Lietuvos vyriausiojo administracinio teismo nutartis

Pareiškėjas PRS1 (toliau – ir pareiškėjas) kreipėsi į teismą su skundu, prašydamas panaikinti Valstybinės duomenų apsaugos inspekcijos (toliau – ir atsakovas, Inspekcija) 2023 m. rugpjūčio 23 d. sprendimą Nr. 3R-869 (2.13-1.E) (toliau – ir Sprendimas) ir priteisti patirtas bylinėjimosi išlaidas.Pareiškėjas skunde nurodė, kad:Žmonės priversti naudotis bankų paslaugomis, bankams leista tvarkyti jautriausius asmens duomenis. Sukaupti asmens duomenys gali būti panaudoti asmenims kontroliuoti, sekti juos ir panaudoti verslo ar politiniais tikslais. Bankuose laikomi pinigai nėra visiškai saugūs, kadangi kasdien vyksta kibernetiniai incidentai, išviliojami ir kitaip nusavinami pinigai, esantys banko sąskaitose, todėl siekiama sudaryti įspūdį, kad bankai labai rūpinasi sauga. Akcinė bendrovė (toliau – ir AB) SEB bankas (toliau ir – Bankas) tiesioginiu būdu (SMS pranešimais) braunasi į privatų gyvenimą, nepageidautinai trukdo, t. y. prievarta teikia informaciją. Be to, sukčiai taip pat gali imituoti (apsimesti) banku ir siųsti SMS (ar elektroniniu paštu) pranešimus, todėl bankai veikia kaip sukčiai, jei prievarta siunčia nepageidaujamus pranešimus, užuot aiškiai pareiškę, kad nepageidaujamų pranešimų tikrai nesiunčia, taip leidžiant aiškiai suprasti, kad nepageidautini SMS pranešimai – tėra sukčių šlamštas. Asmenys, kurie nustatė ar kitaip pareiškė, jog nepageidauja gauti paslaugų SMS pranešimais (ir naujienų), jų ir nesitiki iš banko. Todėl priverstinai siunčiamus banko SMS tampa sudėtinga atskirti ir suprasti – kurie pranešimai yra tikri, o kurie – ne. Lietuvos Respublikos Konstitucija nustato pareigą valstybei saugoti asmens privatumą, tačiau vyksta priešingas procesas – tarnaujama ne žmogui, o bankui. Inspekcija savo sprendimais patvirtino, kad pataikauja bankams, pvz., tiesiogiai (elektroniniu paštu) siūlomų „bank-link“ paslaugų ar nuomonės teiravimosi nelaiko tiesiogine rinkodara, net jei asmuo tam prieštarauja, taip suteikiant išimtis ir privalumą dėl paslaugų siūlymo, lyginant su kitokių verslų sektoriais.Nėra ginčo, jog Inspekcija, pasikreipusi į Lietuvos banką, buvo priversta pripažinti, kad Bankas siųsdamas SMS pranešimus negalėjo vadovautis 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – ir BDAR) 6 straipsnio 1 dalies c punktu (tvarkyti duomenis būtina, kad būtų įvykdyta duomenų valdytojui taikoma teisinė prievolė), nes tokios prievolės tiesiog nėra. Bankas aiškiai nurodė, kad pagrindas tvarkyti asmens duomenis siunčiant konkrečius bendro pobūdžio informacinius SMS pranešimus (naujienas) apie incidentus yra BDAR 6 straipsnio 1 dalies c punktas ir nesutiko patenkinti pareiškėjo prašymo – netvarkyti asmens duomenų siunčiant SMS pranešimus. Bankas, atsakydamas į pareiškėjo klausimą, kokiu teisėtu pagrindu tvarko pareiškėjo asmens duomenį – mobilaus telefono numerį, turėjo pareigą pateikti visą informaciją apie tuo metu nustatytus asmens duomenų tikslus dėl minimų SMS pranešimų siuntimo.Inspekcija viršija savo kompetenciją (nebūdama net bendruoju duomenų valdytoju) ir ima vietoje Banko nustatinėti kitus (naujus) asmens duomenų tvarkymo tikslus ir teisinį pagrindą, todėl Inspekcija nesilaiko Lietuvos Respublikos viešojo administravimo įstatymo (toliau – ir VAĮ) 3 straipsnyje nurodyto išsamumo principo ir nenurodo konkrečios teisės aktų nuostatos, kuriuo remdamasi nustatinėja Banko tvarkomiems asmens duomenims naujus tikslus ir teisinį pagrindą, nes Bankas pareiškėjui ir Inspekcijai aiškiai nurodė, kad tvarko pareiškėjo asmens duomenis siųsdamas SMS BDAR 6 straipsnio 1 dalies c punkte nustatytu pagrindu, t. y. netvarko pareiškėjo asmens duomenų pagal BDAR 6 straipsnio 1 dalies e ir f punktus.Inspekcijos veikla, kai ji Sprendime nustato (sukuria) kitam duomenų valytojui asmens duomenų tvarkymo tikslus (už jį), yra neteisėta – pažeidžia VAĮ įstatymo viršenybės ir nepiktnaudžiavimo valdžia principus. Jeigu atsakovas mano, kad Bankas teikė klaidingą (melagingą) informaciją – informavimas apie asmens duomenų tvarkymo pagrindus nebuvo skaidrus, todėl neaišku, kodėl Inspekcija nenustatė šio akivaizdaus BDAR pažeidimo, jo neįvardino ir nepaskyrė jokių sankcijų, kurios būtų efektyvios ir užkardytų pažeidimus ateityje, o tai reiškia Inspekcijos neveikimą ir pataikavimą Bankui. Taigi, nesutikimo su Sprendimu esmė –ne dėl Inspekcijos teisės nustatinėti, ar asmens duomenys tvarkomi teisėtai, o tai, kad institucija neteisėtai (už duomenų valdytoją – Banką ) nustatė naujus asmens duomenų tvarkymo tikslus ir teisinį pagrindą ir tada ėmė vertinti asmens duomenų tvarkymo teisėtumą, kas yra neteisėtas veiksmas. Be to, Inspekcija Banko teiginius laiko faktu, todėl Inspekcija pažeidė VAĮ nurodytą lygiateisiškumo principą, nes Bankui įrodyti savo teiginių nereikia, o kitiems – būtinaPagal Konstitucijos 25 straipsnį ir pagal BDAR 21 straipsnio 1 dalį yra privalu įrodyti, jog priverstinis informacijos gavimas yra būtina priemonė, t. y. būtina įrodyti, kad jei nebus gauti bendro pobūdžio SMS pranešimai apie incidentų naujienas (kurie niekaip konkrečiai nesusijęs su pareiškėjui teikiamomis paslaugomis) arba bus gauti kitu būdu (interneto banke ar naujienų portaluose, kuomet pareiškėjo asmens duomenų tvarkyti net nereikia), tai turės realią (ne menamą) įtaką finansų sistemos stabilumui, patikimumui ar neužtikrins kitų klientų, ypač pažeidžiamiausių grupių, finansinių interesų bei asmens duomenų apsaugą. Tačiau nei Bankas, nei Inspekcija to neįrodo, o tik apsiriboja bendromis frazėmis dėl viešojo intereso, kuriam neatstovauja. Tai, kad pareiškėjas negaus tokių Banko pranešimų, tai niekaip nepaveiks nei sukčių, nei apribos Banką imtis veiksmų prieš sukčius, nei kitų vartotojų interesų, nei savaime reiškia, kad pareiškėjas atliks kokius nors neteisėtus veiksmus ar neišvengiamai taps sukčių auka. Inspekcija neturi kompetencijos spręsti, ar konkretus asmuo (pareiškėjas), negaudamas informacijos – bendro pobūdžio naujienų apie incidentus, kelia grėsmę finansų sistemai (stabilumui, patikimumui) ar kitiems banko klientams.Nei valstybė, nei verslas negali kištis į privatų asmens gyvenimą ir daryti jam poveikį, jei pats asmuo to nepageidauja, kai nėra tam realaus ir pagrįsto pagrindo. Nėra pagrindo spręsti, kad Bankas turi teisę pažeisti pareiškėjo privatumą, kėsintis į orumą ir bausti pareiškėją prievartinėmis SMS, taip kenkdamas psichinei sveikatai. Todėl valstybė turi pareigą rūpintis, kad pareiškėjas nepatirtų psichiką žalojančio poveikio. Be to, pareiškėjo nesutikimą su tokiu asmens duomenų tvarkymu (SMS siuntimu) patvirtino ir Lietuvos bankas. Visuomenės sveikatos specialistai teigia, jog pertekliniai duomenys iš kelių šaltinių, informacijos kokybė ir naujos informacijos sklaidos greitis sukelia socialinį ir su sveikata susijusį poveikį, dažnai neigiamai veikia žmonių psichinę sveikatą, be to, tam tikrais atvejais informacija ir (ar) jos gausa gali daryti poveikį asmens psichikos sveikatai.Atsakovas Inspekcija atsiliepime į skundą prašė jį atmesti. Inspekcija atsiliepime nurodė, kad:Pareiškėjas nesutinka su Sprendimo dalimi, kuria Inspekcija įvertino Banko atliktą pareiškėjo asmens duomenų tvarkymo teisėtumą, t. y. pareiškėjas sutinka, kad Inspekcija teisingai nustatė, jog Bankas negalėjo tvarkyti pareiškėjo duomenų, vadovaujantis BDAR 6 straipsnio 1 dalies c punktu, tačiau nesutinka su Sprendimo dalimi, kuria atsakovas nustatė, kad pareiškėjo asmens duomenų pagrindas yra kitas.Pagal BDAR nuostatas duomenų valdytojas privalo įrodyti, kad asmens duomenys galėjo būti tvarkomi ir kad dėl to nebuvo pažeisti BDAR 5 straipsnio 1 dalyje įtvirtinti su asmens duomenų tvarkymu susiję principai. Bankas (duomenų valdytojas), teikdamas paaiškinimus, nurodė, jog remiasi BDAR 6 straipsnio 1 dalies c punktu (teisinės prievolės vykdymu) ir pateikė tokio asmens duomenų tvarkymo pagrindimą, t. y. nurodė, kad tvarko pareiškėjo duomenis vadovaudamasis teisine prievole, kuri yra įtvirtinta Lietuvos Respublikos mokėjimų įstatyme (toliau – ir MĮ). Bankas pareiškėjo asmens duomenų tvarkymą grindė ir 2017 m. lapkričio 27 d. Europos Komisijos deleguotuoju reglamentu (ES) 2018/389, kuriuo Europos Parlamento ir Tarybos direktyva (ES) 2015/2366 papildoma griežto kliento autentiškumo patvirtinimo ir bendrų ir saugių atvirųjų ryšių standartų techniniais reguliavimo standartais (toliau – ir Deleguotasis reglamentas), kuris numato tam tikrus bendruosius principus ir reikalavimus, skirtus užtikrinti sukčiavimo prevenciją, nedetalizuojant jų įgyvendinimo būdo, apimties ir konkrečių priemonių. Bankas taip pat rėmėsi 2019 m. lapkričio 28 d. Europos bankininkystės institucijos (angl. European Banking Authority) (toliau – ir EBA) patvirtintų EBI IRT ir saugumo rizikos valdymo gairių Nr. EBA/GL/2019/04 (toliau – ir EBA gairės) nuostatomis. Bankas akcentavo, kad pagrindinis informacinių pranešimų siuntimas dėl sukčiavimo prevencijos yra itin svarbus ir reikšmingas pareiškėjui, siekiant jį apsaugoti nuo galimų grėsmių.Banko paaiškinimai pagrindžia pareiškėjo asmens duomenų tvarkymą, remiantis BDAR 6 straipsnio 1 dalies f punkte numatyta duomenų tvarkymo sąlyga, o ne BDAR 6 straipsnio 1 dalies c punktu. Nors Bankas netinkamai įvardino asmens duomenų tvarkymo pagrindą, tačiau pateikė paaiškinimus ir pagrindė pareiškėjo asmens duomenų tvarkymo teisėtumą. Inspekcija priimdama Sprendimą rėmėsi Banko pateiktais paaiškinimais ir įrodymais, todėl nepagrįsti pareiškėjo argumentai, kad atsakovas viršijo savo įgaliojimus. Tai, kad Bankas netinkamai įvardino asmens duomenų tvarkymo pagrindą (nurodė ne tą punktą), tačiau pateikė paaiškinimus ir pagrindė pareiškėjo asmens duomenų tvarkymo teisėtumą, nereiškia, kad Bankas netinkamai tvarkė pareiškėjo asmens duomenis.Sprendime paaiškinta, kodėl MĮ negali būti laikomas kaip teisinė prievolė tvarkyti pareiškėjo asmens duomenis skunde nurodytu tikslu, nes MĮ 54 straipsnyje nėra įtvirtinta imperatyvi įstatymo nuostata privalomai tvarkyti atitinkamus asmens duomenis sukčiavimo prevencijos tikslu. Sprendime taip pat buvo pateikti kiti išsamūs argumentai, pagrindžiantys pareiškėjo asmens duomenų tvarkymo teisėtumą.Pareiškėjas klaidiną teismą, teikdamas, kad Inspekcija nepateikė jokio teisės akto ar jo nuostatos, vertindama, kad pareiškėjo asmens duomenų tvarkymas pagrįstas BDAR 6 straipsnio 1 dalies f punkte nurodytu teisėtu asmens duomenų pagrindu. Teisėtas interesas yra grindžiamas aktualumu, tikrumu ir svarbumu. Pareiškėjo skundo atveju Inspekcija nustatė, kad elektroninių mokėjimų saugumas yra esminis aspektas siekiant užtikrinti vartotojų apsaugą. Sukčiavimo prevencija – tai procesas, kuriuo finansinės įstaigos siekia užkirsti kelią neteisėtiems sukčiavimo veiksmams, tuo apsaugodamos tiek savo, tiek vartotojų interesus, tuo pačiu – ir užtikrindamos finansų sistemos stabilumą. Klientų duomenų tvarkymo tikslas siunčiant pareiškėjo nurodyto turinio komunikaciją yra svarbus ne tik siekiant apsaugoti viešąjį interesą – t. y. finansų sistemos stabilumą ir patikimumą, bet ir užtikrinti klientų, ypač pažeidžiamiausių grupių, finansinių interesų bei asmens duomenų apsaugą. Vadovaudamasi šiais argumentais, Inspekcija sprendė, kad Bankas sukčiavimo prevencijos komunikacijos tikslu turi teisėtą interesą tvarkyti pareiškėjo asmens duomenis (įskaitant mobiliojo telefono numerį ir elektroninio pašto adresą). Trečiasis suinteresuotas asmuo AB SEB bankas atsiliepime į pareiškėjo skundą prašė jį atmesti. Bankas nurodė, kad:Bankas nesutinka su atsakovo vertinimu, kad Bankas nurodė netinkamą pareiškėjo asmens duomenų tvarkymo teisinį pagrindą, kadangi BDAR 6 straipsnio 2 dalis numato Europos Sąjungos valstybių narių teisę, tačiau ne pareigą teisės aktuose tiksliai įvardinti konkrečius reikalavimus (pvz., nustatyti duomenų tvarkymo pobūdį, apimtį, tikslą ir pan.), taikomus duomenų tvarkymui pagal BDAR 6 straipsnio 1 dalies c punktą, kuriame įtvirtinta sąlyga duomenų tvarkymui suponuoja tai, kad bendroji duomenų valdytojui taikoma pareiga tvarkyti duomenis privalo būti įtvirtinta duomenų valdytojui taikomame teisės akte, tokia nuostata turi būti konkreti ir apibrėžta.. Bankas VDAI paaiškino, kad pareiškėjo mobiliojo telefono numerį tvarkė siekdamas teisėto tikslo – užtikrinti sukčiavimo, atliekant mokėjimus, prevenciją. Šie pareiškėjo duomenys buvo tvarkomi vadovaujantis BDAR 6 straipsnio 1 dalies c punkte įtvirtintu asmens duomenų tvarkymo teisiniu pagrindu – t. y. nurodytus pareiškėjo duomenys būtina tvarkyti tam, kad būtų tinkamai įvykdytos Bankui, kaip duomenų valdytojui, taikomos teisinės prievolės ir iš jų kylančios Banko pareigos. Be to, Bankui, kaip mokėjimo paslaugų teikėjui, teisės aktais yra nustatyta pareiga užtikrinti sukčiavimo prevenciją pagal MĮ 54 straipsnio nuostatas.Individualus vartotojų informavimas apie vykstančias sukčiavimo atakas, schemas, o taip pat kitos vartotojams skirtos šviečiamosios informacijos, susijusios su sukčiavimo prevencija, teikimas yra tiesiogiai būtinas tam, kad Bankas tinkamai įgyvendintų jam taikomą teisinę prievolę (BDAR 6 str. 1 d. c) p.). Sprendime pateiktos išvados, kad Bankas negalėjo remtis šiuo teisiniu pagrindu, kaip sąlyga pareiškėjo tvarkyti pareiškėjo asmens duomenis siunčiant SMS pranešimus. Inspekcija vertino, kad finansų įstaigos (įskaitant Banką) turi teisėtą interesą tvarkyti savo klientų asmens duomenis (įskaitant mobiliojo telefono numerį ir elektroninio pašto adresą) sukčiavimo prevencijos komunikacijos tikslu (BDAR 6 str. 1 d. f) p.).Vertinant Europos Sąjungos ir nacionaliniu lygmeniu mokėjimo paslaugų teikimui taikomus teisės aktus, manytina, kad būtent BDAR 6 straipsnio 1 dalies c punkte įtvirtintas pagrindas (teisėto tvarkymo sąlyga) yra vyraujantis teisinis pagrindas finansų įstaigoms tvarkant mokėjimo paslaugų klientų ir susijusius asmens duomenis sukčiavimo prevencijos (stebėsenos) tikslais. Kartu sutiktina, kad aptariamoms duomenų tvarkymo operacijoms šalia ir papildomai gali būti taikomas ir Banko teisėtas interesas, kaip fakultatyvinis aptariamo tvarkymo operacijų pagrindas aptariamais tikslais tiek, kiek tokio tvarkymo neapima teisinė prievolė (BDAR 6 str. 1 d. f) p.).Pabrėžtina, kad individualus vartotojų informavimas apie vykstančias sukčiavimo atakas ir kitos šviečiamosios informacijos, susijusios su sukčiavimo prevencija, teikimas vartotojams visų pirma yra Banko teisinė prievolė, o tik po to ir tiek, kiek aptariamo tvarkymo operacijų aptariamais tikslais neapima teisinė prievolė – Banko teisėtas interesas. Nors Bankas ir nesutinka su Inspekcijos vertinimu, kad Bankas netinkamai įvardino pareiškėjo asmens duomenų tvarkymo pagrindą, tačiau mano, kad Inspekcija, nepažeisdama išsamumo principo ir teisės į gerą viešąjį administravimą, tinkamai, neviršydama savo kompetencijos išnagrinėjo pareiškėjo skundą.