Regionų apygardos administracinio teismo sprendimas, eI2-713-816/2023

Teismas: Regionų apygardos administracinis teismas
Dokumentas: Sprendimas
Data: 2023-01-31
Bylos Nr.: eI2-713-816/2023
Bylos rūšis: administracinė byla

Teisėjai: Jovita Einikienė, Saulius Jakaitis, Fausta Vitkienė
Pareiškėjas: uždarosios akcinės bendrovės „Ortopedijos paslaugos“
Atsakovas: Valstybinei duomenų apsaugos inspekcijai
Trečiasis asmuo: Valstybinei ligonių kasai prie Sveikatos apsaugos ministerijos
Advokatai: Jonas Urbonas

Kategorijos

2.2.7Teisė į privatų ir šeimos gyvenimą

Administracinė byla Nr. eI2-713-816/2023Teisminio proceso Nr. 3-61-3-01091-2022-0Procesinio sprendimo kategorijos: 2.2.7; 26; 55.1.3

VILNIAUS APYGARDOS ADMINISTRACINIS TEISMASSPRENDIMASLIETUVOS RESPUBLIKOS VARDU2023 m. sausio 31 d.Vilnius

Vilniaus apygardos administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Jovitos Einikienės (kolegijos pirmininkė ir pranešėja), Sauliaus Jakaičio ir Faustos Vitkienės,

sekretoriaujant teismo posėdžių sekretorei Almai Buinovskienei,dalyvaujant pareiškėjos atstovui advokatui Jonui Urbonui,atsakovės atstovei Virginijai Karužienei,trečiojo suinteresuoto asmens atstovams Giedriui Baranauskui ir Rasai Rimkutei,

viešame teismo posėdyje žodinio proceso tvarka išnagrinėjusi administracinę bylą pagal pareiškėjos uždarosios akcinės bendrovės „Ortopedijos paslaugos“ skundą atsakovei Valstybinei duomenų apsaugos inspekcijai, dalyvaujant trečiajam suinteresuotam asmeniui Valstybinei ligonių kasai prie Sveikatos apsaugos ministerijos, dėl sprendimo dalies panaikinimo bei įpareigojimo atlikti veiksmus,

Aprašomoji dalis

nustatė:

Pareiškėja uždaroji akcinė bendrovė „Ortopedijos paslaugos“ (toliau – ir UAB „Ortopedijos paslaugos“, Įmonė, Bendrovė) prašo panaikinti Valstybinės duomenų apsaugos inspekcijos (toliau – ir Inspekcija, VDAI) 2022 m. vasario 10 d. sprendimą Nr. 3R-100 (2.13-1.E) (toliau – ir Sprendimas). Taip pat prašoma pareiškėjos naudai priteisti bylinėjimosi išlaidas.

Teigia, jog skundžiamas Sprendimas yra nepagrįstas ir neteisėtas.

Dėl pacientų asmens duomenų gavimo šaltinio nurodo, kad Sprendime atsakovės padaryta išvada dėl BDAR 5 str. 2 d. nustatyto atskaitomybės principo pažeidimo yra klaidinga, nes nurodytų 10 pacientų duomenys buvo tvarkomi gavus pacientų sutikimus pagal BDAR 6 straipsnio 1 dalies a punktą arba visai netvarkomi, jeigu patikrinus paaiškėjo, kad asmuo neturi teisės gauti kompensuojamą ortopedijos techninę priemonę, arba asmuo atsisakė gamintis protezą. Paaiškino, jog 7 iš 10 pacientų, kurių duomenų tvarkymo teisėtumą tikrino atsakovė, užpildė ortopedijos techninės priemonės užsakymo lapą bei pasirašė sutikimą dėl paciento asmens duomenų tvarkymo; jog likusių 3 pacientų asmens duomenys buvo suvesti į Ortopedijos IS (ir vėliau ištrinti), siekiant patikrinti, ar apdraustasis turi teisę į kompensuojamą protezą, tačiau šie asmenys arba neturėjo teisės į kompensuojamąjį protezą, todėl jų užsakymas negalėjo būti priimamas, arba jie atsisakė gamintis protezą Bendrovėje, jų asmens duomenys nebuvo kaupiami ir saugomi. Tokį duomenų tvarkymą grindžia Lietuvos Respublikos sveikatos apsaugos ministro įsakymo „Dėl Ortopedijos techninių priemonių kompensavimo Privalomuojo sveikatos draudimo fondo biudžeto lėšomis tvarkos aprašo patvirtinimo“ (toliau – ir Aprašas) 45.2 punkte (redakcijoje nuo 2022-01-01 49.2. p.) nustatyta ortopedijos įmonės pareiga užsakymo priėmimo metu patikrinti asmens draustumą privalomuoju sveikatos draudimu.

Nesutinka su atsakovės išvada, kad pareiškėja pažeidė BDAR 5 str. 1 d. d p. nustatytą asmens duomenų tvarkymo tikslumo principą, kadangi duomenis pareiškėjai pateikia patys pacientai, šie duomenys suvedami, kad būtų patikrintas pacientų draustumas, duomenys nėra kaupiami, kol pacientai pasirašo sutikimo formą. Teigia, jog atsakovė nepagrindė išvados, kad pareiškėja pažeidė asmens duomenų tvarkymo tikslumo principą, kadangi Sprendime nenurodė, kokių asmenų ir kokius netikslius duomenis pareiškėja kaupė.

Nesutinka su atsakovės išvada, jog pareiškėja pažeidė BDAR 5 str. 1 d. a p. nustatytus teisėtumo, sąžiningumo ir skaidrumo principus. Paaiškina, kad pateikė atsakovei pacientų sutikimus, taigi įrodė duomenų tvarkymo teisėtumą (BDAR 7 str. 1 d.). Taip pat teigia, jog prieš pasirašant sutikimo formą asmenis supažindino su UAB „Ortopedijos paslaugos“ asmens duomenų tvarkymo taisyklėmis (toliau – ir Taisyklės), patvirtintomis 2020 m. vasario 4 d. direktoriaus įsakymu Nr. OP-001, o pacientui nesutikus su Taisyklėmis neteikė paslaugų ir duomenų nekaupė, todėl pareiškėja nepažeidė skaidrumo ir sąžiningumo principų.

Dėl asmens duomenų tvarkymo tiesioginės rinkodaros tikslu teigia, jog atsižvelgiant į sutikimo formoje pateiktą frazę („sutinku gauti naujienas ir informaciją apie UAB „Ortopedijos paslaugos“ gaminius, pasiūlymus ir paslaugas“), sutikimo formoje padėtą paciento parašą, laikytina, jog pacientas išreiškė sutikimą gauti aktualią informaciją ar pranešimus apie naujienas, susijusias su ortopedijos techninės priemonės užsakymo vykdymo eiga bei teisinio reguliavimo pakeitimus dėl kompensavimo tvarkos.

Nurodo, kad šventiniame sveikinime, adresuotame V. L., buvo nurodyta, jog „norima atkreipti dėmesį, kad įsigaliojo nauja tvarka, užsakant galūnės protezą“; „užsisakant naują galūnės protezą, reikia turėti: <...>“, taigi nebuvo siūloma pareiškėjos prekių ar paslaugų, o tik siekiama atkreipti paciento dėmesį apie naujai įsigaliojusią tvarką užsisakant galūnės protezus.

Dėl procesinių normų pažeidimo pareiškėja nurodo, kad iki 2021 m. gruodžio 14 d. pareiškėjai nebuvo sudarytos sąlygos susipažinti su tyrimo medžiaga, 2021 m. gruodžio 14 d. vykusio posėdžio metu atsakovė atsisakė tenkinti pareiškėjos prašymą dėl posėdžio atidėjimo siekiant įgyvendinti procesinę teisę susipažinti su medžiaga, taigi pareiškėjai nebuvo sudarytos tinkamos sąlygos apsiginti ir pateikti išsamius paaiškinimus posėdžio metu, dėl šių priežasčių atsakovė Sprendime padarė klaidingas išvadas, kurios suponavo baudos skyrimą.

Pažymi, kad nei vienas iš Inspekcijos nurodytų asmenų, dėl kurių duomenų tvarkymo yra kaltinama pareiškėja, nėra pateikęs skundo ar kitaip išreiškęs valios nei Inspekcijai, nei Valstybinei ligonių kasai prie Sveikatos apsaugos ministerijos (toliau – ir VLK), nei pareiškėjai.

Papildomuose rašytiniuose paaiškinimuose pareiškėja nurodo, jog, remianatis VDAI 2022 m. balandžio 20 d. raštu, Inspekcijos direktoriaus 2021 m. kovo 1 d. įsakymu Nr. 1T-17(1.12.E) „Dėl UAB ,,Ortopedijos paslaugos“ tikrinimo Valstybinės duomenų apsaugos inspekcijos iniciatyva“ pradėtas tikrinimas užbaigtas Inspekcijos 2021 m. spalio 1 d. raštu Nr. 2R-4970(2.14.E), kuriuo, vadovaujantis Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ir ADTAĮ) 22 straipsnio 1 dalies 2 punktu nuspręsta pradėti administracinės baudos skyrimo pagal BDAR 83 straipsnį procedūrą. Nurodo, jog tyrimas pareiškėjos atžvilgiu turėjo būti užbaigtas 2021 m. rugsėjo 1 d., tačiau tyrimas buvo užbaigtas 2021 m. spalio 1 d., tuo pažeidžiant imperatyvias ADTAĮ nuostatas (21 str. 1 ir 2 d.) dėl tyrimo procedūros ir tai sudaro pagrindą naikinti Sprendimą.

Atsiliepimas

Atsakovė Valstybinė duomenų apsaugos inspekcija atsiliepime teismo prašo pareiškėjos skundą atmesti kaip nepagrįstą.

Nurodo, jog visos Inspekcijos tikrinimo metu nustatytos aplinkybės ir Inspekcijos argumentai, kuriais remiantis Inspekcija priėmė Sprendimą, yra išsamiai išdėstytos Sprendime.

Nesutinka su pareiškėjos argumentus dėl atskaitomybės principo įgyvendinimo, kadangi pareiškėja atskaitomybės principo įgyvendinimą dėl Eilių ir atsargų valdymo informacinės sistemos Ortopedijos techninių priemonių posistemyje (toliau – ir Ortopedijos IS) vykdytų nepaaiškinamų veiksmų sieja tik su neaiškiu būdu gautais, niekur neįregistruotais, Bendrovės veikloje neapskaitytais sutikimais dėl paciento asmens duomenų tvarkymo, kurie Inspekcijos Sprendimu pripažinti, kaip neatitinkantys BDAR reikalavimų.

Paaiškina, jog Bendrovė tikrinimo metu pateikė tik dalies iš Inspekcijos nurodytų 10 pacientų sutikimų kopijas, jos pateiktos kaip atskiri lapai, kurie nėra niekaip apskaityti ar įforminti (nėra gavimo datos, rašto numerio, dokumento kopijos patvirtinimo žymos, nėra jokios žymos, kad sutikimai būtų buvę išsegti iš bylos, nėra matomos pradūrimo skylamušiu žymės), pareiškėja negalėjo paaiškinti, kur ir kokiomis aplinkybėmis sutikimai buvo pasirašyti ir kokiu būdu pacientas į ją kreipėsi. Teigia, jog pareiškėja nepagrįstai skunde remiasi Aprašo 45.2 punktu (redakcijos nuo 2022 m. sausio 1 d. 59.2. p.), kadangi ši nuostata taikoma užsakymo priėmimo metu, kai pareiškėja tikrinimo metu pateikė tik vieno paciento užsakymo lapą, taigi kitų pacientų draustumai buvo tikrinami neturint įrodymų apie pateiktą užsakymą.

Nesutinka su skundo teiginiu, jog atsakovė nepagrindė tikslumo principo pažeidimą, nenurodydama, kokių asmenų ir kokius netikslius duomenis pareiškėja kaupė.

Paaiškina, jog, pareiškėjos atstovės 2021 m. gruodžio 14 d. posėdžio metu pateiktais paaiškinimais, pacientų asmens duomenys buvo gaunami telefoninio pokalbio metu (vardas, pavardė, asmens kodas), tačiau šių duomenų nepakankant draustumui patikrinti, pareiškėja į Ortopedijos IS užsakymo langą suvesdavo bet kokius užsakymo ir sveikatos duomenis, nors užsakymų Bendrovė Inspekcijai pateikti negalėjo. Nurodo, jog Sprendime pagrįstai nustatyta, kad tikslumo principą Bendrovė pažeidė dviem aspektais: 1) kai Ortopedijos IS tikrinami asmens, kurio tapatybės Bendrovė telefoninio pokalbio metu negali nustatyti, duomenys; 2) kai į Ortopedijos IS suvedami fiktyvūs tikrinamo asmens sveikatos duomenys. Nurodo, jog pareiškėja, kaip duomenų valdytoja, nepateikė įrodymų, iš kurių Inspekcija galėtų spręsti, kad į Ortopedijos IS buvo suvedami 421 pacientų asmens duomenys būtų tikslūs, o teigdama, kad duomenis gavo telefonu, pareiškėja pripažino, kad jokių papildomų priemonių skambinančiojo asmens tapatybei nustatyti nesiėmė.

Nesutinka su skundo teiginiu, jog skaidrumo ir sąžiningumo principą pareškėja įgyvendino pacientus supažindindama su Taisyklėmis.

Paaiškina, jog tik 7 iš atrinktų 10 pacientų sutikimus pareiškėja pateikė Inspekcijai, Taisyklės neskelbtos viešai ir didele dalimi neatitinka BDAR 12 straipsnio 1 dalyje nustatytų reikalavimų duomenų subjektų informavimui. Teigia, jog Sprendimo 3.3 dalyje detaliai pagrindė, kodėl Bendrovės vykdomas asmens duomenų tvarkymas pateikto sutikimo (jo teksto, kuris Inspekcijos sprendime detaliai išanalizuotas) pagrindu negali būti laikomas atitinkančiu BDAR 5 straipsnio 1 dalies a punkte nustatytus principus. Teigia, jog teisės aktais bei nustatytais faktais paremta atsakovės išvada, kad Bendrovės asmens duomenų tvarkymo veiksmai (renkant pacientų asmens duomenis bei suvedant ir ištrinant juos Ortopedijos IS) pripažintini neteisėtais: 1) dėl paciento asmens duomenų tvarkymo (rinkimo telefonu ir draustumo tikrinimo) be sutikimo, t. y. neįgyvendinus nei vienos iš BDAR 6 straipsnio 1 dalyje ir BDAR 9 straipsnio 2 dalyje nustatytų sąlygų; 2) dėl paciento asmens duomenų tvarkymo gavus sutikimą, kuris neatitinka BDAR 4 straipsnio 11 punkto nuostatų dėl Sutikimo nekonkretumo bei netinkamo duomenų subjektų informavimo (pagal BDAR 13 ir 14 straipsnius), tuo pažeidžiant teisėtumo, skaidrumo ir sąžiningumo principus.

Nesutinka su pareiškėjos teiginiu, jog sutikimo turinys ir paciento parašas išreiškia paciento sutikimą gauti aktualią informaciją ar pranešimus apie naujienas, susijusias su ortopedijos techninės priemonės užsakymo vykdymo eiga bei teisinio reguliavimo pakeitimus dėl kompensavimo tvarkos.

Paaiškina, jog Sprendime atliktas išsamus vertinimas, kodėl sutikimo formos pabaigoje numatytas vienas bendras parašas, negali būti laikomas tinkamu sutikimu dėl asmens duomenų tvarkymo tiesioginės rinkodaros tikslu, atsižvelgiant į BDAR preambulės 32 punkto, 4 straipsnio 11 dalies ir 7 straipsnio nuostatas. Teigia, jog pareiškėja nepaneigė Sprendimo teisinių argumentų. Pažymi, jog Sprendime nustatyta, kad sutikimo pabaigoje duomenų subjekto padėtas parašas negali būti laikomas laisvanorišku, nedviprasmišku ir tinkamai informuoto duomenų subjekto sutikimu jo asmens duomenis tvarkyti tiesioginės rinkodaros tikslu, kadangi jis yra neatskiriamai sujungtas su kitomis sutikime nurodytomis sąlygomis, sutikimo formos struktūra yra neskaidri ir nesąžininga, šio Sutikimo pagrindu duomenų tvarkymas tiesioginės rinkodaros tikslu pažeidžia BDAR 6 straipsnio 1 dalyje nustatytas teisėto tvarkymo sąlygas ir BDAR 5 straipsnio 1 dalies a punkte nustatytus teisėtumo, skaidrumo ir sąžiningumo principus.

Nepagrįstu laiko skundo teiginį, jog šventinio sveikinimo, adresuoto V. L., turinys nesuponuoja siūlymo dėl pareiškėjos prekių ar paslaugų, kadangi pareiškėja nutyli dalį minėto sveikinimo turinio. Teigia, jog Inspekcija įvertino sveikinimo turinį, išanalizavusi jo sveikinimo tekstą bei atsižvelgdama į ADTAĮ pateiktą tiesioginės rinkodaros apibrėžtį, pasveikinime pateiktą informaciją vertino kaip akivaizdų paslaugų siūlymo pavyzdį. Pažymi, jog ERĮ 69 straipsnio 1 dalies nuostatų pažeidimo nenustatė, kadangi tikrinimo metu analizuotas tik neelektroninėmis priemonėmis pateiktas tiesioginės rinkodaros pasiūlymas.

Nesutinka su teiginiu, jog pareiškėjai nesudarytos tinkamos sąlygos apsiginti ir pateikti išsamius paaiškinimus posėdžio metu.

Paaiškina, jog 2021 m. lapkričio 18 d. gavusi informaciją apie 2021 m. gruodžio 14 d. įvyksiantį posėdį, pareiškėja prašymą susipažinti su tyrimo medžiaga Inspekcijai pateikė tik 2021 m. gruodžio 10 d. (penktadienį), t.y. priešpaskutinę darbo dieną iki posėdžio. Taip pat nurodo, jog Inspekcijai advokato prašymą reikėjo įgyvendinti per vieną darbo dieną, prašoma medžiaga apėmė laikotarpį nuo 2021 m. vasario 5 d. iki 2021 m. spalio 26 d. ir sudarė virš 100 lapų, dalis raštų buvo skirti ne tik šiam tikrinimui, todėl buvo būtina juos peržiūrėti ir daryti išrašus, kas pareikalavo papildomo apdorojimo ir atitinkamai laiko. Teigia, jog Inspekcija advokato prašymą patenkino per 11 darbo dienų, nors pagal Lietuvos Respublikos viešojo administravimo įstatymo 10 straipsnio 4 dalį viešojo administravimo subjektas administracinį sprendimą dėl asmens prašymo ar skundo turi priimti per 20 darbo dienų nuo prašymo ar skundo gavimo dienos. Pažymi, jog didesnę dalį tyrimo medžiagos sudarė Inspekcijos raštai (klausimai) Bendrovei bei Bendrovės atsakymai, todėl Bendrovė turėjo galimybę su ja susipažinti be Inspekcijos pagalbos, be to, posėdis, išklausius Bendrovės paaiškinimus, buvo atidėtas ir Bendrovės advokatas prieš antrąjį posėdį buvo supažindintas su tikrinimo medžiaga, tačiau jokių naujų argumentų dėl pacientų asmens duomenų tvarkymo nepateikė.

Atsiliepimas

Trečiasis suinteresuotas asmuo Valstybinė ligonių kasa prie Sveikatos apsaugos ministerijos atsiliepimu prašo pareiškėjos skundą atmesti kaip nepagrįstą. Teigia, jog ginčijamas Sprendimas yra pagrįstas ir teisėtas, bei nesutinka su jo panaikinimu.

Nurodo, jog pareiškėja 2019 m. gruodžio 23 d. sutartimi Nr. 1SUT-479 ,,Dėl apdraustųjų aprūpinimo ortopedijos techninėmis priemonėmis“, o 2020 m. gruodžio 23 d. – sutartimi Nr. 1SUT-409 ,,Ortopedijos techninių priemonių kompensavimo Privalomojo sveikatos draudimo fondo biudžeto lėšomis sutartis“ prisiėmė įsipareigojimus dėl asmens duomenų tvarkymo.

Pažymi, jog pareiškėja nepagrįstai remiasi Aprašo nuostatomis, nurodo, jog asmens draustumas gali būti tikrinamas tik užsakymo priėmimo metu, tad apdraustieji, kurie į įmonę dėl užsakymų nesikreipė, negalėjo būti tikrinami informacinėje sistemoje ir tam nebuvo teisėto pagrindo.

Nurodo, jog Įmonė negalėjo supažindinti apdraustųjų su Taisyklėmis, nes šie apdraustieji Įmonėje priemonių neužsisakė. Mano, jog Įmonės teiginys, kad tinkamai vykdo BDAR, nepateikus įrodymų, yra nepagrįstas ir atmestinas.

Palaiko atsakovės argumentus dėl procesinių normų laikymosi.

Nesutinka su pareiškėjos argumentu, jog atsakovė, nesant duomenų subjektų skundų, nepagrįstai atliko tyrimą, nurodydama, jog duomenų subjektai nežinojo apie jų duomenų neteisėtą tvarkymą, nes į Įmonę net nesikreipė. Teigia, jog atsakovė teisėtai savo iniciatyva pradėjo tyrimą.

Žemesnės instancijos teismas

Teismo posėdžio metu pareiškėjos atstovas iš esmės skundą palaikė, prašė jį tenkinti skunde nurodytais argumentais.

Atsiliepimas

Papildomai paaiškino, jog atsiliepimuose teismas klaidinamas dėl apdraustųjų tikrinimo, iš tiesų Sutartis numato tokią pareigą. Svarbu, kas laikytina „užsakymo priėmimo metu“. Dalis pacientų pasirašė sutikimus, sutikimo pagrindu pareiškėja turėjo teisę tvarkyti jų duomenis, kitų pacientų duomenys nebuvo kaupiami, nes neturėjo teisės į kompensuojamą priemonę arba nesutiko gamintis. Aprašo 42 p. nustatyta pareiga (imperatyvus nurodymas) užsakymo metu įmonė privalo patikrinti draustumą, nes priešingu atveju priemonė būtų gaminama iš Įmonės lėšų. Dėl tikslumo principo įgyvendinimo, nurodo, kad asmenys pateikia savo duomenis patys. Dėl tvarkymo tiesioginės rinkodaros tikslu nurodo, kad pranešimas skirtas dėl paslaugų teikimo pasikeitimo. Juo nebuvo siūlomos paslaugos, o siekta atkreipti dėmesį į naujai įsigaliojusią tvarką. Dėl ADTAĮ nustatytų tyrimo terminų pažeidimo nurodė, jog buvo viršytas bendras tyrimo terminas, pareiškėja laiku atsakė į visus klausimus Inspekcijai. Dėl ginčo ribų nurodė, jog skundžia visą Sprendimą. Savarankiškų argumentų dėl Inspekcijos duotų pareiškėjai nurodymų ir rekomendacijų neturi. Teigia, kad pareiškėja nepažeidė BDAR nustatytų principų, nes buvo pateikti pacientų sutikimai. Mano, kad kai duomenys iš Ortopedijos IS buvo ištrinti, jie nebuvo kaupiami, dėl to nėra pagrindo teigti, jog apskritai buvo atliekamas duomenų tvarkymas. Pareiškėja gamina ortopedines priemones, turi pasirašiusi Sutartį su VLK, vadovaujasi Aprašu dėl paslaugų teikimo, o netikrindama duomenų pažeistų teisės aktų reikalavimus. Pažymi, kad nebuvo gauta nė vieno skundo iš 421 paciento, tad apskritai nekilo jokia žala. Mano, jog tyrimą užbaigus pavėluotai, laikytina, jog pažeistas tyrimo senaties terminas.

Teismo posėdžio metu atsakovo atstovas su skundu nesutiko ir prašė jį atmesti kaip nepagrįstą iš esmės atsiliepime nurodytais argumentais, Sprendimą palikti nepakeistą.

Papildomai paaiškino, jog duomenys suvesti ir ištrinti 431 asmens, o ne 30 procentų. Išnagrinėjus 7 sutikimus, nustatė, jog sutikimai gauti gerokai anksčiau nei atliktas užsakymas (pvz., 2018 m.), taigi pvz., 2020 m. suvedant duomenis į IS keturi kartus, nesuprantama, kokiu pagrindu buvo tvarkomi asmens duomenys, turėjo pacientas kreiptis kažkokiu būdu, pareiškėja tvirtino, kad pacientai skambindavo, tačiau patikrinimai sistemoje vyko ne darbo metu, taigi pareiškėja neįrodė, jog egzistavo kažkoks teisinis pagrindas, buvo tvarkoma ne tik asmens kodas, bet ir sveikatos duomenys. Pareiškėja telefonu gaudavo asmens duomenis nepatikrindama asmens tapatybės, taigi sutikimas nepagrindžia asmens duomenų tvarkymo. Pažymi, jog bendrovės atstovai buvo apmokyti naudotis IS. Teigia, jog duomenų suvedimas į IS ir ištrynimas remiantis BDAR nuostatomis laikytinas duomenų tvarkymu. Dėl tiesioginės rinkodaros, nurodo, jog sutikime nėra atskirai išskirta tiesioginė rinkodara, sveikinimas akivaizdžiai laikytinas tiesioginės rinkodaros pasiūlymu, atsižvelgiant į jo turinį. Dėl pareiškėjo nurodomo procesinių terminų pažeidimo, nurodo, jog Bendrovė neteikė visos Inspekcijos prašomos inormacijos, paskutinę informaciją pareiškėja pateikė 2021 m. rugsėjo 1 d., tačiau vistiek Inspekcija negavo prašomos informacijos. Mano, jog termino pažeidimas nepanaikina nustatyto pažeidimo, tuo pagrindu Sprendimas negali būti pripažintas neteisėtu. Dėl ADTAĮ nustatyto 6 mėnesių termino nurodo, pagal BDAR nenumatyta senaties terminų baudoms už pažeidimus skirti. Dėl 421 pasiento duomenų suvedimo ir ištrynimo, nurodo, kad iš VLK pateiktos informacijos nustatė, koki duomenys buvo suvesti į IS. Šis skaičius sudaro trečdalį visų asmenų Lietuvoje, kurie turi poreikį ortopedijos paslaugų, duomenys gauti iš VLK. Pareiškėja grindė visų 421 paciento asmens duomenų tvarkymą duomenų sutikimu. Nurodo, kad užsakymas laikytinas asmens kreipimusi, kuris yra užfiksuotas įmonėje, be to, asmuo turi turėti VLK patvirtinimą, kad pacientui reikalinga nauja priemonė. Pareiškėja nepateikė įrodymų, jog būtent tomis dienomis, kuriomis VLK fiksavo duomenų suvedimą ir ištrynimą, buvo pateiktas Įmonei užsakymas. Teigia, jog Įmonė turėjo teisę tikrinti draustumą IS, jeigu turėjo įrodymus dėl paciento tapatybės ir pateiktą užsakymo lapą. Pareiškėja turėjo pareigą įrodyti duomenų tvarkymo teisėtumą, pateikti įrodymus, jog pacientai pateikė užsakymus.

Šalies argumentai

Teismo posėdžio metu trečiojo suinteresuoto asmens atstovai su skundu nesutiko ir prašė jį atmesti kaip nepagrįstą pilna apimtimi, palaiko Inspekcijos argumentus.

Papildomai paaiškino, jog pacientas turi keiptis į įmonę ir pateikti dokumentus, jog pacientui ortopedinė priemonė yra reikalinga. Užsakymo priėmimo metas yra paciento kreipimasis. Nurodo, kad Aprašas nustato įmonės veiksmus, ką ji turi atlikti užsakymo priėmimo metu. Įrodymų dėl pacientų kreipimosi pareiškėja nepateikė. Pažymi, kad Sprendime Inspekcija išsakė abejones dėl sutikimų tinkamumo, kalba eina apie ypatingus duomenis – sveikatos duomenis. Teigia, kad tuo atveju, kai pacientas gaminosi priemones Įmonėje, jo duomenų tikrinimas galbūt galėtų būti pripažintas kaip pagrįstas, tačiau kitais atvejais, kai pacientai priemones pasigamino kitose įmonėse ir nėra įrodymų dėl paciento kreipimosi, lieka neatsakyti klausimai. Nurodo, kad Aprašo reikalavimas patikrinti draustumą taikomas tik tada, kai pacientas prašo ortopedijos priemonę pagaminti. Teigia, jog neaišku, iš kur pareiškėja gavo 421 asmens duomenis ir juos suvedinėjo į IS. Tad pareiškėja neįrodė, kad duomenis tvarkė teisėtai. Dėl draustumo tikrinimo pažymi, jog IS užtenka įvesti asmens kodą, ir toliau neleidžiama daryti jokių žingsnių, jei asmuo nedraustas, nėra tikslinga suvedinėti ypatingus asmens duomenis (sveikatos duomenis apie diagnozę, reikalingą protezą, kokioje gydymo įstaigoje lankytasi) net ir tuo atveju, jei duomenų tvarkymas būtų pagrįstas. Visi pacientai yra neįgalūs, drausti, jie netaps niekada nedraustais, todėl jų duomenų tikrinimas nebuvo pagrįstas. Pažymi, jog į IS pareiškėja suvedinėju visus užsakymo duomenis (diagnozė, reikalingas protezas, mobilumo lygis, gydymo įstaiga), sistemoje likę tai patvirtinantys pėdsakai. VLK yra išsamiai nurodžiusi Inspekcijai, kokie duomenys buvo suvesti. Tikrinimo pagrindas galėtų būti asmens kreipimasis su atsiųstu pranešimu apie besibaigiantį anksčiau išduoto protezo galiojimo laikotarpį, tikrinimas apimtų tik asmens kodo suvedimą, jokiu būdu ne užsakymo duomenų suvedimą. Teigia, jog pacientai negalėjo žinoti, kad jų duomenys tikrinami, jeigu jie nesikreipė į Įmonę, todėl teiginys, jog pacientai nepateikė skundų ir dėl to nėra padaryta žala, - nėra tinkamas argumentas. Pabrėžia, jog pareiškėja neatliko BDAR nustatytos pareigos įrodyti duomenų tvarkymo teisėtumą.

Motyvuojamoji dalis

Skundas netenkintinas.

Nagrinėjamoje byloje kilo ginčas dėl Valstybinės duomenų apsaugos inspekcijos 2022 m. vasario 10 d. sprendimo Nr. 3R-100 (2.13-1.E) (toliau – ir Sprendimas), kuriuo pareiškėja pripažinta neteisėtai tvarkiusi asmens duomenis ir skirta bauda, duoti nurodymai ir pateikta rekomendacija, teisėtumo ir pagrįstumo.

Bylos duomenimis nustatyta:

Žemesnės instancijos teismas

2021 m. vasario 5 d. Valstybinė ligonių kasa prie Sveikatos apsaugos ministerijos (toliau – VLK) raštu Nr. 4K-1166 (toliau – ir VLK raštas 1) informavo Inspekciją, kad Įmonė laikotarpiu nuo 2020-01-23 iki 2021-01-29 įvedė 421 apdraustojo privalomuoju sveikatos draudimu (toliau – apdraustasis) užsakymų duomenis į Eilių ir atsargų valdymo informacinės sistemos (toliau – EVIS) Ortopedijos techninių priemonių posistemį (toliau – ir Ortopedijos IS) dėl galūnių protezų gamybos ir pritaikymo, tačiau užsakymų duomenys nebuvo perduoti VLK šių priemonių kompensavimui atlikti, o iš karto ištrinti; šiems apdraustiesiems galūnių protezai anksčiau buvo gaminami kitose ortopedijos įmonėse; VLK taip pat pranešė apie tam tikrus prieigos teisių suteikimo prie Ortopedijos IS pažeidimus.

2021 m. vasario 15 d. VLK raštu Nr. 4K-1390 (toliau – ir VLK raštas 2) pateikė Inspekcijai papildomą informaciją, nurodydama, kad Įmonė informavo VLK, kad užsakymų duomenys buvo suvesti siekiant patikrinti pacientų draustumą privalomuoju sveikatos draudimu; paaiškino, jog Ortopedijos IS ortopedijos paslaugas teikiančios įmonės turi galimybę patikrinti besikreipiančio dėl ortopedijos techninės priemonės (toliau – OTP) užsakymo asmens draustumą (suvedus asmens kodą, paspaudus mygtuką „Enter“ parodoma aktuali draustumo būsena, nereikia suvesti visų užsakymo duomenų, patikrinus asmens draustumą Ortopedijos IS toliau vedant užsakymą reikalingas gydytojo siuntimas, kuriame turi būti nurodyta diagnozė, kokia priemonė yra skirta); paaiškino, jog kai apdraustasis pasirenka ortopedijos įmonę ir į ją kreipiasi, ortopedijos įmonė, vadovaudamasi Aprašo 45.6 papunkčiu, užpildo užsakymo lapą pagal apdraustojo pateiktus duomenis, užsakymo lapą apdraustasis pasirašo ir tik po to jo duomenys įkeliami į Ortopedijos IS dėl OTP pagaminimo, išdavimo ir apmokėjimo.

2021 m. kovo 1 d. Valstybinės duomenų apsaugos inspekcijos direktoriaus įsakymu Nr. 1T-17(1.12.E) „Dėl UAB ,,Ortopedijos paslaugos“ tikrinimo Valstybinės duomenų apsaugos inspekcijos iniciatyva“, Inspekcija, atsižvelgdama į 2020 m. gautuose skunduose bei VLK rašte 1 ir VLK rašte 2 pateiktą informaciją dėl galimai neteisėto apdraustųjų privalomuoju sveikatos draudimu asmens duomenų tvarkymo, inicijavo UAB „Ortopedijos paslaugos“ tikrinimą, susijusį su galimu Lietuvos Respublikos elektroninių ryšių įstatymo (redakcija, galiojusi iki 2021-11-30) (toliau – ERĮ) 69 straipsnio ir 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – BDAR) nuostatų pažeidimu.

2021 m. kovo 24 d. raštu Nr. 2R-1380(2.14.) Inspekcija nurodė Bendrovei įrodyti, kad 421 asmuo, kurių užsakymų duomenis Įmonė suvedė į Ortopedijos IS, tačiau šie duomenys nebuvo perduoti VLK dėl šių priemonių kompensavimo, o iš karto ištrinti, ir kurių sąrašą Inspekcijai pateikė VLK (toliau – ir pacientai ar klientai), kreipėsi į Bendrovę dėl jų asmens duomenų tvarkymo; prašė paaiškinti, iš kokio šaltinio buvo gauti ir kokia BDAR 6 straipsnio 1 dalyje nustatyta teisėto tvarkymo sąlyga vadovaujantis buvo tvarkomi nurodytų apdraustųjų asmens duomenys, jei Įmonė neturi tokių įrodymų.

2021 m. balandžio 16 d. raštu Inspekcijai Bendrovė (Inspekcijos reg. Nr. 1R-2742(2.14.E)) paaiškino, kad visi klientai kreipėsi į Bendrovę dėl valstybės kompensuojamų ortopedijos priemonių gaminimo; nurodė, kad Aprašo 45.2 punktas numato, jog ortopedijos įmonė užsakymo priėmimo metu privalo patikrinti asmens draustumą privalomuoju sveikatos draudimu; kad tokią pareigą numato ir 2020 m. gruodžio 23 d. tarp VLK ir UAB „Ortopedijos paslaugos“ sudarytos Ortopedijos techninių priemonių kompensavimo Privalomojo sveikatos draudimo fondo biudžeto lėšomis sutarties (toliau – ir Sutartis) 3.2 punktas; su raštu pateikė 7 iš 10 Inspekcijos nurodytų klientų sutikimus dėl paciento asmens duomenų tvarkymo, o dėl kitų trijų Inspekcijos nurodytų asmenų Bendrovė nurodė, kad jų duomenis suvedus į Ortopedijos IS paaiškėjo, kad šie asmenys arba neturėjo teisės į kompensuojamąjį protezą, arba atsisakė gamintis protezą Bendrovėje, todėl jų asmens duomenys nebuvo kaupiami ir saugomi; paaiškino, kad siūlo paslaugas tik tiems pacientams, kurie patys kreipėsi į Bendovę dėl ortopedinių paslaugų teikimo ar yra buvę jos klientai; nurodė, kad Bendrovė asmens duomenis gauna iš pačių pacientų: besikreipiantys klientai užpildo ir pasirašo ortopedijos techninės priemonės užsakymo lapą, kuriame nurodo savo asmens duomenis (vardą, pavardę, adresą, identifikacinį kodą, telefono numerį, diagnozės kodą ir pavadinimą, ortopedijos techninės priemonės tipą ir kt.), kartu su ortopedijos techninės priemonės užsakymo lapu, klientai pasirašo ir sutikimą dėl savo asmens duomenų tvarkymo UAB „Ortopedijos paslaugos“ informacinėje sistemoje, kuriuo leidžia tvarkyti šiuos asmens duomenis: vardą, pavardę, asmens kodą, lytį, gimimo datą, adresą, telefoną, elektroninį adresą.

2021 m. birželio 17 d. raštu (Inspekcijos reg. Nr. 1R-4371(2.14.E)) Bendrovė paaiškino, kad nei Apraše, nei Sutartyje nėra nurodyta, kur Bendrovė privalo patikrinti besikreipusio asmens draustumą, todėl Bendrovė patikrinimui duomenis suvesdavo į Ortopedijos IS; nurodė, kad Inspekcija nenurodė konkrečių ją dominančių asmenų, ir nepateikė įrodymų, jog Inspekcijos nurodyti asmenys kreipėsi į Bendrovę; nurodė, kad apdraustųjų duomenis į Ortopedijos IS įvedė ir panaikino siekdama patikrinti, „ar jau yra pasibaigęs kompensacinis laikotarpis ir, ar pacientas jau turi teisę užsisakyti protezą“; pažymėjo, kad asmenys patys į ją kreipiasi dėl ortopedijos techninės priemonės gaminimo, todėl duomenis jie pateikia savanoriškai, laisva valia, siekiant gauti valstybės kompensuojamą ortopedijos techninę priemonę, kad susitikus su asmeniu Bendrovės patalpose arba su sunkios sveikatos būklės klientais jų namuose per Ortopedijos IS yra patikrinama, ar asmuo turi teisę į kompensuojamąjį protezą.

2021 m. rugpjūčio 13 d. rašte Nr. 4K-6385 VLK Inspekcijai nurodė, kad vadovaujantis Sutarties 3.7 papunkčiu Bendrovė apdraustųjų užsakymus privalo registruoti į Ortopedijos IS šių užsakymų priėmimo dieną; Bendrovė, registruodama Ortopedijos IS apdraustajam numatomo gaminti nuolatinio galūnės protezo užsakymą, privalo per šią informacinę sistemą pateikti VLK apdraustajam skirto pranešimo apie galimybę užsisakyti naują galūnės protezo (toliau – VLK pranešimas) kopiją, apdraustojo medicininių dokumentų ir užsakymų lapų kopijas (Sutarties 3.5, 3.8 ir 3.9 papunkčiai); pateikė Ortopedijos IS duomenis apie Inspekcijos atrinktus asmenis, kuriuos Bendrovė po keletą kartų suvedinėjo ir trynė: 1) V. M. (Bendrovės duomenimis, sutikimas pasirašytas 2020-01-03) galūnės protezą 2016-11-29 pagamino ir išdavė kita įmonė, Bendrovė šiam pacientui užsakymą įvedė ir ištrynė 5 kartus 2020-03-17, 2020-03-31, 2020-05-12, 2020-05-13 ir 2020-11-09, pacientas 2020-08-21 su gydytojo siuntimu ir VLK pranešimu naują galūnės protezą užsisakė kitoje įmonėje; 2) D. G. (Bendrovės duomenimis, sutikimas pasirašytas 2018-04-27) galūnės protezą 2013-05-31 pagamino ir išdavė kita įmonė, Bendrovė pacientui užsakymą įvedė ir ištrynė 5 kartus 2020-03-01, 2020-05-26, 2020-07-28 ir 2020-11-11; 3) I. E. (Bendrovės duomenimis, sutikimas pasirašytas 2020-01-07) galūnės protezą 2017-04-26 pagamino ir išdavė kita įmonė, Bendrovė pacientei užsakymą įvedė ir ištrynė 4 kartus 2020-05-26, 2020-06-08, 2020-06-16 ir 2020-07-14, pacientė 2020-07-21 su gydytojo siuntimu ir VLK pranešimu naują galūnės protezą užsisakė kitoje įmonėje; 4) S. Ž. (Bendrovės duomenimis, sutikimas pasirašytas 2020-07-01), galūnės protezą 2017-07-31 pagamino ir išdavė kita įmonė. UAB ,,Ortopedijos paslaugos“ pacientei užsakymą įvedė ir ištrynė 2020-07-31. Pacientė 2020-08-03 (su gydytojo siuntimu ir VLK pranešimu) naują galūnės protezą užsisakė UAB ,,Ortopedijos paslaugos“; 5) R. S. (Bendrovės duomenimis, sutikimas pasirašytas 2020-01-06) galūnės protezą 2016-09-30 pagamino ir išdavė kita įmonė, Bendrovė pacientui užsakymą įvedė ir ištrynė 2020-09-23; 6) Č. P. (Bendrovės duomenimis, sutikimas pasirašytas 2020-12-29) galūnės protezą 2020-08-07 pagamino ir išdavė kita įmonė, Bendrovė pacientui užsakymą įvedė ir ištrynė 2021-01-18, pacientas 2021-02-25 su gydytojo siuntimu ir VLK pranešimu naują galūnės protezą užsisakė kitoje įmonėje; 7) A. S. (Bendrovės duomenimis, sutikimas pasirašytas 2018-04-24) galūnės protezą 2018-12-13 pagamino ir išdavė kita įmonė, Bendrovė pacientui užsakymą įvedė ir ištrynė 2020-12-16. Taip pat VLK Inspekcijai pateikė informaciją, kad kitos ortopedines paslaugas teikiančios įmonės klientas (V. L.), niekada Bendrovėje nesigaminęs OTP, iš Bendrovės gavo Kalėdinį pasveikimą kartu su tiesioginės rinkodaros pasiūlymu ateityje naudotis jos paslaugomis. VLK Nurodė, kad tik vienas asmuo iš Inspekcijos atrinktų dešimties vėliau gaminosi protezą Bendrovėje, o prieš tai Bendrovė nebuvo pagaminusi protezų nei vienam iš dešimties pacientų. VLK nurodė, kad visi galūnių netekę asmenys yra apdrausti ir draustumo negali prarasti, todėl, VLK specialistų nuomone, Bendrovės veiksmai tikrinant pacientų duomenis, sietini su siekiu sužinoti, ar šių asmenų užsakymų nėra suvedusios kitos ortopedijos įmonės, o ne patikrinti jų draustumą. Atsižvelgiant į šią VLK atliktą analizę ir padarytą išvadą, kad patys asmenys į Bendrovę nesikreipė, VLK kelia klausimą, iš kur Bendrovė gavo 421 asmens duomenis, kadangi juos suvedė ir iš karto ištrynė.

2021 m. rugsėjo 1 d. raštu (Inspekcijos reg. Nr. 1R-5832(2.14.)) Bendrovė nurodė, jog Aprašo nuostatose nėra aprašyta bei pateikta ortopedijos techninės priemonės skyrimo, asmens draustumo privalomuoju sveikatos draudimu tikrinimo tvarka, todėl iš Aprašo nuostatų negalima daryti galutinių išvadų apie veiksmų seką, kadangi joks veiksmų eiliškumas Apraše nėra įtvirtintas ir aprašytas; teigia, jog Aprašo 45.2 punkte privalomai nurodoma, jog ortopedijos įmonė užsakymo priėmimo metu privalo patikrinti asmens draustumą privalomuoju sveikatos draudimu, Aprašo 45.6 punkte – jog užsakymo priėmimo metu ortopedijos įmonė turi užpildyti Ortopedijos techninės priemonės užsakymo lapo A dalies formą, ir pažymėjo, jog, tik patikrinus asmens draustumą privalomuoju sveikatos draudimu, gali būti pildomas paciento užsakymo lapas. Bendrovė nurodė, kad nei su VLK sudarytoje Sutartyje, nei Aprašo nuostatose nėra įtvirtinta reikalavimo ortopedines paslaugas teikiančiai įmonei kaupti pacientų registracijos žurnalus, tai grįsdama BDAR 25 straipsnio nuostata, jog duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemones, kuriomis užtikrina, kad standartizuotai būtų tvarkomi tik tie asmens duomenys, kurie yra būtini kiekvienam konkrečiam duomenų tvarkymo tikslui, taip pat BDAR 9 straipsnio 2 dalies h punktu, kuris nustato, jog draudžiama tvarkyti asmens sveikatos duomenis, išskyrus tuo atveju, kai duomenis tvarkyti būtina profilaktinės arba darbo medicinos tikslais, siekiant nustatyti medicinos diagnozę, teikti sveikatos priežiūras paslaugas ir kt. Inspekcijos nurodytų 10 pacientų užsakymo lapų Bendrovė Inspekcijai nepateikė.

2021 m. spalio 1 d. raštu Nr. 2R-4970(2.13.E) „Dėl siūlymo skirti baudą“ Inspekcija pradėjo administracinės baudos skyrimo pagal BDAR 83 straipsnį procedūrą.

2021 m. spalio 25 d. raštu (Inspekcijos reg. Nr. 1R-6975(2.14.)) Bendrovė nurodė, kad pacientų kreipimosi faktą įrodantys dokumentai Inspekcijai buvo pateikti, t. y. buvo pateikti 7 buvusių Bendrovės pacientų ortopedijos techninės priemonės užsakymo lapai bei sutikimai; kad pacientų asmeniniai duomenys buvo gaunami priklausomai nuo jų kreipimosi į Bendrovę būdo: Bendrovės buveinėje arba pacientų namuose, priklausomai nuo paciento būklės (jei jo judėjimo galimybės buvo apribotos, į pacientų namus buvo atvykstama jų pačių sutikimu, jiems nurodžius jų gyvenamosios vietos adresą telefonu); kad nustačius, jog asmuo turi teisę gauti kompensuojamą ortopedijos techninę priemonę, asmuo užpildydavo užsakymo lapą ir sutikimą dėl paciento asmens duomenų tvarkymo; kad jei asmuo neturėjo teisės gauti kompensuojamos ortopedijos techninės priemonės, Bendrovė pašalindavo suvestus duomenis iš Ortopedijos IS ir jokių duomenų apie tokius asmenis nekaupdavo, remiantis BDAR 5 str. 1 d. c punktu bei siekiant įgyvendinti duomenų kiekio mažinimo principą; teigė, kad sutikimo formos pobūdis bei Bendrovės teikiamų ortopedinių paslaugų pobūdis leidžia teigti, kad pacientų asmens duomenys yra tvarkomi tik sveikatos priežiūros tikslais, todėl Bendrovė nematė pagrindo išskirti sveikatos duomenis, kaip atskirą duomenų kategoriją; teigė, jog pasirašydami prie sutikime esančios formuluotės „sutinku gauti naujienas ir informaciją apie UAB „Ortopedijos paslaugos“ gaminius, pasiūlymus ir paslaugas“, pacientai išreiškia sutikimą gauti aktualią informaciją ir pranešimus apie Bendrovės naujienas, susijusias su ortopedijos techninės priemonės užsakymo vykdymo eiga bei teisinio reguliavimo pakeitimus dėl kompensavimo tvarkos.

2022 m. vasario 10 d. Inspekcija priėmė skundžiamą Sprendimą, kuriuo nustatė 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – ir BDAR) 5 straipsnio 1 dalies a (teisėtumo, skaidrumo ir sąžiningumo principai) ir d punktuose (asmens duomenų tvarkymo tikslumo principas) bei 5 straipsnio 2 dalyje (atskaitomybės principas) nustatytų principų pažeidimus.

Skundžiamu Sprendimu atsakovė nusprendė pareiškėjai skirti 5000 Eur baudą. Taip pat atsakovė nusprendė nurodyti pareiškėjai: 1) suderinti sutikimo formą su BDAR nuostatomis, užtikrinant, kad duodamas sutikimas atitiktų BDAR 4 straipsnio 11 punkte nustatytą sutikimo apibrėžtį, 7 straipsnio 2 dalyje nustatytas sutikimo sąlygas bei BDAR 13 straipsnio 1 ir 2 dalyse nustatytą informavimo apimtį; 2) užtikrinti BDAR 5 straipsnio 2 dalyje įtvirtinto atskaitomybės principo įgyvendinimą, kad kiekvienas duomenų subjekto kreipimasis, kurio pagrindu pradedami tvarkyti asmens duomenys, būtų fiksuojamas; 3) nedelsiant pateikti Inspekcijai pranešimą apie paskirtą duomenų apsaugos pareigūną bei paskelbti duomenų apsaugos pareigūno kontaktinius duomenis, įgyvendinant BDAR 37 straipsnio 7 dalies nuostatas; 4) apie nurodymo įvykdymą raštu informuoti Inspekciją iki 2022 m. gegužės 2 d. Taip pat Sprendimu rekomenduota pareiškėjai peržiūrėti UAB „Ortopedijos paslaugos“ asmens duomenų tvarkymo taisykles, patvirtintas 2020 m. vasario 4 d. direktoriaus įsakymu Nr. OP-001 (toliau – Taisyklės) bei 2020 m. sausio 20 d. UAB „Ortopedijos paslaugos“ poveikio duomenų apsaugai vertinimą, suderinant su BDAR nuostatomis bei galiojančiais teisės aktais, bei svarstyti, ar dėl paskirto duomenų apsaugos pareigūno vykdomų funkcijų negali vykti interesų konfliktas.

2022 m. kovo 10 d. pareiškėja Vilniaus apygardos administraciniam teismui apskundė Inspekcijos Sprendimą.

Nagrinėjamoje byloje pareiškėja iš esmės teigia, jog pacientų asmens duomenis tvarkė teisėtai, ginčo duomenų tvarkymą grindžia BDAR 6 straipsnio 1 dalies a punkte nurodyta teisėtumo sąlyga (duomenų subjekto sutikimas), bei nesutinka su Sprendimo išvadomis, jog pareiškėja pažeidė BDAR 5 straipsnio 1 dalies a punkte nustatytus teisėtumo, skaidrumo ir sąžiningumo principus, 5 straipsnio 1 dalies d punkte nustatytą asmens duomenų tvarkymo tikslumo principą bei 5 straipsnio 2 dalyje nustatytą atskaitomybės principą. Taip pat pareiškėja teigia, jog Sprendimas priimtas nesudarius pareiškėjai tinkamų sąlygų apsiginti (nebuvo sudaryta galimybė pateikti išsamius paaiškinimus posėdžio metu) ir praleidus įstatymo nustatytą terminą Sprendimui priimti.

Ginčo teisinius santykius reguliuoja 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – ir BDAR), taip pat Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas (toliau – ir ADTAĮ).

BDAR 4 straipsnio 2 punktas apibrėžia, jog duomenų tvarkymas – tai bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas.

Nėra ginčo dėl byloje nustatytų faktinių aplinkybių, kad pareiškėja laikotarpiu nuo 2020-01-23 iki 2021-01-29 įvedė 421 apdraustojo privalomuoju sveikatos draudimu užsakymų duomenis į informacinę sistemą Ortopedijos IS dėl galūnių protezų gamybos ir pritaikymo, tačiau užsakymų duomenys nebuvo perduoti VLK šių priemonių kompensavimui, o iš karto ištrinti. Tikrintiems apdraustiesiems galūnių protezai iki suvedimo buvo gaminami kitose įmonėse ir po ištrynimo iš esmės didžioji dalis apdraustųjų pas pareiškėja nesigamino galūnių protezų. Suvesti tokie duomenys kaip vardas, pavardė, asmens kodas, gydytojo diagnozė, reikalingas protezas, gydymo įstaiga.

Žemesnės instancijos teismas

Pareiškėja teigė, kad šiuo atveju nebuvo tvarkomi asmens duomenys, nes tam tikrus duomenis suvedus į informacinę sistemą jie nebuvo kaupiami, jie ištrinti. Teismas pažymi, jog asmens duomenų suvedimas į Ortopedijos IS ir ištrynimas laikytini asmens duomenų tvarkymu, atsižvelgiant į BDAR 4 straipsnio 2 punkte įtvirtintą duomenų tvarkymo apibrėžimą, pagal kurį duomenų tvarkymas, be kita ko, apima įrašymą, susipažinimą, atskleidimą persiunčiant ar kitu būdu sudarant galimybę jais naudotis, ištrynimą taip pat. Atsižvelgdamas į tai, teismas sprendžia, jog atsakovė pagrįstai darė išvadą, kad pareiškėjos vykdytam apdraustųjų duomenų tvarkymui taikomi BDAR reikalavimai. Pareiškėjos skundo argumentas, jog minėtiems pacientams paslaugos neteiktos ir duomenys nekaupti, patvirtina neteisėto duomenų tvarkymo atvejį. Pažymėtina, kad tyrimo metu pareiškėja teikė kitokius paaiškinimus.

Inspekcija sprendė, kad, tvarkydama duomenų subjektų (klientų, pacientų ar kitų asmenų) asmens duomenis, Bendrovė, kaip ortopedines paslaugas teikiantis asmuo, pati nustato asmens duomenų tvarkymo tikslus ir priemones ir pagal BDAR 4 straipsnio 7 punktą yra laikoma duomenų valdytoju. BDAR 4 straipsnio 8 punkte nustatyta, jog duomenų tvarkytojas – tai fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuri duomenų valdytojo vardu tvarko asmens duomenis. Pagal Eilių ir atsargų valdymo informacinės sistemos nuostatų, patvirtintų Valstybinės ligonių kasos prie Sveikatos ministerijos direktoriaus 2015 m. spalio 23 d. įsakymu Nr. 1K-301 (aktuali redakcija išdėstyta 2018 m. sausio 29 d. įsakymu Nr. 1K-27), 9.3 punktą įmonė yra EVIS duomenų teikėjas ir atitinkamai jų tvarkytojas, kuriam taikoma pareiga laikytis duomenų apsaugos reikalavimų. EVIS naudojantys asmenys užtikrina teikiamų duomenų saugą, duomenų patikimumą ir vientisumą iki duomenys pasiekia EVIS valdytoją (17.2 punktas). Šių nuostatų V skyriuje aprašyta duomenų teikimo ir naudojimo tvarka, be kita ko, pažymint, kad EVIS duomenys turi būti tikslūs ir nuolat atnaujinami (jei to reikia jiems apdoroti). Netikslūs ar neišsamūs duomenys turi būti tikslinami, taisomi, papildomi, sunaikinami arba jų tvarkymas turi būti sustabdomas (38 punktas).

Kadangi reglamentas taikomas asmens duomenų tvarkymui, visiškai arba iš dalies atliekamam automatizuotomis priemonėmis, ir asmens duomenų, kurie sudaro susisteminto rinkinio dalį ar yra skirti ją sudaryti, tvarkymui ne automatizuotomis priemonėmis (BDAR 2 str. 1 d.), dėl ko tiek valdytojas, tiek tvarkytojas privalo laikytis teisėto duomenų tvarkymo sąlygų ir principų.

Dėl duomenų tvarkymo teisėtumo

Pareiškėja teigė, kad duomenis teisėtai tvarkė vykdydama sutartį su VLK ir turėdama apdraustųjų sutikimą.

Dėl duomenų tvarkymo sutarties vykdymo tikslu

Remiantis BDAR, duomenų tvarkymas laikomas teisėtu tik tuo atveju, jeigu atitinka Reglamento (ES) 2016/679 5 straipsnyje nustatytus asmens duomenų tvarkymo principus bei yra pagrįstas bent viena iš BDAR 6 straipsnio 1 dalyje nustatytų teisėto asmens duomenų tvarkymo sąlygų (pagrindų). Reglamento (ES) 2016/679 5 straipsnio 1 dalies a punkte nustatyta, kad asmens duomenys duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas); asmens duomenys turi būti adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas) (Reglamento (ES) 2016/679 5 straipsnio 1 dalies c punktas). Reglamento (ES) 2016/679 5 straipsnio 2 dalyje įtvirtinta, jog duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi šio straipsnio 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas). Pažymėtina, kad aptarti asmens duomenų principai taikomi ir atsakomybė už jų nesilaikymą taikoma būtent asmens duomenų valdytojui ir tvarkytojui. Teisėtumo, sąžiningumo ir skaidrumo principai neatsiejamai susiję su tinkamu duomenų subjektų informavimu pagal BDAR 13 ir 14 straipsniais.

Pagal BDAR duomenų tvarkymas yra teisėtas tik tuo atveju, jei taikoma bent viena iš sąlygų (pagrindų), nurodytų BDAR 6 straipsnyje, ir tik tokiu mastu, kokiu ji yra taikoma: a) duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu ar keliais konkrečiais tikslais; b) tvarkyti duomenis būtina siekiant įvykdyti sutartį, kurios šalis yra duomenų subjektas, arba siekiant imtis veiksmų duomenų subjekto prašymu prieš sudarant sutartį; c) tvarkyti duomenis būtina, kad būtų įvykdyta duomenų valdytojui taikoma teisinė prievolė; d) tvarkyti duomenis būtina siekiant apsaugoti gyvybinius duomenų subjekto ar kito fizinio asmens interesus; e) tvarkyti duomenis būtina siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas; f) tvarkyti duomenis būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, išskyrus atvejus, kai tokie duomenų subjekto interesai arba pagrindinės teisės ir laisvės, dėl kurių būtina užtikrinti asmens duomenų apsaugą, yra už juos viršesni, ypač kai duomenų subjektas yra vaikas.

Pagal BDAR 4 straipsnio 15 punktą, sveikatos duomenys – asmens duomenys, susiję su fizine ar psichine fizinio asmens sveikata, įskaitant duomenis apie sveikatos priežiūros paslaugų teikimą, atskleidžiantys informaciją apie to fizinio asmens sveikatos būklę.

BDAR 9 str. skirtas specialių kategorijų asmens duomenų tvarkymui, šioje byloje yra aktualus, atsižvelgiant į tai, jog ginčo asmens duomenys laikytini sveikatos duomenimis, taigi ir specialių kategorijų asmens duomenimis. BDAR 9 str. 1 d. nustato, jog draudžiama tvarkyti asmens duomenis, atskleidžiančius rasinę ar etninę kilmę, politines pažiūras, religinius ar filosofinius įsitikinimus ar narystę profesinėse sąjungose, taip pat tvarkyti genetinius duomenis, biometrinius duomenis, siekiant konkrečiai nustatyti fizinio asmens tapatybę, sveikatos duomenis arba duomenis apie fizinio asmens lytinį gyvenimą ir lytinę orientaciją.

BDAR 9 str. 2 d. nustato specialių kategorijų asmens duomenų tvarkymo teisėtumo sąlygas, t.y. tvarkymas yra teisėtas tik tuo atveju, jei taikoma bent viena BDAR 9 str. 2 dalyje nurodytų sąlygų: a) duomenų subjektas aiškiai sutiko, kad tokie asmens duomenys būtų tvarkomi vienu ar keliais nurodytais tikslais, išskyrus atvejus, kai Sąjungos arba valstybės narės teisėje numatyta, kad 1 dalyje nurodyto draudimo duomenų subjektas negali panaikinti; b) tvarkyti duomenis būtina, kad duomenų valdytojas arba duomenų subjektas galėtų įvykdyti prievoles ir naudotis specialiomis teisėmis darbo ir socialinės apsaugos teisės srityje, kiek tai leidžiama Sąjungos arba valstybės narės teisėje arba pagal valstybės narės teisę sudaryta kolektyvine sutartimi, kuriuose nustatytos tinkamos duomenų subjekto pagrindinių teisių ir interesų apsaugos priemonės; c) tvarkyti duomenis būtina, kad būtų apsaugoti gyvybiniai duomenų subjekto arba kito fizinio asmens interesai, kai duomenų subjektas dėl fizinių ar teisinių priežasčių negali duoti sutikimo; d) duomenis tvarko politinių, filosofinių, religinių ar profesinių sąjungų tikslų siekiantis fondas, asociacija ar kita pelno nesiekianti organizacija, vykdydama teisėtą veiklą ir taikydama tinkamas apsaugos priemones, ir su sąlyga, kad tvarkomi tik tos organizacijos narių ar buvusių narių arba asmenų, kurie reguliariai palaiko ryšius su ja dėl jos siekiamų tikslų, duomenys ir kad asmens duomenys neatskleidžiami už organizacijos ribų be duomenų subjektų sutikimo; e) tvarkomi asmens duomenys, kuriuos duomenų subjektas yra akivaizdžiai paskelbęs viešai; f) tvarkyti duomenis būtina siekiant pareikšti, vykdyti arba apginti teisinius reikalavimus arba tuo atveju, kai teismai vykdo savo teisminius įgaliojimus; g) tvarkyti duomenis būtina dėl svarbaus viešojo intereso priežasčių, remiantis Sąjungos arba valstybės narės teise, kurie turi būti proporcingi tikslui, kurio siekiama, nepažeisti esminių teisės į duomenų apsaugą nuostatų ir kuriuose turi būti numatytos tinkamos ir konkrečios duomenų subjekto pagrindinių teisių ir interesų apsaugos priemonės; h) tvarkyti duomenis būtina profilaktinės arba darbo medicinos tikslais, siekiant įvertinti darbuotojo darbingumą, nustatyti medicininę diagnozę, teikti sveikatos priežiūros arba socialinės rūpybos paslaugas ar gydymą arba valdyti sveikatos priežiūros ar socialinės rūpybos sistemas ir paslaugas remiantis Sąjungos arba valstybės narės teise arba pagal sutartį su sveikatos priežiūros specialistu, taikant 3 dalyje nurodytas sąlygas ir apsaugos priemones; i) tvarkyti duomenis būtina dėl viešojo intereso priežasčių visuomenės sveikatos srityje, pavyzdžiui, siekiant apsisaugoti nuo rimtų tarpvalstybinio pobūdžio grėsmių sveikatai arba užtikrinti aukštus sveikatos priežiūros ir vaistų arba medicinos priemonių kokybės ir saugos standartus, remiantis Sąjungos arba valstybės narės teise, kurioje numatomos tinkamos ir konkrečios priemonės duomenų subjekto teisėms ir laisvėms apsaugoti, visų pirma profesinė paslaptis; j) tvarkyti duomenis būtina archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais pagal BDAR 89 straipsnio 1 dalį, remiantis Sąjungos arba valstybės narės teise, kurie turi būti proporcingi tikslui, kurio siekiama, nepažeisti esminių teisės į duomenų apsaugą nuostatų ir kuriuose turi būti numatytos tinkamos ir konkrečios duomenų subjekto pagrindinių teisių ir interesų apsaugos priemonės.

BDAR 4 straipsnio 11 punktas apibrėžia, jog duomenų subjekto sutikimas – bet koks laisva valia duotas, konkretus ir nedviprasmiškas tinkamai informuoto duomenų subjekto valios išreiškimas pareiškimu arba vienareikšmiais veiksmais kuriais jis sutinka, kad būtų tvarkomi su juo susiję asmens duomenys.

Ne bet koks sutikimas suteikia teisę tvarkyti asmens duomenis. Taikant tinkamai informuoto asmens reikalavimą pažymėtina, kad BDAR 7 straipsnis apibrėžia duomenų tvarkymo sutikimo pagrindu sąlygas. BDAR 7 straipsnio 1 dalis nustato, jog kai duomenys tvarkomi remiantis sutikimu, duomenų valdytojas turi galėti įrodyti, kad duomenų subjektas davė sutikimą, kad būtų tvarkomi jo asmens duomenys. BDAR 7 straipsnio 2 dalis nustato, kad jeigu duomenų subjekto sutikimas duodamas rašytiniu pareiškimu, susijusiu ir su kitais klausimais, prašymas duoti sutikimą pateikiamas tokiu būdu, kad jis būtų aiškiai atskirtas nuo kitų klausimų, pateiktas suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba; jokia tokio pareiškimo dalis, kuria pažeidžiamas šis reglamentas, nėra privaloma. Remiantis BDAR 7 straipsnio 3 dalimi, duomenų subjektas turi teisę bet kuriuo metu atšaukti savo sutikimą; sutikimo atšaukimas nedaro poveikio sutikimu pagrįsto duomenų tvarkymo, atlikto iki sutikimo atšaukimo, teisėtumui; duomenų subjektas apie tai informuojamas prieš jam duodant sutikimą; atšaukti sutikimą turi būti taip pat lengva kaip jį duoti. Remiantis BDAR 7 straipsnio 4 dalimi, vertinant, ar sutikimas duotas laisva valia, labiausiai atsižvelgiama į tai, ar, be kita ko, sutarties vykdymui, įskaitant paslaugos teikimą, yra nustatyta sąlyga, kad turi būti duotas sutikimas tvarkyti asmens duomenis, kurie nėra būtini tai sutarčiai vykdyti.

BDAR 13 straipsnio 1 ir 2 dalyse apibrėžta, kokią informaciją duomenų valdytojas ir tvarkytojas privalo suteikti duomenų subjektui, kai asmens duomenys renkami iš jo tiesiogiai. Vienas iš pagrindinių duomenų subjekto informavimo punktų yra BDAR 13 straipsnio 1 dalies c punkte nustatyta pareiga pateikti duomenų tvarkymo tikslus, dėl kurių ketinama tvarkyti asmens duomenis, taip pat duomenų tvarkymo teisinį pagrindą; pagal BDAR 13 straipsnio 1 dalies b punktą, privaloma nurodyti duomenų apsaugos pareigūno kontaktinius duomenis; pagal BDAR 13 straipsnio 2 dalies a ir c punktus privaloma nurodyti asmens duomenų saugojimo terminą ir teisę bet kuriuo metu atšaukti sutikimą, kai asmens duomenys tvarkomi sutikimo pagrindu.

Pareiškėja 2019 m. gruodžio 23 d. su VLK sudarė sutartį Nr. 1SUT-479 „Dėl apdraustųjų aprūpinimo ortopedijos techninėmis priemonėmis“, o 2020 m. gruodžio 23 d. sutartį Nr. 1SUT-409 „Ortopedijos techninių priemonių kompensavimo Privalomojo sveikatos draudimo fondo biudžeto lėšomis sutartį, kurios 3.28 punktas nustato, kad įmonė, vykdydama sutartį, įsipareigoja asmens duomenis tvarkyti teisėtai ir laikytis BDAR ir ADTAĮ bei kitų teisės aktų nuostatų.

Lietuvos Respublikos sveikatos apsaugos ministro 2006 m. kovo 31 d. įsakymu Nr. V-234 „Dėl Ortopedijos techninių priemonių kompensavimo Privalomuojo sveikatos draudimo fondo biudžeto lėšomis tvarkos aprašo patvirtinimo“ patvirtinto Ortopedijos techninių priemonių ir medicinos priemonių kompensavimo Privalomojo sveikatos draudimo fondo biudžeto lėšomis tvarkos aprašo (toliau – ir Aprašas) 45 punktas (redakcija, galiojusi nuo 2021 m. rugsėjo 8 d. iki 2022 m. sausio 1 d.) nustato, jog Ortopedijos įmonė ar odontologijos įstaiga užsakymo priėmimo metu privalo: 45.1. informuoti apdraustąjį apie ortopedijos techninių priemonių kompensavimo tvarką; 45.2. patikrinti asmens draustumą privalomuoju sveikatos draudimu (ortopedijos įmonė ar odontologijos įstaiga atsako už tai, kad ortopedijos techninės priemonės būtų užsakomos ir išduodamos tik apdraustiesiems); 45.3. pasirašytinai supažindinti apdraustuosius su ortopedijos techninių priemonių katalogu; 45.4. jei ortopedijos įmonėje ar odontologijos įstaigoje, į kurią kreipiasi apdraustasis, yra sudaryta ortopedijos techninių priemonių užsakymų priėmimo eilė, informuoti apdraustąjį apie laukimo, kol bus priimtas ortopedijos techninės priemonės užsakymas, trukmę ir nurodyti apdraustojo registracijos numerį; 45.5. informuoti apdraustąjį apie galimybę įsigyti ortopedijos techninę priemonę savo lėšomis Aprašo nustatyta tvarka; 45.6. užpildyti Ortopedijos techninės priemonės užsakymo lapo (toliau – užsakymo lapas) A dalies formą (Aprašo 1 priedas). Dėl patvirtinto užsakymo lapo pildymo nurodoma, kad jei A dalies forma pildoma dėl pagal užsakymą individualiai gaminamos ortopedijos techninės priemonės, turi būti pildoma ir užsakymo lapo B dalies forma (tvirtinama ortopedijos įmonės vidaus tvarka), kurioje nurodomi papildomi duomenys, reikalingi ortopedijos įmonei ortopedijos techninės priemonės užsakymui įvykdyti. Užpildžius pagal užsakymą individualiai gaminamos ortopedijos techninės priemonės užsakymo lapo A ir B dalių formas, apdraustajam pateikiama šio užsakymo lapo kopija (45.6.1 p.); jei A dalies forma pildoma dėl serijiniu būdu gaminamos ortopedijos techninės priemonės, nebūtina pildyti užsakymo lapo B dalies formos (45.6.2 p.).

Nepateikus užsakymų, kaip teisėto duomenų tvarkymo pagal sutartį faktinio pagrindo, pareiškėja pagrįstai laikyta neįrodžiusi duomenų tvarkymo sutarties vykdymo tikslu. Duomenis tvarkyti aptariamoje informacinėje sistemoje numatyta užsakymo vykdymo tikslu (tai būtų ir sutarties su VLK vykdymas), kas šioje byloje pagrįstai pripažinta kaip neįrodyta. Skundžiamo sprendimo išvadą paneigiančių įrodymų teismui pareiškėja taip pat nepateikė. Tad pareiškėjos skundo argumentai dėl Aprašo 45.2 punkto reikalavimo vykdymo, kaip teisėto duomenų tvarkymo pagrindo, atmestini kaip neįrodyti.

Dėl asmens duomenų tvarkymo Ortopedijos IS duomenų subjekto sutikimo pagrindu

Pareiškėja skundu teigia, jog pacientų asmens duomenis tvarkė teisėtai, BDAR 6 straipsnio 1 dalies a punkte nurodytu pagrindu (duomenų subjekto sutikimas), o atsakovė Sprendime nepagrįstai sprendė, jog pareiškėja pažeidė BDAR 5 straipsnio 1 dalies a punkte nustatytus teisėtumo, skaidrumo ir sąžiningumo principus, 5 straipsnio 1 dalies d punkte nustatytą asmens duomenų tvarkymo tikslumo principą bei 5 straipsnio 2 dalyje nustatytą atskaitomybės principą.

Atsakovė, atlikusi Bendrovės tikrinimą, Sprendime pagal pačios pareiškėjos paaiškinimus vertino, jog Bendrovė asmens duomenų tvarkymo procesą pradeda jau nuo telefonu ar kitokiu būdu gauto paciento kreipimosi (prašymo suteikti paslaugas), jei toks gaunamas, todėl vadovaujantis BDAR 5 straipsnio 2 dalyje nustatytu atskaitomybės principu, privalo turėti įrodymus, kokiu būdu, kokiu tikslu, kada ir kokie pacientų asmens duomenys gauti; nurodė, jog Bendrovė per visą tikrinimo laikotarpį nepateikė jokių objektyvių įrodymų, kad pacientai, kurių duomenis Bendrovė suvedė į Ortopedijos IS ir vėl ištrynė, kreipėsi į Bendrovę dėl paslaugų, taigi neįrodė, kad pacientų asmens duomenis kiekvienu atveju gauna tiesiogiai iš duomenų subjektų, taigi pažeidė BDAR 5 straipsnio 2 dalyje nustatytą atskaitomybės principą.

Teismas pažymi, jog asmens duomenų suvedimas į Ortopedijos IS ir ištrynimas laikytini asmens duomenų tvarkymu, atsižvelgiant į BDAR 4 straipsnio 2 punkte įtvirtintą duomenų tvarkymo apibrėžimą, pagal kurį duomenų tvarkymas, be kita ko, apima įrašymą, susipažinimą, atskleidimą persiunčiant ar kitu būdu sudarant galimybę jais naudotis, ištrynimą. Atsižvelgdamas į tai, teismas sprendžia, jog atsakovė pagrįstai darė išvadą, kad pareiškėjos vykdytam pacientų, kurie nėra pasirašę sutikimo, asmens duomenų suvedimui į Ortopedijos IS ir ištrynimui taikomi BDAR reikalavimai, taigi toks tvarkymas neatitinka nei vienos iš BDAR 6 straipsnio 1 dalyje ir BDAR 9 straipsnio 2 dalyje nustatytų sąlygų. Pareiškėjos argumentas, jog minėtiems pacientams paslaugos neteiktos ir duomenys nekaupti, nepagrįstas dėl jau aukščiau išsakytų argumentų ir pačios pareiškėjos nenuoseklių paaiškinimų tyrimo metu.

Atsakovė Sprendime taip pat darė išvadą, jog pirminis draustumo tikrinimas nėra pagrįstas nei viena iš BDAR 6 straipsnio 1 dalyje bei 9 straipsnio 2 dalyje nustatytų teisėtumo sąlygų, atsižvelgiant į tai, jog pacientų sutikimai neatitinka nustatytų reikalavimų (sutikimo formos tekste nenurodytas asmens tvarkymo tikslas, kiekvienos iš duomenų tvarkymo operacijų tikslas, aplinkybė, kad bus renkami ir tvarkomi sveikatos duomenys, nepateikta kita BDAR 13 straipsnio 1 ir 2 dalyse ir (arba) 14 straipsnio 1 ir 2 dalyse nurodyta informacija (duomenų apsaugos pareigūno kontaktiniai duomenys, asmens duomenų saugojimo terminas, teisė bet kuriuo metu atšaukti sutikimą), duomenų tvarkymo operacijos atliktos gerokai vėliau nei pasirašyti sutikimai), be to, yra galimai fiktyvūs (pacientų užsakymo lapų pareiškėja Inspekcijai nepateikė, paaiškino, jog draustumui patikrinti suveda bet kokius užsakymo duomenis; tarp sutikimuose įrašytų datų bei VLK nurodytų Ortopedijos IS užfiksuotų duomenų suvedimo bei ištrynimo datų yra pakankamai dideli laiko tarpai, pvz., asmuo sutikimą pasirašo 2018-04-27, o jo duomenys į Ortopedijos IS įvedami ir ištrinami 2020-03-01, 2020-05-26, 2020-07-28 ir 2020-11-11, asmuo sutikimą pasirašo 2020-01-03, o jo duomenys į Ortopedijos IS įvedami ir ištrinami 2020-03-17, 2020-03-31, 2020-05-12, 2020-05-13 ir 2020-11-09, nors pacientas 2020-08-21 OPT užsisako ir 2020-08-28 užsakymą gauna kitoje įmonėje).

Bylos rašytiniais duomenimis nustatyta: 1) V. M. sutikimas pasirašytas 2020-01-03, Bendrovė šiam pacientui užsakymą įvedė ir ištrynė 2020-03-17, 2020-03-31, 2020-05-12, 2020-05-13 ir 2020-11-09, pacientas 2020-08-21 su gydytojo siuntimu ir VLK pranešimu naują galūnės protezą užsisakė kitoje įmonėje; 2) D. G. sutikimas pasirašytas 2018-04-27, Bendrovė pacientui užsakymą įvedė ir ištrynė 2020-03-01, 2020-05-26, 2020-07-28 ir 2020-11-11; 3) I. E. sutikimas pasirašytas 2020-01-07, Bendrovė pacientei užsakymą įvedė ir ištrynė 4 kartus 2020-05-26, 2020-06-08, 2020-06-16 ir 2020-07-14, pacientė 2020-07-21 su gydytojo siuntimu ir VLK pranešimu naują galūnės protezą užsisakė kitoje įmonėje; 4) S. Ž. sutikimas pasirašytas 2020-07-01, Bendrovė pacientei užsakymą įvedė ir ištrynė 2020-07-31, pacientė 2020-08-03 su gydytojo siuntimu ir VLK pranešimu naują galūnės protezą užsisakė Bendrovėje; 5) R. S. sutikimas pasirašytas 2020-01-06, Bendrovė pacientui užsakymą įvedė ir ištrynė 2020-09-23; 6) Č. P. sutikimas pasirašytas 2020-12-29, Bendrovė pacientui užsakymą įvedė ir ištrynė 2021-01-18, pacientas 2021-02-25 su gydytojo siuntimu ir VLK pranešimu naują galūnės protezą užsisakė kitoje įmonėje; 7) A. S. sutikimas pasirašytas 2018-04-24, Bendrovė pacientui užsakymą įvedė ir ištrynė 2020-12-16. Pareiškėja konkrečių paaiškinimų dėl šių aplinkybių nepateikė.

Inspekcija taip pat analizavo ir tyrė Bendrovės pateiktą sutikimo formą, įvardijamą kaip „Sutikimas dėl paciento asmens duomenų tvarkymo UAB „Ortopedijos paslaugos“ informacinėje sistemoje“, jos turinį.

Iš byloje pateiktų pacientų sutikimų turinio matyti, jog juose nėra nurodyti sutikimo turinio elementai (nenurodyti pacientų asmens duomenų tvarkymo tikslai, nenurodyta, jog sutinkama dėl sveikatos duomenų tvarkymo, nenurodyti kiti teisės aktais nustatyti reikalavimai, pvz. duomenų apsaugos pareigūno kontaktiniai duomenys, asmens duomenų saugojimo terminas), todėl, teismo vertinimu, atsakovė pagrįstai darė išvadą, jog sutikimai neatitinka teisės aktų nustatytų reikalavimų. Iš atrankos būdu Inspekcijos pareikalautų 10 apdraustųjų, kurių duomenys tvarkyti, pareiškėjai pateikus 7 įstatymų reikalavimų neatitinkančius sutikimus, atsakovė pagrįstai nusprendė, jog duomenų tvarkymas sutikimo pagrindu apskritai neįrodytas visoje pažeidimo apimtyje (421 atvejis). Kaip teisingai pažymėta skundžiamame sprendime BDAR numato sutikimo, kaip teisėto duomenų tvarkymo sąlygos, reikalavimus. Kitu atveju, t. y. sutikimas neatitinkantis reikalavimų, nesudaro pagrindo teisėtai tvarkyti asmens duomenų, ypač, kaip aptariamu atveju specialių kategorijų asmens duomenų, susijusių su apdraustųjų asmenų sveikata. Pažymėtina, kad tyrimo metu pareiškėja nepaaiškino aplinkybių, susijusių su sutikimų gavimu, jų apskaitymu įmonės vidaus dokumentuose, kas taip pat pagrįstai leido Inspekcijai nepripažinti jų kaip teisėto duomenų tvarkymo įrodymo.

Atsižvelgiant į nurodytas faktines bylos aplinkybes ir teisinį reguliavimą, darytina išvada, jog ginčo duomenų tvarkymas nėra pagrįstas BDAR 6 straipsnio 1 dalies a punkte bei 9 straipsnio 2 dalies a punktuose nustatyta teisėtumo sąlyga (duomenų subjekto sutikimu), priešingai nei skunde nurodė pareiškėja.

Atsižvelgiant į padarytą išvadą, jog pacientų duomenų tvarkymas, jų duomenis suvedant ir ištrinant iš Ortopedijos IS, nėra pagrįstas BDAR 6 straipsnio 1 dalies a punkte bei 9 straipsnio 2 dalies a punktuose nustatyta teisėtumo sąlyga (duomenų subjekto sutikimu). Dėl to nėra teisinio pagrindo nesutikti su Inspekcijos išsamaus tyrimo išvadomis, jog pareiškėjos atlikti duomenų tvarkymo veiksmai pripažintini neteisėtais, pirma, dėl paciento asmens duomenų tvarkymo (rinkimo ir draustumo tikrinimo) be sutikimo, t. y. neįgyvendinus nei vienos iš BDAR 6 straipsnio 1 dalyje ir BDAR 9 straipsnio 2 dalyje nustatytų sąlygų; antra, dėl paciento asmens duomenų tvarkymo gavus sutikimą, neatitinkantį BDAR 4 straipsnio 11 punkto nuostatų dėl sutikimo nekonkretumo bei netinkamo duomenų subjektų informavimo (pagal BDAR 13 ir 14 straipsnius), tuo pažeidžiant teisėtumo, skaidrumo ir sąžiningumo principus.

Dėl duomenų tikslumo, sąžiningumo ir skaidrumo principų pažeidimo

Pareiškėja nesutinka su Inspekcijos konstatuotais pažeidimais iš esmės nurodydama aukščiau aptartus argumentus. Inspekcija sprendė, kad tikslumo principas šiuo atveju pažeidžiamas dviem aspektais: 1) kai Ortopedijos IS tikrinami asmens, kurio tapatybės Bendrovė telefoninio pokalbio metu negali nustatyti, duomenys; 2) kai į Ortopedijos IS suvedami fiktyvūs (netikri) tikrinamo asmens sveikatos duomenys. Pažymėta, kad Bendrovė nėra nusistačiusi jokių papildomų procedūrų, siekdama įsitikinti į ją besikreipiančio asmens tapatybe, ir pagal tokiu būdu surinktus duomenis pradeda vykdyti kitus asmens duomenų tvarkymo veiksmus – pateiktą informaciją teikti į Ortopedijos IS.

Pagal BDAR 5 straipsnio 1 dalies d punktą, asmens duomenys turi būti tikslūs ir prireikus atnaujinami; turi būti imamasi visų pagrįstų priemonių užtikrinti, kad asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, būtų nedelsiant ištrinami arba ištaisomi (tikslumo principas). Tikrinimo metu nustatyta, kad Bendrovė per metus į Ortopedijos IS suvedė ir iš karto ištrynė 421 asmenų duomenis (vardą, pavardę, asmens kodą, diagnozės kodą ir pavadinimą, ortopedijos techninės priemonės tipą ir kt.), įskaitant specialių kategorijų duomenis.

Kaip minėta, pagal BDAR 5 straipsnio 1 dalies a punktą, asmens duomenys turi būti duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas).

Skunde argumentų, susijusių su pačios pareiškėjos teiktais nenuosekliais paaiškinimais, kurių pagrindu ir konstatuotas duomenų tvarkymo tikslumo bei kitų principų pažeidimas, nenurodyta, dėl ko nėra teisinio pagrindo teismui nesutikti su Inspekcijos padaryta išvada.

Atsižvelgiant į išdėstytus argumentus, nepagrįsti pareiškėjos skundo argumentai, kad Bendrovė, tvarkydama pacientų (klientų), kuriems ortopedijos paslaugų niekada neteikė, asmens duomenis be sutikimo ir (ar) tvarkydama duomenis netinkamo sutikimo pagrindu, nepažeidė BDAR 5 straipsnio 1 dalies a punkte nustatytų principų.

Remiantis aukščiau išdėstytais argumentais ir nustatytomis faktinėmis aplinkybėmis, atmestinas ir pareiškėjos teiginys, jog Inspekcija nepagrįstai nustatė BDAR 5 str. 2 d. įtvirtinto atskaitomybės principo pažeidimą, kadangi pacientų duomenys buvo tvarkomi gavus pacientų sutikimus pagal BDAR 6 str. 1 d. a punktą arba visai netvarkomi, jeigu patikrinus paaiškėja, kad asmuo neturi teisės gauti kompensuojamą ortopedijos techninę priemonę. Asmens duomenų valdytojams ir tvarkytojams taikomas atskaitomybės principas reiškia, kad duomenų tvarkytojas privalo turėti įrodymus, kokiu būdu, kokiu tikslu, kada ir kokie asmenų duomenys yra gauti, pateikiant tai patvirtinančius įrodymus Inspekcijai. Pareiškėjai nepateikus pagal Inspekcijos reikalavimą atrankos būdu nurodytų apdraustųjų tvarkytų duomenų tvarkymo teisėtumą patvirtinančių įrodymų, pagrįstai konstatuota, jog pareiškėja nesilaikė asmenų duomenų tvarkymo reikalavimų.

Taip pat atmestinas ir pareiškėjos teiginys, jog atsakovė nepagrįstai nustatė BDAR 5 str. 1 d. a punkte nustatytus principų pažeidimą, atsižvelgiant į tai, jog duomenys buvo teisėtai tvarkomi pacientams prieš pasirašant sutikimus, kuriais taip pat jie supažindinti ir su pareiškėjos asmens duomenų tvarkymo Taisyklėmis. Kaip minėta, pareiškėja nepagrindė duomenų tvarkymo teisėtumo sutikimo pagrindu, t. y. iš pateiktos sutikimo formos neaišku, kam buvo duotas sutikimas, kokiu tikslu, kokių duomenų tvarkymui ir pan. (aptarta aukščiau dėl sutikimui keliamų reikalavimų). Pareiškėja skunde konkrečiais argumentais nepagrindė, kodėl pacientų supažindinimas su Taisyklėmis turėtų paneigti atsakovės padarytą išvadą dėl teisėtumo, sąžiningumo ir skaidrumo principų pažeidimo, be to, nepateikė įrodymų apie tinkamą apdraustųjų pacientų supažindinimą su Taisyklėmis. Negana to, Inspekcija, įvertinusi pareiškėjos vidaus Taisykles, rekomendavo jas peržiūrėti ir davė kitus nurodymus, išplaukiančius iš tyrimo metu nustatytų faktinių aplinkybių ir konstatuotų asmenų duomenų tvarkymo pažeidimų. Dėl to neduoda pagrindo pareiškėjo skundo argumentai keisti ar naikinti Inspekcijos sprendimo dėl jame pagrįstai konstatuotų asmens duomenų neteisėto ir netinkamo tvarkymo pažeidimų.

Dėl duomenų tvarkymo tiesioginės rinkodaros tikslu

Pareiškėja skundu teigia, jog šventiniame sveikinime, adresuotame V. L. (toliau – ir sveikinimas), pacientui nebuvo siūloma pareiškėjos prekių ar paslaugų, be to, pacientas sutikime išreiškė sutikimą gauti aktualią informaciją ir pranešimus apie naujienas, susijusias su ortopedijos techninės priemonės užsakymo vykdymo eiga bei teisinio reguliavimo pakeitimus dėl kompensavimo tvarkos, taigi iš esmės nesutinka su atsakovės vertinimu, jog sveikinime pateikė pacientui tiesioginės rinkodaros pasiūlymą.

Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (akto redakcija, galiojanti nuo 2021 m. gruodžio 1 d., toliau – ir ADTAĮ) 2 straipsnio 1 dalyje įtvirtinta, jog tiesioginė rinkodara yra veikla, kurios tikslas paštu, telefonu arba kitokiu tiesioginiu būdu siūlyti asmenims prekes ar paslaugas ir (arba) teirautis jų nuomonės dėl siūlomų prekių ar paslaugų.

Lietuvos vyriausiasis administracinis teismas yra konstatavęs, kad tiesiogine rinkodara laikomi pranešimai bet kokiomis priemonėmis (įskaitant, bet neapsiribojant elektroniniu paštu) apie bet kokią reklamos ar rinkodaros medžiagą, kurie yra siunčiami paties rinkodaros vykdytojo ar jo vardu ir yra nukreipti į atitinkamus asmenis (žr., pvz. Lietuvos vyriausiojo administracinio teismo 2020 m. vasario 19 d. sprendimą administracinėje byloje Nr. eA-2402-629/2020). LVAT taip pat yra atkreipęs dėmesį į tai, kad minėtoje ADTAĮ nuostatoje expressis verbis (aiškiais žodžiais, tiesiogiai) yra nurodoma, kad tiesiogine rinkodara suprantama tokia veikla, kurios tikslas yra siūlyti asmenims prekes ar paslaugas ir (arba) teirautis nuomonės dėl siūlomų prekių ar paslaugų, tokių veiksmų tikslas yra nukreiptas į ateitį ir jais siekiama, jog klientas ateityje įsigytų siūlomas prekes ar paslaugas (žr., pvz. Lietuvos vyriausiojo administracinio teismo 2021 m. gruodžio 8 d. sprendimą administracinėje byloje Nr. A-2597-525/2021).

Pažymėtina, kad Europos Sąjungos Teisingumo Teismas, aiškindamas asmens duomenų subjekto sutikimo reikšmę telekomunikacijų paslaugų sutarties sudarymo atveju ir asmens duomenų tvarkymą pagal BDAR 6 str. 1 dalies a punktą, 2020 m. lapkričio 11 d. sprendime byloje C-61/19 yra nurodęs, kad duomenų valdytojas turi pateikti duomenų subjektui informaciją apie visas su duomenų tvarkymo susijusias aplinkybes suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba, nes šis subjektas visų pirma turi žinoti, kokie duomenys bus tvarkomi, duomenų valdytojo tapatybę, tvarkymo trukmę ir sąlygas, taip pat tvarkymo tikslus; tokia informacija turi leisti šiam asmeniui lengvai nustatyti sutikimo, kurį jis galėtų duoti, pasekmes ir užtikrinti, kad sutikimas būtų duotas žinant visas aplinkybes; <..> siekiant duomenų subjektui užtikrinti tikrą pasirinkimo laisvę, sutarties sąlygos neturi klaidinti duomenų subjekto dėl galimybės sudaryti sutartį, net jeigu jis atsisako duoti sutikimą dėl jo duomenų tvarkymo. Nesant tokios informacijos, šio subjekto sutikimas dėl jo asmens duomenų tvarkymo negali būti laikomas nei duotu laisva valia, nei, be to, duotu žinomai ar esant tinkamai informuotam; <...> duomenų subjektas turi būti „nedviprasmiškai“ davęs sutikimą, o tai reiškia, kad, <..>pareiga įrodyti, jog yra galiojantis sutikimas, tenka duomenų valdytojui (40-42 p.). Taip pat nurodyta, kad laisvas pasirinkimas duomenų subjekto apibojamas, jei sutarties sudarymo metu nesuteikiama galimybė prieštarauti, o reikalaujama papildomų veiksmų atlikimo (50 p.).

Kaip minėta, tiesiogine rinkodara laikoma veikla, kurios tikslas paštu, telefonu arba kitokiu tiesioginiu būdu siūlyti asmenims prekes ar paslaugas ir (arba) teirautis jų nuomonės dėl siūlomų prekių ar paslaugų, pranešimą pateikiant bet kokiomis priemonėmis apie bet kokią reklamos ar rinkodaros medžiagą, pranešimą siunčiant rinkodaros vykdytojo ar jo vardu ir nukreipiant jį į atitinkamus asmenis, tokia veikla siekiama, jog klientas ateityje įsigytų siūlomas prekes ar paslaugas.

Byloje pateiktame sveikinime nurodoma: „Norime atkreipti jūsų dėmesį, kad įsigaliojo nauja tvarka, užsakant galūnės protezą: <...> gavus pranešimą galite kreiptis į ortopedijos įmonę dėl protezo užsakymo. Užsisakant galūnės protezą reikia turėti: <...> (visais dokumentais pasirūpinsime mes). Protezų gamyboje specializuojasi didelę patirtį turintys savo srities profesionalai, jie parinks, patars, suremontuos, pagamins Jūsų poreikius atitinkantį protezą. Tikimės, kad naujo protezo užsakymui arba remontui pasirinksite mūsų įmonę. Iškilus klausimams, visą rūpimą informaciją Jums suteiks mūsų geriausia specialistė, medicinos atstovė A.S.“

Iš sveikinimo turinio akivaizdu, jog pareiškėjos sveikinime aptariamos jos teikiamos paslaugos bei kviečiama pacientą ateityje pasinaudoti pareiškėjos paslaugomis, todėl laikytina, jog atsakovė pagrįstai sveikinimą laikė tiesioginės rinkodaros pasiūlymu. Nėra pagrindo sutikti su pareiškėjos skundo teiginiu, jog sveikinimas nėra tiesioginės rinkodaros pasiūlymas.

Taip pat atmestinas pareiškėjos teiginys, jog pacientas sutikime išreiškė sutikimą gauti aktualią informaciją ir pranešimus apie naujienas, susijusias su ortopedijos techninės priemonės užsakymo vykdymo eiga bei teisinio reguliavimo pakeitimus dėl kompensavimo tvarkos.

Kaip minėta, remiantis BDAR nuostatomis, jei duomenų subjekto sutikimas duodamas rašytiniu pareiškimu, susijusiu ir su kitais klausimais, prašymas duoti sutikimą pateikiamas tokiu būdu, kad jis būtų aiškiai atskirtas nuo kitų klausimų, pateiktas suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba; vertinant, ar sutikimas duotas laisva valia, labiausiai atsižvelgiama į tai, ar, be kita ko, sutarties vykdymui, įskaitant paslaugos teikimą, yra nustatyta sąlyga, kad turi būti duotas sutikimas tvarkyti asmens duomenis, kurie nėra būtini tai sutarčiai vykdyti.

Kaip matyti iš bylos medžiagos, atsakovė išsamiai išnagrinėjo faktines bylos aplinkybes bei pagrįstai nustatė, jog sutikimo formoje nurodyta: Sutinku gauti naujienas ir informaciją apie UAB „Ortopedijos paslaugos“ gaminius, pasiūlymus ir paslaugas“, toliau nurodomas paciento vardas, pavardė ir parašas, t. y. sutikimas gaunamas tiek dėl jau minėto asmens duomenų tvarkymo (rinkti, valdyti, tvarkyti ir saugoti jo pateiktus asmens duomenis: vardą, pavardę, asmens kodą, lytį, gimimo datą, adresą, telefoną, elektroninį adresą), tiek ir dėl tiesioginės rinkodaros, pacientui padedant vieną parašą ir aiškiai, sąžiningai bei suprantamai jo neinformuojant dėl sutikimo paskirties.

Atsižvelgiant į nurodytas faktines aplinkybes ir teisinį reguliavimą, atsakovė Sprendime pagrįstai vertino, jog V. L. sutikimo formoje padėtas parašas negali būti laikomas konkrečiu ir nedviprasmišku tinkamai informuoto duomenų subjekto valios išreiškimu arba vienareikšmiais veiksmais, kuriais V. L. sutinka, kad tiesioginės rinkodaros tikslu būtų tvarkomi su juo susiję asmens duomenys, bei tuo pagrindu turėjo teisę spręsti, kad Bendrovė pažeidė BDAR 6 straipsnio 1 dalyje nustatytas teisėto tvarkymo sąlygas, kartu pažeisdama BDAR 5 straipsnio 1 dalies a punkte nustatytus teisėtumo, skaidrumo ir sąžiningumo principu.

Dėl paskirtų poveikio priemonių

Pagal BDAR 83 straipsnio 1 dalį, kiekviena priežiūros institucija užtikrina, kad pagal šį BDAR straipsnį skiriamos administracinės baudos už 4, 5 ir 6 dalyse nurodytus šio reglamento pažeidimus kiekvienu konkrečiu atveju būtų veiksmingos, proporcingos ir atgrasomos. Pagal BDAR 83 straipsnio 2 dalį, administracinės baudos, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes, skiriamos kartu su NDAR 58 straipsnio 2 dalies a–h punktuose ir j punkte nurodytomis priemonėmis arba vietoj jų. Sprendžiant dėl to, ar skirti administracinę baudą, ir sprendžiant dėl administracinės baudos dydžio kiekvienu konkrečiu atveju deramai atsižvelgiama į šiuos dalykus: a) pažeidimo pobūdį, sunkumą ir trukmę, atsižvelgiant į atitinkamo duomenų tvarkymo pobūdį, aprėptį ar tikslą, taip pat į nukentėjusių duomenų subjektų skaičių ir jų patirtos žalos dydį; b) tai, ar pažeidimas padarytas tyčia, ar dėl aplaidumo; c) bet kuriuos veiksmus, kurių duomenų valdytojas arba duomenų tvarkytojas ėmėsi, kad sumažintų duomenų subjektų patirtą žalą; d) duomenų valdytojo arba duomenų tvarkytojo atsakomybės dydį, atsižvelgiant į jų pagal 25 ir 32 straipsnius įgyvendintas technines ir organizacines priemones; e) bet kuriuos to duomenų valdytojo arba duomenų tvarkytojo svarbius ankstesnius pažeidimus; f) bendradarbiavimo su priežiūros institucija siekiant atitaisyti pažeidimą ir sumažinti galimą neigiamą jo poveikį laipsnį; g) asmens duomenų, kuriems pažeidimas turi poveikį, kategorijas; h) tai, kokiu būdu priežiūros institucija sužinojo apie pažeidimą, visų pirma tai, ar duomenų valdytojas arba duomenų tvarkytojas pranešė apie pažeidimą (jei taip – kokiu mastu); i) jei atitinkamam duomenų valdytojui arba duomenų tvarkytojui dėl to paties dalyko anksčiau buvo taikytos 58 straipsnio 2 dalyje nurodytos priemonės – ar laikytasi tų priemonių; j) ar laikomasi patvirtintų elgesio kodeksų pagal 40 straipsnį arba patvirtintų sertifikavimo mechanizmų pagal 42 straipsnį; ir k) kitus sunkinančius ar švelninančius veiksnius, susijusius su konkretaus atvejo aplinkybėmis, pavyzdžiui, finansinę naudą, kuri buvo gauta, arba nuostolius, kurių buvo išvengta, tiesiogiai ar netiesiogiai dėl pažeidimo.

Šioje byloje Inspekcija išskyrė kaip lemiančias poveikio priemonės skyrimą šias aplinkybes: pažeidimo pobūdį, sunkumą ir trukmę (konstatuotas tęstinis pobūdis nuo 2018 m. gegužės 25 d., didelio masto sveikatos duomenų tvarkymas), pažeidimo tyčią ar aplaidumą (konstatuotas aplaidumas), veiksmus, kurių Bendrovė ėmėsi, kad sumažintų duomenų subjektų patirtą žalą (konstatuota, kad jokių veiksmų nesiėmė, žalą neigia), ankstesnius pažeidimus (nenustatyta), bendradarbiavimą su Inspekcija (konstatuota, kad iš dalies vyko bendradarbiavimas, tačiau dalis prašomos informacijos nepateikta), tvarkytų duomenų kategorijas (specialių kategorijų, sveikatos duomenys).

Pareiškėja iš esmės ginčija pažeidimo mastą ir tai, kad buvo sukelta žala. Bylos duomenimis nustatyta, kad 421 apdraustasis, kurių duomenys neteisėtai tvarkyti, sudaro apie 1/3 Lietuvoje ortopedijos paslaugomis besinaudojančių apdraustųjų. Ankstesniais metais bendrovė per metus aptarnaudavo apie 80 apdraustųjų. Priešingų duomenų pareiškėja nepateikė. Dėl neteisėto duomenų tvarkymo sunkumo pažymėtina, kad nėra teisinio pagrindo nesutikti su Inspekcijos padarytomis išvadomis dėl pažeidimo masto ir sunkumo, įvertinus aukščiau byloje nustatytas aplinkybes. Dėl to, nesutiktina su skundo argumentais dėl poveikio priemonės ir baudos paskyrimo dalies galimo neteisėtumo ir/ar nepagrįstumo, nes vadovaujantis BDAR 83 straipsnio 5 dalies a punktu, pažeidus pagrindinius duomenų tvarkymo principus, įskaitant sutikimo sąlygas, pagal BDAR 5, 6, 7 ir 9 straipsnius, pagal BDAR 83 straipsnio 2 dalį skiriamos administracinės baudos <...> įmonės atveju – iki 4 % jos ankstesnių finansinių metų bendros metinės pasaulinės apyvartos. Įvertinus Bendrovės 2021 m. spalio 26 d. raštu pateiktą Pelno (nuostolių) ataskaitą, kurioje nurodytos 2020 m. pardavimo pajamos sudaro 238 648 eurų, laikytina, jog pareiškėjai paskirta 5000 eurų bauda yra adekvati ir būtina siekiant užtikrinti tinkamą asmens duomenų tvarkymo reikalavimų laikymąsi.

Dėl pareiškėjai paskirtų nurodymų ir rekomendacijų pareiškėja papildomų savarankiškų argumentų nepateikė nei skunde, nei teismo posėdžio metu, nei rašytiniuose paaiškinimuose, todėl, nustačius, jog duoti nurodymai ir rekomendacija susiję su tyrimu, jo išvadomis ir nustatytais pažeidimais bei jų šalinimu, nėra teisinio pagrindo naikinti ir šią skundžiamo sprendimo dalį.

Dėl procesinių normų pažeidimo

Pareiškėja teigia, jog Sprendimas priimtas nesudarius pareiškėjai tinkamų sąlygų apsiginti (nebuvo sudaryta galimybė pateikti išsamius paaiškinimus posėdžio metu) ir praleidus įstatymo nustatytą terminą Sprendimui priimti (tyrimas pareiškėjos atžvilgiu turėjo būti užbaigtas 2021 m. rugsėjo 1 d., tačiau tyrimas buvo užbaigtas 2021 m. spalio 1 d., tuo pažeidžiant imperatyvias ADTAĮ nuostatas (21 str. 1 ir 2 d.) dėl tyrimo procedūros).

Teismų praktikoje ne kartą išaiškinta, jog vadovaujantis ABTĮ 89 straipsnio 1 dalies 3 punktu individualus administracinis aktas gali būti pripažintas neteisėtu tik tuo atveju, jei teismas konstatuoja, jog jį priimant buvo pažeistos pagrindinės procedūros, ypač taisyklės, turėjusios užtikrinti objektyvų visų aplinkybių įvertinimą bei sprendimo pagrįstumą. Nežymūs, neesminiai atitinkamo individualaus administracinio akto priėmimo procedūros pažeidimai, kurie neturi jokios įtakos sprendimo pagrįstumui, teismų praktikoje paprastai nelaikomi pagrindu pripažinti sprendimą neteisėtu ir jį panaikinti ABTĮ 89 straipsnio 1 dalies 3 punkte numatytu pagrindu. Pažymėtina, jog Lietuvos vyriausiasis administracinis teismas nuosekliai laikosi pozicijos, kad vadovaujantis ABTĮ 89 straipsnio 1 dalies 3 punktu atitinkamas individualus administracinis aktas gali būti pripažintas neteisėtu tik tuo atveju, jei teismas konstatuoja, jog jį priimant buvo pažeistos pagrindinės procedūros, ypač taisyklės, turėjusios užtikrinti objektyvų visų aplinkybių įvertinimą bei sprendimo pagrįstumą. Nežymūs, neesminiai atitinkamo individualaus administracinio akto priėmimo procedūros pažeidimai, kurie neturi jokios įtakos sprendimo pagrįstumui, teismų praktikoje paprastai nelaikomi pagrindu pripažinti sprendimą neteisėtu ir jį panaikinti ABTĮ 89 straipsnio 1 dalies 3 punkte numatytu pagrindu (žr., pvz., 2012 m. liepos 9 d. nutartį administracinėje byloje Nr. A146-1487/2012).

Byloje nustatyta, jog pareiškėja, 2021 m. lapkričio 18 d. gavusi informaciją apie 2021 m. gruodžio 14 d. įvyksiantį posėdį, prašymą susipažinti su tyrimo medžiaga Inspekcijai pateikė 2021 m. gruodžio 10 d. (penktadienį), Inspekcija advokato prašymą patenkino per 11 darbo dienų; posėdis, išklausius Bendrovės paaiškinimus, buvo atidėtas ir Bendrovės advokatas prieš antrąjį posėdį buvo supažindintas su patikrinimo medžiaga.

Atsižvelgiant į tai, jog pareiškėja pateikė prašymą priešpaskutinę darbo dieną prieš posėdį, nors turėjo beveik mėnesį laiko pateikti tokį prašymą, taip pat tai, kad didesnę dalį tyrimo medžiagos sudarė Inspekcijos raštai (klausimai) Bendrovei bei Bendrovės atsakymai, o posėdis, išklausius Bendrovės paaiškinimus, buvo atidėtas ir Bendrovės advokatas prieš antrąjį posėdį buvo supažindintas su tikrinimo medžiaga, turėjo galimybę pateikti su ja susijusius argumentus, teismas vertina, jog pareiškėjai nebuvo sutrukdyta ginti savo interesus ir būti išklausyta, pateikti paaiškinimus.

Pareiškėja teigia, kad skundžiamas sprendimas naikintinas dėl sprendimo priėmimo senaties praleidimo. Atsakovas pripažįsta, jog tyrimas turėjo būti užbaigtas mėnesiu anksčiau, tačiua nesutinka, jog tai sudaro pagrindą naikinti skundžiamą sprendimą. Valstybinės duomenų apsaugos inspekcijos direktoriaus 2021-03-01 i?sakymu Nr. 1T-17(1.12.E) „Dėl UAB ,,Ortopedijos paslaugos“ tikrinimo Valstybinės duomenų apsaugos inspekcijos iniciatyva“ pradėtas tikrinimas užbaigtas Inspekcijos 2021-10-01 raštu (sprendimu) Nr. 2R-4970(2.14.E), kuriuo vadovaujantis ADTAI? 22 straipsnio 1 dalies 2 punktu nusprendžiama pradėti administracinės baudos skyrimo pagal BDAR 83 straipsni? procedūrą.

ADTAI? 21 str. 1 d. numato, kad tyrimas ir (ar) patikrinimas Valstybinės duomenų apsaugos inspekcijos iniciatyva atliekamas ne ilgiau kaip 4 mėnesius nuo sprendimo atlikti ši? tyrima? ir (ar) patikrinima? priėmimo. Atsižvelgiant i? tyrimo ir (ar) patikrinimo sudėtingumą, tikrinamo asmens veiklos pobūdi?, tyrimo ir (ar) patikrinimo mastą, tikrinamo asmens ir kitų juridinių ar fizinių asmenų vengimą vykdyti Valstybinės duomenų apsaugos inspekcijos reikalavimus, tyrimo ir (ar) patikrinimo metu paaiškėjusias naujas aplinkybes arba kitas objektyvias priežastis, šio straipsnio 1 dalyje nustatytas terminas Valstybinės duomenų apsaugos inspekcijos sprendimu gali būti prate?stas, bet ne ilgiau kaip 2 mėnesiams. Bendras tyrimo ir (ar) patikrinimo Valstybinės duomenu? apsaugos inspekcijos iniciatyva atlikimo terminas negali bu?ti ilgesnis negu 6 mėnesiai nuo sprendimo atlikti tyrima? ir (ar) patikrinima? priėmimo. Apie tyrimo ir (ar) patikrinimo termino prate?simą ir priežastis, dėl kurių šis terminas prate?stas, Valstybinė duomenų apsaugos inspekcija privalo nedelsdama, bet ne vėliau kaip iki šio straipsnio 1 dalyje nurodyto termino pabaigos, pranešti tikrinamam asmeniui (ADTAI? 21 str. 2 d.). Sutiktina ir su Inspekcijos pozicija, kad skundo nagrinėjimo terminai nėra senaties terminai, galintys sudaryti savarankišką pagrindą naikinti skundžiamą viešojo administracinį sprendimą (nepateikta argumentų dėl šios teisinės pozicijos pagrįstumo) ir neturi įtakos pareiškėjos padarytų pažeidimų kvalifikavimui ir nesudaro pagrindo netaikyti konstatuotų pažeidimų atveju adekvačių ir būtinų duomenų apsaugai užtikrinti poveikio priemonių.

Įvertinus bylos aplinkybes, darytina išvada, kad pareiškėja nepagrindė, jog tyrimo užbaigimas 1 mėnesiu vėliau nei nustatytas terminas, galėjo turėti esminės įtakos objektyviam visų aplinkybių įvertinimui bei Sprendimo pagrįstumui. Atsižvelgdamas į tai, taip pat įvertinus tyrimo apimtį, analizuotas faktines aplinkybes, faktinės situacijos sudėtingumą ir nepakankamą bendradarbiavimą ir iš pareiškėjos pusės, - teismas sprendžia, jog tokio pobūdžio procedūriniai pažeidimai laikytini neesminiais, neturinčiais įtakos Sprendimo dėl pažeidimo konstatavimo pagrįstumui, bei nesudarančiais pagrindo naikinti ginčijamą Sprendimą. Papildomai nesusiejus šios procedūrinės situacijos su galutinėmis sprendimo išvadomis ir faktinių aplinkybių vertinimu, nėra teisinio pagrindo konstatuoti skundžiamo sprendimo ar jo atitinkamų dalių neteisėtumą ir/ar nepagrįstumą.

Apibendrinus aukščiau išdėstytus argumentus, nėra teisino pagrindo skundo argumentų pagrindu naikinti ar keisti skundžiamą teisėtą ir pagrįstą administracinį skundimą ar jo dalį. Pareiškėjo skundas atmestinas.

Rezoliucinė dalis

Teismas, vadovaudamasis Administracinių bylų teisenos įstatymo 84–87 straipsniais, 88 straipsnio 2 punktu, 132 straipsnio 1 dalimi,

nusprendžia:

atmesti pareiškėjos UAB „Ortopedijos paslaugos“ skundą.

Sprendimas per 30 (trisdešimt) kalendorinių dienų nuo jo paskelbimo apeliacine tvarka gali būti skundžiamas Lietuvos vyriausiajam administraciniam teismui, paduodant skundą per Vilniaus apygardos administracinį teismą.

Teisėjai Jovita Einikienė Saulius Jakaitis Fausta Vitkienė