Klaipėdos apygardos teismo nutartis, AN2-185-557/2021

Teismas: Klaipėdos apygardos teismas
Dokumentas: Nutartis
Data: 2021-06-17
Bylos Nr.: AN2-185-557/2021
Teisminio proceso Nr.: 4-46-3-00071-2021-0
Bylos rūšis: administracinių teisės pažeidimų/administracinių nusižengimų byla
Instancija: Apeliacinė instancija
Rezultatas: Palikti apylinkės teismo nutarimą (nutartį) nepakeistą ir apeliacinio skundo netenkinti

Teisėjas: Linas Pauliukėnas (pirm.)
Institucija: Tauragės apskrities vyriausiasis policijos komisariatas

Kategorijos

Administracinio nusižengimo byla Nr. AN2-185-557/2021Teisminio proceso Nr. 4-46-3-00071-2021-0Procesinio sprendimo kategorijos: 17.17; 21.1.5; 21.11.9; 21.11.10 (S)

KLAIPĖDOS APYGARDOS TEISMASNUTARTISLIETUVOS RESPUBLIKOS VARDU2021 m. birželio 17 d.Klaipėda

Klaipėdos apygardos teismo Baudžiamųjų bylų skyriaus teisėjas Linas Pauliukėnas

teismo posėdyje apeliacine rašytinio proceso tvarka išnagrinėjo Tauragės apskrities vyriausiojo policijos komisariato (toliau ir – Tauragės apskrities VPK, Institucija) apeliacinį skundą dėl Tauragės apylinkės teismo Tauragės rūmų 2021 m. balandžio 22 d. nutarties.

Aprašomoji dalis

Teismas nustatė:

I. Bylos esmė

1. 2021-03-04 T. B., kaip UAB „(duomenys neskelbtini)“ direktoriui, surašytas administracinio nusižengimo protokolas, kuriame nurodyta, kad 2021-02-04 Lietuvos kriminalinės policijos biuras UAB ,,(duomenys neskelbtini)“ pateikė nurodymą, patvirtintą Vilniaus miesto apylinkės teismo nutartimi Nr. PP-26-1011/2021, per 48 valandas, tai yra iki 2021-02-06, pašalinti kenkėjišką programinę įrangą, asocijuojamą su užkrėstu kompiuterių tinklu, esančią tarnybinėje stotyje ar kitame įrenginyje IP adresu (duomenys neskelbtini) Juridinio asmens UAB ,,(duomenys neskelbtini)“ direktorius T. B. Lietuvos kriminalinės policijos biuro nurodymo taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis, neįvykdė, tokiais savo veiksmais pažeidė Lietuvos Respublikos kibernetinio saugumo 2014-12-11 įstatymo Nr. XII-1428 (toliau – ir Kibernetinio saugumo įstatymas, KSĮ) 11 straipsnio 4 dalį. Tokie UAB ,,(duomenys neskelbtini)“ direktoriaus T. B. veiksmai administracinio nusižengimo protokole kvalifikuoti pagal Lietuvos Respublikos administracinių nusižengimų kodekso (toliau – ANK) 480 straipsnio 1 dalį.

2. Tauragės apskrities vyriausiojo policijos komisariato Veiklos skyriaus (toliau ir – Tauragės apskrities VPK, Institucija) 2021-03-04 nutarimu administracinio nusižengimo byloje Nr. 85-ANR_N-533-2021 T. B., UAB „(duomenys neskelbtini)“ direktorius, pripažintas kaltu padaręs administracinį nusižengimą, numatytą ANK 480 straipsnio 1 dalyje, ir jam paskirta administracinė nuobauda – įspėjimas.

Šalies argumentai

3. Nesutikdamas su Institucijos 2021-03-04 nutarimu, administracinėn atsakomybėn patrauktas T. B. kreipėsi su skundu į Tauragės apylinkės teismą, prašydamas šį nutarimą panaikinti ir administracinio nusižengimo teiseną jam nutraukti, nurodydamas, kad UAB ,,(duomenys neskelbtini)“ teiktas nurodymas per 48 valandas nuo nurodymo gavimo pašalinti kenkėjišką programinę įrangą, asocijuojamą su užkrėstu kompiuterių tinklu, esančią tarnybinėje stotyje arba kitame galiname įrenginyje IP adresu (duomenys neskelbtini), yra neįgyvendinamas, kadangi prieiga, kurios IP adresas yra (duomenys neskelbtini), priklauso įmonės klientui – fiziniam asmeniui, o ne UAB ,,(duomenys neskelbtini)“. Kenkėjiška programinė įranga (virusas ,,conficker“) šiuo atveju buvo ne UAB ,,(duomenys neskelbtini)“ atsakomybės ribose esančioje tarnybinėje stotyje, bet įmonės galutinio kliento įrenginyje (pvz., kompiuteryje ar išmaniajame telefone, ar televizoriuje). Todėl UAB ,,(duomenys neskelbtini)“ nei teisiškai, nei fiziškai negalėjo įvykdyti privalomo nurodymo.

Žemesnės instancijos teismas

4. Skundžiama 2021-04-22 nutartimi Tauragės apylinkės teismas T. B. skundą patenkino – panaikino Tauragės apskrities VPK 2021-03-04 nutarimą administracinio nusižengimo byloje Nr. 85-ANR_N-533-2021 ir administracinio nusižengimo teiseną T. B. nutraukė, nesant jo veiksmuose administracinio nusižengimo sudėties. Teismas konstatavo, kad byloje nėra T. B. kaltę pagrindžiančių įrodymų, nebuvo atliktas visapusiškas ir objektyvus aplinkybių ištyrimas, neatsižvelgta į teiktus paaiškinimus. Institucija, priimdama skundžiamą nutarimą, neteisingai vertino faktines bylos aplinkybes, netinkamai taikė materialinės teisės normas ir neteisingai bei nepagrįstai kvalifikavo T. B. veiką pagal ANK 480 straipsnio 1 dalį ir Lietuvos Respublikos kibernetinio saugumo įstatymo 11 straipsnio 4 dalį, nesant tyčios ir administracinio nusižengimo sudėties požymių.

II. Apeliacinio skundo argumentai

5. Apeliaciniu skundu Tauragės apskrities VPK prašo panaikinti Tauragės apylinkės teismo 2024-04-22 nutartį ir priimti naują sprendimą.

5.1. Institucijos nuomone, Tauragės apylinkės teismas, priimdamas sprendimą panaikinti Tauragės apskrities VPK 2021-03-04 nutarimą Nr. 85-ANR_N-533-2021 ir administracinio nusižengimo teiseną T. B. nutraukti, nesant jo veiksmuose administracinio nusižengimo sudėties, neteisingai interpretavo „skaitmeninių paslaugų“ sąvoką, apibrėžtą Lietuvos Respublikos kibernetinio saugumo įstatymo (toliau – ir KSĮ) 2 straipsnio 16 dalyje, priskiriant UAB „(duomenys neskelbtini)“ teikiamas paslaugas prie skaitmeninių paslaugų teikėjo teikiamų paslaugų, kuriems yra netaikomas KSĮ 11 straipsnio, taip pat ir 11 straipsnio 1 dalies 4 punkto nuostatos. KSĮ 11 straipsnio 2 dalyje nurodyta, kad KSĮ 11 straipsnio nuostatos netaikomos skaitmenines paslaugas Lietuvos Respublikoje ir (arba) kitoje Europos Sąjungos valstybėje narėje teikiančioms mažoms ir labai mažoms įmonėms, kurios yra apibrėžtos Smulkiojo ir vidutinio verslo plėtros įstatyme.

5.2. KSĮ 2 straipsnio 16 dalyje skaitmeninės paslaugos apibrėžiamos kaip ryšių ir informacinėmis technologijomis grindžiama paslaugų grupė, apimanti elektroninės prekyvietės, paieškos internete ir (arba) debesijos paslaugas. KSĮ 2 straipsnio 16 dalyje nurodytas baigtinis paslaugų sąrašas, kuris priskirtinas skaitmeninėms paslaugoms. Šios paslaugos taip pat apibrėžtos KSĮ 2 straipsnio 1, 3 ir 12 dalyse.

5.3. KSĮ 2 straipsnio 1 dalyje nurodyta, kad debesijos paslaugos – paslaugos, kurių gavėjai nuotoliniu būdu naudojasi šių paslaugų teikėjų valdoma ryšių ir informacinių sistemų infrastruktūra.

5.4. KSĮ 2 straipsnio 3 dalyje nurodyta, kad Elektroninės prekyvietės paslauga – paslauga, kuria sudaromos sąlygos vartotojams ir (arba) komercinės veiklos subjektams sudaryti elektroninės prekybos ar paslaugų sutartis su komercinės veiklos subjektais elektroninės prekyvietės svetainėje arba komercinės veiklos subjekto svetainėje, kurioje naudojamasi elektroninės prekyvietės teikiamomis kompiuterijos paslaugomis.

5.5. KSĮ 2 straipsnio 12 dalyje nurodyta, kad paieškos internete paslauga – paslauga, kuria interneto vartotojams sudaromos sąlygos atlikti paiešką svetainėse pagal kokio nors dalyko užklausą, vartojant raktinį žodį, frazę arba kitus įvesties duomenis. Atlikus paiešką pateikiamos nuorodos, kuriose gali būti su ieškomu turiniu susijusios informacijos.

5.6. KSĮ 2 straipsnio 19 dalyje taip pat minima, kad kitos KSĮ vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos kituose teisės aktuose, iš jų ir Lietuvos Respublikos elektroninių ryšių įstatyme (toliau – ir ERĮ).

5.7. Pažymėtina, kad UAB „(duomenys neskelbtini)“ neteikia KSĮ 2 straipsnio 1, 3 ir 12 dalyse nurodytų paslaugų, todėl negali būti priskirta prie skaitmeninių paslaugų teikiančių įmonių. Veikla, t. y. skaitmeninės televizijos ir interneto paslaugų teikimas priskirtinas prie elektroninių ryšių veiklos, t. y. elektroninių ryšių tinklų ir (ar) paslaugų teikimo, kurios apibrėžtos ERĮ 3 straipsnio 15, 16 ir 19 dalyse.

5.8. ERĮ 3 straipsnio 15 dalyje nurodyta, kad elektroninių ryšių paslauga – paprastai už atlygį teikiama paslauga, kurią visiškai ar daugiausia sudaro signalų perdavimas elektroninių ryšių tinklais, įskaitant telekomunikacijų paslaugas ir perdavimo (siuntimo) paslaugas transliavimui (retransliavimui) naudojamais tinklais. Elektroninių ryšių paslaugos neapima elektroninių ryšių tinklais ar naudojant elektroninių ryšių paslaugas perduodamos informacijos turinio teikimo ar redakcinės turinio kontrolės paslaugų, tarp jų informacinės visuomenės paslaugų, kurių visiškai ar daugiausia nesudaro signalų perdavimas elektroninių ryšių tinklais.

5.9. ERĮ 3 straipsnio 16 dalyje nurodyta, kad elektroninių ryšių tinklas – perdavimo sistemos ir (arba) komutavimo bei maršruto parinkimo įranga, kitos priemonės, įskaitant pasyviuosius tinklo elementus, leidžiančios perduoti signalus laidinėmis, radijo, optinėmis ar kitomis elektromagnetinėmis priemonėmis, įskaitant palydovinius tinklus, fiksuotuosius (kanalų ir paketų komutavimo, įskaitant internetą) ir judriuosius antžeminius tinklus, elektros perdavimo kabelines sistemas (kiek jos naudojamos signalams perduoti), tinklus, naudojamus radijo ir (arba) televizijos programoms transliuoti (retransliuoti), ir kabelinės televizijos bei mikrobangų daugiakanalės televizijos tinklus neatsižvelgiant į perduodamos informacijos pobūdį.

5.10. ERĮ 3 straipsnio 19 dalyje nurodyta, kad elektroninių ryšių veikla – elektroninių ryšių tinklų ir (arba) paslaugų teikimas.

5.11. UAB „(duomenys neskelbtini)“ veikla – spartaus šviesolaidinio ir belaidžio interneto paslaugų bei skaitmeninės televizijos tiekimas galutiniams klientams – nėra priskiriama prie skaitmeninių paslaugų, o yra elektroninio ryšio paslauga, o UAB „(duomenys neskelbtini)“ yra elektroninių ryšių paslaugų teikėjas, todėl šiai bendrovei yra taikomos KSĮ 11 straipsnio 1 dalies nuostatos.

5.12. KSĮ 2 straipsnio 8 dalyje yra apibrėžiama, kad kibernetinio saugumo subjektas – subjektas, valdantis ir (arba) tvarkantis valstybės informacinius išteklius, ypatingos svarbos informacinės infrastruktūros valdytojas, viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų, elektroninės informacijos prieglobos paslaugų ir skaitmeninių paslaugų teikėjas.

5.13. UAB „(duomenys neskelbtini)“ yra kibernetinio saugumo subjektas ir jai yra taikomos KSĮ 11 straipsnio 1 dalies 1 punkto nuostatos, t. y. ši bendrovė atsako už jos valdomų ryšių ir informacinių sistemų ar teikiamų paslaugų kibernetinį saugumą, užtikrina jų atitiktį organizaciniams ir techniniams kibernetinio saugumo reikalavimams, taikomiems kibernetinio saugumo subjektams.

5.14. KSĮ 10 straipsnio 1 dalies 3 pastraipoje yra nurodyta, kad policija turi teisę, kai paslaugų gavėjas galbūt dalyvauja ar jo naudojama ryšių ir informacinių technologijų įranga galbūt yra naudojama nusikalstamai veikai, be teismo sankcijos duoti nurodymą viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjui, elektroninės informacijos prieglobos paslaugų teikėjui ir skaitmeninių paslaugų teikėjui ne ilgiau kaip 48 valandoms, o ilgesniam laikui – su apylinkės teismo sankcija apriboti viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų, elektroninės informacijos prieglobos paslaugų ir skaitmeninių paslaugų teikimą paslaugų gavėjui ir (arba) nurodyti taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis. Šiais atvejais apylinkės teismo pirmininkui ar jo įgaliotam teisėjui pateikiamas teikimas dėl veiksmų teisėtumo ar pagrįstumo patvirtinimo motyvuota nutartimi. Jeigu šiame punkte nurodytas paslaugų teikimo apribojimo terminas baigiasi poilsio ar švenčių dieną, teikimas pateikiamas ne vėliau kaip kitą darbo dieną po poilsio ar švenčių dienos. Jeigu teisėjas motyvuota nutartimi nepatvirtina teikime nurodytų veiksmų teisėtumo ar pagrįstumo, nurodymas nedelsiant stabdomas.

5.15. IP adresas (duomenys neskelbtini) yra priskirtas paslaugų gavėjui, kuriam UAB „(duomenys neskelbtini)“ teikia elektroninio ryšio paslaugą, todėl nurodymas per 48 valandas nuo nurodymo gavimo taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis, buvo pateiktas, kaip ir nurodo KSĮ. Taip pat minėtas nurodymas buvo patvirtintas Vilniaus miesto apylinkės teismo nutartimi Nr. PP-26-1011/2021.

5.16. KSĮ 10 straipsnio 1 dalies 2 pastraipoje taip pat yra nurodyta, kad Policija nustato kibernetinio saugumo subjektams informacijos, reikalingos kibernetiniams incidentams, galbūt turintiems nusikalstamų veikų požymių, užkardyti ir tirti, pateikimo policijai tvarką. Minėta tvarka numatyta Lietuvos policijos generalinio komisaro 2015-02-02 įsakyme Nr. 5-V-101 (pakeistas 2018-02-19 įsakymu Nr. 5-V-165) dėl informacijos, reikalingos kibernetiniams incidentams, galbūt turintiems nusikalstamos veikos požymių, užkardyti ir tirti, pateikimo, policijos nurodymų vykdymo bei kibernetinių incidentų tyrimo tvarkos apraše (toliau – ir Aprašas).

5.17. Aprašo 13 dalyje nurodyta, jog nustačius, kad kibernetiniam incidentui, galbūt turinčiam nusikalstamos veikos požymių, užkardyti ar ištirti reikia apriboti elektroninių paslaugų teikimą gavėjui, kai paslaugų gavėjas ar jo naudojama informacinė ir ryšių technologijų įranga galbūt dalyvauja nusikalstamoje veikoje, ir (arba) nurodyti elektroninių paslaugų teikėjui taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis, iniciatorius kreipiasi į elektroninių paslaugų teikėją pateikdamas nustatytos formos nurodymą (3 priedas), patvirtintą LKPB viršininko ar jo pavaduotojo. Nurodymas pateikiamas elektroninėmis ryšio priemonėmis (el. paštu, faksu ar pan.). Nurodymą teikiant elektroniniame dokumente, jis turi būti pasirašytas kvalifikuotu elektroniniu parašu.

5.18. Aprašo 17 dalyje nurodyta, kad elektroninių paslaugų teikėjas apie policijos duoto nurodymo įvykdymą informuoja iniciatorių, pateikdamas nustatytos formos pranešimą dėl nurodymo įvykdymo (5 priedas). Nustatytos formos nurodymo (Aprašo 3 priedas) įvykdymas suponuoja kliento, kurio galinio tinklo įrenginyje esanti programinė (aparatinė) įranga galbūt yra naudojama nusikalstamai veiklai daryti, informavimo, nustatytos formos pranešimo užpildymą (Aprašo 5 priedas) ir jo pateikimą policijai.

5.19. UAB „(duomenys neskelbtini)“ atstovo minimo patekimo pas klientą į jo privačias patalpas ir teisių į privatų gyvenimą pažeidimo nurodymo įvykdymas nereikalauja, maža to, būtų neteisėtas.

5.20. 2021-03-04 Lietuvos kriminalinės policijos biuras UAB „(duomenys neskelbtini)“ pateikė nurodymą per 48 valandas nuo nurodymo gavimo – iki 2021-03-06 taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis, kurių tikslas buvo pašalinti kenkėjišką programinę įrangą, asocijuojamą su užkrėstu kompiuterių tinklu esančia tarnybinėje stotyje arba kitame galiniame įrenginyje IP adresu (duomenys neskelbtini) (pažeidimas conficker).

5.21. Taip pat buvo nurodytos rekomendacijos dėl pašalinimo adresu (duomenys neskelbtini), kurios padėtų aptikti kenkėjišką programinę įrangą galinio tinklo įrenginyje. IP adresas (duomenys neskelbtini) yra administruojamas UAB „(duomenys neskelbtini)“, kaip elektroninių paslaugų teikėjo, o vartotojas yra tik elektroninių paslaugų gavėjas.

5.22. UAB „(duomenys neskelbtini)“ turėjo pranešti klientui, kad jo galiniame tinklo įrenginyje esanti programinė įranga galbūt yra naudojama nusikalstamai veikai, ir nurodyti ją pašalinti ir, tik paprašius klientui, padėti jam tai padaryti. Tai buvo paaiškinta telefoninio pokalbio su UAB „(duomenys neskelbtini)“ atstovu, nurodant, kuriais teisiniais aktais yra vadovaujamasi, tačiau atstovas pareiškė, kad jie nieko daryti neturi. Apie pateikto nurodymo įvykdymą UAB „(duomenys neskelbtini)“ turėjo informuoti pranešimu dėl nurodymo įvykdymo, tačiau toks pranešimas tyrimo eigoje gautas nebuvo.

5.23. Tai, jog UAB „(duomenys neskelbtini)“ gavo minėtą nurodymą ir nesiėmė jokių veiksmų ir kad nurodymas nebuvo įvykdytas, patvirtina 2021-02-15 iš elektroninio pašto adreso (duomenys neskelbtini) gautas elektroninis laiškas ir 2021-02-19 Lietuvos kriminalinės policijos biure gautas raštas Nr. 38-G-1743.

5.24. Tauragės apskrities VPK nuomone, pirmosios instancijos teismas, 2021-04-22 priimdamas nutartį, neatsižvelgė į anksčiau išdėstytas aplinkybes, kurios, Institucijos teigimu, patvirtina, kad juridinio asmens – UAB „(duomenys neskelbtini)“ – vadovas T. B. pažeidė KSĮ 11 straipsnio 4 dalį, tuo padarydamas administracinį nusižengimą, numatytą ANK 480 straipsnio 1 dalyje.

5.25. Konstatuotina, kad Tauragės apylinkės teismas neobjektyviai, nevisapusiškai įvertino administracinio nusižengimo bylos aplinkybes, todėl skundžiama nutartis turi būti panaikinta kaip nepagrįsta ir neteisėta.

Motyvuojamoji dalis

III. Apeliacinės instancijos teismo argumentai ir išvados

6. Apeliacinis skundas atmestinas.

7. Pagal ANK 652 straipsnio 1 dalį apygardos teismas, nagrinėdamas bylą dėl apeliacinio skundo administracinio nusižengimo byloje, patikrina priimto nutarimo (nutarties) teisėtumą ir pagrįstumą. Iš Tauragės apskrities VPK apeliacinio skundo turinio matyti, kad Institucija nesutinka su pirmosios instancijos teismo padaryta išvada, jog T. B. veika pagal ANK 480 straipsnio 1 dalį ir Lietuvos Respublikos kibernetinio saugumo įstatymo 11 straipsnio 4 dalį kvalifikuota neteisingai ir nepagrįstai, nesant kaltės ir kitų administracinio nusižengimo sudėties požymių. Institucija pažymi, kad 2021-03-04 Lietuvos kriminalinės policijos biuras UAB „(duomenys neskelbtini)“ pateikė nurodymą per 48 valandas nuo nurodymo gavimo, tai yra iki 2021-03-06 taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis, kurių tikslas buvo pašalinti kenkėjišką programinę įrangą, asocijuojamą su užkrėstu kompiuterių tinklu, esančią tarnybinėje stotyje arba kitame galiniame įrenginyje IP adresu (duomenys neskelbtini) (pažeidimas conficker). Taip pat UAB „(duomenys neskelbtini)“ buvo nurodytos rekomendacijos dėl pašalinimo adresu (duomenys neskelbtini), kurios padėtų aptikti kenkėjišką programinę įrangą galinio tinklo įrenginyje. IP adresas (duomenys neskelbtini) yra administruojamas UAB „(duomenys neskelbtini)“, kaip elektroninių paslaugų teikėjos, o vartotojas yra tik elektroninių paslaugų gavėjas. Tačiau UAB „(duomenys neskelbtini)“, gavusi nurodymą, jokių veiksmų nesiėmė, tokiais savo veiksmais (neveikimu) šios įmonės vadovas T. B., Institucijos teigimu, pažeidė KSĮ 11 straipsnio 4 dalies nuostatas ir padarė administracinį nusižengimą, numatytą ANK 480 straipsnio 1 dalyje. Sutikti su šiais Institucijos apeliacinio skundo argumentais nėra pagrindo.

8. Apygardos teismo vertinimu, pagal bylos duomenis ir Institucijos apeliaciniame skunde nurodytus argumentus nėra pagrindo pripažinti, kad pirmosios instancijos teismas, priimdamas sprendimą panaikinti Tauragės apskrities VPK 2021-03-04 nutarimą administracinio nusižengimo byloje Nr. 85-ANR_N-533-2021 ir administracinio nusižengimo teiseną T. B. nutraukti, nesant jo veiksmuose administracinio nusižengimo sudėties, neteisingai įvertino bylos duomenis ir priėmė neteisingą ir nepagrįstą procesinį sprendimą.

9. Pasak Institucijos, UAB „(duomenys neskelbtini)“ yra elektroninių ryšių paslaugų teikėjas, todėl šiai bendrovei yra taikomos Kibernetinio saugumo įstatymo 11 straipsnio 1 dalies 1 punkto nuostatos, t. y. ši bendrovė atsako už jos valdomų ryšių ir informacinių sistemų ar teikiamų paslaugų kibernetinį saugumą, užtikrina jų atitiktį organizaciniams ir techniniams kibernetinio saugumo reikalavimams, taikomiems kibernetinio saugumo subjektams. IP adresas (duomenys neskelbtini) yra priskirtas paslaugų gavėjui, kuriam UAB „(duomenys neskelbtini)“ teikia elektroninio ryšio paslaugą, todėl nurodymas, kuris buvo patvirtintas Vilniaus miesto apylinkės teismo nutartimi Nr. PP-26-1011/2021, per 48 valandas nuo nurodymo gavimo taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis, kurių tikslas buvo pašalinti kenkėjišką programinę įrangą, asocijuojamą su užkrėstu kompiuterių tinklu, esančią tarnybinėje stotyje arba kitame galiniame įrenginyje IP adresu (duomenys neskelbtini) (pažeidimas conficker), buvo pateiktas, kaip ir nurodo KSĮ. Tačiau UAB „(duomenys neskelbtini)“ vadovas T. B. nesiėmė jokių veiksmų, kad nurodymas būtų įvykdytas, tuo, Institucijos teigimu, pažeidė KSĮ 11 straipsnio 4 dalies nuostatas ir padarė administracinį nusižengimą, numatytą ANK 480 straipsnio 1 dalyje.

Žemesnės instancijos teismas

10. T. B. tiek savo skunde apylinkės teismui, tiek atsiliepime į Institucijos apeliacinį skundą nurodė, kad jo vadovaujamai bendrovei pateiktas nurodymas per 48 valandas nuo nurodymo gavimo pašalinti kenkėjišką programinę įrangą, asocijuojamą su užkrėstu kompiuterių tinklu, esančią tarnybinėje stotyje arba kitame galiname įrenginyje IP adresu (duomenys neskelbtini), yra neįgyvendinimas, kadangi prieiga, kurios IP adresas yra (duomenys neskelbtini), priklauso įmonės klientui – fiziniam asmeniui, o ne UAB ,,(duomenys neskelbtini)“. Kenkėjiška programinė įranga (virusas ,,conficker“) šiuo atveju buvo ne UAB ,,(duomenys neskelbtini)“ atsakomybės ribose esančioje tarnybinėje stotyje, bet įmonės galutinio kliento įrenginyje (pvz. kompiuteryje ar išmaniajame telefone, ar televizoriuje), todėl UAB ,,(duomenys neskelbtini)“ nei teisiškai, nei fiziškai negalėjo įvykdyti privalomo nurodymo.

11. Pasak Institucijos, IP adresas (duomenys neskelbtini) yra priskirtas paslaugų gavėjui, kuriam UAB „(duomenys neskelbtini)“ teikia elektroninio ryšio paslaugą, todėl nurodymas per 48 valandas nuo nurodymo gavimo taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis, buvo pateiktas, kaip ir nurodo KSĮ. UAB „(duomenys neskelbtini)“ turėjo pranešti klientui, kad jo galiniame tinklo įrenginyje esanti programinė įranga galbūt yra naudojama nusikalstamai veikai ir nurodyti ją pašalinti ir, tik paprašius klientui, padėti jam tai padaryti. Apygardos teismo nuomone, toks Institucijos situacijos vertinimas nagrinėjamu atveju yra nepagrįstas.

Žemesnės instancijos teismas

12. Byloje nustatyta, kad prieiga, kurios IP adresas yra (duomenys neskelbtini), priklauso ne UAB ,,(duomenys neskelbtini)“, o šios įmonės klientui – fiziniam asmeniui. Kenkėjiška programinė įranga – virusas conficker – buvo aptikta įmonės kliento konkrečiai neidentifikuotame galiniame įrenginyje (galimai kompiuteryje, išmaniajame telefone, televizoriuje ir pan.), o ne UAB ,,(duomenys neskelbtini)“ atsakomybės ribose esančioje tarnybinėje stotyje. Todėl sutiktina su T. B. skunde apylinkės teismui ir atsiliepime į Institucijos apeliacinį skundą apygardos teismui nurodyta pozicija, kad jo vadovaujama įmonė UAB ,,(duomenys neskelbtini)“ nei fiziškai, nei teisiškai negalėjo įvykdyti privalomojo nurodymo pašalinti kenkėjišką programinę įrangą, asocijuojamą su užkrėstu kompiuterių tinklu, esančią galiname įrenginyje IP adresu (duomenys neskelbtini), kuris priklauso įmonės klientui, t. y. identifikuoti, paimti kliento įrenginį ir pašalinti kenkėjišką programinę įrangą – virusą conficker.

13. Tai, kad IP adresas (duomenys neskelbtini) yra administruojamas UAB „(duomenys neskelbtini)“, kaip elektroninių paslaugų teikėjos, o vartotojas yra tik elektroninių paslaugų gavėjas, priešingai, nei nurodoma Institucijos apeliaciniame skunde, neduoda pagrindo išvadai, kad šiuo atveju UAB ,,(duomenys neskelbtini)“ privalėjo nurodyti savo klientui – fiziniam asmeniui, kurio galiniame įrenginyje, kurio IP adresas – (duomenys neskelbtini), buvo aptiktas virusas conficker, jį pašalinti ir, tik paprašius klientui, padėti jam tai padaryti. Tokioje situacijoje, kaip teisingai pažymėta skundžiamoje nutartyje, paimti kliento – fizinio asmens – įrenginį, kuriame buvo aptiktas virusas conficker, ir jį pašalinti, įdiegiant ar išdiegiant kliento įrenginyje programinę įrangą, T. B. vadovaujamai įmonei UAB „(duomenys neskelbtini)“ įstatymai teisės ir pareigos nenumato, juolab, kad tokiu atveju būtų pažeistas ir kliento privatumas, jo asmens duomenys, teisė į privatų gyvenimą. Kaip matyti iš bylos duomenų, T. B. susisiekė su privalomąjį nurodymą parengusiu pareigūnu ir paaiškino, jog šis nurodymas taip, kaip jis yra suformuluotas, yra neįgyvendinamas ir pasiūlė galimą sprendimo būdą – Institucijai pareikalavus pateikti kliento, kurio galiniame įrenginyje aptikta kenkėjiška programinė įranga – virusas conficker, duomenis, tačiau Institucija tik nurodė, kad privalomasis nurodymas UAB „(duomenys neskelbtini)“ buvo pateiktas kaip kibernetinio saugumo subjektui, atsižvelgiant į Lietuvos policijos generalinio komisaro 2015-02-02 įsakymu Nr. 5-V-101 patvirtintą aprašą „Dėl informacijos, reikalingos kibernetiniams incidentams, galimai turintiems nusikalstamos veikos požymių, užkardyti ir tirti, pateikimo, policijos nurodymų vykdymo bei kibernetinių incidentų tyrimo tvarkos“ 13 punktą, nurodant, kad į jį turi atsakyti UAB ,,(duomenys neskelbtini)“, kaip elektroninių paslaugų teikėja, atsižvelgiant į šio Aprašo 17 punktą, tačiau dėl T. B. keliamų klausimų ir pastabų, susijusių su privalomo nurodymo įvykdymo galimybėmis (negalimumu) nepasisakė, su T. B. nebendradarbiavo – nei į atliktus veiksmus, nei į pasiūlymą nereagavo, tik pakartotinai išsiuntė nurodymą pašalinti kenkėjišką programinę įrangą.

14. Kaip matyti iš Lietuvos kriminalinės policijos biuro Sunkaus ir organizuoto nusikalstamumo tyrimo 5-osios valdybos UAB ,,(duomenys neskelbtini)“ 2021-02-04 pateikto nurodymo, šio nurodymo 2 punkto „Nurodymo pavadinimas, turinys, vykdymo terminai ir kt.“ 2.2. papunktyje nurodyta: „per 48 val., nuo nurodymo gavimo, pašalinti kenkėjišką programinę įrangą, asocijuojama su užkrėstu kompiuterių tinklu esančia tarnybinėje stotyje ar kitame įrenginyje IP adresu (duomenys neskelbtini) (pažeidimas conficker). Rekomendacijos dėl pašalinimo (duomenys neskelbtini)“. Būtent dėl pastarojo nurodymo, įrašyto 2.2. punkte, nevykdymo T. B., kaip UAB „(duomenys neskelbtini)“ vadovui, 2021-03-04 buvo surašytas administracinio nusižengimo protokolas ir jo pagrindu Tauragės apskrities VPK 2021-03-04 nutarimu jis buvo nubaustas už ANK 480 straipsnio 1 dalyje numatytą administracinį nusižengimą, pasireiškusį Kibernetinio saugumo įstatymo 11 straipsnio 4 dalies (Institucija, kaip teisingai pažymėta skundžiamoje nutartyje, greičiausiai turėjo omenyje 11 straipsnio 1 dalies 4 punktą, nes šio įstatymo 11 straipsnis 4 dalies neturi pažeidimu. Šio įstatymo 11 straipsnio 1 dalies 4 punkte nurodyta, kad kibernetinio saugumo subjektai: „policijos generalinio komisaro nustatyta tvarka teikia policijai informaciją, reikalingą teisės pažeidimams, turintiems nusikalstamų veikų požymių, kibernetinėje erdvėje užkardyti ir tirti, ir vykdo kitus policijos nurodymus, duotus šio įstatymo nustatytais pagrindais).

15. Apeliacinės instancijos teismas atkreipia dėmesį, kad administracinę atsakomybę pagal ANK 480 straipsnio 1 dalį užtraukia tik teisėtų policijos nurodymų, susijusių su kibernetinio saugumo užtikrinimu, nevykdymas laiku. Lietuvos policijos generalinio komisaro 2015-02-02 įsakymu Nr. 5-V-101 (2018-02-19 įsakymo Nr. 5-V-165 redakcija) patvirtinto „Informacijos, reikalingos kibernetiniams incidentams, galbūt turintiems nusikalstamos veikos požymių, užkardyti ir tirti, pateikimo, policijos nurodymų vykdymo bei kibernetinių incidentų tyrimo tvarkos apraše“ (toliau – ir Aprašas) yra nustatyta, kokios rūšies nurodymus, reikalingus kibernetiniam incidentui, galbūt turinčiam nusikalstamos veikos požymių, užkardyti ar ištirti, gali teikti policija elektroninių paslaugų teikėjui (šios nurodymų rūšys yra atkartotos ir byloje esančio nurodymo blanke): 1) apriboti elektroninių paslaugų teikimą gavėjui, 2) taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis, 3) išsaugoti informaciją, susijusią su teikiamomis paslaugomis, 4) gauti paslaugų naudotojo srauto duomenis ir kontroliuoti perduodamos informacijos turinį.

16. Apeliacinės instancijos teismo vertinimu, UAB „(duomenys neskelbtini)“ informavus Instituciją, kad bendrovė negali nei teisiškai, nei fiziškai įvykdyti privalomo nurodymo pašalinti kenkėjišką programinę įrangą (virusą conficker), kadangi ši įranga buvo aptikta T. B. vadovaujamos įmonės kliento (fizinio asmens) tiksliai neidentifikuotame privačiame galiniame įrenginyje, kurio IP adresas – (duomenys neskelbtini), tapo akivaizdu, jog toks Institucijos nurodymas nėra teisėtas, nes jis adresuotas ne tam subjektui. Iš to seka, kad paaiškėjus atitinkamoms aplinkybėms, Institucija privalėjo imtis tolesnių atitinkamų teisės aktų reikalavimus atitinkančių veiksmų – įpareigoti elektroninių paslaugų teikėją UAB „(duomenys neskelbtini)“ apriboti elektroninių paslaugų teikimą gavėjui, kurio galiniuose įrenginiuose aptikta kenkėjiška programinė įranga, kol gavėjas imsis priemonių kenkėjiškai įrangai pašalinti, kartu pasiūlant elektroninių paslaugų gavėjui imtis priemonių kenkėjiškos programinės įrangos pašalinimui iš jam priklausančių įrenginių, o ne toliau reikalauti, jog UAB „(duomenys neskelbtini)“ vykdytų nurodymą pašalinti kenkėjišką įrangą iš kliento įrenginių. Akivaizdu, jog Institucijai tokių priemonių nesiėmus ir nesant atitinkamo Institucijos nurodymo, UAB „(duomenys neskelbtini)“ neturėjo teisinio pagrindo ir įgaliojimų apriboti elektroninių paslaugų teikimą gavėjui, lygiai kaip ir teisės patekti į privačias kliento patalpas, paimti ir tikrinti visus galimai kenkėjiškomis programomis užkrėstus jo įrenginius ir šalinti juose atitinkamas programas.

17. Remiantis išdėstytu, apeliacinės instancijos teismas pritaria apylinkės teismo išvadai, jog T. B., kaip UAB „(duomenys neskelbtini)“ direktoriui, nepagrįstai buvo surašytas administracinio nusižengimo protokolas pagal ANK 480 straipsnio 1 dalį už tai, kad jis nevykdė Lietuvos kriminalinės policijos biuro nurodymo taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis, t. y. per 48 valandas nepašalino kenkėjiškos programinės įrangos, asocijuojamos su užkrėstu kompiuterių tinklu, esančios tarnybinėje stotyje ar kitame įrenginyje IP adresu (duomenys neskelbtini). Apygardos teismo vertinimu, nagrinėjamu atveju Institucija, nustačius, kad UAB „(duomenys neskelbtini)“ kliento (fizinio asmens) galiniame įrenginyje IP adresu (duomenys neskelbtini) aptikta kenkėjiška programinė įranga, turėjo teikti nurodymą „apriboti viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų ir elektroninės informacijos prieglobos paslaugų teikimą paslaugų gavėjui“, tačiau duomenų, kad toks nurodymas buvo pateiktas T. B. vadovaujamai įmonei, byloje nėra.

18. Aptartų duomenų kontekste darytina išvada, kad nagrinėjamu atveju Tauragės apylinkės teismas, priimdamas sprendimą nutraukti T. B. administracinio nusižengimo teiseną konstatavęs, kad Institucija, priimdama skundžiamą nutarimą, neteisingai vertino faktines bylos aplinkybes, netinkamai taikė materialinės teisės normas ir nepagrįstai kvalifikavo T. B. veiką pagal ANK 480 straipsnio 1 dalį ir Lietuvos Respublikos kibernetinio saugumo įstatymo 11 straipsnio 4 dalį, nesant kaltės ir administracinio nusižengimo sudėties požymių, teisingai įvertino bylos aplinkybes ir priėmė teisėtą ir pagrįstą procesinį sprendimą. Skundžiama Tauragės apylinkės teismo 2021-04-22 nutartis, neperžengiant apeliacinio skundo ribų, yra teisėta ir pagrįsta, naikinti ją Institucijos apeliaciniame skunde išdėstytais motyvais nėra pagrindo.

19. Nustačius, kad T. B. veiksmai neturi administracinio nusižengimo, numatyto ANK 480 straipsnio 1 dalyje požymių, apeliacinės instancijos teismas plačiau nepasisako dėl apeliacinio skundo argumentų, susijusių su KSĮ 11 straipsnio nuostatų taikymo galimumu UAB ,,(duomenys neskelbtini)“.

20. Pastebėtina, kad Tauragės apylinkės teismas, nutraukdamas T. B. administracinio nusižengimo teiseną, turėjo priimti ne nutartį, o nutarimą (ANK 642 straipsnio 4 dalis), tačiau tai neturėjo įtakos šio procesinio sprendimo teisėtumui ir pagrįstumui.

Rezoliucinė dalis

Vadovaudamasis ANK 653 straipsnio 1 dalies 1 punktu, teisėjas

nutaria:

palikti Tauragės apylinkės teismo Tauragės rūmų 2021 m. balandžio 22 d. nutartį nepakeistą ir Tauragės apskrities vyriausiojo policijos komisariato apeliacinio skundo netenkinti.

Nutartis neskundžiama.

Teisėjas Linas Pauliukėnas