Vilniaus apygardos teismo nutartis

BylaNr. eAN2-76-655/2018 Teisminio proceso Nr. 4-68-3-02547-2017-9 Procesinio sprendimo kategorijos: 4.; 21.11.10.

2018 m. vasario 7 d.

Vilniaus apygardos teismo Baudžiamųjų bylų skyriaus teisėja Ainora Kornelija Macevičienė, teismo posėdyje rašytinio proceso tvarka išnagrinėjusi administracinio nusižengimo bylą pagal Valstybinės duomenų apsaugos inspekcijos direktoriaus pavaduotojos, atliekančios direktoriaus funkcijas, D. Š. apeliacinį skundą dėl Vilniaus miesto apylinkės teismo 2017 m. gruodžio 20 d. nutarties, kuria Valstybinės duomenų apsaugos inspekcijos direktoriaus pavaduotojos, atliekančios direktoriaus funkcijas, D. Š. 2017 m. rugpjūčio 25 d. nutarimas Nr. 4K-6 (2.26) (toliau - ir Nutarimas), kuriuo J. S. nubaustas 725 eurų bauda už administracinį nusižengimą, numatytą Lietuvos Respublikos administracinių nusižengimų kodekso (toliau - ANK) 82 straipsnio 1 dalyje, panaikintas ir ši byla grąžinta institucijai, kurios pareigūnai įgalioti atlikti administracinio nusižengimo tyrimą, papildomam tyrimui atlikti,

Aprašomoji dalis

nustatė:

Valstybinės duomenų apsaugos inspekcijos direktoriaus pavaduotoja, atliekanti direktoriaus funkcijas, D. Š. (toliau - Inspekcija) apeliaciniu skundu prašo panaikinti Vilniaus miesto apylinkės teismo 2017 m. gruodžio 20 d. nutartį ir priimti naują sprendimą byloje, paliekant galioti Inspekcijos 2017 m. rugpjūčio 25 d. nutarimą administracinio nusižengimo byloje Nr. 4K-6 (2.26). Apeliantės nuomone, skundžiama Vilniaus miesto apylinkės teismo 2017 m. gruodžio 20 d. nutartis yra nepagrįsta, nemotyvuota ir neteisėta.Apeliaciniame skunde nurodoma, kad byloje yra pakankamai įrodymų, kad būtų galima nustatyti Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau - ADTAĮ) pažeidimų esmę, o J. S. surašytas Protokolas ir Nutarimas atitinka ANK reikalavimus. Inspekcijos nuomone, Vilniaus miesto apylinkės teismas nepagrįstai nurodė, kad Protokole, kuriuo grindžiamas Nutarimas, nebuvo nurodytas UAB (duomenys neskelbtini) direktoriui J. S. inkriminuoto administracinio nusižengimo padarymo laikas. Pažymėjo, kad ANK 82 straipsnio 1 dalyje yra numatyta atsakomybė už ADTAĮ pažeidimą. ADTAĮ 3 straipsnio 2 punktas įtvirtina duomenų valdytojo pareigą tvarkyti asmens duomenis teisėtai, o to paties straipsnio 6 punkte yra nustatyta duomenų valdytojo pareiga užtikrinti, kad asmens duomenys būtų tvarkomi tiek pagal šiame įstatyme, tiek pagal kituose atitinkamą veiklą reglamentuojančiuose įstatymuose nustatytus aiškius ir skaidrius asmens duomenų tvarkymo reikalavimus. Be to, ADTAĮ 30, 31 ir 33 straipsniuose taip pat aiškiai nurodyta, kad už minėtuose straipsniuose įtvirtintas pareigas yra atsakingas duomenų valdytojas. Pareiga laikytis ADTAĮ reikalavimų galioja duomenų valdytojui, šiuo atveju UAB (duomenys neskelbtini), kurios direktorius yra J. S.. Minėta pareiga galioja nuolat - nuo asmens duomenų tvarkymo automatiniu būdu ir (ar) asmens duomenų susistemintų rinkmenų tvarkymo neautomatiniu būdu pradžios iki asmens duomenų tvarkymo pabaigos (t. y. iki asmens duomenų sunaikinimo). Šios pareigos nevykdymas užtraukia administracinę atsakomybę (ADTAĮ 53 straipsnis, ANK 82 straipsnis). Nutarime nurodyta, kad J. S. laikytinas kaltu dėl Nutarime išvardintų ADTAĮ pažeidimų, kadangi nesiėmė veiksmų asmens duomenų tvarkymo teisėtumui ir duomenų saugumui užtikrinti. Inspekcija, pagal savo kompetenciją atlikdama patikrinimą, vertino, ar UAB (duomenys neskelbtini) asmens duomenų tvarkymas automatiniu būdu vykdomas laikantis ADTAĮ reikalavimų, ar įgyvendintos būtinos duomenų saugumo priemonės. Atlikus patikrinimą nustatyta, kad duomenų saugumo pažeidimo metu bei patikrinimo metu UAB (duomenys neskelbtini), t. y. laikotarpyje nuo 2017 m. kovo 13 d. iki 2017 m. gegužės 19 d., vykdytas asmens duomenų tvarkymas neatitiko ADTAĮ reikalavimų. Tiek Protokole, tiek Nutarime yra aiškiai įvardyta, jog pažeidimai nustatyti patikrinimo metu bei nurodyta, kad papildomai yra remiamasi Ryšių reguliavimo tarnybos atliktu duomenų perdavimo tinklų saugos tyrimu dėl UAB „Grožio chirurgija“ asmens duomenų apsaugos būklės kibemetinės atakos metu. Tiek Protokole, tiek Nutarime yra aiškiai nurodyti patikrinimo atlikimo datos bei kibemetinės atakos laikas.Inspekcija nesutinka su Vilniaus miesto apylinkės teismo teigimu, kad J. S. nežinomas pažeidimo padarymo laikas. Kibemetinės atakos metu bei patikrinimo atlikimo metu UAB „Grožio chirurgija“ direktoriaus pareigas vykdė būtent J. S.. Iš patikrinimo medžiagos matyti bei Nutarime nurodyta, kad informacinėje sistemoje, iš kurios buvo pavogta informacija, asmens duomenys pradėti tvarkyti 2011 m. Nuo šio laiko duomenų valdytojui galioja pareiga patikrinti automatiniu būdu tvarkomų asmens duomenų tvarkymo teisėtumą bei saugumą.Pažymėjo, kad duomenų vagystės iš UAB „Grožio chirurgija“ informacinės sistemos sukėlė didelį atgarsį visuomenėje. Nuo 2017 metų balandžio mėnesio informacija apie iš UAB „Grožio chirurgija“ duomenų bazės įvykdytą duomenų vagystę yra nuolat skelbiama visuomenės informavimo priemonėse, pareiškėjo vadovas ne vieną kartą davė interviu žurnalistams, pasakodamas apie įvykusį incidentą, todėl J. S. tikrai žino, kuriuo metu įvyko duomenų vagystė ir apie kokio laikotarpio saugumo priemones yra kalbama. Nei teikiant paaiškinimus patikrinimo metu, nei nurodymo surašymo metu, nei administracinio nusižengimo protokolo surašymo metu ar paaiškinimų dėl surašyto protokolo pateikimo metu J. S. nepareiškė nuomonės, jog jam yra neaiškus pažeidimo padarymo laikas.Atsiliepimu į apeliacinį skundą J. S. atstovas advokatas F. M. prašo palikti Vilniaus miesto apylinkės teismo nutartį nepakeistą ir Valstybinės duomenų apsaugos inspekcijos apeliacinio skundo netenkinti.

2.1. Nurodo, kad Inspekcijos 2017 m. rugpjūčio 25 d. nutarimas buvo priimtas reikalavimų neatitinkančio kaltinimo (protokolo) pagrindu, tinkamai neištyrus tariamiems ADTAĮ pažeidimams konstatuoti svarbių aplinkybių. Pažymėjo, kad teismas pagrįstai konstatavo, kad skundžiama nutarimas nutraukti administracinio nusižengimo bylos teiseną buvo priimtas skubotai, kruopščiai neištyrus visų reikšmingų įvykio ir su įvykiu susijusių aplinkybių bei nesilaikant įstatymo numatytų reikalavimų. Apeliantas visus pareiškėjo įrodymus vertino vadovaudamasis savo išankstiniais įsitikinimais bei viešumoje skleidžiama neigiama informacija apie UAB „Grožio chirurgija“. Priimant nutarimą, nebuvo atsižvelgta į tai, kad pareiškėjas, siekdamas užtikrinti personalo darbo kultūrą, procesų kontrolę, atskaitomybę ir informuotumą, aiškiai ir tiksliai dokumentavo, kaip tinkamai reikia užtikrinti duomenų konfidencialumą, saugumą, integralumą ir pasiekiamumą. Pareiškėjas sukūrė tikslią, detalią ir aiškią saugos ir konfidencialumo politiką, kurioje nustatyta, kokia informacija yra konfidenciali ir kurie darbuotojai, kokiais teisės aktų reikalavimais vadovaudamiesi turi teises ją tvarkyti. Pažymėjo, kad UAB „Grožio chirurgija“, vykdydama savo veiklą, pataria sveikatos ir grožio klausimais, teikia estetinės, dienos chirurgijos, odontologijos ir sveikatingumo paslaugas, o ne informacinių išteklių paslaugas, įskaitant, bet neapsiribojant, serverių prieglobos paslaugas. Pareiškėjas, kreipdamasis į IT specialistus, suformavo aiškų prašymą - rūpintis duomenų saugumu ir to pagrįstai tikėjosi. Duomenų, remiantis kuriais tik galima manyti, kad teisės pažeidimas galėjo būti padarytas, nepakanka išvadoms apie J. S. kaltumą padaryti ir skirti jam administracinę nuobaudą. J. S. inkriminuojami tariami asmens duomenų tvarkymo pažeidimai yra apibrėžti laiku ir susiję su konkrečiomis bendrovės naudotomis duomenų sistemomis (naująja TVS ir senąja TVS), viena iš kurių (senoji TVS) apelianto patikrinimo laikotarpiu jau nebebuvo naudojama, bei konkrečia faktine situacija (pvz. gebėjimu užkirsti kelią duomenų vagystei jos vykdymo metu). Apeliantas nenurodė, kuriuo metu (Apelianto atlikto tyrimo ar duomenų vagystės) buvo padaryti kiti apelianto nurodyti tariami ADTAĮ pažeidimai.

Apeliacinis skundas netenkinamas.Apeliacinės instancijos teismas, išnagrinėjęs pateiktą administracinio nusižengimo bylos medžiagą, skundžiamą pirmosios instancijos teismo nutartį, apeliacinio skundo argumentus, t. y., patikrinęs priimtos nutarties administracinio nusižengimo byloje teisėtumą ir pagrįstumą (ANK 652 straipsnio 1 dalis), sprendžia, kad pirmosios instancijos teismas pagrįstai panaikino Inspekcijos 2017 m. rugpjūčio 25 d. nutarimą, kuriuo J. S. nubaustas 725 eurų bauda už administracinį nusižengimą, numatytą ANK 82 straipsnio 1 dalyje, ir šią bylą grąžino institucijai, kurios pareigūnai įgalioti atlikti administracinio nusižengimo tyrimą, papildomam tyrimui atlikti.Teismų praktikoje, aiškinant Lietuvos Respublikos administracinių teisės pažeidimų kodekso (toliau - ATPK) 259 straipsnio 1 dalį, 260 straipsnį, 284 straipsnio 2 dalį (šiuo metu - ANK 567 straipsnis, 608 straipsnio 1 dalis, 609 straipsnis), ne kartą yra pažymėta, kad administracinio teisės pažeidimo (nusižengimo) protokolas, kurio turiniui keliami reikalavimai reglamentuoti ATPK 260 straipsnyje (ANK 609 straipsnyje), yra procesinis dokumentas, kuriame formuluojamas kaltinimas administracinio teisės pažeidimo (nusižengimo) padarymu, ir būtent šiuo kaltinimu yra apibrėžiamos administracinio teisės pažeidimo (nusižengimo) bylos nagrinėjimo ribos. Teismų praktikoje laikomasi nuostatos, kad administracinėn atsakomybėn traukiamam asmeniui kaltinimas turi būti suformuluotas aiškiai, turi būti pateikti visi galimi įrodymai ir pateikiant kaltinimą turi būti užtikrinamas traukiamojo administracinėn atsakomybėn asmens teisių, numatytų ATPK 272 straipsnyje (ANK 577 straipsnis), įgyvendinimas.Iš 2017 m. liepos 14 d. J. S. surašyto administracinio nusižengimo protokolo matyti, kad jame nurodyta, jog atsižvelgiant į visuomenės informavimo priemonėse paskelbtą informaciją apie iš UAB „Grožio chirurgija“ pavogtus klientų duomenis ir vadovaujantis ADTAĮ 40 straipsnio 1 dalies 4 punktu, 41 straipsnio 1 dalies 1 ir 2 punktais, Valstybinės duomenų apsaugos inspekcijos nuostatų, patvirtintų Lietuvos Respublikos Vyriausybės 2001 m. rugsėjo 25 d. nutarimu Nr. 1156 11.3, 15.1 ir 15.7 punktais, Lietuvos Respublikos viešojo administravimo įstatymo 36(4) straipsnio 12 dalies punktu, Valstybinė duomenų apsaugos inspekcija 2017 m. gegužės 15 d. ir 2017 m. gegužės 19 d. atliko asmens duomenų tvarkymo teisėtumo ir įgyvendinamų asmens duomenų saugumo priemonių tinkamumo patikrinimą bendrovėje, adresu Savanorių pr. 284, Kaunas, pagal 2017 m. balandžio 27 d. pavedimą Nr. 2R-2608,2017 m. gegužės 2 d. pavedimo papildymą Nr. 2R-2740 ir 2017 m. gegužės 12 d. pavedimo papildymą Nr. 2R- 3022. Toliau administracinio nusižengimo protokole nurodomos tikrinimo metu nustatytos aplinkybės. Tačiau, kaip teisingai pastebėjo ir nurodė pirmosios instancijos teismas skundžiamoje nutartyje, 2017 m. rugpjūčio 25 d. nutarimas J. S. buvo surašytas 2017 m. liepos 14 d. J. S. surašyto administracinių nusižengimų protokolo pagrindu, o Protokole nėra aiškiai nurodytas J. S. inkriminuoto administracinio nusižengimo padarymo laikas.Pažymėtina, jog nors Protokole nurodyta, kad J. S. administraciniam nusižengimui nustatyti buvo vadovautasi 2017 m. gegužės 15 d. ir 2017 m. gegužės 19 d. atliktais asmens duomenų tvarkymo teisėtumo ir įgyvendinamų asmens duomenų saugumo priemonių tinkamumo patikrinimais, tačiau minėtame administracinio nusižengimo protokole konkrečiai ir aiškiai nėra nurodyta tiksli administracinio nusižengimo padarymo data ar laikotarpis, todėl akivaizdu, kad J. S. nebuvo tinkamai suformuluotas kaltinimas, tiksliai nurodant administracinio nusižengimo padarymo laiką, tokio protokolo surašymas pažeidžia asmens teisę į gynybą, be to, administracinio nusižengimo padarymo laikas yra ypač svarbus sprendžiant, ar nėra pasibaigęs administracinės nuobaudos skyrimo terminas.Apeliacinės instancijos teismas visiškai sutinka su pirmosios instancijos teismo nutarties motyvais, kad šioje byloje būtina atlikti didelės apimties papildomą bylos tyrimą administracinio nusižengimo laikui ir kitoms pareiškėjo skunde nurodytoms aplinkybėms nustatyti, todėl pagrįstai 2017 m. rugpjūčio 25 d. Inspekcijos nutarimą panaikino ir grąžino bylą institucijai, kurios pareigūnai įgalioti atlikti administracinio nusižengimo tyrimą, papildomam tyrimui atlikti.Apeliacinio skundo argumentai, kad J. S. iš žiniasklaidos priemonių ir atliekamų Inspekcijos patikrinimų žinojo padaryto administracinio nusižengimo laiką, laikytini nepagrįstais, kadangi reiškiant kaltinimą administracinį nusižengimą padariusiam asmeniui turi būti vadovaujamasi konkrečiais faktiniais duomenimis ir nurodant tikslią administracinio nusižengimo datą procesiniuose dokumentuose, šiuo atveju, administracinio nusižengimo protokole, o ne remiantis vien visuomenės informavimo priemonėse galimai minimu administracinio nusižengimo laikotarpiu. Be to, nors apeliaciniame skunde nurodyta, kad atlikus patikrinimą nustatyta, kad duomenų saugumo pažeidimo metu bei patikrinimo metu UAB (duomenys neskelbtini) laikotarpyje nuo 2017 m. kovo 13 d. iki 2017 m. gegužės 19 d. vykdytas asmens duomenų tvarkymas neatitiko ADTAĮ reikalavimų, šis konkretus laikotarpis nebuvo aiškiai apibrėžtas ir nurodytas nei administracinio nusižengimo protokole, nei Nutarime. Nutarime tiesiog nurodyta, kad 2017 m. gegužės 30 d. visuomenės informavimo priemonėse buvo pranešta, jog 2017 m. balandžio 25 d. Valstybinė duomenų apsaugos inspekcija gavo pranešimą telefonu, kad UAB (duomenys neskelbtini) neužtikrino tinkamų organizacinių ir techninių priemonių, skirtų apsaugoti asmens duomenis, ir 2017 m. gegužės 30 d. visuomenės informavimo priemonėse buvo pranešta, jog visa pasisavinta informacija yra paviešinta. Toliau Nutarime išdėstytos tikrinimo metu nustatytos aplinkybės ir nurodyti įsilaužimo į UAB (duomenys neskelbtini) informacinę sistemą duomenys.Esant nurodytoms aplinkybėms, apeliacinės instancijos teismas sprendžia, kad pirmosios instancijos teismas pagrįstai nustatė, jog iš J. S. surašyto administracinio nusižengimo protokolo ir jam priimto nutarimo neaišku, kada J. S. padarė jam inkriminuotą administracinį nusižengimą, ir pagrįstai nurodė, kad procesiniai dokumentąi neatitinka ANK 609 ir 618 straipsnių reikalavimų, keliamų protokolo ir nutarimo turiniui.Atsižvelgdamas į išdėstytas aplinkybes, apeliacinės instancijos teismas konstatuoja, kad Vilniaus miesto apylinkės teismo 2017 m. gruodžio 20 d. nutartis yra teisėta ir pagrįsta, ją keisti ar naikinti apeliaciniame skunde nurodytais motyvais nėra pagrindo.

Rezoliucinė dalis

nutaria:

palikti Vilniaus miesto apylinkės teismo 2017 m. gruodžio 20 d. nutartį nepakeistą ir Valstybinės duomenų apsaugos inspekcijos direktoriaus pavaduotojos, atliekančios direktoriaus funkcijas, D. Š. apeliacinio skundo netekinti.

Nutartis įsigalioja jos paskelbimo dieną ir yra neskundžiama.