Poslovni broj: Usž-2401/2025-3

REPUBLIKA HRVATSKA

VISOKI UPRAVNI SUD REPUBLIKE HRVATSKE

Z A G R E B

Frankopanska 16

U  I M E  R E P U B L I K E  H R V A T S K E

P R E S U D A

Visoki upravni sud Republike Hrvatske u vijeću sastavljenom od sudaca toga suda, Mirjane Čačić, predsjednice vijeća, Vlaha Bassegli Gozze i Ane Berlengi Fellner, članova vijeća te više sudske savjetnice – specijalistice, Ivane Mamić Vuković, kao zapisničarke, u upravnom sporu tužitelja Specijalne bolnice za kirurgiju MEDICO, iz Rijeke, Agatićeva 8, OIB 57951842896, koje zastupaju opunomoćenici, odvjetnici iz odvjetničkog društva Vukić i partneri d.o.o., iz Rijeke, Nikole tesle 9/V -VI, protiv tuženika Agencije za zaštitu osobnih podataka u Zagrebu, Selska cesta 136 , OIB 28454963989, radi zaštite osobnih podataka, odlučujući o žalbi tužitelja, izjavljenoj protiv presude Upravnog suda u Rijeci, poslovni broj: Us I-1756/2024-16, od 25. travnja 2025. na sjednici vijeća održanoj 19. ožujka 2026.,

p r e s u d i o  j e

Odbija se žalba tužitelja i potvrđuje presuda Upravnog suda u Rijeci, poslovni broj: Us I-1756/2024-16, od 25. travnja 2025.

Obrazloženje

1. Presudom prvostupanjskog upravnog suda odbijen je tužbeni zahtjev za poništenje rješenja Republike Hrvatske, Agencije za zaštitu osobnih podataka, KLASA: UP/I-034-01/24-01/23, URBROJ: 567-04-02/03-24-1, od 21. kolovoza 2024. te zahtjev tužitelja za naknadom troškova tog dijela upravnog spora.

1.1. Navedenim rješenjem tuženika utvrđeno je da je tužitelj, kao voditelj obrade osobnih podataka počinio niz nepravilnosti, pobliže navedenih tim rješenjem, slijedom kojih utvrđenja mu je izrečena upravna novčana kazna u iznosu od 190.000,00 €, kao i rokovi i načini izvršenja određene novčane kazne.

2. Tužitelj u svojoj žalbi pobija navedenu presudu iz svih zakonom propisanih razloga, ističući kako tuženik uopće nije nadležan provoditi nadzor u konkretnom slučaju, budući da je takav nadzor i temeljem Zakona o informacijama i podatcima u zdravstvu, u isključivoj ingerenciji Ministarstva zdravstva. Bez obzira na ovu okolnost navodi i kako tuženik u postupku koji je prethodio osporenom rješenju nije potpuno i pravilno utvrdio činjenično stanje. S tim u vezi poziva se na članak 5. stavak 1. Uredbe o zaštiti podataka te povezujući to određenje sa svojom policom privatnosti zaključuje kako nije točno da nije propisao rok čuvanja osobnih podataka sadržanih u snimkama telefonskih razgovora. Pojašnjavajući svoju tvrdnju ukazuje da je upravo iz Politike privatnosti definiran, između ostalog i rok čuvanja osobnih podataka prikupljenih od ispitanika, a koji su kao kontakt podatci nužni za izvršavanje Ugovora između ispitanika i tužitelja. U odnosu na dopuštenost snimanja telefonskih razgovora, smatra kako je neosnovano utvrđeno da ne postoji pravna osnova prikupljanja podataka, jer se telefonski razgovori snimaju temeljem članka 6. stavka 1. točke b, c i f Opće uredbe o zaštiti podataka. Ovakvo mišljenje temelji na tvrdnji da je obrada nužna za izvršavanje sklopljenih ugovora. U odnosu na tvrdnju sadržanu u osporenom rješenju, kako u komunikaciji s korisnicima nije koristio razumljiv jezik, ukazuje i kako okolnost do kada je korištena formulacija „ovaj razgovor može biti sniman“, umjesto formulacije „ovaj razgovor se snima“, nije nedvojbeno utvrđena te da je tvrdnja da se ista koristi od 25. svibnja 2018., samo pretpostavka tuženika, a ne točno utvrđenje. Ističe i kako je s društvom Veridian Healthstream d.o.o., 21. studenoga 2018. zaključio Ugovor o kupoprodaji licenci radiološkog informacijskog sustava s isporukama vezanih usluga te je istog dana s tim društvom sklopio i Ugovor o povjerljivosti, iz koje okolnosti zaključuje kako nije povrijedio članak 28. stavak 3. Opće uredbe o zaštiti podataka. U odnosu na arhiviranje radioloških slika navodi kako UZV pretrage, zbog fizikalnih uvjeta nastanka slike, nisu radiološke pretrage te se kao takve ne čuvaju u radiološkoj arhivi, iz kojeg razloga takva obveza nigdje nije ni propisana. Mišljenja je kako nije počinio ni povredu iz članka 33. stavka 1. Opće uredbe o zaštiti podataka, jer smatra da nije izgubio slikovnu dokumentaciju iz arhive, budući da je ta dokumentacija u svom originalnom obliku i u stopostotnom volumenu, početkom 2019. godine migrirana iz stare PACS arhive te se nalazi na serveru s kojeg se privremeno ne može iščitati. Konačno navodi kako je visina izrečene upravne kazne previsoka, jer primjeri iz drugih država članica pokazuju kako se za komparativne povrede izriče znatno niža kazna, ali i da je životni standard u zemljama na koje se nadzorno tijelo poziva znatno viši no što je to standard u Republici Hrvatskoj. Predlaže Sudu da usvoji njegovu žalbu i poništiti pobijanu presudu.

3. Tuženik u svom odgovoru na žalbu navodi kako bi ograničenje njegove nadležnosti u zdravstvenom sektoru bio potpuni presedan na području Europske unije te bi isto u cijelosti ugrozilo zaštitu osobnih podataka ispitanika zdravstvenih ustanova. U odnosu na propuste tužitelja prilikom snimanja telefonskih razgovora navodi kako u cijelosti ostaje kod obrazloženja svog rješenja te ističe da tužitelj uopće nije ponudio niti jedan dokaz kojim bi, u smislu članka 5. stavka 2. Opće uredbe o zaštiti podataka, osnovanim učinio pravni temelj takvog snimanja. Ističe i kako okolnost da je tužitelj s društvom Veridian Healthstream d.o.o. sklopio Ugovor o kupoprodaji licenci radiološkog informacijskog sustava, s isporukama vezanih usluga te i Ugovor o povjerljivosti, nema utjecaja na njegovu obvezu iz članka 28. stavka 3. Opće uredbe o zaštiti podataka. Naime, tim propisom je jasno uspostavljena obveza tužitelju da sklopi zaseban ugovor, ili barem aneks ugovora o obradi podataka, a koji ugovor mora sadržavati zakonom taksativno navedene odredbe. Navodi i kako je potpuno irelevantan značaj i narav ultrazvučnih pretraga, budući da one jesu osobni podatci i to oni najosjetljivije vrste, a koji su bili u bazi podataka tužitelja. Posebno ističe kako nije točno da tužitelj posjeduje kopije svih osobnih podataka ispitanika, budući je evidentno povrijeđeno načelo dostupnosti tim podatcima, jer nisu izrađene sigurnosne kopije osobnih podataka u pogledu radioloških pretraga na način kako je to elaborirano u osporenom rješenju. Ukazuje i da je tužitelj ispunio svoje obveze tada bi bilo moguće obnoviti i osigurati pristup traženim osobnim podatcima ispitanika, a što evidentno nije moguće. Konačno smatra kako izrečena novčana sankcija nije previsoko određena, budući da su razmatrane sve otegotne i olakotne okolnosti te da je izrečena sankcija mogla biti i znatno viša, a što bi i bila da je tužitelj obrađivao osobne podatke u opsegu kao što to čine klinički bolnički centri. S tim u vezi zaključuje i kako Opća uredba o zaštiti podataka ne regulira sankcioniranje kroz BDP države iz koje dolazi voditelj obrade, jer bi se istim sankcija ustanovljavala s obzirom na snagu države, a ne na snagu voditelja obrade koji je u konkretnom odgovoran. Predlaže Sudu da odbije žalbu tužitelja.

4. Žalba nije osnovana.

5. Uvodno Sud ukazuje kako je člankom 126. stavkom 1. Zakona o upravnim sporovima (Narodne novine, broj 36/24. - u daljnjem tekstu ZUS), propisano da protiv presude upravnog suda stranke mogu podnijeti žalbu zbog: bitne povrede pravila sudskog postupka, pogrešno ili nepotpuno utvrđenoga činjeničnog stanja u sporu i pogrešne primjene materijalnog prava, dok je člankom 134. stavkom 1. ZUS-a propisano da Visoki upravni sud ispituje prvostupanjsku presudu u dijelu u kojem je osporavana žalbom i u granicama razloga navedenih u žalbi.

6. Cijeneći citirana procesna zakonska određenja Sud nalazi da se osporena presuda prvostupanjskog upravnog suda ne može ocijeniti nezakonitom niti po jednoj osnovi propisanoj člankom 126. stavkom 1. ZUS-a, iz razloga na koje se tužitelj poziva u svojoj žalbi. To stoga jer je, prema podacima spisa, postupak prije donošenja osporene odluke proveden sukladno odredbama ZUS-a, a prvostupanjski upravni sud je presudu utemeljio na dokazima i činjenicama utvrđenim u postupku donošenja pojedinačne odluke javnopravnog tijela, kao i tijekom upravnog spora te je osnovano ocijenio zakonitim rješenje tuženika.

7. Naime, i po ocjeni ovog Suda, osnovano je prvostupanjski upravni sud utvrdio da je rješenje tuženika doneseno pravilnom primjenom i tumačenjem Opće uredbe o zaštiti osobnih podataka (GDPR, uredba (EU) 2016/679 Europskog parlamenta i vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage direktive 95/46/EZ – u daljnjem tekstu Uredba).

8. Člankom 57. stavkom 1. točkom h. Uredbe propisano je da ne dovodeći u pitanje ostale zadaće utvrđene u ovoj Uredbi, svako nadzorno tijelo na svom području: provodi istrage o primjeni ove Uredbe, među ostalim na temelju informacija primljenih od drugog nadzornog ili drugog tijela javne vlasti.

9. Sukladno ovakvom određenju Uredbe Sud navodi da pravo Europske unije (uključujući uredbe i direktive) ima primat nad zakonima Republike Hrvatske. Ova nadređenost utemeljena je na članku 141.c stavku 4. Ustava Republike Hrvatske („Narodne novine“, broj: 56/90., 135/97., 113/00., 28/01., 76/10. i 5/14.), a kojim je izričito propisano da državna tijela, tijela jedinica lokalne i područne (regionalne) samouprave te pravne osobe s javnim ovlastima izravno primjenjuju pravo Europske unije. Ovaj stav jasno je izražen u nizu odluka Ustavnog suda Republike Hrvatske, primjerice u odluci broj U-III-356/2019. Iz ovog razloga okolnost da je Zakonom o podacima i informacijama u zdravstvu („Narodne novine“, broj: 14/19.) propisano da nadzor nad primjenom tog Zakona, dakle ne nad primjenom Uredbe kako je to u konkretnom slučaj, provodi zdravstvena inspekcija ministarstva nadležnog za zdravstvo, ni na jedan način ne utječe na ovlast tuženika uspostavljenu temeljem naprijed citiranog članka 57. stavka 1. točke h. Uredbe.

10. U odnosu na utvrđenja tuženika, a koja se odnose na propust tužitelja da jasno propiše rokove čuvanja osobnih podataka nastalih iz snimki telefonskih razgovora , Sud navodi kako tuženik ne može dokazivati negativnu činjenicu. Stoga je tužitelj u ovom sporu, odnosno u postupku koji mu je prethodio, trebao jasno pokazati svoje određenje iz kojeg bi proizlazilo kako je on taj rok propisao. U konkretnom slučaju Sud ne nalazi takav propis, iz kojeg razloga osnovanim uzima utvrđenja prvostupanjskog upravnog suda sadržana u točkama 7. i 8. obrazloženja te odluke.

11. U odnosu na postojanje pravne osnove za snimanje telefonskih razgovora iz članka 6. stavka 1. Uredbe, tužitelj tvrdi kako je pravna osnova prikupljanja osobnih podataka propisana člankom 6. stavkom 1. točkama b, c i f, dakle iz razloga jer je obrada nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora; jer je obrada nužna radi poštovanja pravnih obveza voditelja obrade te jer je obrada nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.

12. U odnosu na takav navod tužitelja, Sud u žalbi, ali i spisu predmeta uopće ne nalazi kojim bi to pravnim obvezama tužitelja služilo prikupljanje osobnih podataka dobivenih telefonskim razgovorom, kao ni na koji način bi to uopće bilo nužno za izvršavanje ugovora u kojem je ispitanik stranka. Stoga takav prigovor nije moguće ispitati. Pri ovome Sud ukazuje da za naručivanje pacijenta na preglede nije potrebno snimanje telefonskih razgovora.

13. U odnosu na okolnost kako je tužitelj pri snimanju telefonskih razgovora koristio formulaciju „ovaj razgovor može biti sniman“, a koja formulacija nije sukladna članku 12. stavku 1. Uredbe, Sud nalazi kako ona sadržajno i nije sporna te da korišteni izričaj zasigurno nije transparentan ni nedvojben. S tim u vezi žalbeni prigovor tužitelja kako u postupku koji je prethodio osporenom rješenju nije nedvojbeno utvrđeno od kada je takva formulacija korištena, kraj nesporne činjenice da je ona korištena do 29. veljače 2024., nije od utjecaja.

14. U odnosu na povredu članka 28. stavka 3. Uredbe, odnosno s obzirom na propust tužitelja da s izvršiteljem obrade sklopi ugovor ili drugi pravni akt u skladu s pravom Unije, koji bi izvršitelja obrade obvezao prema voditelju obrade, Sud ponovno ukazuje da je tužitelj, a ne tuženik, u obvezi dokazati da je takav ugovor sklopljen, jer ponovljeno, tuženik i ne može dokazivati negativnu činjenicu. S tim u vezi Sud ne nalazi da bi tužitelj dokazao postojanje tako sklopljenog ugovora pri čemu se navodi kako su svi bitni elementi takvog ugovora izričito propisani člankom 28. stavkom 3. Uredbe i nisu sadržani u ugovorima na koje se tužitelj poziva.

15. Nadalje i u odnosu na sigurnost obrade i sigurnosni incident, Sud nalazi kako u ovom predmetu i nije sporno da, u odnosu na određen broj korisnika, medicinski podaci u tužiteljevom informatičkom sustavu obrade podataka nisu dostupni. Okolnost da se oni nalaze na određenom serveru, odnosno da su „zbog greške u inicijalizaciji memorije na dijelu servera na kojem se nalaze zdravstveni osobni podaci nekolicine ispitanika postali nedostupni“, ne isključuje postavljen zahtjev iz članka 32. stavka 1. točaka b. i c. Uredbe.

16. Sukladno utvrđenju ovakvog incidenta tužitelj je bio u obvezi postupiti sukladno članku 33. Uredbe i obavijestiti nadzorno tijelo, a što je propustio učiniti.

17. Slijedom navedenog Sud nalazi kako su tuženik i prvostupanjski upravni sud , valjano utvrdili i ocijenili odlučno činjenično stanje.

18. U odnosu na primijenjenu sankciju, Sud ukazuje kako je izricanje upravno novčane kazne u osnovi slobodna ocjena tuženika, budući je takva kazna uspostavljena zakonom i u propisanom rasponu, dok je tuženik određuje u svrhu uspostave povredom narušenog javnog interesa. Imajući na umu kako je člankom 4. stavkom 2. ZUS-a propisano da se upravni spor ne može voditi o pravilnosti pojedinačne odluke donesene primjenom slobodne ocjene javnopravnog tijela, ali se može voditi o zakonitosti takve odluke, granicama ovlasti i svrsi radi koje je ovlast dana , Sud samu pravilnost odabranog novčanog iznosa kazne ne može ispitivati. Izvan ovog ograničenja Sud nalazi kako je sankcija utemeljena na zakonu i određena u zakonom definiranim granicama te upravo sa svrhom zbog koje je i propisana.

19. Konačno, a s obzirom da je tužbeni zahtjev pravilno odbijen, to je osnovano tužitelj odbijen i sa zahtjevom za naknadu troškova predmetnog upravnog spora, jer, sukladno članku 147. stavku 1. ZUS-a, stranka koja izgubi spor u cijelosti snosi sve troškove spora. Iz istih razloga, jer tužitelj nije uspio u žalbenom dijelu ovog upravnog spora, valjalo je odbiti i njen zahtjev za naknadu troškova sastava žalbe.

20. Trebalo je stoga, temeljem članka 135. stavka 1. ZUS-a, odlučiti kao u izreci ove presude.

U Zagrebu, 19. ožujka 2026.

Predsjednica vijeća

Mirjana Čačić