Administracinė byla Nr. eI2-1647-1114/2023
Teisminio proceso Nr. 3-61-3-04877-2022-5
Procesinio sprendimo kategorijos: 26; 55.1.3
(S)
VILNIAUS APYGARDOS ADMINISTRACINIS TEISMAS
SPRENDIMAS
LIETUVOS RESPUBLIKOS VARDU
2023 m. sausio 3 d.
Vilnius
Vilniaus apygardos administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Sigitos Fomičiovos, Indrės Pukanasytės-Biekšės (kolegijos pirmininkė ir pranešėja) ir Gedimino Užubalio,
rašytinio proceso tvarka išnagrinėjo administracinę bylą pagal pareiškėjos uždarosios akcinės bendrovės ,,Legal Balance“ skundą atsakovei Valstybinei duomenų apsaugos inspekcjai, tretieji suinteresuoti asmenys uždaroji akcinė bendrovė ,,AD Baltic“ ir V. Ž., dėl sprendimo panaikinimo.
Teismas
n u s t a t ė :
1. Pareiškėja uždaroji akcinė bendrovė (toliau – ir UAB) ,,Legal Balance“ (toliau ir – pareiškėja, Bendrovė) pateikė teismui skundą, prašydama: 1) panaikinti atsakovės Valstybinės duomenų apsaugos inspekcijos (toliau ir – atsakovė arba VDAI) 2022 m. rugsėjo 29 d. sprendimą Nr. 3R-820(2.13-1.E) (toliau ir – Sprendimas) dalyse: (i) dėl V. Ž. skundo dalyje dėl teisės susipažinti su jo tvarkomais duomenimis įgyvendinimo pripažinimo pagrįstu, (ii) papeikimo pareiškimo Bendrovei, (iii) nurodymo skyrimo – Bendrovei pateikti informaciją V. Ž. apie tai, kokie jo asmens duomenys buvo gauti iš duomenų valdytojo UAB „AD Baltic“ bei (iv) VDAI informavimo apie šio nurodymo įvykdymą; 2) priteisti iš VDAI pareiškėjos naudai bylinėjimosi išlaidas.
2. Paaiškina, kad VDAI, išnagrinėjusi V. Ž. (toliau ir – V. Ž.) 2022 m. birželio 3 d. skundą, pareiškėjos atžvilgiu priėmė Sprendimą, kuriuo: 1) duomenų subjekto skundą, dalyje dėl teisės susipažinti su jo tvarkomais duomenimis įgyvendinimo pripažino pagrįstu; 2) Bendrovei pareiškė papeikimą; 3) pateikė nurodymą – pateikti informaciją V. Ž., kokie jo asmens duomenys buvo gauti iš duomenų valdytojo (trečiojo suinteresuoto asmens UAB „AD Baltic“); 4) įpareigojo pareiškėją apie nurodymo įvykdymą informuoti VDAI iki 2022 m. spalio 31 d.; 5) duomenų subjekto skundą dalyje dėl duomenų perdavimo teisėtumo atmetė; 6) V. Ž. skundą dalyje dėl dokumentų išreikalavimo iš skundžiamo asmens nutraukti; 7) V. Ž. skundą dalyje dėl teisės būti pamirštam įgyvendinimo atsisakė nagrinėti. Pareiškėja VDAI nepasirašytą Sprendimą 2022 m. spalio 4 d. gavo elektroniniu paštu.
3. Nurodo, jog būdama duomenų valdytojo UAB „AD Baltic“ duomenų tvarkytoja, nesutinka, kad pagal 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentą (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos regalmentas) (toliau ir – BDAR) duomenų tvarkytojui, gavus duomenų subjekto prašymą, tenka pareiga tiesiogiai informuoti domenų subjektą apie jo asmens duomenų tvarkymą.
4. Pažymi, kad VDAI, nagrinėdama duomenų subjekto skundą, teisingai nustatė, jog Bendrovė BDAR prasme yra trečiojo suinteresuoto asmens UAB „AD Baltic“ duomenų tvarkytojas. Tai reiškia, kad pareiškėja tvarko duomenų subjektų duomenis, gautus iš duomenų valdytojo UAB „AD Baltic“ šio vardu ir pagal šio nurodymus. Duomenų tvarkytojas neturi diskrecijos teisės pats spręsti, kaip tvarkyti duomenų subjektų duomenis ir kaip bendrauti su duomenų subjektais bei teikti jiems jų tvarkomus duomenis. Duomenų tvarkytojas asmens duomenų tvarkymo srityje veikia duomenų valdytojo suteikto pavedimo ribose. Duomenų tvarkytojo ir duomenų valdytojo santykiai yra reguliuojami šalių sudaryta 2020 m. kovo 6 d. Teisinių paslaugų teikimo sutartimi, kurios 5 punkte nustatomos šalių teisės ir pareigos, susijusios su asmens duomenų tvarkymu. Pagal šią sutartį pareiškėja duomenų valdytojui teikia skolų administravimo, išieškojimo ir kitas susijusias teisines paslaugas ir veikia kaip duomenų tvarkytojas, nes tokių paslaugų suteikimui būtinas yra duomenų subjektų (skolininkų) asmens duomenų gavimas ir tvarkymas. Sutartimi, be kita ko, susitarta, kad pareiškėja, teikdama sutartyje numatytas paslaugas, turi teisę duomenų valdytojo skolininkams taikyti papildomus skolos administravimo ir kitus mokesčius.
5. Atkreipia dėmesį, kad minėtos teisinių paslaugų teikimo sutarties 5 punktas, pareiškėjai, kaip duomenų tvarkytojai, gana griežtai nustatyto veikimo ribas. O būtent, duomenų tvarkytojas įsipareigojo tvarkyti asmens duomenis tik pagal duomenų valdytojo dokumentais, įskaitant šią sutartį ir jos priedus, įformintus nurodymus. Duomenų tvarkytojas įsipareigojo tvarkyti iš duomenų valdytojo gautus asmens duomenis tik duomenų valdytojo vardu. Sutarties 5.7 papunktyje nustatyta, kad be išankstinio rašytinio sutikimo duomenų tvarkytojas įsipareigoja neperduoti iš duomenų valdytojo gautų asmens duomenų jokioms trečiosioms šalims. Pareiškėjos nuomone, šis draudimas apima ir duomenų perdavimą patiems duomenų subjektams, kurių kaip skolininkų asmens duomenis pareiškėja gavo iš duomenų valdytojo ir tvarkė sutarties įvykdymo tikslu. Be to, pagal sutarties 5.12 papunktį duomenų valdytojas įsipareigojo dėl bet kokių asmens duomenų tvarkymo veiksmų duoti duomenų tvarkytojui nurodymus. Pažymi, kad vertinant šį sutarties punktą duomenų tvarkytojas neturėjo pagal sutartį suteiktų įgaliojimų tiesiogiai teikti detalios informacijos duomenų subjektui apie tai, kokius jo duomenis jis gavo iš duomenų valdytojo. Paaiškina, jog praktikoje yra gana įprasta, kad į panašius duomenų subjektų užklausimus atsako duomenų subjektui ne duomenų tvarkytojas, o duomenų valdytojas, nebent duomenų valdytojas savo duomenų tvarkytojui suteikia tam rašytinį įgaliojimą, kurio nagrinėjamu atveju nebuvo suteikęs. Duomenų tvarkytojas paprastai tik informuoja duomenų valdytoją apie tokius duomenų subjektų paklausimus dėl BDAR numatytų teisių įgyvenimo ir perduoda užklausą ir susijusią informaciją pačiam duomenų valdytojui.
6. Nurodo, kad VDAI teisingai nustatė, jog duomenų subjektas V. Ž. duomenų valdytojui buvo skolingas už prekes ir susijusį skolos administravimo mokestį, todėl duomenų tvarkytojas pradėjo aktyvius skolos išieškojimo veiksmus: duomenų subjektui siuntė trumpąsias SMS žinutes, skambino. Nors duomenų subjektas padengė įsiskolinimą už prekes duomenų valdytojui, tačiau liko nesumokėjęs 40 Eur skolos administravimo mokesčio (skolos išieškojimo ne teismo tvarka išlaidų) pareiškėjai, todėl skolos išieškojimo veiksmai skolininko atžvilgiu buvo tęsiami ir 2022 m. kovo 21 d. iš pareiškėjos sistemos skolininkui buvo išsiųstas SMS pranešimas dėl išieškojimo išlaidų padengimo. Vėliau buvo nuspręsta šio skolos administravimo mokesčio atsisakyti reikalauti iš skolininko ir jis buvo apie tai informuotas. Pažymi, kad toks atsisakymas negali būti traktuojamas kaip pareiškėjos pripažinimas, kad ji nepagrįstai reikalavo iš skolininko šio mokesčio sumokėjimo. VDAI nenustatė, kad pareiškėja būtų neteisėtai iš duomenų valdytojo gavusi ar tvarkiusi duomenų subjekto (skolininko) asmens duomenis skolos administravimo mokesčio išieškojimo tikslu.
7. Atkreipia dėmesį, kad duomenų subjektas V. Ž. , būdamas nepatenkintas dėl to, jog pareiškėja jam SMS žinute priminė susimokėti skolos administravimo mokestį, elektroniniu laišku atsiuntė pareiškėjai reikalavimą dėl jo kaip duomenų subjekto teisių įgyvendinimo. Duomenų subjektas pareikalavo, kad pareiškėja įgyvendintų jai pagal BDAR ir Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymą (toliau – ir ADTAĮ) numatytą teisę susipažinti su jo asmens duomenimis. Nurodo, jog VDAI, vertindama minėtą šalių susirašinėjimą, nustatė, kad pareiškėja, atsakydama į duomenų subjekto paklausimus, pateikė dalį jo prašomos informacijos: nurodė, jog vykdomas skolos išieškojimas, kada ir kokiu teisiniu pagrindu vadovaujantis duomenų valdytojas pateikė duomenų subjekto asmens duomenis, paaiškino, jog pareiškėja veikia duomenų valdytojo vardu kaip duomenų tvarkytojas bei papildomai nurodė, kad jeigu duomenų subjektas nori gauti detalią informaciją, kokie konkrečiai jo asmens duomenys buvo perduoti, jis privalo pateikti pasirašytą prašymą. Be to, VDAI vertino, kad vadovaujantis BDAR 11 straipsnio 2 dalimi, duomenų valdytojas, įgyvendindamas duomenų subjekto teises, turi teisę paprašyti iš duomenų subjekto pateikti papildomą informaciją, jeigu jos trūksta, siekiant tinkamai nustatyti duomenų subjekto tapatybę. Nagrinėjamu atveju, anot VDAI, svarbu tai, kad pareiškėja duomenų subjektui pateikė dalį informacijos apie duomenų subjekto asmens duomenų tvarkymą ir neteikė papildomų reikalavimų dėl tapatybės patvirtinimo, todėl atsižvelgiant į tai, VDAI konstatavo, kad pareiškėjai turėjo užtekti turimos informacijos, siekiant įsitikinti duomenų subjekto tapatybe. Atsižvelgiant į tai, anot VDAI, jai nėra aišku, dėl kokių priežasčių dėl dalies informacijos, kokie konkrečiai asmens duomenys buvo gauti iš duomenų valdytojo, gavimo buvo prašoma pateikti papildomą prašymą bei nurodyti papildomi reikalavimai šiam prašymui pateikti. Todėl VDAI, atsižvelgdama į minėtą bei vadovaudamasi ADTAĮ 31 straipsnio 1 dalies 1 punktu, duomenų subjekto skundą dalyje dėl duomenų subjekto teisės susipažinti su jo asmens duomenų tvarkymu, pripažino pagrįstu.
8. Pareiškėjos nuomone, tai konstatuodama VDAI padarė teisės klaidą ir jei toks VDAI sprendimas liktų galioti, tai sukurtų teisiškai ydinga precedentą, pagal kurį duomenų tvarkytojui atsirastų naujų pareigų, kurios nėra nustatytos nei BDAR, nei ADTAĮ. Aplinkybė, kad pareiškėja paprašė duomenų subjekto pateikti papildomą prašymą bei nurodė papildomus reikalavimus šiam prašymui pateikti, nereiškia, kad pareiškėjai kaip duomenų tvarkytojui kilo pareiga suteikti duomenų subjektui jo prašomą informaciją, kokie konkrečiai asmens duomenys buvo gauti iš duomenų valdytojo, kadangi šią informaciją pagal BDAR turi suteikti duomenų valdytojas, o ne duomenų tvarkytojas.
9. Teigia, kad VDAI, pasisakydama apie duomenų tvarkytojo pareigą informuoti duomenų subjektą apie šio teisę susipažinti su duomenimis, išimtinai remiasi BDAR nuostatomis, kurios taikomos duomenų valdytojui, o ne duomenų tvarkytojui. Atkreipia dėmesį, kad VDAI Sprendimo dalyje dėl teisės susipažinti su duomenimis įgyvendinimo cituoja BDAR konstatuojamos dalies 59, 64 punktus, kurie iš esmės yra susiję su duomenų valdytojui, o ne duomenų tvarkytojui nustatytomis prievolėmis. Taip pat, remiasi BDAR 15, 12 ir 11 straipsniais, kurie yra susiję su duomenų valdytoju, o ne su duomenų tvarkytoju. Atkreipia dėmesį, kad BDAR 15 straipsnio 1 dalyje nustatyta prievolė, kad duomenų valdytojas asmens duomenų gavimo metu turi duomenų subjektui pateikti visą a) - f) punktuose išvardintą informaciją, taikoma, kai vienas duomenų valdytojas teikia asmens duomenis kitam duomenų valdytojui. Nagrinėjamu atveju asmens duomenys buvo teikiami iš duomenų valdytojo duomenų tvarkytojui, todėl duomenų tvarkytojas neprivalėjo informuoti duomenų subjekto BDAR 15 straipsnio nustatyta tvarka nei duomenų gavimo metu, nei vėliau.
10. Pažymi, kad duomenų subjektas, sužinojęs kas yra jo duomenų valdytojas, privalėjo dar kartą kreiptis ne į duomenų tvarkytoją, o į duomenų valdytoją. Tai, kad pareiškėja, atsakydama į duomenų subjekto užklausą geranoriškai pateikė jam dalį bendro pobūdžio informacijos, įskaitant kas yra jo duomenų valdytojas, bet nenurodė, jog dėl detalesnės informacijos jis privalo kreiptis į patį duomenų valdytoją, negali būti aiškinama, kad tokia šalių korespondencija sukūrė pareiškėjui BDAR 15 straipsnyje nustatytas pareigas, kurias turi įgyvendinti duomenų valdytojas. VDAI, vertindama duomenų tvarkytojo elgesį, nepagrįstai jam taikė teisės normas, kurios taikytinos duomenų valdytojui, todėl priėmė nepagrįsta Sprendimą ginčijamoje dalyje. Mano, kad aplinkybė, jog domenų tvarkytojas pareikalavo, kad duomenų subjektas įrodytų savo tapatybę, neturi būti aiškinama pareiškėjos nenaudai. Toks pareiškėjos prašymas buvo pagrįstas, nes duomenų subjektui įrodžius savo tapatybę, jo užklausimas būtų perduotas duomenų valdytojui tolimesniam nagrinėjimui. Be to, šis klausimas dėl duomenų subjekto tapatybės įrodymo yra išvestinis ir nagrinėjamu atveju nėra aktualus, vertinant pareiškėjos atsakomybę, nes teisės aktai nenumato pareiškėjai kaip duomenų tvarkytojui prievolės įgyvendinti duomenų subjekto teisę susipažinti su duomenimis.
11. Nurodo, kad Sprendimas yra individualus administracinis aktas, o remiantis Lietuvos Respublikos viešojo administravimo įstatymo (toliau – ir VAĮ) 10 straipsnio 5 dalimi, individualus administracinis aktas turi būti pagrįstas objektyviais duomenimis (faktais) ir teisės aktų normomis, o taikomos poveikio priemonės (licencijos ar leidimo galiojimo panaikinimas, laikinas uždraudimas verstis tam tikra veikla ar teikti paslaugas, bauda ir kt.) turi būti motyvuotos. Pareiškėja cituoja LVAT išaiškinimus, susijusius su individualaus administracinio akto turiniui taikomais reikalavimais. Akcentuoja, kad Sprendimas nėra grindžiamas faktais ir teisės aktų nuostatomis, taip pat, nėra pakankamai motyvuotas, todėl neatitinka VAĮ 10 straipsnio 5 dalies reikalavimų.
12. Apibendrindama pareiškėja pažymi, kad tuo atveju jei Sprendimas liktų galioti, duomenų tvarkytojui būtų sukurtos papildomos pareigos informuoti duomenų subjektus apie jų duomenų tvarkymo apimtis, kai tuo tarpu ši pareiga pagal BDAR yra numatyta tik domenų valdytojams. Toks VDAI duomenų valdytojo ir tvarkytojo santykių klaidingas aiškinimas sukeltų teisinį neapibrėžtumą ir prieštarautų Europos patariamojo organo duomenų apsaugos ir privatumo klausimais pateiktam išaiškinimui apie esmines BDAR duomenų valdytojo ir tvarkytojo sąvokas, jų atsakomybių ribas ir jų tarpusavio ryšį.
13. Atsakovė VDAI atsiliepime į pareiškėjos skundą su juo nesutinka ir prašo jį atmesti kaip nepagrįstą.
14. Pažymi, kad ginčo, jog duomenų subjektas, teikdamas paklausimą pareiškėjai ir duomenų valdytojui, siekė įgyvendinti BDAR 15 straipsnyje įtvirtintą teisę susipažinti su savo tvarkomais duomenimis, nėra. Ginčo nėra ir dėl to, jog esant duomenų valdytojo ir duomenų tvarkytojo santykiams, būtent duomenų valdytojui kyla pareiga organizuoti duomenų subjekto teisių įgyvendinimą.
15. Nurodo, jog Europos duomenų apsaugos valdybos 2021 m. liepos 7 d. gairėse Nr. 07/2020 dėl sąvokų „duomenų valdytojas“ ir „duomenų tvarkytojas“ pagal BDAR (toliau – ir Gairės) nustatyta, kad duomenų tvarkytojas privalo padėti duomenų valdytojui vykdyti jo prievolę atsakyti į prašymus pasinaudoti duomenų subjekto teisėmis. Nors pareiga užtikrinti duomenų subjektų prašymų nagrinėjimą tenka duomenų valdytojui, sutartyje turi būti nustatyta, kad duomenų tvarkytojas privalo padėti „taikydamas tinkamas technines ir organizacines priemones, kiek tai įmanoma“. Šios pagalbos pobūdis gali labai skirtis „atsižvelgiant į duomenų tvarkymo pobūdį“ ir priklausomai nuo duomenų tvarkytojui patikėtos veiklos rūšies. Išsami informacija apie duomenų tvarkytojo teikiamą pagalbą turėtų būti įtraukta į sutartį arba jos priedą. Nors pagalba gali būti tiesiog skubiai persiųsti bet kokį gautą prašymą ir (arba) suteikti duomenų valdytojui galimybę tiesiogiai gauti ir tvarkyti atitinkamus asmens duomenis, tam tikromis aplinkybėmis duomenų tvarkytojui gali būti pavestos konkretesnės techninės pareigos, ypač kai jis gali gauti ir tvarkyti asmens duomenis.
16. Atkreipia dėmesį, kad pareiškėja, kaip duomenų tvarkytojas, privalo padėti duomenų valdytojui atitinkamomis priemonėmis įgyvendinti duomenų subjekto teisę susipažinti su asmens duomenimis ir tai yra duomenų valdytojo bei duomenų tvarkytojo susitarimas, kokia apimtimi šį pagalba yra vykdoma. Pareiškėja, kaip duomenų tvarkytoja, veikdama duomenų valdytojo vardu bei atsakydama į pirmąjį duomenų subjekto paklausimą, teikė informaciją duomenų subjektui apie jo asmens duomenų tvarkymą, t. y. suteikė dalį informacijos ir ši informacija nebuvo bendro pobūdžio, kaip nurodyta skunde, o buvo konkreti informacija apie duomenų subjektą. Taip pat, pareiškėja duomenų subjektui nurodė, kad jeigu jis nori gauti konkrečią informaciją, jis privalo pateikti pasirašytą prašymą, taip pat atsakydama į kitą paklausimą, nurodė, jog siekiant tinkamai įgyvendinti duomenų subjekto teises, turi atlikti jo identifikaciją, nurodė jos būdus. Skundo nagrinėjimo metu nebuvo gauta informacija, kad pareiškėja persiuntė duomenų subjekto paklausimą duomenų valdytojui, todėl buvo konstatuota, kad pareiškėja, veikdama duomenų valdytojo vardu ir padėdama jam įgyvendinti duomenų subjekto teises, padarė pažeidimą.
17. Pažymi, kad duomenų valdytojo ir pareiškėjos (duomenų tvarkytojos) santykiai bei jų tarpusavio susitarimai neturėtų daryti įtakos duomenų subjekto teisių įgyvendinimui ar kitų BDAR nuostatų laikymuisi. Jeigu pareiškėja, vadovaudamasi su duomenų valdytoju sudarytos sutarties nuostatomis, nustatė, kad neturi teisės įgyvendinti duomenų subjekto teisių, duomenų subjekto paklausimą privalėjo persiųsti duomenų valdytojui, tačiau to nepadarė ir ėmėsi veiksmų, įgyvendinant duomenų subjekto teisę susipažinti su asmens duomenų tvarkymu.
18. VDAI nesutinka ir su pareiškėjos pozicija, kad Sprendimu yra sukuriamos naujos duomenų tvarkytojui, nagrinėjamu atveju pareiškėjai, pareigos, kurios nėra nustatytos nei BDAR nei ADTAĮ. Nurodo, kad remiantis BDAR 4 straipsnio 8 dalimi, duomenų tvarkytojas yra apibrėžiamas kaip fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuri duomenų valdytojo vardu tvarko asmens duomenis. Sprendime nustatyta,kad pareiškėja neginčija fakto, jog ji yra duomenų tvarkytoja. Duomenų valdytojas nustato duomenų tvarkymo tikslus ir priemones, t. y. kodėl ir kaip jie yra tvarkomi, o duomenų tvarkytojas, šiuo atveju pareiškėja, negali tvarkyti duomenų kitaip, nei nurodo duomenų valdytojas. Akcentuoja, kad nors, kaip teigia pareiškėja, VDAI Sprendime naudojo sąvokas ir aiškinimus, skirtus duomenų valdytojui, o ne tvarkytojui, bet kokiu atveju pareiškėja veikė kaip duomenų tvarkytoja duomenų valdytojos vardu. Pareiškėja pateikė dalį prašomos duomenų subjektų informacijos, tačiau dar kartą duomenų subjektui pasikreipus dėl detalesnės informacijos suteikimo, pareiškėja atsisakė pateikti, remdamasi tuo, kad duomenų subjektas yra identifikuojamas.
19. Apibendrinant nurodo, kad mano, jog pareiškėjos skunde nurodyti argumentai nesudaro pagrindo naikinti VDAI Sprendimo 1, 2, 3, ir 4 punktus. VDAI nuomone, pareiškėjos skundas turi būti atmestas kaip nepagrįstas.
20. Tretieji suinteresuoti asmenys UAB ,,AD Baltic“ ir V. Ž. atsiliepimų į pareiškėjos skundą nepateikė. Procesiniai dokumentai įteikti tinkamai.
Teismas
k o n s t a t u o j a:
21. Ginčas byloje kilo dėl VDAI 2022 m. rugsėjo 29 d. sprendimo Nr. 3R-820(2.13-1.E) „Dėl V. Ž. 2022-06-03 skundo“ dalyje: 1) dėl duomenų subjekto V. Ž. skundo dalyje dėl teisės susipažinti su jo tvarkomais duomenimis įgyvendinimo pripažinimo pagrįstu; 2) papeikimo pareiškimo Bendrovei, 3) nurodymo skyrimo – Bendrovei pateikti informaciją V. Ž. apie tai, kokie jo asmens duomenys buvo gauti iš duomenų valdytojo UAB „AD Baltic“; 4) VDAI informavimo apie šio nurodymo įvykdymą, teisėtumo ir pagrįstumo.
22. Iš byloje esančios medžiagos nustatyta, kad:
22.1. Trečiasis suinteresuotas asmuo V. Ž. VDAI 2022 m. gegužės 30 d. pateikė skundą (VDAI gautas 2022 m. birželio 3 d.), kuriame paaiškino, jog 2022 m. kovo 24 d. gavo laišką, iš kurio turinio sužinojo, kad jo asmens duomenimis disponuoja pareiškėja juos gavusi iš UAB ,,AD Baltic“. Nurodė, kad 2022 m. balandžio 1 d. parašė pareiškėjai elektroninį laišką, prašydamas pateikti informaciją, kokiu teisiniu pagrindu, remdamasi V. Ž. asmens duomenimis, reikalauja apmokėti įsiskolinimą. Pareiškėja 2022 m. balandžio 4 d. atsakė, kad V. Ž. pradelsė sumokėti skolą, tačiau nepateikė V. Ž. tai pagrindžiančio dokumento. V. Ž. paprašė pareiškėjos pateikti sutartį, kad išsiaiškintų, ką pažeidė, tačiau 2022 m. balandžio 25 d. gavo iš pareiškėjos atsakymą, kad V. Ž. duomenis pareiškėjai 2021 m. rugsėjo 16 d. perdavė duomenų valdytoja UAB „AD Baltic“, tačiau pareiškėja V. Ž. neatsakė į V. Ž. prašymą paaiškinti, kokius V. Ž. asmens duomenis ir kaip gavo iš UAB „AD Baltic“. V. Ž. paaiškino, kad pareiškėjai buvo perduoti jo vardas, pavardė, gyvenamosios vietos adresas. V. Ž. pažymėjo, kad tokiais veiksmais pareiškėja pažeidė BDAR 15 straipsnio a - d punktų bei ADTAĮ 25 straipsnio nuostatas. Atsižvelgiant į tai, prašė skundą pripažinti pagrįstu bei išreikalauti dokumentus, kad būtų aišku, kokios V. Ž. teisės buvo pažeistos ir, nustačius, jog pareiškėja pažeidė ADATĮ nuostatas, imtis atitinkamų priemonių joms apginti. Pažymėjo, kad jam nebuvo pateikti dokumentai, todėl mano, jog turi teisę reikalauti, kad pareiškėja sunaikintų visus turimus V. Ž. asmens duomenis remiantis ,,teise būti pamirštam“ ir nebesinaudotų jais ateityje.
22.2. Pareiškėja į bylą pateikė dvi sms žinutes, siųstas V. Ž.: 1) 2021 m. rugsėjo 16 d. siųstą žinutę, kad V. Ž. turi skolą UAB „AD Baltic“ ir kad prašoma nedelsiant susiekti su pareiškėja; 2) 2022 m. kovo 21 d. sms žinutė, kurioje pareiškėja primena, jog V. Ž. nėra padengęs ikiteisminio išieškojimo išlaidų 40 Eur. Byloje pateikti rašytiniai įrodymai, kad pareiškėja paštu išsiuntė V. Ž. 2022 m. kovo 22 d. „Reikalavimą apmokėti skolą“, kuriame informavo, kad V. Ž. yra neapmokėjęs skolos administravimo mokesčio pareiškėjai; kad skola atsirado dėl V. Ž. netinkamo prievolės vykdymo kreditoriui UAB „AD Baltic“; kad atsižvelgiant į tai, jog prievolė nebuvo įvykdyta laiku ir V. Ž. skola buvo perduota išieškojimui bei vadovaujantis kreditoriaus UAB „AD Baltic“ ir pareiškėjos sudaryta sutartimi, Reikalavime apmokėti skolą nurodytomis teisės aktų nuostatomis, V. Ž. privalo atlyginti visas su skolos išieškojimu susijusias išlaidas (40 Eur administravimo mokesčio) tiesiogiai pareiškėjai.
22.3. 2022 m. balandžio 1 d. V. Ž. iš elektroninės pašto dėžutės išsiuntė laišką pareiškėjos ir UAB „AD Baltic“ elektroninio pašto adresais, kuriame nurodė, kad 2022 m. balandžio 1 d. gavo pareiškėjos „raštą su reikalavimu“ apmokėti skolą, kuri V. Ž. neaiški, nes nepateikta jokia „detalizacija“, paaiškino, kad su pareiškėja nėra sudaręs jokių sutarčių, paprašė pateikti sąskaitos detalizaciją ir nurodyti teisinį pagrindą, kuriuo remdamasi pareiškėja įgijo teisę reikalauti iš V. Ž. skolos apmokėjimo; paaiškino, kad ketina dėl savo teisių pažeidimo kreiptis į VDAI, todėl prašė kuo greičiau pateiktį rašytinį atsakymą.
22.4. UAB „AD Baltic“ elektroniniu laišku atsakė V. Ž., kad yra nutrauktas pareiškėjos administracinio mokesčio išieškojimas iš V. Ž.; kad V. Ž. būtent dėl (duomenys neskelbtini) pradelsė 39 darbo dienas kaip UAB „AD Baltic“ klientas, todėl „buvo perduotas“ išieškojimo tarnybai, nes neįvykdė sąlygų, su kuriomis sutiko pirkdamas prekes; informavo, kad V. Ž. yra nutraukta galimybė įsigyti prekių iš UAB“AD Baltic“. 2022 m. balandžio 4 d. V. Ž. išsiuntė UAB „AD Baltic“ elektroniniu paštu laišką, kuriame nurodė, kad nors išieškojimas nutrauktas, tačiau V. Ž. dar kartą prašo atsiųsti sutartį, kuria, pasak UAB „AD Baltic“, V. Ž. buvo perduotas „išieškojimo tarnybai neįvykdęs sąlygų“, su kuriomis sutiko imdamas prekes; V. Ž. paaiškino, kad tokios sutarties neturi, todėl nežino, už ką buvo perduotas.
22.5. 2022 m. balandžio 25 d. pareiškėja atsakė V. Ž., kad jo duomenys 2021 m. rugsėjo 16 d. buvo gauti iš duomenų valdytojo UAB „AD Baltic“ teisėto intereso pagrindu išieškoti skolą; kad pareiškėjai V. Ž. duomenys perduoti kaip duomenų tvarkytojui, teikiančiam skolų išieškojimo paslaugas duomenų valdytojui UAB „AD Baltic“, todėl V. Ž. pareiškėja ir siuntė pranešimą dėl skolos išieškojimo; taip pat informavo, kad, gavus atnaujintą informaciją iš UAB „AD Baltic“, „skola uždaryta“, daugiau pranešimų pareiškėja V. Ž. nesiųs; kad gavo informaciją, jog V. Ž. dėl susiklosčiusios situacijos bendravo su UAB „AD Baltic“; paaiškino, kad jeigu V. Ž. nori gauti detalesnę informaciją, kokie duomenys pareiškėjai buvo perduoti, V. Ž. turi atsiųsti pasirašytą laisvos formos prašymą pareiškėjai elektroniniu paštu.
22.6. 2022 m. gegužės 22 d. V. Ž. elektroniniame laiške, išsiųstame pareiškėjai, paprašė pateikti informaciją, kokius jo asmens duomenis UAB „AD Baltic“ perdavė pareiškėjai ir kokiu teisiniu pagrindu remdamasi.
22.7. 2022 m. gegužės 23 d. pareiškėja išsiuntė elektroninį laišką V. Ž., kuriame paaiškino, kad tam, jog galėtų tinkamai įgyvendinti V. Ž. teises, turi atlikti jo identifikaciją, t. y. V. Ž. prašymas turi būti pasirašytas elektroniniu parašu arba kartu su prašymu turi būti pateikta V. Ž. asmens tapatybę patvirtinančio dokumento kopija, ir nurodė būdus, kuriais V. Ž. gali kreiptis į pareiškėją: 1) elektroniniu paštu atsiųsti elektroniniu parašu pasirašytą laisvos formos prašymą susipažinti su asmens duomenimis (nurodė, kad prisega formą, kurią V. Ž. gali užpildyti); 2) pasirašytą prašymą atsiųsti paštu pareiškėjai, pridedant notaro patvirtintą asmens tapatybę patvirtinančio dokumento kopiją; 3) atvykti pas pareiškėją į ofisą, kuriame V. Ž. galės pateikti prašymą ir kad turi turėti su savimi asmens tapatybę patvirtinantį dokumentą.
22.8. Pareiškėja, atsakydama į VDAI nurodymą pateikti informaciją, VDAI 2022 m. birželio 27 d. pateikė raštą Nr. SD22/01404 ,,Dėl informacijos pateikimo“, kuriame nurodė, jog Bendrovė V. Ž. atžvilgiu yra duomenų tvarkytojas ir jo asmens duomenis tvarko duomenų valdytojo (pareiškėjos kliento) UAB „AD Baltic“pavedimu ir nurodymu. Teisinis asmens duomenų tvarkymo pagrindas – duomenų valdytojo teisėtas interesas išieškoti skolą ir pareiškėjos teisėtas interesas vykdyti tarp pareiškėjos ir UAB „AD Baltic“ 2020 m. kovo 6 d. sudarytą teisinių paslaugų teikimo sutartį Nr. 2020-03/3, pagal kurią pareiškėja duomenų valdytojui UAB „AD Baltic“ teikia skolų administravimo, išieškojimo ir kitas susijusias teisines paslaugas. Pažymėjo, kad minėta sutartimi, be kita ko, sutarta, kad pareiškėja, teikdama sutartyje numatytas paslaugas, turi teisę UAB „AD Baltic“ skolininkams taikyti papildomus skolos administravimo ir kitus mokesčius (sutarties 2.8 papunktis). V. Ž. UAB „AD Baltic“ buvo skolingas 415,99 Eur už prekes, todėl UAB „AD Baltic“ 2021 m. rugsėjo 16 d. kreipėsi į pareiškėją dėl skolos išieškojimo iš V. Ž. Atitinkamai, pareiškėja pradėjo aktyvius skolos išieškojimo veiksmus: V. Ž. siuntė trumpąsias SMS žinutes, skambino. 2021 m. rugsėjo 21 d. V. Ž. padengė 415,99 Eur įsiskolinimą UAB „AD Baltic“, tačiau pareiškėjai liko nesumokėjęs 40 Eur skolos administravimo mokesčio (skolos išieškojimo ne teismo tvarka išlaidų). Dėl šios priežasties pareiškėja tęsė skolos išieškojimo veiksmus V. Ž. atžvilgiu: 2022 m. kovo 21 d. iš pareiškėjos sistemos V. Ž. buvo išsiųstas pranešimas dėl išieškojimo išlaidų padengimo. V. Ž. susisiekus, pareiškėja pasitarė su UAB „AD Baltic“ ir nusprendė šio administravimo mokesčio atsisakyti. Atsižvelgdama į tai, pareiškėja elektroniniu laišku informavo V. Ž., kad gautus pranešimus gali ignoruoti, skola yra uždaryta ir daugiau jokių pranešimų jam nebus siunčiama. Akcentavo, kad gavo V. Ž. laiškus, tačiau negalėjo įgyvendinti duomenų subjekto teisių, kadangi pirmame laiške (2022 m. balandžio 1 d.) to nebuvo prašoma, o vėliau V. Ž. nepatvirtino savo asmens tapatybės. Pažymėjo, kad V. Ž. pasirašytas prašymas ir asmens tapatybę patvirtinantis dokumentas pareiškėjai nebuvo pateiktas, o 2022 m. gegužės 30 d. V. Ž. kreipėsi į VDAI. Pažymėjo, kad apie visus gautus V. Ž. prašymus žodžiu informavo UAB ,,AD Baltic“, kuri yra duomenų valdytojas, ir atsakymus rengė žodiniu duomenų valdytojo pavedimu. Pažymėjo, kad pareiškėja negali pateikti informacijos, ar V. Ž. buvo tinkamai informuotas apie asmens duomenų tvarkymą pagal BDAR 13 ir (ar) 14 straipsnius, kadangi pagal minėtą sutartį pareiškėja veikia kaip duomenų tvarkytojas; duomenų valdytojas šiuo atveju yra UAB „AD Baltic“, kuriai, kaip duomenų valdytojui, taikomos BDAR 13 ir 14 straipsnių nuostatos; be to, UAB „AD Baltic“ savo klientus informuoja apie asmens duomenų tvarkymą, duomenų subjektų teises internetinės svetainės privatumo taisyklėse, kurios yra viešai prieinamos kiekvienam UAB „AD Batic“ klientui. Atsižvelgdama į nurodytas aplinkybes, pareiškėja prašė VDAI nutraukti jos atžvilgiu pradėtą tyrimą ir V. Ž. skundą atmesti kaip nepagrįstą.
22.9. Byloje esančioje tarp pareiškėjos ir UAB „AD Baltic“ 2020 m. kovo 6 d. sudarytoje Teisinių paslaugų teikimo sutartyje Nr. 2020-03/3, nurodyta, kad pareiškėja įsipareigoja teikti UAB „AD Baltic“ skolų administravimo, išieškojimo ir kitas susijusias teisines paslaugas tarp šalių pasirašant Skolų priėmimo-perdavimo aktus, kuriuose nurodomas UAB „AD Baltic“ skolininkų sąrašas, jų rekvizitai, įsiskolinimų dydžiai, skolas pagrindžiantys dokumentai (1.2 papunktis); pareiškėja, teikdama sutartyje numatytas paslaugas, turi teisę UAB „AD Baltic“ skolininkams taikyti papildomus skolos administravimo ir kitus mokesčius (2.8 papunktis); UAB „AD Baltic“ patvirtina, kad šia sutartimi yra perleidžiama teisė pareiškėjai skolininkams taikyti papildomus skolos administravimo ir kitus mokečius, kurie yra sumokami pareiškėjai (2.9 papunktis); UAB „AD Baltic“ suteikia pareiškėjai teisę UAB „AD Baltic“ nevaržomai atstovauti santykiuose su perduotais skolininkais pagal sutartyje nurodytas sąlygas ir apimtį (3.3 papunktis); šios sutarties dalies tikslais UAB „AD Baltic“ laikomas „duomenų valdytoju“, o pareiškėja - „duomenų tvarkytoju“, sąvokos „duomenų valdytojas“, „duomenų tvarkytojas“, „duomenų subjektas“, „tvarkymas“ turi tą pačią reikšmę, kaip tai apibrėžia asmens duomenų tvarkymą reglamentuojantys teisės aktai (5.1 papunktis); pareiškėja įsipareigoja tvarkyti asmens duomenis tik pagal UAB „AD Baltic“ dokumentais, įskaitant šią sutartį ir jos priedus, įformintus nurodymus ir užtikrinti, kad pareiškėjos darbuotojai ar kiti įgalioti asmenys, kurie tvarkys asmens duomenis, konfidencialumo sutartimis būtų visam laikui įsipareigoję užtikrinti iš UAB „AD Baltic“ gautų asmens duomenų konfidencialumą (5.2 papunktis); be išankstinio rašytinio UAB „AD Baltic“ sutikimo pareiškėja įsipareigoja neperduoti iš UAB „AD Baltic“ gautų asmens duomenų jokioms trečiosioms šalims (5.7 papunktis); pareiškėja įsipareigoja padėti UAB „AD Baltic“, užtikrinti BDAR 32-36 straipsniuose nustatytų prievolių laikymąsi, atsižvelgdama į duomenų tvarkymo pobūdį ir pareiškėjos turimą informaciją (5.9 papunktis); UAB „AD Baltic“ įsipareigoja už duomenų subjekto naudojimąsi savo teisėmis, numatytomis BDAR, neimti iš jo jokio mokesčio (5.14 papunktis); abi šalys įsipareigoja užtikrinti, kad asmens duomenys būtų apsaugoti nuo atsitiktinio ar neteisėto sunaikinimo arba nuo atsitiktinio praradimo, pakeitimo, nesankcionuoto atskleidimo arba nesankcionuotos prieigos prie jų, ypač tais atvejais, kai tvarkymo proceso metu duomenys perduodami tinklu, taip pat nuo visų kitų neteisėtų tvarkymo formų, ir kad šiomis priemonėmis užtikrinamas tinkamas apsaugos lygis atsižvelgiant į riziką, susijusią su tvarkymu, ir saugotinų duomenų pobūdį ir atsižvelgiant į tų priemonių modernumą bei jų įgyvendinimo išlaidas (5.15 papunktis); šalys sutinka, kad nutraukus asmens duomenų tvarkymo paslaugų teikimą, pareiškėja ir pagalbiniai duomenų tvarkytojai, jei tokių yra, UAB „AD Baltic“ pasirinkimu grąžins visus perduotus asmens duomenis ir jų kopijas UAB „AD Baltic“arba sunaikins visus asmens duomenis ir išsiųs patvirtinimą UAB „AD Baltic“, kad tai buvo atlikta, išskyrus atvejus, kai pagal pareiškėjai taikytinus teisės aktus jam draudžiama grąžinti arba sunaikinti visus perduotus asmens duomenis arba jų dalį; tuo atveju pareiškėja užtikrina, kad ji garantuos perduotų asmens duomenų konfidencialumą ir daugiau netvarkys perduotų asmens duomenų (5.18 papunktis); perduodami asmens duomenys susiję su šiomis duomenų subjektų kategorijomis: UAB „AD Baltic“ klientai, tiekėjai, skolininkai, darbuotojai, valdymo organai, juridinio asmens dalyviai ir kiti asmenys, kurių asmens duomenys yra ar gali būti perduodami vykdant šią sutartį (5.19 papunktis); perduodami asmens duomenys susiję su šiomis duomenų kategorijomis: vardas, pavardė, asmens kodas, gimimo data, deklaruotos ir faktinės gyvenamosios vietos adresas, telefono numeris, el pašto adresas, finansiniai įsipareigojimai, sutarčių sąlygos, banko sąskaitos, numeris ir kiti duomenys, kurie yra ar gali būti perduodami vykdant šią sutartį (5.20 papunktis).
22.10. VDAI 2022 m. rugsėjo 29 d. priėmė sprendimą Nr. 3R-820(2.13-1.E) „Dėl V. Ž. 2022-06-03 skundo“, kuriuo, be kita ko, nusprendė: 1) V. Ž. skundą dalyje dėl teisės susipažinti su jo tvarkomais duomenimis įgyvendinimo pripažinti pagrįstu; 2) Bendrovei pareikšti papeikimą; 3) Bendrovei teikti nurodymą – pateikti informaciją V. Ž., kokie jo asmens duomenys buvo gauti iš duomenų valdytojo; 4) apie nurodymo vykdymą informuoti VDAI iki 2022 m. spalio 31 d. VDAI Sprendimo dalyje dėl teisės susipažinti su duomenimis įgyvendinimo, rėmėsi BDAR konstatuojamosios dalies 59, 64 punktais, BDAR 11 straipsnio 2 dalimi, 12 straipsnio 3 dalimi, 15 straipsniu. VDAI pažymėjo, kad pareiškėja V. Ž. pateikė dalį informacijos apie jo asmens duomenų tvarkymą ir neteikė papildomų reikalavimų dėl tapatybės patvirtinimo, todėl darytina išvada, kad pareiškėjai užteko turimos informacijos, siekiant įsitikinti V. Ž. tapatybe, todėl nėra aišku, dėl kokių priežasčių dėl dalies informacijos, kokie konkrečiai asmens duomenys buvo gauti iš duomenų valdytojo, gavimo buvo prašoma pateikti papildomą prašymą bei nurodyti papildomi reikalavimai šiam prašymui pateikti. VDAI akreipė dėmesį, kad pareiškėja, atsakydama į V. Ž. paklausimus, pateikė dalį V. Ž. prašomos informacijos: nurodė, kad vykdomas skolos išieškojimas, kada ir kokiu teisiniu pagrindu vadovaujantis UAB „AD Baltic“ pateikė V. Ž. asmens duomenis pareiškėjai, paaiškino, kad pareiškėja veikia UAB „AD Baltic“ vardu kaip duomenų tvarkytojas bei papildomai nurodė, kad jeigu V. Ž. nori gauti detalią informaciją, kokie konkrečiai jo asmens duomenys buvo perduoti, jis privalo pateikti pasirašytą prašymą. VDAI Sprendime nurodė, kad vadovaujantis BDAR 11 straipsnio 2 dalimi, duomenų valdytojas, įgyvendindamas duomenų subjekto teises, turi teisę paprašyti iš duomenų subjekto pateikti papildomą informaciją, jeigu jos trūksta, siekiant tinkamai nustatyti duomenų subjekto tapatybę; nagrinėjamu atveju svarbu tai, kad pareiškėja V. Ž. pateikė dalį informacijos apie V. Ž. asmens duomenų tvarkymą ir neteikė papildomų reikalavimų dėl tapatybės patvirtinimo, todėl atsižvelgiant į tai, VDAI konstatuoja, kad pareiškėjai užteko turimos informacijos, siekiant įsitikinti V. Ž. tapatybe; atsižvelgiant į tai, nėra aišku, dėl kokių priežasčių dėl dalies informacijos, kokie konkrečiai asmens duomenys buvo gauti iš UAB „AD Baltic“, gavimo buvo prašoma pateikti papildomą prašymą bei nurodyti papildomi reikalavimai šiam prašymui pateikti. Vadovaudamasi ADTAĮ 31 straipsnio 1 dalies 1 punktu, VDAI V. Ž. skundą dalyje dėl duomenų subjekto teisės susipažinti su jo asmens duomenų tvarkymu, pripažino pagrįstu.
22.11. Pareiškėja nesutikdama su VDAI Sprendimu, kreipėsi į teismą.
23. BDAR nustatyta:
23.1. Turėtų būti sudarytos sąlygos palengvinti duomenų subjekto naudojimąsi savo teisėmis pagal BDAR, įskaitant mechanizmus, kaip prašyti ir atitinkamais atvejais visų pirma nemokamai gauti galimybę susipažinti su asmens duomenimis ir juos ištaisyti ar ištrinti bei pasinaudoti teise nesutikti; duomenų valdytojas taip pat turėtų sudaryti sąlygas pateikti prašymus elektroniniu būdu, ypač tais atvejais, kai asmens duomenys tvarkomi elektroniniu būdu; duomenų valdytojas turėtų būti įpareigotas į duomenų subjekto prašymus atsakyti nepagrįstai nedelsdamas ir ne vėliau kaip per vieną mėnesį ir nurodyti priežastis, kai jis neketina patenkinti bet kurių tokių prašymų (konstatuojamosios dalies 59 punktas).
23.2. Duomenų valdytojas turėtų naudotis visomis pagrįstomis priemonėmis, kad patikrintų prašančio leisti susipažinti su duomenimis duomenų subjekto tapatybę, ypač kai tai susiję su interneto paslaugomis ir interneto identifikatoriais; duomenų valdytojas neturėtų saugoti asmens duomenų vien tam, kad galėtų atsakyti į galimus prašymus (konstatuojamosios dalies 64 punktas).
23.3. Jeigu dėl tikslų, kuriais duomenų valdytojas tvarko asmens duomenis, duomenų valdytojui nebūtina ar nebėra būtina nustatyti duomenų subjekto tapatybės, duomenų valdytojas nėra įpareigojamas laikyti, gauti ar tvarkyti papildomą informaciją duomenų subjekto tapatybei nustatyti vien tam, kam būtų laikomasi šio reglamento (11 straipsnio „Duomenų tvarkymas, kai asmens tapatybės nustatyti nereikia“ 1 dalis); kai 11 straipsnio 1 dalyje nurodytais atvejais duomenų valdytojas gali įrodyti, kad neturi galimybės nustatyti duomenų subjekto tapatybės, duomenų valdytojas, jei įmanoma, informuoja apie tai duomenų subjektą; tokiais atvejais 15–20 straipsniai netaikomi, išskyrus atvejus, kai duomenų subjektas, siekdamas pasinaudoti pagal tuos straipsnius jam suteiktomis teisėmis, pateikia papildomos informacijos, leidžiančios nustatyti jo tapatybę (11 straipsnio 2 dalis).
23.4. Duomenų valdytojas nepagrįstai nedelsdamas, tačiau bet kuriuo atveju ne vėliau kaip per vieną mėnesį nuo prašymo gavimo, pateikia duomenų subjektui informaciją apie veiksmus, kurių imtasi gavus prašymą pagal BDAR 15–22 straipsnius. Tas laikotarpis prireikus gali būti pratęstas dar dviem mėnesiams, atsižvelgiant į prašymų sudėtingumą ir skaičių. Duomenų valdytojas per vieną mėnesį nuo prašymo gavimo informuoja duomenų subjektą apie tokį pratęsimą, kartu pateikdamas vėlavimo priežastis. Kai duomenų subjektas prašymą pateikia elektroninės formos priemonėmis, informacija jam taip pat pateikiama, jei įmanoma, elektroninėmis priemonėmis, išskyrus atvejus, kai duomenų subjektas paprašo ją pateikti kitaip (12 straipsnio 3 dalis)
23.5. Duomenų subjektas turi teisę iš duomenų valdytojo gauti patvirtinimą, ar su juo susiję asmens duomenys yra tvarkomi, o jei tokie asmens duomenys yra tvarkomi, turi teisę susipažinti su asmens duomenimis ir toliau nurodyta informacija: a) duomenų tvarkymo tikslai; b) atitinkamų asmens duomenų kategorijos; c) duomenų gavėjai arba duomenų gavėjų kategorijos, kuriems buvo arba bus atskleisti asmens duomenys, visų pirma duomenų gavėjai trečiosiose valstybėse arba tarptautinės organizacijos; d) kai įmanoma, numatomas asmens duomenų saugojimo laikotarpis arba, jei neįmanoma, kriterijai, taikomi tam laikotarpiui nustatyti; e) teisė prašyti duomenų valdytojo ištaisyti arba ištrinti asmens duomenis ar apriboti su duomenų subjektu susijusių asmens duomenų tvarkymą arba nesutikti su tokiu tvarkymu; f) teisė pateikti skundą priežiūros institucijai; g) kai asmens duomenys renkami ne iš duomenų subjekto, visa turima informacija apie jų šaltinius; h) tai, kad esama 22 straipsnio 1 ir 4 dalyse nurodyto automatizuoto sprendimų priėmimo, įskaitant profiliavimą, ir, bent tais atvejais, prasminga informacija apie loginį jo pagrindimą, taip pat tokio duomenų tvarkymo reikšmę ir numatomas pasekmes duomenų subjektui (15 straipsnio 1 dalis).
24. Pagal ADATĮ 31 straipsnio 2 dalį, kai skundas ar jo dalis pripažįstama pagrįsta, VDAI motyvuotai teikia duomenų valdytojui ir (ar) duomenų tvarkytojui nurodymus, rekomendacijas ir (ar) taiko kitas BDAR 58 straipsnio 2 dalyje, ADTAĮ 33 straipsnyje ir kituose įstatymuose, reglamentuojančiuose asmens duomenų ir (ar) privatumo apsaugą, nurodytas priemones.
25. Byloje ginčas kilo dėl to, kad VDAI Sprendimu pripažino, jog pareiškėja neįgyvendino trečiojo suinteresuoto asmens V. Ž. (duomenų subjekto) teisės susipažinti su jo tvarkomais asmens duomenimis ir dėl to pareiškė pareiškėjai papeikimą ir pateikė nurodymą – pateikti informaciją V. Ž., kokie jo asmens duomenys buvo gauti iš duomenų valdytojo – UAB „AD Baltic“.
26. Pareiškėja skunde teismui paaiškino, kad pareiškėja, būdama duomenų valdytojo UAB „AD Baltic“ duomenų tvarkytoja, nesutinka, kad pagal BDAR duomenų tvarkytojui, gavus duomenų subjekto prašymą, tenka pareiga tiesiogiai informuoti domenų subjektą apie jo asmens duomenų tvarkymą. Pareiškėjos nuomone, jei VDAI Sprendimas liktų galioti, tai sukurtų teisiškai ydinga precedentą, pagal kurį duomenų tvarkytojui atsirastų naujų pareigų, kurios nėra nustatytos nei BDAR, nei ADTAĮ. Teigia, kad VDAI, pasisakydama apie duomenų tvarkytojo pareigą informuoti duomenų subjektą apie šio teisę susipažinti su duomenimis, išimtinai remiasi BDAR nuostatomis, kurios taikomos duomenų valdytojui, o ne duomenų tvarkytojui; nagrinėjamu atveju asmens duomenys buvo teikiami iš duomenų valdytojo duomenų tvarkytojui, todėl duomenų tvarkytojas neprivalėjo informuoti duomenų subjekto BDAR 15 straipsnio nustatyta tvarka nei duomenų gavimo metu, nei vėliau.VDAI, vertindama duomenų tvarkytojo elgesį, nepagrįstai jam taikė teisės normas, kurios taikytinos duomenų valdytojui, todėl priėmė nepagrįsta Sprendimą ginčijamoje dalyje. Mano, kad aplinkybė, jog duomenų tvarkytojas pareikalavo, kad duomenų subjektas įrodytų savo tapatybę, neturi būti aiškinama pareiškėjos nenaudai; be to, šis klausimas dėl duomenų subjekto tapatybės įrodymo yra išvestinis ir nagrinėjamu atveju nėra aktualus, vertinant pareiškėjos atsakomybę, nes teisės aktai nenumato pareiškėjai kaip duomenų tvarkytojui prievolės įgyvendinti duomenų subjekto teisę susipažinti su duomenimis. Pareiškėja pažymi, kad tuo atveju jei Sprendimas liktų galioti, duomenų tvarkytojui būtų sukurtos papildomos pareigos informuoti duomenų subjektus apie jų duomenų tvarkymo apimtis, kai tuo tarpu ši pareiga pagal BDAR yra numatyta tik duomenų valdytojams. Akcentuoja, kad Sprendimas nėra grindžiamas faktais ir teisės aktų nuostatomis, taip pat, nėra pakankamai motyvuotas, todėl neatitinka VAĮ 10 straipsnio 5 dalies reikalavimų.
27. Atsakovė atsiliepime pažymėjo, kad ginčo nėra dėl to, jog esant duomenų valdytojo ir duomenų tvarkytojo santykiams, būtent duomenų valdytojui kyla pareiga organizuoti duomenų subjekto teisių įgyvendinimą. Atsakovė atsiliepime paaiškino, kad duomenų tvarkytojas, privalo padėti duomenų valdytojui atitinkamomis priemonėmis įgyvendinti duomenų subjekto teisę susipažinti su asmens duomenimis ir tai yra duomenų valdytojo bei duomenų tvarkytojo susitarimas, kokia apimtimi šį pagalba yra vykdoma. Paaiškino, kad V. Ž. skundo nagrinėjimo metu nebuvo gauta informacija, kad pareiškėja persiuntė duomenų subjekto paklausimą duomenų valdytojui, todėl buvo konstatuota, kad pareiškėja, veikdama duomenų valdytojo vardu ir padėdama jam įgyvendinti duomenų subjekto teises, padarė pažeidimą. Pažymi, kad duomenų valdytojo ir pareiškėjos (duomenų tvarkytojos) santykiai bei jų tarpusavio susitarimai neturėtų daryti įtakos duomenų subjekto teisių įgyvendinimui ar kitų BDAR nuostatų laikymuisi. Jeigu pareiškėja, vadovaudamasi su duomenų valdytoju sudarytos sutarties nuostatomis, nustatė, kad neturi teisės įgyvendinti duomenų subjekto teisių, duomenų subjekto paklausimą privalėjo persiųsti duomenų valdytojui, tačiau to nepadarė ir ėmėsi veiksmų, įgyvendinant duomenų subjekto teisę susipažinti su asmens duomenų tvarkymu. VDAI nesutinka ir su pareiškėjos pozicija, kad Sprendimu yra sukuriamos naujos duomenų tvarkytojui, nagrinėjamu atveju pareiškėjai, pareigos, kurios nėra nustatytos nei BDAR nei ADTAĮ. Akcentuoja, kad nors, kaip teigia pareiškėja, VDAI Sprendime naudojo sąvokas ir aiškinimus, skirtus duomenų valdytojui, o ne tvarkytojui, bet kokiu atveju pareiškėja veikė kaip duomenų tvarkytoja duomenų valdytojos vardu. Pareiškėja pateikė dalį prašomos duomenų subjektų informacijos, tačiau dar kartą duomenų subjektui pasikreipus dėl detalesnės informacijos suteikimo, pareiškėja atsisakė pateikti, remdamasi tuo, kad duomenų subjektas yra identifikuojamas.
28. Vertinant VDAI Sprendimą ginčui aktualioje dalyje – dėl teisės susipažinti su tvarkomais asmens duomenimis įgyvendinimo – sutiktina su pareiškėjos pozicija, kad Sprendimas grindžiamas BDAR nuostatomis, adresuotomis duomenų valdytojui, o pagrindinis Sprendimo motyvas – kad pareiškėja V. Ž. pateikė dalį informacijos apie V. Ž. asmens duomenų tvarkymą ir neteikė papildomų reikalavimų dėl tapatybės patvirtinimo, todėl VDAI konstatavo, kad pareiškėjai užteko turimos informacijos, siekiant įsitikinti V. Ž. tapatybe; todėl nėra aišku, dėl kokių priežasčių dėl dalies informacijos, kokie konkrečiai asmens duomenys buvo gauti iš UAB „AD Baltic“, gavimo buvo prašoma pateikti papildomą prašymą bei nurodyti papildomi reikalavimai šiam prašymui pateikti.
29. Teismas pažymi, kad pareiškėja 2022 m. birželio 27 d. rašte Nr. SD22/01404 „Dėl informacijos pateikimo“, pateiktame VDAI tiriant V. Ž. skundą, paaiškino, kad, jos nuomone, BDAR 13-14 straipsniai nustato pareigą duomenų valdytojui informuoti duomenų subjektą apie jo asmens duomenų tvarkymą; duomenų valdytojas šiuo atveju yra UAB „AD Balitc“, kuriam, kaip duomenų valdytojui, yra taikomos BDAR 13-14 straipsnių nuostatos.
30. Tačiau, kaip matyti iš VDAI Sprendimo, pareiškėjos dar V. Ž. skundo nagrinėjimo metu VDAI pateiktas argumentas, kad pareiga įgyvendinti duomenų subjekto teisę susipažinti su tvarkomais asmens duomenimis, dėl kurio dabar kilo ginčas byloje, Sprendime nėra aptartas, dėl jo Sprendime nepasisakyta.
31. Kaip minėta, atsakovė atsiliepime pažymėjo, kad ginčo nėra dėl to, jog esant duomenų valdytojo ir duomenų tvarkytojo santykiams, būtent duomenų valdytojui kyla pareiga organizuoti duomenų subjekto teisių įgyvendinimą.
32. Tačiau VDAI Sprendime dėl duomenų valdytojo UAB „AD Baltic“ pareigos organizuoti duomenų subjekto teisių įgyvendinimą, dėl duomenų valdytojo (UAB „AD Baltic) ir duomenų tvarkytojo (pareiškėjos) santykio organizuojant duomenų subjekto teisių įgyvendinimą, įgyvendinant duomenų subjekto teises nėra pasisakyta.
33. Atsakovė atsiliepime paaiškino, kad duomenų tvarkytojas privalo padėti duomenų valdytojui atitinkamomis priemonėmis įgyvendinti duomenų subjekto teisę susipažinti su asmens duomenimis ir tai yra duomenų valdytojo bei duomenų tvarkytojo susitarimas, kokia apimtimi ši pagalba yra vykdoma.
34. Kaip minėta, ginčo byloje nekyla dėl to, kad pareiškėja yra duomenų valdytojo UAB „AD Baltic“ duomenų tvarkytoja. Byloje yra pateikta tarp pareiškėjos (duomenų tvarkytojos) ir trečiojo suinteresuoto asmens UAB „AD Baltic“ (duomenų valdytojos) 2020 m. kovo 6 d. sudaryta sutartis, kuri buvo pateikta ir VDAI nagrinėjant V. Ž. skundą. Sutartyje visas 5 punktas yra skirtas asmens duomenų tvarkymo nuostatoms, 5.14 papunktyje įtvirtinta nuostata, susijusi su duomenų subjektų teisėmis. Tačiau VDAI Sprendime nėra aptariamos, vertinamos, analizuojamos duomenų valdytojo bei duomenų tvarkytojo sutarties nuostatos VDAI atsiliepime minimu aspektu – dėl duomenų tvarkytojo pagalbos, teiktinos duomenų valdytojui, apimties.
35. Atsakovė atsiliepime paaiškino, kad V. Ž. skundo nagrinėjimo metu nebuvo gauta informacija, kad pareiškėja persiuntė duomenų subjekto paklausimą duomenų valdytojui, todėl buvo konstatuota, kad pareiškėja, veikdama duomenų valdytojo vardu ir padėdama jam įgyvendinti duomenų subjekto teises, padarė pažeidimą.
36. Teismas pažymi, kad VDAI Sprendime toks motyvas nėra pateiktas.
37. VDAI atsiliepime remiasi Europos duomenų apsaugos valdybos 2021 m. liepos 7 d. gairėmis Nr. 07/2020 dėl sąvokų „duomenų valdytojas“ ir „duomenų tvarkytojas“ pagal BDAR, tačiau jomis nesiremiama Sprendime.
38. Šiame kontekste pažymėtina, kad Lietuvos vyriausiojo administracinio teismo praktikoje konstatuota, jog skundžiamo individualaus akto priėmimo motyvų nurodymas teisminio proceso metu (jei jie nėra nurodyti priimtame akte) negali būti vertinamas ir neturi įtakos nemotyvuoto akto teisėtumo ir pagrįstumo vertinimui, nes Viešojo administravimo įstatymo 8 straipsnio 1 ir 2 dalies (naujos redakcijos VAĮ 10 straipsnio) reikalavimai turi būti išpildyti priimant individualų administracinį aktą (Lietuvos vyriausiojo administracinio teismo 2021 m. gruodžio 15 d. nutartis administracinėje byloje Nr. eA-3014-968/2021, 2016 m. gruodžio 22 d. sprendimas administracinėje byloje Nr. A-2074-146/2016, 2019 m. liepos 17 d. nutartis administracinėje byloje Nr. eA-696-502/2019).
39. VAĮ 10 straipsnio 5 dalyje, be kita ko, nustatyta, kad administraciniame sprendime turi būti nurodyta: 4) atliekamas tvarkomasis veiksmas arba asmenims nustatytos teisės ir (ar) pareigos; 5) administracinio sprendimo teisinis ir faktinis pagrindas ar kitos administraciniam sprendimui įtakos turėjusios aplinkybės; 6) administracinio sprendimo motyvai. Aiškindamas ankstesnės redakcijos Viešojo administravimo įstatymo 8 straipsnį, reglamentuojantį individualiam administraciniam aktui keliamus reikalavimus, Lietuvos vyriausiasis administracinis teismas yra pažymėjęs, kad individualiame administraciniame akte turi būti nurodomi pagrindiniai faktai, argumentai ir įrodymai, pateikiamas teisinis pagrindas, kuriuo viešojo administravimo subjektas rėmėsi priimdamas administracinį aktą; motyvų išdėstymas turi būti adekvatus, aiškus ir pakankamas. Ši teisės norma siejama su teisėtumo principu, pagal kurį reikalaujama, kad viešojo administravimo subjektai savo veikla nepažeistų teisės aktų, jog jų sprendimai būtų pagrįsti, o sprendimų turinys atitiktų teisės aktų reikalavimus (Lietuvos vyriausiasis administracinis teismas 2011 m. birželio 27 d. sprendimą, priimtą administracinėje byloje Nr. A-556-336/2011; 2014 m. kovo 25 d. nutartis, priimtą administracinėje byloje Nr. A-756-997/2014; 2014 m. gruodžio 18 d. sprendimą, priimtą administracinėje byloje Nr. A822-1440/2014 ir kt.). Administracinio sprendimo priėmimo faktinis pagrindas ir individuali argumentacija turi būti žinomi ne tik viešojo administravimo subjektui, priimančiam sprendimą, bet ir asmeniui, kurio atžvilgiu jis priimamas. Viešojo administravimo subjektas, priėmęs negatyvias pasekmes sukeliantį sprendimą, turi pareigą jį pagrįsti tiek teisiniais, tiek faktiniais argumentais, t. y. nurodyti priežastis, lėmusias neigiamo sprendimo priėmimą (LVAT 2013 m. balandžio 22 d. nutartis administracinėje byloje Nr. A602–658/2013). Nagrinėjamu atveju, Inspekcija priimdama Sprendimą nesilaikė šių reikalavimų.
40. Atsižvelgdamas į tai, kas išdėstyta, teismas konstatuoja, kad nagrinėjamu atveju Sprendimo motyvų pateikimo trūkumai yra esminiai, todėl, vadovaujantis VAĮ 10 straipsnio 5 dalimi, yra pagrindas pripažinti Sprendimą nepagrįstu bei jį panaikinti dalyse: 1) dėl V. Ž. skundo dalyje dėl teisės susipažinti su jo tvarkomais duomenimis įgyvendinimo pripažinimo pagrįstu, 2) papeikimo pareiškimo pareiškėjai, 3) nurodymo skyrimo – pareiškėjai pateikti informaciją V. Ž. apie tai, kokie jo asmens duomenys buvo gauti iš duomenų valdytojo UAB „AD Baltic“; 4) VDAI informavimo apie šio nurodymo įvykdymą.
41. Pažymėtina, kad ši teismo išvada nereiškia, kad VDAI, iš naujo nagrinėdama pareiškėjos skundą, neturi teisės priimti tokias pačias teisines pasekmes pareiškėjai sukeliantį sprendimą. Teismas pažymi, kad Lietuvos vyriausiojo administracinio teismo praktikoje yra konstatuota, jog teismo sprendimas, kuriuo buvo panaikintas viešojo administravimo subjekto priimtas aktas dėl to, kad jame netinkamai išdėstyti jo priėmimo motyvai, nereiškia, jog viešojo administravimo subjektas yra įpareigojamas priimti priešingą sprendimą – šiuo atveju viešojo administravimo subjektas gali priimti bet kokį sprendimą (ir tokį patį, koks buvo priimtas anksčiau), tačiau jame turi būti aiškiai nurodyti tokio sprendimo priėmimo motyvai (LVAT 2014 m. sausio 8 d. nutartis administracinėje byloje Nr. A602-2008/2013, 2014 m. vasario 4 d. nutartis administracinėje byloje Nr. A602-120/2014).
42. Pareiškėjos skundas iš esmės patenkintas, todėl sprendžiamas jos patirtų bylinėjimosi išlaidų atlyginimo klausimas.
43. Pareiškėja prašo jos naudai priteisti iš VDAI pareiškėjos patirtas bylinėjimosi išlaidas.
44. Lietuvos Respublikos administracinių bylų teisenos įstatyme nustatyta, kad proceso šalis, kurios naudai priimtas sprendimas, turi teisę gauti iš kitos proceso šalies savo išlaidų atlyginimą (40 straipsnio 1 dalis).
45. Byloje yra 2022 m. spalio 21 d. mokėjimo nurodymas Nr. 54, iš kurio matyti, kad pareiškėja sumokėjo 22,50 Eur žyminį mokestį.
46. Pareiškėjai iš VDAI priteistinas pareiškėjos sumokėtas 22,50 Eur žyminis mokestis.
Teismas, vadovaudamasis Lietuvos Respublikos administracinių bylų teisenos įstatymo 40 straipsniu, 84 straipsniu, 86–87 straipsniais, 88 straipsnio 2 punktu, 132 straipsnio 1 dalimi, 133 straipsniu,
n u s p r e n d ž i a :
Pareiškėjos uždarosios akcinės bendrovės ,,Legal Balance“ skundą patenkinti.
Panaikinti Valstybinės duomenų apsaugos inspekcijos 2022 m. rugsėjo 29 d. sprendimą Nr. 3R-820(2.13-1.E) „Dėl V. Ž. 2022-06-03 skundo“ dalyje: 1) V. Ž. skundą dalyje dėl teisės susipažinti su jo tvarkomais duomenimis įgyvendinimo pripažinti pagrįstu, 2) UAB ,,Legal Balance“ pareikšti papeikimą, 3) UAB ,,Legal Balance“ teikti nurodymą – pateikti informaciją V. Ž., kokie jo asmens duomenys buvo gauti iš duomenų valdytojo UAB „AD Baltic“, 4) apie nurodymo vykdymą informuoti Valstybinę duomenų apsaugos inspekciją iki 2022 m. spalio 31 d.
Pareiškėjos uždarosios akcinės bendrovės „Legal Balance“ prašymą priteisti iš atsakovės Valstybinės duomenų apsaugos inspekcijos UAB „Legal Balance“ patirtas bylinėjimosi išlaidas patenkinti.
Priteisti pareiškėjai uždarajai akcinei bendrovei „Legal Balance“ (juridinio asmens kodas 302528679) iš atsakovės Valstybinės duomenų apsaugos inspekcijos (juridinio asmens kodas: 188607912) 22,50 Eur (dvidešimt du eurus ir 50 euro centus) pareiškėjos sumokėtą žyminį mokestį (2022 m. spalio 21 d. mokėjimo nurodymu Nr. 54 per banką Swedbank, mokėtojas UAB „Legal Balance“).
Sprendimas per trisdešimt kalendorinių dienų nuo jo paskelbimo dienos gali būti skundžiamas apeliaciniu skundu Lietuvos vyriausiajam administraciniam teismui, skundą paduodant per Vilniaus apygardos administracinį teismą.
Teisėjai Sigita Fomičiova
Indrė Pukanasytė-Biekšė
Gediminas Užubalis