Regionų apygardos administracinio teismo sprendimas, eI2-1534-931/2023

Teismas: Regionų apygardos administracinis teismas
Dokumentas: Sprendimas
Data: 2023-12-19
Bylos Nr.: eI2-1534-931/2023
Teisminio proceso Nr.: 3-61-3-04371-2022-4
Bylos rūšis: administracinė byla

Teisėjai: Fausta Vitkienė, Saulius Jakaitis, Agnė Stankevičienė
Pareiškėjas: D. P.
Atsakovas: Valstybinei duomenų apsaugos inspekcijai
Trečiasis asmuo: V. P.

Administracinė byla Nr. eI2-1534-931/2023 (S)Teisminio proceso Nr. 3-61-3-04371-2022-4Procesinio sprendimo kategorijos: 26; 55.1.3

VILNIAUS APYGARDOS ADMINISTRACINIS TEISMASSPRENDIMASLIETUVOS RESPUBLIKOS VARDU2023 m. gruodžio 19 d.Vilnius

Vilniaus apygardos administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Sauliaus Jakaičio, Agnės Stankevičienės (kolegijos pirmininkė ir pranešėja) ir Faustos Vitkienės,

teismo posėdyje rašytinio proceso tvarka išnagrinėjo administracinę bylą pagal pareiškėjo D. P. patikslintą skundą atsakovei Valstybinei duomenų apsaugos inspekcijai dėl sprendimo dalies panaikinimo, trečiasis suinteresuotas asmuo – V. P.

Aprašomoji dalis

Teismas nustatė:

Šalies argumentai

Pareiškėjas D. P. kreipėsi į teismą su skundu, kurio reikalavimus patikslinęs, prašo: 1) panaikinti atsakovės Valstybinės duomenų apsaugos inspekcijos 2022 m. rugsėjo 2 d. sprendimo Nr. 3R-731(2.13-1.E) dalį, kuria V. P. 2022 m. kovo 3 d. skundas pripažintas pagrįstu dalyje dėl pretenzijos išsiuntimo bendrovės elektroniniu paštu ir papeikimo skundžiamam asmeniui skyrimo; 2) įpareigoti atsakovę Valstybinę duomenų apsaugos inspekciją iš naujo išnagrinėti V. P. 2022 m. kovo 3 d. skundo dalį dėl pretenzijos išsiuntimo bendrovės elektroniniu paštu; 3) priteisti iš atsakovės Valstybinės duomenų apsaugos inspekcijos pareiškėjo advokato D. P. naudai šio patirtas bylinėjimosi išlaidas.

Nurodo, kad J. B. (toliau – ir klientė) kreipėsi į advokatą D. P. dėl teisinių paslaugų, susijusių su kilusiu ginču tarp klientės ir V. P. bei jo sutuoktinės. Advokatas su kliente 2022 m. sausio 27 d. sudarė teisinių paslaugų teikimo ir atstovavimo sutartis. Advokatas, teikdamas klientei teisines paslaugas bei vykdydamas klientės pavedimą, parengė pranešimą / pretenziją „Dėl gretimo sklypo savininkų teisių ir teisėtų interesų pažeidimo“ (toliau – ir pretenzija), kurią V. P. bei jo sutuoktinei 2022 m. vasario 18 d. išsiuntė tiek paštu, tiek ir Klientės advokatui nurodytu elektroniniu paštu (duomenys neskelbtini), kuris yra V. P. darbovietės elektroninis paštas. Netrukus po pretenzijos išsiuntimo, Valstybinė duomenų apsaugos inspekcija (toliau – ir Inspekcija) gavo V. P. skundą dėl advokato D. P. veiklos, susijusios su V. P. asmens duomenų tvarkymu.

Atsakovė 2022 m. rugsėjo 2 d. sprendimu nusprendė: a. pripažinti skundą pagrįstu dalyje dėl pretenzijos išsiuntimo bendrovės elektroniniu paštu ir skirti skundžiamam asmeniui (advokatui) papeikimą; b. atmesti skundą dalyse dėl pretenzijos išsiuntimo paštu ne V. P. gyvenamosios vietos adresu ir pretenzijos išsiuntimo elektroniniu paštu, kopiją pridedant D. M. Pareiškėjas nesutinka su atsakovės 2022 m. rugsėjo 2 d. sprendimo dalimi, kuria buvo nuspręsta pripažinti skundą pagrįstu dalyje dėl pretenzijos išsiuntimo bendrovės elektroniniu paštu ir skirti skundžiamam asmeniui (advokatui) papeikimą.

Inspekcija vadovavosi tik vieninteliu argumentu, jog pareiškėjas neįrodė, kad, išsiunčiant pretenziją bendrovės UAB „(duomenys neskelbtini)“ elektroniniu paštu ir tokiu būdu sudarant galimybę su pretenzija susipažinti neįgaliotiems asmenims, V. P. asmens duomenys buvo tvarkomi esant bent vienai BDAR 6 straipsnio 1 dalyje nustatytai teisėto tvarkymo sąlygai.

Pareiškėjas vykdydamas advokato pareigas bei vadovaudamasis su kliente sudarytomis teisinių paslaugų teikimo bei atstovavimo sutartimis ir jos pavedimu (nurodymu), parengė pretenziją, kuriame nurodyti skundą pateikusio asmens duomenys – vardas ir pavardė, taip pat asmens duomenys, susiję su jam ir jo sutuoktinei nuosavybės teise priklausančiu žemės sklypu bei duomenys apie sutuoktinę – jos vardas ir pavardė. Pretenzijoje buvo nurodyti tik būtini asmens duomenys, susiję su ginčo situacija (ginčo žemės sklypas ir šio ginčo žemės sklypo savininkų vardas ir pavardė), ir tai atitinka BDAR 5 straipsnio 1 dalies a punktą, - duomenų subjekto atžvilgiu buvo tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas), ir c punktą, - yra adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas).

Pareiškėjas turėjo BDAR 6 straipsnio 1 dalies b punkte numatytą teisinį pagrindą tvarkyti V. P. asmens duomenis, nes tą įpareigoja jo, kaip advokato, veiklą reglamentuojantys teisės aktai (Advokatūros įstatymas) bei pareiškėją su kliente sieję sutartiniai santykiai dėl teisinių paslaugų teikimo.

Inspekcija, atlikdama tyrimą, apsiribojo tik skundu ir jame (bei jo prieduose) nurodytomis aplinkybėmis, jog neva bendrovės elektroniniu paštu (duomenys neskelbtini), į kurį advokatas ir siuntė pretenziją, naudojasi keli bendrovės darbuotojai, kita vertus, pagal pridėtą prie skundo priedą (bendrovės raštą), jau nurodoma, jog naudojasi tik bendrovės vadovas, buhalterė, personalo buhalterė ir pirkimų – pardavimų vadovas. Bendrovė savo rašte patvirtino, jog elektroniniu paštu (duomenys neskelbtini) naudojasi bendrovės direktorius, tačiau bendrovės internetiniame puslapyje bendrovės direktoriumi išviešinamas būtent V. P.

Inspekcijos tyrimas, atliktas tik rašytine procedūra, nelaikytinas pakankamu V. P. skunde nurodytoms aplinkybėms patvirtinti. Aplinkybių, nurodytų advokato Paaiškinimuose, Inspekcija netyrė. Advokato atlikti veiksmai, teikiant pretenziją klientės jam nurodytu elektroniniu paštu adresu (duomenys neskelbtini), o būtent, elektroniniame laiške aiškiai nurodant, jog pretenzija yra skirta V. P. ir jo sutuoktinei, t. y. nesant elektroniniame laiške įkelto pretenzijos turinio, o prie laiško kaip priedą prisegant pretenziją tuo tikslu, jog šį dokumentą atsidarytų ir su juo susipažintų tik asmenys, kuriems šis dokumentas skirtas, atitinka BDAR 5 straipsnio 1 dalies f punktą.

Atsiliepimas

Atsakovė Valstybinė duomenų apsaugos inspekcija pateikė atsiliepimą į patikslintą skundą, kurio prašo jį atmesti kaip nepagrįstą.

Šalies argumentai

Nurodo, kad skunde V. P. nurodė, jog bendrovės elektroniniu paštu (duomenys neskelbtini) naudojasi šios bendrovės padaliniai: finansų skyrius, komercijos, administracijos ir kt., todėl su pretenzija susipažino visi V. P. paminėti padaliniai.

Inspekcija, nagrinėdama V. P. skundą, nekonstatavo, kad pretenzijoje buvo nurodyti pertekliniai, nebūtini asmens duomenys. Tai nebuvo skundo dalykas. V. P. skunde nurodė, kad advokatas D. P., neturėdamas V. P. nei žodinio, nei rašytinio sutikimo, išsiųsdamas pretenziją, išplatino jo privataus gyvenimo duomenis apie jo šeimos nekilnojamąjį turtą, santykius su poilsiavietės kaimynais ir neva neteisėtus V. P. veiksmus: bendrovės elektroniniu paštu, siųsdamas pretenziją elektroniniu paštu, kopiją pridėdamas ir trečiajam asmeniui – D. M. bei pretenziją išsiųsdamas ir paštu, tačiau ne pagal V. P. gyvenamąją vietą, bet į jo šeimos poilsiavietę.

Inspekcija analizavo aplinkybes dėl V. P. skunde dėstomų aplinkybių, susijusių su pretenzijos išsiuntimo būdais ir ją gavusiais asmenimis ir sprendime pasisakė dėl: a) Inspekcijos kompetencijos ribų; b) pretenzijos išsiuntimo pareiškėjui (V. P.) ne gyvenamosios vietos adresu; c) pretenzijos išsiuntimo pareiškėjo (V. P.) darbovietei; d) pretenzijos išsiuntimo trečiajam asmeniui (D. M.).

Inspekcija nepriėmė sprendimo, kuriame būtų teigiama, kad advokatas D. P. apskritai neturėjo teisinio pagrindo tvarkyti V. P. asmens duomenų. Nagrinėjant skundą, buvo analizuojama (pagal skunde nurodytas aplinkybes), ar advokatas D. P., išsiųsdamas pretenziją Bendrovės elektroniniu paštu, nepažeidė teisės aktų, reglamentuojančių asmens duomenų tvarkymą, reikalavimų, t. y. ar būtent pretenzijos išsiuntimas atitiko bent vieną teisėto asmens duomenų tvarkymo sąlygą, numatytą BDAR 6 straipsnio 1 dalyje bei asmens duomenų tvarkymo principus (BDAR 5 straipsnis). Iš skundo nagrinėjimo metu surinktos medžiagos nustatyta, kad advokatas D. P. yra sudaręs paslaugų teikimo sutartį ne su V. P., o su kitu asmeniu ir V. P. nėra sutarties šalis. Šia teisėto tvarkymo sąlyga advokatas D. P. negali remtis dėl V. P. asmens duomenų tvarkymo.

Inspekcija skundžiamame sprendime pasisakė, kad advokatas D. P., išsiųsdamas pretenziją bendrovės elektroniniu paštu (duomenys neskelbtini), nepaisant to, kad elektroniniame laiške ir nurodė, jog pretenzija yra skiriama V. P. ir kad siunčiama informacija yra konfidenciali, šią pretenziją išsiuntė bendrovei, o ne pareiškėjui, kaip fiziniam asmeniui, ir tuo sudarė galimybę neįgaliotiems asmenims susipažinti su ne jiems skirta informacija.

Inspekcijos pažymi, kad juridinio asmens viešai skelbiami kontaktai (nepriklausomai nuo to, ar tai bendrasis kontaktinis elektroninio pašto adresas, šiuo atveju el. paštas (duomenys neskelbtini), ar pvz., skelbiami tam tikrų juridinio asmens darbuotojų elektroninio pašto adresai) yra priskiriami juridiniam asmeniui ir asmenys, besinaudojantys šiais elektroninio pašto adresais veikia ne asmeniškai savo, o juridinio asmens vardu.

Inspekcija papildomai nevertino, ar V. P. yra (nėra) bendrovės vadovas, kadangi, siunčiant informaciją juridiniam asmeniui jo skelbiamais kontaktiniais būdais yra laikoma, kad informaciją gauna juridinis asmuo, o ne atskiri fiziniai asmenys. Vien tai, jog atitinkamo juridinio asmens interneto svetainėje yra pateikiama informacija apie juridinio asmens vadovą (vardas ir pavardė) bei bendrasis elektroninio pašto adresas susisiekimui ((duomenys neskelbtini)) neturėtų sudaryti pagrindo daryti išvados, kad tokiame juridiniame asmenyje dirba tik vienas asmuo (vadovas) ir kad tik jis vienas turi prieigą prie tokio elektroninio pašto. Nors advokatas skunde nurodo, kad Inspekcija netyrė kokie bendrovės darbuotojai ir kada susipažino su pretenzija ir joje nurodytais V. P. asmens duomenimis, nėra aišku ar tariamas pažeidimas įvyko (netyrė kokius konkrečius asmens duomenis ir kada peržiūrėjo, t. y. ar kas matė pretenziją), tačiau V. P. buvo prie skundo pridėjęs UAB „(duomenys neskelbtini)“ 2022 m. kovo 2 d. atsakymą į prašymą Nr. 029/22, kuriame buvo pateikta informacija, kokie asmenys naudojasi bendrovės elektroniniu paštu (duomenys neskelbtini). Advokatas, teikdamas informaciją dėl V. P. skundo Inspekcijai, jokių argumentų, dėl to ar pažeidimas įvyko, kokie asmenys ir kada susipažino su pretenzija, susipažino, nenurodė.

Atsiliepimas

Trečiasis suinteresuotas asmuo pateikė atsiliepimą, kuriame prašo patikslintą skundą atmesti.

Nurodo, jog 2022 m. vasario 18 d. UAB „(duomenys neskelbtini)“ gavo iš D. M. elektroninį laišką pranešimą (pretenziją), susijusią su trečiojo suinteresuoto asmens šeimos bendra jungtine nuosavybe, kuri buvo adresuota J. P., kuri nėra minėtos bendrovės darbuotoja, ir trečiajam suinteresuotam asmeniui, dirbančiam šioje bendrovėje eiliniu darbuotoju, pateikė duomenis tretiesiems asmenims.

Iš atstovavimo sutarties nebuvo galima spręsti, kokia yra šio atstovavimo sutarties apimtis ir kuriam konkrečiam tikslui ji yra skiriama, t. y. J. B. atstovavimo sutartyje nėra įvardytas sutarties tikslas, laikas. Tai neatitinka Advokatūros įstatymo 49 straipsnio 2 dalies reikalavimų. Pareiškėjas teikdamas asmens duomenis bendrovei ir sudarydamas sąlygas susipažinti su pateiktais duomenimis (pretenzijoje) tretiesiems asmenims nesilaikė minėtų BDAR nuostatų.

Pareiškėjas, vykdydamas pareigas, t. y. teikdamas teisines paslaugas klientui ir rengdamas procesinius dokumentus, nesidomėjo Nekilnojamojo turto registre apie trečiojo suinteresuoto asmens šeimos vardu nuosavybės teise valdomą nekilnojamąjį turtą, nustatytus jame atitinkamus apribojimus (servitutus, apsaugos zonas), o vadovavosi savo klientės nuorodomis, netikrindamas ar pateikti jo klientės duomenys atitinka tikrovę, sąžiningi ar nenulemti iš šalies.

Pareiškėjas elektroninį laišką su pretenzija išsiuntė J. P. į UAB „(duomenys neskelbtini)“ remdamasis klientės duomenimis, nepatikrinęs, ar J. P. dirba šioje bendrovėje, pretenzija adresuota J. P. ir tik po jos seka kitas pretenzijos adresatas – sutuoktinis V. P., todėl pareiškėjo tvirtinimas, kad tai atitinka sąžiningumo ir skaidrumo principus prasilenkia su tikrove. Pareiškėjas siekia perkelti kaltę bendrovei UAB „(duomenys neskelbtini)“. Valstybinė duomenų apsaugos inspekcija nuodugniai ir išsamiai ištyrė ir įvertino trečiojo suinteresuoto asmens skundą ir teisėtai paskyrė pareiškėjui papeikimą.

Motyvuojamoji dalis

Teismas konstatuoja:

Byloje keliamas ginčas dėl Valstybinės duomenų apsaugos inspekcijos 2022 m. rugsėjo 2 d. sprendimo Nr. 3R-731(2.13-1.E) dalies, kuria V. P. 2022 m. kovo 3 d. skundas pripažintas pagrįstu ir advokatui D. P. skirtas papeikimas, teisėtumo ir pagrįstumo.

Iš byloje esančių rašytinių įrodymų nustatyta, kad advokatas D. P. (pareiškėjas šioje byloje) 2022 m. sausio 27 d. su kliente J. B. sudarė atstovavimo sutartį, kuria J. B. suteikė advokatui D. P. teisę jos vardu atlikti tinkamam atstovavimui reikalingus veiksmus santykiuose su visais fiziniais ir juridiniais asmenimis. Vykdydamas klientės pavedimą, advokatas 2022 m. vasario 17 d. klientės vardu parengė pretenziją dėl gretimo sklypo savininkų teisių ir teisėtų interesų pažeidimo, skirtą J. P. ir V. P. Advokatas pretenziją registruotu paštu išsiuntė J. P. ir V. P., taip pat 2022 m. vasario 18 d. išsiuntė elektroninio pašto adresu (duomenys neskelbtini).

V. P. 2022 m. kovo 3 d. pateikė skundą Valstybinei duomenų apsaugos inspekcijai, kuriame nurodė, kad advokatas 2022 m. vasario 18 d. UAB „(duomenys neskelbtini)“ elektroniniu paštu (duomenys neskelbtini) išsiųsdamas pretenziją bendrovės darbuotojams ir administracijai paviešino duomenis apie jo šeimos nekilnojamąjį turtą ir santykius su kaimynais. Skunde taip pat pažymėjo, jog duomenys apie privatų gyvenimą išplatinti nesant nei žodinio, nei rašytinio sutikimo.

Advokatas Valstybinei duomenų apsaugos inspekcijai 2022 m. balandžio 1 d. pateikė rašytinius paaiškinimus su priedais, tarp jų klientės J. B. rašytinius paaiškinimus. J. B. paaiškino, kad advokatui nurodė jai žinomą vienintelį elektroninio pašto adresą (duomenys neskelbtini), kurį rado internete, bei paprašė advokato, kad pretenziją išsiųstų ir šiuo adresu.

Valstybinė duomenų apsaugos inspekcija 2022 m. rugsėjo 2 d. sprendimu Nr. 3R-731(2.13-1.E) nusprendė: 1) pripažinti V. P. skundą pagrįstą dalyje dėl pretenzijos išsiuntimo bendrovės elektroniniu paštu ir skirti advokatui papeikimą; 2) atmesti skundą dalyse dėl pretenzijos išsiuntimo paštu ne pareiškėjo gyvenamosios vietos adresu ir pretenzijos išsiuntimo elektroniniu paštu pridedant kopiją D. M.

Pareiškėjas advokatas, nesutikdamas su Valstybinė duomenų apsaugos inspekcija 2022 m. rugsėjo 2 d. sprendimo Nr. 3R-731(2.13-1.E) dalimi, kuria nuspręsta pripažinti V. P. skundą pagrįstą dalyje dėl pretenzijos išsiuntimo bendrovės elektroniniu paštu ir skirti advokatui papeikimą, kreipėsi į teismą prašydamas panaikinti šią sprendimo dalį.

Administracinis teismas negali peržengti pareikšto skundo (prašymo, pareiškimo) reikalavimo ribų, išskyrus atvejus, kai to reikalauja viešasis interesas arba kai neperžengus skundo (prašymo, pareiškimo) reikalavimo ribų būtų reikšmingai pažeistos valstybės, savivaldybės ir asmenų teisės bei įstatymų saugomi interesai (Lietuvos Respublikos administracinių bylų teisenos įstatymo (toliau – ir ABTĮ) 80 straipsnio 2 dalis). Kiekvienas suinteresuotas subjektas įgyvendindamas teisminės gynybos teisę, savarankiškai pasirenka pažeistos ar ginčijamos jo teisės arba įstatymų saugomo intereso gynybos būdą. Atsižvelgdamas į tai, teismas nagrinėjamu atveju vertina tik Valstybinės duomenų apsaugos inspekcijos 2022 m. rugsėjo 2 d. sprendimo dalies, kuria V. P. 2022 m. kovo 3 d. skundas pripažintas pagrįstu ir advokatui skirtas papeikimas, teisėtumą ir pagrįstumą.

Iš bylos duomenų nustatyta, kad V. P. kartu su skundu Inspekcijai pateikė UAB „(duomenys neskelbtini)“ 2022 m. kovo 2 d. atsakymą, kuriame nurodyta, kad įmonės elektroniniu paštu (duomenys neskelbtini) naudojasi buhalterė, personalo buhalterė, pirkimų ir pardavimų vadovas, direktorius. Atsakyme taip pat pažymėta, jog V. P. pagal darbo sutartį eina konsultanto pareigas. Atsakymas pasirašytas UAB „(duomenys neskelbtini)“ direktoriaus T. P.

Nagrinėjamu atveju ginčo teisinius santykius reglamentuoja 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (toliau – ir BDAR), Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas (toliau – ir ADTAĮ).

ADTAĮ 2 straipsnio 3 dalis nustato, kad šiame įstatyme vartojamos sąvokos (išskyrus sąvokas „tiesioginė rinkodara“ ir „valdžios institucijos ir įstaigos“) suprantamos taip, kaip jos apibrėžtos 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas).

BDAR 3 straipsnio 1 dalis nustato, kad šis reglamentas taikomas asmens duomenų tvarkymui. BDAR teisinis pagrindas yra Sutarties dėl Europos Sąjungos veikimo (toliau – ir SESV) 16 straipsnis, kuriame įtvirtinta kiekvieno asmens teisė į asmens duomenų apsaugą. Šio reglamento 1 konstatuojamojoje dalyje nurodyta, kad „fizinių asmenų apsauga tvarkant asmens duomenis yra pagrindinė teisė“, ir primenama, kad Chartijos 8 straipsnio 1 dalyje ir SESV 16 straipsnio 1 dalyje numatyta kiekvieno asmens teisė į savo asmens duomenų apsaugą (Europos Sąjungos Teisingumo Teismo 2021 m. birželio 15 d. sprendimo Facebook Ireland ir kt., C-645/19, 44 punktas).

Pagal BDAR 4 straipsnio 1 punktą asmens duomenys tai bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti (duomenų subjektas). Fizinis asmuo, kurio tapatybę galima nustatyti, yra suprantamas kaip asmuo, kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti, visų pirma pagal identifikatorių, kaip antai vardą ir pavardę, asmens identifikavimo numerį, buvimo vietos duomenis ir interneto identifikatorių arba pagal vieną ar kelis to fizinio asmens fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės požymius.

Vadovaujantis BDAR 4 straipsnio 2 punktu, duomenų tvarkymas – bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas. BDAR 4 straipsnio 11 dalyje numatyta, kad duomenų subjekto sutikimas – tai bet koks, laisva valia duotas, konkretus ir nedviprasmiškas tinkamai informuoto duomenų subjekto valios išreiškimas pareiškimu arba vienareikšmiais veiksmais, kuriais jis sutinka, kad būtų tvarkomi su juo susiję duomenys.

BDAR 77 straipsnio 1 dalyje reglamentuota, kad kiekvienas duomenų subjektas turi teisę pateikti skundą priežiūros institucijai, jeigu tas duomenų subjektas mano, kad su juo susijęs asmens duomenų tvarkymas atliekamas pažeidžiant šį reglamentą.

Remiantis ADTAĮ 7 straipsnio 1 dalimi, Valstybinė duomenų apsaugos inspekcija stebi, kaip taikomas Reglamentas (ES) 2016/679 ir šis įstatymas, ir užtikrina, kad šie teisės aktai būtų taikomi, išskyrus šio įstatymo straipsnius, kurių taikymas pagal šio straipsnio 2 dalį yra žurnalistų etikos inspektoriaus kompetencija.

Nustatyta, kad minėtame pareiškėjo įmonei UAB „(duomenys neskelbtini)“ išsiųstame elektroniniame laiške nurodomi pretenzijos adresatai – J. P. ir V. P., kitų trečiojo suinteresuoto asmens ar jo sutuoktinės duomenų laiške nenurodyta. Tačiau kartu su elektroniniu laišku išsiųstas jos priedas – pretenzija, kurioje nurodyti adresatų vardai ir pavardės, žemės sklypo adresas, kadastro numeris ir aprašytos ginčo tarp gretimų žemes sklypų savininkų – J. B. bei J. P. ir V. P. – aplinkybės. Nustatyta, kad elektroniniame laiške ir pretenzijoje nurodyti duomenys dėl trečiojo suinteresuoto asmens ir pareiškėjo klientės asmeninių santykių (kaip gretimų sklypų savininkų). Elektroniniame laiške ir pretenzijoje pateikta informacija nėra susijusi su trečiojo suinteresuoto asmens, kaip UAB „(duomenys neskelbtini)“ vadovo ar darbuotojo, veikla.

Nagrinėjamu atveju byloje nėra ginčo, jog pareiškėjo 2022 m. vasario 18 d. elektroniniame laiške ir kartu su juo išsiųstoje pretenzijoje buvo pateikti trečiojo suinteresuoto asmens ir jo sutuoktinės asmens duomenys.

Pagal BDAR 4 straipsnio 7 punktą duomenų valdytojas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuris vienas ar drauge su kitais nustato duomenų tvarkymo tikslus ir priemones; kai tokio duomenų tvarkymo tikslai ir priemonės nustatyti Sąjungos arba valstybės narės teisės, duomenų valdytojas arba konkretūs jo skyrimo kriterijai gali būti nustatyti Sąjungos arba valstybės narės teise.

Bylos duomenys patvirtina, kad pareiškėjas yra duomenų valdytojas ir tvarkytojas BDAR 4 straipsnio 7–8 punktų prasme. Todėl jis turi pareigą remiantis BDAR 4 straipsnio 2 punkto, 5, 6 straipsnių reikalavimais tvarkyti asmens duomenis taip, kaip reglamentuoja teisės aktai.

Kaip minėta, pagal BDAR 4 straipsnio 2 punktą, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę duomenimis naudotis yra laikomas asmens duomenų tvarkymu.

Iš byloje esančių duomenų nustatyta, kad pareiškėjas, kaip advokatas, teisėtai gavo duomenų subjekto – trečiojo suinteresuoto asmens – asmens duomenis, ginčo dėl to nėra. Ginčas kilo dėl to, ar pareiškėjas šiuos duomenis tvarkė (paviešino tretiesiems asmenims) teisėtai.

Pagal BDAR 5 straipsnio 2 dalį, duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi BDAR straipsnio 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas). Pagal BDAR 5 straipsnio 1 dalies 1 punktą asmens duomenys duomenų subjekto atžvilgiu turi būti tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas).

Teismas pažymi, kad vadovaujantis BDAR įtvirtintu atskaitomybės principu, įrodinėjimo, kad asmens duomenys tvarkomi laikantis BDAR nuostatų, pareiga tenka ne Inspekcijai, bet duomenų valdytojui, šiuo atvejui pareiškėjui, ir pareiškėjas neturi teisės šios įrodinėjimo pareigos perkelti Inspekcijai.

Šiame kontekste taip pat paminėtina, jog privataus gyvenimo apsauga yra reglamentuota, be kita ko, ADTAĮ 14 straipsnyje. Remiantis šio straipsnio 3 dalimi, informacija apie privatų gyvenimą gali būti skelbiama be žmogaus sutikimo tais atvejais, kai ji padeda atskleisti įstatymų pažeidimus ar nusikalstamas veikas, taip pat kai informacija yra pateikiama viešai nagrinėjant bylą.

Nagrinėjamu atveju byloje nėra ginčo, kad pareiškėjas išsiųsdamas įmonei UAB „(duomenys neskelbtini)“ 2022 m. vasario 18 d. elektroninį laišką neturėjo nei žodinio, nei rašytinio trečiojo suinteresuoto asmens sutikimo tvarkyti jo asmens duomenis. Byloje nustatyta, kad elektroninio pašto adresą, kuriuo buvo išsiųsta pretenzija, pareiškėjas gavo ne iš paties trečiojo suinteresuoto asmens.

Bet kuris asmens duomenų tvarkymas turėtų būti teisėtas ir sąžiningas (BDAR preambulės 39 konstatuojamoji dalis), todėl BDAR 5 straipsnyje detalizuoti su asmens duomenų tvarkymu susiję principai. Pagal šio straipsnio 1 dalies a punktą asmens duomenys turi būti duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas), o pagal 2 to paties straipsnio dalį būtent duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas). Aplinkybės, kuriomis asmens duomenys yra laikomi teisėtai tvarkomais, išvardintos BDAR 6 straipsnyje – nors viena jų yra duomenų subjekto sutikimas, kad jo asmens duomenys būtų tvarkomi vienu ar keliais konkrečiais tikslais (BDAR 6 straipsnio 1 dalies a punktas), BDAR 6 straipsnio 1 dalies f punktas taip pat leidžia tvarkyti duomenis, kai tai būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, išskyrus atvejus, kai tokie duomenų subjekto interesai arba pagrindinės teisės ir laisvės, dėl kurių būtina užtikrinti asmens duomenų apsaugą, yra už juos viršesni, ypač kai duomenų subjektas yra vaikas.

BDAR 5 straipsnio 2 dalyje įtvirtintas atskaitomybės principas, pagal kurį duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi šio straipsnio 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi. BDAR numato, jog priežiūros institucija turi įgaliojimus imtis taisomųjų veiksmų, įskaitant papeikimo duomenų valdytojui arba duomenų tvarkytojui, kai duomenų tvarkymo operacijomis buvo pažeistos šio reglamento nuostatos, pareiškimą (58 straipsnio 2 dalies b punktas), nurodymą duomenų valdytojui arba duomenų tvarkytojui suderinti duomenų tvarkymo operacijas su BDAR nuostatomis, tam tikrais atvejais – nustatytu būdu ir per nustatytą laikotarpį (BDAR 58 straipsnio 2 dalies d punktas).

Lietuvos vyriausiojo administracinio teismo (toliau – LVAT) praktikoje ne kartą nurodyta, jog priežiūros institucija (Inspekcija) privalo įvertinti ir nustatyti, ar duomenų valdytojo pateiktų paaiškinimų ir įrodymų pakanka konstatuoti, kad duomenys buvo tvarkomi su tvarkymo tikslu suderinamu būdu ir kad tai darant buvo laikomasi teisėtumo, sąžiningumo, skaidrumo, tikslo apribojimo, duomenų kiekio mažinimo, tikslumo principų, o kartu nepažeidžiamos duomenų subjekto teisės (LVAT 2020 m. gruodžio 9 d. nutartis administracinėje byloje Nr. eA-4388-968/2020).

LVAT praktikoje nurodyta, kad duomenų valdytojas yra atsakingas už BDAR 5 straipsnio 1 dalyje įtvirtintų su asmens duomenų tvarkymu susijusių principų laikymąsi ir jis turi sugebėti tai įrodyti. Duomenų valdytojas privalo įrodyti, kad asmens duomenys galėjo būti tvarkomi ir kad dėl to nebuvo pažeisti BDAR 5 straipsnio 1 dalyje įtvirtinti su asmens duomenų tvarkymu susiję principai (t. y. teisėtumo, sąžiningumo ir skaidrumo principas; tikslo apribojimo principas; duomenų kiekio mažinimo principas; tikslumo principas; saugojimo trukmės apribojimo principas; vientisumo ir konfidencialumo principas). Tai reiškia, kad duomenų valdytojas turi pareigą pateikti pakankamai tai pagrindžiančių įrodymų, tačiau kiekvienu atveju būtinas situacijos išsamus tyrimas, įvertinant kokie duomenys surinkti, kokie duomenų tvarkymo veiksmai atlikti, jų intensyvumas, koks poreikis vykdymo procese nurodytų duomenų ir jų panaudojimas vykdant funkcijas, padarytos ar potencialios žalos asmeniui padarymas, be kita ko, įvertinant ir tam tikrų duomenų gavimo atsitiktinumo ar informacinių sistemų funkcionalumo apribojimų faktorių (LVAT 2021 m liepos 2 d. nutartis administracinėje byloje eA-745-261/2021).

Pagrindiniai su asmens duomenų tvarkymu susiję principai yra įtvirtinti BDAR 5 straipsnyje: teisėtumo, sąžiningumo ir skaidrumo, tikslo apribojimo, duomenų kiekio mažinimo, tikslumo, saugojimo trukmės apribojimo, vientisumo ir konfidencialumo. Kaip nurodyta BDAR 5 straipsnio 2 dalyje, duomenų valdytojas yra atsakingas už šio straipsnio 1 dalyje įtvirtintų su asmens duomenų tvarkymu susijusių principų laikymąsi ir jis turi sugebėti tai įrodyti (2021 m. kovo 31 d. nutartis administracinėje byloje Nr. eA-2229-968/2021; 2020 m. liepos 8 d. sprendimas administracinėje byloje Nr. eA-2837-968/2020, 2021 m. liepos 2 d. nutartis administracinėje byloje Nr. eA-745-261/2021; 2021 m. rugsėjo 15 d. sprendimą administracinėje byloje Nr. eA-2066-624/2021).

Nagrinėjamu atveju iš byloje esančių duomenų nustatyta, kad Inspekcija įpareigojo pareiškėją pateikti duomenis patvirtinančius, kad trečiojo suinteresuoto asmens duomenys buvo tvarkomi laikantis BDAR reikalavimų.

Europos Sąjungos Teisingumo Teismo praktiką, pagal kurią BDAR 6 straipsnio 1 dalies f punkto taikymui yra numatytos trys kumuliacinės asmens duomenų tvarkymo teisėtumo sąlygos: t. y. pirma, tvarkyti asmens duomenis reikia dėl teisėtų interesų, kurių siekia duomenų valdytojas arba trečiasis asmuo; antra, asmens duomenis tvarkyti būtina siekiant įgyvendinti nustatytą teisėtą interesą; ir, trečia, asmens, kurio duomenys turi būti apsaugoti, interesai ar laisvės bei pagrindinės teisės neturi būti viršesni (Europos Sąjungos Teisingumo Teismo 2021 m. birželio 17 d. sprendimas byloje Mircom International Content Management & Consulting (M.I.C.M.) Limited prieš Telenet BVBA, C?597/19, 106 punktas).

Atitinkamai, tam, kad būtų galima nuspręsti, ar pareiškėjas teisėtai tvarkė trečiojo suinteresuoto asmens duomenis, teismas turi įvertinti, ar konkrečiu atveju buvo šių sąlygų visuma.

Teismų praktikoje dėl teisėto intereso, kurio siekia duomenų valdytojas, pabrėžiama, kad tai yra vertinamasis kriterijus – nei BDAR, nei 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvoje 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (toliau – ir Direktyva 95/46) teisėtų interesų apibrėžtis nepateikta, todėl nustatyti, ar tikslas, galintis pateisinti kišimąsi į privatų gyvenimą, yra teisėtas, turi duomenų valdytojas arba tvarkytojas, prižiūrimas nacionalinių teismų (Generalinio advokato 2017 m. sausio 26 d. išvada byloje Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde prieš Rīgas pašvaldības SIA „Rīgas satiksme“, C-13/16, 64 punktas). Dėl sąlygos, susijusios su būtinybe tvarkyti duomenis pažymėtina, kad nukrypimai nuo asmens duomenų apsaugos ir jos apribojimai neturi viršyti to, kas griežtai būtina (žr. sprendimo Rīgas satiksme 30 punktą ir ten nurodytą praktiką).

Asmens duomenų atskleidimas persiunčiant yra viena iš asmens duomenų tvarkymo operacijų, todėl asmens duomenys gali būti atskleidžiami tik laikantis su asmens duomenų tvarkymu susijusių principų, įtvirtintų BDAR 5 straipsnyje, ir kai toks asmens duomenų tvarkymas gali būti pagrįstas bent viena teisėta asmens duomenų tvarkymo sąlyga, numatyta BDAR 6 ir (ar) 9 straipsnyje (priklausomai nuo tvarkomų asmens duomenų kategorijos). Tuo atveju, jei nėra nė vienos BDAR nurodytos teisėto asmens duomenų tvarkymo sąlygos ir teisėto asmens duomenų tvarkymo tikslo, asmens duomenys negali būti tvarkomi. Atskaitomybės principas įpareigoja duomenų valdytoją ne tik laikytis BDAR, bet ir sugebėti įrodyti, kad jo laikosi (BDAR 5 straipsnio 2 dalis).

Pareiškėjas Inspekcijai paaiškino, kad pretenzija elektroniniu paštu buvo išsiųsta, siekiant užtikrinti, kad pretenziją pareiškėjas gautų kaip galima greičiau ir nutrauktų savo galimai neteisėtus veiksmus klientės atžvilgiu. Taip pat paaiškino, jog bendrovės internetinėje svetainėje (duomenys neskelbtini), skiltyje „Apie mus“, pateikiama viešai prieinama informacija apie tai, jog pareiškėjas yra nurodomas kaip šios įmonės vadovas, o skiltyje „Kontaktai“ pateikiamas tik vienas kontaktinis elektroninio pašto adresas – (duomenys neskelbtini).

Subjektų, turinčių teisę naudoti asmenų duomenis, veiksmuose negali būti jokių neapibrėžtų, negalimų patikrinti situacijų, nes tai sukurtų prielaidas netinkamam asmens duomenų naudojimui, neatitiktų asmens duomenų apsaugos principinių nuostatų, įtvirtintų teisės aktuose. Pažymėtina, kad tokie vertinimai atsispindi ir LVAT formuojamoje praktikoje kitose panašaus pobūdžio administracinėse bylose (žr., LVAT pvz., administracines bylas Nr. A-492-418/2014, Nr. A-756-529/2014, Nr. A-438-694/2014, taip pat 2016 m. vasario 4 d. nutartį administracinėje byloje Nr. A-2001-492/2016).

Skundžiamoje sprendimo dalyje Inspekcija nurodė, jog sutinka su pareiškėjo teiginiu, kad BDAR nedraudžia asmens duomenis tvarkyti siunčiant juos elektroniniu paštu, kadangi BDAR 4 straipsnio 2 dalis duomenų tvarkymą apibrėžia kaip bet kokią automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekamą operaciją ar operacijų seką. Tačiau Inspekcija skundžiamoje sprendimo dalyje vertino, ar pretenzijos išsiuntimas bendrovės elektroniniu paštu (duomenys neskelbtini) atitiko bent vieną BDAR 6 straipsnio 1 dalyje įtvirtintą teisėto asmens duomenų tvarkymo sąlygą bei ar nepažeidė asmens duomenų tvarkymo principų, įtvirtintų BDAR 5 straipsnio 1 dalyje.

Inspekcija padarė išvadą, kad pareiškėjas, išsiųsdamas pretenziją bendrovės elektroniniu paštu, nepaisant to, kad elektroniniame laiške ir nurodė, jog pretenzija yra skiriama trečiajam suinteresuotam asmeniui ir kad siunčiama informacija yra konfidenciali, šią pretenziją išsiuntė bendrovei, o ne trečiajam suinteresuotam asmeniui, kaip fiziniam asmeniui, ir tuo sudarė galimybę neįgaliotiems asmenims susipažinti su ne jiems skirta informacija. Inspekcija nevertino, ar pareiškėjas yra (nėra) bendrovės vadovas, kadangi, Inspekcijos įsitikinimu, siunčiant informaciją juridiniam asmeniui jo skelbiamais kontaktiniais būdais yra laikoma, kad informaciją gauna juridinis asmuo, o ne atskiri fiziniai asmenys.

BDAR 5 straipsnio 1 dalies c punkte reglamentuota, kad asmens duomenys turi būti adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas), o pagal to paties straipsnio 1 dalies f punktą, asmens duomenys turi būti tvarkomi tokiu būdu, kad taikant atitinkamas technines ar organizacines priemones būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo (vientisumo ir konfidencialumo principas). Vientisumo ir konfidencialumo principas yra detalizuotas BDAR 24 straipsnio 1 dalyje, pagal kurią duomenų valdytojas, atsižvelgdamas į duomenų tvarkymo pobūdį, aprėptį, kontekstą bei tikslus privalo įgyvendinti tinkamas technines ir organizacines priemones, kad užtikrintų ir galėtų įrodyti, kad duomenys tvarkomi laikantis BDAR.

Kaip minėta, pareiškėjas pretenzijos išsiuntimą bendrovės elektroninio pašto adresu (duomenys neskelbtini) argumentavo siekiu užtikrinti, kad pretenziją pareiškėjas (su sutuoktine) gautų kaip galima greičiau ir nutrauktų savo galimai neteisėtus veiksmus klientės atžvilgiu, tačiau šio paaiškinimo Inspekcija nelaikė pagrindžiančiu pretenzijos išsiuntimo teisėtumą bendruoju bendrovės elektroninio pašto adresu, tuo labiau, kad skundžiamas asmuo nenurodė, kokią teisėto asmens duomenų tvarkymo sąlygą, įtvirtintą BDAR 6 straipsnio 1 dalyje, atitinka pretenzijos išsiuntimas minėtu būdu.

Inspekcija padarė išvadą, kad pareiškėjas neįrodė, jog išsiunčiant pretenziją bendrovės elektroniniu paštu, tokiu būdu sudarant galimybę su pretenzija susipažinti neįgaliotiems asmenims, pareiškėjo asmens duomenys buvo tvarkomi esant bent vienai BDAR 6 straipsnio 1 dalyje nustatytai teisėto tvarkymo sąlygai ir tuo pažeidė BDAR 5 straipsnio 1 dalies a punkte nustatytą teisėtumo principą, taip pat duomenų kiekio mažinimo principą (BDAR 5 straipsnio 1 dalies c punktas) bei vientisumo ir konfidencialumo principą (BDAR 5 straipsnio 1 dalies f punktas).

Nagrinėjamu atveju pareiškėjas, kurio galimai padarytą asmens duomenų apsaugos pažeidimą vertino Inspekcija, yra profesionalus teisininkas – advokatas. Lietuvos advokatūra 2018 m. rugsėjo 20 d. yra patvirtinusi Rekomendacijas dėl asmens duomenų tvarkymo advokato profesinėje veikloje. Darytina išvada, kad pareiškėjui yra žinomi ir suprantami asmens duomenų teisinę apsaugą reguliuojantys teisės aktai, jis BDAR, Lietuvos Respublikos įstatymų ir Lietuvos advokatūros teisės aktų yra įpareigotas savo veikloje užtikrinti tinkamą asmens duomenų apsaugą.

Pareiškėjas nei Inspekcijai, nei teismui nepateikė įrodymų, kad elektroninio pašto adresą ir sutikimą juo gauti pretenziją gavo iš paties trečiojo suinteresuoto asmens arba kad ėmėsi priemonių, prieš išsiųsdamas elektroninį laišką su pretenzija, įsitikinti, kokie UAB „(duomenys neskelbtini)“ darbuotojai naudojasi elektroninio pašto adresu (duomenys neskelbtini). Pareiškėjo paaiškinimai patvirtina, kad jis darė prielaidą, jog bendrovės interneto svetainėje skelbiamas elektroninio pašto adresas yra naudojamas V. P., buvusio bendrovės vadovo. Pareiškėjas nepateikė teismui įrodymų apie tai, kad pretenzijos išsiuntimo dieną bendrovės interneto svetainėje trečiasis suinteresuotas asmuo buvo nurodomas kaip bendrovės vadovas ir kad elektroninio pašto adresas (duomenys neskelbtini) viešai buvo skelbiamas kaip bendrovės direktoriaus – trečiojo suinteresuoto asmens – elektroninio pašto adresas. Jis, gavęs trečiojo asmens duomenis iš klientės ir viešų registrų, turėjo užtikrinti trečiojo suinteresuoto asmens duomenų saugumą, tačiau elgėsi priešingai – sąmoningai, suprasdamas, kad savo veiksmais pažeidžia asmens duomenų apsaugos reikalavimus, padarė duomenų apsaugos pažeidimą – elektroniniu paštu perdavė trečiajam asmeniui – UAB „(duomenys neskelbtini)“ – trečiojo suinteresuoto asmens duomenis.

LVAT, formuodamas vienodą administracinių teismų praktiką taikant įstatymus, nagrinėdamas tokio pobūdžio administracines bylas, yra pažymėjęs, kad padarytas pažeidimas yra susijęs su asmens duomenų teisine apsauga, kuriai taikomi itin aukšti tiek teisinio reglamentavimo, tiek šių duomenų naudojimo standartai. Jie didesne dalimi yra prevencinio pobūdžio, skirti ginti žmogaus privataus gyvenimo neliečiamumą, todėl atsakomybė už pažeidimus gali būti taikoma neatsižvelgiant į neigiamų pasekmių kilimą. Duomenų valdytojas privalo užtikrinti, kad duomenys būtų renkami apibrėžtais ir teisėtais tikslais, tiksliai, sąžiningai ir teisėtai.

Advokatūros įstatymo 44 straipsnio 1 punkte nustatyta, kad advokatas, vykdydamas advokato veiklą, turi teisę gauti iš valstybės ir savivaldybių institucijų, taip pat registrų, valstybės informacinių sistemų jų turimą ar tvarkomą ir teisinėms paslaugoms teikti reikalingą informaciją, duomenis (įskaitant specialių kategorijų asmens duomenis), dokumentus, jų nuorašus. Advokato kreipimesi turi būti pateikti duomenys, įrodantys prašomų pateikti dokumentų ar jų nuorašų ryšį su teisinių paslaugų teikimu.

Nagrinėjamos bylos kontekste taip pat pažymėtina, kad pareiškėjas, vykdydamas advokato veiklą, turi teisę savarankiškai rinkti teisinėms paslaugoms teikti reikalingus duomenis, kuriuos advokatas gali gauti nesinaudodamas procesinėmis prievartos priemonėmis, t. y. gauti iš asmenų reikalingus dokumentus ar jų nuorašus, ar kitokią teisinėms paslaugoms teikti reikalingą informaciją (Advokatūros įstatymo 44 straipsnio 2 punktas). Taigi, pareiškėjui Advokatūros įstatymas suteikia teisę pasirinkti tam tikrą įrodymų rinkimo būdą. Pažymėtina, kad šioje teisės normoje apibrėžta advokato teisė rinkti informaciją nėra absoliuti, naudojantis šia teise turi būti paisoma asmens duomenų tvarkymo kriterijų, proporcingumo principų bei visuomet turi būti pagrįstas ir aiškus renkamos informacijos panaudojimo tikslas. Asmens duomenys turi būti tvarkomi ir renkami vadovaujantis BDAR 5 straipsnio 1 dalies c punktu – duomenų kiekio mažinimo principu.

Advokatai, esant teisėtam pagrindui, gali gauti duomenis iš viešų registrų, be to, iš kitų šaltinių rinkti ir kitais būdais tvarkyti asmens duomenis, tačiau taip pat turi pareigą juos tvarkyti, iš anksto apibrėžtam bei teisėtam asmens duomenų tvarkymo tikslui, ir tik tokia apimtimi, kuri būtina nustatytam tikslui pasiekti, ir tik esant nors vienai BDAR 6 straipsnio 1 dalyje bei 9 straipsnio 2 dalyje numatytai teisėto asmens duomenų tvarkymo sąlygai.

Teismas daro išvadą, kad pareiškėjas, vykdydamas advokato veiklą, turėjo teisę tvarkyti trečiojo suinteresuoto asmens duomenis tam, kad įvykdytų klientės pavedimus pagal teisinių paslaugų sutartį, tačiau privalėjo duomenis tvarkyti nepažeisdamas BDAR ir ADTAĮ nuostatų. Tačiau pareiškėjas nei Inspekcijai, nei teismui nepateikė įrodymais pagrįstų argumentų, kad trečiojo suinteresuoto asmens duomenų tvarkymo veiksmas – jų persiuntimas UAB „(duomenys neskelbtini)“ elektroniniu paštu, neįsitikimus, ar elektroninio paštu adresu naudojasi pretenzijos adresatai ir ar elektroniniame pašte esanti informacija nėra prieinama kitiems, su pretenzija nesusijusiems bendrovės darbuotojams, buvo būtinas teisėtam tikslui pasiekti – užtikrinti, kad pretenziją trečiasis suinteresuotas asmuo gautų kaip galima greičiau ir nutrauktų savo galimai neteisėtus veiksmus klientės atžvilgiu. Nors pareiškėjas privalėjo įgyvendinti tinkamas technines ir organizacines priemones, kad užtikrintų, jog trečiojo suinteresuoto asmens duomenys būtų tvarkomi laikantis BDAR, tačiau to neužtikrino ir atskleidė asmens duomenis pažeisdamas BDAR reikalavimus.

Teismas, įvertinęs byloje pateiktus rašytinius įrodymus ir dalyvaujančių byloje asmenų paaiškinimus, daro išvadą, kad pareiškėjo tikslas – užtikrinti, kad pretenziją V. P. ir jo sutuoktinė gautų kaip galima greičiau ir nutrauktų savo galimai neteisėtus veiksmus klientės atžvilgiu – galėjo būti pasiektas ir neatskleidus trečiojo suinteresuoto asmens duomenų bendrovei.

Teismo įsitikinimu, tai, kad pretenzijos tekstas buvo pateiktas ne pačiame elektroniniame laiške, o jo priede ir kad laiške po advokato parašu yra prierašas apie konfidencialumą, nelaikytina pakankama priemone apsaugoti siunčiamus asmens duomenis, kadangi byloje nėra jokių įrodymų, kad pareiškėjas siųsdamas elektroninį laišką užtikrino, jog jo priede esančią pretenziją atidaryti ir su ja susipažinti galėtų išimtinai tik pretenzijos adresatai.

Teisėjų kolegija, įvertinusi anksčiau išdėstytas aplinkybes, daro išvadą, kad pareiškėjas 2022 m. vasario 18 d. UAB „(duomenys neskelbtini)“ elektroniniu paštu (duomenys neskelbtini) išsiųsdamas pretenziją, adresuotą trečiajam suinteresuotam asmeniui, taip atskleisdamas trečiojo suinteresuoto asmens duomenis įmonės darbuotojams be teisėto pagrindo, pažeidė BDAR 5 straipsnio 1 dalies a punkte nustatytą teisėtumo principą, duomenų kiekio mažinimo principą (BDAR 5 straipsnio 1 dalies c punktas) bei vientisumo ir konfidencialumo principą (BDAR 5 straipsnio 1 dalies f punktas).

Teismas atmeta pareiškėjo patikslintame skunde pateiktą poziciją, kad ginčo asmens duomenys galėjo būti tvarkomi vadovaujantis ir BDAR 6 straipsnio 1 dalies b punktu, kadangi, duomenų tvarkymo pagal šį punktą teisėtumas siejamas su būtinybe tvarkyti duomenis būtina siekiant įvykdyti sutartį, kurios šalis yra duomenų subjektas, arba siekiant imtis veiksmų duomenų subjekto prašymu prieš sudarant sutartį. Ginčo faktinė situacija neatitinka duomenų tvarkymo pagal BDAR 6 straipsnio 1 dalies b punktą.

Pažymėtina, kad šioje byloje tarp šalių ginčas kilo ne dėl fakto, ar pareiškėjas apskritai turėjo teisę tvarkyti trečiojo suinteresuoto asmens duomenis, bet dėl to, ar pareiškėjas atlikdamas konkretų duomenų tvarkymo veiksmą (operaciją) – trečiojo suinteresuoto asmens duomenų atskleidimą – persiunčiant juos elektroniniu paštu laikėsi BDAR reikalavimų.

Teisėjų kolegija pažymi, kad pareiškėjo patikslinto skundo argumentai dėl jo abejonių, kaip bendrovė užtikrina savo darbuotojų konfidencialumą keliems darbuotojams naudojantis vienu elektroninio pašto adresu, nėra susiję su nagrinėjamos bylos ginčo dalyku, kadangi šiuo atveju vertinami pareiškėjo veiksmai tvarkant būtent trečiojo suinteresuoto asmens duomenis, o ne bendrovės (jos administracijos) veiksmai.

Teismas, įvertinęs pareiškėjo padarytą pažeidimą, daro išvadą, kad pareiškėjui skundžiama sprendimo dalimi skirta poveikio priemonė – papeikimas – atitinka jo padaryto pažeidimo pobūdį ir mastą, todėl nėra neproporcinga ar neadekvati, ji atitinka ir tikslingumo bei veiksmingumo kriterijus. Pažymėtina, jog pareiškėjas patikslintame skunde nepateikė jokių argumentų, kodėl jam paskirta poveikio priemonė yra nepagrįsta ar neproporcinga.

Remdamasi tuo, kas išdėstyta, teisėjų kolegija konstatuoja, kad Inspekcija tinkamai išnagrinėjo trečiojo suinteresuoto asmens skundą, sudarė galimybę pareiškėjui pateikti paaiškinimus ir juos pagrindžiančius įrodymus, įvertino visus surinktus duomenis, tinkamai pritaikė teisės normas ir padarė pagrįstą išvadą, kad pareiškėjas elektroniniu paštu bendrovei išsiųsdamas pretenziją trečiojo suinteresuoto asmens duomenis tvarkė nesilaikydamas BDAR reikalavimų, ir dėl šios trečiojo suinteresuoto asmens skundo Inspekcijai dalies priėmė teisėtą bei pagrįstą sprendimą. Inspekcija, vertindama faktines aplinkybes ir priimdama ginčijamą sprendimo dalį, vadovavosi galiojančiais teisės aktais, surinko ir išsamiai ištyrė ginčui aktualią informaciją. Esant nurodytoms aplinkybėms, patenkinti pareiškėjo patikslinto skundo remiantis jame nurodytais motyvais nėra teisinio pagrindo, todėl jis atmetamas (ABTĮ 88 straipsnio 1 punktas).

ABTĮ 40 straipsnio 1 dalyje nustatyta, kad proceso šalis, kurios naudai priimtas sprendimas, turi teisę gauti iš kitos proceso šalies savo išlaidų atlyginimą.

Kadangi pareiškėjo patikslintas skundas atmetamas, nėra pagrindo jam priteisti patirtų bylinėjimosi išlaidų. Atsakovė ir trečiasis suinteresuotas asmuo į bylą nepateikė rašytinių įrodymų apie patirtas bylinėjimosi išlaidas.

Rezoliucinė dalis

Vadovaudamasis Lietuvos Respublikos administracinių bylų teisenos įstatymo 84, 86–87 straipsniais, 88 straipsniu, 132 straipsniu, teismas,

nusprendžia:

Pareiškėjo D. P. patikslintą skundą atmesti.

Sprendimas per trisdešimt kalendorinių dienų nuo jo paskelbimo dienos gali būti skundžiamas apeliacine tvarka Lietuvos vyriausiajam administraciniam teismui, apeliacinį skundą paduodant per Vilniaus apygardos administracinį teismą.

Teisėjos Saulius JakaitisAgnė StankevičienėFausta Vitkienė