Regionų apygardos administracinio teismo sprendimas

Regionų administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Indrės Pukanasytės-Biekšės (kolegijos pirmininkė ir pranešėja), Gedimino Užubalio ir Indrės Žvaigždinienės,

viešame teismo posėdyje rašytinio proceso tvarka išnagrinėjo administracinę bylą pagal pareiškėjo M. M. patikslintą skundą atsakovei Valstybinei duomenų apsaugos inspekcijai, trečiasis suinteresuotas asmuo Telia Lietuva, AB, dėl sprendimo panaikinimo.

Aprašomoji dalis

Teisėjų kolegija nustatė:

1. Teisme priimtas nagrinėti pareiškėjo M. M. (toliau ir – pareiškėjas) patikslintas skundas atsakovei Valstybinei duomenų apsaugos inspekcijai (toliau ir – VDAI, Inspekcija), kuriame prašoma: 1) pareigoti VDAI atsakyti/išnagrinėti praleistas skundo dalis dėl: a) duomenų apsaugos proceso nebuvimo įeinantiems laiškams; b) laiško su asmeniniais duomenimis kopijos pasidarymo; c) duomenų perdavimo trečiosioms šalims (taip pat įpareigoti trečiąjį suinteresuotą asmenį byloje Telia Lietuva, AB, (toliau ir – Bendrovė) informuoti pareiškėją apie trečiąsias šalis, kurioms jo duomenys buvo perduoti); 2) kadangi pagal VDAI 2024-04-25 sprendimo Nr. 3R-465(2.13-1.E) (toliau ir – Sprendimas) 2 dalį buvo nustatyti Bendrovės padaryti BDAR pažeidimai, pareiškėjas prašo įpareigoti VDAI imtis administracinių priemonių ir skirti baudą Bendrovei už pažeidimus, kurie buvo nustatyti.

2.2.1.2. Remiantis BDAR 5 str. 1 d. numatytais principais, Bendrovės atliekamas duomenų tvarkymas turi atitikti teisėtumo, sąžiningumo ir skaidrumo principą, o pagal duomenų vientisumo ir konfidencialumo principą (BDAR 5 str. 1 d. f) p.) bei reikalavimą taikyti tinkamas technines ir organizacines priemones (BDAR 32 str.), Bendrovė yra įpareigota užtikrinti nuolatinį tvarkomų duomenų konfidencialumą ir procesus. Be kita ko, minimalios rekomenduotinos priemonės bei priimtas rinkos standartas apima ir priemonę, pagal kurią kiekvienam organizacijos vaidmeniui, susijusiam su asmens duomenų tvarkymu, turi būti priskirtos konkrečios prieigos kontrolės teisės, vadovaujantis „būtina žinoti“ (angl. need to know) principu. Kitaip tariant, prieiga prie asmens duomenų, neturi būti suteikta darbuotojams, kuriems tokia prieiga nėra būtina jų darbo funkcijoms atlikti.

2.2.1.3. Kadangi atsižvelgiant į ankščiau nurodytas detales neaišku, kas turėjo priėjimą prie duomenų, gautų elektroniniu paštu (duomenys neskelbiami), bet aišku, kad VDAI neatliko savo funkcijos atlikti tyrimą ir nustatyti, ar duomenų saugojimo procesai egzistuoja ir kokiu būdu laiškas siųstas į šią dėžutę buvo perimtas.

2.2.2. Asmens duomenų kopijos pasidarymas galimai mobiliuoju prietaisu:

2.2.2.1. VDAI buvo skundžiamas ir faktas, jog Bendrovė suteikė galimybę pasidaryti laiško, siųsto Bendrovei nuotrauką (galimai iš mobilaus įrenginio) su asmens duomenimis, perduotais Bendrovei, ir taip neužtikrino asmens duomenų konfidencialumo. Asmens duomenų kopijos padarymas nuotraukos pavidalu ne tik kad galimai pažeidžia aukščiau minėtus BDAR straipsnius, bet ir neatitinka to, ką nurodė Bendrovė, teigdama, kad laiškas buvo tik persiųstas. Nuotraukos pasidarymo faktas yra minimas pretenzijoje ir buvo skundžiamas, tačiau VDAI šio fakto nevertino.

2.2.3.1. VDAI Sprendime dėl pareiškėjo duomenų tvarkymo teisėtumo įvertina tik faktą, jog duomenys buvo perduoti darbuotojui, tarsi atsiribojant, kad tas darbuotojas vis tiek turi atlikti darbines funkcijas, užtikrinti duomenų konfidencialumo principus, būti apmokytas su duomenimis elgtis ir yra taip pat atsakingas už Bendrovei pateiktus duomenis. Pretenzijoje buvo nurodyta, kad duomenys paplito ir už Bendrovės ribų. Jei vienas Bendrovės darbuotojas perduoda asmens duomenis kitam ir jie yra toliau naudojami, Bendrovė vis tiek turi laikytis BDAR reikalavimų, tačiau iš VDAI apibendrinimo atrodo, kad reikalavimai kažkur išnyksta.

2.2.3.2. Vien pareiškėjui žinomi atvejai yra: 1) duomenys buvo perduoti darbuotojo sutuoktinei (kuri juos vėliau paviešino socialinio tinklo Facebook grupėje (faktas atskirai vertinamas Žurnalistų etikos komisijos pagal jai priskirtas funkcijas, tačiau duomenų perdavimas kitam žmogui įvyko); 2) su pareiškėju vėliau susiekė tuo metu jam nepažįstamas žmogus, kuris nurodė, jog pareiškėjo duomenys su laišku, pateiktu Bendrovei, buvo perduoti ir Žurnalistų etikos komisijai su skundu (Nr., SK222, 2023) dėl skundo, kuris nebuvo susijęs su pareiškėju.

2.2.3.3. Tad tikslaus adresatų sąrašo, kam buvo pateikti pareiškėjo duomenys, pareiškėjas niekada ir negavo, bet yra pavyzdžių, kad Bendrovės darbuotojas juos naudojo ir perdavė kitoms trečiosioms šalims. Remiantis BDAR 15 str., pretenzijoje buvo pateiktas prašymas pateikti informaciją, kam buvo perduoti asmens duomenys, įskaitant trečiąsias šalis, kas nebuvo „pilnai“ įvykdyta, o VDAI Bendrovės to padaryti ir neįpareigojo ar tyrimo neatliko.

2.2.4.1. Kadangi, kaip patvirtino ir VDAI, Bendrovė nepateikė atsakymo į pretenziją dėl BDAR pažeidimo per 2 mėnesius, kaip to reikalauja BDAR 12 str. 3 d., VDAI sutiko, kad Bendrovė laiku ir tinkamai neįvykdė reikalavimų. Tačiau pareiškėjas skundė ir tai, jog galimai Bendrovė galėjo neinformuoti ir VDAI apie galimą duomenų pažeidimą per 72 valandas, kaip reikalaujama. Atsakymo, ar šis reikalavimas buvo įvykdytas, pateikta nebuvo. Be to, VDAI sutiko, jog Bendrovė nepateikė tvarkomų duomenų apimties. Pažeidus BDAR nuostatas, gali būti skiriamos administracinės baudos, kurios kiekvienu konkrečiu atveju turi būti veiksmingos, proporcingos ir atgrasančios. VDAI net ir patvirtinus, jog reikalavimų nebuvo laikomasi, Bendrovei vis tiek nebuvo skirta jokia atitinkama priemonė, kuri užtikrintų, kad būtų laikomasi BDAR ateityje.

Motyvuojamoji dalis

Teisėjų kolegija konstatuoja:

Faktinės bylos aplinkybės

6.1. Pareiškėjas 2023-08-01 elektroniniu paštu adresais (duomenys neskelbiami), anglų kalba išsiuntė tokio turinio el. laišką: „Sveiki, M. J. socialiniuose tinkluose prisistato kaip „Telia“ darbuotojas, dirbantis „Telia Lietuva“ verslo padalinyje. Kaip „Telia“ klientas ir pašalinis asmuo, norėčiau paprašyti inicijuoti vidinį patikrinimą, ar šis darbuotojas atstovauja „Telia“ vertybėms ir nepažeidžia sutarties. O jei nepažeidžia, ar tokia iš tiesų yra ir „Telia“ poziciją. Prašau užregistruoti šį el. laišką vidinėje žmogiškųjų išteklių sistemoje. Vėliau taip pat tikiuosi sulaukti atsakymo, kad galėčiau suprasti, kokia yra „Telia“ pozicija. Šis prašymas buvo pateiktas dėl to, kad M. J. jau anksčiau nuolat tyčiojosi iš žmonių ir grasino jiems įvairiose Facebook grupėse, tačiau šią savaitę jo nederamas elgesys pasiekė naujas aukštumas. Įtariama, kad jo vaikas galimai tyčia nužudė balandį kelių žmonių, tarp kurių buvo ir vaikų, akivaizdoje. (duomenys neskelbiami) ne tik pritarė tokiam elgesiui, bet ir jį skatino, o žmonėms, bandžiusiems prabilti apie šį įvykį, grasino. Šis įvykis ne tik traumavo vietos bendruomenę, bet ir sukėlė tam tikrų abejonių, kodėl smurtautojas dirba tarptautinėje įmonėje ir kokie standartai joje taikomi. Todėl prašau perduoti pranešimą atitinkamoms šalims bei norėčiau sužinoti, kokia yra dabartinė „Telia“ pozicija ir politika prieš žiaurų elgesį su gyvūnais.“

6.3.1. Dėl Bendrovės veiksmų – pareiškėjas nebuvo tinkamai informuotas, kaip bus tvarkomi jo asmens duomenys, bei pareiškėjo asmens duomenis be teisinio pagrindo perdavus asmenims, kurie neturi teisės juos gauti.

6.3.2. 2023-08-01 kreipėsi į Bendrovę el. laišku (08-01 el. laiškas), prašydamas paaiškinti Bendrovės poziciją dėl šiurkštaus Bendrovės darbuotojo elgesio su vietos bendruomenės nariais bei žiauraus elgesio su gyvūnais skatinimo (pareiškėjas pridėjo el. laiško kopiją anglų kalba).

6.3.3. Siųsdamas 08-01 el. laišką į adresatus įtraukė tik oficialius Bendrovės domenui priskirtus el. pašto adresus ((duomenys neskelbiami), kurie, pareiškėjo vertinimu, galėjo geriausiai atsakyti į pareiškėjo užklausą arba pagal kompetenciją perduoti šią užklausą nagrinėti atsakingam Bendrovės departamentui.

6.3.4. 2023-08-21 pareiškėjas sulaukė skambučio iš Vilniaus m. penktojo policijos komisariato tyrėjos su prašymu pakomentuoti 08-01 el. laišką. Tuo metu jokio atsakymo ar pranešimo iš Bendrovės pareiškėjas nebuvau gavęs.

6.3.5. Į 08-01 el. laišką Bendrovė iš el. pašto adreso (duomenys neskelbiami) atsakė 2023-08-25 (pareiškėjas pridėjo atsakymo kopija).

6.3.6. 2023-08-31 uždaroje „Facebook“ socialinio tinklo vietos bendruomenės grupėje pasirodė įrašas, prie kurio buvo pridėta 08-01 el. laiško kopija (pareiškėjas pridėjo įrašo kopijos ir 08-01 el. laiško nuotrauką). Šį įrašą paskelbė D. J. – Bendrovės darbuotojo M. J. (toliau ir – Darbuotojas) sutuoktinė.

6.3.7. 08-01 el. laiške esančių pareiškėjo asmens duomenų tvarkymui, kurį atlieka Bendrovė, yra taikomi BDAR reikalavimai. Atsižvelgiant į tai, kad dėl 08-01 el. laiško turinio su pareiškėju susisiekė ne tik Bendrovės atstovai, bet ir tretieji asmenys, o tik Bendrovės atstovams siųsto 08-01 el. laiško nuotrauka su Bendrove nesusijusių asmenų buvo paviešinta ir „Facebook“ socialiniame tinkle, galima konstatuoti, kad Bendrovė perdavė pareiškėjo 08-01 el. laišką ir jame esančius asmens duomenis pašaliniams asmenims, kurie neturi teisės jų gauti.

6.3.8. Be kitų BDAR 5 str. 1 d. numatytų principų, Bendrovės atliekamas duomenų tvarkymas turi atitikti teisėtumo, sąžiningumo ir skaidrumo principą (BDAR 5 str. 1 d. a) p.). Šis principas taip pat reiškia, kad asmens duomenys turi būti tvarkomi, įskaitant ir jų perdavimą tretiesiems asmenims, tik esant vienam iš BDAR 6 str. 1 d. nurodytų pagrindų. Atsižvelgdamas į 08-01 el. laiško turinį, pareiškėjas nemato tinkamo duomenų tvarkymo pagrindo, kuriuo remiantis Bendrovė teisėtai galėtų perduoti pareiškėjo asmens duomenis tretiesiems asmenims.

6.3.9. Pagal duomenų vientisumo ir konfidencialumo principą (BDAR 5 str. 1 d. f) p.) bei reikalavimą taikyti tinkamas technines ir organizacines priemones (BDAR 32 str.), Bendrovė yra įpareigota užtikrinti nuolatinį tvarkomų duomenų konfidencialumą. Be kita ko, minimalios rekomenduotinos priemonės bei priimtas rinkos standartas apima ir priemonę, pagal kurią kiekvienam organizacijos vaidmeniui, susijusiam su asmens duomenų tvarkymu, turi būti priskirtos konkrečios prieigos kontrolės teisės, vadovaujantis „būtina žinoti“ (angl. need to know) principu. Kitaip tariant, prieiga prie asmens duomenų neturi būti suteikta darbuotojams, kuriems tokia prieiga nėra būtina jų darbo funkcijoms atlikti. Atsižvelgiant į su 08-01 el. laišku susijusių pareiškėjo asmens duomenų paplitimą už Bendrovės organizacijos ribų, pagrįsta manyti, kad Bendrovė neužtikrino BDAR reikalaujamo asmens duomenų konfidencialumo principo bei tinkamų techninių ir organizacinių saugumo priemonių.

6.3.10. Be to, nors Bendrovė gavo pareiškėjo pateiktą 08-01 el. laišką ir pareiškėjo asmens duomenis bei pradėjo juos tvarkyti, pareiškėjas nebuvo niekaip informuotas apie tai, kaip jo asmens duomenys bus tvarkomi, kokiais tikslais, ir kam jie bus perduoti, juo labiau, kad pareiškėjo 08-01 el. laiškas bus perduotas tretiesiems asmenims, ar kad tokiems tretiesiems asmenims bus sudaryta galimybė peržiūrėti laišką įrenginio ekrane ir padaryti jo nuotrauką. Tinkamai neinformuodama manęs apie asmens duomenų tvarkymą, Bendrovė pažeidė BDAR 5 str. 1 d. a) p. numatytą skaidrumo principą ir 12 bei 13 str. nustatytas pareigas.

6.3.11. Dėl pareiškėjo asmens duomenų išplatinimo pašaliniams asmenims, ir jo apie tai net neinformavus, pareiškėjui buvo padaryta tiek turtinės, tiek neturtinės žalos. Turtinę žalą sudaro teisinės išlaidos, susijusios su žalos įvertinimu ir reikalavimo atlyginti žalą pareiškimu. Neturtinę žalą pareiškėjas patyrė dėl to, kad jo el. laiško išplatinimas pašaliniams asmenims, ir ypatingai tam asmeniui, dėl kurio buvo pateiktas skundas, padidino ir taip buvusią emocinę įtampą tarp pareiškėjo ir kitos konflikto šalies, kuri ėmėsi viešai komentuoti pareiškėjo veiksmus, taip sukeliant papildomų neigiamų emocinių išgyvenimų, dar labiau pabloginant pareiškėjo socialinius santykius su bendruomene, ko būtų išvengta, jeigu Bendrovė būtų tinkamai saugojusi pareiškėjo 08-01 el. laiško konfidencialumą.

6.3.12. Toks Bendrovės elgesys pareiškėją ypatingai emociškai sukrėtė, kadangi Bendrovė, kaip tarptautinė ir aukščiausiais elgesio standartais turinti vadovautis organizacija, turi ypatingai saugoti nuo neigiamo poveikio ir persekiojimo tuos asmenis, kurie siekia pranešti apie galimus teisių pažeidimus ar neetišką elgesį, susijusį su pačia organizacija. Sužinojęs, kad pareiškėjo 08-01 el. laiškas buvo perduotas būtent tam asmeniui, dėl kurio buvo skundžiamasi, pareiškėjas liko visiškai šokiruotas tokio Bendrovės elgesio ir siekio sukurti tolesnį spaudimą pareiškėjui, pranešusiam apie neetišką Bendrovės darbuotojo elgesį.

6.3.13. Dėl minėtų emocinių sukrėtimų patirtos neturtinės žalos dydį pareiškėjas vertina 10 000 EUR.

6.3.14. Remdamasis išdėstytomis aplinkybėmis bei argumentais ir vadovaudamasis BDAR 82 str., pareiškėjas prašė ne vėliau kaip iki 2023-10-15 sumokėti padarytos 2 000 EUR turtinės žalos kompensaciją ir 10 000 EUR neturtinės žalos kompensaciją, pervedant lėšas į pareiškėjo banko sąskaitą.

6.3.15. Apie Bendrovės padarytus pažeidimus pareiškėjas taip pat turės pranešti ir Inspekcijai.

6.3.16. Taip pat, vadovaudamasis BDAR 15 str., prašė pateikti pareiškėjui informaciją jo nurodytu el. pašto adresu, kokiais tikslais ir kokiais teisiniais pagrindais pareiškėjo asmens duomenis, susijusius su 08-01 el. laišku, tvarko Bendrovė, kokia yra šių duomenų apimtis (asmens duomenų kategorijų sąrašas) ir kokiems duomenų gavėjams šie duomenys buvo perduoti.

6.6. Bendrovė 2023-12-05 rašte Nr. 2023-03716 „Dėl informacijos pateikimo“, adresuotame Inspekcijai, paaiškino:

6.6.1.1. El. paštu gaunami suinteresuotų asmenų laiškai yra administruojami specialiai šiam darbui apmokytų „Telia“ darbuotojų. El. paštu (duomenys neskelbiami) gaunami laiškai yra administruojami „Telia“ klientų aptarnavimo specialistų, o el. paštu (duomenys neskelbiami) gaunami laiškai – žmogiškųjų išteklių specialistų, kurie atitinkamai patys savarankiškai sprendžia iškilusius klausimus arba atsižvelgiant į klausimų pobūdį, kiek tai būtina, perduoda juos spręsti kitiems atsakingiems „Telia“ darbuotojams pagal jų kompetenciją.

6.6.1.3. Lygiagrečiai pareiškėjo 2023-08-01 skundas gautas el. pašto adresu (duomenys neskelbiami) buvo priskirtas administruoti „Telia“ klientų aptarnavimo specialistei, kuri skundo kopiją 2023-08-02 persiuntė tiesioginiam Darbuotojo vadovui ir Darbuotojui.

6.6.1.4. Paaiškiname, kad įprastai asmenims pateikus skundą ar pretenziją dėl „Telia“ teikiamų prekių ir paslaugų, jų asmens duomenys pirmiausia tvarkomi klientų administravimo tikslais, siekiant išspręsti kilusį ginčą ir tinkamai įvykdyti sutartį, tokiu atveju asmens duomenys tvarkomi remiantis BDAR 6 straipsnio 1 dalies b) punktu, t. y. tvarkyti duomenis būtina siekiant įvykdyti sutartį, kurios šalis yra duomenų subjektas. Kitais atvejais, kai asmenys kreipiasi ne dėl jiems teikiamų prekių ir paslaugų, jų asmens duomenys yra tvarkomi siekiant teisėtų „Telia“ interesų atsakyti į šių asmenų iškeltus klausimus, išspręsti kilusį ginčą, suteikti informaciją ir pan., tokiu atveju asmens duomenys tvarkomi remiantis Reglamento 6 straipsnio 1 dalies f) punktu, t. y. tvarkyti duomenis būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų.

6.6.1.5. „Telia“ vertinimu, šiuo konkrečiu atveju pareiškėjo 2023-08-01 skundo kopijos Darbuotojui pateikimas yra teisėtas remiantis BDAR 6 straipsnio 1 dalies f) punktu, t. y. duomenis tvarkyti būtina siekiant tiek „Telia“, tiek Darbuotojo teisėtų interesų suteikti Darbuotojui galimybę pateikti savo paaiškinimus dėl skunde nurodytų aplinkybių ir kaltinimų, siekiant Darbuotojui apginti savo galimai pažeistas teises, atsižvelgiant į tai, kad pareiškėjo 2023-08-01 skunde pateikiama informacija kaip faktai, susiję su galimais administraciniais ar net baudžiamaisiais nusižengimais – žiauriu elgesiu su gyvūnais. Paaiškėjus, kad pareiškėjo pateikti faktai neatitinka tikrovės, Bendrovės darbuotojas M. J. (Darbuotojas) turėtų teisę reikalauti teismo tvarka paneigti paskleistus duomenis, žeminančius jo garbę ir orumą, taip pat reikalauti atlyginti tokių duomenų paskleidimu jam padarytą turtinę ir neturtinę žalą.

6.6.1.6. Akivaizdu, jog pareiškėjas siekė plačiai paskleisti informaciją, nes savo skundą išsiuntė net penkiems skirtingiems adresatams net tik Lietuvoje, bet ir Švedijoje, nors tam nebuvo jokios priežasties. Skundas buvo tikslingai išsiųstas Telia Sverige, AB ir Telia Company, AB įmonėms Švedijoje ir net „Telia“ spaudos atstovei Švedijoje, kurios kontaktiniai duomenys skelbiami žiniasklaidai skirtame puslapyje adresu (duomenys neskelbiami), nors pareiškėjui žinoma, kad Darbuotojas dirba Lietuvoje.

6.6.1.7. Pareiškėjo interesai pakleisti galimai tikrovės neatitinkančią informaciją apie Darbuotoją nėra teisiškai pagrįsti ir viršesni už Darbuotojo teisę gintis nuo tokių kaltinimų ir siekti apginti savo galimai pažeistas teises.

6.6.1.8. Visos „Telia“ grupės įmonės turi pasitikėjimo linijas (angl. speak-up-line), kur suinteresuoti asmenys gali pateikti pranešimus apie įtariamus bendrovės darbuotojų ar atstovų teisės aktų pažeidimus, šiurkščius reikalavimų nesilaikymo atvejus ir kt. Ši informacija skelbiama kiekvienoje interneto svetainėje, pvz., Lietuvoje adresu (duomenys neskelbiami), Telia Sverige, AB (duomenys neskelbiami) nuoroda į skaidrumo liniją pateikiama greta nuorodos į kontaktinę informaciją susisiekti el. paštu. Pranešimai per pasitikėjimo liniją gali būti alternatyviai pateikiami anonimiškai, tačiau „Telia“ pasilieka teisę nenagrinėti pranešimų, kurie nėra susiję su „Telia“ veikla, o yra išimtinai susiję su darbuotojų asmeniniu gyvenimu ir/ar jų privačiais ginčais. Pareiškėjas nepasinaudojo tokia galimybę pateikti pranešimą anonimiškai, priešingai – siekė kuo daugiau viešumo siųsdamas pranešimą įmonėms tiek Lietuvoje, tiek Švedijoje, įskaitant spaudos atstovę Švedijoje.

6.7. Bendrovė 2024-03-27 rašte Nr. 2024-00611 „Dėl papildomos informacijos pateikimo“ paaiškino:

6.7.1. Pareiškėjas 2023-08-01 iš el. pašto (duomenys neskelbiami) kreipėsi į „Telia“ el. paštu (duomenys neskelbiami) su skundu anglų kalba prašydamas įvertinti Bendrovės darbuotojo M. J. (Darbuotojas) elgesį ir pateikti „Telia“ poziciją ir politiką dėl žiauraus elgesio su gyvūnais.

6.7.2. Pareiškėjo elektroninis laiškas buvo administruojamas dviem kanalais – (duomenys neskelbiami) (priskirtas žmogiškųjų išteklių specialistei) ir (duomenys neskelbiami) (priskirtas „Telia“ klientų aptarnavimo specialistei), kuri skundą persiuntė tiesioginiam Darbuotojo vadovui ir Darbuotojui.

6.7.3. „Telia“ Žmogiškųjų išteklių specialistai, įvertinę laiške nurodytą informaciją, kuri nebuvo susijusi su asmens duomenų tvarkymu ir / ar jo teisėtumu, 2023-08-25 pareiškėjui pateikė atsakymą apie „Telia“ poziciją bei tolimesnius veiksmus, kurių pareiškėjas galėtų imtis, t. y. dėl netinkamo Darbuotojo elgesio kreiptis į kompetentingas institucijas.

6.7.4. 2023-09-27 „Telia“ el. paštu (duomenys neskelbiami) gavo pareiškėjo Pretenziją dėl teisės į asmens duomenų apsaugą pažeidimo. „Telia“, gavusi Pareiškėjo Pretenziją, inicijavo vidinį tyrimą dėl ko pareiškėjui atsakymas pateiktas tik 2023-11-30, Nr. 2023-03715 (toliau – Atsakymas), kuriame nurodyta, kokiais tikslais ir teisiniais pagrindais tvarkomi pareiškėjo duomenys. „Telia“ Darbuotojo nelaiko kaip duomenų gavėjo, o su pareiškėjo elektroniniu laišku ir jame pateikta informacija susipažino, kaip duomenų subjektas, kadangi informacija, visų pirma, yra apie patį Darbuotoją. Atkreiptinas dėmesys, kad pats pareiškėjas elektroniniame laiške nenurodė, kad pateikiama informacija yra konfidenciali ir / ar negali būti atskleista, o priešingai, skundą išsiuntė plačiam ratui gavėjų įskaitant ir spaudos atstovę Švedijoje, siekdamas kuo didesnio viešumo ir eskalacijos, todėl noras likti anonimiškam nesuderinamas su pačiu pareiškėjo elgesiu. Pareiškėjas galimybe kreiptis anonimiškai pasitikėjimo linija (angl. sepak-up-line) nepasinaudojo.

6.7.5. Be kita ko, elektroniniame laiške pareiškėjas nurodė „Therefore please forward this to corresponding parties <...> “, kas iš esmės reiškia, kad klientų aptarnavimo specialistė, susipažinusi su laiške nurodyta informacija, kaip ją suprato, taip ir pasielgė, t. y. persiuntė suinteresuotoms šalims, o tarp jų ir pačiam Darbuotojui.

6.7.6. Pradėto vidinio tyrimo metu buvo aiškinamasi, kaip ir kokiais kanalais buvo administruojamas, valdomas pareiškėjo elektroninis laiškas, kas ir kada pateikė atsakymą bei apklausti atsakingi darbuotojai, įskaitant klientų aptarnavimo specialistę, kuri administravo pareiškėjo 2023-08-01 el. laišką, ir patį Darbuotoją. Darbuotojas nurodė, kad uždaroje socialinio tinklo „Facebook“ grupėje „Jonažolių kaimas“ anoniminis vartotojas paskleidė melagingą informaciją, neva Darbuotojo vaikas žudė balandį, o Darbuotojas dar ir skatino tokį vaiko elgesį. Pasak Darbuotojo, komentatoriai surengė linčo teismą socialinio tinklo erdvėje, o kvartalo vaikai užsipuolė Darbuotojo vaiką gyvai dėl ko buvo iškviesta policija. Darbuotojas nurodė, kad pareiškėjo nepažįsta ir nėra turėjęs su juo reikalų ir dėl visos šios situacijos kreipėsi į prokuratūrą dėl ikiteisminio tyrimo pradėjimo pagal LR BK 154 str. („Šmeižimas“). Ką patvirtina ir pats pareiškėjas Pretenzijoje, nurodydamas, kad 2023-08-21 sulaukė skambučio iš Vilniaus miesto penktojo policijos komisariato tyrėjos su prašymu pakomentuoti 2023-08-01 el. laišką. Net jeigu Darbuotojui klientų aptarnavimo specialistė ir nebūtų tiesiogiai persiuntusi elektroninio laiško kopijos, Darbuotojas kaip duomenų subjektas vis tiek turėtų galimybę su tokia informacija susipažinti teikiant paaiškinimus ir siekiant apsiginti nuo jam metamų kaltinimų dėl esą neetiško ar net nusikalstamo elgesio.

6.8. VDAI 2023 m. lapkričio mėnesį priėmė sprendimą „Dėl M. M. 2023-11-06 skundo dalyje pareiškėjo duomenų viešinimo visuomenės informavimo priemonėje“, kuriuo nusprendė atsisakyti nagrinėti pareiškėjo skundą dalyje dėl pareiškėjo duomenų viešinimo visuomenės informavimo priemonėje kaip nepriklausantį Inspekcijos kompetencijai.

6.9. Inspekcija 2023 m. lapkričio mėnesio raštu „Dėl skundo nagrinėjimo“ informavo pareiškėją apie priimtą sprendimą skundo dalyje dėl pareiškėjo duomenų viešinimo visuomenės informavimo priemonėje; taip pat informavo, kad skundas dalyje dėl pareiškėjo asmens duomenų tvarkymo ir duomenų subjekto teisės, t. y. dėl teisės susipažinti su asmens duomenimis, galimai netinkamo įgyvendinimo, nagrinėjamas Inspekcijoje.

6.10. VDAI ginčijamu Sprendimu, vadovaudamasi Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau ir – ADTAĮ) 31 straipsnio 1 dalies 1 ir 2 punktais, 31 straipsnio 2 dalies 1 punktu, BADR 58 straipsnio 2 dalies c punktu, nusprendė: 1) pareiškėjo skundą dėl galimai neteisėto duomenų tvarkymo – atmesti; 2) pareiškėjo skundą dalyje dėl teisės susipažinti su Bendrovės tvarkomais jo duomenimis pripažinti pagrįstu; 3) teikti Bendrovei nurodymą – iki 2024-05-31 atsakyti į pareiškėjo Pretenzijoje suformuluotą klausimą – kokia yra Bendrovėje tvarkomų pareiškėjo asmens duomenų apimtis, t. y. nurodyti asmens duomenų kategorijų sąrašą. VDAI ginčijamame Sprendime nurodė:

6.10.1.1. Asmens duomenų tvarkymas laikomas teisėtu tik tuo atveju, jeigu jis atitinka BDAR 5 straipsnyje įtvirtintus su asmens duomenų tvarkymu susijusius principus ir esant bent vienai 6 straipsnyje įtvirtintai asmens duomenų teisėto tvarkymo sąlygai. Nesant nė vienos asmens duomenų teisėto tvarkymo sąlygos, asmens duomenų tvarkymas laikytinas neteisėtu.

6.10.1.2. Būtent duomenų valdytojas privalo įrodyti, jog asmens duomenys tvarkomi laikantis BDAR reikalavimų.

6.10.1.3. Inspekcija sprendžia, kad Bendrovė tretiesiems asmenims, be Bendrovės darbuotojų, t. y. konkrečiai Bendrovės darbuotojo, dėl kurio pareiškėjas pateikė 2023-09-27 pretenziją Bendrovei, (Darbuotojas) ir jo vadovo, gauto pareiškėjo 2023-08-01 el. laiško niekam neperdavė ir toliau neplatino, todėl darytina išvada, kad Bendrovė tinkamai tvarkė pareiškėjo asmens duomenis. Taip pat sutiktina su Bendrovės pozicija, kad teisė į asmens duomenų apsaugą nėra absoliuti, nes visur turi galioti balansas ir proporcingumo principas. Šiuo atveju Darbuotojas turėjo teisę susipažinti su gautu 2023-08-01 el. laišku, kuris yra pateiktas apie jį bei jo elgesį ir atitinkamai turėjo teisę į ją pateikti paaiškinimus (apsiginti). Atsižvelgdama į tai, Inspekcija daro išvadą, kad Bendrovė nepažeidė BDAR nuostatų ir pareiškėjo skundas šioje dalyje atmetamas kaip nepagrįstas.

6.10.2. Dėl pareiškėjo prašymo susipažinti su jo tvarkomais asmens duomenimis:

6.10.2.1. Pagal BDAR teisė susipažinti su asmens duomenimis susideda iš trijų komponentų, t. y. patvirtinimo, ar yra tvarkomi asmens duomenys, prieigos prie jų suteikimo ir informacijos apie patį tvarkymą pateikimo. Praktinis teisės susipažinti su duomenimis tikslas – sudaryti galimybę duomenų subjektui suprasti, kaip yra tvarkomi jo asmens duomenys, taip pat tokio tvarkymo pasekmes ir patikrinti tvarkomų duomenų tikslumą.

6.10.2.2. Inspekcija pažymėjo kad tam, jog būtų konstatuotas BDAR 15 straipsnyje įtvirtintos duomenų subjekto teisės pažeidimas, skundo medžiagoje turi būti įrodymų, patvirtinančių, kad duomenų subjektas kreipėsi į duomenų valdytoją, o duomenų valdytojas gavo, tačiau nesiėmė arba ėmėsi netinkamų priemonių pagal duomenų subjekto prašymą įgyvendinti jo teisę susipažinti su tvarkomais duomenimis. Tokia išvada darytina atsižvelgiant į BDAR 12 straipsnio 3 dalį, kurioje terminai pateikti duomenų subjektui informaciją apie veiksmus, kurių imtasi gavus prašymą pagal BDAR 15 – 22 straipsnius, pradedami skaičiuoti nuo prašymo gavimo momento.

6.10.2.3. Iš skundo nagrinėjimo medžiagos nustatyta, kad 2023-09-27 pareiškėjas kreipėsi į Bendrovę, prašydamas pateikti informaciją, kokiais tikslais ir teisiniais pagrindais jo asmens duomenis, susijusius su 2023-08-01 el. laišku, tvarko Bendrovė, kokia yra šių duomenų apimtis (asmens duomenų kategorijų sąrašas) ir kokiems duomenų gavėjams šie duomenys buvo perduoti. Negavęs atsakymo iš Bendrovės, pareiškėjas 2023-10-30 kreipėsi į Bendrovę, prašydamas nurodyti, ar Bendrovė gavo jo prašymą. Iš Bendrovės pareiškėjas gavo patvirtinimą, kad prašymas yra gautas, bet atsakymo Bendrovė dar neturi.

6.10.2.4. Inspekcija pažymi, kad Bendrovė neturėjo informuoti pareiškėjo apie Bendrovės darbuotojus, kuriems buvo atskleisti jo asmens duomenys, nes vadovaujantis BDAR 4 straipsnio 9 dalimi (duomenų gavėjas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuriai atskleidžiami asmensduomenys, nesvarbu, ar tai trečioji šalis ar ne <...>), Bendrovės darbuotojai nėra laikomi duomenų gavėjais. BDAR 15 straipsnio 1 dalies c punktas įpareigoja duomenų valdytoją pateikti duomenų subjektui informaciją apie duomenų gavėjus arba duomenų gavėjų kategorijas, kuriems buvo arba bus atskleisti asmens duomenys, visų pirma, duomenų gavėjus trečiosiose valstybėse arba tarptautinės organizacijose, tačiau darbuotojai duomenis tvarko duomenų valdytojo nurodymais ir duomenų valdytojo vardu, todėl yra laikoma, kad duomenis tvarko ne konkretus darbuotojas, o duomenų valdytojas ir duomenų valdytojo darbuotojai duomenų gavėjams nėra priskiriami.

6.10.2.5. Įvertinus Bendrovės atsakymą, Inspekcija nustatė, kad pareiškėjas buvo informuotas, kad asmenų, kurie pateikia skundus ar pretenzijas Bendrovei, asmens duomenys yra tvarkomi teisėtų interesų pagrindu, t. y. BDAR 6 straipsnio 1 dalies f punkto pagrindu, su tikslu atsakyti į asmens iškeltus klausimus, išspręsti kilusį ginčą, suteikti informaciją ir pan. Atsižvelgiant į tai, Inspekcija sprendžiama, kad pareiškėjui buvo atsakyta, kokiu tikslu ir teisiniu pagrindu yra tvarkomi jo duomenys. Tačiau įvertinus tai, kad pareiškėjo prašyme buvo prašoma nurodyti, kokia yra tvarkomų jo asmens duomenų apimtis (asmens duomenų kategorijų sąrašas), nustatyta, kad Bendrovė pareiškėjui to neatsakė.

6.10.2.6. Įvertinus gautus Bendrovės ir skundžiamo asmens paaiškinimus nustatyta, kad Bendrovė atsakymą į pareiškėjo prašymą pateikė praėjus daugiau nei 2 mėnesiams, įrodymų apie tai, kad pareiškėjas buvo informuotas apie tai, kad atsakymo į prašymą terminas buvo pratęstas, nepateikė. Todėl nesant objektyvių įrodymų, kad Bendrovė tinkamai ir laiku įgyvendino BDAR 12 straipsnio 3 dalį, Inspekcija neturi pagrindo daryti išvados, kad Bendrovė tinkamai ir laiku pateikė pareiškėjui atsakymą į pareiškėjo prašymą.

6.10.2.7. Atsižvelgiant į tai, kad Bendrovė į pareiškėjo 2023-09-27 prašymą laiku ir tinkamai neatsakė, Inspekcija sprendžia, kad Bendrovė, kaip duomenų valdytojas, pažeidė BDAR 12 straipsnio 3 dalį ir 15 straipsnį, todėl pareiškėjo skundą šioje dalyje pripažįsta pagristu, o Bendrovei teikia nurodymą – iki 2024-05-31 atsakyti į pareiškėjo prašyme suformuluotą klausimą – kokia yra tvarkomų pareiškėjo asmens duomenų apimtis, t. y. nurodyti asmens duomenų kategorijų sąrašą.

Ginčui aktualus teisinis reguliavimas, įskaitant tą, kuriuo savo procesiniuose dokumentuose remiasi ginčo šalys

7.1. <...> Teisė į asmens duomenų apsaugą nėra absoliuti; ji turi būti vertinama atsižvelgiant į jos visuomeninę paskirtį ir derėti su kitomis pagrindinėmis teisėmis, remiantis proporcingumo principu. Šiuo reglamentu paisoma visų Chartijoje pripažintų ir Sutartyse įtvirtintų pagrindinių teisių ir laisvių bei principų, visų pirma teisės į privatų ir šeimos gyvenimą, būsto neliečiamybę ir komunikacijos slaptumą, teisės į asmens duomenų apsaugą, minties, sąžinės ir religijos laisvės, saviraiškos ir informacijos laisvės, laisvės užsiimti verslu, teisės į veiksmingą teisinę gynybą ir teisingą bylos nagrinėjimą ir kultūrų, religijų ir kalbų įvairovės (preambulės 4 punktas).

7.2. Bet kuris asmens duomenų tvarkymas turėtų būti teisėtas ir sąžiningas. Taikant skaidrumo principą, fiziniams asmenims turėtų būti aišku, kaip su jais susiję asmens duomenys yra renkami, naudojami, su jais susipažįstama arba jie yra kitaip tvarkomi, taip pat kokiu mastu tie asmens duomenys yra ar bus tvarkomi. Pagal skaidrumo principą informacija ir pranešimai, susiję su tų asmens duomenų tvarkymu, turi būti lengvai prieinami ir suprantami, pateikiami aiškia ir paprasta kalba. Tas principas visų pirma susijęs su duomenų subjektų informavimu apie duomenų valdytojo tapatybę ir duomenų tvarkymo tikslus, taip pat su tolesniu informavimu, kad būtų užtikrintas sąžiningas ir skaidrus duomenų tvarkymas atitinkamų fizinių asmenų atžvilgiu, jų teise gauti patvirtinimą dėl su jais susijusių asmens duomenų tvarkymo ir teise tuos duomenis gauti (preambulės 39 punktas).

7.3. Duomenų subjektas turėtų turėti teisę susipažinti su apie jį surinktais asmens duomenimis ir galimybę ta teise lengvai ir pagrįstais laiko tarpais pasinaudoti, kad žinotų apie duomenų tvarkymą ir galėtų patikrinti jo teisėtumą. <...> Todėl kiekvienas duomenų subjektas turėtų turėti teisę žinoti ir būti informuotas visų pirma apie tai, kokiais tikslais asmens duomenys tvarkomi, jei įmanoma – kokiu laikotarpiu jie tvarkomi, kas yra duomenų gavėjai, pagal kokią logiką asmens duomenys tvarkomi automatiškai ir kokios galėtų būti tokio asmens duomenų tvarkymo pasekmės bent jau tais atvejais, kai duomenų tvarkymas grindžiamas profiliavimu. Kai įmanoma, duomenų valdytojas turėtų galėti suteikti nuotolinę prieigą prie saugios sistemos, kurioje duomenų subjektas gali tiesiogiai prieiti prie savo asmens duomenų. Ta teisė neturėtų turėti neigiamo poveikio kitų asmenų teisėms ar laisvėms, įskaitant komercines paslaptis arba intelektinės nuosavybės teises, ypač autorių teises, kuriomis saugoma programinė įranga. Tačiau tai neturėtų lemti, kad duomenų subjektui būtų atsisakyta suteikti visą informaciją. Tais atvejais, kai duomenų valdytojas tvarko didelį informacijos, susijusios su duomenų subjektu, kiekį, jis turėtų galėti prieš teikdamas informaciją paprašyti duomenų subjekto nurodyti, dėl kokios informacijos ar duomenų tvarkymo veiklos pateiktas prašymas (preambulės 63 punktas).

7.4. Asmens duomenys – bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti (duomenų subjektas); fizinis asmuo, kurio tapatybę galima nustatyti, yra asmuo, kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti, visų pirma pagal identifikatorių, kaip antai vardą ir pavardę, asmens identifikavimo numerį, buvimo vietos duomenis ir interneto identifikatorių arba pagal vieną ar kelis to fizinio asmens fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės požymius (4 straipsnio 1 punktas).

7.5. Duomenų tvarkymas – bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas (4 straipsnio 2 punktas).

7.6. Duomenų tvarkytojas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuri duomenų valdytojo vardu tvarko asmens duomenis (4 straipsnio 8 punktas).

7.7. Duomenų gavėjas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuriai atskleidžiami asmens duomenys, nesvarbu, ar tai trečioji šalis ar ne. Tačiau valdžios institucijos, kurios pagal Sąjungos arba valstybės narės teisę gali gauti asmens duomenis vykdydamos konkretų tyrimą, nelaikomos duomenų gavėjais; tvarkydamos tuos duomenis, tos valdžios institucijos laikosi taikomų duomenų tvarkymo tikslus atitinkančių duomenų apsaugos taisyklių (4 straipsnio 9 punktas).

7.8. Trečioji šalis – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuri nėra duomenų subjektas, duomenų valdytojas, duomenų tvarkytojas, arba asmenys, kuriems tiesioginiu duomenų valdytojo ar duomenų tvarkytojo įgaliojimu leidžiama tvarkyti asmens duomenis (4 straipsnio 10 punktas).

7.9. Asmens duomenys turi būti: a) duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas); b) renkami nustatytais, aiškiai apibrėžtais bei teisėtais tikslais ir toliau netvarkomi su tais tikslais nesuderinamu būdu; tolesnis duomenų tvarkymas archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais pagal 89 straipsnio 1 dalį nėra laikomas nesuderinamu su pirminiais tikslais (tikslo apribojimo principas); c) adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas); d) tikslūs ir prireikus atnaujinami; turi būti imamasi visų pagrįstų priemonių užtikrinti, kad asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, būtų nedelsiant ištrinami arba ištaisomi (tikslumo principas); e) laikomi tokia forma, kad duomenų subjektų tapatybę būtų galima nustatyti ne ilgiau, nei tai yra būtina tais tikslais, kuriais asmens duomenys yra tvarkomi; <...> (saugojimo trukmės apribojimo principas); f) tvarkomi tokiu būdu, kad taikant atitinkamas technines ar organizacines priemones būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo (vientisumo ir konfidencialumo principas) (5 straipsnio 1 dalis).

7.10. Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi BDAR 5 straipsnio 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas) (5 straipsnio 2 dalis).

7.11. Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš šių sąlygų, ir tik tokiu mastu, kokiu ji yra taikoma: a) duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu ar keliais konkrečiais tikslais; b) tvarkyti duomenis būtina siekiant įvykdyti sutartį, kurios šalis yra duomenų subjektas, arba siekiant imtis veiksmų duomenų subjekto prašymu prieš sudarant sutartį; c) tvarkyti duomenis būtina, kad būtų įvykdyta duomenų valdytojui taikoma teisinė prievolė; d) tvarkyti duomenis būtina siekiant apsaugoti gyvybinius duomenų subjekto ar kito fizinio asmens interesus; e) tvarkyti duomenis būtina siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas; f) tvarkyti duomenis būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, išskyrus atvejus, kai tokie duomenų subjekto interesai arba pagrindinės teisės ir laisvės, dėl kurių būtina užtikrinti asmens duomenų apsaugą, yra už juos viršesni, ypač kai duomenų subjektas yra vaikas. Šios pastraipos f punktas netaikomas duomenų tvarkymui, kurį valdžios institucijos atlieka vykdydamos savo užduotis (6 straipsnio 1 dalis).

7.12. Duomenų valdytojas nepagrįstai nedelsdamas, tačiau bet kuriuo atveju ne vėliau kaip per vieną mėnesį nuo prašymo gavimo, pateikia duomenų subjektui informaciją apie veiksmus, kurių imtasi gavus prašymą pagal 15–22 straipsnius. Tas laikotarpis prireikus gali būti pratęstas dar dviem mėnesiams, atsižvelgiant į prašymų sudėtingumą ir skaičių. Duomenų valdytojas per vieną mėnesį nuo prašymo gavimo informuoja duomenų subjektą apie tokį pratęsimą, kartu pateikdamas vėlavimo priežastis. Kai duomenų subjektas prašymą pateikia elektroninės formos priemonėmis, informacija jam taip pat pateikiama, jei įmanoma, elektroninėmis priemonėmis, išskyrus atvejus, kai duomenų subjektas paprašo ją pateikti kitaip (12 straipsnio 3 dalis).

7.13. BDAR 15 straipsnyje „Duomenų subjekto teisė susipažinti su duomenimis“ nustatyta:

7.13.1. Duomenų subjektas turi teisę iš duomenų valdytojo gauti patvirtinimą, ar su juo susiję asmens duomenys yra tvarkomi, o jei tokie asmens duomenys yra tvarkomi, turi teisę susipažinti su asmens duomenimis ir toliau nurodyta informacija: a) duomenų tvarkymo tikslai; b) atitinkamų asmens duomenų kategorijos; c) duomenų gavėjai arba duomenų gavėjų kategorijos, kuriems buvo arba bus atskleisti asmens duomenys, visų pirma duomenų gavėjai trečiosiose valstybėse arba tarptautinės organizacijos; d) kai įmanoma, numatomas asmens duomenų saugojimo laikotarpis arba, jei neįmanoma, kriterijai, taikomi tam laikotarpiui nustatyti; e) teisė prašyti duomenų valdytojo ištaisyti arba ištrinti asmens duomenis ar apriboti su duomenų subjektu susijusių asmens duomenų tvarkymą arba nesutikti su tokiu tvarkymu; f) teisė pateikti skundą priežiūros institucijai; g) kai asmens duomenys renkami ne iš duomenų subjekto, visa turima informacija apie jų šaltinius; h) tai, kad esama 22 straipsnio 1 ir 4 dalyse nurodyto automatizuoto sprendimų priėmimo, įskaitant profiliavimą, ir, bent tais atvejais, prasminga informacija apie loginį jo pagrindimą, taip pat tokio duomenų tvarkymo reikšmę ir numatomas pasekmes duomenų subjektui (15 straipsnio 1 dalis).

7.13.2. Kai asmens duomenys perduodami į trečiąją valstybę arba tarptautinei organizacijai, duomenų subjektas turi teisę būti informuotas apie tinkamas su duomenų perdavimu susijusias apsaugos priemones pagal 46 straipsnį (15 straipsnio 2 dalis).

7.13.3. Duomenų valdytojas pateikia tvarkomų asmens duomenų kopiją. Už bet kurias kitas duomenų subjekto prašomas kopijas duomenų valdytojas gali imti pagrįstą mokestį, nustatomą pagal administracines išlaidas. Kai duomenų subjektas prašymą pateikia elektroninėmis priemonėmis ir išskyrus atvejus, kai duomenų subjektas paprašo ją pateikti kitaip, informacija pateikiama įprastai naudojama elektronine forma(15 straipsnio 3 dalis).

7.13.4. 3 dalyje nurodyta teisė gauti kopiją negali daryti neigiamo poveikio kitų teisėms ir laisvėms (15 straipsnio 4 dalis).

7.14. Duomenų tvarkytojas ir bet kuris duomenų valdytojui arba duomenų tvarkytojui pavaldus asmuo, galintis susipažinti su asmens duomenimis, negali tų duomenų tvarkyti, išskyrus atvejus, kai duomenų valdytojas duoda nurodymus juos tvarkyti, nebent tai daryti reikalaujama pagal Sąjungos ar valstybės narės teisę (29 straipsnis).

7.15. Kiekviena priežiūros institucija turi visus šiuos įgaliojimus imtis taisomųjų veiksmų: <...> c) nurodyti duomenų valdytojui arba duomenų tvarkytojui patenkinti duomenų subjekto prašymus pasinaudoti savo teisėmis pagal šį reglamentą; d) nurodyti duomenų valdytojui arba duomenų tvarkytojui suderinti duomenų tvarkymo operacijas su šio reglamento nuostatomis, tam tikrais atvejais – nustatytu būdu ir per nustatytą laikotarpį; <...>; i) skirti administracinę baudą pagal 83 straipsnį, kartu taikydama šioje dalyje nurodytas priemones arba vietoj jų, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes; <...>. (58 straipsnio 2 dalis).

7.16. Kiekviena priežiūros institucija užtikrina, kad pagal šį straipsnį skiriamos administracinės baudos už 4, 5 ir 6 dalyse nurodytus šio reglamento pažeidimus kiekvienu konkrečiu atveju būtų veiksmingos, proporcingos ir atgrasomos (83 straipsnio „Bendrosios administracinių baudų skyrimo sąlygos“ 1 dalis).

7.17. Administracinės baudos, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes, skiriamos kartu su 58 straipsnio 2 dalies a–h punktuose ir j punkte nurodytomis priemonėmis arba vietoj jų. Sprendžiant dėl to, ar skirti administracinę baudą, ir sprendžiant dėl administracinės baudos dydžio kiekvienu konkrečiu atveju deramai atsižvelgiama į šiuos dalykus: a) pažeidimo pobūdį, sunkumą ir trukmę, atsižvelgiant į atitinkamo duomenų tvarkymo pobūdį, aprėptį ar tikslą, taip pat į nukentėjusių duomenų subjektų skaičių ir jų patirtos žalos dydį; b) tai, ar pažeidimas padarytas tyčia, ar dėl aplaidumo; c) bet kuriuos veiksmus, kurių duomenų valdytojas arba duomenų tvarkytojas ėmėsi, kad sumažintų duomenų subjektų patirtą žalą; d) duomenų valdytojo arba duomenų tvarkytojo atsakomybės dydį, atsižvelgiant į jų pagal 25 ir 32 straipsnius įgyvendintas technines ir organizacines priemones; e) bet kuriuos to duomenų valdytojo arba duomenų tvarkytojo svarbius ankstesnius pažeidimus; f) bendradarbiavimo su priežiūros institucija siekiant atitaisyti pažeidimą ir sumažinti galimą neigiamą jo poveikį laipsnį; g) asmens duomenų, kuriems pažeidimas turi poveikį, kategorijas; h) tai, kokiu būdu priežiūros institucija sužinojo apie pažeidimą, visų pirma tai, ar duomenų valdytojas arba duomenų tvarkytojas pranešė apie pažeidimą (jei taip – kokiu mastu); i) jei atitinkamam duomenų valdytojui arba duomenų tvarkytojui dėl to paties dalyko anksčiau buvo taikytos 58 straipsnio 2 dalyje nurodytos priemonės – ar laikytasi tų priemonių; j) ar laikomasi patvirtintų elgesio kodeksų pagal 40 straipsnį arba patvirtintų sertifikavimo mechanizmų pagal 42 straipsnį; ir k) kitus sunkinančius ar švelninančius veiksnius, susijusius su konkretaus atvejo aplinkybėmis, pavyzdžiui, finansinę naudą, kuri buvo gauta, arba nuostolius, kurių buvo išvengta, tiesiogiai ar netiesiogiai dėl pažeidimo (83 straipsnio „Bendrosios administracinių baudų skyrimo sąlygos“ 2 dalis).

8. 29 straipsnio duomenų apsaugos darbo grupės Nuomonėje Nr. 4/2007 dėl asmens duomenų sąvokos, nurodyta, kad asmens duomenų sąvoka apima visus teiginius apie asmenį. Tai ir „objektyvi“ informacija, pavyzdžiui, tam tikros medžiagos buvimas asmens kraujyje, ir „subjektyvi“ informacija – nuomonės arba vertinimai. Kad informacija būtų laikoma asmens duomenimis, ji neturi būti teisinga ar įrodyta. Iš esmės duomenų apsaugos taisyklės jau numato galimybę, kad informacija gali būti neteisinga ir suteikia duomenų subjektui teisę susipažinti su informacija bei ją užginčyti naudojantis atitinkamomis priemonėmis. Kalbant apie informacijos turinį, asmens duomenų sąvoka apima duomenis, kuriais pateikiama visa galima informacija. Sąvoka „asmens duomenys“ apima informaciją, susijusią su asmens asmeniniu ir šeimos gyvenimu stricto sensu, taip pat informaciją apie visas asmens vykdomos veiklos rūšis, pavyzdžiui, asmens darbo santykius arba ekonominį ar socialinį elgesį. Taigi apima ir informaciją apie asmenis neatsižvelgiant į jų padėtį ar pareigas (kaip vartotojo, paciento, darbuotojo, kliento, kt.).

9. 29 straipsnio duomenų apsaugos darbo grupės Nuomonėje Nr. 1/2010 dėl sąvokų „duomenų valdytojas“ ir „duomenų tvarkytojas“, priimtoje 2010-02-16, nurodyta, kad trečioji šalis apibrėžiama kaip bet kuris subjektas, kuris neturi jokios konkrečios teisės ar leidimo tvarkyti asmens duomenis, pagrįsto, pavyzdžiui, jo vaidmeniu (duomenų valdytojas, duomenų tvarkytojas ar kurio nors iš jų darbuotojas). Duomenų valdytojas, duomenų tvarkytojas ir jų darbuotojai laikomi „tiesioginiais duomenų tvarkymo dalyviais“, kuriems netaikomos trečiosioms šalims skirtos specialios nuostatos.

10. Europos duomenų apsaugos valdybos Gairėse Nr. 07/2020 dėl sąvokų „duomenų valdytojas“ ir „duomenų tvarkytojas“ pagal BDAR, priimtose 2021-07-21, nurodyta, kad darbuotojai, kurie organizacijoje gali susipažinti su asmens duomenimis, paprastai nelaikomi „duomenų valdytojais“ ar „duomenų tvarkytojais“, o veikiau „duomenų valdytojui arba duomenų tvarkytojui pavaldžiais asmenimis“, kaip apibrėžta BDAR 29 straipsnyje; jei duomenų valdytojas nusprendžia tvarkyti duomenis pats, naudodamas savo organizacijos išteklius, pavyzdžiui, savo darbuotojus, tai nėra duomenų tvarkytojo atvejis. Darbuotojai ir kiti asmenys, tiesiogiai pavaldūs duomenų valdytojui, pavyzdžiui, laikinai įdarbinti darbuotojai, nelaikytini duomenų tvarkytojais, nes jie tvarkys asmens duomenis kaip duomenų valdytojo subjekto dalis; pagal 29 straipsnį jie taip pat privalo laikytis duomenų valdytojo nurodymų.

11. Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatyme (ADTAĮ) aktualiu ginčui laikotarpiu buvo nustatyta:

11.1. Kai skundas ar jo dalis pripažįstama pagrįsta, VDAI motyvuotai teikia duomenų valdytojui ir (ar) duomenų tvarkytojui nurodymus, rekomendacijas ir (ar) taiko kitas BDAR58 straipsnio 2 dalyje, šio įstatymo 33 straipsnyje ir kituose įstatymuose, reglamentuojančiuose asmens duomenų ir (ar) privatumo apsaugą, nurodytas priemones. Jei ketinama skirti administracinę baudą, atliekami šio skyriaus ketvirtajame skirsnyje nurodyti veiksmai (33 straipsnio 2 dalies 1 punktas).

11.2. Priežiūros institucija už BDAR ir šio įstatymo pažeidimus administracines baudas skiria vadovaudamasi BDAR ir šiuo įstatymu (33 straipsnio 1 dalis).

12.1. VAĮ 3 straipsnio 5 punkte yra įtvirtintas viešojo administravimo principai – išsamumo, kuris reiškia, kad viešojo administravimo subjektas į prašymą ar skundą turi atsakyti aiškiai ir argumentuotai, nurodydamas visas prašymo ar skundo nagrinėjimui įtakos turėjusias aplinkybes ir konkrečias teisės aktų nuostatas, kuriomis rėmėsi vertindamas prašymo ar skundo turinį (3 straipsnio 5 punktas).

12.2. Administraciniame sprendime turi būti nurodyta: <...> 5) administracinio sprendimo teisinis ir faktinis pagrindas ar kitos administraciniam sprendimui įtakos turėjusios aplinkybės; 6) administracinio sprendimo motyvai; <...> (10 straipsnio 5 dalis).

13. Pareiškėjo patikslinto skundo argumentai yra pateikti aukščiau šiame teismo sprendime, todėl pakartotinai nekartojami.

14. Pareiškėjas paaiškina, kad viena iš aplinkybių, kuri buvo skųsta ir detaliai aprašyta Bendrovei, bet nebuvo išnagrinėta – duomenų apsaugos procesų Bendrovėje nebuvimas.

14.1. Kaip matyti iš bylos medžiagos, pareiškėjas Bendrovei keliais elektroninio pašto adresais išsiuntė 2023-08-01 elektroninį laišką, kuriame paprašė Bendrovės inicijuoti vidinį patikrinimą Bendrovės Darbuotojo atžvilgiu dėl Darbuotojo elgesio, veiksmų, nesusijusių su Bendrovės veikla, jos teikiamomis paslaugomis. Pareiškėjas 2023-08-01 elektroniniame laiške pateikė informaciją ne tik apie patį Bendrovės Darbuotoją, bet ir jo vaiką, t. y. kad Bendrovės Darbuotojas įvairiose Facebook grupėse nuolat tyčiojosi iš žmonių, grasino jiems, kad galimai Bendrovės Darbuotojo vaikas nužudė balandį kelių žmonių, įskaitant vaikus, akivaizdoje, o Bendrovės Darbuotojas pritarė, skatino tokį vaiko elgesį.

14.2. Taigi, atsižvelgiant į BDAR 4 straipsnio 1 punktą, 29 straipsnio duomenų apsaugos darbo grupės Nuomonę Nr. 4/2007, darytina išvada, kad pareiškėjo Bendrovei išsiųstame 2023-08-01 elektroniniame laiške buvo pateikti Bendrovės Darbuotojo asmens duomenys apie jį ir jo šeimos narį, apie galimai neetišką Bendrovės Darbuotojo elgesį, Bendrovės Darbuotojo galimai padarytus teisės pažeidimus, visiškai nesusijusius su Bendrovės veikla, teikiamomis paslaugomis.

14.3. Kaip nurodo pareiškėjas, 2023-08-31 uždaroje Facebook vietos bendruomenės grupėje pasirodė įrašas, prie kurio buvo pridėta pareiškėjo 2023-08-01 elektroninio laiško kopija. Šį įrašą paskelbė Bendrovės Darbuotojo žmona.

14.4. Kaip matyti iš bylos medžiagos, Bendrovės elektroninio pašto adresu (duomenys neskelbiami) pareiškėjo atsiųstas 2023-08-01 el. laiškas Bendrovės klientų aptarnavimo specialistės buvo persiųstas tiesioginiam Bendrovės Darbuotojo vadovui ir pačiam Darbuotojui. Teismo vertinimu, atsižvelgiant į pareiškėjo 2023-08-01 el. laiško turinį, Bendrovės Darbuotojo tiesioginis vadovas, Darbuotojas turėjo teisę susipažinti su pareiškėjo 2023-08-01 el. laišku, jį gauti. Bendrovės Darbuotojas šiuo konkrečiu atveju nelaikytinas duomenų tvarkytoju, duomenų gavėju ar trečiąja šalimi (pagal BDAR 4 straipsnio 8, 9, 10 punktus). Šiuo atveju Bendrovės Darbuotojas, visų pirma, yra duomenų subjektas, nes 2023-08-01 elektroniniame laiške yra pateikti jo asmens duomenys. Teismo vertinimu, pareiškėjo 2023-08-01 el. laiškas, atsižvelgiant į jo turinį, visa apimtimi (taigi ir jame nurodyti pareiškėjo asmens duomenys) galėjo būti pateiktas Bendrovės Darbuotojui vadovaujantis BDAR 6 straipsnio 1 dalies f punktu, atsižvelgiant, be kita ko, į BDAR preambulės 4 punkto nuostatas, kad teisė į duomenų apsaugą nėra absoliuti, kad BDAR paisoma teisės į privatų ir šeimos gyvenimą, teisės į veiksmingą teisinę gynybą. Teismo vertinimu, šiuo konkrečiu atveju nebuvo pažeisti BDAR 5 straipsnio a, c, f punktai.

14.6. Teismo vertinimu, šie pareiškėjo argumentai atmestini kaip nepagrįsti. Visų pirma dėl to, kad nuotrauką galima daryti ir taip, kad nebūtinai būtų nufotografuoti persiųsto laiško laukeliai „TO (KAM), FORM (NUO) bei subject (temos) eilutė“. Antra, šiuo atveju esminis momentas yra tas, kad Bendrovės Darbuotojas kaip duomenų subjektas, kurio asmens duomenis pareiškėjas pateikė 2023-08-01 elektroniniame laiške, kaip asmuo, nurodomas kaip galimai atlikęs neetiškus veiksmus, teisės pažeidimus, turėjo teisę su juo susipažinti ir šiuo atveju neturi esminės reikšmės tai, ar Bendrovės Darbuotojui pareiškėjo 2023-08-01 el. laiškas buvo persiųstas naudojant funkciją „persiųsti“, ar kaip elektroninio laiško, adresuoto Bendrovės Darbuotojui, priedas, ar pateiktas atspausdintas.

14.7. Teismo vertinimu, nėra pagrindo sutikti su pareiškėjo argumentu, kad Inspekcija neatliko savo funkcijos atlikti tyrimą ir nustatyti, ar duomenų saugojimo procesai egzistuoja ir kokiu būdu laiškas, siųstas į dėžutę (duomenys neskelbiami) buvo perimtas.

15. Pareiškėjas paaiškina, kad viena iš aplinkybių, kuri buvo skųsta ir detaliai aprašyta Bendrovei, bet nebuvo išnagrinėta – asmens duomenų kopijos pasidarymas galimai mobiliuoju prietaisu.

15.1. Teismo vertinimu, be kita ko, atsižvelgiant į šio teismo sprendimo 14.6 papunktyje išdėstytus motyvus, nėra pagrįstų argumentų teigti, kad Bendrovės Darbuotojas negalėjo pasidaryti pareiškėjo 2023-08-01 el. laiško kopijos mobiliuoju prietaisu.

16. Pareiškėjas paaiškina, kad viena iš aplinkybių, kuri buvo skųsta ir detaliai aprašyta Bendrovei, bet nebuvo išnagrinėta – duomenų perdavimas trečiosioms šalims.

16.1. Dėl pareiškėjo patikslintame skunde pateiktų argumentų, susijusių su duomenų perdavimu trečiosioms šalims, teismas pažymi, kad, kaip minėta, Bendrovės Darbuotojas, kuriam Bendrovė pateikė pareiškėjo 2023-08-01 el. laišką, nėra trečioji šalis. Pareiškėjo Bendrovei išsiųstame 2023-08-01 elektroniniame laiške buvo pateikti Bendrovės Darbuotojo asmens duomenys apie jį ir jo šeimos narį, apie galimai neetišką Bendrovės Darbuotojo elgesį, Bendrovės Darbuotojo galimai padarytus teisės pažeidimus, nesusijusius su Bendrovės veikla, jos teikiamomis paslaugomis. Pareiškėjo 2023-08-01 el. laiškas Bendrovės Darbuotoju, atsižvelgiant į laiško turinį, bylos medžiagą buvo pateiktas ne Bendrovės Darbuotojo darbinių funkcijų vykdymui. Dėl pareiškėjo patikslintame skunde nurodytų asmenų, kuriems pareiškėjo asmens duomenys (vardas, pavardė, el. pašto adresas) su jo 2023-08-01 el. laišku buvo pateikti už Bendrovės ribų, teismas pažymi, kad, kaip matyti iš pareiškėjo patikslinto skundo, bylos medžiagos, nėra pagrindo daryti išvadą, kad pareiškėjo 2023-08-01 el. laiškas su jame nurodytais pareiškėjo asmens duomenimis Bendrovės Darbuotojo sutuoktinei, Žurnalistų etikos komisijai buvo perduotas pačios Bendrovės. Pareiškėjas patikslintame skunde nurodo, kad yra pavyzdžių, kad Bendrovės Darbuotojas pareiškėjo duomenis naudojo ir perdavė kitoms trečiosioms šalims. Teismas pažymi, kad, atsižvelgiant į bylos medžiagą, VDAI ginčijamame Sprendime neturėjo būti tiriama, ar Bendrovės Darbuotojas perdavė ir jeigu perdavė, tai kokiems asmenims perdavė pareiškėjo 2023-08-01 el. laišką su jame nurodytais pareiškėjo asmens duomenims.

17. Pareiškėjas patikslintame skunde paaiškino, kad už ginčijamame Sprendime konstatuotą pažeidimą Bendrovei nebuvo skirta bauda.

17.1. Teismas, įvertinęs ginčijamame VDAI Sprendime konstatuotą Bendrovės padarytą pažeidimą, jo pobūdį, atsižvelgdamas į BDAR 58 straipsnio 2 dalies, 83 straipsnio 2 dalies nuostatas, ADTAĮ 31 straipsnio 2 dalies 1 punkto, 32 straipsnio 1 dalies nuostatas, pažymi, kad šiuo atveju pareiškėjo patikslintame skunde pateikti argumentai nesudaro pagrindo vertinti, kad VDAI Bendrovei turėjo skirti baudą.

18. Teismas, atsižvelgdamas į išdėstytą, daro išvadą, kad pareiškėjo skundo reikalavimas įpareigoti VDAI atsakyti/išnagrinėti praleistas skundo dalis dėl duomenų apsaugos proceso nebuvimo išeinantiems laiškams, laiško su asmeniniais duomenimis kopijos pasidarymo, duomenų perdavimo trečiosioms šalims (taip pat įpareigoti Bendrovę informuoti pareiškėją apie trečiąsias šalis, kurioms jo duomenys buvo perduoti) atmestinas kaip nepagrįstas. Pareiškėjo patikslinto skundo reikalavimas įpareigoti VDAI skirti baudą Bendrovei už pažeidimus, kurie buvo nustatyti, taip pat atmestinas kaip nepagrįstas.

19. Proceso dalyviai procesiniuose dokumentuose išdėstė daugiau argumentų, tačiau, teismo vertinimu, jie nėra esminiai sprendžiant šią administracinę bylą ir niekaip nekeičia šiame sprendime padarytos išvados, todėl teismas jų nenagrinės. Šiame kontekste paminėtina, kad Europos Žmogaus Teisių Teismo (toliau – ir EŽTT) ir Lietuvos vyriausiojo administracinio teismo (toliau – ir LVAT) praktikoje ne kartą pažymėta, jog teismo pareiga pagrįsti priimtą spendimą neturėtų būti suprantama kaip reikalavimas detaliai atsakyti į kiekvieną argumentą (EŽTT 1994 m. balandžio 19 d. sprendimas V. de H. prieš Olandiją; 1997 m. gruodžio 19 d. sprendimas H. prieš Suomiją; 2011 m. lapkričio 14 d. LVAT administracinė byla Nr. A261-3555/2011).

Rezoliucinė dalis

Teismas, vadovaudamasis Lietuvos Respublikos administracinių bylų teisenos įstatymo 84 straipsniu, 86–87 straipsniais, 88 straipsnio 1 ir 2 punktais, 132 straipsnio 1 dalimi, 133 straipsniu,

nusprendžia:

Pareiškėjo M. M. patikslintą skundą atmesti.

Sprendimas per 30 (trisdešimt) kalendorinių dienų nuo jo paskelbimo dienos gali būti skundžiamas Lietuvos vyriausiajam administraciniam teismui, apeliacinį skundą paduodant per Regionų administracinį teismą.