Vilniaus apygardos administracinio teismo sprendimas

Įžanginė dalis

Vilniaus apygardos administracinio teismo teisėjų kolegija, susidedanti iš teisėjų T. B., Mefodijos Povilaitienės ir Gedimino Užubalio (kolegijos primininkas ir pranešėjas),

rašytinio proceso tvarka išnagrinėjo administracinę bylą pagal pareiškėjo M. K. skundą atsakovei Valstybinei asmens duomenų apsaugos inspekcijai, tretieji suinteresuoti asmenys UAB „Apsaugos komanda“ ir UAB „Sergel“ dėl sprendimo panaikinimo.

Aprašomoji dalis

nustatė:

1. Pareiškėjas M. K. kreipėsi į teismą su skundu prašydamas: 1) panaikinti Valstybinės duomenų apsaugos inspekcijos 2019 m. liepos 1 d. sprendimą Nr. 3R- 553 (2.13-1.) (toliau – ir Skundžiamas sprendimas); 2) įpareigoti Valstybinę duomenų apsaugos inspekciją (toliau – ir VDAI) iš naujo išsamiai tirti 2019 m. balandžio 12 d. skundą su papildymais.

2.1. 2019 m. balandžio 12 d. kreipėsi į VDAI su skundu dėl to, kad mano asmens duomenis nepagrįstai ir neteisėtai tvarko UAB „Apsaugos komanda" ir UAB „Sergel". VDAI skundą tyrė nagrinėjo paviršutiniškai ir 2019 m. liepos 1 d. priėmė sprendimą Nr. 3R-553(2.13-1.) (toliau - ir Skundžiamas sprendimas), kuris yra visiškai nepagrįstas, nesąžiningas, neobjektyvus, diskriminacinis ir neteisėtas.

2.2. Pagal ES Reglamentą (ES) 2016/679 (Bendrasis duomenų apsaugos reglamentas, toliau – ir BDAR) duomenų valdytojui tenka pareiga įrodyti, kad tvarkant duomenų subjekto duomenis yra laikomasi teisėtumo, sąžiningumo ir skaidrumo bei kitų principų. VDAI konstatavo, kad pareiškėjas neinformavo apie tai, kad apmokėjo įsiskolinimą, nes tokių įrodymų nepateikė. Skundžiamas sprendimas pagrįstas trečiųjų asmenų UAB „Apsaugos komanda" ir UAB „Sergel" paaiškinimais, kurie yra melagingi. Esant prieštaravimams, VDAI nesiėmė aiškintis ir jų šalinti. Tuo VDAI nepagrįstai perkėlė duomenų naudojimo teisėtumo įrodinėjimo pareigą duomenų subjektui. Esant prieštaravimams ir neatitikimams tarp šalių paaiškinimų, VDAI privalėjo būti aktyvi ir ištirti juos. Kad pareiškėjas informavo UAB “Apsaugos komanda“ apie įsiskolinimą įrodo prie skundo teismui pridedami garso įrašai ir pokalbių išklotinės. Nors pareiškėjas skunde VDAI nurodė, kad skambino du kartus ir informavo apie skolos padengimą, o UAB „Apsaugos komanda“ neigė šią aplinkybę, prieštaravimas liko neaptartas Skundžiamame sprendime. VDAI rėmėsi trečiųjų suinteresuotų asmenų paaiškinimais, kad pokalbiai nėra įrašomi, tačiau skambinant jų nurodytais numeriais klientai informuojami apie pokalbių įrašymą. Kad duomenų tvarkymas yra teisėtas turėjo įrodyti duomenų tvarkytojai (BDAR 5 str. 1 d.), o ne pareiškėjas.

2.3. Skundžiamas sprendimas neteisėtas, nes duomenų subjektui įteisina neproporcingai didesnes pareigas (trumpesnius veikimo terminus). Iš pareiškėjo (duomenų subjekto) buvo atimta teisė teisėtai reaguoti į situaciją. Tik gavęs pranešimą apie neapmokėtą sąskaitą, pareiškėjas per kelias minutes apmokėjo skolą, informavo UAB „Apsaugos komanda“. Nepaisant to, jo duomenys buvo perduoti UAB „Sergel“. Taigi pareiškėjas patyrė neigiamas pasekmes net nepraėjus darbo dienai nuo sužinojimo apie neapmokėtą sąskaitą ir nepaisant to, kad iš karto informavo paslaugos teikėją apie sumokėjimą. Duomenys buvo perduoti neteisėtai, o VDAI jų perdavimo atitikties BDAR įtvirtintiems teisėtumo, sąžiningumo, protingumo ir proporcingumo principams nenagrinėjo. Tuo tarpu gerokai lėtesnė UAB „Apsaugos komanda“ reakcija į tai įvertinta kaip teisėta, nors užtruko net 2 dienas užfiksuoti mokėjimą ir dar 14 dienų informuoti UAB „Sergel“ apie atliktą mokėjimą. Tai rodo, kad neteisingai buvo nustatyta faktinė aplinkybė apie sumokėjimą ir taikyti dvigubi standartai duomenų subjektui ir duomenų valdytojui. Toks aiškinimas reiškia, kad duomenų subjektas negali apsiginti nuo neigiamų pasekmių, tokių kaip: jo duomenų tvarkymui įsiskolinimo valdymo tikslais; jo duomenų perdavimo tretiesiems asmenims; jo duomenų perdavimo į jungtines skolininkų duomenų rinkmenas; neigiamo poveikio jo kreditingumo vertinimui ir galimybei gauti kitas finansines paslaugas; jam gali būti skaičiuojami delspinigiai, skolos administravimo išlaidos ir pan.; patiriamo streso, trukdymo laiškais, skambučiais darbo metu ir pan.; konkreti situacija aiškiai parodo, kad neigiamos pasekmės kyla net ir pakankamai ilgą laiko tarpą po prievolės įvykdymo.

2.4. Tokiais Skundžiamo sprendimo išaiškinimais neigiami teisėtumo, sąžiningumo, skaidrumo, lygiateisiškumo, proporcingumo, protingumo, privatumo ir asmens duomenų apsaugos principai, įtvirtinti BDAR. Kadangi ginčo situacijoje susiklostė ne tik duomenų apsaugos, bet ir civiliniai teisiniai santykiai, minėti principai aiškintini atsižvelgiant ir į Civilinį kodeksą ir jam įtvirtintus teisingumo, protingumo ir sąžiningumo principus. BDAR dar labiau susitirpina duomenų apsaugos reikalavimus. Nors BDAR nenumato specialių normų, susijusių su asmens duomenų tvarkymu įsiskolinimo valdymo tikslu, tačiau BDAR aiškiai patvirtina bendruosius reikalavimus bet kokiam duomenų tvarkymui (teisėtumo, sąžiningumo ir skaidrumo principai įtvirtinti 5 str.). Laikytina, kad BDAR tik sustiprino duomenų apsaugą duomenų subjekto naudai. Iki tol galiojęs reguliavimas laikytinas minimaliu standartu. Iki BDAR galiojusio Asmens duomenų teisinės apsaugos įstatymo (toliau – ir ADTĮ) 21 straipsnio 3 dalyje nustatyta, kad duomenų valdytojas gali teikti skolininkų duomenis tik tuo atveju, jeigu jis duomenų subjektui paštu arba elektroninių ryšių priemonėmis pateikė rašytinį priminimą apie įsipareigojimų neįvykdymą ir per 30 kalendorinių dienų nuo dienos, kurią duomenų valdytojas išsiuntė (pateikė) duomenų subjektui priminimą nebuvo atlikti atitinkami veiksmai. Taigi duomenų perdavimas skolų išieškojimo įmonei pagal BDAR 5 straipsnio turinį (principus) turi atitikti šį minimalų standartą (negali būti mažesnės apimties). Šiuo atveju joks pranešimas ir galimybė apsiginti nebuvo taikyta. UAB „Apsaugos komanda“ elgesys buvo nukreiptas į grobuonišką ir nesąžiningą siekį didinti reikalavimo sumą. Pagal iki BDAR susiformavusią teismų praktiką duomenų subjekto informavimas turi būti realus. Minėta teismų praktika neargumentuotai Skundžiamu sprendimu įvardinta „neaktualia“.

2.4. Skundžiamas sprendimas faktiškai reiškia, kad BDAR nustatytos duomenų valdytojo pareigos užtikrinti duomenų tvarkymo skaidrumą ir tikslumą yra perkeliamos duomenų subjektui. Pradėdama tvarkyti asmens duomenis pagal BDAR ir ypač pradėdama juos tvarkyti nauju tikslu (t. y. įsiskolinimo valdymo tikslu), kuris nebuvo numatytas 2012 m. sausio 2 d. paraiškoje stebėjimo ir ryšio paslaugoms, UAB „Apsaugos komanda“ turėjo imtis protingų priemonių įsitikinti, kad jos turimi ir tvarkomi mano asmens duomenys yra tikslūs, ir užtikrinti tvarkymo skaidrumą. Pareiškėjas niekada nedavė sutikimo, kad su juo būtų bendraujama elektroniniu paštu. Skundžiamame sprendime nebuvo pasisakyta dėl tokio informavimo pagrįstumo, nebuvo vertinamas informavimo terminas (mažiau nei 24 val.). Skundžiamame sprendime daroma išvada, kad „UAB „Apsaugos komanda" nėra atsakinga už tai, kad pareiškėjas nesinaudoja nurodytu elektroniniu paštu ir apie tai neinformavo bendrovės", o tai reiškia, kad duomenų tikslumo pareiga perkeliama duomenų subjektui. Tuo tarpu pagal BDAR duomenų tvarkymo skaidrumo bei tikslumo užtikrinimas yra ne duomenų subjekto pareigos, o būtent duomenų valdytojo pareigos. UAB „Apsaugos komanda" galėjo ir turėjo galimybes susisiekti su pareiškėju ir patikslinti mano duomenis paprasčiausiu telefonu.

2.5. VDAI Skundžiamame sprendime apskritai nepasisakė dėl dalies pareikšėjo 2019 m. balandžio 12 d. skunde ir jo papildyme VDAI nurodytų aplinkybių:

2.5.1. Dėl didesnės nei informuota apimties asmens duomenų tvarkymo UAB „Apsaugos komanda" veikloje. Skundžiamame sprendime pasisakyta tik dėl sąskaitų ir atsiskaitymo duomenų, tačiau netirtas nedokumentuotas kitų asmens duomenų tvarkymas (pvz. signalizacijos suveikimų duomenų, saugomų patalpų fotofiksacijų ir kt.).

2.5.2. VDAI visiškai netyrė UAB „Sergel" neteisėtų, agresyvių ir grobuoniškų veiksmų nurodytų 2019 m. balandžio 12 d. skunde ir 2019 m. balandžio 26 d. papildymuose, pvz. UAB „Sergel" konsultantės reikalavimų, grasinimų apie duomenų perdavimą tretiesiems asmenims.

3. Atsakovė Valstybinė asmens duomenų apsaugos inspekcija pateikė atsiliepimą į skundą, su juo nesutiko, rėmėsi šiais argumentais:

3.1. Pareiškėjas skunde teismui nurodė, jog jis informavo UAB „Apsaugos komanda“ apie įsiskolinimo apmokėjimą telefonu, prašė Inspekcijos išreikalauti tai įrodančius pokalbius. Inspekcija skundo nagrinėjimo metu kreipėsi į UAB „Apsaugos komanda“ su prašymu pateikti šią informaciją, bet ji atsakė, kad pokalbiai nėra įrašomi. Už neteisingos informacijos pateikimą gresia atsakomybė, todėl nebuvo pagrindo netikėti šia pateikta informacija. Taip pat nors pareiškėjas nurodo, jog skambinant telefonu (duomenys neskelbtini) yra skelbiami pranešimai apie pokalbių, skundo nagrinėjimo Inspekcijoje metu, tiek teikiant atsiliepimą teismui į pareiškėjo skundą, buvo skambinta telefonu numeriu (duomenys neskelbtini), tačiau jokia informacija, kurios pagrindu butų galima daryti išvadą, kad pokalbiai yra įrašomi, paskambinus pateikiama nebuvo. ADTAĮ 24 straipsnio 6 dalyje nustatyta, kad prie skundo turi būti pridėti turimi dokumentai, reikalingi skundui nagrinėti, ar jų aprašymas. Inspekcija sprendė, kad pareiškėjas su skundu Inspekcijai pateikė visą turimą su skundu susijusią medžiagą ir skundą išnagrinėjo remiantis būtent ta informacija, kuri tiek iš pareiškėjo, tiek iš skundžiamų asmenų buvo gauta skundo nagrinėjimo metu.

3.2. Pareiškėjas skunde nurodo, kad jo asmens duomenys buvo neteisėtai ir nesąžiningai perduoti išieškojimui, tačiau Sprendime jie įvertinti kaip teisėti:

3.2.1. UAB „Apsaugos komanda“ duomenis UAB „Sergel“ perdavė ne kaip kitam duomenų valdytojui, o kaip UAB „Apsaugos komanda“ įgaliotam duomenų tvarkytojui. BDAR 28 straipsnio 1 dalyje nurodyta, kad kai duomenis tvarko duomenų tvarkytojas, jie yra tvarkomi duomenų valdytojo vardu. BDAR nenumato jokių sąlygų, dėl kurių duomenų valdytojas negalėtų perduoti duomenų tvarkymo duomenų tvarkytojui, taip pat perdavimui nėra keliami jokie reikalavimai, sąlygos, terminai ar pan.

3.2.2. Inspekcija taip pat nesutinka su pareiškėjo teiginiais, kad dviejų darbo dienų terminas užfiksuoti apmokėjimą yra nepagrįstai įvertintas kaip atliktas per protingą terminą, be to, VDAI, priimdama Sprendimą, vadovavosi UAB „Apsaugos komanda“ pačios subjektyviai pasirinktu laiku (2019 m. balandžio 12 d.) suformuotu sąskaitos išrašu. VDAI tyrimo metu į UAB „Apsaugos komanda“ kreipėsi 2019 m. gegužės 20 d., taigi bendrovės pateiktas išrašas buvo suformuotas dar iki Inspekcijos kreipimosi, todėl pagrindo abejoti, ar pateiktame išraše nurodyta jo suformavimo data teisinga, nebuvo. Taip pat. Inspekcijos nuomone, šiuo atveju dviejų darbo dienų terminą įvertinti kaip pernelyg ilgą ir duomenų valdytoją įpareigoti tikslinti duomenis kas valandą ar kelias, būtų neproporcinga.

3.2.3. Inspekcija taip pat nepritaria, kad jos įvertintas kaip pagrįstas dviejų savaičių terminas ištaisyti duomenis, nėra protingas. Pažymėtina, kad nuo 2019 m. balandžio 12 d. iki 2019 m. balandžio 26 d. buvo devynios darbo dienos, BDAR nenumato konkrečių terminų, per kuriuos duomenų valdytojas turi ištaisyti netikslius duomenis, Inspekcija bendrų, visiems duomenų valdytojams taikomų, šių terminų nustatyti taip pat negali, kiekvienas atvejis vertinamas individualiai. Šiuo atveju, įvertinusi visas aplinkybes, Inspekcija nustatė, kad UAB „Apsaugos komanda“ tikslumo principo nepažeidė.

3.3. Skunde pareiškėjas remiasi civilinio kodekso (toliau – ir CK) normomis, nurodo, kad minėtose normose nustatytos bendrosios teisinės pareigos elgtis teisėtai, sąžiningai, veikti pagal teisingumo, protingumo ir sąžiningumo reikalavimus galiojo iki BDAR ir BDAR jų niekaip nepakeitė, galima teigi, kad netgi išplėtė. Inspekcija nenagrinėjo civilinių santykių. Anksčiau galiojusios ADTAĮ (iki 2018 m. liepos 15 d. galiojusi redakcija) 21 straipsnio 3 dalies nuostatos buvo taikomos tuo atveju, kai skolininkų duomenys buvo teikiami kitam duomenų valdytojui (pvz„ skolininko duomenys perduodami kredito biurui, kuris vertina asmens kreditingumą), o ne duomenų tvarkytojui, kaip yra nagrinėjamu atveju. Nei BDAR, nei šiuo metu galiojančioje ADTAĮ redakcijoje, nei galiojusioje anksčiau redakcijoje, nebuvo nustatyti jokie terminai ir sąlygos, kada duomenų valdytojas gali perduoti duomenis duomenų tvarkytojui. Priešingai, ADTAĮ (galiojusio iki 2018 m. liepos 15 d.) 2 straipsnio 6 dalyje, kurioje buvo apibrėžta duomenų tvarkytojo sąvoka, „duomenų tvarkytojas nebuvo laikomas trečiuoju asmeniu.

3.4. Pareiškėjas skunde nurodo, kad Sprendime nenurodyta, ar jis buvo tinkamai informuotas apie asmens duomenų tvarkymą. Iš pareiškėjo skundo VDAI turinio matyti, kad, jo nuomone, jis nebuvo tinkamai informuotas apie tai, jog jo duomenys bus perduoti UAB „Sergel“. Inspekcija Sprendime nurodė, kad apie duomenų gavėją (UAB „Sergel“) jis buvo informuotas elektroniniu paštu, kurį pats nurodė pasirašydamas sutartį. Skaidrumo užtikrinimo pagal Reglamentą (ES) 2016/679 gairėse (Skaidrumo užtikrinimo pagal Reglamentą (ES) 2016/679 gairės, https://ec.europa.eu/newsroom/article29/item~detail.cfm7itern_id~622227, kurios buvo nurodytos ir pareiškėjui Skundžiamame Sprendime), nurodyta, jog kai duomenų tvarkymas jau pradėtas iki 2018 m. gegužės 25 d. (kaip šiuo atveju), duomenų valdytojas turėtų užtikrinti, kad tas tvarkymas būtų atliekamas pagal skaidrumo prievoles, tai reiškia, kad iki 2018 m. gegužės 25 d. duomenų valdytojai turėtų peržiūrėti visą informaciją, kuri duomenų subjektams teikiama apie jų asmens duomenų tvarkymą; jeigu informacija pakeičiama ar papildoma, duomenų valdytojai turėtų paaiškinti duomenų subjektams, kad tie pakeitimai buvo padaryti siekiant laikytis BDAR; 29 straipsnio duomenų apsaugos darbo grupė rekomenduoja aktyviai informuoti duomenų subjektus apie tokius pasikeitimus, tačiau duomenų valdytojai turi bent viešai paskelbti šią informaciją. Skundo nagrinėjimo metu VDAI įvertino minėtas gaires, taip pat tai, jog UAB „Apsaugos komanda“ savo interneto svetainėje skelbia Asmens duomenų tvarkymo politiką, kurioje nurodyta, kad asmens duomenys gali būti atskleisti skolų administravimą vykdantiems ir (arba) jungtines skolininkų rinkmenas tvarkantiems asmenims, todėl pagrindo konstatuoti, kad UAB „Apsaugos komanda“, tokiu būdu pareiškėją informuodama apie jo asmens duomenų tvarkymą (taip pat ir asmens duomenų perdavimą tvarkytojui UAB „Sergel“), pažeidė BDAR nuostatas, nebuvo. Atkreiptinas dėmesys, kad BDAR nenumato duomenų valdytojui prievolės duomenų subjektą informuoti būtent apie konkrečius duomenų gavėjus (nurodyti jų pavadinimus), gali būti pateikta informacija apie asmens duomenų gavėjų kategorijas (BDAR 13 str. 1 d. e p.).

4. Trečiasis suinteresuotas asmuo UAB „Apsaugos komanda“ pateikė atsiliepimą į skundą, su skundu nesutiko, rėmėsi šiais argumentais:

4.1. UAB „Apsaugos komanda“ perdavė Pareiškėjo duomenis, susijusius su jo įsiskolinimu už suteiktas paslaugas savo duomenų tvarkytojui UAB „Sergel“, kad jis UAB „Apsaugos komanda“ naudai atliktų reikalingus veiksmus (susisiektų telefonu, paragintų pranešimu) išieškoti/atgauti susidariusį Pareiškėjo įsiskolinimą, kurio Pareiškėjas net neginčijo ir neginčija. Pareiškėjas skunde Teismui nurodo, kad dėl to, jog jo asmens duomenys susiję su jo įsiskolinimu buvo perduoti UAB „Sergel“, jis patyrė neigiamų teisinių pasekmių, tačiau kokių konkrečiai nenurodo ir nedetalizuoja.

4.2. Pareiškėjas remiasi negaliojančios redakcijos ADTAĮ 21 straipsnio 3 dalimi. Be to, net ir galiojant jai, duomenų tvarkytoju nebuvo laikomas trečiasis asmuo, turintis teisėtą interesą mokumo vertinimo ir įsiskolinimo valdymo tikslu gauti skolininkų duomenis. Taigi taip pat nebūtų taikytinas susidariusiai situacijai.

4.3. UAB „Apsaugos komanda“ savo viešai internetinėje svetainėje paskelbtoje Asmens duomenų tvarkymo politikoje nurodė, kad duomenų subjektui uždelsus sumokėti už paslaugas jo asmens duomenys gali būti atskleisti skolų administravimą vykdantiems ir (arba) jungtines skolininkų rinkmenas tvarkantiems asmenims. Maža to, UAB „Apsaugos komanda“ informavo Pareiškėją apie konkretų jo duomenų gavėją, nors BDAR to daryti duomenų valdytoją net neįpareigoja. Todėl UAB „Apsaugos komanda“ visiškai nesuprantamas Pareiškėjo teiginys, kad jo asmens duomenys UAB „Sergel“ galėjo būti perduoti tik jį tinkamai, o ne formaliai informavus. Institucija dėl Pareiškėjo tinkamo informavimo Sprendime pasisakė išsamiai ir tokį savo Sprendimą pagrindė.

4.4. BDAR 13 straipsnyje įtvirtinta pareiga duomenų valdytojams siekiama, kad duomenų subjektams būtų atskleista (žinoma) informaciją apie surinktų jų asmens duomenų tvarkymą. To paties straipsnio 4 dalis numato, kad BDAR 13 str. 1, 2 ir 3 d. netaikomos, jeigu duomenų subjektas jau turi informaciją apie jo duomenų tvarkymą. Tiek iš Pareiškėjo skundo Institucijai, tiek iš skundo Teismui akivaizdu, kad su Asmens duomenų tvarkymo politika, kurioje atskleidžiama (pateikiama) informacija apibrėžta BDAR 13 str. yra susipažinęs (žino).

4.5. Duomenų valdytojui nebuvo įtvirtinta prievolė duomenų subjektui papildomai pateikti informaciją apie jau atliekamą jo asmens duomenų tvarkymą, o apie pasikeitimus pranešimas viešai paskelbiant ją duomenų valdytojo interneto svetainėje yra tinkamas.

4.6. Pareigos tikslintis elektroninio pašto adresą, kurį nurodė pats pareiškėjas, nei BDAR, nei ADTAĮ duomenų valdytojui net nenustato. Skaidrumo ir tikslumo principai, kuriuos duomenų valdytojas privalo užtikrinti tvarkydamas duomenų subjekto asmens duomenis nereiškia, kad surinktus (gautus) duomenų subjekto atitinkamos sutarties sudarymo metu nurodytus asmens duomenis turi primygtinai tikslinti tokiu būdu, kokiu nurodo pareiškėjas (pavyzdžiui, . atitinkamos paslaugos teikimo metu). Tikslumo principas, kurį įtvirtina BDAR, numato, kad duomenų valdytojas, užtikrindamas pareigą tvarkyti tikslius asmens duomenis turi imtis pagrįstų priemonių reikalui esant netikslius duomenis ištaisyti arba ištrinti. Pareiškėjo aiškinimo laikymasis reikštų neproporcingos naštos perkėlimą duomenų valdytojams, kai iš esmės vos ne kas dieną ar net valandą po paties duomenų subjekto nurodytų asmens duomenų pateikimo, duomenų valdytojai turėtų tikrintis pas pačius duomenų subjektus, ar jų pačių pateikti duomenys nepakito. UAB „Apsaugos komanda“ vien tik klientų, sudariusių atitinkamas sutartis turi apie 20000, duomenų subjektų dar daugiau. Be to, sutartimi pareiškėjas įpareigotas pranešti apie savo adreso (kuris beje taip pat laikomas asmens duomenimis) pasikeitimus.

4.7. Pareiškėjas savo paties užfiksuotų (įrašytų) pokalbių Institucijai neteikė, o juos prašė išreikalauti iš UAB „Apsaugos komanda“. Pareiškėjo elgesys, kai savo paties užfiksuotus (įrašytus) pokalbius jis teikia tik teismui yra ne tik neetiškas, pažeidžiantis proceso principą, bet ir vertintinas kaip piktnaudžiavimas savo teisėmis. Kita vertus, abejonių kelia pateiktų įrašų teisėtumas. Pagal bendrąją taisyklę telefoninius pokalbius galima įrašyti tik esant išankstiniam duomenų subjekto sutikimui (LR elektroninių ryšių įstatymo 61 str. 1 d.). Pareiškėjas, įrašydamas pokalbius tokio sutikimo iš duomenų subjektų užfiksuotų pokalbiuose negavo. UAB „Apsaugos komanda“, teikdama paaiškinimus Institucijai, rėmėsi atsakingo už klientų įsiskolinimų administravimą vykdžiusio šiuo metu nebedirbančio darbuotojo teisininko, bendravusio telefonu su pareiškėju paaiškinimais. Tokio pokalbio įrašo pareiškėjas į bylą neteikia, pareiškėjo pateikti užfiksuoti (įrašyti) pokalbiai yra vykę ne su šiuo darbuotoju. Šio darbuotojo teigimu, pareiškėjas telefoninio pokalbio su juo metu pareiškė, kad UAB „Apsaugos komanda“ neturi teisės perduoti duomenų apie jo įsiskolinimą UAB „Sergel“, tačiau savo įsiskolinimo fakto neginčijo ir jam nepranešė, kad skolą padengė ar padengs artimiausiu metu. Įrašyto pokalbio su šiuo darbuotoju pareiškėjas neteikia, o jo pateikti užfiksuoti (pokalbiai) vyko su UAB „Apsaugos komanda“ vyr. buhaltere ir vadybininke. Apie tai, kad skolą susimokėjo, Pareiškėjas turėjo pranešti konkrečiai tam darbuotojui, su kuriuo ir kalbėjosi apie duomenų perdavimo (ne)teisėtumą, šis bendrovės darbuotojas būtų pareiškėjo paprašęs atsiųsti mokėjimą patvirtinantį dokumentą (mokėjimo nurodymą ar pan.), nes UAB „Apsaugos komanda“ kiekvieno darbuotojo funkcijos aiškiai atribotos. Kita vertus, Pareiškėjo pateikiamuose užfiksuotuose (įrašytuose) pokalbiuose, Pareiškėjas tik užsimena apie skolos apmokėjimą, tačiau kaip girdėti iš pokalbių turinio, pačių skambučių tikslas buvo išspręsti kitus klausimus (duomenų atnaujinimo, sąskaitos gavimo).

4.8. Nepagrįstas Pareiškėjo teiginys, kad Institucija netyrė didesnės apimties UAB „Apsaugos komanda“ duomenų tvarkymo. Pareiškėjo skundžiamu Sprendimu Institucija nurodė UAB „Apsaugos komanda“ peržiūrėti savo Asmens duomenų tvarkymo politiką, įsivertinti, kokie asmens duomenys yra tvarkomi ir patikslinti Asmens duomenų tvarkymo politiką. Šį Institucijos nurodymą UAB „Apsaugos komanda“ įvykdė, atnaujintą (patikslinti) savo Asmens duomenų tvarkymo politiką paskelbė viešai savo internetinėje svetainėje. Atsiliepdami į Pareiškėjo teiginį, kad jis niekuomet nėra sutikęs tokių duomenų kaip signalizacijos suveikimų duomenų, saugomų patalpų fotofiksacijų tvarkymu, paaiškiname, kad šių duomenų tvarkymas grindžiamas BDAR 6 straipsnio 1 dalies b punkto pagrindu, o ne duomenų subjekto sutikimu. Duomenų tvarkymas sutarties su Pareiškėju įvykdymo tikslu nepriklauso nuo Pareiškėjo (duomenų subjekto) (ne)sutikimo. Pareiškėjo nurodomų duomenų (signalizacijos suveikimo duomenų, saugomų patalpų fotofiksacijos), dėl kurių Pareiškėjo teigimu Institucija nepasisakė, tvarkymas yra būtinas ir neišvengiamas, teikiant Pareiškėjui atitinkamą jo užsakytą elektroninės apsaugos paslaugą. Elektroninės apsauga, kurią užsakė Pareiškėjas yra toks saugomų patalpų apsaugos būdas, kai UAB „Apsaugos komanda“ darbuotojai imasi sutartyje numatytų reagavimo veiksmų, gavę atitinkamus saugomų patalpų signalizacijos signalus. Tam, kad UAB „Apsaugos komanda“ tokią paslaugą Pareiškėjui teikti galėtų ji turi gauti (tvarkyti) Pareiškėjo patalpose įrengtos signalizacijos perduodamus (siunčiamus) signalus, reaguojant į signalizacijos perduotus grėsmę reiškiančius signalus, turėti duomenis apie saugomas patalpas. Be šių duomenų tvarkymo tokių paslaugų teikimas Pareiškėjui būtų neįmanomas.

4.9. Pareiškėjo teiginys, kad jis niekuomet nesutiko, nesutinka, kad esminiai pranešimai jam būtų siunčiami elektroniniu paštu, neturi teisinio pagrindo. Pagal BDAR 12 str. 1 d. duomenų valdytojas visą 13 ir 14 straipsniuose nurodytą informaciją duomenų subjektui privalo pateikti raštu arba kitomis priemonėmis, įskaitant, prireikus elektronine forma. Informacijos pateikimo būdą teisė pasirinkti suteikta pačiam duomenų valdytojui. Šiuo atveju duomenų subjekto pageidavimai ir (arba) (ne)sutikimai duomenų valdytojo neįpareigoja.

4.10. BDAR suvienodino duomenų apsaugos reikalavimus Europos Sąjungoje. Iki BDAR Lietuva turėjo ne mažiau griežtą asmens duomenų apsaugos reglamentavimą, todėl Pareiškėjo teiginys dėl aukštesnio lygio apsaugos yra nepagrįstas. Nei iki BDAR įsigaliojimo galiojusiame ADTAĮ, nei šiuo metu galiojančiame ADTAĮ ir taikomame BDAR jokių sąlygų, terminų, kada duomenų valdytojas asmens duomenis gali perduoti savo pasitelktam duomenų tvarkytojui nėra nustatyta.

5. Trečiasis suinteresuotas asmuo UAB „Sergel“ pateikė atsiliepimą, su skundu nesutinka, remiasi šiais argumentais:

5.1. Tarp UAB „Sergel“ ir Uždarosios akcinės bendrovės “Apsaugos komanda“ yra susiklostę duomenų tvarkytojo ir duomenų valdytojo santykiai, remiantis 2018 m. gegužės 7 d. sudaryta asmens duomenų tvarkymo sutartimi, kurios pagrindu duomenų valdytojas perduoda tvarkyti duomenų tvarkytojui UAB „Sergel“ fizinių asmenų asmens duomenis (vardą, pavardę, telefono nr., elektroninio pašto, gyvenamosios vietos ir (ar) korespondencijos adresą bei apsaugos paslaugų naudojimosi duomenis, įsiskolinimų valdymo (administravimo) ir išreikalavimo tikslais.

5.2. UAB „Sergel“ Asmens duomenų tvarkymo taisyklių 13 punkte numatyta, kad „Pokalbio su Duomenų subjektu įrašas saugomas paslaugų, aptarnavimo, kokybės užtikrinimo, duomenų apsaugos, pokalbio/situacijos vertinimo tikslu ne trumpiau kaip 2 (du) mėnesius ir ne ilgiau kaip 6 (šešis) mėnesius nuo skambučio gavimo ir/ar priėmimo dienos. Todėl pateikti tarp Pareiškėjo ir UAB „Sergel“ galimai vykusio pokalbio įrašo galimybės nėra, pareiškėjo duomenų UAB „Sergel“ šiai dienai neturi ir netvarko (įskaitant ir telefono numerio).

Motyvuojamoji dalis

konstatuoja:

6. Remiantis byloje esančiais rašytiniais įrodymais nustatyta, kad:

6.1. pareiškėjas 2019 m. balandžio 12 d. pateikė skundą VDAI (T I b. l. 29-35). Skunde nurodė, kad gavo pranešimą iš UAB „Apsaugos komanda“ (toliau – ir Bendrovė) apie įsiskolinimą už paslaugas. Nors iš karto sumokėjo įsiskolinimą ir informavo apie tai Bendrovę, pastaroji vis vien perdavė jo duomenis skolas išieškančiai UAB „Sergel“. Pareiškėjas nurodė, kad tokie veiksmai prieštarauja BDAR įtvirtintiems duomenų apsaugos principams. Taip pat pareiškėjas nurodė, kad Bendrovė tinkamai jo neinformavo apie tvarkomus asmens duomenis, jų tinkamai netikslino kaip to reikalauja BDAR. Bendrovė tvarko asmens duomenis, apie kuriuos nenurodo Asmens duomenų politikoje.

6.2. VDAI išnagrinėjo pareiškėjo skundą ir 2019 m. liepos 1 d. sprendimu Nr. 3R- 553(2.13-1.), kuris ir skundžiamas šioje byloje, jį atmetė. Skundžiamame sprendime konstatavo, kad duomenų valdytojas gali duomenis tvarkyti pats arba įgalioti duomenų tvarkytoją. UAB „Apsaugos komanda“ duomenis UAB „Sergel“ perdavė ne kaip kitam duomenų valdytojui, o kaip UAB „Apsaugos komanda“ įgaliotam duomenų tvarkytojui BDAR nenumato jokių sąlygų, dėl kurių duomenų valdytojas negalėtų perduoti duomenų tvarkymo duomenų tvarkytojui, taip pat perdavimui nėra keliami jokie reikalavimai, sąlygos, terminai ar pan. Bendrovė apie tai informavo pareiškėją 2019 m. balandžio 10 d. 12.38 val. jo sutartyje nurodytu el. paštu. Taip pat pareiškėjas pranešimą apie skolą gavo tą pačią dieną 16.10 val. kitu elektroniniu paštu. Pareiškėjas apie apmokėjimą neinformavo Bendrovės, todėl ji 2019 m. balandžio 10 d. 16.50 val. perdavė duomenis UAB „Sergel“. VDAI vertinimu, nėra pagrindo teigti, kad Bendrovė perdavė žinomai neteisingus duomenis, asmens duomenų tvarkymo principai pažeisti nebuvo. VDAI padarė išvadą, kad Bendrovė apie sumokėjimą sužinojo 2019 m. balandžio 12 d. ir balandžio 26 d. informavo UAB „Sergel“ apie skolos padengimą. Taigi duomenis patikslino per protingą terminą. VDAI laikėsi pozicijos, kad ir iki BDAR galiojusio ADTĮ (iki 2018 m. liepos 15 d. galiojusi redakcija) 21 straipsnio 3 dalies nuostatos buvo taikomos tik tuo atveju, kai skolininkų duomenys buvo teikiami kitam duomenų valdytojui (pvz„ skolininko duomenys perduodami kredito biurui, kuris vertina asmens kreditingumą), o ne duomenų tvarkytojui, kaip yra nagrinėjamu atveju. VDAI taip pat padarė išvadą, kad pareiškėjas buvo tinkamai informuotas apie duomenų tvarkymą, nes pagal Skaidrumo užtikrinimo pagal Reglamentą (ES) 2016/679 gaires, kai duomenų tvarkymas jau pradėtas iki 2018 m. gegužės 25 d., duomenų valdytojas turi bent viešai paskelbti apie kaupiamos informacijos pasikeitimus. VDAI vertinimu UAB „Apsaugos komanda“ savo interneto svetainėje skelbia Asmens duomenų tvarkymo politiką (pateikta į bylą), kurioje nurodyta, kad asmens duomenys gali būti atskleisti skolų administravimą vykdantiems ir (arba) jungtines skolininkų rinkmenas tvarkantiems asmenims. BDAR nenumato duomenų valdytojui prievolės duomenų subjektą informuoti būtent apie konkrečius duomenų gavėjus (nurodyti jų pavadinimus), gali būti pateikta informacija apie asmens duomenų gavėjų kategorijas (BDAR 13 str. 1 d. e p.).Pasisakydama dėl duomenų, nenurodytų Bendrovės Asmens duomenų politikoje, tvarkymą, VDAI padarė išvadą, kad Bendrovė iš tiesų tvarko daugiau duomenų nei nurodyta jos Asmens duomenų politikoje ir tai, kad minėtoje politikoje pateikiamas baigtinis sąrašas duomenų gali klaidinti duomenų subjektus, todėl įpareigojo patikslinti Asmens duomenų politiką. Tuo pačiu vertino, kad pagal BDAR 13 straipsnio 4 dalį ir 14 straipsnio 5 dalies 4 punktą informacija neturi būti pateikta duomenų subjektui, jeigu jis ją turi. Taigi laikė, kad pareiškėjo nurodoma informaciją jis turi ir ji tvarkoma teisėtai.

7. Ginčas kilo dėl VDAI sprendimo, kuriuo buvo nuspręsta, kad pareiškėjo asmens duomenis tretieji suinteresuoti asmenys naudojo teisėtai. Pareiškėjas nesutikimą su VDAI sprendimu grindžia šiais aspektais: 1) neteisingai nustatytos faktinės aplinkybės, susijusios su informavimu apie skolos padengimą; 2) skundžiamu sprendimu nustatytas neproporcingai trumpas terminas pareiškėjui (duomenų subjektui) sureaguoti į galimą duomenų perdavimą; 3) duomenų subjektui (pareiškėjui) perkeltos duomenų subjektui priklausančios skaidrumo ir duomenų tikslumo pareigos; 4) VDAI pasisakė ne dėl visų pareiškėjo skunde keltų reikalavimų.

8.1. Viešojo administravimo įstatymo 3 straipsnyje įtvirtinti įstatymo viršenybės ir objektyvumo principai. Šio įstatymo 8 straipsnio 1 dalis nustato, kad individualus administracinis aktas turi būti pagrįstas objektyviais duomenimis (faktais) ir teisės aktų normomis, o taikomos poveikio priemonės (licencijos ar leidimo galiojimo panaikinimas, laikinas uždraudimas verstis tam tikra veikla ar teikti paslaugas, bauda ir kt.) turi būti motyvuotos. Gero administravimo (atsakingo valdymo) principas reikalauja, kad viešojo administravimo subjektas, atlikdamas savo funkcijas, turibūti pakankamai rūpestingas ir atidus.

8.2. ES Reglamentas (ES) 2016/679 (BDAR) nustato bendruosius duomenų apsaugos reikalavimus. BDAR 5 straipsnis nustato asmens duomenų tvarkymo principus: 5 straipsnio 1 dalies a) punkte nustatyta, kad asmens duomenys duomenų subjekto atžvilgiu turi būti tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas); šio straipsnio 1 dalies b) punkte nustatyta, kad asmens duomenys renkami nustatytais, aiškiai apibrėžtais bei teisėtais tikslais ir toliau netvarkomi su tais tikslais nesuderinamu būdu; šio straipsnio 1 dalies e) punkte nustatyta, kad asmens duomenys turi būti tikslūs ir prireikus atnaujinami; turi būti imamasi visų pagrįstų priemonių užtikrinti, kad asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, būtų nedelsiant ištrinami arba ištaisomi (tikslumo principas).

BDAR 28 straipsnis nustato duomenų tvarkytojo statusą. Šio straipsnio 1 dalis nustato, kad kai duomenys turi būti tvarkomi duomenų valdytojo vardu, duomenų valdytojas pasitelkia tik tuos duomenų tvarkytojus, kurie pakankamai užtikrina, kad tinkamos techninės ir organizacinės priemonės bus įgyvendintos tokiu būdu, kad duomenų tvarkymas atitiktų šio reglamento reikalavimus ir būtų užtikrinta duomenų subjekto teisių apsauga. Šio straipsnio 3 dalyje nustatyta, kad duomenų tvarkytojo atliekamas duomenų tvarkymas reglamentuojamas sutartimi ar kitu teisės aktu pagal Sąjungos arba valstybės narės teisę, kurie yra privalomi duomenų tvarkytojui duomenų valdytojo atžvilgiu ir kurioje nustatomi duomenų tvarkymo dalykas ir trukmė, duomenų tvarkymo pobūdis ir tikslas, asmens duomenų rūšis ir duomenų subjektų kategorijos bei duomenų valdytojo prievolės ir teisės. Straipsnio 10 dalis nustato, kad jei duomenų tvarkytojas nustatydamas duomenų tvarkymo tikslus ir priemones pažeidžia šį reglamentą, to duomenų tvarkymo atžvilgiu duomenų tvarkytojas yra laikomas duomenų valdytoju.

BDAR 13 straipsnis nustato pareigą duomenų valdytojui informuoti duomenų subjektą kai iš duomenų subjekto renkami jo asmens duomenys. 1 dalies e) punkte numatyta, kad apie duomenų gavėjus galima informuoti nurodant jų kategorijas. Šio straipsnio 3 dalyje numatyta, kad tokia pareiga netaikoma tokia apimtimi, kiek tokią informaciją duomenų subjektas jau turi.

9. Dėl VDAI tyrimo objektyvumo ir išsamumo, apmokėjimo momento bei informavimo apie tai nustatymo:

9.1. Pareiškėjas teigia, kad VDAI tinkamai neištyrė aplinkybių, susijusių apmokėjimo momentu ir informavimu apie apmokėjimą, rėmėsi tik melagingais trečiųjų asmenų paaiškinimais.

9.2. Pareiškėjas su skundu VDAI nebuvo pateikęs pokalbių įrašų ir skunde neužsiminė apie juos, nors turėjo pareigą su skundu pateikti visus įrodymus. Iš jo pateiktų duomenų nebuvo galima daryti išvados, kad pareiškėjas turi tokius įrašus. VDAI atsiliepime nurodė, kad pareiškėjo skundo tyrimo metu kreipėsi į UAB „Apsaugos komanda“, kuri nurodė, jog pokalbiai nėra įrašomi, taip pat paskambinus pareiškėjo nurodytu telefonu, skirtingai nei teigia pareiškėjas, jokia informacija, kurios pagrindu butų galima daryti išvadą, kad pokalbiai yra įrašomi, nebuvo. Dėl to darytina išvada, kad VDAI, nagrinėdama šią aplinkybę buvo pakankamai atidi ir rūpestinga, o pareiškėjo turimas įrodymas nebuvo išnagrinėtas dėl jo paties apsisprendimo neteikti kartu su skundu. Iš pateiktų pokalbių įrašų matyti, kad pagrindinis pokalbio, kuriame jis užsimena, kad atliko mokėjimą, tikslas ir pagrindinis kontekstas nėra susijęs su informavimu apie skolos sumokėjimą, o su duomenų tikslinimu. Iš paties pareiškėjo kalbėjimo būdo negalima daryti išvados, kad jis siekia, jog jo mokėjimas būtų užfiksuotas ir duomenys nebūtų teikiami. Tokiomis aplinkybėmis reikalauti, kad Bendrovės darbuotojai, kurie nėra tiesiogiai atsakingi už skolos valdymą, iš užuominos imtųsi inicijuoti naujas procedūras, būtų neproporcinga (vertinant duomenų apsaugos požiūriu). Taip pat pažymėtina, kad vertinant toliau dėstomus šio sprendimo motyvus, kad apskritai šio ginčo situacijoje teisinis reguliavimas nenustato pareigos duomenų valdytojui kreiptis į duomenų subjektą dėl duomenų perdavimo, aplinkybė, ar pareiškėjas jo nurodomą dieną (2019 m. balandžio 10 d.) informavo duomenų valdytoją apie sumokėjimą nėra kritiškai svarbi. Skolos padengimo ir sužinojimo apie tai aplinkybės šiuo atveju svarbios tiek, kiek susijusios su duomenų tvarkymo principais, kurie aptariami toliau.

10. Dėl to, ar Skundžiamu sprendimu nustatytas per trumpas veikimo terminas, kas pažeidžia BDAR nustatytus aukšto apsaugos lygio ir teisėtumo, sąžiningumo ir skaidrumo principus bei paneigia su tuo susijusią teismų praktiką.

10.1. Pareiškėjas teigia, kad jis, sužinojęs apie galimą duomenų perdavimą, reagavo tinkamai – skolą iš karto sumokėjo ir informavo apie tai Bendrovę, kuri nepaisant to, perdavė jo duomenis skolos valdymui kitam asmeniui. Pagal iki BDAR įsigaliojimo galiojusią ADTAĮ 21 straipsnio 3 dalį (iki 2018 m. gegužės 25 d. galiojusi redakcija) teikti duomenis skolų valdymo tikslais buvo galima tik jeigu jis duomenų subjektui paštu arba elektroninių ryšių priemonėmis pateikė rašytinį priminimą apie įsipareigojimų neįvykdymą ir per 30 kalendorinių dienų skola liko nepadengta ir neginčyta. Įsigaliojus BDAR duomenų subjekto teisių apimtis negalėjo sumažėti, taigi ir minėta garantija (atsiklausimas) turėjo likti kaip patenkantis į bendrųjų principų turinį. Todėl VDAI sprendimas atėmė iš jo galimybę apsiginti nuo galimų neigiamų pasekmių.

10.2. Iš pareiškėjo argumentų visumos matyti, kad pareiškėjas remiasi prielaida, kad duomenų subjekto turėtų būti atsiklausiama ir suteikiamas tam tikras terminas pašalinti priežastis prieš perduodant jo duomenis. Visgi nėra pagrindo nesutikti, kad VDAI padarė teisingą išvadą, jog šiuo atveju UAB „Sergel“ laikytina duomenų tvarkytoju, veikiančiu duomenų valdytojo (UAB „Apsaugos komanda“) vardu, kuris duomenis tvarkė pagal BDAR 28 straipsnio 1 ir 3 dalį, t. y. duomenų tvarkymo sutarties pagrindu. Šioje byloje nėra ginčo, kad reikalavimo teisė nebuvo perleista. Tarp UAB „Apsaugos komanda“ ir UAB „Sergel“ buvo sudaryta duomenų tvarkymo sutartis (T I b. l. 69-75). Tokios išvados pareiškėjas nekritikuoja ir dėl to ginčo nėra. Teisinis reguliavimas nenustato konkretaus termino, per kurį duomenų valdytojas po duomenų subjekto informavimo duomenis galėtų perduoti tvarkytojui. Kaip pažymi ir pats pareiškėjas, šiuo atveju taikytini bendrieji sąžiningumo ir teisėtumo principai, įtvirtinti BDAR 5 straipsnyje. Papildomai teismas pasisako ir dėl pareiškėjo argumento dėl iki BDAR galiojusio reguliavimo, kaip vieno iš šaltinių BDAR principų turinio aiškinimui. Pirmiausia, iki 2018 m. gegužės 15 d. ADATĮ 21 straipsnio 3 dalies nuostatos taikymas šioje byloje nėra aktualus dėl to, kad ši įstatymo redakcija negaliojo, kai tarp šalių susiklostė ginčo materialiniai teisiniai santykiai (duomenys perduoti 2019 m. balandžio 10 d.). Antra, atsižvelgiant į tai, kad ginčo atveju duomenys buvo perduoti ne trečiajam asmeniui, o duomenų tvarkytojui, veikiančiam duomenų valdytojo vardu, anksčiau galiojusio ADTAĮ 21 straipsnio 3 dalies nuostatos ir nebūtų taikytinos, nes sistemiškai aiškinant, 21 straipsnio 3 dalis reguliavo atvejus, kai duomenys perduodami tvarkytojui, o ne trečiajam asmeniui. Be to, ir tuometinė administracinių teismų praktika aiškiai skyrė trečiojo asmens ir duomenų tvarkytojo skolų valdymo tikslais statusą (žr. pvz., Lietuvos vyriausiojo administracinio teismo 2016 m. birželio 29 d. nutartis byloje Nr. A-1174-525/2016). Šiuo aspektu VDAI pagrįstai nurodė, kad anksčiau galiojusio ADTAĮ 21 straipsnio 3 dalies nuostatos nėra aktualios.

10.3. Taigi šiuo atveju svarbu, ar duomenų valdytojas elgėsi pagal BDAR 5 straipsnyje įtvirtintus bendruosius duomenų tvarkymo principus. VDAI, priimdama Skundžiamą sprendimą, nustatė ir įvertino reikšmingas faktines aplinkybes – kad buvo susidariusi skola, kad po to, kai paaiškėjo, kad skola padengta, duomenys buvo patikslinti. Ginčo atveju susiklostė situacija, kai tarp skolos padengimo (2019 m. balandžio 10 d. 16.10 val. – remiantis pareiškėjo pateiktais duomenimis, kada faktiškai buvo atliktas mokėjimas) ir duomenų perdavimo skolos valdymui (tą pačią dieną 16.50 val.) praėjo labai nedidelis laiko tarpas (mažiau nei viena valanda), kas lėmė, kad jau sumokėtos skolos duomenys pateko pas duomenų tvarkytoją. Sutiktina su VDAI išvada, kad įpareigojimas duomenų valdytojui kontroliuoti skolos padengimą valandų, ar tuo labiau, minučių tikslumu, būtų neproporcingas. VDAI taip pat nustatė, kad pareiškėjo duomenys vėliau buvo patikslinti (2019 m. balandžio 26 d.). Duomenų patikslinimo terminą VDAI įvertino kaip protingą laiko tarpą. Nėra duomenų, kad pareiškėjo asmens duomenys būtų panaudoti kokiais kitais tikslais. Pareiškėjas nepagrindžia, kodėl laiko tarpas, per kurį duomenys buvo patikslinti, negali būti laikomas protingu. Pažymėtina ir tai, kad per nurodytą laikotarpį (nuo 2019 m. balandžio 12 d. balandžio 26 d.) buvo 9 darbo dienos. Taigi nėra pagrindo laikyti, kad duomenys patikslinti per tokį terminą, dėl kurio reikėtų laikyti, kad neatitiko sąžiningumo ir teisėtumo principų. Taigi nėra aplinkybių, kurios rodytų, kad, perduodant duomenis, duomenų valdytojas elgėsi nesąžiningai ir neteisėtai. Todėl teismas vertina, kad VDAI padarė teisingą išvadą, jog duomenys buvo perduoti duomenų tvarkytojui nepažeidžiant sąžiningumo, teisėtumo ir tikslumo principų.

10.4. Pareiškėjas nurodo, kad negalėjo apsiginti nuo daugelio neigiamų pasekmių. Pažymėtina, kad šioje byloje nenagrinėjamas klausimas dėl su skolos išieškojimu susijusių išlaidų atlyginimo ar kitų civilinių prievolių vykdymo, taip pat galimos UAB „Apsaugos komanda“ ar UAB „Sergel“ civilinės atsakomybės ar kitokių prievolių vykdymo klausimas. Nors pareiškėjas iš dalies apeliuoja į šiuos klausimus, šioje administracinėje byloje nagrinėjamas tik VDAI sprendimo dėl duomenų tvarkymo teisėtumo klausimas. Taigi atmestini pareiškėjo argumentai dėl grobuoniško ar agresyvaus UAB „Apsaugos komanda“ elgesio (galimai siekiant didinti reikalavimo sumą). Pareiškėjo nurodomos galimos neigiamos pasekmės yra neatitinkančios faktinės situacijos (duomenų perdavimas tretiesiems asmenims, į jungtines skolininkų duomenų rinkmenas – tokių aplinkybių nenustatyta) arba hipotetinės (skolos padidėjimas, kreditingumo istorijos ir prieigos prie finansinių paslaugų pabloginimas, dėl gaunamų pranešimų patiriamas stresas, kt.), kurios nėra tiesiogiai kylančios dėl duomenų perdavimo, yra pernelyg nutolusios. Pavyzdžiui, nepagrįsti pranešimai apie skolą apskritai gali būti laikomi netinkamu paslaugos teikimu ar sutarties vykdymu, ir Bendrovės atsakomybė neišnyksta dėl to, kad ji pasitelkė kitą asmenį veikti jos vardu, tačiau tokios pasekmės nebūtinai atsiranda dėl duomenų teikimo ir tai nėra šios administracinės bylos dalykas.

10.5. Apskritai nėra teisingas pareiškėjo teiginys, kad VDAI skundžiamu sprendimu nustatė jam per trumpą terminą reaguoti. VDAI Skundžiamu nenustatė jokio termino pareiškėjui.

11.1. Pareiškėjas nurodo, kad pradėdama duomenis tvarkyti nauju tikslu (t.y. įsiskolinimo valdymo tikslu), UAB „Apsaugos komanda“ turėjo imtis protingų priemonių įsitikinti, kad jos turimi ir tvarkomi asmens duomenys yra tikslūs, ir užtikrinti tvarkymo skaidrumą. Tuo tarpu pranešimas atsiųstas nenaudojamu el. paštu, kuris nurodytas prieš 7 metus, pareiškėjas niekada nedavė sutikimo, kad su juo būtų bendraujama el. paštu, o VDAI netyrė, ar informavimas apie skolą el. paštu yra tinkamas, taip pat , ar paliktas terminas (24 val.) yra tinkamas.

11.2. Dėl termino duomenų subjektui reaguoti VDAI pasisakė vertindama duomenų teikimo teisėtumą, konstatuodama, kad teisinis reguliavimas įspėjimo termino nenumato (dėl ko jau buvo pasisakyta šiame sprendime). Dėl šios priežasties ir informavimo forma (el. paštu) nėra aktuali. Taigi laikytina, kad dėl šių pareiškėjo argumentų VDAI pasisakė skundžiamame Sprendime. Todėl šie pareiškėjo argumentai nėra pagrįsti.

11.3. Pareiškėjas skunde VDAI kėlė klausimą dėl duomenų valdytojo pareigos užtikrinti informacijos tvarkymo skaidrumą ir tikslumą, skunde teismui nurodė, kad duomenų valdytojas turėjo tikslinti informaciją pradedant ją tvarkyti nauju tikslu, t. y. mano, kad paslaugos teikėjas turėjo pasitikslinti jo elektroninio pašto adresą, kurį jis buvo nurodęs. Pareiškėjas pats pripažįsta, kad buvo nurodęs elektorinį paštą, kuriuo kurį laiką nesinaudojo. Teismas nesutinka su pareiškėjo vertinimu, kad skolos valdymo tikslas yra naujas, nes pasirašydamas paslaugų teikimo sutartį pareiškėjas prisiėmė įsipareigojimus laiku apmokėti sąskaitas, taigi toks duomenų naudojimo tikslas tiesiogiai susijęs su paslaugų sutarties vykdymu. VDAI Skundžiamame sprendime iš esmės atsakė į pareiškėjo keliamus klausimus dėl informavimo apie duomenų tvarkymą po BDAR įsigaliojimo. VDAI nurodė, kad atskleidimui apie duomenų tvarkymą taikytinas skaidrumo reikalavimas (BDAR 29 straipsnis). VDAI pateikė nuorodą į duomenų apsaugos darbo grupės patvirtintas Skaidrumo užtikrinimo pagal Reglamentą (ES) 2016/679 gaires. Pagal šias gaires rekomenduoja aktyviai informuoti duomenų subjektus apie tokius pasikeitimus, tačiau duomenų valdytojai turi bent viešai paskelbti šią informaciją. VDAI įvertino, kad UAB „Apsaugos komanda“ savo interneto svetainėje skelbia Asmens duomenų tvarkymo politiką, kurioje nurodyta, kad asmens duomenys gali būti atskleisti skolų administravimą vykdantiems ir (arba) jungtines skolininkų rinkmenas tvarkantiems asmenims, o BDAR nenumato duomenų valdytojui prievolės duomenų subjektą informuoti būtent apie konkrečius duomenų gavėjus (nurodyti jų pavadinimus), gali būti pateikta informacija apie asmens duomenų gavėjų kategorijas (BDAR 13 str. 1 d. e) punktas). Taip pat nurodė, kad įsigaliojus BDAR įpareigoti duomenų valdytojus iš naujo informuoti duomenų subjektus apie jų duomenų valdymą būtų neproporcinga. Iš skundo VDAI turinio matyti, kad pareiškėjas yra susipažinęs su paslaugų teikėjo Asmens duomenų tvarkymo politika. Pareiškėjas skunde teismui nepateikia argumentų, kodėl reikėtų nesutikti su tokiu VDAI aiškinimu.

11.4. BDAR preambulės 39 punktas ir 5 straipsnio 1 dalies d) punktas nustato, kad reikėtų imtis pagrįstų priemonių, prireikus, netikslius duomenis ištaisyti arba ištrinti. Pažymėtina ir tai, kad skunde VDAI pareiškėjas nekėlė klausimo dėl paslaugų teikėjo pareigos tikslintis jo nurodytą elektorinio pašto adresą, taigi VDAI dėl to atskirai ir nepasisakė. Teismas papildomai pažymi, kad tikslumo principas negali būti aiškinamas kaip pareiga ypatingai uoliai rinkti ir atnaujinti informaciją. Toks aiškinimas neatitiktų ir duomenų subjekto interesų (asmuo būtų nuolatos trukdomas reikalaujant tikslinti duomenis). Šiuo atveju elektroninio pašto adresas aktualus informavimo apie skolą pareigai, taigi labiau susiję su civiliniais teisiniais santykiais tarp pareiškėjo ir UAB „Apsaugos komanda“. Be to, pagal paslaugų sutartį būtent pareiškėjo pareiga buvo informuoti apie jo adreso pasikeitimus. Dėl to laikytina, kad VDAI iš esmės atsakė į pareiškėjo keltus klausimus. Taip pat VDAI Skundžiamu sprendimu neperkėlė ir nenustatė jokių pareigų pareiškėjui tikslinti informaciją. Taigi šie pareiškėjo argumentai atmestini.

12.1. Pareiškėjas nurodo, kad VDAI, nagrinėdamas jo skundą, neatsakė į šiuos klausimus: netirtas nedokumentuotas kitų asmens duomenų tvarkymas (pvz. signalizacijos suveikimų duomenų, saugomų patalpų fotofiksacijų ir kt.), taip pat VDAI netyrė UAB „Sergel" neteisėtų, agresyvių ir grobuoniškų veiksmų, pvz. UAB „Sergel" konsultantės reikalavimų, grasinimų apie duomenų perdavimą tretiesiems asmenims.

12.2. Grobuoniškų, kaip vadina pareiškėjas, veiksmų pareiškėjas tiksliai neįvardija, iš konteksto galima spręsti, kad omenyje turi siekį dirbtinai padidinti reikalavimą. Minėta, kad nei VDAI, nei teismas nesprendžia klausimų, kurie susiję su civilinėmis prievolėmis, taigi šie pareiškėjo argumentai atmetami. Taip pat pareiškėjas tiksliai neįvardina, kokius UAB „Sergel“ konsultantės reikalavimus turi omenyje. Vėlgi nei VDAI, nei teismas administracinėje byloje nevertina privataus juridinio asmens galimo netinkamo elgesio ir šioje apimtyje laiko, kad pareiškėjas neįrodė, kad VDAI neišsamiai išnagrinėjo pareiškėjo skundą.

12.3. Kaip matyti iš pareiškėjo skundo (2019 m. balandžio 26 d. papildymai) buvo nurodęs, kad UAB „Sergel“ 2019 m. balandžio 12 d. pranešime nurodė, kad jo duomenys gali būti perduoti tretiesiems asmenims (kredito istorijas tvarkančioms įmonėms). Pareiškėjas aiškiai įvardijo pranešimą ir nesutikimą su tokia duomenų tvarkymo praktika. Visgi VDAI Skundžiamame sprendime nepasisakė dėl šios pareiškėjo skundo dalies. Todėl laikytina, kad šioje apimtyje tinkamai neišnagrinėjo pareiškėjo skundo ir priėmė nepagrįstą ir neteisėtą sprendimą, kuris naikintinas šioje dalyje kaip prieštaraujantis aukštesnės galios teisės aktams ir dėl to, kad nebuvo objektyviai išnagrinėtos visos aplinkybės (Administracinių bylų teisenos įstatymo 91 straipsnio 1 dalies 1 ir 3 punktai). VDAI įpareigotina dalyje dėl pareiškėjo skundo dalies, kurioje nurodoma, kad UAB „Sergel“ pranešime nurodė, kad jo duomenys gali būti perduoti tretiesiems asmenims, priimti naują sprendimą.

12.4. Pareiškėjas skunde VDAI buvo nurodę, kad jo neinformavus ir Asmens duomenų politikoje nenurodžius yra tvarkomi tam tikri duomenys (sąskaitų ir atsiskaitymų duomenys, slaptažodis, savitarnos sistemų prisijungimo duomenys, savitarnos vartotojo ID ir slaptažodis, namo fotofiksacijos, signalizacijos suveikimo duomenys). Šiuo klausimu VDAI pasisakė, kad UAB „Apsaugos komanda“ Asmens duomenų tvarkymo politika nėra pakankama, nes pateikiant baigtinį tvarkomų duomenų sąrašą gali susidaryti įspūdis, kad nėra kitų tvarkomų duomenų. VDAI pasisakė, kad duomenys tvarkomi teisėtai, nes apie duomenų tvarkymą pareiškėjas žino (slaptažodis, savitarnos sistemų prisijungimo duomenys, savitarnos vartotojo ID ir slaptažodis). Dėl namo fotofiksacijų ir signaclizacijų suveikimo duomenų VDAI Skundžiamame sprendime specialiai nepasisakė, t. y. jų nebuvo tekste tarp paiminėtų žinomų pareiškėjui duomenų. Visgi VDAI bendrai konstatavo, kad duomenys, apie kurių tvarkymą yra žinoma pareiškėjui, yra tvarkomi teisėtai. Šiuo atveju akivaizdu, kad pareiškėjas žino, kad tvarkomi ir jo nurodomi duomenys (namo fotofiksacijos ir signalizacijos suveikimo duomenys), nes ir pats tai nurodo skunde. Todėl laikytina, kad VDAI Skundžiamo sprendimo turinys leido suprasti jo esmę, t. y. kad visi duomenys, apie kurių tvarkymą žinoma pareiškėjui (įskaitant ir fotofiksacijų ir signaclizacijų suveikimo duomenis) tvarkomi teisėtai. Taigi nors pasirinkta formuluotė nebuvo visiškai korektiška, sprendimo esmė buvo suprantama. Vien dėl šios priežasties įpareigoti VDAI iš naujo nagrinėti pareiškėjo skundą šioje dalyje būtų neproporcinga.

13. Pareiškėjas formuluoja prašymą teismui pasisakyti dėl BDAR normų aiškinimo, fundamentalių teisės principų aiškinimo ir su tuo susijusios teismų praktikos tęstinumo. Akivaizdu, kad toks prašymas negali būti laikomas savarankišku reikalavimu, nes teismas, išnagrinėjęs bylą tokio ir negalėtų tenkinti, t. y. reikalavimas nepatenka tarp būdų, kuriais teismas realizuoja teisę į teisminę gynybą, išvardintų Administracinių bylų teisenos įstatymo 88 straipsnyje. Taigi teismas tokį prašymą savo esme laiko pateiktu argumentu, į kurio svarbą pareiškėjas siekia atkreipti dėmesį. Teismas sprendime pateikė tuos motyvus, kurie, jo vertinimu, pagrindžia priimtą sprendimą.

Teismas, vadovaudamasis Lietuvos Respublikos administracinių bylų teisenos įstatymo 84, 86–87 straipsniais, 88 straipsnio 2 punktu, 132 straipsniu, 133 straipsniu

Rezoliucinė dalis

nusprendžia:

Pareiškėjo M. K. skundą tenkinti iš dalies.

Panaikinti Valstybinės duomenų apsaugos inspekcijos 2019 m. liepos 1 d. sprendimą Nr. 3R- 553 (2.13-1.) toje dalyje, kurioje liko neišnagrinėta pareiškėjo skundo dalis dėl UAB „Sergel“ pranešimo, kuriame nurodyta, kad pareiškėjo duomenys gali būti perduoti tretiesiems asmenims ir įpareigoti dėl šios dalies Valstybinę duomenų apsaugos inspekciją priimti naują sprendimą.

Likusią skundo dalį atmesti.

Sprendimas per trisdešimt kalendorinių dienų nuo jo paskelbimo dienos gali būti skundžiamas apeliacine tvarka Lietuvos vyriausiajam administraciniam teismui, skundą paduodant per Vilniaus apygardos administracinį teismą.