Lietuvos vyriausiojo administracinio teismo nutartis

1. Pareiškėjas valstybės įmonė Registrų Centras (toliau – ir pareiškėjas, Registrų centras) kreipėsi į teismą su skundu, prašydamas: 1) panaikinti Valstybinės duomenų apsaugos inspekcijos (toliau – ir atsakovas, Inspekcija) 2021 m. vasario 26 d. sprendimą „Dėl administracinės baudos skyrimo valstybės įmonei Registrų centrui“ Nr. 2R-891 (2.23.E) (toliau – ir Sprendimas), 2) įpareigoti atsakovas iš naujo išnagrinėti bylą dėl administracinės baudos skyrimo, objektyviai ir pagrįstai nustatant asmens duomenų saugumo pažeidimo subjektą/-us ir jo/-ų atsakomybės ribas.

2. Pareiškėjas skunde nurodė šias aplinkybes:

2.1 Sprendimu jis nubaustas 15 000 Eur bauda už tai, kad pažeidė 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – ir BDAR) 32 straipsnio 1 dalies b (gebėjimas užtikrinti nuolatinį duomenų tvarkymo sistemų ir paslaugų konfidencialumą, vientisumą, prieinamumą ir atsparumą) ir c (gebėjimas laiku atkurti sąlygas ir galimybes naudotis asmens duomenimis fizinio ar techninio incidento atveju) punktų nuostatas.

2.2 2020 m. liepos 20 d. Registrų centro pastate, esančiame adresu (duomenys neskelbtini), Vilniuje, dėl stichinio gamtos reiškinio – itin stiprios liūties Vilniaus mieste, trūko lietaus nuotekų sistemos vamzdis, todėl vanduo pateko į duomenų centro, esančio (duomenys neskelbtini), Vilniuje patalpas (rūsyje) (toliau – ir Incidentas). Įvykus Incidentui, kuris visiškai nepriklausė nuo Registrų centro veiksmų ir (ar) neveikimo bei kontrolės, nustojo veikti dalis serverių, todėl tam tikrą laiko tarpą tapo nepasiekiama dalis serveriuose saugomos informacijos. Reaguodamas į susiklosčiusią situaciją pareiškėjas Inspekcijai pateikė 2020 m. liepos 23 d. pranešimus apie asmens duomenų saugumo pažeidimus Nr. S-1054 (1.8), Nr. S-1055 (1.8) ir Elektroninio dokumento nuorašą 2-16 S-1056 (1.8), kurie buvo patikslinti Registrų centro 2020 m. rugpjūčio 20 d. raštu NS-5640 (1.8). Registrų centre buvo gautas Inspekcijos 2020 m. rugpjūčio 3 d. raštas. Registrų centras į Inspekcijos rašte užduotus klausimus atsakė pateikdamas 2020 m. rugpjūčio 20 d. raštą. Registrų centre buvo gautas Inspekcijos 2020 m. gruodžio 11 d. raštas, kuriuo Inspekcija prašė pateikti informaciją, reikšmingą skiriant administracinę baudą, nustatant baudos dydį. Registrų centras 2021 m. sausio 29 d. raštu prašė Inspekcijos dar kartą įvertinti pažeidimo sudėtį ir sankcijų už Incidentą klausimą, atsižvelgiant į tai, kad Registrų centro veiksmuose nebuvo nei tyčios, nei aplaidumo, kad Incidentas buvo visiškai atsitiktinis (force majeure) ir kad toks Incidentas atsitiko pirmą kartą, į Registrų centro pastangas pašalinti padarinius ir tinkamą bendradarbiavimą.

2.3 Inspekcija, atlikdama asmens duomenų saugumo pažeidimo tyrimą, turėjo įvertinti aplinkybių visumą, t. y. išnagrinėti ne tik bendro pobūdžio informaciją, bet ir atsižvelgti į pateiktus Registrų centro paaiškinimus, įvertinti, ar egzistuoja visi pažeidimo sudėties būtinieji elementai, pvz., priežastinis ryšys tarp Registrų centro veiksmų ir kilusių padarinių, kaltė ir kt., išanalizuoti visas Registrų centro įgyvendintas priemones, tačiau Inspekcija to nepadarė.

2.4 Inspekcija neatsižvelgė į tai, kad Registrų centras atliko visus, kaip registrų ir informacinių sistemų duomenų tvarkytojas, įmanomus veiksmus, todėl Registrų centro veiksmuose negalima įžvelgti nei tyčios, nei aplaidumo (subjektyvioji pažeidimo pusė). Tai, kad Registrų centro veiksmuose nėra tyčios pripažino ir pati Inspekcija nurodydama, kad pažeidimas nebuvo įvykdytas tyčia (Sprendimo 11 psl.), o Registrų centro veiksmų aplaidumo faktas Sprendime taip pat nėra konstatuotas, aiškiai ir nedviprasmiškai vertintas. Pareiškėjo teigimu, Inspekcija neįsigilino į Registrų centro, kaip duomenų tvarkytojo, ribotas galimybes veikti nepriklausomai, nesant duomenų valdytojo leidimo (pritarimo) (Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo 34 straipsnio 3 dalies 3 punktas). Inspekcija asmens duomenų saugumo pažeidimo subjektu pripažino tik Registrų centrą ir taikė atsakomybę, t. y. skyrė baudą, išimtinai tik duomenų tvarkytojui, tačiau Sprendime taip pat nurodė, kad Registrų centras, įgyvendindamas saugumo priemones, yra priklausomas tiek nuo duomenų valdytojo – Sveikatos apsaugos ministerijos (toliau – ir SAM), tiek ir nuo kitų institucijų, sprendžiančių Valstybės IT išteklių konsolidavimo klausimus. Taigi, akivaizdu, kad Inspekcija pripažino ir duomenų valdytojo atsakomybę, tačiau baudą skyrė tik duomenų tvarkytojui Registrų centrui. Šiuo atveju aktualu išsiaiškinti tinkamą pažeidimo subjektą, t. y. kas yra laikoma duomenų valdytoju ir tvarkytoju bei kokie teisės aktai reglamentuoja duomenų valdytojo ir tvarkytojo teises, pareigas, funkcijas ir atsakomybes.

2.5 Pareiškėjas, remdamasis BDAR 5 straipsnio 1 dalies f punktu bei Valstybės informacinių išteklių valdymo įstatymo 24 straipsnio 3 dalies 4 punktu, nurodė, kad iš šių teisės nuostatų galima teigti, kad už asmens duomenų saugumo pažeidimą yra atsakingas tiek duomenų valdytojas, tiek tvarkytojas. Registrų centras netgi neturi teisės priimti vienašališkų sprendimų be duomenų valdytojo pritarimo. Tuo tarpu atsakovas dėl tinkamo subjekto atsakė remdamasis tik Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimo Nr. 716 „Dėl bendrųjų elektroninės informacijos saugos reikalavimų aprašo, saugos dokumentų turinio gairių aprašo ir elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ (toliau – ir Gairės) 18 punktu. Pareiškėjo teigimu, sisteminis Gairių 16, 17 ir 18 punktų vertinimas įrodo, kad už saugos politikos formavimą atsakingas duomenų valdytojas, tuo tarpu duomenų tvarkytojas atsakingas už saugos politiką įgyvendinančiuose dokumentuose nustatytų priemonių įgyvendinimą. Inspekcijai pripažinus, kad asmens duomenų saugumo pažeidimą lėmė tai, jog nebuvo užtikrintos tinkamos techninės ir organizacinės priemonės bei vadovaujantis aukščiau nurodytų teisės aktų nuostatomis, akivaizdu, jog pirmiausiai turėjo būti analizuojama ir duomenų valdytojo atsakomybė.

2.6 Pareiškėjas nurodė Gairių 7.1 punktą, SAM valdomų ir valstybės įmonės Registrų centro tvarkomų elektroninės sveikatos sistemos informacinių sistemų duomenų saugos nuostatų, patvirtintų Lietuvos Respublikos sveikatos apsaugos ministro 2019 m. liepos 3 d. įsakymu Nr. V-777 (toliau – ESPBI saugos nuostatai), 7.5, 10 ir 11 punktus.

2.7 Pareiškėjas, remdamasis VĮ Registrų centro tvarkomų registrų ir informacinių sistemų duomenų saugos nuostatų, patvirtintų Lietuvos Respublikos teisingumo ministro 2017 m. gegužės 22 d. įsakymu Nr. 1R-132 (toliau – TM saugos nuostatai) 6.4, 6.5, 9, 10 punktais, taip pat Nekilnojamojo turto kadastro duomenų saugos nuostatų, patvirtintų Lietuvos Respublikos žemės ūkio ministro 2018 m. spalio 9 d. įsakymu Nr. 3D-723 (Lietuvos Respublikos žemės ūkio ministro 2020 m. birželio 22 d. įsakymo Nr. 3D-465 redakcija), 9.5, 12 punktais, nurodė, kad Inspekcija iš esmės neatliko išsamios aktualaus teisinio reglamentavimo ir objektyvių faktinių aplinkybių analizės, susijusios su tinkamo subjekto, kuriam turėtų kilti atsakomybė, nustatymo klausimu, o apsiribojo tik paviršutinišku šio aspekto nagrinėjimu. Inspekcija Sprendime netinkamai nustatė asmens duomenų saugumo pažeidimo subjektą, todėl netinkamai pritaikė atsakomybės principą.

2.8 Inspekcija nevertino informacijos apie tai, kad Registrų centras ėmėsi visų galimų priemonių rizikoms šalinti, siekiant apsaugoti registruose ir informacinėse sistemose esančius asmens duomenis.

2.9 Pareiškėjas dar su 2019 m. sausio 23 d. raštu kreipėsi į duomenų valdytoją SAM, Lietuvos Respublikos ekonomikos ir inovacijų ministeriją ir Lietuvos Respublikos susisiekimo ministeriją su pasiūlymais įgyvendinti sprendimus, kurie užtikrintų ESPBI IS veiklos tęstinumą katastrofos atveju bei su 2019 m. liepos 31 d. raštu Nr. S-47176 kreipėsi į IVPK dėl ESPBI IS duomenų bazių ir tarnybinių stočių naujos kartos technologijų. Inspekcija neanalizavo tam tikrų esminę reikšmę turinčių aplinkybių ir Sprendime nepagrindė jų selektyvaus nevertinimo priežasčių, nesigilino į teisės aktų nuostatas, kurios reglamentuoja duomenų valdytojo ir tvarkytojo funkcijas bei duomenų tvarkytojo ribotą galimybę veikti be valdytojo pritarimo.

2.10 Pareiškėjui nėra suprantama, kodėl Inspekcija Sprendime nurodo, jog Registrų centro duomenų centrų patalpos neatitiko nurodyto TIER standarto. Teisės aktuose nėra numatyta, kad duomenų centrai privalo turėti sertifikatą pagal TIER standartus ar jų atitiktis būtų patvirtinta atlikus nepriklausomų tos srities ekspertų auditą. Priešingai, apie kitus nei teisės aktuose aiškiai išdėstytus reikalavimus ar standartus, pažymima kaip rekomenduojamus ar galimus taikyti. Argumentai dėl TIER standartų Inspekcijos Sprendime iš esmės yra nepagrįstai aiškinami neigiamu aspektu Registrų centro atžvilgiu, todėl negali būti laikomi teisėtais motyvais, pagrindžiančiais Inspekcijos Sprendimo teisėtumą.

2.11 Pareiškėjas nesutiko su Inspekcijos išvada, kad DC1 patalpos neužtikrina duomenų centrams keliamo aukšto patikimumo bei apsaugos nuo fizinių grėsmių reikalavimų. Inspekcija neatsižvelgė į Registrų centro 2020 m. rugpjūčio 20 d. rašto argumentus, kad ESPBI IS informacinių technologijų saugos atitikties elektroninės informacijos saugos ir kibernetinio saugumo reikalavimams vertinimo ataskaitoje (priedo Nr. 3 priedas Nr. 7) buvo nurodytas visuotinai pripažintų tarptautinių organizacijų sertifikuotų informacinių sistemų auditorių duomenų centro patalpų įvertinimas, kuris buvo atliktas pagal pirmosios kategorijos (aukščiausios) informacinėms sistemoms taikomus saugos reikalavimus (ataskaitos 13 psl., viso 67 reikalavimai). Atitikimas įvertintas 5 balais (aukščiausiu balu) (ataskaitos 19 psl., 67 reikalavimai įgyvendinti visa apimtimi). Be to, Inspekcija neturi nei įgaliojimų, nei kompetencijos spręsti, kokie reikalavimai bei tarptautiniai standartai turi būti taikomi duomenų centrams ir, ar duomenų centrai atitinka reikalavimus bei rekomenduojamus tarptautinius standartus.

2.12 Visų registrų ir informacinių sistemų veiklos atstatymas, išskyrus ESPBI IS, buvo įgyvendintas laiku ir laikantis Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų, patvirtintų Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakymu Nr. 1V-832 (toliau – ir Aprašas) įtvirtintų reikalavimų informacinės sistemos neveikimo laikotarpiui, todėl iš Sprendimo turinio nėra aišku, kodėl Inspekcija nepagrįstai ir nemotyvuotai, neatsižvelgdama į teisės aktų reikalavimus nurodė, jog Registrų centrui „nepavyko užtikrinti nuolatinio duomenų tvarkymo sistemų ir paslaugų prieinamumo.

2.13 Sprendimas neatitinka Lietuvos Respublikos viešojo administravimo įstatymo reikalavimų.