Administracinė byla Nr. eA-41-525/2024
Teisminio proceso Nr. 3-61-3-02267-2021-5
Procesinio sprendimo kategorija 26
(S)
LIETUVOS VYRIAUSIASIS ADMINISTRACINIS TEISMAS
N U T A R T I S
LIETUVOS RESPUBLIKOS VARDU
2024 m. birželio 11 d.
Vilnius
Lietuvos vyriausiojo administracinio teismo išplėstinė teisėjų kolegija, susidedanti iš teisėjų Laimučio Alechnavičiaus (kolegijos pirmininkas ir pranešėjas), Ramūno Gadliausko, Ivetos Pelienės, Mildos Vainienės ir Dalios Višinskienės,
teismo posėdyje apeliacine rašytinio proceso tvarka išnagrinėjo administracinę bylą pagal atsakovo Valstybinės duomenų apsaugos inspekcijos apeliacinį skundą dėl Vilniaus apygardos administracinio teismo 2022 m. gegužės 12 d. sprendimo administracinėje byloje pagal pareiškėjo viešosios įstaigos Vilniaus universiteto skundą atsakovui Valstybinei duomenų apsaugos inspekcijai dėl sprendimo panaikinimo.
Išplėstinė teisėjų kolegija
n u s t a t ė :
I.
1. Pareiškėjas viešoji įstaiga Vilniaus universitetas (toliau – ir Vilniaus universitetas, pareiškėjas) su skundu kreipėsi į teismą, prašydamas panaikinti atsakovo Valstybinės duomenų apsaugos inspekcijos (toliau – ir Inspekcija, atsakovas) 2021 m. birželio 8 d. sprendimą Nr. 2R-2968(2.14.E) (pirmosios instancijos teismo sprendime nurodytas numeris 2R-2968 laikytinas rašymo apsirikimu) (toliau – ir Sprendimas).
2. Pareiškėjas skunde nurodė, kad:
2.1. Inspekcija Sprendimu nepagrįstai ir neteisėtai nurodė Vilniaus universitetui nedelsiant nutraukti studentų biometrinių duomenų tvarkymą siekiant užtikrinti nuotolinių atsiskaitymų sąžiningumą valstybės lygio ekstremaliosios situacijos dėl COVID-19 laikotarpiu.
2.2. 2020 m. birželio 23 d. buvo priimtas Vilniaus universiteto rektoriaus įsakymas Nr. R-280 „Dėl asmens duomenų tvarkymo užtikrinant nuotolinių atsiskaitymų sąžiningumą valstybės lygio ekstremalios situacijos dėl COVID-19 laikotarpiu“ (toliau – ir Įsakymas), kuriuo, atsižvelgiant į valstybės lygio ekstremaliąją situaciją dėl COVID-19 bei vadovaujantis asmens duomenų apsaugą reglamentuojančiais teisės aktais, buvo nustatyta studijuojančiųjų nuotolinių atsiskaitymų tvarka bei priemonės, susijusios su asmens duomenų tvarkymu, siekiant užtikrinti atsiskaitančiųjų asmenų sąžiningą elgesį. Įsakyme nustatyta, kad, vykdant nuotolinių atsiskaitymų sąžiningumo užtikrinimą Vilniaus universitete valstybės lygio ekstremaliosios situacijos dėl COVID-19 laikotarpiu, tvarkomi šie asmens duomenys: vardas, pavardė, duomenys apie asmens studijas (studijų pakopa, forma, fakultetas, programa, kursas, semestras, grupė, studijuojančiojo rūšis, finansavimo pobūdis, krepšelio dydis ir metai, studento pažymėjimo numeris), stebėjimo nuotraukos, veido biometriniai duomenys, egzamino garso įrašas (kai garso lygis viršija nustatytą ribą). Duomenys renkami iš Vilniaus universiteto informacinės sistemos ir atsiskaityme dalyvaujančio asmens, panaudojant nuotolinio stebėjimo programinę įrangą. Asmens duomenys tvarkomi tik asmeniui sutikus. Nesutikus su duomenų tvarkymu, asmuo gali kreiptis į akademinio padalinio vadovą su prašymu nukelti atsiskaitymą.
2.3. 2020 m. birželio 29 d. buvo sudaryta sutartis su Ispanijos įmone SMILEY OWL TECH S. L. dėl egzaminų automatinio stebėjimo paslaugos, kurios vykdymui reikalinga „SMOWL“ programinė įranga, įsigijimo. Teikiant paslaugą sudaromas laikinas atsiskaitančiojo biometrinis modelis, kuris naudojamas nustatant atsiskaitančiojo asmens vaizdo pasikeitimus, taip pat, siekiant išvengti galimo pasakinėjimo, stebimas aplinkos triukšmas. Asmens duomenys šiuo tikslu tvarkomi tik esant išankstiniam duomenų subjekto sutikimui. Prieš pradedant tvarkyti duomenų subjektų biometrinius duomenis, Vilniaus universitete 2020 m. rugpjūčio 28 d. buvo atliktas poveikio duomenų apsaugai vertinimas Nr. (3.1)640000-V-475 (toliau – ir PDAV), kurio metu vertintas duomenų subjektų ir Vilniaus universiteto interesų balansas vykdyti studijų procesą užtikrinant nuotolinių atsiskaitymų sąžiningumą.
2.4. Pareiškėjas buvo įpareigotas pateikti papildomą informaciją, į kurią atsakius gautas Inspekcijos pranešimas, kad gauto anoniminio skundo ir pareiškėjo atsakymo pagrindu Inspekcija savo iniciatyva pradėjo tikrinimą, susijusį su galimu 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – ir BDAR, Reglamentas (ES) 2016/679) ir Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ir ADTAĮ) pažeidimu, tvarkant asmens duomenis pradėjus naudoti „Moodle“ mokymosi sistemos veido atpažinimo sistemos „SMOWL“ papildinį, Vilniaus universiteto atžvilgiu.
2.5. Pareiškėjas nebuvo supažindintas su Inspekcijos rašte Nr. 2R-625(2.14.E.) „Dėl veido atpažinimo sistemos naudojimo“ minimu Inspekcijos direktoriaus 2021 m. sausio 20 d. įsakymu Nr. 1T-1(1.12.E) „Dėl Vilniaus universiteto tikrinimo Valstybinės duomenų apsaugos inspekcijos iniciatyva atlikimo“, su jame esančiais tikrinimo motyvais bei priežastimis, kuriuos pareiškėjas būtų galėjęs koreguoti, jei būtų tokias pastabas gavęs.
2.6. Pareiškėjas nuotolinio atsiskaitymo būdą – naudojant veido atpažinimo sistemos „SMOWL“ papildinį, siūlė tik iš anksto sutikusiems studijuojantiems, o nesutinkantiems sudarė galimybę kreiptis į akademinio padalinio vadovą su prašymu nukelti atsiskaitymą ir juos organizavo kontaktiniu būdu. Taigi pareiškėjo sprendimai ir jų pagrindu taikomos priemonės, atliekami veiksmai nebuvo savitiksliai ar turintys ketinimą sukelti nepalankius padarinius studijuojantiems asmenims, o buvo priimti reaguojant į valstybės mastu susidariusią kritinę situaciją dėl COVID-19 pandemijos, siekiant maksimaliai kokybiškai teikti studijų paslaugas. Pareiškėjo priimti sprendimai ir taikytos priemonės, atsiskaitymų metu naudotas veido atpažinimo sistemos „SMOWL“ papildinys, buvo proporcinga priemonė buvusiai situacijai. Atsakovė Sprendime visiškai nevertino pareiškėjo veiksmų būtent ekstremaliosios situacijos (karantino) aplinkybių kontekste.
2.7. Nesutiktina su atsakovo argumentais, kad kreipimasis į akademinio padalinio vadovą su prašymu nukelti atsiskaitymo laikymą nėra lygiavertė alternatyva, kadangi taip atsiskaitymas nėra vykdomas tuo pačiu metu su kitais studentais, jis yra nukeliamas, dėl ko studentas neabejotinai patiria nepatogumų. Studijuojantieji patys galėjo priimti sprendimą ir pasirinkti tarp dviejų alternatyvų, priklausomai nuo savo pageidavimų dėl atsiskaitymo būdo. Studijuojančiųjų atsiskaitymų individualizavimas laikytinas įprastu studijų proceso elementu.
2.8. Studijuojantieji turi teisę organizuoti savo atsiskaitymus pagal individualius grafikus ir tokia teise naudojasi nuolat. Nagrinėjamu atveju individualių atsiskaitymų, suderinus su akademiniu padaliniu, negalėjo būti išvengta taip pat dėl to, kad asmenys studijavo nuotoliniu būdu iš savo gyvenamosios vietos dėl draudimo vykdyti studijų procesą kontaktiniu būdu. Atsakovas nepateikė argumentų, kodėl atsiskaitymo nukėlimas sukelia nepatogumus studentui.
2.9. Nesutiktina su atsakovo argumentais, kad, vertindamas biometrinių asmens duomenų tvarkymo būtinumą ir proporcingumą, Vilniaus universitetas neįvertino, ar toks biometrinių asmens duomenų tvarkymas yra būtinas ir neišvengiamas. Sprendimas programinę įrangą „SMOWL“ naudoti nuotolinių atsiskaitymų sąžiningumo užtikrinimui buvo sąlygotas valstybės lygio ekstremaliosios situacijos dėl COVID-19. Šiuo laikotarpiu valstybės institucijų imperatyvių sprendimų pagrindu studijų procesas buvo vykdomas tik nuotoliniu būdu ir studijuojančiųjų atsiskaitymai taip pat privalėjo būti organizuojami nuotoliniu būdu. Nuotoliniam atsiskaitymui naudojamos priemonės buvo pasirenkamos ne dėl patogumo ar ekonomiškumo, o sąlygotos išorinių veiksnių, kuriems pareiškėjas negalėjo nei daryti įtaką, nei valdyti. Šiuo laikotarpiu, vykdant nuotolinius atsiskaitymus, maksimaliai užtikrinti akademinės etikos reikalavimus ir sąžiningą studentų konkurenciją be nuotolinių sąžiningumo stebėjimo priemonių būtų praktiškai neįmanoma. Su tuo sutiko ir Vilniaus universiteto studentų atstovybė, su kuria pareiškėjas konsultavosi PDAV atlikimo metu. Būtent biometrinių duomenų naudojimas leidžia tinkamai identifikuoti studentą ir užkirsti kelią nusirašinėjimui ar kito asmens dalyvavimui egzamine vietoje studento.
2.10. Studijuojančiųjų privatumui bei duomenų apsaugai kylantis pavojus dėl biometrinių duomenų naudojimo buvo ne tik maksimaliai valdomas taikant atitinkamas organizacines ir technines saugumo priemones (kurias atsakovas įvertino kaip tinkamas), bet ir pasirenkant kiek įmanoma trumpiausią biometrinio modelio saugojimo trukmę. Biometrinis veido modelis automatiniu būdu pačios programinės įrangos sunaikinamas iš karto po studento atsijungimo nuo egzaminavimo aplinkos. Vėliau, siekiant užtikrinti sąžiningumą, tvarkomi tik vaizdai, kurie automatiškai naikinami pasiekus tvarkymo tikslus. Biometriniai duomenys yra saugomi tik tiek laiko, kiek reikia atlikti nuotraukų, surinktų egzamino metu ir registracijos nuotraukų palyginimui.
2.11. Atsakovas neatsižvelgė į tai, kad egzaminų vykdymas auditorijose 2020– 2021 mokslo metų egzaminų sesijų metu negalėjo būti įgyvendintas dar ir dėl to, jog paskelbus karantiną dalis studijuojančiųjų išvyko į savo gyvenamąsias vietas užsienio šalyse, ir tam, kad galėtų laikyti egzaminą kontaktiniu būdu, jie turėtų izoliuotis, atlikti testus ir tik gavę leidimus sutrumpinti testavimo laikotarpį, galėtų atvykti į šalį ir į egzamino vietą. Taip pat, kol nepanaikinti karantino (ekstremaliosios situacijos) suvaržymai, rinktis daugiau nei 15 asmenų srautinių egzaminų vykdymui būtų reikėję daug papildomų atskirų patalpų ir juos prižiūrinčių specialistų, o tokių sąlygų pareiškėjas fiziškai nebūtų galėjęs užtikrinti.
2.12. Atsakovas nepagrįstai teigia, kad Įsakymas buvo vienintelis studijuojantiesiems viešai prieinamas šaltinis, kuriame būtų numatytas biometrinių duomenų tvarkymas, todėl teiginys, jog pareiškėjo veiksmai pažeidė BDAR 5 straipsnio 1 dalies a punkte įtvirtintą skaidrumo principą, neatitinka tikrovės. Pasirašydamas studijų sutartį su Vilniaus universitetu studijuojantysis įsipareigoja susipažinti ir laikytis ne tik studijas reglamentuojančių Lietuvos Respublikos teisės aktų, bet ir pareiškėjo vidaus teisės aktų, tarp kurių paminėtinas ir viešai pareiškėjo tinklapyje skelbiamas Asmens duomenų tvarkymo Vilniaus universitete tvarkos aprašas, patvirtintas Vilniaus universiteto rektoriaus 2020 m. rugsėjo 25 d. įsakymu Nr. R-391 (toliau – ir Aprašas), reglamentuojantis asmens duomenų tvarkymą. Studentų sutikimas tvarkyti jų biometrinius duomenis buvo duotas laisva valia turint pakankamą informaciją apie tokių jų duomenų tvarkymą, todėl biometrinių asmens duomenų tvarkymas Vilniaus universitete nagrinėjamu atveju yra teisėtas ir atitinkantis BDAR 5 straipsnio 1 dalies a punktą.
2.13. Atsakovo minimas BDAR 9 straipsnio 2 dalies g punktas numato, kad nėra taikomas draudimas tvarkyti specialiuosius asmens duomenis, jei „tvarkyti duomenis būtina dėl svarbaus viešojo intereso priežasčių, remiantis Sąjungos arba valstybės narės teise, kurie turi būti proporcingi tikslui, nepažeisti esminių teisės į duomenų apsaugą nuostatų ir kuriuose turi būti numatytos tinkamos ir konkrečios duomenų subjekto pagrindinių teisių ir interesų apsaugos priemonės.“. Šiuo atveju viešasis interesas – tinkamo ekstremaliosios situacijos (karantino) reikalavimų laikymosi užtikrinimas buvo taikomas visos valstybės mastu, taigi dėl itin svarbių visai visuomenei priežasčių.
2.14. Nagrinėjamu atveju akademinio sąžiningumo užtikrinimas turėjo ypatingą svarbą dar ir dėl to, kad „SMOWL“ įskiepis buvo naudojamas būtent Vilniaus universiteto Medicinos fakulteto studentų atsiskaitymams. Akivaizdu, kad asmenims, pasirinkusiems studijuoti specialybę, kurios praktikavimas susijęs su žmonių sveikatos ir gyvybės apsauga, turėtų būti ir yra keliami padidinti sąžiningumo reikalavimai.
3. Atsakovas Inspekcija atsiliepime į pareiškėjo skundą prašė jį atmesti. Atsakovas atsiliepime nurodė, kad:
3.1. Teisės aktai Inspekcijos neįpareigoja tikrinamam asmeniui pateikti Inspekcijos direktoriaus įsakymo, kuriuo Inspekcijos direktorius nusprendė savo iniciatyva pradėti tikrinimą, susijusį su galimu BDAR nuostatų pažeidimu.
3.2. Vadovaujantis BDAR 35 straipsnio 1 dalies nuostatomis, tinkamas PDAV turėjo būti atliktas dar prieš Įsakymo priėmimą. PDAV nėra derinamas su Inspekcija, juo labiau tikrinimo metu Inspekcija neprivalo sudaryti galimybės duomenų valdytojui taisyti PDAV. Tai yra vienas iš duomenų valdytojo atskaitomybės pagal BDAR 5 straipsnio 2 dalį dokumentas, užtikrinantis asmens duomenų tvarkymo atitiktį BDAR nustatytiems reikalavimams ir kuriuo duomenų valdytojas turi įrodyti, kad jis yra atlikęs pareigas, numatytas BDAR.
3.3. Pagal BDAR 9 straipsnio 1 dalį biometriniai duomenys priskiriami specialių kategorijų duomenims, kuriuos pagal bendrą taisyklę tvarkyti draudžiama, išskyrus 9 straipsnio 2 dalyje numatytas sąlygas. Biometrinių duomenų tvarkymas laikomas teisėtu tik tuo atveju, jeigu jis atitinka BDAR 5 straipsnio 1 dalyje numatytus reikalavimus, t. y. asmens duomenys tvarkomi teisėtu, sąžiningu ir skaidriu būdu, esant iš anksto apibrėžtam ir teisėtam asmens duomenų tvarkymo tikslui, duomenų valdytojas turi užtikrinti, kad asmens duomenys būtų adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi. Net ir esant duomenų subjektų sutikimui, biometrinių asmens duomenų tvarkymas šiuo atveju nebuvo proporcingas siekiant užtikrinti sąžiningą atsiskaitymų laikymą, todėl buvo priimta išvada, kad Vilniaus universiteto atliekamas studentų biometrinių duomenų tvarkymas pažeidė BDAR 5 straipsnio 1 dalies a punktą bei 9 straipsnio 1 dalį. BDAR nėra numatytos išimtys, kad BDAR 5 straipsnio 1 dalies a punktas ar BDAR 9 straipsnio 1 dalis netaikoma, jei duomenys tvarkomi pandemijos metu arba kai duomenų valdytojas, tvarkydamas asmens duomenis, neturi ketinimo sukelti neigiamus padarinius duomenų subjektams.
3.4. Vilniaus universitetas klaidingai nurodo, kad Inspekcija Sprendime nepateikė jokių argumentų, kodėl atsiskaitymo nukėlimas reiškia nepatogumus studentui. Sprendime aiškiai nurodoma, kad tikrinimo metu buvo nustatyta, jog Vilniaus universitetas buvo atlikęs PDAV, kuriame vertintas atvaizdų ir veido biometrinių modelių tvarkymas, tačiau nėra įvertinta, ar studentų sutikimas yra laisvas, neaptarta aplinkybė, kad studentas yra priklausomas nuo savo mokslo įstaigos. Sprendime nurodyta, kad pagal BDAR 7 straipsnio 1 dalį, kai duomenys tvarkomi remiantis sutikimu, būtent duomenų valdytojas turi galėti įrodyti, kad duomenų subjektas davė sutikimą, kad būtų tvarkomi jo asmens duomenys. Pagal BDAR 7 straipsnio 3 dalį duomenų subjektas turi teisę bet kuriuo metu atšaukti savo sutikimą. Sutikimo atšaukimas nedaro poveikio sutikimu pagrįsto duomenų tvarkymo, atlikto iki sutikimo atšaukimo, teisėtumui. Duomenų subjektas apie tai informuojamas prieš jam duodant sutikimą. Atšaukti sutikimą turi būti taip pat lengva, kaip jį duoti. Pagal BDAR 5 straipsnio 2 dalyje numatytą atskaitomybės principą taip pat būtent duomenų valdytojas privalo įrodyti, kad laikosi BDAR 5 straipsnyje nurodytų reikalavimų. Sprendime Inspekcija pažymėjo, kad Įsakymo 1.2 papunktyje nurodyta, kad asmens duomenys tvarkomi tik asmeniui sutinkant.
3.5. Inspekcija ginčijamame Sprendime pažymėjo, kad Įsakymo 1.2 papunktyje nurodyta, jog asmens duomenys tvarkomi tik asmeniui sutinkant. Įsakymo 1.3 papunktyje nurodyta, kad ne mažiau kaip 5 darbo dienas prieš egzaminą, dėl kurio buvo priimtas sprendimas stebėti naudojant programinę įrangą, atsiskaitymo subjektai bus perspėti elektroniniu paštu dėl atliekamo egzamino sąžiningumo stebėjimo ir supažindinami su teisėmis bei pareigomis. Taigi studentui nesutikus, kad būtų tvarkomi jo biometriniai duomenys, Vilniaus universitetas nustatė galimybę studentui organizuoti atsiskaitymą kitu būdu: kreipiantis į akademinio padalinio vadovą su prašymu nukelti atsiskaitymo laikymą.
3.6. Vilniaus universiteto pateiktoje studento sutikimo formoje anglų ir lietuvių kalbomis nurodyta, kad „jei nesutinkate naudoti „SMOWL“, galėsite be neigiamų pasekmių egzaminus laikyti kitu laiku kontaktiniu būdu (stebimoje aplinkoje, Vilniaus universiteto patalpose)“. Nors Vilniaus universitete numatyta galimybė laikyti atsiskaitymą kitu nei nuotoliniu būdu naudojant kompiuterizuotą stebėjimą, t. y. kreipiantis į akademinio padalinio vadovą su prašymu nukelti atsiskaitymo laikymą, tai nėra lygiavertė alternatyva, kadangi taip atsiskaitymas nėra vykdomas tuo pačiu metu su kitais studentais, jis yra nukeliamas, dėl ko studentas neabejotinai patiria nepatogumų. Tai reiškia, kad duomenų subjektas neturi realaus pasirinkimo, jaučiasi priverstas sutikti arba patirtų neigiamų pasekmių, jei sutikimo neduotų.
3.7. Atsižvelgdama į tai, Inspekcija sprendė, kad šiuo atveju pirmenybė buvo teikiama atsiskaitymų laikymui nuotoliniu būdu tvarkant studentų atvaizdų ir veido biometrinius modelius, o studentui nesutikus, atsiskaitymas būtų nukeltas ir jis dėl to galėtų patirti neigiamų pasekmių. Nors pareiškėjas skunde nurodo, kad atsiskaitymo nukėlimas yra įprastas studijų elementas, nedarantis studijuojantiems neigiamos įtakos, kadangi nukelto atsiskaitymo laikas yra pasirenkamas studijuojančiam ir dėstytojui patogiu laiku, be to, suteikia studijuojančiam papildomo laiko pasiruošti atsiskaitymui, tačiau Vilniaus universitetas neįvertino, kad tarp dėstytojo ir studijuojančio taip pat yra nelygiavertis santykis, dėstytojas yra studijuojantį vertinantis asmuo, o tokia aplinkybė neabejotinai gali turėti įtakos derinantis atsiskaitymo laiką su dėstytoju, papildomo laiko atsiskaitymo pasiruošimui turėjimas savaime nereiškia palankesnių sąlygų studijuojančiam, nes nebūtinai studijuojančiam yra reikalingas papildomas laikas atsiskaitymo pasiruošimui. Paties atsiskaitymo termino nukėlimo įtakos studijuojančiam pareiškėjas ne tik neįvertino PDAV (kurį pagal BDAR yra būtina atlikti iki pradedant tvarkyti duomenis), bet ir Inspekcijai nepateikė iki Sprendimo priėmimo, kai vadovaujantis BDAR 5 straipsnio 2 dalimi ir 7 straipsnio 1 dalimi privalėjo įrodyti, kad sutikimas yra gautas laisva valia, o asmens duomenys yra tvarkomi teisėtai.
3.8. Pareiškėjo argumentai dėl biometrinių duomenų tvarkymo būtinumo ir proporcingumo yra nepagrįsti. Pareiškėjas teigia, kad kiekvieno studijuojančio atsiskaitymo garso ir vaizdo įrašymas pareikalautų neproporcingai daug pastangų ir laiko, tiesioginis studijuojančių stebėjimas atsiskaitymo metu sukeltų pastariesiems stresą. Tačiau neįvertinta tai, kad studijų metu studijuojančiam tiesiogiai atsiskaitant su dėstytoju, dėstytojas neįrašinėja nei garso, nei vaizdo, o išklausęs studijuojančio žinias iškart jį įvertina. Toks pat būdas galėtų būti taikomas ir atsiskaitant nuotoliniu būdu. Streso sukėlimas studijuojančiam ar didelės pastangos ir laiko sąnaudos negali būti laikoma pagrįstu pagrindu rinkti biometrinius duomenis. Inspekcijos vertinimu, nepagrįstas pareiškėjo poreikis studentą atsiskaitymo metu iš visų pusių stebėti keliomis kameromis. Taigi pareiškėjas nepateikė jokių pagrįstų įrodymų, kad toks studijuojančio stebėjimas būtų būtinas ir taikomas studijuojančiam atsiskaitant įprastu būdu.
3.9. Taip pat Vilniaus universitetas nepateikė jokių įrodymų, paneigiančių Inspekcijos nustatytą faktą, kad PDAV biometrinių duomenų tvarkymas grindžiamas ne tik BDAR 9 straipsnio 2 dalies a punktu, bet ir BDAR 9 straipsnio 2 dalies g punktu, kai studentams pateiktame Įsakyme buvo nurodyta tik viena biometrinių duomenų teisėto tvarkymo sąlyga, t. y. BDAR 9 straipsnio 2 dalies a punktas.
II.
4. Vilniaus apygardos administracinis teismas 2022 m. gegužės 12 d. sprendimu pareiškėjo skundą tenkino – Inspekcijos Sprendimą panaikino.
5. Pirmosios instancijos teismas nustatė šias faktines aplinkybes:
5.1. Inspekcija, 2020 m. spalio 5 d. gauto anoniminio pranešimo apie tai, kad Vilniaus universitetas pradeda naudoti „Moodle“ mokymosi sistemos veido atpažinimo sistemos „SMOWL“ papildinį, pagrindu, atliko tyrimą, susijusį su galimu Reglamento (ES) 2016/679 pažeidimu dėl Vilniaus universiteto galbūt neteisėto asmens duomenų tvarkymo pradėjus naudoti „Moodle“ mokymosi sistemos veido atpažinimo sistemos „SMOWL“ papildinį.
5.2. Inspekcija priėmė Sprendimą, kuriuo nusprendė teikti pareiškėjui nurodymą – nedelsiant nutraukti studentų biometrinių duomenų tvarkymą siekiant užtikrinti nuotolinių atsiskaitymų sąžiningumą valstybės lygio ekstremaliosios situacijos dėl COVID-19 laikotarpiu ir apie nurodymo įvykdymą ne vėliau kaip iki 2021 m. birželio 30 d. raštu informuoti Inspekciją.
5.3. Sprendimas grindžiamas išvadomis, kad Vilniaus universitetas tvarkydamas studentų biometrinius duomenis netinkamai įgyvendino BDAR 5 straipsnio 1 dalies a punkte įtvirtintą skaidrumo principą, nes Vilniaus universitetas duomenų tvarkymą grindė taip pat ir BDAR 9 straipsnio 2 dalies g punkto nuostatomis, kuriame nurodyta, kad tvarkyti duomenis būtina dėl svarbaus viešojo intereso priežasčių, nors Įsakyme, kuris buvo pateiktas studentams susipažinti, minėtas teisinis pagrindas nebuvo nurodytas; Vilniaus universitetas, nors ir yra atlikęs PDAV, kuriame buvo vertintas atvaizdų ir veido biometrinių modelių tvarkymas, tačiau neįvertino, ar studentų sutikimas yra laisvas, taip pat neaptarė aplinkybės, kad studentas yra priklausomas nuo savo mokslo įstaigos, nors Vilniaus universitete numatyta galimybė laikyti atsiskaitymą kitu nei nuotoliniu būdu, naudojant kompiuterizuotą stebėjimą, t. y. kreipiantis į akademinio padalinio vadovą su prašymu nukelti atsiskaitymo laiką, tačiau tai nelaikytina lygiaverte alternatyva, kadangi atsikaitymas nėra vykdomas tuo pačiu laiku su kitais studentais, dėl ko studentas patiria nepatogumų, o tai reiškia, kad duomenų subjektas neturi realaus pasirinkimo, jaučiasi priverstas sutikti arba patirti neigiamų pasekmių; Vilniaus universitetas, vertindamas biometrinių asmens duomenų tvarkymo būtinumą ir proporcingumą, neįvertino, ar toks biometrinių duomenų tvarkymas yra būtinas ir neišvengiamas. Įsakyme numatyta galimybė perkelti atsiskaitymą nelaikytina lygiaverte alternatyva, taip pat, net ir esant duomenų subjektų sutikimui, biometrinių asmens duomenų tvarkymas nagrinėjamu atveju nelaikytinas proporcingu siekiant užtikrinti sąžiningą atsiskaitymų laikymą, dėl ko Vilniaus universitetas tvarkydamas studentų biometrinius duomenis pažeidė BDAR 5 straipsnio 1 dalies a punktą bei 9 straipsnio 1 dalį.
5.4. Pareiškėjas biometrinių duomenų tvarkymo teisėtumą grindžia valstybės lygio ekstremaliąja situacija (COVID-19), dėl ko buvo nuspręsta nustatyti studijuojančiųjų nuotolinių atsiskaitymų tvarką bei priemones, taip siekiant užtikrinti atsiskaitančiųjų asmenų sąžiningą elgesį bei studijuojančiųjų sutikimais, o tai, kad studijuojantieji patys galėjo priimti sprendimą ir pasirinkti tarp dviejų galimybių, priklausomai nuo savo pageidavimų dėl atsiskaitymo būdo, pareiškėjas atsiskaitymų metu veido atpažinimo sistemos naudojimą vertino kaip proporcingą priemonę tikslui pasiekti.
6. Teismas, spręsdamas ginčą, vadovavosi ADTAĮ 1 straipsnio 1, 2, 3 dalimis. Teismas nurodė, kad ADTAĮ nuostatos, reglamentuojančios asmens duomenų tvarkymą, dėl kurio gali būti pažeistos žmogaus teisės, ypač teisė į privatų gyvenimą, turi būti aiškinamos atsižvelgiant į konstitucines nuostatas, tarptautinius ir Europos Sąjungos teisės aktus. Teismas pažymėjo, kad sprendžiant, ar biometriniai duomenys priskiriami asmens duomenims, BDAR 4 straipsnyje pateikta plati asmens duomenų sąvoka. Šią sąvoką Europos Sąjungos Teisingumo Teismas (toliau – ir ESTT) aiškina plačiai ir yra pripažinęs, kad asmens duomenimis laikytini ir biometriniai duomenys. Reglamento (ES) 2016/679 4 straipsnio 14 punkte yra apibrėžiami biometriniai duomenys, o šio reglamento 9 straipsnis (specialių kategorijų asmens duomenų tvarkymas) draudžia tvarkyti asmens duomenis, atskleidžiančius biometrinius duomenis (biometriniai duomenys pagal šį reglamentą priskiriami specialiųjų kategorijų asmens duomenimis), išskyrus šio straipsnio 2 dalyje numatytas išimtis. Pirmosios instancijos teismas, apibendrinęs Europos Sąjungos (toliau – ir Sąjunga) pirminės ir antrinės teisės nuostatas bei Europos Sąjungos Teisingumo Teismo jurisprudenciją ir ADTAĮ nuostatas, akcentavo, jog Vilniaus universitete studijuojančiųjų asmenų biometrinių duomenų tvarkymui, dėl kurio priimtas ginčijamas Sprendimas, yra taikytinas griežtas proporcingumo testas bei ADTAĮ įtvirtinti reikalavimai. Teismo vertinimu, Vilniaus universitete studijuojančiųjų biometriniai duomenys gali būti tvarkomi tik tokiu atveju, jeigu tenkinami tam tikri nustatyti reikalavimai, t. y. asmens duomenų tvarkymas laikomas teisėtu tik tuo atveju, jeigu egzistuoja Reglamento (ES) 2016/679 9 straipsnyje nustatytos išimtys.
7. Teismas, sistemiškai aiškindamas Reglamento (ES) 2016/679 9 straipsnio 1 dalies, 9 straipsnio 2 dalies g punkto, 6 straipsnio 3 dalies nuostatas, pabrėžė, jog duomenų valdytojai turi turėti tikslą ir jį suformuluoti (nustatyti) taip, kad tiek duomenų subjektui, tiek kitiems subjektams, tarp jų ir Inspekcijai, nekiltų pagrįstų abejonių dėl tikslo aiškumo ir konkretumo.
8. Teismas, atsižvelgdamas į byloje nustatyta faktines aplinkybes, priėjo prie išvados, kad Vilniaus universiteto pasirinkimas egzaminus organizuoti su programine įranga „SMOWL“ buvo sąlygotas ne įstaigos patogumo ar ekonomiškumo, o esant būtinumui dėl šalyje susidariusios kritinės situacijos dėl COVID-19 pandemijos, ir tai atitinka Reglamento (ES) 2016/679 9 straipsnio 2 dalies a punkte įtvirtintą sąlygą – jei buvo gauti studijuojančiųjų sutikimai ir papildomai 9 straipsnio 2 dalies g punkte nustatytą išimtinę sąlygą – dėl svarbaus viešojo intereso priežasčių.
9. Teismas pažymėjo, jog asmens sveikatos užtikrinimas neabejotinai laikytinas viešuoju interesu, o kaip skunde teismui nurodė pareiškėjas, programinės įrangos „SMOWL“ įdiegimą lėmė siekis užtikrinti studijuojančiųjų ir Vilniaus universiteto darbuotojų sveikatos apsaugą bei užtikrinti nepertraukiamą švietimo paslaugų teikimą. Esant tokiam siekiui, asmens duomenų tvarkymą ginčijamu būdu teismas vertino kaip būtiną ir proporcingą siekiamiems tikslams. Teismas kartu atkreipė dėmesį, kad norminiu teisės aktu šalyje įvedus karantiną buvo apribotas judėjimas ne tik tarp valstybių, tačiau ir savivaldybių, o tai reiškia, kad atitinkamai buvo apribota studijuojančiųjų iš kitų savivaldybių teisė ir galimybė atvykti į Vilniaus universitetą; atvykusieji privalėjo izoliuotis; buvo ribojamas asmenų skaičius patalpose. Šių aplinkybių pakeitimui pareiškėjas negalėjo daryti jokios įtakos, be to, nebuvo galima numatyti, kiek šalyje tęsis epideminė situacija.
10. Teismas nurodė, jog prieš tai ištyręs duomenų subjektų interesus siekiamo tikslo atžvilgiu (buvo atliktas PDAV; egzaminų laikymo tvarkai pritarė studentų taryba), įtikinamais argumentais pagrindė biometrinių asmens duomenų būtiną tvarkymą atsižvelgiant į siekiamą tikslą – užtikrinti nuotolinių atsiskaitymų sąžiningumą valstybės lygio ekstremaliosios situacijos dėl COVID-19 laikotarpiu. Todėl, teismo vertinimu, biometrinių asmens duomenų tvarkymas atitiko Reglamento (ES) 2016/679 9 straipsnio 2 dalies a ir g punktuose įtvirtintas išimtines duomenų tvarkymo sąlygas, nes pareiškėjo, kaip biometrinių duomenų tvarkytojo, tikslai buvo aiškiai svarbesni už jo interesus.
11. Teismo vertinimu, nors Įsakyme Reglamento (ES) 2016/679 9 straipsnio 2 dalies g punktas nebuvo nurodytas, tačiau vien šios nuostatos nenurodymas negalėtų būti vertintinas kaip sudarantis pagrindą pripažinti Sprendimą neteisėtu ar nevisiškai motyvuotu, o nurodyto punkto nenurodymas šiame Sprendime pateiktų argumentų ir priimtų išvadų nepaneigia.
12. Pirmosios instancijos teismas taip pat pastebėjo, jog byloje nėra ginčo, kad studentai apie jų biometrinių duomenų tvarkymą buvo tinkamai informuoti bei su tokiu tvarkymu sutiko; studijuojantieji turėjo galimybę pasirinkti egzaminų laikymo formą (nuotoliniu būdu arba atsiskaitymą perkelti kitu laiku), t. y. galėjo rinktis iš kelių alternatyvų. Tačiau atsakovas Sprendimu pripažino, kad galimybė perkelti egzaminą kitam laikui nelaikytina lygiaverte alternatyva, nes atsiskaitymas nėra vykdomas tuo pačiu metu su kitais studentais, jis yra nukeliamas, dėl ko studentas patiria nepatogumus; dėl to duomenų subjektas neturi realaus pasirinkimo, jaučiasi priverstas sutikti. Teismas šiuo aspektu pažymėjo, kad byloje nėra pagrindo nesutikti su pareiškėjo teiginiais, kad egzaminų perkėlimas yra įprastas studijų proceso elementas ir, objektyviai vertinant, nėra pagrindų šio reiškinio vertinti kaip sukeliančio neigiamas pasekmes. Sprendime nurodyti teiginiai, kad perkėlus egzamino datą asmuo patirs nepatogumų, nes egzaminą laikys ne tuo pačiu metu su kitais studentais, ar tai, kad jis turės daugiau laiko pasiruošti, nors papildomas laikas jam nėra reikalingas, nepagrįsti jokiais įrodymais, atsakovui iš esmės deklaratyviai nurodžius, kad studentas, kuris egzaminą laikys kitu metu (nukeltas atsiskaitymas) patirs nepatogumų, tačiau kokių konkrečiai, nenurodyta.
13. Teismo vertinimu, atsakovas taip pat nepagrindė teiginių, kokios neigiamos pasekmės studentui kiltų derinant atsiskaitymo laiką su dėstytoju (nelygiaverčiai santykiai). Tokio pobūdžio argumentai, kurie iš esmės grindžiami tik prielaidomis, nėra pakankami išvadoms, kad atsiskaitymo perkėlimas kitam laikui laikytina nelygiavertė alternatyva, pagrįsti. Duomenų subjektams buvo numatyta galimybė laisva valia pasirinkti iš dviejų alternatyvų, atsižvelgiant į sau priimtiną atsiskaitymo būdą, o atsakovui neįrodžius, kokie nepatogumai, neigiamos pasekmės studentams kils atsiskaitymą perkėlus kitam laikui, vien tik bendro pobūdžio teiginiai Sprendime priimtų išvadų (atsiskaitymo nukėlimas nelaikytina lygiaverte alternatyva) nepagrindžia. Dėl to teismas priėjo prie išvados, kad atsakovo šiuo aspektu išdėstyti argumentai vertintini kaip neįrodyti.
14. Pirmosios instancijos teismas, apibendrindamas byloje nustatytas faktines ir teisines aplinkybes, konstatavo, jog Vilniaus universiteto sprendimas egzaminų metu naudotis „SMOWL“ programine įranga pripažintinas proporcingu šalyje buvusios ekstremaliosios situacijos dėl COVID-19 pandemijos kontekste, o biometrinių duomenų tvarkymas atitiko Reglamento (ES) 2016/679 9 straipsnio 2 dalies a ir g punktuose įtvirtintas išimtines duomenų tvarkymo sąlygas, todėl Inspekcijos priimtas Sprendimas yra nepagrįstas ir neteisėtas.
III.
15. Atsakovas Inspekcija apeliaciniame skunde prašo panaikinti Vilniaus apygardos administracinio teismo 2022 m. gegužės 12 d. sprendimą ir Inspekcijos Sprendimą palikti galioti. Apeliacinis skundas grindžiamas šiais argumentais:
15.1. Pirmosios instancijos teismo sprendime nurodytos dvi biometrinių duomenų teisėto tvarkymo sąlygos (BDAR 9 str. 2 d. a ir g p.) negali būti taikomos kartu, kadangi sutikimas niekada nebus laisvanorišku, jeigu tvarkyti duomenis yra būtina dėl svarbaus viešojo intereso priežasčių.
15.2. Kaip pripažino pirmosios instancijos teismas ir kaip nurodyta BDAR nuostatose, siekiant remtis BDAR 9 straipsnio 2 dalies g punkte nurodyta teisėto tvarkymo sąlyga, vienas iš būtinų dalykų yra tai, kad specialiųjų kategorijų asmens duomenų tvarkymas (šiuo konkrečiu atveju biometrinių duomenų tvarkymas) būtų įtvirtintas teisės aktais. Reikalavimai teisės aktams, kuriais yra įtvirtinamas atitinkamas asmens duomenų tvarkymas, yra nustatyti BDAR 6 straipsnio 3 dalyje. BDAR preambulės 41 punkte reglamentuota, kad teisinis pagrindas ar teisėkūros priemonė turėtų būti aiškūs ir tikslūs, o jų taikymas turėtų būti numatomas tiems asmenims, kuriems jie turi būti taikomi, pagal Europos Sąjungos Teisingumo Teismo ir Europos Žmogaus Teisių Teismo praktiką. Europos duomenų apsaugos valdybos 2020 m. gruodžio 15 d. gairėse Nr. 06/2020 dėl Antrosios mokėjimo paslaugų direktyvos ir BDAR sąveikos, vertinant asmens duomenų tvarkymą, remiantis 9 straipsnio 2 dalies g punktu, taip pat yra nurodyta, kad „mokėjimo paslaugų teikėjai gali tvarkyti specialių kategorijų asmens duomenis dėl svarbaus viešojo intereso priežasčių, tačiau tik tuo atveju, jei įvykdomos visos BDAR 9 straipsnio 2 dalies g punkto sąlygos. Tai reiškia, kad specialių kategorijų asmens duomenų tvarkymas Sąjungos arba valstybės narės teisėje turi būti grindžiamas konkrečia nuo BDAR 9 straipsnio 1 dalies nukrypti leidžiančia nuostata. Šia nuostata turės būti sprendžiamas proporcingumo, susijusio su siekiamu duomenų tvarkymo tikslu, klausimas ir numatomos tinkamos bei konkrečios duomenų subjekto pagrindinių teisių ir interesų apsaugos priemonės. Be to, ši Sąjungos arba valstybės narės teisės nuostata negalės pažeisti esminių teisės į duomenų apsaugą nuostatų. Galiausiai taip pat reikia įrodyti, kad specialių kategorijų asmens duomenis būtina tvarkyti svarbaus viešojo intereso, įskaitant sisteminės svarbos interesus, tikslais. Tik visapusiškai įvykdžius visas šias sąlygas, šią nukrypti leidžiančią nuostatą būtų galima taikyti <...>.“ Taigi svarbus viešasis interesas, kuriuo remiasi atitinkamas specialiųjų asmens duomenų tvarkymas, turi būti įtvirtintas teisės aktuose (o ne duomenų valdytojo parengtuose dokumentuose).
15.3. Teisės aktuose, kuriuose įtvirtinamas specialiųjų kategorijų asmens duomenų tvarkymas, turi būti nurodytas viešasis interesas, taip pat ir konkrečios duomenų subjektų teisių ir teisėtų interesų apsaugos priemonės. Inspekcijos vertinimu, vien ekstremaliosios situacijos paskelbimas ir Lietuvos Respublikos Vyriausybės nutarimas negali būti laikomas tinkamu teisės aktu šiuo atveju dėl biometrinių duomenų tvarkymo, kadangi kiekviena švietimo įstaiga ekstremaliosios situacijos metu turėjo tikslą užtikrinti egzaminų sąžiningumą (kaip teismas nurodė – viešasis interesas yra susijęs ne su vieno, o daugelio asmenų teisėmis ir teisėtais interesais), tačiau šiame Vyriausybės nutarime ar kitame ekstremaliosios situacijos metu patvirtiname teisės akte nebuvo numatytas reikalavimas švietimo įstaigoms ekstremaliosios situacijos metu, siekiant užtikrinti egzaminų sąžiningumą, naudoti atitinkamas stebėsenos priemones, įskaitant priemones, susijusias su biometrinių duomenų tvarkymu. Kitaip tariant, siekiant specialiųjų kategorijų asmens duomenų tvarkymą pagrįsti BDAR 9 straipsnio 2 dalies g punktu, teisės akte turi būti aiškiai nustatyta pareiga tvarkyti specialiųjų kategorijų asmens duomenis, o ne bendro pobūdžio pareiga, susijusi su tinkamų sąlygų ekstremaliosios situacijos metu užtikrinimu. BDAR nėra numatytos išimtys, kad BDAR 9 straipsnio 1 dalis netaikoma, jei duomenys tvarkomi ekstremaliosios situacijos metu.
15.4. Vilniaus universiteto vykdytas studentų biometrinių duomenų tvarkymas, siekiant užtikrinti sąžiningą atsiskaitymų laikymą, neatitiko BDAR 9 straipsnio 1 dalies a punkto. Pagal BDAR 7 straipsnio 1 dalį, kai duomenys tvarkomi remiantis sutikimu, duomenų valdytojas turi galėti įrodyti, kad duomenų subjektas davė sutikimą, kad būtų tvarkomi jo asmens duomenys. Pagal BDAR 7 straipsnio 3 dalį duomenų subjektas turi teisę bet kuriuo metu atšaukti savo sutikimą. Sutikimo atšaukimas nedaro poveikio sutikimu pagrįsto duomenų tvarkymo, atlikto iki sutikimo atšaukimo, teisėtumui. Duomenų subjektas apie tai informuojamas prieš jam duodant sutikimą. Atšaukti sutikimą turi būti taip pat lengva kaip jį duoti.
15.5. Pagal BDAR įtvirtintą bendrą taisyklę, jei duomenų subjektas neturi realaus pasirinkimo, jaučiasi priverstas sutikti arba patirtų neigiamų pasekmių, jei sutikimo neduotų, toks sutikimas negalioja. Jei sutikimas yra neatskiriamai sujungtas su sąlygomis kaip jų dalis, dėl kurios nesiderama, jis laikomas ne laisva valia duotu sutikimu. Taigi, sutikimas nebus laikomas laisvu sutikimu, jei duomenų subjektas negalės atsisakyti sutikti arba duoto sutikimo atšaukti, nepatirdamas žalos. BDAR taip pat atsižvelgiama į duomenų valdytojo ir duomenų subjekto galios disbalanso sampratą. Grindžiant šią išvadą, atsižvelgtina į kitų Sąjungos valstybių narių priežiūros institucijų BDAR taikymo praktiką, pvz., Švedijos priežiūros institucija skyrė baudą už BDAR pažeidimus vidurinei mokyklai, kuri, siekdama stebėti mokinių lankomumą, naudojo biometrinių duomenų tvarkymu paremtą mokinių atpažinimo programinę priemonę. Nors biometrinių duomenų tvarkymas rėmėsi mokinių tėvų duotais sutikimais ir buvo numatyta galimybė bet kada sutikimą atšaukti bei pateikta alternatyva mokinius identifikuoti įprastu būdu, Švedijos priežiūros institucija savo sprendime pažymėjo, kad vertinant BDAR nuostatas dėl sutikimo laisvanoriškumo, turi būti vertinamos ne tik suteikiamos alternatyvos (galimybės rinktis), bet ir turi būti atsižvelgiama į duomenų valdytojo ir duomenų subjekto tarpusavio santykį. Švedijos priežiūros institucija taip pat pabrėžė, jog kalbant apie švietimo sektorių, akivaizdu, kad mokiniai yra priklausomi nuo mokyklos, todėl pripažįstama, kad mokyklos ir mokinio santykiuose yra galios disbalansas. Atsižvelgiant į tai, Švedijos priežiūros institucijos nuomone, sutikimas negali būti laikomas duotu laisva valia, todėl šiuo konkrečiu atveju sutikimas negali būti naudojamas kaip BDAR 9 straipsnyje įtvirtinta išimtis dėl specialiųjų kategorijų asmens duomenų tvarkymo. Italijos priežiūros institucija skyrė baudą už BDAR pažeidimus universitetui, kuris siekdamas pandemijos metu užtikrinti nuotolinių egzaminų laikymo sąžiningumą, naudojo kompiuterizuoto stebėjimo priemones, paremtas biometrinių duomenų tvarkymu, nurodant, kad dėl akivaizdaus galios disbalanso tarp universiteto ir studentų, sutikimas negali būti laikomas duotu laisva valia. Taip pat Italijos priežiūros institucija nesutiko su universiteto argumentu, kad studentai turėjo galimybę pasirinkti neigiamų pasekmių nesukeliančią alternatyvą, t. y. suderinus su dėstytoju, egzaminą laikyti kontaktiniu būdu. Italijos priežiūros institucijos nuomone, dėl akivaizdaus galios disbalanso, toks alternatyvus būdas gali sukelti studentų baimę dėl galimų neigiamų pasekmių, todėl tai nėra laikoma tinkama alternatyva.
15.6. Šiuo atveju teismas tinkamai neatsižvelgė į tai, jog Vilniaus universitete numatyta galimybė laikyti atsiskaitymą kitu nei nuotoliniu būdu naudojant kompiuterizuotą stebėjimą, t. y. kreipiantis į akademinio padalinio vadovą su prašymu nukelti atsiskaitymo laikymą, atsižvelgiant į BDAR nuostatas dėl sutikimo teisėtumo bei besiformuojančią BDAR taikymo praktiką bei atsižvelgiant į tai, kad tarp universiteto ir studentų yra akivaizdus galios disbalansas, sutikimas negali būti vertinamas kaip tinkamas teisinis pagrindas biometriniams duomenims tvarkyti. Nesutikimo su asmens duomenų tvarkymo alternatyva nėra lygiavertė, kadangi atsiskaitymas nėra vykdomas tuo pačiu metu su kitais studentais, jis yra nukeliamas, taip pat iš Įsakymo ir sutikimo nuostatų nėra aišku, iki kada būtų nukeliama galimybė laikyti egzaminą, atsisakius laikyti egzaminą, naudojant kompiuterizuotą stebėjimą, kadangi, kaip nurodo Vilniaus universitetas, alternatyva būtų kontaktiniu būdu Vilniaus universiteto patalpose, o Vilniaus universitetas nurodo, kad kompiuterizuotą stebėjimą pasirinko, nes nėra galimybės ekstremaliosios situacijos metu egzaminų organizuoti kontaktiniu būdu. Vien sutikimo formoje nurodymas „be neigiamų pasekmių“ savaime nelemia to, kad studentas, pasirinkęs alternatyvų atsiskaitymo būdą, nepatirs neigiamų pasekmių.
15.7. Nagrinėjamu atveju pareiškėjas neįvertino, kad tarp dėstytojo ir studijuojančio yra nelygiavertis santykis, dėstytojas yra studijuojantį vertinantis asmuo, o tokia aplinkybė neabejotinai gali turėti įtakos derinantis atsiskaitymo laiką su dėstytoju. Tą pripažino ir Italijos priežiūros institucija, vertindama universiteto veiksmus dėl biometrinių duomenų tvarkymo. Be to, papildomo laiko atsiskaitymo pasiruošimui turėjimas savaime nereiškia palankesnių sąlygų studijuojančiam, nes nebūtinai studijuojančiam yra reikalingas papildomas laikas atsiskaitymo pasiruošimui. Paties atsiskaitymo termino nukėlimo įtakos studijuojančiam Vilniaus universitetas ne tik, kad neįvertino atlikdamas PDAV (kurį pagal BDAR yra būtina atlikti iki pradedant tvarkyti duomenis), bet ir Inspekcijai nepateikė iki Sprendimo priėmimo, kai vadovaujantis BDAR 5 straipsnio 2 dalimi ir 7 straipsnio 1 dalimi privalėjo įrodyti, kad sutikimas yra gautas laisva valia, o asmens duomenys yra tvarkomi teisėtai.
15.8. Vilniaus universitetas biometrinių asmens duomenų tvarkymo būtinumą ir proporcingumą privalėjo įvertinti atlikdamas PDAV prieš biometrinių duomenų tvarkymą, vertinimo metu nustatydamas, ar toks biometrinių asmens duomenų tvarkymas yra būtinas ir neišvengiamas, taip pat, ar norimą tikslą pasiekti, t. y. užtikrinti sąžiningą atsiskaitymų laikymą, galima pasiekti naudojant mažiau privatumą ribojančiomis priemonėmis. Tačiau, kaip Inspekcija nustatė tyrimo metu, šie aspektai PDAV metu nebuvo įvertinti.
15.9. Vilniaus universitetas, prieš pasirinkdamas egzaminų metu naudoti kompiuterizuotą stebėjimą, neįvertino to, kad studijų metu studijuojančiam tiesiogiai atsiskaitant su dėstytoju, dėstytojas neįrašinėja nei garso, nei vaizdo, o išklausęs studijuojančio žinias iškart jį įvertina. Toks pat būdas galėtų būti taikomas ir atsiskaitant nuotoliniu būdu. Nepagrįstas Vilniaus universiteto poreikis studentą atsiskaitymo metu iš visų pusių stebėti keliomis kameromis. Vilniaus universitetas nepateikė jokių pagrįstų įrodymų, kad toks studijuojančio stebėjimas būtų būtinas ir taikomas studijuojančiam atsiskaitant įprastu būdu. Dar daugiau, toks vaizdo stebėjimas būtų neadekvatus ir neproporcingas situacijai. Vilniaus universitetas taip pat nepateikė įrodymų, kokios kitos alternatyvos buvo svarstomos, siekiant užtikrinti egzaminų sąžiningumą ir tinkamą identifikavimą, pavyzdžiui, asmens dokumento, kuriame yra nurodytas asmens kodas, pateikimas dėstytojui, atsiskaitant tiesioginio vaizdo įrašo metu.
16. Pareiškėjas Vilniaus universitetas atsiliepime į apeliacinį skundą prašo atsakovo apeliacinį skundą atmesti. Atsiliepimas į apeliacinį skundą grindžiamas šiais pagrindiniais argumentais:
16.1. Nesutiktina su Inspekcijos argumentu, jog pirmosios instancijos teismas nepagrįstai sprendė, kad šiuo atveju biometrinių duomenų teisėto tvarkymo sąlygos (BDAR 9 str. 2 d. a ir g p.) negali būti taikomos kartu. Tai patvirtina Direktyvos 95/46/EB 29 straipsnio duomenų apsaugos darbo grupės 2011 m. liepos 13 d. nuomonė 15/2011, kurios 7 straipsnyje, be kita ko, aiškiai nurodyta, kad duomenų tvarkymas visada turi atitikti vieną arba daugiau teisinių pagrindų ir tai nereiškia, jog vienu metu negali būti taikomi keli pagrindai, jeigu tik jie naudojami tinkamomis aplinkybėmis. Taigi BDAR 9 straipsnio 2 dalyje nurodyti pagrindai nėra viena kitą eliminuojančios alternatyvos, kurių negalima taikyti kartu. Inspekcija nekėlė argumento dėl sąlygų taikymo kartu negalimumo nei Sprendime, nei teisminio proceso pirmosios instancijos teisme metu. Priešingai, Inspekcija Sprendime nurodė, kad nenurodydamas Įsakyme BDAR 9 straipsnio 2 dalies g punkto, Vilniaus universitetas šiuo pagrindu PDAV grįsdamas asmens duomenų tvarkymą netinkamai įgyvendino BDAR 5 straipsnio 1 dalies a punkte įtvirtintą skaidrumo principą.
16.2. Nepagrįsti atsakovo argumentai dėl to, jog šiuo atveju specialiųjų kategorijų asmens duomenų (biometrinių duomenų) tvarkymas nebuvo tinkamai įtvirtintas teisės aktais. Šiuo aspektu sutiktina su pirmosios instancijos teismo motyvais, nes nagrinėjamu atveju Vyriausybės nutarimas pripažintinas kaip pakankamas teisinis reguliavimas, suteikiantis teisėtą pagrindą naudoti atitinkamas priemones. Tai, jog, kaip nurodo atsakovas, BDAR nėra numatytos išimtys dėl BDAR 9 straipsnio 1 dalies netaikymo ekstremaliosios situacijos metu, nereiškia, jog duomenų tvarkymo priemonės negali būti pasirinktos ir naudojamos atsižvelgiantį į konkrečią, naują, nenumatytą faktinę situaciją, su kuria visuomenė niekuomet nebuvo susidūrusi. Tokiu atveju nutarimu švietimo įstaigoms ir negalėjo būti imperatyviai nustatytos vienodos taikytinos priemonės, nes švietimo įstaigos valstybėje yra skirtingo pavaldumo, savarankiškumo lygio, skiriasi jų tikslai ir vykdomos funkcijos.
16.3. Be to, vadovaujantis Lietuvos Respublikos Konstitucijos 40 straipsniu, kurio reikšmė patvirtinta, be kita ko, Lietuvos Respublikos Konstitucinio Teismo 2008 m. kovo 20 d. nutarime, aukštosioms mokykloms suteikiama autonomija. Vilniaus universitetas, būdamas autonomiška aukštoji mokykla, atsižvelgdama į vykdomosios valdžios teisės aktais nustatytą ekstremaliąją situaciją valstybėje bei į studijų proceso specifiką, poreikius ir keliamus tikslus, turi teisę pasirinkti tokias studijų proceso organizavimo ir vykdymo priemones, kurios būtų efektyvios ir proporcingos konkrečioje situacijoje.
16.4. Nesutiktina su atsakovo argumentais dėl sutikimo tvarkyti duomenų subjektų biometrinių duomenų laisvanoriškumo. Šiuo atveju studentai turėjo galimybę išreikšti savo valią ir, nesutikdami su nuotoline atsiskaitymo organizavimo tvarka, pasirinkti alternatyvią, egzaminą laikyti gyvai pasirinkę studentai atsiskaitė pagal individualius grafikus, skundų nebuvo gauta. Inspekcijos argumentai šiuo požiūriu yra deklaratyvūs. Be to, sprendimo dėl duomenų tvarkymo priėmimo procese dalyvavo ir Vilniaus universiteto studentų atstovybė, su ja suderinus ginčo technologijos taikymą. Nepagrįsti atsakovo argumentai dėl galios disbalanso, nes nors studentas teisiniuose santykiuose su aukštąja mokykla laikytinas silpnesniąja šalimi, teiginiai apie tokį disbalansą, kuris eliminuoja studento, kaip duomenų tvarkymo subjekto, duodamą sutikimą tvarkyti asmens duomenis konkrečiu būdu, laikytini hipotetiniais ir nepagrįstais.
16.5. Inspekcijos nurodyti kitų Sąjungos valstybių priežiūros institucijų priimti sprendimai negali būti vertinami kaip precedentai, nes šios institucijos nėra teisminės ir jų sprendimai gali būti (galbūt buvo) skundžiami teismui, todėl nėra duomenų, kad šie sprendimai būtų palikti galioti įsiteisėjusiais nacionalinių ar tarptautinių teisminių institucijų sprendimais. Be to, kiekvienas asmens duomenų tvarkymo atvejis yra apspręstas konkrečiomis faktinėmis aplinkybėmis, šiuo atveju „SMOWL“ įrangos naudojimui faktinis pagrindas buvo COVID-19 pandemija ir dėl to priimtas Vyriausybės nutarimas. Atsakovo nurodyti pavyzdžiai nėra laikyti analogiškais. Taip pat, kaip matyti iš PDAV, egzistuoja ir kitokie sprendimai vaizdo stebėsenos įrangos naudojimo klausimais, tačiau atsakovas į tokią praktiką selektyviai neatsižvelgė.
16.6. Inspekcijos argumentai dėl asmens duomenų tvarkymo būtinumo ir proporcingumo neįvertinimo PDAV metu yra nepagrįsti, nes atlikdamas PDAV Vilniaus universitetas tokį vertinimą atliko ir pirmosios instancijos teismas pagrįstai sprendė, kad Vilniaus universiteto sprendimas egzaminų metu naudotis „SMOWL“ programine įranga pripažintinas proporcingas COVID-19 pandemijos kontekste, o biometrinių duomenų tvarkymas atitiko BDAR 9 straipsnio 2 dalies a ir g punktuose įtvirtintas išimtines duomenų tvarkymo sąlygas.
Išplėstinė teisėjų kolegija
k o n s t a t u o j a :
IV.
17. Byloje nagrinėjamas ginčas kilo dėl Valstybinės duomenų apsaugos inspekcijos 2021 m. birželio 8 d. sprendimo Nr. 2R-2968(2.14.E), kuriuo nurodyta Vilniaus universitetui nedelsiant nutraukti studentų biometrinių duomenų tvarkymą siekiant užtikrinti nuotolinių atsiskaitymų sąžiningumą valstybės lygio ekstremaliosios situacijos dėl COVID-19 laikotarpiu, pagrįstumo ir teisėtumo.
18. Kaip nurodyta ginčijamame Sprendime ir byloje esančiuose Vilniaus universiteto paaiškinimuose (Vilniaus universiteto 2020 m. spalio 20 d. raštas Nr. SR-474 „Dėl sąžiningumo užtikrinimo priemonių naudojimo“, 2021 m. vasario 26 d. raštas Nr. SR-184 „Dėl veido atpažinimo sistemos naudojimo“), Vilniaus universitete „Moodle“ mokymosi sistemoje buvo pradėtas naudoti Ispanijos gamintojo SMILEY OWL TECH S.L. sąžiningumo užtikrinimo atsiskaitymuose įskiepis „SMOWL“. Įskiepis sudaro laikiną atsiskaitančiojo biometrinį modelį, kuris naudojamas nustatant atsiskaitančiojo asmens vaizdo pasikeitimus, taip pat, siekiant išvengti galimo pasakinėjimo, stebimas aplinkos triukšmas. Šio asmens duomenų tvarkymo tikslas – užtikrinti nuotolinių atsiskaitymų sąžiningumą valstybės lygio ekstremaliosios situacijos dėl COVID-19 laikotarpiu. Vilniaus universitetas nurodė, jog asmens duomenys šiuo tikslu tvarkomi esant duomenų subjekto sutikimui (BDAR 9 str. 2 d. a p.). Visi registracijos ir egzaminų metu sąžiningumo užtikrinimo tikslu surinkti duomenys yra saugomi įmonės „SMILEY OWL TECH S.L.“ serveriuose. Duomenys naikinami šia tvarka: pirma naikinami biometriniai, tuomet vaizdo ir kiti duomenys. Biometrinis veido modelis automatiniu būdu programinės įrangos sunaikinamas po subjekto atsijungimo nuo egzaminavimo aplinkos. Toliau sąžiningumo užtikrinimo tikslu tvarkomi tik vaizdai, kurie automatiškai naikinami pasiekus tvarkymo tikslus (duomenų tvarkymo laikotarpis – 6 mėnesiai po atsiskaitymo). Biometriniai duomenys yra saugomi tik tiek laiko, kiek reikia atlikti nuotraukų, surinktų egzamino metu ir registracijos nuotraukų palyginimui. Ispanijos gamintojo SMILEY OWL TECH S.L. sąžiningumo užtikrinimo atsiskaitymuose įskiepio „SMOWL“ pagalba surinkti biometriniai veido modelio duomenys ir nuotraukos saugomi įmonės „SMILEY OWL TECH S.L.“ serveryje, Airijoje. Studentų nuotraukos yra renkamos dviem atvejais. Pirmiausia nuotrauka renkama studentui registruojantis SMOWL platformoje prieš egzaminą, kuriame bus naudojama SMOWL programinė įranga, 5 darbo dienos iki egzamino pradžios, studento tapatybei patvirtinti. Vėliau nuotraukos taip pat renkamos egzamino, kuriame naudojama SMOWL programinė įranga, metu. SMOWL programinės įrangos galimybė įrašinėti garsą 2020–2021 m. m. rudens semestro atsiskaitymų metu nebuvo aktyvuota.
19. Ginčijamame Sprendime buvo konstatuota, jog nagrinėjamu atveju biometrinių duomenų tvarkymas iš esmės neatitiko BDAR 5 straipsnio 1 dalies a punkte įtvirtinto teisėtumo principo ir nebuvo proporcingas norimiems tikslams pasiekti. Sprendime buvo pateiktas nurodymas Vilniaus universitetui – nedelsiant nutraukti studentų biometrinių duomenų tvarkymą siekiant užtikrinti nuotolinių atsiskaitymų sąžiningumą valstybės lygio ekstremaliosios situacijos dėl COVID-19 laikotarpiu.
20. Pirmosios instancijos teismas pareiškėjo Vilniaus universiteto skundą tenkino ir ginčijamą Sprendimą panaikino. Pirmosios instancijos teismas Vilniaus universiteto sprendimą egzaminų metu naudotis „SMOWL“ programine įranga pripažino proporcingu tuo metu visoje šalyje buvusios ekstremaliosios situacijos (dėl COVID-19 pandemijos) kontekste, taip pat sprendė, kad biometrinių duomenų tvarkymas atitiko BDAR 9 straipsnio 2 dalies a ir g punktuose įtvirtintas išimtines duomenų tvarkymo sąlygas.
21. Apeliaciniame skunde atsakovas Inspekcija teigia, kad biometrinių duomenų tvarkymas šiuo atveju neatitinka BDAR 9 straipsnio 2 dalies a ir g punktuose įtvirtintų sąlygų, o Vilniaus universitetas poveikio duomenų apsaugai vertinimo metu neįvertino biometrinių duomenų tvarkymo būtinumo ir proporcingumo.
Dėl aktualaus teisinio reguliavimo
22. Pagal BDAR 4 straipsnio 14 punktą biometriniai duomenys – po specialaus techninio apdorojimo gauti asmens duomenys, susiję su fizinio asmens fizinėmis, fiziologinėmis arba elgesio savybėmis, pagal kurias galima konkrečiai nustatyti arba patvirtinti to fizinio asmens tapatybę, kaip antai veido atvaizdai arba daktiloskopiniai duomenys.
23. Tarp administracinės bylos proceso šalių nėra ginčo dėl to, kad nagrinėjamu atveju buvo tvarkomi biometriniai duomenys – veido atpažinimo modelis.
24. BDAR 51 konstatuojamojoje dalyje nurodyta, kad asmens duomenims, kurie pagal savo pobūdį yra ypač neskelbtini, remiantis pagrindinėmis teisėmis ir laisvėmis, turi būti užtikrinta ypatinga apsauga, kadangi atsižvelgiant į jų tvarkymo kontekstą galėtų kilti didelis pavojus pagrindinėms teisėms ir laisvėms.
25. BDAR 9 straipsnio 1 dalyje nurodyta, jog draudžiama „<...> tvarkyti genetinius duomenis, biometrinius duomenis, siekiant konkrečiai nustatyti fizinio asmens tapatybę, sveikatos duomenis <...>“. To paties straipsnio 2 dalyje įtvirtinti atvejai, kai 9 straipsnio 1 dalis netaikoma.
26. Pareiškėjas Vilniaus universitetas biometrinių duomenų tvarkymo teisėtumą grindžia BDAR 9 straipsnio 2 dalies a punktu, kuriame nurodyta sąlyga: „duomenų subjektas aiškiai sutiko, kad tokie asmens duomenys būtų tvarkomi vienu ar keliais nurodytais tikslais, išskyrus atvejus, kai Sąjungos arba valstybės narės teisėje numatyta, kad 1 dalyje nurodyto draudimo duomenų subjektas negali panaikinti“. Poveikio duomenų apsaugai vertinime Vilniaus universitetas taip pat rėmėsi BDAR 9 straipsnio 2 dalies g punktu, kuriame nustatyta sąlyga, jog „tvarkyti duomenis būtina dėl svarbaus viešojo intereso priežasčių, remiantis Sąjungos arba valstybės narės teise, kurie turi būti proporcingi tikslui, kurio siekiama, nepažeisti esminių teisės į duomenų apsaugą nuostatų ir kuriuose turi būti numatytos tinkamos ir konkrečios duomenų subjekto pagrindinių teisių ir interesų apsaugos priemonės“.
27. BDAR 51 konstatuojamojoje dalyje yra pažymėta, kad asmens duomenims, kurie pagal savo pobūdį yra ypač neskelbtini pagrindinių teisių ir laisvių atžvilgiu, turi būti užtikrinta ypatinga apsauga, kadangi atsižvelgiant į jų tvarkymo kontekstą galėtų kilti didelis pavojus pagrindinėms teisėms ir laisvėms. <...> Kartu su konkrečiais tokio duomenų tvarkymo reikalavimais turėtų būti taikomi šiame reglamente numatyti bendrieji principai ir kitos taisyklės, visų pirma, susijusios su teisėto duomenų tvarkymo sąlygomis. Turėtų būti aiškiai nustatytos nuostatos, leidžiančios nukrypti nuo bendro draudimo tvarkyti tokių specialių kategorijų asmens duomenis, inter alia, kai duomenų subjektas su tuo aiškiai sutinka arba specialių poreikių atveju <...>.
28. Remiantis Teisingumo Teismo jurisprudencija, bet koks asmens duomenų tvarkymas turi atitikti šio reglamento 5 straipsnio 1 dalyje nurodytus principus ir tenkinti jo 6 straipsnyje išvardytas teisėtumo sąlygas (žr., be kita ko, ESTT 2020 m. spalio 6 d. sprendimo La Quadrature du Net ir kt., C‑511/18, C‑512/18 ir C‑520/18, EU:C:2020:791, 208 punktą; 2021 m. birželio 22 d. sprendimo Latvijas Republikas Saeima (Baudos taškai), C‑439/19, EU:C:2021:504, 96 punktą ir 2022 m. spalio 20 d. sprendimo Digi, C‑77/21, EU:C:2022:805, 49 ir 56 punktus).
29. Kadangi BDAR 7–11 straipsniais, kurie, kaip ir jo 5 ir 6 straipsniai, įtvirtinti šio reglamento II skyriuje, skirtame principams, siekiama patikslinti duomenų valdytojui pagal minėto reglamento 5 straipsnio 1 dalies a punktą ir 6 straipsnio 1 dalį tenkančių pareigų apimtį, asmens duomenų tvarkymas taip pat yra teisėtas tik tuomet, kaip matyti iš ESTT jurisprudencijos, kai paisoma ir šių kitų minėto skyriaus nuostatų, kurios iš esmės susijusios su sutikimu, specialių kategorijų jautrių asmens duomenų tvarkymu ir asmens duomenų, susijusių su apkaltinamaisiais nuosprendžiais ir nusikalstamomis veikomis, tvarkymu (šiuo klausimu žr. ESTT 2019 m. rugsėjo 24 d. sprendimo GC ir kt. (Nuorodų į jautrius duomenis pašalinimas), C‑136/17, EU:C:2019:773, 72–75 punktus, 2021 m. birželio 22 d. sprendimo Latvijas Republikas Saeima (Baudos taškai), C‑439/19, EU:C:2021:504, 100, 102 ir 106 punktus, 2023 m. gegužės 4 d. sprendimo byloje UZ prieš Bundesrepublik Deutschland, 57, 58 punktus).
Dėl duomenų subjektų sutikimo
30. Atsakovas Inspekcija apeliaciniame skunde teikia argumentus, kad Vilniaus universiteto vykdytas studentų biometrinių duomenų tvarkymas, siekiant užtikrinti sąžiningą atsiskaitymų laikymą, neatitiko BDAR 9 straipsnio 2 dalies a punkto, kuriame, kaip minėta, nurodyta, kad draudimas tvarkyti biometrinius duomenis netaikomas, jei duomenų subjektas aiškiai sutiko, kad tokie asmens duomenys būtų tvarkomi vienu ar keliais nurodytais tikslais, išskyrus atvejus, kai Sąjungos arba valstybės narės teisėje numatyta, kad 1 dalyje nurodyto draudimo duomenų subjektas negali panaikinti.
31. Pagal BDAR 4 straipsnio 11 punktą duomenų subjekto sutikimas – bet koks laisva valia duotas, konkretus ir nedviprasmiškas tinkamai informuoto duomenų subjekto valios išreiškimas pareiškimu arba vienareikšmiais veiksmais kuriais jis sutinka, kad būtų tvarkomi su juo susiję asmens duomenys.
32. BDAR 43 konstatuojamojoje dalyje nurodyta, jog „siekiant užtikrinti, kad sutikimas būtų duotas laisva valia, sutikimas neturėtų būti laikomas pagrįstu asmens duomenų tvarkymo teisiniu pagrindu konkrečiu atveju, kai yra aiškus duomenų subjekto ir duomenų valdytojo padėties disbalansas, ypač kai duomenų valdytojas yra valdžios institucija ir dėl to nėra tikėtina, kad sutikimas, atsižvelgiant į visas to konkretaus atvejo aplinkybes, buvo duotas laisva valia.“
33. Europos duomenų apsaugos valdybos (toliau – ir EDAV) Gairių 05/2020 dėl sutikimo pagal Reglamentą 2016/679 (toliau – ir Gairės) 13 punkte nurodyta, jog sutikimo sąvokos elementas „laisvas“ reiškia, kad duomenų subjektai turi realų pasirinkimą ir kontrolę. Pagal BDAR įtvirtintą bendrą taisyklę, jei duomenų subjektas neturi realaus pasirinkimo, jaučiasi priverstas sutikti arba patirtų neigiamų pasekmių, jei sutikimo neduotų, toks sutikimas negalioja.
34. Kaip nurodyta Gairių 24 punkte, 29 straipsnio darbo grupė keliose savo nuomonėse pabrėžė, kad sutikimas gali būti galiojantis tik tada, kai duomenų subjektas turi realų pasirinkimą ir nerizikuoja patirti apgaulės, bauginimo, prievartos ar reikšmingų neigiamų pasekmių (pvz., nemažų papildomų išlaidų) tuo atveju, jei sutikimo neduotų. Sutikimas nėra laisvai duodamas tais atvejais, kai yra bet kokių prievartos, spaudimo ar negalėjimo naudotis laisva valia požymių.
35. Gairių 21 ir 22 punktuose pažymėta, kad galios disbalansas atsiranda, be kita ko, su darbo santykiais susijusiame kontekste. Dėl darbdavio ir darbuotojo santykiams būdingos priklausomybės nėra tikėtina, kad duomenų subjektas galėtų neduoti savo darbdaviui sutikimo, kad būtų tvarkomi jo duomenys, be baimės ar realios rizikos patirti neigiamą poveikį dėl savo nesutikimo. EDAV mano, kad darbdavių rėmimasis sutikimu, tvarkant savo dabartinių ar būsimų darbuotojų asmens duomenis, yra problemiškas, nes nėra tikėtina, kad toks sutikimas būtų duotas laisva valia. Dėl darbdavio ir darbuotojo santykių pobūdžio daugeliu tokio duomenų tvarkymo darbe atvejų darbuotojų sutikimas negali ir neturėtų būti teisėtas duomenų tvarkymo pagrindas (6 straipsnio 1 dalies a punktas). Tačiau tai nereiškia, kad darbdaviai niekada negali remtis sutikimu kaip teisėtu duomenų tvarkymo pagrindu. Gali būti tokių situacijų, kai darbdavys galėtų įrodyti, kad sutikimas iš tiesų duotas laisva valia. Dėl darbdavio ir jo darbuotojų galios disbalanso darbuotojai gali duoti laisvą sutikimą tik išimtinėmis aplinkybėmis, kai nepatirtų visiškai jokių neigiamų pasekmių nepriklausomai nuo to, ar sutikimą duotų, ar ne
36. 2020 m. birželio 23 d. Vilniaus universiteto rektoriaus įsakymo Nr. R-280 „Dėl asmens duomenų tvarkymo užtikrinant nuotolinių atsiskaitymų sąžiningumą valstybės lygio ekstremalios situacijos dėl COVID-19 laikotarpiu“ 1.2 punkte nurodyta, kad asmens duomenys (įskaitant biometrinius duomenis) tvarkomi tik asmeniui sutinkant. Nesutikus su duomenų tvarkymu, asmuo gali kreiptis į akademinio padalinio vadovą su prašymu nukelti atsiskaitymą.
37. Kaip matyti iš byloje esančio Komunikacijos skyriaus vadovės elektroninio laiško, studentai buvo informuoti, kad „studijų programose, kuriose galutinis pasiekimų vertinimas (egzaminas/įskaita) vyks nuotoliniu būdu, akademiniam sąžiningumui užtikrinti bus naudojama SMOWL programa VMA.“ Minėtame laiške išvardytos programos/kursai, kuriuose bus naudojamas šis įrankis, taip pat nurodyta, kad nepaminėtose programose/kursuose, atsižvelgiant į studentų išakytus argumentus, atsiskaitymai vyks gyvai. Nurodyta, kad studentui atsisakius nuotolinio atsiskaitymo dėl kompiuterizuoto stebėjimo, arba bet kuriuo metu atšaukus sutikimą, studento prašymu numatoma galimybė organizuoti atsiskaitymą gyvai (stebimoje aplinkoje, Vilniaus universiteto patalpose). Byloje esančioje studento sutikimo formoje nurodyta, kad „jei nesutinkate naudoti SMOWL, galėsite be neigiamų pasekmių egzaminus laikyti kitu laiku kontaktiniu būdu (stebimoje aplinkoje, Vilniaus universiteto patalpose). Apie egzamino datą bus pranešta atskirai.“ Kaip nurodyta ginčijamame Sprendime, Vilniaus universitetas Inspekcijai pateikė nuasmenintus studentų apklausos dėl egzaminų formos pasirinkimo rezultatus. Apie 10 % studentų pasirinko atidėti atsiskaitymus iki juos bus galima vykdyti tradiciniu formatu; taip pat Vilniaus universitetas nurodė, kad buvo sudaryta galimybė pakeisti savo nuomonę vėliau, šia teise kai kurie studentai pasinaudojo.
38. Taigi nagrinėjamu atveju studentams, nesutinkantiems naudoti SMOWL programos, buvo sudaryta galimybė laikyti egzaminus kitu laiku Vilniaus universiteto patalpose.
39. Skundžiamame Sprendime bei apeliaciniame skunde pažymima, kad, nors Vilniaus universitete buvo numatyta galimybė laikyti atsiskaitymą kitu nei nuotoliniu būdu naudojant kompiuterizuotą stebėjimą, t. y. kreipiantis į akademinio padalinio vadovą su prašymu nukelti atsiskaitymo laikymą, tai nėra lygiavertė alternatyva, kadangi taip atsiskaitymas nėra vykdomas tuo pačiu metu su kitais studentais, jis yra nukeliamas, dėl ko studentas neabejotinai patiria nepatogumų. Pasak Inspekcijos, tai reiškia, kad duomenų subjektas neturi realaus pasirinkimo, jaučiasi priverstas sutikti arba patirtų neigiamų pasekmių, jei sutikimo neduotų; tarp universiteto ir studentų yra akivaizdus galios disbalansas.
40. Išplėstinės teisėjų kolegijos nuomone, nors santykiams tarp universiteto ir studentų yra būdingas galios disbalansas, nagrinėjamu atveju, kaip matyti iš byloje esančių duomenų, studentams buvo suteikta veiksminga galimybė pasirinkti, ar leisti tvarkyti savo biometrinius duomenis, dalis studentų pasirinko nesutikti su biometrinių duomenų tvarkymu, o vien tai, jog nesutikusiems su biometrinių duomenų tvarkymu studentams egzamino data buvo nukelta, išplėstinės teisėjų kolegijos vertinimu, nesudaro pagrindo išvadai, kad šie studentai galėjo patirti neigiamų pasekmių, kadangi ši aplinkybė per se (pati savaime) nelemia prastesnės atsisakiusiųjų sutikti su savo biometrinių duomenų tvarkymu studentų padėties lyginant su studentais, kurie tokį sutikimą davė. Taigi, Inspekcijai ginčijamame Sprendime nenurodžius aplinkybių, kurios pagrįstų, kad studentai dėl kitos egzamino datos galėjo patirti neigiamas pasekmes, išplėstinė teisėjų kolegija daro išvadą, kad Inspekcija nepagrįstai nusprendė, jog studentų sutikimas, atsižvelgiant į šio konkretaus atvejo aplinkybes, nebuvo duotas laisva valia.
Dėl apeliacinio skundo argumentų, susijusių su proporcingumo principu
41. Ginčijamame Sprendime nurodyta, jog Vilniaus universitetas PDAV vertindamas biometrinių asmens duomenų tvarkymo būtinumą ir proporcingumą neįvertino, ar toks biometrinių asmens duomenų tvarkymas yra būtinas ir neišvengiamas, taip pat neįvertino, ar norimą tikslą pasiekti, t. y. užtikrinti sąžiningą atsiskaitymų laikymą, galima pasiekti naudojant mažiau privatumą ribojančias priemones. Sprendime pažymėta, kad Inspekcija nenustatė, kad tam, jog būtų galima užtikrinti sąžiningą atsiskaitymų laikymą, yra neišvengiamai būtina tvarkyti studentų biometrinius duomenis, taip pat nenustatė priežasčių, kodėl norimas tikslas (užtikrinti sąžiningą atsiskaitymų laikymą) negali būti pasiekiamas mažiau privatumą ribojančiomis priemonėmis. Apeliaciniame skunde Inspekcija nurodo, kad būtinumo ir proporcingumo aspektai poveikio duomenų apsaugai vertinimo metu nebuvo įvertinti.
42. Gairių 5 punkte pažymima, jog, kaip teigiama 29 straipsnio darbo grupės nuomonėje 15/2011 dėl sąvokos „sutikimas“ apibrėžties, prašant asmenų sutikti su duomenų tvarkymo operacija, turėtų būti taikomi griežti reikalavimai, nes tai susiję su pagrindinėmis duomenų subjektų teisėmis ir duomenų valdytojas nori atlikti duomenų tvarkymo operaciją, kuri be duomenų subjekto sutikimo būtų neteisėta. Ypač didelė sutikimo reikšmė pabrėžiama Europos Sąjungos pagrindinių teisių chartijos (toliau – ir Chartija) 7 ir 8 straipsniuose. Be to, gavus sutikimą, neišnyksta ir niekaip nesumažėja duomenų valdytojo prievolės laikytis duomenų tvarkymo principų, kurie įtvirtinti BDAR, ypač BDAR 5 straipsnyje, dėl sąžiningumo, būtinumo ir proporcingumo, taip pat dėl duomenų kokybės. Net jeigu asmens duomenys tvarkomi remiantis duomenų subjekto sutikimu, toks duomenų rinkimas, kuris nėra būtinas konkrečiam nustatytam duomenų tvarkymo tikslui pasiekti, nebūtų teisėtas ir būtų iš esmės nesąžiningas.
43. Byloje esančiame Vilniaus universiteto Poveikio duomenų apsaugai vertinime, be kita ko, pažymėta, kad siekiant užtikrinti nuotoliniu būdu atsiskaitančių asmenų sąžiningumo užtikrinimą Vilniaus universitete valstybės lygio ekstremaliosios situacijos dėl COVID-19 laikotarpiu planuojama stebėti iki 1500 atsiskaitymo sesijų (1 psl.), nurodyti asmens duomenų teisėto tvarkymo pagrindai – BDAR 9 straipsnio 2 dalies a punktas (duomenų subjektas aiškiai sutiko, kad tokie asmens duomenys būtų tvarkomi) bei BDAR 9 straipsnio 2 dalies g punktas (tvarkyti duomenis būtina dėl svarbaus viešojo intereso priežasčių), taip pat pažymėta, kad Lietuvos Respublikos mokslo ir studijų įstatymo (toliau – ir Mokslo ir studijų įstatymas) 3 straipsnio 1 dalies 8 punkte, 3 straipsnio 2 dalies 7 punkte ir 4 straipsnio 2 dalyje numatyti sąžiningos studijuojančiųjų konkurencijos ir akademinės etikos reikalavimai; šie reikalavimai, vykdant atsiskaitymus nuotoliniu būdu, be nuotolinių sąžiningumo užtikrinimo priemonių gali būti įgyvendinami tik organizuojant atsiskaitymus žodžiu (5 psl.), taip pat nurodyta, jog priemonės proporcingos tikslui – nerenkama jokia kita specialių kategorijų, finansinė, teistumo informacija, įgyvendinamas duomenų kiekio mažinimo principas (5 psl.), pažymėta, jog atsiskaitymui pasibaigus biometrinis modelis sunaikinamas (4 psl.). Taigi PDAV buvo pateiktas Vilniaus universiteto vertinimas dėl numatomo biometrinių duomenų tvarkymo proporcingumo (nurodyti biometrinių duomenų tvarkymo tikslai, priežastys, pasirinktos priemonės, ribotas biometrinių duomenų tvarkymo laikotarpis, taip pat nurodyta galima alternatyva – atsiskaitymai žodžiu).
44. Kaip matyti iš PDAV, Vilniaus universitetas biometrinius duomenis – veido atpažinimo modelį – numatė tvarkyti susiklosčius išimtinėms aplinkybėms, t. y. valstybės lygio ekstremaliosios situacijos dėl COVID-19 laikotarpiu. Byloje nėra duomenų, kad biometriniai duomenys, vykdant nuotolinius atsiskaitymus, buvo tvarkomi iki valstybės lygio ekstremaliosios situacijos dėl COVID-19 laikotarpio ar jam pasibaigus. Vykdant nuotolinius atsiskaitymus biometriniai duomenys buvo tvarkomi siekiant užtikrinti sąžiningą studijuojančiųjų konkurenciją bei akademinės etikos reikalavimus. Taigi buvo siekiama užtikrinti studijų tęstinumą visuomenės sveikatos krizės metu. Kaip pažymėjo Vilniaus universitetas, biometriniai duomenys buvo tvarkomi vykdant nuotolinius atsiskaitymus būtent Medicinos fakultete, kur studentų akademinės etikos reikalavimų laikymosi užtikrinimas yra išskirtinės svarbos visuomenei. Be to, tarp šalių nėra ginčo dėl to, kad biometriniai duomenys buvo tvarkomi labai trumpą laiką, t. y. biometrinis veido modelis buvo automatiniu būdu programinės įrangos sunaikinamas po duomenų subjekto atsijungimo nuo egzaminavimo aplinkos. Vilniaus universitetas PDAV nurodė, kad sąžiningos studijuojančiųjų konkurencijos ir akademinės etikos reikalavimai, vykdant atsiskaitymus nuotoliniu būdu, be nuotolinių sąžiningumo užtikrinimo priemonių gali būti įgyvendinami tik organizuojant atsiskaitymus žodžiu. Atsižvelgiant į PDAV nurodytą planuojamą stebėti atsiskaitymo sesijų skaičių (iki 1500), ši alternatyva, išplėstinės teisėjų kolegijos nuomone, nagrinėjamu atveju gali būti laikoma pernelyg apsunkinančia studentų egzaminų sesijos vykdymą.
45. Papildomai pažymėtina, jog ginčijamame Sprendime pateikti abstraktaus pobūdžio argumentai, kad Inspekcija nenustatė, jog yra neišvengiamai būtina tvarkyti studentų biometrinius duomenis, taip pat nenustatė priežasčių, kodėl norimas tikslas negali būti pasiekiamas mažiau privatumą ribojančiomis priemonėmis, nėra susiję su šio konkretaus atvejo aplinkybėmis ir nėra pakankami, kad pagrįstų, jog PDAV pateiktas proporcingumo vertinimas yra netinkamas.
46. Atsižvelgdama į išdėstytas aplinkybes, išplėstinė teisėjų kolegija sprendžia, kad biometrinių duomenų tvarkymas, dėl kurio priimtas ginčijamas Sprendimas, gali būti laikomas proporcingu (tinkamu ir būtinu) susiklosčiusių išimtinių aplinkybių, t. y. ekstremaliosios situacijos dėl COVID-19 pandemijos, kontekste.
47. Apibendrinant išdėstytus argumentus, konstatuotina, kad pirmosios instancijos teismas pagrįstai sprendė, jog biometrinių duomenų tvarkymas Vilniaus universitete nagrinėjamu atveju buvo proporcingas siekiamiems tikslams tuo metu visoje šalyje buvusios ekstremaliosios situacijos (dėl COVID-19 pandemijos) kontekste.
Dėl apeliacinio skundo argumentų, susijusių su BDAR 9 straipsnio 2 dalies g punktu
48. Apeliaciniame skunde atsakovas teikia argumentus dėl BDAR 9 straipsnio 2 dalies g punkto taikymo nagrinėjamoje byloje.
49. Kaip matyti iš byloje esančių duomenų, Vilniaus universitetas PDAV rėmėsi BDAR 9 straipsnio 2 dalies g punktu bei Mokslo ir studijų įstatymo 3 straipsnio 1 dalies 8 punktu, 2 dalies 7 punktu ir 4 straipsnio 2 dalimi. Pareiškėjas PDAV nurodė, kad šiose teisės nuostatose nustatyti sąžiningos studijuojančiųjų konkurencijos ir akademinės etikos reikalavimai, kurie, vykdant atsiskaitymus nuotoliniu būdu, be nuotolinių sąžiningumo užtikrinimo priemonių gali būti įgyvendinami tik organizuojant atsiskaitymus žodžiu.
50. Vis dėlto, ginčijamame Sprendime nebuvo nagrinėjama, ar biometrinių duomenų tvarkymas šiuo atveju atitiko BDAR 9 straipsnio 2 dalies g punkte įtvirtintą biometrinių duomenų tvarkymo teisėtumo pagrindą, taip pat Sprendime nebuvo nurodytos priežastys, dėl kurių BDAR 9 straipsnio 2 dalies g punktas kaip biometrinių duomenų tvarkymo teisėtumo pagrindas nebuvo nagrinėjamas.
51. Kaip nurodoma ESTT praktikoje, Chartijos 41 straipsnyje įtvirtinta teisė į gerą administravimą atspindi bendrą Sąjungos teisės principą (ESTT 2014 m. gegužės 8 d. sprendimas H. N. prieš Minister for Justice, Equality and Law Reform ir kt, byloje C-604/12, EU:C:2014:302, 49 p.). Šis straipsnis taip pat atspindi pareigą motyvuoti, laikomą bendruoju Sąjungos teisės principu, taikytinu valstybėms narėms, kai jos įgyvendina šią teisę (šiuo klausimu žr., pvz., ESTT 2020 m. lapkričio 24 d. sprendimo Minister van Buitenlandse Zaken, C-225/19 ir C-226/19, EU:C:2020:951, 34 punktą ir nurodytą jurisprudenciją). Remiantis teise į veiksmingą teisinę gynybą, garantuojamą Chartijos 47 straipsnyje, pateikti motyvai turi leisti, viena vertus, suinteresuotiesiems asmenims įvertinti, ar priimtas sprendimas gali turėti trūkumų, dėl kurių būtų galima ginčyti jo galiojimą, ir, kita vertus, jurisdikciją turinčiam teismui vykdyti teisėtumo kontrolę (šiuo klausimu žr., pvz., ESTT 2017 m. gegužės 16 d. sprendimo Berlioz Investment Fund, C-682/15, EU:C:2017:373, 84 p., 2023 m. gruodžio 21 d. sprendimo Infraestruturas de Portugal SA, C 66/22, 87 p.).
52. Viešojo administravimo įstatymo (2020 m. gegužės 28 d. įstatymo Nr. XIII-2987 redakcija) 10 straipsnio 5 dalies 5 ir 6 punktuose nustatyta, jog administraciniame sprendime turi būti nurodyta administracinio sprendimo teisinis ir faktinis pagrindas ar kitos administraciniam sprendimui įtakos turėjusios aplinkybės bei administracinio sprendimo motyvai.
53. Lietuvos vyriausiojo administracinio teismo jurisprudencijoje akcentuojama, kad ginčijamo individualaus administracinio sprendimo priėmimo motyvų nurodymas teismo proceso metu neturi būti vertinamas ir nedaro įtakos nemotyvuoto viešojo administravimo subjekto priimto sprendimo teisėtumui (žr., pavyzdžiui, 2013 m. birželio 13 d. sprendimą administracinėje byloje Nr. A502-940/2013; 2015 m. kovo 31 d. nutartį administracinėje byloje Nr. A-1536-662/2015, 2024 m. gegužės 15 d. nutartį administracinėje byloje Nr. eA-353-602/2024). Priešingai vertinant būtų pažeistos pareiškėjo teisės į gynybą (žr., pavyzdžiui, 2011 m. lapkričio 2 d. sprendimą administracinėje byloje Nr. A261-2692/2011, 2024 m. kovo 13 d. sprendimą administracinėje byloje Nr. eA-314-629/2024). Individualaus administracinio akto motyvų nenurodymas pačiame akte ir jų papildymas ginčą nagrinėjant teisme iš principo nėra toleruotini, kadangi kliudo suinteresuotam asmeniui pasirinkti būdus bei priemones dėl savo teisių ar interesų gynimo, o galbūt apskritai sutikti ir pripažinti pagrįstu viešojo administravimo sistemos subjekto neigiamą atsakymą. Atitinkamos kliūtys sudaromos ir teismui, nagrinėjančiam skundus dėl individualių teisės aktų panaikinimo, nes teisiniai ir faktiniai pagrindai yra plečiami, sudaromos prielaidos vis naujų pagrindų teikimui (Lietuvos vyriausiojo administracinio teismo 2013 m. balandžio 24 d. nutartis administracinėje byloje Nr. A556-714/2013, 2023 m. gruodžio 20 d. nutartis administracinėje byloje Nr. eA-2120-575/2023, 2023 m. gruodžio 20 d. sprendimas administracinėje byloje Nr. A-964-602/2023).
54. Atsižvelgiant į tai, kad šioje byloje ginčas kilo dėl Sprendimo teisėtumo ir pagrįstumo, o, kaip minėta, individualaus administracinio sprendimo priėmimo motyvų nenurodžius pačiame akte, teismo proceso metu jie negali būti papildomi, išplėstinė teisėjų kolegija Inspekcijos apeliaciniame skunde pateiktų argumentų, susijusių su BDAR 9 straipsnio 2 dalies g punktu, nevertina ir dėl jų nepasisako.
Dėl bylos procesinės baigties
55. Apibendrinant konstatuotina, kad pirmosios instancijos teismas, nors iš dalies kitais motyvais, tačiau iš esmės pagrįstai panaikino ginčijamą Sprendimą, todėl pirmosios instancijos teismo sprendimas paliekamas nepakeistas, atsižvelgiant į šioje nutartyje išdėstytus motyvus, o atsakovo apeliacinis skundas atmetamas.
Vadovaudamasi Lietuvos Respublikos administracinių bylų teisenos įstatymo 144 straipsnio 1 dalies 1 punktu, išplėstinė teisėjų kolegija
nutaria :
Atsakovo Valstybinės duomenų apsaugos inspekcijos apeliacinį skundą atmesti.
Vilniaus apygardos administracinio teismo 2022 m. gegužės 12 d. sprendimą palikti nepakeistą.
Nutartis neskundžiama.
Teisėjai Laimutis Alechnavičius
Ramūnas Gadliauskas
Iveta Pelienė
Milda Vainienė
Dalia Višinskienė