Regionų apygardos administracinio teismo sprendimas

Atkreipia dėmesį, kad pirminė iniciatyva kurti Programėlę ir ją panaudoti, siekiant suvaldyti pasaulinę krizę, kilusią dėl COVID-19 viruso atsiradimo ir išplitimo, kilo Vilniaus miesto savivaldybei. Vilniaus miesto savivaldybė, ieškodama technologinio sprendimo jai priskirtoms funkcijoms įgyvendinti, nutarė sukurti mobiliąją aplikaciją „Karantinas“. Programėlei kurti Vilniaus miesto savivaldybė pasitelkė trečiąjį suinteresuotą asmenį uždarąją akcinę bendrovę (toliau – ir UAB) „IT sprendimai sėkmei“ (toliau – ir Bendrovė), kuri pagal Vilniaus miesto savivaldybės pateiktą techninę specifikaciją ir kitų, suvienijusių jėgas, institucijų (taip pat ir NVSC) pastabas bei pasiūlymus kūrė Programėlę.

Pažymi, kad NVSC 2020 m. kovo mėn. tik prisidėjo prie Vilniaus miesto savivaldybės iniciatyvos padėti sukurti geriausią technologinį sprendimą atsižvelgiant į nepalankią epideminę COVID-19 (koronaviruso infekcijos) situaciją Lietuvoje. Nurodytuoju laikotarpiu NVSC specialistai, susirašinėdami su UAB „IT sprendimai sėkmei“ ir teikdami savo pastabas ir pasiūlymus dėl Programėlės teksto, tai darė kaip užkrečiamųjų ligų valdymo konsultantai, neprisiimdami jokių sutartinių įsipareigojimų. Iš susirašinėjimo, vykusio tarp NVSC specialistų ir UAB „IT sprendimai sėkmei“, matyti, kad NVSC teikė pastabas tik dėl Programėlės teksto.

Pažymi, kad A. S., veikęs NVSC vardu savanoriškais pagrindais, daugiausia rūpinosi techniniais sprendimais, o pareiškėjo darbuotojai ir direktorius teikė savo nuomonę dėl į Programėlę keliamo turinio, kuris daugiausia atspindėjo epidemiologinę informaciją, tačiau jokiu būdu nereiškė pozicijos ir (ar) aiškaus nurodymo, kad NVSC buvo Programėlės užsakovas ir duomenų valdytojas.

Nurodo, kad pareiškėjas neturėjo ir netvarkė jokių asmens duomenų, kuriuos rinko ir tvarkė UAB „IT sprendimai sėkmei“, kadangi pareiškėjas jokių paslaugų, susijusių su šia Programėle, neįsigijo.

Pažymi, kad tik atlikus viešąjį pirkimą pareiškėjas planavo Programėlės duomenis perkelti ir (ar) susieti su Užkrečiamųjų ligų, galinčių išplisti ir kelti grėsmę, stebėsenos ir kontrolės informacine sistema (toliau – ir ULSKIS), kurios tvarkytojas yra NVSC. Pareiškėjo vertinimu, tik perkėlus ir (ar) susiejus Programėlės duomenis su ULSKIS informacine sistema NVSC būtų pradėjęs tvarkyti Programėle renkamus asmens duomenis. Tačiau to neįvyko.

Pareiškėjo vertinimu, VDAI nenustatė pareiškėjo kaltės pažeidus asmens duomenų tvarkymo reikalavimus, nes pareiškėjas tvarkė netikrus asmens duomenis, skirtus Programėlei testuoti.

Atkreipia dėmesį, kad 2020 m. balandžio 7 d. Lietuvos Respublikos Vyriausybės spaudos konferencijos metu A. S. nurodė, jog Programėlė reikalinga tam, kad būtų palengvinta NVSC veikla įvesto karantino režimo metu, taip pat kad NVSC galėtų gauti duomenis, susijusius su COVID-19.

Pažymi, kad nei po viešo Programėlės pristatymo, nei gavusi el. laišką, kuriuo buvo persiųsta Programėlės privatumo politika (kurioje duomenų valdytoju nurodomas NVSC, o tvarkytoja – UAB „IT sprendimai sėkmei“), NVSC nesiėmė jokių aktyvių veiksmų tam, kad būtų aiškiai nurodyta, kad A. S. veikia ne pagal NVSC jam pavestus nurodymus, o NVSC nėra Programėlės duomenų valdytojas. Priešingai, 2020 m. balandžio 7 d., kai jau buvo pradėtas asmens duomenų tvarkymas Programėle, internetinėje nuorodoje https://koronastop.lrv.lt/lt/naujienos/naudinga-ir-turininga-saviizoliacija-su-mobiliaja-programele-karantinas buvo patalpintas straipsnis, kuriame pateikiama ir R. P. nuomonė dėl Programėlės: „Siekiame paskatinti žmones savanoriškai izoliuotis ir gavus jų sutikimą realiu laiku rinkti duomenis apie jų buvimo vietą. Atsiradus programėlei ir ja aktyviai naudojantis gyventojams, taip pat tikimės sumažinti NVSC skambučių centro darbų renkant šiuos duomenis mastą. Be to, tikimės, jog šis įrankis turės teigiamą socialinį poveikį visuomenėje. Prie tolesnio programėlės tobulinimo, naudojimo, sklaidos kviečiamos jungtis visos savivaldybės, asociacijos ar verslai. Tikimės, kad kasdienis sveikatos stebėjimas padės sustabdyti COVID-19 plitimą.“ Be to, minėtame straipsnyje nurodoma, kad Programėlė skirta kasdien sekti koronaviruso simptomus, taip pat prevenciniams veiksmams skatinti ir saviizoliacijos priežiūrai. Atkreipia dėmesį ir į tai, kad 2020 m. balandžio 17 d. VDAI iš el. pašto adreso (duomenys neskelbtini)@nvsc.lt gavo 2020 m. balandžio 16 d. A. S. el. laišką (VDAI reg. Nr. 1R-2641 (2.14.)), kuriuo A. S. patvirtino VDAI, kad Programėlės duomenų valdytojas yra NVSC. Pažymi, kad šis el. laiškas buvo adresuotas ir NVSC direktoriui R. P. (el. pašto adresas (duomenys neskelbtini)@nvsc.lt), o, kaip nurodyta pirmiau, šią informaciją NVSC paneigė tik VDAI pradėjus tyrimą savo iniciatyva dėl NVSC ir UAB „IT sprendimai sėkmei“ veiksmų tvarkant asmens duomenis Programėle.

Nurodo, jog tai, kad NVSC, priešingai nei nurodė skunde, negalėjo neįvertinti, kad Programėle jau yra tvarkomi asmens duomenys, patvirtina ir tai, kad 2020 m. balandžio 29 d., kai Programėle jau buvo renkami ir tvarkomi asmens duomenys, A. S. iš el. pašto (duomenys neskelbtini)@nvsc.lt NVSC Visuomenės sveikatos saugos skyriaus vyriausiajam specialistui G. T. (el. pašto adresu (duomenys neskelbtini)@nvsc.lt) ir UAB „IT sprendimai sėkmei“ atstovui T. M. (el. pašto adresu (duomenys neskelbtini)@lympo.io) išsiuntė el. laišką, kuriuo informavo, kad pagalbai „dėl appso“ prie A. S. prisijungė G. T. (NVSC darbuotojas), nurodydamas, kad G. T. daro reikiamus pakeitimus „appsui“, o visi komentarai turi būti siunčiami ir G. T.. El. laiške taip pat pateiktos G. T. pastabos Programėlės tekstams. Remdamasi šiomis aplinkybėmis, atsakovė padarė išvadą, kad NVSC, žinodamas, jog UAB „IT sprendimai sėkmei“ Programėle tvarko asmens duomenis, ir toliau teikė nurodymus ir bendradarbiavo su Bendrove.

Atkreipia dėmesį, kad A. S. iš NVSC jam priskirto el. pašto (duomenys neskelbtini)@nvsc.lt siuntė el. laiškus ne tik prisistatydamas kaip NVSC pavaduotojas IT sprendimams, bet ir patvirtindamas, kad NVSC yra duomenų valdytojas. Pažymi, kad šie el. laiškai buvo adresuojami ir NVSC direktoriui, todėl jis negalėjo nežinoti apie A. S. teikiamą informaciją.

Be to, būtent NVSC buvo pavesta organizuoti Programėlės, kaip asmens duomenų tvarkymo priemonės, įsigijimą, atlikti Programėlės išbandymo darbus, viešinti Programėlę bei valdyti ją, o tai tik patvirtina, kad būtent NVSC ir buvo pavesta būti Programėlėje tvarkomų asmens duomenų valdytoju, kadangi Programėlės duomenų tvarkymas buvo reikalingas NVSC funkcijoms įgyvendinti. Atkreipia dėmesį ir į tai, kad pagal NVSC VDAI pateiktus darbo grupės posėdžių protokolus matyti, kad NVSC buvo pavesta atlikti Programėlės testavimo darbus ir jų rezultatus pristatyti darbo grupei, tačiau NVSC VDAI nepateikė jokių įrodymų, kad NVSC darbo grupės posėdžiuose būtų nurodęs, jog asmens duomenų tvarkymas Programėlėje pažeidžia asmens duomenų apsaugos reikalavimus ir, kol Programėlės asmens duomenų tvarkymas nėra suderintas su BDAR nuostatomis, asmens duomenų tvarkymas negali būti atliekamas.

Pažymi, kad NVSC, kaip duomenų valdytojo, statusas ir sąsaja su Programėle sistemingai ir nuosekliai seka ne tik iš to, kad NVSC kartu su UAB „IT sprendimai sėkmei“ dalyvavo Programėlės kūrime, nustatė renkamų duomenų apimtis, bet ir iš NVSC veiklai numatyto tikslo, t. y. Nacionalinio visuomenės sveikatos centro prie Sveikatos apsaugos ministerijos nuostatų, patvirtintų Lietuvos Respublikos sveikatos apsaugos ministro 2015 m. rugsėjo 18 d. įsakymu Nr. V-1058, 9.4 papunktyje nurodyta, kad NVSC tikslas – pagal kompetenciją vykdyti užkrečiamųjų ligų profilaktiką ir kontrolę. Atsižvelgdama į šį NVSC veiklos tikslą, daro išvadą, kad asmens duomenų tvarkymu Programėlėje buvo siekiama įgyvendinti NVSC veiklos tikslą. Be to, asmens duomenų tvarkymas Programėlėje būtų neįmanomas be abiejų šalių – NVSC ir UAB „IT sprendimai sėkmei“ – dalyvavimo, t. y. UAB „IT sprendimai sėkmės“ sukūrė Programėlę ir pasiūlė ją NVSC, vėliau pradėjo Programėlėje tvarkyti asmens duomenis, o NVSC teikė nurodymus, kokie asmens duomenys turi būti tvarkomi, nustatė jų mastą ir viešai pristatė Programėlę kaip priemonę, palengvinančią NVSC darbą.

Pažymi, kad, net ir gavusi kitų institucijų ar Lietuvos Respublikos Vyriausybės ekstremalių situacijų komisijos nurodymus įsigyti Programėlę, NVSC, kaip duomenų valdytojas, privalėjo duomenis tvarkyti taip, kad būtų užtikrintas BDAR nuostatų laikymasis, o tuo atveju, jei jis kartu su UAB „IT sprendimai sėkmei“ negalėjo užtikrinti BDAR nuostatų laikymosi, NVSC apie tai turėjo nurodyti jį kontroliuojančioms institucijoms. Pažymėtina, kad, vadovaujantis bendraisiais teisės principais, teisinėje valstybėje nėra privaloma laikytis įstatymus pažeidžiančių nurodymų. Be to, BDAR nenumato išimčių, leidžiančių nesilaikyti BDAR reikalavimų skubos ar ekstremalios situacijos atveju.

Pažymi, kad VDAI neturi duomenų, kuriais remiantis Programėlės duomenų valdytoja būtų galima laikyti Vilniaus miesto savivaldybę.

Pažymi, kad, remiantis Europos Sąjungos Teisingumo Teismo (toliau – ir ESTT) praktika, vien tas faktas, jog vienas iš duomenų valdytojų neturėjo prieigos prie tvarkomų asmens duomenų, nėra pakankamas, kad būtų galima atmesti bendrą duomenų tvarkymą (žr., pvz., ESTT sprendimo Wirtschafitsakademie, C-210/16, ECLI:EU:C:2018:388, 38 paragrafą), todėl pirmiau nurodytas NVSC argumentas negali būti laikomas pakankamu argumentu, paneigiančiu NVSC, kaip Programėlės duomenų valdytojo, statusą.

Nurodo, kad, remiantis BDAR 35 straipsnio 1 dalies nuostata, matyti, jog poveikio duomenų apsaugai vertinimo (toliau – ir PDAV) atlikimas turi būti siejamas ne su viešųjų pirkimų procedūromis, o su faktišku asmens duomenų tvarkymu. Atsižvelgiant į tai, kad asmens duomenys Programėlėje faktiškai buvo tvarkomi, taip pat į tai, kad duomenys buvo tvarkomi sistemingai, dideliu mastu, panaudojant naujas technologijas (t. y. Programėlę), be to, buvo tvarkomi pažeidžiamų asmenų (vyresnio amžiaus asmenų, pacientų, vaikų) asmens duomenys, PDAV turėjo būti atliekamas prieš pradedant Programėlėje tvarkyti asmens duomenis, o neatlikus PDAV, asmens duomenys Programėlėje buvo tvarkomi pažeidžiant BDAR 35 straipsnio 1 dalies nuostatas.

Trečiasis suinteresuotas asmuo ir toliau laikosi pozicijos, kad UAB „IT sprendimai sėkmei“ negali būti laikoma Programėlės valdytoja. UAB „IT sprendimai sėkmei“ vertinimu, ji galėtų būti laikoma Programėlės tvarkytoja.

2021 m. rugsėjo 13 d. teismo posėdyje trečiojo suinteresuoto asmens UAB „IT sprendimas sėkmei“ atstovas iš esmės palaikė atsiliepimo į skundą argumentus. Akcentavo, kad trečiasis suinteresuotas asmuo Programėlę sukūrė NVSC užsakymu. Sukurti Programėlę trečiasis suinteresuotas asmuo neturėjo savarankiško tikslo, be to, neturėjo jokio tikslo rinkti Programėlėje asmens duomenų.

Bylos rašytiniais įrodymais nustatyta, kad Lietuvos Respublikos sveikatos apsaugos ministras-valstybės lygio ekstremaliosios situacijos valstybės operacijos vadovas 2020 m. kovo 24 d. sprendimu Nr. V-519 „Dėl pavedimo organizuoti ekstremaliųjų situacijų valdymo informacinės platformos (sistemos) įsigijimą“ (ir vėlesniu pakeitimu), vadovaudamasis Lietuvos Respublikos civilinės saugos įstatymo 15 straipsnio 2 dalies 4 punktu, Lietuvos Respublikos Vyriausybės 2020 m. vasario 26 d. nutarimu Nr. 152 „Dėl valstybės lygio ekstremaliosios situacijos paskelbimo“, Lietuvos Respublikos Ministro Pirmininko 2020 m. vasario 27 d. potvarkiu Nr. 43 „Dėl valstybės lygio ekstremaliosios situacijos valstybės operacijų vadovo paskyrimo“ bei atsižvelgdamas į Lietuvos Respublikos Vyriausybės 2020 m. kovo 14 d. nutarimą Nr. 207 „Dėl karantino Lietuvos Respublikos teritorijoje paskelbimo“ ir siekdamas tinkamai valdyti valstybės lygio ekstremaliąją situaciją dėl COVID-19 ligos (koronaviruso infekcijos) plitimo grėsmės, nusprendė pavesti NVSC direktoriui nedelsiant organizuoti ekstremaliųjų situacijų valdymo informacinės platformos (sistemos) (skirtos registruoti ir stebėti sąlytį su COVID-19 ligos (koronaviruso infekcijos) nešiotojais turėjusių asmenų duomenis, kurie bus naudojami COVID-19 ligos (koronaviruso infekcijos) epidemiologinės priežiūros tikslais, kad virusas neišplistų šalyje) įsigijimą.

UAB „IT sprendimai sėkmei“ 2020 m. kovo 27 d. išsiųstas NVSC atstovu save nurodančio fizinio asmens – A. S. – elektroninis laiškas su NVSC naudojamojo tarnybinio elektroninio pašto požymiais (@nvsc.lt; A. S. darbo ar kitokio pobūdžio sutarties su NVSC nebuvo sudaręs), kuriuo Bendrovė informuota, kad NVSC pasirinko šią įmonę Programėlės kūrėja. Vėliau A. S. ne kartą siuntė UAB „IT sprendimai sėkmei“ elektroninius laiškus, save nurodydamas NVSC atstovu, dėl mobiliosios programėlės kūrimo įvairių aspektų. Elektroninių laiškų kopijos buvo persiunčiamos NVSC direktoriui susipažinti.

Derybų ir bendravimo tarp Bendrovės ir NVSC metu el. laiškus Bendrovei siuntė ir kai kurie NVSC darbuotojai dėl Programėlėje užduotinų klausimų teksto patikslinimo.

Programėlės kūrimo etape parengta Programėlės privatumo politika, kurioje duomenų valdytojais nurodomi UAB „IT sprendimai sėkmei“ ir NVSC.

Programėlę iš parduotuvės „Google Play Store“ buvo galima parsisiųsti nuo 2020 m. balandžio 4 d., o iš pardavimų platformos „Apple App Store“ – nuo 2020 m. balandžio 6 d. Programėlėje daromos nuorodos į UAB „IT sprendimai sėkmei“ ir NVSC. NVSC 2020 m. gegužės 15 d. informavo UAB „IT sprendimai sėkmei“ apie reikalavimą nenaudoti programėlėje „Karantinas“ NVSC rekvizitų ar kitų sąsajų su NVSC.

Programėlėje „Karantinas“ renkama informacija: ID numeris, koordinatės platumos ir ilgumos, šalis, miestas, savivaldybė, pašto kodas, gatvės pavadinimas, namo numeris, vardas, pavardė, asmens kodas, telefono numeris, adresas, 2-asis adresas, ar vieta deklaruota Lietuvoje, ar privalo asmuo izoliuotis, ar pasižymėjo, ar nuotrauka reikalinga, universalus unikalus ID, vartotojo ID, kada sutikimas priimtas, kada sukurtas, kada modifikuotas, kada pasižymėjo, kada nuotrauka reikalaujama, iki kada nuotrauka reikalinga ir kada paskutinį kartą pasižymėjo. Programėlėje duomenys buvo renkami net tik Lietuvos teritorijoje, bet ir Europoje (Estija, Šveicarija ir t. t. ) ir už jos ribų (Indija, JAV ir t. t.).

Programėlę buvo ketinama įsigyti iš tiekėjos UAB „IT sprendimai sėkmei“ vienu iš Lietuvos Respublikos viešųjų pirkimo įstatyme (toliau – VPĮ) nustatytų būdų – neskelbiamų derybų būdu. NVSC 2020 m. birželio 4 d. rašte Nr. (06 1.12E) 2-28797) nurodė, kad NVSC direktoriaus įsakymu buvo sudaryta pirkimo komisija ir pradėtos pirkimo procedūros, tačiau, negavus reikiamo finansavimo pirkimo objektui įsigyti, jos buvo nutrauktos. Pirkimo procedūrų tęsimas neturint tam finansinių galimybių objektyviai neįmanomas ir nėra prasmės sudaryti sandorį iš anksto žinant, kad jis negalės būti vykdomas bei turės būti nutrauktas. Perkančiajai organizacijai šios svarbios aplinkybės nebuvo žinomos ir negalėjo būti protingai numatytos, todėl joms atsiradus, vadovaudamasis VPĮ 29 straipsnio 3 dalimi, NVSC viešojo pirkimo procedūras nutraukė.

Tyrimas dėl asmens duomenų tvarkymo VDAI pradėtas 2020 m. gegužės 18 d. VDAI direktoriaus įsakymu Nr. 1T-49. Tyrimo metu UAB „IT sprendimai sėkmei“ VDAI pateikė 2020 m. birželio 3 d. raštą, kuriame nurodė, kad iki Programėlės veikimo laikino sustabdymo pagal 2020 m. gegužės 26 d. VDAI nurodymą Programėlėje savo asmens duomenis buvo pateikę 3 802 naudotojai.

VDAI specialistai, išanalizavęs 677 įrašus, 2020 m. lapkričio 3 d. išvadoje Nr. 4R-333(2.14.E) nustatė, kad Programėlėje buvo renkama informacija: ID numeris, koordinatės platumos ir ilgumos, šalis, miestas, savivaldybė, pašto kodas, gatvės pavadinimas, namo numeris, vardas, pavardė, asmens kodas, telefono numeris, adresas, 2-asis adresas, ar vieta deklaruota Lietuvoje, ar privalo asmuo izoliuotis, ar pasižymėjo, ar nuotrauka reikalinga, universalus unikalus ID, vartotojo ID, kada sutikimas priimtas, kada sukurtas, kada modifikuotas, kada pasižymėjo, kada nuotrauka reikalaujama, iki kada nuotrauka reikalinga ir kada paskutinį kartą pasižymėjo. Pagal pateiktus duomenis nustatyta, kad Programėlėje duomenys buvo renkami net tik Lietuvos teritorijoje, bet ir Europoje (Estija, Šveicarija ir t. t. ) ir už jos ribų (Indija, JAV ir t. t.).

Taip pat VDAI specialistų nustatyta, kad UAB „Juvare Lithuania“, kuri yra ULSKIS tvarkytoja pagal Nacionalinio visuomenės sveikatos centro numatytą planą, turėjo gauti programėlėje „Karantinas“ surinktų duomenų kopijas. Valstybinei duomenų apsaugos inspekcijai UAB „Juvare Lithuania“ rašte pateikti duomenys yra nuo 2020 m. gegužės 7 d. iki 2020 m. gegužės 10 d., VDAI pateiktas 51 duomenų įrašas, kiekviename įraše renkama informacija: įvedimo data, telefono numeris, asmens kodas, kada modifikuotas, kada sukurtas, ar asmuo turi sunkumų kvėpuodamas, ar laikosi saviizoliacijos reikalavimų, ar kosėja, kokius specifinius simptomus jaučia, ar yra temperatūra, ar reikia psichologinės pagalbos ir ar reikia socialinio asistento. Duomenys yra netikri (skirti programėlei „Karantinas“ testuoti), išskyrus du UAB „Juvare Lithuania“ darbuotojų telefonų numerius, kurie taip pat buvo naudojami programėlės „Karantinas“ testavimo tikslais.

Pabaigus stebėseną ir tikrinimą buvo priimta ginčijamo VDAI sprendimo dalis. VDAI sprendime nustatė, kad pareiškėjas buvo vienas iš dviejų Programėlės valdytojų. Pareiškėjas, kaip Programėlės valdytojas, pažeidė BDAR 5 (teisėtumas), 13 (tinkamas duomenų subjekto informavimas), 24 (tinkamų techninių ir organizacinių priemonių įgyvendinimas, jas prireikus peržiūrint ir atnaujinant), 32 (duomenų tvarkymo saugumo pažeidimas), 35 (poveikio duomenų apsaugai vertinimas) ir 58 straipsnio 2 dalies f punkto nuostatas, dėl to jam skirta 12 000 Eur bauda. Pareiškėjas, nesutikdamas su jo atžvilgiu priimto VDAI sprendimo dalimi, jį apskundė teismui. Skundas iš esmės grindžiamas tuo, kad pareiškėjas nepripažįsta esantis Programėlės valdytoju.

Lietuvos Respublikos sveikatos apsaugos ministras-valstybės lygio ekstremaliosios situacijos valstybės operacijos vadovas 2020 m. rugpjūčio 5 d. sprendimu Nr. 1770 „Dėl Lietuvos Respublikos sveikatos apsaugos ministro-valstybės lygio ekstremaliosios situacijos valstybės operacijų vadovo 2020 m. balandžio 10 d. sprendimo Nr. V-821 „Dėl pavedimo organizuoti skubų mobilios programėlės „Karantinas“ įsigijimą“ pakeitimo“ pakeitė sveikatos apsaugos ministro sprendimą Nr. V-821 ir jį išdėstė nauja redakcija: „Lietuvos Respublikos sveikatos apsaugos ministras-valstybės lygio ekstremaliosios situacijos valstybės operacijų vadovas sprendimu „Dėl pavedimo organizuoti skubų užkrečiamųjų ligų, galinčių išplisti ir kelti grėsmę, stebėsenos ir kontrolės informacinės sistemos programėlės įsigijimą“, vadovaudamasis Lietuvos Respublikos civilinės saugos įstatymo 15 straipsnio 2 dalies 4 punktu, Lietuvos Respublikos Vyriausybės 2020 m. vasario 26 d. nutarimu Nr. 152 „Dėl valstybės lygio ekstremaliosios situacijos paskelbimo“, Valstybiniu ekstremaliųjų situacijų valdymo planu, patvirtintu Lietuvos Respublikos Vyriausybės 2010 m. spalio 20 d. nutarimu Nr. 1503, Lietuvos Respublikos Ministro Pirmininko 2020 m. vasario 27 d. potvarkiu Nr. 43 „Dėl valstybės lygio ekstremaliosios situacijos valstybės operacijų vadovo paskyrimo“, nusprendė pavesti NVSC direktoriui skubiai organizuoti Užkrečiamųjų ligų, galinčių išplisti ir kelti grėsmę, stebėsenos ir kontrolės informacinės sistemos programėlės įsigijimą.“

Pareiškėjas Programėlės įsigijimą organizavo neskelbiamų derybų būdu. Iš trečiojo suinteresuoto asmens UAB „IT sprendimai sėkmei“ pateiktų Vilniaus apygardos teismo 2022 m. gruodžio 5 d. sprendimo, priimto civilinėje byloje Nr. e2-2542-981/2022, ir Lietuvos apeliacinio teismo 2023 m. kovo 16 d. nutarties, priimtos civilinėje byloje Nr. e2A-295-567/2023, nustatyta, kad NVSC visuomeninis patarėjas A. S. 2020 m. gegužės 5 d. Discord programoje informavo UAB „IT sprendimai sėkmei“, kad yra parengta galutinė techninė specifikacija. NVSC direktorius R. P. 2020 m. gegužės 5 d. patvirtino Prekių, paslaugų ir darbų užsakymo paraišką Nr. DP-4182 kartu su prie jos pridėta Užkrečiamųjų ligų, galinčių išplisti ir kelti grėsmę, stebėsenos ir kontrolės informacinės sistemos programėlės techninę specifikaciją. NVSC 2020 m. gegužės 5 d. raštu Nr. (07 16.1.17 E)2-19163 „Dėl papildomų lėšų skyrimo mobiliajai programėlei „Karantinas“ kreipėsi į SAM prašydamas papildomai skirti 201 000 Eur mobiliosios programėlės „Karantinas“ įsigijimui, kurie buvo reikalingi papildomiems Programėlės funkcionalumams. NVSC Viešųjų pirkimų komisija 2020 m. gegužės 6 d. per dokumentų valdymo sistemą „Avilys“ išsiuntė kvietimą UAB „IT sprendimai sėkmei“ teikti pasiūlymą paslaugos pirkimui kartu su Technine specifikacija ir pasiūlymo forma. Tačiau NVSC Viešųjų pirkimų komisija 2020 m. gegužės 7 d. nutraukė programėlės pirkimo procedūras, informavo UAB „IT sprendimai sėkmei“, kad toks sprendimas priimtas dėl lėšų trūkumo ir atsiradusių kitų nenumatytų aplinkybių. SAM 2020 m. gegužės 19 d. raštu Nr. (9.3.3.-12) 10-3687 „Dėl informacijos pateikimo“ informavo atsakovę, kad nenumato papildomai kreiptis į Lietuvos Respublikos finansų ministeriją dėl 201 000 Eur skyrimo programėlės „Karantinas“ įsigijimui. Į ieškovės 2020 m. gegužės 18 d. pretenziją dėl atsiskaitymo už suteiktas paslaugas (analogiškas raštas buvo nusiųstas SAM) NVSC 2020 m. gegužės 28 d. pateikė UAB „IT sprendimai sėkmei“ atsakymą, kuriame nurodė, kad atsirado nenumatytos aplinkybės ir pirkimui trūksta lėšų, todėl pirkimas yra nutraukiamas. SAM 2020 m. gegužės 29 d. atsakyme UAB „IT sprendimai sėkmei“ nurodė, kad NVSC pirkimo procedūras nutraukė teisėtai.

NVSC 2020 m. birželio 4 d. rašte Nr. (06 1.12E) 2-28797) „Dėl NVSC įsipareigojimų mobiliųjų programėlių atžvilgiu“, adresuotame UAB „IT sprendimai sėkmei“ (kopija VDAI), nurodė, kad NVSC direktoriaus įsakymu buvo sudaryta pirkimo komisija ir pradėtos pirkimo procedūros, tačiau, negavus reikiamo finansavimo pirkimo objektui įsigyti, jos buvo nutrauktos. Pirkimo procedūrų tęsimas neturint tam finansinių galimybių objektyviai neįmanomas ir nėra prasmės sudaryti sandorį iš anksto žinant, kad jis negalės būti vykdomas bei turės būti nutrauktas. Perkančiajai organizacijai šios svarbios aplinkybės nebuvo žinomos ir negalėjo būti protingai numatytos, todėl joms atsiradus, vadovaudamasis Lietuvos Respublikos viešųjų pirkimų įstatymo 29 straipsnio 3 dalimi, NVSC pirkimo procedūras nutraukė.

Taigi nėra pagrindo sutikti su pareiškėju, kad jis nebuvo Programėlės užsakovas. Pareiškėjas neneigia, kad jis, vykdydamas SAM ir Vyriausybės nurodymus, užsakė (organizavo neskelbtinų derybų būdu) Programėlės įsigijimą siekdamas įgyvendinti jam nustatytą užduotį, t. y. suvaldyti COVID-19 pandemiją naudojant IT įrankį asmenų, turėjusių kontaktą su COVID-19 viruso nešiotojais, duomenims registruoti ir stebėti. Šiuo tikslu NVSC numatė, kad Programėlėje bus tvarkomi Programėlės naudotojų asmens duomenys. Atsižvelgiant į tai, kad viešuosius pirkimus, siekdamas įsigyti Programėlę, organizavo NVSC, atmestini pareiškėjo skunde nurodyti argumentai, kad šiuo atveju duomenų valdytojais turėtų būti laikomi Lietuvos Respublikos Vyriausybės ekstremaliųjų situacijų komisija, SAM ir (ar) Vilniaus miesto savivaldybė, nes jos pareiškėjo nurodytais įsakymais ir potvarkiais nenustatė Programėlės duomenų tvarkymo tikslų ir priemonių.

ESTT sprendimo (byla Nr. C-683/21) 35 punkte išaiškino, kad aplinkybės, jog pats NVSC netvarkė asmens duomenų, kad NVSC ir Bendrovė nebuvo sudarę sutarties, kad NVSC neįsigijo Programėlės ar kad nebuvo gautas NVSC leidimas platinti Programėlę internetinėse parduotuvėse, nereiškia, kad jis negali būti laikomas „duomenų valdytoju“, kaip tai suprantama pagal BDAR 4 straipsnio 7 punktą. Vis dėlto šiuo klausimu ESTT pažymėjo, kad NVSC negali būti laikomas asmens duomenų valdytoju dėl Programėlės padarymo viešai prieinamos, jeigu prieš tokį padarymą prieinamos jis aiškiai išreiškė nepritarimą tam (37 punktas).

Byloje nėra duomenų, kad NVSC aiškiai išreiškė nepritarimą dėl Programėlės padarymo viešai prieinamos. Pareiškėjas tokių aplinkybių nenurodė ir neįrodinėjo, o nustatytos bylos aplinkybės patvirtina priešingas faktines aplinkybes. Jau minėta anksčiau, kad Programėlę iš interneto parduotuvės „Google Play Store“ buvo galima parsisiųsti 2020 m. balandžio 4 d., o iš „Apple App Store“ – 2020 m. balandžio 6 d. Byloje nustatyta, kad 2020 m. balandžio mėn. vis dar vyko aktyvus susirašinėjimas tarp Bendrovės ir NVSC neformalaus atstovo bei NVSC darbuotojų, pvz. byloje yra pateikti NVSC Vilniaus departamento Užkrečiamųjų ligų valdymo skyriaus vedėjos G. M. el. laiškai pavadinimu „Pastabos programėlei“, kuriuos 2020 m. kovo 27 d. ji išsiuntė A. S., o 2020 m. balandžio 4 d. – T. M. (el. pašto adresu (duomenys neskelbtini)@lympo.com), A. S. (el. pašto adresu (duomenys neskelbtini)@nvsc.lt) ir R. P. (el. pašto adresu (duomenys neskelbtini)@nvsc.lt). Pastarajame el. laiške buvo pateiktas toks turinys:

„1. Svarbu užtikrinti, kad asmuo nurodytų savo tikrą el. p. adresą. Šiuo metu galima įvesti bet kokį adresą. 2. Saviizoliacijos instrukcija neatitinka izoliavimosi namuose ar kitoje gyvenamojoje vietoje atmintinės (pridedu). 3. Neįkelta Sutikimo forma (pridedu). Jos nepasirašęs asmuo nevertinamas kaip privalomai izoliuojamas. 4. Ne visais atvejais asmeniui reikalinga 14 d. izoliacija (praeina laiko nuo paskutinės sąlyčio dienos ir COVID-19 atvejo išaiškinimo). Izoliacijos terminą nustato NVSC. Pavyzdžiui, asmuo turėjo sąlytį su kolega 2020 m. balandžio 4 d. Kolega prastai pasijuto 2020 m. balandžio 7 d., nuvyko į mobiliąją stotelę, atliko mėginį. Gautas teigiamas rezultatas 2020 m. balandžio 9 d. Su asmeniu NVSC susisiekia 2020 m. balandžio 9 d. ir nurodo izoliuotis iki 2020 m. balandžio 18 d. (14 d. po paskutinio kontakto dienos). 5. Klausimas „Ar jauti kitų simptomų“ – siūlau padaryti du pasirinkimo variantus – taip / ne. Jei taip, tada įrašyti. 6. Į klausimą „Ar reikalinga socialinė pagalba“ taip pat – atsakius taip, žmogus galėtų įrašyti kokia pagalba reikalinga. 7. „Svarbi informacija sąlytį turėjusiems asmenims“ – jei reikalinga psichologinė pagalba patarimų nuoroda neaktyvi. 8. Jei neturi simptomų – visos nuorodos neaktyvios. 9. Bendrinė informacija ir prevencinės priemonės sąlytį turėjusiems asmenims netinkama informacija įkelta. Siūlau pašalinti. 10. Atsakiau į klausimus ir tiesiog padėkota, kad laikausi taisyklių. Kodėl nėra išeičių? Surašiau, kas turi būti programėlėje tokiu atveju, jei asmeniui yra simptomų, jei nėra, jei reikalinga psichologinė ar socialinė pagalba. Dabar viskas sudėta bendrai. Netinkamas formatas. 11. Jei privalau izoliuotis, kuriuo metu turiu įkelti nuotrauką? Nepareikalauta.“ (kalba netaisyta).

Lietuvos Respublikos Vyriausybės 2020 m. balandžio 7 d. spaudos konferencijoje įvyko viešas Programėlės pristatymas, kurio metu A. S. buvo pristatytas kaip NVSC atstovas. Programėlę viešai pristatant Lietuvos Respublikos Vyriausybės spaudos konferencijos metu, A. S. nurodė, jog Programėlė reikalinga tam, kad būtų palengvinta NVSC veikla įvesto karantino režimo metu, taip pat kad institucija galėtų gauti duomenis, susijusius su COVID-19.