Regionų apygardos administracinio teismo sprendimas

Įžanginė dalis

Regionų administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Jovitos Einikienės (kolegijos pirmininkė ir pranešėja), Violetos Petkevičienės ir Eglės Žulytės-Janulionienės,

viešame teismo posėdyje rašytinio proceso tvarka išnagrinėjusi administracinę bylą pagal pareiškėjos Viešojo valdymo agentūros (ankstesnis pavadinimas – Valstybės tarnybos departamentas prie Lietuvos Respublikos vidaus reikalų ministerijos) skundus atsakovei Valstybinei duomenų apsaugos inspekcijai, byloje dalyvaujant tretiesiems suinteresuotiems asmenims Informatikos ir ryšių departamentui prie Lietuvos Respublikos vidaus reikalų ministerijos, Lietuvos Respublikos vidaus reikalų ministerijai, J. R. ir L. P., dėl sprendimų panaikinimo,

Aprašomoji dalis

nustatė:

Pareiškėja Viešojo valdymo agentūra (buvęs pavadinimas Valstybės tarnybos departamentas prie Lietuvos Respublikos vidaus reikalų ministerijos) (toliau – pareiškėja ir Agentūra) kreipėsi į teismą su skundu, kuriuo prašo panaikinti Valstybinės duomenų apsaugos inspekcijos (toliau – ir VDAI) 2022 m. birželio 30 d. sprendimo Nr. 3R-479 (2.13-1.E) dalį, kuriuo J. R. skundai pripažinti pagrįstais (toliau – Sprendimas dėl pažeidimo).

Prie nagrinėjamos bylos prijungtoje byloje pareiškėja prašo panaikinti VDAI 2022 m. rugsėjo 12 d. sprendimą Nr. 3R-773 (2.13-1.E), kuriuo už 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – ir BDAR) 5 straipsnio 1 dalies a ir f punktų nuostatų pažeidimus pareiškėjai paskirta 4 500 eurų bauda.

Teigia, kad VDAI priėmė nepagrįstą ir neteisėtą sprendimą dėl pažeidimo. Pažeidimas konstatuotas neįvertinus visų nagrinėjamam ginčui svarbių aplinkybių. Pareiškėja teigia, kad ji įvykdė visus VDAI nurodymus, tačiau VDAI net keturis kartus vis prašė pateikti papildomus dokumentus ir informaciją. Tokiais veiksmais atsakovė pareiškėjai sukėlę perteklinę administracinę naštą ir vilkino J. R. skundų nagrinėjimą.

Pareiškėjos teigimu skundžiamas sprendimas dėl pažeidimo yra nemotyvuotas, neatitinka Lietuvos Respublikos viešojo administravimo įstatymo (toliau – ir VAĮ) 10 straipsnio 5 dalies reikalavimų, taip pat bendrųjų teisės principų, pavyzdžiui, teisėtumo ir gero administravimo principų. Pareiškėja 2022 m. kovo 15 d., 2021 m. liepos 17 d. bei 2021 m. spalio 18 raštu VDAI pateikė paaiškinimus ir dokumentus, susijusius su J. R. skundais, pateiktais VDAI, taip pat pakartotinai pateikė paaiškinimus ir informaciją, susijusią su tyrimo atlikimu. Pareiškėjos vertinimu, VDAI pagal pateiktus dokumentus galėjo įvertinti, kiek kartų J. R. asmens duomenys valstybės tarnautojų registre (toliau – VATARAS) buvo tikrinti teisėtai ir neteisėtai, tačiau to nepadarė. Užuot tai padariusi, ketvirtą kartą (2022 m. kovo 17 d.) nurodė pareiškėjai pateikti informaciją ir dokumentus. Ir šį kartą pareiškėja operatyviai teikė VDAI duomenis apie priemones, kurių pareiškėja ėmėsi po nustatyto pažeidimo.

Nurodo, kad pareiškėja aktyviai, operatyviai ir savo kompetencijos bei suteiktų įgaliojimų ribose ėmėsi visų priemonių siekiant užtikrinti tinkamą, savalaikį J. R. skundų nagrinėjimą, taip pat užtikrinti tinkamą asmens duomenų apsaugą Agentūroje.

Pažymi, kad J. R. kreipėsi į VDAI su skundu 2021 m. birželio 22 d. (VDAI užregistruotas 2021 m. birželio 24 d.) sprendimas dėl pažeidimo priimtas tik 2022 m. birželio 30 d., pažeidžiant imperatyvią Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ADTAĮ) 30 straipsnio 2 dalies nuostatą, jog skundas ar jo dalis turi būti išnagrinėta per įmanomai trumpiausią laiką, bendras skundo ar jo dalies nagrinėjimo terminas negali viršyti 6 mėnesių nuo skundo gavimo priežiūros institucijoje dienos.

Nurodo, kad atsakovė, neturėdama tam teisinio pagrindo bei viršydama jai suteiktų įgaliojimų ribas, vertino J. R. asmens duomenų peržiūras nuo 2019 m. kovo 16 d. iki 2021 m. gegužės 24 d. (iš viso 244 peržiūras), o ne už laikotarpį nuo 2019 m. liepos 17 d. iki 2021 m. gegužės 24 d. (ADTAĮ 27 straipsnio 1 dalies 8 punktas). Be to, pažymi, jog J. R. prašė įvertinti asmens duomenų peržiūras nuo 2019 m. liepos 17 d. iki 2021 m. gegužės 24 d. (iš viso 229 peržiūras). Skundžiamame sprendime VDAI nevertino, kiek peržiūrų buvo atlikta teisėtai (tvarkant personalo duomenis, fiksuojant tarnybinės veiklos vertinimo rezultatus, formuojant privalomas anketas ir pan.).

Teigia, kad VDAI pažeidė pareiškėjos teisę į gynybą, nes pareiškėja nebuvo informuota apie vertinamas 244 peržiūras ir nesudarė galimybės pareiškėjai pateikti savo gynybinės pozicijos.

Dėl VATARAS tvarkytojų nurodo, kad 2019 m. sausio 1 d. įsigaliojus Lietuvos Respublikos valstybės tarnybos įstatymo (toliau – VTĮ) Nr. VIII-1316 pakeitimo įstatymui, VATARAS valdytoju nuo 2019 m. sausio 1 d. vietoj pareiškėjos tapo Lietuvos Respublikos vidaus reikalų ministerija (toliau – ir VRM) (Lietuvos Respublikos valstybės tarnybos įstatymo 53 straipsnis). Taigi nuo 2019 m. rugpjūčio 1 d. VATARAS tvarkytojas yra Informatikos ir ryšių departamentas prie Lietuvos Respublikos vidaus reikalų ministerijos (toliai – IRD). IRD pagal kompetenciją atliko duomenų paieškos auditą, įvedė papildomus paieškos laukus, t. y. ieškant asmens duomenų reikia įvesti šios paieškos tikslą. Pareiškėja neturi nei įgaliojimų, nei techninių galimybių pati savarankiškai tikrinti sistemoje kiek kartų, kokiu pagrindu, kokie pareiškėjos darbuotojai ir valstybės tarnautojai tikrino, peržiūrėjo ar tvarkė trečiųjų asmenų duomenis. Nurodo, kad dėl techninių klaidų ištaisymo pareiškėja taip pat turi kreiptis į IRD. Pareiškėjos vertinimu IRD yra pagrindinis VATARAS tvarkytojas. Pareiškėja yra VATARAS tvarkytoja tik pagal jai suteiktą kompetenciją, t. y. kaip ir visos biudžetinės įstaigos, vykdančios viešąjį administravimą, naudojasi tik personalo valdymo ir centralizuotai vykdomų konkursų moduliais.

VDAI nepagrįstai pareiškėjos atžvilgiu taikė Europos duomenų apsaugos valdybos 2020 m. rugsėjo 2 d. Gairėse 07/2020 dėl valdytojo ir tvarkytojo (pateikta viešam svarstymui) (toliau – ir Gairės 2020) išdėstytomis nuostatomis dėl valdytojo ir tvarkytojo vidinių išteklių sąvokos. Pažymi, kad VRM, pareiškėja ir IRD yra atskiros biudžetinės įstaigos, todėl pareiškėjos darbuotojai (tame tarpe ir buvusi pareiškėjos darbuotoja L. P.) nėra VATARAS valdytojo VRM darbuotoja, t. y. pareiškėjos darbuotojai negali būti laikomi valdytojo vidiniais ištekliais, VATARAS valdytojo (VRM) vidiniais ištekliais galėtų būti laikomi tik VRM darbuotojai.

Pažymi, kad duomenų saugumo pažeidimo tyrimą vykdė pagrindinis VATARAS tvarkytojas IRD. Sprendime nurodyta VDAI išvada, kad pareiškėjas yra įgaliotas atlikti asmens duomenų, tvarkomų VATARAS, saugumo pažeidimų tyrimą bei kitas reikalingas asmens duomenų saugumo pažeidimo valdymo procedūras, teikti pranešimus apie asmens duomenų saugumo pažeidimus VDAI ir duomenų subjektams bei atlikti Asmens duomenų saugumo pažeidimų valdymo tvarkos aprašo 6 ir 19 punktuose nurodytus veiksmus, yra nepagrįsta.

Teigia, kad VDAI nevertino duomenų saugumo pažeidimo keliamo pavojaus duomenų subjekto teisėms ir laisvėms. VDAI neatsižvelgė į pareiškėjos teiginius, kad nebuvo nustatyta, kad duomenys būtų pateikti tretiesiems asmenims ar atsirastų kitos BDAR preambulės 75 punkte nurodytos sąlygos, apibūdinančios įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms. Teigia, jog tokių įrodymų nepateikė ir duomenų subjektas.

Pažymi, kad pareiškėja neturi įgaliojimų ir techninių galimybių audituoti ir administruoti VATARAS. Pareiškėja pagal kompetenciją ėmėsi visų įmanomų organizacinių ir techninių priemonių, kad ateityje nepasikartotų panašūs atvejai. Dėl neteisėtų peržiūrų skaičiaus ir galimo sekimo bei galimo duomenų nutekinimo paaiškina, kad laikotarpiu nuo 2019 m. liepos 17 iki 2021 m. gegužės 24 d. 98 iš 229 peržiūrų atliktos neteisėtai, jas atliko 14 pareiškėjos darbuotojų. Laikotarpiu nuo 2019 m. liepos 17 d. iki 2021 m. gegužės 24 d. 4 pareiškėjos darbuotojai turėjo teisę peržiūrėti duomenų subjekto asmens duomenis VATARAS pagal einamas pareigas. VDAI ginčijamame sprendime taip pat nustatė, kad duomenų subjekto VATARAS asmens duomenų peržiūra dalies darbuotojų buvo atlikta, susijusi su jų vykdomomis funkcijomis, tačiau kiti VTD darbuotojai VATARAS tikslinosi kolegos gimimą datą, kad galėtų pasveikinti. Pažymi, kad trečiasis asmuo L. P. trečiojo asmens J. R. duomenis VATARAS tikrino 13 kartų, administruodama jai priskirtus konkursus ir atrankas, nes žinojo, jog jos buvusi kolegė ieško teisinio darbo ir domisi darbo vietomis į kitas įstaigas. VDAI neįvertino šių aplinkybių, taip pat neįvertino aplinkybės, kad J. R. nepagrįstai teigė, kad pareiškėjos darbuotojai ją persekioja, juk net keturi pareiškėjos darbuotojai jos duomenis VATARAS sistemoje peržiūrėjo teisėtai. Pažymi, kad administruojant ir vieną konkursą, vienas darbuotojas gali atlikti iki keliasdešimt peržiūrų, apie tai duomenų subjektas žino, nes pats vykdė analogiškas funkcijas, 13 kartų peržiūra negali būti prilyginama nuolatiniam sekimui.

Nurodo, kad VDAI pareiškėjai nepagrįstai skyrė administracinę baudą. Pareiškėja įvykdė visus VDAI nurodymus, aktyviai bendradarbiavo, pagrindinis VATARAS tvarkytojas yra ne pareiškėja, o IRD. Pareiškėja negali savarankiškai audituoti ir modernizuoti VATARAS, negali sukontroliuoti ir valdyti kontrolės procesų. Pažeidimas buvo pavienis ir buvo nedelsiant imtasi visų priemonių dėl pažeidimo aplinkybių ir priežasčių ištyrimo, atsakomybės pritaikymo, analogiškais atvejais, kai įstaigų darbuotojai netinkamai naudojasi registrais ar informacinėmis sistemomis tikrinant asmenų duomenis, ir dėl to buvo taikyta tarnybinė atsakomybė. VDAI prieš įstaigas nesiėmė jokių veiksmų, darant išvadą, kad užteko taikytos tarnybinės atsakomybės, į tai kad keletą vieno asmens duomenų peržiūrų objektyviai negalima laikyti itin dideliu galimai neteisėtų peržiūrų skaičiumi, o skiriant baudą svarbu įvertinti ir pažeidimo mastą bei pasekmes, į tai, kad galimas pažeidimas nebuvo tyčinis, nebuvo padaryta žala, Inspekcija skirdama baudą padarė esminius baudos skyrimo procedūros pažeidimus (pažeidė ADTAĮ 32 straipsnio 3 dalį, nenurodydama pažeidimo padarymo momento, kuris pagal pateiktus duomenis viršija 2 metų laikotarpį, ADTAĮ 34 straipsnio 3 dalį, 10 dalies 4, 5, 6, 7 punktus), vertinant tai, kad VDAI skyrė baudą pareiškėjai už kito fizinio asmens, tapusio savarankišku duomenų valdytoju, pažeidimus, t. y. netinkamai nustatytas atsakomybės subjektas.

Papildomuose rašytiniuose paaiškinimuose nurodo, kad darbdavys negali atsakyti visapusiškai už darbuotojo neteisėtus veiksmus. Teigia, kad pareiškėja taikė darbuotojai išankstines prevencines priemones: konfidencialumo pasižadėjimas, supažindinimas su pareiškėjos aprašu, mokymai ir kitos priemonės.

Atsakovė VDAI atsiliepimuose į pareiškėjos skundus prašo juos atmesti kaip nepagrįstus.

Nesutinka su skundo teiginiu, kad pareiškėja aktyviai, operatyviai ir jos kompetencijos ir suteiktų įgaliojimų ribose ėmėsi visų priemonių, siekiant užtikrinti tiek ir tinkamą, ir savalaikį VDAI gauto duomenų subjekto 2021 m. birželio 22 d. skundo nagrinėjimą, tiek ir užtikrinti tinkamą asmens duomenų apsaugą Agentūroje, jog visus VDAI nurodymus pareiškėja laiku ir tinkamai įvykdė.

Teigia, kad pareiškėja 2021 m. liepos 14 d., 2021 m. spalio 18 d. ir 2022 m. kovo 14 d. paaiškinimuose nenurodė, kokių priemonių buvo imtasi, kai pareiškėja nustatė, kad duomenų subjekto duomenys buvo peržiūrimi VATARAS neturint tam teisėto pagrindo. Taip pat, pareiškėja nepateikė duomenų kaip buvo dokumentuoti nustatyti pažeidimai bei kokių priemonių pareiškėja ėmėsi, kad ateityje tokie atvejai nepasikartotų. Dėl to pareiškėja 2022 m. kovo 17 d. raštu pakartotinai įpareigota pateikti šiuos duomenis. Nurodo, kad siekiant surinkti duomenų subjekto skundams reikalingą informaciją, taip pat kreipėsi į VRM, IRD, Lietuvos Respublikos teisingumo ministeriją. Nurodo, kad siekdama visapusiškai, tinkamai ir objektyviai išnagrinėti bei vykdydama jai nustatytus įgaliojimus, pagal BDAR 58 straipsnio 1 dalies a punktą, ne kartą kreipėsi į pareiškėją prašydama pateikti paaiškinimus ir pateikti įrodymus tam, kad būtų surinkta visa reikiama informacija, būtų gauti skundžiamo asmens paaiškinimai. Pažymi, kad teisės aktai neriboja kreipimosi į skundžiamą asmenį nagrinėjant skundus ar atliekant tyrimus kartų. Nepagrįstu laiko pareiškėjos teiginius, kad jai sukelta papildoma administracinė našta, vilkintas skundo nagrinėjimas. Pažymi, kad pagal BDAR duomenų valdytojas (šiuo atveju pareiškėja) įgyvendindama atskaitomybės principą privalo įrodyti, kad jo skundžiami veiksmai atitinka BDAR reikalavimus.

Nesutinka su pareiškėjos teiginiu, kad VDAI turėjo įvertinti, kiek kartų duomenys buvo tikrinti teisėtai ir neteisėtai. Pareiškėja nepagrindė įrodymais, jog dalis VTD darbuotojų tikslinosi kolegės (duomenų subjekto) gimimo datą tam, kad ją galėtų pasveikinti, jog duomenys niekur nebuvo panaudoti, minėti darbuotojai griežtai įspėti ateityje dėl gimimo datos teirautis tik asmeniškai konkretaus kolegos, kurį nori pasveikinti su gimtadieniu, taip pat pažymi, kad VDAI nepateikti 19 pareiškėjos darbuotojų sąrašai su duomenimis, nepateikti sąrašai asmenų, kurie duomenų subjekto duomenis tikrino VATARE teisėtai vykdydami jiems pavestas funkcijas, kurie neteisėtai, taip pat ir nepateikti įrodymai, kad iš asmenų, kurie tikrino duomenų subjekto duomenis buvo paprašyta pateikti paaiškinimus, taip pat nepateikti ir minėtų asmenų gauti paaiškinimai dėl duomenų tikrinimo.

Pripažįsta, kad skundžiamas sprendimas priimtas praleidus ADTAĮ įtvirtintą skundo nagrinėjimo terminą, tačiau atsakovės vertinimu, šiuo pagrindu sprendimas negali būti panaikintas. Nurodo, kad ADTAĮ ir BDAR nėra numatyti skundo nagrinėjimo terminai, kuriems suėjus skundas nebegali būti nagrinėjamas ir pripažįstamas pagrįstu, be to, teismų praktikoje sprendimo priėmimo termino praleidimas nesudaro pagrindo jį naikinti. Pažymi, kad skundo nagrinėjimas užtruko dėl skundų nagrinėjimo sudėtingumo, didelės apimties, poreikio pakartotinai ne vieną kartą kreiptis į skundžiamą asmenį dėl papildomos informacijos pateikimo. Nurodo, kad atsakovė skundo nagrinėjimo metu nuolat atliko veiksmus, siekiant kuo greičiau išnagrinėti skundą (išskyrus laikotarpį, kuomet skundą nagrinėjantis asmuo laikinai atliko Priežiūros skyriaus vedėjo funkcijas, dėl ko buvo itin išaugęs darbo krūvis ir užimtumas), VDAI neturėjo tyčios vilkinti duomenų subjekto skundų nagrinėjimą, dėjo visas pastangas aiškinantis galimo teisės pažeidimo padarymo aplinkybes, siekiant nustatyti, ar buvo padarytas teisės pažeidimas.

Nurodo, kad, nors sprendime aiškiai nepažymėta, jog pagal duomenų subjekto pateiktą IRD sąrašą buvo nustatyta, kad pareiškėjos darbuotojai laikotarpiu nuo 2019 m. kovo 16 d. iki 2021 m. gegužės 24 d. asmens duomenis VATARAS tikrino 244 kartus, tačiau aktualus laikotarpis, pagal duomenų subjekto prašymą yra 2019 m. liepos 17 d. iki 2021 m. gegužės 24 d., kuriuo buvo atliktos 229 peržiūros, o įvertinus, kad VDAI niekada nebuvo atskleista, kada ginčo asmens duomenys VATARE buvo tikrinti teisėtai, pareiškėja nepaaiškino, dėl kokių laikotarpių buvo kreiptasi į pareiškėjos darbuotojus siekiant gauti iš jų paaiškinimus, sprendime tikslingai peržiūros neskaidytos į aktualius laikotarpius pagal skundo dalyką. Pažymi, kad 2022 m. kovo 17 d. rašte VDAI nurodė, kad nagrinėja du J. R. skundus, kuriuose skundžiamasi, kad laikotarpiu nuo 2019 m. kovo 16 d. iki 2021 m. gegužės 24 d. pareiškėjos darbuotojai peržiūrėjo asmens duomenis VATARAS 244 kartus, iš kurių net 98 kartus duomenys peržiūrėti neteisėtai.

Pažymi, kad remiantis skundų nagrinėjimo metu gautais paaiškinimais ir teisiniu reguliavimu, pareiškėja laikytina VATARAS duomenų tvarkytoju ir VATARAS asmens duomenų tvarkytoju. BDAR nėra įtvirtintos sąvokos pagrindinis tvarkytojas ir kiti duomenų tvarkytojai. VRM pateikė paaiškinimą, kad VATARAS veiklos teisiniai pagrindai (įskaitant VATARAS paskirtį, objektus, valdytoją, tvarkytojus) nustatyti Lietuvos Respublikos valstybės tarnybos įstatymu bei VATARAS nuostatais, pagal Lietuvos Respublikos Valstybės tarnybos įstatymo (toliau – ir VTĮ) 53 straipsnio 4 dalį bei VATARAS nuostatų 8.2 papunktį VATARAS tvarkytoju ir VATARAS asmens duomenų tvarkytoju yra laikytina Agentūra.

Nurodo, kad nagrinėjamu atveju buvo pažeistas duomenų subjekto asmens duomenų saugumas, t. y. konfidencialumo pažeidimas, sistemingai juos peržiūrint pareiškėjos darbuotojams be jokio teisėto tikslo, pažeidimas atitinka BDAR 4 straipsnio 12 dalyje numatytą asmens duomenų saugumo pažeidimo apibrėžimą, 29 straipsnio duomenų apsaugos darbo grupės Gairėse dėl pranešimo apie asmens duomenų saugumo pažeidimą pagal Reglamentą (ES) 2016/679 (toliau – ir Gairės dėl pranešimo) pateiktą asmens duomenų saugumo pažeidimo apibrėžimo išaiškinimą, 29 straipsnio duomenų apsaugos darbo grupės Nuomonėje 03/2014 dėl pranešimo apie asmens duomenų saugumo pažeidimą (toliau – ir Nuomonė dėl pranešimo) konfidencialumo pažeidimo apibrėžimą.

Atsakovės vertinimu, pareiškėja, vadovaudamasi VRM pažeidimų valdymo aprašo 2 punktu, turėjo teikti pranešimus apie asmens duomenų saugumo pažeidimus VDAI ir duomenų subjektams. Pažymi, kad nei IRD, nei pareiškėja apie nustatytus saugumo pažeidimus VDI neinformavo, o VDI pasiteiravus pareiškėjos, ar buvo dokumentuoti asmens duomenų saugumo pažeidimo metu nustatyti faktai ir tyrimo rezultatai, pareiškėja nurodė, kad informaciją apie galimą asmens duomenų saugumo pažeidimą pareiškėja gavo iš pagrindinio VATARAS asmens duomenų tvarkytojo (IRD), kuriam, teikė informaciją apie VTD atliktus veiksmus dėl šio asmens duomenų saugumo pažeidimo. Asmens duomenų saugumo pažeidimas buvo žinomas ir VATARAS asmens duomenų valdytojui (VRM). BDAR 33 straipsnio 1 ir 5 dalies nuostatas pagal kompetenciją įgyvendina VATARAS asmens duomenų valdytojas. Nurodo, kad remiantis minėtu reguliavimu, duomenų valdytojas naudodamasis tinkamomis techninėmis ir organizacinėmis priemonėmis turi sugebėti identifikuoti ir ištirti galimai įvykusį asmens duomenų apsaugos pažeidimą ir imtis taisomų veiksmų.

VDAI vertinimu, nors Agentūra yra VATARAS duomenų tvarkytoja ir VATARAS asmens duomenų tvarkytoja, tačiau remiantis VRM pažeidimų valdymo aprašu turėjo apie nustatytą saugumo pažeidimą informuoti VDAI bei imtis kitų asmens duomenų saugumo pažeidimo valdymo procedūrų, nes dėl tokių Agentūros darbuotojų neteisėtų veiksmų ir jų apimties kilo pavojus trečiojo asmens J. R. teisėms ir laisvėms.

Nurodo, kad aplinkybė, jog pareiškėja neįgyvendinimo su asmens duomenų saugumo pažeidimu susijusių funkcijų (tyrimas, dokumentavimas, informavimas), tačiau, įvykus asmens duomenų saugumo pažeidimui, ėmėsi aktyvių veiksmų pažeidimui pašalinti, pareiškėjos atsakomybės dėl prieigos prie asmens duomenų be leidimo suteikimo nešalina. Įvertinusi, kad Agentūra ir IRD, kaip VATARAS duomenų tvarkytojai bei VATARAS asmens duomenų tvarkytojai, netinkamai įgyvendino jiems pavestas teises ir pareigas pagal VRM pažeidimų valdymo aprašą, VDAI teikė nurodymą VRM aiškiai sureguliuoti duomenų tvarkytojų teises ir pareigas, susijusias su asmens duomenų tvarkymu atliekamu VRM vardu VATARAS, rekomenduojant peržiūrėti ir kitų duomenų tvarkytojų teises ir pareigas, susijusias su asmens duomenų tvarkymu atliekamu VRM vardu, tvarkomų VRM valdomuose registruose ir valstybės informacinėse sistemose.

Pažymi, kad laikotarpiu nuo 2019 m. liepos 17 d. iki 2021 m. gegužės 24 d. buvo atliktos 229 J. R. asmens duomenų peržiūros, kurias vykdė 19 Agentūros darbuotojų, pareiškėja nenurodė tikslaus skaičiaus, kiek kartų duomenys tikrinti teisėtai, todėl pagrįstai vertinta, kad pareiškėjos darbuotojai nebuvo tinkamai supažindinti (apmokyti) su duomenų tvarkymo taisyklėmis, nuostatais (be kita ko, Agentūros aprašo 10 punktu), kad Agentūroje nebuvo vykdoma darbuotojų duomenų tvarkymo teisėtumo kontrolė, kuri sudarytų prielaidas prevenciškai užkardyti neteisėtą asmens duomenų tvarkymą, kaip to reikalauja BDAR 32 straipsnio 4 dalies, 24 straipsnio 1 dalies nuostatos.

Nurodo, kad Agentūros nurodytos organizacinės ir techninės priemonės, kad ateityje nepasikartotų panašūs atvejai, Agentūroje buvo vykdomos po pažeidimų, todėl nepanaikina pareiškėjos atsakomybės už nustatytus pažeidimus. Nurodo, kad atsižvelgiant į itin didelį pareiškėjos darbuotojų skaičių, kurie tikrino daugybę kartų duomenų subjekto duomenis VATARAS, neturėdami tam teisėto pagrindo ir teisėto tikslo, pažeisdami saugos politiką įgyvendinančius teisės aktus, kurie yra privalomi VATARAS tvarkytojams bei naudotojams (įskaitant Agentūrą), nuspręsta, kad pareiškėja pažeidė BDAR 5 straipsnio 1 dalies a ir f punktus.

Nesutinka su pareiškėja, kad jai nepagrįstai skirta administracinė bauda, neįvertinus visų aplinkybių, atsižvelgiant, jog pareiškėja yra valdžios institucija, o paskirta bauda neadekvati nustatytiems pažeidimams.

Nurodo, kad atsakovė skyrė pareiškėjai administracinę baudą, įvertinusi visas nustatytas aplinkybes pagal BDAR 83 straipsnio 2 dalį, atsižvelgusi į pažeidimo mastą ir pobūdį (itin didelis pareiškėjos darbuotojų skaičius, kurie tikrino daugybę kartų duomenų subjekto duomenis VATARAS, neturėdami tam teisėto pagrindo ir teisėto tikslo, pažeisdami saugos politiką įgyvendinančius teisės aktus, kurie yra privalomi VATARAS tvarkytojams bei naudotojams, įskaitant ir Agentūrą), nustačiusi, jog Agentūra pažeidė BDAR 5 straipsnio 1 dalies a ir f punktus, įvertinusi, ir tai kad po nustatyto asmens duomenų saugumo pažeidimų pareiškėjos taikyti taisomieji veiksmai nepanaikina jos atsakomybės už nustatytus pažeidimus.

Nesutinka su skundo teiginiu, kad VDAI netinkamai nustatė subjektą, kuriam skirtina bauda. Agentūra laikytina VATARAS duomenų tvarkytoju ir VATARAS asmens duomenų tvarkytoju. Šiais pagrindais atsakomybė turi būti taikoma būtent pareiškėjos atžvilgiu už netinkamai įgyvendinamus teisės aktus reguliuojančius asmens duomenų tvarkymą. Nurodo, kad Agentūrai taikytinos BDAR 5 straipsnio 1 dalies a punkto, f punkto, 32 straipsnio 4 dalies, 29 straipsnio, Gairių 2020, Gairių 2021 81 punkto, BDAR 28 straipsnio 20 dalies nuostatos.

Atsakovės vertinimu, pareiškėjos argumentai negali būti siejami su pareiškėjos kaltės forma, negali lemti baudos skyrimo ar neskyrimo, ar baudos dydžio.

Pažymi, kad pareiškėja laiku teikė paaiškinimus, tačiau paaiškinimų pateikimas VDAI dar savaime nelemia išvadų, kad pareiškėja bendradarbiavo su VDAI. Pareiškėja teikdama paaiškinimus neteikė visų VDAI prašomų duomenų.

Trečiasis suinteresuotas IRD atsiliepime į pareiškėjos skundą prašo jį atmesti kaip nepagrįstą.

Nurodo, kad pareiškėja yra VATARAS tvarkytoja. Agentūrai kaip VATARAS tvarkytojai, pavesta įgyvendinti duomenų subjekto teises, taip pat Agentūrai pavesta atlikti asmens duomenų saugumo pažeidimų valdymo funkcijas (be kita ko, atlieka asmens duomenų saugumo pažeidimų tyrimą bei kitas pažeidimo valdymo procedūras, teikia pranešimus apie asmens duomenų saugumo pažeidimus VDAI ir duomenų subjektams, dokumentuoja ir registruoja duomenų saugumo pažeidimus). Tuo pagrindu atmestinas skundo teiginys, jog Agentūra nėra įgaliota atlikti asmens duomenų tvarkomų VATARAS, saugumo pažeidimų tyrimą bei kitas reikalingas asmens duomenų saugumo pažeidimo valdymo procedūras.

Trečiasis suinteresuotas asmuo J. R. atsiliepimuose į pareiškėjos skundus prašo juos atmesti.

Nurodo, kad L. P. peržiūrėjo J. R. duomenis ne 13 kartų, kaip teigia pareiškėja, o 63 kartus, ką patvirtina 2021 m. birželio 9 d. IRD rašte Nr. 9R-1233 pateikta informacija. Agentūra, tirdama L. P. tarnybinį nusižengimą, paprašė darbuotoją pasiaiškinti dėl vienuolikos peržiūrų, nors žinojo apie IRD 2021 m. birželio 9 d. raštu pateiktą asmens duomenų peržiūrų sąrašą, tačiau juo nesivadovavo, tyrimą atliko nevisapusiškai ir neobjektyviai.

Trečiojo asmens vertinimu, pareiškėja nepagrįstai teigia, kad trečiasis asmuo nebuvo sekamas. Daug pareiškėjos darbuotojų peržiūrėjo trečiojo asmens duomenis VATARAS. Darbuotojai, peržiūrėję trečiojo asmens duomenis, susipažino su labai dideliu informacijos kiekiu apie jos privatų gyvenimą. Beveik dvejus metus Agentūra J. R. asmens duomenis VATARAS tvarkė pažeisdamas teisę į duomenų apsaugą. O sistemingas asmens duomenų tvarkymo pažeidimas užkirto kelią duomenų subjektui kontroliuoti savo asmens duomenis, paneigė jo teisę į Lietuvos Respublikos Konstitucijoje įtvirtiną teisę į privatų gyvenimą. Tai patvirtina ir 2021 m. liepos 8 d. Agentūros tarnybinio tyrimo išvada „Dėl L. P. tarnybinio nusižengimo“ Nr. 27L-273, kad buvo pažeista nustatyta VATARAS naudojimosi tvarka, neteisėtai sužinoti duomenys (asmeninė informacija), kurios neturėjo teisės sužinoti ir pažeistos duomenų subjekto teisės ir teisėti lūkesčiai į tinkamą ir teisėtą jos asmens duomenų tvarkymą. Dėl to pareiškėjos argumentas, kad sekimas negalėjo sukelti rimto pavojaus duomenų subjekto teisėms ir laisvėms, nepagrįstas.

Trečiojo asmens vertinimu, jos skundo nagrinėjimo terminai VDAI neturi įtakos pareiškėjos padarytų pažeidimų kvalifikavimui ir nesudaro pagrindo panaikinti ginčijamą sprendimą. Pažymi, kad pareiškėjai bauda paskirta pagrįstai.

Trečiasis suinteresuotas asmuo VRM atsiliepime į pareiškėjos skundą nurodo, kad VATARAS veiklos teisiniai pagrindai (įskaitant VATARAS paskirtį, objektus, valdytoją, tvarkytojus) nustatyti VTĮ 53 straipsnyje, VATARAS nuostatuose. Vadovaujantis VTĮ 53 straipsnio 4 dalimi ir VATARAS nuostatų 8.2 papunkčiu, VATARAS tvarkytoju laikytina pareiškėja, vadovaujantis VTĮ 53 straipsnio 2 dalimi, VATARAS valdytoju laikytina VRM. Nurodo, kad reorganizavus VATARAS, jo valdytoju buvęs paskirtas ir valdytojo teises ir pareigas įgyvendinęs pareiškėjas nuo 2019 m. rugpjūčio 31 d. atlieka tik VATARAS tvarkytojo funkcijas, numatytas VATARAS nuostatų 10 punkte. Registre tvarkomos elektroninės informacijos sauga užtikrinama vadovaujantis VRM duomenų saugos nuostatais, VRM elektroninės informacijos tvarkymo taisyklėmis, VRM administravimo taisyklėmis, kurie privalomi VATARAS tvarkytojams bei naudotojams (įskaitant pareiškėją ir jo paskirtus naudotojus). Pažymi, jog VATARAS naudotojams draudžiama naudoti asmens duomenis su vykdomomis darbo ir tarnybinėms funkcijomis nesusijusiems tikslams ar juos atskleisti, kaip tai nustato VATARAS nuostatų 54 punktas, VRM duomenų saugos nuostatų 65, 67, 68 punktai, VRM administravimo taisyklių 5 punktas. Pareiškėjai, kaip VATARAS tvarkytojai, pavesta įgyvendinti duomenų subjekto teises. Pareiškėja įgaliota atlikti asmens duomenų, tvarkomų VATARAS, saugumo pažeidimų tyrimą bei kitas reikalingas asmens duomenų saugumo pažeidimo valdymo procedūras, teikti pranešimus apie asmens duomenų saugumo pažeidimus VDAI ir duomenų subjektams. Pareiškėja, kaip VATARAS tvarkytoja, nustato informacijos apie galimą asmens duomenų saugos pažeidimą gavimo, nagrinėjimo ir asmens duomenų saugos pažeidimo tyrimo ir asmens duomenų saugos pažeidimo poveikio duomenų subjektų teisėms ir laisvėms vertinimo procedūras, dokumentuoja ir registruoja visus asmens duomenų saugumo pažeidimus duomenų tvarkytojo nustatyta tvarka.

Trečiasis suinteresuotas asmuo L. P. atsiliepimo į pareiškėjos skundus nepateikė.

Skundas netenkintinas.

Nagrinėjamoje byloje kilo ginčas dėl VDAI 2022 m. birželio 30 d. sprendimo rezoliucinės dalies 1 punkto, kuriuo administracinės procedūros pareiškėjos J. R. skundas pripažintas pagrįstu, taip pat dėl VDAI 2022 m. rugsėjo 12 d. sprendimo, kuriuo už BDAR 5 straipsnio 1 dalies a ir f punktų pažeidimą pareiškėjai skirta 4 500 Eur bauda, teisėtumo ir pagrįstumo.

J. R. 2021 m. birželio 24 d. kreipėsi į VDAI su skundu, kuriame nurodė, kad laikotarpiu nuo 2020 m. gruodžio 15 d. iki 2021 m. balandžio 14 d. septynis kartus Agentūros darbuotoja L. P. peržiūrėjo jos asmens duomenis VATARAS (2021 m. balandžio 3 d. 23:14:01, 2021 m. kovo 7 d. 22:08:28, 2021 m. vasario 18 d. 18:09:40, 2021 m. sausio 31 d. 18:50:42, 2021 m. sausio 13 d. 22:53:27, 2021 m. sausio 5 d. 22:46:10, 2020 m. gruodžio 21 d. 22:17:40). J. R. pažymėjo, kad nurodytu laiku ji nesinaudojo Agentūros paslaugomis (nedalyvavo jokiame organizuotame Agentūros konkurse ir (ar) atrankoje, todėl Agentūros darbuotoja neturėjo jokio pagrindo peržiūrėti jos asmens duomenų. Be to, duomenys peržiūrėti nakties ir ne darbo metu.

Iš skundžiamo VDAI sprendimo dėl pažeidimo turinio matyti, kad VDAI dėl šio pirminio skundo papildomai nepasisakė. Pažymėjo, jog L. P. buvo viena iš Agentūros darbuotojų peržiūrėjusių J. R. asmens duomenis VATARAS, todėl iš esmės Agentūra išnagrinėjo ir pripažino pagrįstu J. R. 2021 m. liepos 12 d. patikslintą skundą, kuriame ji nurodė, kad laikotarpiu nuo 2019 m. liepos 17 d. iki 2021 m. gegužės 24 d. keturiolika Agentūros darbuotojų J. R. asmens duomenis VATARAS peržiūrėjimo 229 kartus. Pažymėjo, kad tik keturi Agentūros darbuotojai turėjo teisę peržiūrėti jos asmens duomenis VATARAS, tačiau kiti tokios teisės neturėjo. J. R. vertinimu ji buvo sistemingai beveik dvejus metus dėl nežinomų priežasčių persekiojama Agentūros darbuotojų. J. R. teigimu, jos duomenys galimai buvo nutekinti tretiesiems asmenims. Taip pat J. R. skundas VDAI buvo pildytas 2021-12-01 ir 2021-12-22.

VDAI, nagrinėdama J. R. skundus, 2021 m. birželio 29 d., 2021 m. rugsėjo 30 d. ir 2021 m. gruodžio 21 d. ir 2022 m. kovo 17 d. nurodymais įpareigojo Agentūrą pateikti išsamius ir pagrįstus paaiškinimus ir juos pagrindžiančius įrodymus dėl trečiojo asmens J. R. skunduose nurodytos Agentūros veiklos, susijusios su J. R. asmens duomenų tvarkymu. Taip pat įpareigojo Agentūrą pateikti duomenis, ar nustatyti pažeidimai buvo dokumentuoti, kokių veiksmų Agentūra ėmėsi, kad nustatyti pažeidimai nepasikartotų ateityje.

Agentūra 2021 m. liepos 14 d., 2021 m. spalio 18 d., 2022 m. kovo 14 d. ir 2022 m. balandžio 30 d. paaiškinimuose pateikė J. R. skundų nagrinėjimui reikalingą informaciją, taip pat vykdė VDAI nurodymus ir pateikė duomenis apie nustatytų pažeidimų dokumentavimą bei kokių priemonių Agentūra ėmėsi, kad ateityje tokie atvejai nepasikartotų. Agentūra 2021 m. liepos 8 d. parengė išvadą „Dėl L. P. tarnybinio nusižengimo“, kurioje nurodė, kad L. P. neturėjo nei teisinio, nei faktinio pagrindo tvarkyti, t. y. peržiūrėti, J. R. asmens duomenis VATARAS. Agentūros direktorius 2021 m. liepos 13 d. įsakymu L. P. paskyrė tarnybinę nuobaudą – papeikimą. Dėl kitų Agentūros darbuotojų, peržiūrėjusių J. R. asmens duomenis VATARAS, nurodė, kad keturi darbuotojai turėjo teisę peržiūrėti J. R. asmens duomenis VATARAS, nes tai buvo susiję su jų vykdomomis funkcijomis, kiti siekė sužinoti J. R. gimimo datą. Teigė, jog nei vienas iš Agentūros darbuotojų J. R. asmens duomenų neperdavė tretiesiems asmenims.

IRD 2022 m. kovo 17 d. raštu Nr. 2R-1191 informavo VDAI, kad VATARAS valdytojas ir VATARAS tvarkomų asmens duomenų valdytas yra VRM. Pažymėjo, kad VATARAS valdytoja VRM apie galimą VATARAS tvarkomų asmens duomenų saugumo pažeidimą buvo informuota.

VDAI 2022 m. birželio 30 d. sprendimu Nr. 3R-479 (2.13-1.E) J. R. skundą pripažino pagrįstu. VDAI, įvertinusi tai, kad laikotarpiu nuo 2019 m. kovo 16 d. iki 2021 m. gegužės 24 d. J. R. duomenys devyniolikos Agentūros darbuotojų buvo peržiūrėti net 244 kartus, iš jų daugumą atvejų neturint tam teisėto tikslo ir pagrindo, pažeidžiant saugos politiką įgyvendinančius teisės aktus, kurie yra privalomi VATARAS tvarkytojams bei naudotojams (įskaitant Agentūrai), nustatė BDAR 5 straipsnio 1 dalies a ir f punktų pažeidimus. Taip pat VDAI konstatavo, kad Agentūros darbuotojai nebuvo tinkamai supažindinti (apmokyti) su duomenų tvarkymo taisyklėmis, nuostatais, Agentūroje nebuvo vykdoma Agentūros darbuotojų duomenų tvarkymo teisėtumo kontrolė, kurios metu gali būti nustatytas neteisėtas duomenų tvarkymas. Be to, Agentūra neinformavo VDAI apie nustatytą saugumo pažeidimą, šią pareigą atliko IRD.

VDAI 2022 m. rugsėjo 12 d. sprendimu Nr. 3R-773 (2.13-1.E) už BDAR 5 straipsnio 1 dalies a ir f punktų nuostatų pažeidimus pareiškėjai paskyrė 4 500 eurų baudą. Sprendime vertintos aplinkybės dėl pažeidimo pobūdžio, sunkumo ir trukmės (itin didelis Agentūros darbuotojų skaičius, kurie tikrino daugybę kartų pareiškėjos duomenis VATARAS, neturėdami tam teisėto pagrindo ir teisėto tikslo, pažeisdami saugos politiką įgyvendinančius teisės aktus; pripažintas BDAR 5 straipsnio 1 dalies a ir f punktų pažeidimas; duomenys periodiškai buvo tikrinami VATARE nuo 2019 m. kovo 16 d. iki 2021 m. gegužės 24 d., taigi pažeidimai yra tęstinio pobūdžio ir truko ilgą laiką; dėl tokio duomenų tvarkymo duomenų subjektui buvo užkirstas kelias kontroliuoti savo duomenis, todėl žala duomenų subjektui negali būti vertinama kaip nedidelė; šios aplinkybės vertinamos kaip Agentūros atsakomybę sunkinantis veiksnys), pažeidimo tyčios ar aplaidumo (nustatytas aplaidumas, atsižvelgus į tai, jog fiksuotas itin didelis Agentūros darbuotojų skaičius, kurie tikrino daugybę kartų pareiškėjos duomenis VATARAS, neturėdami tam teisėto pagrindo ir teisėto tikslo, pažeisdami saugos politiką įgyvendinančius teisės aktus, taigi Agentūra nevykdė ar netinkamai vykdė Agentūros darbuotojų duomenų tvarkymo teisėtumo kontrolę, kurios metu galėjo būti nustatytas neteisėtas duomenų tvarkymas; tai nevertinama kaip atsakomybę sunkinanti ar lengvinanti aplinkybė), bendradarbiavimo su VDAI siekiant atitaisyti pažeidimą ir sumažinti galimą neigiamą jo poveikio laipsnį (Agentūros paaiškinimus į VDAI raštus teikė tinkamai ir laiku, tačiau neatsižvelgiama į bendradarbiavimą, kuris yra privalomas pagal teisės aktus), BDAR 58 straipsnio 2 dalyje nurodytų priemonių taikymo Agentūrai (Agentūra anksčiau taisomosios priemonės dėl to paties dalyko nebuvo taikytos, todėl šis aspektas nevertintas), kitos atsakomybę lengvinančios ar sunkinančios aplinkybės (kitų Agentūros atsakomybę lengvinančių ar sunkinančių aplinkybių nenustatyta; Agentūros priemonės, kurių ji ėmėsi po pažeidimo paaiškėjimo, negali būti vertinamos kaip atsakomybę švelninantis veiksnys, kadangi padarytas pažeidimas dėl savo pobūdžio iš esmės negali būti atitaisytas, taip pat VDAI nebuvo pateikta jokių duomenų, kad Agentūra kokiais nors būdais siekė sumažinti neigiamą jo poveikį). Atsižvelgiant į tai, kad Agentūros bendras aktualus biudžeto pajamų dydis yra 1 585 000 Eur, todėl 4 500 Eur bauda laikytina proporcinga poveikio priemone siekiant, kad Agentūra ateityje užtikrintų BDAR nuostatų laikymąsi.

Agentūra nesutikdama su VDAI sprendimais dėl konstatuoto pažeidimo ir baudos pareiškėjai skyrimo kreipėsi į teismą.

Ginčo teisinius santykius reguliuoja BDAR, Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas (toliau – ir ADTAĮ), Valstybės informacinių išteklių valdymo įstatymas (toliau – ir VIIVĮ), VTĮ, Valstybės tarnautojų registro nuostatai, patvirtinti Lietuvos Respublikos Vyriausybės 2002 m. rugpjūčio 10 d. nutarimu Nr. 1255 ,,Dėl Valstybės tarnautojų registro nuostatų patvirtinimo“ (toliau – ir VATARAS nuostatai), Asmens duomenų tvarkymo, saugojimo ir šių duomenų subjektų teisių įgyvendinimo Valstybės tarnybos departamente prie Lietuvos Respublikos vidaus reikalų ministerijos tvarkos aprašas, patvirtintas Valstybės tarnybos departamento prie Lietuvos Respublikos vidaus reikalų ministerijos direktoriaus 2019 m. balandžio 11 d. įsakymu Nr. 27V-94 (toliau – ir Agentūros aprašas), Asmens duomenų saugumo pažeidimų valdymo tvarkant asmens duomenis teisės aktais įgaliotiems duomenų tvarkytojams Lietuvos Respublikos vidaus reikalų ministerijos valdomuose registruose ir valstybės informacinėse sistemose tvarkos aprašas (toliau – ir VRM pažeidimų valdymo aprašas), patvirtintas Lietuvos Respublikos vidaus reikalų ministro 2020 m. rugpjūčio 28 d. įsakymu Nr. 1V-865, Kai kurių Lietuvos Respublikos vidaus reikalų ministerijos valdomų registrų ir valstybės informacinių sistemų duomenų saugos nuostatai, patvirtinti Lietuvos Respublikos vidaus reikalų ministro 2017 m. gruodžio 22 d. įsakymu Nr. 1V-883 ,,Dėl Kai kurių Lietuvos Respublikos vidaus reikalų ministerijos valdomų registrų ir valstybės informacinių sistemų duomenų saugos nuostatų patvirtinimo“ (toliau – ir VRM duomenų saugos nuostatai); Kai kurių Lietuvos Respublikos vidaus reikalų ministerijos valdomų registrų ir valstybės informacinių sistemų saugaus elektroninės informacijos tvarkymo taisyklės (toliau – ir VRM elektroninės informacijos tvarkymo taisyklės) ir kai kurių Lietuvos Respublikos vidaus reikalų ministerijos valdomų registrų ir valstybės informacinių sistemų naudotojų administravimo taisykles (toliau – ir VRM administravimo taisyklės), patvirtintos Lietuvos Respublikos vidaus reikalų ministro 2018 m. lapkričio 26 d. įsakymu Nr. 1V-871; Priėmimo į valstybės tarnautojo pareigas organizavimo tvarkos aprašas, patvirtintas Lietuvos Respublikos Vyriausybės 2018 m. lapkričio 28 d. nutarimu Nr. 1176 „Dėl Lietuvos Respublikos valstybės tarnybos įstatymo įgyvendinimo“ (toliau – ir Priėmimo aprašas).

Dėl procedūrinių pažeidimų

ADTĮ 30 straipsnio 2 dalyje nustatyta, kad skundas ar jo dalis turi būti išnagrinėta ir pareiškėjui atsakyta per 4 mėnesius nuo skundo gavimo priežiūros institucijoje dienos, o bendras skundo ar jo dalies nagrinėjimo terminas negali būti ilgesnis negu 6 mėnesiai nuo skundo gavimo priežiūros institucijoje dienos. Atsakovė pripažįsta, jog praleido ADTAĮ 30 straipsnio 2 dalyje nustatytą bendrą 6 mėnesių terminą sprendimui dėl VDAI gautų skundų (2021 m. birželio 22 d. skundas (VDAI reg. Nr. 1R-4436 (2.13.Mr)) ir 2021 m. liepos 12 skundas (VDAI reg. Nr. 1R-4819 (2.13.Mr)) priimti, tačiau nurodo, kad skundai buvo ištirti, o procedūrinis pažeidimas negali lemti sprendimo neteisėtumo.

Lietuvos vyriausiojo administracinio teismo praktikoje šiuo aspektu laikomasi nuostatos, jog procedūriniai terminai sprendimo priėmimui yra skirti užtikrinti, kad administracinis procesas nebūtų pernelyg ilgai užtęsiamas, o viešojo administravimo subjektai įvykdytų jiems pavestą kompetenciją (žr., pvz., Lietuvos vyriausiojo administracinio teismo 2013 m. spalio 8 d. sprendimą administracinėje byloje Nr. A-602-1189/2013). Taigi, kaip matyti iš šiuo aspektu suformuotos teismų praktikos, viešojo administravimo subjektui įstatyme nustatytas terminas administraciniam sprendimui priimti yra instrukcinio pobūdžio, todėl šio termino pasibaigimas nedaro negaliojančiu administracinio sprendimo, priimto pasibaigus šiam terminui. Lietuvos vyriausiasis administracinis teismas taip pat yra pažymėjęs, kad įstatyme nustatyto termino, per kurį turi būti priimtas administracinis sprendimas, pasibaigimas nepaneigia viešojo administravimo subjekto kompetencijos priimti administracinį sprendimą ar atlikti kitus veiksmus, tai yra tiesiogiai nesukuria neigiamų teisinių pasekmių, tik prailgina administracinį procesą, su sąlyga, jei nesuėjęs senaties terminas šioms procedūroms vykdyti (žr., pvz., Lietuvos vyriausiojo administracinio teismo 2013 m. birželio 13 d. sprendimą administracinėje byloje Nr. A-502-940/2013).

Byloje nėra ginčo, kad sprendimo priėmimo terminas (dėl skundų) buvo praleistas, tačiau, teismo vertinimu, byloje nėra ir įrodymų, kad VDAI būtų sąmoningai vilkinusi skundų nagrinėjimą. Pareiškėjos skunde nurodytas teiginys, kad VDAI net keturis kartus nepagrįstai pareiškėjai pateikdama nurodymus vilkino skundų išnagrinėjimą yra atmestinas kaip stokojantis pagrįstumo.

Iš bylos medžiagos matyti, kad VDAI nagrinėdama J. R. 2021 m. birželio 22 d. skundą 2021 m. birželio 29 d. raštu Nr. 2R-3367(2.13.Mr) kreipėsi į Agentūrą dėl informacijos pateikimo. VDAI 2021 m. liepos 14 d. gavo Agentūros atsakymą (VDAI reg. Nr. 1R-4889(2.13.Mr)). Atsižvelgiant į tai, kad VDAI gautas J. R. 2021 m. liepos 12 d. dar vienas skundas (VDAI reg. Nr. 1R-4819(2.13.Mr)), VDAI 2021 m. rugsėjo 30 d. raštu Nr. 2R-4875(2.13.Mr) dar kartą kreipėsi į Agentūrą, nurodydama pateikti informaciją, reikalingą skundo nagrinėjimui. VDAI 2021 m. spalio 18 d. gavo Agentūros atsakymą (VDAI reg. Nr. 1R-6768(2.13.Mr)). J. R. 2021 m. gruodžio 2 d. pateikė papildytus skundus (VDAI reg. Nr. 1R-7751(2.13.Mr)). Agentūra 2021 m. gruodžio 22 d. pateikė papildomus paaiškinimus (VDAI reg. Nr. 1R-8171(2.13.Mr)). VDAI įvertinusi gautus Agentūros atsakymus bei J. R. pateiktą skundų papildymą, VDAI 2022 m. kovo 17 d. raštu Nr. 1R-1188(2.13.Mr) pakartotinai kreipėsi į Agentūrą dėl informacijos pateikimo. Taip pat papildomai 2022 m. kovo 17 d. raštu Nr. 2R-1191(2.13.Mr) buvo kreiptasi į IRD dėl informacijos pateikimo. Agentūra 2022 m. kovo 30 d., vykdydama VDAI 2022 m. kovo 17 d. nurodymą, pateikė duomenis (VDAI reg. Nr. 1R-1770(2.13.Mr)). IRD 2022 m. balandžio 1 d. pateikė VDAI atsakymą (VAI reg. Nr. 1R-1815(2.13.Mr)). Agentūra 2022 m. balandžio 4 d. VDAI pateikė papildomus dokumentus (VDAI reg. Nr. 1R-1847(2.13.Mr)). VDAI 2022 m. balandžio 14 d. raštu Nr. 2R-1656(2.13.Mr)) kreipėsi į Lietuvos Respublikos teisingumo ministeriją dėl laiško įteikimo L. P. L. P. 2022 m. balandžio 25 d. pateikė VDAI paaiškinimus dėl J. R. skundų (VDAI reg. Nr. 1R-2242(2.13.Mr)).

Valstybinės duomenų apsaugos inspekcijos vykdomų tyrimų ir (ar) patikrinimų atlikimo taisyklių, patvirtintų Valstybinės duomenų apsaugos inspekcijos direktoriaus 2019 m. liepos 17 d. įsakymu Nr. 1T-92(1.12.E), 56 punktą VDAI valstybės tarnautojai, atliekantys tikrinimus, privalo: 1) savo veikloje vadovautis Reglamentu (ES) 2016/679, ADTAĮ, kitais Lietuvos Respublikos įstatymais ir kitais norminiais teisės aktais; 2) susipažinti su ankstesnių tikrinimų rezultatais, VDAI viešai pateiktomis konsultacijomis, VDAI vertinimais dėl tikrinamo subjekto pateiktų asmens duomenų tvarkymo taisyklių ir kitų dokumentų bei į tai atsižvelgti atlikdami tikrinimą; 3) surinkti, išanalizuoti ir apibendrinti tikrinimui atlikti reikalingą informaciją; 4) būti objektyvūs ir sąžiningi, iš anksto viešai nevertinti atlikto tikrinimo rezultatų; 5) saugoti tikrinamų asmenų valstybės, tarnybos, profesines, komercines (gamybines), banko ir kitas įstatymų saugomas paslaptis, ir įstatymų saugomus asmens duomenis, kuriuos sužinojo tikrinimo metu.

Pažymėtina, kad J. R. 2021 m. birželio 22 d. skundas ir 2021 m. liepos 12 d. skundas nebuvo tapatūs, t. y. pirmuoju skundu ji kreipėsi nurodydama, kad viena Agentūros darbuotoja be teisėto pagrindo VATARAS peržiūrėjo jos asmens duomenis, tuo tarpu vėlesniame skunde ji nurodė, kad 19 Agentūros darbuotojų VATARAS peržiūrėjo jos asmens duomenis. Taigi, įvertinus aptartas J. R. skundų nagrinėjimo aplinkybes, duomenų apimtį, klausimo sudėtingumą, ir tai, kad VDAI nagrinėdama J. R. skundus turėjo surinkti, išanalizuoti ir apibendrinti tikrinimui reikalingą informaciją, teismas neturi teisinio pagrindo sutikti su pareiškėja, kad VDAI sąmoningai vilkino J. R. skundų nagrinėjimą. Nors Sprendimas (dėl skundų) buvo priimtas vėliau nei ADTAĮ nustatytas terminas, tačiau, atsižvelgiant į pirmiau nurodytus argumentus, tai nėra esminis procedūrinis pažeidimas, kuris būtų lėmęs skundą padavusio asmens teisių pažeidimą ir kuris galėtų būti pagrindu panaikinti skundžiamą Sprendimą. Pareiškėja skunde taip pat tik bendrai nurodė, kad terminas buvo praleistas, tačiau, kokios neigiamos pasekmės pareiškėjai dėl to kilo, skunde nėra nurodyta. ADTAĮ 30 straipsnio 2 dalyje nustatytas terminas nėra naikinamais, todėl naikinti sprendimą dėl to, kad jis buvo priimtas praleidus įstatyme nustatytą terminą, nėra teisinio pagrindo.

Dėl to skunde nurodomais aspektais nėra teisinio pagrindo konstatuoti, kad buvo pažeistos esminės procedūros taisyklės, turinčios užtikrinti visapusišką, išsamų ir objektyvų skundų dėl asmens duomenų tvarkymo išnagrinėjimą.

Pareiškėja skunde taip pat teigia, kad VDAI viršijo savo įgaliojimus, nes Sprendime įvertino J. R. asmens duomenų peržiūras nuo 2019 m. kovo 16 d. iki 2021 m. gegužės 24 d., o ne už laikotarpį nuo 2019 m. liepos 17 d. iki 2021 m. gegužės 24 d., tokiu būdu pažeidė ADTAĮ 27 straipsnio 1 dalies 8 punkto nuostatą.

ADTAĮ 27 straipsnio 1 dalies 8 punkte nurodyta, kad priežiūros institucija priima sprendimą atsisakyti nagrinėti skundą ar jo dalį, jei nuo skunde ar jo dalyje nurodytų pažeidimų padarymo iki skundo padavimo praėjo daugiau kaip 2 metai.

Iš bylos medžiagos matyti, kad J. R. 2021 m. liepos 12 d. skunde nurodė, kad laikotarpiu nuo 2019 m. kovo 16 d. iki 2021 m. gegužės 24 d. Agentūros darbuotojai VATARAS atliko J. R. asmens duomenų peržiūras 244 kartus, tačiau atsižvelgdama į tai, kad VDAI priima skundus už neilgesnį kaip 2 metų laikotarpį, prašė iš IRD audito ataskaitos skaičiuoti peržiūrų skaičių fiksuojamą nuo 2019 m. liepos 17 d. iki 2021 m. gegužės 24 d., iš viso 229 peržiūras, iš kurių 98 kartus atliktos neteisėtos peržiūros, kurias atliko 14 Agentūros darbuotojų. Taigi, nors ir VDAI atkreipė dėmesį, kad J. R. asmens duomenis Agentūros darbuotojai VATARAS peržiūrėjo nuo 2019 m. kovo 16 d. iki 2021 m. gegužės 24 d., tačiau atsižvelgdamas į ADTAĮ 27 straipsnio 1 dalies 8 punktą ir J. R. 2021 m. liepos 12 d. skunde patikslintą laikotarpį, pažeidimą pripažino ir baudą paskyrė atsižvelgdamas į laikotarpį nuo 2019 m. liepos 17 d. iki 2021 m. gegužės 24 d.

Nagrinėjamu atveju byloje nustatyta, kad Agentūros darbuotojai laikotarpiu nuo 2019 m. liepos 17 d. iki 2021 m. gegužės 24 d. tikrino VATARAS J. R. duomenis VATARAS, kuri skundą pateikė 2021 m. liepos 12 d., t. y. nesuėjus 2 metų senaties terminui, todėl šis pareiškėjos argumentas taip atmestinas kaip nepagrįstas.

Pareiškėjos skundo argumentai, kad VDAI pažeidė jos teisę į gynybą, nes nesuteikė galimybės pasisakyti dėl 244 peržiūrų yra nepagrįsti. Jau minėta, kad J. R. 2021 m. liepos 12 d. skunde nurodė, kad laikotarpiu nuo 2019 m. kovo 16 d. iki 2021 m. gegužės 24 d. Agentūros darbuotojai VATARAS atliko J. R. asmens duomenų peržiūras 244 kartus. J. R. skundas, kaip ir IRD raštai, kuriais J. R. grindė savo argumentus buvo pateikti Agentūrai. Taigi Agentūra buvo susipažinusi su šiais J. R. argumentais, dėl jų galėjo pasisakyti ir pateikti paaiškinimus.

Dėl VATARAS tvarkytojo (-ų)

VDAI skundžiamame sprendime nusprendė, kad Agentūra yra VATARAS tvarkytoja. Pareiškėja skunde teigia, kad ji nėra VATARAS tvarkytoja, o jos vertinimu, VATARAS tvarkytoja yra IRD: Agentūra tik pagal jai suteiktą kompetenciją naudojasi VATARAS, t. y. kaip ir visos biudžetinės įstaigos, vykdančios viešąjį administravimą – naudojasi tik personalo valdymo ir centralizuotai vykdomų konkursų moduliais.

Pagal BDAR 4 straipsnio 8 punktą duomenų tvarkytojas tai fizinis arba juridinis asmuo, valdžios institucija ar kita įstaiga, kuri duomenų valdytojo vardu tvarko asmens duomenis. BDAR 4 straipsnio 2 punkte nustatyta, kad duomenų tvarkymas tai bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas.

VATARAS paskirtis – registruoti Lietuvos Respublikos valstybės tarnybos įstatyme nustatytus Registro objektus, rinkti, kaupti, apdoroti, sisteminti, saugoti, naudoti ir teikti Registro duomenis valstybės ir savivaldybių institucijoms ir įstaigoms, kitiems registrams ir valstybės informacinėms sistemoms, kitiems juridiniams ir fiziniams asmenims, atlikti kitus Registro duomenų tvarkymo veiksmus (Valstybės tarnautojų registro nuostatų 2 punktas).

Pagal Valstybės tarnautojų registro nuostatų 7 punktą VATARAS valdytojas yra VRM. VATARAS tvarkytojai (Valstybės tarnautojų registro nuostatų 8 punktas): 1) IRD yra VATARAS tvarkytojas ir VATARAS tvarkomų asmens duomenų tvarkytojas; 2) kiti VATARAS tvarkytojai ir VATARAS tvarkomų asmens duomenų tvarkytojai yra valstybės ir savivaldybių institucijos ir įstaigos bei kitos biudžetinės įstaigos.

Valstybės tarnybos departamento 2018 m. gruodžio 31 d. nuostatų, patvirtintų Lietuvos Respublikos vidaus reikalų ministro įsakymu Nr. 1V-983 (2019 m. sausio 1 d. akto redakcija; neteko galios nuo 2023 m. spalio 1 d.), 1 punkte nurodyta, kad Departamentas yra įstaiga prie VRM, kurios paskirtis – įgyvendinti valstybės politiką valstybės tarnybos srityje ir aptarnauti šios politikos formavimą ir įgyvendinimą. Departamento veiklos tikslas – įgyvendinti valstybės politiką valstybės tarnybos srityje ir aptarnauti šios politikos formavimą ir įgyvendinimą (Nuostatų 8 straipsnio). Pagal Nuostatų 10.1 punktą departamentas pagal kompetenciją tvarko Valstybės tarnautojų registrą ir Valstybės tarnybos valdymo informacinę sistemą.

Taigi, vadovaujantis Valstybės tarnautojų registro nuostatų 8.2 papunkčiu, pareiškėjos nuostatų 10.1 papunkčiu, VATARAS tvarkytoja laikytina pareiškėja. Šiuo atveju aplinkybė, kad IRD taip pat yra VATARAS tvarkytojas, nepaneigia, kad pareiškėja taip pat laikytina VATARAS tvarkytoja.

Pareiškėja skunde teigia, kad Agentūros darbuotojai negali būti laikomi valdytojo „vidiniais ištekliais“, kaip nurodoma Gairėse ir kuriomis, darydama išvadas, remiasi VDAI. VDAI skundžiamame sprendime nurodė, kad Gairėse dėl valdytojo ir tvarkytojo (pateikta viešam svarstymui) nurodyta, jog jei duomenų valdytojas duomenis tvarko naudodamas savo vidinius išteklius, pavyzdžiui, darbuotojus, šie darbuotojai nėra laikytini duomenų tvarkytojais Bendrojo duomenų apsaugos reglamento prasme, kadangi darbuotojai yra įpareigoti laikytis duomenų valdytojo nurodymų ir yra duomenų valdytojo neatskiriama dalis. Atsižvelgdama į tai, VDAI padarė išvadą, kad atskirai dėl darbuotojų veiksmų nepasisakytina. Šiuo atveju nėra pagrindo nesutikti su VDAI išvadomis, kad Agentūra J. R. asmens duomenis VATARAS tvarkė naudodama savo vidinius išteklius, t. y. darbuotojus, suteikdama jiems prieigą VATARAS, reikalingą jų darbo funkcijoms atlikti. Pažymėtina, kad pareiškėjos argumentai dėl vidinių išteklių sampratos nėra pagrįsti teisniu reguliavimu, pagal kurį viešojo administravimo subjektas atlieka tam tikrą vidaus administravimo veiklą, prie kurios priskiriama veikla, kuria užtikrinamas viešojo administravimo subjekto, turinčio viešojo juridinio asmens statusą, savarankiškas funkcionavimas ( struktūros tvarkymas, dokumentų, personalo, turimų materialinių ir finansinių išteklių valdymas), kad jis galėtų atlikti viešąjį administravimą (Viešojo administravimo įstatymo 2 str. 17 d.).

Be to, duomenų tvarkytojas ir bet kuris duomenų valdytojui arba duomenų tvarkytojui pavaldus asmuo, galintis susipažinti su asmens duomenimis, negali tų duomenų tvarkyti, išskyrus atvejus, kai duomenų valdytojas duoda nurodymus juos tvarkyti, nebent tai daryti reikalaujama pagal Sąjungos ar valstybės narės teisę (BDAR 29 str.). Atitinkamai pareiškėjos aptariamu pažeidimo laikotarpiu pavaldume buvusi trečiasis asmuo L. P. ar kiti neteisėtai trečiojo asmens J. R. asmens duomenis tvarkę pareiškėjo darbuotojai sukelia pareiškėjo, kaip darbdavio ir asmens duomenų tvarkytojo, atsakomybę BDAR teisinio reguliavimo kontekste. Todėl pareiškėjo skundo argumentai dėl jo atsakomybės už vidinių išteklių (personalo) kontrolės nebuvimo nelaikytini pagrįstais ir šiuo aspektu.

Nėra teisinio pagrindo sutikti su pareiškėja, kad ji nėra įgaliota atlikti asmens duomenų, tvarkomų VATARAS, saugumo pažeidimų tyrimą bei kitas reikalingas asmens duomenų saugumo pažeidimo valdymo procedūras, teikti pranešimus apie asmens duomenų saugumo pažeidimus atsakovui ir duomenų subjektams. Jau minėta anksčiau, kad pareiškėja yra VATARAS tvarkytoja, todėl Agentūrai, kaip VATARAS tvarkytojai, pavesta įgyvendinti duomenų subjekto teises. Vadovaujantis Asmens duomenų saugumo pažeidimų valdymo tvarkos aprašo 2 punktu, duomenų tvarkytojai Vidaus reikalų ministerijos vardu atlieka asmens duomenų, tvarkomų Vidaus reikalų ministerijos valdomuose registruose ir valstybės informacinėse sistemose, saugumo pažeidimų (toliau – asmens duomenų saugumo pažeidimas) tyrimą bei kitas reikalingas asmens duomenų saugumo pažeidimo valdymo procedūras, teikia pranešimus apie asmens duomenų saugumo pažeidimus Valstybinei duomenų apsaugos inspekcijai ir duomenų subjektams Aprašo nustatyta tvarka, nebent kituose teisės aktuose, reglamentuojančiuose Vidaus reikalų ministerijos valdomų registrų ir valstybės informacinių sistemų veiklą, nustatyta kitaip. Taigi pagal Agentūros veiklą reglamentuojančius teisės aktus Agentūra yra įgaliota atlikti asmens duomenų, tvarkomų VATARAS, saugumo pažeidimų tyrimą bei kitas reikalingas asmens duomenų saugumo pažeidimo valdymo procedūras, teikti pranešimus apie asmens duomenų saugumo pažeidimus atsakovei ir duomenų subjektams. Nepagrindė skundo argumentų, kad duomenų tvarkytojo pareigos buvo įvykdytos.

Dėl BDAR 5 straipsnio 1 dalies a ir f punktų pažeidimo

Pareiškėja skunde teigia, kad VDAI neįvertino to, kad laikotarpiu nuo 2019 m. liepos 17 d. iki 2021 m. gegužės 24 d. keturi Agentūros darbuotojai turėjo teisę peržiūrėti J. R. asmens duomenis VATARAS. Kiti darbuotojai VATARAS tikslinosi kolegės gimimo datą. L. P. tikrino jos duomenis VATARAS, nes žinojo, jog J. R. ieško teisinio darbo ir domisi darbo vietomis į kita įstaigas. Pažymi, kad duomenys nebuvo perduoti tretiesiems asmenims. Agentūra neįvertino, kiek kartų J. R. duomenys buvo tikrinti teisėtai ir kiek neteisėtai.

Pirmiausia pažymėtina, kad VATARAS kaupiami duomenys apie valstybės tarnautojus, tarpe kurių yra ir specialiųjų asmens duomenų: asmens kodas, gimimo data, asmens tapatybės kortelės numeris, asmens socialinio draudimo numeris, duomenys apie išsilavinimą, duomenys apie užsienio kalbų mokėjimą, duomenys apie karjerą valstybės tarnyboje, duomenys apie darbo užmokestį, mokymąsi, tarnybinės veiklos vertinimą, skatinimą, tarnybinių nuobaudų skyrimą ir kita (Valstybės tarnautojų registro nuostatų 14.1 p.).

VDAI nurodo, kad Agentūros darbuotojai sistemingai dvejus metus be teisėto pagrindo VATARAS sistemoje peržiūrėjo J. R. duomenis, peržiūrėję susipažino su labai dideliu informacijos kiekiu kaupiamu VATARAS (pvz., asmens kodu, gimimo data, asmens socialinio draudimo numeriu, duomenimis apie išsilavinimą, užsienio kalbas, apie priėmimą (perkėlimą, atleidimą) į valstybės tarnautojo pareigas, stažą, darbo užmokestį, atostogas, tarnybinės veiklos vertinimus ir kita). Agentūra J. R. duomenis VATARAS tvarkė neskaidriai, neužtikrindama nei organizacinių, nei techninių priemonių, be to, paaiškėjus asmens duomenų saugumo pažeidimui, neatliko išsamaus tyrimo, tokiu būdu pažeidė BDAR 5 straipsnio 1 dalies a ir f punktų nuostatas.

Asmens duomenų tvarkymas turi atitikti BDAR nuostatas. Pagal šiame teisės akte įtvirtintą teisinį reguliavimą, asmens duomenų tvarkymas, apimantis ir asmens duomenų rinkimo veiksmus (BDAR 4 straipsnio 2 punktas), gali būti laikomas teisėtu tik tada, jei asmens duomenys yra tvarkomi laikantis su asmens duomenų tvarkymu susijusių teisėtumo, sąžiningumo ir skaidrumo, tikslo apribojimo, duomenų kiekio mažinimo, tikslumo, saugojimo trukmės apribojimo, vientisumo ir konfidencialumo principų bei yra pagrįstas bent viena iš BDAR 6 straipsnio 1 dalyje nustatytų teisėto asmens duomenų tvarkymo sąlygų: a) duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu ar keliais konkrečiais tikslais; b) tvarkyti duomenis būtina siekiant įvykdyti sutartį, kurios šalis yra duomenų subjektas, arba siekiant imtis veiksmų duomenų subjekto prašymu prieš sudarant sutartį; c) tvarkyti duomenis būtina, kad būtų įvykdyta duomenų valdytojui taikoma teisinė prievolė; d) tvarkyti duomenis būtina siekiant apsaugoti gyvybinius duomenų subjekto ar kito fizinio asmens interesus; e) tvarkyti duomenis būtina siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas; f) tvarkyti duomenis būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, išskyrus atvejus, kai tokie duomenų subjekto interesai arba pagrindinės teisės ir laisvės, dėl kurių būtina užtikrinti asmens duomenų apsaugą, yra už juos viršesni, ypač, kai duomenų subjektas yra vaikas.

Vadovaujantis BDAR 5 straipsnio 1 dalimi, asmens duomenys turi būti duomenų subjekto atžvilgiu: a) tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas); f) tvarkomi tokiu būdu, kad taikant atitinkamas technines ir organizacines priemones būtų užtikrintas tinkamas asmens duomenų saugumas (vientisumo ir konfidencialumo principas). Vadovaujantis BDAR 5 straipsnio 2 dalimi duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi šio straipsnio 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas).

Byloje nustatyta, kad aptariamu atveju įvyko asmens duomenų atskleidimas (arba prieigos prie duomenų suteikimas) duomenų gavėjams, kurie neturėjo konkrečiu atveju tokio leidimo (prieigos) gauti ir kad neribotos prieigos prie VATARAS esamiems pareiškėjo darbuotojams suteikimas asmeninimas tikslams (pvz., sužinoti kolegės gimtadienio datą) nėra tinkama organizacinė, techninė vidaus administravimo priemonė viešojo administravimo subjekte, kuriam keliami nepiktnaudžiavimo valdžia, proporcingumo, skaidrumo, įstatymo viršenybės, atsakomybės už priimtus sprendimus ir kiti viešojo administravimo reikalavimai (principai)(VAĮ 3 str.). Dėl to pagrįstai skundžiamame sprendime dėl pažeidimo konstatuotas asmens duomenų saugumo (konfidencialumo) pažeidimas, pasireiškęs sistemingai Agentūros darbuotojams be teisėto tikslo peržiūrint vieno asmens VATARAS kaupiamus duomenis.

Pažymėtina, kad BDAR preambulės 39 punkte nurodyta, kad bet kuris asmens duomenų tvarkymas turėtų būti teisėtas ir sąžiningas. Taikant skaidrumo principą, fiziniams asmenims turėtų būti aišku, kaip su jais susiję asmens duomenys yra renkami, naudojami, su jais susipažįstama arba jie yra kitaip tvarkomi, taip pat kokiu mastu tie asmens duomenys yra ar bus tvarkomi. Asmens duomenys turėtų būti tinkami, susiję su tikslais, kuriais jie tvarkomi, ir riboti pagal tai, kiek jų yra būtina turėti atsižvelgiant į tikslus, kuriais jie tvarkomi; tam pirmiausia reikia užtikrinti, kad asmens duomenų saugojimo laikotarpis būtų tikrai minimalus. Siekiant užtikrinti, kad duomenys nebūtų laikomi ilgiau nei būtina, duomenų valdytojas turėtų nustatyti duomenų ištrynimo arba periodinės peržiūros terminus. Reikėtų imtis visų pagrįstų priemonių, siekiant užtikrinti, kad netikslūs asmens duomenys būtų ištaisyti arba ištrinti.

BDAR 32-34 straipsniai reglamentuoja asmens duomenų saugumo reikalavimų laikymąsi. Atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas ir duomenų tvarkytojas įgyvendina tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas (BDAR 32 str. 1 d.). Šioje normoje išvardintos galimos priemonės siekiant preventyviai užtikrinti asmens duomenų saugumą. Be to, duomenų valdytojas ir duomenų tvarkytojas imasi priemonių, siekdami užtikrinti, kad bet kuris duomenų valdytojui arba duomenų tvarkytojui pavaldus fizinis asmuo, galintis susipažinti su asmens duomenimis, jų netvarkytų, išskyrus atvejus, kai duomenų valdytojas duoda nurodymus juos tvarkyti, nebent tas asmuo privalo tai daryti pagal Sąjungos arba valstybės narės teisę (BDAR 32 str. 4 d.). Taip pat asmens duomenų teisinis reguliavimas numato poveikio asmens duomenų apsaugai išankstinį vertinimą, įvertinus tvarkomų asmens duomenų pobūdį, aprėptį, galimas rizikas ir kitus svarbius kriterijus (BDAR 35 str. 1 d.). Įvykus asmens duomenų saugumo pažeidimams, BDAR 33 straipsnyje numatyta pranešimo priežiūros institucijai apie asmens duomenų saugumo pažeidimą procedūra ir terminai, o 34 straipsnyje pranešimo asmens duomenų subjektui apie asmens duomenų saugumo pažeidimą tvarka.

Jau minėta anksčiau, kad VATARAS tvarkytojas yra ne tik IRD, bet ir pareiškėja. Pareiškėja kaip viena iš VATARAS tvarkytojų turėjo įgyvendinti buvusios darbuotojos J. R. tinkamą asmens duomenų tvarkymą VATARAS. Užtikrinti, kad Agentūros darbuotojai VATARAS sistemoje, prie kurios jiems yra suteikta prieiga, peržiūrėtų asmens duomenis tik vykdydami jiems pavestas užduotis. Pareiškėjo argumentai, kad VRM laikytinas pagrindiniu VATARAS valdytoju ir dėl to pareiškėjai neturėtų kilti atsakomybė už asmens duomenų saugumo pažeidimą, nepagrįsti bylos medžiaga ir niekaip neduoda pagrindo išvadai, kad aptariamą byloje asmens domenų saugumo pažeidimą atliko VRM darbuotojai. Tai, kad kitos institucijos taip pat laikytinos pagal esamą teisinį reguliavimą VATARAS tvarkytoju, nešalina pareiškėjos, kaip vienos šio registro duomenų tvarkytojos, atsakomybės už asmens duomenų pažeidimus, kuriuos atliko jos pavaldume esantys darbuotojai.

Iš bylos medžiagos matyti, ko skunde neneigia ir pareiškėja, kad vienuolika Agentūros darbuotojų laikotarpiu nuo 2019 m. liepos 17 d. iki 2021 m. gegužės 24 d. J. R. duomenis VATARAS tikrino be teisėto pagrindo: šeši darbuotojai tikslinosi kolegės gimimo datą, keturi darbuotojai negalėjo nurodyti jokios priežasties, viena darbuotoja (L. P.) paaiškinimuose nurodė, kad ją su J. R. siejo draugiški santykiai, ji žinojo, kad kolegė nori keisti darbą, kolegė žodžiu buvo minėjusi, kad jei pasitaikytų informacija apie darbdavių pageidaujamą darbuotoją, su teisine kvalifikacija bei patirtimi, esant galimybei ją informuotų arba pasiūlytų jos kandidatūrą busimiems darbdaviams (Agentūros 2021 m. liepos 1 d. raštas Nr. 27D-1841, IRD 2021 m. gegužės 24 d. ir 2021 m. birželio 9 d. raštai, L. P. 2021 m. birželio 2 d. paaiškinimai). Tuo tarpu teisėtai VATARAS peržiūras apie J. R. asmens duomenis atliko keturi darbuotojai. Pareiškėja iš IRD raštų ir Agentūros darbuotojų paaiškinimų turėjo suprasti, kad dalis Agentūros darbuotojų atliko VATARAS J. R. asmens duomenų peržiūras be teisėto pagrindo. Pažymėtina ir tai, kad, nors J. R. teikė Agentūrai tikslius duomenis apie peržiūras, Agentūrai taip pat buvo pateikti IRD raštai, kuriuose buvo nurodyti itin detalūs peržiūrų duomenys, taip pat gavo darbuotojų paaiškinimus. Taigi ji ne tik turėjo suprasti apie BDAR pažeidimus, padarytus Agentūroje, bet ir VDAI paprašius pateikti Agentūros darbuotojų sąrašus su duomenimis, taip pat pateikti sąrašą asmenų, kurie J. R. duomenis tikrino VATARE teisėtai vykdydami jiems pavestas funkcijas, o kurie neteisėtai. Byloje nėra paneigta VDAI pozicija, kad pareiškėja ne visus duomenis pateikė. Kita vertus, atmestini pareiškėjos argumentai, kad iš ginčijamo VDAI sprendimo nėra aišku, kiek Agentūros darbuotojų su J. R. asmens duomenimis VATARAS susipažino teisėtai, o kiek ne, nes Agentūra aptarė tiek IRD raštus, tiek pačios pareiškėjos pateiktus dokumentus, t. y. skundžiamas sprendimas dėl pažeidimo atitinka objektyvumo ir išsamumo reikalavimus. Bet kuriuo atveju atskaitomybės principas taikytinas asmens duomenų tvarkytojo atžvilgiu, o ne priežiūros institucijos atžvilgiu, nes būtent asmens duomenų tvarkytojas privalo pagrįsti asmens duomenų tvarkymo teisėtumą, skaidrumą, saugumo laikymąsi ir kitų asmens duomenų tvarkymo principų įgyvendinimą.

Pareiškėja skunde nesutinka su VDAI išvada, kad buvo pažeistas J. R. asmens duomenų saugumas, sistemingai juos peržiūrint Agentūros darbuotojams be jokio teisėto tikslo, ir kad jis įvyko dėl asmens duomenų saugumo priemonių trūkumo.

Asmens duomenų tvarkymas, saugojimas ir asmens duomenų subjektų teisių įgyvendinimas Agentūroje įgyvendinamas vadovaujantis Asmens duomenų tvarkymo, saugojimo ir šių duomenų subjektų teisių įgyvendinimo Valstybės tarnybos departamente prie Lietuvos Respublikos vidaus reikalų ministerijos tvarkos aprašu, patvirtintu Valstybės tarnybos departamento prie Lietuvos Respublikos vidaus reikalų ministerijos direktoriaus 2019 m. balandžio 11 d. įsakymu Nr. 27V-94 (neteko galios 2023 m. sausio 1 d., pakeistas 2022 m. kovo 3 d. įsakymu Nr. 27V-24, toliau – Aprašas). Aprašo 10 punkte nustatyta, kad valstybės tarnybos departamento valstybės tarnautojai ir darbuotojai, bei pretendentų vertinimo komisijų nariai, kuriems yra suteikta teisė tvarkyti asmens duomenis, laikosi konfidencialumo principo ir laiko paslaptyje bet kokią su asmens duomenimis susijusią informaciją, su kuria jie susipažino atlikdami savo funkcijas, pasirašo Aprašo 5 priede nustatytos formos Konfidencialumo pasižadėjimą. Su asmens duomenimis galima atlikti tik tuos veiksmus, kuriems atlikti valstybės tarnautojui ar darbuotojui bei pretendentų vertinimo komisijos nariui yra suteiktos teisės. Nepateikti įrodymai, kad buvo iki duomenų tvarkymo pažeidimų imtasi tinkamų ir pakankamų organizacinių, techninių priemonių tam, kad būtų užkardytas netinkamas asmens duomenų tvarkymas, ypač, kai identifikuojamas neįprastai didelė vieno asmens duomenų užklausų skaičius. Vien nustatytas pažeidimo pobūdis ir mastas patvirtina, kad pareiškėjas netaikė tinkamų ir pakankamų vidaus organizacinių ir techninių priemonių naudodamas savo vidinius personalo išteklius.

Agentūra tik 2021 m. rugpjūčio 17 d. Agentūros darbuotojams mokymus dėl asmens duomenų tvarkymo. Visi Agentūros valstybės tarnautojai ir darbuotojai, dirbantys pagal darbo sutartį, su atmintine dėl asmens duomenų tvarkymo Agentūroje buvo supažindinti 2021 m. rugsėjo 17 d., taip pat vykdant VRM 2021 m. rugpjūčio 30 d. pavedimo Nr. IVPR-19 2 punkte nurodytą priemonę – tobulinti vidinius procesus, atliko patikrinimą. IRD VATARAS įvedė papildomus paieškos laukus. Tačiau šie veiksmai atlikti VDAI nagrinėjant J. R. skundus.

Pareiškėjos skundo argumentai nesudaro pagrindo nepritarti VDAI išvadomis, kad Agentūra po nustatyto asmens duomenų saugumo pažeidimų Agentūroje ėmėsi taisomųjų veiksmų, tokių kaip gavusi IRD pranešimus ėmėsi tirti neteisėtų veiksmų aplinkybes, taip pat informavo apie nustatytus faktus IRD, taip pat ėmėsi kitų organizacinių ir techninių priemonių, kaip vidiniai mokymai, atmintinės paruošimas, kad panašūs atvejai ateityje nepasikartotų, tačiau šie veiksmai buvo vykdomi jau po tęstinį laikotarpį įvykusių asmens duomenų pažeidimų, todėl veiksmai, kuriuos atliko Agentūra po pažeidimo nustatymo, nesudaro pagrindo panaikinti Agentūros atsakomybę už nustatytus asmens duomenų pažeidimus Agentūroje, kurie truko tęstinį laikotarpį ir jį padarė nemažas (apie 10) Agentūros darbuotojų skaičius.

Taigi nustačius, kad apie dešimt Agentūros darbuotojų, tęstinį laikotarpį daugybę kartų (apie 100 peržiūrų) neturėdami tam teisėto pagrindo ir teisėto tikslo, pažeisdami VATARAS saugos politiką įgyvendinančius aktus atliko J. R. asmens duomenų peržiūrą VATARAS, Agentūra nepateikė duomenų, kad iki asmens duomenų pažeidimų Agentūroje buvo vykdoma Agentūros darbuotojų duomenų tvarkymo teisėtumo kontrolė, pirmosios instancijos teismas prieina prie išvados, kad pareiškėja pagrįstai pripažinta pažeidusi BDAR 5 straipsnio 1 dalies a ir f punktus, nes J. R. VATARAS duomenys Agentūroje buvo tvarkomi neteisėtai, neužtikrinant asmens duomenų saugumo Agentūroje.

Pareiškėjos teiginiai, kad Agentūros darbuotojai, susipažinę su J. R. asmens duomenimis VATARAS, jų neperdavė kitiems asmenims yra teisiškai nereikšmingi, nes Agentūroje J. R. asmens duomenys VATARAS buvo tvarkomi pažeidžiant BDAR 5 straipsnio 1 dalies a ir f punktus. Nebuvo konstatuotas neteisėtas asmens duomenų perdavimas, todėl argumentai su tuo susiję nėra reikšmingi.

Dėl 4 500 Eur baudos pagrįstumo

ADTAĮ 31 straipsnio 2 dalies 1 punktas, be kita ko, suteikia VDAI teisę, kai skundas ar jo dalis pripažįstama pagrįsta, teikti duomenų valdytojui ir (ar) duomenų tvarkytojui nurodymus, rekomendacijas ir (ar) taikyti kitas BDAR 58 straipsnio 2 dalyje nurodytas priemones. BDAR 58 straipsnio 2 dalies i punkte įtvirtinta, jog kiekviena priežiūros institucija turi įgaliojimus imtis taisomųjų veiksmų: skirti administracinę baudą pagal 83 straipsnį, kartu taikydama šioje dalyje nurodytas priemones arba vietoj jų, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes. BDAR 83 straipsnio 1 dalyje nustatyta, kad kiekviena priežiūros institucija užtikrina, kad pagal šį straipsnį skiriamos administracinės baudos už 4, 5 ir 6 dalyse nurodytus šio reglamento pažeidimus kiekvienu konkrečiu atveju būtų veiksmingos, proporcingos ir atgrasomos. BDAR 83 straipsnio 2 dalies a, be ir e punktuose įtvirtinta, kad Administracinės baudos, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes, skiriamos kartu su 58 straipsnio 2 dalies a–h punktuose ir j punkte nurodytomis priemonėmis arba vietoj jų. Sprendžiant dėl to, ar skirti administracinę baudą, ir sprendžiant dėl administracinės baudos dydžio kiekvienu konkrečiu atveju deramai atsižvelgiama į šiuos dalykus: a) pažeidimo pobūdį, sunkumą ir trukmę, atsižvelgiant į atitinkamo duomenų tvarkymo pobūdį, aprėptį ar tikslą, taip pat į nukentėjusių duomenų subjektų skaičių ir jų patirtos žalos dydį; b) tai, ar pažeidimas padarytas tyčia, ar dėl aplaidumo; e) bet kuriuos to duomenų valdytojo arba duomenų tvarkytojo svarbius ankstesnius pažeidimus. BDAR 83 straipsnio 5 dalies a punkte nustatyta, kad pažeidus toliau išvardytas nuostatas, pagal 2 dalį skiriamos administracinės baudos iki 20 000 000 EUR arba, įmonės atveju – iki 4 proc. jos ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma yra didesnė, pagrindinius duomenų tvarkymo principus, įskaitant sutikimo sąlygas, pagal 5, 6, 7 ir 9 straipsnius.

VDAI sprendime dėl baudos, vertindama pažeidimo pobūdį, sunkumą ir trukmę, nurodė, kad Agentūra pažeidė BDAR 5 straipsnio 1 dalies a ir f punktus, pažeidimas truko tęstinį laikotarpį (apie dvejus metus), J. R. duomenys tikrinti daug kartų. Pareiškėjos teiginiai, kad ši VDAI sprendimo dalis yra neaiški yra atmestini kaip nepagrįsti. Be to, pažymėtina, kad aplinkybė, jog VDAI pasisakė, kad Agentūros darbuotojai J. R. duomenis peržiūrėjo ilgesnį nei dvejų metų laikotarpį, nesudaro pagrindo naikinti pareiškėjai paskirtą baudą.

VDAI vertindama pažeidimo tyčią ar aplaidumą nurodė, kad pareiškėjos veiksmai laikytini aplaidžiais. Pareiškėja, nesutikdama su šiuo VDAI vertinimu, teigia, kad ji negali būti laikoma atsakinga už duomenų tvarkymą VATARAS, tačiau jau minėta anksčiau, kad pareiškėja yra VATARAS tvarkytoja. Be to, pareiškėja savalaikiai nesupažindino Agentūros darbuotojų su duomenų apsaugos politikos nuostatais, Agentūros darbuotojai jų nesilaikė. O tai įrodo pareiškėjos aplaidumą ir tai, jog asmens duomenų apsaugos principų laikymosi kontrolė įstaigoje iki skundų nebuvo vykdoma.

Vertindama VDAI veiksmus, kurių ji ėmėsi, kad sumažintų duomenų subjekto patirtą žalą, VDAI nurodė, kad: 1) Agentūra ėmėsi tyrimo veiksmų, siekdama nustatyti neteisėtų veiksmų aplinkybes; 2) apie nustatytus pažeidimus informavo IRD; 3) ėmėsi organizacinių ir techninių priemonių, kad panašūs atvejai ateityje nepasikartotų. VDAI šias priemones įvertino, kaip švelninančias Agentūros atsakomybę. Šiuo aspektu pareiškėja skunde nepasisako.

Pareiškėjos argumentai, kad taisomųjų priemonių ėmimasis galėtų būti pakankama priemonė už nustatytą asmens duomenų pažeidimą, nesudaro pagrindo, esant aukščiau nustatytam asmens duomenų pažeidimo pobūdžiui, mastui ir trukmei, konstatuoti, kad baudos skyrimas yra neadekvati priemonė šiuo atveju ir kad atsakovas turėjo neskirti pareiškėjai baudos už asmens duomenų reikalavimų nesilaikymą.

VDAI taip pat nustatė, kad pareiškėja įpareigota VDAI su ja bendradarbiavo, tačiau šio bendradarbiavimo neįvertino nei kaip atsakomybę sunkinančio, nei kaip atsakomybę lengvinančio veiksnio. Pareiškėjos teiginiai apie VDAI nurodymų vykdymą nepaneigia šių VDAI išvadų.

Teisėjų kolegijos vertinimu, atsakovė pagrįstai padarė išvadą, jog proporcinga ir pakankama poveikio priemonė Tarnybai yra administracinės 4 500 Eur baudos skyrimas. Pažymėtina, kad Agentūrai skirta 4 500 Eur bauda, kuri įvertinus konstatuoto pažeidimo pobūdį, kitas poveikio priemonių skyrimui reikšmingas aplinkybes, nesudaro pagrindo sutikti su skundo argumentais dėl poveikio priemonės neadekvatumo. Pareiškėja skunde išdėstė ir daugiau argumentų, tačiau jie neturi reikšmės vertinant ginčijamų sprendimų teisėtumą ir pagrįstumą, todėl dėl jų plačiau nepasisakytina.

Atsižvelgęs į nustatytas aplinkybes, ginčo klausimą reglamentuojančius teisės aktus, teismas daro išvadą, kad VDAI teisingai taikė teisės normas, išsamiai išnagrinėjo faktines bylos aplinkybes. Teismo nuomone, atsakovė, išnagrinėjusi administracinės procedūros pareiškėjos J. R. skundus pagal aptartuose teisės aktuose įtvirtintus reikalavimus, priėmė pagrįstus sprendimus, atitinkančius VAĮ 10 straipsnio reikalavimus. VDAI ginčijami Sprendimai pripažintini pagrįstais ir teisėtais, todėl jų naikinti ar keisti skunduose išdėstytais motyvais nėra teisinio pagrindo (Lietuvos Respublikos administracinių bylų teisenos įstatymo 88 straipsnio 1 dalies 1 punktas, 56 straipsnis).

Teismas, vadovaudamasis Lietuvos Respublikos administracinių bylų teisenos įstatymo 84–87 straipsniais, 88 straipsnio 1 punktu, 132 straipsnio 1 dalimi,

Rezoliucinė dalis

nusprendžia:

Atmesti pareiškėjos Viešojo valdymo agentūros (ankstesnis pavadinimas – Valstybės tarnybos departamentas prie Lietuvos Respublikos vidaus reikalų ministerijos) skundus.

Sprendimas per 30 (trisdešimt) kalendorinių dienų nuo jo paskelbimo apeliacine tvarka gali būti skundžiamas Lietuvos vyriausiajam administraciniam teismui, paduodant skundą per Regionų administracinį teismą.

Teisėjos Jovita Einikienė Violeta Petkevičienė Eglė Žulytė-Janulionienė