Poslovni broj: Usž-4074/2024-3

REPUBLIKA HRVATSKA

VISOKI UPRAVNI SUD REPUBLIKE HRVATSKE

Z A G R E B

Frankopanska 16

U  I M E  R E P U B L I K E  H R V A T S K E

P R E S U D A

Visoki upravni sud Republike Hrvatske u vijeću sastavljenom od sutkinja tog suda Mire Kovačić, predsjednice vijeća, Radmile Bolanča Vuković i dr. sc. Sanje Otočan, članica vijeća te višeg sudskog savjetnika Filipa Mihaljevića, zapisničara, u upravnom sporu tužitelja Specijalne bolnice za kirurgiju Medico, Rijeka, Agatićeva 8, OIB: 57951842896, zastupanog po opunomoćeniku Zoranu Vukiću, odvjetniku u Odvjetničkom društvu Vukić i partneri d.o.o., Rijeka, Nikole Tesle 9/V-VI, OIB: 14901480848, protiv tuženika Agencije za zaštitu osobnih podataka, Zagreb, Selska cesta 136, OIB: 28454963989, uz sudjelovanje zainteresirane osobe IN iz [adresa], OIB: [osobni identifikacijski broj], zastupane po opunomoćenici Aneli Troskot, odvjetnici iz Zajedničkog odvjetničkog ureda Ana Blečić Jelenović i Anela Troskot u Rijeci, Frana Supila 11, OIB: 06185564344, radi zaštite osobnih podataka, odlučujući o žalbi tužitelja protiv presude Upravnog suda u Rijeci, poslovni broj: Us I- 808/2024-15 od 18. listopada 2024., na sjednici vijeća održanoj 29. travnja 2025.,

p r e s u d i o  j e

I. Odbija se žalba i potvrđuje presuda Upravnog suda u Rijeci, poslovni broj: Us I-808/2024-15 od 18. listopada 2024.

II. Odbija se zahtjev zainteresirane osobe za naknadu troška za sastav odgovora na žalbu.

Obrazloženje

1. Pobijanom presudom odbijen je tužbeni zahtjev za poništenje rješenja tuženika, KLASA: UP/I-041-02/23-01/25, URBROJ: 567-04-02/03-24-4 od 18. travnja 2024. i odbijen je zahtjev tužitelja za naknadu troškova upravnog spora (točke I. i II. izreke). Točkom III. izreke nalaže se tuženiku da nadoknadi zainteresiranoj osobi troškove upravnog spora u iznosu od 3.750,00 eura u roku od 30 dana od dana dostave pravomoćne presude ovoga Suda.

2. Rješenjem prvostupanjskog suda, poslovni broj: Usl-808/2024-19 od 31. listopada 2024. ispravlja se prvostupanjska presuda na način da se navodi da u točki III. izreke presude umjesto „Nalaže se tuženiku“ treba ispravno pisati „Nalaže se tužitelju“ .

3. Rješenjem tuženika od 18. travnja 2024. utvrđen je osnovanim zahtjev zainteresirane osobe za utvrđivanje povrede prava na zaštitu osobnih podataka te da je tužitelj, kao voditelj obrade osobnih podataka, nedostavljanjem osobnih podataka (slikovne medicinske dokumentacije, odnosno UZV dojke i abdomena od 19. rujna 2018. i 18. rujna 2017.) na zahtjev ovdje zainteresirane osobe povrijedio članak 15. stavak 3. te s tim u svezi članak 32. stavak 1. Uredbe EU 2016/679 Europskog parlamenta Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ SLEU L119 („Narodne novine", 42/18.; dalje: Opća uredba o zaštiti podataka) (točke I. i II. izreke). Točkom III. izreke utvrđeno je da tužitelj kao voditelj obrade osobnih podataka, nije informirao ovdje zainteresiranu osobu o gubitku njezinih osobnih podataka, a što je protivno članku 34. stavku 1. Opće uredbe o zaštiti podataka.

4. Tužitelj pobija zakonitost prvostupanjske presude zbog svih zakonom propisanih razloga. Ističe da je prvostupanjski sud propustio pravilno i potpuno utvrditi činjenično stanje jer je odbio njegov dokazni prijedlog za saslušanjem svjedoka bez da je dao valjano obrazloženje. Navodi da prvostupanjski sud nije uzeo u obzir nove činjenice iz podneska 9. listopada 2024., odnosno da kopija svih osobnih podatka koje kao voditelj obrade obrađuje postoji, međutim nalazi se na serveru koji trenutno iste ne može iščitati. Ističe da do trajnog gubitka slikovne dokumentacije nije došlo te kopije istih postoje na serveru s kojeg se podaci trenutno ne mogu iščitati pa se ne može govoriti o tome da nije kao voditelj obrade osobnih podataka provodio odgovarajuće tehničke organizacijske mjere u svrhu postizanja odgovarajuće razine sigurnosti s obzirom na sve rizike. S obzirom na to da postoji kopija osobnih podataka, smatra da nije učinjena povreda iz članka 32. stavka 1. Opće uredbe o zaštiti podataka. Smatra da prvostupanjski sud nije ispitao zakonitost pobijanog akta te nije proveo ključan dokaz saslušanjem svjedoka predloženog i od strane tužitelja i od strane tuženika u svrhu utvrđenja stvarnog činjeničnog stanja pa samim time i navodnih povreda Opće uredbe o zaštiti osobnih podataka. Navodi da je opisano postupanje protivno odredbama Zakona o upravnim sporovima i Ustava Republike Hrvatske. Predlaže poništiti prvostupanjsku presudu i predmet vratiti prvostupanjskom sudu na ponovni postupak.

5. Tuženik se u odgovoru na žalbu protivi žalbenim navodima kao neosnovanima. Ističe da je u ovoj upravnoj stvari ključno što zainteresirana osoba nije zaprimila kopiju osobnih podataka u obliku medicinske dokumentacije. Navodi tužitelja da se ne može tvrditi da nije osigurao kopiju osobnih podataka su suprotni navodima tužitelja iz upravnog postupka i odgovora zainteresiranoj osobi od 9. rujna 2022. kojima je tvrdio da je medicinska dokumentacija nepovratno izgubljena. Smatra da iz navoda tužitelja proizlazi da ne razumije svoje osnovne obveze iz članka 15. stavka 3. Opće uredbe o zaštiti podataka. Sigurnost informacijskog sustava temelji se na načelima povjerljivosti, integriteta, otpornosti i dostupnosti. Ističe da ako su osobni podaci dostupni na serveru, ali ih se ne može iščitati, to znači da su isti nedostupni, a što predstavlja povredu dostupnosti osobnih podataka i članka 32. Opće uredbe o zaštiti podataka. Smatra da su razlozi zašto tužitelj ne može doći do kopije osobnih podatka irelevantni u utvrđivanju povrede obveza iz članka 15. stavka 3. i članka 32. stavka 1. Opće uredbe o zaštiti podataka. Predlaže odbiti žalbu.

6. Zainteresirana osoba u odgovoru na žalbu ističe da ne postoje razlozi zbog kojih tužitelj pobija prvostupanjsku presudu, kao niti razlozi na koje žalbeni sud pazi po službenoj dužnosti. Smatra da je pravilna odluka prvostupanjskog suda kojom je odbio sve dokazne prijedloge tužitelja jer je riječ o prijedlozima čije usvajanje i izvođenje nije bilo potrebno, niti nužno za rješavanje ovog upravnog spora. Budući da je prvostupanjski sud odgovorio na sve navode koji su bili odlučni za donošenje odluke u konkretnoj upravnoj stvari, prvostupanjska presuda se ne može ocijeniti nezakonitom samo iz razloga što prvostupanjski sud nije uzeo u obzir navode tužitelja iz podneska od 9. listopada 2024. Upućuje na stajališta Europskog suda za ljudska prava i Ustavnog suda Republike Hrvatske koja se odnose na obvezu sudova da obrazlože svoje odluke. Predlaže odbiti žalbu i traži naknadu troška za sastav odgovora na žalbu.

7. Žalba nije osnovana.

8. Ispitujući osporavanu presudu i postupak koji joj je prethodio u granicama razloga navedenih u žalbi, sukladno članku 134. stavku 1. Zakona o upravnim sporovima („Narodne novine”, 36/24; dalje: ZUS), Sud je utvrdio da ne postoje razlozi zbog kojih se prvostupanjska presuda pobija.

9. Upravni postupak koji je prethodio ovom upravnom sporu pokrenut je zahtjevom zainteresirane osobe od 21. studenog 2022. za utvrđivanje povrede prava na zaštitu osobnih podataka od strane tužitelja. U zahtjevu je navela da je 26. kolovoza 2022. od tužitelja zatražila pristup svojim osobnim podacima, dostavu slikovne medicinske dokumentacije UZV dojki i abdomena od 19. rujna 2018. i 18. rujna 2017. te da ju je tužitelj 7. rujna 2022. putem elektroničke pošte obavijestio da zahtjevu ne može udovoljiti jer je uslijed promjene informacijskog sustava tijekom 2018./2019. došlo do nepovratnog gubitka određenog slikovnog materijala koji se nalazio na serveru Specijalne bolnice Medico iz Rijeke.

10. U upravnom postupku pribavljeno je očitovanje tužitelja, kao voditelja obrade osobnih podataka, proveden je nadzor aktivnosti kod tužitelja i trgovačkog društva Veridian Helathstream d.o.o. iz Zagreba, izvršitelja obrade osobnih podatka te je izvršen uvid u e-mail korespondenciju tužitelja i izvršitelja obrade osobnih podataka.

10.1. Tužitelj se u upravnom postupku očitovao da je tijekom 2019. došlo do promjene informacijskog sustava koju je izvršilo društvo Veridian Healthstream d.o.o. iz Zagreba te da je uslijed promjene informacijskog sustava došlo do trajnog gubitka određenog slikovnog materijala na jednom dijelu servera hard diska, uključujući podatke ovdje zainteresirane osobe. Nije se mogao izjasniti o uzroku predmetnog gubitka slikovnih materijala, ni o točnom datumu gubitka istog te je uputio na izvršitelja obrade osobnih podataka koji je izvršio promjenu informacijskog sustava.

10.2. Tuženik je 29. veljače 2024. proveo izravno nadležno postupanje kod tužitelja te je tom prilikom utvrđeno da je bolnica zaprimila između 2 do 5 zahtjeva ispitanika za pristup osobnim podacima, a kojima nisu mogli udovoljiti iz razloga što su osobni podaci izgubljeni u srpnju 2019., nakon informatičkog incidenta. Službenica za zaštitu podataka tužitelja, INU je pojasnila da informatičkom incidentu ne zna detalje, kao i da je tužitelj u drugom predmetu pravomoćno osuđen na plaćanje novčane kazne zbog nedostavljanja medicinskih podataka na temelju posebnih propisa od strane Visokog prekršajnog suda Republike Hrvatske te je priložila presudu i rješenje.

10.3. Tijekom nadzora izvršitelja obrade osobnih podataka od 28. veljače 2024. direktor izvršitelja, RN je istaknuo da je u lipnju 2018. započeo pregovarati s tužiteljem o implementaciji i održavanju novog radiološkog informacijskog sustava te sustava za arhiviranje slika radioloških nalaza (RIS/PACS). Ugovor o poslovnoj suradnji potpisan je 26. studenog 2018. te je predmetni sustav implementiran u bolnici 1. ožujka 2019. Naveo je da je tužitelj do tada za istu uslugu koristio programsko rješenje društva Infomedica d.o.o. iz Splita, čijoj bazi podatka nisu pristupili. Radi se o autorskom pravu prethodnog pružatelja usluga te im ujedno nije im bila poznata struktura baze podatka te je postojao rizik od eventualnog nestanka ili izmjene podatka. Istaknuo je da su tužitelja uputili u kojem obliku im se trebaju dostaviti podaci iz starog sustava kako bi se adekvatno implementirali u novo programsko rješenje, no iste tužitelj nije dostavio te podaci nisu bili implementirani. Navodi da je tužitelj donio odluku da će se za nalaze koji su napravljeni do uvođenja novoga sustava i dalje koristiti stari sustav. Djelatnici izvršitelja obrade, kao i on su prije konačnog puštanja u rad njihovog sustava, na radnim sastancima usmeno upozoravali predstavnike bolnice da se stari sustav nalazi na serveru starom između 10 i 15 godina i da su na istom potrebni zahvati nadogradnje i obnavljanja kako bi ostao i dalje funkcionalan. Saznao je da je srpnju 2019. došlo do kvara na serveru, na kojem su bili pohranjeni podaci i programsko rješenje koje se koristilo za radiološke nalaze prije implementacije njihovog rješenja te da bolnica od tada nije mogla pristupiti tim podacima. Djelatnik izvršitelja obrade, izvan ugovornih usluga, pokušao je osposobiti navedeni server, međutim u tome nije uspio te su u bolnici dali usmene upute što bi trebali napraviti kako bi istog osposobili, međutim nemaju povratne informacije je li do toga i došlo. Tijekom nadzora direktor izvršitelja obrade osobnih podatka je predao e-mail korespondenciju tužitelja i izvršitelja obrade osobnih podataka čiji sadržaj potvrđuje navode direktora izvršitelja obrade.

11. Prvostupanjski sud je utvrdio odlučne činjenice na temelju isprava iz spisa upravnog postupka i sudskog spisa te je na takvo utvrđeno činjenično stanje, pravilno primijenio materijalno pravo, članak 15. stavak 3., članak 32. stavak 1. i članka 34. Opće uredbe o zaštiti podataka te odbio tužbeni zahtjev.

12. Člankom 5. stavkom 1. točkom f) Opće uredbe o zaštiti podataka propisano je da osobni podaci moraju biti obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade, od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera Stavkom 2. istog članka propisano je da je voditelj obrade odgovoran za usklađenost sa stavkom 1. tog članka te mora bit u mogućnosti dokazati (pouzdanost).

13. Člankom 24. Opće uredbe o zaštiti podatka propisane su obveze voditelja obrade, među kojom je i provedba odgovarajućih tehničkih i organizacijskih mjera kako bi se osiguralo i moglo dokazati da se obrada provodi u skladu s Uredbom i da se te mjere po potrebi preispitaju i ažuriraju.

14. Člankom 32. stavkom 1. Opće uredbe o zaštiti podataka propisano je da će voditelj obrade i izvršitelj obrade, uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrha obrade, kao i rizik različitih razina vjerojatnosti o ozbiljnosti za prava i slobode pojedinaca, provoditi odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik.

15. Sukladno članku 15. stavku 3. Opće uredbe o zaštiti podataka, voditelj obrade osigurava kopiju osobnih podataka koji se obrađuju. Za sve dodatne kopije koje zatraži ispitanik, voditelj obrade može naplatiti razumnu naknadu na temelju administrativnih troškova. Ako ispitanik podnese zahtjev elektroničkim putem te osim ako ispitanik zatraži drukčije, informacije se pružaju u uobičajenom elektroničkom obliku.

16. Sukladno članku 34. stavku 1. Opće uredbe o zaštiti podataka, u slučaju povrede osobnih podataka koji će vjerojatno prouzročiti visok rizik za prava i slobode pojedinaca, voditelj obrade bez nepotrebnog odgađanja obavješćuje ispitanika o povredi osobnih podataka. Stavkom 3. istog članka propisane su iznimke od obveze obavješćivanje ispitanika iz stavka 1. ovog članka i to u slučajevima:

a) da je voditelj obrade je poduzeo odgovarajuće tehničke i organizacijske mjere zaštite i te su mjere primijenjene na osobne podatke pogođene povredom osobnih podataka, posebno one koje osobne podatke čine nerazumljivima bilo kojoj osobi koja nije ovlaštena pristupiti kao što je enkripcija,

b) da je voditelj obrade poduzeo je naknadne mjere kojima se osigurava da više nije vjerojatno da će doći do visokog rizika za prava i slobode ispitanih iz stavka 1. i c) time bi se zahtijevao nerazmjeran napor.

17. Ovaj Sud prihvaća utvrđeno činjenično stanje od strane prvostupanjskog suda, jer po ocjeni Suda, žalbenim navodima nisu dovedene u sumnju odlučne činjenice kako ih je utvrdio prvostupanjski sud, a uzimajući u obzir i utvrđeno činjenično stanje u provedenom upravnom postupku.

18. Iz dokaza provedenih u upravnom postupku proizlazi da je tužitelj, iako je bio upozoravan od strane izvršitelja obrade da su slike radioloških nalaza pohranjene na serveru starom 10 do 15 godina te kako su na istom potrebni zahvati nadogradnje i obnavljana kako bi ostao i dalje funkcionalan, propustio poduzeti odgovarajuće tehničke i organizacijske mjere na serveru kako bi osigurao sigurnost osobnih podataka koji se na njemu nalaze, a što je za posljedicu imalo gubitak osobnih podataka ovdje zainteresirane osobe. Tužitelj je propustio informirati zainteresiranu osobu o gubitku njezinih osobnih podataka bez nepotrebnog odgađanja, već je istu o gubitku njezinih osobnih podatka obavijestio tek kada mu se obratila sa zahtjevom. Iz spisa ne proizlazi, a niti je tužitelj tvrdio da bi dostavljanje obavijesti iziskivala nerazmjeran trud od strane tužitelja te ne postoje iznimke od informiranja zainteresirane osobe o gubitku njezinih osobnih podataka iz članka 34. stavak 3. Opće uredbe o zaštiti podataka.

19. Imajući u vidu citirane odredbe Opće uredbe o zaštiti podataka, pravilan je stav prvostupanjskog suda da je tužitelj, kao voditelj obrade osobnih podataka i kao vlasnik sustava, servera, bio dužan osigurati sigurnost osobnih podataka koji se na njemu nalaze. Opisanim propustima tužitelj je prekršio prava zainteresirane osobe iz članka 15. stavak 3. Opće uredbe o zaštiti podataka, kao i obvezu iz članka 34. stavka 1.

Opće uredbe o zaštiti podataka.

20. Nesporno je da zainteresirana osoba uputila tužitelju zahtjev za pristup osobnim podacima, dostavu slikovne medicinske dokumentacije te da joj ista nije izdana jer tužitelj do tih podatka ne može doći. U rješavanju predmetne upravne stvari irelevantan je razlog zašto tužitelj ne može doći do osobnih podatka, odnosno radi li se o trajnom gubitku određenog slikovnog materijala sa servera ili se kopije istih ne mogu iščitati sa servera jer je na temelju dokaza u upravnom postupku utvrđeno da su osobni podaci zainteresirane osobe nedostupni zbog propusta tužitelja da kao voditelj obrade osobnih podatka poduzme odgovarajuće tehničke i organizacijske mjere na serveru kako bi osigurao sigurnost osobnih podataka koji se na njemu nalaze.

21. Sukladno članku 49. ZUS-a, upravni sud je ovlašten odlučiti koje će od predloženih dokaza izvesti radi utvrđivanja odlučnih činjenica. Budući da je tužitelj predložio izvođenje dokaza saslušanja svjedoka na okolnost postojanje kopije osobnih podataka koje ne može iščitati, pravilno je prvostupanjski sud dokazni prijedlog odbio jer izvođenje istih nije nužno za rješavanje ovog upravnog spora zbog prethodno navedenih razloga. Ujedno, radi se o osobama koje su ispitane tijekom upravnog postupka i čije izjave se nalaze u spisu tuženika.

22. Sud stoga žalbene navode smatra neosnovanim i bez utjecaja na drugačije rješavanje predmetne upravne stvari. Prvostupanjski sud je na temelju razmatranja svih pravnih i činjeničnih pitanja, a uzimajući u obzir činjenice utvrđene u upravnom postupku, utvrdio da je osporeno rješenje doneseno u pravilno provedenom upravnom postupku te na temelju potpuno i pravilno utvrđenog činjeničnog stanja i uz pravilnu primjenu materijalnog prava. U obrazloženju presude izložio je sve bitne činjenice koje proizlaze iz provedenih dokaza u upravnom postupku te je, s obzirom na utvrđeno činjenično stanje i relevantne propise, naveo valjane razloge zbog kojih je odbio tužbeni zahtjev, odgovorivši pritom na sve tužbene navode.

23. Budući da ovaj Sud nije utvrdio postojanje žalbenih razloga kao ni razloga na koje pazi po službenoj dužnosti, na temelju članka 135. stavka 1. ZUS-a odbijena je žalbe tuženika i potvrđena je prvostupanjska presuda (točka I izreke).

24. U odgovoru na žalbu zainteresirana osoba potražuje trošak sastava tog podneska. Predmetni trošak nije priznat jer se ne radi o podnesku koji je od utjecaja na rješenje spora, pa taj izdatak nije opravdan u smislu članka 144. stavka 1. ZUS-a (točka II. izreke).

U Zagrebu 29. travnja 2025.

Predsjednica vijeća

Mira Kovačić