Poslovni broj: Us I-2709/2025-11

REPUBLIKA HRVATSKA

UPRAVNI SUD U SPLITU

Put Supavla l

U  I M E  R E P U B L I K E  H R V A T S K E

P R E S U D A

Upravni sud u Splitu, po sucu tog suda Leandri Mojtić kao sucu pojedincu te Milki Škaro Grozdanić zapisničarki, u upravnom sporu tužitelja INA - industrija nafte d.d. Zagreb, Avenija Većeslava Holjevca 10, OIB: 27759560625, koju zastupa opunomoćenica Tarja Krehić odvjetnica u Zagrebu, protiv tuženika Agencije za zaštitu osobnih podataka (AZOP), Zagreb, Selska cesta 136, OIB: 28454963989, koju zastupa opunomoćenik Matija Kontak savjetnik u Sektoru za EU, Međunarodnu suradnju i pravne poslove, zaposlen u AZOP-u, radi povrede prava za zaštitu osobnih podataka, nakon usmene i javne rasprave zaključene 10. travnja 2026., a objavljene 5. svibnja 2026.,

p r e s u d i o  j e

I. Odbija se tužbeni zahtjev kojim tužitelj predlaže poništenje rješenja Agencije za zaštitu osobnih podataka, Zagreb, KLASA: UP/I-034-01/24-01/1, URBROJ: 567-04- 01107-24-1 od 12. travnja 2024., kao neosnovan.

II. Odbija se zahtjev tužitelja za naknadom troškova upravnog spora, kao neosnovan.

Obrazloženje

1. Osporavanim rješenjem tuženika Agencije za zaštitu osobnih podataka, Zagreb, KLASA: UP/I-034-01/24-01/1, URBROJ: 567-04-01107-24-1 od 12. travnja 2024. u točci 1. izreke utvrđuje se kako društvo INA - lndustrija nafte d.d. Zagreb, kao voditelj obrade, u sklopu maloprodajnog mjesta (benzinske postaje) INA Zadar – Jazine na adresi [adresa], protivno čl. 32. stavcima 1. i 2. Opće uredbe o zaštiti podataka, nije poduzeo odgovarajuće tehničke mjere kako bi osigurao da ne dođe do neovlaštenog pristupa osobnim podacima obrađivanim putem videonadzornog sustava postavljenog na lokaciji predmetnog maloprodajnog mjesta. Točkom 2. izreke riješeno je da se za kršenje opisano u točci 1. izreke ovog rješenja, u skladu s odredbama članka 83. Opće uredbe o zaštiti podataka, izriče društvu INA - Industrija nafte d.d. iz Zagreba, Avenija Većeslava Holjevca 10, upravna novčana kazna u iznosu od 5.000,00 EUR (slovima: pet tisuća eura)

Točkom 3. izreke riješeno je da je društvo INA - industrija nafte d.d. Zagreb, dužno platiti izrečenu upravnu novčanu kaznu u korist državnog proračuna u roku od 15 dana od dana pravomoćnosti ovog rješenja u korist označenog računa. Točkom 4. izreke riješeno je ukoliko društvo INA - Industrija nafte d.d. Zagreb u roku od 15 dana od pravomoćnosti ovog rješenja ne plati upravnu novčanu kaznu, da će Agencija za zaštitu osobnih podataka sukladno čl. 46. stavku 2. Zakona o provedbi Opće uredbe o zaštiti podataka obavijestiti Područni ured Porezne uprave Ministarstva financija na čijem je području sjedište društva radi naplate upravne novčane kazne prisilnim putem prema propisima o prisilnoj naplati poreza.

Točkom 5. izreke riješeno je da je društvo INA - Industrija nafte d.d. iz Zagreba dužno u roku od 15 dana od izvršene uplate dostaviti dokaz o uplati Agenciji za zaštitu osobnih podataka.

2. Protiv osporavanog rješenja tužitelj je pravodobno podnijo opširnu tužbu Upravnom sudu u Zagrebu osporavajući zakonitost rješenja zbog pogrešno utvrđenog činjeničnog stanja, zbog pogrešne primjene materijalnog prava te zbog povrede odredbi upravnog postupka. Tužitelji u tužbi opisuje kronologiju predmetne upravne stvari u bitnom navodeći da je izreka osporavanog rješenja nejasna te da je proturječna dokazima i navodima iz obrazloženja osporavanog rješenja, da Opća uredba o zaštiti osobnih podataka nije pravilno primijenjena, da Smjernice 3/2019 o obradi osobnih podataka nisu pravilno primijenjene te se pozvala na primjer dopuštene prakse uz videonadzor na monitoru vidljivom prema Smjernicama nadzornog tijela navodeći da su ICO Smjernice relevantne i za predmetnu situaciju iako Ujedinjeno Kraljevstvo više nije jedna od članica EU, da obrazloženje osporavanog rješenja nije u skladu s odredbom čl. 98. st. 5. ZUP-a, što da upućuje na arbitrarnost tuženog tijela, te da je tuženo tijelo nezakonito jer da je protivno odredbi čl. 8. i čl. 47. st. 1. ZUP-a jer da nisu utvrđene činjenice i okolnosti bitne za pravilno rješenje predmetne upravne stvari, odnosno da je tuženo tijelo u osporavanom rješenju propustilo utvrditi predstavlja li dostupnost prikaza videonadzora lokacija koje su kupcu ionako vidljive samim prisustvom na lokaciji maloprodajnog mjesta pretjerano zadiranje u privatnost ispitanika, odnosno subjekata videonadzora, a što da je ključna okolnost koja je bitna za zakonito i pravilno rješavanje upravne stvari. Tužitelj u tužbi navodi da izreka nije dovoljno određena te da je nejasna jer da se iz nje ne može nedvojbeno utvrditi što je odlučeno te u kojem dijelu su tehničke mjere nedovoljne budući da se u obrazloženju osporavanog rješenja navode brojne tehničke mjere koje je tužitelj poduzeo kako bi osigurao da ne dođe do neovlaštenog pristupa predmetnim osobnim podacima te da tuženo tijelo navodi kako se neodgovarajuće tehničke mjere zaštite odnose samo na zaslon za pregled zahvata videonadzornih kamera u realnom vremenu unutar prostorije predmetne benzinske postaje koji je postavljen na način da je isti vidljiv svim posjetiteljima benzinske postaje, a što se prema obrazloženu smatra suprotno od propisanog čl. 32. st. 1. i st. 2. Opće uredbe o zaštiti osobnih podataka. Tužitelj ističe da je pobijano rješenje doneseno pogrešnom primjenom zakona i drugih propisa utemeljenih na zakonu, da je pobijano rješenje doneseno nepravilnom primjenom Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (u daljnjem tekstu: „Uredba"). Da je prema stavku 1. članka 32. Uredbe za kojeg tuženik smatra da je povrijeđen postupanjem tužitelja, propisano da voditelj obrade (u konkretnom slučaju Tužitelj) provodi odgovarajuće tehničke i organizacijske mjere kako bi osigurao odgovarajuću razinu sigurnosti, a uzimajući u obzir, između ostalog, prirodu, opseg, kontekst i svrhe obrade, kao i rizik različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca. Pritom, da je stavkom 2. članka 32. Uredbe propisano da se „prilikom procjene odgovarajuće razine sigurnosti u obzir posebno uzimaju rizici koje predstavlja obrada, posebno rizici od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja osobnih podataka ili neovlaštenog pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani." Tužitelj ističe da se u konkretnom slučaju, a s obzirom na to da se prema obrazloženju osporavanog rješenja radi o postavljanju zaslona za pregled zahvata videonadzornih kamera u realnom vremenu, dakle bez postojanja snimke koja je dostupna posjetiteljima benzinske postaje, rizici koje predstavlja brada u smislu stavka 1. članka 32. Uredbe, a koje je Tužitelj trebao uzeti o obzir ne odnose na rizik „od slučajnog ili nezakonitog uništenja, gubitka, izmjene" niti „neovlaštenog pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani" jer da oni nisu mogući s obzirom na to da se radi o prikazu videonadzora u realnom vremenu, a ne o snimci. Da eventualni, a koje je tužitelj kao voditelj obrade trebao uzeti u obzir se eventualno odnose na one „neovlaštenog otkrivanja osobnih podataka". Da iako u izreci osporavanog rješenja tuženik ne precizira vrstu prikaza videonadzornog sustava (odnosno da ne radi razliku između pregleda zahvata videonadzornih kamera u realnom vremenu od onog koji se snima na sustave pohrane), s obzirom na obrazloženje pobijanog rješenja koje ne dovodi u pitanje zakonitost videonadzornog sustava kao takvog niti primijenjenih tehničkih i organizacijskih mjera , da se tužitelj predmetnom tužbom osvrće samo na pregled videonadzornih kamera u realnom vremenu unutar prostorije predmetne benzinske postaje postavljen na način da je isti vidljiv svim posjetiteljima benzinske postaje. Naime, da tuženik samo taj dio zahvata videonadzornih kamera u obrazloženju Osporavanog rješenja smatra suprotnim od onog što je propisano člankom 32. stavkom 1. i 2. Uredbe. Tužitelj smatra kako je Tuženik nepravilno primijenio odredbe članka 32. stavka 1. i 2. Uredbe te nepravilno zaključio da je Tužitelj „propustio provesti odgovarajuće tehničke mjere zaštite sukladno postojećim i predvidivim rizicima od neovlaštenog otkrivanja osobnih podataka". Naime, Tužitelj drži da je upravo proveo sve odgovarajuće tehničke mjere zaštite sukladno postojećim i predvidivim rizicima od neovlaštenog otkrivanja osobnih podataka. Naime, da se na zaslonu za pregled zahvata videonadzornih kamera u realnom vremenu prikazuje prikaz 4 videonadzorne kamere koje prikazuju samo ono što je posjetiteljima ionako vidljivo samim prisustvom na lokaciji maloprodajnog mjesta. Konkretno, da se radi o prikazu relevantnih prostora maloprodajnog mjesta: (i) prikaz agregata 1 i 2, (ii) prikaz agregata 3 i 4, (iii) prikaz cestovnog izlaza s maloprodajnog mjesta te (iv) prikaz prostora trgovine maloprodajnog mjesta. Kao što je navedeno u osporavanom rješenju, na predmetnoj lokaciji maloprodajnog mjesta postoji ukupno 9 videonadzornih kamera, dok su samo prikazi sa 4 videonadzorne kamere vidljivi na zaslonu koji je vidljiv i posjetiteljima maloprodajnog mjesta. Prikazi s ostalih videonadzornih kamera, kao i snimke s videonadzornih kamera nisu vidIjivi niti dostupni posjetiteljima maloprodajnog mjesta te su u odnosu na njih primijenjene vrlo detaljne i rigorozne mjere zaštite, kako one tehničke tako i organizacijske naravi, a o čemu da i sam tuženik govori u obrazloženju osporavanog rješenja. Tužitelj nadalje ukratko navodi razloge iz kojih da je vidljivo da pregled zahvata videonadzornih kamera u realnom vremenu unutar prostorije predmetne benzinske postaje koji je postavljen na način da je isti vidljiv svim posjetiteljima benzinske postaje nije u suprotnosti s Uredbom, a naročito stavcima 1. i 2. članka 32.:

- da je takva je obrada očekivana iz perspektive ispitanika. Korištenje videonadzora na maloprodajnim mjestima, a pogotovo benzinskim postajama, uključujući postavu monitora za prikaz videonadzora, je uobičajena praksa diljem Europe te da je takav način videonadzora široko uobičajen u Republici Hrvatskoj, naročito na mjestima maloprodaje i prodaje robe široke potrošnje;

- da je takav monitor u interesu kupaca jer da služi kao nužno sredstvo zaštite imovine i osoba na maloprodajnom mjestu. Da monitori za prikaz sustava videonadzora u realnom vremenu povećavaju sigurnost i imaju odvraćajući učinak u odnosu na moguće kriminalne aktivnosti budući da povećavaju svijest o snimanju putem videonadzora. Da su takvi zasloni također ohrabrujući (u smislu da se radnici, kupci i posjetitelji osjećaju sigurnije) prema ispitanicima - ostalim kupcima koji se nalaze u prostorijama maloprodajnog mjesta, kao i radnicima koji su sami u smjeni;

- da su iskustvenim saznanjima iz poslovne prakse također uočena i očekivanja ispitanika, konkretno kupaca, da budu vidljivi prodavačima na maloprodajnim mjestima, bez obzira na činjenicu na kojem se dijelu maloprodajnog mjesta nalaze, iz razloga da ih prodavači vide dok čekaju odnosno da ih je potrebno uslužiti, kao i iz sigurnosnih razloga, a navedeno očekivanje da je u uskoj vezi s time da potrebe kupaca budu prepoznate, odnosno da im se pruži određeni standard usluge i sigurnosti koji priliči ovakvoj vrsti uslužne djelatnosti. Da navedene tvrdnje potkrjepljuje i Anketa o sigurnosti na INA maloprodajnim mjestima provedena među 10.445 korisnika INA Loyalty programa u razdoblju od 27. - 28. svibnja 2024.(dalje u tekstu: „Anketa").Da je iz Ankete vidljivo, između ostalog, kako korisnici monitore koji služe u svrhu videonadzora, a koji su vidljivi kupcima smatraju uobičajenom pojavom na benzinskim postajama što da je potvrdilo čak 92,16% anketiranih korisnika. Pored toga, da Anketa jasno pokazuje kako se korisnici osjećaju sigurnije ako u prostoru vide monitore koji služe za videonadzor iz sigurnosnih razloga što da je potvrdilo 87,18% korisnika. Završno, da iz Ankete proizlazi da 86,88% korisnika smatra da vidljivost monitora za videonadzor u trgovinama ne zadire u njihovu privatnost. Da je ključna činjenica koja ide u prilog tome da korištenje takvih monitora ne predstavlja pretjerano zadiranje u privatnost ispitanika, činjenica što se točno prikazuje na takvim monitorima. Da navedeno ujedno predstavlja i tehničku mjeru zaštite koju je tužitelj primijenio, odnosno da se na monitorima u realnom vremenu prikazuje videonadzor određenih lokacija na maloprodajnom mjestu koje su dio javno dostupnog prostora, odnosno da su kupcu ionako vidljive i pristupačne. Drugim riječima, da se na takvim monitorima ni u kojem slučaju ne prikazuje videonadzor lokacija koje kupcu nisu dostupne niti za koje kupac nema ovlaštenje da ih vidi, odnosno za koje nema ovlaštenje ulaza na takve lokacije. Stoga, da uzevši u obzir činjenicu da se radi o ionako vidljivim lokacijama radnicima, kupcima i posjetiteljima na javno dostupnom mjestu, nije narušeno načelo povjerljivosti i sigurnosti u skladu s člankom 32. Uredbe te da se ne radi o neovlaštenom uvidu. Tužitelj ističe kako do sada nije zaprimio niti jedan prigovor ispitanika koji bi se odnosio na prikazivanje videonadzora na maloprodajnom mjestu tužitelja. U skladu s navedenim, posebno uzevši u obzir da se radi o očekivanoj obradi, da su svi ispitanici nužno upoznati s takvom obradom te da su primijenjene tehničke mjere u pogledu koje točno lokacije se prikazuju na monitorima. Tužitelj naglašava kako takva obrada ne predstavlja neovlašteni uvid u sustav videonadzora niti nerazmjerno narušavanje privatnosti ispitanika.

3. Tuženo tijelo je u svom odgovoru na tužbu od 4. srpnja 2024. osporilo tužbene navode tužitelja te se na iste očitovalo navodeći da je tuženik kao nadzorno tijelo za provedbu Opće uredbe o zaštiti podataka dužan provoditi istrage o primjeni Opće uredbe o zaštiti podataka te pri utvrđenju kršenja odredbi Opće uredbe o zaštiti podataka, između ostalog da ima ovlast izreći upravnu novčanu kaznu radi kršenja obveza voditelja obrade propisanih člankom 32. Opće uredbe o zaštiti podataka, sve sukladno odredbama članka 57.stavka 1. toč h), članka 58. stavka 2. toč. i) te članka 83. stavka 4. toč. a) Opće uredbe o zaštiti podataka. Dakle, da je izrekom osporavanog rješenja izrečena upravno novčana kazna radi kršenja obveze voditelja obrade — ovdje tužitelja koja proizlazi iz članka 32. stavaka 1. i 2. Opće uredbe o zaštiti podataka. Da obzirom da je u konkretnom slučaju tužitelju već ranije izrečena korektivna mjera iz članka 58. stavka 2. toč. d) Opće uredbe o zaštiti osobnih podataka u vidu naredbe da postupke obrade uskladi s odredbama Opće uredbe o zaštiti osobnih podataka za istovjetno kršenje obveza, po kojoj je tužitelj postupio, da se tuženik odlučio za primjenu druge korektivne mjere u vidu izricanja upravne novčane kazne umjesto korektivne mjere iz članka 58. stavka 2. toč d) Opće uredbe o zaštiti podataka. Naime, da sukladno odredbi članka 58. stavka 2. toč. d) Opće uredbe o zaštiti podataka nadzorno tijelo ima korektivnu ovlast narediti voditelju obrade ili izvršitelju obrade da postupke obrade uskladi s odredbama ove Uredbe, prema potrebi na točno određen način i u točno zadanom roku, a u kojem slučaju bi se mogla razmatrati argumentacija tužitelja o potrebi da izreka sadrži nedvojbeno utvrđenje u kojem dijelu su tehničke mjere nedovoljne. Također je navelo da nisu relevantni argumenti tužitelja kako je izreka osporavanog rješenja nejasna jer da nije posebno izdvojeno utvrđenje u kojem dijelu su tehničke mjere nedovoljne, u slučaju kada izreka sadržava odluku o izricanju upravne novčane kazne radi kršenja članka 32. stavaka 1. i 2. Opće uredbe o zaštiti podataka, dok se u obrazloženju nalazi detaljan opis kršenja predmetnog članka. Nadalje ističe da je tuženik ovlašten izreći upravno novčanu kaznu poradi kršenja odredbi članka 32. Opće uredbe o zaštiti podataka, neovisno od toga je li zbog kršenja sigurnosti obrade došlo do rizika od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja osobnih podataka ili samo do neovlaštenog pristupa osobnim podacima. U odnosu na tužbeni navod tužitelja da bi nepravilno bile primijenjene odredbe Uredbe, jer da se rizici koje predstavlja obrada u smislu stavka 1. članka 32. Uredbe koje je tužitelj trebao uzeti u obzir ne odnose na rizik od „ slučajnog ili nezakonitog uništenja, gubitka, izmjene" niti „neovlaštenog pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani" jer da oni nisu mogući obzirom da se radi o prikazu videonadzora u realnom vremenu, a ne o snimci, već eventualno o riziku od „neovlaštenog otkrivanja osobnih podataka", tuženo tijelo je navelo da je ključna razlika između otkrivanja i pristupa osobnim podacima u tome što se otkrivanje odnosi na izdvojene konkretne osobne podatke koji su primjerice objavljeni, no neovlaštene osobe nemaju pristup svim podacima koje voditelj obrade obrađuje. U slučaju obrade osobnih podataka putem videonadzornog sustava primjer neovlaštenog otkrivanja osobnih podataka bi se odnosio na obradu u vidu uvida u izdvojenu snimku od strane neovlaštenih osoba. Ističe da se u konkretnom slučaju radi o obradi osobnih podataka putem videonadzornog sustava gdje se uvid u osobne podatke ostvaruje putem zaslona za pregledavanje snimki na kojem se kontinuirano prikazuju nove snimke prikupljene putem videonadzornih kamera, a koji je okrenut na način da neovlaštene osobe mogu ostvariti uvid. Slijedom navedenog, da se ne može reći da se radi o neovlaštenom otkrivanju osobnih podataka, nego upravo o neovlaštenom pristupu osobnim podacima. Da je sukladno čl. 32. st. 1. i 2. Opće uredbe o zaštiti osobnih podataka voditelj obrade dužan implementirati tehničke i organizacijske mjere kako bi osigurali razinu sigurnosti s obzirom na rizik od, između ostalog, neovlaštenog pristupa osobnim podacima, sukladno načelu povjerljivosti. Sigurnost sustava videonadzora, između ostalog, odnosi se na fizičku sigurnost sastavnih dijelova sustava i kontrolu pristupa sustavu videonadzora, a koji se nesporno osim videonadzornih kamera, snimača za pohranu snimki sastoji i od zaslona za uvid u snimke videonadzornog sustava. Nadalje navodi da je tužitelj u obvezi organizacijske mjere koje je propisao internim dokumentom naziva "Korisničke razine pristupa" primjenjivati u praksi, a kako bi se postigla sigurna obrada osobnih podataka. U odnosu na navedeno, da je u konkretnom slučaju tužitelj navedenom organizacijskom mjerom razradio i korisničke razine pristupa u kojima je sukladno načelu "najmanje potrebe" dodijelio između ostalog i ovlaštenja u vidu pristupa praćenja snimki kamera u živo, no na određenim lokacijama nije osigurao provedbu predmetne organizacijske mjere. Da je tužitelj u očitovanju od 23.11.2023. naveo kako zbog različite arhitekture maloprodajnih mjesta nije moguće postići uniformirano rješenje, već da se svakom maloprodajnom mjestu pristupa pojedinačno u traženju optimalnog rješenja te da se takvi monitori postavljaju na povišeno mjesto unutar maloprodajnog mjesta kako bi bili vidljivi radnicima dok obavljaju svoje poslove na blagajničkom mjestu. U odnosu na rezultate Ankete provedene od stane tužitelja, tuženo tijelo je navelo kako mišljenje ispitanika u odnosu na zakonom propisanu primjenu tehničkih i organizacijskih mjera sukladno riziku od neovlaštenog pristupa osobnim podacima kao obvezu voditelja obrade nije relevantno, posebno uzimajući u obzir nisku svijest građana o mogućim zloupotrebama osobnih podataka u digitalnom dobu. Da se očekivanja ispitanika uzimaju u obzir sukladno članku 6. Opće uredbe o zaštiti podataka kod testa ravnoteže interesa prilikom procjene legitimnog interesa voditelja obrade ili treće stane kao jedan od tri kumulativno propisana elementa. Da tužitelj dokazuje zakonitosti pravne osnove za obradu osobnih podataka iz članka 6. stavka 1. toč. f) Opće uredbe o zaštiti podataka legitimni interes voditelja obrade za korištenjem monitora za prikaz videonadzora u realnom vremenu na način da je okrenut prema posjetiteljima uz opravdanje kako su iste lokacije kupcima vidljive samim prisustvom na lokaciji te da je predmetna obrada u skladu s očekivanjima ispitanika. U odnosu na navedeno , tuženo tijelo ponavlja argumentaciju iz obrazloženja osporavanog rješenja te ističe kako je za dokazivanje zakonitosti obrade potrebno zadovoljiti tri kumulativna uvjeta u vidu dokaza da je konkretna obrada nužna, nadalje da je legitimna odnosno zakonita te da su interesi voditelja obrade jači od interesa i prava ispitanika. Obzirom da predmetna obrada nije nužna te da je protivna članku 32. Opće uredbe o zaštiti osobnih podataka, da se ista argumentacija ne može uzeti u obzir kao dovoljna za dokazivanje legitimnog interesa, obzirom da ista dokazuje samo jedan od ukupno tri kumulativna uvjete za dokazivanje legitimnog interesa. Tuženo tijelo se potom očitovalo na tužbene navode tužitelja u odnosu na Smjernice 3/2019 o obradi osobnih podataka za koje tužitelj smatra da nisu pravilno primijenjene te je u cijelosti ustrajao u navodima i razlozima sadržanim obrazloženju osporavanog rješenja, predlažući da Sud odbije tužbeni zahtjev tužitelja.

4. Podneskom od 9. prosinca 2024. tužitelj se očitovao na odgovor na tužbu tuženika te je ustrajao u navodima tužbe.

5. Rješenjem posl. br. UsI-2639/2024-7 od 28. listopada 2025. Upravni sud u Zagrebu se oglasio mjesno nenadležnim te predmet ustupio Upravnom sudu u Splitu kao stvarno i mjesno nadležnom sudu.

6. Postupajući po predmetnoj tužbi Sud je zakazao ročište 10. travnja 2026., na kojem su opunomoćenici stranaka ustrajali u svojim do sada iznijetim navodima kako u tužbi, tako i u navodima iz odgovara na tužbu.

7. Sud je izveo dokaze pregledom i čitanjem isprava priloženih spisu te dostavljenog spisa tuženog tijela, kao i svih isprava koje su istom priložene te je zaključio raspravljanje u predmetnom upravnom sporu.

8. Opunomoćenica tužitelja je popisala i zatražila naknadu troškova upravnog spora.

9. Tužba tužitelja nije osnovana.

10. Predmet spora je ocjena zakonitosti osporavanog rješenja Agencije za zaštitu osobnih podataka, KLASA: UP/I-034-01/24-01/1, URBROJ: 567-04-01107-24- 1 od 12. travnja 2024.

11. Među strankama je sporno je li osporavanim rješenjem pravilno i zakonito tužitelju izrečena upravno novčana kazna radi kršenja obveze voditelja obrade — ovdje tužitelja koja proizlazi iz članka 32. stavaka 1. i 2. Opće uredbe o zaštiti podataka.

12. Među strankama je isključivo sporno je li u konkretnom slučaju i predmetnoj upravnoj stvari došlo do kršenja odredbe 32. st. 1. i st. 2. Opće uredbe o zaštiti podataka.

13. Dakle, među strankama činjenice nisu sporne, sporna je primjena materijalnog prava.

14. Ocjenjujući zakonitost osporavanog rješenja, po ocjeni ovog Suda u konkretnom slučaju nije povrijeđen Zakon na štetu tužitelja, kako to isti neosnovano smatra, već je na temelju pravilno i potpuno utvrđenog činjeničnog stanja pravilno primijenjeno materijalno pravo.

15. Iz stanja spisa i sadržaja obrazloženja osporavanog rješenja proizlazi da je upravni postupak koji je prethodio donošenju osporavanog rješenja proveden po službenoj dužnosti na način da je tuženo tijelo dana 26. listopada 2023. provelo nenajavljeni nadzor nad obradom osobnih podataka putem videonadzora i utvrđenja usklađenosti videonadzornog sustava s odredbama Opće uredbe o zaštiti podataka i Zakona o provedbi Opće uredbe o zaštiti podatka u/na benzinskoj postaji INA, Zadar- Jazine na adresi [adresa], o čemu je sačinjen Zapisnik o provedenom nadzoru KLASA: 042-03/23-01/100, URBROJ:567-12/09-23-03 od 26. listopada 2023.

16. Nadalje proizlazi da je u svezi provedenog nadzora Agencija dana 30. listopada 2023. od voditelja obrade, ovdje tužitelja, između ostalog zatražila očitovanje odnosu na utvrđenje u nadzornom postupanju u svezi postave zaslona za pregled zahvata kamera u realnom vremenu unutar prostorije predmetne benzinske postaje na način da je isti vidljiv svim posjetiteljima predmetne benzinske postaje, interne akte društva odnosne na prikupljanje osobnih podataka putem videonadzora te očitovanje u odnosu na mjere koje su poduzete prilikom procjene odgovarajuće razine sigurnosti u odnosu na rizike koje predstavlja obrada, posebno rizici od neovlaštenog otkrivanja osobnih podataka ili neovlaštenog pristupa osobnim podacima koji se obrađuju uzimajući u obzir Rješenje Agencije KLASA: UP/I-042-01/23-01/01, URBROJ: 567-

12/04-23-01 od 30. siječnja 2023.

17. Također je razvidno da je tužitelj postupio po traženju Agencije, ovdje tuženog tijela, te dostavio očitovanje 23. studenog 2023., u kojem je između ostalog, u bitnom, u odnosu na Rješenje Agencije KLASA: UP/I-042-01/23-01/01, URBROJ: 567-12/04-23-01 od 30. siječnja 2023., u bitnom naveo kako je postupio u skladu s izrekom rješenja te da je na maloprodajnom mjestu INA Črnomerec S 355, na adresi [adresa] ukinuo prijenos videonadzora u realnom vremenu putem monitora vidljivog posjetiteljima, o čemu da je pravovremeno obavijestio Agenciju, dok je u odnosu na čl. 32. st. 2. Uredbe, voditelj obrade, ovdje tužitelj, naveo da se ne radi o neovlaštenom pristupu osobnim podacima putem videonadzora od strane posjetitelja budući da na monitorima nije vidljivo ništa što inače nije vidljivo svakom posjetitelju samim prisustvom na maloprodajnom mjestu.

18. Prema odredbi članka 4. stavku 1. točki 1. Opće uredbe o zaštiti podataka, osobni podaci su svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi, a pojedinac čiji se identitet može utvrditi je osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca.

19. Prema članku 4. stavku 1. točki 2. Opće uredbe o zaštiti podatka, obrada znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje kombiniranje, ograničavanje, brisanje ili uništavanje.

20. Člankom 5. stavkom 1. Opće uredbe o zaštiti podataka propisano je da osobni podaci moraju biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (načelo zakonitosti, poštenosti i transparentnosti); prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama (načelo ograničavanja svrhe); primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obraduju (načelo smanjenja količine podataka); točni i prema potrebi ažurni (načelo točnosti); čuvani u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obraduju (načelo ograničenja pohrane) i obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neodgovarajuće ili nezakonite obrade te od slučajnog gubitka ili uništenja, primjenom odgovarajućih tehničkih ili organizacijskih mjera (načelo cjelovitosti i povjerljivosti). 21. Odredbom č. 6. stavka 1. točke f) propisano je kako je obrada zakonita ako i u onoj mjeri u kojoj je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.

22. Odredba čl. 32. stavak 1. Opće uredbe o zaštiti podataka propisuje da uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako hi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, uključujući prema potrebi: (b) sposobnost osiguravanja trajne povjerljivosti, cjelovitosti, dostupnosti i otpornosti sustava i usluga obrade i (d) proces za redovno testiranje, ocjenjivanje i procjenjivanje učinkovitosti tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade.

Stavkom 2. istog članka je propisano da se prilikom procjene odgovarajuće razine sigurnosti u obzir posebno uzimaju rizici koje predstavlja obrada, posebno rizici od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja osobnih podataka ili neovlaštenog pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani, a stavkom 4. istoga č lanka je propisano da voditelj obrade i izvršitelj obrade poduzimaju mjere kako bi osigurali da svaki pojedinac koji djeluje pod odgovornošću voditelja obrade ili izvršitelja obrade, a koji ima pristup osobnim podacima, ne obrađuje te podatke ako to nije prema uputama voditelja obrade, osim ako je to obvezan učiniti prema pravu Unije ili pravu države Članice.

23. Nadalje, Smjernice 3/2019 o obradi osobnih podataka putem videouređaja, Verzija 2.0, donesene 29. siječnja 2020. u točci 135. detaljnije pojašnjavaju zaštitnu mjeru: „ kontrolu pristupa" kojom se osigurava da sustavu i podatcima mogu pristupiti samo ovlaštene osobe, dok su drugi u tome spriječeni. Kao mjera kojom se podup ire kontrola fizičkog i logičkog pristupa, između ostalog, navodi se postav ljanje zaslona (posebno ako se nalaze u otvorenim prostorima, kao što je recepcija) na način da pogled na njih imaju samo ovlašteni operateri.

24. U konkretnom slučaju i predmetnoj upravnoj stvari isključivo je sporno je li došlo do povrede čl. 32. st. 2. Opće uredbe o zaštiti osobnih podataka, odnosno radi li se u konkretnom slučaju o neovlaštenom pristupu osobnim podacima putem videonadzora od strane posjetitelja, za što stranke ovog spora imaju suprotstavljena mišljenja.

25. Tužitelj kao voditelj obrade ističe da na monitorima nije vidljivo ništa što inače nije vidljivo svakom posjetitelju samim prisustvom na maloprodajnom mjestu te da se stoga ne može govoriti o neovlaštenom pristupu osobnim podacima obrađivanim putem videonadzornog sustava postavljenog na lokaciji predmetnog maloprodajnog mjesta.

26. Tuženo tijelo pak smatra da voditelj obrade, ovdje tužitelj, nije zadovoljivo dva od tri kumulativna uvjeta, radi čega nema legitimni interes za obradu osobnih podataka na način da emitira zahvat videonadzornog sustava u realnom vremenu na zaslonu u prostoru benzinske postaje, u svrhu osiguravanja pravovremene reakcije radnika te radi odvraćanja počinitelja kaznenih i prekršajnih djela, na način da je isti zahvat dostupan i drugim neovlaštenim osobama.

27. Po ocjeni ovog Suda, pravilno tuženo tijelo, između ostalog, u obrazloženju osporavanog rješenja navodi da način na koji je zaslon za pregled zahvata videonadzornih kamera u realnom vremenu unutar prostorije predmetne benzinske postaje postavljen, odnosno na način da je isti vidljiv svim posjetiteljima benzinske postaje, je protivan naprijed citiranoj odredbi čl. 32. st. 1. i 2. Opće uredbe o zaštiti podataka, odnosno da je voditelj obrade propustio provesti odgovarajuće tehničke mjere zaštite sukladno postojećim i predvidivim rizicima od neovlaštenog otkrivanja osobnih podataka, a sve kako bi se rizici sveli na najmanju moguću mjeru te kako bi se spriječili eventualni incidenti u budućnosti. Ovo stoga jer, ukoliko voditelj obrade posjetiteljima kao neovlaštenim osobama omogući uvid u realnom vremenu u zahvat videonadzornog sustava, a što je upravo slučaj, voditelj neće moći spriječiti kopiranje, snimanje druge vrste neovlaštene uporabe snimki videonadzora, dijeljenje takvih snimki s trećim osobama na bilo koji način.

28. Sud u potpunosti prihvaća obrazloženje osporavanog rješenja, da u konkretnom slučaju nije zadovoljen uvjet nužnosti, jer pravovremenu reakciju radnika u slučaju poslovne potrebe kao i brze reakcije u slučaju štetnog događaja je moguće postići i bez uvida posjetitelja benzinske postaje u zahvat videonadzomog sustava u realnom vremenu. Stoga, a kako je naprijed citiranom odredbom čl. 6. stavka 1. točke f) propisano kako je potrebno zadovoljiti kumulativno tri uvjeta kako bi voditelj obrade mogao dokazati svoj legitimni interes kao zakonitu pravnu osnovu, to u konkretnom slučaju propisani uvjeti nisu kumulativno ispunjeni, slijedom čega je tuženo tijelo pravilno postupilo kada je donijelo osporavano rješenje koje se u cijelosti ocjenjuje pravilnim i zakonitim.

29. Slijedom naprijed navedenih utvrđenja, po ocjeni ovog Suda u postupku koji je prethodio donošenju osporavanog Rješenja, nisu povrijeđena pravila postupka koja bi bila od utjecaja na rješavanje predmetne upravne stvari, niti je pogrešno primijenjen pravni propis na temelju kojeg je riješena predmetna upravna stvar, a tužbeni navodi tužitelja nisu s uspjehom osporili zakonitost ni pravilnost osporavanog rješenja tuženog tijela.

30. Nisu ostvareni niti razlozi ništavosti osporavanog rješenja iz članka 128. stavak 1. Zakona o općem upravnom postupku (Narodne novine, broj: 47/09) na koje ovaj Sud pazi po službenoj dužnosti prema članku 47. stavku 3. ZUS-a, to je valjalo na temelju odredbe članka 116. st. 1. ZUS-a odbiti tužbeni zahtjev tužitelja kao neosnovan te odlučiti kao u točci I. izreke.

31. Odluka o troškovima temelji se na odredbi članka 147. stavak 1. ZUS -a prema kojoj stranka koja izgubi spor u cijelosti snosi sve troškove spora, ako zakonom nije drukčije propisano.

32. Obzirom da tužitelj nije uspio u sporu, to je valjalo u skladu s naprijed citiranom odredbom čl.147. st. 1. ZUS-a odbiti zahtjev tužitelja za naknadom troškova upravnog spora te riješiti kao pod točkom II. izreke

U Splitu 5. svibnja 2026.

S U D A C

Leandra Mojtić

UPUTA O PRAVNOM LIJEKU:

Protiv ove presude dopuštena je žalba Visokom upravnom sudu Republike Hrvatske. Žalba se podnosi putem ovog suda za Visoki upravni sud, u dovoljnom broju primjeraka za sud i sve stranke u sporu, u roku od 15 dana od dana dostave presude. Žalba odgađa izvršenje presude.

DNA:

- tužitelju po opunom.

- tuženiku

- po pravomoćnosti pozvati tužitela na uplatu pristojbe za tužbu i presude

- povrat spisa tuženog tijela, po pravomoćnosti

- u spis

- kal. do 25.06.2026.