REPUBLIKA HRVATSKA

Poslovni broj: Usž-3167/2023-2

VISOKI UPRAVNI SUD REPUBLIKE HRVATSKE

Z A G R E B

Frankopanska 16

U  I M E  R E P U B L I K E  H R V A T S K E

P R E S U D A

Visoki upravni sud Republike Hrvatske u vijeću sastavljenom od sudaca toga suda Snježane Horvat-Paliska, predsjednice vijeća, Gordane Marušić-Babić i Hrvoja Miladina članica vijeća, te više sudske savjetnice – specijalistice Blaženke Drdić, zapisničarke, u upravnom sporu tužitelja KONZUM plus d.o.o., Zagreb, Marijana Čavića 1a, protiv tuženika Agencije za zaštitu osobnih podataka, Zagreb, Selska cesta 136, radi prava na zaštitu osobnih podataka, odlučujući o žalbi tužitelja protiv presude Upravnog suda u Rijeci, poslovni broj: 3 Us I-580/2023-11 od 15. rujna 2023., na sjednici vijeća održanoj 16. lipnja 2026.

p r e s u d i o  j e

I. Žalba se odbija i potvrđuje presuda Upravnog suda u Rijeci, poslovni broj: 3 Us I-580/2023-11 od 15. rujna 2023.

II. Odbija se zahtjev tužitelja za naknadu troška sastava žalbe.

Obrazloženje

1. Pobijanom presudom odbijen je tužbeni zahtjev za poništenje rješenja tuženika, klasa: UP/I-034-01/21-01/03, urbroj: 567-12/07-22-01 od 24. siječnja 2022. te je odbijen zahtjev tužitelja za nadoknadu troškova upravnog spora (točke I. i II. izreke).

2. Navedenim rješenjem tuženika utvrđeno je da je nepoduzimanjem odgovarajućih mjera sigurnosti obrade osobnih podataka od strane tužitelja, kao voditelja obrade, protivno članku 32. stavku 1. točkama b) i d) te stavku 2. i 4. Opće uredbe o zaštiti podataka (Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ, SL EU L 119, u nastavku teksta: Opća uredba o zaštiti podataka), došlo do neovlaštene obrade osobnih podataka ispitanika njihovom javnom objavom na društvenim mrežama i u medijima (točka I. izreke). Točkom II. izreke rješenja za kršenje opisano u točki I. izreke rješenja, u skladu s odredbom članka 83. stavcima 2. i 4. točke a) Opće uredbe o zaštiti podataka izrečena je tužitelju upravna novčana kazna u iznosu od 675.000,00 kn, koju je tužitelj dužan platiti u korist državnog proračuna u roku od 15 dana od dana pravomoćnosti rješenja na način pobliže naveden u izreci tog rješenja. U točki III. izreke rješenja utvrđeno je da, ukoliko tužitelj u roku od 15 dana od dana pravomoćnosti rješenja ne plati izrečenu upravnu kaznu, da će tuženik sukladno članku 46. stavku 2. Zakona o provedbi Opće uredbe o zaštiti podataka („Narodne novine“, broj: 42/18.) obavijestiti područni ured Porezne uprave Ministarstva financija na čijem području je sjedište navedenog društva, radi naplate upravne novčane kazne prisilnim putem prema propisima o prisilnoj naplati poreza, dok je u točki IV. izreke rješenja utvrđeno da je tužitelj dužan u roku od 15 dana od dana izvršene uplate dostaviti dokaz o uplati tuženiku.

3. Tužitelj podnosi žalbu zbog bitne povrede pravila sudskog postupka, pogrešno i nepotpuno utvrđenog činjeničnog stanja i pogrešne primjene materijalnog prava. Ističe da je, suprotno zaključcima prvostupanjskog suda, prije povrede implementirao niz mjera, za što je dostavio i odgovarajuće dokaze (kontrolu pristupa na način da pristup snimkama videonadzora imaju samo ovlaštene osobe; da se obrada osobnih podataka može provoditi samo u svrhu koja je nužna i opravdana za zaštitu osoba i imovine, s kojom su svrhom jasno upoznati radnici; kontinuirano educirao zaposlenike i provjeravao znanje nakon edukacija; fiksiranje snimaka videonadzora dozvolio isključivo ovlaštenim osobama, pri čemu se snimke fiksiraju na eksterni hard disk koji se potom pohranjuje u sigurnosni sef pod ključem; uveo automatizirani sustav zapisa za evidentiranje pristupa snimkama videonadzora koji na temelju logova evidentira tko je snimkama pristupio i u koje vrijeme; pristup funkcionalnostima snimača zaštitio obvezom unosa korisničkog imena i alfanumeričke zaporke, dok je udaljen i pristup onemogućen; ekrane videonadzora je smjestio u ured voditelja prodavaonice kojima pristup ima ograničen broj osoba i koji se zaključava; snimke pohranio na vremenski period od oko 30 dana, odnosno najviše šest mjeseci u slučaju izuzetih snimaka te u ugovore o radu unio odredbu o povjerljivosti osobnih podataka). Smatra da je na taj način ispunio i zakonske obveze iz članka 26. do 29. Zakona o provedbi Opće uredbe o zaštiti podataka, te da su implementirane mjere odgovarajuće, uzevši u obzir svrhu odgovarajućih mjera iz članka 32. stavka 1. navedene Opće uredbe. Ističe da je vodeći trgovački lanac u Republici Hrvatskoj s više od 10 000 zaposlenika koji rade u više od 600 poslovnica, koje se svakodnevno nadziru putem sustava videonadzora, te da se ovdje radi o specifičnom slučaju povrede uslijed ljudske pogreške i izoliranom slučaju, dok kod njega nisu evidentirane iste ili slične povrede podataka. Stoga da je jasno da su implementirane mjere odgovarajuće s obzirom na rizik. Nadalje, da u konkretnom slučaju snimanje videonadzora od strane radnika nije počinjeno na način da je radnik neovlašteno ušetao u prostoriju tužitelja u kojoj se vršio videonadzor i pristupio snimanju videonadzora na način da je u sustav videonadzora upisao pristupne podatke, korisničko ime i zaporku i snimio vlastitim mobitelom, već je navedeno počinio po nalogu voditeljice poslovnice. Voditeljica poslovnice o istome je obavijestila nadređenu osobu, jer se u prodavaonici dogodio fizički obračun, a niti je internom provjerom, ni tijekom upravnog postupka nije utvrđeno da bi zaposlenici tužitelja učinjenu snimku podijelili putem društvenih mreža s trećim osobama, što je pogrešno zaključio prvostupanjski sud. Nadalje, nakon predmetnog incidenta, ističe da je osim hitne edukacije odmah poduzeo i niz drugih mjera: voditeljici dućana izrekao radno pravnu mjeru opomene pred otkaz ugovora o radu, zatražio brisanje snimke s pisanom potvrdom o provedenom brisanju od svih osoba za koje je utvrđeno da posjeduju snimku, u sve prostorije svih prodavaonica tužitelja u kojima se nalazi videonadzor, na ekrane postavio naljepnice na kojima je istaknuta zabrana snimanja snimki/kadrova videonadzora na mobilne ili bilo koje druge uređaje uz informaciju da je uvid u snimke videonadzora dozvoljen samo ovlaštenim osobama. Također, usvojio je novi Pravilnik o zaštiti osobnih podataka kojim su u točki XVI. Sigurnost i zaštita osobnih podataka propisane obveze postupanja radnika s osobnim podacima ispitanika. Iako se nadzor redovito provodio i ranije na temelju akta „Sigurnosni plan zaštite KONZUM plus d.o.o.“, koji je stavljen van snage, uveden je zaseban obrazac kako bi nadzor bio dokumentiran te kako bi se lakše, na temelju njega, poduzele i korektivne radnje ako su takve potrebne. Smatra da mjere koje je tuženik, a i prvostupanjski sud predložio kao mjere koje bi se mogle poduzeti nisu prikladne ni primjerene s obzirom na rizik. Što se tiče izricanja upravne novčane kazne, smatra da je propušteno utvrditi sve elemente koji su relevantni za odmjeravanje izrečene kazne sukladno članku 83. stavku 2. Opće uredbe o zaštiti podataka, koji citira u žalbi. S tim u vezi navodi da je propušteno utvrditi da je incidentom obuhvaćen vrlo mali broj ispitanika čiji identitet nije moguće temeljem snimke utvrditi, te da svrha obrade nije dio glavne djelatnosti tužitelja kao voditelja obrade. Ističe da nije utvrđeno ni u kojoj mjeri i je li uopće nastala ikakva šteta za ispitanike. Ističe da je na ročištu održanom 14. rujna 2023. zatražio dodatan rok za očitovanje na okolnost dostupnosti videa na stranici R i-Portal net.hr., iz čega proizlazi da je uložio napore da se sporni video sadržaj ukloni sa por tala u kojima je objavljen. Predlaže Sudu da poništi pobijanu presudu i usvoji tužbeni zahtjev, te poništi osporeno rješenje tuženika, te naloži tuženiku da mu nadoknadi trošak spora s pripadajućim zateznim kamatama. Traži trošak za sastav žalbe u iznosu od 2.098,75 eura.

4. Tuženik u odgovoru na žalbu ističe da je upravo utvrđenje nedostatnosti navedenih mjera temelj za izrečenu upravnu novčanu kaznu. Navodi da tužitelj pogrešno smatra da rizik u smislu odredbe članka 32. Opće uredbe o zaštiti podataka nije postojao, te da nije postojala potreba da se pored implementiranih mjera uvode dodatne mjere usmjerene na sprječavanje takve namjere. Naglašava da se postupanje zaposlenika tužitelja AE i KE nikako ne može smatrati greškom, već isključivo namjerom, s obzirom da su imenovani ušli u prostoriju gdje se nalazi sustav pohrane videonadzornog sustava s namjerom pregledavanja snimke netom odigranog događaja sukoba dvije osobe na blagajni, pokrenuli snimku i s namjerom imanja kopije predmetne snimke da je KE mobilnim uređajem snimio nadzorni ekran na kojem se prikazivao događaj, a AE je zatim s namjerom imanja iste snimke zatražila od KE da joj pošalje na njen telefon. Tom događaju bila je prisutna i treća osoba, RE, te se iz komentara nazočnih razaznaje da ih događaj na snimci zabavlja, te se ne može izvesti zaključak da je snimanje nadzornog ekrana sa spornim događajem imalo bilo koju drugu svrhu osim zabave, a postupak nije bila greška već namjera. Stoga se iz navedenog ponašanja navedenih zaposlenika razaznaje da voditelj obrade nije u dovoljnoj mjeri prethodno ukazao na nedopustivost takvih ili sličnih radnji, odnosno da su postojeće mjere adekvatne. Nadalje, s namjerom, AE je učinjenu snimku poslala FE, koji je zatim naložio njeno brisanje (prema izvješću o neprimjerenom video isječku voditelja kooperativne sigurnosti TE, priloženo očitovanju tužitelja od 23. prosinca 2020.), pri čemu nije navedeno da je stvaranje sporne snimke bilo kako bi voditeljica o tome obavijestila nadređenu osobu, imajući u vidu da se u prodavaonici dogodio fizički obračun. Tko je od navedene tri osobe proslijedio učinjenu snimku dalje trećim osobama, odnosno tko ju je učinio javno dostupnom i poslije postao novi voditelj obrade, nije predmet ovog postupka, već utvrđenje odgovornosti tužitelja u odnosu na primjenu odgovarajućih organizacijskih i tehničkih mjera obrade. Ističe da ni u jednom trenutku nije izjavio da bi predložene mjere spriječile predmetnu povredu niti postoji u praksi apsolutno siguran sustav, bilo u svezi fizičke ili tehničke zaštite nigdje, već da je potrebno poduzeti mjere, a uzimajući u obzir okolnosti, odnosno specifičnu situaciju, koje voditelj obrade može implementirati s ciljem prevencije/sprječavanje incidenta u začetku ili otežavanja provedbe neovlaštenih radnji. Stoga da je u trenutku predmetne povrede postojala mjera redovite kontrole logova pristupa videonadzornom sustavu zajedno s internim aktom koji propisuje sankcije zaposleniku u svezi neopravdanog pristupa i zlouporabe, da bi ista možebitno odvratila zaposlenike za potrebe zabave pristupa videozapisima i pohrane snimke na mobilne uređaje, također da je postojala mjera zabrane boravka neovlaštene osobe u prostoriji za pohranu videozapisa zajedno s internim aktom koji propisuje sankciju voditeljice poslovnice u slučaju da omogući nadležnoj osobi boravak u prostoriji za pohranu videozapisa, da bi ista možebitno odvratila zaposlenike za potrebe zabave pristupu videozapisu. Također, nadalje navodi da je postojala predmetna povreda da se zabranjuje unošenje mobilnog uređaja u prostoriju za pohranu i pregledavanje videonadzora, da je u trenutku predmetne povrede postojala mjera zabrane snimanja nadzornog ekrana videonadzornog sustava mobilnim uređajem, da je u trenutku predmetne povrede postojala mjera da se u slučaju povrede pregledavanja videozapisa mora prethodno kontaktirati regionalni voditelj koji to autorizira, da bi isto možebitno odvratilo zaposlenike da za potrebe zabave pristupe videozapisima i pohrane snimku na mobilni uređaj. Ističe da je s dužnom pažnjom uzeo u obzir sve činjenice i okolnosti utvrđenog postupka sukladno kriterijima citiranog članka 83. stavka 2. Opće uredbe o zaštiti podataka te utvrdio stupanj odgovornosti tužitelja. U odnosu na ostale navode tužitelja ističe da je sporni videozapis još uvijek dostupan na portalu Ri-portal.net.hr, te zahtjevi upućeni prema medijima putem e-mail korespondencije ne predstavljaju adekvatan uložen napor za uklanjanjem spornog sadržaja javno dostupnog u medijima. Ističe da je kazna koja je izrečena učinkovita, proporcionalna i odvraćajuća, te izrečena prema kriterijima iz članka 83. stavka 2. i 4. Opće uredbe o zaštiti podataka i Metodologijom izračuna visine upravne novčane kazne. Predlaže Sudu da odbije žalbu kao neosnovanu.

5. Žalba nije osnovana.

6. Ispitujući pobijanu presudu u skladu s odredbom članka 134. stavka 1. Zakona o upravnim sporovima ("Narodne novine", broj: 36/24.i 39/26-Odluka Ustavnog suda Republike Hrvatske, dalje: ZUS) ovaj Sud smatra da ne postoje razlozi zbog kojih se presuda pobija, odnosno oni ne utječu na donošenje drukčije odluke.

7. Članak 32. stavak 1. Opće uredbe o zaštiti podataka propisuje da uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, uključujući prema potrebi: (b) sposobnost osiguravanja trajne povjerljivosti, cjelovitosti, dostupnosti i otpornosti sustava i usluga obrade i (d) proces za redovno testiranje, ocjenjivanje i procjenjivanje učinkovitosti tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade. Stavkom 2. istoga članka 32. Opće uredbe, propisano je da se prilikom procjene odgovarajuće razine sigurnosti u obzir posebno uzimaju rizici koje predstavlja obrada, posebno rizici od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja osobnih podataka ili neovlaštenog pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani. Voditelj obrade i izvršitelj obrade poduzimaju mjere kako bi osigurali da svaki pojedinac koji djeluje pod odgovornošću voditelja obrade ili izvršitelja obrade, a koji ima pristup osobnim podacima, ne obraduje te podatke ako to nije prema uputama voditelja obrade, osim ako je to obvezan učiniti prema pravu Unije ili pravu države članice . (stavak 4. istog članka 32.).

8. Člankom 28. stavkom 1. Zakona o provedbi Opće uredbe o zaštiti podataka, propisano je da pravo pristupa osobnim podacima prikupljenim putem videonadzora ima odgovorna osoba voditelja obrade odnosno izvršitelja obrade i/ili osoba koje on ovlasti. Osobe iz stavka 1. ovog članka ne smiju koristiti snimke iz sustava video nadzora suprotno svrsi utvrđenoj u članku 26. stavku 1. ovoga Zakona.

9. Predmetni upravni postupak pokrenut je po s lužbenoj dužnosti, u kojem je utvrđeno da je nepoduzimanjem odgovarajućih mjera sigurnosti obrade osobnih podataka od strane tužitelja, kao voditelja obrade, protivno članku 32. stavku 1. točaka b) i d) te stavku 2. i 4. Opće uredbe o zaštiti podataka, došlo do neovlaštene obrade osobnih podataka ispitanika njihovom javnom objavom na društvenim mrežama i u medijima, a uslijed čega je tužitelju sukladno članku 83. stavcima 2. i 4. točke a) Opće uredbe o zaštiti podataka izrečena upravna novčana kazna u iznosu od 675.000,00 kn.

10. Prvostupanjski sud je ocijenio da je tuženik u potpunosti i pravilno utvrdio činjenično stanje na koje je pravilno primijenio odredbe Opće uredbe o zaštiti podataka i Zakona o provedbi Opće uredbe o zaštiti podataka te ZUP-a.

11. Naime, prema podacima spisa proizlazi da su zaposlenici tužitelja neovlašteno i protivno internim aktima i uputama tužitelja, mobitelom snimili snimku video nadzora koja prikazuje fizički obračun dvoje kupaca, te je o predmetnoj snimci 30. studenog 2020. obaviješten sektor marketinga tužitelja od strane novinara. Radi utvrđivanja povrede osobnih podataka ispitanika Konzuma, provedena je interna kontrola 2. prosinca 2020., te je tuženik zatražio dodatna očitovanja tijekom postupka (očitovanja tužitelja 23. prosinca 2020. i 12. svibnja 2021.), te je utvrđeno da je sporna snimka nastala 21. svibnja 2020. u Konzum prodavaonici na adresi [adresa], i da je neovlaštenu snimku snimio zaposlenik Konzuma (KE) i to na temelju naloga voditeljice dućana (AE) uz prisustvo RE te je snimka neovlašteno distribuirana putem WhatsApp mobilne aplikacije za dopisivanja.

12. Također, utvrđeno je da je lozinka za pristup videonadzoru bila vidno izvješena na rubu monitora što predstavlja propust u sigurnosti videonadzora sustava voditelja obrade, za što je trebala biti predviđena mjera sankcije ovlaštene osobe za pristup videonadzornom sustavu ako lozinku čini dostupnom neovlaštenim osobama. Tužitelj kao voditelj obrade nije provodio redovite kontrole pristupa i uporabe video nadzornog sustava, a navedene mjere redovitih kontrola i moguće sankcije voditelja obrade prema odgovornoj osobi ne bi u potpunosti spriječile opisane radnje voditeljice dućana i drugih osoba, ali bi s velikom sigurnošću svele iste na minimum.

13. Imajući u vidu navedeno, zaključeno je da je tužitelj trebao primijeniti mjere koje bi prevenirale takvu “namjeru” u začetku ili otežale provedbu, pa i prema ocjeni ovoga Suda, postoji odgovornost tužitelja kao ispitanika obrade podataka u odnosu na nepoduzimanje odgovarajućih mjera sigurnosti koje su mogle, odnosno trebale svesti rizik iste ili slične povrede na najmanju moguću razinu.

14. Pravilno prvostupanjski sud zaključuje da se predmetna povreda ne može okvalificirati kao isključivo posljedica Ijudske greške, kako to tvrdi tužitelj, već kao namjera, jer su zaposlenici tužitelja svjesno pristupili sustavu pohrane videozapisa koristeći korisničko ime i lozinku ovlaštene osobe za pristup istom, pretragom pronašli sporan video zapis, pokrenuli ga te istovremeno snimali nadzorni monitor mobilnim uređajem, nakon čega su učinjenu snimku podijelili putem društvene mreže s trećim osobama.

15. S obzirom da sukladno odredbi članka 32. stavka 1. Opće uredba o zaštiti podataka postoji obveza voditelja obrade u primjeni odgovarajućih organizacijskih i tehničkih mjera zaštite obrade, a prema članku 28. stavku 2. Zakona o provedbi Opće uredbe o zaštiti podataka odgovorne osobe voditelja obrade ne smiju koristiti snimke iz sustava video nadzora suprotno svrsi utvrđenoj u članku 26. stavku 1. Zakona, postoji odgovornost voditelja obrade da procijeni i implementira odgovarajuće mjere u cilju sprječavanja i/ili umanjenja možebitnih povreda osobnih podataka.

16. Premda je riječ o aktivnosti pojedinaca, zaposlenika voditelja obrade, koje su dovele do predmetne povrede, pravilno je zaključeno da tužitelj kao voditelj obrade zadržava odgovornost temeljem odredbi Opće uredbe o zaštiti podataka zbog nepoduzimanja odgovarajućih mjera sigurnosti obrade osobnih podataka i Zakona o provedbi Opće uredbe o zaštiti podataka. Potrebno je također istaći da je prema podacima spisa sporni video na dan 14. rujna 2023. bio dostupan na stranici Ri- portal.net.hr, a i kasnije (na dan pisanja odgovora na tužbu). Izrečena novčana kazna je i prema ocjeni ovoga Suda učinkovita, proporcionalna i odvraćajuća, te je odmjerena u skladu s odredbom članka 83. stavaka 2. i 4. točke a) Opće uredbe o zaštiti podataka, imajući u vidu da je tužitelj već ranije kršio odredbe Opće uredbe o zaštiti podataka (rješenje tuženika od 13. siječnja 2020.).

17. Odluka o trošku utemeljena je na odredbi članka 147. stavka 1. ZUS-a koja propisuje da stranka koja izgubi spor u cijelosti snosi troškove spora, ako zakonom nije drukčije propisano. Budući da je tužitelj izgubio spor, pravilno je odbijen njegov zahtjev za naknadu troška, S obzirom da je žalba odbijena nije osnovan zahtjev tužitelja na za naknadom troška sastava žalbe, te je na temelju odredbe članka 147. stavka 1. ZUS - a odlučeno kao pod točkom II. ove presude.

18. Slijedom navedenog, valjalo je pozivom na odredbu članka 135. stavka 1. ZUS- a, odlučiti kao u točki I. izreke presude.

U Zagrebu, 16. lipnja 2026.

Predsjednica vijeća

Snježana Horvat-Paliska