2023-03-01 Nr. AB-4660-3-61-3-01053-2021-7 · Lietuvos vyriausiasis administracinis teismas

Administracinė byla Nr. eA-174-821/2023

Teisminio proceso Nr. 3-61-3-01053-2021-7

Procesinio sprendimo kategorija 26

(S)

LIETUVOS VYRIAUSIASIS ADMINISTRACINIS TEISMAS

NUTARTIS

LIETUVOS RESPUBLIKOS VARDU

2023 m. kovo 1 d.

Vilnius

Lietuvos vyriausiojo administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Ryčio Krasausko, Ivetos Pelienės (pranešėja) ir Skirgailės Žalimienės (kolegijos pirmininkė),

teismo posėdyje apeliacine rašytinio proceso tvarka išnagrinėjo administracinę bylą pagal pareiškėjo Valstybės įmonės Registrų centro apeliacinį skundą dėl Vilniaus apygardos administracinio teismo 2021 m. gruodžio 1 d. sprendimo administracinėje byloje pagal pareiškėjo Valstybės įmonės Registrų centro skundą atsakovui Valstybinei duomenų apsaugos inspekcijai dėl sprendimo panaikinimo ir įpareigojimo atlikti veiksmus.

Teisėjų kolegija

nustatė:

I. 1. Pareiškėjas valstybės įmonė Registrų Centras (toliau – ir pareiškėjas, Registrų centras) kreipėsi į teismą su skundu, prašydamas: 1) panaikinti Valstybinės duomenų apsaugos inspekcijos (toliau – ir atsakovas, Inspekcija) 2021 m. vasario 26 d. sprendimą „Dėl administracinės baudos skyrimo valstybės įmonei Registrų centrui“ Nr. 2R-891 (2.23.E) (toliau – ir Sprendimas), 2) įpareigoti atsakovas iš naujo išnagrinėti bylą dėl administracinės baudos skyrimo, objektyviai ir pagrįstai nustatant asmens duomenų saugumo pažeidimo subjektą/-us ir jo/-ų atsakomybės ribas.

2. Pareiškėjas skunde nurodė šias aplinkybes:

2.1 Sprendimu jis nubaustas 15 000 Eur bauda už tai, kad pažeidė 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – ir BDAR) 32 straipsnio 1 dalies b (gebėjimas užtikrinti nuolatinį duomenų tvarkymo sistemų ir paslaugų konfidencialumą, vientisumą, prieinamumą ir atsparumą) ir c (gebėjimas laiku atkurti sąlygas ir galimybes naudotis asmens duomenimis fizinio ar techninio incidento atveju) punktų nuostatas.

2.2 2020 m. liepos 20 d. Registrų centro pastate, esančiame adresu (duomenys neskelbtini), Vilniuje, dėl stichinio gamtos reiškinio – itin stiprios liūties Vilniaus mieste, trūko lietaus nuotekų sistemos vamzdis, todėl vanduo pateko į duomenų centro, esančio (duomenys neskelbtini), Vilniuje patalpas (rūsyje) (toliau – ir Incidentas). Įvykus Incidentui, kuris visiškai nepriklausė nuo Registrų centro veiksmų ir (ar) neveikimo bei kontrolės, nustojo veikti dalis serverių, todėl tam tikrą laiko tarpą tapo nepasiekiama dalis serveriuose saugomos informacijos. Reaguodamas į susiklosčiusią situaciją pareiškėjas Inspekcijai pateikė 2020 m. liepos 23 d. pranešimus apie asmens duomenų saugumo pažeidimus Nr. S-1054 (1.8), Nr. S-1055 (1.8) ir Elektroninio dokumento nuorašą 2-16 S-1056 (1.8), kurie buvo patikslinti Registrų centro 2020 m. rugpjūčio 20 d. raštu NS-5640 (1.8). Registrų centre buvo gautas Inspekcijos 2020 m. rugpjūčio 3 d. raštas. Registrų centras į Inspekcijos rašte užduotus klausimus atsakė pateikdamas 2020 m. rugpjūčio 20 d. raštą. Registrų centre buvo gautas Inspekcijos 2020 m. gruodžio 11 d. raštas, kuriuo Inspekcija prašė pateikti informaciją, reikšmingą skiriant administracinę baudą, nustatant baudos dydį. Registrų centras 2021 m. sausio 29 d. raštu prašė Inspekcijos dar kartą įvertinti pažeidimo sudėtį ir sankcijų už Incidentą klausimą, atsižvelgiant į tai, kad Registrų centro veiksmuose nebuvo nei tyčios, nei aplaidumo, kad Incidentas buvo visiškai atsitiktinis (force majeure) ir kad toks Incidentas atsitiko pirmą kartą, į Registrų centro pastangas pašalinti padarinius ir tinkamą bendradarbiavimą.

2.3 Inspekcija, atlikdama asmens duomenų saugumo pažeidimo tyrimą, turėjo įvertinti aplinkybių visumą, t. y. išnagrinėti ne tik bendro pobūdžio informaciją, bet ir atsižvelgti į pateiktus Registrų centro paaiškinimus, įvertinti, ar egzistuoja visi pažeidimo sudėties būtinieji elementai, pvz., priežastinis ryšys tarp Registrų centro veiksmų ir kilusių padarinių, kaltė ir kt., išanalizuoti visas Registrų centro įgyvendintas priemones, tačiau Inspekcija to nepadarė.

2.4 Inspekcija neatsižvelgė į tai, kad Registrų centras atliko visus, kaip registrų ir informacinių sistemų duomenų tvarkytojas, įmanomus veiksmus, todėl Registrų centro veiksmuose negalima įžvelgti nei tyčios, nei aplaidumo (subjektyvioji pažeidimo pusė). Tai, kad Registrų centro veiksmuose nėra tyčios pripažino ir pati Inspekcija nurodydama, kad pažeidimas nebuvo įvykdytas tyčia (Sprendimo 11 psl.), o Registrų centro veiksmų aplaidumo faktas Sprendime taip pat nėra konstatuotas, aiškiai ir nedviprasmiškai vertintas. Pareiškėjo teigimu, Inspekcija neįsigilino į Registrų centro, kaip duomenų tvarkytojo, ribotas galimybes veikti nepriklausomai, nesant duomenų valdytojo leidimo (pritarimo) (Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo 34 straipsnio 3 dalies 3 punktas). Inspekcija asmens duomenų saugumo pažeidimo subjektu pripažino tik Registrų centrą ir taikė atsakomybę, t. y. skyrė baudą, išimtinai tik duomenų tvarkytojui, tačiau Sprendime taip pat nurodė, kad Registrų centras, įgyvendindamas saugumo priemones, yra priklausomas tiek nuo duomenų valdytojo – Sveikatos apsaugos ministerijos (toliau – ir SAM), tiek ir nuo kitų institucijų, sprendžiančių Valstybės IT išteklių konsolidavimo klausimus. Taigi, akivaizdu, kad Inspekcija pripažino ir duomenų valdytojo atsakomybę, tačiau baudą skyrė tik duomenų tvarkytojui Registrų centrui. Šiuo atveju aktualu išsiaiškinti tinkamą pažeidimo subjektą, t. y. kas yra laikoma duomenų valdytoju ir tvarkytoju bei kokie teisės aktai reglamentuoja duomenų valdytojo ir tvarkytojo teises, pareigas, funkcijas ir atsakomybes.

2.5 Pareiškėjas, remdamasis BDAR 5 straipsnio 1 dalies f punktu bei Valstybės informacinių išteklių valdymo įstatymo 24 straipsnio 3 dalies 4 punktu, nurodė, kad iš šių teisės nuostatų galima teigti, kad už asmens duomenų saugumo pažeidimą yra atsakingas tiek duomenų valdytojas, tiek tvarkytojas. Registrų centras netgi neturi teisės priimti vienašališkų sprendimų be duomenų valdytojo pritarimo. Tuo tarpu atsakovas dėl tinkamo subjekto atsakė remdamasis tik Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimo Nr. 716 „Dėl bendrųjų elektroninės informacijos saugos reikalavimų aprašo, saugos dokumentų turinio gairių aprašo ir elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ (toliau – ir Gairės) 18 punktu. Pareiškėjo teigimu, sisteminis Gairių 16, 17 ir 18 punktų vertinimas įrodo, kad už saugos politikos formavimą atsakingas duomenų valdytojas, tuo tarpu duomenų tvarkytojas atsakingas už saugos politiką įgyvendinančiuose dokumentuose nustatytų priemonių įgyvendinimą. Inspekcijai pripažinus, kad asmens duomenų saugumo pažeidimą lėmė tai, jog nebuvo užtikrintos tinkamos techninės ir organizacinės priemonės bei vadovaujantis aukščiau nurodytų teisės aktų nuostatomis, akivaizdu, jog pirmiausiai turėjo būti analizuojama ir duomenų valdytojo atsakomybė.

2.6 Pareiškėjas nurodė Gairių 7.1 punktą, SAM valdomų ir valstybės įmonės Registrų centro tvarkomų elektroninės sveikatos sistemos informacinių sistemų duomenų saugos nuostatų, patvirtintų Lietuvos Respublikos sveikatos apsaugos ministro 2019 m. liepos 3 d. įsakymu Nr. V-777 (toliau – ESPBI saugos nuostatai), 7.5, 10 ir 11 punktus.

2.7 Pareiškėjas, remdamasis VĮ Registrų centro tvarkomų registrų ir informacinių sistemų duomenų saugos nuostatų, patvirtintų Lietuvos Respublikos teisingumo ministro 2017 m. gegužės 22 d. įsakymu Nr. 1R-132 (toliau – TM saugos nuostatai) 6.4, 6.5, 9, 10 punktais, taip pat Nekilnojamojo turto kadastro duomenų saugos nuostatų, patvirtintų Lietuvos Respublikos žemės ūkio ministro 2018 m. spalio 9 d. įsakymu Nr. 3D-723 (Lietuvos Respublikos žemės ūkio ministro 2020 m. birželio 22 d. įsakymo Nr. 3D-465 redakcija), 9.5, 12 punktais, nurodė, kad Inspekcija iš esmės neatliko išsamios aktualaus teisinio reglamentavimo ir objektyvių faktinių aplinkybių analizės, susijusios su tinkamo subjekto, kuriam turėtų kilti atsakomybė, nustatymo klausimu, o apsiribojo tik paviršutinišku šio aspekto nagrinėjimu. Inspekcija Sprendime netinkamai nustatė asmens duomenų saugumo pažeidimo subjektą, todėl netinkamai pritaikė atsakomybės principą.

2.8 Inspekcija nevertino informacijos apie tai, kad Registrų centras ėmėsi visų galimų priemonių rizikoms šalinti, siekiant apsaugoti registruose ir informacinėse sistemose esančius asmens duomenis.

2.9 Pareiškėjas dar su 2019 m. sausio 23 d. raštu kreipėsi į duomenų valdytoją SAM, Lietuvos Respublikos ekonomikos ir inovacijų ministeriją ir Lietuvos Respublikos susisiekimo ministeriją su pasiūlymais įgyvendinti sprendimus, kurie užtikrintų ESPBI IS veiklos tęstinumą katastrofos atveju bei su 2019 m. liepos 31 d. raštu Nr. S-47176 kreipėsi į IVPK dėl ESPBI IS duomenų bazių ir tarnybinių stočių naujos kartos technologijų. Inspekcija neanalizavo tam tikrų esminę reikšmę turinčių aplinkybių ir Sprendime nepagrindė jų selektyvaus nevertinimo priežasčių, nesigilino į teisės aktų nuostatas, kurios reglamentuoja duomenų valdytojo ir tvarkytojo funkcijas bei duomenų tvarkytojo ribotą galimybę veikti be valdytojo pritarimo.

2.10 Pareiškėjui nėra suprantama, kodėl Inspekcija Sprendime nurodo, jog Registrų centro duomenų centrų patalpos neatitiko nurodyto TIER standarto. Teisės aktuose nėra numatyta, kad duomenų centrai privalo turėti sertifikatą pagal TIER standartus ar jų atitiktis būtų patvirtinta atlikus nepriklausomų tos srities ekspertų auditą. Priešingai, apie kitus nei teisės aktuose aiškiai išdėstytus reikalavimus ar standartus, pažymima kaip rekomenduojamus ar galimus taikyti. Argumentai dėl TIER standartų Inspekcijos Sprendime iš esmės yra nepagrįstai aiškinami neigiamu aspektu Registrų centro atžvilgiu, todėl negali būti laikomi teisėtais motyvais, pagrindžiančiais Inspekcijos Sprendimo teisėtumą.

2.11 Pareiškėjas nesutiko su Inspekcijos išvada, kad DC1 patalpos neužtikrina duomenų centrams keliamo aukšto patikimumo bei apsaugos nuo fizinių grėsmių reikalavimų. Inspekcija neatsižvelgė į Registrų centro 2020 m. rugpjūčio 20 d. rašto argumentus, kad ESPBI IS informacinių technologijų saugos atitikties elektroninės informacijos saugos ir kibernetinio saugumo reikalavimams vertinimo ataskaitoje (priedo Nr. 3 priedas Nr. 7) buvo nurodytas visuotinai pripažintų tarptautinių organizacijų sertifikuotų informacinių sistemų auditorių duomenų centro patalpų įvertinimas, kuris buvo atliktas pagal pirmosios kategorijos (aukščiausios) informacinėms sistemoms taikomus saugos reikalavimus (ataskaitos 13 psl., viso 67 reikalavimai). Atitikimas įvertintas 5 balais (aukščiausiu balu) (ataskaitos 19 psl., 67 reikalavimai įgyvendinti visa apimtimi). Be to, Inspekcija neturi nei įgaliojimų, nei kompetencijos spręsti, kokie reikalavimai bei tarptautiniai standartai turi būti taikomi duomenų centrams ir, ar duomenų centrai atitinka reikalavimus bei rekomenduojamus tarptautinius standartus.

2.12 Visų registrų ir informacinių sistemų veiklos atstatymas, išskyrus ESPBI IS, buvo įgyvendintas laiku ir laikantis Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų, patvirtintų Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakymu Nr. 1V-832 (toliau – ir Aprašas) įtvirtintų reikalavimų informacinės sistemos neveikimo laikotarpiui, todėl iš Sprendimo turinio nėra aišku, kodėl Inspekcija nepagrįstai ir nemotyvuotai, neatsižvelgdama į teisės aktų reikalavimus nurodė, jog Registrų centrui „nepavyko užtikrinti nuolatinio duomenų tvarkymo sistemų ir paslaugų prieinamumo.

2.13 Sprendimas neatitinka Lietuvos Respublikos viešojo administravimo įstatymo reikalavimų.

3. Atsakovas Inspekcija atsiliepime į skundą prašė jį atmesti ir nurodė šiuos argumentus:

3.1. Sprendimu administracinė bauda pareiškėjui skirta už BDAR 32 straipsnio nuostatų pažeidimą. Atsakovas, remdamasis BDAR 32 straipsnio 1 dalimi, darė išvadą, kad atsakomybė už atitinkamo lygio saugumą užtikrinančių techninių ir organizacinių priemonių įgyvendinimą, nepaisant BDAR 5 straipsnio 2 dalyje įtvirtinto atskaitomybės principo, yra tiesioginė duomenų tvarkytojo pareiga. Aplinkybę, jog duomenų tvarkytojas tiesiogiai atsako už tam tikrus BDAR pažeidimus, patvirtinta ir BDAR 83 straipsnio 4 dalies a punkto, numatančio administracines baudas už ne tik už duomenų valdytojo, bet ir už duomenų tvarkytojo prievolių, numatytų 8, 11, 25-39 ir 42 bei 43 straipsniuose, pažeidimą, nuostata. Be kita ko, BDAR 82 straipsnio 2 dalyje taip pat yra numatyta, jog duomenų tvarkytojas už dėl duomenų tvarkymo sukeltą žalą atsako tik tuo atveju, jeigu jis nesilaikė šiame reglamente konkrečiai duomenų tvarkytojams nustatytų prievolių. Sistemiškai vertinant paminėtas BDAR nuostatas, darytina išvada, jog duomenų tvarkytojas tiesiogiai atsako už asmens duomenų saugumo neužtikrinimą, todėl Inspekcija skundžiamu Sprendimu tinkamai nustatė atsakomybės subjektą.

3.2. Atsakovas nurodė Valstybės informacinių išteklių valdymo įstatymo 2 straipsnio 11 ir 12, 15 ir 16 dalis, Gairių 17 ir 18 punktus.

3.3. Atsakovo teigimu, BDAR 32 straipsnyje nustatyta duomenų valdytojo ir duomenų tvarkytojo atsakomybė už tinkamų techninių ir organizacinių duomenų saugumo priemonių įgyvendinimą labai aiškiai atskirta Lietuvos Respublikos teisės aktuose ir todėl negali būti kvestionuojama.

3.4. Nors pareiškėjas dėjo pastangas, siekdamas kuo skubiau atkurti valstybės registrų ir valstybės informacinių sistemų veikimą, tačiau laiku neįgyvendinus tinkamų techninių ir organizacinių saugumo priemonių, pareiškėjai nepavyko užtikrinti nuolatinio duomenų tvarkymo sistemų ir paslaugų prieinamumo ir atsparumo, o taip pat laiku (per nustatytą 8 valandų laikotarpį) atkurti Elektroninės sveikatos paslaugų ir bendradarbiavimo infrastruktūros informacinė sistemos veikimo, sukeliant įvairaus rimtumo pavojus fizinių asmenų teisėms ir laisvėms (laiku negaunant reikiamų paslaugų) ir tuo pareiškėjas, neužtikrindamas Aprašo 5.11 ir 5.12.11 papunkčiuose nustatytų reikalavimų, pažeidė BDAR 32 straipsnio 1 dalies b ir c punktus.

II. 4. Vilniaus apygardos administracinis teismas 2021 m. gruodžio 1 d. sprendimu pareiškėjo skundą atmetė.

5. Teismas nustatė, kad 2020 m. liepos 20 d. Registrų centro pastate, esančiame adresu (duomenys neskelbtini) Vilniuje, dėl stichinio gamtos reiškinio – itin stiprios liūties Vilniaus mieste, trūko lietaus nuotekų sistemos vamzdis, todėl vanduo pateko į duomenų centro, esančio (duomenys neskelbtini), Vilniuje (rūsyje) patalpas. Įvykus Incidentui nustojo veikti dalis serverių, todėl tam tikrą laiko tarpą tapo nepasiekiama dalis serveriuose saugomos informacijos. Registrų centras apie susiklosčiusią situaciją informavo Inspekciją 2020 m. liepos 23 d. pranešimais apie asmens duomenų saugumo pažeidimus Nr. S-1054 (1.8), Nr. S-1055 (1.8) ir Elektroninio dokumento nuorašu 2-16S-1056 (1.8), kurie buvo patikslinti Registrų centro 2020 m. rugpjūčio 20 d. raštu NS-5640 (1.8). Inspekcijoje 2020 m. liepos 24 d. buvo gautas SAM 2020 m. liepos 23 d. pranešimas apie asmens duomenų saugumo pažeidimą Nr. 10AD-164.

6. Inspekcija, išnagrinėjusi su Incidentu susijusią medžiagą, priėmė 2021 m. vasario 26 d. Sprendimą „Dėl administracinės baudos skyrimo valstybės įmonei Registrų centrui“ Nr. 2R-891 (2.23.E) kuriuo, už BDAR 32 str. 1 d. b ir c punktuose įtvirtintų nuostatų pažeidimus, pareiškėjui paskyrė 15 000 Eur baudą.

7. Byloje nėra ginčo, kad VĮ Registrų centras yra 25 Registrų ir Valstybės informacinių sistemų (VIS) duomenų tvarkytojas. Byloje taip pat nėra ginčo, kad, įvykus Incidentui, pareiškėjas neužtikrino pirmos kategorijos informacinės sistemos nuolatinio duomenų tvarkymo sistemų ir paslaugų konfidencialumo, vientisumo, prieinamumo ir laiku per 8 valandas (teisinis pagrindas – Aprašo 5.11.4 papunktis) neatkūrė galimybės naudotis Elektroninės sveikatos paslaugų ir bendradarbiavimo infrastruktūros informacinėje sistemoje (ESPBI IS) tvarkomais asmens duomenimis. Tuo pagrindu pareiškėjas Inspekcijos buvo pripažintas asmens duomenų saugumo pažeidimo subjektu, pažeidusiu BDAR 32 str. 1 d. b ir c punktuose įtvirtintus reikalavimus.

8. Teismas, atsižvelgęs į pareiškėjo skundo argumentus, nurodė, kad nagrinėjamu atveju esminga nustatyti, ar Inspekcija dėl asmens duomenų saugumo pažeidimo nustatė tinkamą pažeidimo subjektą bei, ar Inspekcijos Sprendime nurodytas teisinis pagrindas yra tinkamas pagrįsti būtent duomenų tvarkytojo atsakomybę dėl Incidento padarinių.

9. Teismas išanalizavo BDAR 32 straipsnio 1 dalį, Valstybės informacinių išteklių valdymo įstatymo 2 straipsnio 11, 12 ir 16 dalis, 43 straipsnio 1 ir 3 dalis, Gairių 17 ir 18 punktus. Teismas nurodė, kad iš aptartų teisės nuostatų turinio matyti, kad už asmens duomenų apsaugos pažeidimus atsakomybė numatyta tiek duomenų valdytojui, tiek duomenų tvarkytojui. Tačiau, vertinant kiekvieno subjekto (duomenų valdytojo ir duomenų tvarkytojo) atsakomybės turinį individualiai, nurodytų teisės nuostatų kontekste, matyti, kad duomenų valdytojas atsakingas už duomenų apsaugos politikos formavimą daugiau bendrąja prasme (registro funkcionavimo koordinavimas, valstybės informacinės sistemos tikslų ir valstybės informacinės sistemos valdymas, saugos politikos formavimas ir jos įgyvendinimo organizavimas, priežiūra ir elektroninės informacijos tvarkymas ir pan.), tuo tarpu už registro duomenų tvarkymą, registro informaciją, reikiamas technines ir organizacines saugos priemones ir tokių priemonių laikymąsi, jų įgyvendinimą yra atsakingas duomenų tvarkytojas. Duomenų tvarkytojas privalo užtikrinti ir laikytis duomenų saugos reikalavimų duomenų valdytojo, formuojančio bendrą saugos politiką, dokumentuose nustatyta tvarka. Taigi, iš aptartų teisės nuostatų darytina išvada, kad duomenų valdytojo, kaip subjekto, taip pat atsakingo už duomenų saugą, funkcijos nukreiptos į geresnį saugomų duomenų prieinamumo ir tuo pačiu saugumo užtikrinimą, t. y., duomenų saugos politikos, susijusios su tikslu stiprinti tvarkomų duomenų apsaugos pajėgumus, taikyti geresnę duomenų apsaugos kontrolės kokybę, formavimą, o duomenų tvarkytojo funkcijos susijusios su duomenų valdytojo formuojamos bendros politikos įgyvendinimu – tvarkomų duomenų apsaugos kontrolės kokybės užtikrinimas įvairiomis techninėmis ir organizacinėmis priemonėmis bei šių priemonių laikymasis. Aptartų teisės nuostatų kontekste teismas darė išvadą, kad Inspekcija pagrįstai nusprendė, jog už Incidento padarinių atsiradimą, nagrinėjamu atveju, atsakingas duomenų tvarkytojas – Registrų centras – savalaikiai neįgyvendinęs tinkamų techninių ir organizacinių saugumo priemonių, dėl ko įvykus Incidentui nepavyko užtikrinti duomenų tvarkymo sistemų prieinamumo per Aprašo 5.11.4 papunktyje nustatytą 8 val. terminą (ESPBI IS duomenų atstatymas užtruko ilgiau nei 7 dienas).

10. Iš Sprendimo matyti, kad, priešingai, nei teigė pareiškėjas, Inspekcija, prieš priimdama galutinį sprendimą, įvertino pareiškėjo pastangas siekiant atstatyti visų sistemų veikimą, be kita ko, teigiamai. Taip pat, atsižvelgiant į Incidento priežastį (liūtis), pareiškėjo veiksmai (pažeidimas) buvo įvertinti kaip netyčiniai. Palankiai įvertintas pareiškėjo bendradarbiavimas su Inspekcija bei dar prieš Incidentą įgyvendinti techniniai saugos sprendimai. Nors Valstybės registrų bei Informacinių sistemų atstatymas užtruko iki 8 val., o ESPBI IS duomenų atstatymas užtruko ilgiau nei 7 dienas ir materialinė žala nebuvo padaryta, tačiau teismas sutiko su atsakovo argumentais, kad net ir objektyviai ir palankiai vertinant pareiškėjo veiksmus, siekiant kuo efektyvesnio duomenų sistemos veikimo atstatymo, vis tik ESPBI duomenų subjektai galėjo patirti/patyrė reikšmingų nepatogumų (galimai savalaikiai nesuteiktos medicinos paslaugos, susijusios su registracija dėl medicininės pagalbos, apribota galimybė įsigyti vaistų ir pan.). Taigi, nėra pagrindo teigti, kad Inspekcija neatsižvelgė į visus įmanomus Registrų centro, kaip registrų ir informacinių sistemų duomenų tvarkytojo, įmanomus veiksmus. Priešingai, nei nurodo pareiškėjas, subjektyvioji, kaip ir objektyvioji pažeidimo pusė, buvo vertinama ir įvertinta.

11. Teismas nesutiko su pareiškėjo argumentais, kad Gairių 16, 17 ir 18 punktai vienareikšmiškai patvirtina nepagrįstą Inspekcijos Gairių 18 punkto interpretaciją, kad už Incidento padarinius atsakomybė kyla išimtinai tik Registrų centrui, kaip duomenų tvarkytojui. Šių teisės nuostatų turinys apibrėžia tiek duomenų valdytojo, tiek duomenų tvarkytojo atsakomybę. Tačiau už reikiamų administracinių, techninių ir organizacinių saugos priemonių įgyvendinimą, užtikrinimą ir laikymąsi, atsakingas būtent duomenų tvarkytojas. Nagrinėjamu atveju aiškiai nustatyta, kad Incidentas įvyko dėl techninių kliūčių, už kurių neužtikrinimą yra atsakingas duomenų tvarkytojas (Gairių 18 punktas). Pareiškėjo pozicija, kad duomenų tvarkytojas atsako tik už administracinių, techninių ir organizacinių saugos priemonių įgyvendinimą ir laikymąsi Saugos nuostatuose ir saugos politiką įgyvendinančiuose dokumentuose nustatyta tvarka, t. y. privalo užtikrinti technines ir organizacines saugos priemones tokiose ribose, kurias patvirtino duomenų valdytojas, negali būti aiškintina kaip siaurinanti duomenų tvarkytojo funkcijas reglamentuojančių teisės aktų nuostatų kontekste. Teismas pažymėjo, kad tiek vandens užliejimo grėsmė iš šiluminės trasos, tiek per pastato sienas patenka į techninių galimybių užtikrinimo apimtį esant atsakingam už registro duomenų ir registro informacijos saugą (Valstybės informacinių išteklių valdymo įstatymo 2 straipsnio 11, 16 dalys, Gairių 18 dalis).

12. Apibendrindamas teismas darė išvadą, kad Inspekcijos Sprendimas atitinka teisės aktų keliamus reikalavimus, Sprendime pateikta informacija yra aiški, išsami, nurodytos aiškios nuobaudos skyrimo priežastys bei nuobaudos skyrimą reglamentuojantis teisinis pagrindas. Sprendimas pagrįstas objektyviais duomenimis, kurie yra susieti su taikoma nuobauda ir konkrečiomis teisės aktų normomis, motyvų išdėstymas yra adekvatus, aiškus ir pakankamas, todėl nėra pagrindo teigti, kad atsakovė, priimdama Sprendimą, pažeidė Viešojo administravimo įstatymo 3, 10 straipsniuose nurodytus reikalavimus.

III. 13. Pareiškėjas Registrų centras apeliaciniame skunde prašo panaikinti Vilniaus apygardos administracinio teismo 2021 m. gruodžio 1 d. sprendimą ir priimti naują sprendimą – pareiškėjo skundą tenkinti.

14. Pareiškėjas apeliacinį skundą grindžia tais pačiais argumentais, kurie nurodyti pareiškėjos skunde pirmosios instancijos teismui. Papildomai pareiškėjas teigia, kad:

14.1. pirmosios instancijos teismas neobjektyviai ir neišsamiai ištyrė byloje esančius rašytinius įrodymus, neįsigilino į ginčo esmę, netinkamai taikė teisės aktų nuostatas.

14.2. Teismas nevertino pareiškėjo skundo argumentų, jog Inspekcijos Sprendimas neatitinka Viešojo administravimo įstatymo 3 straipsnyje įtvirtintų įstatymo viršenybės, išsamumo ir objektyvumo principų, 10 straipsnio 5 dalies 5 punkto ir 6 punkto, Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo 34 straipsnio 10 dalies 4, 5, 6 ir 7 punktų reikalavimų.

14.3. Teismas taip pat nenagrinėjo Registrų centro argumentų, kad Registrų centras atliko visus jam, kaip registrų ir informacinių sistemų duomenų tvarkytojui, įmanomus veiksmus, tinkamai įgyvendinant technines ir organizacines priemones, kad būtų užtikrintas duomenų saugumas jo atsakomybės ir galimybių ribose.

14.4. Pareiškėjo nuomone, tiek Inspekcijos Sprendime, tiek teismo sprendime, nustatytos tam tikros pavienės aplinkybės, tačiau ne faktų visuma, tarp argumentų yra prieštaravimų, prielaidų, todėl akivaizdu, jog šiuo konkrečiu atveju buvo pažeista ir Lietuvos Respublikos administracinių bylų teisenos įstatymo (toliau – ABTĮ) 56 straipsnio 7 dalyje įtvirtinta norma.

14.5. Pareiškėjas nesutinka su teismo sprendimo argumentais dėl pažeidimo subjekto nustatymo. Registrų centras, kaip duomenų tvarkytojas negalėjo ir negali vienašališkai, be duomenų valdytojo pritarimo, priimti sprendimus dėl informacinių sistemų veiklos, elektroninės informacijos saugos (kibernetinio saugumo) tobulinimo.

14.6. Registrų centras, kaip duomenų tvarkytojas, privalo užtikrinti tokias technines ir organizacines saugos priemones, kurias patvirtino duomenų valdytojas.

15. Atsakovas Inspekcija atsiliepime į apeliacinį skundą prašo jį atmesti ir nurodo šiuos argumentus:

15.1. Inspekcija nurodo, kad pirmosios instancijos teismo sprendimas yra teisiškai argumentuotas, jame yra įvertinti tyrimui reikšmingi teisiniai ir faktiniai aspektai. Pagrindinis tiek Inspekcijos, tiek ir VAAT sprendime pateiktas VĮ Registrų centro įvykdyto asmens duomenų tvarkymo pažeidimo įrodymas yra akivaizdus ir nereikalaujantis papildomų įrodymų. Teismo sprendime konstatuojama, kad byloje nėra ginčo, kad VĮ Registrų centras yra 25 Registrų ir Valstybės informacinių sistemų (VIS) duomenų tvarkytoja; byloje taip pat nėra ginčo, kad, įvykus Incidentui, pareiškėjas neužtikrino pirmos kategorijos informacinės sistemos nuolatinio duomenų tvarkymo sistemų ir paslaugų konfidencialumo, vientisumo, prieinamumo ir laiku per 8 valandas neatkūrė galimybės naudotis Elektroninės sveikatos paslaugų ir bendradarbiavimo infrastruktūros informacinėje sistemoje (ESPBI IS) tvarkomais asmens duomenimis. Teismo sprendime taip pat yra įvertinta tiek subjektyvioji, tiek ir objektyvioji pažeidimo pusės ir išanalizavus abiejų šalių pateiktus argumentus, taip pat konkrečias asmens duomenų tvarkymą reglamentuojančių teisės aktų nuostatas. Be to, teismas neturi pareigos pasisakyti dėl kiekvieno pareiškėjo argumento.

15.2. Inspekcijos sprendime tyčios ir materialinės žalos nebuvimas yra įvertinti kaip pažeidimą švelninantys veiksniai. Teismas sprendime įvertino ir išdėstė poziciją dėl tyčios, aplaidumo ir materialinės žalos nebuvimo veiksnių.

15.3. Teismas vertino ir pasisakė dėl aplinkybių, kad Registrų centras, įgyvendindamas saugumo priemones, yra priklausomas nuo duomenų valdytojo. Detaliai išanalizavęs abiejų šalių argumentus, teismas padarė išvadą, kad nagrinėjamu atveju aiškiai nustatyta, kad Incidentas įvyko dėl techninių kliūčių, už kurių neužtikrinimą yra atsakingas duomenų tvarkytojas (Aprašo 18 punktas); apelianto pozicija, kad duomenų tvarkytojas atsako tik už administracinių, techninių ir organizacinių saugos priemonių įgyvendinimą ir laikymąsi Saugos nuostatuose ir saugos politiką įgyvendinančiuose dokumentuose nustatyta tvarka, t. y. privalo užtikrinti technines ir organizacines saugos priemones tokiose ribose, kurias patvirtino duomenų valdytojas, negali būti aiškintina kaip siaurinanti duomenų tvarkytojo funkcijas reglamentuojančių teisės aktų nuostatų kontekste.

Teisėjų kolegija

konstatuoja:

IV. 16. Nagrinėjamoje byloje ginčas kilo dėl Valstybinės duomenų apsaugos inspekcijos 2021 m. vasario 26 d. sprendimo „Dėl administracinės baudos skyrimo valstybės įmonei Registrų centrui“ Nr. 2R-891 (2.23.E) ir įpareigojimo atsakovę iš naujo išnagrinėti bylą dėl administracinės baudos skyrimo, teisėtumo ir pagrįstumo.

17. Pirmosios instancijos teismas skundžiamu sprendimu pareiškėjo skundą atmetė. Pareiškėjas, nesutikdamas su pirmosios instancijos teismo sprendimu, padavė apeliacinį skundą, kuriame, be kita ko, teigia, kad teismas netinkamai nustatė ir įvertino reikšmingas faktines aplinkybes, netinkamai taikė teisės aktų nuostatas.

18. Pirmiausiai teisėjų kolegija pažymi, kad apeliacinis procesas nėra bylos nagrinėjimo pirmosios instancijos teisme pratęsimas. Apeliacinės instancijos teismas paprastai bylą gali tikrinti tik ta apimtimi, kuria byla buvo išnagrinėta pirmosios instancijos teisme ir kuri buvo užfiksuota pirmosios instancijos teismo sprendimu (žr., pvz., LVAT 2013 m. birželio 11 d. nutartį administracinėje byloje Nr. A822-1321/2013, 2017 m. birželio 21 d. nutartį administracinėje byloje Nr. A-1855-575/2017). ABTĮ 140 straipsnio 1 dalyje įtvirtinta, kad teismas, apeliacine tvarka nagrinėdamas bylą, patikrina pirmosios instancijos teismo sprendimo pagrįstumą ir teisėtumą, neperžengdamas apeliacinio skundo ribų.

19. ABTĮ 86 straipsnyje nustatyta, kad teismo sprendimas turi būti teisėtas ir pagrįstas (1 d.), kad priimdamas sprendimą, administracinis teismas įvertina teismo posėdyje ištirtus įrodymus, konstatuoja, kurios aplinkybės, turinčios bylai esminės reikšmės, yra nustatytos ir kurios nenustatytos, kuris įstatymas turi būti taikomas šioje byloje ir ar skundas (prašymas, pareiškimas) yra tenkintinas (2 d.), ir kad teismo sprendime turi būti atsakyta į visus pareiškėjo pareikštus pagrindinius reikalavimus (3 d.). Taigi teismo sprendimas laikomas teisėtu ir pagrįstu, kai teismas įvertina teismo posėdyje ištirtus įrodymus, konstatuoja, kurios aplinkybės, turinčios bylai esminės reikšmės, yra nustatytos ir kurios nenustatytos, kuris įstatymas turi būti taikomas šioje byloje, taip pat kai teismo sprendimo motyvuojamoje dalyje yra argumentuotai atsakyta į pagrindinius pareiškėjo reikalavimus.

20. Teisėjų kolegija, patikrinusi bylą ABTĮ 140 straipsnyje nustatyta tvarka, įvertinusi byloje esančius įrodymus, bylos šalių procesiniuose dokumentuose nurodytus argumentus, daro išvadą, kad tikrinamas pirmosios instancijos teismo sprendimas paminėtų esminių teismo sprendimui keliamų reikalavimų neatitinka, todėl negali būti pripažintas pagrįstu bei teisėtu.

21. Inspekcija ginčijamu Sprendimu konstatavo, kad pareiškėjas pažeidė 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (BDAR) 32 str. 1 d. b ir c punktuose įtvirtintas nuostatas ir skyrė pareiškėjui 15 000 Eur baudą. Laiku neįgyvendinus tinkamų techninių ir organizacinių saugumo priemonių, Registrų centrui nepavyko užtikrinti nuolatinio duomenų tvarkymo sistemų ir paslaugų prieinamumo ir atsparumo, o taip pat laiku (per nustatytą 8 valandų laikotarpį) atkurti ESPBI veikimo, ir tuo Registrų centras, netenkindamas Aprašo 5.11 ir 5.12.11 papunkčiuose nustatytų reikalavimų, pažeidė minėtus BDAR 32 straipsnio 1 dalies b ir c punktus.

22. BDAR 32 straipsnio 1 dalyje nustatyta, kad atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas ir duomenų tvarkytojas įgyvendina tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas, įskaitant, inter alia, jei reikia: gebėjimą užtikrinti nuolatinį duomenų tvarkymo sistemų ir paslaugų konfidencialumą, vientisumą, prieinamumą ir atsparumą (b punktas); gebėjimą laiku atkurti sąlygas ir galimybes naudotis asmens duomenimis fizinio ar techninio incidento atveju (c punktas).

23. VIIVĮ 43 straipsnio 3 dalyje nustatyta, kad už informacijos saugą pagal kompetenciją atsako valstybės informacinės sistemos valdytojas ir valstybės informacinės sistemos tvarkytojas. Už registro duomenų ir registro informacijos saugą pagal kompetenciją atsako registro valdytojas ir registro tvarkytojas. Registro ar valstybės informacinių sistemų tvarkytojai privalo saugos nuostatuose ir kituose saugos dokumentuose nustatyta tvarka užtikrinti reikiamas technines ir organizacines saugos priemones ir tokių priemonių laikymąsi.

24. Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimo Nr. 716 „Dėl bendrųjų elektroninės informacijos saugos reikalavimų aprašo, saugos dokumentų turinio gairių aprašo ir elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ (Gairių) 16 punkte nustatyta, kad už elektroninės informacijos saugą pagal kompetenciją atsako informacinės sistemos valdytojas ir informacinės sistemos tvarkytojas. Gairių 17 punkte nustatyta, kad informacinės sistemos valdytojas atsako už saugos politikos formavimą ir įgyvendinimo organizavimą, priežiūrą ir elektroninės informacijos tvarkymo teisėtumą. Informacinės sistemos tvarkytojas (-ai) atsako už reikiamų administracinių, techninių ir organizacinių saugos priemonių įgyvendinimą, užtikrinimą ir laikymąsi Saugos nuostatuose ir saugos politiką įgyvendinančiuose dokumentuose nustatyta tvarka (18 punktas).

25. Sutiktina su pirmosios instancijos teismo argumentais, kad už informacijos saugą pagal kompetenciją atsako tiek registro ar valstybės informacinių sistemų valdytojai, tiek jų tvarkytojai. Pagal VIIVĮ 43 straipsnio 3 dalies, taip pat pagal Gairių 17 ir 18 punktų nuostatas valdytojas atsako už saugos politikos formavimą ir įgyvendinimo organizavimą, tuo tarpu registro ar valstybės informacinių sistemų tvarkytojai privalo saugos nuostatuose ir kituose saugos dokumentuose nustatyta tvarka užtikrinti reikiamas technines ir organizacines saugos priemones ir tokių priemonių laikymąsi, taigi sprendžiant ar registro ar valstybės informacinių sistemų tvarkytojai užtikrino reikiams technines ir organizacines saugos priemones būtina įvertinti tiek saugos nuostatus, tiek ir kitus aktualius saugos politiką įgyvendinančius dokumentus. Pritardamas Inspekcijos išvadai, jog pareiškėjas savalaikiai neįgyvendino tinkamų techninių ir organizacinių saugumo priemonių ir yra atsakingas už Incidento padarinių atsiradimą, pirmosios intancijos teismas nei saugos nuostatų, nei kitų aktualių saugos dokumentų nevertino ir dėl juose išdėstytų priemonių bei tvarkos nepasisakė, nors pareiškėjas skunde buvo išdėstęs išsamius argumentus.

26. Teisėjų kolegija laikosi nuostatos, kad pirmosios instancijos teismas spręsdamas dėl BDAR 32 straipsnio 1 dalies b punkto pažeidimo neištyrė, kokias konkrečiai technines bei organizacines priemones yra pažeidęs pareiškėjas. Dėl Inspekcijos nustatyto BDAR 32 straipsnio 1 dalies c punkto pažeidimo pirmosios instancijos teismas taip pat patvirtino šį pažeidimą, tačiau pagrįstai nebuvo paneigtas pareiškėjo teiginys, kad nepaisant sustabdyto valstybės informacinių išteklių konsolidavimo proceso, pareiškėjas ėmėsi visų įmanomų veiksmų, siekdamas ESPB IS veiklos tęstinumo užtikrinimo, taip pat negalėjo vienašališkai, be duomenų valdytojo pritarimo, priimti sprendimus dėl informacinių sistemų veiklos, informacijos saugos (kibernetinio saugumo) tobulinimo. Be to, teismui buvo pateikti rašytiniai įrodymai, patvirtinantys, kad pareiškėjas 2019 m. sausio 23 d. raštu kreipėsi į duomenų valdytoją SAM ir kitas institucijas su pasiūlymais įgyvendinti sprendimus, užtikrinančius ESPBI IS veiklos tęstinumą įvykus incidentui, taip pat 2019 m. liepos 31 d. raštu kreipėsi į IVPK. Šie pareiškėjo skundo argumentai pirmosios instancijos teismo taip pat nebuvo aptarti. Taigi, darytina išvada, kad pirmosios instancijos teismas neatliko įrodymų vertinimo nagrinėjamoje byloje aktualiais BDAR 32 straipsnio 1 dalies b ir c punktų ir VIIVĮ 43 straipsnio 3 dalies įtvirtintais aspektais.

27. Apeliacinė teisėjų kolegija pažymi, kad teismas, vertindamas pareiškėjui skirtos administracinės baudos pagrįstumą ir proporcingumą, be kita ko, turi nustatyta tvarka surinkęs ir ištyręs įrodymus motyvuotai atsakyti, ne tik į tai, ar Inspekcija pagrįstai konstatavo, kad pareiškėjas neįvykdė konkrečių techninių bei organizacinių priemonių, bet ir į tai, ar Inspekcijos sprendimas už tai skirti administracinę baudą ir jos dydžio parinkimas yra pagrįstas BDAR 83 straipsnio 2 dalies prasme.

28. Apeliacinės instancijos teismas paprastai tikrina priimto pirmosios instancijos teismo sprendimo teisėtumą bei pagrįstumą, o pirmosios instancijos teismas privalo išsamiai, visapusiškai ir objektyviai ištirti ir įvertinti konkrečios bylos faktus, atskleisti bylos esmę ir sprendimu nustatyti, ar pareiškusio skundą asmens teisės ir įstatymų saugomi interesai pažeisti, jei pažeisti, – kokiu teisiniu būdu bei kokia apimtimi gintini (žr., pvz., LVAT 2017 m. sausio 4 d. nutartį administracinėje byloje Nr. A-1037-438/2017). Vien tik LVAT teisiškai įvertinus reikšmingus faktinius duomenis, kurie nebuvo tirti bei vertinti pirmosios instancijos teisme, būtų pažeista proceso šalies teisė į apeliaciją, o tai lemtų teisės bent kartą apskųsti nepalankų teismo sprendimą instancine teismų sprendimų kontrolės tvarka pažeidimą (žr., pvz., 2012 m. kovo 9 d. nutartį administracinėje byloje Nr. A662-374/2012).

29. Apibendrinant nurodytus argumentus, darytina išvada, kad pirmosios instancijos teismas nenustatė visų bylai svarbių aplinkybių, visapusiškai ir objektyviai jų neištyrė. Pirmosios instancijos teismo padaryti proceso pažeidimai negali būti ištaisyti apeliacinės instancijos teisme, todėl yra faktinis ir teisinis pagrindas bylą grąžinti nagrinėti iš naujo pirmosios instancijos teismui, o ne priimti naują sprendimą. Dėl nurodytų priežasčių pareiškėjo apeliacinis skundas tenkinamas iš dalies, pirmosios instancijos teismo sprendimas naikinamas ir administracinė byla grąžinama pirmosios instancijos teismui nagrinėti iš naujo.

Vadovaudamasi Lietuvos Respublikos administracinių bylų teisenos įstatymo 144 straipsnio 1 dalies 4 punktu, teisėjų kolegija

nutaria:

Pareiškėjo valstybės įmonės Registrų centro apeliacinį skundą tenkinti iš dalies.

Vilniaus apygardos administracinio teismo 2021 m. gruodžio 1 d. sprendimą panaikinti ir perduoti bylą pirmosios instancijos teismui nagrinėti iš naujo.

Nutartis neskundžiama.

Teisėjai Rytis Krasauskas

Iveta Pelienė

Skirgailė Žalimienė