Poslovni broj: Usž-3671/2025-2
REPUBLIKA HRVATSKA
VISOKI UPRAVNI SUD REPUBLIKE HRVATSKE
ZAGREB
Frankopanska 16
U IME REPUBLIKE HRVATSKE
PRESUDA
Visoki upravni sud Republike Hrvatske u vijeću sastavljenom od sudaca tog suda Blanše Turić , predsjednice vijeća , Borisa Markovića i Željke Zrilić Ježek , članova vijeća te sudske savjetnice Tajane Šimunović , zapisničarke , u upravnom sporu tužitelja PAX ET BONUM doo , Kaštel Lukšić , Kašteline 6 , OIB: 25114795158 , kojeg zastupa opunomoćenik Marijo Granić , odvjetnik u Splitu , Starčevićeva 13 , protiv tuženika Agencije za zaštitu osobnih podataka , Zagreb , Selska cesta 136 , OIB: 28454963989 , radi zaštite osobnih podataka, odlučujući o žalbi tužitelja izjavljenoj protiv presude Upravnog suda u Splitu , poslovni broj: Us I-2678/2023-11 od 17. ožujka 2025. , na sjednici vijeća održanoj 4. prosinca 2025.
pretpostavljam da je
I. Odbija se žalba tužitelja i potvrđuje presuda Upravnog suda u Splitu , poslovni broj: Us I-2678/2023-11 od 17. ožujka 2025.
II. Odbija se zahtjev tužitelja za naknadu troškova žalbenog postupka.
Obrazloženje
1. Pobijanom prvostupanjskom presudom odbijen je tužbeni zahtjev za poništavanje rješenja tuženika , KLASA: UP/II-034-01/23-01/24 , URBROJ: 567-02/11-23-01 od 21. rujna 2023. i zahtjev tužitelja za naknadu troškova upravnog spora.
2. Pobijanim rješenjem tuženika utvrđeno je da je tužitelj obrađivao osobne podatke ispitanika u prekomjernom opsegu, da nije na jasan/transparentan način informirao ispitanike o obradi njihovih osobnih podataka, da je slao obrasce „Privola na korištenje osobnih podataka“ ispitanicima bez cjelovitih informacija, da nije poduzeo odgovarajuće organizacijske i tehničke mjere zaštite kod obrade osobnih podataka i da je imenovao službenika za zaštitu podataka protiv Opće uredbe o zaštiti. osobnih podataka, zbog čega mu je izrečena upravno novčana kazna u iznosu od 15.000,00 eura.
3. Protiv navedene presude tužitelj je podnio žalbu iz svih zakonom propisanih žalbenih razloga. U žalbi u bitnom navodi da ne postoji hotel koji neće na neki način uzimati garanciju. Svaki hotel definira svoju politiku garancije. Garancija može biti u vidu osiguravanja sredstava „autorizacije“ do iznosa rezervacije ili može biti u vidu naplate određenog dijela kao predujma. U svakom slučaju svi oblici uzimanja garancije smatraju se legitimnim pravom hotelskog poslovanja. Ističe da Booking.com, koji generira veliku većinu rezervacija u hotelima diljem svijeta, na svojim web stranicama putem rezervacije također uzima podatke o kreditnoj kartici gosta, uključujući i CVV te ih prosljeđuje hotelima poštivajući PCI-DSS pravila. U tom smislu i tužitelj poštuje PCI- DSS pravila jer dopušta pristup kreditnoj kartici samo s posebnom šifrom, koja mora zadovoljiti PCI-DSS pravila i jer CVV broj ne sprema kod sebe na serveru, a dalje svaki hotel, pa tako i tužitelj obrađuje podatke prema svom pravilniku i legitimnom pravu. Naposljetku navodi da prvostupanjski sud nije naveo odredbe materijalnog prava koje je primijenio u konkretnom slučaju. Predlaže da Sud preinači pobijanu presudu na način da usvoji tužbeni zahtjev, a podredno da ukine pobijanu presudu i vrati predmet na ponovno odlučivanje prvostupanjskom sudu uz naknadu troškova žalbenog postupka.
4. U odgovoru na žalbu tuženik navodi da u hotelima sukladno standardu PCI-DSS postoji mogućnost pred autorizacije koja ne zahtijeva pohranu financijskih podataka s kreditne kartice, koja je uzgred rečeno predmetnim standardom zabranjena bez primjene adekvatnih tehničkih i organizacijskih mjera propisanih tim standardom. Ističe da je u konkretnom slučaju utvrđeno i da se postupak rezervacije može izvršiti i upisom pogrešnog/izmišljenog CVV broja, iz čega je razvidno kako svrha ovakvog postupka obrade nije naplata neiskorištene rezervacije. Upućuje na koliziju navoda tužitelja jer isti u jednom trenu navodi da hotel mora zadovoljiti PCI-DSS standard, a u drugom da hotel obrađuje financijske podatke prema svom pravilniku i legitimnom pravu. Naposljetku navodi da tužitelj nije naveo temeljem koje osnove iz članka 6. Opće uredbe o zaštiti osobnih podataka prikuplja i pohranjuje podatke sadržane na kreditnoj kartici. Predlaže da Sud odbije žalbu tužitelja i potvrdi prvostupanjsku presudu.
5. Žalba nije osnovana.
6. Ispitujući pobijanu presudu sukladno odredbi članka 134. stavka 1. Zakona o upravnim sporovima (“Narodne novine“, broj: 36/24. - dalje: ZUS) u dijelu u kojem je osporavana žalbom i u granicama razloga navedenih u žalbi, ovaj Sud je utvrdio da ne postoje razlozi zbog kojih se presuda pobija, a niti razlozi na koje Sud pazi po službenoj dužnosti.
7. Iz spisa predmeta proizlazi da je kod tužitelja povodom pritužbe građanina o načinu obrade osobnih podataka proveden nadzor kojim je utvrđeno da postoje dva moguća načina rezervacije smještaja kod tužitelja, od kojih je prvi način rezervacija putem online obrasca Webbookingpro na mrežnoj stranici tužitelja, a drugi je način rezervacija putem elektroničke pošte tužitelja. U oba slučaja tužitelj prikuplja osobne podatke ispitanika u opsegu u koji između ostalog ulazi CVV/CVC broj bankovne kartice ispitanika. U slučaju rezervacije putem elektroničke pošte tužitelja u opseg prikupljanja podataka ispitanika ulazi i preslika valjanog dokumenta s fotografijom. Na mrežnim stranicama Hotela objavljen je akt Opći uvjeti poslovanja-Hotel Pax Split, no isti ne sadrži obavijest o prikupljanju navedenih podataka (CVC/CVV i preslika identifikacijskog dokumenta), niti podatke o razlozima zbog kojih se traži navedene podatke (CVC/CVV i preslika identifikacijskog dokumenta). Osim navedenog nadzorom je utvrđeno da tužitelj u Hotelu nije proveo organizacijsko-tehničke zaštitne mjere kod obrade osobnih podataka odnosno nije organizirao radna mjesta po kriteriju nemogućnosti pristupa tim podacima pomoću personaliziranih računalnih korisničkih imena i lozinki zaposlenika s različitim ovlastima pristupa te da imenovanjem voditelja hotela službenikom za zaštitu podataka tužitelj nije osigurao da takve njegove zadaće i dužnosti ne dovedu do sukoba interesa.
8. Prvostupanjski sud održao je raspravu i na taj način strankama sukladno odredbi članka 6. ZUS-a omogućio da se izjasne o svim činjenicama i pravnim pitanjima koja su predmet ovog upravnog spora. Osim toga izvršio je u uvid u spis tuženika i sudski spis.
9. Odredbom članka 6. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ SL EU 119 (dalje: Opća uredba o zaštiti osobnih podataka) propisano je da je obrada zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega: (a) ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha; (b) obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora; (c) obrada je nužna radi poštovanja pravnih obveza voditelja obrade; (d) obrada je nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe; (e) obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade; (f) obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.
10. Odredbom članka 13. stavka 1. Opće uredbe o zaštiti osobnih podataka propisano je da ako su osobni podaci koji se odnose na ispitanika prikupljeni od ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka ispitaniku pruža sve sljedeće informacije: (a) identitet i kontaktne podatke voditelja obrade i, ako je primjenjivo, predstavnika voditelja obrade; (b) kontaktne podatke službenika za zaštitu podataka, ako je primjenjivo; (c) svrhe obrade radi kojih se upotrebljavaju osobni podaci kao i pravnu osnovu za obradu; (d) ako se obrada temelji na članku 6. stavku 1. točki (f), legitimne interese voditelja obrade ili treće strane; (e) primatelje ili kategorije primatelja osobnih podataka, ako ih ima; i (f) ako je primjenjivo, činjenicu da voditelja obrade namjerava osobne podatke prenijeti trećoj zemlji ili međunarodnoj organizaciji te postojanje ili nepostojanje odluke Komisije o primjerenosti, ili u slučaju prijenosâ iz članaka 46. ili 47. ili članka 49. stavka 1. drugog podstavka upućivanje na prikladne ili odgovarajuće zaštitne mjere i načine pribavljanja njihove kopije ili mjesta na kojem su stavljene na raspolaganje.
11. Prema ocjeni ovog Suda pravilno je prvostupanjski sud ocijenio da tužitelj ispitanike nije na jasan i transparentan način informirao o obradi njihovih osobnih podataka jer Opći uvjeti poslovanja-Hotel Pax Split nisu sadržavali obavijest o prikupljanju osobnih podataka u vidu CVV/CVC broja bankovne kartice i preslike identifikacijskog dokumenta niti podatke o razlozima prikupljanja istih te da je prikupljanje osobnih podataka prilikom rezervacije smještaja kod tužitelja dovodilo je do pohrane CVV/CVC broja kreditne kartice gosta kod tužitelja, makar i privremeno, iako tužitelj za isto nije dokazao postojanje valjane pravne osnove iz članka 6. Opće uredbe o zaštiti osobnih podataka. Na opisani način tužitelj je dakle obrađivao osobne podatke ispitanika u prekomjernom opsegu, ne poduzimajući odgovarajuće organizacijske i tehničke mjere zaštite osobnih podataka ispitanika, za što mu je naposljetku određena upravno novčana kazna, u iznosu od 15.000,00 eura, iscrpno obrazložena po kriterijima iz mjerodavnih propisa, koje obrazloženje ovaj Sud prihvaća kao pravilno u cijelosti.
12. Kraj takvog stanja stvari za zaključiti je da tužitelj nije vodio računa o zadovoljenju kriterija zakonite obrade osobnih podataka jer je prikupljao osobne podatke ispitanika u opsegu većem od nužno potrebnog i da nije poštivao načelo transparentnosti jer ispitanicima nije pružio sve informacije o obradi njihovih osobnih podataka u sažetom, razumljivom i lako dostupnom obliku, sve sukladno Općoj uredi o zaštiti osobnih podataka.
12. U odnosu na prigovore tužitelja ovaj Sud ističe da je u konkretnom slučaju utvrđeno kako se postupak rezervacije može izvršiti i upisom pogrešnog/izmišljenog CVV broja, što dodatno potvrđuje da svrha prikupljanja i obrade osobnih podataka ispitanika u konkretnom slučaju nije bila naplata neiskorištene rezervacije.
13. Imajući na umu navedeno, prvostupanjski sud je ocjenjujući zakonitost osporenog rješenja tuženika pravilno utvrdio da tužbeni zahtjev nije osnovan.
14. Slijedom svega navedenog, prema ocjeni ovog Suda osporena se presuda temelji na pravilno i potpuno utvrđenom činjeničnom stanju na koje je pravilno primijenjeno mjerodavno materijalno pravo, a nisu utvrđene povrede pravila sudskog postupka jer je presuda valjano i razložno obrazložena pa stoga ne postoje žalbeni razlozi zbog kojih se presuda pobija.
15. Trebalo je stoga na temelju odredbe članka 135. stavka 1. ZUS-a žalbu tužitelja odbiti kao neosnovanu.
16. S obzirom da tužitelj nije uspio s tužbenim zahtjevom pravilno je odbijen njegov zahtjev za naknadu troškova upravnog spora sukladno odredbi članka 147. stavka 1. ZUS-a , a iz istih razloga odbijen je i zahtjev tužitelja za naknadu troškova žalbenog postupka.
U Zagrebu 4. prosinca 2025.
Predsjednica vijeća :
Blanša Turić
