Vilniaus apygardos administracinio teismo sprendimas

Įžanginė dalis

Vilniaus apygardos administracinio teismo teisėjų kolegija, susidedant iš teisėjų Sigitos Fomičiovos, Indrės Pukanasytės-Biekšė (kolegijos pirmininkė ir pranešėja) ir Gedimino Užubalio,

atsakovės atstovei Valstybinės duomenų apsaugos inspekcijos Priežiūros skyriaus vyriausiajai specialistei Ž. K.,

viešame teismo posėdyje žodinio proceso tvarka išnagrinėjo administracinę bylą pagal pareiškėjos uždarosios akcinės bendrovės „Raminora“ skundą atsakovei Valstybinei duomenų apsaugos inspekcijai dėl sprendimo panaikinimo, trečiasis suinteresuotas asmuo M. S..

Aprašomoji dalis

nustatė:

1. Pareiškėja uždaroji akcinė bendrovė „Raminora“ (toliau ir – pareiškėja) kreipėsi į teismą su skundu ir prašo panaikinti Valstybinės duomenų apsaugos inspekcijos (toliau – ir VDAI, atsakovė) 2022 m. liepos 15 d. priimtą sprendimą Nr. 3R-554(2.13-1.E) (toliau ir – Sprendimas).

2. Pareiškėja skunde nurodė, kad 2022 m. gegužės 26 d. trečiasis suinteresuotas asmuo M. S. pateikė VDAI skundą, kuriame nurodė, kad kažkada buvo apsistojęs pareiškėjos valdomame SPA Vilnius viešbutyje (toliau – Viešbutis), kuris į trečiojo suinteresuoto asmens elektroninio pašto dėžutę pradėjo siųsti reklaminius pranešimus; trečiasis suinteresuotas asmuo nurodė, kad pareiškėja nesuteikė galimybės nesutikti, kad jo asmens duomenys būtų renkami ir saugomi bei naudojami reklamos tikslams.

3. Pareiškėja nurodė, kad trečiasis suinteresuotas asmuo 2022 m. vasario 7 d. interneto svetainėje www.spavilnius.lt atliko rezervaciją nakvynei Viešbutyje. Tam, kad rezervacija Viešbutyje būtų patvirtinta, yra būtina pateikti elektroninio pašto adresą. Atsižvelgiant į tai, pareiškėjos valdomo Viešbučio administracija trečiojo suinteresuoto asmens M. S. elektroninio pašto adresą gavo jam jį pateikus registracijos metu, Viešbučio interneto svetainėje. Pažymi, kad pirkėjas, atlikdamas kambario rezervaciją, pateikia sutikimą, jog sutinka su užsakymo taisyklėmis. Užsakymo taisyklių 5 dalyje „Asmens duomenys“ įtvirtinta, jog „rezervuodamas paketą viešbutyje, rezervuojantysis sutinka, kad jo asmens duomenys patektų į serviso duomenų bazę. Šie duomenys bus naudojami rezervavimo procedūrai įvykdyti iki galo bei rinkodaros tikslais pagal 1997 m. rugsėjo 28 d. sutarties dėl asmens duomenų apsaugos sąlygas.

4. Pareiškėja nurodo, jog elektroniniu paštu siunčiamų naujienlaiškių bet kada galima atsisakyti paspaudus kiekviename naujienlaiškyje esančią nuorodą laiško apačioje, tačiau M. S. šia galimybe nepasinaudojo ir neatsisakė siunčiamų tiesioginės rinkodaros pranešimų.

5. Pareiškėjos valdomo Viešbučio administracija, turėdama M. S. sutikimą, siuntė trečiajam suinteresuotam asmeniui elektroniniu paštu 2022 m. kovo 24 d., 2022 m. balandžio 5 d., 2022 m. balandžio 11 d., 2022 m. balandžio 17 d., 2022 m. gegužės 4 d. ir 2022 m. gegužės 25 d. tiesioginės rinkodaros pranešimus.

6. Pareiškėja nedelsiant pradėjo vykdyti Inspekcijos nurodymą ir sustabdė pareiškėjo asmens duomenų naudojimą tiesioginės rinkodaros tikslais ir pateikė išrašą iš savo naudojamos sistemos, kuriame matyti, kad Pareiškėjos tiesioginės rinkodaros pranešimų siuntimas trečiojo suinteresuoto asmens elektroniniu pašto adresu išjungtas 2022 m. birželio 20 d.

7. Teigia, jog Lietuvos Respublikos elektroninių ryšių įstatymo (toliau – ir ERĮ) 81 straipsnio 1 dalis nustato, kad naudoti elektroninių ryšių paslaugas, įskaitant elektroninio pašto pranešimų siuntimą, tiesioginės rinkodaros tikslu leidžiama tik gavus išankstinį abonento ar registruotojo viešųjų elektroninių ryšių paslaugų gavėjo sutikimą. Tačiau, kaip nurodo ir pati VDAI Sprendime, tikslaus sutikimo sąvokos apibrėžimo ir kaip turėtų būti įgyvendinta ši norma ERĮ nėra.

8. Pareiškėja nurodo, kad šią nuostatą įgyvendino jai suprantamu būdu, kuomet klientas sutikimą pateikia atlikdamas rezervaciją sistemoje ir tuomet sutinka, kad jo asmens duomenys bus naudojami ne tik rezervavimo procedūrai įvykdyti, bet ir rinkodaros tikslais, o atsisakyti tiesioginės rinkodaros pranešimų gaunamų į elektroninį paštą galima kiekviename gautame laiške, laiško apačioje, taigi atsisakymo galimybė buvo suteikta.

9. Atsižvelgiant į tai, kad nė viename įstatyme nėra tiksliai nurodyta, kaip turėtų būti įgyvendintas duomenų subjekto sutikimas, nėra tikslaus sutikimo sąvokos apibrėžimo ar nurodymo, kaip turi būti teisingai įgyvendinta sutikimo išraiška, Pareiškėja mano, kad Įstatymo 81 straipsnio 1 dalį įgyvendino tinkamai, tačiau VDAI išnagrinėjus šią situaciją ir priėmus Sprendimą, šią savo klaidą Pareiškėja ištaisė ir rezervacijos sistemoje įvedė atskirą punktą – galimybę nesutikti, jog asmens duomenys būtų naudojami tiesioginės rinkodaros tikslais.

10. Teismo posėdžio metu pareiškėjos atstovas prašė skundą tenkinti pilna apimtimi (VDAI Sprendimą prašo panaikinti pilna apimtimi, nes jis pilna apimtimi nepagrįstas) ir priteisti bylinėjimosi. Pareiškėjos atstovas paaiškino, kad paslaugas galima užsisakyti keliais būdais: paskambinus telefonu (sutikimo dėl asmens duomenų tvarkymo tokiu atveju nereikia), atvykus fiziškai, elektroniniu būdu. Pareiškėja pasirinko tokį būdą, kad jeigu klientas pasirenka paslaugas užsisakyti nuotoliniu (elektroniniu) būdu, jam pateikiamas prašymas sutikti su asmens duomenų tvarkymo taisyklėmis, kuriose numatyta galimybė tvarkyti asmens duomenis tiesioginės rinkodaros tikslais, t. y. paslaugas klientas gali įsigyti tik sutikęs su asmens duomenų tvarkymu rinkodaros tikslais. Užsisakant paslaugą internetu taikoma ir nuolaida, yra mažesni užsakomos paslaugos kaštai. Asmuo turi teisę susipažinti su taisyklėmis, jeigu nenori – gali rinktis kitą paslaugų užsakymo būdą – telefonu, atėjus fiziškai. Taisyklės yra mažos apimties, trumpas, suprantamas dokumentas. Akcentavo, kad trečiajam suinteresuotam asmeniui kiekvieno siunčiamo elektroninio laiško pabaigoje buvo suteikta galimybė atsisakyti pranešimų gavimo, jis galėjo bet kada atsisakyti. Įsigydamas paslaugas elektroniniu būdu, asmuo sutinka, kad jo asmens duomenys būtų naudojami tiesioginės rinkodaros tikslais, jeigu asmuo nesutinka, gali pasirinkti alternatyvius paslaugų užsakymo būdus. Negali būti taikoma sankcija už tai, kas nėra aišku. Aplinkybė, kad pareiškėja pradėjo vykdyti nurodymą, nereiškia, kad pripažino kaltę.

11. VDAI su pareiškėjos skundu nesutinka ir teismo prašo jį atmesti kaip nepagrįstą.

12. Nurodo, kad Įstatymo 3 straipsnio 102 dalis nustato, kad šio įstatymo devintajame skirsnyje vartojamos sąvokos, neapibrėžtos šiame įstatyme, suprantamos taip, kaip jos apibrėžtos 2016 m. balandžio 27 d. E. P. ir Tarybos reglamente (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – ir BDAR), Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatyme (toliau – ir ADTAĮ) ir Lietuvos Respublikos neįgaliųjų socialinės integracijos įstatyme.

13. Teigia, jog sutikimo sąvoka Įstatyme nėra pateikiama, todėl atsižvelgiant į Įstatymo 3 straipsnio 102 dalį bei ADTAĮ 2 straipsnio 3 dalį, nagrinėdama trečiojo suinteresuoto asmens M. S. skundą prieš Pareiškėją, Inspekcija vadovavosi BDAR 4 straipsnio 11 dalyje pateiktu sutikimo apibrėžimu, pagal kurį duomenų subjekto sutikimas laikomas bet koks, laisva valia duotas, konkretus ir nedviprasmiškas tinkamai informuoto duomenų subjekto valios išreiškimas pareiškimu arba vienareikšmiais veiksmais, kuriais jis sutinka, kad būtų tvarkomi su juo susiję duomenys. Svarbu tai, kad sutikimas turi būti išankstinis ir jis turi būti gautas prieš siunčiant tiesioginės rinkodaros pasiūlymą, o ne pasiūlymo siuntimo metu.

14. Pareiškėja nurodo, jog vartotojui, gavusiam pareiškėjos tiesioginės rinkodaros pranešimą, tuo pačiu laiško apačioje buvo suteikta galimybė atsisakyti naujienlaiškių gavimo paspaudžiant aktyvią nuorodą.

15. Šiuo atveju VDAI pažymi, kad patvirtinimo dėl viešbučio rezervacijos metu pareiškėja trečiajam suinteresuotam asmeniui nesudarė galimybės duoti atskiro sutikimo dėl asmens duomenų tvarkymo tiesioginės rinkodaros tikslu. Paaiškina, jog trečiasis suinteresuotas asmuo norėdamas gauti apgyvendinimo viešbutyje rezervacijos paslaugą, tuo pačiu turėjo sutikti su savo asmens duomenų tvarkymu tiesioginės rinkodaros (ne tik rezervacijos) tikslu, ir tik po to galėjo atšaukti sutikimą, kas paneigia savanoriškumo principą, nes sutikimas tvarkyti asmens duomenis tiesioginės rinkodaros tikslu duomenų subjekto turi būti patvirtintas aktyviu veiksmu, tokiu kaip „varnelės“ pažymėjimas ar panašiai, leidžiant duomenų subjektui atskirai išreikšti savo valią sutikti arba nesutikti su jo asmens duomenų tvarkymu būtent tiesioginės rinkodaros tikslu nepriklausomai nuo duodamų sutikimų kitais tikslais.

16. Teismo posėdžio metu atsakovės atstovė prašė teismo skundą atmesti kaip nepagrįstą. Ginčas iš esmės kilo dėl sutikimo sąvokos, pareiškėja teigia, kad įstatyme nėra aiškios sutikimo sąvokos. ERĮ sutikimo sąvokos nėra, bet teisės aktai turi būti aiškinami sistemiškai, BDAR yra sutikimo apibrėžimas, taip pat BDAR 7 straipsnio 2 dalyje detalizuojamo jo sąlygos. Svarbus Europos duomenų apsaugos valdybos 2020 m. gegužės 4 d. gairės dėl sutikimo pagal BDAR, kurio 42 punktas. Sutikimas turi būti duodamas prieš pradedant tvarkyti asmens duomenis tiesioginės rinkodaros tikslais, turi būti duodamas laisva valia, sutikimas atskiroms asmens duomenų tvarkymo operacijoms turi būti duodamas atskirai. Kadangi asmens duomenų tvarkymas bendrovėje yra jų komercinės veiklos dalis, internetu pateikiamų viešbučio rezervacijų patvirtinimo tikslu privalomai tvarkomi klientų asmens duomenys, įskaitant elektroninio pašto adresą, pareiškėjos veikloje turi būti taikomi aukštesni BDAR išmanymo standartai. Galimybė atsisakyti galima tik po to, kai sutikimas jau turėjo būti duotas. Pareiškėja pripažino klaidą ir ištaisė. Bendrovės taisyklės neatitinka BDAR, asmuo davė sutikimą, nes neturėjo kito pasirinkimo, tik sutikti su visu paslaugų paketų, įskaitant asmens duomenų tvarkymą tiesioginės rinkodaros tikslais.

Motyvuojamoji dalis

konstatuoja:

17. Nagrinėjamu atveju ginčas kilo dėl VDAI 2022 m. liepos 15 d. sprendimo Nr. 3R-554(2.13-1.E) „Dėl M. S. 2022-05-26 skundo“, kuriuo nuspręsta: 1) trečiojo suinteresuoto asmens skundą pripažinti pagrįstu; 2) pareiškėjai pareiškė papeikimą už netinkamai įgyvendintas BDAR 5 straipsnio 1 dalies a punkto ir 7 straipsnio 2 dalies nuostatas; 3) atsižvelgiant į tai, kad pareiškėja nurodė, jog sustabdė naujienlaiškių siuntimą pareiškėjo elektroninio pašto adresu, pareiškėjai neteikti nurodymo nebenaudoti pareiškėjo elektroninio pašto adreso tiesioginės rinkodaros tikslais; 4) teikti pareiškėjai nurodymą užtikrinti, kad asmenims, atliekantiems pareiškėjos valdomo viešbučio SPA Vilnius Druskininkai rezervacijos interneto svetainėje www.spavilnius.lt, būtų sudaryta galimybė išreikšti savanorišką sutikimą ar nesutikimą dėl jų asmens duomenų tvarkymo tiesioginės rinkodaros tikslu atskirai nuo sutikimo naudoti asmens duomenis rezervacijos atlikimo tikslu, ir pateikti VDAI nurodymo įvykdymo įrodymus iki 2022-08-31; 5) L. G. už ERĮ 81 straipsnio 1 dalies pažeidimą surašyti administracinio nusižengimo protokolą.

18. VDAI Sprendime rėmėsi ERĮ 81 straipsnio 1 dalimi, 3 straipsnio 102 dalimi, ADTAĮ 2 straipsnio 1 ir 3 dalimis, BDAR 4 straipsnio 11 dalimi, 5 straipsnio 1 dalies a punktu, 7 straipsnio 2 dalimi, Europos duomenų apsaugos valdybos 2020 m. gegužės 4 d. gairių 05/2020 dėl sutikimo pagal Reglamentą 2016/679 (toliau – Gairės) 13, 26, 42 punktais. VDAI Sprendime nurodė, kad trečiajam suinteresuotam asmeniui, prieš pateikiant savo asmens duomenis, nebuvo sudarytos sąlygos nesutikti su savo asmens duomenų tvarkymu tiesioginės rinkodaros tikslu; Bendrovė netinkamai įgyvendino BDAR 5 straipsnio 1 dalies a punkto ir 7 straipsnio 2 dalies nuostatas bei neturėjo teisės aktus atitinkančio pareiškėjo sutikimo dėl tiesioginės rinkodaros pranešimų gavimo. Sprendime pažymėta, kad asmuo, norėdamas gauti apgyvendinimo viešbutyje paslaugos rezervaciją, tuo pačiu turėjo sutikti su savo asmens duomenų tvarkymu tiesioginės rinkodaros (ne tik rezervacijos) tikslu, o tik po to galėjo atšaukti sutikimą, kas paneigia savanoriškumo principą, nes sutikimas tvarkyti asmens duomenis tiesioginės rinkodaros tikslu duomenų subjekto turi būti patvirtintas aktyviu veiksmu, tokiu kaip „varnelės“ pažymėjimas ar pan., leidžiant duomenų subjektui atskirai išreikšti savo valią sutikti arba nesutikti su jo asmens duomenų tvarkymu tiesioginės rinkodaros tikslu nepriklausomai nuo duodamų sutikimų kitais tikslais (pvz., viešbučio rezervacijos). Sprendime nurodė, kad vadovaujantis Lietuvos Respublikos administracinių nusižengimų kodekso (toliau – ANK) 83 straipsnio 1 dalimi ir atsižvelgiant į tai, kad pareiškėja, kaip asmenį, atsakingą už ERĮ 81 straipsnio nuostatų laikymąsi, nurodė rinkodaros projektų vadovę L. G., todėl jai už nustatytą ERĮ pažeidimą surašytinas administracinio nusižengimo protokolas.

19. Iš byloje esančių duomenų nustatyta, kad 2022 m. gegužės 26 d. trečiasis suinteresuotas asmuo M. S. pateikė VDAI skundą, kuriame nurodė, kad kažkada buvo apsistojęs pareiškėjos valdomame Viešbutyje, kuris į trečiojo suinteresuoto asmens elektroninio pašto dėžutę pradėjo siųsti reklaminius pranešimus. Trečiasis suinteresuotas asmuo nurodė, kad pareiškėja nesuteikė galimybės nesutikti, kad jo asmens duomenys būtų renkami ir saugomi bei naudojami reklamos tikslams. Iš į bylą VDAI pateiktų trečiajam suinteresuotam asmeniui į jo elektroninę pašto dėžutę siųstų laiškų matyti, kad Viešbutis trečiajam suinteresuotam asmeniui į jo elektroninio pašto dėžutę siuntė paslaugų pasiūlymus 2022 m. gegužės 25 d., 2022 m. gegužės 4 d., 2022 m. balandžio 17 d., 2022 m. balandžio 11 d., 2022 m. balandžio 5 d., 2022 m. kovo 24 d.

20. Į bylą VDAI pateikė pareiškėjos marketingo projektų vadovės L. G. VDAI pateiktą 2022 m. birželio 28 d. rašytinį paaiškinimą, kuriame nurodyta, kad ji pagal pareiginių nuostatų 2.23 ir 2.24 papunkčius yra atsakinga už klientų duomenų bazės kaupimą ir tiesioginės rinkodaros pranešimų siuntimą klientams, laikantis Lietuvos Respublikos įstatymų. Paaiškino, kad trečiasis suinteresuotas asmuo 2022 m. vasario 7 d. per internetinį puslapį www.spavilnius.lt atliko rezervaciją nakvynei viešbutyje SPA Vilnius Druskininkai. Atlikdami rezervaciją, pirkėjai pateikia sutikimą, jog sutinka su užsakymo taisyklėmis, kurių 5 dalyje nurodyta, jog rezervuodamas paketą viešbutyje, rezervuojantysis sutinka, kad jo asmens duomenys patektų į serviso duomenų bazę bei, kad šie duomenys bus naudojami rezervavimo procedūrai įvykdyti iki galo bei rinkodaros tikslais pagal 1997 m. rugsėjo 28 d. sutarties dėl asmens duomenų apsaugos sąlygas. Pareiškėjos marketingo projektų vadovė L. G. taip pat paaiškino, kad trečiojo suinteresuoto asmens nurodytomis datomis: 2022 m. kovo 24 d., 2022 m. balandžio 5 d., 2022 m. balandžio 11 d., 2022 m. balandžio 17 d., 2022 m. gegužės 4 d. ir 2022 m. gegužės 25 d. buvo siųsti tiesioginės rinkodaros pranešimai (naujienlaiškiai) elektroninio pašto adresu, kurį trečiasis suinteresuotas asmuo pateikė kambario rezervacijos metu. Paaiškino, kad nesutinka, jog trečiajam suinteresuotam asmeniui nebuvo suteikta galimybė atsisakyti naujienlaiškių, nes kiekvieno naujienlaiškio apačioje buvo pateikta nuoroda, kurią paspaudus asmuo gali atsisakyti siunčiamų naujienlaiškių ir tokiu būdu išreikšti nesutikimą toliau naudoti jo asmens duomenis tiesioginės rinkodaros tikslais. Kadangi trečiasis suinteresuotas asmuo nepasinaudojo galimybe atsisakyti siunčiamų tiesioginės rinkodaros pranešimų, todėl nurodytomis datomis juos gavo.

21. Pareiškėjos direktoriaus 2019 m. kovo 1 d. įsakymu Nr. B19-4/1 patvirtintų Rinkodaros projekto vadovo pareiginių nuostatų, su kuriais marketingo projektų vadovė L. G. pasirašytinai susipažino 2019 m. rugsėjo 17 d, 2.23 papunktyje nustatyta, kad rinkodaros projekto vadovo pareiga yra kaupti klientų, pageidaujančių gauti SPA Vilnius naujienas, duomenų bazę ir atnaujinti, laikantis Lietuvos Respublikos įstatymų; 2.24 papunktyje nustatyta, kad rinkodaros projekto vadovo pareiga yra paruošti naujienlaiškį ir išsiųsti klientams, pageidaujantiems gauti informaciją apie SPA Vilnius naujienas.

22. Iš atsakovės į bylą pateiktos medžiagos matyti, kad trečiasis suinteresuotas asmuo, internetu atlikdamas rezervacija, turėjo sutikti su pirkimo taisyklėmis, kurių V dalyje „Asmens duomenys“ buvo nustatyta, kad „Rezervuodamas paketą viešbutyje, rezervuojantysis sutinka, kad jo asmens duomenys patektų į serviso duomenų bazę. Šie duomenys bus naudojami rezervavimo procedūrai įvykdyti iki galo bei rinkodaros tikslais pagal 1997-09-28 sutarties dėl asmens duomenų apsaugos sąlygas“. Naujienų siuntimo atsisakyti galima buvo kiekviename naujienlaiškyje, kurio pabaigoje buvo skiltis „Nebenorite gauti naujienų? Atsisakyti prenumeratos“. Trečiasis suinteresuotas asmuo po 2022 m. vasario 7 d. www.spavilnius.lt per internetinį puslapį atliktos rezervacijos pradėjo gauti naujienlaiškius.

23. Byloje yra pareiškėjos 2022 m. birželio 30 d. VDAI pateikti rašytiniai paaiškinimai „Dėl informacijos pateikimo“, kuriuose nurodyta, kad trečiasis suinteresuotas asmuo 2022 m. vasario 7 d. per internetinį puslapį www.spavilnius.lt atliko rezervaciją nakvynei viešbutyje SPA Vilnius Druskininkai. Kad rezervacija Viešbutyje būtų patvirtinta, reikia pateikti elektroninio pašto adresą; atsižvelgiant į tai, pareiškėjos valdomo Viešbučio administracija trečiojo suinteresuoto asmens elektroninio pašto adresą gavo trečiajam suinteresuotam asmeniui jį pateikus registracijos metu Viešbučio internetinėje svetainėje. Pareiškėjos valdomas Viešbutis naudojo trečiojo suinteresuoto asmens elektroninio pašto adresą tiesioginės rinkodaros tikslais. Pažymėta, kad trečiasis suinteresuotas asmuo, atlikdamas kambario rezervaciją, pateikia sutikimą, jog sutinka su užsakymo taisyklėmis, kurių 5 dalyje „Asmens duomenys" įtvirtinta, jog „rezervuodamas paketą viešbutyje, rezervuojantysis sutinka, kad jo asmens duomenys patektų į serviso duomenų bazę. Šie duomenys bus naudojami rezervavimo procedūrai įvykdyti iki galo bei rinkodaros tikslais pagal 1997-09-28 sutarties dėl asmens duomenų apsaugos sąlygas." Todėl daroma išvada, kad trečiasis suinteresuotas asmuo, 2022 m. vasario 7 d. atlikdamas rezervaciją SPA Vilnius viešbučio internetinėje svetainėje, sutiko, jog jo elektroninio pašto adresas būtų naudojamas tiesioginės rinkodaros tikslais. Pažymėjo, jog elektroniniu paštu siunčiamų naujienlaiškių bet kada galima atsisakyti paspaudus kiekviename naujienlaiškyje esančią nuorodą laiško apačioje, tačiau trečiasis suinteresuotas asmuo šia galimybe nepasinaudojo ir neatsisakė siunčiamų tiesioginės rinkodaros pranešimų. Išdėstė poziciją, kad pareiškėjos valdomo SPA Vilnius Druskininkai viešbučio administracija, turėdama trečiojo suinteresuoto asmens sutikimą, siuntė jam elektroniniu paštu 2022 m. kovo 24 d., 2022 m. balandžio 5 d., 2022 m. balandžio 11 d., 2022 m. balandžio 17 d., 2022 m. gegužės 4 d. ir 2022 m. gegužės 25 d. tiesioginės rinkodaros pranešimus; už tiesioginės rinkodaros pranešimų siuntimą ERĮ 81 straipsnio nuostatų laikymąsi SPA Vilnius Druskininkai viešbutyje yra atsakinga rinkodaros projektų vadovė L. G. Taip pat pateikė informacija, jog pareiškėja nedelsiant pradėjo vykdyti VDAI nurodymą ir sustabdė trečiojo suinteresuoto asmens asmens duomenų naudojimą tiesioginės rinkodaros tikslais.

24.1. Tiesioginė rinkodara – veikla, kurios tikslas paštu, telefonu arba kitokiu tiesioginiu būdu siūlyti asmenims prekes ar paslaugas ir (arba) teirautis jų nuomonės dėl siūlomų prekių ar paslaugų (2 straipsnio 1 dalis).

24.2. Kitos ADTAĮ vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos BDAR (2 straipsnio 3 dalis)

25.1. 3 straipsnio 102 dalyje nustatyta, kad ERĮ IX skyriuje vartojamos sąvokos, neapibrėžtos ERĮ, suprantamos taip, kaip jos apibrėžtos BDAR, ADTAĮ ir Lietuvos Respublikos neįgaliųjų socialinės integracijos įstatyme;

25.2. ERĮ IX skyriuje „Duomenų, generuojamų arba tvarkomų teikiant viešąsias elektroninių ryšių paslaugas, tvarkymas ir privatumo apsauga“ esančiame 81 straipsnyje „Tiesioginė rinkodara“ nustatyta: naudoti elektroninių ryšių paslaugas, įskaitant elektroninio pašto pranešimų siuntimą, tiesioginės rinkodaros tikslu leidžiama tik gavus išankstinį abonento ar registruotojo viešųjų elektroninių ryšių paslaugų gavėjo sutikimą (1 dalis); asmuo, kuris, teikdamas paslaugas ar parduodamas prekes BDAR nustatyta tvarka ir sąlygomis, gauna iš savo klientų elektroninio pašto kontaktinius duomenis, gali naudoti šiuos kontaktinius duomenis savo paties panašių prekių ar paslaugų rinkodarai, jeigu klientams yra suteikiama aiški, nemokama ir lengvai įgyvendinama galimybė nesutikti arba atsisakyti tokio kontaktinių duomenų naudojimo pirmiau nurodytais tikslais, kai šie duomenys yra renkami ir, jeigu klientas iš pradžių neprieštaravo dėl tokio duomenų naudojimo, siunčiant kiekvieną žinutę (2 dalis); draudžiama tiesioginės rinkodaros tikslu siųsti elektroninio pašto pranešimus slepiant siuntėjo, kurio vardu informacija siunčiama, tapatybę pažeidžiant Informacinės visuomenės paslaugų įstatyme nustatytus reikalavimus, nenurodant galiojančio adreso, kuriuo gavėjas galėtų pareikalauti nutraukti tokios informacijos siuntimą, arba pranešimus, kuriais gavėjai skatinami apsilankyti interneto svetainėse, neatitinkančiose Informacinės visuomenės paslaugų įstatyme nustatytų reikalavimų (3 dalis).

26.1. duomenų subjekto sutikimas – bet koks laisva valia duotas, konkretus ir nedviprasmiškas tinkamai informuoto duomenų subjekto valios išreiškimas pareiškimu arba vienareikšmiais veiksmais kuriais jis sutinka, kad būtų tvarkomi su juo susiję asmens duomenys (4 straipsnio 11 punktas);

26.2. Asmens duomenys turi būti duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas) (5 straipsnio 1 dalies a punktas).

26.3. 7 straipsnyje „Sutikimo sąlygos“ nustatyta: kai duomenys tvarkomi remiantis sutikimu, duomenų valdytojas turi galėti įrodyti, kad duomenų subjektas davė sutikimą, kad būtų tvarkomi jo asmens duomenys (1 dalis); jeigu duomenų subjekto sutikimas duodamas rašytiniu pareiškimu, susijusiu ir su kitais klausimais, prašymas duoti sutikimą pateikiamas tokiu būdu, kad jis būtų aiškiai atskirtas nuo kitų klausimų, pateiktas suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba; jokia tokio pareiškimo dalis, kuria pažeidžiamas šis reglamentas, nėra privaloma (2 dalis).

27.1. sutikimo sąvokos elementas „laisvas“ reiškia, kad duomenų subjektai turi realų pasirinkimą ir kontrolę; pagal BDAR įtvirtintą bendrą taisyklę, jei duomenų subjektas neturi realaus pasirinkimo, jaučiasi priverstas sutikti arba patirtų neigiamų pasekmių, jei sutikimo neduotų, toks sutikimas negalioja; jei sutikimas yra neatskiriamai sujungtas su sąlygomis kaip jų dalis, dėl kurios nesiderama, jis laikomas ne laisva valia duotu sutikimu; taigi, sutikimas nebus laikomas laisvu sutikimu, jei duomenų subjektas negalės atsisakyti sutikti arba duoto sutikimo atšaukti, nepatirdamas žalos; BDAR taip pat atsižvelgiama į duomenų valdytojo ir duomenų subjekto galios disbalanso sampratą (13 dalis).

27.2. BDAR 7 straipsnio 4 dalyje nurodyta, kad, inter alia, labai nepageidaujama laikoma tokia situacija, kai sutikimas su duomenų tvarkymu yra neskiriamai sujungiamas su kitomis sąlygomis, su kuriomis reikia sutikti, arba kai su sutarties vykdymu ar paslaugos teikimu yra susiejamas prašymas duoti sutikimą, kad būtų tvarkomi asmens duomenys, kurie nėra būtini tai sutarčiai vykdyti ar paslaugai teikti; jei sutikimas duodamas šiomis aplinkybėmis, jis laikomas ne laisva valia duotu sutikimu; 7 straipsnio 4 dalimi siekiama užtikrinti, kad asmens duomenų tvarkymo tikslas nebūtų nuslėptas ar neatskiriamai sujungtas su sutarties vykdymu teikiant paslaugą, kuriai teikti tie asmens duomenys nėra būtini; taip BDAR užtikrinama, kad asmens duomenų tvarkymas, su kuriuo prašoma sutikti, negalėtų tiesiogiai ar netiesiogiai tapti atlygiu už sutarties vykdymą; abiejų teisėtų pagrindų, pagal kuriuos teisėtai tvarkomi asmens duomenys, t. y. sutikimo ir sutarties vykdymo, negalima sulieti ir ištrinti ribų tarp jų (26 dalis).

27.3. Teikiant paslaugą gali būti atliekamos kelios duomenų tvarkymo operacijos siekiant ne vieno, o daugiau tikslų; tokiais atvejais duomenų subjektai turėtų turėti laisvę rinktis, su kuriuo tikslu jie sutinka, užuot turėję sutikti su visu duomenų tvarkymo tikslų rinkiniu; konkrečiu atveju, pradedant teikti paslaugą, gali reikėti gauti kelis sutikimus pagal BDAR (42 dalis).

28. ANK 83 straipsnyje „Neteisėtas asmens duomenų tvarkymas ir privatumo apsaugos pažeidimas elektroninių ryšių srityje“ nustatyta: ERĮ nustatyto asmens duomenų tvarkymo ir privatumo apsaugos pažeidimas užtraukia baudą asmenims nuo vieno šimto penkiasdešimt iki penkių šimtų aštuoniasdešimt eurų ir juridinių asmenų vadovams ar kitiems atsakingiems asmenims – nuo trijų šimtų iki vieno tūkstančio vieno šimto penkiasdešimt eurų (1 dalis); ANK 83 straipsnio 1 dalyje numatytas administracinis nusižengimas, padarytas pakartotinai, užtraukia baudą asmenims nuo penkių šimtų penkiasdešimt iki vieno tūkstančio dviejų šimtų eurų ir juridinių asmenų vadovams ar kitiems atsakingiems asmenims – nuo vieno tūkstančio vieno šimto iki trijų tūkstančių eurų (2 dalis).

29. Vertinant aukščiau išdėstytas faktines bylos aplinkybes, matyti, kad trečiasis suinteresuotas asmuo, 2022 m. vasario 7 d. atlikęs rezervaciją nakvynei pareiškėjos valdomame Viešbutyje, turėjo pateikti savo elektroninio pašto adresą ir nurodyti, jog sutinka su pareiškėjos užsakymo taisyklėmis, įskaitant su jų V dalyje „Asmens duomenys“ įtvirtintomis nuostatomis, jog „rezervuodamas paketą viešbutyje, rezervuojantysis sutinka, kad jo asmens duomenys patektų į serviso duomenų bazę. Šie duomenys bus naudojami rezervavimo procedūrai įvykdyti iki galo bei rinkodaros tikslais pagal 1997 m. rugsėjo 28 d. sutarties dėl asmens duomenų apsaugos sąlygas.“ Kaip teismo posėdžio metu paaiškino pareiškėjos atstovas, pareiškėjos valdomo Viešbučio paslaugas užsisakant internetu, asmeniui pateikiamas prašymas sutikti su asmens duomenų tvarkymo taisyklėmis, kuriose numatyta galimybė tvarkyti asmens duomenis tiesioginės rinkodaros tikslais, t. y. paslaugas klientas gali įsigyti tik sutikęs su asmens duomenų tvarkymu tiesioginės rinkodaros tikslais. Taigi trečiasis suinteresuotas asmuo, 2022 m. vasario 7 d. internetu užsisakęs pareiškėjos valdomo Viešbučio paslaugas turėjo sutikti su savo asmens duomens – elektroninio pašto adreso – tvarkymu tiesioginės rinkodaros tikslais, priešingu atveju nebūtų galėjęs internetu užsisakyti pareiškėjos valdomo Viešbučio paslaugų. Kaip matyti iš bylos medžiagos, pareiškėjos valdomas Viešbutis į trečiojo suinteresuoto asmens elektroninio pašto dėžutę atsiuntė teikiamų paslaugų pasiūlymus 2022 m. gegužės 25 d., 2022 m. gegužės 4 d., 2022 m. balandžio 17 d., 2022 m. balandžio 11 d., 2022 m. balandžio 5 d., 2022 m. kovo 24 d.; kiekvieno atsiųsto paslaugų pasiūlymo pabaigoje buvo skiltis „Nebenorite gauti naujienų? Atsisakyti prenumeratos“, kurią paspaudęs trečiasis asmuo galėjo atsisakyti jo elektroninio pašto adresu tiesioginės rinkodaros tikslais siunčiamų pareiškėjos valdomo Viešbučio paslaugų pasiūlymų. Kaip matyti, trečiasis suinteresuotas asmuo, užsisakydamas pareiškėjos valdomo Viešbučio paslaugas, negalėjo išreikšti savo nesutikimo, kad jo asmens duomuo – elektroninio pašto adresas – nebūtų tvarkomas tiesioginės rinkodaros tikslais, tai jis galėjo padaryti tik po to, kai jo asmens duomuo – elektroninio pašto adresas – buvo faktiškai pradėtas tvarkyti tiesioginės rinkodaros tikslais, t. y. trečiojo suinteresuoto asmens dėžutę buvo atsiųstas pareiškėjos valdomo Viešbučio pasiūlymas.

30. Pareiškėja atsiliepime nurodė, kad ERĮ nėra įtvirtintas tikslus sutikimo sąvokos apibrėžimas ir kaip turėtų būti įgyvendinama ERĮ 81 straipsnio 1 dalis; kad nė viename įstatyme nėra tiksliai nurodyta, kaip turėtų būti įgyvendintas duomenų subjekto sutikimas, nėra tikslaus sutikimo sąvokos apibrėžimo ar nurodymo, kaip turi būti teisingai įgyvendinta sutikimo išraiška, pareiškėja mano, kad Įstatymo 81 straipsnio 1 dalį įgyvendino tinkamai.

31. Teismo vertinimu, su tokia pareiškėjos pozicija nėra pagrindo sutikti. Šiuo atveju sutiktina su atsakovės pozicija, kad teisės aktuose įtvirtintas teisinis reguliavimas turi būti aiškinamas sistemiškai. Kaip matyti iš aukščiau aptarto ERĮ 3 straipsnio 102 dalyje ir 81 straipsnyje įtvirtinto teisinio reguliavimo, ERĮ 81 straipsnyje vartojamos sąvokos, neapibrėžtos ERĮ, suprantamos taip, kaip jos apibrėžtos inter alia BDAR. Kaip matyti iš aukščiau aptarto BDAR įtvirtinto teisinio reguliavimo, BDAR yra įtvirtinta duomenų subjekto sutikimo sąvoka, aptartos sutikimo sąlygos. Be to, sunku būtų paneigti tai, kad jeigu reikia asmens sutikimo dėl to, kad būtų atliekamas koks nors veiksmas, įskaitant jo asmens duomenų tvarkymas, tai sutikimas turi būti duodamas prieš atliekant tokį veiksmą, o ne po to, kai atitinkamas veiksmas jau yra atliktas. Pati pareiškėja atsiliepime nurodė, kad ERĮ 81 straipsnio 1 dalis nustato, kad naudoti elektroninių ryšių paslaugas, įskaitant elektroninio pašto pranešimų siuntimą, tiesioginės rinkodaros tikslu leidžiama tik gavus išankstinį abonento ar registruotojo viešųjų elektroninių ryšių paslaugų gavėjo sutikimą. Toks pareiškėjos teiginys leidžia daryti išvadą, kad pati pareiškėja supranta, kad pagal ERĮ 81 straipsnio 1 dalį sutikimas turi būti išankstinis, t. y. duotas prieš pradedant tvarkyti fizinio asmens elektroninio pašto adresą tiesioginės rinkodaros, o ne tada, kai fizinio asmens elektroninio pašto adresas tiesioginės rinkodaros tikslais jau yra pradėtas tvarkyti, juo išsiųsti pareiškėjos valdomo Viešbučio teikiamų paslaugų pasiūlymai. Atsižvelgiant į tai, pareiškėjos argumentas, kad elektroniniu paštu siunčiamų naujienlaiškių bet kada galima atsisakyti paspaudus kiekviename naujienlaiškyje esančią nuorodą laiško apačioje, tačiau trečiasis suinteresuotas asmuo šia galimybe nepasinaudojo ir neatsisakė siunčiamų tiesioginės rinkodaros pranešimų, atmetamas kaip nepagrįstas. O pareiškėjos valdomo Viešbučio administracijos trečiajam suinteresuotam asmeniui elektroniniu paštu 2022 m. kovo 24 d., 2022 m. balandžio 5 d., 2022 m. balandžio 11 d., 2022 m. balandžio 17 d., 2022 m. gegužės 4 d. ir 2022 m. gegužės 25 d. siųsti tiesioginės rinkodaros pranešimai vertintini kaip siųsti neturint trečiojo suinteresuoto asmens, t. y. duomenų subjekto, sutikimo, kad jo asmens duomuo – elektroninio pašto adresas – būtų tvarkomas tiesioginės rinkodaros tikslais.

32. Teismo posėdžio metu pareiškėjos atstovas paaiškino, kad paslaugas galima užsisakyti keliais būdais: paskambinus telefonu (sutikimo dėl asmens duomenų tvarkymo tokiu atveju nereikia), atvykus fiziškai, elektroniniu būdu; pareiškėja pasirinko tokį būdą, kad jeigu klientas pasirenka paslaugas užsisakyti nuotoliniu (elektroniniu) būdu, jam pateikiamas prašymas sutikti su asmens duomenų tvarkymo taisyklėmis, kuriose numatyta galimybė tvarkyti asmens duomenis tiesioginės rinkodaros tikslais, t. y. paslaugas klientas gali įsigyti tik sutikęs su asmens duomenų tvarkymu rinkodaros tikslais; užsisakant paslaugą internetu taikoma ir nuolaida, yra mažesni užsakomos paslaugos kaštai; asmuo turi teisę susipažinti su taisyklėmis, jeigu nenori – gali rinktis kitą paslaugų užsakymo būdą – telefonu, atėjus fiziškai; taisyklės yra mažos apimties, trumpas, suprantamas dokumentas. Teismo vertinimu, aptartuose teisės aktuose įtvirtinta pareiga gauti fizinio asmens sutikimą tvarkyti jo asmens duomenis tiesioginės rinkodaros tikslais negali būti siejama su tuo, kokiu būdu fizinis asmuo užsisako paslaugas (internetu, telefonu, atėjęs fiziškai pas paslaugų teikėja ar kt.); aptarti teisės aktai nenumato galimybės daryti išimtis dėl fizinio asmens sutikimo ir (arba) sutikimo davimo sąlygų dėl jo asmens duomenų tvarkymo tiesioginės rinkodaros tikslais priklausomai nuo to, kokiu būdu jis užsisako paslaugas. Teismas pažymi, jog tai, kad asmuo negali užsisakyti kambario internetu, jei nesutiks, kad jo asmens duomenys būtų naudojami rinkodaros tikslais, paneigia pačią nesutikimo galimybę ir juo labiau neatitinka teisės aktuose (ERĮ 81 straipsnyje) nurodyto reikalavimo suteikti „lengvai įgyvendinamą galimybę nesutikti“. Tai, kokio ilgio yra užsakymo taisyklės taip pat neturi jokios reikšmės šios bylos kontekste, nes taisyklės turi atitikti teisės aktų reikalavimus, tai, kad jos trumpos, nesudaro pagrindo jas parengti tokias, kad taisyklėse įtvirtintos nuostatos dėl asmens duomenų tvarkymo tiesioginės rinkodaros tikslais prieštarautų aukštesnės galios teisės aktams (BDAR, ERĮ).

33. Kaip minėta, pareiškėja prašo panaikinti VDAI Sprendimą pilna apimtimi. Sprendimo rezoliucinės dalies 5 punktu VDAI nusprendė L. G. už ERĮ 81 straipsnio 1 dalies pažeidimą surašyti administracinio nusižengimo protokolą.

34. Atsižvelgiant į tai, kad pareiškėja šioje byloje yra UAB „Raminora“, UAB „Raminora“ nėra įgaliota atstovauti šioje byloje kitų asmenų, teismas pasisako dėl Sprendimo teisėtumo ir pagrįstumo toje dalyje, kuri sukuria teisines pasekmes pareiškėjai. Teismo vertinimu, VDAI Sprendimas toje dalyje, kuri sukuria teisines pasekmes pareiškėjai, yra teisėtas bei pagrįstas, atitinkantis teisės aktų keliamus reikalavimus, Sprendime pateikta informacija yra tiksli ir aiški, nedviprasmiška, Sprendimas yra pagrįstas objektyviais duomenimis, kurie yra susieti su taikomomis konkrečiomis teisės aktų normomis, galima suprasti jo motyvus.

35. Atsižvelgiant į tai, kas išdėstyta, pareiškėjos skundas atmestinas kaip nepagrįstas.

36. Pareiškėja skunde prašo priteisti iš atsakovės pareiškėjos naudai jos patirtas bylos nagrinėjimo išlaidas.

37. Lietuvos Respublikos administracinių bylų teisenos įstatymo 40 straipsnyje nustatyta, kad proceso šalis, kurios naudai priimtas sprendimas, turi teisę gauti iš kitos proceso šalies savo išlaidų atlyginimą (1 dalis); proceso šalis, kurios naudai priimtas sprendimas, turi teisę reikalauti atlyginti išlaidas advokato ar advokato padėjėjo pagalbai apmokėti (5 dalis). Nagrinėjamu atveju pareiškėjos skundas atmestas kaip nepagrįstas, todėl pareiškėjos patirtų bylinėjimosi išlaidų priteisimo iš atsakovės pareiškėjos naudai priteisimo klausimas nesprendžiamas.

Remdamasis tuo, kas išdėstyta, ir vadovaudamasis Lietuvos Respublikos administracinių bylų teisenos įstatymo 84 straipsniu, 86–87 straipsniais, 88 straipsnio 1 punktu, 132 straipsnio 1 dalimi ir 133 straipsniu, teismas

Rezoliucinė dalis

nusprendžia:

Pareiškėjos UAB „Raminora“ skundą atmesti kaip nepagrįstą.

Sprendimas per 30 (trisdešimt) kalendorinių dienų nuo jo priėmimo ir paskelbimo dienos gali būti skundžiamas apeliacine tvarka Lietuvos vyriausiajam administraciniam teismui, apeliacinį skundą paduodant per Vilniaus apygardos administracinį teismą.