2020-04-02 Nr. AB-6841-3-61-3-02627-2017-0 · Lietuvos vyriausiasis administracinis teismas

Administracinė byla Nr. A-3345-822/2020

Teisminio proceso Nr. 3-61-3-02627-2017-0

Procesinio sprendimo kategorija 26

(S)

LIETUVOS VYRIAUSIASIS ADMINISTRACINIS TEISMAS

S P R E N D I M A S

LIETUVOS RESPUBLIKOS VARDU

2020 m. balandžio 2 d.

Vilnius

Lietuvos vyriausiojo administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Audriaus Bakavecko, Vaidos Urmonaitės-Maculevičienės ir Skirgailės Žalimienės (kolegijos pirmininkė ir pranešėja),

teismo posėdyje apeliacine rašytinio proceso tvarka išnagrinėjo atsakovo Valstybinės duomenų apsaugos inspekcijos apeliacinį skundą dėl Vilniaus apygardos administracinio teismo 2018 m. balandžio 17 d. sprendimo administracinėje byloje pagal pareiškėjų uždarosios akcinės bendrovės „Birštono šaltinis“, akcinės bendrovės „Eglės“ sanatorija ir uždarosios akcinės bendrovės „Namita“ skundą atsakovui Valstybinei duomenų apsaugos inspekcijai dėl nurodymo panaikinimo (trečiasis suinteresuotas asmuo uždaroji akcinė bendrovė „HANSAB“).

Teisėjų kolegija

n u s t a t ė:

I. 1. Pareiškėjai uždaroji akcinė bendrovė (toliau – ir UAB) „Birštono šaltinis“, akcinė bendrovė (toliau – ir AB) „Eglės“ sanatorija ir UAB „Namita“ (toliau – ir pareiškėjai, Bendrovės) su skundu kreipėsi į teismą, prašydami panaikinti Valstybinės duomenų apsaugos inspekcijos (toliau – ir Inspekcija) 2017 m. birželio 22 d. nurodymą Nr. 2R-4073(2.13) „Dėl asmens duomenų tvarkymo“ (toliau – ir Nurodymas).

2. Pareiškėjai skundą grindė šiais argumentais:

2.1. Priešingai nei Nurodyme teigia Inspekcija, darbuotojų biometrinių asmens duomenų tvarkymas turi teisinį pagrindą – duomenų subjekto sutikimą. Inspekcija nepagrįstai teigia, kad asmens duomenų tvarkymas neturi nė vieno Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – Įstatymas, ADTAĮ) 5 straipsnyje numatyto teisinio pagrindo, įskaitant duomenų subjekto sutikimą, nors toks sutikimas iš tikrųjų yra gaunamas. Kiekvienas Bendrovių darbuotojas turi galimybę pasirinkti, ką naudoti – ar piršto atspaudą, ar skaitmeninį kodą, ir savo sprendimą gali nurodyti pasirašydamas specialią sutikimo formą. Tai, kad Bendrovių darbuotojai duoda savo sutikimus biometrinių asmens duomenų tvarkymui, Nurodyme patvirtina ir Inspekcija, teigdama, kad po 2016 m. gruodžio 30 d. sutikimai yra gaunami, tačiau tariamai dėl darbuotojų priklausomybės nuo Bendrovių neatitinka savanoriškumo principo ir dėl to negalioja.

2.2. Visiems darbuotojams suteikta galimybė laisvanoriškai išreikšti savo sutikimą, iš darbuotojų I. B. (UAB „Birštono šaltinis“ (duomenys neskelbtini)), D. V. (UAB „Namita“(duomenys neskelbtini)), V. J. (UAB „Namita“(duomenys neskelbtini)), I. K. (AB „Eglės“ sanatorijos (duomenys neskelbtini)) pasirinkimų matyti, kad šie asmenys pasirinko skaitmeninio kodo naudojimą, ir jiems buvo suteikta galimybė naudoti tokį kodą vietoj piršto atspaudo, t. y. jų valia buvo įgyvendinta. Visi kiti darbuotojai savo laisva valia pasirinko naudoti piršto atspaudą. Bendrovių darbuotojai, pasirinkę biometrinių duomenų naudojimą arba skaitmeninio kodo naudojimą, gali bet kada pakeisti savo sutikimą ir vietoj biometrinių duomenų pradėti naudoti skaitmeninį kodą, arba vietoj skaitmeninio kodo pradėti naudoti biometrinius duomenis. Apie tokią savo teisę jie yra informuoti ir sutikimo formose.

2.3. Inspekcija nepagrįstai teigia, kad Bendrovių darbuotojų sutikimai nėra laisvanoriški, nes darbuotojai tariamai yra socialiai priklausomi, sutikimų davimas yra siejamas su kokių nors privilegijų suteikimu (darbo sutarties pasirašymu), be to, darbuotojai yra iš mažo miestelio, kuriame darbo vietų skaičius ribotas. Ar darbuotojas gali laisva valia duoti sutikimą, ar negali, turėtų būti vertinama neatsižvelgiant į tai, ar bendrovė yra iš mažo miestelio, ar iš didelio miesto. Turėtų būti vertinamos konkrečios situacijos konkrečiose bendrovėse pagal visoms bendrovėms taikomus vienodus kriterijus.

2.4. Darbuotojai piršto atspaudus renkasi kaip greitesnę ir patogesnę laiko apskaitos kontrolės priemonę, laiko tai šiuolaikiška ir modernia technologija, kaip piršto atspaudo privalumą nurodo tai, kad skaitmeninį kodą galima užmiršti. Bendrovėse nėra darbuotojų, kurie dėl piršto atspaudų naudojimosi piktintųsi. Tik keturi darbuotojai, kurie to norėjo, pasirinko skaitmeninio kodo naudojimą. Įstatymo 5 straipsnio 1 dalies 1 punktas nustato, kad asmens duomenys gali būti tvarkomi, jeigu duomenų subjektas duoda sutikimą. Esant šiam duomenų tvarkymo pagrindui, t. y. gavusios savo darbuotojų sutikimus, Bendrovės turi teisę tvarkyti darbuotojų biometrinius duomenis.

2.5. Bendrovės, tvarkydamos savo darbuotojų duomenis, neabejotinai siekia intereso, kuris yra teisėtas – užtikrinti laiko apskaitos kontrolę (ADTAĮ 5 str. 1 d. 6 p.), kad darbuotojai laiku ateitų į darbą ir laiku iš jo išeitų, be to, kad laiko apskaitos kontrolės sistemoje pasižymėtų tas darbuotojas, kuris į darbą ateina ir iš jo išeina, o ši laiko apskaitos kontrolės sistema būtų patogi patiems darbuotojams.

2.6. Dėl Inspekcijos argumento, jog Bendrovės tvarko biometrinius duomenis, neatlikusios savo ir darbuotojų interesų pusiausvyros vertinimo, pareiškėjai pažymėjo, kad Įstatymas nereikalauja tokį vertinimą atlikti rašytine forma ir jį dokumentuoti. Įstatymo 5 straipsnio 1 dalies 6 punktas reikalauja ir kaip duomenų tvarkymo teisėtumo sąlygą nustato tai, kad duomenų subjekto interesai nebūtų svarbesni už duomenų valdytojo teisėtą interesą, o interesų vertinimo atlikimas kaip privalomas dokumentas ar procesas net nėra minimas. Inspekcija, kaip numatyta Įstatyme, turėtų vertinti, ar duomenų valdytojų teisėtas interesas apskritai egzistuoja ir ar už jį nėra svarbesnis duomenų subjekto interesas, o ne tikrinti, ar toks vertinimas buvo atliktas. Pareiga atlikti interesų pusiausvyros vertinimą nėra numatyta jokiame privalomame teisės akte, todėl Nurodyme nustatytą interesų pusiausvyros vertinimą, kaip privalomą sąlygą biometrinių duomenų tvarkymui, pareiškėjai laikė nepagrįstu.

2.7. Darbuotojų asmens duomenų tvarkymas laiko kontrolės ir darbo drausmės tikslu yra būtinas ir proporcingas siekiamam tikslui, nes Bendrovės negali funkcionuoti neužtikrindamos, kad darbuotojai laiku ateina į darbą ir laiku iš jo išeina. Esant dideliam darbuotojų skaičiui, piršto atspaudas iš Bendrovių perspektyvos yra pats efektyviausias, o iš darbuotojų perspektyvos – pats patogiausias ir priimtiniausias būdas užtikrinti darbo laiko apskaitos kontrolę. Kiti atsakovo nurodyti būdai laiko apskaitos kontrolei užtikrinti taip pat būtų asmens duomenys. Skaitmeninis kodas pagal Įstatymo 2 straipsnio 1 dalį neabejotinai yra asmens duomuo; patikra saugos poste (pavyzdžiui, darbuotojo parašo padėjimas) taip pat reikštų asmens duomenų tvarkymą.

3. Papildomuose paaiškinimuose pareiškėjai nurodė, kad Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo 29 straipsnio duomenų apsaugos darbo grupės (toliau – ir 29 DG) nuomonės nėra teisės aktas, jame nėra nustatytos teisės normos ir jis nėra privalomas Bendrovėms. Nurodymo neteisėtumą pagrindžia ir kiti atsakovo veiksmai – po Nurodymo priėmimo kitiems duomenų valdytojams – sporto klubams buvo leista tvarkyti darbuotojų piršto atspaudo modelio duomenis (binarinius kodus) ir remtis darbuotojo sutikimu kaip pagrindu tokiam tvarkymui. Inspekcija pripažino, kad darbuotojų piršto atspaudų modelius galima naudoti kontroliuojant darbuotojų patekimą į darbo patalpas, o tokio duomenų tvarkymo pagrindas gali būti darbuotojo sutikimas. Kaip matyti iš Nurodymo, tam, kad darbuotojo sutikimas galiotų, užtenka sudaryti galimybę darbuotojui pasirinkti alternatyvą piršto atspaudui (pavyzdžiui, skaitmeninį kodą) bei vėliau atšaukti sutikimą (pavyzdžiui, pasirinkus piršto atspaudą, vėliau pasirinkti kitą alternatyvą). Pareiškėjų įsitikinimu, jie yra diskriminuojami.

4. Atsakovas Inspekcija atsiliepime į pareiškėjų skundą prašė jį atmesti.

5. Atsakovas atsiliepimą į skundą grindė iš esmės šiais argumentais:

5.1. Bendrovės skunde teigė, jog darbuotojų duomenys tvarkomi Įstatymo 5 straipsnio 1 dalies 1 punktu, tačiau taip teigdamos prieštarauja pačios sau, kadangi skunde taip pat nurodo, jog pareiškėjai, tvarkydami savo darbuotojų duomenis, neabejotinai siekia intereso, kuris yra teisėtas – užtikrinti darbo laiko apskaitos kontrolę, kad darbuotojai laiku ateitų į darbą ir laiku iš jo išeitų, o darbo laiko apskaitos kontrolės sistemoje pasižymėtų tas darbuotojas, kuris į darbą ateina ir iš jo išeina ir ši sistema būtų patogi patiems darbuotojams, t. y. pareiškėjai nurodo, jog savo darbuotojų biometrinius duomenis tvarko vadovaujantis Įstatymo 5 straipsnio 1 dalies 6 punkte numatytu asmens duomenų teisėto tvarkymo kriterijumi. Atsižvelgdama į tai, Inspekcija darė išvadą, kad pareiškėjai darbuotojų asmens duomenis darbo laiko apskaitos ir darbo drausmės kontrolės tikslais tvarkytų bet kuriuo atveju, tiek turėdami darbuotojų sutikimą, tiek jo neturėdami.

5.2. Inspekcija vadovavosi 29 DG išaiškinimais, susijusiais su sąvokos „sutikimas“ apibrėžtimi. Atsakovas sutiko, kad pareiškėjams yra būtinas darbuotojų asmens duomenų tvarkymas darbo laiko apskaitos ir darbo drausmės kontrolės tikslais ir dėl to ginčo nėra, taip pat kad pareiškėjai turi teisėtą interesą tvarkyti darbuotojų asmens duomenis minėtais tikslais, t. y. šiais tikslais asmens duomenys galėtų būti tvarkomi vadovaujantis Įstatymo 5 straipsnio 1 dalies 6 punkte nustatytu asmens duomenų teisėto tvarkymo kriterijumi. Akivaizdu, kad Bendrovės negalėtų funkcionuoti, netvarkydamos darbo laiko apskaitos ir darbo drausmės kontrolės tikslais darbuotojų asmens duomenų, tačiau, atsakovo nuomone, toks tvarkymas negali būti grindžiamas darbuotojų sutikimu (Įstatymo 5 str. 1 d. 1 p.), kadangi, jo negavus ar vėliau darbuotojui jį atsiėmus, darbuotojų darbo laiko apskaita ir darbo drausmės kontrolė būtų vykdoma ir tuo tikslu būtų tvarkomi darbuotojų asmens duomenys. Atsakovo teigimu, darbuotojų sutikimai jų biometrinių duomenų tvarkymui darbo laiko apskaitos ir darbo drausmės kontrolės tikslais yra gaunami siekiant pagrįsti šių duomenų tvarkymą, esant duomenų valdytojo – pareiškėjų – interesui.

5.3. Inspekcijai savo iniciatyva atliekant tyrimą dėl asmens duomenų (pirštų atspaudų) tvarkymo teisėtumo (toliau – ir Tyrimas), Inspekcijos direktoriaus 2015 m. gruodžio 15 d. pavedimu Nr. 2R-7317(2.13.) 2015 m. gruodžio 17 d. buvo atliktas asmens duomenų tvarkymo teisėtumo patikrinimas. Patikrinimo metu nustatyta, kad Bendrovių darbuotojų biometriniai duomenys buvo renkami be jų sutikimo, o iki 2016 m. gruodžio 30 d. darbuotojai neturėjo realios galimybės nesutikti su savo asmens duomenų tvarkymu (nebuvo alternatyvių būdų pažymėti atvykimą į darbą / išvykimą iš jo) kitaip nei pateikiant savo biometrinius duomenis (pirštų atspaudų modelius).

5.4. Tyrimo metu Bendrovės nepateikė paaiškinimų ir juos patvirtinančių dokumentų dėl to, ar unikalūs, baziniai darbuotojų pirštų atspaudų binariniai kodai, juos neteisėtai pasisavinus, gali būti panaudojami asmenims atpažinti. Tyrimo metu buvo nustatyta, kad Bendrovės neturi ir tuo pačiu nevaldo jokių unikalių šifravimo raktų, kurie būtų naudojami verčiant pirštų atspaudus į binarinius kodus ir užkertant galimybę biometrinius duomenis panaudoti analogiškoje programinėje ir techninėje įrangoje. Todėl padaryta išvada, kad pareiškėjai neužtikrina darbuotojų biometrinių asmens duomenų – unikalių, bazinių darbuotojų pirštų atspaudų binarinių kodų – saugumo ir tuo pažeidžia Įstatymo 30 straipsnio 1 dalį.

5.5. Ginčas šiuo atveju yra ne dėl to, ar pareiškėjai apskritai gali darbo laiko apskaitos ir darbo drausmės kontrolės tikslais tvarkyti darbuotojų asmens duomenis, o dėl to, ar šiais tikslais gali būti tvarkomi darbuotojų biometriniai duomenys, vadovaujantis Įstatymo 5 straipsnio 1 dalies 6 punktu.

5.6. Tyrimo metu Bendrovės darbuotojų biometrinių duomenų tvarkymą grindė šių darbuotojų sutikimais, nesirėmė minėto Įstatymo 5 straipsnio 1 dalies 6 punkte nustatytu asmens duomenų teisėto tvarkymo kriterijumi, Inspekcija jį išnagrinėjo tik todėl, kad pareiškėjai 2017 m. sausio 20 d. raštu Nr. 1-5-0089 / Nr. BŠ-2017/06 / Nr. Š-2017/7 nurodė, kad biometrinių duomenų tvarkymas reglamentuotas AB „Eglės“ sanatorijos generalinio direktoriaus 2016 m. gruodžio 30 d. įsakymu Nr. 68 „Dėl darbuotojų darbo laiko kontrolės, naudojant terminalą BioLite Net, ir atsakingų asmenų paskyrimo“, UAB „Birštono šaltinis“ direktoriaus 2016 m. gruodžio 30 d. įsakymu Nr. 251-D „Dėl darbuotojų darbo laiko kontrolės, naudojant terminalą BioLite Net, ir atsakingų asmenų paskyrimo“ ir UAB „Namita“ direktoriaus 2016 m. gruodžio 30 d. įsakymu Nr. 214-D „Dėl darbuotojų darbo laiko kontrolės, naudojant terminalą BioLite Net, ir atsakingų asmenų paskyrimo“ (toliau – ir Įsakymai), kuriuose be kita ko nurodoma, jog darbuotojui laisva valia raštiškai pasirenkant vieną iš alternatyvų: biometrinius duomenis (pirštų atspaudų modelius) arba skaitmeninį kodą, darbuotojui yra išaiškinta Įstatymo 27 straipsnyje nustatyta teisė nesutikti, kad būtų tvarkomi jo asmens duomenys.

5.7. Inspekcija, vadovaudamasi Įstatymo nuostatomis (3 str. ir 5 str.), sprendė, kad būtent Bendrovės, kaip duomenų valdytojos, turėjo pareigą įvertinti siekiamo intereso teisėtumą, įsitikinti, jog jų interesas nėra svarbesnis nei duomenų subjektų (darbuotojų) interesai, bei užtikrinti Įstatymo 3 straipsnio reikalavimų laikymąsi. Inspekcija sutiko su pareiškėjų teiginiu, jog teisės aktai nereikalauja, kad toks vertinimas būtų atliktas rašytine forma, tačiau įrodinėjimo našta, kad pareiškėjai tokį vertinimą atliko, tenka būtent pareiškėjams. Bendrovės tyrimo metu nepagrindė, kodėl darbuotojų darbo laiko apskaitos ir darbo drausmės kontrolės tikslai laikytini teisėtais tikslais tvarkant darbuotojų biometrinius duomenis (pirštų atspaudų modelius).

6. Pateiktuose paaiškinimuose į Bendrovių papildomus paaiškinimus Inspekcija nurodė, kad negali būti tokios situacijos, jog tuo pačiu darbo laiko apskaitos ir darbo drausmės kontrolės tikslu dalis asmens duomenų (pvz., darbuotojo vardas, pavardė) būtų tvarkomi vadovaujantis vienu asmens duomenų teisėto tvarkymo kriterijumi (Įstatymo 5 str. 1 d. 6 p.), o kita dalis asmens duomenų (pvz., darbuotojų biometriniai duomenys) – kitu (Įstatymo 5 str. 1 d. 1 p.). Bendrovių atliekamam darbuotojų asmens duomenų tvarkymui darbo laiko apskaitos ir darbo drausmės kontrolės tikslais yra ir turi būti taikomas Įstatymo 5 straipsnio 1 dalies 6 punktas. Atitinkamai, pareiškėjai, kaip darbuotojų darbdaviai bei jų duomenų valdytojai, negali remtis darbuotojų sutikimais jų biometrinių duomenų tvarkymui šiuo tikslu, t. y. Įstatymo 5 straipsnio 1 dalies 1 punkte nustatytu asmens duomenų teisėto tvarkymo kriterijumi, kadangi tai prieštarautų 29 DG išaiškinimui. Inspekcija nesutiko, kad Tyrimas atliktas neišsamiai, ir pažymėjo, jog būtent Bendrovės nepateikė paaiškinimų ir juos patvirtinančių dokumentų, iš kurių galima būtų daryti išvadą, kad tvarkant darbuotojų biometrinius duomenis yra užtikrinamos tinkamos organizacinės ir techninės duomenų saugumo priemonės.

7. Inspekcija akcentavo, kad, net ir Bendrovėms užtikrinus tinkamas biometrinių duomenų saugumo priemones, darbuotojų biometrinių duomenų tvarkymas nebūtų galimas dėl to, kad tokiam asmens duomenų tvarkymui pareiškėjai neturi jokio Įstatymo 5 straipsnio 1 dalyje nustatyto asmens duomenų teisėto tvarkymo kriterijaus, ir minėtus darbuotojų asmens duomenis tvarko (renka, naudoja) neteisėtai, pažeisdami Įstatymo 3 straipsnio 1 dalies 2 punktą. Būtent todėl Nurodyme nebuvo nurodyta įgyvendinti tinkamas duomenų saugumo priemones tvarkant darbuotojų biometrinius duomenis, o duotas nurodymas – nedelsiant nutraukti darbuotojų biometrinių duomenų tvarkymą bei sunaikinti anksčiau surinktus darbuotojų pirštų atspaudų modelius.

8. Pasisakydama dėl pareiškėjų argumentų, susijusių su diskriminacija, Inspekcija atkreipė dėmesį į tai, kad pareiškėjų ir sporto klubų, paminėtų paaiškinimuose, situacijos visiškai skirtingos. Pirmiausiai skiriasi asmens duomenų tvarkymo tikslai. Sporto klubų atveju biometriniai duomenys tvarkomi siekiant užtikrinti, kad sporto klubų klientai patektų tik į jiems skirtas patalpas / zonas ir, tuo pačiu, darbuotojams suteikiama galimybė naudotis lankytojams skirta biometrine autentifikavimosi sistema, siekiant užtikrinti darbuotojų patekimą į sporto klubo patalpas. Pareiškėjai darbuotojų biometrinius duomenis tvarko darbo laiko apskaitos ir darbo drausmės kontrolės tikslu, t. y. tikslu, kuris, kaip jau nurodyta aukščiau, yra būtinas pareiškėjų funkcionavimui. Todėl darbuotojų asmens duomenų tvarkymui darbo laiko apskaitos ir darbo drausmės kontrolės tikslu turi būti taikomas Įstatymo 5 straipsnio 1 dalies 6 punkte įtvirtintas asmens duomenų teisėto tvarkymo kriterijus ir, atitinkamai, negali būti remiamasi darbuotojų sutikimu.

9. Trečiasis suinteresuotas asmuo UAB „HANSAB“ atsiliepime į pareiškėjų skundą prašė jį tenkinti visiškai.

10. UAB „HANSAB“ atsiliepimą į pareiškėjų skundą grindė šiais argumentais:

10.1. Naudojant biometrinius skaitytuvus BioLite Net ir programinę įrangą tvarkomi duomenys yra šifruojami. Skaitytuvais surinkti duomenys paverčiami ir toliau saugomi simboliais, kurie negali būti paverčiami atgal į pradinius duomenis, t. y. vizualinį pirštų atspaudų atvaizdą, nežinant šifravimui naudojamo algoritmo.

10.2. Iš Nurodymo matyti, kad tai, ar duomenys yra šifruojami, realiai nebuvo tikrinama ir dėl to Nurodyme nepasisakyta. Nurodymo antro puslapio pabaigoje teigiama, kad tyrimo metu nebuvo nustatyta, kad sanatorijos valdytų šifravimo raktus, tačiau nebuvo tikrinamas pats faktas, ar duomenys yra šifruojami. Šifravimo raktų nebuvimas nereiškia, kad duomenys nėra šifruojami. Jeigu tyrimo metu būtų buvę tikrinta, ar duomenys yra šifruojami, ši aplinkybė būtų nustatyta ir Nurodyme nebūtų padaryta klaidinga išvada dėl duomenų nesaugumo. Tai, kad naudojant biometrinius skaitytuvus BioLite Net ir programinę įrangą tvarkomi duomenys yra šifruojami, patikrinimo metu galėjo nustatyti informacinių technologijų specialistai.

10.3. Nurodyme netinkamai aprašytas šifravimo raktų naudojimo tikslas ir prasmė. Nurodymo antro puslapio pabaigoje teigiama, kad Bendrovės nevaldo šifravimo raktų, ir iš to padaroma išvada, jog duomenys nėra saugūs. Ši išvada klaidinga, nes šifravimo raktų paskirtis yra duomenis atšifruoti, o šifravimo raktų nebuvimas sistemos saugumą padidina. Tai, kad Bendrovės nevaldo papildomų šifravimo raktų, reiškia, kad nėra galimybės duomenis atšifruoti pasinaudojus šifravimo raktais, o sistema užšifravimą ir atšifravimą naudoja automatiškai, tiek, kiek tai būtina sistemai funkcionuoti.

10.4. Nurodyme neįvardyta jokia saugumo spraga, todėl išvada apie duomenų nesaugumą nepagrįsta. Tai, kad nebuvo pateikti paaiškinimai (jeigu jie iš tiesų nebuvo pateikti), reiškia tik faktą, kad paaiškinimai nebuvo pateikti, ir jokiu būdu nepatvirtina, jog tvarkomi duomenys nesaugūs.

10.5. Vertinant duomenų saugumą svarbu tai, kad pasinaudojus skaitytuvais piršto atspaudo atvaizdas niekur nėra išsaugomas. Piršto atspaudas paverčiamas binariniu kodu, kuris toliau saugomas duomenų bazėje. Asmeniui pakartotinai naudojantis skaitytuvais, skaitytuvas vėlgi sukuria binarinį kodą ir šį kodą lygina su duomenų bazėje jau saugomu binariniu kodu. Šie binariniai kodai yra unikalūs – kitų bendrovių naudojamos sistemos gali sukurti visai kitokį binarinį kodą to paties asmens tam pačiam piršto atspaudui, todėl vien tik tretiesiems asmenims neteisėtai pasisavinus binarinį kodą, jis negalėtų būti savaime panaudotas kitose sistemose, nes ten iš to paties piršto atspaudo atvaizdo būtų sukurtas kitoks binarinis kodas.

10.6. Inspekcija pati sau prieštarauja, nes vienoje pastraipoje teigia, kad Bendrovės „nepateikė paaiškinimų ir juos patvirtinančių dokumentų dėl to, ar unikalūs, baziniai darbuotojų pirštų atspaudų binariniai kodai, juos neteisėtai pasisavinus, gali būti panaudojami asmenims atpažinti“, o kitoje pastraipoje nurodo, kad „pagal sukurtą binarinį kodą negali būti atkuriamas pradinis piršto atspaudo vaizdas“.

II. 11. Vilniaus apygardos administracinis teismas 2018 m. balandžio 17 d. sprendimu tenkino pareiškėjų UAB „Birštono šaltinis“, AB „Eglės“ sanatorija ir UAB „Namita“ skundą – panaikino Valstybinės duomenų apsaugos inspekcijos 2017 m. birželio 22 d. nurodymą Nr. 2R-4073 (2.13.) „Dėl asmens duomenų tvarkymo“.

12. Teismas nustatė, kad:

12.1. Inspekcija 2015 m. gruodžio 9 d. gavo M. L. skundą, kuriuo buvo prašoma įvertinti AB „Eglės sanatorija“ vykdomo darbuotojų ir sanatorijos klientų vaizdo stebėjimo bei darbuotojų pirštų atspaudų tvarkymo teisėtumą.

12.2. Inspekcija 2015 m. gruodžio 14 d. raštu Nr. 2R-7278(2.13.) „Dėl skundo nagrinėjimo“ informavo M. L., kad jis kreipėsi į Inspekciją dėl kitų asmenų asmens duomenų tvarkymo, todėl vadovaujantis Įstatymo 42 straipsnio 3 dalimi, pagal jo pranešimą Inspekcija pradėjo tyrimą dėl asmens ir vaizdo duomenų tvarkymo teisėtumo AB „Eglės sanatorija“ savo iniciatyva.

12.3. AB „Eglės“ sanatorija Inspekcijai pateikė paaiškinimus „Dėl biometrinės darbo laiko apskaitos naudojimo“, kuriuose nurodė, kad įsigijo ir pradėjo diegti biometrinę praėjimų kontrolės sistemą, kuri skirta įmonės turto apsaugai, bei nurodė, kad sistema ateityje bus naudojama ir kaip darbo laiko apskaitos sistema. Šiuo metu dar neužbaigti visi testavimo ir diegimo darbai, sistema dar nevisiškai naudojama. Pabrėžė, kad įmonės diegiama sistema skirta, visų pirma, praėjimų kontrolei ir įmonės turto saugumui, o šio įrenginio turimą atvykimo / išvykimo registravimo funkciją, kaip papildomą funkciją, planuojama naudoti ir darbuotojų atvykimo ir išvykimo (darbo laiko) apskaitai.

12.4. Inspekcija 2016 m. vasario 23 d. surašė patikrinimo aktą Nr. 4R-29(2.13) „Dėl asmens duomenų tvarkymo teisėtumo AB „Eglės sanatorija“.

12.5. Inspekcija 2016 m. kovo 3 d. raštu Nr. 2R-1328(2.13) „Dėl vaizdo stebėjimo ir asmens duomenų tvarkymo“ kreipėsi į AB „Eglės“ sanatoriją ir UAB „Birštono šaltinis“, prašydama pateikti papildomą informaciją.

12.6. AB „Eglės“ sanatorija 2016 m. kovo 14 d. pateikė atsakymą į Inspekcijos 2016 m. kovo 3 d. raštą Nr. 2R-1328(2.13), kuriame, atsakydama į 13 punktą, nurodė, kad, naudojant biometrinius duomenis, darbuotojo buvimas darbe ir praėjimo kontrolė užtikrinama kur kas patikimiau nei kitomis alternatyviomis priemonėmis. Į minėtą Inspekcijos paklausimą UAB „Birštono šaltinis“ atsakė 2016 m. kovo 15 d. raštu Nr. Š-2016/11. Tiek AB „Eglės“ sanatorija, tiek UAB „Birštono šaltinis“ prašė atsakovo pratęsti terminą kitai informacijai pateikti. Šis pareiškėjų prašymas buvo patenkintas ir terminas pratęstas iki 2016 m. balandžio 7 d.

12.7. UAB „Namita“ 2016 m. balandžio 7 d. Inspekcijai pateikė atsakymą į Inspekcijos 2016 m. kovo 3 d. raštą Nr. 2R-1328(2.13). Pareiškėjas nurodė, kad asmens duomenų tvarkymui, įskaitant biometrinius duomenis, tarp juridinių asmenų UAB „Namita“, UAB „Birštono šaltinis“ ir AB „Eglės“ sanatorija yra sudaryta jungtinė duomenų valdytojų sutartis. Darbuotojų informavimą pagal įstatymo nuostatas kiekviena bendrovė yra įsipareigojusi vykdyti atskira tvarka. UAB „Namita“ darbuotojų biometriniai duomenys tvarkomi vidaus administravimo tikslais, pagal direktorės patvirtintą įsakymą Nr. 44-D, esant darbuotojų žodiniam sutikimui.

12.8. UAB „Birštono šaltinis“ 2016 m. balandžio 7 d. pateikė atsakymą į Inspekcijos 2016 m. kovo 3 d. raštą Nr. 2R-1328(2.13), kuriame nurodė, kad darbuotojų biometriniai duomenys tvarkomi vidaus administravimo tikslais, pagal direktoriaus įsakymą Nr. 32-D, esant darbuotojų žodiniam sutikimui. Inspekcijos patikrinimo metu keleto buvusių darbuotojų biometriniai duomenys nebuvo laiku panaikinti, nes tuo metu vyko terminalo diegimo, techninių galimybių nustatymo ir pritaikymo, bandomieji testavimo darbai. Bendrovių darbuotojai su numatomu biometrinių duomenų tvarkymu vidaus administravimo tikslais buvo supažindinti (žodžiu) darbuotojų susirinkimo metu, o esant neaiškumams – kiekvienas individualiai. Buvo paaiškintos BioLite Net terminalo techninės galimybės, pasirenkant vieną iš atpažinimo (autentifikavimo) būdų: piršto atspaudas, PIN kodas arba kortelė. Darbuotojams sudaryta visiška pasirinkimo laisvė sutikti ar nesutikti dėl asmens biometrinių duomenų naudojimo ir tvarkymo.

12.9. AB „Eglės“ sanatorija 2016 m. balandžio 7 d. pateikė atsakymą į Inspekcijos 2016 m. kovo 3 d. raštą Nr. 2R-1328(2.13), kuriame nurodė, kad darbuotojų biometriniai duomenys tvarkomi vidaus administravimo tikslais, pagal direktoriaus 2016 m. kovo 24 d. įsakymą Nr. 17, esant darbuotojų žodiniam sutikimui. Teigė, kad Bendrovės deda visas pastangas, jog biometrinius duomenis vidaus administravimo tikslais tvarkytų tinkamai. Nesant pavyzdinių biometrinių duomenų tvarkymo taisyklių, rekomendacijų, jos rengia biometrinių duomenų tvarkymo taisykles savomis jėgomis. Trūkstant šios srities kvalifikuotų specialistų, šis procesas užtruko. Prašė Inspekcijos, kaip institucijos, ne tik kontroliuojančios, bet ir konsultuojančios duomenų valdytojus, pagalbos rengiant biometrinių duomenų tvarkymo taisykles. Nurodė, kad visi darbuotojai bus pasirašytinai supažindinti su šios sistemos veikimu ir turės galimybę pasirinkti: ar duoti sutikimą tokių asmens duomenų tvarkymui, ar naudotis alternatyva – praėjimu pro saugos postą. Darbuotojai su numatomu biometrinių duomenų tvarkymu vidaus administravimo tikslais buvo supažindinti (žodžiu) darbuotojų susirinkimo metu. Buvo paaiškintos BioLite Net terminalo techninės galimybės, pasirenkant vieną iš atpažinimo (autentifikavimo) būdų: piršto atspaudas, PIN kodas arba kortelė. Darbuotojams sudaryta visiška pasirinkimo laisvė sutikti ar nesutikti dėl asmens biometrinių duomenų naudojimo ir tvarkymo.

12.10. Inspekcija, išnagrinėjusi Bendrovių paaiškinimus bei pateiktą papildomą medžiagą, 2016 m. gegužės 11 d. raštu Nr. 2R-3145(2.13.) papildomai paprašė pateikti atsakymus dėl vaizdo duomenų tvarkymo bei dėl biometrinių duomenų tvarkymo. AB „Eglės“ sanatorija atsakymą į šį Inspekcijos raštą pateikė 2016 m. gegužės 19 d. raštu Nr. 1-5-939 „Dėl vaizdo stebėjimo ir asmens duomenų tvarkymo“, UAB „Birštono šaltinis“ – 2016 m. gegužės 20 d. raštu Nr. Š-2016/30, o UAB „Namita“ – 2016 m. gegužės 30 d.

12.11. Inspekcija, išnagrinėjusi Bendrovių paaiškinimus bei pateiktą papildomą medžiagą, 2016 m. gruodžio 21 d. raštu Nr. 2R-8126(2.13.) bei 2017 m. sausio 12 d. raštu Nr. 2R-263(2.13.) prašė papildomai pateikti atsakymus dėl vaizdo duomenų bei biometrinių duomenų tvarkymo. Bendrovės, atsakydamos į pastaruosius Inspekcijos raštus, 2017 m. sausio 20 d. pateikė atsakymą Nr. 1-5-0089/Nr. BŠ-2017/06/Nr. Š-2017/7 bei papildomus rašytinius įrodymus.

12.12. Inspekcija, išnagrinėjusi Bendrovių pateiktus paaiškinimus bei papildomą medžiagą, 2017 m. kovo 30 d. raštu Nr. 2R-2019(2.13.) „Dėl asmens duomenų tvarkymo“ prašė papildomai pateikti atsakymus dėl asmens duomenų tvarkymo. Bendrovės atsakymą į šį Inspekcijos raštą pateikė 2017 m. balandžio 19 d. raštu Nr. 1-5-0441/Nr.B-2017/22/Nr. Š-2017/47, kartu su papildomais rašytiniais įrodymais.

12.13. Inspekcija, išnagrinėjusi Bendrovių pateiktus paaiškinimus bei papildomą medžiagą, 2017 m. gegužės 8 d. raštu Nr. 2R-2868(2.13.) „Dėl asmens duomenų tvarkymo“ prašė papildomai pateikti atsakymus dėl asmens duomenų tvarkymo. Bendrovės į šį Inspekcijos raštą atsakė 2017 m. gegužės 19 d. raštu Nr. 1-5-0469/Nr.B-2017/30/Nr. Š-2017/68.

12.14. Inspekcija 2017 m. birželio 19 d. parengė išvadą Nr. 4R-193(2.13.) „Dėl asmens duomenų (pirštų anspaudų) tvarkymo teisėtumo „Eglės“ sanatorijoje, adresu (duomenys neskelbtini)“, kurioje nurodė, kad įvertinus surinktus duomenis, negalima teigti, jog AB „Eglės“ sanatorija, UAB „Birštono šaltinis“ ir UAB „Namita“ užtikrina saugų biometrinių asmens duomenų, t. y. unikalių, bazinių darbuotojų pirštų atspaudų binarinių kodų, naudojimą.

12.15. Inspekcija 2017 m. birželio 22 d. parengė ginčijamą nurodymą Nr. 2R-4073(2.13.) „Dėl asmens duomenų tvarkymo“, kuriame konstatavo, jog Bendrovių darbuotojų sutikimai nelaikytini savanoriškais, nes darbuotojai yra socialiai priklausomi nuo darbdavių – Bendrovių, darbovietės buvimo vieta – mažas miestelis, kuriame darbo vietų skaičius ribotas, todėl padaryta išvadą, kad po 2016 m. gruodžio 30 d. gaunami darbuotojų sutikimai dėl biometrinių duomenų tvarkymo negali būti laikomi atitinkančiais savanoriškumo principą ir negali būti teisiniu pagrindu tvarkyti darbuotojų asmens duomenis darbo santykių kontekste. Inspekcija teigė nenustačiusi, jog Bendrovių interesai tvarkant darbuotojų biometrinius duomenis buvo svarbesni nei šių darbuotojų interesai, todėl Įstatymo 5 straipsnio 1 dalies 6 punkte nustatytas teisėto asmens duomenų tvarkymo kriterijus tokiam darbuotojų biometrinių duomenų tvarkymui netaikomas. Atsakovas nurodė pareiškėjams nedelsiant nutraukti darbuotojų biometrinių duomenų tvarkymą bei sunaikinti anksčiau surinktus darbuotojų pirštų atspaudų modelius (unikalius, bazinius binarinius kodus).

13. Teismas, nagrinėdamas bylą, vadovavosi Įstatymo nuostatomis, taip pat Lietuvos vyriausiojo administracinio teismo, Lietuvos Respublikos Konstitucinio Teismo, Europos Sąjungos Teisingumo Teismo (toliau – ir ESTT) ir Europos Žmogaus Teisių Teismo (toliau – ir EŽTT) praktika.

14. Teismas, spręsdamas dėl Inspekcijos išvadų dėl pareiškėjų darbuotojų duotų sutikimų savarankiškumo pagrįstumo, vadovavosi Įstatymo ir 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo nuostatomis, 29 DG nuomone 15/2011 bei Lietuvos vyriausiojo administracinio teismo praktika. Teismas nurodė, kad bylos medžiaga patvirtina, jog Bendrovių darbuotojai su numatomu biometrinių duomenų tvarkymu vidaus administravimo tikslais buvo supažindinti (žodžiu) darbuotojų susirinkimo metu, o esant neaiškumams – kiekvienas individualiai. Buvo paaiškintos BioLite Net terminalo techninės galimybės, pasirenkant vieną iš atpažinimo (autentifikavimo) būdų: piršto atspaudas, PIN kodas arba kortelė. Inspekcija nepaneigė šių pareiškėjų pateiktų paaiškinimų ir dėl jų nepasisakė. Į bylą nėra pateikta nė vieno rašytinio įrodymo, pagrindžiančio atsakovo argumentus, pavyzdžiui, darbuotojų paaiškinimų, skundų, kuriuose būtų tvirtinama, jog darbuotojai nebuvo supažindinti, nebuvo informuoti apie numatomą asmens duomenų tvarkymą ir dėl to nedavė sutikimo (žodžiu). Atsižvelgęs į tai, teismas konstatavo, jog darbuotojai buvo informuoti apie numatomą asmens duomenų rinkimą ir tvarkymą, jiems buvo nurodyta, kokiu tikslu jų duomenis bus tvarkomi, o savo sutikimus išreiškė žodžiu bei veiksmais. Pastebėta ir tai, kad visiškai įdiegus biometrinių duomenų sistemą, Bendrovės priėmė būtinus teisės aktus, paskyrė už tai atsakingus asmenis ir gavo darbuotojų rašytinius sutikimus. Teismas nepritarė atsakovo pozicijai, kad duoti rašytiniai darbuotojų sutikimai nelaikytini savanoriškais, nes darbuotojai yra tiesiogiai socialiai priklausomi nuo Bendrovių, darbovietės vieta – mažas miestelis, kuriame darbo vietų skaičius ribotas. Tai, kad darbuotojai turi galimybę ir pasirinkimo laisvę sutikti ar nesutikti dėl asmens biometrinių duomenų naudojimo ir tvarkymo, patvirtina į bylą pateikti Bendrovių darbuotojų sutikimai, kuriuose darbuotojai pasirinko ne piršto anspaudo modelį, bet skaitmeninį kodą, susidedantį iš 6 skaitmenų.

15. Teismas konstatavo, kad darbuotojų duoti sutikimai yra savanoriški, duomenų subjektai gali pasirinkti, o nesutikimo atveju nėra neigiamų padarinių grėsmės, sutikimai duoti žinomai (pagrįsti informacija) ir yra konkretūs (suprantant, duomenų tvarkymo aprėptis ir padariniai aiškiai ir tiksliai nurodyti).

16. Pasisakydamas dėl atsakovo argumento, kad pareiškėjų pasirinktam tikslui (darbo laiko apskaita) Įstatymo 5 straipsnio 1 dalies 1 punkte nustatytas asmens duomenų teisėto tvarkymo kriterijus iš viso nereikšmingas ir turėtų būti taikomas būtent Įstatymo 5 straipsnio 1 dalies 6 punktas, teismas, vadovaudamasis Įstatymo 3 ir 5 straipsniais, pažymėjo, kad iš pareiškėjų skundo turinio matyti, jog pareiškėjai iš esmės tiek tyrimo metu, tiek teisminio nagrinėjimo metu teigė, jog turėdami darbuotojų sutikimus, asmens duomenis tvarkė pagrįstai, tačiau nurodė ir galimą Įstatymo 5 straipsnio 1 dalies 6 punkte nurodytą kriterijų – teisėtą interesą. Teismas, pritardamas Inspekcijos argumentams, konstatavo, jog biometrinių duomenų naudojimas pareiškėjų tikslui pasiekti nelaikytinas pateisinamu pagal Įstatymo 5 straipsnio 1 dalies 6 punktą. Teismas pripažino pareiškėjų teisėtą interesą vykdyti darbo laiko apskaitą, tačiau nurodė, kad nėra pagrindo teigti, jog pareiškėjų interesai laikytini svarbesniais už darbuotojų interesus.

17. Teismas iš dalies sutiko su atsakovo teiginiu, kad trečiojo suinteresuoto asmens paaiškinimai ir rašytiniai dokumentai buvo pateikti tik teisminio nagrinėjimo metu, tyrimo metu pareiškėjai nepateikė paaiškinimų ir juos patvirtinančių dokumentų, todėl jų nurodytos aplinkybės nedaro Nurodymo neteisėtu. Tačiau pabrėžta, kad atsakovas, konstatuodamas, jog nėra užtikrinamas biometrinių asmens duomenų saugumas, turėjo šiuos savo argumentus pagrįsti. Teismas sutiko su UAB „HANSAB“ pastebėjimais, kad Nurodyme teigiama, jog Bendrovės neturi šifravimo raktų, tačiau pats faktas, ar duomenys yra šifruojami, nebuvo tiriamas.

18. Teismo vertinimu, nustatyti prieštaravimai iš esmės patvirtina, jog konstatuodama biometrinių duomenų saugumo neužtikrinimą, Inspekcija tokią išvadą padarė nevertinusi, ar duomenys yra šifruojami, bei netinkamai įvertinusi Inspekcijos 2017 m. birželio 19 d. išvadoje pateiktus argumentus, iš kurių matyti, jog sukuriant binarinį kodą yra naudojamas piršto atspaudo vaizdas, kuris nėra išsaugomas sistemoje, taip pat pagal sukurtą binarinį kodą negali būti atkuriamas pradinis piršto atspaudo vaizdas. Dar daugiau, UAB „HANSAB“ nurodė, kad šifravimo raktų paskirtis – duomenis atšifruoti, todėl šifravimo raktų nebuvimą laikė sistemos saugumo padidinimu, o ne sumažinimu.

III. 19. Atsakovas Inspekcija apeliaciniame skunde prašo panaikinti Vilniaus apygardos administracinio teismo 2018 m. balandžio 17 d. sprendimą ir priimti naują sprendimą – atmesti pareiškėjų skundą.

20. Atsakovas apeliacinį skundą grindžia šiais argumentais:

20.1. Teismo teiginys, jog Inspekcijos argumentas, kad darbuotojai yra tiesiogiai socialiai priklausomi nuo pareiškėjų, yra niekuo nepagrįstas ir grindžiamas prielaidomis, prieštarauja visuotinai žinomam ir pripažįstamam (taip pat ir teismų praktikoje) faktui, kad darbuotojas yra silpnesnioji darbo santykių šalis, būtent dėl darbuotojų priklausomybės nuo darbdavio.

20.2. Teismas nepagrįstai nesirėmė 29 straipsnio darbo grupės praktika, o pasirinko papildomą, iliustratyvų Inspekcijos argumentą, kad mažame miestelyje darbuotojai gali būti labiau paveikiami, todėl teismas nebuvo objektyvus. Be to, visuotinai žinoma, jog mažuose miesteliuose yra mažesnės galimybės susirasti darbą, todėl Inspekcija neturi įrodinėti šios aplinkybės.

20.3. Nagrinėjant bylas turi būti remiamasi 29 DG praktika, šią aplinkybę patvirtina Lietuvos vyriausiojo administracinio teismo praktika (2016 m. gruodžio 7 d. nutartis administracinėje byloje Nr. eA-2333-525/2016). 29 DG 2001 m. rugsėjo 8 d. Nuomonėje 8/2001 dėl asmens duomenų tvarkymo darbo santykių srityje pažymėjo, kad sutikimu turi būti remiamasi tik tais atvejais, kai darbuotojas turi tikrai laisvo pasirinkimo galimybę ir atitinkamai gali atšaukti duotą sutikimą be neigiamų pasekmių. Jeigu sutikimo padariniai kenkia asmenų pasirinkimo laisvei, sutikimas nelaikomas savanorišku.

20.4. 29 DG 2012 m. balandžio 27 d. Nuomonėje 3/2012 dėl biometrinių technologijų pokyčių nurodė, kad sutikimas, jeigu jis yra susijęs su darbo santykiais, turi būti išsamiai vertinamas kritiškai ir tinkamai pagrįstas. Užuot siekę gauti sutikimą, darbdaviai galėtų išnagrinėti, ar teisėtu tikslu tikrai būtina naudoti darbuotojų biometrinius duomenis, ir įvertinti, ar toks darbuotojų biometrinių duomenų naudojimas turi įtakos jų pagrindinėms teisėms ir laisvėms. Tais atvejais, kai būtinybę galima tinkamai pagrįsti, tokio tvarkymo teisinis pagrindas galėtų būti duomenų valdytojo teisėtas interesas, kaip nustatyta Direktyvos 95/46/EB 7 straipsnio f punkte. Darbdavys visada turi ieškoti mažiausiai privatumą pažeidžiančių priemonių ir, jeigu įmanoma, pasirinkti su biometrinių duomenų tvarkymu nesusijusias priemones.

20.5. 2017 m. lapkričio 28 d. Gairėse Nr. WP259 rev.01 Dėl sutikimo pagal Reglamentą 2016/679 29 DG, be kita ko, iliustravo savo Nuomonėje 8/2001 pateiktą poziciją dėl darbuotojų duomenų tvarkymo remiantis jų sutikimu ir nurodė, jog disbalansas taip pat atsiranda užimtumo kontekste. Atsižvelgiant į priklausomybę, atsirandančią dėl darbdavio-darbuotojo santykių, mažai tikėtina, kad duomenų subjektas gali savo darbdaviui atsisakyti duoti sutikimą tvarkyti duomenis, nepatirdamas baimės ar realaus neigiamo poveikio pavojaus, kaip šio atsisakymo pasekmės. Mažai tikėtina, kad darbuotojas galėtų laisvai atsakyti į savo darbdavio prašymą sutikti, pavyzdžiui, įjungti stebėjimo sistemas, tokias kaip stebėjimo kameros darbo vietoje, arba užpildyti vertinimo formas, nejausdamas jokio spaudimo sutikti. Dėl to 29 DG laikosi nuomonės, kad darbdaviams yra keblu tvarkyti esamų ar būsimų darbuotojų asmens duomenis remiantis sutikimu, kadangi mažai tikėtina, jog jis bus duotas laisvai. Dėl daugumos tokio duomenų tvarkymo darbe, teisėtas pagrindas negali būti ir neturėtų būti darbuotojų sutikimas (6 str. 1 d. a p.) dėl darbdavio ir darbuotojo santykių pobūdžio.

20.6. Teismas sprendime iškraipo faktus, teigdamas, kad darbuotojai apie jų biometrinių duomenų tvarkymą buvo tinkamai informuoti žodžiu bei su tokiu tvarkymu sutiko tiek žodžiu, tiek konkliudentiniais veiksmais. Inspekcijos tyrimo metu (2016 m. vasario 23 d. Patikrinimo aktas Nr. 4R-29(2.13.), 2017 m. birželio 23 d. sprendimas Nr. 3R-269(2.13.)) nustatyta, kad pareiškėjų darbuotojų biometriniai duomenys buvo renkami be jų sutikimo, o iki 2016 m. gruodžio 30 d. darbuotojai neturėjo realios galimybės nesutikti su savo asmens duomenų tvarkymu (nebuvo alternatyvių būdų pažymėti atvykimą į darbą / išvykimą iš jo) kitaip nei pateikiant savo biometrinius duomenis (pirštų atspaudų modelius). Akivaizdu, kad pareiškėjai darbuotojų biometrinius duomenis tvarkė neturėdami net ir nelaisvanoriškų darbuotojų sutikimų. Vėlesnis beveik visų darbuotojų pasirašymas po sutikimais nepaneigia šio fakto ir patvirtina atsakovo abejones.

20.7. Inspekcija savo sprendime, kuris nagrinėtas administracinėje byloje Nr. eA-2333-525/2016, buvo nusprendusi, kad informacijos pateikimas darbuotojams žodžiu darbuotojų susirinkimo metu, atsižvelgiant į tai, kad tarp duomenų valdytojo ir duomenų subjektų yra susiklostę darbo teisiniai santykiai, nelaikytinas tinkamu ir darbuotojai apie jų asmens duomenų tvarkymą turėjo būti informuoti raštu. Lietuvos vyriausiasis administracinis teismas minėtoje byloje pritarė tokiai Inspekcijos pozicijai.

20.8. Pareiškėjai nei Inspekcijos tyrimo, nei bylos nagrinėjimo teisme metu nepateikė jokių įrodymų, kad minėtus sutikimus turėjo ir (arba) buvo informavę savo darbuotojus apie jų pirštų atspaudų rinkimo ir tvarkymo tikslus, duomenų subjektų teises ir pan. Aplinkybę, kad pareiškėjų darbuotojams nebuvo suteikiama informacija apie jų biometrinių tvarkymą bei nebuvo gaunami jų sutikimai, Inspekcijos nuomone, patvirtinta ir tai, kad Inspekcijos atlikto tyrimo savo iniciatyva metu pareiškėjai neturėjo jokio dokumento, reglamentuojančio asmens duomenų tvarkymą, ir (arba) dokumento, patvirtinančio darbuotojų informavimą žodžiu (pvz., susirinkimo protokolo, žurnalo), nors pareiškėjai nuo 2013 m. turėjo žurnalą „Apie darbuotojų informavimą dėl vaizdo kamerų“, kuriame darbuotojai pasirašydavo, jog yra žodžiu informuoti apie vaizdo stebėjimo kamerų buvimą patalpose.

20.9. Teismas, konstatuodamas, jog darbuotojams nesutikimo atveju nėra neigiamų padarinių grėsmės, šios savo išvados niekaip nepagrindžia. Darbuotojo nesavanoriškas sutikimas pripažįstamas ne tik dėl realių grėsmių ir neigiamų pasekmių, bet ir dėl subjektyvios ir (arba) objektyvios darbuotojo baimės patirti neigiamas pasekmes, todėl neigiama pasekme darbuotojui gali būti net ir atsiradusi jo subjektyvi baimė, kad darbdavys gali neigiamai sureaguoti į jo atsisakymą sutikti su jo biometrinių duomenų tvarkymu, imti kitaip vertinti darbuotoją ir pan. Dėl šių priežasčių nėra būtina, kad būtų atsiradusios realios neigiamos pasekmės.

20.10. Pareiškėjų darbuotojų sutikimų nesavanoriškumą patvirtina ir tai, jog pirmiausiai buvo surinkti pareiškėjų darbuotojų pirštų atspaudai ir, renkant šiuos atspaudus, darbuotojai nebuvo informuojami bei nebuvo gaunami jų sutikimai, o vėliau, siekiant pateisinti tokį biometrinių duomenų tvarkymą, buvo surinkti rašytiniai darbuotojų sutikimai dėl šių duomenų tvarkymo. Akivaizdu, jog darbuotojų skundų nebuvimas taip pat negali būti vertinamas kaip įrodymas, jog darbuotojai sutinka su jų biometrinių duomenų tvarkymu. Be to, darbuotojams žinant apie Inspekcijos atliekamą tyrimą, jiems ir nekilo poreikis skųstis papildomai dėl jau tiriamo klausimo.

20.11. Teismas turėjo atsižvelgti į Direktyvos 95/46/EB išaiškinimus. Nuomonėje 3/2012 29 DG nurodė, jog naudojant biometrinius duomenis <...> turi būti griežtai įvertinamas tvarkomų duomenų būtinumas ir proporcingumas, taip pat galimybė pasiekti planuojamą tikslą mažiau privatumą ribojančiomis priemonėmis. Nagrinėjant siūlomos biometrinės sistemos proporcingumą visų pirma reikia atsižvelgti į tai, ar sistema tikrai būtina nustatytam poreikiui patenkinti, t. y. sistema iš esmės būtina tam poreikiui patenkinti ir ji pasirenkama ne dėl patogumo arba ekonomiškumo. Antras veiksnys, į kurį reikia atsižvelgti, – tikimybė, kad sistema padės veiksmingai patenkinti tą poreikį, atsižvelgiant į konkrečius biometrinės technologijos, kurią ketinama naudoti, požymius. Trečias aspektas, kurį reikia įvertinti, yra tai, ar privatumo panaikinimas atitiks planuojamą gauti naudą. Jeigu nauda nėra itin didelė, pavyzdžiui, didesnis patogumas arba nedidelis lėšų sutaupymas, tuomet privatumo panaikinimas nėra tinkamas. Ketvirtas aspektas, į kurį reikia atsižvelgti vertinant biometrinės sistemos tinkamumą, yra tai, ar norimą tikslą galima pasiekti mažiau privatumą ribojančiomis priemonėmis. Šiuo tikslu duomenų valdytojas turi nustatyti, ar duomenų tvarkymas ir tvarkymo mechanizmai, duomenų, kurie bus renkami ir tvarkomi, kategorijos ir duomenų bazėje esančios informacijos perdavimas yra būtini ir neišvengiami.

20.12. Pareiškėjų darbuotojų biometriniai duomenys tvarkomi vidaus administravimo tikslu, t. y. darbo laiko kontrolės ir darbo drausmės tikslu, kas neatitinka 29 DG Nuomonėje 3/2012 nurodytų trečiojo ir antrojo aspektų. Šį tikslą pasiekti galima naudojant privatumo nepažeidžiančias priemones, tokias kaip skaitmeniniai kodai, kortelės, darbuotojų registracija apsaugos poste (ketvirtasis aspektas). Pareiškėjų darbuotojų biometrinių duomenų tvarkymas iš esmės pasirinktas dėl patogumo ir ekonomiškumo, o ne esant būtinumui tvarkyti šiuos duomenis (pirmasis aspektas). Darbuotojų biometriniai duomenys negali būti tvarkomi ne tik dėl to, kad toks tvarkymas grindžiamas netinkamu teisiniu pagrindu – darbuotojų sutikimu, bet ir todėl, kad toks biometrinių duomenų tvarkymas neatitinka būtinumo ir proporcingumo principų.

20.13. Pareiškėjai nepagrindė biometrinių asmens duomenų tvarkymo būtinumo ir neįrodė, kodėl kiti būdai (pvz., pasirašymas žurnale, kortelių ar kodų naudojimas) nepadeda pasiekti jų užsibrėžto asmens duomenų tvarkymo tikslą ir yra nepakankami.

21. Pareiškėjai UAB „Birštono šaltinis“, AB „Eglės“ sanatorija ir UAB „Namita“ atsiliepime į atsakovo apeliacinį skundą prašo jį atmesti.

22. Atsiliepimas į atsakovo apeliacinį skundą grindžiamas šiais argumentais:

22.1. Teismo sprendimas atitinka 29 DG praktiką dėl darbuotojų sutikimo galiojimo. Inspekcija cituoja tik pareiškėjams nepalankias 29 DG išaiškinimų dalis, išimdama jas iš konteksto. 29 straipsnio darbo grupė daug kartų yra pasisakiusi, kad tais atvejais, kai darbuotojas turi galimybę išreikšti savo laisvą valią, jo sutikimas galioja ir gali būti tinkamas pagrindas darbuotojo asmens duomenų tvarkymui. 29 DG nė viename savo išaiškinime, pasisakydama dėl darbuotojo sutikimo tvarkyti asmens duomenis galiojimo, nėra kategoriškai pareiškusi, kad darbuotojo sutikimas visais atvejais negalioja.

22.2. Pareiškėjai, remdamiesi 29 DG 2001 m. rugsėjo 13 d. išaiškinimu apie asmens duomenų tvarkymą darbo kontekste, nurodo, jog 29 DG neteigia, kad darbuotojo sutikimas tvarkyti jo duomenis savaime negalioja, nes darbuotojas yra socialiai priklausomas nuo darbdavio (kaip Nurodyme ir apeliaciniame skunde argumentuoja Inspekcija). Net nepaisant to, kad darbuotojas yra socialiai priklausomas nuo darbdavio, 29 DG teigia, kad darbuotojo sutikimas gali galioti, jeigu jis yra duotas laisva valia, taip pat jeigu darbuotojas gali jį atšaukti.

22.3. Pareiškėjų darbuotojų sutikimai tvarkyti jų duomenis yra laisvanoriški ir atitinka 29 DG reikalavimus. Pareiškėjų vykdomas darbuotojų biometrinių duomenų tvarkymas atitinka visas 29 DG paminėtas sąlygas. Pareiškėjai tvarko darbuotojų pirštų atspaudų modelius tik gavę jų sutikimus. Kartu su skundu dėl Nurodymo panaikinimo pareiškėjai teismui jau pateikė darbuotojų, kurie pasirinko ne tik piršto atspaudų, o ir skaitmeninio kodo naudojimą, rašytinius sutikimus. Šie sutikimai pagrindžia, kad darbuotojai gali realiai pasirinkti, ką naudoti – piršto atspaudus ar skaitmeninį kodą. Tie darbuotojai, kurie pasirinko skaitmeninį kodą, gali naudoti šį kodą, o ne piršto atspaudą.

22.4. Pasisakydami dėl Inspekcijos argumento, kad tyrimo pradžioje darbuotojų sutikimai nebuvo gauti, o buvo surinkti tik vėliau, pareiškėjai nurodo, kad Nurodymas buvo priimtas 2017 m. birželio 22 d., o patikrinimas atliktas 2015 m. gruodžio 17 d. Per tokį ilgą laikotarpį situacija pasikeitė, pareiškėjai daugelį reikalavimų, kurių nebuvo įgyvendinę tyrimo pradžioje, nes iki tol paprasčiausiai apie tokius reikalavimus nežinojo, vėliau įgyvendino. Priimdama Nurodymą Inspekcija rėmėsi aplinkybėmis, kurios jau buvo pasikeitusios, pasenusios dėl prabėgusio labai ilgo laiko tarpo.

22.5. Inspekcijos apeliaciniame skunde išdėstyti argumentai prieštarauja Inspekcijos praktikai kitose situacijose. Po to, kai buvo priimtas Nurodymas, Inspekcija kitiems duomenų valdytojams (pvz., sporto klubams) leido tvarkyti darbuotojų piršto atspaudo modelio duomenis (binarinius kodus) ir remtis darbuotojo sutikimu kaip pagrindu tokiam tvarkymui.

22.6. Apeliaciniame skunde Inspekcijos išdėstyta pozicija iš esmės reiškia, kad darbuotojo sutikimas tvarkyti asmens duomenis apskritai negalioja, nes darbuotojai yra socialiai priklausomi nuo darbdavio. Tokia pozicija nepagrįsta, nes prieštarauja pačios Inspekcijos praktikai kitose situacijose bei pažeidžia Nurodymo priėmimo metu galiojusio Įstatymo 2 straipsnio 12 punkte pateiktą sutikimo sąvoką, taip pat prieštarauja 29 DG nuomonei, pagal kurią darbuotojų sutikimai galioja, jeigu yra duoti laisvanoriškai.

22.7. Nurodyme ir apeliaciniame skunde nėra pateikta aiškių priežasčių, kodėl pareiškėjų darbuotojų sutikimai galėtų būti laikomi ne savanoriškais ir dėl to negaliotų, kai nurodomų sporto klubų darbuotojų sutikimai pripažinti galiojančiais.

22.8. Remdamasi subjektyviu kriterijumi dėl miesto dydžio kaip laisvos valios nebuvimo požymiu, taip pat užimdama kitokią poziciją nei situacijose su kitais domenų valdytojais, Inspekcija pažeidžia ne tik Įstatymo 2 straipsnio 12 punktą, bet ir Lietuvos Respublikos viešojo administravimo įstatymo (toliau – ir VAĮ) 362 straipsnio 2 dalį.

22.9. Pareiškėjai, pasisakydami dėl Inspekcijos argumento, kad pareiškėjai nei inspekcijai tyrimo, nei bylos nagrinėjimo teisme metu nepateikė jokių įrodymų, kad buvo informavę savo darbuotojus apie jų pirštų atspaudų rinkimo ir tvarkymo tikslus, duomenų subjektų teises ir pan., pažymėjo, kad šie tariami trūkumai nebuvo įvardinti Nurodyme kaip pagrindas uždrausti tvarkyti darbuotojų biometrinius duomenis.

22.10. Inspekcija Nurodymą priėmė ir tvarkyti darbuotojų biometrinius duomenis uždraudė, kaip įvardyta Nurodyme, todėl, kad pareiškėjai negalėjo remtis teisėtu interesu dėl to, kad tariamai nebuvo užtikrintas duomenų saugumas, taip pat dėl to, kad, Inspekcijos nuomone, darbuotojų sutikimas nėra laisvanoriškas ir negalioja. Tačiau Nurodymo ir draudimo tvarkyti darbuotojų biometrinius duomenis pagrindu nebuvo nurodytas darbuotojų neinformavimas apie duomenų tvarkymo tikslą ir duomenų subjektų teises. Jeigu Nurodyme kaip draudimo tvarkyti asmens duomenis pagrindas būtų įvardytas darbuotojų neinformavimas apie jų teises ir duomenų tvarkymo tikslus, pareiškėjai būtų galėję pateikti įrodymus ir argumentus apie tinkamą darbuotojų informavimą. Tačiau Nurodyme tokie draudimo tvarkyti asmens duomenis pagrindai nebuvo įvardyti, todėl pareiškėjai neteikė įrodymų apie tinkamą darbuotojų informavimą. Jeigu būtų buvęs oficialiai nustatytas neinformavimo trūkumus, Inspekcija galėjo duoti nurodymą tinkamai informuoti darbuotojus, tačiau tokio nurodymo nedavė, rėmėsi duomenų nesaugumu, sutikimo negaliojimu. Dėl šių priežasčių tyrimo pradžioje pareiškėjams nebuvo aišku, kokius reikalavimus reikia įgyvendinti. Byloje yra įrodymai – rašytiniai darbuotojų sutikimai, kuriuose darbuotojai buvo informuoti apie savo teisę nesutikti su duomenų tvarkymu.

22.11. Tuo metu, kai buvo priimtas Nurodymas, po tokio nepagrįstai ilgo laikotarpio nuo tyrimo pradžios, pareiškėjai buvo gavę rašytinius darbuotojų sutikimus naudoti piršto atspaudą arba skaitmeninį kodą, buvo informavę duomenų subjektus apie jų teises, įgyvendinę kitus reikalavimus.

22.12. Inspekcija nepaneigė teismo išvados, kad Nurodymo dalis dėl duomenų nesaugumo neturi pagrindo.

23. Pareiškėjai 2020 m. sausio 31 d. pateikė teismui savo poziciją dėl pareiškėjų darbuotojų duotų sutikimų tvarkyti biometrinius duomenis, kurioje nurodo:

23.1. Byloje pateiktos darbuotojų sutikimų kopijos, kurios patvirtina, kad darbuotojai turi realią galimybę sutikti arba nesutikti su savo biometrinių duomenų tvarkymu, be kita ko, sutikimai darbuotojų, kurie pasirinko skaitmeninio kodo naudojimą. Nurodyme taip pat nustatyta, kad Bendrovių darbuotojai, atvykę į darbą, privalo nuskenuoti savo piršto atspaudą arba įvesti skaitmeninį kodą. Pateiktos sutikimo formos patvirtina, kad Bendrovių darbuotojai buvo informuoti apie duomenų tvarkymą, nes sutikimo formose pateikiama informacija apie duomenų tvarkymo tikslą, galimybę pasirinkti piršto atspaudo arba skaitmeninio kodo naudojimą bei teisę nesutikti.

23.2. Inspekcija uždraudė pareiškėjams tvarkyti biometrinius duomenis dėl, jos nuomone, šioje situacijoje negaliojančio darbuotojų sutikimo, duomenų nesaugumo ir kitų priežasčių, o ne dėl pareigos informuoti darbuotojus nevykdymo. Darbuotojų informavimo klausimas nebuvo ir pareiškėjų skundo dalyku. Dėl to darbuotojų informavimo apie duomenų tvarkymą klausimas išeina už ginčo nagrinėjimo ribų.

23.3. Draudimas tvarkyti biometrinius duomenis būtų neproporcinga sankcija dėl informavimo pareigos nevykdymo. Jei Inspekcija būtų nustačiusi tokio pobūdžio pažeidimą, ji galėjo įpareigoti pareiškėjus informuoti darbuotojus apie jų duomenų tvarkymą arba sustabdyti duomenų tvarkymą iki tol, kol informavimas nebus atliktas. Kitaip tariant, tokią pažeistą pareigą būtų galima atlikti ateityje.

23.4. Jungtinės Karalystės duomenų apsaugos institucija (Information Commissioner‘s Office) 2019 m. gegužės 9 d. sprendime iš esmės nurodė, kad galima tvarkyti biometrinius duomenis remiantis duomenų subjekto sutikimu, net jeigu tarp šalių yra galios disbalansas, tačiau egzistuoja reali galimybė sutikti arba nesutikti.

24. Atsakovas 2020 m. sausio 31 d. pateikė teismui rašytinius paaiškinimus, kuriuose nurodo:

24.1. Atsakovas laikosi nuoseklios pozicijos, kad pareiškėjai negali remtis savo darbuotojų sutikimais kaip darbuotojų biometrinių duomenų teisėto tvarkymo kriterijumi, šią poziciją grindžia apeliaciniame skunde apžvelgtomis Direktyvos 95/46/EB nuostatomis bei 29 DG nuomonėmis.

24.2. Inspekcija nusprendė pradėti tyrimą savo iniciatyva 2015 m. gruodžio 9 d. gavusi informaciją iš M. L., kuris Inspekcijai, be kita ko, tvirtino, kad AB „Eglės“ sanatorija darbuotojai, jų pasiteiravus, kam koridoriuje prie administratoriaus stalo įrengti biometriniai pirštų skaitytuvai, išsigandę greitu žingsniu nueidavo; visi darbuotojai jam patvirtino nebuvę supažindinti ir nenutuokiantys, kiek ir kokia apimtimi yra stebimi, nežinantys, kada ir kur įrašinėjama jų darbo aplinka. Inspekcijos atliekamo tyrimo metu, negirdint Bendrovių vadovybei, taip pat atsirado darbuotojų, kurie teigė besidžiaugiantys atliekamu tyrimu, nesutinkantys su jų biometrinių duomenų tvarkymu (atsakovas dėl akivaizdžių priežasčių negali atskleisti tokių darbuotojų tapatybių).

24.3. Aplinkybę, kad pareiškėjo darbuotojų sutikimai nesavanoriški ir todėl negalima jais remtis, patvirtina taip pat tai, jog pirmiausiai buvo surinkti darbuotojų pirštų atspaudai, renkant šiuos atspaudus darbuotojai nebuvo informuojami ir nebuvo gaunami jų sutikimai, ir tik vėliau, siekiant pateisinti tokį darbuotojų biometrinių duomenų tvarkymą, pareiškėjai surinko rašytinius darbuotojų sutikimus dėl šių duomenų tvarkymo.

24.4. Pareiškėjai patys yra nurodę, jog, siekdami efektyviai užtikrinti darbo laiko apskaitą ir darbo drausmės kontrolę, kaip būtiną sąlygą savo funkcionavimui, jie negali netvarkyti darbuotojų asmens duomenų (pvz., vardo, pavardės, atvykimo ir išvykimo iš darbo laikų), o darbuotojas negali nesutikti su jo duomenų tvarkymu tokiu tikslu. Taigi, darbuotojų duomenys darbo laiko apskaitos ir darbo drausmės kontrolės tikslais tvarkomi vadovaujantis Įstatymo 5 straipsnio 1 dalies 6 punkte įtvirtintu asmens duomenų teisėto tvarkymo kriterijumi. Tačiau negali būti tokios situacijos, kai tuo pačiu darbo laiko apskaitos ir darbo drausmės kontrolės tikslu dalis asmens duomenų (pvz., vardas, pavardė) tvarkomi vadovaujantis vienu asmens duomenų teisėto tvarkymo kriterijumi (šiuo atveju – Įstatymo 5 str. 1 d. 6 p.), o kita dalis (pvz., biometriniai duomenys) – kitu asmens duomenų teisėto tvarkymo kriterijumi (šiuo atveju – Įstatymo 5 str. 1 d. 1 p.).

24.5. Tyrimo metu nustatyta, kad Bendrovių darbuotojų pirštų atspaudai buvo pradėti rinkti 2015 m. spalio 21 d. 2015 m. gruodžio 17 d. atlikto asmens duomenų tvarkymo teisėtumo patikrinimo AB „Eglės“ sanatorija metu nustatyta, jog bendrovėje nėra dokumento, reglamentuojančio šių asmens duomenų tvarkymą, ir nėra įrodymų, kad darbuotojai buvo informuoti apie jų biometrinių duomenų tvarkymą. Pareiškėjai 2016 m. balandžio 7 d. raštais atsakovui nurodė, jog darbuotojai apie biometrinių duomenų tvarkymą vidaus administravimo tikslais yra supažindinami žodžiu, tačiau, Inspekcijos įsitikinimu, Lietuvos vyriausiais administracinis teismas yra išaiškinęs, jog toks informavimas turėjo būti atliktas raštu (2016 m. gruodžio 7 d. nutartis administracinėje byloje Nr. eA-2333-525/2016). Pareiškėjai 2016 m. gegužės 20 d. raštais informavo Inspekciją, kad šių raštų parengimo metu jie nebuvo patvirtinę darbuotojams, nesutinkantiems su jų pirštų atspaudų modelių tvarkymu, PIN kodų, t. y. realiai darbuotojams nebuvo sudaryta alternatyvi galimybė nesutikti su jų pirštų atspaudų modelių tvarkymu. Tokia galimybė formaliai numatyta tik 2016 m. gruodžio 30 d.

Teisėjų kolegija

k o n s t a t u o j a:

IV. 25. Nagrinėjamoje byloje ginčas kilo dėl Valstybinės duomenų apsaugos inspekcijos 2017 m. birželio 22 d. nurodymo Nr. 2R-4073(2.13), kuriuo pareiškėjams buvo nurodyta nedelsiant nutraukti sanatorijos darbuotojų biometrinių duomenų tvarkymą bei sunaikinti anksčiau surinktus darbuotojų pirštų atspaudų modelius (unikalius, bazinius binarinius kodus), pagrįstumo ir teisėtumo.

26. Ginčijamame nurodyme yra padarytos išvados, kad Sanatorijos darbuotojų biometriniai duomenys Sanatorijoje tvarkomi vidaus administravimo tikslu, t. y. darbo laiko kontrolės ir darbo drausmės tikslu; šį tikslą pasiekti Sanatorijoje yra galimybė naudojant privatumo nepažeidžiančias priemones, tokias, kaip skaitmeniniai kodai, kortelės, darbuotojų registracija apsaugos poste; Sanatorijos darbuotojų biometrinių duomenų tvarkymas iš esmės yra pasirinktas dėl patogumo ir ekonomiškumo, o ne esant būtinumui tvarkyti šiuos duomenis; UAB „Birštono šaltinis“, AB „Eglės“ sanatorija ir UAB „Namita“ tvarko darbuotojų biometrinius duomenis neatlikę šių darbuotojų interesų pusiausvyros vertinimo, padaryta išvada, kad šios bendrovės savo darbuotojų biometrinius duomenis (pirštų antspaudų modelius) tvarko neturėdami nei jų nurodomo biometrinių duomenų tvarkymo teisinio pagrindo, numatyto ADTAĮ 5 straipsnio 1 dalies 1 punkte – darbuotojo savanoriško sutikimo, nei kito ADTAĮ 5 straipsnio 1 dalies 6 punkte nustatyto teisėto intereso, kai duomenų subjekto interesai nėra svarbesni, nei jokio kito ADTAĮ 5 straipsnio 1 dalies 2-5 punktuose nustatyto asmens duomenų teisėto tvarkymo kriterijaus, ir minėtus duomenis tvarko (renka, naudoja), neteisėtai, pažeisdamos ADTAĮ 3 straipsnio 1 dalies 2 punktą.

27. Taigi atsakovas laikosi pozicijos, kad pareiškėjų darbuotojų sutikimai nelaikytini savanoriškais, nes darbuotojai yra socialiai priklausomi nuo darbdavių – Bendrovių, darbovietės buvimo vieta – mažas miestelis, kuriame darbo vietų skaičius ribotas, todėl padarė išvadą, kad po 2016 m. gruodžio 30 d. (2016 m. vasario 23 d. Patikrinimo aktas Nr. 4R-29(2.13)) gaunami darbuotojų sutikimai dėl biometrinių duomenų tvarkymo, negali būti laikomi atitinkančiais savanoriškumo principą ir negali būti teisiniu pagrindu tvarkant darbuotojų asmens duomenis darbo santykių kontekste.

28. Pirmosios instancijos teismas panaikino Valstybinės duomenų apsaugos inspekcijos 2017 m. birželio 22 d. nurodymą ir laikėsi nuostatos, kad darbuotojai buvo informuoti apie numatomą asmens duomenų rinkimą ir tvarkymą, jiems buvo nurodyta, kokiu tikslu jų duomenis bus tvarkomi, o savo sutikimus išreiškė žodžiu bei veiksmais. Teismas atkreipė dėmesį į tai, kad įdiegus biometrinių duomenų sistemą, Bendrovės priėmė reikalingus teisės aktus, paskyrė už tai atsakingus asmenis ir gavo darbuotojų rašytinius sutikimus. Atsakovo argumentus, jog duoti rašytiniai darbuotojų sutikimai nelaikytini savanoriškais, nes darbuotojai yra tiesiogiai socialiai priklausomi nuo Bendrovių, darbovietės vieta – mažas miestelis, kuriame darbo vietų skaičius ribotas, pirmosios instancijos teismas vertinto kritiškai. Tai, kad darbuotojai turi galimybę ir pasirinkimo laisvę sutikti ar nesutikti dėl asmens biometrinių duomenų naudojimo ir tvarkymo, patvirtina į bylą pateikti Bendrovių darbuotojų sutikimai, kuriuose darbuotojai pasirinko ne piršto anspaudo modelį, bet skaitmeninį kodą susidedantį iš 6 skaitmenų (I t., b. l. 15, 16, 17, 18). Pirmosios instancijos teismo pozicija yra tokia, kad darbuotojų duoti sutikimai yra savanoriški, duomenų subjektai galėjo pasirinkti, o nesutikimo atveju nėra neigiamų padarinių grėsmės, sutikimai duoti žinomai (pagrįsti informacija) ir yra konkretus (suprantamas, duomenų tvarkymo aprėptis ir padariniai aiškiai ir tiksliai nurodyti).

V. 29. Pareiškėjai darbuotojų biometrinių duomenų (pirštų anspaudų) tvarkymo teisėtumą grindžia darbuotojų sutikimais (Įstatymo 5 straipsnio 1 dalies 1 punktas) bei Bendrovių teisėtu interesu (Įstatymo 5 straipsnio 1 dalies 6 punktu). Atsakovas apeliaciniame skunde teigia, kad Bendrovės darbuotojų biometrinius duomenis tvarko, neturėdami teisinio pagrindo nei Įstatymo 5 straipsnio 1 dalies 1 punkte – darbuotojų savanoriško sutikimo, nei teisinio pagrindo, nustatyto Įstatymo 5 straipsnio 1 dalies 6 punkte – teisėto intereso, kai duomenų subjekto interesai nėra svarbesni, nei jokio kito Įstatymo 5 straipsnio 1 dalies 2–5 punktuose nustatyto asmens duomenų teisėto tvarkymo kriterijaus ir darbuotojų asmens duomenis tvarko neteisėtai, pažeisdamos Įstatymo 3 straipsnio 1 dalies 2 punktą.

30. ADTAĮ 3 straipsnio (asmens duomenų tvarkymo reikalavimai) 1 dalyje nustatyta, kad duomenų valdytojas privalo užtikrinti, kad asmens duomenys būtų renkami apibrėžtais ir teisėtais tikslais ir toliau nebūtų tvarkomi tikslais, nesuderinamais su nustatytaisiais prieš renkant asmens duomenis (1 punktas), tvarkomi tiksliai, sąžiningai ir teisėtai (2 punktas), aiškinant šią įstatymo normą, pastebėtina, jog teisėtumo kriterijus reiškia, kad asmens duomenys turi būti tvarkomi nepažeidžiant įstatymų, teisės aktų, kitų teisiškai privalomų pareigų ar apribojimų. ADTAĮ 5 straipsnio (asmens duomenų teisėto tvarkymo kriterijai) 1 dalyje nustatyta, kad asmens duomenys gali būti tvarkomi, jeigu: duomenų subjektas duoda sutikimą (1 punktas); sudaroma arba vykdoma sutartis, kai viena iš šalių yra duomenų subjektas (2 punktas); pagal įstatymus duomenų valdytojas yra įpareigotas tvarkyti asmens duomenis (3 punktas); siekiama apsaugoti duomenų subjekto esminius interesus (4 punktas); įgyvendinami oficialūs įgaliojimai, įstatymais ir kitais teisės aktais suteikti valstybės bei savivaldybių institucijoms, įstaigoms ir įmonėms arba trečiajam asmeniui, kuriam teikiami asmens duomenys (5 punktas); reikia tvarkyti dėl teisėto intereso, kurio siekia duomenų valdytojas arba trečiasis asmuo, kuriam teikiami asmens duomenys, ir jei duomenų subjekto interesai nėra svarbesni (6 punktas). ADTAĮ nuostatos, reglamentuojančios asmens duomenų tvarkymą, dėl kurio gali būti pažeistos žmogaus teisės, ypač teisė į privatų gyvenimą, turi būti aiškinamos atsižvelgiant į konstitucines nuostatas, tarptautinius ir ES teisės aktus.

31. ADTAĮ nuostatomis yra įgyvendinama 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyva 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo. 2016 m. balandžio 27 d. yra priimtas naujas teisinis asmens duomenų apsaugos instrumentas – Reglamentas (ES) 2016/679, kuris taikomas nuo 2018 m. gegužės 25 d. ir nuo šios datos panaikino Direktyvą 95/46, tačiau šio reglamento nuostatos nagrinėjamoje byloje netaikytinos. Pagal Direktyvą 95/46 valstybės narės įsipareigojo saugoti fizinių asmenų pagrindines teises ir laisves, o ypač jų privatumo teisę tvarkant asmens duomenis (1 straipsnis). Šios direktyvos nuostatos sąlygiškai bendros, nes ji turi būti taikoma daugeliui labai įvairių situacijų (2003 m. lapkričio 6 d. sprendimo Lindqvist, C–101/01, EU:C:2003:596, 83 punktas). Direktyvos 95/46/EB 6 straipsnyje nustatyta, jog valstybės narės numato, kad asmens duomenys turi būti adekvatūs, susiję ir savo apimtimi neviršijantys tikslų, kuriems jie renkami ir (arba) vėliau tvarkomi (c punktas).

32. Teisė į asmens duomenų apsaugą Europos Sąjungos lygmeniu užtikrinama pirminėje teisėje, o konkretūs šios teisės užtikrinimo aspektai detalizuojami antrinės teisės aktuose. SESV 16 straipsnis, ESS 39 straipsnis ir Europos Sąjungos pagrindinių teisių chartijos 8 straipsnis reglamentuoja asmens duomenų apsaugą. Chartijos 8 straipsnyje įtvirtinta teisė į asmens duomenų apsaugą įgijo ypatingą teisinį statusą įsigaliojus Lisabonos sutarčiai, kai buvo pripažinta Chartijos privaloma ir sutartims prilygstanti teisinė galia. EŽTK 8 straipsnyje įtvirtintos teisės į pagarbą privačiam gyvenimui aspektas yra informacijos apie asmens privatų gyvenimą apsauga, tokios informacijos, kaip biometrinių duomenų, rinkimo, saugojimo ir perdavimo klausimai patenka į Konvencijos 8 straipsnio taikymo sritį.

33. Chartijoje teisė į asmens duomenų apsaugą įtvirtinta atskirame 8 straipsnyje, kuris gali būti laikomas lex specialis Chartijos straipsnio, įtvirtinančio teisę į privatų ir šeimos gyvenimą, atžvilgiu. Asmens duomenų apsaugos požiūriu Chartijos 7 (teisė į privataus gyvenimo gerbimą) ir 8 straipsniai yra imanentiškai susiję (ESTT Didžiosios kolegijos 2014 m. balandžio 8 d. sprendimą Digital Rights Ireland Ltd. sujungtose bylose C-293/12 ir C-594/12); tai patvirtina ir aplinkybė, kad ESTT su asmens duomenų apsauga susijusiose bylose įprastai nurodo abu Chartijos straipsnius. Taip pat ESTT laikosi nuostatos, kad Chartijos 7 ir 8 straipsniais pripažinta teisė į privataus gyvenimo gerbimą tvarkant asmens duomenis siejama su visa informacija apie fizinį asmenį, kurio tapatybė nustatyta arba gali būti nustatyta, teisei į asmens duomenų apsaugą galimi taikyti apribojimai atitinka leidžiamus pagal EŽTK 8 straipsnį (2010 m. lapkričio 9 d. sprendimas Volker und Markus Schecke GbR ir kt., sujungtos bylos C-92/09 ir C-93/09, EU:C:2010:662). Taigi Chartijos 7 ir 8 straipsniuose yra įtvirtinta teisė į privataus gyvenimo gerbimą tvarkant asmens duomenis.

34. ESTT formuluojami teisės į privatų gyvenimą ir asmens duomenų apsaugos standartai, grindžiami griežtu proporcingumo testu (reikalaujama, kad būtų apsiribojama tuo, kas yra griežtai būtina atsižvelgiant į siekiamą tikslą (ESTT Didžiosios kolegijos 2014 m. balandžio 8 d. sprendimas Digital Rights Ireland Ltd. sujungtose bylose C-293/12 ir C-594/12, 52 punktas; ESTT 2013 m. lapkričio 7 d. sprendimas Institut professionnel des agents immobiliers (IPI) byloje C-473/12, 39 punktas; ESTT Didžiosios kolegijos 2010 m. lapkričio 9 d. sprendimas Volker und Markus Schecke ir Eifert sujungtose bylose C-92/09 ir C-93/09, 77 ir 86 punktai).

35. Chartijos 8 straipsniu nustatoma, pirma, kiekvienam individui priklausanti ir nuo teisės į privatų ir šeimos gyvenimą atskirta teisė į jo duomenų apsaugą (8 straipsnio 1 dalis). Antra, įtvirtinami pagrindiniai asmens duomenų tvarkymo principai ir asmenims priklausančios kitos su teise į asmens duomenų apsaugą susijusios teisės (8 straipsnio 2 dalis). Pačiame 8 straipsnyje nedetalizuojama, ką apima asmens duomenų tvarkymas. Kiek tai susiję su tokių duomenų tvarkymu, šiame straipsnyje tik užsimenama, kad duomenys turi būti tvarkomi tinkamai ir naudojami konkretiems tikslams, o Direktyvoje 95/46 pateikiami papildomi asmens duomenų tvarkymo reikalavimai.

Chartijos 8 straipsnio 2 dalyje taip pat nurodoma, kad asmens duomenys gali būti tvarkomi ir naudojami tik gavus atitinkamo asmens sutikimą ar kitais įstatymo nustatytais pagrindais. „Sutikimo“ aspektas neabejotinai svarbus asmens duomenų apsaugos kontekste, tačiau sąlyga, kad duomenis galima tvarkyti tada, kai duomenų subjektas duoda tam savo sutikimą, nėra absoliuti. Direktyvos 95/46 7 straipsnyje (šio straipsnio nuostatas perkelia ADTAĮ 5 straipsnio 1 dalies nuostatos) nurodytas išsamus ir baigtinis sąrašas atvejų, kai asmens duomenys gali būti tvarkomi ir negavus tokio sutikimo, t. y., reziumuojant, kai tvarkyti asmens duomenis reikia:

1) vykdant sutartį, kurios šalimi yra duomenų subjektas arba tokio subjekto reikalavimu norint imtis priemonių prieš sudarant sutartį;

2) vykdant teisinę prievolę, kuri privaloma duomenų valdytojui;

3) norint apsaugoti gyvybinius duomenų subjekto interesus;

4) vykdant užduotį, atliekamą visuomenės labui, arba vykdant viešosios valdžios funkcijas;

5) dėl teisėtų interesų, išskyrus, kai duomenų subjekto teisės ir laisvės yra viršesnės už tokius interesus. Iš esmės panašus sąrašas numatytas ir Reglamento (ES) 2016/679 6 straipsnyje. Taip pat reikia pridurti, kad šiame naujame reglamente (konkrečiai jo 7 straipsnyje) įtvirtinamos naujos nuostatos dėl sutikimo, t. y. jame detaliai reglamentuojamos duomenų subjekto duodamo sutikimo sąlygos ir numatyta, kad tokį sutikimą bet kada galima atšaukti. Pagal Direktyvos Nr. 95/46/EB 7 straipsnio 1 dalies a punktą, nedviprasmiškas duomenų subjekto sutikimas yra asmens duomenų tvarkymo pagrindas. Darbo grupės Nuomonėje 15/2011 dėl sąvokos „sutikimas“ apibrėžties nurodoma, jog gavus sutikimą nepanaikinami duomenų valdytojo įsipareigojimai pagal Direktyvos 95/46/EB 6 straipsnį, susiję su sąžiningumu, būtinumu ir proporcingumu, taip pat duomenų kokybe. Sutikimo gavimas taip pat nereiškia, kad leidžiama netaikyti kitų Direktyvos 95/46/EB nuostatų.

36. Direktyvos 95/46 2 straipsnyje pateikta plati asmens duomenų sąvoka: asmens duomenys apima bet kokią informaciją, susijusią su asmeniu (duomenų subjektu), kurio tapatybė yra nustatyta arba gali būti nustatyta, o asmuo, kurio tapatybė gali būti nustatyta, yra tas asmuo, kurio tapatybė gali būti nustatyta tiesiogiai ar netiesiogiai, ypač pasinaudojus nurodytu asmens identifikavimo kodu arba vienu ar keliais to asmens fizinei, fiziologinei, protinei, ekonominei, kultūrinei ar socialinei tapatybei būdingais veiksniais. Šią sąvoką Europos Sąjungos Teisingumo Teismas aiškina plačiai ir yra pripažinęs, kad asmens duomenimis laikytini ir biometriniai duomenys (2013 m. spalio 17 d. sprendimas Schwarz, C-291/12, EU:C:2013:670; 2015 m. balandžio 16 d. sprendimas Willems ir kt., C-446/12-449/12, EU:C:2015:238). ADTAĮ 2 straipsnio 1 dalies nuostatos perkelia Direktyvos 95/46 2 straipsnio nuostatas.

37. Atkreiptinas dėmesys į tai, kad Reglamento (ES) 2016/679 (nagrinėjamoje byloje nėra tiesiogiai taikomas) 4 straipsnio 1 dalies 14 punkte yra apibrėžiami biometriniai duomenys, o šio reglamento 9 straipsnis (specialių kategorijų asmens duomenų tvarkymas) draudžia tvarkyti asmens duomenis, atskleidžiančius biometrinius duomenis (biometriniai duomenys pagal šį reglamentą priskiriami specialiųjų kategorijų asmens duomenimis), išskyrus šio straipsnio 2 dalyje numatytas sąlygas. Pabrėžtina, kad naujojo Reglamento (ES) 2016/679 9 straipsnio atitikmuo yra Direktyvos 95/46 8 straipsnis (ypatingų duomenų kategorijų tvarkymas), tačiau nagrinėjamai bylai aktuali Direktyva 95/46 biometrinių duomenų nepriskyrė ypatingiems duomenims, kuriuos draudžiama tvarkyti pagal šią direktyvą.

38. Apibendrinant nagrinėjamai bylai aktualų reguliavimą darytina išvada, kad darbuotojų biometrinių duomenų tvarkymui, dėl kurio ir priimtas ginčijamas Nurodymas, yra taikytini ADTAĮ 3 straipsnio ir 5 straipsnio 1 dalies reikalavimai. Teisėjų kolegija laikosi pozicijos, kad pagal duomenų apsaugos koncepciją asmeninė informacija (nagrinėjamu atveju – biometriniai duomenys) gali būti tvarkoma tik tokiu atveju, jeigu tenkinami tam tikri nustatyti reikalavimai, t. y. asmens duomenų tvarkymas laikomas teisėtu tik tuo atveju, jeigu tai atitinka ADTAĮ 3 ir 5 straipsnių nuostatas (žr., pvz., Lietuvos vyriausiojo administracinio teismo 2015 m. vasario 12 d. nutartį administracinėje byloje Nr. A-375-858/2015).

VI. 39. Ginčijamame Nurodyme yra padaryta išvada, kad Sanatorijos darbuotojų biometriniai duomenys Sanatorijoje tvarkomi vidaus administravimo tikslu, t. y. darbo laiko kontrolės ir darbo drausmės tikslu; šį tikslą pasiekti Sanatorijoje yra galimybė naudojant privatumo nepažeidžiančias priemones, tokias, kaip skaitmeniniai kodai, kortelės, darbuotojų registracija apsaugos poste; Sanatorijos darbuotojų biometrinių duomenų tvarkymas iš esmės yra pasirinktas dėl patogumo ir ekonomiškumo, o ne esant būtinumui tvarkyti šiuos duomenis; UAB „Birštono šaltinis“, AB „Eglės“ sanatorija ir UAB „Namita“ tvarko darbuotojų biometrinius duomenis, neatlikę šių darbuotojų interesų pusiausvyros vertinimo. Taip pat ginčijamame Nurodyme nustatyta, kad UAB „Birštono šaltinis“, AB „Eglės“ sanatorija ir UAB „Namita“ tvarko darbuotojų biometrinius duomenis neturėdami ADTAĮ 5 straipsnio 1 dalies 6 punkte nustatyto teisėto intereso, kai duomenų subjekto interesai nėra svarbesni.

40. Pareiškėjai laikosi pozicijos, kad Bendrovės, tvarkydamos savo darbuotojų duomenis, neabejotinai siekia intereso, kuris yra teisėtas – užtikrinti laiko apskaitos kontrolę (ADTAĮ 5 str. 1 d. 6 p.), kad darbuotojai laiku ateitų į darbą ir laiku iš jo išeitų, be to, kad laiko apskaitos kontrolės sistemoje pasižymėtų tas darbuotojas, kuris į darbą ateina ir iš jo išeina, o ši laiko apskaitos kontrolės sistema būtų patogi patiems darbuotojams.

41. ADTAĮ 5 straipsnio 1 dalies 6 punktas nustato, kad asmens duomenys gali būti tvarkomi, jeigu reikia tvarkyti dėl teisėto intereso, kurio siekia duomenų valdytojas arba trečiasis asmuo, kuriam teikiami asmens duomenys, ir jei duomenų subjekto interesai nėra svarbesni Pirmosios instancijos teismas teigia, kad Bendrovės aiškiai ir konkrečiai apibrėžė tikslą, kurį nori pasiekti, rinkdamos ir tvarkydamos duomenis – darbo laiko apskaita ir darbo drausmės kontrolė - ir nėra pagrindo vertinti, jog šis tikslas iš esmės yra neteisėtas. Taigi pirmosios instancijos teismas iš esmės apsiribojo tik konstatavimu, kad pareiškėjai turi pagrindą remtis teisėtu tikslu - darbo laiko apskaita ir darbo drausmės kontrolė - ADTAĮ 5 straipsnio 1 dalyje 6 punkto prasme. Aiškinant ADTAĮ 3 straipsnio 1 dalies 1 punkto nuostatą pabrėžtina, jog duomenų valdytojai turi nustatyti tikslą taip, kad tiek duomenų subjektui, tiek Inspekcijai nekiltų pagrįstų abejonių dėl šio tikslo aiškumo ir konkretumo. Teisėjų kolegija, nors ir sutikdama su tuo, kad nagrinėjamu atveju Bendrovės aiškiai apibrėžė, jų manymu teisėtą tikslą, tačiau pabrėžia, kad siekiant tvarkyti asmens duomenis vadovaujantis ADTAĮ 5 straipsnio 1 dalyje 6 punktu nepakanka tik įvardinti tam tikrą duomenų tvarkytojo požiūriu teisėtą tikslą, būtina įvertinti, ar duomenų subjekto interesai nėra svarbesni už siekiamą tikslą. Todėl akivaizdu, kad Bendrovės neatliko proporcingumo testo, t. y. nesvarstė, ar priemonės griežtai būtinos atsižvelgiant į siekiamą tikslą (plačiau apie teisės į privatų gyvenimą ir asmens duomenų apsaugos standartus šio žr. Sprendimo 30-38 punktai).

42. Pareiškėjai, siekdami paneigti atsakovo išvadą, kad Bendrovės tvarkė biometrinius duomenis be darbuotojų sutikimų, remiasi tuo, kad nagrinėjamoje byloje yra pateiktos darbuotojų sutikimų, teiktų 2017 m. birželio 5, 7, 16 d., 2017 m. gegužės 31 d. ir kt. kopijos, kurios, pareiškėjų nuomone, patvirtina, kad darbuotojai turi realią galimybę sutikti arba nesutikti su savo biometrinių duomenų tvarkymu, be kita ko, sutikimai darbuotojų, kurie pasirinko skaitmeninio kodo (susidedantį iš 6 skaitmenų) naudojimą. Visų pirma, atkreiptinas dėmesys į tai, kad sutikimai gauti jau po 2016 m. vasario 23 d. Patikrinimo akto Nr. 4R-29(2.13.), kuriame nustatyta, kad pareiškėjų darbuotojų biometriniai duomenys buvo renkami be jų sutikimo, o iki 2016 m. gruodžio 30 d. darbuotojai neturėjo realios galimybės nesutikti su savo asmens duomenų tvarkymu (nebuvo alternatyvių būdų pažymėti atvykimą į darbą / išvykimą iš jo) kitaip nei pateikiant savo biometrinius duomenis (pirštų atspaudų modelius). Antra, teisėjų kolegija daro išvadą, kad Bendrovės neturi svarių argumentų, dėl kurių biometrinių duomenų tvarkymas sudarė griežtai būtinas priemones atsižvelgiant į siekiamą tikslą - darbo laiko apskaita ir darbo drausmės kontrolė. Tokia išvada darytina dėl to, kad po minėto Patikrinimo akto ir ginčijamo Nurodymo Bendrovių veiksmai rodo, kad jos nesilaikė pozicijos, kad biometrinių duomenų tvarkymas yra vienintelė būtina priemonė, galinti užtikrinti darbo laiko apskaitą ir darbo drausmę Bendrovėse, be to, nagrinėjamoje byloje nėra duomenų, galinčių patvirtinti, kad Bendrovės vertino duomenų subjektų interesus siekiamo tikslo atžvilgiu (ADTAĮ 5 str. 1 d. 6 p.).

43. Teisėjų kolegija taip pat atkreipia dėmesį į tai, kad Bendrovėms, remiantis ADTAĮ 5 straipsnio 1 dalies 6 punktu, nepakanka nurodyti savo siekiamo tikslo bei įvertinti duomenų subjektų interesus siekiamo tikslo atžvilgiu, nes teisėto intereso turėtų siekti duomenų valdytojas arba trečiasis asmuo, duomenų valdytojo sąvoka apibrėžtas ADTAĮ 2 straipsnio 7 dalyje, o duomenų tvarkytojo sąvoka - ADTAĮ 2 straipsnio 6 dalyje. Tačiau teisėjų kolegija, siekdama neperžengti nagrinėjamo ginčo ribų, šiais ADTAĮ 5 straipsnio 1 dalies 6 punkto taikymo byloje aspektais nepasisakys.

44. Apibendrindama išdėstytą teisėjų kolegija daro išvadą, kad atsakovas Nurodyme padarė visiškai pagrįstą išvadą, kad biometrinių duomenų tvarkymas iš esmės Bendrovių buvo pasirinktas dėl patogumo ir ekonomiškumo, o ne esant būtinumui tvarkyti šiuos duomenis ir kad UAB „Birštono šaltinis“, AB „Eglės“ sanatorija ir UAB „Namita“ tvarkė darbuotojų biometrinius duomenis, neatlikę šių darbuotojų interesų pusiausvyros vertinimo bei neturėdami ADTAĮ 5 straipsnio 1 dalies 6 punkte nustatyto teisėto intereso, kai duomenų subjekto interesai nėra svarbesni. Taip pat teisėjų kolegija atsižvelgia į tai, kad pirmosios instancijos teismas yra pagrįstai nurodęs, jog biometrinių duomenų naudojimas pareiškėjų tikslui pasiekti, nelaikytinas pateisinamu pagal Įstatymo 5 straipsnio 1 dalies 6 punktą, nors šiuo atveju be pagrindo pripažino pareiškėjų teisėtą interesą vykdyti darbo laiko apskaitą.

VII. 45. Ginčijamame Nurodyme nustatyta, kad UAB „Birštono šaltinis“, AB „Eglės“ sanatorija ir UAB „Namita“ tvarko darbuotojų biometrinius duomenis tvarko neturėdami jų nurodomo biometrinių duomenų tvarkymo teisinio pagrindo, numatyto ADTAĮ 5 straipsnio 1 dalies 1 punkte – darbuotojo savanoriško sutikimo.

46. Atsakovas laikėsi pozicijos, kad darbuotojų sutikimai nagrinėjamos bylos kontekste nelaikytini duotais savanoriškai, nes Bendrovių darbuotojai yra tiesiogiai socialiai priklausomi nuo Bendrovių, darbovietės vieta – mažas miestelis, kuriame darbo vietų skaičius ribotas. Bendrovės teigė, kad su numatomu biometriniu duomenų tvarkymu darbuotojai buvo supažindinti žodžiu, darbuotojų susirinkimo metu, o baigus visos sistemos įdiegimo darbus ir raštu, sudarant galimybę darbuotojams pasirinkti sutikti ar nesutikti dėl biometrinių duomenų naudojimo ir tvarkymo. Pirmosios instancijos teismas vertino, ar Inspekcija pagrįstai duotus darbuotojų sutikimus įvertino kaip duotus nesavanoriškai, todėl juos laikė neturinčiais juridinės galios.

47. ADTAĮ 2 straipsnio 12 dalyje nustatyta, kad sutikimas yra savanoriškas duomenų subjekto valios pareiškimas tvarkyti jo asmens duomenis jam žinomu tikslu. Minėta ADTAĮ nuostata perkelia Direktyvoje 95/46/EB 2 straipsnio 1 dalies h punktą, pagal kurį „duomenų subjekto sutikimas“ reiškia bet kurį savanoriškai ir žinomai duotą konkretų duomenų subjekto pareiškimą, kuriuo duomenų subjektas nurodo savo sutikimą, kad būtų tvarkomi su juo susiję duomenys. Iš išdėstytos sutikimo sąvokos matyti, jog duomenų subjekto valios pareiškimas susideda iš kelių elementų: jis yra duodamas savo noru (duomenų subjektas gali pasirinkti, o nesutikimo atveju nekyla apgaulės, bauginimo, prievartos ar reikšmingų neigiamų padarinių grėsmė), duodamas žinomai (pagrįstas informacija) ir yra konkretus (suprantamas, duomenų tvarkymo aprėptis ir padariniai aiškiai ir tiksliai nurodyti).

48. Pirmosios instancijos teismas, remdamasis rašytine bylos medžiaga, laikėsi nuostatos, kad Bendrovių darbuotojai su numatomu biometrinių duomenų tvarkymu vidaus administravimo tikslais buvo supažindinti (žodžiu) darbuotojų susirinkimo metu, o esant neaiškumams – kiekvienas individualiai, taip pat pirmosios instancijos teismas teigia, kad į bylą nėra pateikta nei vieno rašytinio įrodymo, nurodančio atsakovės argumentus, kaip pvz.: darbuotojų paaiškinimų, skundų, kuriuose būtų nurodyta, jog darbuotojai nebuvo supažindinti, nebuvo informuoti apie numatomu asmens duomenų tvarkymu ir dėl to nedavė sutikimo (žodžiu). Pirmosios instancijos teismas sprendė, kad darbuotojai savo sutikimus išreiškė žodžiu bei veiksmais, taip pat pastebėjo, kad pilnai įdiegus biometrinių duomenų sistemą, Bendrovės priėmė reikalingus teisės aktus, paskyrė už tai atsakingus asmenis ir gavo darbuotojų rašytinius sutikimus. Taip pat atsakovo argumentai, jog vėliau duoti rašytiniai darbuotojų sutikimai nelaikytini savanoriškais, nes darbuotojai yra tiesiogiai socialiai priklausomi nuo Bendrovių, darbovietės vieta – mažas miestelis, kuriame darbo vietų skaičius ribotas, pirmosios instancijos teismas vertintino kritiškai.

49. ADTAĮ 5 straipsnio 1 dalies 1 punkte įtvirtinta, kad asmens duomenys gali būti tvarkomi, jeigu asmens duomenų subjektas duoda sutikimą. 29 DG 2001 m. rugsėjo 8 d. Nuomonėje 8/2001 dėl asmens duomenų tvarkymo darbo santykių srityje pažymėjo, kad sutikimu turi būti remiamasi tik tais atvejais, kai darbuotojas turi tikrai laisvo pasirinkimo galimybę ir atitinkamai gali atšaukti duotą sutikimą be neigiamų pasekmių. 29 DG 2012 m. balandžio 27 d. Nuomonėje 3/2012 dėl biometrinių technologijų pokyčių nurodė, kad sutikimas, jeigu jis yra susijęs su darbo santykiais, turi būti išsamiai vertinamas kritiškai ir tinkamai pagrįstas; užuot siekę gauti sutikimą, darbdaviai galėtų išnagrinėti, ar teisėtu tikslu tikrai būtina naudoti darbuotojų biometrinius duomenis, ir įvertinti, ar toks darbuotojų biometrinių duomenų naudojimas turi įtakos jų pagrindinėms teisėms ir laisvėms. Tais atvejais, kai būtinybę galima tinkamai pagrįsti, tokio tvarkymo teisinis pagrindas galėtų būti duomenų valdytojo teisėtas interesas, kaip nustatyta Direktyvos 95/46/EB 7 straipsnio 1 dalies f punkte. Darbdavys visada turi ieškoti mažiausiai privatumą pažeidžiančių priemonių ir, jeigu įmanoma, pasirinkti su biometrinių duomenų tvarkymu nesusijusias priemones. 29 DG 2017 m. lapkričio 28 d. Gairėse Nr. WP259 Dėl sutikimo pagal Reglamentą 2016/679 iliustravo savo Nuomonėje 8/2001 pateiktą poziciją dėl darbuotojų duomenų tvarkymo remiantis jų sutikimu ir nurodė, jog disbalansas taip pat atsiranda užimtumo kontekste, atsižvelgiant į priklausomybę, atsirandančią dėl darbdavio-darbuotojo santykių, mažai tikėtina, kad duomenų subjektas gali savo darbdaviui atsisakyti duoti sutikimą tvarkyti duomenis, nepatirdamas baimės ar realaus neigiamo poveikio pavojaus, kaip šio atsisakymo pasekmės.

50. Sprendžiant, ar nagrinėjamu atveju pareiškėjai darbuotojų biometrinius duomenis tvarkė, neturėdami jų nurodomo biometrinių duomenų tvarkymo teisinio pagrindo, numatyto ADTAĮ 5 straipsnio 1 dalies 1 punkte – darbuotojo savanoriško sutikimo, yra svarbūs keli aspektai. Pirma, rašytiniai darbuotojų sutikimai dėl biometrinių duomenų tvarkymo buvo gauti jau po 2016 m. vasario 23 d. Patikrinimo akto Nr. 4R-29(2.13.), kuriame nustatyta, kad pareiškėjų darbuotojų biometriniai duomenys buvo renkami be jų sutikimo, o iki 2016 m. gruodžio 30 d. darbuotojai neturėjo realios galimybės nesutikti su savo asmens duomenų tvarkymu (nebuvo alternatyvių būdų pažymėti atvykimą į darbą / išvykimą iš jo) kitaip nei pateikiant savo biometrinius duomenis (pirštų atspaudų modelius). Antra, ar Bendrovių darbuotojų supažindinimas žodžiu su biometriniu duomenų tvarkymu darbuotojų susirinkimo metu prieš įvedant šį biometrinių duomenų tvarkymą gali būti laikomas tinkamu sutikimu ADTAĮ 5 straipsnio 1 dalies 1 punkto prasme.

51. Teisėjų kolegija nesutinka su pirmosios instancijos teismo išvada, kad darbuotojai apie jų biometrinių duomenų tvarkymą buvo tinkamai informuoti žodžiu bei su tokiu tvarkymu sutiko tiek žodžiu, tiek konkliudentiniais veiksmais, ir sprendžia, kad Inspekcijos tyrimo metu (2016 m. vasario 23 d. Patikrinimo aktas Nr. 4R-29(2.13.)) pagrįstai nustatyta, kad pareiškėjų darbuotojų biometriniai duomenys buvo renkami be jų sutikimo, o iki 2016 m. gruodžio 30 d. darbuotojai neturėjo realios galimybės nesutikti su savo asmens duomenų tvarkymu (nebuvo alternatyvių būdų pažymėti atvykimą į darbą / išvykimą iš jo) kitaip nei pateikiant savo biometrinius duomenis (pirštų atspaudų modelius). Teisėjų kolegija sprendžia, kad pareiškėjai darbuotojų biometrinius duomenis tvarkė neturėdami darbuotojų sutikimų. Byloje nėra įrodymų, kad pareiškėjai turėjo sutikimus tvarkyti biometrinius duomenis ir (arba) buvo informavę savo darbuotojus apie jų pirštų atspaudų rinkimo ir tvarkymo tikslus, duomenų subjektų teises ir pan. Tai, kad pareiškėjų darbuotojams nebuvo suteikiama informacija apie jų biometrinių tvarkymą bei nebuvo gaunami jų sutikimai patvirtinta ir tai, kad tyrimo metu pareiškėjai neturėjo jokio dokumento, reglamentuojančio asmens duomenų tvarkymą, ir (arba) dokumento, patvirtinančio darbuotojų informavimą žodžiu. Atsiliepime į apeliacinį skundą pareiškėjai iš esmės ir neneigia, kad konkrečiu atveju nebuvo informuoti darbuotojai, bet mano, kad už tokios pareigos informuoti pažeidimą yra paskirta neproporcinga sankcija. Dėl šių pareiškėjų paaiškinimų reikia pasakyti, kad duomenų subjekto valios pareiškimas (sutikimas), neturint reikalingos informacijos, iš esmės laikomas niekiniu.

52. Teisėjų kolegijos nuomone, vėlesnis darbuotojų sutikimų pateikimas nepaneigia tos aplinkybės, kad tyrimo metu pareiškėjai neturėjo darbuotojų sutikimų tvarkyti biometrinius darbuotojų duomenis. Kita vertus, pareiškėjai neįrodė, kad nagrinėjamu atveju laikėsi teisės į privatų gyvenimą ir asmens duomenų apsaugos standartų, grindžiamų griežtu proporcingumo testu. 29 DG 2012 m. balandžio 27 d. Nuomonėje 3/2012 nurodoma, kad naudojant biometrinius duomenis turi būti griežtai įvertintas tvarkomų duomenų būtinumas ir proporcingumas, tačiau pareiškėjai neįtikino teisėjų kolegijos, kad tokį vertinimą jie buvo atlikę prieš taikydami ginčo priemones. Taip pat teisėjų kolegijos neįtikino pareiškėjų paaiškinimai, kad jie tik biometrinių duomenų tvarkymo priemonėmis gali pasiekti siekiamų tikslų - darbo laiko apskaitos ir darbo drausmės kontrolės. Apibendrinant darytina išvada, kad darbdaviai biometrinių duomenų tvarkymo priemones galėtų taikyti siekdami tam tikrų specialių tikslų tik išskirtinėmis aplinkybėmis, kurios nagrinėjamu atveju nebuvo nustatytos.

53. Atsižvelgiant į nurodytus argumentus Valstybinės duomenų apsaugos inspekcijos 2017 m. birželio 22 d. nurodymas Nr. 2R-4073(2.13) yra teisėtas ir pagrįstas, o pirmosios instancijos teismo sprendimas negali būti pripažįstamas pagrįstu ir teisėtu, todėl yra naikinamas, o apeliacinis skundas tenkinamas ir priimamas naujas sprendimas.

Vadovaudamasi Lietuvos Respublikos administracinių bylų teisenos įstatymo 144 straipsnio 1 dalies 2 punktu, teisėjų kolegija

n u s p r e n d ž i a:

Atsakovo Valstybinės duomenų apsaugos inspekcijos apeliacinį skundą tenkinti.

Vilniaus apygardos administracinio teismo 2018 m. balandžio 17 d. sprendimą panaikinti ir priimti naują sprendimą: pareiškėjų uždarosios akcinės bendrovės „Birštono šaltinis“, akcinės bendrovės „Eglės“ sanatorija ir uždarosios akcinės bendrovės „Namita“ skundą atmesti.

Sprendimas neskundžiamas.

Teisėjai Audrius Bakaveckas

Vaida Urmonaitė-Maculevičienė

Skirgailė Žalimienė