Administracinė byla Nr. eA-4388-968/2020

Teisminio proceso Nr. 3-61-3-02808-2019-3

Procesinio sprendimo kategorija 26

 (S)

 

 

 

 

LIETUVOS VYRIAUSIASIS ADMINISTRACINIS TEISMAS

 

N U T A R T I S

LIETUVOS RESPUBLIKOS VARDU

 

2020 m. gruodžio 9 d.

Vilnius

 

Lietuvos vyriausiojo administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Ryčio Krasausko (pranešėjas), Ramutės Ruškytės ir Skirgailės Žalimienės (kolegijos pirmininkė),

teismo posėdyje apeliacine rašytinio proceso tvarka išnagrinėjo administracinę bylą pagal pareiškėjo M. K. apeliacinį skundą dėl Vilniaus apygardos administracinio teismo 2020 m. balandžio 23 d. sprendimo administracinėje byloje pagal pareiškėjo M. K. skundą atsakovui Valstybinei duomenų apsaugos inspekcijai, tretiesiems suinteresuotiems asmenims uždarajai akcinei bendrovei „Apsaugos komanda“ ir uždarajai akcinei bendrovei „Sergel“ dėl sprendimo panaikinimo.

 

Teisėjų kolegija

 

n u s t a t ė :

 

I.

 

1.       Pareiškėjas M. K. kreipėsi į teismą su skundu, prašydamas: 1) panaikinti atsakovo Valstybinės duomenų apsaugos inspekcijos (toliau – ir Inspekcija) 2019 m. liepos 1 d. sprendimą Nr. 3R-553(2.13-1.) „Dėl M. K. 2019-04-12 skundo“ (toliau – ir Inspekcijos sprendimas, ginčijamas sprendimas); 2) įpareigoti Inspekciją iš naujo išsamiai ištirti pareiškėjo 2019 m. balandžio 12 d. skundą su papildymais.

2.       Pareiškėjas skundą grindė šiais argumentais:

2.1.                      Jis kreipėsi į Inspekciją su 2019 m. balandžio 12 d. skundu dėl to, kad jo asmens duomenis nepagrįstai ir neteisėtai tvarko UAB „Apsaugos komanda“ ir UAB „Sergel“. Inspekcija jo skundą išnagrinėjo paviršutiniškai ir 2019 m. liepos 1 d. priėmė nepagrįstą ir neteisėtą ginčijamą sprendimą. Inspekcijos sprendimas grindžiamas melagingais UAB „Apsaugos komanda“ ir UAB „Sergel“ paaiškinimais. Inspekcija nepagrįstai konstatavo, kad pareiškėjas neinformavo UAB „Apsaugos komanda“ apie tai, jog apmokėjo įsiskolinimą. Pagal 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentą (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – ir BDAR) duomenų valdytojui tenka pareiga įrodyti, kad tvarkant duomenų subjekto duomenis yra laikomasi teisėtumo, sąžiningumo, skaidrumo bei kitų principų (5 str. 1 d.). Inspekcija nepagrįstai perkėlė duomenų tvarkymo teisėtumo įrodinėjimo pareigą duomenų subjektui. Aplinkybę, kad pareiškėjas informavo UAB „Apsaugos komanda“ apie įsiskolinimą, įrodo prie skundo teismui pridėti garso įrašai ir pokalbių išklotinės. Be to, pareiškėjas ir skunde Inspekcijai nurodė, kad skambino UAB „Apsaugos komanda“ du kartus ir informavo apie skolos padengimą, o UAB „Apsaugos komanda“ neigė šią aplinkybę, tačiau šis prieštaravimas liko neaptartas ginčijamame sprendime. Inspekcija rėmėsi trečiųjų suinteresuotų asmenų paaiškinimais, kad pokalbiai nėra įrašomi, nors skambinant jų nurodytais numeriais, klientai informuojami apie pokalbių įrašymą.

2.2.                      Ginčijamu sprendimu iš pareiškėjo (duomenų subjekto) buvo atimta teisė teisėtai reaguoti į situaciją. Tik gavęs pranešimą apie neapmokėtą sąskaitą, pareiškėjas per kelias minutes ją apmokėjo ir informavo apie tai UAB „Apsaugos komanda“. Nepaisant to, jo duomenys buvo perduoti UAB „Sergel“. Taigi, pareiškėjas patyrė neigiamas pasekmes net nepraėjus vienai darbo dienai nuo sužinojimo apie neapmokėtą sąskaitą ir nepaisant to, kad iš karto informavo paslaugos teikėją apie skolos apmokėjimą. Tuo tarpu UAB „Apsaugos komanda“ veiksmai (per 2 dienas užfiksavo mokėjimą ir dar per 14 dienų informavo UAB „Sergel“ apie atliktą mokėjimą) Inspekcijos sprendime įvertinti kaip teisėti. Toks aiškinimas reiškia, kad duomenų subjektas negali apsiginti nuo neigiamų pasekmių – jo duomenų tvarkymo įsiskolinimo valdymo tikslais; duomenų perdavimo tretiesiems asmenims; duomenų perdavimo į jungtines skolininkų duomenų rinkmenas; neigiamo poveikio kreditingumo vertinimui ir galimybei gauti finansines paslaugas; jam gali būti skaičiuojami delspinigiai, skolos administravimo išlaidos ir pan.; patiriamo streso, trukdymo laiškais, skambučiais darbo metu ir pan. Ši situacija patvirtina, kad neigiamos pasekmės kyla net ir pakankamai ilgą laiko tarpą po prievolės įvykdymo.

2.3.                      Atsižvelgiant į tai, kad šioje situacijoje susiklostė ne tik duomenų apsaugos, bet ir civiliniai teisiniai santykiai, BDAR įtvirtinti principai turi būti aiškinami atsižvelgiant ir į Lietuvos Respublikos civiliniame kodekse (toliau – ir CK) įtvirtintus teisingumo, protingumo ir sąžiningumo principus. Nors BDAR nenumato specialių normų, susijusių su asmens duomenų tvarkymu įsiskolinimo valdymo tikslu, tačiau BDAR aiškiai patvirtina bendruosius reikalavimus bet kokiam duomenų tvarkymui. Iki BDAR galiojusioje Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ir ADTAĮ) 21 straipsnio 3 dalyje buvo nustatyta, kad duomenų valdytojas gali teikti skolininkų duomenis tik tuo atveju, jeigu jis duomenų subjektui paštu arba elektroninių ryšių priemonėmis pateikė rašytinį priminimą apie įsipareigojimų neįvykdymą ir per 30 kalendorinių dienų nuo dienos, kurią duomenų valdytojas išsiuntė (pateikė) duomenų subjektui priminimą, nebuvo atlikti atitinkami veiksmai. Taigi duomenų perdavimas skolų išieškojimo įmonei turi atitikti bent šį minimalų standartą (negali būti mažesnės apimties). Šiuo atveju joks pranešimas pareiškėjui nebuvo pateiktas, taip pat nebuvo sudaryta galimybė apsiginti. UAB „Apsaugos komanda“ elgesys buvo nukreiptas į grobuonišką ir nesąžiningą siekį didinti reikalavimo sumą. Pagal iki BDAR įsigaliojimo suformuotą teismų praktiką duomenų subjekto informavimas turi būti realus. Minėta teismų praktika neargumentuotai ginčijamame sprendime pripažinta neaktualia.

2.4.                      UAB „Apsaugos komanda“, pradėdama tvarkyti asmens duomenis pagal BDAR ir ypač pradėdama juos tvarkyti nauju tikslu (t. y. įsiskolinimo valdymo tikslu), kuris nebuvo numatytas 2012 m. sausio 2 d. paraiškoje stebėjimo ir ryšio paslaugoms, turėjo imtis protingų priemonių ir įsitikinti, kad jos turimi ir tvarkomi pareiškėjo asmens duomenys yra tikslūs, taip pat užtikrinti duomenų tvarkymo skaidrumą. Pareiškėjas niekada nedavė sutikimo, kad su juo būtų bendraujama el. paštu. Inspekcijos sprendime nebuvo pasisakyta dėl tokio informavimo pagrįstumo, nebuvo vertinamas informavimo terminas (mažiau nei 24 val.). Ginčijamame sprendime daroma išvada, jog „UAB „Apsaugos komanda“ nėra atsakinga už tai, kad pareiškėjas nesinaudoja nurodytu el. paštu ir apie tai neinformavo bendrovės, o tai reiškia, kad duomenų tikslumo pareiga buvo perkelta duomenų subjektui. UAB „Apsaugos komanda“ galėjo ir turėjo galimybę susisiekti su pareiškėju ir pasitikslinti jo kontaktinius duomenis telefonu.

2.5.                      Inspekcijos sprendime nepasisakyta dėl dalies pareiškėjo 2019 m. balandžio 12 d. skunde ir jo papildyme nurodytų aplinkybių: 1) dėl didesnės (nei informuota) apimties asmens duomenų tvarkymo UAB „Apsaugos komanda“ veikloje; ginčijamame sprendime pasisakyta tik dėl sąskaitų ir atsiskaitymo duomenų, tačiau netirtas nedokumentuotas kitų asmens duomenų tvarkymas (pvz., signalizacijos suveikimo duomenų, saugomų patalpų fotofiksacijų ir kt.); 2) Inspekcija netyrė UAB „Sergel“ neteisėtų, agresyvių ir grobuoniškų veiksmų (UAB „Sergel“ konsultantės reikalavimų ir grasinimų perduoti duomenis tretiesiems asmenims).

3.       Atsakovas Inspekcija atsiliepime prašė pareiškėjo skundą atmesti. Atsakovas atsiliepimą grindė šiais argumentais:

3.1.                      Pareiškėjas skunde teismui nurodė, jog jis informavo UAB „Apsaugos komanda“ apie įsiskolinimo apmokėjimą telefonu, prašė Inspekcijos išreikalauti tai įrodančius pokalbių įrašus. Inspekcija skundo nagrinėjimo metu kreipėsi į UAB „Apsaugos komanda“ su prašymu pateikti šią informaciją, bet ji atsakė, kad pokalbiai nėra įrašomi. Už neteisingos informacijos pateikimą gresia atsakomybė, todėl nebuvo pagrindo netikėti šia pateikta informacija. Taip pat nors pareiškėjas nurodė, jog skambinant telefonu (duomenys neskelbtini) yra skelbiamas pranešimas apie pokalbių įrašymą, tačiau tiek skundo nagrinėjimo Inspekcijoje metu, tiek rengiant atsiliepimą į pareiškėjo skundą, paskambinus minėtu telefono numeriu, informacija, iš kurios būtų galima daryti išvadą apie pokalbių įrašymą, nebuvo teikiama. ADTAĮ 24 straipsnio 6 dalyje nustatyta, kad prie skundo turi būti pridėti turimi dokumentai, reikalingi skundui nagrinėti, ar jų aprašymas. Inspekcija sprendė, kad pareiškėjas su skundu pateikė visą turimą susijusią medžiagą, ir skundą išnagrinėjo remdamasi tiek pareiškėjo, tiek skundžiamų asmenų pateikta informacija.

3.2.                      UAB „Apsaugos komanda“ duomenis UAB „Sergel“ perdavė ne kaip kitam duomenų valdytojui, o kaip UAB „Apsaugos komanda“ įgaliotam duomenų tvarkytojui. BDAR 28 straipsnio 1 dalyje nurodyta, kad kai duomenis tvarko duomenų tvarkytojas, jie yra tvarkomi duomenų valdytojo vardu. BDAR nenumato jokių sąlygų, dėl kurių duomenų valdytojas negalėtų duomenų perduoti duomenų tvarkytojui, tokiam perdavimui nėra keliami jokie reikalavimai, sąlygos, terminai ar pan. Inspekcija tyrimo metu į UAB „Apsaugos komanda“ kreipėsi 2019 m. gegužės 20 d., tai reiškia, kad bendrovės pateiktas išrašas buvo suformuotas dar iki Inspekcijos kreipimosi, todėl nebuvo jokio pagrindo abejoti, ar pateiktame išraše nurodyta jo suformavimo data yra teisinga. Taip pat atsakovo nuomone, šiuo atveju dviejų darbo dienų terminą įvertinti kaip pernelyg ilgą, ir duomenų valdytoją įpareigoti tikslinti duomenis kas valandą ar kelias, būtų neproporcinga. Dviejų savaičių terminas ištaisyti duomenis yra protingas – nuo 2019 m. balandžio 12 d. iki 26 d. buvo devynios darbo dienos, o BDAR nenumato konkrečių terminų, per kuriuos duomenų valdytojas turi ištaisyti netikslius duomenis. Inspekcija bendrų, visiems duomenų valdytojams taikomų terminų taip pat negali nustatyti, kiekvienas atvejis vertinamas individualiai. Šiuo atveju, įvertinusi visas aplinkybes, Inspekcija nustatė, kad UAB „Apsaugos komanda“ tikslumo principo nepažeidė.

3.3.                      Inspekcija nenagrinėjo civilinių santykių, o anksčiau galiojusios ADTAĮ 21 straipsnio 3 dalies nuostatos buvo taikomos tuo atveju, kai skolininkų duomenys buvo teikiami kitam duomenų valdytojui (pvz., skolininko duomenys perduodami kredito biurui, kuris vertina asmens kreditingumą), o ne duomenų tvarkytojui, kaip buvo nagrinėjamu atveju. Nei BDAR, nei šiuo metu galiojančioje ADTAĮ redakcijoje, nei anksčiau galiojusioje ADTAĮ redakcijoje nebuvo nustatyti jokie terminai ir sąlygos, kad duomenų valdytojas galėtų perduoti duomenis duomenų tvarkytojui. Priešingai, ADTAĮ 2 straipsnio 6 dalyje, kurioje buvo apibrėžta duomenų tvarkytojo sąvoka, duomenų tvarkytojas nebuvo laikomas trečiuoju asmeniu.

3.4.                      Ginčijamame sprendime nurodyta, kad pareiškėjas apie duomenų gavėją (UAB „Sergel“) buvo informuotas el. paštu, kurį pareiškėjas pats nurodė pasirašydamas sutartį su UAB „Apsaugos komanda“. Skaidrumo užtikrinimo pagal Reglamentą (ES) 2016/679 gairėse (https://ec.europa.eu/newsroom/article29/item~detail.cfm7itern_id~622227, kurios buvo nurodytos ir pareiškėjui Inspekcijos sprendime) nurodyta, jog kai duomenų tvarkymas jau pradėtas iki 2018 m. gegužės 25 d. (kaip šiuo atveju), duomenų valdytojas turėtų užtikrinti, kad tvarkymas būtų atliekamas pagal skaidrumo prievoles. Tai reiškia, kad iki 2018 m. gegužės 25 d. duomenų valdytojai turėtų peržiūrėti visą informaciją, kuri duomenų subjektams teikiama apie jų asmens duomenų tvarkymą; jeigu informacija pakeičiama ar papildoma, duomenų valdytojai turėtų paaiškinti duomenų subjektams, kad tie pakeitimai buvo padaryti siekiant laikytis BDAR; 29 straipsnio duomenų apsaugos darbo grupė rekomenduoja aktyviai informuoti duomenų subjektus apie tokius pasikeitimus; duomenų valdytojai turi bent viešai paskelbti šią informaciją. Skundo nagrinėjimo metu Inspekcija įvertino minėtas gairių nuostatas, taip pat aplinkybę, jog UAB „Apsaugos komanda“ savo interneto svetainėje skelbia Asmens duomenų tvarkymo politiką, kurioje nurodyta, kad asmens duomenys gali būti atskleisti skolų administravimą vykdantiems ir (arba) jungtines skolininkų rinkmenas tvarkantiems asmenims, todėl Inspekcija nenustatė pagrindo konstatuoti, kad UAB „Apsaugos komanda“, el. paštu informuodama pareiškėją apie jo asmens duomenų tvarkymą (taip pat ir asmens duomenų perdavimą tvarkytojui UAB „Sergel“), pažeidė BDAR nuostatas. Be to, BDAR nenumato duomenų valdytojui prievolės duomenų subjektą informuoti būtent apie konkrečius duomenų gavėjus (nurodyti jų pavadinimus), o gali būti pateikta informacija apie asmens duomenų gavėjų kategorijas (13 str. 1 d. e p.).

4.       Trečiasis suinteresuotas asmuo UAB „Apsaugos komanda“ atsiliepime prašė atmesti pareiškėjo skundą kaip nepagrįstą. Trečiasis suinteresuotas asmuo atsiliepimą grindė šiais argumentais:

4.1.                      UAB „Apsaugos komanda“ perdavė pareiškėjo duomenis, susijusius su jo įsiskolinimu už suteiktas paslaugas, duomenų tvarkytojui UAB „Sergel“, kad šis UAB „Apsaugos komanda“ naudai atliktų reikalingus veiksmus (susisiektų telefonu, paragintų pranešimu), susijusius su įsiskolinimo išieškojimu/atgavimu iš pareiškėjo. Pareiškėjas skunde teismui nenurodė, kokių konkrečiai neigiamų pasekmių jis patyrė dėl to, jog jo asmens duomenys, susiję su jo įsiskolinimu, buvo perduoti UAB „Sergel“.

4.2.                      Pareiškėjas skunde rėmėsi negaliojančios redakcijos ADTAĮ 21 straipsnio 3 dalimi. Nepaisant to, net ir galiojant minėtai nuostatai, duomenų tvarkytojas nebuvo laikomas trečiuoju asmeniu.

4.3.                      UAB „Apsaugos komanda“ internetinėje svetainėje paskelbtoje Asmens duomenų tvarkymo politikoje nurodyta, kad duomenų subjektui uždelsus sumokėti už paslaugas, jo asmens duomenys gali būti atskleisti skolų administravimą vykdantiems ir (arba) jungtines skolininkų rinkmenas tvarkantiems asmenims. Maža to, UAB „Apsaugos komanda“ informavo pareiškėją apie konkretų jo asmens duomenų gavėją, nors BDAR to daryti duomenų valdytojo neįpareigoja. Todėl UAB „Apsaugos komanda“ visiškai nesuprantamas pareiškėjo teiginys, kad jo asmens duomenys UAB „Sergel“ galėjo būti perduoti tik jį tinkamai, o ne formaliai informavus.

4.4.                      BDAR 13 straipsnyje įtvirtinta pareiga duomenų valdytojams siekiama, kad duomenų subjektams būtų atskleista (žinoma) informacija apie surinktų asmens duomenų tvarkymą. To paties straipsnio 4 dalis numato, kad BDAR 13 straipsnio 1, 2 ir 3 dalys netaikomos, jeigu duomenų subjektas jau turi informaciją apie jo duomenų tvarkymą. Tiek iš pareiškėjo skundo Inspekcijai, tiek iš skundo teismui matyti, kad pareiškėjas yra susipažinęs su Asmens duomenų tvarkymo politika, kurioje atskleidžiama (pateikiama) informacija, apibrėžta BDAR 13 straipsnyje.

4.5.                      Duomenų valdytojui nebuvo įtvirtintos prievolės papildomai pateikti duomenų subjektui informaciją apie jau atliekamą jo asmens duomenų tvarkymą, o pranešimas apie pasikeitimus, viešai jį paskelbiant duomenų valdytojo interneto svetainėje, yra tinkamas.

4.6.                      Nei BDAR, nei ADTAĮ nenustato duomenų valdytojui pareigos pasitikslinti el. pašto adresą, kurį jam nurodė pats duomenų subjektas. Skaidrumo ir tikslumo principai, kuriuos duomenų valdytojas privalo užtikrinti tvarkydamas duomenų subjekto asmens duomenis, nereiškia, kad jis turi duomenų subjekto atitinkamos sutarties sudarymo metu nurodytus asmens duomenis primygtinai tikslinti. Tikslumo principas reiškia, kad duomenų valdytojas turi imtis pagrįstų priemonių reikalui esant netikslius duomenis ištaisyti arba ištrinti. Be to, pareiškėjas sutartyje įsipareigojo pranešti apie savo adreso (kuris taip pat laikomas asmens duomenimis) pasikeitimus.

4.7.                      Pareiškėjas savo įrašytų pokalbių Inspekcijai neteikė, o prašė juos išreikalauti iš UAB „Apsaugos komanda“. Pareiškėjo elgesys, kai savo paties įrašytus pokalbius jis teikia tik teismui, yra ne tik neetiškas, pažeidžiantis proceso koncentruotumo principą, bet ir vertintinas kaip piktnaudžiavimas savo teisėmis. Abejonių kelia ir pateiktų įrašų teisėtumas. UAB „Apsaugos komanda“, teikdama paaiškinimus Inspekcijai, rėmėsi atsakingo už klientų įsiskolinimų administravimą darbuotojo (teisininko, kuris šiuo metu nebedirba), bendravusio telefonu su pareiškėju, paaiškinimais. Šio pokalbio įrašo pareiškėjas nepateikė. Minėto darbuotojo teigimu, pareiškėjas telefoninio pokalbio su juo metu pareiškė, kad UAB „Apsaugos komanda“ neturi teisės perduoti duomenų apie jo įsiskolinimą UAB „Sergel“, tačiau savo įsiskolinimo fakto neginčijo ir jam nepranešė, kad skolą padengė ar padengs artimiausiu metu. Apie tai, kad skolą apmokėjo, pareiškėjas turėjo pranešti tam pačiam darbuotojui, su kuriuo ir kalbėjosi apie duomenų perdavimo (ne)teisėtumą. Kita vertus, pareiškėjo įrašytuose pokalbiuose tik užsimenama apie skolos apmokėjimą, tačiau skambučių tikslas buvo išspręsti kitus klausimus (duomenų atnaujinimo, sąskaitos gavimo).

4.8.                      Inspekcija ginčijamu sprendimu įpareigojo UAB „Apsaugos komanda“ peržiūrėti Asmens duomenų tvarkymo politiką, įvertinti, kokie asmens duomenys yra tvarkomi, ir patikslinti minėtą politiką. Šį Inspekcijos nurodymą UAB „Apsaugos komanda“ įvykdė. Nors pareiškėjas teigė, kad jis niekuomet nėra sutikęs su signalizacijos suveikimu susijusių duomenų, taip pat su saugomų patalpų fotofiksacijų tvarkymu, tačiau šių duomenų tvarkymas grindžiamas BDAR 6 straipsnio 1 dalies b punktu, o ne duomenų subjekto sutikimu. Duomenų tvarkymas sutarties su pareiškėju įvykdymo tikslu nepriklauso nuo pareiškėjo (duomenų subjekto) (ne)sutikimo. Pareiškėjo nurodomų duomenų (signalizacijos suveikimo duomenų, saugomų patalpų fotofiksacijos), dėl kurių, pareiškėjo teigimu, Inspekcija nepasisakė, tvarkymas yra būtinas ir neišvengiamas, teikiant pareiškėjui atitinkamą jo užsakytą el. apsaugos paslaugą. El. apsauga, kurią užsakė pareiškėjas, yra toks saugomų patalpų apsaugos būdas, kai UAB „Apsaugos komanda“ darbuotojai imasi sutartyje numatytų reagavimo veiksmų, gavę atitinkamus saugomų patalpų signalizacijos signalus. Tam, kad UAB „Apsaugos komanda“ tokią paslaugą pareiškėjui galėtų suteikti, ji turi gauti (tvarkyti) pareiškėjo patalpose įrengtos signalizacijos perduodamus (siunčiamus) signalus. Be šių duomenų tvarkymo tokių paslaugų teikimas pareiškėjui būtų neįmanomas.

4.9.                      Pareiškėjo teiginys, jog jis niekuomet nesutiko, kad esminiai pranešimai jam būtų siunčiami el. paštu, neturi teisinio pagrindo, nes pagal BDAR 12 straipsnio 1 dalį duomenų valdytojas visą 13 ir 14 straipsniuose nurodytą informaciją duomenų subjektui privalo pateikti raštu arba kitomis priemonėmis, įskaitant, prireikus, ir el. forma. Teisė pasirinkti informacijos pateikimo būdą suteikta duomenų valdytojui. Šiuo atveju duomenų subjekto pageidavimai ir (arba) (ne)sutikimas duomenų valdytojo neįpareigoja.

4.10.                      Nei iki BDAR įsigaliojimo galiojusiame ADTAĮ, nei šiuo metu galiojančiame ADTAĮ ir taikomame BDAR jokių sąlygų, terminų, kada duomenų valdytojas asmens duomenis gali perduoti savo pasitelktam duomenų tvarkytojui, nėra nustatyta.

5.       Trečiasis suinteresuotas asmuo UAB „Sergel“ atsiliepime prašė atmesti pareiškėjo skundą kaip nepagrįstą. Nurodė, kad tarp UAB „Sergel“ ir UAB „Apsaugos komanda“ yra susiklostę duomenų tvarkytojo ir duomenų valdytojo santykiai pagal 2018 m. gegužės 7 d. sudarytą asmens duomenų tvarkymo sutartį, kurios pagrindu duomenų valdytojas perduoda tvarkyti duomenų tvarkytojui UAB „Sergel“ fizinių asmenų asmens duomenis (vardą, pavardę, telefono Nr., el. pašto, gyvenamosios vietos ir (ar) korespondencijos adresą bei apsaugos paslaugų naudojimosi duomenis) įsiskolinimų valdymo (administravimo) ir išreikalavimo tikslais. UAB „Sergel“ asmens duomenų tvarkymo taisyklių 13 punkte numatyta, kad pokalbio su duomenų subjektu įrašas saugomas paslaugų, aptarnavimo, kokybės užtikrinimo, duomenų apsaugos, pokalbio/situacijos vertinimo tikslu ne trumpiau kaip 2 (du) mėnesius ir ne ilgiau kaip 6 (šešis) mėnesius nuo skambučio gavimo ir/ar priėmimo dienos. Todėl nėra galimybės pateikti tarp pareiškėjo ir UAB „Sergel“ galbūt vykusio pokalbio įrašą. UAB „Sergel“ šiuo metu neturi ir netvarko jokių pareiškėjo duomenų (įskaitant ir telefono numerį).

 

II.

 

6.       Vilniaus apygardos administracinis teismas 2020 m. balandžio 23 d. sprendimu pareiškėjo skundą iš dalies tenkino, panaikino Inspekcijos sprendimo dalį, kuria liko neišnagrinėta pareiškėjo skundo dalis dėl UAB „Sergel“ pranešimo, kuriame nurodyta, kad pareiškėjo duomenys gali būti perduoti tretiesiems asmenims, ir įpareigojo dėl šios dalies Inspekciją priimti naują sprendimą, kitą pareiškėjo skundo dalį teismas atmetė kaip nepagrįstą.

7.       Teismas pažymėjo, kad šioje byloje ginčas kilo dėl Inspekcijos sprendimo, kuriuo buvo nuspręsta, jog pareiškėjo asmens duomenis tretieji suinteresuoti asmenys naudojo teisėtai. Pareiškėjas nesutikimą su ginčijamu sprendimu grindžia šiais aspektais: 1) neteisingai nustatytos faktinės aplinkybės, susijusios su informavimu apie skolos padengimą; 2) Inspekcijos sprendime nustatytas neproporcingai trumpas terminas pareiškėjui (duomenų subjektui) sureaguoti į galimą duomenų perdavimą; 3) duomenų subjektui (pareiškėjui) perkeltos duomenų valdytojui taikomos skaidrumo ir duomenų tikslumo pareigos; 4) Inspekcija pasisakė ne dėl visų pareiškėjo skunde keltų reikalavimų.

8.       Teismas rėmėsi Lietuvos Respublikos viešojo administravimo įstatymo 3 straipsniu, 8 straipsnio 1 dalimi, BDAR 5 straipsnio 1 dalies a, b ir e punktais, 28 straipsnio 1, 3 ir 10 dalimis, 13 straipsnio 1 dalies e punktu ir 3 dalimi.

9.       Teismas, vertindamas pareiškėjo skundo teiginius dėl Inspekcijos tyrimo neobjektyvumo ir neišsamumo, apmokėjimo momento bei informavimo, nustatė, kad pareiškėjas su skundu Inspekcijai nebuvo pateikęs pokalbių įrašų ir skunde apie juos neužsiminė, nors turėjo pareigą su skundu pateikti visus turimus įrodymus. Iš pareiškėjo pateiktų duomenų nebuvo galima daryti išvados, kad pareiškėjas tokius įrašus turi. Inspekcijos atsiliepime nurodė, kad pareiškėjo skundo tyrimo metu kreipėsi į UAB „Apsaugos komanda“, kuri paaiškino, jog pokalbiai nėra įrašomi, taip pat paskambinus pareiškėjo nurodytu telefonu, skirtingai nei teigė pareiškėjas, jokia informacija, kurios pagrindu būtų galima daryti išvadą, kad pokalbiai yra įrašomi, nebuvo pateikta. Iš to teismas padarė išvadą, kad Inspekcija, nagrinėdama šią aplinkybę, buvo pakankamai atidi ir rūpestinga, o pareiškėjo turimas įrodymas nebuvo išnagrinėtas dėl jo paties apsisprendimo neteikti jo kartu su skundu. Iš pateiktų pokalbių įrašų teismas nustatė, kad pagrindinis pokalbio, kuriame pareiškėjas užsimena, kad atliko mokėjimą, tikslas ir kontekstas nėra susijęs su informavimu apie skolos sumokėjimą, o yra susijęs su duomenų tikslinimu. Teismas įvertino, jog iš pareiškėjo kalbėjimo būdo negalima daryti išvados, kad jis siekia, jog jo mokėjimas būtų užfiksuotas ir duomenys nebūtų teikiami. Teismas pažymėjo, kad esant tokioms aplinkybėms, būtų neproporcinga reikalauti, jog UAB „Apsaugos komanda“ darbuotojai, kurie nėra tiesiogiai atsakingi už skolos valdymą, iš užuominos imtųsi inicijuoti tam tikras procedūras (vertinant duomenų apsaugos požiūriu). Taip pat teismas pažymėjo, kad įvertinus toliau dėstomus šio sprendimo motyvus, jog apskritai šio ginčo situacijoje teisinis reguliavimas nenustato pareigos duomenų valdytojui kreiptis į duomenų subjektą dėl duomenų perdavimo, aplinkybė, ar pareiškėjas jo nurodytą dieną (2019 m. balandžio 10 d.) informavo duomenų valdytoją apie skolos apmokėjimą, nėra kritiškai svarbi. Skolos padengimo ir informavimo apie tai aplinkybės šiuo atveju svarbios tiek, kiek jos yra susijusios su duomenų tvarkymo principais.

10.       Teismas, pasisakydamas dėl to, ar Inspekcijos sprendime buvo nustatytas per trumpas veikimo terminas, kas pažeidžia BDAR nustatytus aukšto apsaugos lygio teisėtumo, sąžiningumo ir skaidrumo principus bei paneigia su tuo susijusią teismų praktiką, iš pareiškėjo nurodytų argumentų visumos nustatė, kad pareiškėjas remiasi prielaida, jog duomenų subjekto turėtų būti atsiklausiama ir suteikiamas tam tikras terminas pašalinti priežastis prieš perduodant jo asmens duomenis. Teismas įvertino, kad šiuo atveju nėra pagrindo nesutikti, jog Inspekcija padarė teisingą išvadą, kad UAB „Sergel“ laikytina duomenų tvarkytoju, veikiančiu duomenų valdytojo (UAB „Apsaugos komanda“) vardu, kuris duomenis tvarkė pagal BDAR 28 straipsnio 1 ir 3 dalį, t. y. duomenų tvarkymo sutarties pagrindu. Šioje byloje nėra ginčo, kad reikalavimo teisė nebuvo perleista. Šių išvadų pareiškėjas nekritikuoja ir dėl to ginčo nėra. Teisinis reguliavimas nenustato konkretaus termino, per kurį duomenų valdytojas po duomenų subjekto informavimo atitinkamus duomenis galėtų perduoti duomenų tvarkytojui. Šiuo atveju taikytini bendrieji sąžiningumo ir teisėtumo principai, įtvirtinti BDAR 5 straipsnyje. Teismas taip pat nurodė, jog iki 2018 m. gegužės 15 d. galiojusios ADATĮ 21 straipsnio 3 dalies taikymas šioje byloje nėra aktualus, nes minėta įstatymo redakcija jau nebegaliojo, kai tarp šalių susiklostė ginčo materialiniai teisiniai santykiai (duomenys perduoti 2019 m. balandžio 10 d.), be to, atsižvelgiant į tai, kad ginčo atveju duomenys buvo perduoti ne trečiajam asmeniui, o duomenų tvarkytojui, veikiančiam duomenų valdytojo vardu, seniau galiojusios ADTAĮ 21 straipsnio 3 dalies nuostatos ir nebūtų taikomos, nes sistemiškai aiškinant, ADTAĮ 21 straipsnio 3 dalis reguliavo kitus atvejus. Be to, ir tuometinė administracinių teismų praktika aiškiai skyrė trečiojo asmens ir duomenų tvarkytojo skolų valdymo tikslais statusą (žr., pvz., Lietuvos vyriausiojo administracinio teismo 2016 m. birželio 29 d. nutartį administracinėje byloje Nr. A-1174-525/2016). Šiuo aspektu Inspekcija pagrįstai nurodė, kad anksčiau galiojusios ADTAĮ 21 straipsnio 3 dalies nuostatos nėra aktualios.

11.       Teismas, vertindamas, ar duomenų valdytojas elgėsi pagal BDAR 5 straipsnyje įtvirtintus bendruosius duomenų tvarkymo principus, nustatė, jog Inspekcija, priimdama ginčijamą sprendimą, nustatė ir įvertino reikšmingas faktines aplinkybes – kad buvo susidariusi skola; kad po to, kai paaiškėjo, jog skola padengta, duomenys buvo patikslinti. Ginčo atveju susiklostė situacija, kai tarp skolos padengimo (2019 m. balandžio 10 d. 16.10 val. – remiantis pareiškėjo pateiktais duomenimis, kada faktiškai buvo atliktas mokėjimas) ir duomenų perdavimo skolos valdymui (tą pačią dieną 16.50 val.) praėjo labai nedidelis laiko tarpas (mažiau nei viena valanda), kas lėmė, kad jau sumokėtos skolos duomenys pateko pas duomenų tvarkytoją. Teismas sutiko su Inspekcijos išvada, kad įpareigojimas duomenų valdytojui kontroliuoti skolos padengimą valandų, ar tuo labiau, minučių tikslumu, būtų neproporcingas. Inspekcija taip pat nustatė, kad pareiškėjo duomenys vėliau buvo patikslinti (2019 m. balandžio 26 d.). Duomenų patikslinimo terminą atsakovas įvertino kaip protingą. Teismas pažymėjo, kad byloje nėra duomenų apie tai, jog pareiškėjo asmens duomenys būtų panaudoti kokiais nors kitais tikslais. Pareiškėjas nepagrindė, kodėl laiko tarpas, per kurį duomenys buvo patikslinti, negali būti laikomas protingu. Teismas pažymėjo, kad nurodytu laikotarpiu (nuo 2019 m. balandžio 12 d. iki 26 d.) buvo 9 darbo dienos, todėl nėra pagrindo laikyti, jog duomenys patikslinti per sąžiningumo ir teisėtumo principų neatitinkantį terminą. Teismas apibendrino, kad šiuo atveju nenustatyta, jog perduodant duomenis, duomenų valdytojas elgėsi nesąžiningai ir neteisėtai. Todėl teismas įvertino, kad Inspekcija padarė teisingą išvadą, jog duomenys buvo perduoti duomenų tvarkytojui nepažeidžiant sąžiningumo, teisėtumo ir tikslumo principų.

12.       Teismas pažymėjo, kad šioje byloje nenagrinėjamas klausimas dėl su skolos išieškojimu susijusių išlaidų atlyginimo ar dėl kitų civilinių prievolių vykdymo, taip pat galimos UAB „Apsaugos komanda“ ar UAB „Sergel“ civilinės atsakomybės ar kitokių prievolių vykdymo klausimas. Nors pareiškėjas iš dalies apeliuoja į šiuos klausimus, šioje administracinėje byloje nagrinėjamas tik Inspekcijos sprendimo dėl duomenų tvarkymo teisėtumo klausimas. Todėl teismas atmetė pareiškėjo skundo argumentus dėl grobuoniško ar agresyvaus UAB „Apsaugos komanda“ elgesio (galbūt siekiant didinti reikalavimo sumą). Pareiškėjo nurodomos galimos neigiamos pasekmės yra neatitinkančios faktinės situacijos (duomenų perdavimas tretiesiems asmenims ar į jungtines skolininkų duomenų rinkmenas – tokių aplinkybių nenustatyta) arba hipotetinės (skolos padidėjimas, kreditingumo istorijos ir prieigos prie finansinių paslaugų pabloginimas, dėl gaunamų pranešimų patiriamas stresas, kt.), jos tiesiogiai nekyla dėl duomenų perdavimo, yra pernelyg nutolusios. Pavyzdžiui, nepagrįsti pranešimai apie skolą apskritai gali būti laikomi netinkamu paslaugos teikimu ar sutarties vykdymu, ir UAB „Apsaugos komanda“ atsakomybė neišnyksta dėl to, kad ji pasitelkė kitą asmenį veikti jos vardu, tačiau tokios pasekmės nebūtinai atsiranda dėl duomenų teikimo ir tai nėra šios administracinės bylos dalykas.

13.       Teismas pažymėjo, kad pareiškėjo skundo teiginys, jog Inspekcija sprendime nustatė jam per trumpą terminą sureaguoti, nėra teisingas, nes atsakovas minimame sprendime nenustatė jokio termino pareiškėjui. Teismas, pasisakydamas dėl duomenų tvarkymo skaidrumo ir tikslumo, nustatė, kad dėl termino duomenų subjektui sureaguoti Inspekcija pasisakė tik vertindama duomenų teikimo teisėtumą, konstatuodama, jog teisinis reguliavimas įspėjimo termino nenumato. Teismas įvertino, kad dėl šios priežasties informavimo forma (el. paštu) nėra aktuali. Teismas pažymėjo, kad dėl šių pareiškėjo argumentų Inspekcija pasisakė ginčijamame sprendime, todėl atitinkamus pareiškėjo skundo argumentus laikė nepagrįstais.

14.       Teismas pažymėjo, kad pareiškėjas pats pripažino, jog buvo nurodęs UAB „Apsaugos komanda“ el. paštą, kuriuo tam tikrą laiką nesinaudojo. Teismas nesutiko su pareiškėjo vertinimu, kad skolos valdymo tikslas yra naujas. Pareiškėjas, pasirašydamas paslaugų teikimo sutartį, prisiėmė įsipareigojimus laiku apmokėti sąskaitas, taigi toks duomenų naudojimo tikslas yra tiesiogiai susijęs su paslaugų sutarties vykdymu. Inspekcija ginčijamame sprendime iš esmės atsakė į pareiškėjo keliamus klausimus dėl informavimo apie duomenų tvarkymą po BDAR įsigaliojimo. Inspekcija nurodė, kad atskleidimui apie duomenų tvarkymą taikytinas skaidrumo reikalavimas (BDAR 29 str.). Inspekcija pateikė nuorodą į Skaidrumo užtikrinimo pagal Reglamentą (ES) 2016/679 gaires. Pagal šias gaires rekomenduojama aktyviai informuoti duomenų subjektus apie pasikeitimus bent viešai paskelbiant šią informaciją. Atsakovas įvertino, kad UAB „Apsaugos komanda“ savo interneto svetainėje skelbia Asmens duomenų tvarkymo politiką, kurioje nurodyta, jog asmens duomenys gali būti atskleisti skolų administravimą vykdantiems ir (arba) jungtines skolininkų rinkmenas tvarkantiems asmenims, BDAR nenumato duomenų valdytojui prievolės duomenų subjektą informuoti būtent apie konkrečius duomenų gavėjus (nurodyti jų pavadinimus), o gali būti pateikta informacija apie asmens duomenų gavėjų kategorijas (BDAR 13 str. 1 d. e p.). Inspekcija taip pat nurodė, kad įsigaliojus BDAR, įpareigoti duomenų valdytojus iš naujo informuoti duomenų subjektus apie jų duomenų valdymą būtų neproporcinga. Teismas iš skundo Inspekcijai turinio nustatė, kad pareiškėjas yra susipažinęs su paslaugų teikėjo Asmens duomenų tvarkymo politika ir konstatavo, jog pareiškėjas skunde teismui nepateikė argumentų, kodėl su tokiu aiškinimu reikėtų nesutikti.

15.       Teismas nurodė, kad BDAR preambulės 39 punktas ir 5 straipsnio 1 dalies d punktas nustato, jog reikėtų imtis pagrįstų priemonių ir, prireikus, netikslius duomenis ištaisyti arba ištrinti. Teismas pažymėjo, kad skunde Inspekcijai pareiškėjas nekėlė klausimo dėl paslaugų teikėjo pareigos tikslinti jo nurodytą el. pašto adresą, taigi Inspekcija dėl to atskirai ir nepasisakė. Teismas papildomai nurodė, kad tikslumo principas negali būti aiškinamas kaip pareiga ypatingai uoliai rinkti ir atnaujinti informaciją. Toks aiškinimas neatitiktų ir duomenų subjekto interesų (asmuo būtų nuolat trukdomas). Šiuo atveju el. pašto adresas aktualus informavimo apie skolą pareigos atlikimui, taigi labiau susiję su civiliniais teisiniais santykiais. Be to, pagal paslaugų sutartį būtent pareiškėjas turėjo pareigą informuoti apie savo adreso pasikeitimą. Dėl to teismas laikė, kad atsakovas iš esmės atsakė į pareiškėjo keltus klausimus. Taip pat Inspekcija ginčijamu sprendimu neperkėlė ir nenustatė jokių pareigų pareiškėjui tikslinti informaciją, todėl teismas atmetė šiuos pareiškėjo argumentus.

16.       Teismas, pasisakydamas dėl ginčijamame sprendime neišspręstų klausimų (netirtas nedokumentuotas kitų asmens duomenų tvarkymas, UAB „Sergel“ neteisėti, agresyvūs ir grobuoniški veiksmai), pažymėjo, kad grobuoniškų veiksmų pareiškėjas tiksliai neįvardijo, tačiau iš konteksto spręstina, kad jis omenyje turėjo siekį dirbtinai padidinti reikalavimą. Teismas priminė, kad nei Inspekcija, nei teismas nesprendžia klausimų, kurie susiję su civilinėmis prievolėmis, todėl šiuos pareiškėjo argumentus atmetė. Taip pat pareiškėjas tiksliai neįvardijo, kokius UAB „Sergel“ konsultantės reikalavimus turi omenyje. Vėlgi nei Inspekcija, nei teismas administracinėje byloje nevertina privataus juridinio asmens galimo netinkamo elgesio, todėl teismas laikė, kad pareiškėjas neįrodė, jog Inspekcija neišsamiai išnagrinėjo pareiškėjo skundą.

17.       Teismas nustatė, kad pareiškėjas 2019 m. balandžio 26 d. skundo papildyme buvo nurodęs, jog UAB „Sergel“ 2019 m. balandžio 12 d. pranešime nurodė, kad jo duomenys gali būti perduoti tretiesiems asmenims (kredito istorijas tvarkančioms įmonėms). Pareiškėjas aiškiai įvardijo pranešimą ir nesutikimą su tokia duomenų tvarkymo praktika. Tačiau ginčijamame sprendime nepasisakė dėl šios pareiškėjo skundo dalies. Teismas laikė, kad šioje apimtyje Inspekcija tinkamai neišnagrinėjo pareiškėjo skundo ir priėmė nepagrįstą ir neteisėtą sprendimą. Teismas panaikino šią ginčijamo sprendimo dalį kaip prieštaraujančią aukštesnės galios teisės aktams ir dėl to, kad nebuvo objektyviai išnagrinėtos visos aplinkybės (Lietuvos Respublikos administracinių bylų teisenos įstatymo (toliau – ir ABTĮ) 91 str. 1 d. 1 ir 3 p.). Teismas įpareigojo Inspekciją šioje dalyje priimti naują sprendimą.

18.       Teismas, vertindamas pareiškėjo skundo Inspekcijai argumentus, kad jo neinformavus ir Asmens duomenų tvarkymo politikoje nenurodžius yra tvarkomi tam tikri duomenys (sąskaitų ir atsiskaitymų duomenys, slaptažodis, savitarnos sistemų prisijungimo duomenys, savitarnos vartotojo ID ir slaptažodis, namo fotofiksacijos, signalizacijos suveikimo duomenys), pažymėjo, kad šiuo klausimu Inspekcija pasisakė, jog UAB „Apsaugos komanda“ Asmens duomenų tvarkymo politika nėra pakankama, nes pateikiant baigtinį tvarkomų duomenų sąrašą gali susidaryti įspūdis, kad nėra kitų tvarkomų duomenų. Atsakovas pažymėjo, kad duomenys tvarkomi teisėtai, nes apie duomenų tvarkymą pareiškėjas žino (slaptažodis, savitarnos sistemų prisijungimo duomenys, savitarnos vartotojo ID ir slaptažodis). Dėl namo fotofiksacijų ir signalizacijų suveikimo duomenų ginčijamame sprendime specialiai nepasisakė, t. y. jų nebuvo tekste tarp paminėtų pareiškėjui žinomų duomenų. Visgi Inspekcija bendrai konstatavo, kad duomenys, apie kurių tvarkymą yra žinoma pareiškėjui, yra tvarkomi teisėtai. Teismas akcentavo, kad šiuo atveju akivaizdu, jog pareiškėjas žino, kad tvarkomi ir jo nurodomi duomenys (namo fotofiksacijos ir signalizacijos suveikimo duomenys), nes pats tai nurodė skunde. Todėl teismas laikė, kad Inspekcijos sprendimo turinys leido pareiškėjui suprasti jo esmę, t. y. kad visi duomenys, apie kurių tvarkymą žinoma pareiškėjui (įskaitant ir fotofiksacijų ir signalizacijų suveikimo duomenis), tvarkomi teisėtai. Teismo vertinimu, vien dėl to, kad ginčijamo sprendimo formuluotė nebuvo visiškai korektiška, įpareigoti Inspekciją iš naujo nagrinėti šią pareiškėjo skundo dalį būtų neproporcinga.

19.       Teismas nurodė, kad pareiškėjas suformulavo teismui prašymą pasisakyti dėl BDAR normų aiškinimo, fundamentalių teisės principų aiškinimo ir su tuo susijusios teismų praktikos tęstinumo. Teismas pažymėjo, kad toks pareiškėjo prašymas negali būti laikomas savarankišku reikalavimu, nes teismas, išnagrinėjęs bylą, tokio reikalavimo negalėtų tenkinti, t. y. reikalavimas nepatenka tarp būdų, kuriais teismas realizuoja teisę į teisminę gynybą, išvardintų ABTĮ 88 straipsnyje. Taigi teismas tokį prašymą savo esme laiko skunde pateiktu argumentu, į kurio svarbą pareiškėjas siekia atkreipti dėmesį. Teismas sprendime pateikė tuos motyvus, kurie, jo vertinimu, pagrindžia priimtą sprendimą.

 

III.

 

20.       Pareiškėjas apeliaciniame skunde prašo pirmosios instancijos teismo sprendimo dalį dėl UAB „Apsaugos komanda“ vykdyto pareiškėjo asmens duomenų tvarkymo panaikinti ir bylą išspręsti iš esmės – panaikinti visą Inspekcijos sprendimą ir įpareigoti Inspekciją iš naujo išsamiai ištirti pareiškėjo 2019 m. balandžio 12 d. skundą su papildymais.

21.       Pareiškėjas apeliacinį skundą grindžia šiais argumentais:

21.1.                      Teismas, priimdamas skundžiamą sprendimą, neatskleidė bylos esmės, nes nevertino duomenų valdytojo vykdyto duomenų tvarkymo teisėtumo, o susikoncentravo tik į vieno duomenų tvarkymo veiksmo (duomenų perdavimo duomenų tvarkytojui) teisėtumo vertinimą. Ginčas byloje kilo dėl to, ar teisėtai duomenų valdytojas UAB „Apsaugos komanda“ tvarkė pareiškėjo asmens duomenis skolos administravimo tikslu (ir perdavė šiuos duomenis UAB „Sergel“) po to, kai skola buvo apmokėta ir duomenų valdytojas apie tai sužinojo. Duomenų tvarkymo teisėtumą lemia duomenų tvarkymo tikslas ir teisinis pagrindas (BDAR 6 str.), o ne sutartys, sudarytos tarp duomenų valdytojo ir duomenų tvarkytojo. Duomenų tvarkymas skolos administravimo tikslu negali būti teisėtas nesant skolos (BDAR 5 str. 1 d. b ir d p.).

21.2.                      Teismas skundžiamame sprendime nepasisakė dėl esminio pareiškėjo skundo argumento – asmens duomenų tvarkymo teisėtumo įrodinėjimo naštos paskirstymo. BDAR 5 straipsnio 2 dalyje nustatyta, jog duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalyje įtvirtintų principų, ir turi sugebėti įrodyti, kad jų yra laikomasi (atskaitomybės principas). Atsakovas ginčijamame sprendime šią normą ignoravo ir būtent pareiškėjui (duomenų subjektui) neteisėtai perkėlė įrodinėjimo naštą pagrįsti, kad jo duomenys buvo tvarkomi neteisėtai.

21.3.                      Teismas nenustatė, kada duomenų valdytojui atsirado teisinis pagrindas tvarkyti pareiškėjo duomenis skolos administravimo tikslu ir kada jis išnyko. Teisinis pagrindas tvarkyti pareiškėjo duomenis skolos administravimo tikslu galbūt yra 2012 m. sausio 2 d. sutartis, sudaryta tarp pareiškėjo ir duomenų valdytojo. Tačiau teismas savo sprendime sutarties turinio ir jos esminių sąlygų nenustatė bei neįvertino, byloje tokio dokumento nėra.

21.4.                      Vertinant teisinio pagrindo tvarkyti pareiškėjo asmens duomenis skolos administravimo tikslu išnykimo momentą, svarbus 2019 m. balandžio 10 d. atliktas skolos apmokėjimas, taip pat tą pačią dieną pareiškėjo atliktas duomenų valdytojo informavimas apie šį apmokėjimą. Siekiant nustatyti pastarąją aplinkybę, buvo būtina ištirti pareiškėjo ir duomenų valdytojo pokalbius, vykusius 2019 m. balandžio 10 d., ko nepadarė nei Inspekcija, nei teismas. Pareiškėjui nesuprantama, kodėl teismas nusprendė, jog UAB „Apsaugos komanda“ buhalterija bei klientų aptarnavimo ir komercijos skyrius gali būti netinkami informacijos apie apmokėjimą adresatai. Teismas, padaręs prieš tai nurodytą išvadą, nepaaiškino, kas būtų tinkamas adresatas tokią informaciją gauti ir kodėl duomenų subjektas, net 5 kartus aiškiai pakartojęs informaciją apie skolos apmokėjimą 3 skirtingiems duomenų subjekto darbuotojams, tai atliko neva netinkamai. Duomenų tvarkymas išnykus teisiniam pagrindui negali būti laikomas teisėtu ir yra grubus BDAR 5 ir 6 straipsniuose įtvirtintų normų pažeidimas, kurį teismas ir atsakovas ignoravo.

21.5.                      Teismas skundžiamame sprendime netyrė, ar asmens duomenų teisinės apsaugos priežiūros institucija (Inspekcija) tinkamai vykdė savo pareigas, t. y. ar ji skundą tyrė aktyviai, ar nustatė visus faktus ir vadovavosi teisės normomis. Inspekcijos sprendime buvo atvirai abejojama pareiškėjo nurodytais faktais ir buvo vadovaujamasi tik duomenų valdytojo pateikta tikrovės neatitinkančia informacija ir prielaidomis, įrodinėjimo naštą perkeliant duomenų subjektui; nieko nepasisakė dėl prieštaravimų tarp šalių paaiškinimų (pareiškėjas nuosekliai teigė, kad skambino du kartus, tuo tarpu UAB „Apsaugos komanda“ minėjo tik vieną skambutį) ir kodėl jie nebuvo ištirti/pašalinti; nepasisakė apie tai, kodėl pareiškėjas, apmokėjęs skolą ir apie tai informuodamas duomenų valdytoją, šią žinią perdavė neva kalbėdamas užuominomis; rėmėsi prielaidomis, o ne faktais ir įrodymais (neaišku, kas ir kada skambino UAB „Apsaugos komanda“ ir nustatė, jog pokalbiai neįrašomi); nepagrįsdama teisės normomis nurodė, kad pareiškėjas turėjo pareigą su skundu pateikti visus įrodymus (tokia pareiga nenustatyta jokiuose teisės aktuose, tai yra pareiškėjo teisė, o ne pareiga); neatliko jokio tyrimo ir nerinko jokių įrodymų, neteikė pareiškėjui informacijos apie tyrimo eigą, nesudarė galimybės pateikti papildomus paaiškinimus (BDAR 57 str. 1 d. f p. ir 77 str. 2 d.). Taigi, Inspekcija turi aktyvią pareigą tirti visas aplinkybes ir nustatyti faktus, o duomenų valdytojas turi pareigą įrodyti duomenų tvarkymo teisėtumą.

21.6.                      Teismas padarė logikos klaidą konstatuodamas, kad Inspekcija pilnai neišnagrinėjo dalies UAB „Sergel“ veiksmų ginčo situacijoje, ir tuo pačiu laikydamas, jog „UAB „Sergel“ teisėtai veikė kaip duomenų tvarkytojas, kuris duomenis tvarkė pagal BDAR 28 straipsnio 1 ir 3 dalis, t. y. duomenų tvarkymo sutarties pagrindu. Tokiu būdu, neišnagrinėjus veiksmų visumos, buvo padaryta bendra išvada apie duomenų tvarkymą. Be to, išvada apie UAB „Sergel“ duomenų tvarkymą padaryta išimtinai remiantis teisinio santykio forma (sutarties egzistavimu), neišnagrinėjus teisinio santykio turinio (faktinių veiksmų visumos). Taigi, išvados apie UAB „Sergel“ teisinį statusą (kaip UAB „Apsaugos komanda“ duomenų tvarkytojo) buvo pagrįstos tik prielaidomis. Tuo atveju, jei paaiškėtų, kad bent dalis UAB „Sergel“ veiksmų buvo nesuderinami su duomenų tvarkytojo statusu, UAB „Apsaugos komanda“, kaip duomenų valdytojas, būtų atsakinga už šiuos veiksmus ir už netinkamą duomenų tvarkytojo kontrolę (BDAR 28 str.).

22.       Atsakovas atsiliepime prašo pareiškėjo apeliacinį skundą atmesti, o skundžiamą pirmosios instancijos teismo sprendimo dalį palikti nepakeistą. Atsakovas atsiliepime pakartoja Inspekcijos sprendimo, atsiliepimo į pareiškėjo skundą, teismo sprendimo argumentus bei papildomai pažymi:

22.1.                      Pareiškėjas skundo teismui negrindė ta aplinkybe, jog, prieš vertinant pareiškėjo asmens duomenų perdavimą UAB „Sergel“, nebuvo įvertinta, ar duomenų valdytojas perdavimo metu turėjo teisėtą pagrindą tvarkyti jo asmens duomenis konkrečiu tikslu (skolos valdymo), t. y. jog UAB „Apsaugos komanda“ iš esmės jo asmens duomenis skolos administravimo tikslu tvarkė neteisėtai. Nepaisant to, teismas sprendime pasisakė dėl pareiškėjo asmens duomenų tvarkymo minėtu tikslu, nurodydamas, jog nesutinka su pareiškėjo vertinimu, kad skolos valdymo tikslas yra naujas, nes, pasirašydamas paslaugų teikimo sutartį, pareiškėjas prisiėmė įsipareigojimus laiku apmokėti sąskaitas, taigi toks duomenų naudojimo tikslas tiesiogiai susijęs su paslaugų sutarties vykdymu.

22.2.                      Pareiškėjo apeliaciniame skunde minima 2012 m. sausio 2 d. sutartis yra byloje, Inspekcijos sprendime pasisakyta dėl esminių šios sutarties nuostatų, pareiškėjas skunde teismui nenurodė jokių argumentų, susijusių su minėtos sutarties nuostatų galbūt netinkamu vertinimu, todėl teismas neturėjo pagrindo dėl to pasisakyti. Nepaisant to, teismo sprendime yra įvertinta ir pasisakyta, kad pareiškėjo asmens duomenų tvarkymas skolos valdymo tikslu 2019 m. balandžio 12–26 d. atitiko sąžiningumo ir teisėtumo principus, 9 darbo dienų terminas buvo įvertintas kaip protingas patikslinti pareiškėjo asmens duomenis, jog skola yra apmokėta, taigi, net ir pareiškėjui apmokėjus skolą, jo asmens duomenys, iki ši informacija buvo patikslinta, skolos administravimo tikslu buvo tvarkomi teisėtai.

22.3.                      Vien ta aplinkybė, kad teismo sprendime nebuvo detaliai aprašytas pareiškėjo įrašytų pokalbių turinys, nereiškia, jog šie pokalbiai nebuvo įvertinti. Tai, kad pareiškėjas nesutinka su teismo vertinimu, irgi nereiškia, kad toks vertinimas nebuvo atliktas. 

22.4.                      Tiek ADTAĮ 30 straipsnio 1 dalis, tiek BDAR 78 straipsnio 2 dalis nustato pareigą priežiūros institucijai apie skundo nagrinėjimo pažangą ar rezultatus duomenų subjektą informuoti ne vėliau kaip per 3 mėnesius nuo skundo gavimo priežiūros institucijoje dienos. Pareiškėjo skundas Inspekcijoje buvo gautas 2019 m balandžio 12 d., o sprendimas priimtas 2019 m. liepos 1 d., t. y. nepraėjus trims mėnesiams nuo skundo gavimo dienos. Tai reiškia, kad Inspekcija neturėjo pareigos pareiškėją informuoti apie skundo nagrinėjimo pažangą, o per minėtomis teisės aktų nuostatomis nustatytą terminą informavo apie skundo nagrinėjimo rezultatus. Be to, nei ADTAĮ, nei BDAR nenustato pareigos priežiūros institucijai informuoti pareiškėją apie skundo nagrinėjimo metu gautą medžiagą. Priešingai, ADTAĮ 17 straipsnio 2 dalies 4 punkte įtvirtinta pareiškėjo teisė susipažinti su skundo nagrinėjimo medžiaga, todėl pareiškėjas skundo nagrinėjimo metu pats galėjo aktyviai domėtis skundo nagrinėjimo eiga, t. y. kreiptis į Inspekciją raštu, prašydamas susipažinti su skundo nagrinėjimo medžiaga. Atsakovas pareiškėjo nurodyto skambučio metu neturėjo pagrindo jam suteikti išsamios ir konkrečios informacijos apie skundo nagrinėjimo metu gautą informaciją, nes telefonu negali būti vienareikšmiškai identifikuojamas skambinantysis asmuo. Pareiškėjas skunde teismui nenurodė, kad jam nebuvo suteikta galimybė pateikti paaiškinimų reaguojant į duomenų valdytojo nurodytas tikrovės neatitinkančias aplinkybes, todėl teismas neturėjo dėl šių pareiškėjo argumentų pasisakyti.

22.5.                      Teismas įvertino duomenų tvarkymo sutarties nuostatas ir sprendė, kad ji atitinka BDAR reikalavimus, taip pat, įvertinęs visas bylos aplinkybes, konstatavo, kad UAB „Sergel“ veikė būtent kaip duomenų tvarkytojas, o ne kaip kitas duomenų valdytojas. Vien tai, kad teismas dėl faktinio santykių turinio atskirai nepasisakė, nereiškia, jog jis nebuvo įvertintas. Juo labiau, kad pareiškėjas skunde teismui argumentų, jog UAB „Sergel“ veikė ne kaip UAB „Apsaugos komanda“ duomenų tvarkytojas, o kaip savarankiškas duomenų valdytojas, nenurodė.

23.       Trečiasis suinteresuotas asmuo UAB „Apsaugos komanda“ atsiliepime prašo pareiškėjo apeliacinį skundą atmesti, o skundžiamą pirmosios instancijos teismo sprendimo dalį palikti nepakeistą. Jis atsiliepime į apeliacinį skundą nurodo, kad tiek Inspekcija, tiek pirmosios instancijos teismas priėmė iš esmės teisėtus ir pagrįstus sprendimus, išanalizavo ir įvertino visus pareiškėjo skundo teisingam išnagrinėjimui reikšmingas aplinkybes ir dėl jų pasisakė. Nors pareiškėjas nesutinka su teismo sprendime pateiktu vertinimu, tačiau tai nereiškia, kad toks vertinimas nebuvo atliktas ar jis buvo atliktas neteisingai. Be to, pareiškėjas apeliacinį skundą grindžia aplinkybėmis, kurios nebuvo nurodytos jo skunde teismui (pavyzdžiui, dėl to, kad UAB „Apsaugos komanda“ neturėjo teisės perduoti pareiškėjo asmens duomenų UAB „Sergel“ skolos administravimo tikslu). Taip pat pareiškėjas, apeliaciniame skunde nurodydamas procedūrinius Inspekcijos atlikto tyrimo pažeidimus, turėjo pagrįsti, kaip jie lėmė neteisingo sprendimo priėmimą.

 

Teisėjų kolegija

 

k o n s t a t u o j a :

 

IV.

 

24.       Nagrinėjamu atveju ginčas kilo dėl Valstybinės duomenų apsaugos inspekcijos 2019 m. liepos 1 d. sprendimo Nr. 3R-553(2.13-1.) „Dėl M. K. 2019-04-12 skundo“ teisėtumo ir pagrįstumo.

25.       Pirmosios instancijos teismas panaikino Inspekcijos sprendimo dalį, kuria liko neišnagrinėta pareiškėjo skundo dalis dėl UAB „Sergel“ pranešimo, kuriame nurodyta, kad pareiškėjo duomenys gali būti perduoti tretiesiems asmenims, ir įpareigojo dėl šios dalies Inspekciją priimti naują sprendimą, kitą pareiškėjo skundo dalį teismas atmetė kaip nepagrįstą.

26.       Pareiškėjas, nesutikdamas su pirmosios instancijos teismo sprendimo dalimi, kuria jo skundas buvo atmestas, padavė apeliacinį skundą, kurį grindžia, be kita ko, tuo, jog pirmosios instancijos teismas tikrinamame sprendime dalį ginčijamo Inspekcijos sprendimo pripažino pagrįstu ir teisėtu, nepaisydamas to, kad: (1) šią ginčijamo sprendimo dalį Inspekcija grindė prieštaringais įrodymais, o esminę reikšmę turinčių faktinių aplinkybių buvimą konstatavo nesurinkusi visų įrodymų; (2) Inspekcija, tirdama pareiškėjo skundą, pažeidė pareigą informuoti skundo pateikėją, dėl to jam nebuvo suteikta galimybė pateikti paaiškinimus ir turimus įrodymus (telefoninio pokalbio garso įrašus); (3) teismas netinkamai įvertino pareiškėjo ir duomenų valdytojo pokalbių, vykusių 2019 m. balandžio 10 d., įtaką Inspekcijos sprendimo teisėtumui ir pagrįstumui.

27.       ABTĮ 140 straipsnio 1 dalyje įtvirtinta, kad teismas, apeliacine tvarka nagrinėdamas bylą, patikrina pirmosios instancijos teismo sprendimo pagrįstumą ir teisėtumą, neperžengdamas apeliacinio skundo ribų. Byloje nenustatytos aplinkybės, nurodytos ABTĮ 140 straipsnio 2 dalyje, t. y. aplinkybės, dėl kurių turėtų būti peržengtos apeliacinio skundo ribos.

28.       Bylos duomenimis nustatyta, kad:

28.1.                      Pareiškėjas 2019 m. balandžio 12 d. pateikė Inspekcijai prašymą (reg. 2019 m. balandžio 12 d. Nr. 1R-2313(2.13.)), prie kurio pridėjo: 2019 m. balandžio 12 d. skundą (toliau – 2019 m. balandžio 12 d. skundas); ekranvaizdį, kuriame nurodyta „Primename, kad esate skolingi UAB Apsaugos komanda. Neapmokėjus, skolos administravimas bus perduotas UAB Sergel. Daugiau informacijos www.manokomanda.lt“; ekranvaizdį, kuriame nurodyta: „Sveiki, informuojame – Jūsų skola už UAB Apsaugos komanda paslaugas yra perduota administruoti skolų išieškojimo įmonei. Informacija tel. 852104439. UAB Sergel“; 2019 m. balandžio 10 d. J. Č. elektroninio laiško nuorašą, kuriame nurodyta: „<...> mokėti reikia už paslaugas 134,35 Eur. Jūs dabar mokate ir už popierinių sąskaitų siuntimą, jei norėsite jungtis per mūsų svetainę, prašau skambinti tel. (duomenys neskelbtini) ir kalbėti su klientų aptarnavimo skyriaus darbuotojais, jie Jums padės“; mokėjimo iš atsiskaitomosios sąskaitos kopiją, iš kurios matyti, kad klientas M. K. gavėjui UAB „Apsaugos komanda“ 2019 m. balandžio 10 d. atliko mokėjimo pavedimą 134,35 Eur sumai pagal sutartį 00512010230 (I t., b. l. 29–39).

28.2.                      Pareiškėjas 2019 m. balandžio 12 d. skunde, be kita ko, nurodė šias faktines aplinkybes: su UAB „Apsaugos komanda“ 2012 m. yra sudaręs sutartį dėl patalpų apsaugos paslaugų; jis iš šios bendrovės 2019 m. balandžio 10 d. 12.26 val. gavo SMS pranešimą apie įsiskolinimą; tą pačią dieną paskambino į šią Bendrovę (tel. (duomenys neskelbtini)), buvo sujungtas su šios bendrovės darbuotoja J. Č., kuri paaiškino apie susidariusį įsiskolinimą; iš paminėtos darbuotojos gavęs duomenis, pareiškėjas per el. bankininkystę 2019 m. balandžio 10 d. sumokėjo įsiskolinimą ir apie atliktą apmokėjimą šią bendrovę informavo paskambinęs telefonu (duomenys neskelbtini) (jis informavo Inspekciją apie tai, kad bendrovė įrašo pokalbius minėtu telefonu ir paprašė išreikalauti šiuos įrašus); pareiškėjas 2019 m. balandžio 11 d. 11.50 val. gavo SMS pranešimą iš UAB „Sergel“, kuriuo buvo informuotas, kad jo skola už UAB „Apsaugos komanda“ paslaugas yra perduota administruoti skolų išieškojimo įmonei. Pareiškėjas 2019 m. balandžio 12 d. skunde išreiškė abejonę dėl to, kad UAB „Apsaugos komanda“ jo asmens duomenis apie įsiskolinimą perdavusi trečiajam asmeniui UAB „Sergel“ po to, kai jis informavo pirmąją bendrovę apie įsiskolinimo padengimą, pažeidė BDAR 5 straipsnyje įtvirtintus asmens duomenų tvarkymo principus. Taip pat pareiškėjas 2019 m. balandžio 12 d. skunde išreiškė abejonę dėl jo, kaip duomenų subjekto, teisių pažeidimo duomenų valdytojui (UAB „Apsaugos komanda“) tvarkant jo asmens duomenis, t. y. dėl to, kad: jis nebuvo tinkamai informuotas apie jo asmens duomenų tvarkymą; UAB „Apsaugos komanda“ interneto tinklapyje skelbiama Asmens duomenų tvarkymo politika neatitinka BDAR nuostatų. Pareiškėjas 2019 m. balandžio 12 d. skunde Inspekcijos paprašė atlikti UAB „Apsaugos komanda“ asmens duomenų tvarkymo tyrimą dėl: aprašytų 2019 m. balandžio 10 d. – 2019 m. balandžio 12 d. veiksmų su jo asmens duomenimis ir įvertinti šių veiksmų atitikimą BDAR; dėl kitų šiame skunde įvardintų galimų neatitikimų BDAR. Pareiškėjas prašė atlikti tyrimą ir dėl UAB „Sergel“ statuso ir veiksmų teisėtumo. Taip pat jis prašė Inspekcijos nustačius BDAR pažeidimus, skirti kaltiems asmenims atitinkamas sankcijas.

29.       Pareiškėjas 2019 m. balandžio 26 d. pateikė Inspekcijai papildymus prie 2019 m. balandžio 12 d. duomenų subjekto skundo dėl duomenų valdytojo neteisėtų veiksmų (Inspekcijoje gauti 2019 m. balandžio 30 d.) (toliau – ir 2019 m. balandžio 30 d. papildytas skundas) su priedais (I t., b. l. 44–51). Pareiškėjas 2019 m. balandžio 30 d. papildytame skunde, be kita ko, nurodė, kad 2019 m. balandžio 26 d. apie 11.53 val. pareiškėjas sulaukė skambučio iš UAB „Sergel“ (tel. +37061970016) dėl skolos; 2019 m. balandžio 18 d. paštu pareiškėjas iš UAB „Sergel gavo 2019 m. balandžio 12 d. raštą, kuriuo reikalaujama sumokėti skolą, teigiama esą 2019 m. balandžio 12 d. skola yra neapmokėta. 2019 m. balandžio 30 d. papildytame skunde teigiama, kad paminėtos aplinkybės įrodo, jog UAB „Sergel“ mažiausiai laikotarpiu nuo 2019 m. balandžio 12 d. iki 2019 m. balandžio 26 d. tvarkė pareiškėjo asmens duomenis skolos administravimo ir išieškojimo tikslais, nors tam nebuvo teisinio pagrindo, nes įsiskolinimas šiuo laikotarpiu apskritai neegzistavo. Taip pat teigiama, kad paminėtos aplinkybės patvirtina, jog UAB „Sergel“ nevykdo jai iš BDAR 28 straipsnio kylančių duomenų tvarkytojo pareigų, t. y. pareiškėjo asmens duomenis tvarko neturėdama tam teisėto pagrindo, tvarko netikslius duomenis, duomenys tvarkomi praėjus daugiau nei dviem savaitėms po įsiskolinimo apmokėjimo. UAB „Sergel“ 2019 m. balandžio 12 d. rašte nurodė turinti teisę apie pareiškėjo skolas teikti informaciją Kredito biurui UAB „Creditinfo Lietuva“, nors, pareiškėjo nuomone, duomenų tvarkytojas pats apskritai neturi teisės perduoti asmens duomenų tretiesiems asmenims, nes tai yra duomenų valdytojo prerogatyva. 2019 m. balandžio 30 d. papildytame skunde pareiškėjas patikslino, kad 2019 m. balandžio 12 d. skunde nurodyti UAB „Apsaugos komanda“ Asmens duomenų apsaugos politikos trūkumai tiesiogiai liečia jo asmens duomenų tvarkymą ir jam kelia didelę grėsmę ir dėl to, kad ši bendrovė tvarko pareiškėjo asmens duomenis, kurie leidžia patekti į jo būstą be jo žinios. Taip pat pareiškėjas Inspekcijos, be prašymų išreikalauti duomenis, papildomai paprašė atlikti UAB „Sergel“ asmens duomenų tvarkymo tyrimą dėl jo paminėtų 2019 m. balandžio 12 d. – 2019 m. balandžio 26 d. veiksmų su jo asmens duomenimis ir įvertinti šių veiksmų atitikimą BDAR, o, nustačius BDAR pažeidimus, skirti kaltiems asmenims atitinkamas sankcijas.

30.       Teisėjų kolegija, įvertinusi pareiškėjo 2019 m. balandžio 12 d. skundo ir 2019 m. balandžio 30 d. papildyto skundo (toliau – ir skundai Inspekcijai) turinį, su jų pateikimu susijusias aplinkybes, konstatuoja, kad pareiškėjas skundus Inspekcijai teikė manydamas, jog UAB „Apsaugos komanda“ 2019 m. balandžio 10 d. – 2019 m. balandžio 12 d. perduodama skolų išieškojimo įmonei UAB „Sergel“ jo asmens duomenis, reikalingus jo įsiskolinimui už paslaugas (134,35 Eur) administruoti, ir UAB „Sergel“ tuos pareiškėjo asmens duomenis tvarkydama nepaisant to, kad dar iki duomenų perdavimo pareiškėjas susidariusį įsiskolinimą padengė ir apie tai UAB „Apsaugos komanda“, o vėliau ir UAB „Sergel“, informavo, padarė jo asmens duomenų tvarkymo pažeidimus.

31.       BDAR 4 straipsnio 2 punkte nustatyta, kad duomenų tvarkymas – bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas.

32.       Teisėjų kolegijai nekyla abejonių, kad ginčo atveju buvo tvarkomi pareiškėjo asmens duomenys, siekiant administruoti pareiškėjo įsiskolinimą už paslaugas (134,35 Eur) (toliau – ir ginčo asmens duomenys). Kaip matyti iš ginčijamo sprendimo turinio, Inspekcija pareiškėjo skundų tyrimo metu nustatė, jog nagrinėjamoje situacijoje UAB „Apsaugos komanda“ ginčo asmens duomenis skolų išieškojimo įmonei UAB „Sergel“ perdavė tarp šių subjektų 2018 m. gegužės 7 d. sudarytos sutarties pagrindu. Vadinasi, nėra pagrindo nesutikti su Inspekcijos sprendime konstatuota aplinkybe, kad nagrinėjamu atveju ginčo duomenų valdytojas yra UAB „Apsaugos komanda“ (BDAR 4 str. 7 p.), o tvarkytojas – UAB „Sergel“ (BDAR 4 str. 8 p., 28 str.).

33.       Pareiškėjas teigia, kad nagrinėjamu atveju tvarkant ginčo asmens duomenis, inter alia (be kita ko) buvo pažeisti asmens duomenų tvarkymo principai, o tuo pačiu ir jo, kaip ginčo asmens duomenų subjekto, teisės, kurias privalo užtikrinti duomenų valdytojas ir tvarkytojas.

34.       Šiuo aspektu primintina, kad BDAR 5 straipsnio, kuriame įtvirtinti su asmens duomenų tvarkymu susiję principai, 1 dalyje, be kita ko, nustatyta, kad „asmens duomenys turi būti: a) duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas); b) renkami nustatytais, aiškiai apibrėžtais bei teisėtais tikslais ir toliau netvarkomi su tais tikslais nesuderinamu būdu; <...> (tikslo apribojimo principas); c) adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas); d) tikslūs ir prireikus atnaujinami; turi būti imamasi visų pagrįstų priemonių užtikrinti, kad asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, būtų nedelsiant ištrinami arba ištaisomi (tikslumo principas)“. Šio BDAR straipsnio 2 dalyje įtvirtinta, kad „duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas)“. Asmens duomenų tvarkymo teisėtumas reglamentuojamas BDAR 6 straipsnyje. BDAR 28 straipsnio 10 dalyje nustatyta, kad nedarant poveikio 82, 83 ir 84 straipsniams, jei duomenų tvarkytojas nustatydamas duomenų tvarkymo tikslus ir priemones pažeidžia šį reglamentą, to duomenų tvarkymo atžvilgiu duomenų tvarkytojas yra laikomas duomenų valdytoju.

35.       Teisėjų kolegija, byloje nustatytas faktines aplinkybes įvertinusi Nutarties 34 punkte paminėto teisinio reguliavimo kontekste, prieina prie išvados, kad Inspekcijai atliekant pareiškėjo skundų tyrimą, duomenų valdytojas (UAB „Apsaugos komanda“) ir duomenų tvarkytojas (UAB „Sergel“), įgyvendindami atskaitomybės principą (BDAR 5 str. 2 d.), pirmiausiai turėjo pareigą įrodyti, kad nagrinėjamu atveju ginčo asmens duomenys buvo tvarkomi laikantis teisėtumo, sąžiningumo, skaidrumo, tikslo apribojimo, duomenų kiekio mažinimo, tikslumo principų, o kartu nepažeidžiant pareiškėjo, kaip duomenų subjekto, teisių. Nagrinėjamu atveju UAB „Apsaugos komanda“ ir UAB „Sergel“ privalėjo pirmiausiai pateikti faktinius duomenis, pagrindžiančius tai, kad ginčo atveju UAB „Apsaugos komanda“ turėjo tiek teisinį, tiek faktinį pagrindą pareiškėjo asmens duomenis, reikalingus pareiškėjo konkrečiam įsiskolinimui už paslaugas (134,35 Eur) administruoti, perduoti UAB „Sergel“ (skolų išieškojimo įmonei) ir kad pastaroji turėjo pakankamą pagrindą, naudodamasi ginčo asmens duomenimis, atlikti veiksmus, nukreiptus į konkrečios skolos (134,35 Eur) išieškojimą. Atitinkamai priežiūros institucija (Inspekcija) privalėjo įvertinti ir nustatyti, ar duomenų valdytojo ir tvarkytojo pateiktų paaiškinimų ir įrodymų pakanka konstatuoti, kad nagrinėjamu atveju ginčo duomenys buvo tvarkomi su tvarkymo tikslu – pareiškėjo atžvilgiu atlikti konkrečios skolos (134,35 Eur) išieškojimo veiksmus – suderinamu būdu ir kad tai darant buvo laikomasi teisėtumo, sąžiningumo, skaidrumo, tikslo apribojimo, duomenų kiekio mažinimo, tikslumo principų, o kartu nepažeidžiamos pareiškėjo, kaip duomenų subjekto, teisių. Atlikdama pareiškėjo skundų tyrimą Inspekcija privalėjo, be kita ko, atlikti faktinių aplinkybių tyrimą, teisinį nustatytų faktų vertinimą (kvalifikavimą), nustatyti ne pavienes faktines aplinkybes, o juridinių faktų visetą, būtiną ir pakankamą teisės normoms taikyti, taip pat išklausyti skundus pateikusį asmens duomenų subjektą, ištirti ir įvertinti jo nurodytas aplinkybes ir pateiktus įrodymus.

36.       Iš ginčijamo sprendimo turinio matyti, kad Inspekcija dėl pareiškėjo nurodytos aplinkybės, jog jis apmokėjo įsiskolinimą ir apie tai informavo duomenų valdytoją dar iki duomenų perdavimo duomenų tvarkytojui, todėl tvarkant ginčo duomenis buvo pažeistas tikslingumo principas, konstatavo, kad „<...> UAB „Apsaugos komanda“ nurodė, jog pareiškėjas neinformavo apie tai, kad apmokėjo įsiskolinimą. Pareiškėjas duomenų, patvirtinančių, kad tą pačią dieną informavo apie skolos apmokėjimą, nepateikė, UAB „Apsaugos komanda“ nurodė, jog telefoniniai pokalbiai nėra įrašomi. Remiantis išdėstytu, Inspekcija negali daryti išvados, jog pareiškėjas iki 2019‑04-10, 16.50 val., kuomet jo asmens duomenys buvo perduoti duomenų tvarkytojui UAB „Sergel“, informavo UAB Apsaugos komanda“ apie įsiskolinimo apmokėjimą. <...> Inspekcija, remiantis aukščiau išdėstytomis aplinkybėmis, pažymi, kad UAB „Apsaugos komanda“ pareiškėjo asmens duomenų perdavimo UAB „Sergel“ metu nebuvo informuota apie įsiskolinimo apmokėjimą, taigi Inspekcija negali daryti išvados, jog UAB „Sergel“ perdavė žinomai netikslius pareiškėjo duomenis. Priešingai, UAB „Apsaugos komanda“ Inspekcijai pateikė banko „Citadelė“ 2019-04-12 suformuotą sąskaitos išrašą, kuriame matyti pareiškėjo įsiskolinimo apmokėjimas, taigi nėra pagrindo abejoti UAB „Apsaugos komanda“ teiginiu, jog tik tada tapo žinoma informacija apie įsiskolinimo apmokėjimą“.

37.       Pareiškėjo teiktų skundų Inspekcijai turinys patvirtina, kad pareiškėjas nuolat teigė, jog jo pokalbiai su UAB „Apsaugos komanda“ dėl ginčo įsiskolinimo už paslaugas (134,35 Eur), jo apmokėjimo ir informavimo apie tai, buvo įrašinėjami, prašė šių pokalbių įrašus išreikalauti iš duomenų valdytojo. Pareiškėjas pirmosios instancijos teismui pateiktuose procesiniuose dokumentuose nurodė, kad jis pokalbių garso įrašus turi (juos pateikė teismui). Pareiškėjo skunduose Inspekcijai buvo aiškiai identifikuoti tiek UAB Apsaugos komanda“, tiek UAB „Sergel“ darbuotojai, kuriems, pareiškėjo teigimu, jis buvo suteikęs informaciją apie įsiskolinimo padengimą tą pačią dieną, kai atliko mokėjimo pavedimą. Prie 2019 m. balandžio 12 d. skundo pareiškėjas pridėjo mokėjimo iš atsiskaitomosios sąskaitos kopiją, iš kurios matyti, kad klientas M. K. gavėjui UAB „Apsaugos komanda“ 2019 m. balandžio 10 d. atliko mokėjimo pavedimą 134,35 Eur sumai pagal sutartį 00512010230. Pareiškėjas laikėsi nuoseklios pozicijos, kad Inspekcija, atlikdama tyrimą, su juo nekontaktavo ir nesudarė jam galimybės atsakyti į duomenų valdytojo ir tvarkytojo pateiktus paaiškinimus, be kita ko, pateikti turimus įrodymus.

38.       Nepaisant to, Inspekcija Nutarties 36 punkte paminėtas išvadas padarė iš esmės tik remdamasi UAB „Apsaugos komanda“ ir UAB „Sergel“ pateiktais įrodymais, nepagrįstais paaiškinimais ir suteikta informacija. Nepašalino akivaizdžių prieštaravimų tarp pareiškėjo ir trečiųjų suinteresuotų asmenų paaiškinimų ir pateiktos informacijos bei įrodymų. Tuo tikslu neatliko aktyvių tyrimo veiksmų (pvz., neapklausė pareiškėjo nurodytų UAB „Apsaugos komanda“ ir UAB „Sergel“ darbuotojų). Įvertinus paminėtas aplinkybes, konstatuotina, kad Inspekcija ginčijamame sprendime prie išvados, jog pareiškėjas nebuvo padengęs įsiskolinimo ir apie tai nebuvo informavęs duomenų valdytojo dar iki duomenų perdavimo duomenų tvarkytojui, todėl ginčo asmens duomenys buvo tvarkomi nepažeidžiant asmens duomenų tvarkymo principų, priėjo prieštaraujančių įrodymų pagrindu, tų prieštaravimų neišanalizavusi ir jų nepašalinusi. Teisėjų kolegija, nesutikdama su pirmosios instancijos teismo pozicija dėl į bylą pateiktų pokalbių įrašų teisinės reikšmės ginčijamo Inspekcijos sprendimo teisėtumui ir pagrįstumui, konstatuoja, kad nustatyti įrodymų vertinimo trūkumai turėjo esminės reikšmės tiriant pareiškėjo Inspekcijai pateiktus skundus, t. y. vertinant, ar UAB „Apsaugos komanda“ ir UAB „Sergel“ ginčo asmens duomenis tvarkė nepažeisdami BDAR principų ir jame įtvirtintų asmens duomenų subjekto (pareiškėjo) teisių, ir ar pareiškėjo skunduose nurodyta apimtimi BDAR reikalavimai nebuvo pažeisti duomenų valdytojui (UAB „Apsaugos komanda“) tvarkant kitus pareiškėjo asmens duomenis.

39.       Teisėjų kolegija sprendžia, kad Nutarties 38 punkte paminėti pažeidimai laikytini esminiais pažeidimais, atliekant administracinę procedūrą, dėl ko nebuvo užtikrintas objektyvus visų aplinkybių įvertinimas bei viso Inspekcijos sprendimo pagrįstumas. Nustačius esminius administracinės procedūros pažeidimus Inspekcijai tiriant asmens duomenų subjekto skundus, Inspekcijos sprendimas naikintinas (ABTĮ 91 str. 1 d. 3 p.), o Inspekcija įpareigotina pareiškėjo jai teiktus skundus išnagrinėti iš naujo. Tai konstatavus, kiti apeliacinio skundo argumentai ir pirmosios instancijos teismo motyvai nevertinami kaip teisiškai nereikšmingi.

40.       Apibendrindama išdėstytus argumentus teisėjų kolegija sprendžia, kad pirmosios instancijos teismas iš dalies netinkamai sprendė dėl viešojo administravimo subjekto surinktų ir vertintų įrodymų. Atsižvelgiant į tai, kad pirmosios instancijos teismas dalį Inspekcijos sprendimo panaikino, pareiškėjo apeliacinis skundas tenkinamas iš dalies – tikrinamas teismo sprendimas keičiamas, jo rezoliucinę dalį išdėstant taip: „pareiškėjo M. K. skundą tenkinti. Panaikinti Valstybinės duomenų apsaugos inspekcijos 2019 m. liepos 1 d. sprendimą Nr. 3R- 553 (2.13-1.) „Dėl M. K. 2019-04-12 skundo“ ir įpareigoti Valstybinę duomenų apsaugos inspekciją išnagrinėti pareiškėjo 2019 m. balandžio 12 d. prašymą (reg. 2019 m. balandžio 12 d. Nr. 1R‑2313(2.13.) iš naujo“.

 

Vadovaudamasi Lietuvos Respublikos administracinių bylų teisenos įstatymo 144 straipsnio 1 dalies 3 punktu, teisėjų kolegija

 

n u t a r i a :

 

Pareiškėjo M. K. apeliacinį skundą tenkinti iš dalies.

Vilniaus apygardos administracinio teismo 2020 m. balandžio 23 d. sprendimą pakeisti, jo rezoliucinę dalį išdėstant taip: „pareiškėjo M. K. skundą tenkinti. Panaikinti Valstybinės duomenų apsaugos inspekcijos 2019 m. liepos 1 d. sprendimą Nr. 3R- 553 (2.13-1.) „Dėl M. K. 2019-04-12 skundo“ ir įpareigoti Valstybinę duomenų apsaugos inspekciją išnagrinėti pareiškėjo 2019 m. balandžio 12 d. prašymą (reg. 2019 m. balandžio 12 d. Nr. 1R-2313(2.13.)) iš naujo“.

Nutartis neskundžiama.

 

 

Teisėjai

Rytis Krasauskas     Ramutė Ruškytė     Skirgailė Žalimienė