do trenutka nadzora u primjeni i da je on redovito održavan; da su podaci osobni podatci igrača prilikom kreiranja korisničkih računa (riječ je o imenu, prezimenu i OIB [osobni identifikacijski broj]u) bili izravno pohranjeni u bazu podataka u okviru data centra; da ti podaci nisu pohranjivali u bazu podataka već su bili sadržane u tzv. Dijeljenim mapama na jednoj domeni koju su mogli pristupiti nekih 15-17 korisnika – zaposlenika. Bila je riječ o zaposlenicima Odjela korisničke podrške te Odjel za sprječavanje prijevare. Upitan, kazao je i da su sigurnosni korisnički pretinci gdje su dolazili e-mail poruke igrača s podacima (preslike bankovnih kartica) bili dostupni samo spomenutih 15 agenata korisničke podrške, da su podaci čuvani u okviru rješenja o oblaku, te da njemu nije mogao nitko drugi pristupiti; da su vršene interne edukacije koje su dijelom davane od ovlaštenih osoba unutar firme a da su jednom ili dva puta godišnje dolazili i posebno obučeni stručnjaci na tu temu; da nije bilo u njegovoj nadležnosti odrediti poslovne procese vezano za način zaprimanja bankovnih kartica od igrača, svi spomenuti zaštitni mehanizmi i mjere pa i u odnosu na dijeljenu mapu su bili uspostavljeni davno prije nadzora, uključujući i logo sustav te da sustav logova omogućuje provjeru i povijest radnji ovlaštenih osoba, zaposlenika, pa i u pogledu njegova pristupa i rada na svim aplikativnim domenama pa i mapi. Kazao je i da su vršili kontrole kroz sustav logo svaka 3 mjeseca, ali da nisu imali ikakav alarmni sustav, već bi to redovito činili u okviru redovitog tromjesečnog održavanja i provjera.
12.5. S obzirom na ovako izvedene dokaze i stanje spisa tužene sud smatra dostatno raspravljenim i utvrđenim i da tužitelj, voditelj obrade, pri kreiranju novoga poslovnog procesa za uslugu brze isplate na VISA bankovnu karticu nije implementirao odgovarajuće tehničke i organizacijske mjere, da nije primijenio tehničku mjeru enkripcije na osobne podatke ispitanika pohranjene u bazama podataka i da nije redovito procjenjivao učinkovitost tehničkih i organizacijskih mjera za osiguranje sigurnosti obrade te da je time počinio povrede članka 25. stavka 1. i 2. i članka 32. stavka 1. točke a) i d) Opće uredbe o zaštiti podataka. Sud vjeruje sadržaju Zapisnika o nadzoru kao objektivnom i vjerodostojnom dokazu u pogledu spornog, budući da je riječ o javnoj ispravi te budući da je njegov sadržaj dostatno suglasan ostalim pisanim dokazima. Potanko analizirajući dane iskaze može se zaključiti da je sadržaj Zapisnika o nadzoru u ključnim segmentima vezano za postojanje treće i četvrte povrede dostatno u suglasju i s kazivanjem svjedoka FĆ. Pritom, sud ne vjeruje preostalim dijelovima iskaza svjedoka FĆ koji su u koliziji sa sadržajem Zapisnika o nadzoru, s obzirom na to da on nije ostavio dojam kazivanja istine, budući da je njegov iskaz u dijelu kada je kazao da su implementirane odgovarajuće tehničke i organizacijske mjere te da su redovito vršene kontrole i procjene učinkovitosti tehničkih i organizacijskih mjera općenit te budući da je taj dio iskaza proturječan s onim što je opaženo tijekom nadzora vezano za način pohrane preslika bankovnih kartica i identifikacijskih isprava igrača, ispitanika. Naime, valja ponoviti da je tužena tijekom nadzora opazila da je tužitelj pohranio preslike identifikacijskih dokumenata za 27 igrača, da preslike bankovnih kartica za 2078 igrača, od čega 52 bankovne kartice MAESTRO i MASTERCARD koje nisu podržane uslugom brze VISA isplate, a da je na 665 pohranjenih preslika bankovnih kartica bio razvidan i verifikacijski broj bankovne kartice, koji je jedinstveni 3 ili 4-znamenkasti broj otisnut na kartici uz broj računa koji služi kao dokaz o fizičkom posjedovanju kartice u trenutku online kupnje kojim se smanjuje mogućnost prijevare. Suprotno onome što je utvrđeno tijekom nadzora u tom dijelu nije razvidno ni iz iskaza preostalih troje svjedoka, ZĆ, ĐĆ i MĆ. Štoviše, valja primijetiti i da neuvjerljivost kazivanja svjedoka FĆ je razvidan i iz dijela iskaza svjedoka MĆ, koji je izrijekom odgovorio: Nikad nitko nije sankcioniran za eventualnu povredu Propisa za zaštitu osobnih podataka. Nismo vodili evidenciju vezano za prijave korisnika, igrača vezano za eventualnu povredu osobnih podataka. Citirani dio iskaza svjedoka MĆ je upravo u suglasju s opaženim tijekom nadzora te sa sadržajem Zapisnika o nadzoru vezano za utvrđenje da tužitelj, voditelj obrade niti je implementirao odgovarajuće organizacijske mjere a niti je redovito procjenjivao učinkovitost tih mjera u cilju osiguranje sigurnosti obrade.
13. Glede izrečene novčane kazne, valja istaknuti sljedeće.
13.1. Prema regulaciji članka 83. Opće uredbo zaštiti podataka svako nadzorno tijelo osigurava da je izricanje upravnih novčanih kazni u skladu s ovim člankom u pogledu kršenja te uredbe iz stavaka 4., 5. i 6. u svakom pojedinačnom slučaju učinkovito, proporcionalno i odvraćajuće (stavak 1.); upravne novčane kazne izriču se uz mjere ili umjesto mjera iz članka 58. stavka 2. točaka od (a) do (h) i članka 58. stavka 2. točke (j), ovisno o okolnostima svakog pojedinog slučaja, s time da se pri odlučivanju o izricanju upravne novčane kazne i odlučivanju o iznosu te upravne novčane kazne u svakom pojedinom slučaju dužna pozornost posvećuje sljedećem: (a) prirodi, težini i trajanju kršenja, uzimajući u obzir narav, opseg i svrhu obrade o kojoj je riječ kao i broj ispitanika i razinu štete koju su pretrpjeli; (b) ima li kršenje obilježje namjere ili nepažnje; (c) svakoj radnji koju je voditelj obrade ili izvršitelj obrade poduzeo kako bi ublažio štetu koju su pretrpjeli ispitanici, (d) stupnju odgovornosti voditelja obrade ili izvršitelja obrade uzimajući u obzir tehničke i organizacijske mjere koje su primijenili u skladu s člancima 25. i 32., (e) svim relevantnim prijašnjim kršenjima voditelja obrade ili izvršitelja obrade, (f) stupnju suradnje s nadzornim tijelom kako bi se otklonilo kršenje i ublažili mogući štetni učinci tog kršenja, (g) kategorijama osobnih podataka na koje kršenje utječe, (h) načinu na koji je nadzorno tijelo doznalo za kršenje, osobito je li i u kojoj mjeri voditelj obrade ili izvršitelj obrade izvijestio o kršenju, (i) ako su protiv dotičnog voditelja obrade ili izvršitelja obrade u vezi s istim predmetom prethodno izrečene mjere iz članka 58. stavka 2., poštovanju tih mjera, (j) poštovanju odobrenih kodeksa ponašanja u skladu s člankom 40. ili odobrenih mehanizama certificiranja u skladu s člankom 42. i (k) svim ostalim otegotnim ili olakotnim čimbenicima koji su primjenjivi na okolnosti slučaja, kao što su financijska dobit ostvarena kršenjem ili gubici izbjegnuti, izravno ili neizravno, tim kršenjem (stavak 2.).
13.2. U skladu s odredbom članka 83. stavka 3. Opće uredbe o zaštiti podataka ako voditelj obrade ili izvršitelj obrade za istu ili povezane obrade namjerno ili iz nepažnje prekrši nekoliko odredaba ove Uredbe ukupan iznos novčane kazne ne smije biti veći od administrativnog iznosa utvrđenog za najteže kršenje.
13.3. Člankom 83. stavkom 4. Opće uredbe o zaštiti podataka propisano je da se za kršenja sljedećih odredaba, u skladu sa stavkom 2., mogu izreći upravne novčane kazne u iznosu do 10000000 EUR, ili u slučaju poduzetnika do 2 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće: (a) obveza voditelja obrade i izvršitelja obrade u skladu s člancima 8., 11., od 25. do 39., te 42. i 43.; (b) obveza certifikacijskog tijela u skladu s člancima 42. i 43. i (c) obveza tijela za praćenje u skladu s člankom 41.stavkom 4., dok je stavkom 5. toga članka propisano da za kršenja sljedećih odredaba, u skladu sa stavkom 2.a, mogu se izreći upravne novčane kazne u iznosu do 20000000 EUR, ili u slučaju poduzetnika do 4 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće: (a) osnovnih načela za obradu, što uključuje uvjete privole u skladu s člancima 5., 6., 7. i 9., (b) prava ispitanika u skladu s člancima od 12. do 22., (c) prijenosa osobnih podataka primatelju u trećoj zemlji ili međunarodnoj organizaciji u skladu s člancima od 44. do 49., (d) svih obveza u skladu s pravom države članice donesenim na temelju poglavlja IX. i (e) nepoštovanja naredbe ili privremenog ili trajnog ograničenje obrade ili suspenzije protoka podataka nadzornog tijela u skladu s člankom 58. stavkom 2. ili uskraćivanje pristupa kršenjem članka 58. stavka 1.
13.4. Razmatrajući potanko suprotstavljene navode stranaka može se zaključiti da ključne činjenice na kojima je utemeljen izbor vrste i težine (novčane) kazne nisu ni dvojbene, osim što je tužitelj ocijenio da se svrha kažnjavanja mogla postići i izricanjem samo korektivnih mjera ili blažom novčanom kaznom, budući da je surađivao s tuženom tijekom nadzora i budući da je nakon nadzora izmijenio i uskladio svoje postupanje u cilju učinkovite obrade, sigurnosti i zaštite osobnih podataka igrača, ispitanika. U tom dijelu tužitelj, u biti, nije osporio da je tužena pri izboru vrste i težine kazne uzela u obzir sve parametre i mjerila koja su propisana člankom 83. Opće uredbe o zaštiti podataka. On nije osporio ni visinu ukupnog godišnjeg prometa na svjetskoj razini u 2021. i da visina izrečene kazne čini 1,9% u odnosu na maksimalni iznos kazne koju je u konkretnom predmetu mogla, odnosno bila ovlaštena izreći.
13.5. Uzimajući u obzir osobito prirodu, težinu i trajanje kršenja, zatim prirodu, opseg i svrhu obrade, broj ispitanika, igrača, da je riječ o kršenju zaštite osjetljivih podataka, da je obrada imala za posljedicu visokorizičnu povredu trećine od ukupno obrađenih podataka, da je obrada u svrhu isplate dobitaka osnovna djelatnost voditelja obrade, da je riječ o voditelju obrade koji je imao sve preduvjete za pravovremeno implementiranje odgovarajućih mjera te uzimajući u obzir znatan vremenski odmak od obvezujuće primjene Opće uredbe o zaštiti podataka i veliki broj stručno educiranih osoba uključenih u obradu podatka, visinu godišnjeg prometa poduzetnika, tužitelja na svjetskoj razini u 2021., visinu izrečene upravne novčane kazne te zakonski maksimum zapriječene upravne novčane kazne i s aspekta generalne prevencije, sud ocjenjuje da je odluka tužene u analiziranom dijelu zakonita te valjano i podrobno obrazložena. Sud ocjenjuje i da razlozi rješavanje upravne stvari u dijelu izbora vrste i težine kazne imaju uporište u činjenicama utvrđenim tijekom postupka te logično i racionalno utemeljenje u mjerodavnom materijalnom propisu. Sud mora primijetiti i da je tužena, suprotno tvrdnji tužitelja, pri izvoru vrste i težine kazne, uzela u obzir njegovo ponašanje tijekom i nakon obavljenog nadzora osobito vodeći računa da je on nakon nadzora proveo analizu cjelokupnog procesa obrade osobnih podataka, izvršio dodatna ulaganja u procesu plaćanja i općenito poslovanja, tako da je sustav unaprijeđen uključujući da se od ispitanika više ne traži dostavljanje preslike bankovnih kartica, da je on obrisao sve pohranjene bankovne kartice, unaprijedio poslovne procese nadzora nad obradom osobnih podatka i educirao zaposlenike. Dakle, sud ocjenjuje da je tužena uzela u obzir sve otegotne ali i olakotne okolnosti pri izboru vrste i težine kazne, odnosno visine izrečene upravne novčane kazne.
14. U izloženom sud ocjenjuje da zakonito postupila tužena, kada je, nakon što je cjelovito i pravilno utvrdio pravo stanje stvari, pravilnom primjenom mjerodavnog materijalnog propisa, i ne počinivši ikakvu bitnu povredu postupka ili temeljno procesno načelo, utvrdila postojanje povreda zaštite osobnih podataka te mu za to izrekla upravnu novčanu kaznu u utvrđenoj visini. Suprotna pravna shvaćanja i ocjene koje je iznio tužitelj nemaju utemeljenje u mjerodavnom propisu ali ni uporišta u izvedenim dokazima. Osporena odluka je razumljiva i dostatno obrazložena, ona sadrži argumentirane i detaljne razloge rješavanje upravne stvari koji imaju uporišta u činjenicama utvrđenim tijekom postupka pa i one vezao za ocjenu navoda stranke.
15. Stoga, a budući da je osporena odluka zakonita i budući da nisu ostvareni ni razlozi ništavosti pojedinačne odluke iz članka 128. stavka 1. Zakona o općem upravnom postupku („Narodne novine“ broj: 47/09. i 110/21.) na koje se pazi po službenoj dužnosti, valjalo je, na temelju odredbe članka 116. stavka 1. Zakona o upravnim sporovima („Narodne novine“, broj: 36/24., u daljnjem tekstu: ZUS), odbiti tužbeni zahtjev kao neosnovan, odnosno presuditi kao točkom I. izreke.
16. Kako nije uspio u upravnom sporu, trebalo je, na temelju odredbi članka 148. stavka 1. i 4. u vezi s člankom 147. ZUS-a, odbiti tužiteljev zahtjev za naknadom troškova spora kao neosnovan, odnosno odlučiti kao pod točkom II. izreke.
U Splitu 30. prosinca 2024.
S U D A C
Silvio Čović
UPUTA O PRAVNOM LIJEKU:
Protiv ove presude dopuštena je žalba u roku 15 dana od dana primitka njezina pisanog otpravka, koja se podnosi pisano ovom sudu u dovoljnom broju primjeraka za sud i sve stranke u sporu za Visoki upravni sud Republike Hrvatske, s time da ona odgađa izvršenje pobijane presude (članak 126. stavak 1. i 6., članak 127. ZUS-a i članak 128. stavak 1. i 3. u vezi s člankom 148. stavkom 5. i 6. ZUS-a).
DNA:
- opunomoćenicima tužitelja, odvjetnicima u OD „Kovačević, Prpić & Simeunović“ d. o. o. iz Zagreba, Trg žrtava fašizama 6,
- tuženoj Agenciji za zaštitu osobnih podataka, Zagreb, Selska cesta 136, a spis upravnog tijela KLASA: UP/I-034-01/23-01/13 vratiti nakon pravomoćnosti presude,
- u spis.
