Administracinė byla Nr. eI2-1009-809/2022
Teisminio proceso Nr. 3-61-3-02844-2021-6 Procesinio sprendimo kategorijos: 26; 55.1.3
(S)
VILNIAUS APYGARDOS ADMINISTRACINIS TEISMAS
SPRENDIMAS
LIETUVOS RESPUBLIKOS VARDU
2022 m. gegužės 30 d.
Vilnius
Vilniaus apygardos administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Gitanos Butrimaitės, Egidijos Puzinskaitės ir Eglės Žulytės-Janulionienės (teisėjų kolegijos pirmininkė ir pranešėja),
viešame teismo posėdyje rašytinio proceso tvarka išnagrinėjo administracinę bylą pagal pareiškėjo T. G. skundą atsakovei Lietuvos kariuomenei dėl sprendimo panaikinimo ir įpareigojimo atlikti veiksmus.
Teismas
nustatė:
Pareiškėjas kreipėsi į teismą su skundu prašydamas panaikinti Lietuvos Kariuomenės 2021 m. rugsėjo 21 d. sprendimą Nr. KVS-379 (toliau – ir Sprendimas) bei įpareigoti atsakovę išsamiai ir motyvuotai atsakyti į pareiškėjo 2021 m. rugsėjo 14 d. kreipimąsi dėl asmens duomenų pažeidimo, įpareigoti atsakovę pateikti pareiškėjui administracinės procedūros sprendimą bei įpareigoti atsakovę pranešti Valstybinei duomenų apsaugos inspekcijai (toliau – ir VDAI) apie skunde nurodytą T. G. asmens duomenų apsaugos pažeidimą.
Nurodo, kad 2021 m. rugpjūčio 31 d. „Google“ paieškos internetinėje svetainėje bei atsakovės internetiniame puslapyje buvo nurodyta prieiga prie pareiškėjo asmens duomenų. Pareiškėjo teigimu, 2021 m. balandžio 30 d. Ž. M. ir I. M. akto Nr. FS-177 dalis, kurioje be pareiškėjo sutikimo ir leidimo paviešinami pareiškėjo duomenys turėtų būti panaikinti. Atsakovės veiksmai, kai be pareiškėjo leidimo viešinami pareiškėjo asmens duomenys, laikytini neteisėtais. Pareiškėjas 2021 m. rugsėjo 14 d. kreipėsi į atsakovę užduodamas atitinkamus klausimus dėl pareiškėjo duomenų paviešinimo bei prašė priimti atitinkamus veiksmus – priimti administracinius aktus kreiptis į VDAI bei pranešti apie pažeidimą. Atsakovė atsakė skundžiamu 2021 m. rugsėjo 21 d. sprendimu Nr. KVS-379.
Nors atsakovė laikosi pozicijos, kad pažeidimo nepadarė, tačiau Ž. M. ir I. M. pareiškėjo asmens duomenis gavo ne iš pareiškėjo. Pareigūnės tvarkė pareiškėjo duomenis nesivadovaudamos BDAR nustatyta tvarka ir prieš tai apie tai neinformavo pareiškėjo. Be to, atsakovė neatsakė į pareiškėjo užduotus klausimus.
Atsakovė pripažino, kad 2021 m. liepos mėn. buvo patalpintas nenuasmenintas atsakovės Finansų ir apskaitos departamento 2021 m. balandžio 30 d. Lietuvos kariuomenės 2021 m. pirmojo ketvirčio tarpinės finansinės ataskaitos sutrumpintas aiškinamasis raštas Nr. FS-177 (toliau – ir Raštas), kuriame buvo nurodytas pareiškėjo vardas, pavardė bei, kad pareiškėjas kreipėsi į teismą dėl 4 000 Eur žalos iš atsakovės atlyginimo. Pareiškėjo teigimu, atsakovė pažeidė pareiškėjo teises, nes Sprendimas neatitinka Viešojo administravimo įstatymo (toliau – ir VAĮ) reikalavimų, atsakovė nepagrįstai vilkina atlikti prašomus veiksmus.
Pažymi, kad atsakovė, sudarydama tiesioginę ar netiesioginę prieigą prie skunde nurodytų duomenų neribotam „Google“ vartotojų skaičiui, veikė nerūpestingai ir neapdairiai. Pareiškėjas nedavė atsakovei sutikimo viešinti jo duomenis, todėl prašo atsakovės pasisakyti iš esmės, kokiu pagrindu remiantis „Google“ pradėjo valdyti atsakovės dokumente nustatytus pareiškėjo duomenis, ar atsakovė turi su „Google“ sudariusi duomenų perdavimo sutartį.
Pareiškėjo vertinimu, atsakovė neįgyvendino BDAR 5 straipsnio 1 dalies f punkte įtvirtintos nuostatos. Be to, atsakovės veiksmai iš esmės nesuderinami su BDAR įtvirtintais reikalavimais, keliamais dėl asmens duomenų saugumo.
Pabrėžia, kad atsakovė motyvuotai neatsakė į pareiškėjo kreipimesi pateiktus klausimus.
Atsakovė Lietuvos kariuomenė atsiliepimo argumentais prašo pareiškėjo skundą atmesti.
Nurodo, kad pagal 2021 m. rugsėjo 3 d. pranešimą „Apie galimą asmens duomenų pažeidimą“ Lietuvos kariuomenėje tą pačią dieną buvo atliktas asmens duomenų saugumo pažeidimo tyrimas, kurio metu nustatyta, kad pareiškėjo duomenys buvo paviešinti dėl žmogiškosios klaidos. Taigi, dar iki pareiškėjo kreipimosi, Lietuvos kariuomenė atliko administracines procedūras ištirti galimam asmens duomenų pažeidimui t. y., vadovaujantis 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – BDAR) nuostatomis ir Valstybinės duomenų apsaugos inspekcijos 2018 m. liepos 2 d. rekomendacijomis „Dėl Asmens duomenų saugumo pažeidimų nustatymo, tyrimo, pranešimo apie juos ir dokumentavimo tvarkos“ (toliau – Rekomendacijos), 2021 m. rugsėjo 3 d. buvo atliktas asmens duomenų saugumo pažeidimo tyrimas, tyrimo rezultatai buvo įforminti surašytoje Ataskaitoje. Atsakyme pareiškėjui buvo pateikti ne tik atsakymai į jo pateikiamus klausimus bet ir administracinės procedūros (atlikto tyrimo) rezultatai. Lietuvos kariuomenė pripažino, kad buvo padarytas asmens duomenų pažeidimas, nurodė pažeidimo padarymo priežastis, nurodė, kokių priemonių buvo imtasi pažeidimui pašalinti bei pateikė galutinius rezultatus – pareiškėjo asmens duomenys panaikinti iš viešos internetinės erdvės (Lietuvos kariuomenės interneto svetainės ir „Google“ paieškos rezultatų). Lietuvos kariuomenė, vadovaudamasi BDAR 33 straipsnio 1 dalimi, kai asmens duomenų saugumo pažeidimas neturėtų kelti pavojaus fizinių asmenų teisėms ir laisvėms, nepateikė pranešimo VDAI. Pagal BDAR 34 straipsnio 1 dalį, kai nenustatomas didelis pavojus duomenų fizinių asmenų teisėms ir laisvėms apie asmens duomenų pažeidimą duomenų subjektas taip pat nėra informuojamas. Pažymi, kad nustatant pavojų fizinių asmenų teisėms ir laisvėms buvo laikomasi BDAR ir Rekomendacijose nustatytų vertinimo kriterijų, buvo atsižvelgiama į asmens duomenų saugumo pažeidimo tipą, kategoriją, galimybę nustatyti asmens tapatybę, pasekmių rimtumą, duomenų subjekto ypatumus. Taip pat buvo vertinama kilusi grėsmė pačiam duomenų subjektui (kaip pvz. materialinė ir fizinė žala, reputacijos suprastėjimas, galimybė pasisavinti asmens tapatybę, patirti diskriminaciją, teisių apribojimą, prarasti duomenų kontrolę). Taigi, nors ir buvo nustatytas asmens duomenų pažeidimas, tačiau nėra aplinkybių, kurios ar kurių visuma suponuotų pavojų asmens duomenų subjekto teisėms ir laisvėms. Pats atsakymas pareiškėjui nesukelia teisinių pasekmių, nelemia pareiškėjo materialiųjų teisių ir pareigų, atsakyme nesuformuluotos pareiškėjui privalomos elgesio taisyklės, jame pateikta informacija apie Lietuvos kariuomenės padarytą asmens duomenų pažeidimą ir atliktą tyrimą, tuo pačiu atsakant į pareiškėjo pateiktus klausimus. Tai, kad nebuvo pažodžiui ir papunkčiui atsakyta į kiekvieną pareiškėjo klausimą atskirai, nelaikyta pažeidimu, kai iš atsakymo turinio aiškiai galima spręsti, jog visi pareiškėjui aktualūs klausimai buvo aptarti ir atsakyti. Mano, kad skundžiamas atsakymas atitinka VAĮ keliamus reikalavimus.
konstatuoja:
Byloje ginčas keliamas dėl Lietuvos Kariuomenės 2021 m. rugsėjo 21 d. sprendimo Nr. KVS-379 teisėtumo ir pagrįstumo bei įpareigojimo atsakovę išsamiai ir motyvuotai atsakyti į pareiškėjo 2021 m. rugsėjo 14 d. kreipimąsi dėl asmens duomenų pažeidimo; pateikti pareiškėjui administracinės procedūros sprendimą; pranešti Valstybinei duomenų apsaugos inspekcijai apie skunde nurodytą T. G. asmens duomenų apsaugos pažeidimą.
Bylos medžiaga nustatyta, kad Lietuvos kariuomenė 2021 m. rugsėjo 3 d. gavusi pranešimą iš teismo apie tai, kad teisme yra gautas pareiškėjo skundas dėl galimo asmens duomenų saugos pažeidimo (administracinė byla Nr. eI2-4768-809/2021), nedelsiant (tą pačią dieną) ėmėsi priemonių galimam pažeidimui ištirti. Tą pačią dieną buvo atliktas asmens duomenų saugumo pažeidimo tyrimas, kurio metu buvo nustatyta, kad dėl žmogiškosios klaidos Lietuvos kariuomenės interneto svetainėje 2021 m. liepos 29 – 30 d. buvo patalpintas nenuasmenintas Lietuvos kariuomenės Finansų ir apskaitos departamento 2021 m. balandžio 30 d. Lietuvos kariuomenės 2021 metų pirmo ketvirčio tarpinės finansinės ataskaitos sutrumpintas aiškinamasis raštas Nr. FS-177 (Raštas). Lietuvos kariuomenė, vadovaudamasi Lietuvos Respublikos viešojo sektoriaus atskaitomybės įstatymo 33 straipsnio 1 dalimi, finansinių ataskaitų rinkinius privalo viešai skelbti institucijos interneto svetainėje. Vadovaujantis Lietuvos Respublikos finansų apsaugos ministro 2008 m. rugpjūčio 8 d. įsakymu Nr. 1K-247 „Dėl viešojo sektoriaus apskaitos ir finansinės atskaitomybės 6-ojo standarto patvirtinimo“ finansinių ataskaitų aiškinamuosiuose raštuose privaloma pateikti biudžetinės įstaigos turimus neapibrėžtus finansinius įsipareigojimus, kurie galėtų atsirasti (pvz., pralaimėjus bylą teisme). Rašte buvo nurodyti T. G. nenuasmeninti asmens duomenys (vardas ir pavardė) bei tai, kad asmuo kreipėsi į Vilniaus apygardos administracinį teismą dėl 4 000 Eur žalos (,,Pareiškėjas T. G. kreipėsi į Vilniaus apygardos teismą, prašydamas priteisti iš Lietuvos kariuomenės 4 000,00 Eur neturtinės žalos.“).
Atsakovė atlikdama asmens duomenų saugumo pažeidimo tyrimą, įvertino, kad dėl Rašto nenuasmeninimo ir jame buvusių asmens duomenų paskelbimo Lietuvos kariuomenės svetainėje www.kariuomene.lt pavojaus duomenų subjekto teisėms ir laisvėms nėra. Pavojus duomenų subjekto teisėms ir laisvėms nebuvo nustatytas ir dėl „Google“ buvusių nuorodų į Rašto duomenis minėto interneto svetainėje.
Atsakovė atlikusi duomenų saugumo pažeidimo tyrimą 2021 m. rugsėjo 3 d. parengė Asmens duomenų saugumo pažeidimo ataskaitą Nr. FS-384 (Ataskaita), pažeidimą užregistravo.
Raštą iš interneto svetainės pašalino 2021 m. rugsėjo 3 d. 11:48 val. Taip pat kreipėsi į interneto svetainės kūrėjus, siekiant pašalinti „Google“ pateikiamus paieškos rezultatus.
Pareiškėjas 2021 m. rugsėjo 14 d. kreipėsi į Lietuvos kariuomenę dėl asmens duomenų pažeidimo, į kurį pareiškėjui buvo atsakyta 2021 m. rugsėjo 21 d. Sprendimu.
Pareiškėjas nesutikdamas su Sprendimu bei prašydamas įpareigoti atsakovę atlikti įstatyme nustatytus veiksmus – kreiptis į VDAI dėl nustatyto pažeidimo, su skundu kreipėsi į teismą.
Dėl Lietuvos Kariuomenės 2021 m. rugsėjo 21 d. sprendimo Nr. KVS-379 teisėtumo
Lietuvos kariuomenė yra biudžetinė įstaiga, kuriai VAĮ (redakcija, galiojusi Sprendimo priėmimo metu) nustatyta tvarka gali būti suteikiami įgaliojimai atlikti viešasias funkcijas šio įstatymo 6 straipsnyje (Viešojo administravimo sritys) nustatytose viešojo administravimo srityse (VAĮ 5 straipsnio 2 dalies 1 punktas). Taigi, Lietuvos kariuomenė įgaliota veikti taip pat ir viešojo administravimo srityje (VAĮ 4 straipsnio 2 dalis). Atsižvelgiant į tai, atsakovei taikytinos tiek VAĮ, tiek Lietuvos Respublikos Vyriausybės 2007 m. rugpjūčio 22 d. nutarimu Nr. 875 patvirtintų Asmenų prašymų nagrinėjimo ir jų aptarnavimo viešojo administravimo institucijose, įstaigose ir kituose viešojo administravimo subjektuose taisyklių (toliau – ir Taisyklės) nuostatos.
VAĮ nuostatos nustato kreipimosi į viešojo administravimo subjektus formas – prašymą ir skundą. Prašymas – su asmens teisių ar teisėtų interesų pažeidimu nesusijęs asmens kreipimasis į viešojo administravimo subjektą, prašant priimti administracinį sprendimą arba atlikti kitus teisės aktuose nustatytus veiksmus (VAĮ 2 straipsnio 14 dalis). Skundas – asmens rašytinis kreipimasis į viešojo administravimo subjektą, kuriame nurodoma, kad yra pažeistos jo teisės ar teisėti interesai, ir prašoma juos apginti (VAĮ 2 straipsnio 15 dalis). Asmenų skundai dėl viešojo administravimo subjekto veiksmų, neveikimo ir administracinių sprendimų nagrinėjami VAĮ trečiajame skirsnyje nustatyta tvarka (VAĮ 14 straipsnio 3 dalis). Asmenų prašymus ir skundus viešojo administravimo subjektai nagrinėja pagal Vyriausybės patvirtintas taisykles (VAĮ 14 straipsnio 1 dalis).
VAĮ trečiasis skirsnis reglamentuoja administracinės procedūros įgyvendinimo tvarką. Pagal VAĮ 19 straipsnio 1 dalį, administracinė procedūra – pagal šį įstatymą viešojo administravimo subjekto atliekami privalomi veiksmai nagrinėjant skundą apie viešojo administravimo subjekto veiksmais, neveikimu ar administraciniais sprendimais galimai padarytą asmens, nurodyto skunde, teisių ir teisėtų interesų pažeidimą ir priimant dėl to administracinės procedūros sprendimą. Įvertinus aukščiau nurodytą teisinį reglamentavimą, darytina išvada, jog Lietuvos Kariuomenė priima skirtingo pobūdžio galutinius sprendimus (atsakymą arba administracinės procedūros sprendimą), priklausomai nuo asmens kreipimosi pobūdžio (skundo arba prašymo).
Nagrinėjamu atveju nustatyta, kad pareiškėjas kreipėsi į atsakovę su 2021 m. rugsėjo 14 d. el. laišku, kuriame nurodė aplinkybes apie tai, kad tarptautinės bendrovės „Google“ paieškos internete sistemoje www.google.lt ir www.google.com bei Lietuvos kariuomenės internetiniame puslapyje sudaryta prieiga prie pareiškėjo asmens duomenų (vardas, pavardė) ir informacijos apie privatų pareiškėjo gyvenimą. Tuo pagrindu pareiškėjas, vadovaudamasis BDAR, VAĮ ir Lietuvos Respublikos Konstitucja prašė atsakovės teisiškai paaiškinti kibernetinio incidento priežastis ir motyvuotai atsakyti: 1. Koks subjektas atsakingas už informacijos (teismui pateiktų įrodymų) naikinimą adresu (nurodytas internetinis adresas); 2 Ar Lietuvos kariuomenė pranešė Valstybinei duomenų apsaugos inspekcijai apie asmens duomenų apsaugos pažeidimą ir pateikė ataskaitą BDAR numatyta tvarka? 3. Kokiu būdu Ž. M. ir I. M. sužinojo apie pareiškėjo privatų susirašinėjimą su teismu; 4. Koks subjektas ir kokiu pagrindu Ž. M. ir I. M. perdavė tvarkyti pareiškėjo asmens duomenis? Prašė motyvuoti teisiškai ir nurodyti teisines priežastis bei teisės normą; 5. Prašė pateikti teisinį pagrindą, kuriuo remiantis „Google“ vartotojams buvo sudaryta prieiga sužinoti apie pareiškėjo susirašinėjimą administracinėje byloje. Pareiškėjas taip pat prašė priimti administracinius sprendimus: kreiptis į VDAI ir pranešti apie pareiškėjo asmens duomenų apsaugos pažeidimą bei pateikti VDAI detalią ataskaitą pagal BDAR ir įstatymuose nustatytą tvarką; prašė inicijuoti administracinę procedūrą ir pateikti administracinį sprendimą dėl į kibernetinę erdvę nutekintų pareiškėjo asmens duomenų ir privataus susirašinėjimo su teismu administracinėje byloje.
Nors pareiškėjas 2021 m. rugsėjo 14 d. el. laiške suformulavo atsakovei adresuotus klausimus, į kuriuos prašė atsakyti, tačiau, atsižvelgiant į el. laiško turinį ir pareiškėjo kreipimosi tikslą (galimas pareiškėjo teisių pažeidimas) vertintina, kad pareiškėjas į atsakovę kreipėsi su skundu, kaip jis apibrėžtas VAĮ 2 straipsnio 15 dalies nuostatoje.
Atsakovė į pareiškėjo el. laišką atsakė Sprendimu, kuriame nurodė, kad dar iki pareiškėjo kreipimosi į atsakovę, t. y. 2021 m. rugsėjo 3 d. atliko asmens duomenų saugumo pažeidimo tyrimą, kurio rezultatus įformino Ataskaitoje. Iš Sprendimo turinio matyti, kad atsakovė pripažino pažeidimą, nurodė pažeidimo padarymo priežastis bei nurodė, kad nedelsiant ėmėsi veiksmų pažeidimui panaikinti ir duomenys apie pareiškėją iš viešosios erdvės buvo panaikinti. Kaip Sprendime nurodė atsakovė, aplinkybes, kad pažeidimas buvo padarytas, lėmė ne Lietuvos kariuomenės darbuotojų savanaudiški veiksmai (be jokio teisinio pagrindo domėjimasis pareiškėjo asmens duomenimis ir pan.), tačiau esant pagrįstam teisiniam pagrindui – Lietuvos kariuomenė, vadovaudamasi Lietuvos Respublikos viešojo sektoriaus atskaitomybės įstatymo 33 straipsnio 1 dalimi, institucijos interneto svetainėje privalo viešai paskelbti finansinių ataskaitų rinkinius. Taip pat, vadovaujantis Lietuvos Respublikos finansų apsaugos ministro 2008 m. rugpjūčio 8 d. įsakymu Nr. 1K-247 „Dėl viešojo sektoriaus apskaitos ir finansinės atskaitomybės 6-ojo standarto patvirtinimo“ finansinių ataskaitų aiškinamuosiuose raštuose privaloma pateikti biudžetinės įstaigos turimus neapibrėžtus finansinius įsipareigojimus, kurie galėtų atsirasti (pvz., pralaimėjus bylą teisme). Kadangi su pareiškėju susijusi informacija priskirtina neapibrėžtiems finansiniams Lietuvos kariuomenės įsipareigojimams, todėl atsakovė, vykdydama įstatymu jai nustatytą pareigą, Lietuvos kariuomenės internetiniame puslapyje, į kurį prieiga buvo nukreipta ir “Google” vartotojams, paviešino nenuasmenintus pareiškėjo duomenis. Kaip Sprendime nurodė atsakovė, tai buvo atlikta dėl žmogiškosios klaidos. Sprendime taip pat nurodyta, kad atsakovė padarytą pažeidimą, vadovaudamasi VDAI 2018 m. liepos 2 rekomendacijomis „Dėl Asmens duomenų saugumo pažeidimų nustatymo, tyrimo, pranešimo apie juos ir dokumentavimo tvarkos“, įvertino taip pat ir BDAR 33 straipsnio 1 dalies nuostatos kontekste, o nusprendusi, kad nėra aplinkybių, sukeliančių pavojų pareiškėjo teisėms ir laisvėms, nutarė nesikreipti į VDAI, kaip nustatyta BDAR 33 straipsnio 1 dalyje.
Sprendžiant dėl pareiškėjo reikalavimo panaikinti Sprendimą pagrįstumo, būtina įvertinti šio sprendimo, kuris laikytinas viešojo administravimo aktu, atitiktį VAĮ 10 straipsnio nurodytiems individualaus administracinio akto teisėtumo ir pagrįstumo kriterijams. Taip pat būtina įvertinti, ar nėra ABTĮ 91 straipsnyje nustatytų pagrindų, dėl kurių skundžiamas administracinis aktas turėtų būti panaikintas.
VAĮ 10 straipsnyje nurodyta, kad administraciniame sprendime turi būti nurodomas administracinio sprendimo teisinis ir faktinis pagrindas ar kitos administraciniam sprendimui įtakos turėjusios aplinkybės, motyvai. Administraciniame sprendime turi būti aiškiai suformuluotos nustatytos arba suteikiamos teisės ir pareigos, nurodyta sprendimo apskundimo tvarka (VAĮ 10 straipsnio 5 dalies 7 punktas). Aiškindamas minėto įstatymo straipsnio (iki 2020 m. lapkričio 1 d. VAĮ 8 straipsnis) nuostatas, Lietuvos vyriausiasis administracinis teismas yra pažymėjęs, kad individualiame administraciniame akte motyvų išdėstymas turi būti adekvatus, aiškus ir pakankamas. Akte turėtų būti nurodomi pagrindiniai faktai, argumentai ir įrodymai, pateikiamas teisinis pagrindas, kuriuo viešojo administravimo subjektas rėmėsi, priimdamas administracinį aktą (žr., pvz., Lietuvos vyriausiojo administracinio teismo 2014 m. gruodžio 18 d. sprendimą administracinėje byloje Nr. A-822-1440/14, 2014 m. kovo 19 d. nutartį administracinėje byloje Nr. A-662-839/14, 2009 m. kovo 27 d. nutartį administracinėje byloje Nr. A-756-420/2009). Ši teisės norma siejama su teisėtumo principu, pagal kurį reikalaujama, kad viešojo administravimo subjektai savo veikla nepažeistų teisės aktų reikalavimų, kad jų sprendimai būtų pagrįsti, o sprendimų turinys atitiktų teisės normų reikalavimus (žr., pvz., Lietuvos vyriausiojo administracinio teismo 2014 m. spalio 20 d. nutartį administracinėje byloje Nr. A-602-827-14, 2010 m. rugpjūčio 24 d. sprendimą administracinėje byloje Nr. A-756-2197/2011).
Administracinio sprendimo priėmimo faktinis pagrindas ir individuali argumentacija turi būti žinomi ne tik viešojo administravimo subjektui, priimančiam sprendimą, bet ir asmeniui, kurio atžvilgiu jis priimamas. Individualus administracinis aktas paprastai turi būti toks, kad iš jo būtų galima suprasti visuomeninių santykių esmę, subjektus, dalyvaujančius šiuose santykiuose, būtų aiškus tų visuomeninių santykių teisinis kvalifikavimas. Visiškai nesilaikant minėtų nuostatų ar tai darant tik iš dalies, paprastai kyla pagrįsta abejonė dėl tokio administracinio akto teisėtumo bei pagrįstumo (žr., pvz., Lietuvos vyriausiojo administracinio teismo 2014 m. gruodžio 18 d. sprendimą administracinėje byloje Nr. A822-1440-14).
Lietuvos vyriausiojo administracinio teismo 2008 m. balandžio 10 d. nutartyje administracinėje byloje Nr. A-556-633/2008 pažymėta, kad vadovaujantis VAĮ 8 straipsnio 1 dalies nuostatomis individualus administracinis aktas paprastai turėtų būti toks, kad iš jo būtų galima suprasti visuomeninių santykių esmę, subjektus, dalyvaujančius šiuose santykiuose, būtų aiškus tų visuomeninių santykių teisinis įvertinimas.
Iš ginčijamo Sprendimo turinio matyti, kad atsakovė jame aiškiai išdėstė su konstatuotu pažeidimu susijusių atsakovės veiksmų teisnį ir faktinį pagrindus. Iš Sprendimo suprastina, kad gavusi duomenis apie galimai padarytą asmens duomenų pažeidimą atsakovė nedelsiant veikė vadovaudamasi BDAR ir VDAI rekomendacijų nuostatose nustatyta tvarka (atliko tyrimą, kurį įformino Ataskaitoje; pripažino asmens duomenų pažeidimą; nustatytą pažeidimą įvertino pavojaus pareiškėjo teisėms ir laisvėms aspektu; nustatė, kad pažeidimas buvo padarytas dėl žmogiškos klaidos; ginčo duomenis pašalino iš viešosios erdvės). Nors Sprendimo turinys vientisas ir nebuvo atsakyta į kiekvieną pareiškėjo klausimą atskirai, tačiau iš Sprendimo turinio (konteksto) aiškiai suprastinos pažeidimo atsiradimo priežastys, ką 3, 4 ir 5 klausimais siekė išsiaiškinti pareiškėjas. Kaip nurodė atsakovė, jai įstatymu nustatyta pareiga teikti įstaigos turimus neapibrėžtus finansinius įsipareigojimus, kurie galėtų atsirasti ateityje, todėl būtent renkant (sisteminant) oficialią informaciją pareiškėjo minimoms Lietuvos kariuomenės darbuotojoms tapo žinoma informacija, susijusi su aplinkybėmis pareiškėjo nurodytoje byloje. Kadangi ginčo informacija yra tiesiogiai susijusi su atsakove (iš atsakovės prašoma priteisti žalos suma), todėl atsakovė objektyviai turėjo galimybę disponuoti ir disponavo teisėtai gauta informacija apie pareiškėjo minimą bylą. Taigi, Sprendime šiuos aspektu nurodyos aplinkybės atsako į pareiškėjo keltus klausimus, kokiu būdu Lietuvos kariuomenės darbuotojos sužinojo pareiškėjo asmens duomenis ir koks subjektas joms juos perdavė (3, 4 klausimai). Kaip nurodė atsakovė, pareiškėjo asmens duomenys buvo patalpinti Lietuvos kariuomenės internetiniame puslapyje, o kadangi prieiga prie šio internetinio puslapio buvo galima ir “Google” vartotojams, todėl atitinkamai “Google” vartotojai turėjo galimybę sužinoti pareiškėjo duomenis (5 klausimas). Atsakovė atsakydama į 2 klausimą Sprendime nurodė, kad į VDAI nesikreipė, nes nebuvo BDAR 33 straipsnio 1 dalyje nurodytų išimtinių sąlygų. Iš Sprendimo turinio taip pat suprastina, kad už informacijos (duomenų) paviešinimą ir atitinkamai jų panaikinimą yra atsakinga pati Lietuvos kariuomenė (1 klausimas).
Įvertinus Sprendimo turinį bei atsižvelgiant į Lietuvos vyriausiojo administracinio teismo praktikoje suformuluotus išaiškinimus, darytina išvada, kad Lietuvos kariuomenė pareiškėjo 2021 m. rugsėjo 14 d. kreipimąsį išnagrinėjo tinkamai VAĮ prasme. Sprendime nurodytos faktinės aplinkybės, kurios susietos su taikytu teisiniu reglamentavimu (BDAR, VAĮ), Sprendimo turinys aiškus, suprantamas, į pareiškėjo nurodytus klausimus atsakyta. Darytina išvada, kad Sprendimas atitinka VAĮ 10 straipsnyje nurodytus individualiam administraciniam aktui keliamus reikalavimus ir nenustatyta jokių objektyvių teisinių ir faktinių pagrindų dėl ko Sprendimas turėtų būti panaikintas. Aukščiau aptartais pagridais pareiškėjo skundo argumentai dėl Sprendimo neteisėtumo atmestini kaip nepagrįsti.
Sprendimą pripažinus teisėtu, išvestinis reikalavimas dėl įpareigojimo pareiškėjo 2021 m. rugsėjo 14 d. kreipimąsį išnagrinėti iš naujo negali būti tenkinamas, todėl šis reikalavimas taip pat atmestinas kaip nepagrįstas.
Dėl įpareigojimo Lietuvos kariuomenę pranešti Valstybinei duomenų apsaugos inspekcijai apie pareiškėjo asmens duomenų apsaugos pažeidimą.
Sprendime pareiškėjui buvo pateikti ne tik atsakymai į jo pateiktus klausimus bet ir administracinės procedūros (atlikto tyrimo) rezultatai. Atsakovė Sprendime nurodė, jog į VDAI buvo nutarta nesikreipti nenustačius BDAR 33 straipsnio 1 dalyje nustatytų išimčių.
Pagal BDAR 4 straipsnio 12 punktą, asmens duomenų saugumo pažeidimas dėl kurio netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami persiųsti, saugomi arba kitaip tvarkomi asmens duomenys arba prie jų be leidimo gaunama prieiga. Asmens duomenys, be kita ko, turi būti tvarkomi tokiu būdu, kad taikant atitinkamas technines ar organizacines priemones būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo (vientisumo ir konfidencialumo principas) (BDAR 5 straipsnio 1 dalies f punktas). Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi BDAR 5 straipsnio 1 dalyje nustatytų asmens duomenų tvarkymo principų ir turi sugebėti įrodyti, kad jų laikomasi (atskaitomybės principas) (BDAR 5 straipsnio 2 dalis). BDAR 24 straipsnio 1 dalyje įtvirtinta duomenų valdytojo pareiga įgyvendinti tinkamas technines ir organizacines priemones, kad duomenys būtų tvarkomi laikantis BDAR nuostatų.
Byloje nėra ginčo, kad 2021 m. liepos 29-30 d. Lietuvos kariuomenės internetiniame puslapyje buvo patalpintas nenuasmenintas atsakovės Finansų ir apskaitos departamento 2021 m. balandžio 30 d. Lietuvos kariuomenės 2021 m. pirmojo ketvirčio tarpinės finansinės ataskaitos sutrumpintas aiškinamasis raštas Nr. FS-177 (Raštas), kuriame buvo nurodyta pareiškėjo vardas, pavardė bei, kad pareiškėjas kreipėsi į teismą dėl 4 000 Eur žalos iš atsakovės atlyginimo. Lietuvos kariuomenė atlikusi pažeidimo tyrimą parengė Ataskaitą, kurioje nurodytos sekančios nustatytos aplinkybės: Rašte paminėta informacija su pareiškėjo duomenimis interneto vartotojams buvo prieinama apie mėnesį; pagal Rašte paskelbtus duomenis nėra galimybės nustatyti asmens tapatybės; paviešinti asmens duomenys nei žalos, nei pavojaus asmens teisėms nesukėlė; Raštas iš interneto svetainės www.kariuomenė.lt buvo išimtas 2021 m. rugsėjo 3 d. 11.48 val.; į VDAI kreiptis pagrindo nėra, nes nenustatyta BDAR 33 straipsnio 1 dalyje nustatytų išimčių.
Taigi, nagrinėjamu atveju, nėra ginčo, kad pareiškėjo asmens duomenys buvo tvarkomi neužtikrinus atskaitomybės principo (BDAR 5 straipsnio 2 dalis), nors duomenų valdytojas privalo įgyvendinti visas reikiamas ir būtinas technologines apsaugos ir organizacines priemones saugomiems duomenims užtikrinti.
BDAR 33 straipsnio 1 dalyje įtvirtintas esminis reikalavimas, kuo operatyviau pranešti apie padarytą duomenų apsaugos pažeidimą priežiūros institucijai. Šioje nuostatoje taip pat nustatyta išimtis iš šios taisyklės – jeigu asmens duomenų saugumo pažeidimas neturėtų kelti pavojaus fizinių asmenų teisėms ir laisvėms, kurią duomenų valdytojas turi įvertinti kiekvienu konkrečiu atveju. Taigi, iš paminėtos nuostatos matyti, kad BDAR nustatyta prievolė pranešti apie pažeidimą taikoma ne visais atvejais – jei dėl pažeidimo nekyla pavojaus asmenų teisėms ir laisvėms ir tai reiškia, jog duomenų valdytojas, iš karto po sužinojimo apie pažeidimą, turėtų ne tik imtis priemonių incidentui suvaldyti, tačiau turėtų įvertinti ir pavojų, kuris gali kilti dėl asmens duomenų ar/ir kt. informacijos paviešinimo. Tokio vertinimo atlikimas (pavojaus aspektu) būtų pagrindas išvadai, ar apie pažeidimą būtina pranešti priežiūros institucijai (šiuo atveju VDAI) ir, jei reikia, duomenų subjektui.
Taigi, pagrindinis kriterijus, kuriuo remiantis nustatoma, ar apie pažeidimą reikia informuoti priežiūros instituciją – ar dėl pažeidimo gali kilti didelis pavojus asmens teisėms ir laisvėms. 29 straipsnio darbo grupės parengtose Gairėse dėl pranešimo apie asmens duomenų saugumo pažeidimą pagal Reglamentą (ES) 2016/679, patvirtintą 2017 m. spalio 3 d. (toliau – ir Gairės) pateikti kriterijai padedantys nustatyti padaryto asmens duomenų pažeidimo pavojingumo lygį. Gairėse nurodyta, kad pavojus asmens duomenų subjekto teisėms ir laisvėms kyla (pažeidimas laikytinas pavojingu), kai dėl pažeidimo asmenys, kurių duomenų saugumas buvo pažeistas, gali patirti kūno sužalojimą, materialinę ar nematerialinę žalą. Patirtos žalos pavyzdžiai yra diskriminacija, tapatybės vagystė arba klastojimas, finansiniai nuostoliai, pakenkimas reputacijai. Tikėtina, kad žala taip pat bus padaryta, jei pažeidimas bus susijęs su asmens duomenimis, iš kurių būtų galima sužinoti asmens rasinę arba etninę kilmę, politines pažiūras, religinius arba filosofinius įsitikinimus arba priklausymą profesinei sąjungai, arba kuriuose yra genetinių duomenų, duomenų apie asmens sveikatą arba lytinį gyvenimą, apkaltinamuosius nuosprendžius ir nusikalstamas veikas arba susijusias apsaugos priemones. Iš esmės tie patys kriterijai yra nurodyti ir BDAR 75, 76 konstatuojamosios dalies punktuose.
Pažymėtina, kad Gairėse pateikti ne tik kriterijai, padedantys nustatyti padaryto asmens duomenų pažeidimo pavojingumo lygį, tačiau aptarti ir veiksniai, į kuriuos reikėtų atsižvelgti vertinant pavojų. Kadangi faktinio pažeidimo atveju įvykis jau yra įvykęs, todėl turėtų būti nagrinėjamas tik pavojus, kuris asmenims gali kilti dėl pažeidimo. Vertinant pavojų, kuris dėl pažeidimo kyla asmenims, duomenų valdytojas turėtų išnagrinėti konkrečias pažeidimo aplinkybes, įskaitant galimo poveikio rimtumą ir to poveikio padarymo tikimybę. Taigi, turėtų būti bendrai įvertinama pažeidimo tikimybė ir žala, kurią dėl to pažeidimo gali patirti duomenų subjektas, kitaip tariant, vertinamas hipotetinis padarytos žalos lygis. Tokį vertinimą 29 straipsnio darbo grupė rekomenduoja atlikti, pirmiausiai, atsižvelgiant į pažeidimo pobūdį, asmens duomenų jautrumą ir kiekį, asmenų tapatybės nustatymo lengvumą, pasekmių rimtumą asmenims, asmens specifinius ypatumus. BDAR 76 konstatuojamojoje dalyje teigiama, kad pavojus turėtų būti vertinamas remiantis objektyviu įvertinimu.
Kaip nurodė atsakovė, įvykis (pareiškėjo asmens duomenų paviešinimas) buvo tiriamas vadovaujantis BDAR, VDAI rekomendacijų nuostatomis, siekiant iš tiesų įvertinti ar įvykis (pareiškėjo vardo, pavardės ir kt. informacijos paskelbimas) tikrai gali būti laikomas asmens duomenų apsaugos pažeidimu, apie kurį reikia informuoti priežiūros instituciją (VDAI) ir, ar nėra minėtos Reglamento 33 straipsnio 1 dalyje nustatytos išimties. Atlikus tyrimą buvo nustatyta, kad duomenų saugumo pažeidimas pareiškėjo teisėms ir laisvėms pavojaus nesukėlė, todėl pranešimas VDAI, vadovaujantis BDAR 33 straipsnio 1 dalimi, nebuvo teikiamas.
Įvertinus byloje nustatytas aplinkybes sutiktina su atsakovės argumentais, jog dėl įvykusio asmens duomenų saugumo pažeidimo pareiškėjo teisėms ir laisvėms pavojus nekilo, taigi šioje situacijoje Lietuvos kariuomenė neturėjo prievolės apie įvykusį asmens duomenų paviešinimą informuoti VDAI pateikiant BDAR 33 straipsnio 1 dalyje nurodytą informaciją. Tokia išvada, be kita ko, darytina įvertinus viešai paskelbtų pareiškėjo asmens duomenų turinį ir apimtį. Kaip nustatyta bylos medžiaga, atsakovės 2021 m. liepos mėn. patalpintame nenuasmenintame Finansų ir apskaitos departamento 2021 m. balandžio 30 d. Lietuvos kariuomenės 2021 m. pirmojo ketvirčio tarpinės finansinės ataskaitos sutrumpintas aiškinamajame rašte Nr. FS-177 buvo nurodyti pareiškėjo vardas, pavardė bei, kad pareiškėjas kreipėsi į teismą dėl 4 000 Eur žalos iš atsakovės atlyginimo. Nustačius, kad buvo atskleisti pareiškėjo vardas ir pavardė, pirmiausiai turėtų būti vertinama, ar iš atskleistų duomenų yra/būtų galima identifikuoti konkretų asmenį, kuriam toks jo asmens duomenų atskleidimas turi/turėjo neigiamą poveikį, kitaip tariant, neabejotinai sukėlė pavojų jo teisėms ir pareigoms.
Kaip jau pirmiau paaiškinta, pranešti apie pažeidimą yra būtina, išskyrus atvejus, kai dėl jo neturėtų kilti pavojaus asmenų teisėms bei laisvėms. 29 straipsnio duomenų apsaugos darbo grupė Nuomonėje 4/2007 dėl asmens duomenų sąvokos (toliau – ir Nuomonė) yra pateikusi nurodymus, kaip reikėtų suprasti Direktyvoje 95/46/EB ir susijusiuose Bendrijos teisės aktuose pateiktą asmens duomenų sąvoką ir kaip ją taikyti įvairiose situacijose. Nuomonėje, be kita ko, išaiškinta, kad kalbant apie asmenis, kurių tapatybė yra arba gali būti nustatyta tiesiogiai, asmens vardas ir pavardė yra pats įprasčiausias žymuo tapatybei nustatyti; praktikoje sąvoka „asmuo, kurio tapatybė nustatyta“ dažniausiai reiškia nuorodą į asmens vardą ir pavardę. Tačiau darbo grupė taip pat išaiškino, kad siekiant užtikrinti, kad tapatybė būtų nustatyta teisingai, kai kada asmens vardą reikia susisieti su kita informacija (pvz. gimimo data, tėvų vardais ir pavardėmis, adresu arba portretine nuotrauka), kad asmuo nebūtų supainiotas su galimu bendravardžiu ar bendrapavardžiu. Taigi, tai, ar asmens, su kuriuo susijusi informacija, tapatybė yra nustatyta, ar ne, priklauso nuo konkretaus atvejo aplinkybių.
Ginčo aplinkybes įvertinus nagrinėjamo atvejo kontekste, teismo vertinimu, negalima vienareikšmiškai teigti, kad Rašte nurodyta ginčo informacija (vardas, pavardė ir kt. informacija) yra aiškiai ir nedviprasmiškai identifikuojanti pareiškėją. Atsižvelgiant į tai, kad iš Rašte nurodytos informacijos suprastina, kad asmuo į atsakovę dėl žalos atlyginimo kreipėsi kaip fizinis asmuo (pvz. ne Lietuvos kariuomenės darbuotojas; ne asmuo tarnaujantis kariuomenėje, kas atitinkamai leistų susiaurinti asmens paieškos apimtį ir leistų lengviau nustatyti asmens tapatybę), todėl nesant pateikta daugiau duomenų, su kuriais būtų galima susieti nurodyto asmens vardą ir pavardę, siekiant jį identifikuoti (pvz. asmens kodas, gyv. adresas ir pan.), vien vardo ir pavardės nurodymas, nagrinėjamo atvejo apimtyje, nėra pakankami asmens (šiuo atveju pareiškėjo) tapatybei nustatyti (siekiant identifikuoti Rašte nurodytą asmenį reikėtų atlikti paiešką iš visų šalies (galimai ne tik) gyventojų). Teismas atkreipia dėmesį, kad tokia išvada darytina išskirtinai atsižvelgiant tik į šio konkretaus nagrinėjamo atvejo aplinkybes.
Minėta, kad pavojus asmens duomenų subjekto teisėms ir laisvėms kyla dėl tokio asmens duomenų tvarkymo, kurio metu galėtų būti padarytas kūno sužalojimas, materialinė ar nematerialinė žala, visų pirma kai dėl tvarkymo gali kilti diskriminacija, būti pavogta ar suklastota tapatybė, būti padaryta finansinių nuostolių, pakenkta reputacijai, prarastas asmens duomenų, kurie saugomi profesine paslaptimi, konfidencialumas, neleistinai panaikinti pseudonimai arba padaryta kita didelė ekonominė ar socialinė žala; kai duomenų subjektai gali netekti galimybės naudotis savo teisėmis ir laisvėmis ar jiems užkertamas kelias kontroliuoti savo asmens duomenis; kai tvarkomi asmens duomenys, kurie atskleidžia rasinę arba etninę kilmę politines pažiūras, religiją ar filosofinius įsitikinimus, priklausymą profesinėms sąjungoms, taip pat tvarkant genetinius duomenis, sveikatos duomenis ar duomenis apie lytinį gyvenimą, arba apkaltinamuosius nuosprendžius ir nusikalstamas veikas, arba susijusias saugumo priemones; kai siekiant sukurti arba naudoti asmens profilį vertinami asmeniniai aspektai, visų pirma nagrinėjami arba numatomi su asmens darbo rezultatais, ekonomine situacija, sveikatos būkle, asmeniniais pomėgiais ar interesais, patikimumu arba elgesiu, vieta arba judėjimu susiję aspektai; kai tvarkomi pažeidžiamų fizinių asmenų, visų pirma vaikų, asmens duomenys; arba kai duomenų tvarkymas apima didelį kiekį asmens duomenų ir daro poveikį daugeliui duomenų subjektų (BDAR 75 punktas). Kaip matyti, BDAR, taip pat Gairių nuostatos pateikia konkrečius kriterijus, kuriais remiantis turėtų būti nustatoma, ar dėl padaryto asmens duomenų pažeidimo asmens teisėms ir laisvėms kilo pavojus, taip pat, ar nėra BDAR 33 straipsnio 1 dalyje nustatytų išimčių. Nagrinėjamu atveju pritartina atsakovės priimtai išvadai, kad dėl įvykusio asmens duomenų saugumo pažeidimo pareiškėjo teisėms ir laisvėms pavojus, kaip jis apibūdintas BDAR, Gairių nuostatose, nekilo. Nėra nustatytų duomenų apie pareiškėjui kilusią fizinę, materialinę žalą, asmens duomenų suklastojimą, pavagimą, negalėjimą naudotis savo duomenimis, reputacijos pablogėjimą ir pan. Nors, nustačius duomenų apsaugos pažeidimą, pareiga atlikti pažeidimo tyrimą (pavojingumo aspektu) yra duomenų tvarkytojo pareiga, tačiau atkreiptina, kad pareiškėjas akcentuodamas jam kilusią žalą jo teisėms ir laisvėms jokių dėl to jam kilusių pavojų taip pat konkrečiai nenurodė, o aplinkybė dėl kreipimosi į teismą dėl 4 000 Eur žalos atlyginimo, visos paviešintos informacijos kontekste, nelaikytina kaip asmenį neigiamai charakterizuojanti aplinkybė ir taip pat niekaip nesusijusi su pirmiau nurodytais pavojų asmens teisėms ir laisvėms apibūdinančiais kriterijais.
Atkreiptina, jog teismas atsakovės veiksmus (neveikimą – nesikreipti į VDAI) vertino tuo aspektu, ar Lietuvos kariuomenė, atlikusi pažeidimo tyrimą ir jį konstatavusi (su pažeidimu sutikusi), pagrįstai nusprendė nesikreipti į VDAI, kaip nustatyta BDAR 33 straipsnio 1 dalyje. Byloje nėra ginčo, kad asmens duomenų pažeidimas buvo padarytas, šią aplinkybę, be kita ko, pripažino ir pati Lietuvos kariuomenė, tačiau nustačius, kad, nagrinėjamu atveju, egzistuoja išimtinė sąlygą, leidžianti atsakovei nesikreipti į priežiūros instituciją (VDAI), t. y. nustatyta, kad padarytas asmens duomenų saugumo pažeidimas nesukėlė pavojaus pareškėjo teisėms ir laisvėms, be to, kaip jau minėta, asmens (pareiškėjo) identifikavimas iš esmės nėra galimas, todėl atsakovės išvada, kad nėra pagrindų į VDAI kreiptis BDAR 33 straipsnio 1 dalyje nustatyta tvarka ir terminais, vertintina kaip pagrįsta ir priimta remiantis objektyviais duomenimis, teisingai nustačius faktines aplinkybes ir jas teisiškai kvalifikavus. Atsižvelgiant į tai, nėra pagrindo tenkinti pareiškėjo reikalavimą dėl įpareigojimo Lietuvos kariuomenę pranešti Valstybinei duomenų apsaugos inspekcijai apie pareiškėjo asmens duomenų apsaugos pažeidimą.
Vadovaudamasis Lietuvos Respublikos administracinių bylų teisenos įstatymo 84 straipsniu, 86–87 straipsniai, 88 straipsnio 1 punktu, 132 straipsnio 1 dalimi ir 133 straipsniu, teismas
nusprendžia:
Pareiškėjo T. G. skundą atmesti.
Sprendimas per trisdešimt kalendorinių dienų nuo sprendimo paskelbimo gali būti skundžiamas apeliaciniu skundu Lietuvos vyriausiajam administraciniam teismui, skundą paduodant per Vilniaus apygardos administracinį teismą.
Teisėjos Gitana Butrimaitė
Egidija Puzinskaitė
Eglė Žulytė-Janulionienė
