Civilinė byla Nr. e2A-306-516/2024
Teisminio proceso Nr. 2-55-3-01406-2022-2
Procesinio sprendimo kategorijos: 2.6.10.2.4.1; 2.6.10.2.4.2; 3.2.6.3; 3.4.1.13.5.5; 3.4.1.13.10.2; 3.4.1.13.10.3
(S)
LIETUVOS APELIACINIS TEISMAS
S P R E N D I M A S
LIETUVOS RESPUBLIKOS VARDU
2024 m. birželio 18 d.
Vilnius
Lietuvos apeliacinio teismo Civilinių bylų skyriaus teisėjų kolegija, susidedanti iš teisėjų Mariaus Bajoro, Rasos Gudžiūnienės (kolegijos pirmininkė ir pranešėja) ir Danguolės Martinavičienės,
teismo posėdyje apeliacine rašytinio proceso tvarka išnagrinėjo civilinę bylą pagal ieškovės (grupės narių atstovės) Asociacijos „Vartotojų aljansas“ apeliacinį skundą dėl Vilniaus apygardos teismo 2024 m. vasario 19 d. tarpinio sprendimo, civilinėje byloje pagal ieškovės Asociacijos „Vartotojų aljansas“ ieškinį atsakovei uždarajai akcinei bendrovei „Prime leasing“ dėl žalos, atsiradusios dėl asmens duomenų apsaugos pažeidimo, atlyginimo grupės nariams.
Teisėjų kolegija
n u s t a t ė :
I. Ginčo esmė
1. Ieškovė Asociacija „Vartotojų aljansas“ kreipėsi į teismą su grupės ieškiniu, prašydama:
1.1. pripažinti, kad atsakovė uždaroji akcinė bendrovė (toliau – ir UAB) „Prime leasing“ neužtikrino asmens duomenų konfidencialumo, vientisumo ir prieinamumo, pažeidė 2016 m. balandžio 26 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinama Direktyva 95/46/EB (toliau – ir BDAR), 32 straipsnio 1 dalies a, b ir d punktų reikalavimus, atlyginti neturtinę žalą kiekvienam grupės nariui, priteisti kiekvienam grupės nariui po 300 Eur neturtinės žalos atlyginimą, iš viso 103 800 Eur;
1.2. atlyginti turtinę žalą grupės nariams ir priteisti iš atsakovės šią turtinę žalą: R. A. – 17,17 Eur, S. A. – 16,89 Eur, R. A. – 17,17 Eur, K. A. – 17,17 Eur, E. B. – 4,09 Eur, I. C. – 22,79 Eur, P. D. – 17,17 Eur, T. J. – 0,28 Eur, T. J. – 17,17 Eur, Ž. K. – 16,89 Eur; T. K. – 14,19 Eur, E. K. – 21,19 Eur, A. K. – 17,17 Eur, A. L. – 4 Eur, A. M. – 17,17 Eur, L. M. – 0,01 Eur, V. M. – 19,17 Eur, T. P. – 16,89 Eur, V. P. – 16,89 Eur, L. R. – 17,17 Eur, I. R. – 16,89 Eur, D. Š. – 32,82 Eur, A. S. – 0,01 Eur, A. S. – 37,64 Eur, E. S. – 17,17 Eur, A. V. – 17,17 Eur, L. Ž. – 17,87 Eur, A. Ž. – 14,19 Eur, G. Ž. – 16,90 Eur;
1.3. įpareigoti atsakovę pervesti visas grupės nariams priteistas turtinės ir neturtinės žalos sumas Asociacijai „Vartotojų aljansas“;
1.4. priteisti grupės narių patirtas bylinėjimosi išlaidas iš atsakovės UAB „Prime leasing“.
2. Nurodė, kad grupę sudaro atsakovės teikiamos paslaugos registruoti vartotojai (fiziniai asmenys), kurie buvo užsiregistravę iki 2018 m. vasario 22 d. ir kurių asmens duomenys buvo paviešinti dėl 2021 m. vasario 16 d. įvykusio duomenų saugumo pažeidimo, už kurį yra atsakinga atsakovė. Visi grupės nariai yra gavę atsakovės pranešimus asmeniškai, kuriais patvirtintas faktas, kad jų asmens duomenys buvo neteisėtai paskleisti, visi grupės nariai turėjo registruotas paskyras „Citybee“ programėlėje (ir (ar) platformoje). Visus šios bylos grupės narius sieja tapačios aplinkybės ir visi grupės nariai patyrė žalą dėl tų pačių neteisėtų atsakovės veiksmų, todėl grupės narių reiškiamas reikalavimas dėl neturtinės žalos atlyginimo, kiekvienam iš grupės narių pripažįstant ir reikalaujant po 300 Eur dydžio neturtinės žalos atlyginimo, atitinka išvadą, kad tokiu būdu – kolektyviniu – reiškiamas grupės narių reikalavimas ir atitinkamai jų pažeistų teisių gynimas yra tikslingesnis ir efektyvesnis būdas išspręsti ginčą.
3. Grupės narių patirta neturtinė žala pasireiškia tapačiomis aplinkybėmis ir kriterijais. Dėl duomenų saugos pažeidimo buvo neteisėtai paviešinti apie 200 000 vartotojų duomenys, tačiau tik grupė vartotojų, laikydami, kad jiems padaryta jų konkrečiai įrodinėjama neturtinė žala, su šiuo grupės ieškiniu kreipėsi į teismą. Grupės nariai, kurie yra įtraukti į galutinį grupės narių sąrašą, patyrė vienodo pobūdžio faktinėmis aplinkybėmis apibūdinamą neturtinę žalą, t. y. grupės nariai yra tie asmenys, kurie patyrė tik tuos išgyvenimus, kurie būdingi kiekvienam grupės nariui, patvirtinusiam tai individualiai raštu (kaip nurodyta kiekvieno nario rašytiniame pareiškime). Nors patys išgyvenimai yra individualizuoti kiekvienam nariui, tačiau reikalavimu priteisti neturtinę žalą kiekvienam grupės nariui kartu prašoma bendrą neturtinės žalos dydį (103 800 Eur) pervesti grupės narių atstovui Asociacijai „Vartotojų aljansas“. Tokio reikalavimo suformavimo grupės ieškinyje Lietuvos Respublikos civilinio proceso kodeksas (toliau – ir CPK) nedraudžia ir tai neprieštarauja neturtinės žalos sampratai, kai neturtinė žala ne tik turi būti individualizuota, bet ir apibūdinta bendrais požymiais, reiškiant grupės ieškinį. Jeigu asmuo patyrė kitokius išgyvenimus, nei nurodyta grupės ieškinyje, tai toks asmuo į grupės narius nėra įtrauktas. Grupės nariai nepatyrė jokių kitų dvasinių sukrėtimų, reputacijos, savivertės ir bendravimo galimybių sumažėjimo nei nurodyta šiame grupės ieškinyje (kaip nurodyta kiekvieno nario rašytiniame pareiškime).
4. Grupės nariai, kurie veikia per jų pasirinktą grupės atstovą, ir per kurį jie įgyvendina savo ieškovų teises ir pareigas, suformulavo reikalavimą, kuris turi visus būtinus grupės ieškinio reikalavimui požymius, t. y. a) žalos reikalavimo teisinį pagrindą sudaro tie patys atsakovės neteisėti veiksmai, dėl kurių kiekvienas iš 346 grupės narių patyrė panašiomis ir tapačiomis aplinkybėmis apibūdinamą ir pagrindžiamą turtinę ir neturtinę žalą, b) visi grupės nariai neturtinę žalą, patirtą individualiu būdu, tačiau apibūdintą tapačiais (panašiais) požymiais, vertina po 300 Eur, c) grupės narių dalis (30 narių) taip pat reiškia reikalavimą dėl kiekvieno iš jų patirtos turtinės žalos dėl 2021 m. vasario 16 d. asmens duomenų apsaugos pažeidimo, už kurį yra atsakinga atsakovė, atlyginimo.
5. Atsakovė 2021 m. vasario 16 d. elektroniniu paštu pranešė savo klientams apie įvykusį duomenų saugumo pažeidimą, kurio metu buvo prarasti ir viešai paskelbti dalies „Citybee“ klientų asmens duomenys. Atsakovė savo elektroniniame laiške klientams pažymėjo, kad viešai yra paskelbti šie asmens duomenys: klientų vardai, pavardės, asmens kodai, telefonų numeriai, elektroninio pašto adresai, gyvenamosios vietos adresai, vairuotojų pažymėjimo numeriai bei užkoduoti slaptažodžiai. Atsakovė tą pačią dieną taip pat pranešė, kad duomenų paskelbimas nepadarys įtakos „Citybee“ klientų finansinių paslaugų saugumui. Atsakovė kartu rekomendavo klientams patiems imtis prevencinių priemonių, siekiant papildomai apsaugoti bendrovės prarastus klientų asmens duomenis.
6. Atsakovės atžvilgiu Valstybinės duomenų apsaugos inspekcijos (toliau – ir VDAI) iniciatyva, atsižvelgus į gautą informaciją, kad buvo paviešinti bendrovės klientų asmens duomenys, įskaitant ir asmens kodus, buvo pradėtas tyrimas. VDAI, tyrimo metu išanalizavusi paviešintus duomenis, priėjo prie išvados, kad be bendrovės nurodytų asmens duomenų, papildomai prarasti ir šie asmens duomenys: mokėjimo kortelės tipas ir paskutiniai 4 jos numerio skaičiai, mokėjimo kortelės galiojimo data, vartotojo identifikatorius Braintree sistemoje (token). VDAI 2021 m. lapkričio 29 d. priėmė sprendimą dėl administracinės baudos UAB „Prime Leasing“ skyrimo. VDAI sprendimas nebuvo apskųstas teismui, todėl galima laikyti, kad atsakovės neteisėti veiksmai yra nustatyti ir konstatuoti VDAI sprendime. Šie neteisėti veiksmai sukėlė grupės nariams neturtinę ir turtinę žalą.
7. Kiekvienas grupės narys pareiškime dėl sutikimo būti grupės nariu raštu nurodė, kad patyrė tapačią (panašią) neturtinę žalą, kaip ir kiti grupės nariai: pergyvenimas ir nerimas dėl savo prarastų asmens duomenų neteisėto praradimo ir galimo perdavimo bei paviešinimo; pergyvenimas ir nerimas dėl galimo pakartotinio neteisėto asmens duomenų perdavimo ar paviešinimo, kadangi asmens duomenis šiuo metu valdo nenustatyti asmenys (kibernetiniai įsilaužėliai) ir duomenys gali būti bet kada neteisėtai perduoti (parduoti) ar viešai paskelbti viename iš kibernetinių įsilaužėlių pamėgtų forumų; pergyvenimas ir nepatogumas dėl bandymų pasinaudoti ir (ar) pasinaudojimo neteisėtai gautais asmens duomenimis, nulaužiant ar (ir) bandant prisijungti prie kitų paskyrų ir naudojamų elektroninių paslaugų; nepatogumus dėl savo paskyrų slaptažodžių keitimo ir (ar) kitų papildomų saugumo priemonių ėmimosi (papildomų paslaugų „Apsaugok savo tapatybę“, „Nenoriu kredito“, „Stop vartojimo kreditams“ užsakymas), užtikrinant asmens duomenų apsaugą, būtent dėl įvykusio asmens duomenų saugumo pažeidimo; nepatogumus dėl asmens duomenų nutekinimo informacijos fakto pranešimo kitiems asmens paslaugų teikėjams (bankams, lizingo bendrovėms, draudikams ar kt.); nepatogumus dėl papildomo srauto trumpųjų žinučių (SMS), elektroninių laiškų ir kitų pranešimų gavimo, įskaitant šiukšles (spam), siekiant išvilioti papildomus asmens duomenis; pasitikėjimo ir saugumo praradimą dėl elektroninių paslaugų naudojimosi ateityje bei kitais panašaus pobūdžio įrankiais.
8. Grupės nariai prašo pripažinti, kad jų patirta neturtinė žala buvo išimtinai nulemta atsakovės neteisėtų veiksmų. Atsakovė, pati siųsdama vienodus elektroninius laiškus visiems klientams dėl jų asmens duomenų apsaugos pažeidimo bei nurodydama, kaip visiems klientams apsisaugoti nuo tolesnių neigiamų pasekmių ir galimos turtinės ir neturtinės žalos išvengimo, pripažino visus turtinę ir neturtinę žalą sudarančius faktorius, kaip reikšmingus, atsiradusius dėl atsakovės neteisėtų veiksmų, susijusių su duomenų saugumo pažeidimu, ir sukeliančius grupės nariams dvasinius išgyvenimus ir nepatogumus dėl jų asmens duomenų pažeidimo. Grupės ieškiniu 30 grupės narių teikia reikalavimus dėl turtinės žalos, kuri pagal savo pobūdį yra panaši: net 80 proc. atvejų grupės nariai, siekdami išvengti neteisėto savo asmens duomenų panaudojimo, keitė savo vairuotojo pažymėjimą, nes atsakovė prarado jų vairuotojo pažymėjimo duomenis; 10 proc. atvejų grupės nariai keitė savo mokėjimo korteles, nes atsakovė prarado jų mokėjimo kortelių duomenis; 7 proc. grupės narių siekė apsaugoti savo prarastus asmens duomenis www.manocreditinfo.lt ir įsigijo paslaugą „Apsaugok savo tapatybę visus metus“, nes dėl atsakovės prarastų asmens duomenų grupės nariai siekė apsaugoti save nuo galimos asmens tapatybės vagystės elektroninėse paslaugose; 1 grupės narė (tai sudaro 3 proc. visų turtinės žalos atvejų), siekdama apsaugoti atsakovės prarastus asmens tapatybės duomenis nuo galimos asmens tapatybės vagystės, pasikeitė savo asmens tapatybės kortelę.
II. Pirmosios instancijos teismo sprendimo esmė
9. Vilniaus apygardos teismas 2024 m. vasario 19 d. tarpiniu sprendimu grupės ieškinį patenkino iš dalies ir pripažino, kad atsakovė UAB „Prime leasing“ neužtikrino asmens duomenų konfidencialumo, vientisumo ir prieinamumo, pažeidė 2016 m. balandžio 26 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB 32 straipsnio 1 dalies a, b ir d punktų reikalavimus; kitas ieškinio dalis atmetė; priteisė iš ieškovės Asociacijos „Vartotojų aljansas“ 2 419,62 Eur bylinėjimosi išlaidų atsakovei UAB „Prime leasing“.
10. Teismas nurodė, kad atsakovė neginčija padaryto BDAR pažeidimo, todėl, vadovaudamasis CPK 268 straipsnio 5 dalimi, surašo sutrumpintus motyvus, nenurodant argumentų, dėl kurių teismas atmeta kuriuos nors įrodymus.
11. Teismas nustatė, kad į bylą pateikti rašytiniai įrodymai, t. y. 2021 m. vasario 26 d. Nacionalinio kibernetinio saugumo centro „Citybee“ kibernetinio incidento ataskaita, VDAI 2021 m. lapkričio 29 d. sprendimas Nr. 3R-(2.13.-1.E), atsakovės Duomenų saugumo pažeidimo vidinio tyrimo ataskaita patvirtina aplinkybes dėl netinkamo asmens duomenų tvarkymo ir BDAR 32 straipsnio 1 dalies a, b, d punktų pažeidimo. VDAI 2021 m. lapkričio 29 d. sprendimu Nr. 3R-(2.13.-1.E) už BDAR 32 straipsnio 1 dalies a, b, d punktų pažeidimus skyrė atsakovei administracinę 110 000 Eur dydžio baudą. Atsakovė sprendimo neginčijo, paskirtą administracinę baudą sumokėjo. Teismas akcentavo, kad administracinės baudos paskyrimas BDAR 83 ir 84 straipsnių pagrindu nesiejamas su individualios žalos buvimu.
12. Teismas nustatė, kad internetiniame forume buvo paviešinti šie „Citybee“ paslaugos naudotojų duomenys: elektroninio pašto adresas, slaptažodžio SHA-1 kontrolinė suma, vardas, pavardė ir asmens kodas. Naktį iš vasario 15 d. į 16 d. tame pačiame internetiniame forume patalpinamas įrašas apie turimus papildomus duomenis, t. y. pilną „Citybee“ duomenų bazę, įskaitant: vairuotojo pažymėjimo numerius, gyvenamosios vietos adresus, telefono numerius.
13. Įvertinęs byloje pateiktus įrodymus, atsakovei neginčijant BDAR pažeidimo, teismas konstatavo, kad atsakovė UAB „Prime leasing“ neužtikrino asmens duomenų konfidencialumo, vientisumo ir prieinamumo, pažeidė BDAR 32 straipsnio 1 dalies a, b ir d punktų reikalavimus, todėl priėmė tarpinį sprendimą, pripažindamas, jog atsakovė pažeidė BDAR 32 straipsnio 1 dalies a, b ir d punktų reikalavimus.
14. Teismas, pasisakydamas dėl ieškovų patirtos neturtinės žalos bendrumo, pažymėjo, kad svarbūs atsakovės į bylą pateikti įrodymai, kurie sudaro pagrindą vertinti, jog ieškovai negalėjo patirti vienodos neturtinės žalos ir jie nėra susiję identiškai tapačiomis aplinkybėmis ar praradimais. Teismas atkreipė dėmesį, kad atsakovė pateikė duomenis, kurie patvirtina, jog iš 346 ieškovų, 282 ieškovų duomenys buvo nutekinti ir kituose (ne tik „Citybee“) internetiniuose tinklalapiuose ir platformose. Teismo nuomone, sprendžiant dėl neturtinės žalos atlyginimo, pateikti įrodymai galėtų būti įvertinti individualiai. Esant tokiai situacijai, kai nutekėjo ieškovų duomenys iš kitų internetinių portalų ir buvo užfiksuoti kiti asmens duomenų pažeidimo atvejai, grupės ieškinio instituto pagalba, teismo nuomone, negali būti įvertintos svarbios aplinkybės, tokios kaip, kiek konkrečiai atskiri asmens duomenų pažeidimai turėjo įtakos neturtinei žalai atsirasti, ar ieškovai gynė savo pažeistas teises, reikšdami reikalavimus kitiems asmens duomenų apsaugos subjektams, ar pažeidimų laikotarpis dubliuojasi, koks asmens duomenų nutekėjimo mastas atskirose internetinėse platformose, ar tie patys duomenys nutekėjo, ar ieškovai atliko slaptažodžių keitimą būtent po nagrinėjamoje byloje nustatyto pažeidimo, ar ir po kitų asmens duomenų nutekinimo atvejų ir kt.
15. Teismas nustatė, kad grupės nariai patirtą neturtinę žalą įrodinėjo ir gautais elektriniais laiškais iš kitų tinklapių: Discord, Twitter, RCI, inbox.lt, Revolut, Amazon, Paypal, DJI, Instagram, Microsoft, Google gmail, ebay Binance, Airbnb, Tripadvisor, Booking.com, Snapcat, Scoro, NordPass, Envato SmuMug, Adobe, Airdroid, Firifox, Udemy, Pinterest, About you, kuriuose buvo pakeisti vartotojų prisijungimo slaptažodžiai. Teismas nurodė, kad įvertinti neturtinės žalos kriterijaus, reiškiant grupės ieškinį, ir nustatyti, kokias bendras pasekmes dėl slaptažodžių pakeitimo bendrai patyrė ieškovai neįmanoma, nes ne visi grupės nariai naudojosi tais pačiais internetiniais tinklalapiais, turėjo asmenines paskyras, ne visų jų prisijungimo slaptažodžiai buvo pakeisti. Todėl aplinkybės ir įrodymai dėl naudojimosi konkrečiais internetiniais tinklalapiais vertintini individualiai. Teismas nurodė, kad, vertinant protingo žmogaus požiūriu, išgyvenimai ir galimi praradimai dėl slaptažodžio pakeitimo, naudojantis internetine platforma Paypal ar Revolut, kurios yra finansinių technologijų įmonės ir elektroninių pinigų įstaigos, iš esmės skirtingi nuo internetinių svetainių Tripadvisor ar Pinterest. Ieškovas, kurio vartotojo prisijungimo slaptažodžiai buvo keisti programoje Paypal ar Revolut ir jam galėjo atsirasti supratimas apie finansines netektis, negali būti prilyginamas tam, kurio vartotojo prisijungimo slaptažodžiai buvo keisti internetiniame tinklalapyje Tripadvisor (internetinė kelionių svetainė) ar Pinterest (nuotraukų dalinimosi socialinis tinklas).
16. Teismo vertinimu, tai, kad dėl neturtinės žalos atlyginimo negali būti priimamas bendras sprendimas visiems grupės nariams, patvirtina ir atsakovės pateikti įrodymai dėl skirtingo ieškovų elgesio po asmens duomenų pažeidimo. Pagal į bylą pateiktus įrodymus iš 346 ieškovų, 13 ieškovų po 2021 m. vasario 15 d. naudojosi „Citybee“ paslaugomis (ieškovai T. B., L. M., A. M., M. K., B. L., T. N., M. V., T. K., K. D., V. J., S. M., V. V., M. R.); 30 ieškovų po 2021 m. vasario 15 d. kreipėsi į „Citybee“, prašydami atnaujinti telefono numerius, vairuotojo pažymėjimus ir banko kortelių duomenis asmeninėse paskyrose. Taigi grupės atstovo nurodytų bendrų elementų pagrindu negalima nustatyti realios neturtinės žalos patyrimo, kadangi negalima minėtų ieškovų sutapatinti su kitais ieškovais, kurie galbūt niekada daugiau nesinaudojo „Citybee“ paslaugomis.
17. Atsižvelgdamas į tai, teismas konstatavo, kad neturtinė žala negali būti nagrinėjama bendrai, priimant bendrą sprendimą visiems grupės nariams dėl žalos atlyginimo. Konstatuoti, kad grupės nariai patyrė visiems bendras pasekmes, nėra pagrindo. Teismo vertinimu, nepatyrus bendrų pasekmių, negali būti priimtas ir bendras sprendimas dėl žalos atlyginimo visiems grupės nariams. Tuo atveju, jei būtų priimamas bendras sprendimas dėl neturtinės žalos atlyginimo visiems grupės nariams, neabejotinai būtų sudarytos prielaidos formaliam neturtinės žalos kriterijų išdėstymui, vienodo dydžio piniginė satisfakcija nebūtų teisinga, būtų iš esmės nukrypstama nuo kasacinio teismo išaiškinimų, kad kiekvienas neturtinės žalos atlyginimo atvejis yra individualus, t. y. kiekvienu atveju asmenys patiria individualius išgyvenimus ir praradimus, kuriuos įrodinėja skirtingomis priemonėmis (CPK 178 straipsnis).
18. Teismas, pasisakydamas dėl atskirų ieškovų prašomos priteisti turtinės žalos, pažymėjo, kad žala negali būti preziumuojama. Vien tik BDAR pažeidimas nesudaro pagrindo atlyginti žalą, todėl negali būti priimamas bendras sprendimas, neįvertinus individualių aplinkybių dėl žalos padarymo. Sprendžiant dėl išlaidų, patirtų dėl banko kortelės, asmens tapatybės kortelės ar vairuotojo pažymėjimo keitimo, pasak teismo, turėtų būti vertinamos kiekvieno iš ieškovų įvardintos konkrečios aplinkybės ir sprendžiama individualiai, vertinami faktai, ar nuostoliai susiję su dokumento ar banko kortelės galimu praradimu, galiojimo termino pasibaigimu, kitomis aplinkybėmis ar su BDAR pažeidimu, nutekėjus asmens duomenims, t. y. susiję su incidentu. Žalos faktas turi būti įrodinėjamas vykstant įrodinėjimo procesui, kai pateikiami, tiriami ir vertinami įrodymai, nustatant konkrečiai bylai reikšmingas aplinkybes, t. y. įsitikinama, ar tikrai viena ar kita aplinkybė egzistavo ar egzistuoja (CPK 178, 183 straipsniai).
19. Atsižvelgdamas į tai, teismas grupės ieškinio reikalavimą priimti bendrą sprendimą visiems grupės nariams ir atlyginti neturtinę ir turtinę žalą kiekvienam grupės nariui, priteisiant kiekvienam grupės nariui po 300 Eur neturtinės žalos, iš viso 103 800 Eur bei atlyginti turtinę žalą atmetė.
20. Teismas pažymėjo, kad įsiteisėjus tarpiniam sprendimui, spręstina dėl grupės ieškinyje reiškiamų individualaus pobūdžio turtinių grupės narių reikalavimų (CPK 4419 straipsnio 3 dalis). Reikalavimai dėl žalos atlyginimo konkrečiam ieškovui spręstini ginčo teisenos tvarka, ieškovams kreipiantis į teismą dėl žalos atlyginimo individualiai, o ne pagal grupės ieškinį. Teismo vertinimu, toks bylos virsmas nepažeis ieškovų interesų, nes kiekvienas turės galimybę apsispręsti dėl teisės reikšti individualų ieškinį.
III. Apeliacinio skundo ir atsiliepimo į jį argumentai
21. Ieškovė (grupės narių atstovė) Asociacija „Vartotojų aljansas“ apeliaciniu skundu prašo Vilniaus apygardos teismo 2024 m. vasario 19 d. tarpinį sprendimą panaikinti ir priimti naują tarpinį sprendimą: 1) pripažinti, kad atsakovė UAB „Prime leasing“ neužtikrino asmens duomenų konfidencialumo, vientisumo ir prieinamumo, pažeidė BDAR 24 straipsnio 1 dalies, 32 straipsnio 1 dalies a, b ir d punktų ir 5 straipsnio 1 dalies e ir f punktų reikalavimus, taip pat padarė Lietuvos Respublikos civilinio kodekso (toliau – CK) 6.246 straipsnio ir Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ADTAĮ) 3 straipsnio pažeidimus, atlyginti kiekvienam grupės nariui po 300 Eur neturtinės žalos, iš viso 103 500 Eur; 2) perduoti 28 grupės narių individualius reikalavimus atlyginti turtinę žalą: R. A. – 17,17 Eur; S. A. – 16,89 Eur; R. A. – 17,17 Eur; A. A. – 3,44 Eur; K. A. – 17,17 Eur; E. B. – 4,09 Eur; I. C. – 22,79 Eur; P. D. – 17,17 Eur; T. J. – 0,28 Eur; T. J. – 17,17 Eur; Ž. K. – 16,89 Eur; T. K. – 14,19 Eur; E. K. – 21,19 Eur; A. K. – 17,17 Eur; A. L. – 4 Eur; A. M. – 17,17 Eur; L. M. – 0,01 Eur; V. M. – 19,17 Eur; T. P. – 16,89 Eur; V. P. – 16,89 Eur; L. R. – 17,17 Eur; I. R. – 16,89 Eur; D. Š. – 32,82 Eur; A. S. – 0,01 Eur; A. S. – 37,64 Eur; E. S. – 17,17 Eur; A. V. – 17,17 Eur; L. Ž. – 17,87 Eur; A. Ž. – 14,19 Eur; G. Ž. – 16,90 Eur nagrinėti iš naujo pirmosios instancijos teismui po tarpinio sprendimo įsiteisėjimo; 3) įpareigoti atsakovę pervesti visas grupės nariams priteistas sumas Asociacijai „:Vartotojų aljansas“; 4) priteisti bylinėjimosi išlaidas. Apeliacinis skundas grindžiamas šiais pagrindiniais argumentais:
21.1. Lietuvos Aukščiausiasis Teismas yra pripažinęs, kad grupės ieškinys yra galimas dėl grupės narių turtinių reikalavimų nagrinėjimo (turtinės ir neturtinės žalos atlyginimo) ir netgi patenkinimo. Be to, grupės ieškinio koncepcijos, patvirtintos Lietuvos Respublikos Vyriausybės 2011 m. liepos 13 d. nutarimu Nr. 885, 16 ir 18 punktuose aiškiai įvardijama, kad grupės ieškiniu turi būti sudaryta galimybė reikšti įvairaus pobūdžio reikalavimus, taip pat ir grupės ieškinius dėl piniginių reikalavimų priteisimo, žalos priteisimo ir pan. Vieninteliai ribojimai – tai kiekybinis reikalavimas (grupės narių skaičius) ir bendrumo požymis (grupės narius turėtų sieti tapatūs materialiniai teisiniai santykiai ir bendras suinteresuotumas bylos baigtimi), tai šiuo atveju yra visiškai tenkinama. Tarpiniu sprendimu teismas paneigė galimybę grupės nariams apginti savo interesus grupės ieškinio procese reiškiant turtinio pobūdžio grupės narių reikalavimus.
21.2. Grupės nariai, kurie buvo įtraukti į galutinį grupės narių sąrašą, nurodė ir patvirtino, kad patyrė vienodo pobūdžio ir (ar) panašaus pobūdžio faktinėmis aplinkybėmis apibūdinamą neturtinę žalą (pažeidimo sukeltas pasekmes). Neturtinės žalos turinys buvo atskleistas kiekvienam grupės nariui tiksliai įvardijant, kuo pasireiškė kiekvieno grupės nario individualūs išgyvenimai, nepatogumai, nerimas ir dvasiniai pergyvenimai dėl kiekvieno iš jų patirto asmens duomenų saugumo pažeidimo (kaip nurodyta kiekvieno nario rašytiniame pareiškime, pridėtame prie grupės ieškinio). Tarp kitų pasekmių, kurias nurodo grupės nariai savo pareiškimuose, yra ir nuogąstavimai, kad tretieji asmens gali piktnaudžiauti jo asmens duomenimis. Pirmosios instancijos teismas šioje byloje neįvykdė teisminės valdžios funkcijos ir atmetė grupės narių reikalavimą dėl neturtinės žalos priteisimo kiekvienam iš grupės nariui ne dėl to, kad negalėjo įvertinti grupės narių patirtos neturtinės žalos ar kad ši žala yra nereali, o dėl to, jog neatliko teisminės funkcijos ir laikė, kad negali jos atlikti grupės ieškinio procese. Jeigu turtinio pobūdžio reikalavimai dėl neturtinės žalos atlyginimo pagal CPK galėtų būti reiškiami tik kaip individualūs ieškiniai, tai tokių reikalavimų formulavimas grupės ieškinyje (kaip teisių gynimo būdas) būtų aiškiai ribojamas įstatymu ir grupės ieškiniai dėl neturtinės žalos atlyginimo negalėtų būti priimami. Tokių ribojimų įstatymas nenumato ir teismų praktika tai patvirtina.
21.3. Jeigu teismas nustatytų, kad nors vienas grupės narys neturtinės žalos nepatyrė, tai teismas tokius motyvus gali nurodyti ne tik individualiuose sprendimuose, bet ir tarpiniame sprendime bei pasisakyti, kurie grupės nariai nepatyrė neturtinės žalos. Šioje byloje teismas iš viso atsisakė vertinti byloje pateiktus grupės narių įrodymus.
21.4. Atsakovė įrodinėjo, kad ne visi grupės nariai patyrė identiškus išgyvenimus, kurie yra įvardyti kiekvieno iš grupės narių pareiškimuose dėl sutikimo būti grupės nariu, nes dalis grupės narių toliau naudojosi atsakovės „Citybee“ paslauga; dalis grupės narių patyrė anksčiau duomenų nutekėjimo ir neteisėto paviešinimo incidentus; dalis grupės narių po šio asmens duomenų saugumo pažeidimo toliau bendravo su atsakove (prašė pakeisti „Citybee“ paskyros atskirus duomenis). Atsakovės nuomone, tai turėjo nulemti, kad dalies grupės narių patirta neturtinė žala yra mažesnė, nei ją prašė nustatyti grupės nariai. Pirmosios instancijos teismas iš dalies atkartojo atsakovės argumentus dėl tariamo skirtingo dalies grupės narių neturtinės žalos turinio, tačiau net ir tą pripažinęs, jokio neturtinės žalos atlyginimo, kaip materialinės formos kompensacijos, nė vienam iš grupės narių nepriteisė. Nesutinka, kad dalis grupės narių patyrė kitokio pobūdžio neturtinę žalą. Net jei dalies grupės narių neturtinės žalos kriterijai nėra identiški, o panašūs, arba dalies grupės narių pateiktų rašytinių įrodymų yra daugiau, nei kitų, tai nereiškia, jog teismas negali nustatyti teisingo ir sąžiningo kiekvieno grupės nario patirtos neturtinės žalos pobūdžio ir dydžio. Nėra skirtumo tarp grupės narių, kurie po asmens duomenų saugumo pažeidimo liko atsakovės vartotojais ir kurie neliko. Šie faktai nelemia skirtingo grupės narių patirtos žalos dėl pažeidimo pasekmių realumo ar žalos dydžio, kadangi pati atsakovė pripažino ir kiek vėliau po incidento pranešė, kad ėmėsi papildomų saugumo priemonių dėl asmens duomenų saugos.
21.5. Tai, kad dalis grupės narių anksčiau buvo patyrę asmens duomenų saugumo pažeidimą (pažeidimus), taip pat neleidžia tų grupės narių patirtos neturtinės žalos dydžio sumažinti ar nuvertinti. Aplinkybė, kad konkretus grupės narys anksčiau buvo patyręs duomenų saugumo pažeidimą, nereiškia, jog šioje byloje nagrinėjamas pažeidimas dėl to sukėlė mažesnę žalą nukentėjusiems, kurie ir vėl prarado savo asmens duomenų kontrolę dėl atsakovės kaltės. Juo labiau kad nė viename iš atsakovės nurodytų ankstesnių pažeidimų nenutekėjo nė vieno šios grupės nario asmens kodas ir kiti duomenys tokiu mastu, kaip nutekėjo dėl neteisėtų atsakovės veiksmų. Teismas tarpiniame sprendime šio ieškovų atstovo argumento nevertino, o rėmėsi vien tik atsakovės pozicija.
21.6. Nesutinka su teismo argumentu, kad vienodo dydžio satisfakcija grupės nariams nebūtų teisinga. Įstatymas nedraudžia, o teismų praktikoje nėra išaiškinta, kad ieškovai negali patirti vienodo dydžio neturtinės žalos ar reikšti vienodo dydžio reikalavimo dėl neturtinės žalos priteisimo.
21.7. Nors teismas tarpiniame sprendime nurodo, kad kiekvienas iš 346 grupės narių gali reikšti savarankiškus reikalavimus dėl jų patirtos neturtinės žalos atlyginimo ginčo teisenos tvarka, tačiau tarpiniu sprendimu kiekvieno iš grupės nario reikalavimas priteisti po 300 Eur neturtinės žalos atlyginimą buvo atmestas. Tarpiniu sprendimu faktiškai ir realiai teismas užkirto kelią bet kuriam iš grupės narių savarankiškai kreiptis į teismą dėl neturtinės žalos atlyginimo, kadangi teismas jau tokį reikalavimą atmetė.
21.8. Tarpiniu sprendimu pirmosios instancijos teismas neturėjo teisinio pagrindo nenagrinėti 28 grupės narių individualių reikalavimų ir juos atmesti. Tai sudaro esminį CPK 4419 straipsnio 2 ir 3 dalių pažeidimą, išėjimą už ieškinio ribų – CPK 265 straipsnio 2 dalies pažeidimą, tai pripažintina esminiu civilinio proceso teisės normų pažeidimu. Teismas priėmė tarpinį sprendimą ir ieškovų atstovo bendrą reikalavimą patenkino iš dalies. Tačiau tarpiniu sprendimu teismas taip pat nusprendė dėl 28 grupės narių individualių reikalavimų, juos atmesdamas, nors teismas 28 grupės narių individualius reikalavimus dėl turtinės žalos priteisimo turėjo nagrinėti ir spręsti įsiteisėjus tarpiniam sprendimui. Be to, teismas, nors ir nenagrinėjo iš esmės kiekvieno iš 28 narių turtinės žalos pagrįstumo įrodymų, tačiau tuo pačiu priėmė sprendimą šiuos reikalavimus atmesti, o tai lemia, kad 28 grupės nariams, identiškai kaip ir dėl neturtinės žalos atlyginimo reikalavimo, buvo užkirstas kelias reikšti savarankiškus reikalavimus individualiai ginčo teisenos tvarka.
21.9. Teismas tarpiniu sprendimu grupės narių teisių pažeidimą pripažino, tačiau reikalavimus dėl grupės narių neturtinės žalos atlyginimo ir netgi individualius turtinės žalos atlyginimo reikalavimus atmetė dėl to, kad grupės ieškinio proceso tvarka negali tokių reikalavimų nagrinėti. Toks tarpinis sprendimas prieštarauja grupės ieškinio instituto prasmei ir paneigia pačią teisinės gynybos priemonę. Teismui manant, kad jam trūksta duomenų dėl pareikštų reikalavimų pagrįstumo išnagrinėjimo, jis privalėjo būti aktyvus ir tokius įrodymus bei duomenis išreikalauti pats savo iniciatyva.
21.10. Nesutinka su teismo išvadomis dėl bylinėjimosi išlaidų dalies nepriteisimo, taip pat su teismo atliktu atsakovei priteistų bylinėjimosi išlaidų paskirstymu ir įskaitymu. Iš esmės pirmosios instancijos teismas patenkino grupės narių bendrą reikalavimą, motyvuose nurodė, kad ieškovai gali toliau ginti savo pažeistas teises dėl turtinės ir neturtinės žalos priteisimo. Taigi nebuvo pripažinta, kad ieškovai – grupės nariai – į teismą kreipėsi dėl teisių gynimo nepagrįstai, t. y. jų reikalavimai nebuvo patenkinti ne dėl reikalavimų pripažinimo nepagrįstais, o dėl materialinės ir procesinės teisės normų ydingo aiškinimo ir taikymo. Tarpinio sprendimo dalis dėl bylinėjimosi išlaidų ieškovų naudai priteisimo taip pat yra neteisėta.
22. Atsakovė UAB „Prime leasing“ pateikė atsiliepimą į apeliacinį skundą, prašydama skundą atmesti, priteisti bylinėjimosi išlaidas. Atsiliepimas grindžiamas šiais pagrindiniais argumentais:
22.1. Teismas pagrįstai netenkino reikalavimo dėl neturtinės (ir turtinės) žalos priteisimo, nes nebuvo įrodytas bendras tokio pareikšto reikalavimo pagrindas, t. y. nenustatytos aplinkybės, kurios patvirtintų, kad visiems ieškovams kilo tapačios pasekmės. Grupės ieškovų nevienija nė viena iš jų ieškinyje nurodytų pasekmių. CPK numato galimybę ginčą nagrinėti grupės ieškinio tvarka tik tuo atveju, jei reikalavimas reiškiamas bendru pagrindu, t. y. jei egzistuoja aplinkybės, kurias galima nustatyti kaip nutikusias visiems grupės nariams. Ieškovai nepagrįstai sutapatino grupės ieškinio institutą su bendraieškių atveju nagrinėjamomis bylomis.
22.2. Apeliantų argumentai dėl teismo nepakankamo aktyvumo nepagrįsti. Nagrinėjant bylą pagal grupės ieškinio taisykles teismui neperkeliamos ieškovų procesinės pareigos. Ši byla nepriskirta tokiai bylų kategorijai, kur teismas privalo rinkti įrodymus savo iniciatyva. Įrodinėjimo pareiga tenka ne teismui, o ieškovams.
22.3. Ieškovams neužkirstas kelias kreiptis į teismą su individualiais ieškiniais. Tarpiniu sprendimu teismas konstatavo atsakovės padarytą pažeidimą (atsakovė to neginčijo), kurio ieškovai neturės atskirai įrodinėti, jeigu kreipsis su individualiu ieškiniu dėl žalos atlyginimo.
22.4. Teismas pagrįstai nusprendė, kad dalis ieškovų prašytų priteisti bylinėjimosi išlaidų nelaikytinos patirtomis išimtinai dėl nagrinėtos civilinės bylos, o ieškovų atstovai kartu su prašymu priteisti bylinėjimosi išlaidas nepateikė priešingų įrodymų. Ieškovai nenurodė nė vieno argumento, patvirtinančio, kad atsakovės patirtos bylinėjimosi išlaidos būtų priteistos nepagrįstai.
Teisėjų kolegija
k o n s t a t u o j a :
IV. Apeliacinės instancijos teismo nustatytos bylos aplinkybės, teisiniai argumentai ir išvados
23. Bylos nagrinėjimo apeliacine tvarka ribas sudaro apeliacinio skundo faktinis ir teisinis pagrindas bei absoliučių teismo sprendimo negaliojimo pagrindų patikrinimas (CPK 320 straipsnio 1 dalis). Apeliacinės instancijos teismas, išnagrinėjęs bylą, absoliučių sprendimo negaliojimo pagrindų, taip pat pagrindo peržengti apeliacinio skundo ribas nenustatė (CPK 320 straipsnio 2 dalis).
Byloje reikšmingos faktinės aplinkybės
24. Byloje nustatyta, kad atsakovė UAB „Prime leasing“ 2021 m. vasario 15 d. elektroniniu laišku informavo grupės narius (ieškovus), jog kibernetiniai nusikaltėliai pavogė ir paviešino dalies „Citybee“ klientų asmens duomenis, t. y. buvo paviešinti trejų metų senumo ir klientų, kurie užsiregistravo iki 2018 m. vasario 22 d., asmens duomenys.
25. Nacionalinio kibernetinio saugumo centro „Citybee“ kibernetinio incidento 2021 m. vasario 26 d. ataskaitoje nurodyta, kad duomenų saugumo pažeidimas tęsėsi nuo 2018 m. vasario 27 d. iki 2021 m. vasario 16 d. Ataskaitos 5.2 punkte nurodyta, kad 2021 m. vasario 15 d. internetiniame forume buvo patalpintas įrašas apie būsimą „Citybee“ duomenų patalpinimą. Duomenys buvo skelbiami su ribota prieiga, t. y. juos galėjo gauti tik užsiregistravę ir sumokėję už juos asmenys. Internetiniame forume buvo paviešinti šie „CityBee“ paslaugos naudotojų duomenys: elektroninio pašto adresas, slaptažodžio SHA-1 kontrolinė suma, vardas, pavardė ir asmens kodas. Naktį iš vasario 15 į 16 dieną tame pačiame internetiniame forume patalpinamas įrašas apie turimus papildomus duomenis, t. y. pilną „Citybee“ duomenų bazę, įskaitant vairuotojo pažymėjimo numerius, gyvenamosios vietos adresus, telefono numerius.
26. Valstybinė duomenų apsaugos inspekcija 2021 m. lapkričio 29 d. sprendimu Nr. 3R-(2.13.-1.E) už BDAR 32 straipsnio 1 dalies a, b, d punktų pažeidimus paskyrė atsakovei administracinę 110 000 Eur dydžio baudą.
27. Ginčas nagrinėjamoje byloje iš esmės kilo dėl tarpinio sprendimo dalies, kuria buvo atmestas grupės ieškinys dėl turtinės ir neturtinės žalos atlyginimo. Apeliantė (grupės narių atstovė) Asociacija „Vartotojų aljansas“, nesutikdama su skundžiamu tarpiniu sprendimu, teigia, kad pirmosios instancijos teismas, atmetęs reikalavimus dėl turtinės ir neturtinės žalos atlyginimo ir jų nenagrinėjęs iš esmės, ne tik paneigė galimybę grupės nariams apginti savo interesus grupės ieškinio procese reiškiant turtinio pobūdžio grupės narių reikalavimus, bet ir užkirto kelią ateityje reikšti savarankiškus reikalavimus individualiai ginčo teisenos tvarka. Įrodinėja, kad nei įstatymas, nei teismų praktika nenumato, jog ieškovai negali patirti vienodo dydžio neturtinės žalos ar reikšti vienodo dydžio reikalavimo dėl neturtinės žalos priteisimo.
28. Teisėjų kolegija, atsižvelgdama į tai, kad ginčo dėl ieškinio reikalavimo pripažinti, jog atsakovė UAB „Prime leasing“ neužtikrino asmens duomenų konfidencialumo, vientisumo ir prieinamumo, pažeidė BDAR 32 straipsnio 1 dalies a, b ir d punktų reikalavimus, nekilo (atsakovė padaryto BDAR pažeidimo neginčijo ir jį pripažino, jai paskirtą administracinę baudą sumokėjo, šios tarpinio sprendimo dalies neskundžia), išsamiau dėl šio reikalavimo nepasisako. Neišeidama už apeliacinio skundo ribų, toliau teisėjų kolegija pasisako tik dėl apeliacinio skundo argumentų, susijusių su turtinės ir neturtinės žalos atlyginimu, (ne)pagrįstumo.
Dėl teisės į žalos atlyginimą
29. BDAR 82 straipsnio 1 dalis nustato, kad bet kuris asmuo, patyręs materialinę ar nematerialinę žalą dėl šio reglamento pažeidimo, turi teisę iš duomenų valdytojo arba duomenų tvarkytojo gauti kompensaciją už patirtą žalą. Duomenų tvarkytojas už dėl duomenų tvarkymo sukeltą žalą atsako tik tuo atveju, jei jis nesilaikė šiame reglamente konkrečiai duomenų tvarkytojams nustatytų prievolių arba jei jis veikė nepaisydamas teisėtų duomenų valdytojo nurodymų arba juos pažeisdamas (BDAR 82 straipsnio 2 dalis).
30. Kaip minėta, ginčo dėl to, kad atsakovė pažeidė BDAR 32 straipsnio 1 dalies a, b, d punktus, byloje nėra, todėl grupės nariai, atstovaujami ieškovės Asociacijos „Vartotojų aljansas“, turi teisę, pateikę teismui įrodymus, reikalauti atlyginti jų patirtą tiek materialinę, tiek ir nematerialinę žalą.
Dėl turtinės žalos atlyginimo
31. CK 6.249 straipsnio 1 dalyje žala apibrėžiama kaip asmens turto netekimas arba sužalojimas, turėtos išlaidos (tiesioginiai nuostoliai), taip pat negautos pajamos, kurias asmuo būtų gavęs, jeigu nebūtų buvę neteisėtų veiksmų.
32. Nustatyta, kad grupės narių atstovė Asociacija „Vartotojų aljansas“ ieškiniu prašė priteisti 28 grupės nariams padarytą turtinę žalą.
33. Pirmosios instancijos teismas, nurodęs, kad dėl grupės narių išlaidų, patirtų dėl banko kortelės, asmens tapatybės kortelės ar vairuotojo pažymėjimo keitimo, turėtų būti sprendžiama individualiai, vertinant kiekvieno iš ieškovų nurodytas konkrečias aplinkybes, taip pat vertinant, ar nuostoliai yra susiję su dokumento ar banko kortelės galimu praradimu, galiojimo termino pasibaigimu ar su BDAR pažeidimu, nutekėjus asmens duomenims, grupės ieškinio reikalavimą atlyginti turtinę žalą atmetė, išaiškinęs, kad reikalavimai dėl žalos atlyginimo konkrečiam ieškovui spręstini ginčo teisenos tvarka, ieškovams kreipiantis į teismą dėl žalos atlyginimo individualiai, o ne pagal grupės ieškinį.
34. CPK 4419 straipsnio 2 dalis nustato, kad tarpinis sprendimas – tai teismo, žodinio proceso tvarka išnagrinėjusio grupės ieškiniu reiškiamus bendrus grupės reikalavimus, priimtas sprendimas, kuris yra bendras visiems grupės nariams ir priimamas tais atvejais, kai grupės ieškinyje reiškiami individualaus pobūdžio turtiniai grupės narių reikalavimai. Individualus sprendimas – teismo, rašytinio proceso (arba teismui nusprendus – žodinio proceso) tvarka ir remiantis įsiteisėjusiu tarpiniu sprendimu išnagrinėjusio kiekvieno grupės nario individualaus pobūdžio turtinį reikalavimą, priimtas sprendimas (CPK 4419 straipsnio 3 dalis).
35. Taigi, remiantis aptartomis CPK 4419 straipsnio 2 ir 3 dalies nuostatomis, darytina išvada, kad kai grupės ieškinio proceso tvarka nagrinėjamoje civilinėje byloje pareiškiamas grupės narių bendras ir individualus turtinis reikalavimas, teismas pirmiausia byloje priima tarpinį sprendimą, kuris yra bendras visiems grupės nariams, ir tik po to, priklausomai nuo tarpinio sprendimo bendro reikalavimo patenkinimo, toliau priima individualius sprendimus dėl kiekvieno iš grupės narių pareikšto individualaus reikalavimo pagrįstumo.
36. Nagrinėjamu atveju pirmosios instancijos teismas priėmė tarpinį sprendimą, patenkinęs bendrą ieškovų (grupės narių) atstovės Asociacijos „Vartotojų aljansas“ reikalavimą, dėl kurio ginčo tarp šalių nekilo, pripažinęs, kad atsakovė UAB „Prime leasing“ neužtikrino asmens duomenų konfidencialumo, vientisumo ir prieinamumo, pažeidė BDAR 32 straipsnio 1 dalies a, b ir d punktų reikalavimus, tačiau tarpiniu sprendimu taip pat nusprendė 28 grupės narių individualius reikalavimus dėl turtinės žalos atlyginimo atmesti, jų net nevertinęs iš esmės, išaiškinęs, jog tokie reikalavimai spręstini ginčo teisenos tvarka, ieškovams kreipiantis į teismą dėl žalos atlyginimo individualiai, o ne pagal grupės ieškinį.
37. Teisėjų kolegija sutinka su apeliantės argumentu, kad tokia pirmosios instancijos teismo tarpinio sprendimo dalis, kuria iš esmės buvo nenagrinėti ir atmesti grupės narių individualūs reikalavimai dėl turtinės žalos atlyginimo priteisimo, yra neteisėta ir prieštaraujanti CPK 4419 straipsnio nuostatoms, pagal kurias, kaip jau buvo minėta, teismas, tarpiniu sprendimu išsprendęs bendrą grupės narių reikalavimą, toliau toje pačioje byloje, tarpiniam sprendimui įsiteisėjus, sprendžia kiekvieno grupės nario individualaus pobūdžio turtinius reikalavimus, priimdamas dėl kiekvieno nario individualų sprendimą. Be to, pažymėtina ir tai, kad, nepaisant pirmosios instancijos teismo motyvuojamojoje dalyje pateikto išaiškinimo, jog kiekvienas grupės narys turi teisę dėl žalos atlyginimo kreiptis individualiai, pareiškiant ieškinius ginčo teisenos tvarka, o ne pagal grupės ieškinį, tuo pačiu tarpiniu sprendimu reikalavimus dėl turtinės žalos atlyginimo teismas atmetė, tokiu būdu juos išspręsdamas iš esmės ir faktiškai užkirsdamas kelią bet kuriam iš grupės narių savarankiškai kreiptis į teismą dėl turtinės žalos atlyginimo priteisimo, nes CPK 293 straipsnio 1 dalies 3 punktas nustato, kad antrą kartą kreiptis į teismą tuo pačiu teisiniu pagrindu ir su tuo pačiu materialiniu reikalavimu negalima. Teisėjų kolegija pažymi, kad nagrinėjamu atveju pirmosios instancijos teismas, priimdamas tarpinį sprendimą, turėjo ne atmesti grupės narių ieškinio reikalavimus dėl turtinės žalos atlyginimo, o, tarpiniam sprendimui įsiteisėjus, toliau nagrinėti kiekvieno grupės nario individualaus pobūdžio turtinius reikalavimus ir priimti individualų sprendimą, kaip tai įtvirtina prieš tai aptarta CPK 4419 straipsnio 3 dalies nuostata.
38. Atsižvelgiant į tai, skundžiama pirmosios instancijos teismo tarpinio sprendimo dalis, kuria buvo atmesti grupės narių reikalavimai dėl turtinės žalos atlyginimo, jų iš esmės net nevertinus, naikinama, perduodant šią ieškinio dalį pirmosios instancijos teismui nagrinėti iš naujo (CPK 326 straipsnio 1 dalies 4 punktas).
Dėl neturtinės žalos atlyginimo
39. CK 6.250 straipsnio 1 dalyje neturtinė žala apibrėžiama kaip asmens fizinis skausmas, dvasiniai išgyvenimai, nepatogumai, dvasinis sukrėtimas, emocinė depresija, pažeminimas, reputacijos pablogėjimas, bendravimo galimybių sumažėjimas ir kita, teismo įvertinti pinigais. CK 6.250 straipsnio 2 dalyje įtvirtinti bendrieji kriterijai, į kuriuos visais atvejais atsižvelgia teismas, nustatydamas neturtinės žalos dydį: neturtinės žalos padariniai, šią žalą padariusio asmens kaltė, jo turtinė padėtis, padarytos turtinės žalos dydis bei kitos turinčios reikšmės bylai aplinkybės, taip pat sąžiningumo, teisingumo ir protingumo kriterijai. Kadangi neturtinės žalos dydį pagrindžiančių kriterijų sąrašas nebaigtinis, o kiekvienu konkrečiu atveju pažeidžiama skirtinga įstatymo saugoma teisinė vertybė ir neturtinė žala patiriama individualiai, tai teismas turėtų spręsti dėl materialios kompensacijos už patirtą neturtinę žalą dydžio, aiškindamasis ir vertindamas individualias bylai svarbias neturtinės žalos padarymo aplinkybes ir kitus faktus, reikšmingus nustatant tokio pobūdžio žalos dydį, atsižvelgdamas į įstatyme bei teismų praktikoje įtvirtintus ir teismo šiuo konkrečiu atveju reikšmingais pripažintus kriterijus, į kurių visumą įeina ir aplinkybės, dėl kurių neturtinės žalos atlyginimo dydis gali būti nustatytas ir mažesnis už reikalaujamą (Lietuvos Aukščiausiojo Teismo 2009 m. vasario 13 d. nutartis civilinėje byloje Nr. 3K-3-26/2009; 2023 m. birželio 29 d. nutartis civilinėje byloje Nr. e3K-3-196-421/2023, 32 punktas).
40. Nagrinėjamu atveju pirmosios instancijos teismas, atmetęs grupės narių ieškinio reikalavimą dėl neturtinės žalos atlyginimo, nurodė, kad ieškovai negalėjo patirti vienodos neturtinės žalos, nes jie nėra susiję identiškai tapačiomis aplinkybėmis ar praradimais, konstatavo, jog nepatyrus bendrų pasekmių negali būti priimtas bendras sprendimas dėl žalos atlyginimo visiems grupės nariams. Tokios išvados pirmosios instancijos teismas priėjo įvertinęs atsakovės pateiktus duomenis apie tai, kad iš 346 ieškovų, 282 ieškovų duomenys buvo nutekinti ir kituose (ne tik „Citybee“) internetiniuose tinklalapiuose ir platformose, dėl to pirmosios instancijos teismas nusprendė, jog negalima įvertinti, kiek konkrečiai atskiri asmens duomenų pažeidimai turėjo įtakos neturtinei žalai atsirasti, ar ieškovai gynė savo pažeistas teises, reikšdami reikalavimus kitiems asmens duomenų apsaugos subjektams, ar pažeidimų laikotarpis dubliuojasi, koks asmens duomenų nutekėjimo mastas, ar nutekėjo tie patys duomenys ir kt., taip pat įvertino tai, kad dalis ieškovų po 2021 m. vasario 15 d. įvykusi pažeidimo ir toliau naudojosi „Citybee“ paslaugomis.
41. Teisėjų kolegija sutinka su pirmosios instancijos teismu, kad, remiantis prieš tai aptarta kasacinio teismo praktika, kiekvienas neturtinės žalos atlyginimo atvejis yra individualus, t. y. kiekvienu atveju asmenys patiria individualius išgyvenimus ir praradimus, tačiau nagrinėjamu atveju ieškovų grupė, inicijuodama ginčą ir teikdama grupės ieškinį, juo apibrėžė ir ginčo ribas, nusprendusi dėl asmens duomenų nutekinimo iš „Citybee“ platformos prašyti atlyginti kiekvienam po 300 Eur neturtinės žalos, nurodę, kuo pasireiškė jų patirta neturtinė žala: pergyvenimu ir nerimu dėl asmens duomenų neteisėto praradimo ir (ar) galimo perdavimo bei paviešinimo; pergyvenimu ir nerimu dėl galimo pakartotinio neteisėto asmens duomenų perdavimo ar paviešinimo, kadangi asmens duomenis šiuo metu valdo nenustatyti asmenys (kibernetiniai įsilaužėliai) ir duomenys gali būti bet kada neteisėtai perduoti (parduoti) ar viešai paskelbti viename iš kibernetinių įsilaužėlių pamėgtų forumų; pergyvenimu ir (ar) nepatogumu dėl bandymų pasinaudoti ir (ar) pasinaudojimo neteisėtai gautais asmens duomenimis, nulaužiant ar (ir) bandant prisijungti prie kitų paskyrų ir naudojamų elektroninių paslaugų; nepatogumu dėl paskyrų slaptažodžių keitimo ir (ar) kitų papildomų saugumo priemonių ėmimosi; pasitikėjimo ir saugumo praradimu dėl elektroninių paslaugų naudojimosi ateityje bei kitais panašaus pobūdžio įrankiais.
42. Taigi nepaisant pirmosios instancijos teismo skundžiamame sprendime nurodytų išskirtinių aplinkybių, kaip minėta, susijusių su tuo, kad dalies grupės narių duomenys buvo nutekinti ir kituose internetiniuose tinklalapiuose ir platformose (pvz., Paypal, Revolut, Pinterest, Twitter, Amazon, ebay, Instagram, Microsoft, Google gmail ir kt.), jog dalis grupės narių ir toliau po padaryto pažeidimo naudojasi „Citybee“ paslaugomis ir pan., pažymėtina, jog reikalavimo dėl neturtinės žalos atlyginimo ieškovai nereiškė remdamiesi paminėtomis išskirtinėmis aplinkybėmis. Prašydami priteisti kiekvienam vienodo dydžio neturtinę žalą, grupės nariai nurodė ir patvirtino, kad jie patyrė vienodo ir (ar) panašaus pobūdžio padaryto pažeidimo sukeltas pasekmes. Neturtinės žalos turinys buvo atskleistas kiekvienam grupės nariui aiškiai įvardijant, kuo pasireiškė kiekvieno iš jų patirti individualūs išgyvenimai, nepatogumai, nerimas ir dvasiniai pergyvenimai dėl patirto konkretaus pažeidimo – asmens duomenų neteisėto paviešimo „Citybee“ platformoje, patirtus nepatogumus ir dvasinius išgyvenimus (neturtinę žalą) įvertinant konkrečia pinigų suma. Teisėjų kolegija sutinka su apeliantės argumentu, kad net jei dalies grupės narių neturtinės žalos kriterijai nėra identiški, o panašūs, arba dalies grupės narių pateiktų rašytinių įrodymų yra daugiau, nei kitų, tai nereiškia, jog teismas negali nustatyti teisingo ir sąžiningo kiekvieno grupės nario patirto neturtinės žalos pobūdžio ir dydžio, įvertinęs tiek pažeidimo pobūdį, tiek ieškovų (grupės narių) nurodytas jiems dėl konkretaus pažeidimo kilusias neigiamas pasekmes, kuriomis jie visi bendrai apibrėžia savo individuliai patirtos neturinės žalos kriterijus.
43. Teisėjų kolegija pažymi, kad, priešingai nei nusprendė pirmosios instancijos teismas, dalies grupės narių patirti kiti asmens duomenų pažeidimai kitose interneto platformose, nepaisant to, buvo reikšti turtinio pobūdžio reikalavimai dėl tų pažeidimų ar ne, nutekėjo tie patys duomenys ar kiti, buvo keisti slaptažodžiai ir prisijungimo duomenys ar ne, naudojasi ieškovai atsakovės paslaugomis toliau ar ne ir pan., nepaneigia to, kad kiekvienas grupės narys dėl jo asmens duomenų saugumo pažeidimo „Citybee“ platformoje patyrė neturtinę žalą, t. y. atsakovės bei pirmosios instancijos teismo nurodyti argumentai nepaneigia, jog dėl ginčo incidento ieškovai yra patyrę neturtinę žalą. Nors pripažįstamas pagrįstu pirmosios instancijos teismo argumentas, kad išgyvenimai ir galimi praradimai bei nepatogumai dėl slaptažodžio pakeitimo, naudojantis internetine platforma Paypal ar Revoliut, kurios yra finansinių technologijų įmonės ir elektroninių pinigų įstaigos, gali būti didesni, nei internetinių svetainių Tripadvisor (internetinė kelionių svetainė) ar Pinterest (nuotraukų dalinimosi socialinis tinklas), tačiau, nepaisant to, visi grupės nariai pasirinko savo neturtinę žalą įvertinti tokia pačia pinigų suma ir prašyti priteisti po 300 Eur kiekvienam, atskirai neįrodinėdami, kad patyrė didesnius dvasinius išgyvenimus ir nepatogumus dėl poreikio keisti finansinių technologijų įmonių prisijungimo duomenis. Skirtumas tarp grupės narių, kurie po asmens duomenų saugumo pažeidimo liko atsakovės vartotojais ir kurie neliko, kad dalies duomenys buvo nutekinti ir anksčiau, teisėjų kolegijos vertinimu, neįrodo, jog šioje byloje nagrinėjamas pažeidimas dėl to sukėlė (galėjo sukelti) mažesnę žalą, kartu nepaneigia ir to, kad kiekvienas grupės narys dėl asmens duomenų saugumo pažeidimo „Citybee“ platformoje patyrė (galėjo patirti) tokią pat neturtinę žalą arba kad tie grupės nariai, kurių patirta neturtinė žala galbūt yra didesnė už kitų grupės narių, neturi teisės reikšti reikalavimo tik dėl tokio neturtinės žalos dydžio, kurį apibūdina visiems grupės nariams bendri kriterijai. Kaip jau buvo minėta, nė vienas iš ieškovų (grupės narių) negrindė patirtos neturtinės žalos išskirtinėmis aplinkybėmis (asmens duomenų nutekinimu kitose interneto platformose, atsakovės teikiamų paslaugų nebesinaudojimu ir pan.), todėl pirmosios instancijos teismo sprendimas neturtinę žalą vertinti individualiai ir tuo pagrindu reikalavimą dėl neturtinės žalos priteisimo atmesti yra nepagrįstas.
44. Teisėjų kolegija taip pat pažymi tai, kad pirmosios instancijos teismas, atmetęs ieškinio reikalavimą dėl neturtinės žalos atlyginimo, nepripažino, jog kuris nors grupės narys apskritai nepatyrė neturtinės žalos ar kad neturi teisės į tokios žalos atlyginimą. Priešingai, pirmosios instancijos teismo esminis motyvas atmetant reikalavimą dėl neturtinės žalos atlyginimo buvo tas, kad, įvertinus prieš tai paminėtas byloje nustatytas išskirtines aplinkybes (nurodytas šio sprendimo 40 punkte), nėra galimybės nustatyti patirtos neturtinės žalos dydžio, todėl grupės nariai reikalavimus dėl neturtinės žalos atlyginimo turi teisę reikšti ginčo teisenos tvarka, ieškovams kreipiantis į teismą dėl žalos atlyginimo individualiai, o ne pagal grupės ieškinį.
45. Kaip jau buvo minėta šio sprendimo dalyje, pasisakant dėl reikalavimo priteisti turtinės žalos atlyginimą atmetimo nepagrįstumo, taip ir šiuo atveju pirmosios instancijos teismas, priimdamas tarpinį sprendimą, turėjo ne atmesti grupės narių ieškinio reikalavimus dėl neturtinės žalos atlyginimo, o, tarpiniam sprendimui įsiteisėjus, toliau nagrinėti kiekvieno grupės nario individualaus pobūdžio turtinius reikalavimus ir priimti individualų sprendimą (CPK 4419 straipsnio 2-3 dalys) (detaliau apie tarpinio ir individualaus sprendimo priėmimą žr. šio sprendimo 34-35, 37 punktus). Teisėjų kolegijos vertinimu, tokia pirmosios instancijos teismo tarpinio sprendimo dalis, kuria grupės narių reikalavimai dėl neturtinės žalos atlyginimo buvo atmesti, iš esmės motyvuojant tuo, kad nėra galimybės nustatyti kiekvieno iš grupės narių patirtos neturtinės žalos dydžio, yra neteisėta, todėl naikintina. Kita vertus, priešingai nei turtinės žalos atveju, kurios pirmosios instancijos teismas nevertino visiškai, reikalavimas dėl neturtinės žalos atlyginimo gali būti įvertinas ir išspręstas apeliacinės instancijos teisme, negrąžinant bylos šioje dalyje nagrinėti pirmosios instancijos teismui iš naujo.
46. Teisėjų kolegijos vertinimu, grupės narių reikalaujama atlyginti neturtinė žala – po 300 Eur kiekvienam grupės nariui, atsižvelgiant į padaryto pažeidimo bei nutekintų (išviešintų) asmens duomenų pobūdį (vardai, pavardės, asmens kodai, gyvenamosios vietos adresai, vairuotojo pažymėjimų numeriai ir kt.) bei įvertinus kiekvieno iš grupės narių nurodytas jų dėl pažeidimo (neteisėto asmens duomenų paviešinimo) patirtas neigiamas pasekmes, susijusias su išgyvenimais, dvasiniais nepatogumais, nesaugumo jausmu dėl asmens duomenų neteisėto praradimo bei galimo jų neteisėto paviešinimo ir (ar) panaudojimo ateityje ir pan., yra pagrįstas, atitinkantis teisingumo, sąžiningumo ir protingumo principus. Atsižvelgiant į tai, skundžiama pirmosios instancijos teismo sprendimo dalis dėl neturtinės žalos atlyginimo atmetimo naikinama ir priimamas naujas sprendimas – ieškovės Asociacijos „Vartotojų aljansas“ (grupės narių atstovės) ieškinio reikalavimas dėl neturtinės žalos atlyginimo priteisimo tenkinamas, priteisiant kiekvienam grupės nariui po 300 Eur neturtinės žalos atlyginimą, iš viso 103 800 Eur (CPK 326 straipsnio 1 dalies 2 punktas).
Dėl bylinėjimosi išlaidų
47. Ginčas nagrinėjamoje byloje kilo ir dėl pirmosios instancijos teismo atlikto šalių bylinėjimosi išlaidų paskirstymo.
48. Pažymėtina, kad tik išsprendus šalių ginčą iš esmės ir priėmus galutinį teismo sprendimą dėl visų pareikštų reikalavimų galimas teisingas visų patirtų bylinėjimosi išlaidų, atsižvelgiant į tenkintų (atmestų) ieškinio reikalavimų dalį, atlyginimo klausimas. Nagrinėjamu atveju panaikinus skundžiamo pirmosios instancijos tarpinio sprendimo dalį dėl turtinės žalos atlyginimo ir šią bylos dalį grąžinus spręsti iš naujo, taip pat naikinama sprendimo dalis dėl bylinėjimosi išlaidų paskirstymo ir šalių tiek pirmosios, tiek ir apeliacinės instancijos teisme patirtų bylinėjimosi išlaidų atlyginimo klausimas paliekamas spręsti pirmosios instancijos teismui, išnagrinėjus ginčą iš esmės (CPK 270 straipsnio 5 dalies 3 punktas).
Lietuvos apeliacinio teismo Civilinių bylų skyriaus teisėjų kolegija, vadovaudamasi Lietuvos Respublikos civilinio proceso kodekso 326 straipsnio 1 dalies 2 punktu, 4 punktu, 331 straipsniu,
n u s p r e n d ž i a :
Vilniaus apygardos teismo 2024 m. vasario 19 d. tarpinio sprendimo dalį, kuria buvo atmestas ieškovės (grupės narių atstovės) Asociacijos „Vartotojų aljansas“ grupės ieškinys dėl neturtinės žalos atlyginimo, panaikinti ir dėl šio reikalavimo priimti naują tarpinį sprendimą – ieškovės (grupės narių atstovės) Asociacijos „Vartotojų aljansas“ grupės ieškinį dėl neturtinės žalos atlyginimo patenkinti ir priteisti kiekvienam grupės nariui iš atsakovės uždarosios akcinės bendrovės „Prime leasing“ (juridinio asmens kodas 302565318) po 300 Eur (tris šimtus eurų) neturtinės žalos atlyginimą, iš viso 103 800 Eur (vieną šimtą tris tūkstančius aštuonis šimtus eurų), pervedant visas neturtinės žalos atlyginimo sumas grupės narių atstovei Asociacijai „Vartotojų aljansas“ (juridinio asmens kodas 302868831).
Vilniaus apygardos teismo 2024 m. vasario 19 d. tarpinio sprendimo dalį, kuria buvo atmestas ieškovės (grupės narių atstovės) Asociacijos „Vartotojų aljansas“ grupės ieškinys dėl turtinės žalos atlyginimo ir sprendimo dalį dėl atsakovei uždarajai akcinei bendrovei „Prime leasing“ priteistų 2 419,62 Eur (dviejų tūkstančių keturių šimtų devyniolikos eurų ir 62 ct) bylinėjimosi išlaidų iš ieškovės Asociacijos „Vartotojų aljansas“, panaikinti ir šias bylos dalis perduoti pirmosios instancijos teismui nagrinėti iš naujo.
Kitą tarpinio sprendimo dalį palikti nepakeistą.
Teisėjai Marius Bajoras
Rasa Gudžiūnienė
Danguolė Martinavičienė