Pravilno određivanje nadležnog tijela ključno je za odgovor na pitanje primjenjuje li se na obradu osobnih podataka LED Direktiva, odnosno hrvatski provedbeni zakon, ili Opća uredba o zaštiti podataka. U članku se uspoređuje definicija pojma „nadležno tijelo“ iz LED Direktive s onom iz Zakona o zaštiti fizičkih osoba u vezi s obradom i razmjenom osobnih podataka u svrhe sprječavanja, istraživanja, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija te se, uz osvrt na praksu Suda Europske unije i stajališta AZOP-a, analizira status kaznenih sudova, policije, državnog odvjetništva, kaznionica i zatvora, probacijskih tijela, Carinske uprave, Ureda za sprječavanje pranja novca, kreditnih institucija, sigurnosno-obavještajnih agencija i Ureda europskog javnog tužitelja. Autor otvara i pitanje potpunosti prenošenja LED Direktive u hrvatsko zakonodavstvo.
1. Uvodna razmatranja
LED Direktivom1 utvrđuju se pravila povezana sa zaštitom pojedinaca u pogledu obrade osobnih podataka od strane nadležnih tijela u svrhe sprječavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprječavanje.2
S obzirom na navedeno, za utvrđivanje područja primjene LED Direktive potrebno je razmotriti dvije međusobno povezane sastavnice, i to subjekta koji provodi obradu osobnih podataka te svrhu u koje se ta obrada provodi. U tom je kontekstu od iznimne važnosti definicija pojma „nadležno tijelo“ iz čl. 3. toč. 7. LED Direktive, ali i čl. 4. st. 1. toč. 8. Zakona o zaštiti fizičkih osoba u vezi s obradom i razmjenom osobnih podataka u svrhe sprječavanja, istraživanja, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija.3
Kako je pravilno određivanje nadležnog tijela od osobite važnosti za utvrđivanje mjerodavnog pravnog režima obrade osobnih podataka i ostvarivanje prava ispitanika, u ovome će se radu, analizom relevantnog zakonodavstva, sudske prakse Suda Europske unije (dalje: SEU) i stajališta nadzornih tijela, nastojati utvrditi koja hrvatska tijela i drugi subjekti potpadaju pod definiciju „nadležnog tijela“ iz LED Direktive i Zakona, uključujući i one koji svoje zakonske zadaće obavljaju prije pokretanja kaznenog postupka4 ili izvan njega.
2. Pojam nadležnog tijela u pravu Europske unije i hrvatskom zakonodavstvu
U čl. 3. toč. 7. LED Direktive pojam „nadležnog tijela“ definiran je alternativno, tako da obuhvaća svako tijelo javne vlasti nadležno za sprječavanje, istragu, otkrivanje ili progon kaznenih djela ili izvršavanje kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprječavanje, ili svako drugo tijelo ili subjekt kojem je pravom države članice povjereno obavljanje javnih dužnosti i izvršavanje javnih ovlasti u svrhe iz čl. 1. st. 1. LED Direktive.
Drugi dio alternativnog određenja definicije pojma „nadležnog tijela“ odražava proces privatizacije djelatnosti povezanih s provedbom zakona u kaznenopravnom području, prisutan u nekoliko europskih država. Međutim, kako bi se mogao smatrati „nadležnim tijelom“, privatnom subjektu moralo bi „na temelju zakona biti povjereno“ izvršavanje „javnih ovlasti i javnih ovlaštenja“ u svrhe provedbe zakona u kaznenopravnom području. Pritom samo postojanje ugovornog odnosa ne bi bilo dostatno.5
Privatni subjekti koji su na temelju zakonske obveze obvezni prikupljati osobne podatke na zahtjev tijela javne vlasti, u okviru sustava uspostavljenog za potrebe provedbe zakona u kaznenopravnom području, time ne postaju „nadležna tijela“. To je jasno utvrdio SEU u kontekstu sustava podataka iz evidencije podataka o putnicima (PNR), uspostavljenog Direktivom o PNR-u6. Iako su zračni prijevoznici na temelju navedene Direktive zakonski obvezni prenositi prethodno prikupljene podatke iz evidencije podataka o putnicima (PNR), oni u tom kontekstu ne izvršavaju javne ovlasti niti im je povjereno izvršavanje javnih ovlaštenja.7
Primjera radi, zračni prijevoznici prikupljaju osobne podatke putnika u okviru obavljanja svoje gospodarske djelatnosti te su, sukladno čl. 8. st. 1. Direktive o PNR-u, obvezni prethodno prikupljene podatke dostavljati za to nadležnom tijelu. Međutim, sama zakonska obveza dostavljanja osobnih podataka ne znači da su zračnim prijevoznicima povjerene javne ovlasti sprječavanja ili otkrivanja kaznenih djela. Nasuprot tome, policiji su zakonom izričito povjerene takve ovlasti, zbog čega se, kada obrađuje osobne podatke radi njihova izvršavanja, smatra nadležnim tijelom u smislu čl. 3. toč. 7. LED Direktive.8
Slijedom navedenog, za utvrđivanje statusa nadležnog tijela nije presudno obrađuje li privatni subjekt osobne podatke radi sprječavanja kaznenih djela, nego jesu li mu pravom države članice povjereni obavljanje javnih dužnosti i izvršavanje javnih ovlasti u smislu čl. 3. toč. 7. LED Direktive.
Usprkos navedenome, čl. 4. st. 1. toč. 8. Zakona definira nadležno tijelo isključivo kao tijelo javne vlasti nadležno za sprječavanje, istraživanje, otkrivanje ili progon kaznenih djela ili izvršavanje kaznenih sankcija, uključujući i zaštitu od prijetnji javnoj sigurnosti i sprječavanje takvih prijetnji. Hrvatski je zakonodavac iz definicije „nadležnog tijela“ izostavio drugu kategoriju predviđenu LED Direktivom. Upravo radi navedenoga, a ne ulazeći u razloge takvog rješenja, u nastavku rada će se pri određivanju statusa „nadležnog tijela“ na primjerima polaziti od definicije preuzete u hrvatskom provedbenom zakonu.
3. Nadležna tijela u hrvatskom penalnom sustavu
Iz zajedničkog tumačenja čl. 1. st. 1., čl. 2. st. 1. i čl. 3. toč. 7. LED Direktive proizlazi potreba razlikovanja osobnog kriterija, odnosno kriterija koji definira tko obavlja obradu osobnih podataka te ima li taj subjekt zakonom određeno svojstvo tijela javne vlasti, i materijalnog kriterija, odnosno kriterija koji određuje u koju se konkretnu svrhu obrađuju osobni podaci.
Prema izloženim kriterijima status policijskog tijela nije dovoljan za primjenu LED Direktive na svaku obradu osobnih podataka koju ono provodi, već je u svakom konkretnom slučaju potrebno utvrditi svrhe u koje se osobni podaci obrađuju.
Kazneni sudovi9 u okviru obavljanja svojih funkcija u svrhe iz čl. 1. st. 1. LED Direktive, a izvan funkcija poslova sudske uprave, predstavljaju nadležno tijelo u smislu Zakona.
Isto tako, nesporno je da i policija, DORH10 i USKOK, u okviru svojih zakonskih ovlaštenja, potpadaju pod definiciju nadležnog tijela jer je riječ o tijelima javne vlasti ovlaštenima za postupanje protiv počinitelja kaznenih djela.
Nadalje, kaznionice i zatvori predstavljaju tijela javne vlasti koja su nadležna za izvršavanje kaznenih sankcija, čime ispunjuju jednu od svrha iz čl. 1. st. 1. LED Direktive. Isto se odnosi i na probacijska tijela jer je čl. 2. st. 2. Zakona o probaciji11 određeno da se probacijski poslovi obavljaju pri odlučivanju o kaznenom progonu, izboru vrste kazni i izvršavanju kazni izrečenih počinitelju kaznenog djela.
Carinska uprava kao tijelo javne vlasti, prema Zakonu o carinskoj službi, provoditelj je poslova carinske službe, u koje ulazi i „otkrivanje, sprječavanje i suzbijanje prekršaja i kaznenih djela, njihovo otkrivanje i prikupljanje podataka o tim djelima i počiniteljima te provedba dokaznih radnji u prekršajnom i kaznenom postupku sukladno odredbama Zakona o kaznenom postupku, Prekršajnog zakona i ovoga Zakona“.12
Pitanje koje je trenutačno aktualno pred SEU-om jest smatraju li se financijsko-obavještajne jedinice „nadležnim tijelima“, kada obavljaju temeljnu zadaću sprječavanja i otkrivanja pranja novca i financiranja terorizma.
Odgovor na spomenuto pitanje iznimno je bitan i za korpus hrvatskog Zakona o sprječavanju pranja novca i financiranja terorizma13 te za primjenjivost LED Direktive/Zakona na Ured za sprječavanje pranja novca. U svome mišljenju, nezavisna odvjetnica Medina14 istaknula je da se financijsko-obavještajna jedinica prilikom izvršavanja svoje zadaće sprječavanja, otkrivanja i borbe protiv pranja novca i financiranja terorizma mora smatrati nadležnim tijelom, čak i ako nije istražno tijelo u smislu nacionalnog zakona o kaznenom postupku. Stoga, primjenjujući navedeni standard na hrvatski propis, kada bi Ured za sprječavanje pranja novca sukladno čl. 110. Zakona o sprječavanju pranja novca i financiranja terorizma u svrhu sprječavanja i otkrivanja pranja novca i financiranja terorizma (radi se o kaznenim djelima) obavljao temeljne zadaće, na taj bi se Ured primjenjivale odredbe Zakona, odnosno LED Direktive.
Ipak, bitno razgraničenje postoji kod kreditnih institucija koje su, sukladno čl. 9. Zakona o sprječavanju pranja novca i financiranja terorizma, obvezne provoditi mjere radi sprječavanja i otkrivanja pranja novca, uključujući prikupljanje i obradu osobnih podataka svojih stranaka. Iako se navedene radnje provode radi sprječavanja i otkrivanja ponašanja koja mogu predstavljati kaznena djela, iz toga ne proizlazi da kreditne institucije imaju status nadležnog tijela u smislu čl. 4. st. 1. toč. 8. Zakona. Naime, kako proizlazi iz presude SEU-a15, sama zakonska obveza gospodarskog subjekta da prikuplja i dostavlja osobne podatke nadležnim tijelima nije dovoljna za takvu kvalifikaciju ako mu nisu povjerene odgovarajuće javne ovlasti. Navedeno tumačenje u pogledu kreditnih institucija dodatno potvrđuje i stajalište Agencije za zaštitu osobnih podataka (dalje: AZOP), koja je u mišljenju od 5. lipnja 2019. navela da se na obradu osobnih podataka koju banke provode radi sprječavanja i otkrivanja pranja novca i financiranja terorizma, uključujući provedbu mjera dubinske analize stranaka, primjenjuje Opća uredba o zaštiti podataka.16 Istovjetno pravno polazište AZOP je zauzeo i u mišljenju od 19. prosinca 2022., u kojem obradu osobnih podataka banaka prilikom provedbe dubinske analize stranaka također razmatra u okviru primjene Opće uredbe o zaštiti podataka.17
Djelatnosti SOA-e i VSOA-e u području nacionalne sigurnosti temeljem čl. 3. st. 2. Zakona isključene su iz područja primjene istoga. No potrebno je reći kako su države članice imale mogućnost da prilikom prenošenja LED Direktive u nacionalno zakonodavstvo prošire područje primjene nacionalnih propisa tako da njima obuhvate i aktivnosti tijela nadležnih za nacionalnu sigurnost.19 Hrvatski zakonodavac to nije učinio, slijedom čega se zaključak iz prve rečenice ovog odlomka smatra ispravnim.
Potrebno je razraditi i pitanje bi li Ured europskog javnog tužitelja (dalje: EPPO), u okviru vođenja kaznenog postupka, potpadao pod područje primjene LED Direktive/Zakona.
Čl. 3. st. 2. Zakona propisano je da se odredbe ovoga Zakona ne primjenjuju na obradu i razmjenu osobnih podataka tijekom djelatnosti koje u području nacionalne sigurnosti obavljaju tijela sigurnosno-obavještajnog sustava, djelatnosti u vezi s pitanjima iz područja nacionalne sigurnosti koje obavljaju tijela obrambenog sustava, kao i na obradu i razmjenu osobnih podataka pri obavljanju djelatnosti obuhvaćenih glavom V. poglavljem 2. Ugovora o Europskoj uniji. S druge strane, čl. 2. st. 3. toč. b) LED Direktive izričito propisuje da se njezine odredbe ne primjenjuju na obradu osobnih podataka koju provode institucije, tijela, uredi i agencije Europske unije. Za razliku od europskog zakonodavca, hrvatski nije zasebno naveo isključenje režima obrade osobnih podataka koju provode tijela Unije.
Čl. 8. st. 1. Uredbe (EU) 2017/193920 EPPO je određen kao nedjeljivo tijelo Unije koje djeluje kao jedinstveni ured s decentraliziranom strukturom, dok je čl. 47. predviđeno da ista uređuje zaštitu operativnih osobnih podataka21.
Dakle, iako je EPPO ovlašten provoditi istrage i kazneni progon, njegovo djelovanje ostaje djelovanjem tijela Unije. To znači da treba razlikovati dvije situacije: kada EPPO obrađuje osobne podatke u vlastitoj kaznenoj istrazi, primjenjuje se poseban režim uspostavljen Uredbom (EU) 2017/1939, dok kada hrvatska policija ili drugo nacionalno nadležno tijelo obrađuje osobne podatke u okviru svojih zakonskih zadaća, na njihovu obradu u kaznenopravne svrhe primjenjuje se LED Direktiva, odnosno Zakon.22
Odredba da Odjel delegiranih europskih tužitelja djeluje u sastavu USKOK-a ne mijenja njihovu funkcionalnu pripadnost Europskoj uniji.23 To osobito proizlazi iz čl. 13. st. 1. Uredbe (EU) 2017/1939, prema kojem delegirani europski tužitelji djeluju u ime EPPO-a, te uvodne izjave 32., koja objašnjava njihov poseban funkcionalni i pravni položaj. Stoga bi odlučujući kriterij ipak trebao biti u „čije ime“ i u kojem pravnom svojstvu delegirani tužitelj postupa, a ne u sastavu kojeg tijela djeluje.
4. Zaključak
Iz provedene analize proizlazi da pojam „nadležnog tijela“ nije ograničen isključivo na tijela koja tradicionalno sudjeluju u kaznenom postupku. U konačnici, usporedba definicija „nadležnog tijela“ otvara i pitanje potpunosti prenošenja LED Direktive u hrvatsko zakonodavstvo. Postavlja se pitanje je li hrvatski zakonodavac preuzimanjem samo jedne definicije iz LED Direktive smanjio razinu zaštite prava ispitanika, osobito imajući u vidu da čl. 1. st. 3. LED Direktive ne sprječava države članice da predvide upravo suprotno, snažnije zaštitne mjere za zaštitu prava i sloboda ispitanika u pogledu obrade osobnih podataka od strane nadležnih tijela.
Upravo zbog toga razmatranje pitanja koja se sve tijela u hrvatskom pravnom poretku smatraju nadležnim tijelima u smislu Zakona ima izrazito značajne posljedice za djelotvornost zaštite osobnih podataka pojedinaca čiji se podaci obrađuju u kaznenopravne svrhe.
Dino Čubrilo Bobesić, odvjetnički vježbenik kod odvjetnice Višnje Drenški Lasan
^ 1 Direktiva (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhu sprječavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP, SL L 119, 4.5.2016., str. 89.–131., dalje: LED Direktiva.
^ 2 Čl. 1. st. 1. LED Direktive i čl. 2. st. 1. LED Direktive.
^ 3 Zakon o zaštiti fizičkih osoba u vezi s obradom i razmjenom osobnih podataka u svrhe sprječavanja, istraživanja, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija („Narodne novine“, br. 68/18.; dalje: Zakon).
^ 4 Čl. 17. Zakona o kaznenom postupku („Narodne novine“, br. 152/08., 76/09., 80/11., 91/12., 143/12., 56/13., 145/13., 152/14., 70/17., 126/19., 126/19., 80/22., 36/24., 72/25. i 13/26.).
^ 5 E. Kosta, F. Boehm, „The EU Law Enforcement Directive (LED): A Commentary“, Oxford University Press, Oxford, 2024., str. 103.
^ 6 Direktiva (EU) 2016/681 Europskog parlamenta i Vijeća od 27. travnja 2016. o uporabi podataka iz evidencije podataka o putnicima (PNR) u svrhu sprječavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela, SL L 119, 4.5.2016., str. 132.–149., dalje: Direktiva o PNR-u.
^ 7 E. Kosta, F. Boehm, „The EU Law Enforcement Directive (LED): A Commentary“, Oxford University Press, Oxford, 2024., str. 103.
^ 8 Uz bitnu distinkciju, kada „nadležno tijelo“ obrađuje podatke u svrhe različite od onih određenih u čl. 1. st. 1. LED Direktive, npr. radi imenovanja načelnika policijske postaje, na takvu se obradu primjenjuje Opća uredba o zaštiti podataka.
^ 9 Označava konkretan sud pred kojim se vodi kazneni postupak u širem smislu riječi. https://www.iusinfo.hr/aktualno/u-sredistu/kazneni-sud-kao-nadlezno-tijelo-u-smislu-direktive-eu-2016-680-primjena-pravila-o-zastiti-osobnih-podataka-u-sudskoj-fazi-kaznenog-postupka-71192. (25. listopada 2026.).
^ 10 Kada podatke obrađuje radi zastupanja Republike Hrvatske u imovinskopravnim sporovima, ne postoji osnova za primjenu LED Direktive iz razloga što podatke ne obrađuje u svrhe iz čl. 1. st. 1. LED Direktive.
^ 11 Zakon o probaciji („Narodne novine“, br. 99/18.).
^ 12 Čl. 4. st. 3. toč. 6. Zakona o carinskoj službi („Narodne novine“, br. 68/13., 30/14., 115/16., 39/19., 98/19., 155/23. i 36/24.).
^ 13 Zakon o sprječavanju pranja novca i financiranja terorizma („Narodne novine“, br. 108/17., 39/19. i 151/22.).
^ 15 Sud Europske unije, presuda od 21. lipnja 2022., Ligue des droits humains, C-817/19, EU:C:2022:491, t. 81.
^ 16 https://azop.hr/prikupljanje-i-obrada-osobnih-podataka-od-strane-banaka-obrada-osobnih-podataka-temeljem-zakona-o-sprjecavanju-pranja-novca-i-financiranja-terorizma/. (9. 10. 2026.).
^ 17 https://azop.hr/obrada-osobnih-podataka-od-strane-banke-u-svrhu-provedbe-dubinske-analize-klijenta/. (9. 10. 2026.).
18 Osim toga, kreditne institucije koje nisu tijela javne vlasti u početku ne zadovoljavaju jedan od uvjeta određenih u Zakonu.
^ 19 E. Kosta, F. Boehm, „The EU Law Enforcement Directive (LED): A Commentary“, Oxford University Press, Oxford, 2024., str. 103.
^ 20 Uredba Vijeća (EU) 2017/1939 od 12. listopada 2017. o provedbi pojačane suradnje u vezi s osnivanjem Ureda europskog javnog tužitelja („EPPO“), SL L 283, 31.10.2017., str. 1.–71.
^ 21 Čl. 2. st. 18. Uredbe (EU) 2017/1939, „operativni osobni podaci“ znači svi osobni podaci koje obrađuje EPPO u svrhe kaznene istrage i kazneni progon koji se provode u skladu s ovom Uredbom, itd.
^ 22 Takvo razgraničenje potvrđuje i uvodna izjava br. 93. Uredbe (EU) 2017/1939.
^ 23 Čl. 3. st. 1. Zakona o provedbi Uredbe Vijeća (EU) 2017/1939 od 12. listopada 2017. o provedbi pojačane suradnje u vezi s osnivanjem ureda Europskog javnog tužitelja (»EPPO«) („Narodne novine“, br. 146/20. i 145/24.).
