Dėl sprendimo dalies panaikinimo

Administracinė byla Nr. eI3-1540-1114/2025

Teisminio proceso Nr. 3-61-3-01526-2024-5

Procesinio sprendimo kategorijos: 26; 55.1.3

(S)

REGIONŲ ADMINISTRACINIS TEISMAS

SPRENDIMAS

LIETUVOS RESPUBLIKOS VARDU

2025 m. rugpjūčio 4 d.

Vilnius

Regionų administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Violetos Balčytienės, Rūtos Miliuvienės ir Indrės Pukanasytės-Biekšės (kolegijos pirmininkė ir pranešėja),

viešame teismo posėdyje rašytinio proceso tvarka išnagrinėjo administracinę bylą pagal pareiškėjos G. L. skundą atsakovei Valstybinei duomenų apsaugos inspekcijai dėl sprendimo dalies panaikinimo, trečiasis suinteresuotas asmuo individuali įmonė „Modelis“.

Teismas

nustatė:

1. Pareiškėja G. L. (toliau – ir pareiškėja), atstovaujama advokatės Linos Kvedarauskienės, kreipėsi į teismą su skundu prašydama: 1) panaikinti Valstybinės duomenų apsaugos inspekcijos (toliau – ir atsakovė, VDAI) 2024 m. kovo 14 d. sprendimo Nr. 3R-308(2.13-1.E) (toliau – ir Sprendimas) 2 dalį, pagal kurią individualiai įmonei (toliau – IĮ) „Modelis“ (toliau – ir trečiasis suinteresuotas asmuo, skundžiamas asmuo, Bendrovė) už nustatytus pažeidimus skirtas papeikimas, ir skirti IĮ „Modelis“ administracinę baudą; 2) priteisti pareiškėjai iš VDAI pareiškėjos patirtas bylinėjimosi išlaidas. Skunde pareiškėja paaiškino:

1.1. Pareiškėja sutinka su Sprendimo dalimi, kuria jos skundas pripažintas pagrįstu, tačiau nesutinka su Sprendimo dalimi, kuria Bendrovei skirtas tik papeikimas. Nurodo, kad Bendrovei skirta sankcija yra per švelni, VDAI nesiėmė visų taisomųjų veiksmų ir nepagrįstai netaikė baudos, kurios skyrimas šioje situacijoje, pareiškėjos nuomone, yra proporcinga, veiksminga ir teisinga sankcija padarytiems pažeidimams.

1.2. Pareiškėja 2023 m. gegužės 4 d. kreipėsi į valstybės įmonę (toliau – ir VĮ) Registrų centrą, prašydama pateikti informaciją apie jos asmens duomenų peržiūras Nekilnojamojo turto registre (toliau – ir NTR), atliktas nuo 2022 m. sausio 1 d. Iš gautų išrašų nustatė, kad IĮ „Modelis“ 2022–2023 m. laikotarpiu 16 kartų peržiūrėjo pareiškėjos asmens duomenis dviejuose NTR įrašuose – Nr. 27/9646 ir Nr. 35/53582. Pareiškėjos teigimu, šios peržiūros buvo atliktos be jokio teisinio pagrindo, o informacija pareiškėjai apie tokį duomenų tvarkymą nepateikta.

1.3. VĮ Registrų centras 2023 m. rugsėjo 25 d. raštu (VDAI reg. Nr. 1R-6721 (2.13.Mr)) pateikė VDAI informaciją, jog pareiškėjai bendrosios dalinės nuosavybės teise priklausančio nekilnojamojo turto objektų duomenis pagal adresą ar turto identifikatorių peržiūrėjo Bendrovės vadovas – V. K..

1.4. Pagal Europos Parlamento ir Tarybos 2016 m. balandžio 27 d. reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – BDAR) 6 straipsnio 1 dalį, asmens duomenų tvarkymas yra teisėtas tik tuo atveju, jei egzistuoja bent viena iš aiškiai išvardytų teisėtų tvarkymo sąlygų: duomenų subjekto sutikimas, sutarties vykdymas, teisinė prievolė, gyvybiniai interesai, viešasis interesas arba teisėtas interesas. Šiuo atveju skundžiamas asmuo nė vienos iš šių sąlygų nepateikė ir neįrodė. Pareiškėjos sutikimas nebuvo gautas, o kito pagrindo duomenų peržiūrai nenurodė. Todėl VDAI konstatavo, kad pareiškėjos asmens duomenis, atliekant minėtas paieškas NTR, Bendrovė tvarkė neteisėtai, ir taip pažeidė BDAR 6 straipsnį.

1.5. Pagal BDAR 5 straipsnio 2 dalį, duomenų valdytojas privalo ne tik užtikrinti, kad būtų laikomasi 1 dalyje nustatytų duomenų tvarkymo principų, bet ir turėti galimybę įrodyti atitiktį – t. y. vykdyti atskaitomybę. Lietuvos vyriausiasis administracinis teismas (toliau – ir LVAT) savo praktikoje pabrėžė, kad duomenų valdytojas turi pateikti pakankamus įrodymus, pagrindžiančius, jog duomenys buvo tvarkomi teisėtai (žr., pvz., LVAT 2021 m. liepos 2 d. nutartį administracinėje byloje <a href="https://www.temidy.lt/lawyer/court-cases/ZUEtNzQ1LTI2MS8yMDIx" class="text-[#E97437] hover:text-[#E97437] transition-colors duration-200 case-link" @mouseenter="showCaseInfo($event, 'eA-745-261/2021')" @mouseleave="hideCaseInfo()" data-case-number="eA-745-261/2021">eA-745-261/2021</a>). Šiuo atveju skundžiamas asmuo nepateikė jokių įrodymų apie teisėtą tikslą, kuris pateisintų pareiškėjos duomenų tvarkymą.

1.6. Pabrėžia, kad pagal BDAR 5 straipsnio 1 dalies b punktą, duomenys turi būti tvarkomi tik nustatytais, aiškiais ir teisėtais tikslais. Šiuo atveju buvo peržiūrėti pareiškėjos duomenys, kurie susiję su bendrosios dalinės nuosavybės teise turimu nekilnojamuoju turtu, tačiau nei tikslas, nei teisinis pagrindas nebuvo nurodytas. Neturint nei pareiškėjos sutikimo, nei aiškios teisinės priežasties, toks asmens duomenų tvarkymas, pareiškėjos vertinimu, laikytinas esminiu pažeidimu.

1.7. Nurodo, kad pagal BDAR 12 straipsnio 3 dalį, duomenų valdytojas privalo ne vėliau kaip per vieną mėnesį atsakyti į duomenų subjekto prašymus, susijusius su jų duomenų tvarkymu. Pareiškėja 2023 m. rugpjūčio 9 d. pateikė 16 prašymų, tačiau skundžiamas asmuo atsakė tik į vieną. Argumentų, kodėl neatsakyta į kitus, nepateikė. Taip buvo pažeistos pareiškėjos teisės pagal BDAR 12–22 straipsnius, įskaitant teisę gauti informaciją (BDAR 15 straipsnis), teisę į prieigą, teisę į aiškią komunikaciją.

1.8. BDAR 83 straipsnio 5 dalyje nustatyta, kad už duomenų tvarkymo principų pažeidimus (5, 6, 7 ir 9 straipsniai) bei duomenų subjekto teisių pažeidimus (12–22 straipsniai) gali būti taikoma administracinė bauda iki 20 000 000 Eur arba iki 4 proc. metinės apyvartos. Šiuo atveju buvo konstatuoti abu pažeidimų tipai, tačiau VDAI skyrė tik papeikimą. Tai neatitinka pažeidimų sunkumo ir teismų praktikos, kur tokiais atvejais skiriamos piniginės baudos. Pareiškėjos vertinimu, tokia sankcija nėra nei veiksminga, nei atgrasanti.

1.9. Mano, kad šiuo konkrečiu atveju atsakomybės už BDAR nuostatų nesilaikymą (atsižvelgiant į pažeidimų padarymo aplinkybes, mastą, tikslą, ilgą pažeidimų laikotarpį) tikslai bus pasiekti skundžiamam asmeniui paskyrus baudą.

2. Pareiškėja 2024 m. gegužės 22 d. rašytiniuose paaiškinimuose papildomai nurodė, kad:

2.1. IĮ „Modelis“ vadovas V. K. neteisėtai ir pakartotinai peržiūrinėjo jos asmens duomenis NTR 2022–2023 m. laikotarpiu. Pažymi, kad šie duomenų tvarkymo veiksmai vyko ne pavieniui, o susiklosčius konfliktiškai situacijai tarp pareiškėjos ir greta esančio sklypo, įsigyto IĮ „Modelis“, savininkų. Tai leidžia daryti išvadą, kad duomenų tvarkymas nebuvo atsitiktinis – jis buvo sąmoningas ir susijęs su nuosekliu spaudimu, siekiant gauti pareiškėjos sutikimą dėl statybų greta jos sklypo.

2.2. Pareiškėja detalizuoja, kad nuo pat 2022 m. pavasario vyko įvairūs bandymai išgauti jos sutikimą dėl gyvenamojo namo statybų gretimame sklype, įskaitant spaudimą iš skundžiamo asmens atstovų, pasikartojančius vizitus, neteisėtus reikalavimus pašalinti stoginę, pakartotinius bandymus išgauti parašus, grasinimus teismais bei SMS žinutes. Visa tai laiko nuosekliu psichologiniu spaudimu, kurį papildė neteisėtas pareiškėjos asmens duomenų rinkimas.

2.3. Pabrėžia, kad asmens duomenys buvo renkami tam, kad būtų siekiama gauti jai nepalankų sutikimą dėl statybos darbų. Tam tikrais atvejais skundžiamas asmuo net klaidino pareiškėją ar bendrasavininkę dėl statybų tikslų ar komunikacijų įrengimo, naudodamas iš anksto gautus nuosavybės duomenis. Tai rodo, kad neteisėtas duomenų tvarkymas buvo tiesiogiai susijęs su skundžiamo asmens asmeniniais ir komerciniais tikslais, o ne su viešu ar teisėtu interesu.

2.4. Nurodo, kad skundžiamas asmuo nereagavo į 15 iš 16 jos pateiktų prašymų dėl duomenų tvarkymo pagrindimo, nepateikė jokios informacijos ir nebandė bendradarbiauti. Visi skundai dėl neteisėto tvarkymo buvo inicijuoti tik pačios pareiškėjos iniciatyva. Tai, pareiškėjos vertinimu, atskleidžia, kad skundžiamas asmuo sąmoningai ignoravo BDAR 12–15 straipsniuose nustatytas pareigas.

2.5. Pareiškėjos teigimu, IĮ „Modelis“ nesilaikė BDAR 40 straipsnyje nurodytų elgesio kodeksų ar sertifikavimo reikalavimų. Taip pat nebuvo imamasi jokių veiksmų, siekiant ištaisyti padarytus pažeidimus ar užkirsti kelią jų pasikartojimui. VDAI skirtas papeikimas visiškai neatgrasė pažeidėjo – net po jo paskyrimo buvo tęsiamas spaudimas, nesibaigė kontaktai ir žodiniai raginimai duoti sutikimą.

2.6. Pabrėžia, kad pagal BDAR 83 straipsnio 2 dalį vertinant pažeidimą, būtina atsižvelgti į jo trukmę, pakartotinį pobūdį, tyčią, poveikį duomenų subjekto teisėms, pažeidėjo nebendradarbiavimą, siekį gauti tiesioginę ar netiesioginę naudą, taip pat tai, kad informacija apie pažeidimą buvo gauta tik iš duomenų subjekto. Atsižvelgiant į šiuos kriterijus, pareiškėjos vertinimu, administracinė bauda būtų proporcinga ir efektyvi sankcija.

2.7. Nurodo, kad dėl nuolatinių spaudimų, vizitų ir grasinimų sutriko pareiškėjos sveikata, teko ne kartą kreiptis į policiją dėl neteisėtų veiksmų. Duomenų tvarkymas nebuvo vienintelis pažeidimas – tai buvo dalis platesnio, sistemingo spaudimo komplekso.

2.8. Papeikimo skyrimas šioje byloje nesukūrė jokio realaus poveikio – net po sankcijos taikymo skundžiamas asmuo nekeitė elgesio. Todėl, pareiškėjos teigimu, vienintelė adekvati atsakomybės forma – administracinė bauda pagal BDAR 83 straipsnio 5 dalį bei 58 straipsnio 2 dalies i punktą.

3. Atsakovė VDAI su pareiškėjos skundu nesutinka ir prašo teismo jį atmesti kaip nepagrįstą. Atsiliepime paaiškino:

3.1. Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ir ADTAĮ) 31 straipsnio 1 dalyje nustatyta, kad priežiūros institucija, baigusi skundo ar jo dalies nagrinėjimą, motyvuotai nusprendžia: 1) pripažinti skundą ar jo dalį pagrįsta; 2) atmesti skundą ar jo dalį. To paties straipsnio 2 dalies 1 punkte nurodoma, kad tuo atveju, kai skundas ar jo dalis pripažįstama pagrįsta, VDAI motyvuotai teikia duomenų valdytojui ir (ar) duomenų tvarkytojui nurodymus, rekomendacijas ir (ar) taiko kitas BDAR 58 straipsnio 2 dalyje, ADTAĮ 33 straipsnyje ir kituose įstatymuose, reglamentuojančiuose asmens duomenų ir (ar) privatumo apsaugą, nurodytas priemones.

3.2. Nesutinka su pareiškėjos teiginiu, kad Bendrovei paskirtas papeikimas yra per švelni poveikio priemonė. BDAR 58 straipsnio 2 dalyje numatytos įvairios poveikio priemonės, ir VDAI, nustačiusi pažeidimus, laikė, kad papeikimas yra tinkama ir proporcinga priemonė šiuo atveju. Pasirinkimas buvo grindžiamas pažeidimų pobūdžiu, trukme ir švelninančiomis aplinkybėmis.

3.3. Nurodo, kad Bendrovė netinkamai grindė savo duomenų tvarkymo teisėtumą. Pažeidimas nustatytas atlikus paieškas NTR, tačiau VDAI laikė, kad šie pažeidimai nėra pakankamai sunkūs, kad reikėtų taikyti administracinę baudą. Be to, VDAI pažymėjo, kad nebuvo įrodytas tyčinis veikimas.

3.4. VDAI pripažino, kad Bendrovė pažeidė pareiškėjos teises, nes neatsakė į 15-a iš 16-os jos pateiktų prašymų. Vis dėlto, VDAI mano, kad Bendrovės veiksmai nebuvo tokie rimti, kad reikėtų skirti administracinę baudą. Papeikimas yra laikomas tinkama priemone.

3.5. VDAI, pripažinusi skundą pagrįstu, turi teisę skirti vieną iš BDAR 58 straipsnio 2 dalyje numatytų poveikio priemonių, tarp jų – ir papeikimą (BDAR 58 straipsnio 2 dalies b punktas). LVAT praktikoje pripažįstama VDAI diskrecijos teisė pasirinkti, kokias poveikio priemones taikyti, kai asmens skundo nagrinėjimo metu nustatoma, kad skundas yra pagrįstas, t. y. tyrimo metu konstatuojamas asmens duomenų tvarkymo reikalavimų pažeidimas (žr., pvz., LVAT 2012 m. gegužės 30 d. nutartį administracinėje byloje Nr. A-822-2338/2012; 2013 m. gegužės 23 d. nutartį administracinėje byloje Nr. A-261-313/13). Atsižvelgiant į tai, VDAI, o ne skundą teikiantys subjektai, turi teisę spręsti dėl taisomųjų veiksmų taikymo.

3.6. Pažymi, kad BDAR 83 straipsnio 2 dalyje numatyti kriterijai (pažeidimo sunkumas, trukmė, tyčia) buvo įvertinti ir buvo nuspręsta, kad skirta sankcija – papeikimas – yra proporcinga ir atitinka BDAR tikslus.

3.7. Nesutinka su pareiškėjos teiginiu, kad pagal BDAR 83 straipsnio 5 dalį šiuo atveju trečiajam suinteresuotam asmeniui turėtų būti taikoma administracinė bauda, priešingai, VDAI vertinimu, šis straipsnis taikytinas tik tada, kai pažeidimai yra rimtesni. Papeikimas buvo laikomas tinkama priemone pagal nustatytas aplinkybes.

4. Trečiasis suinteresuotas asmuo IĮ „Modelis“ atsiliepime į pareiškėjos skundą ir 2024 m. gegužės 24 d. pateiktuose papildomuose rašytiniuose paaiškinimuose su pareiškėjos skundu nesutinka ir prašo palikti galioti Sprendimą dalyje dėl paskirto papeikimo kaip proporcingą ir teisėtą poveikio priemonę. Pateiktuose procesiniuose dokumentuose paaiškino, kad:

4.1. NTR duomenys buvo peržiūrimi vadovaujantis kito bendrasavininkio – V. P. – prašymu. Ši bendrasavininkė kreipėsi į Bendrovę, nes jai reikėjo padėti spręsti su bendru turtu susijusius klausimus (dėl statinių, sklypų naudojimo). Todėl, pasak IĮ „Modelis“, NTR peržiūros buvo pagrįstos kito suinteresuoto asmens, bendrasavininkės, interesu.

4.2. Pabrėžia, kad asmens duomenų peržiūra nebuvo vykdoma su tikslu daryti spaudimą ar pasinaudoti duomenimis komerciniais ar kitais neteisėtais tikslais. Buvo veikiama kaimyninių sklypų bendros naudojimo teisės pagrindu, atsižvelgiant į planuojamus statybos darbus ir dėl to kylančius praktinius klausimus.

4.3. Nurodo, kad 2023 m. rugpjūčio 9 d. gauti 16 pareiškėjos prašymų buvo identiško turinio, todėl buvo atsakyta į vieną jų, manant, kad tokio atsakymo pakanka. Bendrovė nelaikė, jog būtina pateikti 16 skirtingų atsakymų, nes prašymuose buvo keliami tie patys klausimai.

4.4. Atkreipia dėmesį į tai, kad neatsakyti į visus pareiškėjos laiškus buvo ne dėl priešiškumo ar vengimo, o dėl neaiškios pareigos identiškai atsakyti į daugkartinius paklausimus, ypač jei jie turinio prasme kartojasi.

4.5. Neigia pareiškėjos kaltinimus dėl sistemingo spaudimo, vizitų ar psichologinio poveikio. Nurodo, kad tokie pareiškėjos teiginiai pagrįsti subjektyviais vertinimais ir nėra paremti objektyviais įrodymais, todėl negali būti laikomi sankciją griežtinančiu veiksniu.

4.6. Mano, kad trečiojo asmens ir pareiškėjos ginčas dėl statybų ar žemės naudojimo neturi būti painiojamas su BDAR pažeidimais. NTR duomenų peržiūros buvo susijusios su bendrosios nuosavybės teisiniais santykiais, o ne su privataus pobūdžio spaudimu.

4.7. Nors IĮ „Modelis“ neginčija fakto, kad VDAI nustatė formalius BDAR pažeidimus (t. y. nepateikti atsakymai į visus prašymus, neįrodyta teisėta pareiškėjos NTR duomenų peržiūros priežastis), tačiau nesutinka su pareiškėjos reikalavimu skirti administracinę baudą.

4.8. Trečiojo suinteresuoto asmens vertinimu, VDAI sprendimas skirti papeikimą atitinka proporcingumo ir veiksmingumo principus, o baudų taikymas turėtų būti rezervuotas tik akivaizdžiai tyčiniams, piktybiškiems ar pasikartojantiems pažeidimams.

4.9. Akcentuoja, kad trečiasis suinteresuotas asmuo negavo jokios materialinės ar komercinės naudos, nepadarė žalos, todėl nėra pagrindo laikyti pažeidimus sunkiais pagal BDAR 83 straipsnio 2 dalį.

konstatuoja:

5. Nagrinėjamoje byloje ginčas kilo dėl Valstybinės duomenų apsaugos inspekcijos 2024 m. kovo 14 d. sprendimo Nr. 3R-308 (2.13-1.E) teisėtumo ir pagrįstumo dalyje, kuria trečiajam suinteresuotam asmeniui IĮ „Modelis“ už nustatytus asmens duomenų tvarkymo pažeidimus buvo paskirta poveikio priemonė – papeikimas.

Faktinės bylos aplinkybės

6. Remiantis bylos medžiaga, nustatyta:

6.1. Pareiškėjai G. L. bendrosios dalinės nuosavybės teise priklauso nekilnojamasis turtas, esantis adresu (duomenys neskelbiami), kuris ribojasi su sklypu, esančiu adresu (duomenys neskelbiami). Šį besiribojantį sklypą su gyvenamuoju namu 2022 m. rugsėjo 8 d. įsigijo trečiasis suinteresuotas asmuo. Po sklypo įsigijimo tarp kaimynų kilo konfliktas dėl žemės sklypo ribų, tvoros, statinių ir statybos darbų.

6.2. 2022–2023 metais IĮ „Modelis“, vadovaujama V. K., iš viso 16 kartų peržiūrėjo NTR duomenis, susijusius su pareiškėjos turtu (registro Nr. (duomenys neskelbiami)), naudodamasi VĮ Registrų centro sudaryta automatizuota duomenų teikimo sutartimi. Šios peržiūros vyko skirtingomis datomis: 2023 m. vasario 10 d. 17 val. 45 min. 32 sek.; 2023 m. vasario 1 d. 12 val. 18 min. 17 sek.; 2023 m. sausio 31 d. 14 val. 27 min. 12 sek.; 2022 m. lapkričio 11 d. 13 val. 12 min. 48 sek.; 2022 m. spalio 18 d. 14 val. 34 min. 09 sek.; 2022 m. spalio 14 d. 11 val. 41 min. 29 sek.; 2022 m. liepos 1 d. 10 val. 33 min. 28 sek.; 2022 m. birželio 30 d. 17 val. 54 min. 23 sek.; 2022 m. birželio 14 d. 17 val. 39 min. 47 sek.; 2022 m. gegužės 25 d. 16 val. 10 min. 50 sek. – visais šiais atvejais buvo peržiūrėtas NTR įrašas Nr. (duomenys neskelbiami). Taip pat peržiūros atliktos: 2023 m. vasario 10 d. 17 val. 45 min. 54 sek.; 2023 m. sausio 31 d. 14 val. 26 min. 37 sek.; 2022 m. lapkričio 15 d. 16 val. 59 min. 29 sek.; 2022 m. spalio 18 d. 14 val. 35 min. 07 sek.; 2022 m. birželio 30 d. 17 val. 57 min. 22 sek.; 2022 m. birželio 14 d. 17 val. 41 min. 47 sek. – buvo peržiūrėtas NTR įrašas Nr. (duomenys neskelbiami).

6.3. VDAI 2023 m. rugsėjo 13 d. gauti pareiškėjos, atstovaujamos I. D., skundai (reg. Nr. 1R-6399 (2.13.)–1R-6413 (2.13.) ir 1R-6426 (2.13.Mr)) dėl galimai neteisėto pareiškėjos asmens duomenų tvarkymo bei galimo duomenų subjekto teisių pažeidimo.

6.4. Pareiškėja skunduose nurodė, kad 2023 m. gegužės 4 d. kreipėsi į VĮ Registrų centrą, prašydama pateikti informaciją apie konkrečias jos asmens duomenų NTR peržiūras nuo 2022 m. sausio 1 d., taip pat – kas tą informaciją peržiūrėjo ir kokiu tikslu. Gautoje pažymoje nurodyta, kad pareiškėjos duomenis skirtingomis datomis tikrino IĮ „Modelis“.

6.5. 2023 m. rugpjūčio 9 d. pareiškėja išsiuntė IĮ „Modelis“ 16 atskirų prašymų elektroniniu paštu, prašydama suteikti informaciją apie duomenų tvarkymą. Bendrovė atsakė tik į vieną iš šių prašymų, tokiu būdu pažeisdama BDAR 12 straipsnio 3 dalį.

6.6. VĮ Registrų centras 2023 m. rugsėjo 25 d. raštu patvirtino, kad nekilnojamojo turto duomenis tikrino IĮ „Modelis“ vadovas V. K.. Paieškos buvo atliktos tiek pagal adresą, tiek pagal turto identifikatorių.

6.7. Nagrinėdama bylos medžiagą, VDAI nustatė, kad dalis paieškų (2022 m. gegužės 25 d., 2022 m. birželio 14 d., 2022 m. birželio 30 d., 2022 m. liepos 1 d.) buvo atliktos iki IĮ „Modelis“ nuosavybės teisės į sklypą atsiradimo, ir šių veiksmų teisėtumas trečiojo suinteresuoto asmens nebuvo pagrįstas jokiu teisiniu pagrindu. Pats IĮ „Modelis“ vadovas nepateikė šių peržiūrų motyvų, nors VDAI jam du kartus siūlė tai padaryti.

6.8. Dėl vėlesnių peržiūrų (2022 m. spalio 14 d., 2022 m. spalio 18 d., 2022 m. lapkričio 11 d., 2022 m. lapkričio 15 d., 2023 m. sausio 31 d., 2023 m. vasario 1 d.) trečiasis suinteresuotas asmuo nurodė, kad siekė išsiaiškinti pareiškėjos duomenis tam, kad galėtų kreiptis dėl tvoros nukėlimo. Tačiau VDAI konstatavo, kad sklypo savininkų tapatybė buvo žinoma jau nuo pirmosios peržiūros, todėl vėlesni pakartotiniai tikrinimai nebeturėjo būtinybės, o jų tikslas nebuvo pagrįstas dokumentais.

6.9. Dėl 2023 m. vasario 10 d. atliktos paieškos IĮ „Modelis“ nurodė, kad ji buvo atlikta J. V. – bendrasavininkės – prašymu. Tačiau pateiktas 2023 m. vasario 10 d. sutikimas liudijo kitokį tikslą (dėl rinkos kainos ir naudojimosi tvarkos nustatymo), nei nurodytas paaiškinimuose (dėl komunikacijų įvedimo). Be to, buvo atlikta tik viena, o ne kelios, kaip teigta, peržiūros. Šie prieštaravimai lėmė, kad VDAI neturėjo pagrindo pripažinti šį tvarkymą teisėtu pagal BDAR 6 straipsnio 1 dalį.

6.10. VDAI, įvertinusi gautus Bendrovės atsakymus, nustatė, kad:

6.10.1. Bendrovė pareiškėjos asmens duomenų tvarkymo (2022 m. gegužės 25 d., 2022 m. birželio 14 d., 2022 m. birželio 30 d., 2022 m. liepos 1 d. ir 2022 m. spalio 14 d., 2022 m. spalio 18 d., 2022 m. lapkričio 11 d., 2022 m. lapkričio 15 d., 2023 m. sausio 31 d., 2023 m. vasario 1 d. bei 2023 m. vasario 10 d. atliekant paieškas NTR) nepagrindė (negrindė / tinkamai nepagrindė) nei viena BDAR 6 straipsnio 1 dalyje numatyta teisėta asmens duomenų tvarkymo sąlyga, todėl konstatavo, kad pareiškėjos asmens duomenis, atliekant minėtas paieškas NTR, Bendrovė tvarkė neteisėtai;

6.10.2. Bendrovė pagal BDAR 12 straipsnio 3 dalyje nustatytą tvarką į pareiškėjos 2023 m. rugpjūčio 9 d. teiktus 15 prašymų apie Bendrovės vykdytą pareiškėjos asmens duomenų tvarkymą neatsakė (į 1 iš 16 teiktų prašymų atsakymas buvo pateiktas);

6.10.3. Atsižvelgiant į tai, kad Bendrovė neįrodė nei vieno BDAR 6 straipsnio 1 dalyje nurodyto pagrindo duomenų tvarkymui, o dalis paieškų buvo akivaizdžiai perteklinės ar prieštaraujančios deklaruotiems tikslams, VDAI Sprendimu pripažino pareiškėjos skundą pagrįstu. Sprendimas buvo priimtas vadovaujantis ADTAĮ 31 straipsnio 1 dalies 1 punktu ir BDAR 58 straipsnio 2 dalies b punktu. Trečiajam suinteresuotam asmeniui IĮ „Modelis“, kurios vadovas yra V. K., – už nustatytus pažeidimus buvo skirta drausminė nuobauda – papeikimas. Pareiškėja su šia sprendimo dalimi nesutinka. Nors ji pripažįsta, kad sprendime pagrįstai nustatyti teisės pažeidimai, tačiau mano, jog skirta sankcija yra per švelni, neatitinka pažeidimų masto, pobūdžio bei sistemingumo, todėl neatitinka proporcingumo, veiksmingumo ir atgrasymo principų, įtvirtintų BDAR 83 straipsnio 1 dalyje.

Aktualus bylai teisinis reguliavimas

7. Ginčo teisinius santykius reglamentuoja BDAR ir ADTAĮ.

8. BDAR nustatyta:

8.1. Kiekviena priemonė turėtų būti tinkama, būtina ir proporcinga siekiant užtikrinti šio reglamento laikymąsi, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes, ja turėtų būti gerbiama kiekvieno asmens teisė būti išklausytam prieš imantis konkrečios priemonės, kuri jam padarytų neigiamą poveikį, ir taikoma taip, kad atitinkami asmenys nepatirtų bereikalingų išlaidų ir pernelyg didelių nepatogumų (preambulės 129 punktas).

8.2. Kiekviena priežiūros institucija turi visus šiuos įgaliojimus imtis taisomųjų veiksmų: a) `įspėti duomenų valdytoją arba duomenų tvarkytoją, kad numatomomis duomenų tvarkymo operacijomis gali būti pažeistos šio reglamento nuostatos; b) pareikšti papeikimus duomenų valdytojui arba duomenų tvarkytojui, kai duomenų tvarkymo operacijomis buvo pažeistos šio reglamento nuostatos; c) nurodyti duomenų valdytojui arba duomenų tvarkytojui patenkinti duomenų subjekto prašymus pasinaudoti savo teisėmis pagal šį reglamentą; d) nurodyti duomenų valdytojui arba duomenų tvarkytojui suderinti duomenų tvarkymo operacijas su šio reglamento nuostatomis, tam tikrais atvejais – nustatytu būdu ir per nustatytą laikotarpį; e) nurodyti duomenų valdytojui pranešti duomenų subjektui apie asmens duomenų saugumo pažeidimą; f) nustatyti laikiną arba galutinį duomenų tvarkymo apribojimą, įskaitant tvarkymo draudimą; g) nurodyti ištaisyti arba ištrinti asmens duomenis arba apriboti jų tvarkymą pagal 16, 17 ir 18 straipsnius ir pranešti apie tokius veiksmus duomenų gavėjams, kuriems asmens duomenys buvo atskleisti, pagal 17 straipsnio 2 dalį ir 19 straipsnį; h) atšaukti sertifikatą arba nurodyti sertifikavimo įstaigai atšaukti pagal 42 ir 43 straipsnius išduotą sertifikatą, arba nurodyti sertifikavimo įstaigai neišduoti sertifikato, jei nevykdomi arba nebevykdomi sertifikavimo reikalavimai; i) skirti administracinę baudą pagal 83 straipsnį, kartu taikydama šioje dalyje nurodytas priemones arba vietoj jų, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes; j) nurodyti sustabdyti duomenų srautus duomenų gavėjui trečiojoje valstybėje arba tarptautinei organizacijai (58 straipsnio 2 dalis).

8.3. Administracinės baudos, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes, skiriamos kartu su 58 straipsnio 2 dalies a–h punktuose ir j punkte nurodytomis priemonėmis arba vietoj jų. Sprendžiant dėl to, ar skirti administracinę baudą, ir sprendžiant dėl administracinės baudos dydžio kiekvienu konkrečiu atveju deramai atsižvelgiama į šiuos dalykus: a) pažeidimo pobūdį, sunkumą ir trukmę, atsižvelgiant į atitinkamo duomenų tvarkymo pobūdį, aprėptį ar tikslą, taip pat į nukentėjusių duomenų subjektų skaičių ir jų patirtos žalos dydį; b) tai, ar pažeidimas padarytas tyčia, ar dėl aplaidumo; c) bet kuriuos veiksmus, kurių duomenų valdytojas arba duomenų tvarkytojas ėmėsi, kad sumažintų duomenų subjektų patirtą žalą; d) duomenų valdytojo arba duomenų tvarkytojo atsakomybės dydį, atsižvelgiant į jų pagal 25 ir 32 straipsnius įgyvendintas technines ir organizacines priemones; e) bet kuriuos to duomenų valdytojo arba duomenų tvarkytojo svarbius ankstesnius pažeidimus; f) bendradarbiavimo su priežiūros institucija siekiant atitaisyti pažeidimą ir sumažinti galimą neigiamą jo poveikį laipsnį; g) asmens duomenų, kuriems pažeidimas turi poveikį, kategorijas; h) tai, kokiu būdu priežiūros institucija sužinojo apie pažeidimą, visų pirma tai, ar duomenų valdytojas arba duomenų tvarkytojas pranešė apie pažeidimą (jei taip – kokiu mastu); i) jei atitinkamam duomenų valdytojui arba duomenų tvarkytojui dėl to paties dalyko anksčiau buvo taikytos 58 straipsnio 2 dalyje nurodytos priemonės – ar laikytasi tų priemonių; j) ar laikomasi patvirtintų elgesio kodeksų pagal 40 straipsnį arba patvirtintų sertifikavimo mechanizmų pagal 42 straipsnį; ir k) kitus sunkinančius ar švelninančius veiksnius, susijusius su konkretaus atvejo aplinkybėmis, pavyzdžiui, finansinę naudą, kuri buvo gauta, arba nuostolius, kurių buvo išvengta, tiesiogiai ar netiesiogiai dėl pažeidimo (83 straipsnio 2 dalis).

8.4. Pažeidus toliau išvardytas nuostatas, pagal 2 dalį skiriamos administracinės baudos iki 20 000 000 Eur arba, įmonės atveju – iki 4 proc. jos ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma yra didesnė: a) pagrindinius duomenų tvarkymo principus, įskaitant sutikimo sąlygas, pagal 5, 6, 7 ir 9 straipsnius; b) duomenų subjekto teises pagal 12–22 straipsnius; c) asmens duomenų perdavimą duomenų gavėjui trečiojoje valstybėje arba tarptautinei organizacijai pagal 44–49 straipsnius; d) prievoles pagal valstybės narės teisės aktus, priimtus pagal IX skyrių; e) jei nesilaikoma priežiūros institucijos nurodymo arba laikino ar nuolatinio duomenų tvarkymo apribojimo arba duomenų srautų sustabdymo pagal 58 straipsnio 2 dalį arba nesuteikiama prieigos galimybė pažeidžiant 58 straipsnio 1 dalį (83 straipsnio 5 dalis).

9. ADTAĮ (redakcijoje, galiojusioje aktualiu ginčui laikotarpiu) buvo nustatyta:

9.1. Priežiūros institucija, baigusi skundo ar jo dalies nagrinėjimą, motyvuotai nusprendžia: 1) pripažinti skundą ar jo dalį pagrįsta; 2) atmesti skundą ar jo dalį (31 straipsnio 1 dalis).

9.2. Kai skundas ar jo dalis pripažįstama pagrįsta, Valstybinė duomenų apsaugos inspekcija motyvuotai: 1) teikia duomenų valdytojui ir (ar) duomenų tvarkytojui nurodymus, rekomendacijas ir (ar) taiko kitas Reglamento (ES) 2016/679 58 straipsnio 2 dalyje, šio įstatymo 33 straipsnyje ir kituose įstatymuose, reglamentuojančiuose asmens duomenų ir (ar) privatumo apsaugą, nurodytas priemones. Jei ketinama skirti administracinę baudą, atliekami šio skyriaus ketvirtajame skirsnyje nurodyti veiksmai; 2) surašo administracinio nusižengimo protokolą pažeidimą padariusiam asmeniui (31 straipsnio 2 dalis).

Teisinis vertinimas

10. Nagrinėjamu atveju pareiškėja ginčija Sprendimo dalį, kuria trečiajam suinteresuotam asmeniui – IĮ „Modelis“ – už nustatytus BDAR pažeidimus buvo skirta poveikio priemonė – papeikimas. Pareiškėja mano, kad ši sankcija yra per švelni, ir prašo skirti administracinę baudą, vadovaudamasi BDAR 83 straipsnio nuostatomis.

11. Teisėjų kolegija pažymi, kad BDAR 58 straipsnio 2 dalyje nustatyta, jog priežiūros institucija, nustačiusi pažeidimą, turi teisę taikyti įvairias poveikio priemones, įskaitant papeikimą (BDAT 58 straipsnio 2 dalies b punktas) ar administracinę baudą (BDAR 58 straipsnio 2 dalies i punktas), atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes. BDAR taip pat reikalauja, kad visos taikomos priemonės būtų veiksmingos, proporcingos ir atgrasančios (BDAR preambulės 129 punktas).

12. Pagal BDAR 83 straipsnio 2 dalį, sprendžiant, ar skirti baudą ir kokio dydžio ji turėtų būti, turi būti įvertinti įvairūs kriterijai: pažeidimo pobūdis, sunkumas, trukmė, tyčios ar aplaidumo buvimas, duomenų subjektų patirtos žalos mastas, ankstesni pažeidimai, bendradarbiavimas su priežiūros institucija ir kt. Šie kriterijai turi būti įvertinti kompleksiškai ir pagrįstai.

13. Kaip teisingai savo atsiliepime nurodė atsakovė, LVAT savo praktikoje ne kartą yra pažymėjęs, kad VDAI turi diskrecijos teisę pasirinkti, kokią poveikio priemonę taikyti konkrečiu atveju. Pavyzdžiui, administracinėje byloje Nr. <a href="https://www.temidy.lt/lawyer/court-cases/ZUEtNzQ1LTI2MS8yMDIx" class="text-[#E97437] hover:text-[#E97437] transition-colors duration-200 case-link" @mouseenter="showCaseInfo($event, 'eA-745-261/2021')" @mouseleave="hideCaseInfo()" data-case-number="eA-745-261/2021">eA-745-261/2021</a> LVAT 2021 m. liepos 2 d. nutartyje pažymėjo, kad priežiūros institucijai įstatymu yra suteikta diskrecija pasirinkti taikytinas poveikio priemones, o teismas tikrina, ar ši diskrecija buvo įgyvendinta nepažeidžiant proporcingumo, teisėtumo ir pagrįstumo principų.

14. Nagrinėjamoje byloje nustatyta ir dėl šių faktinių aplinkybių tarp šalių ginčo nėra, kad trečiasis suinteresuotas asmuo IĮ „Modelis“ iš tiesų 2022–2023 m. laikotarpiu peržiūrėjo pareiškėjos nekilnojamojo turto registro duomenis be tinkamo teisinio pagrindo ir nepateikė atsakymo į 15 iš 16 pareiškėjos prašymų apie jos duomenų tvarkymą. Tačiau byloje taip pat nebuvo nustatyta, kad trečiojo suinteresuoto asmens veiksmai buvo atlikti tyčia siekiant žalos ar finansinės naudos, pažeidimai nebuvo viešo pobūdžio, sistemingi ar piktybiški, jų padarymas nėra susijęs su plačiu mastu ar specialių kategorijų duomenimis, o pati Bendrovė už panašaus pobūdžio pažeidimus anksčiau nebuvo bausta.

15. Teisėjų kolegija atsižvelgia į tai, kad VDAI, atlikdama tyrimą dėl trečiojo suinteresuoto asmens veiksmų, įvertino visas faktines bylos aplinkybes, taikė Bendrojo duomenų apsaugos reglamento (BDAR) 58 straipsnio 2 dalyje nustatytas priemones ir, turėdama diskrecijos teisę, pagrįstai pasirinko skirti papeikimą kaip poveikio priemonę.

16. Teisėjų kolegija pažymi, kad administracinės atsakomybės taikymas yra išimtinė priemonė, kuri turi būti pagrįsta ne tik pažeidimo faktu, bet ir jo sunkumu (VDAI nustačiusi pažeidimą – jį kvalifikavo kaip formaliai reikšmingą, bet neturinčią esminio neigiamo poveikio), aplinkybėmis bei būtinybe užtikrinti pažeidimų prevenciją. Nagrinėjamu atveju VDAI pagrindė savo sprendimą, atsižvelgė į visus BDAR 83 straipsnio 2 dalyje įtvirtintus kriterijus ir pasirinko priemonę, atitinkančią proporcingumo, tikslingumo ir veiksmingumo principus.

17. Atsižvelgdama į tai, kas išdėstyta, teisėjų kolegija konstatuoja, kad VDAI, trečiajam suinteresuotam asmeniui skirdama papeikimą, veikė teisėtai ir neperžengė jai suteiktų diskrecijos ribų. Pareiškėjos argumentai, kad administracinės baudos skyrimas šiuo atveju yra vienintelė proporcinga sankcija, nėra pagrįsti nei faktinėmis aplinkybėmis, nei teisės normomis, nei teismų praktika.

18. Teismo vertinimu, skundžiamas VDAI Sprendimas yra pagrįstas ir teisėtas, Sprendime įvertintos ginčui aktualios faktinės aplinkybės, tinkamai taikytos ginčui aktualios teisės aktų nuostatos, nurodyti sprendimo motyvai, todėl nėra pagrindo patenkinti pareiškėjos reikalavimą dėl skundžiamo Sprendimo dalies panaikinimo ir įpareigojimo VDAI skirti trečiajam suinteresuotam asmeniui griežtesnę poveikio priemonę – administracinę baudą.

19. Atsižvelgiant į išdėstytą, pareiškėjos skundas atmetamas kaip nepagrįstas.

20. Lietuvos Respublikos administracinių bylų teisenos įstatymo 40 straipsnio 1 dalyje nustatyta, kad proceso šalis, kurios naudai priimtas sprendimas, turi teisę gauti iš kitos proceso šalies savo išlaidų atlyginimą. Kadangi pareiškėjos skundo reikalavimai atmesti kaip nepagrįsti, nėra pagrindo patenkinti pareiškėjos reikalavimą priteisti pareiškėjai iš atsakovės VDAI pareiškėjos patirtas bylinėjimosi išlaidas.

Teismas, vadovaudamasis Lietuvos Respublikos administracinių bylų teisenos įstatymo 40, 84 straipsniu, 86–87 straipsniais, 88 straipsnio 1 punktu, 132 straipsnio 1 dalimi, 133 straipsniu,

nusprendžia

Pareiškėjos G. L. skundą atmesti.

Sprendimas per 30 (trisdešimt) kalendorinių dienų nuo jo paskelbimo dienos apeliacine tvarka gali būti skundžiamas Lietuvos vyriausiajam administraciniam teismui, apeliacinį skundą paduodant per Regionų administracinį teismą.

Teisėjos Violeta Balčytienė

Rūta Miliuvienė

Indrė Pukanasytė-Biekšė