REPUBLIKA HRVATSKA
AGENCIJA ZA ZAŠTITU
OSOBNIH PODATAKA
KLASA:
URBROJ:
Zagreb,
Agencija za zaštitu osobnih podataka, OIB: 28454963989, na temelju članka 57. stavka 1. i 58.
stavka 1. i 2. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o
zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka
te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) Službeni
list Europske unije L 119 i članaka 44., 45. i 46. Zakona o provedbi Opće uredbe o zaštiti
podataka („Narodne novine“, broj: 42/2018), postupajući po službenoj dužnosti protiv Osnovne
škole X, OIB: __, donosi sljedeće
R J E Š E NJ E
1. Utvrđuje se da je prosljeđivanjem osobnih podataka 18 zaposlenika Osnovne škole X,
sadržanih u platnim listama Gradu Y, u veljači i ožujku 2024. godine od strane voditelja
obrade Osnovne škole X došlo do povrede odredbi članka 5. i 6. Opće uredbe o zaštiti
podataka.
2. Za kršenje opisano u točki 1. Izreke ovog Rješenja, u skladu s odredbama članka 83. Opće
uredbe o zaštiti podataka, izriče se Osnovnoj školi X, upravna novčana kazna u iznosu od
2.000,00 EUR
(slovima: dvijetisuće eura)
3. Osnovna škola X, dužna je platiti izrečenu upravnu novčanu kaznu u korist državnog
proračuna u roku od 15 dana od dana pravomoćnosti ovog Rješenja u korist računa broj:
HR1210010051863000160, model HR64 i poziv na broj odobrenja: s naznakom –
“upravne novčane kazne koje izriče AZOP”.
4. Ukoliko Osnovna škola X, u roku od 15 dana od pravomoćnosti ovog Rješenja ne plati
izrečenu upravnu novčanu kaznu, Agencija za zaštitu osobnih podataka će sukladno
članku 46. stavku 2. Zakona o provedbi Opće uredbe o zaštiti podataka obavijestiti
Područni ured Porezne uprave Ministarstva financija na čijem je području sjedište
1
navedenog voditelja obrade radi naplate upravne novčane kazne prisilnim putem prema
propisima o prisilnoj naplati poreza.
5. Osnovna škola X, je dužna u roku od 15 dana od izvršene uplate dostaviti dokaz o uplati
Agenciji za zaštitu osobnih podataka.
O b r a z l o ž e nj e
I. UTVRĐENJE POVREDE
Agencija za zaštitu osobnih podataka (dalje u tekstu: Agencija) zaprimila je predstavku
djelatnika OŠ X(dalje u tekstu: podnositelji predstavke), zastupanih po Sunčici Lončar,
odvjetnici iz Sesveta, 144. brigade Hrvatske vojske 3, u kojem u bitnome navode da su dana
25. ožujka 2024. godine na Radničkom vijeću OŠ X izviješteni članovi navedenog radničkog
vijeća o tome da je u tijeku nadzor Gradskog ureda za unutarnju reviziju i kontrolu, a koji se
tiču platnih lista djelatnika. Platne liste pojedinih članova Radničkog vijeća su, kako navode,
dostavljene Gradskom uredu za unutarnju reviziju i kontrolu od strane v.d. ravnatelja OŠ X na
dan 6. ožujka 2024. godine, a platne liste voditelja računovodstva su dostavljene u veljači 2024.
godine. Pri tome podnositelji predstavke ističu da nisu dali nikakvu suglasnost za prethodno
navedeno dostavljanje platnih lista. Podnositelji predstavke dodaju kako Grad Y nije naveo,
obrazložio niti dokumentirao u okviru kojeg postupka se predmetni podaci traže, je li započet
postupak kontrole pri Gradu Y, na temelju čega i kojim aktom, odnosno nije dokazao koji je
pravni temelj za prikupljanje predmetnih podataka, koje djelovanje, kako navode, predstavlja
ozbiljno kršenje privatnosti i prava na zaštitu osobnih podataka.
Podnositelji predstavke nadalje ističu kako Grad Y nije poslodavac zaposlenicima čije su se
liste dostavljale niti istima isplaćuje plaće te nema pravo uvida u platne liste niti pod uvjetima
međuinstitucionalne suradnje jer navedeno nije u skladu s načelom razmjernosti obrade osobnih
podataka zaposlenika. U predstavci se opetovano ističe kako nema akta o provedbi nadzora,
nema ovlasti niti zakonske osnove da Grad Y provodi nadzor financijske naravi nad platnim
listama zaposlenika čije se plaće ne financiraju iz gradskog proračuna.
Nadalje, u predstavci se opisuje i događaj koji je uslijedio nakon dostave platnih lista za Grad
Y, a za koji događaj podnositelji predstavke navode da je neposredno u vezi s neovlaštenom
obradom podataka, kada je zaposlenica Grada Y, Gradskog ureda za unutarnju reviziju i
kontrolu, u prisutnosti v.d. ravnatelja škole i još jednog djelatnika Grada Y, na školskom
računalu v.d. ravnatelja, u programu LABIS, vršila pretraživanje.
Podnositelji predstavke dodaju da je iz platnih lista moguće izvesti informacije odnosno
zaključke o pojedincu na kojeg se odnose, a na kojima su uz ime i prezime, OIB i adresu
stanovanja vidljivi i ostali podaci, primjerice članstvo u sindikatu, kreditna zaduženost
(administrativna zabrana), iznos primanja, broj djece i ostali podaci.
2
U prilogu predstavke je dostavljena sljedeća dokumentacija: Službena zabilješka od 8. veljače
2024., Grad Y, Gradskog ureda za unutarnju reviziju i kontrolu, KLASA:_, URBROJ: __;
elektronička prepiska od 6. ožujka 2024. godine između Gradskog ureda za unutarnju reviziju
i kontrolu i v.d. ravnatelja Osnovne škole X; elektronička prepiska od 11. ožujka 2024. godine
između v.d. ravnatelja Osnovne škole X i djelatnika računovodstva Osnovne škole X;
elektronička prepiska od 20. ožujka 2024. godine koja sadrži službenu bilješku djelatnika
računovodstva Osnovne škole X; elektronička prepiska od 17. ožujka 2024. godine od strane
djelatnika računovodstva Osnovne škole X poslana na e-mail adrese _ i __; elektronička
prepiska od 18. ožujka 2024. godine od strane službenika za zaštitu osobnih podataka Grada Y;
elektronička prepiska od 20. ožujka 2024. godine gdje se djelatnik škole obraća AZOP-u;
Neverificirani zapisnik sa devete sjednice Radničkog vijeća održane 25. ožujka 2024. godine u
Osnovnoj školi X, KLASA: __, URBROJ: __; dopis koji je upućen na adrese elektroničke pošte
__, __, __, __, predmet kojeg je provedba neovlaštenih aktivnosti za svrhe pribave i obrade
osobnih podataka (platnih lista) djelatnika škole od strane Grada Y, putem v.d. ravnatelja škole
(GDPR).
Nadalje, podnositelji su dana 26. studenog 2024. godine dostavili dodatne informacije vezane
uz podnesenu predstavku. Prvotno navode da na platnim listama dostavljenima Gradskom
uredu za unutarnju reviziju i kontrolu Grada Y, podaci o OIB-u i adresi djelatnika su
flomasterom djelomično precrtani, ali su pod određenim kutom i dalje vidljivi. Međutim, kako
objašnjavaju, imena, prezimena i ostali osobni podaci djelatnika, koji čine sastavni dio svake
platne liste (npr. podaci o plaći, obustavama, osobnom odbitku), nisu bili prekriveni, čime se
nije osigurala odgovarajuća zaštita privatnosti. Nastavno, navode da Grad Y nije poslodavac
djelatnika OŠ X niti financira njihove plaće, koje dolaze iz državnog proračuna, te da nema
dokaza o pravnom temelju za prikupljanje i obradu tih podataka, niti su djelatnici škole dali
privolu za dostavu svojih platnih lista Gradskom uredu. Ističu da nadzor nad sredstvima iz
državnog proračuna, uključujući isplate plaća, i obračune prekovremenih sati, spada u
isključivu nadležnost Ministarstva financija, te da Gradski ured za unutarnju reviziju nije imao
ovlast za provođenje nadzora nad plaćama djelatnika škole.
S obzirom na prethodno navedeno, podnositelji predstavke ukazuju da niti djelomična
anonimizacija OIB-a i adrese nije izvedena u skladu sa standardima ispravne anonimizacije.
Korištenje flomastera nije dovoljno sigurna metoda jer ne pruža potpunu zaštitu osobnih
podataka; u ispravnoj anonimizaciji podataka koristi se metoda koja potpuno uklanja ili trajno
zamagljuje osjetljive podatke, kao što je digitalno uklanjanje podataka ili druga trajna i
neprobojna zamagljenja. Samo trajna anonimizacija onemogućava svaku vrstu de-
anonimizacije i osigurava privatnost ispitanika.
U prilogu je dostavljena sljedeća dokumentacija: kopija jedne od dostavljenih platnih lista;
prijave upućene Ministarstvu financija, Prosvjetnoj inspekciji i Gradu Y te prijavu Upravnoj
inspekciji, kao i zaprimljene odgovore (Grad Y, OŠ X i Prosvjetna inspekcija); druge
raspoloživi dokazi kao što su pojedinačne prijave djelatnika škole, cjelokupna korespondencija
Grada Y i OŠ X sa zahtjevom za dostavom podataka, zapisnik sa sjednice Radničkog vijeća OŠ
3
X(nacrt) i drugu dokumentaciju spisa predmeta; te primjer Upute o obradi osobnih podataka
Grada Y.
Nastavno, podnositelji su naknadno dopunili predstavku dostavom relevantnih informacija i
stava Ministarstva financija vezano uz pitanje nadležnosti financijskog nadzora u Osnovnoj
školi X, temeljem važnih činjenica iz njihovih dopisa KLASA: __, URBROJ:__ i URBROJ:__,
oba datirana 27. studenog 2024. godine. U svojoj dopuni podnositelji predstavke ističu kako je
Ministarstvo financija u svom dopisu jasno navelo da Grad Y, Gradski ured za unutarnju
reviziju i kontrolu, nije ovlašten provoditi financijski nadzor nad sredstvima koji dolaze iz
državnog proračuna Republike Hrvatske. Nadalje se objašnjava kako prema Zakonu o fiskalnoj
odgovornosti i pravilnicima koji uređuju sustav unutarnjih kontrola u javnom sektoru, jedinica
lokalne samouprave (u ovom slučaju Grad Y) može pružati stručnu pomoć proračunskim
korisnicima iz svoje nadležnosti, ali nije ovlaštena za nadzor nad sredstvima iz državnog
proračuna.
Agencija je sukladno svojim zakonskim ovlastima u povezanom predmetu KLASA: __
URBROJ: __, zatražila od Grada Y, očitovanje o navodima podnositelja predstavke, odnosno
da navedu koja je pravna osnova i svrha obrade osobnih podataka zaposlenika OŠ X, kao i jesu
li osobne podatke zaposlenika OŠ X prosljeđivali trećim stranama, te ukoliko jesu, da objasne
kome i na kojoj pravnoj osnovi.
Nastavno na podnesak nadzornog tijela, Grad Y se očitovao na način da je dostavio podnesak
koji je istog dana otpremio punomoćnici podnositelja predstavke. U svom podnesku Grad Y
navodi da, nastavno na prigovor na obradu osobnih podataka koji je punomoćnica podnijela u
ime djelatnika ustanove OŠ X, a kojim prigovorom se ujedno traži brisanje osobnih podataka i
zabrana korištenja istih u nedozvoljene svrhe, u okviru dosega odredbi Opće uredbe o zaštiti
podataka, očituje se kako je mišljenja da Grad Y obrađuje osobne podatke zaposlenika ustanove
OŠ X u zakonitu (dozvoljenu) svrhu te kako uvjeti za brisanje osobnih podataka nisu ispunjeni,
sukladno odredbama Opće uredbe.
Naime, kako se u podnesku Grada Y navodi, iz očitovanja nadležnog gradskog upravnog tijela
(Gradski ured za unutarnju reviziju i kontrolu) od dana 23. travnja 2024. godine, proizlazi kako
je, odredbom članka 150. stavka 2. Zakona o odgoju i obrazovanju u osnovnoj i srednjoj školi
(Narodne novine, broj 87/08, 86/09, 92/10, 105/10, 90/11, 5/12, 16/12, 86/12, 126/12 - službeni
pročišćeni tekst, 94/13, 152/14, 7/17, 68/18, 98/19, 64/20, 133/20, 151/22, 155/23 i 156/23),
propisano da nadzor i kontrolu namjenskog trošenja sredstava koja se školskim ustanovama
osiguravaju iz državnog proračuna obavlja Ministarstvo, a nadzor i kontrolu namjenskog
trošenja sredstava koja se školskim ustanovama osiguravaju iz proračuna jedinice lokalne i
područne (regionalne) samouprave i drugih izvora obavlja osnivač.
Nadalje, Grad Y u svom podnesku navodi da unutar platnih lista nisu sadržani isključivo podaci
o trošenju sredstava koja se školskim ustanovama osiguravaju iz državnog proračuna, već
platne liste mogu sadržavati i podatke o isplaćenim naknadama iz sredstava koja se školskim
ustanovama osiguravaju iz proračuna jedinice lokalne i područne (regionalne) samouprave i
4
drugih izvora pa se tako Programom javnih potreba u osnovnoškolskom odgoju i obrazovanju
Grada Y, iz Proračuna Grada Y, osiguravaju znatna sredstva za financiranje širih javnih potreba
Grada Y u djelatnosti osnovnoškolskog odgoja i obrazovanja, i to između ostaloga programa
kao što su: produženi boravak, naknade za rad školskih odbora, izvannastavne i ostale
aktivnosti, Škola u prirodi, Vikendom u sportske dvorane, pomoćnici u nastavi / stručni
komunikacijski posrednici, sufinanciranje pripreme i provedbe projekata prijavljenih na
natječaje Europske unije, građanski odgoj.
Dodatno, Grad Y navodi da sukladno odredbama Pravilnika o unutarnjem ustrojstvu Gradskog
ureda za unutarnju reviziju i kontrolu (broj (1/23, 26/23, 32/23 i 4/24), unutar Odjela za kontrolu
u ustanovama, Sektora za kontrolu, Gradskog ured za unutarnju reviziju i kontrolu obavljaju se
poslovi kontrole u ustanovama kojih je Grad osnivač, a koji su usmjereni na otkrivanje mogućih
pogrešaka, odstupanja i nepravilnosti u poslovanju s ciljem njihova ispravljanja i sprječavanja
ponovnog nastanka; osiguranja zakonitoga, svrhovitoga i pravodobnog prikupljanja i korištenja
proračunskih sredstava i sredstva iz drugih izvora te postizanja očekivanih rezultata poslovanja;
pripreme stručnih podloga za podnošenje prijava ili zahtjeva za pokretanje prekršajnih,
kaznenih i disciplinskih postupaka zbog nepravilnoga i nezakonitog rada, izrade izvješća o
obavljenim kontrolama koja se podnose gradonačelniku, izrade izvješća o radu Odjela te drugi
poslovi iz djelokruga Odjela.
S obzirom na utvrđene nepravilnosti u korištenju financijskih sredstava od strane Prosvjetne
inspekcije Ministarstva znanosti, Grad Y objašnjava da je Gradski ured za unutarnju reviziju i
kontrolu pokrenuo provjeru ispravnosti korištenja financijskih sredstava u predmetnoj ustanovi.
Dodatno navodi da su odredbama članka 6. Opće uredbe propisani uvjeti zakonitosti obrade
osobnih podataka pa je tako stavkom 1. točkom c) navedenog članka propisano kako je obrada
zakonita, ako je nužna radi poštivanja pravnih obveza voditelja obrade (suglasnost djelatnika -
privola nije potrebna jer je dovoljno ispuniti jedan od uvjeta zakonitosti obrade kako bi se
obrada osobnih podataka smatrala zakonitom). Naposljetku, Grad Y navodi da je svrha obrade
osobnih podataka kontrola korištenja financijskih sredstava u ustanovi.
U vezi s navedenim, Agencija je zatražila očitovanje Osnovne škole X, kao voditelja obrade, i
to očitovanje o navodima podnositelja predstavke odnosno da navedu koja je pravna osnova za
prosljeđivanje osobnih podataka zaposlenika OŠ X Gradu Y, Gradskom uredu za unutarnju
reviziju i kontrolu. Nadalje, zatražen je popis svih zaposlenika čiji su osobni podaci proslijeđeni
Gradu Y, kao i informacija koji su sve osobni podaci proslijeđeni. Nastavno, zatražen je podatak
da li Grad Y zaposlenicima isplaćuje naknade iz sredstava koja se školskim ustanovama
osiguravaju iz proračuna jedinice lokalne i područne (regionalne) samouprave i drugih izvora.
Ako da, traži se informacija kojim sve zaposlenicima, a čiji su osobni podaci proslijeđeni Gradu
Y, se takva naknada isplaćuje. Također, zatražena je informacija kakav je nadzor u Osnovnoj
školi X obavila Prosvjetna inspekcija Ministarstva znanosti i obrazovanja uz potrebu dostave
Izvješća o nadzoru istog. Naposljetku, zatražena je informacija tko je osnivač Osnovne škole
X, te u kakvom su statusu zaposlenici predmetne škole, odnosno tko je poslodavac zaposlenika.
5
Nastavno na navedeno, Agencija je dana 23. svibnja 2024. godine zaprimila očitovanje
Osnovne škole X (dalje u tekstu: voditelj obrade) KLASA: __, URBROJ: __ od 20. svibnja
2024. godine, u kojem su navedena imena zaposlenika čije su platne liste izuzete za školsku
godinu 2022. – 2023. (rujan – lipanj), dok su za jednog zaposlenika dostavljene sve platne liste.
Nadalje, u očitovanju voditelj obrade napominje da su na platnim listama zatamnjeni svi osobni
podaci. Također, u očitovanju se objašnjava da je osnivač predmetne škole Grad Y, a
poslodavac je Ministarstvo znanosti, obrazovanja i mladih, dok je za učiteljice koje rade u
produženom boravku poslodavac Grad Y. U prilogu očitovanja dostavljen je podnesak koji je
otpremljen punomoćnici podnositelja predstavke i dopis Samostalnog sektora prosvjetne
inspekcije, Područne službe prosvjetne inspekcije Rijeka i odgovor škole.
U podnesku koji je dostavljen punomoćnici podnositelja zahtjeva v.d. ravnatelja voditelja
obrade u bitnome objašnjava da su njezine ovlasti propisane odredbom člankom 125. Zakona o
odgoju i obrazovanju u osnovnoj i srednjoj školi (Narodne novine, broj 87/08, 86/09, 92/10,
105/10, 90/11, 5/12, 16/12, 86/12, 126/12, 94/13, 152/14, 07/17, 68/18, 98/19, 64/20, 151/23,
155/23, 156/23) te je dužna surađivati s osnivačem, tijelima državne uprave, ustanovama i
drugim tijelima. U podnesku nadalje navodi da je Gradski ured za unutarnju reviziju i kontrolu
30. siječnja 2024. godine zaprimio predstavku koja ukazuje na možebitne nepravilnosti vezane
uz nalaz prosvjetne inspekcije te je ista 1. veljače 2024. godine obaviještena putem e-maila da
je otvorena kontrola KLASA: __.
Nastavno na navedeno, ističemo kako se od 25. svibnja 2018. godine, u svim državama
članicama Europske unije, pa tako i u Republici Hrvatskoj, izravno i obvezujuće primjenjuje
Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca
u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan
snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) SL EU L119.
Članak 4. stavak 1. točka 1. Opće uredbe o zaštiti podataka definira da „osobni podaci” znači
svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik”);
pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili
neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o
lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički,
fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca. Shodno
navedenom video zapis dobiven video nadzornom kamerom predstavlja osobni podatak u
smislu odredbi predmetnog članka, jer se kamerom bilježe pokreti i obilježja putem kojih se
osoba može identificirati.
Naglašavamo kako sukladno članku 5. Opće uredbe o zaštiti podataka, osobni podaci moraju
biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika, prikupljeni u posebne,
izričite i zakonite svrhe, primjereni, relevantni i ograničeni na ono što je nužno u odnosu na
svrhe u koju se obrađuju te obrađivani na način kojim se osigurava odgovarajuća sigurnost
osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog
gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera
(načelo cjelovitosti i povjerljivosti).
6
Članak 6. Opće uredbe o zaštiti podataka propisuje da je obrada zakonita samo ako i u onoj
mjeri u kojoj je ispunjeno najmanje jedno od sljedećega: ispitanik je dao privolu za obradu
svojih osobnih podataka u jednu ili više posebnih svrha, obrada je nužna za izvršavanje ugovora
u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja
ugovora, obrada je nužna radi poštovanja pravnih obveza voditelja obrade, obrada je nužna
kako bi se zaštitili životno važni interesi ispitanika ili druge fizičke osobe, obrada je nužna za
izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade,
obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od
tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih
podataka, osobito ako je ispitanik dijete.
U ovoj upravnoj stvari uzeti su u obzir navodi/očitovanja stranaka na okolnosti konkretnog
slučaja te je izvršen uvid u dokumentaciju koja prileži spisu predmeta.
Slijedom navedenog, u ovoj upravnoj stvari je utvrđeno da su od strane Prosvjetne inspekcije
Ministarstva znanosti utvrđene nepravilnosti u korištenju financijskih sredstava u Osnovnoj
školi X, iz kojeg razloga je Grad Y pokrenuo provjeru ispravnosti korištenja financijskih
sredstava u predmetnoj ustanovi. Nadalje je utvrđeno kako je dana 5. veljače 2024. godine
održan sastanak u prostorijama predmetne škole na kojem su prisustvovale v.d. ravnatelja
voditelja obrade i predstavnici Grada Y. Utvrđeno je kako je tom prilikom Grad Y od voditelja
obrade preuzeo određenu dokumentaciju, između ostalog i platne liste pojedinih zaposlenika
škole. Dodatno, utvrđeno je da je dana 6. ožujka 2024. godine Grad Y u elektroničkoj poruci
poslanoj voditelju obrade zatražio dostavu platnih lista za školsku godinu 2022/2023 (rujan /
lipanj) za 14 zaposlenika škole. Utvrđeno je kako je voditelj obrade dostavio Gradu Y platne
liste za ukupno 18 svojih zaposlenika. Nadalje, dana 20. ožujka 2024. godine djelatnici
Gradskog ureda za unutarnju kontrolu i reviziju su došli na sastanak u navedenu školu.
U konkretnom slučaju, navodi koje je Grad Y iznio u svom očitovanju ne mogu se uzeti kao
relevantni. Naime, Grad Y u svom očitovanju iznosi niz odredbi zakona i paušalnih izjava pri
čemu ne navodi na koji način se iste odnose na predmetni slučaj. Primjerice, Grad Y u svom
očitovanju navodi da unutar platnih lista nisu sadržani isključivo podaci o trošenju sredstava
koja se školskim ustanovama osiguravaju iz državnog proračuna, već platne liste mogu
sadržavati i podatke o isplaćenim naknadama iz sredstava koja se školskim ustanovama
osiguravaju iz proračuna jedinice lokalne i područne (regionalne) samouprave i drugih izvora,
odnosno Grad Y navodi da je svrha obrade osobnih podataka kontrola korištenja financijskih
sredstava u ustanovi. Bitno je istaknuti kako pri tome isti ne objašnjava na koje platne liste se
navedeno odnosi, odnosno kojim zaposlenicima voditelj obrade čije su platne liste dostavljene
su isplaćena sredstva/ plaće/ naknade iz proračuna Grada Y i iz kojeg razloga. Također, Grad
Y nije dokazao da platne liste predmetnih zaposlenika sadrže podatke o naknadama koje su
isplaćene iz proračuna Grada Y.
Dodatno, kod donošenja odluke Agencija je uzela u obzir mišljenje Ministarstva financija
vezano uz pitanje nadležnosti financijskog nadzora u Osnovnoj školi X, u kojem su naveli da
7
Grad Y, Gradski ured za unutarnju reviziju i kontrolu, nije ovlašten provoditi financijski nadzor
nad sredstvima koji dolaze iz državnog proračuna Republike Hrvatske.
Slijedom navedenog, utvrđeno je kako Grad Y nije imao pravnu osnovu niti svrhu za obradu
osobnih podataka zaposlenika voditelja obrade sadržanih u platnim listama. Prema tome,
voditelj obrade nije imao pravnu osnovu i svrhu za prosljeđivanje osobnih podataka svojih
zaposlenika Gradu Y.
Nadalje, unatoč navodima voditelja obrade da su dostavljene platne liste anonimizirane, niti
voditelj obrade niti Grad Y za isto nisu dostavili dokaz, te stoga navedeno Agencija nije uzela
u obzir prilikom donošenja odluke.
Prema tome, u konkretnom slučaju je utvrđeno kako voditelj obrade nije jasno odredio niti
dokazao zakonitu svrhu i pravnu osnovu u koju je proslijedio osobne podatke zaposlenika
voditelja obrade sadržane u platnim listama koje su dostavljene Gradu Y odnosno da je takvo
postupanje voditelja obrade bilo protivno člancima 5. i 6. Opće uredbe o zaštiti podataka.
II. UTVRĐENJE UPRAVNE NOVČANE KAZNE
Člankom 44. Zakona o provedbi Opće uredbe o zaštiti podataka je propisano da Agencija izriče
upravne novčane kazne za povrede odredaba predmetnog Zakona i Opće uredbe o zaštiti
podataka, sukladno članku 83. Opće uredbe o zaštiti podataka. Stavkom 2. istog članak
propisano je da ako se upravna novčana kazna izriče protiv pravne osobe s javnim ovlastima ili
protiv pravne osobe koja obavlja javnu službu, izrečena upravna novčana kazna ne smije
ugroziti obavljanje takve javne ovlasti ili javne službe.
Člankom 45. stavkom 1. navedenog Zakona je propisano da se upravne novčane kazne izriču
odlukom. Temeljem stavka 2. istoga članka, odlukom će se utvrditi iznos i način uplate upravne
novčane kazne. Odlukom se može utvrditi da se upravna novčana kazna plaća u obrocima.
Temeljem stavka 4. istoga članka, protiv odluke nije dopuštena žalba, ali se može pokrenuti
upravni spor pred nadležnim upravnim sudom.
Temeljem članka 46. istoga Zakona, upravna novčana kazna uplaćuje se u roku od 15 dana od
dana pravomoćnosti odluke kojom je izrečena. Ako stranka u propisanom roku ne uplati
upravnu novčanu kaznu odnosno po dospijeću zadnjeg obroka ako je odobreno obročno
plaćanje, Agencija će obavijestiti Područni ured Porezne uprave Ministarstva financija na čijem
je području prebivalište odnosno sjedište stranke kojoj je izrečena upravna novčana kazna, radi
naplate upravne novčane kazne prisilnim putem prema propisima o prisilnoj naplati poreza.
Upravne novčane kazne uplaćuju se u korist državnog proračuna. Iznimno od stavka 2. ovoga
članka, na dospjelu, a neplaćenu upravnu novčanu kaznu ne obračunava se kamata.
S obzirom na utvrđene okolnosti u konkretnom slučaju Agencija je sukladno svojim ovlastima
iz članka 58. stavka 2. točke (i) Opće uredbe o zaštiti podataka izrekla upravno novčanu kaznu
8
umjesto drugih korektivnih mjera iz predmetnog članka, a sve u skladu s uvjetima za njezino
izricanje iz članka 83. Opće uredbe o zaštiti podataka i članaka 44., 45. i 46. Zakona o provedbi
Opće uredbe o zaštiti podataka. Nakon detaljnog razmatranja raspoloživih korektivnih mjera iz
članka 58. stavka 2. Opće uredbe o zaštiti podataka, a koje nadzorno tijelo ima ovlasti izreći
voditelju i/ili izvršitelju obrade, u slučaju kršenja odredbi Opće uredbe o zaštiti podataka te
cijeneći sve okolnosti predmetnog slučaja, a posebno da odabrana korektivna mjera mora biti
učinkovita, proporcionalna i odvraćajuća u svakom pojedinom slučaju, Agencija je odlučila
izreći upravno novčanu kaznu posvećujući dužnu pozornost kriterijima propisanim člankom
83. stavkom 2. Opće uredbe o zaštiti podataka.
Naime, člankom 83. stavkom 1. Opće uredbe o zaštiti podataka propisano je da svako nadzorno
tijelo osigurava da je izricanje upravnih novčanih kazni u skladu s ovim člankom u pogledu
kršenja ove Uredbe iz stavaka 4., 5. i 6. u svakom pojedinačnom slučaju učinkovito,
proporcionalno i odvraćajuće.
Agencija smatra da iznos izrečene upravne novčane kazne ne može biti učinkovit ako nema
značajan utjecaj na prihode voditelja obrade, načelo proporcionalnosti ne može se održati ako
se povreda i glede iste izrečena upravna novčana kazna razmatra apstraktno bez obzira na
utjecaj na voditelja ili izvršitelja obrade, a ista treba biti i odvraćajuća od budućih kršenja.
Dakle, izrečena upravna novčana kazna ne može biti odvraćajuća ako nema financijskog
utjecaja na predmetnog voditelja obrade.
Izricanjem upravne novčane kazne ujedno se želi postići da se poštuju pravila o zaštiti osobnih
podataka kako od strane samog voditelja obrade tako i od svih drugih voditelja/izvršitelja
obrade koji obrađuju osobne podatke. Time se treba postići generalno odvraćanje (obeshrabriti
druge u ponavljanju istog kršenja u budućnosti), kao i posebno odvraćanje (obeshrabriti
adresata ove upravne novčane kazne od ponavljanja istog kršenja).
Temeljem članka 83. stavka 2. Opće uredbe o zaštiti podataka, upravne novčane kazne izriču
se uz mjere ili umjesto mjera iz članka 58. stavka 2. točaka od (a) do (h) i članka 58. stavka 2.
točke (j), ovisno o okolnostima svakog pojedinog slučaja. Pri odlučivanju o izricanju upravne
novčane kazne i odlučivanju o iznosu te upravne novčane kazne u svakom pojedinom slučaju
dužna se pozornost posvećuje sljedećem:
(a) prirodi, težini i trajanju kršenja, uzimajući u obzir narav, opseg i svrhu obrade o kojoj je
riječ kao i broj ispitanika i razinu štete koju su pretrpjeli;
(b) ima li kršenje obilježje namjere ili nepažnje;
(c) svakoj radnji koju je voditelj obrade ili izvršitelj obrade poduzeo kako bi ublažio štetu koju
su pretrpjeli ispitanici;
(d) stupnju odgovornosti voditelja obrade ili izvršitelja obrade uzimajući u obzir tehničke i
organizacijske mjere koje su primijenili u skladu s člancima 25. i 32.;
(e) svim relevantnim prijašnjim kršenjima voditelja obrade ili izvršitelja obrade;
(f) stupnju suradnje s nadzornim tijelom kako bi se otklonilo kršenje i ublažili mogući štetni
učinci tog kršenja;
(g) kategorijama osobnih podataka na koje kršenje utječe;
9
(h) načinu na koji je nadzorno tijelo doznalo za kršenje, osobito je li i u kojoj mjeri voditelj
obrade ili izvršitelj obrade izvijestio o kršenju;
(i) ako su protiv dotičnog voditelja obrade ili izvršitelja obrade u vezi s istim predmetom
prethodno izrečene mjere iz članka 58. stavka 2., poštovanju tih mjera;
(j) poštovanju odobrenih kodeksa ponašanja u skladu s člankom 40. ili odobrenih mehanizama
certificiranja u skladu s člankom 42.; i
(k) svim ostalim otegotnim ili olakotnim čimbenicima koji su primjenjivi na okolnosti slučaja,
kao što su financijska dobit ostvarena kršenjem ili gubici izbjegnuti, izravno ili neizravno, tim
kršenjem.
Nadalje, odredba stavaka 3. istog članka propisuje ako voditelj obrade ili izvršitelj obrade za
istu ili povezane obrade namjerno ili iz nepažnje prekrši nekoliko odredaba ove Uredbe ukupan
iznos novčane kazne ne smije biti veći od administrativnog iznosa utvrđenog za najteže kršenje.
U članku 83. stavku 5. Opće uredbe o zaštiti podataka je propisano da se za kršenja obveza
voditelja i izvršitelja obrade u skladu s člancima 6. i 13. Opće uredbe o zaštiti podataka mogu
izreći upravne novčane kazne u iznosu do 20 000 000 EUR, ili u slučaju poduzetnika do 4 %
ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome
što je veće.
Uvidom u Izvještaj proračuna, proračunskih i izvanproračunskih korisnika za 2024. godinu koje
prileži spisu predmeta, utvrđeno je da su u 2024 godini za voditelja obrade ukupni prihodi
poslovanja iznosili 1.801.887,17 eura; dok su ukupni rashodi poslovanja iznosili 1.737.229,83
eura.
Agencija je radi kršenja članka 5. stavka 1. točka (b) i članka 6. stavka 1. Opće uredbe o zaštiti
osobnih podataka izrekla voditelju obrade upravnu novčanu kaznu u iznosu od 2.000,00 EUR,
a koji iznos čini 0,01 % u odnosu na maksimalni iznos upravne novčane kazne koju je u
konkretnom slučaju Agencija mogla, odnosno bila ovlaštena izreći, uzevši u obzir odredbe
članka 44. stavka 2. Zakona o provedbi Opće uredbe o zaštiti podataka.
Izraz „sa dužnom pozornošću“ iz članka 83. stavka 2. Opće uredbe o zaštiti podataka
omogućuje nadležnim nadzornim tijelima za zaštitu podataka široku diskreciju prilikom
cijenjenja elemenata iz članka 83. stavka 2. Opće uredbe o zaštiti podataka. Agencija je
prilikom određivanja visine upravne novčane kazne bila u obvezi poštivati mehanizam
konzistentnosti, odnosno osigurati da visina izrečene upravne novčane kazne bude u skladu s
kaznama koje su izrekla druga nadzorna tijela za zaštitu podataka drugih država članica
Europske unije, u istim odnosno sličnim okolnostima.
Na temelju odredbe članka 83. stavka 2. Opće uredbe o zaštiti podataka, pri odlučivanju o
izricanju upravne novčane kazne i odlučivanju o iznosu te upravne novčane kazne, Agencija je
u ovom slučaju dužnu pozornost posvetila sljedećem:
10
- Prirodi, težini i trajanju kršenja, uzimajući u obzir narav, opseg i svrhu obrade o kojoj je riječ
kao i broj ispitanika i razinu štete koju su pretrpjeli (članak 83. stavak 2. točka a);
U konkretnom slučaju je utvrđeno kako je voditelj obrade javna ustanova, te da je ukupan broj
ispitanika obuhvaćenih povredom 18. Prema tome, došlo je do prosljeđivana osobnih podataka
18 ispitanika trećoj strani, točnije Gradu Y, bez da je za isto postojala zakonita svrha i pravna
osnova. Prosljeđivanje od strane voditelja obrade izvršeno je tijekom veljače i ožujka 2024.
godine. Također, voditelj obrade nije o predmetnom prosljeđivanju obavijestio svoje
zaposlenike čiji su osobni podaci proslijeđeni, već su isti o navedenom saznali 25. ožujka 2024.
godine na Radničkom vijeću OŠ X.
Uzimajući u obzir da je voditelj obrade osobne podatke vlastitih zaposlenika proslijedio trećim
osobama bez da je za isto imao zakonitu svrhu i pravnu osnovu, Agencija je prethodne okolnosti
kvalificirala kao teško kršenje odredaba Opće uredbe o zaštiti podataka.
- Ima li kršenje obilježje namjere ili nepažnje (članak 83. stavak 2. točka b);
U odnosu na navedeno, nije utvrđena namjera kršenja odredaba Opće uredbe o zaštiti podataka
od strane voditelja obrade, već je utvrđena nepažnja.
- Svaka radnja koju je voditelj obrade ili izvršitelj obrade poduzeo kako bi ublažio štetu koju
su pretrpjeli ispitanici (članak 83. stavak 2. točka c);
S obzirom na to da u predmetnom slučaju nije utvrđeno da su ispitanici pretrpjeli štetu, ista
okolnost nije cijenjena ni kao olakotna ni kao otegotna.
- Stupanj odgovornosti voditelja obrade ili izvršitelja obrade uzimajući u obzir tehničke i
organizacijske mjere koje su primijenili u skladu s člancima 25. i 32. (članak 83. stavak 2. točka
d);
Nije primjenjivo u predmetnom slučaju.
- Relevantna prijašnja kršenja voditelja obrade ili izvršitelja obrade (članak 83. stavak 2. točka
e);
Agencija ima zabilježena prijašnja relevantna kršenja odredaba Opće uredbe o zaštiti podataka
od strane Osnovne škole X, kao voditelja obrade, vezano za obradu osobnih podataka svojih
učenika na YouTube kanalu (video snimke i fotografije učenika), te vezano za ne usklađivanje
obrasca putem kojeg voditelj obrade traži privolu roditelja/zakonskih zastupnika učenika, čije
osobne podatke obrađuje, sa uvjetima privole na način kako to propisuje članak 7. Opće uredbe
o zaštiti podataka. Voditelju obrade je izrečena službena opomena zbog kršenja odredbi članaka
6. i 7. Opće uredbe o zaštiti podataka.
11
- Stupanj suradnje s nadzornim tijelom kako bi se otklonilo kršenje i ublažili mogući štetni
učinci tog kršenja (članak 83. stavak 2. točka f);
Osnovna škola X, kao voditelj obrade, je tijekom ovog upravnog postupka na odgovarajući
način odgovaralo na zahtjeve nadzornog tijela.
- Kategorije osobnih podataka na koje kršenje utječe (članak 83. stavak 2. točka g);
Osobni podaci koji su prikupljeni ne pripadaju u posebne kategorije osobnih podataka iz članka
9. Opće uredbe o zaštiti podataka.
- Način na koji je nadzorno tijelo doznalo za kršenje, osobito je li i u kojoj mjeri voditelj obrade
ili izvršitelj obrade izvijestio o kršenju (članak 83. stavak 2. točka h);
Za predmetnu povredu nadzorno tijelo je saznalo putem zaprimljenih podneska od strane
zaposlenika Osnovne škole X čije su platne liste proslijeđene Gradu Y te pokrenulo postupak
po službenoj dužnosti sukladno članku 42. Zakona o općem upravnom postupku.
- Ako su protiv dotičnog voditelja obrade ili izvršitelja obrade u vezi s istim predmetom
prethodno izrečene mjere iz članka 58. stavka 2., poštovanju tih mjera (članak 83. stavak 2.
točka i);
Obzirom da voditelju obrade nije prethodno izrečena mjera iz članka 58. stavka 2. Opće uredbe
o zaštiti podataka, predmetna okolnost nije uzeta u obzir prilikom određivanja iznosa upravno
novčane kazne.
- Poštovanje odobrenih kodeksa ponašanja u skladu s člankom 40. ili odobrenih mehanizama
certificiranja u skladu s člankom 42. (članak 83. stavak 2. točka j);
Nije primjenjivo u predmetnom slučaju.
- Svi ostali otegotni ili olakotni čimbenici koji su primjenjivi na okolnosti slučaja, kao što su
financijska dobit ostvarena kršenjem ili gubici izbjegnuti, izravno ili neizravno, tim kršenjem
(članak 83. stavak 2. točka k);
Prilikom određivanja iznosa upravne novčane kazne Agencija nije utvrdila druge relevantne
okolnosti koje bi se imale smatrati otegotnima ili olakotnim.
Novčana kazna može se smatrati učinkovitom ako se njome postižu ciljevi zbog kojih je
izrečena. To može biti ponovna uspostava poštivanja pravila, kažnjavanje nezakonitog
ponašanja ili oboje.
Agencija se odlučila upravo za izricanje upravne novčane kazne kao korektivne mjere iz razloga
postojanja visokog rizika za ispitanike, a koji se mogao prevenirati ulaganjem dužne pažnje.
12
Naime, u konkretnom slučaju, radi se o voditelju obrade koji je proslijedio platne liste 18 svojih
zaposlenika Gradu Y, pri čemu za isto nije imao niti pravnu osnovu niti je postojala svrha
takvog prosljeđivanja.
Stoga Agencija smatra da će izricanje upravne novčane kazne kao korektivne mjere dovesti do
toga da voditelj obrade u budućnosti odgovarajuće ispunjava svoje obveze iz područja zaštite
osobnih podataka, a naročito da bude svjestan nužnosti poštivanja svih načela obrade osobnih
podataka iz članka 5. Opće uredbe o zaštiti podataka prilikom prikupljanja i daljnje obrade
osobnih podataka ispitanika. Također, Agencija smatra da će izricanje iste dovesti do toga da
voditelj obrade pravovremeno ispunjava svoje obveze u području zaštite osobnih podataka u
budućnosti, a osobito u pogledu implementiranja odgovarajućih tehničkih i organizacijskih
mjere koje omogućavaju učinkovitu primjenu načela zaštite podataka.
Nadalje, imajući na umu da novčana kazna također treba biti razmjerna i odvraćajuća, Agencija
smatra da izrečena novčana kazna nije nesrazmjerna ciljevima koji se žele postići, te da iznos
izrečene novčane kazne razmjeran povredi, pri čemu se posebno vodilo računa o težini povrede
kao i da iznos izrečene novčane kazne neće ugroziti obavljanje javne službe.
Agencija je provela ispitni postupak sukladno člancima 51. i 52. Zakona o općem upravnom
postupku i sukladno svim načelima upravnog postupka propisanih ZUP-om, pravilno utvrdila
činjenično stanje te je na temelju utvrđenog činjeničnog stanja pravilno primijenila materijalno
pravo i izvela pravilan zaključak o činjeničnom stanju u konkretnom predmetu. Svoju odluku
temelji na svim relevantnim dokazima i činjenicama kojima je raspolagala i koje je voditelj
obrade dostavio kao dokaze. Jednako tako, uzimajući u obzir sve prethodno navedeno Agencija
smatra da je upravo korektivna mjera u vidu upravne novčane kazne učinkovita, proporcionalna
i odvraćajuća u ovoj upravnoj stvari, te da je njezin iznos u potpunosti primjeren okolnostima
konkretnog slučaja.
Temeljem svega navedenog odlučeno je kao u Izreci Rješenja.
UPUTA O PRAVNOM LIJEKU
Protiv ovog rješenja nije dopuštena žalba, ali se može pokrenuti upravni spor pred Upravnim
sudom u __ u roku od 30 dana od dana dostave rješenja.
DOSTAVITI:
1. Osnovna škola X,
2. Pismohrana, ovdje
13