Vilniaus apygardos teismo nutartis

Vilniaus apygardos teismo Baudžiamųjų bylų skyriaus teisėja Vitalija Norkūnaitė, teismo posėdyje rašytinio proceso tvarka išnagrinėjusi V. K., L. R., ir G. P. (toliau – Pareiškėjos) apeliacinį skundą dėl Vilniaus miesto apylinkės teismo 2018-04-30 nutarties, ir

Aprašomoji dalis

nustatė:

Pareiškėjos pateikė Valstybinei duomenų apsaugos inspekcijai 2018-01-10 skundą, kuriame nurodė, kad pagal Klaipėdos miesto apylinkės teismo 2017-12-08 nuosprendį pareiškėjoms tapo žinoma, kad konkrečių tinklalapių (duomenų bazių) duomenis pasisavino nusikaltimą padaręs asmuo. Kadangi šioje baudžiamojoje byloje buvo nagrinėjami tik nusikalstamą veiką padariusio fizinio asmens veiksmai ir jo atsakomybės klausimas, o internetinių tinklalapių (asmens duomenų valdytojų) veiksmai bei atsakomybės klausimai ikiteisminio tyrimo pareigūnų pasirinkimu bei teismo nebuvo minėtos baudžiamosios bylos dalykas, todėl nepraleidžiant termino kreipiasi į Inspekciją, kad būtų nustatyta ar internetinių tinklalapių (asmens duomenų valdytojai) tinkamai vykdė savo pareigas asmens duomenų srityje bei jiems pritaikyti teisės aktuose numatytas poveikio priemones. Jei Inspekcija manytų, jog terminas skundui dėl asmens duomenų valdytojų atliktų veiksmų yra praleistas, prašo atnaujinti šį terminą, nes Pareiškėjos neturėjo galimybių susipažinti su ikiteisminio tyrimo metu surinkta informacija bei nežinojo konkrečių tinklalapių (asmens duomenų valdytojų) pavadinimų. Pareiškėjų teisės buvo pažeistos, nes asmens duomenų valdytojai savo sistemoje turėjo saugumo spragų, dėl ko nusikaltimą padaręs asmuo pasisavino Pareiškėjų duomenis bei vėliau juos panaudojo kitoms nusikalstamoms veikoms. Asmens duomenų valdytojai nesiėmė tinkamų priemonių tam, kad vartotojų duomenys būtų apsaugoti nuo trečiųjų asmenų neteisėto duomenų naudojimo ir jų saugojimo. Dėl interneto tinklalapių (asmens duomenų valdytojų) netinkamo Pareiškėjų asmens duomenų saugojimo atsirado žala, todėl prašo, kad Inspekcija savo kompetencijos ribose patikrintų skunde ir Nuosprendyje nurodytų interneto tinklapių (asmens duomenų valdytojų) veiksmus, t. y. patikrintų, kaip jie laikosi asmens duomenų apsaugos srityje nustatytų teisės aktų, ar jie diegė antivirusines sistemas ir kitus saugojimo sprendinius ir pan., kaip jie po įvykdytų asmens duomenų pasisavinimo užtikrino, jog panašūs įsilaužimai nepasikartotų ateityje, ar iš viso interneto tinklapio (asmens duomenų valdytojai) ėmėsi kokių nors priemonių, ar šiuo metu interneto tinklapių (asmens duomenų valdytojai) tinkamai saugo Pareiškėjų asmens duomenis, taip pat, kodėl interneto tinklapių (asmens duomenų valdytojai) neinformavo vartotojų apie tai, kad buvo pasisavinti vartotojų asmens duomenys iš jų internetinių svetainių, bei imtis atitinkamų poveikio priemonių. Inspekcija 2018-01-24 sprendimu Nr. 3R-29 (2.13-1.) (toliau – Inspekcijos sprendimas), vadovaudamasis Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ADTAĮ) 45 straipsnio 1 dalies 6 punktu, atsisakė nagrinėti Pareiškėjų skundą, kadangi nuo skunde nurodytų galimų pažeidimų padarymo (t. y. interneto tinklalapių valdytojų veikimo (neveikimo) galimai neužtikrinant tinkamų saugumo priemonių buvo atlikti 2015 metais) iki skundo padavimo Inspekcijai yra praėję daugiau kaip vieneri metai.Nesutikdamos su Inspekcijos sprendimu, pareiškėjos kreipėsi į Vilniaus miesto apylinkės teismą Inspekcijos sprendimo panaikinimo ir įpareigojimo išnagrinėti pareiškėjų skundą.Vilniaus miesto apylinkės teismo 2018-04-30 nutartimi pareiškėjų V. K., L. R. ir G. P. skundas netenkintas ir Inspekcijos 2018-01-24 sprendimas Nr. 3R-29 (2.13-1) paliktas nepakeistas.

Apeliacinio skundo argumentai ir prašymai

Pareiškėjos apeliaciniu skundu prašo panaikinti Vilniaus miesto apylinkės teismo 2018-04-30 nutartį ir skundą tenkinti. Skunde nurodoma, kad pareiškėjos, kreipdamosi į Inspekciją, pateiktame 2018-01-10 dokumente, kurį įvardino „Skundu" nurodė faktines aplinkybes, motyvus bei suformulavo konkrečius klausimus bei prašomus atlikti veiksmus, kuriuos pagal teisės aktuose įtvirtintą kompetenciją gali atlikti tik Inspekcija. Inspekcija pareiškėjų 2018-01-10 dokumentą vertino kaip skundą ir atsisakė tenkinti jį vieninteliu Asmens duomenų teisinės apsaugos įstatymo 45 str. 1 d. 6 p. įvardintu pagrindu, t. y. dėl praleisto 1 metų termino. Pareiškėjų teigimu, Inspekcija 2018-01-24 sprendime nepasisakė dėl pareiškėjų prašymo atnaujinti 1 metų terminą, jei mano, jog šis terminas yra praleistas, taip pat nenurodė jokių kitų motyvų, kodėl pareiškėjų 2018-01-10 dokumente ir teismo nuosprendyje nurodytus duomenis apie beveik 60 000 asmenų pavogtus asmens duomenis negali atlikti neplaninio patikrinimo, t. y. vykdyti pareiškėjų 2018-01-10 dokumente nurodytų prašomų veiksmų. Pareiškėjos nesutinka su teismo išvada. jog Inspekcija pagrįstai atsisakė nagrinėti pareiškėjų skundą dėl suėjusio senaties termino. Teigia, kad pareiškėjos skundo Inspekcijai pateikti per 1 metus nuo pažeidimų padarymo (šiuo atveju 2015 metų vasario - kovo mėnesiais įvykdytos internetinių tinklalapių klientą asmens duomenų vagystės) negalėjo dėl objektyvių priežasčių, nes tikslių duomenų, iš kokių konkrečiai asmens valdytojų nuteistasis 2015 m. vasario - kovo mėnesiais pavogė pareiškėjų ir kitų (beveik 60 000 asmenų) duomenis, 2016 m vasario - kovo mėn. neturėjo ne tik nukentėjusios, bet ir policija, kadangi nuteistojo kompiuteriai, laikmenos Lietuvos teismo ekspertizės centro buvo tirti, išvados parengtos tik 2016-06-03 bei 2016-07-01. Pareiškėjos pažymi, kad vėliau vyko ikiteisminis tyrimas, o baudžiamoji byla buvo išnagrinėta ir įrodymai patvirtinti tik 2017-12-08. Todėl anot pareiškėjų, tik 2017-12-09 priimtu nuosprendžiu buvo nustatytos aplinkybės iš kur nuteistasis neteisėtai pasisavino nukentėjusių (kitų trečiųjų asmenų) asmens duomenis. Pareiškėjų manymu, toks Asmens duomenų teisinės apsaugos įstatymo 45 str. 1 d. 6 p. taikymas, nesigilinant į kitas faktines aplinkybes, prieštarauja pareiškėjų Konstitucijoje įtvirtintai teisei į teisminę gynybą. Todėl pareiškėjų įsitikinimu, teismas nepagrįstai laikė, jog Inspekcijos atsisakymas nagrinėti pareiškėjų skundą Asmens duomenų teisinės apsaugos įstatymo 45 str. nurodytais pagrindais yra pagrįstas. Pareiškėjos nesutinka su Inspekcijos baudžiamojoje byloje nustatytų faktų interpretavimu, kad nuo asmens duomenų valdytojų galimo pažeidimo praėjo daugiau nei 1 metai, todėl atsisakė nagrinėti pareiškėjų skundą. Teigia, kad nuosprendyje aiškiai nurodyta, jog nuteistasis, įdiegęs programas, pasisavino iš asmens duomenų valdytojų (internetinių tinklalapių) kitų asmenų asmens duomenis, t.y. apie 60 000 trečiųjų asmenų asmens duomenų, kas patvirtina, jog asmenų valdytojai netinkamai saugojo trečiųjų asmenų asmens duomenų bei nepranešė Inspekcijai apie kibernetinį incidentą, jei joms ši informacija buvo žinoma. Taigi faktas, kad 2015 m. vasario - kovo men. buvo neteisėtai pasisavinti iš asmens duomenų valdytojų (internetinių tinklalapių) trečiųjų asmenų asmens duomenys yra nustatytas baudžiamojoje byloje ir nebeįrodinėjamas, todėl anot pareiškėjų, darytina išvada, jog duomenų valdytojai tinkamai nesaugojo savo klientų asmens duomenų. Pareiškėjų teigimu, teismo posėdžio metu Inspekcijos atstovė patvirtino, jog niekas iki pareiškėjų 2018-01-10 skundo pateikimo apie įvykdytą asmens duomenų vagystę Inspekcijai nebuvo pranešęs. Inspekcija taip pat nepateikė jokių duomenų, jog nuosprendyje nurodytos įmonės 2015 m. kovo - vasario mėn. po įvykdytos kibernetinės atakos ėmėsi kokių nors saugumo priemonių bei pačios pranešė Inspekcijai apie įvykdytą asmens duomenų vagystę. Atsižvelgiant į tai, pasak pareiškėjų darytina išvada, jog asmens duomenų (internetinių tinklalapių) valdytojai ir toliau daro trunkamojo pobūdžio administracinius nusižengimus, t. y. netinkamai saugo klientų duomenis savo duomenų bazėse bei toliau nepraneša apie įvykusią klientų asmens duomenų vagystę Inspekcijai (jei ši informacija jiems buvo žinoma). Pareiškėjos mano, jog joms kreipusioms į juridinius asmenis su klausimais dėl tinkamo jų asmens duomenų tvarkymo, nei vienas privatus pelno siekiantis subjektas nepripažins, kad jie netinkamai saugojo ar saugo jų asmens duomenis. Anot pareiškėjų, tokius jų teiginius pagrindžia nuosprendyje nurodytos aplinkybės, jog pvz. www.cili.lt, www.kvepalusala.lt buvo apvogtos per kelis kartus, be to, vadovaujantis nuteistojo teiginiais, www.cili.lt nereagavo į nuteistojo pranešimus apie netinkamą asmens duomenų saugojimą. Nei viešai spaudoje, nei privačiai nei vienas asmens duomenų valdytojas savo klientams nepranešė, jog buvo pavogtos duomenų bazėse buvę klientų asmens duomenys, todėl akivaizdu, jog privatūs subjektai, siekdami išsaugoti savo reputaciją bei vengdami nuostolių dėl galimai kilsiančių beveik 60 000 asmenų pretenzijų, visais įmanomais būdais sieks paneigti netinkamo asmens duomenų saugojimo faktą. Atsižvelgiant į tai, pareiškėjos mano, kad pirmosios instancijos teismas priėmė nutartį neišsamiai išanalizavęs faktinių aplinkybių, nepagrįstai laikė, jog terminas skundui pateikti yra praleistas, o pareiškėjų 2018-01-10 dokumente suformuluotus prašymus laikė nesusijusius su skundu, tiksliau pareiškėjų pažeistomis teisėmis, ir galėjo būti Inspekcijos ignoruojami bei nesprendžiami.Atsiliepimu į pareiškėjų apeliacinį skundą Inspekcija prašo palikti Vilniaus miesto apylinkės teismo 2018-04-30 nutartį nepakeistą ir pareiškėjų apeliacinio skundo netenkinti.

Motyvuojamoji dalis

Apeliacinis skundas netenkintinas.

Apeliacinės instancijos teismo argumentai ir išaiškinimai

Pagal ANK 652 straipsnio 1 dalį, apygardos teismas, nagrinėdamas bylą dėl apeliacinio skundo administracinio nusižengimo byloje, patikrina priimto nutarimo (nutarties) teisėtumą ir pagrįstumą. Apeliacinės instancijos teismas, išnagrinėjęs apeliacinio skundo argumentus, skundžiamą pirmosios instancijos teismo nutartį ir teismui pateiktą skundo administracinio nusižengimo byloje medžiagą, konstatuoja, kad pirmosios instancijos teismas priėmė teisėtą ir pagrįstą nutartį, teisingai aiškino ir taikė procesinės teisės normas bei padarė teisingas išvadas, jog Institucija, atsisakydama nagrinėti pareiškėjų V. K., L. R., ir G. P. 2018-0-10 skundą, priėmė teisingą ir pagrįstą sprendimą.Dėl pareiškėjų 2018-01-10 pateikto dokumento įvardijimo. Pareiškėjų skundo argumentas, kad apylinkės teismas nepagrįstai sprendė, jog jų 2018-01-10 suformuluoti prašymai atlikti asmens duomenų valdytojų patikrinimus nesusiję su skundu, tiksliau pareiškėjų pažeistomis teisėmis, ir galėjo būti Inspekcijos ignoruojami bei nesprendžiami, yra atmestinas. Pareiškėjos 2018-01-10 pateikdamos Inspekcijai dokumentą, pavadintą skundu, pateikė dokumentą, kuris ne tik dėl pavadinimo, bet ir dėl savo esmės, šiame dokumente teikiamų prašymų, laikytinas kaip skundu, o ne prašymu, paklausimu ar kokiu kitu kreipimusi. Sutiktina su pirmosios instancijos teismo motyvais, kad pareiškėjų pateikti 2018-01-10 skunde nurodyti prašymai (patikrinti kaip šiuo metu interneto tinklalapių valdytojai laikosi teisės aktų, atsakyti ar interneto tinklalapių valdytojai diegė antivirusines sistemas, atsakyti kaip po įvykdytų asmens duomenų pasisavinimo interneto tinklalapių valdytojai užtikrino, kad panašūs įsilaužimai nepasikartotų ateityje ir kt.), negalėjo būti tiriami kartu su skundu, o pareiškėjos su prašymu dėl asmens duomenų apsaugos galėjo kreiptis į konkrečius duomenų valdytojus, kurie privalo suteikti duomenų subjektui informaciją apie tai, kaip yra įgyvendinamos Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau - ADTAĮ) nustatytos duomenų subjekto teisės, tvarkomi ir saugomi asmens duomenys. Duomenų subjektas gali skųsti duomenų valdytojo veiksmus (neveikimą) Inspekcijai per 3 mėnesius nuo atsisakymo iš duomenų valdytojo gavimo dienos arba per 3 mėnesius nuo tos dienos, kai baigiasi ADTAĮ 23 straipsnio 3 dalyje numatytas terminas pateikti atsakymui. Inspekcijos veiksmus (neveikimą) įstatymų nustatyta tvarka duomenų subjektas gali skųsti teismui (ADTAĮ 23 – 27, 30 straipsniai). Todėl darytina išvada, kad pareiškėjų skunde nurodyti prašymai - nustatyti kaip šiuo metu tvarkomi ir saugomi asmens duomenys, patikrinti kaip šiuo metu interneto tinklalapių valdytojai laikosi teisės aktų, tokie pareiškėjų reikalavimai nepatenka į Institucijos kompetenciją, nes pareiškėjai turi kreiptis į konkrečius duomenų valdytojus, kurie privalo suteikti duomenų subjektui visą informaciją.Dėl skundo padavimo terminoADTAĮ 45 straipsnio 1 dalies 6 punkte nustatyta, kad valstybinė duomenų apsaugos inspekcija ne vėliau kaip per 5 darbo dienas nuo skundo gavimo dienos priima sprendimą atsisakyti nagrinėti skundą, apie tai informuodama pareiškėją, jeigu nuo skunde nurodytų pažeidimų padarymo iki skundo padavimo yra praėję daugiau kaip 1 metai. ADTAĮ 46 straipsnio 2 dalyje nustatyta, kad skundo tyrimas nutraukiamas, jeigu tyrimo metu paaiškėja šio įstatymo 45 straipsnio 1 dalyje nurodytos aplinkybės arba kitais šio įstatymo nustatytais atvejais.Pagal nurodytas įstatymo normas Institucija privalo atsisakyti nagrinėti skundą, o jau pradėjusi jį nagrinėti, nutraukti skundo tyrimą, jei nustato, kad nuo skunde nurodytų pažeidimų padarymo iki skundo padavimo yra praėję daugiau kaip vieneri metai. Pareiškėjų 2018-01-10 skundo reikalavimas nustatyti ar teismo nuosprendyje įvardinti internetinių tinklalapių (asmens duomenų) valdytojai tinkamai vykdė savo pareigas asmens duomenų srityje 2015 metais bei jiems pritaikyti teisės aktuose nustatytas poveikio priemones. Taigi, nagrinėjamu atveju, yra skundžiamas Inspekcijos sprendimas atsisakyti pradėti administracinio nusižengimo teiseną nurodytiems asmens duomenų valdytojams dėl pareiškėjų atžvilgiu galimai padarytų administracinių nusižengimų 2015 metais, susijusių su galimai neteisėtu asmens duomenų tvarkymu. Asmens duomenų vagystė įvyko 2015 m. vasario - kovo mėnesiais, todėl būtent 2015 m. vasario – kovo mėnesiai laikomi pareiškėjų skunde nurodytų veiksmų, kuriuos pareiškėjos laiko administraciniais nusižengimais, padarymo momentas. ADTAĮ įstatymo nuostatos įpareigoja būtent nuo šio momento skaičiuoti terminą skundui paduoti. Aplinkybė, kada pareiškėjos sužinojo apie galimai padarytą nusižengimą, šiuo atveju nėra svarbi, kadangi įstatymas įpareigoja skundo padavimo terminą skaičiuoti nuo galimo pažeidimo padarymo dienos, o ne nuo sužinojimo apie galimą pažeidimą dienos. Atsižvelgiant į išdėstytų aplinkybių visumą bei teisinį reglamentavimą konstatuotina, kad administracinio nusižengimo bylos teisena negali būti pradėta, nes pasibaigė ADTAĮ 45 straipsnio 1 dalies 6 punkte numatyti terminai. Esant šioms aplinkybėms, Inspekcijos sprendimas paliktinas nepakeistas ir skundas netenkintinas. Pareiškėjų skundo argumentai dėl to, kad Inspekcija turėjo atnaujinti terminą pareiškėjų 2018-01-10 skundui paduoti, yra atmestinas kaip nepagrįstas. Kaip nustatyta, asmens duomenų vagystė įvyko 2015 m. vasario - kovo mėnesiais, nuteistojo V. D. kompiuteriai, laikmenos Lietuvos teismo ekspertizės centro buvo tirti, išvados parengtos 2016-06-03 bei 2016-07-01, tačiau pareiškėjos į Inspekciją jos kreipėsi tik 2018-01-10, t. y. praėjus beveik trejiems metams po pažeidimo nustatymo ir 2 metams nuo ekspertizės išvadų pateikimo.Pareiškėjos skunde taip pat teigia, kad nuosprendyje nurodytas faktas, kad nuteistasis neteisėtai surinko iš įvairių subjektų asmens duomenis, patvirtina, kad duomenų valdytojai netinkamai saugojo šiuos duomenis bei nepranešė Inspekcijai apie įvykusį incidentą, jei joms apie jį buvo žinoma. Kadangi nėra duomenų, kad asmens duomenų valdytojai po 2015 m. įvykdytos duomenų vagystės ėmėsi kokių nors veiksmų siekdami pašalinti vagystės padarinius, laikytina, kad Lietuvos Respublikos administracinių nusižengimų kodekso (toliau -ANK) 39 straipsnyje nurodytas terminas (dveji metai) nuo paaiškėjimo dienos nėra suėjęs. Tačiau su tokiais skundo argumentais nesutiktina. Aukštesnės instancijos teismo vertinimu, tokie pareiškėjų teiginiai pagrįsti jų subjektyvia nuomone ir prielaidomis, kad duomenų valdytojai nesiėmė jokių veiksmų duomenų apsaugai stiprinti, kadangi pareiškėjos nepateikė jokių įrodymų, kurie patvirtintų šiuos jų teiginius. Pareiškėjos skunde taip pat teigia, kad jų 2018-01-10 skunde nurodyti galimi duomenų saugumo pažeidimai, susiję su 2015 m. įvykdyta duomenų vagyste, yra laikytini trunkamaisiais pažeidimais. Tačiau su tokiais skundo argumentais nesutiktina. Kita vertus, net jei skaičiuoti terminus nuo tada, kai pareiškėjos, kaip jos nurodo skunde sužinojo apie pažeidimus - nuo 2016-06-03 bei 2016-07-01, t.y. nuo ekspertizės išvadų gavimo, net ir šiuo atveju senaties terminai pareiškėjų 2018-01-10 skundo padavimo metu jau buvo suėję, kadangi, tokiu būdu jiems turėtų būti taikomas ne Administracinių nusižengimų kodekso normos, o iki 2017-01-01 galiojęs Lietuvos Respublikos administracinių teisės pažeidimų kodeksas ir jo 35 straipsnio 1 dalyje nustatyti terminai.Dėl kibernetinio incidento. Pareiškėjos teigia, kad Inspekcija taip pat nepateikė jokių duomenų, jog nuosprendyje nurodytos įmonės 2015 m. kovo - vasario mėn. po įvykdytos kibernetinės atakos ėmėsi kokių nors saugumo priemonių bei pačios pranešė Inspekcijai apie įvykdytą asmens duomenų vagystę. Pareiškėjos skunde remiasi teisės aktais reglamentuojančiais kibernetinį saugumą. Su tokiais pareiškėjų skundo argumentais taip pat nesutiktina. Iki 2017-01-01 galiojusi Lietuvos Respublikos kibernetinio saugumo įstatymo redakcija numatė, kad šis įstatymas jame nustatytomis sąlygomis ir tvarka taikomas valstybės institucijoms, formuojančioms ir įgyvendinančioms kibernetinio saugumo politiką, viešojo administravimo subjektams, valdantiems ir (arba) tvarkantiems valstybės informacinius išteklius, ypatingos svarbos informacinės infrastruktūros valdytojams, viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjams ir elektroninės informacijos prieglobos paslaugų teikėjams, informacinių technologijų srityje veiklą vykdantiems verslo subjektams, mokslo ir studijų institucijoms (minėto įstatymo 1 straipsnio 2 dalis). Tuo tarpu pareiškėjų 2018-01-10 skunde nurodyti išimtinai privatiems juridiniams asmenims priklausantys interneto tinklalapiai, teikiantys įvairias paslaugas, nepatenkančias į Kibernetinio saugumo įstatymo reguliavimo sritį. Atsižvelgiant į aptartus argumentus, konstatuojama, jog pareiškėjų apeliacinis skundas nepagrįstas, jo tenkinti nėra pagrindo, todėl Vilniaus miesto apylinkės teismo 2018-04-30 nutartis paliekama galioti.

Rezoliucinė dalis

nutaria:

V. K., L. R., ir G. P. apeliacinio skundo netenkinti ir Vilniaus miesto apylinkės teismo 2018-04-30 nutartį palikti nepakeistą.

Ši nutartis įsiteisėja jos paskelbimo dieną ir yra neskundžiama.