Regionų apygardos administracinio teismo sprendimas

3.2. Pareiškėja pažymi, kad BDAR 5 straipsnio 1 dalies a) ir c) ir e) punktuose yra įtvirtinta, jog asmens duomenys turi būti: duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas); adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas); laikomi tokia forma, kad duomenų subjektų tapatybę būtų galima nustatyti ne ilgiau nei tai yra būtina tais tikslais, kuriais asmens duomenys yra tvarkomi (saugojimo trukmės apribojimo principas).

3.3. Pareiškėja pabrėžia, kad ji rūpestingai ir tvarkingai ruošėsi BDAR įsigaliojimui, t. y. padarė atitinkamą auditą šioje srityje, kad išsiaiškintų visas rizikas, sutvarkė reikiamą dokumentaciją, įdiegė techninių ir organizacinių priemonių sistemas, kurias iki šiol puoselėja, ir atliko visus kitus būtinus veiksmus. Tyrimo metu pareiškėja pateikė Inspekcijai visą informaciją apie atitiktį BDAR įtvirtintoms nuostatoms.

4.3. Pareiškėja sutiko, kad duomenų saugumo pažeidimo metu už duomenų Bendrovėje saugumo bei IT infrastruktūros valdymo, diegimo ir priežiūros organizavimą buvo atsakingas vienas asmuo – Bendrovės techninis direktorius. Tačiau atkreipia dėmesį, kad tai, jog vienas asmuo buvo atsakingas už kelių funkcijų organizavimą nereiškia, kad šias funkcijas asmuo pats vienas ir vykdė. Pažymi, kad nei BDAR, nei kiti imperatyvūs Bendrovės veiklai taikomi teisės aktai nenumato pareigos atskirti atsakomybių už minėtų sričių organizavimą. Todėl vien tai, kad Bendrovės Technikos direktorius buvo atsakingas už kelių funkcijų įgyvendinimo organizavimą, nesudaro prielaidos teigti, kad Bendrovėje nebuvo užtikrintos tinkamos techninės ir organizacinės duomenų saugumo priemonės.

4.5. Darydama išvadą dėl pareiškėjos neatitikties BDAR 5 straipsnio 1 dalies f) punktui bei 32 straipsnio 1 dalies b) punktui, Inspekcija rėmėsi faktu, kad Bendrovėje įvyko duomenų saugumo pažeidimas. Tačiau Bendrovė nesutinka, kad faktas, jog įvyko duomenų saugumo pažeidimas, leidžia daryti kategorišką išvadą dėl Bendrovės neatitikties BDAR numatytiems organizacinio ir techninio saugumo reikalavimams. Bendrovės vertinimu, spręsdama dėl jos taikomų organizacinių ir techninių saugumo priemonių tinkamumo, Inspekcija turėjo tirti ir vertinti pareiškėjos faktiškai taikomų priemonių visumą, tačiau tai nebuvo atlikta. Pareiškėja Inspekcijai yra pateikusi detalius paaiškinimus apie saugumo priemones, taikomas MIP sistemoje, o taip pat pridėjusi tai patvirtinančius dokumentus. Tačiau Inspekcija, darydama išvadą dėl organizacinių ir techninių saugumo priemonių tinkamumo, į pateiktus paaiškinimus ir juos pagrindžiančius dokumentus neatsižvelgė ir jų nevertino, kas dar kartą patvirtina, kad VDAI neskyrė pakankamai dėmesio įrodymų tyrimui, t. y. pareiškėjos taikomų techninių saugumo priemonių tikrinimui dėl atitikties BDAR nuostatoms. Bendrovė pažymi, kad įgyvendindama Lietuvos banko valdybos 2014 m. rugsėjo 30 d. nutarimu Nr. 03-172 patvirtintų Minimalių saugumo reikalavimų, keliamų internetu atliekamiems mokėjimams, 21 punkto reikalavimus, MIP dalyvaujančių sistemų duomenų prieigos saugumui ir kontrolei užtikrinti Bendrovė taiko daugiapakopes saugumo priemones. Bendrovei teikiant MIP dėl Bendrovės taikomų techninių saugumo priemonių, nei finansinių įstaigų darbuotojai, prie kurių valdomų el. bankininkystės ar kitokių el. mokėjimo operacijų sistemų mokėtojo vardu jungėsi Bendrovė, atlikdama mokėjimo inicijavimo operacijas, nei jokie kiti tretieji asmenys, kuriems Bendrovės direktoriaus įsakymu nėra suteikta prieiga, nebuvo sudaroma galimybė prieiti prie mokėjimo inicijavimo operacijų informacijos

4.6. Inspekcija turėjo įgaliojimus tyrimo metu atvykti į pareiškėjos patalpas, prieiti prie duomenų tvarkymo įrangos ir objektyviai įsitikinti Bendrovės taikomomis techninėmis ir organizacinėmis duomenų saugumo priemonėmis, tačiau šių veiksmų Inspekcija neatliko. Priešingai, Inspekcija, darydama išvadas, tiek Sprendime, tiek ir kituose teiktuose raštuose dėl neva nuolatinio pareiškėjos MEV darymo, tariamo perteklinių asmens duomenų tvarkymo, rėmėsi išimtinai pareiškėjos konkurento (duomenys neskelbtini) nurodyta informacija, nepatikrinusi tokios informacijos pagrįstumo bei teisėtumo, kas nulėmė nevisapusišką ir neobjektyvų situacijos tyrimą bei nepagrįsto Sprendimo priėmimą. Pareiškėja pabrėžia, jog Bendrovė yra Lietuvos Respublikoje licencijuota elektroninių pinigų įstaiga, todėl jai, kaip elektroninių pinigų įstaigai, yra taikomi Lietuvos Respublikos elektroninių pinigų ir Lietuvos Respublikos elektroninių pinigų įstaigų įstatymai, Lietuvos banko nutarimas dėl minimalių saugumo reikalavimų, keliamų internetu atliekamiems mokėjimams. Šiuose teisės aktuose numatyti itin aukšti, BDAR standartus atitinkantys informacinio ir kibernetinio saugumo reikalavimai. Šių reikalavimų laikymosi užtikrinimo Bendrovėje priežiūrą atlieka Lietuvos bankas, vadovaudamasis Lietuvos Respublikos banko įstatymu bei Lietuvos banko prižiūrimų finansų rinkos dalyvių inspektavimo nuostatais. 2018 m. liepos 12 d. Lietuvos banko valdybos pirmininko įsakymu 2018 m. liepos 16 – 27 d. buvo nuspręsta atlikti pareiškėjos neplaninį tikslinį inspektavimą (toliau – ir Inspektavimas) (e. bylos III tomas, b. l. 432–435). Atlikęs Inspektavimą, Lietuvos bankas 2018 m. gruodžio 17 d. priėmė sprendimą dėl Inspektavimo rezultatų, kuriame padarė išvadą, kad elektroninių pinigų turėtojų interesai nebuvo pažeisti ir poveikio priemonės Bendrovei neskyrė. Tai akivaizdžiai parodo, kad Bendrovėje taikomos techninės saugumo priemonės yra efektyvios, patikimos, identifikuojančios rizikas, nustatančios saugumo priemones šioms rizikoms valdyti. Pažymi, jog ši informacija Inspekcijai buvo pateikta.

5.1. Sprendime Inspekcija daro išvadą, kad „Inspekcijai nebuvo pranešta apie įvykusį duomenų saugumo pažeidimą dėl aplaidumo“. Remdamasi šia išvada, Sprendime konstatuota, kad pareiškėja pažeidė BDAR 33 straipsnį, reglamentuojantį duomenų valdytojų pareigas, susijusias su pranešimu priežiūros institucijai apie įvykusį asmens duomenų saugumo pažeidimą. Pareiškėja nesutinka su tokiomis išvadomis. Nesutikimą pareiškėja grindžia toliau šiame Skunde išdėstytais argumentais.

5.2. BDAR 4 straipsnio 12 dalis numato, kad asmens duomenų saugumo pažeidimas – tai toks saugumo pažeidimas, dėl kurio netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami persiųsti, saugomi arba kitaip tvarkomi asmens duomenys arba prie jų be leidimo gaunama prieiga. Savo ruožtu BDAR 33 straipsnio 1 dalis nustato, jog asmens duomenų saugumo pažeidimo atveju duomenų valdytojas nepagrįstai nedelsdamas ir, jei įmanoma, praėjus ne daugiau kaip 72 valandoms nuo tada, kai jis sužino apie asmens duomenų saugumo pažeidimą, apie tai praneša priežiūros institucijai, kuri yra kompetentinga pagal 55 straipsnį, nebent asmens duomenų saugumo pažeidimas neturėtų kelti pavojaus fizinių asmenų teisėms ir laisvėms.

5.3. Pareiškėja ne kartą yra nurodžiusi Inspekcijai teiktuose atsakymuose ir pateikusi dokumentus, patvirtinančius, kad 2018 m. liepos mėn. Bendrovei tapo žinoma apie galimą incidentą MIP sistemoje, t. y. kad informacija, esanti po Nuoroda galimai gali būti prieinama iš išorės. Nurodytą incidentą pareiškėja užregistravo ir ištyrė, t. y. ėmėsi skubių veiksmų, siekdama patikrinti ir užtikrinti sistemos prieigos ir joje esančių duomenų saugumą.

5.4. Remiantis pareiškėjos vidinio tyrimo metu nustatyta informacija, aptikus anksčiau nurodytą specialią Nuorodą ir prie jos prisijungus buvo galima pamatyti mokėjimo žurnalus, kuriuose buvo užfiksuoti atliktų mokėjimų statistiniai duomenys bei pareiškėjos klientų (tiek fizinių (t. y. duomenų subjektų), tiek juridinių asmenų) elektroninio pašto adresai. Pareiškėja nustatė, kad po Nuoroda galimai matomi vienos savaitės mokėjimų operacijas apimantys mokėjimo žurnalai. Peržiūrėjus juos nustatyta, kad šiuose vienos savaitės laikotarpį apimančiuose žurnaluose atsispindi 58 pareiškėjos klientų fizinių asmenų (t. y. duomenų subjektų) el. pašto adresai. Tą pareiškėja ir nurodė Inspekcijai savo atsakymuose, t. y. jog incidento metu, prisijungus prie Nuorodos, galimai buvo įmanoma pamatyti 58 elektroninio pašto adresus, kuriuose buvo asmens duomenis sudaranti informacija. Atsižvelgdama į tai, pareiškėja nesutinka su Sprendime nurodyta informacija, jog tyrimo metu Inspekcija nustatė, kad minėto saugumo pažeidimo metu buvo suteikta neautorizuota prieiga prie banko paslaptį sudarančios informacijos, t. y. – „daugiau nei 9 000 MEV su 12 skirtingų bankų, esančių skirtingose valstybėse, klientų mokėjimo sesijų detalių puslapiais“. Pareiškėja atkreipia dėmesį, kad tyrimo metu informaciją apie MEV Inspekcijai pateikė (duomenys neskelbtini), nurodydama neva iš pareiškėjos sistemų surinktų MEV skaičių. Tačiau, kaip jau nurodyta aukščiau, pačios Inspekcijos pareiškėjai pateikta tyrimo medžiaga patvirtina, kad Inspekcijai nebuvo pateikti minėti daugiau nei 9000 MEV, todėl pareiškėjai yra nesuprantama, kuo remdamasi Inspekcija daro išvadą apie daugiau nei 9000 pareiškėjos tariamai darytų ir neautorizuotai atskleistų MEV. Pareiškėjos vertinimu, nurodytos aplinkybės dar kartą patvirtina Inspekcijos teiginių nepagrįstumą ir neobjektyvumą.

5.5. Pareiškėja pastebi, jog pagal Lietuvos Respublikos bankų įstatymo 55 straipsnį, elektroninio pašto adresai nėra laikomi banko paslaptimi. Be to, el. pašto adresai, kuriuose yra asmens duomenis sudaranti informacija, nėra jautraus pobūdžio informacija, kurios atskleidimas galėtų sukelti duomenų subjektams žalos. Pareiškėja nurodo, jog: 1) įvykusio duomenų saugumo pažeidimo metu Pareiškėjas nustatė, kad išorės prieigos galimybė buvo tik prie 58 duomenų subjektų elektroninio pašto adresų, t. y. nejautrių asmens duomenų; 2) nurodyti duomenys galėjo būti atskleisti tik paspaudus specialią Nuorodą, kuri yra viešai nepublikuojama (skirta vidiniam naudojimui) ir kuri galėjo būti aptikta itin mažo ir itin specialias žinias turinčių asmenų rato; 3) Pareiškėja nedelsdama ėmėsi veiksmų, kad saugumo pažeidimas būtų operatyviai ištirtas ir užkardytas, t. y. Bendrovė skubiai atstatė prarastas saugumo pakopas, tokiu būdu sumažindama duomenų saugumo pažeidimo mastą iki minimumo ir užkirsdama kelią bet kokiai tolesnei neteisėtai prieigai prie duomenų ir bet kokioms galimoms tolesnėms duomenų saugumo pažeidimo pasekmėms. Todėl pareiškėja nusprendė, kad įvykęs duomenų saugumo pažeidimas neturėtų kelti pavojaus duomenų subjektų teisėms ir laisvėms, todėl, vadovaudamasi BDAR 33 straipsnio 1 dalimi, pareiškėja Inspekcijai apie įvykusį saugumo pažeidimą nepranešė.

5.6. Akcentuoja, jog dėl minėto 2018 m. liepos 9–10 d. įvykusio duomenų saugumo pažeidimo į Bendrovę nėra kreipęsis nė vienas duomenų subjektas. Iš Inspekcijos pateiktos informacijos pareiškėjai tyrimo metu taip pat matyti, kad nė vienas duomenų subjektas nėra kreipęsis su pretenzijomis Bendrovės atžvilgiu ir į Inspekciją. Tai leidžia teigti, kad pareiškėjos padaryta išvada dėl to, kad duomenų subjektams žala dėl įvykusio saugumo pažeidimo kilti neturėtų, yra teisinga, o sprendimas neinformuoti Inspekcijos – pagrįstas. Papildomai pareiškėja pažymi, kad Lietuvos bankas, atlikęs Inspektavimą, taip pat konstatavo, kad dėl įvykusio saugumo pažeidimo elektroninių pinigų turėtojų interesai nebuvo pažeisti. Šios aplinkybės parodo, kad Inspekcijos paskirta bauda, sudaranti (duomenys neskelbtini) procento pareiškėjos 2018 finansinių metų bendrosios metinės pasaulinės apyvartos, yra visiškai neproporcinga įvykusio saugumo pažeidimo mastui, o Sprendimas, kuriuo tokia bauda paskirta, privalo būti panaikintas.

6. Dėl Inspekcijos procedūrinių pažeidimų

6.1. Pareiškėja pažymi, jog tyrimo metu Inspekcija: 1) vilkino tyrimo procesą; 2) neišsamiai, nevisapusiškai, tendencingai tyrė gautą informaciją; 3) nesuteikė pareiškėjai galimybės susipažinti su visa tyrimo medžiaga.

6.2. Inspekcijos iniciatyva tyrimas ir (ar) patikrinimas atliekamas ne ilgiau kaip 4 mėnesius nuo sprendimo atlikti tokį tyrimą ir (ar) patikrinimą priėmimo dienos. Pareiškėja pažymi, jog Inspekcija pareiškėjos tyrimą vykdė ilgiau nei 9 su puse mėnesio – pirmąjį Inspekcijos raštą su prašymu pateikti informaciją Inspekcija siuntė 2018 m. liepos 31 d., į kurį Bendrovė atsakė ir pateikė visą prašomą informaciją nepažeisdama nurodyto termino. Kitą raštą su papildomais prašymais pateikti informaciją Bendrovė gavo 2018 m. lapkričio 21 d., t. y. likus vos 9 dienoms iki Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ir ADTAĮ) numatyto leidžiamo tyrimui termino pabaigos. Sprendimas pareiškėjos atžvilgiu buvo priimtas tik 2019 m. gegužės 14 d. Atkreipia dėmesį, kad pareiškėjai Inspekcija nepateikė jokios informacijos apie tyrimo pratęsimą, Inspekcijos sprendimo dėl tyrimo pratęsimo taip pat nebuvo ir tyrimo medžiagoje, kurią Bendrovė gavo iš Inspekcijos 2018 m. gruodžio 4 d. ir 2019 m. kovo 4 d.

7.1. Pareiškėjos nuomone, jos atlikti ir nuolat atliekami kryptingi ir nuoseklūs BDAR įgyvendinimo veiksmai, geranoriškas bendradarbiavimas su Inspekcija tyrimo eigoje (Bendrovė teikė išsamius paaiškinimus, ruošė Inspekcijos prašomus dokumentus, tokius kaip sistemų aprašymai, schemos ir pan.), efektyvūs saugumo pažeidimo užkardymo veiksmai, kurių pareiškėja ėmėsi vos tik sužinojusi apie galimą saugumo incidentą, parodo, kad pareiškėja skyrė didelį dėmesį asmens duomenų apsaugai, todėl, pareiškėjos vertinimu, Inspekcijos Sprendimas skirti pareiškėjai baudą už BDAR 5, 32 ir 33 straipsnių pažeidimus, visiškai neatitinka Inspekcijos veiklai keliamų reikalavimų bei Inspekcijos viešai išsakytos pozicijos apie tai, kaip Inspekcija vertins ir į ką atsižvelgs, spręsdama dėl baudų ar kitų poveikio priemonių skyrimo.

7.2. Papildomai Bendrovė atkreipia dėmesį, jog iki Sprendimo priėmimo dienos Inspekcija nebuvo paskyrusi, išskyrus toliau Skunde nurodytą Inspekcijos Priežiūros skyriaus vedėjos paminėtą Inspekcijos internetiniame tinklalapyje neviešintą baudą savivaldybės įmonei, ir išviešinusi nė vienos baudos už BDAR reikalavimų nesilaikymą, nors yra atlikusi duomenų valdytojų tyrimų ir nustačiusi BDAR reikalavimų nesilaikymo atvejų. Vadovaujantis Inspekcijos internetiniame tinklalapyje viešai prieinama informacija: 1) 2018 m. lapkričio 23 d. duomenimis, Inspekcija nebuvo skyrusi baudų pagal BDAR, tačiau iš savo iniciatyva atliktų 19 tikrinimų po 2018 m. gegužės 25 d., kai pradėtas taikyti BDAR, 18 atvejų Inspekcija pateikė organizacijoms nurodymus dėl netinkamo asmens duomenų tvarkymo; 2) 2018 m. spalio 29 d. duomenimis, per pirmus tris 2018 m. ketvirčius Inspekcija atliko net 139 duomenų valdytojų tikrinimus. Atlikus tikrinimus duomenų valdytojams pateikta 34 nurodymai dėl neteisėto asmens duomenų tvarkymo, dėl organizacinių, techninių priemonių, dėl duomenų tvarkymo principų, dėl duomenų teikimo ir dėl duomenų subjektų teisių; 3) 2018 m. rugpjūčio–rugsėjo mėnesį Inspekcija atliko tikrinimus didžiosiose bendrovėse, veikiančiose maisto, namų apyvokos prekių parduotuvių ir vaistinių sektoriuje. Iš tikrintų 12 bendrovių 11 tvarko fizinių asmenų duomenis lojalumo programos ir tiesioginės rinkodaros tikslais. Visose jose rasta asmens duomenų tvarkymo pažeidimų. Vadovaujantis Inspekcijos pateikta informacija, buvo nustatyti tokie pažeidimai, kaip netinkamo BDAR nustatyto asmens duomenų tvarkymo pagrindo taikymas (nustatyta trijose organizacijose), perteklinių asmens duomenų tvarkymas (keturiose organizacijose), neskaidrios ir neteisingos informacijos duomenų subjektams teikimas, nenustatyti arba nustatyti nepagrįstai ilgi duomenų saugojimo terminai. Iš pateiktos informacijos matyti, kad nustatyti rimti BDAR pažeidimai, tačiau nė vienai iš tikrintų bendrovių baudos neskirtos – duoti nurodymai pažeidimams ištaisyti; 4) 2019 m. gegužės 30 d. duomenimis, Inspekcija patikrino trims įmonėms priklausančius sporto klubus dėl biometrinių asmens duomenų tvarkymo. Atlikus tikrinimus nustatyta, kad bendrovės tvarko piršto antspaudo modelius, vadinamuosius binarinius kodus, praėjimo į sporto klubus ir darbo vietos kontrolės tikslu. Inspekcijos tikrintoms bendrovėms pateikė nurodymus pašalinti nustatytus BDAR pažeidimus, tačiau jokios baudos neskyrė, nors ir nustatė, kad bendrovės pažeidė BDAR dėl neteisėto biometrinių (itin jautrių) duomenų tvarkymo.

7.4. Pareiškėjos manymu, svarbu atkreipti dėmesį ir į tai, kad Inspekcijos internetiniame tinklapyje kaip pirmą už BDAR reikalavimų nesilaikymą Lietuvos Respublikoje paskirtą baudą nurodo būtent pareiškėjai skirtą baudą. Inspekcijos pranešime spaudai pateikia itin detalią informaciją apie baudos skyrimą pareiškėjai, t. y. 1) Pareiškėjos pavadinimą,; 2) baudos sumą; 3) pažeidimų rūšis: (a) netinkamas asmens duomenų tvarkymas; (b) asmens duomenų paviešinimas; (c) pranešimo apie asmens duomenų saugumo pažeidimą nepateikimas; 4) pažeidimų detalų aprašymą, įkaitant aplinkybių, kurių Inspekcija netyrė (daugiau kaip 9000 MEV), nurodymą. Visgi paaiškėjo, kad ši bauda nėra pirmoji Lietuvos Respublikoje skirta bauda už BDAR nuostatų pažeidimą, tačiau dėl visiškai nesuprantamų ir, pareiškėjos vertinimu, diskriminuojančių priežasčių yra vienintelė iki šiol Inspekcijos paviešinta. Pareiškėjai tokia informacija tapo žinoma 2019 m. gegužės 24 d. praktinėje konferencijoje „(duomenys neskelbtini)“, kurios metu Inspekcijos Priežiūros skyriaus vedėja nurodė, kad „baudos buvo skirtos tiktai dviem atvejais, <...>. Viena iš jų buvo skirta savivaldybės įmonei. Bauda skirta dėl to, kad nebuvo tinkamai įvykdytas priežiūros institucijos nurodymas. Neįvykdžius, kai buvo duotas nurodymas ir buvo pasakyta, ką reikia padaryti, ir neįvykdžius, turbūt valdytojas irgi nelabai gali tikėtis kitokios poveikio priemonės“.

1. Pareiškėja skundą iš esmės grindžia tuo, jog, jos teigimu, Inspekcija prieš priimdama Sprendimą privalėjo atlikti tikrinimus vietoje Bendrovėje ir (duomenys neskelbtini), nesiremti (duomenys neskelbtini), kaip pareiškėjos konkurento patiektais įrodymais, taip pat turėjo atsižvelgti į priemones, kurių pareiškėja ėmėsi po 2018 m. liepos 9–10 d. įvykusio duomenų saugumo pažeidimo pareiškėjos MIP sistemoje.

1.2 Pareiškėja nei tyrimo metu, nei skunde nepagrindė bei nenurodė jokių aiškių motyvų, kodėl Inspekcija negalėjo remtis (duomenys neskelbtini) užfiksuotais įrodymais, ar kodėl šie įrodymai nėra tinkami. Nenurodė taip pat, kodėl įrodymais negali būti pasitikima. Juo labiau, kad pareiškėja savo raštais Inspekcijai patvirtino (duomenys neskelbtini) pateiktą informaciją. Tai, jog (duomenys neskelbtini) galimai yra pareiškėjos konkurentas, automatiškai nepadaro jos pateiktos informacijos neteisinga.

1.3 Atsakovė pažymi, jog (duomenys neskelbtini), kaip mokėjimo paslaugų tiekėjas, yra įsidiegęs sukčiavimo nustatymo ir prevencijos sistemą, kuri pareiškėjos atveju, aptiko neįprastus ir nestandartinius kreipinius iš išorinių sistemų IP adresų. Pareiškėjos MIP sistema, vartotojams atliekant mokėjimus, periodiškai darė visų vartotojų mokėjimo sesijos MEV, nors toks MEV darymas nėra reikalingas sėkmingam mokėjimo operacijos atlikimui ir nėra standartinis (tipinis) vartotojo elgesys, atliekant mokėjimą. Todėl, atsakovės vertinimu, (duomenys neskelbtini) Prevencijos sistema identifikavo tai, kaip įtartiną, galimai keliančią grėsmę duomenų saugumui veiklą ir pradėjo vidinį tyrimą dėl saugumo incidento, nes toks vartotojo elgesys, atliekant mokėjimą, yra neįprastas. Pažymi, jog (duomenys neskelbtini) turi savo Saugumo incidentų tyrimų tarnybą ir nuolat kibernetinio saugumo srityje dirbančių specialistų, kurie užsiima kibernetinio bei duomenų saugumo užtikrinimu ir prevencija bei kibernetinių incidentų, įskaitant ir asmens duomenų saugumo pažeidimus, tyrimais, todėl, negavus konkrečių argumentų ir įrodymų, nėra pagrindo abejoti jų kompetencija šioje srityje ir pateikiamos informacijos tikslumu bei patikimumu.

1.4 Atsakovė taip pat nesutinka su teiginiu, jog reikėjo atsižvelgti į priemones, kurių pareiškėja ėmėsi po 2018 m. liepos 8–10 d. įvykusio duomenų saugumo pažeidimo pareiškėjos MIP sistemoje. Veiksmai, kurių pareiškėja ėmėsi Inspekcijos nustatytiems pažeidimams pašalinti, darbuotojų mokymams bei BDAR reikalavimų užtikrinimui, t. y. veiksmai, kurių pareiškėja ėmėsi po įvykusio asmens duomenų saugumo pažeidimo, nepaneigia fakto, kad Sprendime nustatyti pažeidimai buvo padaryti ir nepadaro Inspekcijos išdavų dėl nustatytų pažeidimų neteisingais. Juo labiau, kad Sprendimo teisingumo ir pagrįstumo nepaneigia tai, kad pareiškėja, sužinojusi apie gresiančią administracinę baudą, pradėjo MIP paslaugos pardavimo procesą. Pažymi, kad nors pareiškėja skundą grindžia ir tuo, kad parduoda MIP paslaugą, tačiau tyrimo metu šios, pareiškėjos teigimu, reikšmingos Sprendimo pagrįstumui, informacijos pareiškėja nepateikė.

2. Skunde pažymima, jog Sprendime nurodyta, jog tyrimo metu nustatyta, kad pareiškėjos MIP sistema mokėjimo operacijų atlikimo metu daro MEV, nors, pareiškėjos teigimu, šie teiginiai neatitinka faktinės situacijos, kadangi MEV nėra daromi ir saugomi, o Inspekcija nepateikė jokių tokius teiginius pagrindžiančių įrodymų.

2.1. Be Sprendime pateiktų argumentų dėl MEV asmens duomenų tvarkymo papildomai pažymi, kad pareiškėja skunde pati dar kartą patvirtina, kad tvarko MEV asmens duomenis. Atsakovė daro išvadą, jog pareiškėja tvarko (prieina, renka) MEV asmens duomenis (priklausomai nuo mokėtojo naudojamo banko tvarkomi šie asmens duomenys: mokėtojo vardas, pavardė, turimų banko (įskaitant mokėjimo kortelių) sąskaitų numeriai, jų valiuta, likučiai, rezervuotos sumos; paskutinių atliktų operacijų informacija (data, mokėtojo arba gavėjo pavadinimas, mokėjimo paskirtis, suma), neperžiūrėtų elektroninių sąskaitų pateikimo datos, siuntėjų pavadinimai bei sumos, neperskaitytų pranešimų pateikimo datos, temos ir dalis pranešimo teksto, turimų paskolų paskirtys, pobūdžiai, sumos, pensijų fondų pavadinimai, sukaupti vienetai, jų vertė, sukauptos sumos, paskutinio prisijungimo datos, turimų indėlių pobūdis (terminuotas, taupomasis ir pan.), valiutos, sumos, palūkanos, terminai, kredito tipai (pvz., būsto), mokėtini likučiai, kitų mokėjimų sumos bei datos, išduotų mokėjimo kortelių numeriai ir jose esančios sumos. Ši išvada padaryta ir Sprendime (skiltis „Dėl asmens duomenų tvarkymo momentiniuose ekrano vaizduose“).

2.2. Pareiškėja nurodo, jog MIP sistemos atliekamas fiksavimas nereiškia MEV darymo ir saugojimo – darbalaukio duomenų fiksavimas reiškia, kad MIP sistemai tampa matoma mokėtojo (duomenų subjekto) el. bankininkystės darbalaukyje atvaizduoja informacija, įskaitant ir ten esančius nurodytus mokėtojo asmens duomenis. Pareiškėja, atsakovės vertinimu, bando paneigti savo 2018 m. rugpjūčio 20 d. raštu pateiktą informaciją, kad mokėjimo atlikimo metu programa automatiškai fiksuoja darbalaukio duomenis – MEV, kurie yra daromi ir toliau tvarkomi tam, kad būtų tinkamai įvykdytas mokėtojo inicijuotas mokėjimas. Šiame rašte pareiškėja taip pat nurodė, jog šie duomenys yra reikalingi teikiant mokėjimų iniciavimo paslaugą ir yra būtini įvykdyti inicijuotą mokėjimą. Jie automatiškai išsitrina po 10 minučių, kai yra užbaigiamas inicijuotas mokėjimas. Žodis „fiksuoti“, atsakovės vertinimu, negali būti suvokiamas, kaip reiškiantis ko nors matymą. Atvirkščiai, šis žodis aiškiai reiškia ko nors registravimą, užrašymą, kas ir yra nustatyta įvertinus surinktus įrodymus Inspekcijos Sprendime ir ką tyrimo pradžioje patvirtino ir pati pareiškėja. Dar daugiau, pareiškėjos teiginiams apie tai, kad MIP sistemai tik tampa matomi, bet nėra išsaugomi (renkami) MEV asmens duomenys, prieštarauja ne tik tyrimo metu surinkti įrodymai, užfiksuoti (duomenys neskelbtini) ekspertų, kurie, atlikdami teisės aktuose nustatytas prievoles, nustatė neautorizuotos prieigos galimybę prie pareiškėjos užfiksuotų ir išsaugotų MEV, bet ir pati pareiškėja savo 2018 m. rugpjūčio 20 d. rašte nurodžiusi, kad MEV asmens duomenys automatiškai išsitrina po 10 minučių, kai yra užbaigiamas inicijuotas mokėjimas. Atsakovė pažymi, kad MEV asmens duomenų ištrynimas nėra įmanomas ir logiškai nebūtų paaiškinamas, jei, kaip teigia pareiškėja, MEV nėra išsaugomi, kitaip sakant, nėra įmanoma ir tikslinga ištrinti tai, ko nėra (kas nebuvo išsaugoti ir (ar) užfiksuota).

3. Pareiškėja skunde nurodo, kad neturėjo pareigos informuoti duomenų subjektų apie teikiant mokėjimo inicijavimo paslaugas tvarkomus MEV, kadangi pareiškėja, jos teigimu, MEV nedaro.

Tyrimo metu surinkta medžiaga ir pačios pareiškėjos paaiškinimai pagrindžia, kad ji tvarko MEV asmens duomenis. Nepriklausomai nuo to, ar prie duomenų yra tik prieinama, ar jie dar ir papildomai yra fiksuojami bei toliau saugomi, vadovaujantis BDAR 14 straipsniu, duomenų subjektai apie tokių asmens duomenų tvarkymą privalo būti informuojami. Tai, kad po Inspekcijos nustatytų pažeidimų pareiškėja ėmėsi veiksmų, ne tik nepaneigia fakto, kad buvo pažeidžiama duomenų subjekto teisė būti informuotam apie jo asmens duomenų tvarkymą, bet ir parodo, kad pareiškėja de facto sutiko su Inspekcijos nustatytu pažeidimu.

4. Pareiškėja nesutinka, kad ji neužtikrino, jog asmens duomenys būtų tvarkomi tokiu būdu, kad taikant atitinkamas technines ar organizacines priemones būtų užtikrintas pavojų atitinkančio lygio saugumas, įskaitant apsaugą nuo neteisėto tvarkymo, atskleidimo ir tuo pažeidė BDAR 5 straipsnio 1 dalies f punktą ir 32 straipsnio 1 straipsnio b punktą. Taip pat nurodo, kad faktas, jog įvyko duomenų saugumo pažeidimas, neleidžia daryti kategorišką išvadą dėl pareiškėjos neatitikties BDAR numatytiems organizacinio ir techninio saugumo reikalavimams.

4.1. Pareiškėja neteisi teigdama, jog Lietuvos banko atlikto Inspektavimo rezultatai patvirtina, jog pareiškėja ne tik Inspektavimo metu užtikrino tinkamas duomenų saugumo priemones, bet tokios priemonės buvo užtikrintos ir 2018 m. liepos 9–10 d. Atsakovė pažymi, jog Lietuvos banko Priežiūros tarnybos direktoriaus 2018 m. gruodžio 17 d. sprendime Nr. 241-274 „Dėl Mistertango, UAB, inspektavimo rezultatų“ 4 punkte nurodyta, kad Inspektavimo metu buvo nustatyta veiklos trūkumų, susijusių su prieigos prie informacinių sistemų valdymu. Taip pat sprendime nustatyta, kad pareiškėja nėra reglamentavusi prieigos prie informacinių sistemų valdymo proceso, kuriame būtų aiškiai nustatytos kiekvieno vartotojo arba vartotojų grupės prieigų valdymo taisyklės (prieigų suteikimas, atšaukimas, taikomos kontrolės priemonės) ir galimos, t. y. pareiškėjos nustatytos kaip standartinės, vartotojų prieigos teisės bei išimtinių prieigos teisių suteikimo, atšaukimo ir kontrolės taisyklės. Inspektuojamu laikotarpiu pareiškėja nevertino, ar suteiktas prieigos lygis atitinka vartotojo veiklos tikslą ir pobūdį, nebuvo vykdoma periodinė prieigos teisių peržiūra, nebuvo tikrinama, ar nėra naudojamasi nedirbančių ar kitų darbuotojų bendro naudojimo vartotojų prieigos teisėmis, nebuvo sustiprintos privilegijuotų vartotojų prieigos kontrolės bei nurodyta šiuos trūkumus pašalinti. Tai atitinka ir Inspekcijos sprendime nustatytoms aplinkybėms bei padarytoms išvadoms.

4.2. Taip pat, skirtingai nei teigia pareiškėja, vien faktas, kad 2018 m. liepos 9–10 d. įvyko asmens duomenų saugumo pažeidimas, savaime reiškia, kad nebuvo užtikrintas pareiškėjos tvarkomų asmens duomenų saugumas. Tai, kad pareiškėja neužtikrino tinkamų duomenų saugumo priemonių patvirtina ir pati pareiškėja, tiek savo 2019 m. kovo 8 d. rašte ir žodinio bylos nagrinėjimo metu, tiek ir skunde teismui nurodydama, kad, ištyrusi incidentą ji operatyviai atstatė prarastas saugumo pakopas, dėl kurių įvyko saugumo pažeidimas, atliko jų testą ir įsitikino tinkamu veikimu, t. y. ėmėsi skubių techninių saugumo priemonių.

4.3. Taip pat atsakovė nesutinka su teiginiu, jog tai, kad pareiškėjos Technikos direktorius buvo atsakingas už kelių funkcijų įgyvendinimo organizavimą, nesudaro Inspekcijai prielaidos teigti, kad pareiškėja neužtikrino tinkamų techninių ir organizacinių duomenų saugumo priemonių, kadangi BDAR nenumato detalių jų reikalavimų. Atsakovė pažymi, jog BDAR negali nustatyti tokių detalių saugumo reikalavimų, kaip, pvz., saugos užtikrinimo ir valdymo bei visos IT infrastruktūros (techninės ir programinės) valdymo, diegimo ir priežiūros funkcijų atskyrimo. Iki BDAR įsigaliojimo, pagal Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo 30 straipsnio 2 dalį, Inspekcija nustatė bendruosius reikalavimus organizacinėms ir techninėms duomenų saugumo priemonėms, taip pat šiuo metu galiojant BDAR turi būti remiamasi ne tik bendresniais BDAR reikalavimais, bet ir Europos Sąjungos kibernetinio saugumo agentūros (ENISA) metodinėmis rekomendacijomis dėl duomenų saugumo bei atitinkamais ISO standartais, leidžiančias spręsti dėl taikomų saugumo priemonių tinkamumo.

5. Dėl pareiškėjos teiginių, jog ji rūpestingai ir tvarkingai ruošėsi BDAR įsigaliojimui.

6. Pareiškėja nurodo nesutinkanti, kad turėjo prievolę pranešti Inspekcijai apie 2018 m. liepos 9–10 d. įvykusį asmens duomenų saugumo pažeidimą, kadangi šio pažeidimo metu buvo įmanoma pamatyti 58 elektroninio pašto adresus, kuriuose buvo asmens duomenis sudaranti informacija, kas neturėjo kelti pavojaus duomenų subjektų teisėms ir laisvėms. Be to, dėl minėto įvykio į pareiškėja nėra kreipęsis nė vienas duomenų subjektas.

6.1. Vertinant turimas organizacines ir technines saugumo priemones, duomenų valdytojai, taip pat ir pareiškėja, turėjo ir turi visapusiškai atsižvelgti į tvarkomų asmens duomenų pobūdį, aprėptį, kontekstą bei tikslus, kaip ir riziką, susijusią su pavojais fizinių asmenų teisėms ir laisvėms, bei užtikrinti šių priemonių tikrinimo, vertinimo ir veiksmingumo vertinimo procesą. Įvykus asmens duomenų saugumo pažeidimui, duomenų valdytojas turi būti pasiruošęs bet kuriuo momentu įvertinti poreikį asmenų pagrindinėms teisėms ir laisvėms, kylantį dėl galimo asmens duomenų saugumo praradimo. Pažymi, jog asmens duomenų saugumo pažeidimai pasižymi tuo, jog jiems įvykus, kartais nėra įmanoma tiksliai nustatyti poveikio ir žalos asmens duomenims ar net pačiam asmeniui. Pasitaiko, kad poveikis ir žala paaiškėja praėjus gana ilgam laiko tarpui po pažeidimo. Todėl, remiantis rizikos valdymo ir nustatymo metodais, yra nustatoma potenciali galima žala ir tam naudojama visa turima ar iš įvairių šaltinių prieinama informacija.

6.2. Rizikos vertinimas yra kokybinis nuolatinis procesas, kurio metu paprastai yra remiamasi turima nepilna, neišsamia ir fragmentuota informacija, todėl ir pareiškėjos atveju buvo būtina atsižvelgti į visą gautą informaciją ir vertinimus. Jei pareiškėja manė, kad ji gali patikslinti Inspekcijos turimą informaciją apie aptariamą asmens duomenų saugumo pažeidimą, ji turėjo pateikti įrodymus, t. y. išrašus, iš savo IT sistemų žurnalų šio pažeidimo arba ilgesniam laikotarpiui, kurie konkrečiai pagrįstų pareiškėjos teiginius, kad prisijungimų iš išorės vartotojų nenustatyta, arba, kad buvo prisijungęs tik, pvz., atitinkamas (duomenys neskelbtini) darbuotojas, kuris ir nustatė pažeidimą. Tačiau pareiškėja nepateikė konkrečių IT sistemų išrašų asmens duomenų saugumo pažeidimo laikotarpiui, nors Inspekcija to prašė. Įrodymų pateikimas išrašais iš IT sistemų žurnalų yra įprasta ir plačiai naudojama praktika, o negalėjimas pateikti tokių išrašų įvykus kibernetiniam incidentui ar duomenų saugumo pažeidimui signalizuoja apie tai, kad organizacijoje IT sistemų ir juose tvarkomų duomenų saugumui nėra skiriamas tinkamas dėmesys ir aplaidžiai atliekamos susijusios pareigos. Vietoje aptariamo išrašo, pareiškėja savo 2018 m. rugpjūčio 20 d. raštu Inspekcijai pateikė išrašą iš tarnybinės stoties apie prisijungimus prie nuorodos, kuri veda į mokėjimų sąrašą, laikotarpiui nuo 2018 m. balandžio 28 d. iki 2018 m. gegužės 4 d., t. y. laikotarpiui, nesusijusiam su aptariamu asmens duomenų pažeidimu. Žodinio bylos nagrinėjimo metu pareiškėja nurodė, kad pateiktas išrašas buvo pateiktas tik kaip pavyzdys, kokie duomenys yra fiksuojami, 2018 m. liepos 9–10 d. žurnalo duomenys nėra išlikę, o pareiškėja, jei būtų žinojusi, kad juos reikia pateikti už minėtą datą, būtų tokius duomenis pateikusi.

6.3. Atsakovė daro išvadą, kad pareiškėja, žinodama tiek apie įvykusį asmens duomenų saugumo pažeidimą, tiek apie Inspekcijos atliekamą tyrimą, tiek ir apie Lietuvos banko Inspektavimą, ne tik neveikė, kaip rūpestingas ir sąžiningas asmuo, netinkamai vykdė BDAR 33 straipsnio 5 dalies reikalavimus, bet ir nesiėmė priemonių sau naudingiems įrodymams išsaugoti ir pateikti Inspekcijai. Atsakovė papildomai pažymi, kad pareiškėja pati pripažįsta, kad prieigą prie prieinamo tinklalapio su pareiškėjos apdorotų mokėjimų sąrašų, kuriame buvo matomi įvairių bankų įstaigų klientų atlikti mokėjimai per pareiškėjos MIP sistemą su tų klientų asmens duomenimis, taip pat daugiau nei 9 000 MEV su 12 skirtingų bankų, esančių skirtingose valstybėse, klientų mokėjimo sesijų detalių puslapiais, turėjo bent jau itin siauras, specifines žinias turinčių asmenų raštas. Taigi, prie aptariamų duomenų bent jau 2 dienas buvo neautorizuota prieiga. Tai, kad šiuo metu nenustatytas aptariamų asmens duomenų netinkamas panaudojimas nereiškia, jog toks panaudojimas neįvyks ateityje.

7. Pareiškėjos teigimu, Inspekcija vilkino atlikti tyrimo procesą, neišsamiai ir nevisapusiškai, tendencingai tyrė gautą informaciją bei nesuteikė pareiškėjai galimybės susipažinti su visa tyrimo medžiaga.

7.1. ADTAĮ 20 straipsnio 4 dalis nustato, kad kai atliekant tyrimus ir (ar) patikrinimus Inspekcijos iniciatyva, vadovaujamasi BDAR 60 straipsniu, netaikomas šio įstatymo 21 straipsnis. Apie tai, kad atliekant aptariamą tyrimą yra vadovaujamasi BDAR 60 straipsniu, pareiškėja ne kartą buvo informuota (paskutinį kartą – žodinio bylos nagrinėjimo metu). Be to, Inspekcijos atlikto tyrimo terminai neturi įtakos pareiškėjos padarytų pažeidimų kvalifikavimui ir nepanaikina pareiškėjos atsakomybės už padarytus pažeidimus.

7.2. Dėl nepateiktos medžiagos nurodo, kad pareiškėjai buvo pateikta visa tyrimo medžiaga. Latvijos duomenų apsaugos inspekcijos pranešimu, kaip ir Inspekcijos rašto išsiuntimo gautu AB (duomenys neskelbtini) bankas 2018 m. liepos 27 d. raštu Nr. 01.08-878, Inspekcija nesirėmė priimdama Sprendimą, jie nebuvo atlikto tyrimo dalis, todėl jie ir nebuvo pateikti pareiškėjai. Be to, Latvijos duomenų apsaugos inspekcijos pranešime nebuvo jokios tyrimui naudingos informacijos ir jis tik buvo pagrindas tęsti minėtoje šalyje inicijuotą bendradarbiavimo procedūrą pagal BDAR 60 straipsnį, o AB (duomenys neskelbtini) banko rašte buvo pateikta analogiška informacija (duomenys neskelbtini) pateiktai informacijai, kuria remiantis Inspekcija jau buvo pradėjusi pareiškėjos tyrimą.

8. Skunde nurodoma, jog Sprendimas diskriminuoja pareiškėją, o Inspekcija, skirdama baudą, nesilaikė vieningos praktikos. Be to, Inspekcija viešojo erdvėje ne kartą nurodė, jog ji yra linkusi bendradarbiauti, o ne bausti. Taip pat, pareiškėjos teigimu, Inspekcija paviešino informaciją apie Sprendimą ir skirtą baudą, o apie savivaldybei skirtą baudą nebuvo pranešta visuomenei.

8.1. BDAR numato Inspekcijos pasirinkimo galimybę parenkant taisomąsias priemones. Tai atitinka BDAR 52 straipsnyje įtvirtintą Inspekcijos, kaip priežiūros institucijos nepriklausomumą. Tokia Inspekcijos teisė yra patvirtinta ir Lietuvos vyriausiojo administracinio teismo (toliau – ir LVAT) (žr., pvz., nutartis administracinėje byloje Nr. A822-2338/2012). Todėl Inspekcija, atlikusi pareiškėjos tyrimą, turėjo diskrecijos teisę nuspręsti dėl BDAR 58 straipsnio 2 dalyje numatytų taisomųjų veiksmų taikymo ir (ar) BDAR 83 straipsnyje numatytos administracinės baudos, kuri, pagal BDAR, turi būti veiksminga, proporcinga ir atgrasoma, skyrimo pareiškėjai. Sprendimu paskirdama baudą Inspekciją šią teisę įgyvendino. Inspekcija neturėjo atsižvelgti į pareiškėjos pageidavimus dėl baudos neskyrimo, kaip ir pareiškėjos argumentą, kad iki šios baudos paskyrimo, kitiems duomenų valdytojams baudos dar nebuvo skirtos.

1.2. Pareiškėja 2018 m. rugpjūčio 20 d. raštu (Inspekcijoje gautas – 2018 m. rugpjūčio 21 d., registracijos Nr. 1R-6373(2.14)) nurodė, be kita ko, jog 2018 m. liepos 9 d. pareiškėjai kilo įtarimas dėl galimo duomenų saugumo nepakankamumo, todėl pareiškėja panaikino nuorodą prie transakcijų žurnalo bei ėmėsi patikrinimo veiksmų. Atlikusi vidinį tyrimą pareiškėja neaptiko jokių pažeidimų, kurie galėtų turėti įtakos asmens duomenų praradimui ar neilstinam asmens duomenų sužinojimui. Visi prisijungimai prie nuorodos, kurioje buvo patalpinti inicijuotų mokėjimų duomenys, yra fiksuojami. Patikrinimo, ar nebuvo jungimosi prie nuorodos iš išorės metu, buvo peržiūrėti jungimosi prie nuorodos duomenys. Nustatyta, kad prie nuorodos buvo jungiamasi tik iš kompiuterių, kurie priklauso pareiškėjai. Neleistinų prisijungimų prie nuorodos pareiškėja neaptiko (atsakymas į 6 klausimą) (e. bylos III tomas, b. l. 20–26).

2.2. Tyrimo metu nustatyta, kad ne mažiau kaip 2 dienas (2018 m. liepos 9–10 d.) Nuoroda buvo prieinamas tinklalapis su pareiškėjos apdorotų mokėjimų sąrašu, kuriame buvo matomi įvairių bankų įstaigų klientų atlikti mokėjimai per pareiškėjos MIP sistemą su tų klientų asmens duomenimis, taip pat daugiau nei 9 000 MEV su 12 skirtingų bankų, esančių skirtingose valstybėse, klientų mokėjimo sesijų detalių puslapiais. Pastarieji duomenys galėjo būti matomi prie nurodyto adresu pridėjus kokios nors mokėjimo operacijos identifikatoriaus numerį, matomą mokėjimo sąrašo stulpelyje „(duomenys neskelbtini)“. Atidarius nuorodą buvo patenkama į sesijos detalių puslapį, kuriame buvo pateikiami MEV įvairiomis prisijungimo sesijos stadijomis (pvz., „(duomenys neskelbtini)“, „(duomenys neskelbtini)“, „(duomenys neskelbtini)“ ir pan.). Po kiekvienu iš vaizdų buvo nuoroda „(duomenys neskelbtini)“, kuri įgalino parsisiųsti pilną MEV vaizduojamo puslapio kodą HTML formatu, t. y. buvo prieinamas MEV sąrašas su nuorodomis į vaizduojamo HTML kodą ((duomenys neskelbtini)), MEV padarymo data ir sesijos stadija. Tyrimo metu nustatyta, kad pareiškėja 2018 m. liepos 9–10 d. neužtikrino prieigos kontrolės prie minėto adreso ir per jį galimų gauti asmens duomenų, t. y. jungiantis prie minėto adreso, nebuvo reikalauja autorizuotis – nurodyti vartotojo vardą ir slaptažodį. Prie nurodyto tinklalapio ir MEV asmens duomenų prieigą turėjo visų bankų, kuriuose naudojantis pareiškėjos MIP buvo atliekami mokėjimai, darbuotojai (įskaitant atvejus, jei būtų jungiamasi naudojantis VPN prie tokio darbuotojo darbo vietos), kas reiškia, kad, pavyzdžiui, vieno banko darbuotojas galėjo matyti kitų bankų klientų asmens duomenis, kurie jam įprastomis aplinkybėmis negalėtų būti prieinami. Įvertinusi tai, kad: 1) pareiškėja neužtikrino prieigos kontrolės prie MEV asmens duomenų, t. y. neužtikrino šių duomenų apsaugos nuo neteisėtos prieigos ir tvarkymo; 2) pareiškėjos saugos užtikrinimą ir valdymą bei visos Bendrovės IT infrastruktūros (techninės ir programinės) valdymą, diegimą ir priežiūrą vykdė vienas darbuotojas, Inspekcija darė išvadą, kad pareiškėja neužtikrino, kad asmens duomenys būtų tvarkomi tokiu būdu, kad taikant atitinkamas technines ar organizacines priemones būtų užtikrintas pavojų atitinkančio lygio saugumas, įskaitant apsaugą nuo neteisėto tvarkymo, atskleidimo, ir tuo pažeidė BDAR 5 straipsnio 1 dalies f punktą ir 32 straipsnio 1 dalies b punktą. Sprendime pažymima, jog veiksmai, kurių pareiškėja ėmėsi nustatytiems pažeidimams pašalinti, darbuotojų mokymams bei BDAR reikalavimų įgyvendinimo užtikrinimui, t. y. veiksmų, kurių pareiškėja ėmėsi po 2018 m. liepos 9–10 d. įvykusio asmens duomenų saugumo pažeidimo, nepaneigia to, kad pažeidimai buvo ir nepadaro Inspekcijos išvadų dėl nustatytų pažeidimų neteisingų.

2.3. MEV duomenys buvo prieinami 2018 m. liepos 9–10 d. Pareiškėja Inspekcijai ir (duomenys neskelbtini) pati nurodė, kad apie šį saugumo pažeidimą jai tapo žinoma 2018 m. liepos 9 d., tačiau Inspekcijai pareiškėja apie aptariamą saugumo pažeidimą nepranešė. Dar daugiau, Inspekcijai 2018 m. liepos 31 d. kreipusis į pareiškėją, ši 2018 m. rugpjūčio 20 d. raštu nepateikė Inspekcijai visos informacijos apie aptariamą pažeidimą, dėl ko Inspekcijai į Bendrovę teko kreiptis pakartotinai 2018 m. rugpjūčio 21 d. raštu. Šis atvejis, pareiškėjos teigimu, atitinka asmens duomenų saugumo pažeidimo, kaip jis yra apibrėžtas BDAR 4 straipsnio 12 dalyje, požymius. BDAR 5 straipsnio 2 dalyje numatytas esminis asmens duomenų tvarkymo principas – duomenų valdytojo atskaitomybės principas, reiškiantis, kad duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi BDAR 5 straipsnio 1 dalyje įtvirtintų asmens duomenų tvarkymo principų ir sugebėtų įrodyti, kad jų laikomasi. Pagal BDAR 24 straipsnio 1 dalį, atsižvelgdamas į duomenų tvarkymo pobūdį, aprėptį, kontekstą bei tikslus, taip pat įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemones, kad užtikrintų ir galėtų įrodyti, kad duomenys tvarkomi laikantis šio reglamento. Tos priemonės prireikus peržiūrimos ir atnaujinamos. Atsižvelgusi į byloje nustatytas aplinkybes, taip pat į minėtas BDAR nuostatas, Inspekcija darė išvadą, kad pareiškėja, nepranešdama Inspekcijai apie 2018 m. liepos 9–10 d. įvykusį asmens duomenų saugumo pažeidimą, pažeidė BDAR 33 straipsnį. Dėl pareiškėjos teiginių, jog dėl minėto incidento nekelia pavojaus duomenų subjektų teisėms ir laisvėms, taip pat kad dėl incidento nebuvo kreiptasi, Inspekcija nurodo, jog pareiškėja nepateikė jokių įrodymų minėtiems teiginiams pagrįsti, be to, pati pareiškėja pripažino, jog prieigą prie nuorodos turėjo bent jau itin siauras, specifines žinias turinčių asmenų ratas, taigi, prie duomenų buvo neautorizuota prieiga. Tai, kad tuo metu nenustatytas aptariamų asmens duomenų netinkamas panaudojimas, nereiškia, jog toks panaudojimas neįvyks ateityje, todėl išlieka grėsmė, kad asmens duomenų saugumo pažeidimo metu nukentėję duomenų subjektai gali ir ateityje patirti neigiamas pasekmes. Pareiškėjos teiginius, kad minėto saugumo pažeidimo metu buvo matomi tik 58 asmenų elektroninio pašto adresai, paneigia tyrimo metu surinkti įrodymai, patvirtinantys, kad minėto saugumo pažeidimo metu neautorizuota prieiga buvo prie daugiau nei 9 000 MEV su 12 skirtingų bankų, esančių skirtingose valstybėse, klientų mokėjimo sesijų detalių puslapiais, t. y. banko paslaptį sudaranti informacija, kas paneigia pareiškėjos teiginius, jog saugumo pažeidimo metu prieiga buvo tik prie nejautrių duomenų ir saugumo pažeidimas nekėlė pavojaus duomenų subjektų teisėms ir laisvėms.

Pareiškėja ginčija padarytus pažeidimus, teigia, kad atsakovė atliko tyrimą neišsamiai, nevertino pareiškėjos įrenginių, neatliko apžiūros vietoje, be to, neišsamiai įvertino pareiškėjos pateiktus paaiškinimus, nevertino Lietuvos banko atlikto tyrimo rezultatų. Teismas pasisakys dėl pareiškėjos pateiktų argumentų.

Pareiškėja nurodo, kad atsakovė atliko tyrimą neišsamiai, nevertino pareiškėjos įrenginių, neatliko apžiūros vietoje, be to, neišsamiai įvertino pareiškėjos pateiktus paaiškinimus, nevertino Lietuvos banko atlikto tyrimo rezultatų. Pareiškėjos atstovas advokatas, remdamasis teismine praktika ir pripažintų teisės mokslininkų teiginiais, teismo posėdyje itin daug dėmesio kreipė į tai, kad, esą, atsakovė turėjo įrodyti pažeidimą, nes jis yra administracinio pobūdžio (taigi, net turintis baudžiamojo nusižengimo bruožų), todėl įrodinėjimo našta, esą, gula ant atsakovės. Teismas nesutinka su tokia pozicija.

Pareiškėjos teigimu, Inspekcija vilkino atlikti tyrimo procesą, neišsamiai ir nevisapusiškai, tendencingai tyrė gautą informaciją bei nesuteikė pareiškėjai galimybės susipažinti su visa tyrimo medžiaga. ADTAĮ 20 straipsnio 4 dalis nustato, kad kai atliekant tyrimus ir (ar) patikrinimus Inspekcijos iniciatyva, vadovaujamasi BDAR 60 straipsniu, netaikomas šio įstatymo 21 straipsnis. Apie tai, kad atliekant aptariamą tyrimą yra vadovaujamasi BDAR 60 straipsniu, pareiškėja ne kartą buvo informuota. Be to, Inspekcijos atlikto tyrimo terminai neturi įtakos pareiškėjos padarytų pažeidimų kvalifikavimui ir nepanaikina pareiškėjos atsakomybės už padarytus pažeidimus.

Pareiškėja nurodo, kad jai buvo pateikta ne visa tyrimo medžiaga. Pažymėtina, kad atsakovė nurodė, jog pareiškėjai buvo pateikta visa tyrimo medžiaga, kurios pakako priimti skundžiamą Sprendimą.

5. Dėl pažeidimų, nurodomų Sprendime

MEV duomenys buvo prieinami 2018 m. liepos 9–10 d. Pareiškėja Inspekcijai ir (duomenys neskelbtini) pati nurodė, kad apie šį saugumo pažeidimą jai tapo žinoma 2018 m. liepos 9 d., tačiau Inspekcijai pareiškėja apie aptariamą saugumo pažeidimą nepranešė. Dar daugiau, Inspekcijai 2018 m. liepos 31 d. kreipusis į pareiškėją, ši 2018 m. rugpjūčio 20 d. raštu nepateikė Inspekcijai visos informacijos apie aptariamą pažeidimą, dėl ko Inspekcijai į Bendrovę teko kreiptis pakartotinai 2018 m. rugpjūčio 21 d. raštu. Šis atvejis, pareiškėjos teigimu, atitinka asmens duomenų saugumo pažeidimo, kaip jis yra apibrėžtas BDAR 4 straipsnio 12 dalyje, požymius. BDAR 5 straipsnio 2 dalyje numatytas esminis asmens duomenų tvarkymo principas – duomenų valdytojo atskaitomybės principas, reiškiantis, kad duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi BDAR 5 straipsnio 1 dalyje įtvirtintų asmens duomenų tvarkymo principų ir sugebėtų įrodyti, kad jų laikomasi. Pagal BDAR 24 straipsnio 1 dalį, atsižvelgdamas į duomenų tvarkymo pobūdį, aprėptį, kontekstą bei tikslus, taip pat įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemones, kad užtikrintų ir galėtų įrodyti, kad duomenys tvarkomi laikantis šio reglamento. Tos priemonės prireikus peržiūrimos ir atnaujinamos. Atsižvelgusi į byloje nustatytas aplinkybes, taip pat į minėtas BDAR nuostatas, Inspekcija darė išvadą, kad pareiškėja, nepranešdama Inspekcijai apie 2018 m. liepos 9–10 d. įvykusį asmens duomenų saugumo pažeidimą, pažeidė BDAR 33 straipsnį. Dėl pareiškėjos teiginių, jog dėl minėto incidento nekelia pavojaus duomenų subjektų teisėms ir laisvėms, taip pat kad dėl incidento nebuvo kreiptasi, Inspekcija nurodo, jog pareiškėja nepateikė jokių įrodymų minėtiems teiginiams pagrįsti, be to, pati pareiškėja pripažino, jog prieigą prie nuorodos turėjo bent jau itin siauras, specifines žinias turinčių asmenų ratas, taigi, prie duomenų buvo neautorizuota prieiga. Tai, kad tuo metu nenustatytas aptariamų asmens duomenų netinkamas panaudojimas, nereiškia, jog toks panaudojimas neįvyks ateityje, todėl išlieka grėsmė, kad asmens duomenų saugumo pažeidimo metu nukentėję duomenų subjektai gali ir ateityje patirti neigiamas pasekmes. Pareiškėjos teiginius, kad minėto saugumo pažeidimo metu buvo matomi tik 58 asmenų elektroninio pašto adresai, paneigia tyrimo metu surinkti įrodymai, patvirtinantys, kad minėto saugumo pažeidimo metu neautorizuota prieiga buvo prie daugiau nei 9 000 MEV su 12 skirtingų bankų, esančių skirtingose valstybėse, klientų mokėjimo sesijų detalių puslapiais, t. y. banko paslaptį sudaranti informacija, kas paneigia pareiškėjos teiginius, jog saugumo pažeidimo metu prieiga buvo tik prie nejautrių duomenų ir saugumo pažeidimas nekėlė pavojaus duomenų subjektų teisėms ir laisvėms.