REPUBLIKA HRVATSKA
AGENCIJA ZA ZAŠTITU
OSOBNIH PODATAKA
KLASA:
URBROJ:
Zagreb, 26. veljače 2024.
Agencija za zaštitu osobnih podataka (OIB: 28454963989), na temelju članka 57. stavka 1.,
članka 58. stavka 1. i 2. točke (i) i članka 83. Uredbe (EU) 2016/679 Europskog parlamenta i
Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o
slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća
uredba o zaštiti podataka) SL EU L119, članka 44., 45. i 46. Zakona o provedbi Opće uredbe
o zaštiti podataka (“Narodne novine“ br. 42/18) te članka 42. stavka 1. i 2. i članka 96. Zakona
o općem upravnom postupku (“Narodne novine“ br. 47/09, 110/21) u postupku pokrenutom po
službenoj dužnosti prema voditelju obrade društvu X (OIB: X), radi zaštite osobnih podataka,
donosi sljedeće
R J E Š E NJ E
1. Utvrđuje se da je društvo X, kao voditelj obrade prikupljalo i obrađivalo osobne podatke
ispitanika putem kolačića bez da je ispitanicima omogućilo da informirano i dobrovoljno daju
ili povuku privolu za obradu osobnih podataka putem kolačića, čime je povrijeđen članak 6.
stavak 1. točka (a) te s tim u svezi članak 7. Opće uredbe o zaštiti podataka.
2. Utvrđuje se da je društvo X, kao voditelj obrade nepošteno obrađivalo osobne podatke
ispitanika putem prikupljanja kolačića, a što je protivno članku 5. stavku 1. (a) Opće uredbe o
zaštiti podataka.
3. Utvrđuje se da društvo X kao voditelj obrade, nije na adekvatan način obavijestilo ispitanike o
obradi podataka putem kolačića, čime je povrijeđen članak 13. stavak 1. i 2. Opće uredbe o
zaštiti podataka.
4. Za kršenja opisana u točkama 1. - 3. izreke ovog rješenja, u skladu s odredbama članka 83.
Opće uredbe o zaštiti podataka, izriče se voditelju obrade društvu X upravna novčana kazna u
iznosu od:
20.000,00 EUR
(slovima: dvadeset tisuća eura)
Voditelj obrade društvo X Radnička cesta 34/a, Zagreb dužno je platiti izrečenu upravnu
novčanu kaznu u korist državnog proračuna u roku od 15 dana od dana pravomoćnosti ovog
rješenja u korist računa broj: HR1210010051863000160, model HR64 i poziv na broj
1
odobrenja:_s naznakom -“upravne novčane kazne koje izriče AZOP”.
5. Ukoliko voditelj obrade društvo X u roku od 15 dana od pravomoćnosti ovog rješenja ne plati
izrečenu upravnu novčanu kaznu, Agencija za zaštitu osobnih podataka će sukladno članku 46.
stavku 2. Zakona o provedbi Opće uredbe o zaštiti podataka obavijestiti Područni ured Porezne
uprave Ministarstva financija na čijem je području sjedište navedenog društva radi naplate
upravne novčane kazne prisilnim putem prema propisima o prisilnoj naplati poreza.
6. Voditelj obrade društvo X je dužno u roku od 15 dana od izvršene uplate dostaviti dokaz o
uplati Agenciji za zaštitu osobnih podataka.
O b r a z l o ž e nj e
I. UTVRĐENJE POVREDE
Agencija za zaštitu osobnih podataka (dalje u tekstu: Agencija) provela je nadzorne aktivnosti
po službenoj dužnosti u sklopu plana nadzornih provjera o usklađenosti sadržaja internet
stranica poslovnih subjekata iz sektora uslužnih djelatnosti s odredbama Opće uredbe o zaštiti
podataka.
Nastavno na navedeno, a sukladno danim ovlastima Agencija je pokrenula postupak po
službenoj dužnosti zbog rizika za prava i slobode ispitanika te je u svrhu utvrđenja točnog i
potpunog činjeničnog stanja provela nadzorne aktivnosti na internet stranici voditelja obrade
društva X (dalje u tekstu: voditelj obrade), a odnosno na obradu osobnih podataka
ispitanika/posjetitelja internet stranica putem kolačića (eng. cookies - male datoteke koje
Internet preglednik pohranjuje na računalo, mobilni uređaj ili neki drugi uređaj kojim je
ispitanik posjetio Internet stranice te na taj način pamte i prate njegove daljnje radnje na Internet
stranicama, a koja je obrada odnosna i na aspekte osobnih podataka) i obvezu pružanja
informacija ispitanicima o obradi osobnih podataka.
Europski nadzornik za zaštitu podataka (EDPS) objavio je alat Website Evidence Collector pod
javnom licencom Europske unije (EUPL-1.2). Alat je namijenjen prikupljanu dokaza o obradi
osobnih podataka na internet stranicama poput kolačića.
Agencija je dana 29. rujna 2022. koristeći alat Website Evidence Collector koji je objavljen i
odobren od strane EDPS-a (The European Data Protection Supervisor) provela nadzorne
aktivnosti na Internet stranici voditelja obrade X te je utvrđeno kako se na istoj nalazi obavijest
o korištenju kolačića (banner) koji sadrži: „Kolačići Na ovoj stranici, koristimo kolačiće. Svrha
kolačića je poboljšanje Vašeg korisničkog iskustva te funkcionalnosti usluge, za više
informacija kliknite ovdje. Koristimo sljedeće vrste kolačića: Obavezni kolačići koji
osiguravaju pravilan rad stranice. Ostali kolačići [x ] (isključene opcije privola) Ovo uključuje
analitičke kolačiće, kolačiće za dijeljenje sadržaja stranice na društvenim mrežama i kolačiće
za prikazivanje ciljanih oglasa i sadržaja. Upotrebu kolačića možete kontrolirati upotrebom
ikonice © koja se nalazi u futeru stranice. Sačuvaj i zatvori.“
Nadalje, klikom na ovdje otvara se dokument naziva Zaštita privatnosti, u kojem se, između
ostalog, navodi: „…2. Od svakog posjetitelja Internet stranice X prikuplja slijedeće podatke:
vrijeme i datum posjeta stranici, stranice koje posjetitelj pregledava, vrsta i inačica Internet
preglednika, IP adresa računala posjetitelja, 10. X koristi kolačiće (cookies) kako bi svojim
igračima mogao pružiti uslugu s potpunim funkcionalnostima i što kvalitetnijim sadržajem.
2
Kolačići (cookies) su male tekstualne datoteke prenesene na računalo posjetitelja u svrhu
praćenja korištenja određenih stranica. X može koristiti kolačiće za utvrđivanje načina
korištenja stranica kao i za identificiranje korisnika koji ponovno dolaze na stranice. Ukoliko
je na računalu igrača ugašeno primanje kolačića, igrač se i dalje može koristiti stranicama, ali
će funkcionalnost usluge biti djelomično ograničena. 12. Korištenjem X Internet stranica igrač
potvrđuje da je u svakom trenutku upoznat i suglasan s ovim uvjetima korištenja, uključujući i
odredbi o obradi podataka u vezi s kolačićima.“
Također, putem alata Website Evidence Collector utvrđeno je postojanje kolačića i to: i18next,
cookietest, cookietest, __lc_cst, __lc_cid, __lc_cst, __lc_cid, _ga_9NRX2EFPNN, _ga, _fbp,
_gcl_au, uid, C, _gid, _gat, _gat_UA-106513-12, __oauth_redirect_detector, _fbp, a koji se
pohranjuju na terminalnu opremu posjetitelja/korisnika prilikom inicijalnog učitavanja stranice
i o istom posjetitelji/ispitanici nisu prethodno informirani odnosno nisu dali svoju privolu već
se putem kolačića prešutno obrađuju osobnih podaci posjetitelja/ispitanika.
Agencija je dana 31. listopada 2022. zatražila očitovanje KLASA: X, URBROJ: X od voditelja
obrade, a odnosno na obradu osobnih podataka posjetitelja/ispitanika putem kolačića i obvezu
pružanja informacija ispitanicima o obradi osobnih podataka, u odnosu na dobivene rezultate
nakon provedenih nadzornih aktivnosti od dana 29. rujna 2022. na internet stranici X voditelja
obrade. Konkretno, zatraženo je da se navede u koju skupinu/vrstu kolačića pripada svaki od
kolačića, koja je funkcija/svrha svakog kolačića, koliko dugo se čuva svaki od kolačića, koji
osobni podaci se obrađuju putem tih kolačića, na koji način su posjetitelji/ispitanici informirani
o svrsi za svaku skupinu/vrstu kolačića, na koji način posjetitelji/ispitanici mogu dati privolu
za svaku skupinu/vrstu kolačića koji se obrađuju putem internet stranice, a za koje je potrebna
prethodna privola posjetitelja/ispitanika, navesti pravni temelj i svrhu za pohranu kolačića
kojima se obrađuju osobni podaci posjetitelja/ispitanika na njihovu terminalnu opremu, a za
koje je potrebna prethodna privola posjetitelja/ispitanika.
Agencija je dana 14. studenog 2022. zaprimila očitovanje i popratnu dokumentaciju od voditelja
obrade odnosno na obradu osobnih podataka posjetitelja/ispitanika putem kolačića i obvezu
pružanja informacija ispitanicima o obradi osobnih podataka, u kojem se, između ostalog,
navodi kako su informacije o obradi osobnih podataka, a koje je voditelj obrade obvezan učiniti
dostupan ispitanicima sukladno članku 13. Opće uredbe o zaštiti podataka, za obrade osobnih
podataka putem internetskih stranica koje provodi X dostupne su u dokumentu Pravila
privatnosti objavljenom na X. X nema informacija da se putem internetskih stranica za koje je
društvo voditelj obrade osobni podaci ispitanika obrađuju bez valjane pravne osnove, odnosno
bez ispunjavanja svih zakonom utvrđenih zahtjeva. Nadalje, navodi se kako i prije zaprimanja
dopisa Agencije od 31. listopada 2022. i neovisno o istom, pokrenuli postupak revizije
usklađenosti s Općom uredbom o zaštiti podataka pri čemu je predviđeno trajanje dovršetka
revizije više mjeseci. Također, navodi se kako je politika X osigurati potpunu usklađenost s
pozitivnim propisima koji uređuju zaštitu osobnih podataka u Republici Hrvatskoj te osigurati
korisnicima najvišu razinu privatnosti.
Također, voditelj obrade je dostavio popis kolačića i objašnjenje za svaki od navedenih, kako
slijedi: i18next - preferencijski, određuje preferirani jezik i postavku države posjetitelja, a to
omogućuje Internet stranici da prikaže sadržaj koji je relevantniji za tu regiju i jezik, rok čuvanja
1 godina, osobni podaci koji se obrađuju - lokacijski podaci, način informiranja ispitanika -
Pravila privatnosti (dostupna na internetskim stranicama), privola ispitanika - posjetitelj
inicijalnim aktivnim odabirom na pop-up banneru pristaje na korištenje kolačića koji nisu
obvezni za funkcioniranje stranice, odabir se može naknadno promijeniti odabirom
odgovarajućeg izbornika na stranicama, svrha obrade - prikaz sadržaja relevantnih za jezik i
regiju odabranih od strane posjetitelja internetskih stranica; cookietest - funkcionalni, koristi
3
se za provjeru podržava li korisnikov preglednik kolačiće, rok čuvanja 1 dan, osobni podaci
koji se obrađuju - preferencije korisnika, način informiranja ispitanika - Pravila privatnosti
(dostupna na internetskim stranicama), privola ispitanika - nije potrebna, svrha obrade - koristi
se za provjeru podržava li korisnikov preglednik kolačiće; cookietest - funkcionalni, koristi se
za provjeru podržava li korisnikov preglednik kolačiće, rok čuvanja 1 dan, osobni podaci koji
se obrađuju - preferencije korisnika, način informiranja ispitanika - Pravila privatnosti
(dostupna na internetskim stranicama), privola ispitanika - nije potrebna, svrha obrade - koristi
se za provjeru podržava li korisnikov preglednik kolačiće; __lc_cst - preferencijski, neophodan
je za funkcioniranje funkcije chat-box-a Internet stranice, rok čuvanja 2 godine, osobni podaci
koji se obrađuju - preferencije korisnika, način informiranja ispitanika - Pravila privatnosti
(dostupna na internetskim stranicama), privola ispitanika - posjetitelj inicijalnim aktivnim
odabirom na pop-up banneru pristaje na korištenje kolačića koji nisu obvezni za funkcioniranje
stranice, odabir se može naknadno promijeniti odabirom odgovarajućeg izbornika na
stranicama, svrha obrade - omogućuje funkcioniranje chat boxa; __lc_cid - preferencijski,
neophodan je za funkcioniranje funkcije chat-box-a Internet stranice, rok čuvanja 2 godine,
osobni podaci koji se obrađuju - preferencije korisnika, način informiranja ispitanika - Pravila
privatnosti (dostupna na internetskim stranicama), privola ispitanika - posjetitelj inicijalnim
aktivnim odabirom na pop-up banneru pristaje na korištenje kolačića koji nisu obvezni za
funkcioniranje stranice, odabir se može naknadno promijeniti odabirom odgovarajućeg
izbornika na stranicama, svrha obrade - omogućuje funkcioniranje chat boxa; __lc_cst -
preferencijski, neophodan je za funkcioniranje funkcije chat-box-a Internet stranice, rok
čuvanja 2 godine, osobni podaci koji se obrađuju - preferencije korisnika, način informiranja
ispitanika - Pravila privatnosti (dostupna na internetskim stranicama), privola ispitanika -
posjetitelj inicijalnim aktivnim odabirom na pop-up banneru pristaje na korištenje kolačića koji
nisu obvezni za funkcioniranje stranice, odabir se može naknadno promijeniti odabirom
odgovarajućeg izbornika na stranicama, svrha obrade - omogućuje funkcioniranje chat boxa;
__lc_cid - preferencijski, neophodan je za funkcioniranje funkcije chat-box-a Internet stranice,
rok čuvanja 2 godine, osobni podaci koji se obrađuju - preferencije korisnika, način
informiranja ispitanika - Pravila privatnosti (dostupna na internetskim stranicama), privola
ispitanika - posjetitelj inicijalnim aktivnim odabirom na pop-up banneru pristaje na korištenje
kolačića koji nisu obvezni za funkcioniranje stranice, odabir se može naknadno promijeniti
odabirom odgovarajućeg izbornika na stranicama, svrha obrade - omogućuje funkcioniranje
chat boxa; _ga_9NRX2EFPNN - statistički, koristi se od strane Google Analytics za utvrđivanje
koliko je puta korisnik posjetio internetske stranice, uključujući datume prvog posjeta i zadnjeg
posjeta, rok čuvanja 2 godine, osobni podaci koji se obrađuju - aktivnost ispitanika, način
informiranja ispitanika - Pravila privatnosti (dostupna na internetskim stranicama), privola
ispitanika - posjetitelj inicijalnim aktivnim odabirom na pop-up banneru pristaje na korištenje
kolačića koji nisu obvezni za funkcioniranje stranice, odabir se može naknadno promijeniti
odabirom odgovarajućeg izbornika na stranicama, svrha obrade - koristi se od strane Google
Analytics za utvrđivanje koliko je puta korisnik posjetio internetske stranice, uključujući
datume prvog posjeta i zadnjeg posjeta; _ga - statistički, registrira jedinstveni identifikator koji
se koristi za generiranje statističkih podataka o tome kako posjetitelj koristi Internet stranicu,
rok čuvanja 2 godine, osobni podaci koji se obrađuju - aktivnost ispitanika, način informiranja
ispitanika - Pravila privatnosti (dostupna na internetskim stranicama), privola ispitanika -
posjetitelj inicijalnim aktivnim odabirom na pop-up banneru pristaje na korištenje kolačića koji
nisu obvezni za funkcioniranje stranice, odabir se može naknadno promijeniti odabirom
odgovarajućeg izbornika na stranicama, svrha obrade - generiranje statističkih podataka o
načinu korištenja internetskih stranica; _fbp - marketinški, koristi ga Facebook za isporuku niza
reklamnih proizvoda kao što su licitacije u stvarnom vremenu oglašivača treće strane, rok
čuvanja 3 mjeseca, osobni podaci koji se obrađuju - preferencije ispitanika, način informiranja
ispitanika - Pravila privatnosti (dostupna na internetskim stranicama), privola ispitanika -
posjetitelj inicijalnim aktivnim odabirom na pop-up banneru pristaje na korištenje kolačića koji
4
nisu obvezni za funkcioniranje stranice, odabir se može naknadno promijeniti odabirom
odgovarajućeg izbornika na stranicama, svrha obrade - Facebook ga koristi za isporuku niza
reklamnih proizvoda kao što su licitacije u stvarnom vremenu oglašivača treće strane; _gcl_au
- marketinški, koristi se od strane Google AdSense za eksperimentiranje s učinkovitošću
oglašavanja na internetskim lokacijama koje koriste njihove usluge, rok čuvanja 3 mjeseca,
osobni podaci koji se obrađuju - preferencije ispitanika, način informiranja ispitanika - Pravila
privatnosti (dostupna na internetskim stranicama), privola ispitanika - posjetitelj inicijalnim
aktivnim odabirom na pop-up banneru pristaje na korištenje kolačića koji nisu obvezni za
funkcioniranje stranice, odabir se može naknadno promijeniti odabirom odgovarajućeg
izbornika na stranicama, svrha obrade - utvrđivanje učinkovitosti oglašavanja na internetskim
lokacijama koja koriste Google Ads; uid - marketinški, registrira jedinstveni korisnički
identifikator koji prepoznaje korisnikov preglednik prilikom posjeta internetskim stranicama
koje koriste istu oglasnu mrežu, a svrha je optimizirati prikaz oglasa na temelju kretanja
korisnika i ponuda različitih davatelja oglasa za prikazivanje oglasa korisnika, rok čuvanja 2
mjeseca, osobni podaci koji se obrađuju - aktivnost ispitanika, način informiranja ispitanika -
Pravila privatnosti (dostupna na internetskim stranicama), privola ispitanika - posjetitelj
inicijalnim aktivnim odabirom na pop-up banneru pristaje na korištenje kolačića koji nisu
obvezni za funkcioniranje stranice, odabir se može naknadno promijeniti odabirom
odgovarajućeg izbornika na stranicama, svrha obrade - optimizacija prikaza oglasa i
optimizacija ponuda za oglašavanjem; C - marketinški, koristi se za provjeru podržava li
korisnikov preglednik kolačića, rok čuvanja 29 dana, osobni podaci koji se obrađuju -
preferencije ispitanika, način informiranja ispitanika - Pravila privatnosti (dostupna na
internetskim stranicama), privola ispitanika - posjetitelj inicijalnim aktivnim odabirom na pop-
up banneru pristaje na korištenje kolačića koji nisu obvezni za funkcioniranje stranice, odabir
se može naknadno promijeniti odabirom odgovarajućeg izbornika na stranicama, svrha obrade
- koristi se za provjeru podržava li korisnikov preglednik kolačiće; _gid - statistički, registrira
jedinstveni identifikator koji se koristi za generiranje statističkih podataka o tome kako
posjetitelj koristi internetsku lokaciju, rok čuvanja 1 dan, osobni podaci koji se obrađuju -
aktivnosti ispitanika, način informiranja ispitanika - Pravila privatnosti (dostupna na
internetskim stranicama), privola ispitanika - posjetitelj inicijalnim aktivnim odabirom na pop-
up banneru pristaje na korištenje kolačića koji nisu obvezni za funkcioniranje stranice, odabir
se može naknadno promijeniti odabirom odgovarajućeg izbornika na stranicama, svrha obrade
- registrira jedinstveni identifikator koji se koristi za generiranje statističkih podataka o tome
kako posjetitelj koristi internetsku lokaciju; _gat, - statistički, koristi se za smanjenje stope
zahtjeva u Google Analyticsu, rok čuvanja 1 dan, osobni podaci koji se obrađuju - aktivnosti
ispitanika, način informiranja ispitanika - Pravila privatnosti (dostupna na internetskim
stranicama), privola ispitanika - posjetitelj inicijalnim aktivnim odabirom na pop-up banneru
pristaje na korištenje kolačića koji nisu obvezni za funkcioniranje stranice, odabir se može
naknadno promijeniti odabirom odgovarajućeg izbornika na stranicama, svrha obrade -
ograničenje prikupljanja podataka na internetskim lokacijama s velikim prometom; _ga_UA-
106513-12 - statistički, koristi se od strane Google Anatitycsa za utvrđivanje koliko je puta
korisnik posjetio internetske stranice uključujući datume prvog posjeta i zadnjeg posjeta, rok
čuvanja 2 godine, osobni podaci koji se obrađuju - aktivnosti ispitanika, način informiranja
ispitanika - Pravila privatnosti (dostupna na internetskim stranicama), privola ispitanika -
posjetitelj inicijalnim aktivnim odabirom na pop-up banneru pristaje na korištenje kolačića koji
nisu obvezni za funkcioniranje stranice, odabir se može naknadno promijeniti odabirom
odgovarajućeg izbornika na stranicama, svrha obrade - se od strane Google Analyticsa za
utvrđivanje koliko je puta korisnik posjetio internetske stranice, uključujući datume prvog
posjeta i zadnjeg posjeta; __oauth_redirect_detector - preferencijski, omogućuje
prepoznavanje posjetitelja sa svrhom optimiziranja chat-box funkcije, rok čuvanja 1 dan, osobni
podaci koji se obrađuju - aktivnosti ispitanika, način informiranja ispitanika - Pravila privatnosti
(dostupna na internetskim stranicama), privola ispitanika - posjetitelj inicijalnim aktivnim
5
odabirom na pop-up banneru pristaje na korištenje kolačića koji nisu obvezni za funkcioniranje
stranice, odabir se može naknadno promijeniti odabirom odgovarajućeg izbornika na
stranicama, svrha obrade - optimizacija chat box funkcije; _fbp - marketinški, koristi ga
Facebook za isporuku niza reklamnih proizvoda kao što je licitiranje oglašivača u stvarnom
vremenu, rok čuvanja 3 mjeseca, osobni podaci koji se obrađuju - preferencije ispitanika, način
informiranja ispitanika - Pravila privatnosti (dostupna na internetskim stranicama), privola
ispitanika - posjetitelj inicijalnim aktivnim odabirom na pop-up banneru pristaje na korištenje
kolačića koji nisu obvezni za funkcioniranje stranice, odabir se može naknadno promijeniti
odabirom odgovarajućeg izbornika na stranicama, svrha obrade - Facebook ga koristi za
isporuku niza reklamnih proizvoda kao što je licitiranje oglašivača u stvarnom vremenu.
Agencija je dana 01. veljače 2023. uputila dopis KLASA: X, URBROJ: X i zatražila voditelja
obrade dodatno očitovanje i relevantnu dokumentaciju vezano uz izradu internet stranice X sa
sadržajem koji posjetiteljima omogućava korištenje usluge igara na sreću, tj. kada je ista
izrađena, od kada je na internet stranici X postavljena obavijest/banner o prikupljanju osobnih
podataka putem kolačića te podatak o ukupnom broju posjetitelja internet stranice X od dana
početka pružanja usluga igara na sreću putem iste stranice do dana 29. rujna 2022.
Agencija je dana 06. ožujka 2023. zaprimila očitovanje i popratnu dokumentaciju od voditelja
obrade odnosno na traženo, u kojem se, između ostalog, navodi kako je internet stranica X sa
sadržajem koji posjetiteljima omogućava korištenje usluge igara na sreću puštena u rad 01.
srpnja 2013., a obavijest/banner o prikupljanju osobnih podataka putem kolačića je postavljen
01. lipnja 2018. Isto tako, voditelj obrade navodi kako je ukupan broj posjeta internet stranici
od 01. srpnja 2013. pa do dana 29. rujna 2022. oko 10,9 milijuna posjetitelja.
Uz očitovanje je dostavljena i dokumentacija: Rješenje izdano od Ministarstva financija,
KLASA: X, URBROJ: X od 25.05.2013., screenshot ispisa prometa sa osnove internetskog
klađenja od dana 01.04.2013. do 30.06.2013., screenshot ispisa prometa sa osnove internetskog
klađenja na dan 01.07.2013., prikaz računalnog koda s ažuriranjem stranice koja sadrži
obavijest/banner o prikupljanju osobnih podataka putem kolačića te prikaz broja posjetitelja u
periodu od 01.07.2013. do 29.09.2022.
Izvršen je uvid u dostavljenu dokumentaciju te je iz screenshota ispisa prometa sa osnove
internetskog klađenja od dana 01.04.2013. do 30.06.2013 utvrđeno kako u navedenom periodu
nije bilo transakcija, a iste tek počinju od datuma 01.07.2013., a što je vidljivo iz screenshota
ispisa prometa sa osnove internetskog klađenja na dan 01.07.2013. Iz prikaza računalnog koda
s ažuriranjem stranice koja sadrži obavijest/banner o prikupljanju osobnih podataka putem
kolačića vidljivo je da su ažuriranja provedena dana 01.06.2018., a ukupan broj posjetitelja u
periodu od 01.07.2013. pa do 29.09.2022. je 10,9 milijuna.
Agencija je dana 11. listopada 2023. uputila dopis KLASA: X, URBROJ: X i zatražila voditelja
obrade informacije i relevantnu dokumentaciju vezano uz izradu internet stranice X sa
sadržajem koji posjetiteljima omogućava korištenje usluge igara na sreću, tj. tko je istu izradio,
od kad je na internet stranici X postavljena nova obavijest/banner o prikupljanju osobnih
podataka putem kolačića te je li voditelj obrade u poslovanju samostalan, tj. donosi li
samostalno odluke ili iste dobiva od drugog društva/grupacije.
Sukladno zatraženom, Agencija je dana 06. studenog 2023. i 14. studenog 2023. zaprimila
očitovanja i popratnu dokumentaciju voditelja obrade, u kojem se, između ostalog, navodi kako
je internet stranica X sa sadržajem koji posjetiteljima omogućava korištenje usluge igara na
sreću izrađena od strane društva X iz X temeljem ugovora koji je voditelj obrade sklopio sa
navedenim društvom, a dana 24.11.2022. je postavljena nova obavijest/banner o prikupljanju
6
osobnih podataka putem kolačića Internet stranici X (eng. Consent Management Platform -
CMP Cookiebot), dok je 05.05.2023. implementiran CMP Didomi. Nadalje, voditelj obrade
navodi kako posluje samostalno i ne dobiva odluke od nekog drugog društva/grupacije.
Izvršen je uvid u dostavljenu dokumentaciju, između ostalog i u dostavljene dokaze iz kojih je
razvidno kako je dana 24.11.2022. postavljena nova obavijest/banner Cookiebot i dana
05.05.2023. CMP Didomi.
Agencija ističe da se od 25. svibnja 2018. godine u svim državama članicama Europske unije,
pa tako i u Republici Hrvatskoj, izravno i obvezujuće primjenjuje Uredba (EU) 2016/679
Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom
osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive
95/46/EZ (Opća uredba o zaštiti osobnih podataka (SL EU L119)).
Sukladno članku 4. stavku 1. točki 1. Opće uredbe o zaštiti podataka, osobni podaci su svi
podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi, a pojedinac čiji
se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz
pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator
ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni,
ekonomski, kulturni ili socijalni identitet tog pojedinca.
Sukladno članku 4. stavku 1. točki 2. Opće uredbe o zaštiti podatka, obrada znači svaki
postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih
podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje,
bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje,
obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na
drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje.
Uvodnom izjavom (30) Opće uredbe o zaštiti podataka navodi se kako pojedinci mogu biti
pridruženi mrežnim identifikatorima koje pružaju njihovi uređaji, aplikacije, alati i protokoli,
kao što su adrese internetskog protokola, identifikatori kolačića ili drugim identifikatorima
poput oznaka za radiofrekvencijsku identifikaciju. Tako mogu ostati tragovi koji se, posebno u
kombinaciji s jedinstvenim identifikatorima i drugim informacijama koje primaju poslužitelji,
mogu upotrijebiti za izradu profila pojedinaca i njihovu identifikaciju.
Člankom 4. stavkom 1. točkom 11. je definirana privola kao svako dobrovoljno, posebno,
informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom
potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose.
Nadalje, Opća uredba o zaštiti podatka u uvodnoj izjavi (32) navodi da bi se privola trebala
davati jasnom potvrdnom radnjom kojom se izražava dobrovoljan, poseban, informiran i
nedvosmislen pristanak ispitanika na obradu osobnih podataka koji se odnose na njega, poput
pisane izjave, uključujući elektroničku, ili usmene izjave. To bi moglo obuhvaćati označivanje
polja kvačicom pri posjetu internetskim stranicama, biranje tehničkih postavaka usluga
informacijskog društva ili drugu izjavu ili ponašanje koje jasno pokazuje u tom kontekstu da
ispitanik prihvaća predloženu obradu svojih osobnih podataka. Šutnja, unaprijed kvačicom
označeno polje ili manjak aktivnosti stoga se ne bi smjeli smatrati privolom. Privola bi trebala
obuhvatiti sve aktivnosti obrade koje se obavljaju u istu svrhu ili svrhe. Kada obrada ima
višestruke svrhe, privolu bi trebalo dati za sve njih (dakle za svaku pojedinačno, odnosno da u
pogledu svake od njih ispitanik ima mogućnost izbora). Ako se privola ispitanika treba dati
nakon zahtjeva upućenog elektroničkim putem, taj zahtjev mora biti jasan, jezgrovit i ne smije
nepotrebno ometati upotrebu usluge za koju se upotrebljava.
7
Također, Opća uredba o zaštiti podataka u uvodnoj izjavi (42) navodi da bi, ako se obrada
temelji na privoli ispitanika, voditelj obrade trebao moći dokazati da je ispitanik dao privolu za
postupak obrade. Zaštitnim mjerama, posebno u kontekstu pisane izjave o drugom pitanju,
trebalo bi se osigurati da je ispitanik svjestan činjenice da daje privolu i do koje mjere se ona
daje. U skladu s Direktivom vijeća 93/13/EEZ o nepoštenim uvjetima u potrošačkim
ugovorima, izjavu o privoli koju je unaprijed sastavio voditelj obrade trebalo bi ponuditi u
razumljivom i lako dostupnom obliku, uz upotrebu jasnog i jednostavnog jezika te u njoj ne bi
smjelo biti nepoštenih uvjeta. Da bi ispitanik mogao dati privolu informiran, trebao bi barem
znati identitet voditelja obrade i svrhe obrade za koju se upotrebljavaju osobni podaci. Ne može
se smatrati da je privola dana dobrovoljno ako ispitanik nema istinski ili slobodan izbor ili ako
nije u mogućnosti odbiti ili povući privolu bez posljedica.
Isto tako uvodna izjava broj (43) navodi kako se smatra da privola nije dana dobrovoljno ako
se njome ne omogućuje davanje zasebne privole za različite postupke obrade podataka, unatoč
tome što je primjerena pojedinačnom slučaju ili ako izvršenje ugovora, među ostalim i pružanje
usluge, ovisi o privoli i ako takva privola nije nužna za takvo izvršenje.
Člankom 6. stavkom 1. Opće uredbe o zaštiti podataka propisano je da je obrada zakonita samo
ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:
(a) ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;
(b) obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele
radnje na zahtjev ispitanika prije sklapanja ugovora;
(c) obrada je nužna radi poštovanja pravnih obveza voditelja obrade;
(d) obrada je nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe;
(e) obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti
voditelja obrade;
(f) obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su
od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih
podataka, osobito ako je ispitanik dijete.
Člankom 7. propisano je da kada se obrada temelji na privoli, voditelj obrade mora moći
dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka. Ako ispitanik da privolu
u vidu pisane izjave koja se odnosi i na druga pitanja, zahtjev za privolu mora biti predočen na
način da ga se može jasno razlučiti od drugih pitanja, u razumljivom i lako dostupnom obliku
uz uporabu jasnog i jednostavnog jezika. Svaki dio takve izjave koji predstavlja kršenje ove
Uredbe nije obvezujući. Ispitanik ima pravo u svakom trenutku povući svoju privolu.
Povlačenje privole ne utječe na zakonitost obrade na temelju privole prije njezina povlačenja.
Prije davanja privole, ispitanika se o tome obavješćuje. Povlačenje privole mora biti jednako
jednostavno kao i njezino davanje. Kada se procjenjuje je li privola bila dobrovoljna, u najvećoj
mogućoj mjeri uzima se u obzir je li, među ostalim, izvršenje ugovora, uključujući pružanje
usluge, uvjetovano privolom za obradu osobnih podataka koja nije nužna za izvršenje tog
ugovora.
Člankom 13. stavak 1. Opće uredbe o zaštiti podataka propisana je obveza za voditelja obrade
da u trenutku prikupljanja osobnih podataka ispitaniku pruži sve sljedeće informacije:
(a) identitet i kontaktne podatke voditelja obrade i, ako je primjenjivo, predstavnika voditelja
obrade;
(b) kontaktne podatke službenika za zaštitu podataka, ako je primjenjivo;
(c) svrhe obrade radi kojih se upotrebljavaju osobni podaci kao i pravnu osnovu za obradu;
(d) ako se obrada temelji na članku 6. stavku 1. točki (f), legitimne interese voditelja obrade ili
treće strane;
(e) primatelje ili kategorije primatelja osobnih podataka, ako ih ima; i
8
(f) ako je primjenjivo, činjenicu da voditelja obrade namjerava osobne podatke prenijeti trećoj
zemlji ili međunarodnoj organizaciji te postojanje ili nepostojanje odluke Komisije o
primjerenosti, ili u slučaju prijenosâ iz članaka 46. ili 47. ili članka 49. stavka 1. drugog
podstavka upućivanje na prikladne ili odgovarajuće zaštitne mjere i načine pribavljanja njihove
kopije ili mjesta na kojem su stavljene na raspolaganje.
Stavkom 2. istog članka propisano je kako voditelj obrade treba pružiti ispitaniku i dodatne
informacije potrebne kako bi se osigurala poštena i transparentna obrada:
(a) razdoblje u kojem će osobni podaci biti pohranjeni ili, ako to nije moguće, kriterije kojima
se utvrdilo to razdoblje;
(b) postojanje prava da se od voditelja obrade zatraži pristup osobnim podacima i ispravak ili
brisanje osobnih podataka ili ograničavanje obrade koji se odnose na ispitanika ili prava na
ulaganje prigovora na obradu takvih te prava na prenosivost podataka;
(c) ako se obrada temelji na članku 6. stavku 1. točki (a) ili članku 9. stavku 2. točki (a),
postojanje prava da se u bilo kojem trenutku povuče privolu, a da to ne utječe na zakonitost
obrade koja se temeljila na privoli prije nego što je ona povučena;
(d) pravo na podnošenje prigovora nadzornom tijelu;
(e) informaciju o tome je li pružanje osobnih podataka zakonska ili ugovorna obveza ili uvjet
nužan za sklapanje ugovora te ima li ispitanik obvezu pružanja osobnih podataka i koje su
moguće posljedice ako se takvi podaci ne pruže;
(f) postojanje automatiziranog donošenja odluka, što uključuje izradu profila iz članka 22.
stavaka 1. i 4. te, barem u tim slučajevima, smislene informacije o tome o kojoj je logici riječ,
kao i važnost i predviđene posljedice takve obrade za ispitanika.
Sukladno uvodnoj izjavi (60) Opće uredbe o zaštiti podataka, a koja je odnosna na članak 13.
Opće uredbe o zaštiti podataka voditelj obrade ima obvezu informirati ispitanika o postupku
obrade i njegovim svrhama te bi trebao ispitaniku pružiti sve dodatne informacije neophodne
za osiguravanje poštene i transparentne obrade.
Člankom 43. stavak 4. Zakona o elektroničkim komunikacijama (Narodne novine, 76/22)
propisano je sljedeće: "Uporaba elektroničkih komunikacijskih mreža za pohranu podataka ili
za pristup već pohranjenim podacima u terminalnoj opremi krajnjeg korisnika ili korisnika
dopušteno je samo u slučaju kada je taj krajnji korisnik ili korisnik dao svoju privolu, nakon što
je dobio jasnu i potpunu obavijest u skladu s propisima o zaštiti osobnih podataka, i to osobito
o svrhama obrade podataka. Time se ne može spriječiti tehnička pohrana podataka ili pristup
podacima isključivo u svrhu obavljanja prijenosa komunikacija putem elektroničke
komunikacijske mreže, ili, ako je to nužno, radi pružanja usluga informacijskog društva na
izričit zahtjev krajnjeg korisnika ili korisnika“.
Tijekom nadzornih aktivnosti utvrđeno kako je voditelj obrade, u periodu od 01.07.2013. pa do
24.11.2022., obrađivao osobne podatke ispitanika u statističke i marketinške svrhe, a bez
traženja privole za obradu osobnih podatka za svrhe koje nisu nužne za pravilno funkcioniranje
Internet stranica.
U ovoj upravnoj stvari isto tako je utvrđeno (putem gore navedenog alata EDPS-a) kako je
voditelj obrade i prije nego li što su ispitanici dali svoju privolu za prikupljanje kolačića isti bili
pohranjeni na terminalnoj opremi korisnika još u trenutku inicijalnog učitavanja stranice te su
tako prikupljani osobni podaci ispitanika. Navedeno znači da su obrađivani osobni podaci
ispitanika samim trenutkom učitavanja mrežne stranice dok isti još nisu niti dali svoj pristanak
na prikupljanje pojedinih kolačića, a što je bilo nepošteno, budući da ispitanici nisu niti znali
da se već u trenutku pristupa mrežnoj stranici prikupljanju njihovi osobni podaci koji su netom
opisanim načinom prikupljani na prikriveni način. Dakle, voditelj obrade je koristio
9
zavaravajuće mrežno sučelje koje je kod ispitanika stvorilo obmanu da se njihovi osobni podaci
putem kolačića prikupljaju tek nakon davanja pristanka na obradu kolačića dok je istina bila
suprotna. Opisanim načinom došlo je do nepoštene obrade osobnih podataka ispitanika, a što je
protivno temeljnom načelu zaštite osobnih podataka, odnosno načelu zakonite, poštene i
transparentne obrade osobnih podataka iz članka 5. stavka 1. Opće uredbe o zaštiti podataka.
U opisanom slučaju privola kao primjenjiva pravna osnova za obradu osobnih podataka iz
članka 6. stavka 1. točke (a) nije udovoljavala pravnim preduvjetima valjanosti iz članka 7.
Opće uredbe o zaštiti podataka. Naime, privola u situacijama kada obrada osobnih podataka
koja se temelji na istoj ima višestruke svrhe (npr. marketing, analiza/statistika) tada tekst privole
(u ovom slučaju tzv. cookie banner - prvotna obavijest o kolačićima) mora biti predočen na
način da ga se može jasno razlučiti od drugih pitanja (svrha), u razumljivom i lako dostupnom
obliku uz uporabu jasnog i jednostavnog jezika. Svaki dio izjave koji nije prezentiran na takav
način nije obvezujući. Ako je voditelj obrade spojio nekoliko svrha za obradu, a nije pokušao
tražiti zasebnu privolu za svaku svrhu, privola tada nije dobrovoljna. Razdvajanjem svrha
privole postiže se njezina granularnost koja u konačnici omogućuje ispitanicima nadzor nad
obradom njihovih osobnih podataka te im se omogućuje transparentnost u pogledu pregleda
svih svrha u koje će se obrađivati njihovi osobni podaci. Nepoštivanjem uvjeta granularnosti i
informiranosti privola u konačnici niti ne može biti dobrovoljna te ista ne ispunjava pravne
preduvjete valjanosti iz članka 7. Opće uredbe o zaštiti podataka. Budući da u konkretnom
slučaju voditelj obrade nije razdvojio tzv. cookie banner te omogućio ispitanicima jasno
davanje privole u različite svrhe (marketing, analitika/statistika) jasno je kako privola nije
zadovoljila gore navedene pravne preduvjete te kako samim time ista nije valjana kao pravna
osnova iz članka 6. stavka 1. točke (a) Opće uredbe o zaštiti podataka. Navedenim načinom
došlo je do povrede odredbi članka 6. stavka 1. točke (a) te s tim u svezi članka 7. Opće uredbe
o zaštiti podataka.
Nadalje, u konkretnom slučaju voditelj obrade naveo je kako su posjetitelji/ispitanici bili
informirani o obradi osobnih podataka putem kolačića u gore navedenom periodu u dokumentu
Pravila privatnosti.
Uvidom u dokument PRAVILA PRIVATNOSTI je utvrđeno kako je isti općenit te ne sadrži
informacije o pravnoj osnovi, skupinama/vrstama kolačića, funkciji/svrsi svakog kolačića,
razdoblju pohrane kolačića, utvrđeno je kršenje članka 13. stavka 1. i 2. Opće uredbe o zaštiti
podataka.
Zaključno, utvrđeno je kako je voditelj obrade nakon dopisa upućenog 11.10.2023. od strane
Agencije, u svom odgovoru od 06.11.2023. i 14.11.2023. naveo kako je na stranicu dana
24.11.2022. postavljena nova obavijest/banner o prikupljanju osobnih podataka putem kolačića
na Internet stranici X (CMP Cookiebot), dok je 05.05.2023. implementiran CMP Didomi te su
dostavljeni dokazi iz kojih je razvidno kako je dana 24.11.2022. postavljena nova
obavijest/banner Cookiebot i dana 05.05.2023. CMP Didomi.
II. UTVRĐENJE UPRAVNE NOVČANE KAZNE
Člankom 44. Zakona o provedbi Opće uredbe o zaštiti podataka je propisano da Agencija izriče
upravne novčane kazne za povrede odredaba ovoga Zakona i Opće uredbe o zaštiti podataka,
sukladno članku 83. Opće uredbe o zaštiti podataka.
Člankom 45. stavkom 1. navedenog Zakona je propisano da se upravne novčane kazne izriču
odlukom. Temeljem stavka 2. istoga članka, odlukom će se utvrditi iznos i način uplate upravne
10
novčane kazne. Odlukom se može utvrditi da se upravna novčana kazna plaća u obrocima.
Temeljem stavka 4. istoga članka, protiv odluke nije dopuštena žalba, ali se može pokrenuti
upravni spor pred nadležnim upravnim sudom.
Temeljem članka 46. istoga Zakona, upravna novčana kazna uplaćuje se u roku od 15 dana od
dana pravomoćnosti odluke kojom je izrečena. Ako stranka u propisanom roku ne uplati
upravnu novčanu kaznu odnosno po dospijeću zadnjeg obroka ako je odobreno obročno
plaćanje, Agencija će obavijestiti Područni ured Porezne uprave Ministarstva financija na čijem
je području prebivalište odnosno sjedište stranke kojoj je izrečena upravna novčana kazna, radi
naplate upravne novčane kazne prisilnim putem prema propisima o prisilnoj naplati poreza.
Upravne novčane kazne uplaćuju se u korist državnog proračuna. Iznimno od stavka 2. ovoga
članka, na dospjelu, a neplaćenu upravnu novčanu kaznu ne obračunava se kamata.
S obzirom na utvrđene okolnosti u konkretnom slučaju Agencija je sukladno svojim ovlastima
iz članka 58. stavka 2. točke (i) Opće uredbe o zaštiti podataka izrekao upravno novčanu kaznu
umjesto drugih korektivnih mjera iz predmetnog članka, a sve u skladu s uvjetima za njezino
izricanje iz članka 83. Opće uredbe o zaštiti podataka i članka 44., 45. i 46. Zakona o provedbi
Opće uredbe o zaštiti podataka. Nakon detaljnog razmatranja raspoloživih korektivnih mjera iz
članka 58. stavka 2. Opće uredbe o zaštiti podataka, a koje nadzorno tijelo ima ovlasti izreći
voditelju i/ili izvršitelju obrade, u slučaju kršenja odredbi Opće uredbe o zaštiti podataka, te
cijeneći sve okolnosti predmetnog slučaja, a posebno da odabrana korektivna mjera mora biti
učinkovita, proporcionalna i odvraćajuća u svakom pojedinom slučaju, Agencija je odlučila
izreći upravno novčanu kaznu posvećujući dužnu pozornost kriterijima propisanim člankom
83. stavkom 2. Opće uredbe o zaštiti podataka.
Naime, člankom 83. stavkom 1. Opće uredbe o zaštiti podataka propisano je da svako nadzorno
tijelo osigurava da je izricanje upravnih novčanih kazni u skladu s ovim člankom u pogledu
kršenja ove Uredbe iz stavaka 4., 5. i 6. u svakom pojedinačnom slučaju učinkovito,
proporcionalno i odvraćajuće.
Agencija smatra da iznos izrečene upravne novčane kazne ne može biti učinkovit ako nema
značajan utjecaj na prihode voditelja obrade, načelo proporcionalnosti ne može se održati ako
se povreda razmatra apstraktno bez obzira na utjecaj na voditelja ili izvršitelja obrade, a ista
treba biti i odvraćajuća od budućih kršenja. Dakle, izrečena upravna novčana kazna ne može
biti odvraćajuća ako nema financijskog utjecaja na predmetnog voditelja obrade.
Izricanjem upravne novčane kazne ujedno se želi postići da se poštuju pravila o zaštiti osobnih
podataka kako od strane samog voditelja obrade tako i od svih drugih voditelja/izvršitelja
obrade koji obrađuju osobne podatke na isti način. Izricanjem upravne novčane kazne treba se
postići generalno odvraćanje (obeshrabriti druge u ponavljanju istog kršenja u budućnosti), kao
i posebno odvraćanje (obeshrabriti adresata ove upravne novčane kazne od ponavljanja istih
kršenja).
Temeljem članka 83. stavka 2. Opće uredbe o zaštiti podataka, upravne novčane kazne izriču
se uz mjere ili umjesto mjera iz članka 58. stavka 2. točaka od (a) do (h) i članka 58. stavka 2.
točke (j), ovisno o okolnostima svakog pojedinog slučaja. Pri odlučivanju o izricanju upravne
novčane kazne i odlučivanju o iznosu te upravne novčane kazne u svakom pojedinom slučaju
dužna se pozornost posvećuje sljedećem:
(a) prirodi, težini i trajanju kršenja, uzimajući u obzir narav, opseg i svrhu obrade o kojoj je
riječ kao i broj ispitanika i razinu štete koju su pretrpjeli;
(b) ima li kršenje obilježje namjere ili nepažnje;
11
(c) svakoj radnji koju je voditelj obrade ili izvršitelj obrade poduzeo kako bi ublažio štetu koju
su pretrpjeli ispitanici;
(d) stupnju odgovornosti voditelja obrade ili izvršitelja obrade uzimajući u obzir tehničke i
organizacijske mjere koje su primijenili u skladu s člancima 25. i 32.;
(e) svim relevantnim prijašnjim kršenjima voditelja obrade ili izvršitelja obrade;
(f) stupnju suradnje s nadzornim tijelom kako bi se otklonilo kršenje i ublažili mogući štetni
učinci tog kršenja;
(g) kategorijama osobnih podataka na koje kršenje utječe;
(h) načinu na koji je nadzorno tijelo doznalo za kršenje, osobito je li i u kojoj mjeri voditelj
obrade ili izvršitelj obrade izvijestio o kršenju;
(i) ako su protiv dotičnog voditelja obrade ili izvršitelja obrade u vezi s istim predmetom
prethodno izrečene mjere iz članka 58. stavka 2., poštovanju tih mjera;
(j) poštovanju odobrenih kodeksa ponašanja u skladu s člankom 40. ili odobrenih mehanizama
certificiranja u skladu s člankom 42.; i
(k) svim ostalim otegotnim ili olakotnim čimbenicima koji su primjenjivi na okolnosti slučaja,
kao što su financijska dobit ostvarena kršenjem ili gubici izbjegnuti, izravno ili neizravno, tim
kršenjem.
U članku 83. stavku 5. Opće uredbe o zaštiti podataka je propisano da se za kršenja obveza
voditelja i izvršitelja obrade u skladu s člancima 6. stavak 1., 7., i 13. stavak 1. i 2. Opće uredbe
o zaštiti podataka mogu izreći upravne novčane kazne u iznosu do 20 000 000 EUR, ili u slučaju
poduzetnika do 4 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku
godinu, ovisno o tome što je veće.
Uvidom u sudski registar utvrđeno je kako za voditelja obrade X ukupni godišnji promet na
temelju financijskog izvješća za 2022. iznosi 287.749.207,00 kn = 38.190.882,87 EUR, a 4%
tog iznosa je 1.527.635,31 EUR, odnosno manje od 20.000.000,00 EUR, a odnosno iznosa koji
predstavlja gornju granicu za izricanje upravne novčane kazne u konkretnom predmetu.
Agencija je radi kršenja članka 6. stavak 1., članka 7. te članka 13. stavak 1. i 2., Opće uredbe
o zaštiti podataka izrekla voditelju obrade X upravnu novčanu kaznu u iznosu od 20.000,00
EUR, a koji iznos čini 0,1 % u odnosu na maksimalni iznos upravne novčane kazne koju je u
konkretnom slučaju Agencija mogla, odnosno bila ovlaštena izreći.
Na temelju odredbe članka 83. stavka 2. Opće uredbe o zaštiti podataka, pri odlučivanju o
izricanju upravne novčane kazne i odlučivanju o iznosu te upravne novčane kazne, Agencija je
u ovom slučaju dužnu pozornost posvetila sljedećem:
- Priroda, težina i trajanje kršenja, uzimajući u obzir narav, opseg i svrhu obrade o kojoj je riječ
kao i broj ispitanika i razinu štete koju su pretrpjeli (članak 83. stavak 2, točka a);
Sukladno Smjernicama Radne skupine iz članka 29. o primjeni i određivanju upravnih novčanih
kazni za potrebe Uredbe 2016/679 od 3. listopada 2017. godine (WP 253), a koje je Europski
odbor za zaštitu podataka podržao na svojoj prvoj plenarnoj sjednici 25. svibnja 2018. godine,
pokazatelj težine kršenja može biti ne samo priroda kršenja, već i opseg, svrha predmetne
obrade kao i broj ispitanika i razina štete koju su pretrpjeli.
U ovoj upravnoj stvari utvrđeno je kako je voditelj obrade u periodu od 01.07.2013. pa do
24.11.2022. putem internet stranice X prikupljao i obrađivao osobne podatke
posjetitelja/ispitanika putem kolačića bez pravne osnove. Budući da je Opća uredba o zaštiti
podataka u izravnoj i obvezujućoj primjeni od 25. svibnja 2018., Agencija je sukladno načelu
zabrane retroaktivne primjene propisa uzela u obzir navedeni datum kao datum početka kršenja
iste te je inkriminirani period povrede bio od 25.05.2018. do 24.11.2022. Nadalje, voditelj
obrade o predmetnoj obradi nije informirao ispitanike sukladno načelu transparentnosti te su na
12
taj način ispitanici bili zakinuti za informacije o obradi podataka kao što su o pravnoj osnovi,
funkciji/svrsi svakog kolačića, razdoblju pohrane kolačića. Dodatno, prilikom određivanja
kazne uzeto je u obzir da predmetna obrada ne predstavlja osnovnu djelatnost voditelja obrade.
- Ima li kršenje obilježje namjere ili nepažnje (članak 83. stavak 2, točka b);
Radna skupina iz članka 29. navodi u Smjernicama o primjeni i određivanju upravnih novčanih
kazni za potrebe Uredbe 2016/679 od 3. listopada 2017. godine (WP 253), a koje je Europski
odbor za zaštitu podataka podržao na svojoj prvoj plenarnoj sjednici 25. svibnja 2018. godine,
da “namjera” u pravilu uključuje znanje i nakanu u pogledu značajki prekršaja, dok
“nenamjerno” znači da nije postojala namjera da se prouzroči kršenje iako je voditelj
obrade/izvršitelj obrade prekršio svoju obvezu dužne pažnje propisanu zakonom. Iste Smjernice
dakle naglašavaju razliku između okolnosti koje su indikativne ili „namjerne povrede" i onih
koje ukazuju na kršenja koja su prouzročena „nenamjerno" ili “nemarom". U tom smislu
Smjernice navode "nedonošenje politika" i "ljudsku pogrešku" kao primjere ponašanja koji
mogu ukazivati na nepažnju.
S obzirom kako je voditelj obrade u razdoblju od 01.06.2018. pa do 24.11.2022 svojim internet
stranicama imao postavljenu nepotpunu obavijest o kolačićima u dokumentima Zaštita
privatnosti i PRAVILA PRIVATNOSTI kojim su ispitanicima dane općenite upute odnosne
na kolačiće, Agencija je uzela u obzir da se u predmetnom slučaju radi o nepažnji.
- Svaka radnja koju je voditelj obrade ili izvršitelj obrade poduzeo kako bi ublažio štetu koju
su pretrpjeli ispitanici (članak 83. stavak 2., točka c);
S obzirom da u predmetnom slučaju nije utvrđeno da su ispitanici pretrpjeli štetu ista okolnost
nije cijenjena ni kao olakotna ni kao otegotna.
- Stupanj odgovornosti voditelja obrade ili izvršitelja obrade uzimajući u obzir tehničke i
organizacijske mjere koje su primijenili u skladu s člancima 25. i 32. (članak 83. stavak 2 točka
d);
Kao olakotnu okolnost Agencija je prilikom izricanja upravno novčane kazne posebno cijenila
stupanj odgovornosti koji je voditelj obrade pokazao nakon nadzornih aktivnosti od strane
Agencije. Voditelj obrade je nakon zatraženog očitovanja Agencije odmah poduzeo aktivnosti
u svrhu korigiranja uočenog stanja te se nakon dodatno upućenog dopisa Agencije od dana 11.
listopada 2023. voditelj obrade očitovao dana 06. studenog 2023. i 14. studenog 2023. i dostavio
dokaze da je 24.11.2022. postavljena nova obavijest/banner o prikupljanju osobnih podataka
putem kolačića Internet stranici X (CMP Cookiebot), dok je 05.05.2023. implementiran CMP
Didomi.
- Relevantna prijašnja kršenja voditelja obrade ili izvršitelja obrade (članak 83. stavak 2. točka
e);
Agencija nije utvrdila prijašnja relevantna kršenja odredaba o zaštiti podataka od strane
voditelja obrade.
- Stupanj suradnje s nadzornim tijelom kako bi se otklonilo kršenje i ublažili mogući štetni
učinci tog kršenja (članak 83. stavak 2. točka f);
Voditelj obrade je tijekom ovog upravnog postupka na odgovarajući način odgovarao na
zahtjeve nadzornog tijela.
- Kategorije osobnih podataka na koje kršenje utječe (članak 83. stavak 2. točka g);
U predmetnom slučaju ne radi se o posebnim kategorijama osobnih podataka iz članka 9. kao
niti iz članka 10. Opće uredbe o zaštiti podataka, kao ni o osjetljivim kategorijama osobnih
13
podataka koji ovisno o kontekstu i opsegu obrade mogu prouzročiti visok rizik za prava i
slobode ispitanika.
- Način na koji je nadzorno tijelo doznalo za kršenje, osobito je li i u kojoj mjeri voditelj obrade
ili izvršitelj obrade izvijestio o kršenju (članak 83. stavak 2. točka h);
Za predmetnu povredu nadzorno tijelo je saznalo postupajući po službenoj dužnosti u sklopu
provedbe plana nadzornih provjera o usklađenosti sadržaja Internet stranica poslovnih
subjekata iz sektora uslužnih djelatnosti s odredbama Opće uredbe o zaštiti podataka u svrhu
praćenja primjene odredbi Opće uredbe o zaštiti podataka.
- Ako su protiv dotičnog voditelja obrade ili izvršitelja obrade u vezi s istim predmetom
prethodno izrečene mjere iz članka 58. stavka 2., poštovanju tih mjera (članak 83. stavak 2.
točka i);
Voditelju obrade nije prethodno izrečena mjera iz članka 58. stavka 2. Opće uredbe o zaštiti
podataka.
- Poštovanje odobrenih kodeksa ponašanja u skladu s člankom 40. ili odobrenih mehanizama
certificiranja u skladu s člankom 42. (članak 83. stavak 2. točka j);
Nije primjenjivo u predmetnom slučaju.
- Svi ostali otegotni ili olakotni čimbenici koji su primjenjivi na okolnosti slučaja, kao što su
financijska dobit ostvarena kršenjem ili gubici izbjegnuti, izravno ili neizravno, tim kršenjem
(članak 83. stavak 2. točka k);
Prilikom određivanja iznosa upravne novčane kazne Agencija nije utvrdila druge relevantne
okolnosti koje bi se imale smatrati otegotnima ili olakotnim.
Novčana kazna može se smatrati učinkovitom ako se njome postižu ciljevi zbog kojih je
izrečena. To može biti ponovna uspostava poštivanja pravila, kažnjavanje nezakonitog
ponašanja ili oboje. Agencija smatra da će izricanje iste dovesti do toga da voditelj obrade
pravovremeno i odgovarajuće ispunjava svoje obveze u području zaštite osobnih podataka u
budućnosti.
Agencija je provela ispitni postupak sukladno člancima 51. i 52. Zakona o općem upravnom
postupku i sukladno svim načelima upravnog postupka propisanih Zakonom o općem
upravnom postupku, pravilno utvrdila činjenično stanje te je na temelju utvrđenog činjeničnog
stanja pravilno primijenila materijalno pravo i izvela pravilan zaključak o činjeničnom stanju u
konkretnom predmetu. Svoju odluku temelji na svim relevantnim dokazima i činjenicama
kojima je raspolagala i koje je voditelj obrade dostavio kao dokaze.
Jednako tako, uzimajući u obzir sve prethodno navedeno Agencija smatra da je upravo
korektivna mjera u vidu upravne novčane kazne učinkovita, proporcionalna i odvraćajuća u
ovoj upravnoj stvari te da je njezin iznos u potpunosti primjeren okolnostima konkretnog
slučaja.
Temeljem svega navedenog odlučeno je kao u Izreci Rješenja.
14
UPUTA O PRAVNOM LIJEKU
Protiv ovog rješenja nije dopuštena žalba, ali se može pokrenuti upravni spor pred
Upravnim sudom u X u roku od 30 dana od dana dostave rješenja.
DOSTAVITI:
1. X
2. Pismohrana, ovdje
15