41dd94b1-e6b9-4ec7-a192-30907292f7b6 · Vilniaus apygardos administracinis teismas

eI-3998 Administracinė byla Nr. eI-3995-815/2019

Teisminio proceso Nr. 3-61-3-02160-2019-4

Procesinio sprendimo kategorijos: 1.2; 26; 55.1.3

(S)

VILNIAUS APYGARDOS ADMINISTRACINIS TEISMAS

SPRENDIMAS

LIETUVOS RESPUBLIKOS VARDU

2019 m. gruodžio 5 d.

Vilnius

Vilniaus apygardos administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Jovitos Einikienės, Violetos Petkevičienės ir Ernesto Spruogio (kolegijos pirmininkas ir pranešėjas),

dalyvaujant pareiškėjos uždarosios akcinės bendrovės „MisterTango“ atstovams šios įmonės direktorei S. Z., advokatui G. B. ir advokato padėjėjai M. Ž.,

atsakovės Valstybinės duomenų apsaugos inspekcijos atstovams šios institucijos Priežiūros skyriaus patarėjai B. J. ir Informacinių technologijų skyriaus patarėjui V. Š.,

žodinio proceso tvarka vieÅ¡ame teismo posėdyje iÅ¡nagrinėjo administracinę bylÄ pagal pareiÅ¡kėjos uždarosios akcinės bendrovės „MisterTango“ skundÄ Valstybinei duomenų apsaugos inspekcijai dėl sprendimo panaikinimo.

Teismas, iÅ¡nagrinėjęs bylÄ ,

nustatė:

I

1. PareiÅ¡kėja uždaroji akcinė bendrovė „MisterTango“ (toliau – ir pareiÅ¡kėja, Bendrovė), atstovaujama advokato G. B. (2018 m. lapkričio 2 d. atstovavimo sutartis), kreipėsi į teismÄ su skundu, praÅ¡ydama panaikinti Valstybinės duomenų apsaugos inspekcijos (toliau – ir Inspekcija, ir atsakovė) 2019 m. gegužės 14 d. sprendimÄ Nr. 3R-397(2.14) „Dėl administracinės baudos skyrimo UAB „MisterTango““ (toliau – ir Sprendimas).

2. Skunde paaiÅ¡kina, jog pareiÅ¡kėjos 2018 m. liepos 31 d. buvo praÅ¡oma pateikti atsakymus į Inspekcijos pateiktus klausimus. Atsakovė 2018 m. liepos 31 d. raÅ¡te nurodė, jog pradėjo tyrimÄ dėl pareiÅ¡kėjos teikiamos mokėjimo inicijavimo paslaugos duomenų saugojimo. Inspekcija informavo, kad tyrimas pradėtas atsižvelgiant į Inspekcijoje gautÄ informacijÄ apie pavieÅ¡intus bankų klientų asmens duomenis bei Latvijos duomenų apsaugos inspekcijos pateiktÄ informacijÄ . PareiÅ¡kėja 2018 m. rugpjūčio 20 d. pateikė paaiÅ¡kinimus ir atsakė į raÅ¡te nurodytus klausimus.

2.1. 2018 m. lapkričio 21 d. pareiÅ¡kėja gavo raÅ¡tÄ , kuriuo buvo praÅ¡oma pateikti atsakymus į raÅ¡te iÅ¡dėstytus papildomus klausimus. Å iame raÅ¡te Inspekcija nurodė, jog klausimai pateikti atsižvelgiant į AB (duomenys neskelbtini) (toliau – ir (duomenys neskelbtini)) Inspekcijai pateiktÄ informacijÄ apie pareiÅ¡kėjos sistemoje pastebėtÄ duomenų saugumo pažeidimÄ . PareiÅ¡kėja 2018 m. lapkričio 28 d. kreipėsi į InspekcijÄ , praÅ¡ydama sudaryti galimybę susipažinti su visa tyrimo medžiaga. 2018 m. gruodžio 4 d. Inspekcija atsakė, jog su tyrimo medžiaga galima susipažinti Inspekcijos darbo valandomis. TÄ pačiÄ dienÄ Bendrovės atstovas nuvyko susipažinti su minėta medžiaga. Atstovui buvo pateikti: 1) 2018 m. (duomenys neskelbtini) duomenų apsaugos pareigÅ«nės el. laiÅ¡kas Inspekcijai, kuriuo (duomenys neskelbtini) informavo apie pastebėtÄ incidentÄ . Minėtu raÅ¡tu (duomenys neskelbtini) nurodė, kad aptiko nuorodÄ Ä¯ pareiÅ¡kėjos interneto tinklalapį, kuriame tariamai buvo pavieÅ¡inti (duomenys neskelbtini) klientų asmens duomenys, t. y. klientų elektroninės bankininkystės aplinkos momentiniai ekrano vaizdai (toliau – ir MEV) (angl. screenshots); 2) Inspekcijos 2018 m. spalio 16 d. raÅ¡tas Nr. 2R-5571 „Dėl informacijos pateikimo“, skirtas (duomenys neskelbtini); 3) 2018 m. spalio 23 d. (duomenys neskelbtini) raÅ¡tas Nr. SR/18-24966 Inspekcijai, kuriuo (duomenys neskelbtini) atsakė į Inspekcijos klausimus. Jokių kitų dokumentų Inspekcija Bendrovės atstovui 2018 m. gruodžio 4 d. nepateikė.

2.2. Nurodytos (duomenys neskelbtini) Inspekcijai pateiktos informacijos kontekste pareiÅ¡kėja akcentuoja, kad ji ir (duomenys neskelbtini) yra tiesioginiai konkurentai. Tiek (duomenys neskelbtini), tiek pareiÅ¡kėja tyrimo metu teikė mokėjimo inicijavimo paslaugÄ . (duomenys neskelbtini) licencija teikti nurodytÄ paslaugÄ iÅ¡duota (duomenys neskelbtini), o pareiÅ¡kėjai – (duomenys neskelbtini). Be to, (duomenys neskelbtini) pateiktoje informacijoje teigiama, jog (duomenys neskelbtini) po pareiÅ¡kėjos nuoroda ((duomenys neskelbtini)) (toliau – ir Nuoroda), neva, aptiko 9 189 (duomenys neskelbtini) elektroninės bankininkystės ir 17 kitų bankų MEV. Inspekcija iÅ¡imtinai ir vadovavosi minėtais (duomenys neskelbtini) teiginiais toliau tyrimo eigoje ir priimdama SprendimÄ . Tačiau pareiÅ¡kėja pažymi, kad, remiantis Bendrovei pateikta tyrimo medžiaga, (duomenys neskelbtini) Inspekcijai pateikė vos keletÄ skirtingų MEV pavyzdžių, o visi tariami daugiau nei 9000 MEV VDAI niekada pateikti nebuvo, kas reiÅ¡kia, kad VDAI niekada jų ir netyrė, tačiau jais rėmėsi, priimdama SprendimÄ . Inspekcija tyrimo metu taip pat netyrė fakto, ar MEV iÅ¡ tiesų buvo, jei taip – kiek MEV buvo, nesiaiÅ¡kino, koks MEV kilmės Å¡altinis, ar teisėtais bÅ«dais MEV gauti, nebuvo nuvykusi nei į (duomenys neskelbtini), nei į Bendrovės patalpas. PrieÅ¡ingai – Sprendimui Bendrovės atžvilgiu priimti ir baudai, kuri sudaro net (duomenys neskelbtini) procentus Bendrovės metinės apyvartos Inspekcijai pakako (duomenys neskelbtini) teorinių teiginių, kuriuos pagrindžiančių įrodymų nėra.

2.3. 2019 m. vasario 20 d. pareiÅ¡kėja gavo Inspekcijos raÅ¡tÄ , kuriuo pareiÅ¡kėja buvo informuota apie tai, jog Inspekcija nusprendė pradėti administracinės baudos skyrimo procedÅ«rÄ pagal 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – ir BDAR) 83 straipsnį. 2019 m. kovo 8 d. pareiÅ¡kėja pateikė Inspekcijai praÅ¡omÄ 2018 m. finansinių metų bendrÄ jÄ metinę pasaulinę apyvartÄ , taip pat nuomonę dėl bylos nagrinėjimo žodinės procedÅ«ros tvarka, taip pat informacijÄ bei dokumentus, susijusius su Inspekcijos atliekamu tyrimu.

2.4. Bendrovė 2019 m. vasario 27 d. kreipėsi į InspekcijÄ , praÅ¡ydama susipažinti su visa nepateikta tyrimo medžiaga, jei tokia dar yra. Inspekcija 2019 m. kovo 4 d. Inspekcijai pateikė atsakymÄ , pridėdama keletÄ papildomų (duomenys neskelbtini) raÅ¡tų. Latvijos duomenų apsaugos inspekcijos pateiktos informacijos, kuriÄ Inspekcija nurodė savo 2018 m. liepos 31 d. raÅ¡te, Inspekcija Bendrovei nepateikė.

2.5. 2019 m. gegužės 14 d. pareiÅ¡kėja gavo skundžiamÄ SprendimÄ , kuriuo už BDAR 5, 32 ir 33 straipsnių pažeidimus nusprendė pareiÅ¡kėjai skirti 61 500 Eur baudÄ , kuri atitinka (duomenys neskelbtini) procento pareiÅ¡kėjos 2018 m. finansinių bendrosios metinės pasaulinės apyvartos.

3. Dėl tariamo asmens duomenų tvarkymo MEV

3.1. Inspekcija yra padariusi iÅ¡vadÄ , jog pareiÅ¡kėja, teikdama mokėjimo inicijavimo paslaugÄ , mokėtojo banko aplinkoje matomus asmens duomenis tvarko (prieina, renka, saugo) neskaidriai, didesne apimtimi ir ilgiau nei tai yra bÅ«tina duomenų tvarkymo tikslui pasiekti. Inspekcijos vertinimu, tokiu bÅ«du pareiÅ¡kėja pažeidė BDAR 5 straipsnio 1 dalies a), c) ir e) punktus. MinėtÄ iÅ¡vadÄ Inspekcija padarė įvertinusi tai, kad: 1) Inicijuodama mokėjimÄ , pareiÅ¡kėja mokėtojų elektroninės bankininkystės darbalaukio aplinkoje neva ne tik mato ten nurodytÄ informacijÄ , bet ir atlieka kitus veiksmus, t. y. atlieka el. bankininkystės darbalaukio aplinkos MEV bei juos saugo; 2) PareiÅ¡kėja nepateikė jokios informacijos, kuri patvirtintų MEV rinkimo ir saugojimo teisėtumÄ bei atitiktį BDAR 5 straipsnio 1 dalyje įtvirtintiems asmens duomenų tvarkymo principams; 3) PareiÅ¡kėjai tvarkant asmens duomenis MEV darymo bÅ«du apie Å¡ių asmens duomenų tvarkymÄ duomenų subjektai nėra informuojami, o vidutinis paslaugos vartotojas (duomenų subjektas) negali tikėtis tokio jo asmens duomenų tvarkymo

3.2. PareiÅ¡kėja pažymi, kad BDAR 5 straipsnio 1 dalies a) ir c) ir e) punktuose yra įtvirtinta, jog asmens duomenys turi bÅ«ti: duomenų subjekto atžvilgiu tvarkomi teisėtu, sÄ Å¾iningu ir skaidriu bÅ«du (teisėtumo, sÄ Å¾iningumo ir skaidrumo principas); adekvatÅ«s, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas); laikomi tokia forma, kad duomenų subjektų tapatybę bÅ«tų galima nustatyti ne ilgiau nei tai yra bÅ«tina tais tikslais, kuriais asmens duomenys yra tvarkomi (saugojimo trukmės apribojimo principas).

3.3. PareiÅ¡kėja pabrėžia, kad ji rÅ«pestingai ir tvarkingai ruošėsi BDAR įsigaliojimui, t. y. padarė atitinkamÄ auditÄ Å¡ioje srityje, kad iÅ¡siaiÅ¡kintų visas rizikas, sutvarkė reikiamÄ dokumentacijÄ , įdiegė techninių ir organizacinių priemonių sistemas, kurias iki Å¡iol puoselėja, ir atliko visus kitus bÅ«tinus veiksmus. Tyrimo metu pareiÅ¡kėja pateikė Inspekcijai visÄ informacijÄ apie atitiktį BDAR įtvirtintoms nuostatoms.

3.4. Tiek Sprendime, tiek 2019 m. vasario 20 d. raÅ¡te Inspekcija nurodė, jog tyrimo metu buvo nustatyta, kad pareiÅ¡kėjos mokėjimo iniciavimo paslaugų (toliau – ir MIP) sistema mokėjimo operacijų atlikimo metu daro MEV. Sprendime konstatuota, kad MEV daromi apie tai neinformuojant elektroninės bankininkystės naudotojo. Inspekcija Sprendime teigia, jog pareiÅ¡kėjos padarytuose MEV yra fiksuojami (priklausomai nuo mokėtojo naudojamo banko) toliau iÅ¡vardinti asmens duomenys: (a) mokėtojo vardas, pavardė, turimų banko (įskaitant mokėjimo kortelių) sÄ skaitų numeriai, jų valiuta, likučiai, rezervuotos sumos, paskutinių atliktų operacijų informacija (data, mokėtojo arba gavėjo pavadinimas, mokėjimo paskirtis, suma); (b) neperžiÅ«rėtų elektroninių sÄ skaitų pateikimo datos, temos ir dalis praneÅ¡imo teksto; (c) turimų paskolų paskirtys, pobÅ«džiai, sumos; (d) pensijų fondų pavadinimai, sukaupti vienetai, jų vertė, sukauptos sumos; (e) paskutinio prisijungimo datos; (f) turimų indėlių pobÅ«dis (terminuotas, taupomasis ir pan.), valiutos, sumos, palÅ«kanos, terminai; (g) kredito tipai (pvz., bÅ«sto), mokėtini likučiai, kitų mokėjimo sumos bei datos, iÅ¡duotų mokėjimo kortelių numeriai ir jose esančios sumos. Tačiau aukščiau Inspekcijos nurodyti teiginiai neatitinka faktinės situacijos, Inspekcija nepateikė jokių tokius teiginius pagrindžiančių įrodymų, minėti teiginiai nulėmė nepagrįsto Sprendimo priėmimÄ , kuris privalo bÅ«ti panaikintas.

3.5. PareiÅ¡kėja atkreipia dėmesį, jog savo paaiÅ¡kinimuose Inspekcijai yra nurodžiusi, kad MEV nėra daromi ir saugomi. PareiÅ¡kėja yra pateikusi iÅ¡samų MIP sistemos apraÅ¡ymÄ bei Å¡ios sistemos tinklo topologijos apraÅ¡ymÄ ir tai patvirtinančius dokumentus. PareiÅ¡kėja paaiÅ¡kina, kaip vyksta asmens duomenų tvarkymas minėtos MIP teikimo metu: 1) duomenų subjektas, inicijuodamas mokėjimo nurodymÄ , suveda savo elektroninės bankininkystės duomenis, naudodamasis MIP sistema; 2) MIP sistema prisijungia prie duomenų subjekto el. bankininkystės ir jo vardu bei nurodymu atlieka duomenų subjekto pageidaujamÄ mokėjimÄ ; 3) prisijungus prie duomenų subjekto el. bankininkystės, MIP sistemai tampa matomi tik tokie duomenys ir tik tokia apimtimi, kaip jie yra atvaizduojami atitinkamo duomenų subjekto naudojamo banko. Pažymi, kad MIP techniÅ¡kai jokiu bÅ«du negali riboti, praplėsti ar pakeisti atvaizduotų duomenų apimties ir (arba) atlikti jokių kitų veiksmų su informacija, atvaizduojama duomenų subjekto elektroninės bankininkystės puslapyje, kadangi pareiÅ¡kėja neturi nei teisės, nei techninių galimybių atlikti bankinėms sistemoms priskirtų veiksmų.; 4) MIP sistema, atliekanti mokėjimÄ , automatiÅ¡kai fiksuoja darbalaukio duomenis, kas reiÅ¡kia, kad Å¡ie duomenys sistemai tampa matomi. Jokiu kitu bÅ«du, įskaitant MEV darymÄ ir saugojimÄ , minėti duomenys tvarkomi nėra. PrieÅ¡ingai nei teigiama 2019 m. vasario 20 d. raÅ¡te bei Sprendime, darbalaukio duomenų fiksavimas nereiÅ¡kia MEV darymo ir saugojimo – darbalaukio duomenų fiksavimas reiÅ¡kia, kad MIP sistemai tampa matoma mokėtojo (duomenų subjekto) el. bankininkystės darbalaukyje atvaizduota informacija, įskaitant ir ten esančius nurodytus mokėtojo asmens duomenis. MIP sistemos prisijungimo prie mokėtojo el. bankininkystės aplinkos darbalaukio duomenų tikslas – tinkamai įvykdyti mokėtojo pageidaujamÄ mokėjimÄ . Duomenų subjekto el. bankininkystės darbalaukyje atvaizduoti duomenys MIP sistemai yra matomi tol, kol yra užbaigiama mokėjimo sesija, t. y. iki 10 minučių.

3.6. Aukščiau nurodytus paaiÅ¡kinimus Bendrovė ne kartÄ teikė Inspekcijai, tačiau Å¡i į paaiÅ¡kinimus neatsižvelgė ir pareiÅ¡kėjos pateiktų paaiÅ¡kinimus pagrindžiančių dokumentų netyrė bei nevertino. Svarbu pažymėti, kad tyrimo metu Inspekcija taip pat neatvyko ir į Bendrovės patalpas bei faktiÅ¡kai nepatikrino MIP teikimui naudojamos Bendrovės asmens duomenų tvarkymo įrangos, nors tai Inspekcija privalėjo padaryti, atsižvelgiant į BDAR 58 straipsnio 1 dalies f) punktÄ . Savo iÅ¡vadas dėl MEV darymo Inspekcija padarė iÅ¡imtinai pasitikėdama pareiÅ¡kėjos konkurento (duomenys neskelbtini) pateiktais teiginiais ir informacija, kurių pagrįstumo Inspekcija netikrino. Remiantis tyrimo medžiaga, atsakovo pateikta pareiÅ¡kėjui, Inspekcijai nebuvo pateikti visi (duomenys neskelbtini) nurodyti tariami MEV, Inspekcija taip pat nevyko į (duomenys neskelbtini) patalpas ir netikrino, ar (duomenys neskelbtini) tikrai turi MEV, kuriuos nurodo turinti ir jei taip, iÅ¡ kur juos gavo. Tokie Inspekcijos veiksmai nulėmė visiÅ¡kai nepagrįsto Sprendimo priėmimÄ .

3.7. Inspekcija Sprendime teigia, jog „MEV buvo neteisėtai tvarkyti tyčia, Å¡ių asmens duomenų tvarkymo UAB „MisterTango“ neatsisako ir toliau juos tvarko“. Tokie Inspekcijos teiginiai neatitinka realybės ir yra nepagrįsti. Aukščiau patvirtintos aplinkybės patvirtina, kad Bendrovė MEV netvarkė ir netvarko. PareiÅ¡kėja pažymi, kad Bendrovė dar iki Sprendimo priėmimo nutarė parduoti MIP paslaugÄ , kadangi dėl konkurentų siÅ«lomų patogesnių mokėjimo inicijavimo sprendimų pareiÅ¡kėjos MIP teikimas tapo nekonkurencingas rinkoje, taigi ir nepelningas. Atsižvelgdama į tai, pareiÅ¡kėja dar 2018 m. lapkričio mėnesį pradėjo derybas su potencialiais MIP pirkėjais. Po intensyvių paieÅ¡kų ir derybų Bendrovė rado partnerį – UAB (duomenys neskelbtini). Pasiekus abi Å¡alis tenkinantį rezultatÄ , bÅ«tent Å¡iam partneriui Bendrovė perleido MIP. 2019 m. balandžio 3 d. tarp pareiÅ¡kėjos ir UAB (duomenys neskelbtini) buvo sudaryta teisių ir pareigų perleidimo ir bendradarbiavimo sutartis, kuria pareiÅ¡kėja perleido UAB (duomenys neskelbtini) savo teises ir pareigas, kylančias iÅ¡ įmokų surinkimo sutarčių, sudarytų su elektroninėmis parduotuvėmis (pareiÅ¡kėjos klientais). Pasibaigus sutartyje numatytam pereinamajam laikotarpiui, pareiÅ¡kėja įsipareigojo nutraukti MIP teikimÄ . Aukščiau nurodytos aplinkybės paneigia nepagrįstas Inspekcijos iÅ¡vadas, kad Bendrovė, neva, neatsisako MEV ir toliau juos tvarko. Bendrovės vertinimu, tai tik dar kartÄ patvirtina, kad vykdydama tyrimÄ ir priimdama SprendimÄ , Inspekcija Bendrovės MIP sistemos atliekamus duomenų tvarkymo veiksmus vertino iÅ¡imtinai gauto praneÅ¡imo apie galimai įvykusį duomenų saugumo pažeidimÄ kontekste, neobjektyviai, neiÅ¡samiai ir nevisapusiÅ¡kai tyrė Bendrovės ir trečiųjų asmenų pateiktÄ informacijÄ , netyrė faktiÅ¡kai Bendrovės atliekamų veiksmų, o tai nulėmė sistemingÄ nepagrįstų ir tikrovės neatitinkančių iÅ¡vadų padarymÄ , taigi ir nepagrįsto Sprendimo Bendrovės atžvilgiu priėmimÄ .

3.8. PareiÅ¡kėja atkreipia dėmesį, kad Inspekcija tiek Sprendime, tiek 2019 m. vasario 20 d. raÅ¡te teisingai, vadovaudamasi Lietuvos Respublikos mokėjimų įstatymo 13 straipsniu bei BDAR 14 straipsniu, nurodė, kad prieÅ¡ teikdama mokėjimo inicijavimo paslaugÄ , pareiÅ¡kėja supažindina mokėtojus su paslaugos teikimo sÄ lygomis bei privatumo nuostatomis. Inspekcijos teigimu, privatumo nuostatose nėra pateikiama informacija apie MEV darymÄ ir MEV asmens duomenų tvarkymÄ , todėl pareiÅ¡kėja asmens duomenis tvarko neskaidriai, taip pažeisdama BDAR 5 straipsnio a) punktÄ Su Å¡iuo Inspekcijos pareiÅ¡kimu Bendrovė nesutinka.

3.9. PareiÅ¡kėja akcentavo Inspekcijai, kad teikdama MIP, nedaro MEV, todėl neturi pareigos tokios informacijos duomenų subjektams teikti. Tačiau pažymi, kad net jeigu pareiÅ¡kėja ir darytų MEV, pagal BDAR 14 straipsnį ji turėtų pateikti duomenų subjektams informacijÄ apie tvarkomų duomenų kategorijas, tvarkymo tikslus, pagrindus, gavėjus, saugojimo laikotarpį (kriterijus pastarajam nustatyti), Å¡altinį ir pan., o ne apie asmens duomenų tvarkymo formÄ . PareiÅ¡kėjai teikiant MIP, privatumo nuostatose duomenų subjektams visuomet buvo pateikiama pati esminė, pagrindinė BDAR 14 straipsnyje numatyta informacija, t. y. informacija apie duomenų valdytojÄ , jo kontaktiniai duomenys, duomenų tvarkymo tikslas, pagrindas, tvarkomų asmens duomenų kategorijos. Todėl, PareiÅ¡kėjos nuomone, Inspekcija nepagrįstai teigia, kad mokėjimo inicijavimo paslaugos teikimo metu asmens duomenys duomenų subjektų atžvilgiu yra tvarkomi neskaidriai, pažeidžiant BDAR 5 straipsnio 1 dalies a) punktÄ .

4. Dėl pareiškėjos taikomų organizacinių ir techninių saugumo priemonių

4.1. Inspekcija Sprendime teigia, kad pareiÅ¡kėja neužtikrino, jog asmens duomenys bÅ«tų tvarkomi tokiu bÅ«du, kad taikant atitinkamas technines ar organizacines priemones bÅ«tų užtikrintas pavojų atitinkančio lygio saugumas, įskaitant apsaugÄ nuo neteisėto tvarkymo, atskleidimo ir tuo pažeidė BDAR 5 straipsnio 1 dalies f) punktÄ ir 32 straipsnio 1 dalies b) punktÄ . Inspekcija priėjo Å¡ios iÅ¡vados, remdamasi toliau iÅ¡vardintomis aplinkybėmis, t. y. kad: 1) už pareiÅ¡kėjos saugos užtikrinimÄ ir valdymÄ bei visos Bendrovės IT infrastruktÅ«ros (techninės ir programinės) valdymÄ , diegimÄ ir priežiÅ«rÄ buvo atsakingas vienas darbuotojas; 2) Bendrovėje įvyko asmens duomenų saugumo pažeidimas.

4.2. BDAR 5 straipsnio 1 dalies f) punkte yra nustatyta, kad asmens duomenys turi bÅ«ti tvarkomi tokiu bÅ«du, kad taikant atitinkamas technines ar organizacines priemones bÅ«tų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugÄ nuo duomenų tvarkymo be leidimo arba netiesėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo (vientisumo ir konfidencialumo principas). Savo ruožtu 32 straipsnio 1 dalies b) punkte reglamentuota, jog, atsižvelgdamas į techninių galimybių iÅ¡sivystymo lygį, įgyvendinimo sÄ naudas bei duomenų tvarkymo pobÅ«dį, aprėptį, kontekstÄ ir tikslus, taip pat duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemones, kad bÅ«tų užtikrintas pavojų atitinkančio lygio saugumas, įskaitant, inter alia, jei reikia, gebėjimÄ užtikrinti nuolatinį duomenų tvarkymo sistemų ir paslaugų konfidencialumÄ , vientisumÄ , prieinamumÄ ir atsparumÄ .

4.3. PareiÅ¡kėja sutiko, kad duomenų saugumo pažeidimo metu už duomenų Bendrovėje saugumo bei IT infrastruktÅ«ros valdymo, diegimo ir priežiÅ«ros organizavimÄ buvo atsakingas vienas asmuo – Bendrovės techninis direktorius. Tačiau atkreipia dėmesį, kad tai, jog vienas asmuo buvo atsakingas už kelių funkcijų organizavimÄ nereiÅ¡kia, kad Å¡ias funkcijas asmuo pats vienas ir vykdė. Pažymi, kad nei BDAR, nei kiti imperatyvÅ«s Bendrovės veiklai taikomi teisės aktai nenumato pareigos atskirti atsakomybių už minėtų sričių organizavimÄ . Todėl vien tai, kad Bendrovės Technikos direktorius buvo atsakingas už kelių funkcijų įgyvendinimo organizavimÄ , nesudaro prielaidos teigti, kad Bendrovėje nebuvo užtikrintos tinkamos techninės ir organizacinės duomenų saugumo priemonės.

4.4. Inspekcija taip pat neatsižvelgė į kitas aplinkybes, susijusias su IT saugumo valdymu Bendrovėje. Bendrovė 2018 m. liepos 12 d., siekdama užtikrinti reguliarų Bendrovės saugumo rizikų vertinimÄ , direktoriaus įsakymu suformavo Bendrovės saugumo komandÄ , atsakingÄ už nuolatinį stebėjimÄ , ar nekyla grėsmė internetu atliekamų mokėjimų saugumui, bei už Bendrovės saugumo rizikos vertinimÄ . Å iÄ aplinkybę bei jÄ pagrindžiančius dokumentus Bendrovė pateikė Inspekcijai. Be to, Bendrovė net keletÄ kartų Inspekcijai nurodė, kad Bendrovė yra sudariusi sutartį su IT ir kibernetinio saugumo konsultacijų bendrove UAB (duomenys neskelbtini) dėl nepertraukiamo Bendrovės informacijos saugos užtikrinimo ir valdymo paslaugų teikimo. Vėliau PareiÅ¡kėja su minėtu partneriu sutarė ir dėl IS saugos įgaliotinio funkcijos atlikimo. Bendrovė yra pateikusi minėtas aplinkybes patvirtinančius dokumentus.

4.5. Darydama iÅ¡vadÄ dėl pareiÅ¡kėjos neatitikties BDAR 5 straipsnio 1 dalies f) punktui bei 32 straipsnio 1 dalies b) punktui, Inspekcija rėmėsi faktu, kad Bendrovėje įvyko duomenų saugumo pažeidimas. Tačiau Bendrovė nesutinka, kad faktas, jog įvyko duomenų saugumo pažeidimas, leidžia daryti kategoriÅ¡kÄ iÅ¡vadÄ dėl Bendrovės neatitikties BDAR numatytiems organizacinio ir techninio saugumo reikalavimams. Bendrovės vertinimu, spręsdama dėl jos taikomų organizacinių ir techninių saugumo priemonių tinkamumo, Inspekcija turėjo tirti ir vertinti pareiÅ¡kėjos faktiÅ¡kai taikomų priemonių visumÄ , tačiau tai nebuvo atlikta. PareiÅ¡kėja Inspekcijai yra pateikusi detalius paaiÅ¡kinimus apie saugumo priemones, taikomas MIP sistemoje, o taip pat pridėjusi tai patvirtinančius dokumentus. Tačiau Inspekcija, darydama iÅ¡vadÄ dėl organizacinių ir techninių saugumo priemonių tinkamumo, į pateiktus paaiÅ¡kinimus ir juos pagrindžiančius dokumentus neatsižvelgė ir jų nevertino, kas dar kartÄ patvirtina, kad VDAI neskyrė pakankamai dėmesio įrodymų tyrimui, t. y. pareiÅ¡kėjos taikomų techninių saugumo priemonių tikrinimui dėl atitikties BDAR nuostatoms. Bendrovė pažymi, kad įgyvendindama Lietuvos banko valdybos 2014 m. rugsėjo 30 d. nutarimu Nr. 03-172 patvirtintų Minimalių saugumo reikalavimų, keliamų internetu atliekamiems mokėjimams, 21 punkto reikalavimus, MIP dalyvaujančių sistemų duomenų prieigos saugumui ir kontrolei užtikrinti Bendrovė taiko daugiapakopes saugumo priemones. Bendrovei teikiant MIP dėl Bendrovės taikomų techninių saugumo priemonių, nei finansinių įstaigų darbuotojai, prie kurių valdomų el. bankininkystės ar kitokių el. mokėjimo operacijų sistemų mokėtojo vardu jungėsi Bendrovė, atlikdama mokėjimo inicijavimo operacijas, nei jokie kiti tretieji asmenys, kuriems Bendrovės direktoriaus įsakymu nėra suteikta prieiga, nebuvo sudaroma galimybė prieiti prie mokėjimo inicijavimo operacijų informacijos

4.6. Inspekcija turėjo įgaliojimus tyrimo metu atvykti į pareiÅ¡kėjos patalpas, prieiti prie duomenų tvarkymo įrangos ir objektyviai įsitikinti Bendrovės taikomomis techninėmis ir organizacinėmis duomenų saugumo priemonėmis, tačiau Å¡ių veiksmų Inspekcija neatliko. PrieÅ¡ingai, Inspekcija, darydama iÅ¡vadas, tiek Sprendime, tiek ir kituose teiktuose raÅ¡tuose dėl neva nuolatinio pareiÅ¡kėjos MEV darymo, tariamo perteklinių asmens duomenų tvarkymo, rėmėsi iÅ¡imtinai pareiÅ¡kėjos konkurento (duomenys neskelbtini) nurodyta informacija, nepatikrinusi tokios informacijos pagrįstumo bei teisėtumo, kas nulėmė nevisapusiÅ¡kÄ ir neobjektyvų situacijos tyrimÄ bei nepagrįsto Sprendimo priėmimÄ . PareiÅ¡kėja pabrėžia, jog Bendrovė yra Lietuvos Respublikoje licencijuota elektroninių pinigų įstaiga, todėl jai, kaip elektroninių pinigų įstaigai, yra taikomi Lietuvos Respublikos elektroninių pinigų ir Lietuvos Respublikos elektroninių pinigų įstaigų įstatymai, Lietuvos banko nutarimas dėl minimalių saugumo reikalavimų, keliamų internetu atliekamiems mokėjimams. Å iuose teisės aktuose numatyti itin aukÅ¡ti, BDAR standartus atitinkantys informacinio ir kibernetinio saugumo reikalavimai. Å ių reikalavimų laikymosi užtikrinimo Bendrovėje priežiÅ«rÄ atlieka Lietuvos bankas, vadovaudamasis Lietuvos Respublikos banko įstatymu bei Lietuvos banko prižiÅ«rimų finansų rinkos dalyvių inspektavimo nuostatais. 2018 m. liepos 12 d. Lietuvos banko valdybos pirmininko įsakymu 2018 m. liepos 16 – 27 d. buvo nuspręsta atlikti pareiÅ¡kėjos neplaninį tikslinį inspektavimÄ (toliau – ir Inspektavimas) (e. bylos III tomas, b. l. 432–435). Atlikęs InspektavimÄ , Lietuvos bankas 2018 m. gruodžio 17 d. priėmė sprendimÄ dėl Inspektavimo rezultatų, kuriame padarė iÅ¡vadÄ , kad elektroninių pinigų turėtojų interesai nebuvo pažeisti ir poveikio priemonės Bendrovei neskyrė. Tai akivaizdžiai parodo, kad Bendrovėje taikomos techninės saugumo priemonės yra efektyvios, patikimos, identifikuojančios rizikas, nustatančios saugumo priemones Å¡ioms rizikoms valdyti. Pažymi, jog Å¡i informacija Inspekcijai buvo pateikta.

5. Dėl praneÅ¡imo apie asmens duomenų saugumo pažeidimÄ

5.1. Sprendime Inspekcija daro iÅ¡vadÄ , kad „Inspekcijai nebuvo praneÅ¡ta apie įvykusį duomenų saugumo pažeidimÄ dėl aplaidumo“. Remdamasi Å¡ia iÅ¡vada, Sprendime konstatuota, kad pareiÅ¡kėja pažeidė BDAR 33 straipsnį, reglamentuojantį duomenų valdytojų pareigas, susijusias su praneÅ¡imu priežiÅ«ros institucijai apie įvykusį asmens duomenų saugumo pažeidimÄ . PareiÅ¡kėja nesutinka su tokiomis iÅ¡vadomis. NesutikimÄ pareiÅ¡kėja grindžia toliau Å¡iame Skunde iÅ¡dėstytais argumentais.

5.2. BDAR 4 straipsnio 12 dalis numato, kad asmens duomenų saugumo pažeidimas – tai toks saugumo pažeidimas, dėl kurio netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami persiųsti, saugomi arba kitaip tvarkomi asmens duomenys arba prie jų be leidimo gaunama prieiga. Savo ruožtu BDAR 33 straipsnio 1 dalis nustato, jog asmens duomenų saugumo pažeidimo atveju duomenų valdytojas nepagrįstai nedelsdamas ir, jei įmanoma, praėjus ne daugiau kaip 72 valandoms nuo tada, kai jis sužino apie asmens duomenų saugumo pažeidimÄ , apie tai praneÅ¡a priežiÅ«ros institucijai, kuri yra kompetentinga pagal 55 straipsnį, nebent asmens duomenų saugumo pažeidimas neturėtų kelti pavojaus fizinių asmenų teisėms ir laisvėms.

5.3. PareiÅ¡kėja ne kartÄ yra nurodžiusi Inspekcijai teiktuose atsakymuose ir pateikusi dokumentus, patvirtinančius, kad 2018 m. liepos mėn. Bendrovei tapo žinoma apie galimÄ incidentÄ MIP sistemoje, t. y. kad informacija, esanti po Nuoroda galimai gali bÅ«ti prieinama iÅ¡ iÅ¡orės. NurodytÄ incidentÄ pareiÅ¡kėja užregistravo ir iÅ¡tyrė, t. y. ėmėsi skubių veiksmų, siekdama patikrinti ir užtikrinti sistemos prieigos ir joje esančių duomenų saugumÄ .

5.4. Remiantis pareiÅ¡kėjos vidinio tyrimo metu nustatyta informacija, aptikus anksčiau nurodytÄ specialiÄ NuorodÄ ir prie jos prisijungus buvo galima pamatyti mokėjimo žurnalus, kuriuose buvo užfiksuoti atliktų mokėjimų statistiniai duomenys bei pareiÅ¡kėjos klientų (tiek fizinių (t. y. duomenų subjektų), tiek juridinių asmenų) elektroninio paÅ¡to adresai. PareiÅ¡kėja nustatė, kad po Nuoroda galimai matomi vienos savaitės mokėjimų operacijas apimantys mokėjimo žurnalai. PeržiÅ«rėjus juos nustatyta, kad Å¡iuose vienos savaitės laikotarpį apimančiuose žurnaluose atsispindi 58 pareiÅ¡kėjos klientų fizinių asmenų (t. y. duomenų subjektų) el. paÅ¡to adresai. TÄ pareiÅ¡kėja ir nurodė Inspekcijai savo atsakymuose, t. y. jog incidento metu, prisijungus prie Nuorodos, galimai buvo įmanoma pamatyti 58 elektroninio paÅ¡to adresus, kuriuose buvo asmens duomenis sudaranti informacija. Atsižvelgdama į tai, pareiÅ¡kėja nesutinka su Sprendime nurodyta informacija, jog tyrimo metu Inspekcija nustatė, kad minėto saugumo pažeidimo metu buvo suteikta neautorizuota prieiga prie banko paslaptį sudarančios informacijos, t. y. – „daugiau nei 9 000 MEV su 12 skirtingų bankų, esančių skirtingose valstybėse, klientų mokėjimo sesijų detalių puslapiais“. PareiÅ¡kėja atkreipia dėmesį, kad tyrimo metu informacijÄ apie MEV Inspekcijai pateikė (duomenys neskelbtini), nurodydama neva iÅ¡ pareiÅ¡kėjos sistemų surinktų MEV skaičių. Tačiau, kaip jau nurodyta aukščiau, pačios Inspekcijos pareiÅ¡kėjai pateikta tyrimo medžiaga patvirtina, kad Inspekcijai nebuvo pateikti minėti daugiau nei 9000 MEV, todėl pareiÅ¡kėjai yra nesuprantama, kuo remdamasi Inspekcija daro iÅ¡vadÄ apie daugiau nei 9000 pareiÅ¡kėjos tariamai darytų ir neautorizuotai atskleistų MEV. PareiÅ¡kėjos vertinimu, nurodytos aplinkybės dar kartÄ patvirtina Inspekcijos teiginių nepagrįstumÄ ir neobjektyvumÄ .

5.5. PareiÅ¡kėja pastebi, jog pagal Lietuvos Respublikos bankų įstatymo 55 straipsnį, elektroninio paÅ¡to adresai nėra laikomi banko paslaptimi. Be to, el. paÅ¡to adresai, kuriuose yra asmens duomenis sudaranti informacija, nėra jautraus pobÅ«džio informacija, kurios atskleidimas galėtų sukelti duomenų subjektams žalos. PareiÅ¡kėja nurodo, jog: 1) įvykusio duomenų saugumo pažeidimo metu PareiÅ¡kėjas nustatė, kad iÅ¡orės prieigos galimybė buvo tik prie 58 duomenų subjektų elektroninio paÅ¡to adresų, t. y. nejautrių asmens duomenų; 2) nurodyti duomenys galėjo bÅ«ti atskleisti tik paspaudus specialiÄ NuorodÄ , kuri yra vieÅ¡ai nepublikuojama (skirta vidiniam naudojimui) ir kuri galėjo bÅ«ti aptikta itin mažo ir itin specialias žinias turinčių asmenų rato; 3) PareiÅ¡kėja nedelsdama ėmėsi veiksmų, kad saugumo pažeidimas bÅ«tų operatyviai iÅ¡tirtas ir užkardytas, t. y. Bendrovė skubiai atstatė prarastas saugumo pakopas, tokiu bÅ«du sumažindama duomenų saugumo pažeidimo mastÄ iki minimumo ir užkirsdama keliÄ bet kokiai tolesnei neteisėtai prieigai prie duomenų ir bet kokioms galimoms tolesnėms duomenų saugumo pažeidimo pasekmėms. Todėl pareiÅ¡kėja nusprendė, kad įvykęs duomenų saugumo pažeidimas neturėtų kelti pavojaus duomenų subjektų teisėms ir laisvėms, todėl, vadovaudamasi BDAR 33 straipsnio 1 dalimi, pareiÅ¡kėja Inspekcijai apie įvykusį saugumo pažeidimÄ nepranešė.

5.6. Akcentuoja, jog dėl minėto 2018 m. liepos 9–10 d. įvykusio duomenų saugumo pažeidimo į Bendrovę nėra kreipęsis nė vienas duomenų subjektas. IÅ¡ Inspekcijos pateiktos informacijos pareiÅ¡kėjai tyrimo metu taip pat matyti, kad nė vienas duomenų subjektas nėra kreipęsis su pretenzijomis Bendrovės atžvilgiu ir į InspekcijÄ . Tai leidžia teigti, kad pareiÅ¡kėjos padaryta iÅ¡vada dėl to, kad duomenų subjektams žala dėl įvykusio saugumo pažeidimo kilti neturėtų, yra teisinga, o sprendimas neinformuoti Inspekcijos – pagrįstas. Papildomai pareiÅ¡kėja pažymi, kad Lietuvos bankas, atlikęs InspektavimÄ , taip pat konstatavo, kad dėl įvykusio saugumo pažeidimo elektroninių pinigų turėtojų interesai nebuvo pažeisti. Å ios aplinkybės parodo, kad Inspekcijos paskirta bauda, sudaranti (duomenys neskelbtini) procento pareiÅ¡kėjos 2018 finansinių metų bendrosios metinės pasaulinės apyvartos, yra visiÅ¡kai neproporcinga įvykusio saugumo pažeidimo mastui, o Sprendimas, kuriuo tokia bauda paskirta, privalo bÅ«ti panaikintas.

6. Dėl Inspekcijos procedūrinių pažeidimų

6.1. PareiÅ¡kėja pažymi, jog tyrimo metu Inspekcija: 1) vilkino tyrimo procesÄ ; 2) neiÅ¡samiai, nevisapusiÅ¡kai, tendencingai tyrė gautÄ informacijÄ ; 3) nesuteikė pareiÅ¡kėjai galimybės susipažinti su visa tyrimo medžiaga.

6.2. Inspekcijos iniciatyva tyrimas ir (ar) patikrinimas atliekamas ne ilgiau kaip 4 mėnesius nuo sprendimo atlikti tokį tyrimÄ ir (ar) patikrinimÄ priėmimo dienos. PareiÅ¡kėja pažymi, jog Inspekcija pareiÅ¡kėjos tyrimÄ vykdė ilgiau nei 9 su puse mėnesio – pirmÄ jį Inspekcijos raÅ¡tÄ su praÅ¡ymu pateikti informacijÄ Inspekcija siuntė 2018 m. liepos 31 d., į kurį Bendrovė atsakė ir pateikė visÄ praÅ¡omÄ informacijÄ nepažeisdama nurodyto termino. KitÄ raÅ¡tÄ su papildomais praÅ¡ymais pateikti informacijÄ Bendrovė gavo 2018 m. lapkričio 21 d., t. y. likus vos 9 dienoms iki Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ir ADTAÄ®) numatyto leidžiamo tyrimui termino pabaigos. Sprendimas pareiÅ¡kėjos atžvilgiu buvo priimtas tik 2019 m. gegužės 14 d. Atkreipia dėmesį, kad pareiÅ¡kėjai Inspekcija nepateikė jokios informacijos apie tyrimo pratęsimÄ , Inspekcijos sprendimo dėl tyrimo pratęsimo taip pat nebuvo ir tyrimo medžiagoje, kuriÄ Bendrovė gavo iÅ¡ Inspekcijos 2018 m. gruodžio 4 d. ir 2019 m. kovo 4 d.

6.3. Inspekcijai yra suteikti įgaliojimai patekti į duomenų valdytojų bei tvarkytojų, taigi ir į pareiÅ¡kėjos bei trečiųjų asmenų, patalpas ir prieiti prie duomenų tvarkymo įrangos. Tai reiÅ¡kia, jog atliekamo tyrimo, kuris tęsėsi ilgiau nei 9 mėnesius, metu Inspekcija galėjo faktiÅ¡kai patikrinti, kokius asmens duomenų tvarkymo veiksmus su mokėtojų duomenimis atlieka Bendrovės mokėjimo inicijavimo paslaugos sistema ir taip objektyviai patikrinti tyrimo metu Bendrovės bei trečiųjų asmenų pateiktų paaiÅ¡kinimų teisingumÄ .

Užuot ėmusi aktyvių veiksmų ir atvykusi į Bendrovės patalpas bei patikrinusi Bendrovės IT sistemas, taikomas organizacines ir technines saugumo priemones, Inspekcija darydama iÅ¡vadas tiek Sprendime, tiek ir kituose teiktuose raÅ¡tuose dėl neva pareiÅ¡kėjos nuolat atliekamo MEV darymo, taigi ir dėl tariamo perteklinių asmens duomenų tvarkymo, rėmėsi iÅ¡imtinai pareiÅ¡kėjos konkurento (duomenys neskelbtini) 2018 m. spalio 23 d. raÅ¡te nurodyta informacija. Sprendime taip pat nurodyta, jog tyrimo metu nustatyta, kad ne mažiau kaip 2 dienas Nuoroda buvo prieinamas tinklalapis su Bendrovės apdorotų mokėjimų sÄ raÅ¡u, kuriame buvo matomi įvairių bankų įstaigų klientų atlikti mokėjimai per pareiÅ¡kėjos MIP sistemÄ su tų klientų asmens duomenimis, taip pat daugiau nei 9000 MEV su 12 skirtingų bankų, esančių skirtingose valstybėse, klientų mokėjimo sesijų detalių puslapiais.

Pažymi, kad Inspekcija Sprendime konstatuoja ir remiasi informacija, kurios nėra gavusi ir iÅ¡tyrusi, kadangi (duomenys neskelbtini) jai pateikė tik keletÄ matytų asmens duomenų pavyzdžių. Be to, atkreipia dėmesį, jog Inspekcija ne tik kad neatsižvelgė į Bendrovės paaiÅ¡kinimus ir pateiktus dokumentus bei jų tinkamai netyrė, tačiau visapusiÅ¡kai netyrė net ir (duomenys neskelbtini) atstovų pateiktų teiginių, kuriais Inspekcija iÅ¡imtinai remiasi darydama iÅ¡vadÄ , jog „PareiÅ¡kėjos MIP sistema kiekvienos mokėjimo operacijos atlikimo metu, nepriklausomai nuo mokėjimo operacijos atlikimo rezultato, nuolat daro mokėjimo sesijos MEV“.

Tokie veiksmai pasireiÅ¡kė tuo, kad Inspekcija neprašė (duomenys neskelbtini) atstovų pateikti visų (duomenys neskelbtini) tariamai 9000 pavykusių iÅ¡saugoti MEV, netikrino jų autentiÅ¡kumo bei vadovaujantis pareiÅ¡kėjai Inspekcijos pateikta tyrimo medžiaga nenuvyko į (duomenys neskelbtini) patalpas. Kaip matyti iÅ¡ tyrimo medžiagos, kryptingai siekdama nubausti pareiÅ¡kėjÄ , Inspekcija pareikalavo (duomenys neskelbtini) pateikti bÅ«tent keletÄ (du ar tris) seniausių turimų MEV. Aukščiau pateiktos aplinkybės rodo, kad (duomenys neskelbtini) pateikti užfiksuotų MEV skaičiai Inspekcijai nebuvo tirti ir iÅ¡vis yra kvestionuotini.

Pažymi ir tai, kad bÅ«tent (duomenys neskelbtini) pateikta informacija Inspekcija rėmėsi kaip pagrindiniu įrodymu, pareiÅ¡kėjos atžvilgiu priimdama SprendimÄ ir skirdama sankcijÄ , tačiau (duomenys neskelbtini) atstovai net nedalyvavo 2019 m. balandžio 5 d. Inspekcijoje vykusiame žodiniame posėdyje dėl Inspekcijoje atlikto pareiÅ¡kėjos tyrimo, kurio metu Inspekcija galėjo objektyviai patikrinti teiktų įrodymų teisingumÄ .

6.4. Net jeigu bÅ«tų daroma prielaida, kad MEV (duomenys neskelbtini) surinko iÅ¡ pareiÅ¡kėjos sistemų, (duomenys neskelbtini) tokiÄ informacijÄ galėjo gauti atlikdama Bendrovės skanavimÄ , apie kurį, laikantis etikos standartų (pvz., Å¡ioje srityje yra plačiai žinoma ir pripažįstama (duomenys neskelbtini) sertifikacija), skanuojamai įstaigai yra privaloma praneÅ¡ti dėl potencialių skanavimo galimų neigiamų padarinių įstaigos operatyviai veiklai. Atsižvelgiant į tai, vertina, kad net jei (duomenys neskelbtini) pateikti keli MEV pavyzdžiai bÅ«tų gauti iÅ¡ pareiÅ¡kėjos MIP sistemos, jie bÅ«tų neteisėti bei neleistini, nes surinkti nesilaikant taikomų standartų. Inspekcija tokiais, neleistinu bÅ«du surinktais, duomenimis apskritai net negalėtų remtis priimdama SprendimÄ . Pažymi, jog Inspekcija, atlikdama tyrimÄ dėl BDAR nuostatų tinkamo įgyvendinimo, privalėjo laikytis itin aukÅ¡tų objektyvumo, neÅ¡aliÅ¡kumo reikalavimų, visas situacijos aplinkybes tirti itin preciziÅ¡kai ir iÅ¡samiai.

6.5. Inspekcija nesuteikė pareiÅ¡kėjai galimybės susipažinti su visa tyrimo medžiaga (pvz., su Latvijos duomenų apsaugos inspekcijos pateikta informacija (Inspekcijoje gauta 2018 m. liepos 18 d., 1R-5761 ir 2018 m. liepos 30 d., 1R-6048), kuria Inspekcija rėmėsi savo 2019 m. vasario 20 d. raÅ¡te. Vadovaudamasis ADTAÄ® 17 straipsnio 2 dalies 4 punktu, įtvirtinančiu pareiÅ¡kėjos teisę susipažinti su tyrimo medžiaga, pareiÅ¡kėja tyrimo metu ne kartÄ prašė susipažinti su tyrimo bylos medžiaga, tačiau Inspekcija pareiÅ¡kėjai pateikė ne visÄ jos turimÄ bylos medžiagÄ . Tokiu bÅ«du, nuslėpdama nuo pareiÅ¡kėjos tam tikrÄ informacijÄ , Inspekcija veikė nesÄ Å¾iningai bei pažeidė ADTAÄ® 17 straipsnio 2 dalyje 4 punkte numatytÄ pareiÅ¡kėjos procesinę teisę susipažinti su visa tyrimo bylos medžiaga. Atsižvelgiant į tai, teigia, jog Inspekcija neturėjo teisės vadovautis nuo pareiÅ¡kėjos nuslėptais dokumentais, vykdydama tyrimÄ bei atitinkamai priimdama sprendimÄ Bendrovės atžvilgiu.

6.6. Nurodytos aplinkybės patvirtina, jog Inspekcija atliekamo tyrimo metu veikė neefektyviai, piktnaudžiaudama procesinėmis teisėmis, taip pat neiÅ¡samiai analizavo pareiÅ¡kėjos vidaus dokumentus, reglamentuojančius asmens duomenų tvarkymÄ mokėjimo inicijavimo procese, ir IT sistemas, naudojamas faktiniam asmens duomenų tvarkymui. Inspekcija neatsižvelgė į Bendrovės teikiamus paaiÅ¡kinimus tyrimo metu, duomenų tvarkymo MIP teikimo metu klausimÄ vertino iÅ¡imtinai gauto praneÅ¡imo apie 2018 m. liepos mėn. galimai įvykusį duomenų saugumo pažeidimÄ kontekste.

7. Dėl Inspekcijos vienodos praktikos nesilaikymo bei pareiškėjos diskriminacijos

7.1. PareiÅ¡kėjos nuomone, jos atlikti ir nuolat atliekami kryptingi ir nuoseklÅ«s BDAR įgyvendinimo veiksmai, geranoriÅ¡kas bendradarbiavimas su Inspekcija tyrimo eigoje (Bendrovė teikė iÅ¡samius paaiÅ¡kinimus, ruošė Inspekcijos praÅ¡omus dokumentus, tokius kaip sistemų apraÅ¡ymai, schemos ir pan.), efektyvÅ«s saugumo pažeidimo užkardymo veiksmai, kurių pareiÅ¡kėja ėmėsi vos tik sužinojusi apie galimÄ saugumo incidentÄ , parodo, kad pareiÅ¡kėja skyrė didelį dėmesį asmens duomenų apsaugai, todėl, pareiÅ¡kėjos vertinimu, Inspekcijos Sprendimas skirti pareiÅ¡kėjai baudÄ už BDAR 5, 32 ir 33 straipsnių pažeidimus, visiÅ¡kai neatitinka Inspekcijos veiklai keliamų reikalavimų bei Inspekcijos vieÅ¡ai iÅ¡sakytos pozicijos apie tai, kaip Inspekcija vertins ir į kÄ atsižvelgs, spręsdama dėl baudų ar kitų poveikio priemonių skyrimo.

7.2. Papildomai Bendrovė atkreipia dėmesį, jog iki Sprendimo priėmimo dienos Inspekcija nebuvo paskyrusi, iÅ¡skyrus toliau Skunde nurodytÄ Inspekcijos PriežiÅ«ros skyriaus vedėjos paminėtÄ Inspekcijos internetiniame tinklalapyje nevieÅ¡intÄ baudÄ savivaldybės įmonei, ir iÅ¡vieÅ¡inusi nė vienos baudos už BDAR reikalavimų nesilaikymÄ , nors yra atlikusi duomenų valdytojų tyrimų ir nustačiusi BDAR reikalavimų nesilaikymo atvejų. Vadovaujantis Inspekcijos internetiniame tinklalapyje vieÅ¡ai prieinama informacija: 1) 2018 m. lapkričio 23 d. duomenimis, Inspekcija nebuvo skyrusi baudų pagal BDAR, tačiau iÅ¡ savo iniciatyva atliktų 19 tikrinimų po 2018 m. gegužės 25 d., kai pradėtas taikyti BDAR, 18 atvejų Inspekcija pateikė organizacijoms nurodymus dėl netinkamo asmens duomenų tvarkymo; 2) 2018 m. spalio 29 d. duomenimis, per pirmus tris 2018 m. ketvirčius Inspekcija atliko net 139 duomenų valdytojų tikrinimus.

Atlikus tikrinimus duomenų valdytojams pateikta 34 nurodymai dėl neteisėto asmens duomenų tvarkymo, dėl organizacinių, techninių priemonių, dėl duomenų tvarkymo principų, dėl duomenų teikimo ir dėl duomenų subjektų teisių; 3) 2018 m. rugpjūčio–rugsėjo mėnesį Inspekcija atliko tikrinimus didžiosiose bendrovėse, veikiančiose maisto, namų apyvokos prekių parduotuvių ir vaistinių sektoriuje. Iš tikrintų 12 bendrovių 11 tvarko fizinių asmenų duomenis lojalumo programos ir tiesioginės rinkodaros tikslais.

Visose jose rasta asmens duomenų tvarkymo pažeidimų. Vadovaujantis Inspekcijos pateikta informacija, buvo nustatyti tokie pažeidimai, kaip netinkamo BDAR nustatyto asmens duomenų tvarkymo pagrindo taikymas (nustatyta trijose organizacijose), perteklinių asmens duomenų tvarkymas (keturiose organizacijose), neskaidrios ir neteisingos informacijos duomenų subjektams teikimas, nenustatyti arba nustatyti nepagrįstai ilgi duomenų saugojimo terminai. Iš pateiktos informacijos matyti, kad nustatyti rimti BDAR pažeidimai, tačiau nė vienai iš tikrintų bendrovių baudos neskirtos – duoti nurodymai pažeidimams ištaisyti; 4) 2019 m. gegužės 30 d. duomenimis, Inspekcija patikrino trims įmonėms priklausančius sporto klubus dėl biometrinių asmens duomenų tvarkymo.

Atlikus tikrinimus nustatyta, kad bendrovės tvarko piršto antspaudo modelius, vadinamuosius binarinius kodus, praėjimo į sporto klubus ir darbo vietos kontrolės tikslu. Inspekcijos tikrintoms bendrovėms pateikė nurodymus pašalinti nustatytus BDAR pažeidimus, tačiau jokios baudos neskyrė, nors ir nustatė, kad bendrovės pažeidė BDAR dėl neteisėto biometrinių (itin jautrių) duomenų tvarkymo.

7.3. Atsižvelgiant į aukščiau pateiktÄ informacijÄ apie Inspekcijos atliktus tyrimus nuo BDAR įsigaliojimo dienos iki Sprendimo priėmimo dienos, matyti, kad net ir nustačiusi itin rimtus BDAR pažeidimus, Inspekcija neskyrė duomenų valdytojams baudų už BDAR pažeidimus, o apsiribojo įpareigojimu paÅ¡alinti nustatytus pažeidimus. Asmens duomenų saugumo pažeidimas, dėl kurio Inspekcija pradėjo tyrimÄ ir į kurį iÅ¡imtinai koncentravosi tyrimo metu, įvyko bÅ«tent tuo laikotarpiu, kai Inspekcija nustačiusi panaÅ¡aus ar net rimtesnio pobÅ«džio BDAR pažeidimus kitose organizacijose, joms jokių baudų neskyrė. Nepaisant to, pareiÅ¡kėjai Sprendimu buvo skirta bauda, lygi net (duomenys neskelbtini) procento pareiÅ¡kėjos 2018 finansinių metų bendrosios metinės pasaulinės apyvartos. PareiÅ¡kėjos vertinimu, toks Inspekcijos elgesys Bendrovės atžvilgiu yra diskriminuojantis ir (ar) diferencijuojantis pareiÅ¡kėjÄ kitų bendrovių / įstaigų / organizacijų, kuriuose tuo pačiu ir (ar) panaÅ¡iu laikotarpiu buvo nustatyti panaÅ¡Å«s ar net tapatÅ«s BDAR pažeidimai, atžvilgiu. Be to, pareiÅ¡kėjos vertinimu, Sprendimas pažeidžia VieÅ¡ojo administravimo įstatymo (toliau – ir VAÄ®) 3 straipsnio 3 punkte įtvirtintÄ proporcingumo principÄ .

7.4. PareiÅ¡kėjos manymu, svarbu atkreipti dėmesį ir į tai, kad Inspekcijos internetiniame tinklapyje kaip pirmÄ už BDAR reikalavimų nesilaikymÄ Lietuvos Respublikoje paskirtÄ baudÄ nurodo bÅ«tent pareiÅ¡kėjai skirtÄ baudÄ . Inspekcijos praneÅ¡ime spaudai pateikia itin detaliÄ informacijÄ apie baudos skyrimÄ pareiÅ¡kėjai, t. y. 1) PareiÅ¡kėjos pavadinimÄ ,; 2) baudos sumÄ ; 3) pažeidimų rÅ«Å¡is: (a) netinkamas asmens duomenų tvarkymas; (b) asmens duomenų pavieÅ¡inimas; (c) praneÅ¡imo apie asmens duomenų saugumo pažeidimÄ nepateikimas; 4) pažeidimų detalų apraÅ¡ymÄ , įkaitant aplinkybių, kurių Inspekcija netyrė (daugiau kaip 9000 MEV), nurodymÄ . Visgi paaiÅ¡kėjo, kad Å¡i bauda nėra pirmoji Lietuvos Respublikoje skirta bauda už BDAR nuostatų pažeidimÄ , tačiau dėl visiÅ¡kai nesuprantamų ir, pareiÅ¡kėjos vertinimu, diskriminuojančių priežasčių yra vienintelė iki Å¡iol Inspekcijos pavieÅ¡inta. PareiÅ¡kėjai tokia informacija tapo žinoma 2019 m. gegužės 24 d. praktinėje konferencijoje „(duomenys neskelbtini)“, kurios metu Inspekcijos PriežiÅ«ros skyriaus vedėja nurodė, kad „baudos buvo skirtos tiktai dviem atvejais, <...>. Viena iÅ¡ jų buvo skirta savivaldybės įmonei. Bauda skirta dėl to, kad nebuvo tinkamai įvykdytas priežiÅ«ros institucijos nurodymas. Neįvykdžius, kai buvo duotas nurodymas ir buvo pasakyta, kÄ reikia padaryti, ir neįvykdžius, turbÅ«t valdytojas irgi nelabai gali tikėtis kitokios poveikio priemonės“.

7.5. PareiÅ¡kėja, gavusi SprendimÄ , nedelsdama, t. y. 2019 m. gegužės 15 d. kreipėsi į InspekcijÄ su praÅ¡ymu nevieÅ¡inti informacijos apie Inspekcijos Sprendimu skirtÄ administracinę baudÄ dėl BDAR reikalavimų pažeidimų, savo praÅ¡ymÄ grįsdama tuo, kad Sprendimas nėra galutinis ir bus pareiÅ¡kėjos skundžiamas, o iÅ¡vieÅ¡inimas sukels nepataisomÄ Å¾alÄ Bendrovės reputacijai. Inspekcija į šį pareiÅ¡kėjos praÅ¡ymÄ atsakė tik 2019 m. birželio 3 d., t. y. praėjus daugiau nei dviem savaitėms nuo pareiÅ¡kėjo praÅ¡ymo patiekimo dienos bei tuo metu, kai Inspekcijos internetiniame tinklalapyje jau buvo paskelbta informacija apie SprendimÄ . 2019 m. birželio 3 d. Inspekcijos raÅ¡tu Nr. 2R-2687 (1.29) „Dėl praÅ¡ymo“ Inspekcija pabrėžė, jog jai yra priskirta vykdyti funkcijas asmens duomenų apsaugos srityje bei, kad turi bÅ«ti siekiama vienodo ir aukÅ¡to lygio fizinių asmenų apsaugos visoje Europos SÄ jungoje ir bÅ«tent todėl 2019 m. gegužės 16 d. Inspekcijos svetainėje buvo pavieÅ¡inta informacija apie Sprendimu skirtÄ administracinę baudÄ . Minėtas argumentas dėl informacijos vieÅ¡inimo bÅ«tinybės prieÅ¡tarauja Inspekcijos iÅ¡ tiesų vykdomiems veiksmams – savivaldybės įmonei (tapatybė – neaiÅ¡ki) skirta bauda nepavieÅ¡inta, o pareiÅ¡kėjai paskirta sankcija detaliai apraÅ¡yta Inspekcijos internetiniame tinklalapyje, įskaitant ir Inspekcijos netirtos informacijos pateikimÄ . Tokiais veiksmais Inspekcija akivaizdžiai diskriminavo pareiÅ¡kėjÄ kitų duomenų valdytojų atžvilgiu.

8. Dėl pareiškėjos BDAR reikalavimų įgyvendinimo

Esminis Bendrovės, kaip elektroninių pinigų įstaigos, veiklos vykdymo kriterijus yra jos darbuotojų, klientų ir jų duomenų (tarp jų – ir asmens duomenų) saugumo užtikrinimas. Atsižvelgiant į tai, Bendrovė skyrė didelį dėmesį pasiruoÅ¡imui BDAR bei iki Å¡iol intensyviai dirba įgyvendindama ir laikydamasi BDAR reikalavimų. Pažymėtina, jog pareiÅ¡kėja, siekdama tinkamai įgyvendinti BDAR reikalavimus ir užtikrinti aukÅ¡tÄ asmens duomenų apsaugos lygį, sistemingai ir kryptingai dirbo ir dirba, siekdama visiÅ¡kai įgyvendinti BDAR reikalavimus ir užtikrinti nuolatinę Bendrovės atitiktį teisės aktų reikalavimams

II

Atsakovė Inspekcija atsiliepime su pareiÅ¡kėjos skundu nesutinka ir praÅ¡o jį atmesti kaip nepagrįstÄ .

1. PareiÅ¡kėja skundÄ iÅ¡ esmės grindžia tuo, jog, jos teigimu, Inspekcija prieÅ¡ priimdama SprendimÄ privalėjo atlikti tikrinimus vietoje Bendrovėje ir (duomenys neskelbtini), nesiremti (duomenys neskelbtini), kaip pareiÅ¡kėjos konkurento patiektais įrodymais, taip pat turėjo atsižvelgti į priemones, kurių pareiÅ¡kėja ėmėsi po 2018 m. liepos 9–10 d. įvykusio duomenų saugumo pažeidimo pareiÅ¡kėjos MIP sistemoje.

1.1 Inspekcija pirmiausiai pažymi, kad jai yra suteikta kompetencija savo nuožiÅ«ra pasirinkti ir veikti pagal BDAR jai suteiktus įgaliojimus, tame tarpe ir spręsti, kaip reikia atlikti tyrimus, kad bÅ«tų surinkta su galimu BDAR pažeidimu susijusi informacija, o tikrinamas asmuo negali pasirinkti ar nurodyti Inspekcijai, kokiu bÅ«du ji turi atlikti jo veiklos tyrimÄ .

1.2 PareiÅ¡kėja nei tyrimo metu, nei skunde nepagrindė bei nenurodė jokių aiÅ¡kių motyvų, kodėl Inspekcija negalėjo remtis (duomenys neskelbtini) užfiksuotais įrodymais, ar kodėl Å¡ie įrodymai nėra tinkami. Nenurodė taip pat, kodėl įrodymais negali bÅ«ti pasitikima. Juo labiau, kad pareiÅ¡kėja savo raÅ¡tais Inspekcijai patvirtino (duomenys neskelbtini) pateiktÄ informacijÄ . Tai, jog (duomenys neskelbtini) galimai yra pareiÅ¡kėjos konkurentas, automatiÅ¡kai nepadaro jos pateiktos informacijos neteisinga.

1.3 Atsakovė pažymi, jog (duomenys neskelbtini), kaip mokėjimo paslaugų tiekėjas, yra įsidiegęs sukčiavimo nustatymo ir prevencijos sistemÄ , kuri pareiÅ¡kėjos atveju, aptiko neįprastus ir nestandartinius kreipinius iÅ¡ iÅ¡orinių sistemų IP adresų. PareiÅ¡kėjos MIP sistema, vartotojams atliekant mokėjimus, periodiÅ¡kai darė visų vartotojų mokėjimo sesijos MEV, nors toks MEV darymas nėra reikalingas sėkmingam mokėjimo operacijos atlikimui ir nėra standartinis (tipinis) vartotojo elgesys, atliekant mokėjimÄ . Todėl, atsakovės vertinimu, (duomenys neskelbtini) Prevencijos sistema identifikavo tai, kaip įtartinÄ , galimai keliančiÄ grėsmę duomenų saugumui veiklÄ ir pradėjo vidinį tyrimÄ dėl saugumo incidento, nes toks vartotojo elgesys, atliekant mokėjimÄ , yra neįprastas. Pažymi, jog (duomenys neskelbtini) turi savo Saugumo incidentų tyrimų tarnybÄ ir nuolat kibernetinio saugumo srityje dirbančių specialistų, kurie užsiima kibernetinio bei duomenų saugumo užtikrinimu ir prevencija bei kibernetinių incidentų, įskaitant ir asmens duomenų saugumo pažeidimus, tyrimais, todėl, negavus konkrečių argumentų ir įrodymų, nėra pagrindo abejoti jų kompetencija Å¡ioje srityje ir pateikiamos informacijos tikslumu bei patikimumu.

1.4 Atsakovė taip pat nesutinka su teiginiu, jog reikėjo atsižvelgti į priemones, kurių pareiÅ¡kėja ėmėsi po 2018 m. liepos 8–10 d. įvykusio duomenų saugumo pažeidimo pareiÅ¡kėjos MIP sistemoje. Veiksmai, kurių pareiÅ¡kėja ėmėsi Inspekcijos nustatytiems pažeidimams paÅ¡alinti, darbuotojų mokymams bei BDAR reikalavimų užtikrinimui, t. y. veiksmai, kurių pareiÅ¡kėja ėmėsi po įvykusio asmens duomenų saugumo pažeidimo, nepaneigia fakto, kad Sprendime nustatyti pažeidimai buvo padaryti ir nepadaro Inspekcijos iÅ¡davų dėl nustatytų pažeidimų neteisingais. Juo labiau, kad Sprendimo teisingumo ir pagrįstumo nepaneigia tai, kad pareiÅ¡kėja, sužinojusi apie gresiančiÄ administracinę baudÄ , pradėjo MIP paslaugos pardavimo procesÄ . Pažymi, kad nors pareiÅ¡kėja skundÄ grindžia ir tuo, kad parduoda MIP paslaugÄ , tačiau tyrimo metu Å¡ios, pareiÅ¡kėjos teigimu, reikÅ¡mingos Sprendimo pagrįstumui, informacijos pareiÅ¡kėja nepateikė.

2. Skunde pažymima, jog Sprendime nurodyta, jog tyrimo metu nustatyta, kad pareiškėjos MIP sistema mokėjimo operacijų atlikimo metu daro MEV, nors, pareiškėjos teigimu, šie teiginiai neatitinka faktinės situacijos, kadangi MEV nėra daromi ir saugomi, o Inspekcija nepateikė jokių tokius teiginius pagrindžiančių įrodymų.

2.1. Be Sprendime pateiktų argumentų dėl MEV asmens duomenų tvarkymo papildomai pažymi, kad pareiÅ¡kėja skunde pati dar kartÄ patvirtina, kad tvarko MEV asmens duomenis. Atsakovė daro iÅ¡vadÄ , jog pareiÅ¡kėja tvarko (prieina, renka) MEV asmens duomenis (priklausomai nuo mokėtojo naudojamo banko tvarkomi Å¡ie asmens duomenys: mokėtojo vardas, pavardė, turimų banko (įskaitant mokėjimo kortelių) sÄ skaitų numeriai, jų valiuta, likučiai, rezervuotos sumos; paskutinių atliktų operacijų informacija (data, mokėtojo arba gavėjo pavadinimas, mokėjimo paskirtis, suma), neperžiÅ«rėtų elektroninių sÄ skaitų pateikimo datos, siuntėjų pavadinimai bei sumos, neperskaitytų praneÅ¡imų pateikimo datos, temos ir dalis praneÅ¡imo teksto, turimų paskolų paskirtys, pobÅ«džiai, sumos, pensijų fondų pavadinimai, sukaupti vienetai, jų vertė, sukauptos sumos, paskutinio prisijungimo datos, turimų indėlių pobÅ«dis (terminuotas, taupomasis ir pan.), valiutos, sumos, palÅ«kanos, terminai, kredito tipai (pvz., bÅ«sto), mokėtini likučiai, kitų mokėjimų sumos bei datos, iÅ¡duotų mokėjimo kortelių numeriai ir jose esančios sumos. Å i iÅ¡vada padaryta ir Sprendime (skiltis „Dėl asmens duomenų tvarkymo momentiniuose ekrano vaizduose“).

2.2. PareiÅ¡kėja nurodo, jog MIP sistemos atliekamas fiksavimas nereiÅ¡kia MEV darymo ir saugojimo – darbalaukio duomenų fiksavimas reiÅ¡kia, kad MIP sistemai tampa matoma mokėtojo (duomenų subjekto) el. bankininkystės darbalaukyje atvaizduoja informacija, įskaitant ir ten esančius nurodytus mokėtojo asmens duomenis. PareiÅ¡kėja, atsakovės vertinimu, bando paneigti savo 2018 m. rugpjūčio 20 d. raÅ¡tu pateiktÄ informacijÄ , kad mokėjimo atlikimo metu programa automatiÅ¡kai fiksuoja darbalaukio duomenis – MEV, kurie yra daromi ir toliau tvarkomi tam, kad bÅ«tų tinkamai įvykdytas mokėtojo inicijuotas mokėjimas. Å iame raÅ¡te pareiÅ¡kėja taip pat nurodė, jog Å¡ie duomenys yra reikalingi teikiant mokėjimų iniciavimo paslaugÄ ir yra bÅ«tini įvykdyti inicijuotÄ mokėjimÄ . Jie automatiÅ¡kai iÅ¡sitrina po 10 minučių, kai yra užbaigiamas inicijuotas mokėjimas. Žodis „fiksuoti“, atsakovės vertinimu, negali bÅ«ti suvokiamas, kaip reiÅ¡kiantis ko nors matymÄ . Atvirkščiai, Å¡is žodis aiÅ¡kiai reiÅ¡kia ko nors registravimÄ , užraÅ¡ymÄ , kas ir yra nustatyta įvertinus surinktus įrodymus Inspekcijos Sprendime ir kÄ tyrimo pradžioje patvirtino ir pati pareiÅ¡kėja. Dar daugiau, pareiÅ¡kėjos teiginiams apie tai, kad MIP sistemai tik tampa matomi, bet nėra iÅ¡saugomi (renkami) MEV asmens duomenys, prieÅ¡tarauja ne tik tyrimo metu surinkti įrodymai, užfiksuoti (duomenys neskelbtini) ekspertų, kurie, atlikdami teisės aktuose nustatytas prievoles, nustatė neautorizuotos prieigos galimybę prie pareiÅ¡kėjos užfiksuotų ir iÅ¡saugotų MEV, bet ir pati pareiÅ¡kėja savo 2018 m. rugpjūčio 20 d. raÅ¡te nurodžiusi, kad MEV asmens duomenys automatiÅ¡kai iÅ¡sitrina po 10 minučių, kai yra užbaigiamas inicijuotas mokėjimas. Atsakovė pažymi, kad MEV asmens duomenų iÅ¡trynimas nėra įmanomas ir logiÅ¡kai nebÅ«tų paaiÅ¡kinamas, jei, kaip teigia pareiÅ¡kėja, MEV nėra iÅ¡saugomi, kitaip sakant, nėra įmanoma ir tikslinga iÅ¡trinti tai, ko nėra (kas nebuvo iÅ¡saugoti ir (ar) užfiksuota).

3. Pareiškėja skunde nurodo, kad neturėjo pareigos informuoti duomenų subjektų apie teikiant mokėjimo inicijavimo paslaugas tvarkomus MEV, kadangi pareiškėja, jos teigimu, MEV nedaro.

Tyrimo metu surinkta medžiaga ir pačios pareiÅ¡kėjos paaiÅ¡kinimai pagrindžia, kad ji tvarko MEV asmens duomenis. Nepriklausomai nuo to, ar prie duomenų yra tik prieinama, ar jie dar ir papildomai yra fiksuojami bei toliau saugomi, vadovaujantis BDAR 14 straipsniu, duomenų subjektai apie tokių asmens duomenų tvarkymÄ privalo bÅ«ti informuojami. Tai, kad po Inspekcijos nustatytų pažeidimų pareiÅ¡kėja ėmėsi veiksmų, ne tik nepaneigia fakto, kad buvo pažeidžiama duomenų subjekto teisė bÅ«ti informuotam apie jo asmens duomenų tvarkymÄ , bet ir parodo, kad pareiÅ¡kėja de facto sutiko su Inspekcijos nustatytu pažeidimu.

4. PareiÅ¡kėja nesutinka, kad ji neužtikrino, jog asmens duomenys bÅ«tų tvarkomi tokiu bÅ«du, kad taikant atitinkamas technines ar organizacines priemones bÅ«tų užtikrintas pavojų atitinkančio lygio saugumas, įskaitant apsaugÄ nuo neteisėto tvarkymo, atskleidimo ir tuo pažeidė BDAR 5 straipsnio 1 dalies f punktÄ ir 32 straipsnio 1 straipsnio b punktÄ . Taip pat nurodo, kad faktas, jog įvyko duomenų saugumo pažeidimas, neleidžia daryti kategoriÅ¡kÄ iÅ¡vadÄ dėl pareiÅ¡kėjos neatitikties BDAR numatytiems organizacinio ir techninio saugumo reikalavimams.

4.1. PareiÅ¡kėja neteisi teigdama, jog Lietuvos banko atlikto Inspektavimo rezultatai patvirtina, jog pareiÅ¡kėja ne tik Inspektavimo metu užtikrino tinkamas duomenų saugumo priemones, bet tokios priemonės buvo užtikrintos ir 2018 m. liepos 9–10 d. Atsakovė pažymi, jog Lietuvos banko PriežiÅ«ros tarnybos direktoriaus 2018 m. gruodžio 17 d. sprendime Nr. 241-274 „Dėl Mistertango, UAB, inspektavimo rezultatų“ 4 punkte nurodyta, kad Inspektavimo metu buvo nustatyta veiklos trÅ«kumų, susijusių su prieigos prie informacinių sistemų valdymu. Taip pat sprendime nustatyta, kad pareiÅ¡kėja nėra reglamentavusi prieigos prie informacinių sistemų valdymo proceso, kuriame bÅ«tų aiÅ¡kiai nustatytos kiekvieno vartotojo arba vartotojų grupės prieigų valdymo taisyklės (prieigų suteikimas, atÅ¡aukimas, taikomos kontrolės priemonės) ir galimos, t. y. pareiÅ¡kėjos nustatytos kaip standartinės, vartotojų prieigos teisės bei iÅ¡imtinių prieigos teisių suteikimo, atÅ¡aukimo ir kontrolės taisyklės. Inspektuojamu laikotarpiu pareiÅ¡kėja nevertino, ar suteiktas prieigos lygis atitinka vartotojo veiklos tikslÄ ir pobÅ«dį, nebuvo vykdoma periodinė prieigos teisių peržiÅ«ra, nebuvo tikrinama, ar nėra naudojamasi nedirbančių ar kitų darbuotojų bendro naudojimo vartotojų prieigos teisėmis, nebuvo sustiprintos privilegijuotų vartotojų prieigos kontrolės bei nurodyta Å¡iuos trÅ«kumus paÅ¡alinti. Tai atitinka ir Inspekcijos sprendime nustatytoms aplinkybėms bei padarytoms iÅ¡vadoms.

4.2. Taip pat, skirtingai nei teigia pareiÅ¡kėja, vien faktas, kad 2018 m. liepos 9–10 d. įvyko asmens duomenų saugumo pažeidimas, savaime reiÅ¡kia, kad nebuvo užtikrintas pareiÅ¡kėjos tvarkomų asmens duomenų saugumas. Tai, kad pareiÅ¡kėja neužtikrino tinkamų duomenų saugumo priemonių patvirtina ir pati pareiÅ¡kėja, tiek savo 2019 m. kovo 8 d. raÅ¡te ir žodinio bylos nagrinėjimo metu, tiek ir skunde teismui nurodydama, kad, iÅ¡tyrusi incidentÄ ji operatyviai atstatė prarastas saugumo pakopas, dėl kurių įvyko saugumo pažeidimas, atliko jų testÄ ir įsitikino tinkamu veikimu, t. y. ėmėsi skubių techninių saugumo priemonių.

4.3. Taip pat atsakovė nesutinka su teiginiu, jog tai, kad pareiÅ¡kėjos Technikos direktorius buvo atsakingas už kelių funkcijų įgyvendinimo organizavimÄ , nesudaro Inspekcijai prielaidos teigti, kad pareiÅ¡kėja neužtikrino tinkamų techninių ir organizacinių duomenų saugumo priemonių, kadangi BDAR nenumato detalių jų reikalavimų. Atsakovė pažymi, jog BDAR negali nustatyti tokių detalių saugumo reikalavimų, kaip, pvz., saugos užtikrinimo ir valdymo bei visos IT infrastruktÅ«ros (techninės ir programinės) valdymo, diegimo ir priežiÅ«ros funkcijų atskyrimo. Iki BDAR įsigaliojimo, pagal Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo 30 straipsnio 2 dalį, Inspekcija nustatė bendruosius reikalavimus organizacinėms ir techninėms duomenų saugumo priemonėms, taip pat Å¡iuo metu galiojant BDAR turi bÅ«ti remiamasi ne tik bendresniais BDAR reikalavimais, bet ir Europos SÄ jungos kibernetinio saugumo agentÅ«ros (ENISA) metodinėmis rekomendacijomis dėl duomenų saugumo bei atitinkamais ISO standartais, leidžiančias spręsti dėl taikomų saugumo priemonių tinkamumo.

5. Dėl pareiškėjos teiginių, jog ji rūpestingai ir tvarkingai ruošėsi BDAR įsigaliojimui.

Vadovaujantis BDAR ir ADTAÄ® nuostatomis, bÅ«tent Inspekcija yra tas subjektas, kuris gali įvertinti asmens duomenų tvarkymo ir tokiam tvarkymui taikomų duomenų saugumo priemonių atitikti BDAR. Inspekcija, atlikusi tyrimÄ , nustatė Sprendime nurodytus pažeidimus, t. y. sritis, kuriose pareiÅ¡kėja neužtikrino atitikties BDAR reikalavimams. Be to, pati pareiÅ¡kėja nurodo, jog Bendrovėje ir toliau intensyviai vykdomi BDAR reikalavimų įgyvendinimo veiksmai, kas ne tik patvirtina Sprendime padarytÄ minėtÄ iÅ¡vadÄ , bet ir parodo, jog net ir skundo teismui pateikimo metu, pareiÅ¡kėja vis dar neužtikrino atitikties BDAR reikalavimams. Be to, pareiÅ¡kėja atitiktį BDAR reikalavimams turėjo užtikrinti dar iki 2018 m. gegužės 25 d., nors, kaip pati nurodo, to nėra atlikusi iki Å¡ios dienos.

6. PareiÅ¡kėja nurodo nesutinkanti, kad turėjo prievolę praneÅ¡ti Inspekcijai apie 2018 m. liepos 9–10 d. įvykusį asmens duomenų saugumo pažeidimÄ , kadangi Å¡io pažeidimo metu buvo įmanoma pamatyti 58 elektroninio paÅ¡to adresus, kuriuose buvo asmens duomenis sudaranti informacija, kas neturėjo kelti pavojaus duomenų subjektų teisėms ir laisvėms. Be to, dėl minėto įvykio į pareiÅ¡kėja nėra kreipęsis nė vienas duomenų subjektas.

6.1. Vertinant turimas organizacines ir technines saugumo priemones, duomenų valdytojai, taip pat ir pareiÅ¡kėja, turėjo ir turi visapusiÅ¡kai atsižvelgti į tvarkomų asmens duomenų pobÅ«dį, aprėptį, kontekstÄ bei tikslus, kaip ir rizikÄ , susijusiÄ su pavojais fizinių asmenų teisėms ir laisvėms, bei užtikrinti Å¡ių priemonių tikrinimo, vertinimo ir veiksmingumo vertinimo procesÄ . Ä®vykus asmens duomenų saugumo pažeidimui, duomenų valdytojas turi bÅ«ti pasiruošęs bet kuriuo momentu įvertinti poreikį asmenų pagrindinėms teisėms ir laisvėms, kylantį dėl galimo asmens duomenų saugumo praradimo. Pažymi, jog asmens duomenų saugumo pažeidimai pasižymi tuo, jog jiems įvykus, kartais nėra įmanoma tiksliai nustatyti poveikio ir žalos asmens duomenims ar net pačiam asmeniui. Pasitaiko, kad poveikis ir žala paaiÅ¡kėja praėjus gana ilgam laiko tarpui po pažeidimo. Todėl, remiantis rizikos valdymo ir nustatymo metodais, yra nustatoma potenciali galima žala ir tam naudojama visa turima ar iÅ¡ įvairių Å¡altinių prieinama informacija.

6.2. Rizikos vertinimas yra kokybinis nuolatinis procesas, kurio metu paprastai yra remiamasi turima nepilna, neiÅ¡samia ir fragmentuota informacija, todėl ir pareiÅ¡kėjos atveju buvo bÅ«tina atsižvelgti į visÄ gautÄ informacijÄ ir vertinimus. Jei pareiÅ¡kėja manė, kad ji gali patikslinti Inspekcijos turimÄ informacijÄ apie aptariamÄ asmens duomenų saugumo pažeidimÄ , ji turėjo pateikti įrodymus, t. y. iÅ¡raÅ¡us, iÅ¡ savo IT sistemų žurnalų Å¡io pažeidimo arba ilgesniam laikotarpiui, kurie konkrečiai pagrįstų pareiÅ¡kėjos teiginius, kad prisijungimų iÅ¡ iÅ¡orės vartotojų nenustatyta, arba, kad buvo prisijungęs tik, pvz., atitinkamas (duomenys neskelbtini) darbuotojas, kuris ir nustatė pažeidimÄ . Tačiau pareiÅ¡kėja nepateikė konkrečių IT sistemų iÅ¡rašų asmens duomenų saugumo pažeidimo laikotarpiui, nors Inspekcija to prašė. Ä®rodymų pateikimas iÅ¡raÅ¡ais iÅ¡ IT sistemų žurnalų yra įprasta ir plačiai naudojama praktika, o negalėjimas pateikti tokių iÅ¡rašų įvykus kibernetiniam incidentui ar duomenų saugumo pažeidimui signalizuoja apie tai, kad organizacijoje IT sistemų ir juose tvarkomų duomenų saugumui nėra skiriamas tinkamas dėmesys ir aplaidžiai atliekamos susijusios pareigos. Vietoje aptariamo iÅ¡raÅ¡o, pareiÅ¡kėja savo 2018 m. rugpjūčio 20 d. raÅ¡tu Inspekcijai pateikė iÅ¡raÅ¡Ä iÅ¡ tarnybinės stoties apie prisijungimus prie nuorodos, kuri veda į mokėjimų sÄ raÅ¡Ä , laikotarpiui nuo 2018 m. balandžio 28 d. iki 2018 m. gegužės 4 d., t. y. laikotarpiui, nesusijusiam su aptariamu asmens duomenų pažeidimu. Žodinio bylos nagrinėjimo metu pareiÅ¡kėja nurodė, kad pateiktas iÅ¡raÅ¡as buvo pateiktas tik kaip pavyzdys, kokie duomenys yra fiksuojami, 2018 m. liepos 9–10 d. žurnalo duomenys nėra iÅ¡likę, o pareiÅ¡kėja, jei bÅ«tų žinojusi, kad juos reikia pateikti už minėtÄ datÄ , bÅ«tų tokius duomenis pateikusi.

6.3. Atsakovė daro iÅ¡vadÄ , kad pareiÅ¡kėja, žinodama tiek apie įvykusį asmens duomenų saugumo pažeidimÄ , tiek apie Inspekcijos atliekamÄ tyrimÄ , tiek ir apie Lietuvos banko InspektavimÄ , ne tik neveikė, kaip rÅ«pestingas ir sÄ Å¾iningas asmuo, netinkamai vykdė BDAR 33 straipsnio 5 dalies reikalavimus, bet ir nesiėmė priemonių sau naudingiems įrodymams iÅ¡saugoti ir pateikti Inspekcijai. Atsakovė papildomai pažymi, kad pareiÅ¡kėja pati pripažįsta, kad prieigÄ prie prieinamo tinklalapio su pareiÅ¡kėjos apdorotų mokėjimų sÄ rašų, kuriame buvo matomi įvairių bankų įstaigų klientų atlikti mokėjimai per pareiÅ¡kėjos MIP sistemÄ su tų klientų asmens duomenimis, taip pat daugiau nei 9 000 MEV su 12 skirtingų bankų, esančių skirtingose valstybėse, klientų mokėjimo sesijų detalių puslapiais, turėjo bent jau itin siauras, specifines žinias turinčių asmenų raÅ¡tas. Taigi, prie aptariamų duomenų bent jau 2 dienas buvo neautorizuota prieiga. Tai, kad Å¡iuo metu nenustatytas aptariamų asmens duomenų netinkamas panaudojimas nereiÅ¡kia, jog toks panaudojimas neįvyks ateityje.

7. PareiÅ¡kėjos teigimu, Inspekcija vilkino atlikti tyrimo procesÄ , neiÅ¡samiai ir nevisapusiÅ¡kai, tendencingai tyrė gautÄ informacijÄ bei nesuteikė pareiÅ¡kėjai galimybės susipažinti su visa tyrimo medžiaga.

7.1. ADTAÄ® 20 straipsnio 4 dalis nustato, kad kai atliekant tyrimus ir (ar) patikrinimus Inspekcijos iniciatyva, vadovaujamasi BDAR 60 straipsniu, netaikomas Å¡io įstatymo 21 straipsnis. Apie tai, kad atliekant aptariamÄ tyrimÄ yra vadovaujamasi BDAR 60 straipsniu, pareiÅ¡kėja ne kartÄ buvo informuota (paskutinį kartÄ â€“ žodinio bylos nagrinėjimo metu). Be to, Inspekcijos atlikto tyrimo terminai neturi įtakos pareiÅ¡kėjos padarytų pažeidimų kvalifikavimui ir nepanaikina pareiÅ¡kėjos atsakomybės už padarytus pažeidimus.

7.2. Dėl nepateiktos medžiagos nurodo, kad pareiÅ¡kėjai buvo pateikta visa tyrimo medžiaga. Latvijos duomenų apsaugos inspekcijos praneÅ¡imu, kaip ir Inspekcijos raÅ¡to iÅ¡siuntimo gautu AB (duomenys neskelbtini) bankas 2018 m. liepos 27 d. raÅ¡tu Nr. 01.08-878, Inspekcija nesirėmė priimdama SprendimÄ , jie nebuvo atlikto tyrimo dalis, todėl jie ir nebuvo pateikti pareiÅ¡kėjai. Be to, Latvijos duomenų apsaugos inspekcijos praneÅ¡ime nebuvo jokios tyrimui naudingos informacijos ir jis tik buvo pagrindas tęsti minėtoje Å¡alyje inicijuotÄ bendradarbiavimo procedÅ«rÄ pagal BDAR 60 straipsnį, o AB (duomenys neskelbtini) banko raÅ¡te buvo pateikta analogiÅ¡ka informacija (duomenys neskelbtini) pateiktai informacijai, kuria remiantis Inspekcija jau buvo pradėjusi pareiÅ¡kėjos tyrimÄ .

8. Skunde nurodoma, jog Sprendimas diskriminuoja pareiÅ¡kėjÄ , o Inspekcija, skirdama baudÄ , nesilaikė vieningos praktikos. Be to, Inspekcija vieÅ¡ojo erdvėje ne kartÄ nurodė, jog ji yra linkusi bendradarbiauti, o ne bausti. Taip pat, pareiÅ¡kėjos teigimu, Inspekcija pavieÅ¡ino informacijÄ apie SprendimÄ ir skirtÄ baudÄ , o apie savivaldybei skirtÄ baudÄ nebuvo praneÅ¡ta visuomenei.

8.1. BDAR numato Inspekcijos pasirinkimo galimybę parenkant taisomÄ sias priemones. Tai atitinka BDAR 52 straipsnyje įtvirtintÄ Inspekcijos, kaip priežiÅ«ros institucijos nepriklausomumÄ . Tokia Inspekcijos teisė yra patvirtinta ir Lietuvos vyriausiojo administracinio teismo (toliau – ir LVAT) (žr., pvz., nutartis administracinėje byloje Nr. A822-2338/2012). Todėl Inspekcija, atlikusi pareiÅ¡kėjos tyrimÄ , turėjo diskrecijos teisę nuspręsti dėl BDAR 58 straipsnio 2 dalyje numatytų taisomųjų veiksmų taikymo ir (ar) BDAR 83 straipsnyje numatytos administracinės baudos, kuri, pagal BDAR, turi bÅ«ti veiksminga, proporcinga ir atgrasoma, skyrimo pareiÅ¡kėjai. Sprendimu paskirdama baudÄ InspekcijÄ Å¡iÄ teisę įgyvendino. Inspekcija neturėjo atsižvelgti į pareiÅ¡kėjos pageidavimus dėl baudos neskyrimo, kaip ir pareiÅ¡kėjos argumentÄ , kad iki Å¡ios baudos paskyrimo, kitiems duomenų valdytojams baudos dar nebuvo skirtos.

8.2. Papildomai atsakovė pažymi, jog tokie Sprendime nurodyti pažeidimai, kaip perteklinių asmens duomenų tvarkymas, Å¡ių duomenų saugumo neužtikrinimas, informacijos apie jų asmens duomenų tvarkymÄ duomenų subjektams nepateikimas, nėra „BDAR nustatoma naujovė“. Be to, apie Sprendime nustatytus pažeidimus Inspekcija sužinojo iÅ¡ trečiųjų asmenų, o ne iÅ¡ pareiÅ¡kėjos, todėl nėra pagrindo teigti, kad pareiÅ¡kėja bendradarbiavo su Inspekcija. Tai patvirtina ir atsiliepime nurodyta informacija dėl pareiÅ¡kėjos veiksmų, nepateikiant tyrimui reikÅ¡mingos informacijos ir taip nevykdant BDAR 5 straipsnio 2 dalyje nustatytos prievolės. Be to, nei tyrimo metu, nei skunde teismui pareiÅ¡kėja nepateikia informacijos ir įrodymų, kad ėmėsi priemonių, siekdama atsisakyti perteklinių, MIP paslaugos teikimui nereikalingų, asmens duomenų tvarkymo (MIP paslaugos pardavimas kitam subjektui (informacijÄ apie tai nurodant tik pareiÅ¡kėjos skunde teismui) tokia priemone nelaikytina). Atsakovė atkreipia dėmesį, jog Inspekcijos priimtų sprendimų (ne)vieÅ¡inimas negali turėti ir neturi jokios reikÅ¡mės Inspekcijos sprendimų teisėtumui, o pareiÅ¡kėjos skunde patiekti argumentai dėl Inspekcijos priimto sprendimo informuoti visuomenę apie pareiÅ¡kėjai paskirtÄ administracinę baudÄ , nėra susiję su skundžiamo Sprendimo teisėtumu, todėl atmestini.

III

1. Teismo posėdyje pareiÅ¡kėjos uždarosios akcinės bendrovės „MisterTango“ atstovai Å¡ios įmonės direktorė S. Z., advokatas G. B. ir advokato padėjėja M. Ž. prašė skundÄ tenkinti.

2. Teismo posėdyje atsakovės Valstybinės duomenų apsaugos inspekcijos atstovai Å¡ios institucijos PriežiÅ«ros skyriaus patarėja B. J. ir Informacinių technologijų skyriaus patarėjas V. Å . prašė skundÄ atmesti kaip nepagrįstÄ .

Teismas, išnagrinėjęs skundo ir atsiliepimo motyvus, įvertinęs rašytinius bylos įrodymus, teismo posėdyje pateiktus paaiškinimus, išanalizavęs ginčo teisinį santykį reglamentuojančius teisės aktus,

konstatuoja:

I

Šioje administracinėje byloje, inter alia (lot. be kita ko), nustatyta:

1. 2018 m. liepos 18 d. raÅ¡tu Nr. 5R118-16789 (duomenys neskelbtini) kreipėsi į InspekcijÄ , informuodama apie pastebėtÄ incidentÄ . RaÅ¡te nurodė, jog pareiÅ¡kėjos interneto tinklalapyje buvo pavieÅ¡inti (duomenys neskelbtini) klientų Lietuvoje, Latvijoje ir Estijoje duomenys (e. bylos III tomas, b. l. 13–14)

1.1. Inspekcija 2018 m. liepos 31 d. raÅ¡tu Nr. 2R-4658(2.14) kreipėsi į pareiÅ¡kėjÄ . RaÅ¡te informavo, jog yra gauta informacija apie pavieÅ¡intus bankų klientų duomenis bei Latvijos duomenų apsaugos inspekcijos informacija, todėl Inspekcija prašė pateikti informacijÄ , kaip yra tvarkoma asmens interneto banko paskyroje esanti informacija, informuoti apie taikomas organizacines ir technines duomenų saugumo priemones, apibÅ«dinti asmens duomenų saugumo pažeidimÄ (pažeidimo vietÄ , svetaine, aplinkybes) ir kitÄ reikÅ¡mingÄ informacijÄ (e. bylos III tomas, b. l. 18–19).

1.2. PareiÅ¡kėja 2018 m. rugpjūčio 20 d. raÅ¡tu (Inspekcijoje gautas – 2018 m. rugpjūčio 21 d., registracijos Nr. 1R-6373(2.14)) nurodė, be kita ko, jog 2018 m. liepos 9 d. pareiÅ¡kėjai kilo įtarimas dėl galimo duomenų saugumo nepakankamumo, todėl pareiÅ¡kėja panaikino nuorodÄ prie transakcijų žurnalo bei ėmėsi patikrinimo veiksmų. Atlikusi vidinį tyrimÄ pareiÅ¡kėja neaptiko jokių pažeidimų, kurie galėtų turėti įtakos asmens duomenų praradimui ar neilstinam asmens duomenų sužinojimui. Visi prisijungimai prie nuorodos, kurioje buvo patalpinti inicijuotų mokėjimų duomenys, yra fiksuojami. Patikrinimo, ar nebuvo jungimosi prie nuorodos iÅ¡ iÅ¡orės metu, buvo peržiÅ«rėti jungimosi prie nuorodos duomenys. Nustatyta, kad prie nuorodos buvo jungiamasi tik iÅ¡ kompiuterių, kurie priklauso pareiÅ¡kėjai. Neleistinų prisijungimų prie nuorodos pareiÅ¡kėja neaptiko (atsakymas į 6 klausimÄ ) (e. bylos III tomas, b. l. 20–26).

1.3. Inspekcija 2018 m. spalio 16 d. raÅ¡tu Nr. 2R-5571(2.14) kreipėsi į (duomenys neskelbtini), praÅ¡ydama: 1) detaliai apraÅ¡yti, kaip buvo gauti klientų elektroninės bankininkystės aplinkos MEV, pateikti Inspekcijai 2018 m. liepos 18 d. raÅ¡tu Nr. 5R118-16789, kokios nuorodos buvo spaudžiamos, kokie veiksmai ir kokiu bÅ«du buvo atlikti; 2) paaiÅ¡kinti, ar buvo gauta daugiau nei pateikta Inspekcijai MEV ar kliento veiksmų, atliekamų tuo metu, kai buvo aptikta prieiga prie klientų elektroninės bankininkystės aplinkos, vaizdų ekrane vaizdo įrašų; 3) paaiÅ¡kinti, ar pasinaudojus aptikta prieiga prie klientų elektroninės bankininkystės aplinkos buvo gautos tik nuorodos į iÅ¡saugotus el. bankininkystės MEV, ar buvo galimybė atlikti daugiau veiksmų matomoje kliento el. bankininkystės aplinkoje (jei taip, nurodyti kokių) (e. bylos III tomas, b. l. 39). 2018 m. spalio 23 d. (duomenys neskelbtini) raÅ¡tu Nr. SR118-24966 atsakė, jog: 1) (duomenys neskelbtini) įdiegė sukčiavimo nustatymo ir prevencijos sistemas, kurios ir aptiko neįprastus (nestandartinius) kreipinius iÅ¡ iÅ¡orinės sistemos, todėl bankas pradėjo vidinį tyrimÄ ; 2) tyrimo metu buvo surinkta daugiau informacijos nei pateikta Inspekcijai, t. y. buvo iÅ¡saugota 9 189 (duomenys neskelbtini) ir septyniolikos kitų bankų klientų mokėjimo sesijų detalių puslapių su MEV. Ne visi puslapiai, kurie buvo aplankyti vidinio tyrimo metu, buvo iÅ¡saugoti, ne visuose sesijų detalių puslapiuose buvo matomi klientų duomenys; 3) tyrimo metu nebuvo nustatyta, kad naudojantis MEV ar kita prieinama informacija bÅ«tų galima tiesiogiai prisijungti prie (duomenys neskelbtini) klientų internetinės bankininkystės. Galimybė pasinaudoti kitų finansinių institucijų internetine bankininkyste vertinama nebuvo. Tačiau surinkta informacija rodo, kad pareiÅ¡kėja turėjo galimybę naudodama taip vadinamÄ screen scraping metodÄ prieiti prie daugiau duomenų, nei jiems buvo bÅ«tina jų teikiamai paslaugai suteikti (e. bylos III tomas, b. l. 42–43).

1.4. 2018 m. lapkričio 21 d. Inspekcija raÅ¡tu Nr. 2R-6068 (2.14) paprašė pareiÅ¡kėjos pateikti papildomÄ informacijÄ apie įvykusį incidentÄ (e. bylos III tomas, b. l. 69–70). 2018 m. lapkričio 28 d. pareiÅ¡kėjos atstovė el. laiÅ¡ku kreipėsi į InspekcijÄ , praÅ¡ydama susipažinti su tyrimo medžiaga bei pratęsti atsakymų į užduotus klausimus pateikimo terminÄ iki 2018 m. gruodžio 11 d.(e. bylos III tomas, b. l. 61). Inspekcija 2018 m. gruodžio 4 d. raÅ¡tu Nr. 2R-6224(2.14) tenkino pareiÅ¡kėjos praÅ¡ymÄ pratęsti terminÄ atsakymams pateikti bei informavo, kad su pareiÅ¡kėjos tikrinimo, atliekamo Inspekcijos iniciatyva, pagal (duomenys neskelbtini) pateiktÄ informacijÄ apie saugumo pažeidimÄ , medžiaga galima susipažinti Inspekcijos darbo valandomis (e. bylos III tomas, b. l .67).

TÄ pačiÄ dienÄ , t. y. 2018 m. gruodžio 4 d., PareiÅ¡kėja pateikė praÅ¡ymÄ Inspekcijai pateikti visÄ Inspekcijos atliekamo tyrimo medžiagÄ (e. bylos III tomas, b. l. 71). 2018 m. gruodžio 11 d. pareiÅ¡kėja pateikė paaiÅ¡kinimus Inspekcijai (Inspekcijoje gauta – 2018 m. gruodžio 12 d., Registracijos Nr. 1R-9250(2.14)). PaaiÅ¡kinimuose, be kita ko, Bendrovė nurodė, jog mokėtojų el. bankininkystės darbalaukio duomenys Bendrovėje nėra kaupiami ir saugomi. Bendrovė tvarko mokėtojų el. bankininkystės duomenis, tokius kaip mokėtojo vardas ir pavardė, banko sÄ skaitų numeriai bei jose esančios lėšos, paskutinės penkios atliktos mokėjimų operacijos.

Å iuos duomenis Bendrovė tvarko MIP teikimo metu. PaaiÅ¡kinimuose nurodė, jog Bendrovė nekaupia ir nesaugo mokėtojų el. bankininkystės duomenų, nedaro MEV kopijų, jų nekaupia bei neatlieka jokių kitų veiksmų, susijusių su mokėtojų el. bankininkystės darbalaukio duomenimis. Pažymėjo, jog tvarkymo veiksmai apima tik prieigÄ prie mokėtojo el. bankininkystės darbalaukyje atvaizduotų duomenų, kitokių tvarkymo veiksmų Bendrovė neatlieka. Bendrovės prieiga prie mokėtojo el. bankininkystės darbalaukyje atvaizduotų duomenų mokėjimo sesijos metu yra neatsiejama mokėjimo iniciavimo proceso dalis, be kurios nebÅ«tų įmanoma suteikti MIP.

PaaiÅ¡kinimuose pareiÅ¡kėja atkreipia dėmesį, jog ji neneigia, kad 2018 m. liepos 10 d. jai tapo žinoma apie galimÄ incidentÄ vidaus analizės įrankyje (MIP monitoringo sistemoje), esančiame (duomenys neskelbtini) sistemoje. Bendrovė nedelsdama incidentÄ užregistravo ir nustatė, kad MIP monitoringo sistemoje buvo prarastos saugumo pakopos, t. y. laikinai buvo prarastas apribojimas pagal IP adresÄ per (duomenys neskelbtini) serverių ugniasienę bei apribojimas pagal IP adresÄ pačios aplikacijos lygmenyje ir laikinai nebuvo taikomas prieigos apribojimas, reikalaujant vartotojo vardo ir slaptažodžio.

Dėl Å¡ios priežasties incidento metu asmenys, turintys specialių IT žinių ir ėmęsi specialių analizės priemonių, galėjo aptikti nuorodÄ bei pasiekti minimus Bendrovės mokėjimų žurnalus, esančius po minėta nuoroda. IÅ¡tyrusi incidentÄ , Bendrovė operatyviai (2018 m. liepos 10–11 dienomis) atstatė saugumo pakopas, atliko jų testÄ ir įsitikino tinkamu veikimu. PaaiÅ¡kinimuose pažymi, jog incidento metu galimai buvo atskleisti tik 58 duomenų subjektų asmens duomenys, kurie nėra jautrÅ«s asmens duomenys (t. y. korporatyviniai el. paÅ¡to adresai), nurodyti duomenys nebuvo atskleisti plačiam asmenų, neturinčių teisės prieiti prie Å¡ių duomenų, ratui, o tik specialius analizės įrankius turintiems subjektams, t. y. bankams, todėl, Bendrovės vertinimu, asmens duomenų saugumo pažeidimas nesukėlė jokio pavojaus duomenų subjektų teisėms ir laisvėms (e. bylos III tomas, b. l. 74–81).

1.5. 2019 m. vasario 7 d. Inspekcijos Informacinių technologijų skyrius priėmė iÅ¡vadÄ Nr. 4R-23(2.14) „Dėl asmens duomenų saugumo pažeidimo UAB UAB „MISTERTANGO“ mokėjimo inicijavimo paslaugų sistemoje“. IÅ¡vadoje konstatuota, jog įvykęs duomenų saugos pažeidimas atitinka asmenų duomenų saugumo pažeidimo požymius (be leidimo atskleisti asmens duomenys ir neužtikrinta prieigos prie asmens duomenų kontrolė), apie jį turėjo bÅ«ti praneÅ¡ta Inspekcijai per 72 valandas nuo tada, kai buvo sužinota apie jį, užpildant PraneÅ¡imo apie asmens duomenų saugumo pažeidimÄ formÄ . To nepadariusi, pareiÅ¡kėja pažeidė BDAR 33 straipsnio 1 dalies ir to paties straipsnio 3 dalies a ir c punkto reikalavimus. IÅ¡vadoje taip pat nurodyta, jog pareiÅ¡kėja neužtikrina, kad asmens duomenys bÅ«tų tvarkomi tokiu bÅ«du, kad taikant atitinkamas technines ar organizacines priemones bÅ«tų užtikrinamas tinkamas asmens duomenų saugumas, įskaitant apsaugÄ nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo. Taip pat neužtikrina, kad standartizuotai bÅ«tų tvarkomi tik tie asmens duomenys, kurie yra bÅ«tini kiekvienam konkrečiam duomenų tvarkymo tikslui ir kad su asmens duomenimis negalėtų susipažinti neribotas fizinių asmenų skaičius. Å ie reikalavimas taikomi surinktų asmens duomenų kiekiui, jų tvarkymo apimčiai, jų saugojimo laikotarpiui ir jų prieinamumui, todėl pareiÅ¡kėja pažeidžia BDAR 5 straipsnio 1 dalies f punkto ir 25 straipsnio 2 dalies reikalavimus. Be to, iÅ¡vadoje teigiama, jog pareiÅ¡kėjos galimai nėra užtikrinamas tinkamas, nuolatinis ir savalaikis techninių žurnalų bei užfiksuotų įvykių saugojimas ir juose fiksuojamų įvykių stebėjimas. Taip pat nurodyta, jog pareiÅ¡kėja neužtikrina, kad bÅ«tų įgyvendinamos tinkamos technines ir organizacines priemones, nes nėra aiÅ¡kiai atskirtos pareigos ir nustatytos atsakomybės ribos tarp IT sistemų priežiÅ«rÄ atliekančių darbuotojų ir už IT sistemų ir duomenų saugumÄ atsakingų darbuotojų, todėl yra pažeidžiami BDAR 24 straipsnio 1 dalies reikalavimai (e. bylos III tomas, b. l. 173–177).

1.6. Inspekcija 2019 m. vasario 20 d. priėmė raÅ¡tÄ Nr. 2R-951(2.14) „Dėl siÅ«lymo skirti baudÄ â€œ, kuriuo informavo pareiÅ¡kėjÄ apie atliktÄ tyrimÄ , nurodė nustatytus pažeidimus ir aplinkybes, surinktus įrodymus bei jų vertinimus. Å iuo raÅ¡tu Inspekcija taip pat pasiÅ«lė pareiÅ¡ki nuomonę dėl bylos nagrinėjimo žodinės procedÅ«ros tvarka, taip pat prašė pateikti informacijÄ apie pareiÅ¡kėjos 2018 m. finansinių metų bendrÄ jÄ metinę pasaulinę apyvartÄ .

1.7. 2019 m. vasario 27 d. pareiÅ¡kėja pateikė praÅ¡ymÄ Inspekcijai, kuriame prašė susipažinti su visa iki Å¡iol pareiÅ¡kėjai nepateikta Inspekcijos atlikto tyrimo medžiaga, kuri nebuvo pateikta 2018 m. gruodžio 4 d, taip pat pratęsti terminÄ dokumentams pateikti iki 2019 m. kovo 15 d. (e. bylos III tomas, b. l. 332). Inspekcijos 2019 m. kovo 4 d. raÅ¡tu Nr. 2R-1185(2.14) pareiÅ¡kėjos praÅ¡ymas buvo atmestas (e. bylos III tomas, b. l. 333–334). 2019 m. kovo 8 d. pareiÅ¡kėja patiekė paaiÅ¡kinimus Dėl siÅ«lymo skirti baudÄ . Bendrovė prašė baudos neskirti, o bylÄ nagrinėti žodinio proceso tvarka (e. bylos III tomas, b. l. 355–362).

2. 2019 m. gegužės 14 d. buvo priimtas skundžiamas Sprendimas, kuriuo pareiškėjai už BDAR 5, 32 ir 33 straipsnių pažeidimus skirta 61 500 eurų bauda, kuri atitinka (duomenys neskelbtini) procento pareiškėjos 2018 m. finansinių metų bendrosios metinės pasaulinės apyvartos (e. bylos III tomas, b. l. 608–617).

Dėl asmens duomenų tvarkymo MEV

2.1. Tyrimo metu nustatyta, kad pareiÅ¡kėjos MIP sistema, mokėjimo operacijų atlikimo metu daro mokėjimo sesijos MEV, kurie daromi naudotojo ekrano duomenų perėmimo bÅ«du (angl. screen scrapping), o elektroninės bankininkystės naudotojas apie tai neinformuojamas. PareiÅ¡kėjos padarytuose MEV yra fiksuojami (priklausomai nuo mokėtojo naudojamo banko) Å¡ie asmens duomenys: mokėtojo vardas, pavardė, turimų banko (įskaitant mokėjimo kortelių) sÄ skaitų numeriai, jų valiuta, likučiai, rezervuotos sumos; paskutinių atliktų operacijų informacija (data, mokėtojo arba gavėjo pavadinimas, mokėjimo paskirtis, suma); neperžiÅ«rėtų elektroninių sÄ skaitų pateikimo datos, siuntėjų pavadinimai bei sumos; neperskaitytų praneÅ¡imų pateikimo datos, temos ir dalis praneÅ¡imo teksto; turimų paskolų paskirtys, pobÅ«džiai, sumos; pensijų fondų pavadinimai, sukaupti vienetai, jų vertė, sukauptos sumos; paskutinio prisijungimo datos; turimų indėlių pobÅ«dis (terminuotas, taupomasis ir pan.), valiutos sumos bei datos, iÅ¡duotų mokėjimo kortelių numeriai ir jose esančios sumos. Seniausiai saugomas tyrimo metu nustatytas MEV buvo saugomas nuo 2017 m. gruodžio 5 d. Inspekcija konstatavo, jog pareiÅ¡kėja tvarko (prieina, renka) daugiau asmens duomenų nei pati nurodo esant bÅ«tina mokėtojo inicijuotam mokėjimui įvykdyti bei Å¡iuos duomenis saugo ilgiau nei pati yra nustačiusi bei nurodo esant reikalinga (216 dienų vietoje nustatytų 10 minučių). PareiÅ¡kėja nepateikė įrodymų, kurie patvirtintų teiginius, kad MEV asmens duomenų rinkimas (tiek pareiÅ¡kėjos nurodyta apimti, tiek Inspekcijos nustatyta apimtimi) yra bÅ«tinas mokėjimo paslaugos įvykdymui, nepagrindė taip pat, kodėl atliekant mokėjimo paslaugÄ nėra renkami tik tie asmens duomenys, be kurių nėra įmanomas mokėjimo atlikimas. Todėl Inspekcija konstatavo, jog pareiÅ¡kėja mokėtojo banko aplinkoje matomus asmens duomenis tvarko (prieina, renka, saugo) neskaidriai, didesne apimtimi ir ilgiau nei tai yra bÅ«tina duomenų tvarkymo tikslui pasiekti. Didesne apimti nei tai yra bÅ«tina duomenų tvarkymo tikslui pasiekti tvarkomi asmens duomenys tvarkomi neteisėtai, pažeidžiant BDAR 5 straipsnio 1 dalies a, c ir e punktus.

Dėl MEV asmens duomenų paviešinimo

2.2. Tyrimo metu nustatyta, kad ne mažiau kaip 2 dienas (2018 m. liepos 9–10 d.) Nuoroda buvo prieinamas tinklalapis su pareiÅ¡kėjos apdorotų mokėjimų sÄ raÅ¡u, kuriame buvo matomi įvairių bankų įstaigų klientų atlikti mokėjimai per pareiÅ¡kėjos MIP sistemÄ su tų klientų asmens duomenimis, taip pat daugiau nei 9 000 MEV su 12 skirtingų bankų, esančių skirtingose valstybėse, klientų mokėjimo sesijų detalių puslapiais. Pastarieji duomenys galėjo bÅ«ti matomi prie nurodyto adresu pridėjus kokios nors mokėjimo operacijos identifikatoriaus numerį, matomÄ mokėjimo sÄ raÅ¡o stulpelyje „(duomenys neskelbtini)“.

Atidarius nuorodÄ buvo patenkama į sesijos detalių puslapį, kuriame buvo pateikiami MEV įvairiomis prisijungimo sesijos stadijomis (pvz., „(duomenys neskelbtini)“, „(duomenys neskelbtini)“, „(duomenys neskelbtini)“ ir pan.). Po kiekvienu iÅ¡ vaizdų buvo nuoroda „(duomenys neskelbtini)“, kuri įgalino parsisiųsti pilnÄ MEV vaizduojamo puslapio kodÄ HTML formatu, t. y. buvo prieinamas MEV sÄ raÅ¡as su nuorodomis į vaizduojamo HTML kodÄ ((duomenys neskelbtini)), MEV padarymo data ir sesijos stadija.

Tyrimo metu nustatyta, kad pareiÅ¡kėja 2018 m. liepos 9–10 d. neužtikrino prieigos kontrolės prie minėto adreso ir per jį galimų gauti asmens duomenų, t. y. jungiantis prie minėto adreso, nebuvo reikalauja autorizuotis – nurodyti vartotojo vardÄ ir slaptažodį. Prie nurodyto tinklalapio ir MEV asmens duomenų prieigÄ turėjo visų bankų, kuriuose naudojantis pareiÅ¡kėjos MIP buvo atliekami mokėjimai, darbuotojai (įskaitant atvejus, jei bÅ«tų jungiamasi naudojantis VPN prie tokio darbuotojo darbo vietos), kas reiÅ¡kia, kad, pavyzdžiui, vieno banko darbuotojas galėjo matyti kitų bankų klientų asmens duomenis, kurie jam įprastomis aplinkybėmis negalėtų bÅ«ti prieinami.

Įvertinusi tai, kad:

1) pareiškėja neužtikrino prieigos kontrolės prie MEV asmens duomenų, t. y. neužtikrino šių duomenų apsaugos nuo neteisėtos prieigos ir tvarkymo;

2) pareiÅ¡kėjos saugos užtikrinimÄ ir valdymÄ bei visos Bendrovės IT infrastruktÅ«ros (techninės ir programinės) valdymÄ , diegimÄ ir priežiÅ«rÄ vykdė vienas darbuotojas, Inspekcija darė iÅ¡vadÄ , kad pareiÅ¡kėja neužtikrino, kad asmens duomenys bÅ«tų tvarkomi tokiu bÅ«du, kad taikant atitinkamas technines ar organizacines priemones bÅ«tų užtikrintas pavojų atitinkančio lygio saugumas, įskaitant apsaugÄ nuo neteisėto tvarkymo, atskleidimo, ir tuo pažeidė BDAR 5 straipsnio 1 dalies f punktÄ ir 32 straipsnio 1 dalies b punktÄ . Sprendime pažymima, jog veiksmai, kurių pareiÅ¡kėja ėmėsi nustatytiems pažeidimams paÅ¡alinti, darbuotojų mokymams bei BDAR reikalavimų įgyvendinimo užtikrinimui, t. y. veiksmų, kurių pareiÅ¡kėja ėmėsi po 2018 m. liepos 9–10 d. įvykusio asmens duomenų saugumo pažeidimo, nepaneigia to, kad pažeidimai buvo ir nepadaro Inspekcijos iÅ¡vadų dėl nustatytų pažeidimų neteisingų.

Dėl praneÅ¡imo apie asmens duomenų saugumo pažeidimÄ

2.3. MEV duomenys buvo prieinami 2018 m. liepos 9–10 d. PareiÅ¡kėja Inspekcijai ir (duomenys neskelbtini) pati nurodė, kad apie šį saugumo pažeidimÄ jai tapo žinoma 2018 m. liepos 9 d., tačiau Inspekcijai pareiÅ¡kėja apie aptariamÄ saugumo pažeidimÄ nepranešė. Dar daugiau, Inspekcijai 2018 m. liepos 31 d. kreipusis į pareiÅ¡kėjÄ , Å¡i 2018 m. rugpjūčio 20 d. raÅ¡tu nepateikė Inspekcijai visos informacijos apie aptariamÄ pažeidimÄ , dėl ko Inspekcijai į Bendrovę teko kreiptis pakartotinai 2018 m. rugpjūčio 21 d. raÅ¡tu.

Å is atvejis, pareiÅ¡kėjos teigimu, atitinka asmens duomenų saugumo pažeidimo, kaip jis yra apibrėžtas BDAR 4 straipsnio 12 dalyje, požymius. BDAR 5 straipsnio 2 dalyje numatytas esminis asmens duomenų tvarkymo principas – duomenų valdytojo atskaitomybės principas, reiÅ¡kiantis, kad duomenų valdytojas yra atsakingas už tai, kad bÅ«tų laikomasi BDAR 5 straipsnio 1 dalyje įtvirtintų asmens duomenų tvarkymo principų ir sugebėtų įrodyti, kad jų laikomasi. Pagal BDAR 24 straipsnio 1 dalį, atsižvelgdamas į duomenų tvarkymo pobÅ«dį, aprėptį, kontekstÄ bei tikslus, taip pat įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemones, kad užtikrintų ir galėtų įrodyti, kad duomenys tvarkomi laikantis Å¡io reglamento.

Tos priemonės prireikus peržiÅ«rimos ir atnaujinamos. Atsižvelgusi į byloje nustatytas aplinkybes, taip pat į minėtas BDAR nuostatas, Inspekcija darė iÅ¡vadÄ , kad pareiÅ¡kėja, nepraneÅ¡dama Inspekcijai apie 2018 m. liepos 9–10 d. įvykusį asmens duomenų saugumo pažeidimÄ , pažeidė BDAR 33 straipsnį. Dėl pareiÅ¡kėjos teiginių, jog dėl minėto incidento nekelia pavojaus duomenų subjektų teisėms ir laisvėms, taip pat kad dėl incidento nebuvo kreiptasi, Inspekcija nurodo, jog pareiÅ¡kėja nepateikė jokių įrodymų minėtiems teiginiams pagrįsti, be to, pati pareiÅ¡kėja pripažino, jog prieigÄ prie nuorodos turėjo bent jau itin siauras, specifines žinias turinčių asmenų ratas, taigi, prie duomenų buvo neautorizuota prieiga.

Tai, kad tuo metu nenustatytas aptariamų asmens duomenų netinkamas panaudojimas, nereiškia, jog toks panaudojimas neįvyks ateityje, todėl išlieka grėsmė, kad asmens duomenų saugumo pažeidimo metu nukentėję duomenų subjektai gali ir ateityje patirti neigiamas pasekmes. Pareiškėjos teiginius, kad minėto saugumo pažeidimo metu buvo matomi tik 58 asmenų elektroninio pašto adresai, paneigia tyrimo metu surinkti įrodymai, patvirtinantys, kad minėto saugumo pažeidimo metu neautorizuota prieiga buvo prie daugiau nei 9 000 MEV su 12 skirtingų bankų, esančių skirtingose valstybėse, klientų mokėjimo sesijų detalių puslapiais, t. y. banko paslaptį sudaranti informacija, kas paneigia pareiškėjos teiginius, jog saugumo pažeidimo metu prieiga buvo tik prie nejautrių duomenų ir saugumo pažeidimas nekėlė pavojaus duomenų subjektų teisėms ir laisvėms.

Dėl baudos

2.4. Sprendžiant dėl to, ar skirti administracinę baudÄ , ir sprendžiant jos baudos dydžio klausimÄ , kiekvienu konkrečiu atveju atsižvelgiama į BDAR 83 straipsnio 2 dalyje nustatytas aplinkybes. Pagal BDAR 83 straipsnio 1 dalį, kiekviena priežiÅ«ros institucija užtikrina, kad pagal šį straipsnį skiriamos administracinės baudos už 4, 5 ir 6 dalyse nurodytus BDAR pažeidimus kiekvienu konkrečiu atveju bÅ«tų veiksmingos, proporcingos ir atgrasančios. Inspekcija, nustatydama baudos dydį, atsižvelgė į: 1) tyrimo metu nustatytas aplinkybes, į tai, kad MEV asmens duomenys buvo neteisėtai tvarkyti tyčia; 2) Å¡ių asmens duomenų tvarkymo pareiÅ¡kėja neatsisako ir toliau juos tvarko, o Inspekcijai nebuvo praneÅ¡ta apie įvykusį asmens duomenų saugumo pažeidimÄ dėl aplaidumo,3) pareiÅ¡kėja nesiėmė veiksmų, kad sumažintų duomenų subjektų patirtÄ Å¾alÄ , 4) Sprendime nustatyti pažeidimai turi poveikį asmens duomenims, pagal kuriuos galima tiesiogiai nustatyti duomenų subjekto tapatybę, Å¡ie duomenys sudaro banko paslaptį ir tvarkomi neÅ¡ifruoti, o asmens duomenų saugumo pažeidimo metu buvo tvarkomi neužtikrinant prieigos kontrolės prie Å¡ių duomenų, 5) apie pažeidimÄ Inspekcija sužinojo iÅ¡ trečiųjų asmenų, o ne iÅ¡ pareiÅ¡kėjos; 6) baudos skyrimo bylos metu pareiÅ¡kėja informavo InspekcijÄ apie BDAR reikalavimų užtikrinimui skirtas lėšas bei numatytÄ biudžetÄ , skirtÄ tam, kad bÅ«tų nuolat užtikrinama ir prižiÅ«rima BDAR reikalavimų atitiktis bei pareiÅ¡kėjos darbuotojų mokymus asmens duomenų apsaugos bei saugumo klausimais. Sunkinančiomis aplinkybėmis Inspekcijos buvo laikytos aukščiau iÅ¡dėstytos aplinkybės, atitinkančios BDAR 83 straipsnio 2 dalies a, b, c, g ir h punktus.

II

1. Nagrinėjamoje administracinėje byloje ginčas kilo dėl Inspekcijos Sprendimo (žr. Å¡io teismo sprendimo motyvuojamosios dalies I skyriaus 2 punktÄ ) teisėtumo ir pagrįstumo. Skundžiamame sprendime pareiÅ¡kėjai už BDAR 5, 32 ir 33 straipsnių pažeidimus skirta 61 500 eurų bauda, kuri atitinka (duomenys neskelbtini) procento pareiÅ¡kėjos 2018 m. finansinių metų bendrosios metinės pasaulinės apyvartos

2. Skundžiamas Sprendimas yra susijęs su asmens duomenų apsaugos teisės nuostatų (konkrečiai – BDAR) taikymu. Ypač pabrėžtina, kad šiuo metu galiojantis Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas iš esmės remiasi BDAR nuostatomis. BDAR Lietuvoje veikia tiesiogiai, turi viršenybę prieš Lietuvos nacionalinius teisės aktus.

Asmens duomenų apsauga yra neatsiejama nuo privataus gyvenimo apsaugos. Informacija apie asmenį yra asmens duomenys, kurie yra vienas iÅ¡ asmens privataus gyvenimo elementų. Todėl asmens duomenų rinkimas ir tvarkymas daro įtakÄ privačiam asmens gyvenimui. Dėl Å¡ių priežasčių, siekiant užtikrinti asmens teisę į privatų gyvenimÄ , turi bÅ«ti užtikrinama ir asmens duomenų apsauga. Taip pat yra ir prieÅ¡ingas ryÅ¡ys – saugant asmens duomenis, kartu yra saugomas ir asmens gyvenimo privatumas.

Nors duomenų apsaugos teisė yra stipriai susijusi su privataus gyvenimo teise, Europos SÄ jungos teisinėje sistemoje Å¡ios dvi teisės buvo aiÅ¡kiai iÅ¡skirtos ir atskirai įtvirtintos Europos SÄ jungos pagrindinių teisių chartijoje (atitinkamai 8 ir 7 str.). Pagal Chartijos 8 straipsnį, „kiekvienas turi teisę į savo asmens duomenų apsaugÄ â€œ. Toks atskiras teisės į asmens duomenų apsaugÄ Ä¯tvirtinimas atskleidžia, jog Å¡i teisė yra ne tik teisės į privatų gyvenimÄ dalis, bet ir pati savaime turėtų bÅ«ti laikoma individualia ir viena iÅ¡ pagrindinių žmogaus teisių. Taigi, Å¡i asmens teisė, t. y. fizinių asmenų apsauga tvarkant asmens duomenis, yra pagrindinė asmens teisė (žr. BDAR preambulę).

Pamatinė asmens duomenų apsaugos teisės sÄ voka yra asmens duomenys. Tai duomenų valdytojų ir duomenų tvarkytojų įpareigojimų taikymo pagrindas. Pagal BDAR, jo 4 straipsnio 1 dalį, asmens duomenys – bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti (duomenų subjektas); fizinis asmuo, kurio tapatybę galima nustatyti, yra asmuo, kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti, visų pirma pagal identifikatorių, kaip antai vardÄ ir pavardę, asmens identifikavimo numerį, buvimo vietos duomenis ir interneto identifikatorių arba pagal vienÄ ar kelis to fizinio asmens fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultÅ«rinės ar socialinės tapatybės požymius. Pažymėtina, kad saugomi tik fizinių (bet ne juridinių) asmenų duomenys. Tokį reguliavimÄ paaiÅ¡kina teisės į duomenų apsaugÄ kilmė. Å i teisė yra kilusi iÅ¡ teisės į privatų gyvenimÄ . Privatus gyvenimas yra susijęs bÅ«tent su žmonėmis, fiziniais asmenimis, todėl ir duomenų apsauga yra skirta fiziniams asmenims.

3. Nagrinėjamoje administracinėje byloje svarbu akcentuoti, kad Sprendime konstatuota, jog pareiÅ¡kėja pažeidė BDAR 5, 32 ir 33 straipsnių nuostatas, t. y. duomenis tvarkė neatsakingai, nes tvarkė perteklinius duomenis, nesaugiai, apie nesaugų tvarkymÄ nepranešė atsakovei.

BDAR 5 straipsnyje „Su asmens duomenų tvarkymu susiję principai“ nustatyta:

„1.   Asmens duomenys turi būti:

a)

duomenų subjekto atžvilgiu tvarkomi teisėtu, sÄ Å¾iningu ir skaidriu bÅ«du (teisėtumo, sÄ Å¾iningumo ir skaidrumo principas);

b)

renkami nustatytais, aiškiai apibrėžtais bei teisėtais tikslais ir toliau netvarkomi su tais tikslais nesuderinamu būdu; tolesnis duomenų tvarkymas archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais pagal 89 straipsnio 1 dalį nėra laikomas nesuderinamu su pirminiais tikslais (tikslo apribojimo principas);

c)

adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas);

d)

tikslūs ir prireikus atnaujinami; turi būti imamasi visų pagrįstų priemonių užtikrinti, kad asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, būtų nedelsiant ištrinami arba ištaisomi (tikslumo principas);

e)

laikomi tokia forma, kad duomenų subjektų tapatybę būtų galima nustatyti ne ilgiau, nei tai yra būtina tais tikslais, kuriais asmens duomenys yra tvarkomi; asmens duomenis galima saugoti ilgesnius laikotarpius, jeigu asmens duomenys bus tvarkomi tik archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais pagal 89 straipsnio 1 dalį, įgyvendinus atitinkamas technines ir organizacines priemones, kurių reikalaujama šiuo reglamentu siekiant apsaugoti duomenų subjekto teises ir laisves (saugojimo trukmės apribojimo principas);

f)

tvarkomi tokiu bÅ«du, kad taikant atitinkamas technines ar organizacines priemones bÅ«tų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugÄ nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo (vientisumo ir konfidencialumo principas).

2. Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas).“

BDAR 32 straipsnyje „Duomenų tvarkymo saugumas“ nustatyta:

„1.   Atsižvelgdamas į techninių galimybių iÅ¡sivystymo lygį, įgyvendinimo sÄ naudas bei duomenų tvarkymo pobÅ«dį, aprėptį, kontekstÄ ir tikslus, taip pat duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas ir duomenų tvarkytojas įgyvendina tinkamas technines ir organizacines priemones, kad bÅ«tų užtikrintas pavojų atitinkančio lygio saugumas, įskaitant, inter alia, jei reikia:

a)

pseudonimų suteikimÄ asmens duomenims ir jų Å¡ifravimÄ ;

b)

gebėjimÄ užtikrinti nuolatinį duomenų tvarkymo sistemų ir paslaugų konfidencialumÄ , vientisumÄ , prieinamumÄ ir atsparumÄ ;

c)

gebėjimÄ laiku atkurti sÄ lygas ir galimybes naudotis asmens duomenimis fizinio ar techninio incidento atveju;

d)

reguliarų techninių ir organizacinių priemonių, kuriomis užtikrinamas duomenų tvarkymo saugumas, tikrinimo, vertinimo ir veiksmingumo vertinimo procesÄ .

2.   Nustatant tinkamo lygio saugumÄ visų pirma atsižvelgiama į pavojus, kurie kyla dėl duomenų tvarkymo, visų pirma dėl netyčinio arba neteisėto persiųstų, saugomų ar kitaip tvarkomų duomenų sunaikinimo, praradimo, pakeitimo, atskleidimo be leidimo ar neteisėtos prieigos prie jų.

3.   Tuo, kad laikomasi patvirtinto elgesio kodekso, kaip nurodyta 40 straipsnyje, arba patvirtinto sertifikavimo mechanizmo, kaip nurodyta 42 straipsnyje, gali būti remiamasi kaip vienu iš elementų, kuriuo siekiama įrodyti, kad laikomasi šio straipsnio 1 dalyje nustatytų reikalavimų.

4.   Duomenų valdytojas ir duomenų tvarkytojas imasi priemonių, siekdami užtikrinti, kad bet kuris duomenų valdytojui arba duomenų tvarkytojui pavaldus fizinis asmuo, galintis susipažinti su asmens duomenimis, jų netvarkytų, iÅ¡skyrus atvejus, kai duomenų valdytojas duoda nurodymus juos tvarkyti, nebent tas asmuo privalo tai daryti pagal SÄ jungos arba valstybės narės teisę.“

BDAR 33 straipsnyje „PraneÅ¡imas priežiÅ«ros institucijai apie asmens duomenų saugumo pažeidimÄ â€œ nustatyta:

„1.   Asmens duomenų saugumo pažeidimo atveju duomenų valdytojas nepagrįstai nedelsdamas ir, jei įmanoma, praėjus ne daugiau kaip per 72 valandoms nuo tada, kai jis sužino apie asmens duomenų saugumo pažeidimÄ , apie tai praneÅ¡a priežiÅ«ros institucijai, kuri yra kompetentinga pagal 55 straipsnį, nebent asmens duomenų saugumo pažeidimas neturėtų kelti pavojaus fizinių asmenų teisėms ir laisvėms. Jeigu priežiÅ«ros institucijai apie asmens duomenų saugumo pažeidimÄ nepraneÅ¡ama per 72 valandas, prie praneÅ¡imo pridedamos vėlavimo priežastys.

2.   Duomenų tvarkytojas, sužinojęs apie asmens duomenų saugumo pažeidimÄ , nepagrįstai nedelsdamas apie tai praneÅ¡a duomenų valdytojui.

3.   1 dalyje nurodytame pranešime turi būti bent:

a)

aprašytas asmens duomenų saugumo pažeidimo pobūdis, įskaitant, jeigu įmanoma, atitinkamų duomenų subjektų kategorijas ir apytikslį skaičių, taip pat atitinkamų asmens duomenų įrašų kategorijas ir apytikslį skaičių;

b)

nurodyta duomenų apsaugos pareigūno arba kito kontaktinio asmens, galinčio suteikti daugiau informacijos, vardas bei pavardė (pavadinimas) ir kontaktiniai duomenys;

c)

aprašytos tikėtinos asmens duomenų saugumo pažeidimo pasekmės;

d)

aprašytos priemonės, kurių ėmėsi arba pasiūlė imtis duomenų valdytojas, kad būtų pašalintas asmens duomenų saugumo pažeidimas, įskaitant, kai tinkama, priemones galimoms neigiamoms jo pasekmėms sumažinti.

4.   Kai ir jeigu informacijos neįmanoma pateikti tuo pačiu metu, informacija toliau nepagrįstai nedelsiant gali būti teikiama etapais.

5.   Duomenų valdytojas dokumentuoja visus asmens duomenų saugumo pažeidimus, įskaitant su asmens duomenų saugumo pažeidimu susijusius faktus, jo poveikį ir taisomuosius veiksmus, kurių buvo imtasi. Remdamasi tais dokumentais, priežiūros institucija turi galėti patikrinti, ar laikomasi šio straipsnio.“

PareiÅ¡kėja ginčija padarytus pažeidimus, teigia, kad atsakovė atliko tyrimÄ neiÅ¡samiai, nevertino pareiÅ¡kėjos įrenginių, neatliko apžiÅ«ros vietoje, be to, neiÅ¡samiai įvertino pareiÅ¡kėjos pateiktus paaiÅ¡kinimus, nevertino Lietuvos banko atlikto tyrimo rezultatų. Teismas pasisakys dėl pareiÅ¡kėjos pateiktų argumentų.

4. Dėl atsakovės atlikto tyrimo principų bendrai

PareiÅ¡kėja nurodo, kad atsakovė atliko tyrimÄ neiÅ¡samiai, nevertino pareiÅ¡kėjos įrenginių, neatliko apžiÅ«ros vietoje, be to, neiÅ¡samiai įvertino pareiÅ¡kėjos pateiktus paaiÅ¡kinimus, nevertino Lietuvos banko atlikto tyrimo rezultatų. PareiÅ¡kėjos atstovas advokatas, remdamasis teismine praktika ir pripažintų teisės mokslininkų teiginiais, teismo posėdyje itin daug dėmesio kreipė į tai, kad, esÄ , atsakovė turėjo įrodyti pažeidimÄ , nes jis yra administracinio pobÅ«džio (taigi, net turintis baudžiamojo nusižengimo bruožų), todėl įrodinėjimo naÅ¡ta, esÄ , gula ant atsakovės. Teismas nesutinka su tokia pozicija.

BDAR perkelia įrodinėjimo naÅ¡tÄ (lot. onus probandi) duomenų valdytojui. Duomenų valdytojas, norėdamas tvarkyti asmens duomenis, privalo įrodyti, kad duomenys tvarkomi dėl įtikinamų teisėtų priežasčių, kurios yra virÅ¡esnės už duomenų subjekto interesus, teises ir laisves, arba siekiant pareikÅ¡ti, vykdyti ar apginti teisinius reikalavimus (Reglamento 21 straipsnio 1 dalis). Taigi, atsakovė, gavusi duomenų iÅ¡ trečiųjų asmenų, t. y. iÅ¡ (duomenys neskelbtini) 2018 m. liepos 18 d. raÅ¡tu Nr. 5R118-16789 (pareiÅ¡kėja nepagrįstai nurodo tik šį subjektÄ ), (duomenys neskelbtini) (žr.

Å¡io subjekto 2018 m. liepos 27 d. raÅ¡tÄ Nr. 01.08-878), kitų), kad galimai netinkamai tvarkomi asmens duomenys, pradėjo tyrimÄ dėl galimo pažeidimo. Atkreiptinas dėmesys, kad pareiÅ¡kėja, kaip nurodoma skundžiamame Sprendime, nuo 2016 m. rugsėjo 20 d. registruota Asmens duomenų valdytojų valstybės registre, kaip duomenų valdytojas, vykdantis asmens duomenų tvarkymÄ mokėjimų inicijavimo tikslu bei nurodyta, kad Å¡iuo tikslu pareiÅ¡kėja tvarko Å¡iuos asmenų, besinaudojančių MIP, asmens duomenis – vardÄ , pavardę, elektroninio paÅ¡to adresÄ , mokėjimo datÄ ir sumÄ , mokėjimo paskirtį, sÄ skaitos numerio kelis paskutinius skaičius.

Taigi, gavusi trečiųjų asmenų, (duomenys neskelbtini), (duomenys neskelbtini) ir kitų, duomenis, kad netinkamai yra tvarkomi asmens duomenys, turėdama duomenų, jog pareiÅ¡kėja yra asmens duomenų valdytoja, atsakovė turėjo teisę pradėti tyrimÄ , o visa įrodinėjimo naÅ¡ta gulė ant pareiÅ¡kėjos. Teismas atkreipia dėmesį, kad atsakovė apklausė pareiÅ¡kėjÄ , kuri teikė iÅ¡samius paaiÅ¡kinimus (be kita ko, 2018 m. gruodžio 11 d. paaiÅ¡kinimus (Inspekcijoje gauta – 2018 m. gruodžio 12 d., Registracijos Nr. 1R-9250(2.14)) (žr.

Å¡io teismo sprendimo motyvuojamosios dalies I skyriaus 1.4 punktÄ ). PaaiÅ¡kinimuose, be kita ko, Bendrovė nurodė, kad tvarkymo veiksmai apima tik prieigÄ prie mokėtojo el. bankininkystės darbalaukyje atvaizduotų duomenų, kitokių tvarkymo veiksmų Bendrovė neatlieka. Bendrovės prieiga prie mokėtojo el. bankininkystės darbalaukyje atvaizduotų duomenų mokėjimo sesijos metu yra neatsiejama mokėjimo iniciavimo proceso dalis, be kurios nebÅ«tų įmanoma suteikti MIP. PaaiÅ¡kinimuose pareiÅ¡kėja atkreipia dėmesį, jog ji neneigia, kad 2018 m. liepos 10 d. jai tapo žinoma apie galimÄ incidentÄ vidaus analizės įrankyje (MIP monitoringo sistemoje), esančiame (duomenys neskelbtini) sistemoje.

Bendrovė nedelsdama incidentÄ užregistravo ir nustatė, kad MIP monitoringo sistemoje buvo prarastos saugumo pakopos, t. y. laikinai buvo prarastas apribojimas pagal IP adresÄ per (duomenys neskelbtini) serverių ugniasienę bei apribojimas pagal IP adresÄ pačios aplikacijos lygmenyje ir laikinai nebuvo taikomas prieigos apribojimas, reikalaujant vartotojo vardo ir slaptažodžio. Dėl Å¡ios priežasties incidento metu asmenys, turintys specialių IT žinių ir ėmęsi specialių analizės priemonių, galėjo aptikti nuorodÄ bei pasiekti minimus Bendrovės mokėjimų žurnalus, esančius po minėta nuoroda.

IÅ¡tyrusi incidentÄ , Bendrovė operatyviai (2018 m. liepos 10–11 dienomis) atstatė saugumo pakopas, atliko jų testÄ ir įsitikino tinkamu veikimu. PaaiÅ¡kinimuose pažymi, jog incidento metu galimai buvo atskleisti tik 58 duomenų subjektų asmens duomenys, kurie nėra jautrÅ«s asmens duomenys (t. y. korporatyviniai el. paÅ¡to adresai), nurodyti duomenys nebuvo atskleisti plačiam asmenų, neturinčių teisės prieiti prie Å¡ių duomenų, ratui, o tik specialius analizės įrankius turintiems subjektams, t. y. bankams, todėl, Bendrovės vertinimu, asmens duomenų saugumo pažeidimas nesukėlė jokio pavojaus duomenų subjektų teisėms ir laisvėms.

Taigi, net pati pareiÅ¡kėja pripažino, kad ji tvarkė duomenis, kad tam tikrÄ kiekį duomenų atskleidė.

Atkreiptinas dėmesys ir į tai, kad tyrimo metu gautame 2018 m. spalio 23 d. (duomenys neskelbtini) raÅ¡te Nr. SR118-24966 (žr. Å¡io teismo sprendimo motyvuojamosios dalies I skyriaus 1.3 punktÄ ) nurodyta, jog: 1) (duomenys neskelbtini) įdiegė sukčiavimo nustatymo ir prevencijos sistemas, kurios ir aptiko neįprastus (nestandartinius) kreipinius iÅ¡ iÅ¡orinės sistemos, todėl bankas pradėjo vidinį tyrimÄ ; 2) tyrimo metu buvo surinkta daugiau informacijos nei pateikta Inspekcijai, t. y. buvo iÅ¡saugota 9 189 (duomenys neskelbtini) ir septyniolikos kitų bankų klientų mokėjimo sesijų detalių puslapių su MEV. Ne visi puslapiai, kurie buvo aplankyti vidinio tyrimo metu, buvo iÅ¡saugoti, ne visuose sesijų detalių puslapiuose buvo matomi klientų duomenys; 3) tyrimo metu nebuvo nustatyta, kad naudojantis MEV ar kita prieinama informacija bÅ«tų galima tiesiogiai prisijungti prie (duomenys neskelbtini) klientų internetinės bankininkystės. Galimybė pasinaudoti kitų finansinių institucijų internetine bankininkyste vertinama nebuvo. Tačiau surinkta informacija rodo, kad pareiÅ¡kėja turėjo galimybę naudodama taip vadinamÄ screen scraping metodÄ prieiti prie daugiau duomenų, nei jiems buvo bÅ«tina jų teikiamai paslaugai suteikti.

Teismas akcentuoja, kad atsakovės surinkta medžiaga įrodo, kad pareiÅ¡kėja netinkamai tvarkė asmens duomenis, tai pati pareiÅ¡kėja iÅ¡ dalies ir pripažino, tačiau taip pat turėjo įrodyti, kad surinkta informacija, be kita ko, iÅ¡ (duomenys neskelbtini), neatitinka tikrovės. PareiÅ¡kėjos teiginiai, kad atsakovė atliko tyrimÄ neiÅ¡samiai, nevertino pareiÅ¡kėjos įrenginių, neatliko apžiÅ«ros vietoje, be to, neiÅ¡samiai įvertino pareiÅ¡kėjos pateiktus paaiÅ¡kinimus, nevertino Lietuvos banko atlikto tyrimo rezultatų, neturi teisinės reikÅ¡mės, nes pareiÅ¡kėja pati turėjo pasirinkti tokį įrodinėjimo bÅ«dÄ , pagal kurį bÅ«tų objektyviai, o ne prielaidomis paneigtos trečiųjų suinteresuotų asmenų (be kita ko, (duomenys neskelbtini)) iÅ¡keltos ir atsakovės tirtos aplinkybės apie nurodomus pažeidimus. Atkreiptinas dėmesys, kad Lietuvos bankas apskritai neatlieka asmens duomenų apsaugos kontrolės, jo funkcijos yra visiÅ¡kai kitos. PareiÅ¡kėjos teismui pateikta IT sistemos MIP analizės ataskaita, kuriÄ atliko UAB (duomenys), negali bÅ«ti laikoma patikima, neaiÅ¡ki jÄ atlikusių asmenų kvalifikacija, be to, nesavalaikė, nes visus įrodymus pareiÅ¡kėja privalėjo teikti atsakovei tyrimo metu iki priimant administracinį aktÄ .

PareiÅ¡kėjos teigimu, Inspekcija vilkino atlikti tyrimo procesÄ , neiÅ¡samiai ir nevisapusiÅ¡kai, tendencingai tyrė gautÄ informacijÄ bei nesuteikė pareiÅ¡kėjai galimybės susipažinti su visa tyrimo medžiaga. ADTAÄ® 20 straipsnio 4 dalis nustato, kad kai atliekant tyrimus ir (ar) patikrinimus Inspekcijos iniciatyva, vadovaujamasi BDAR 60 straipsniu, netaikomas Å¡io įstatymo 21 straipsnis. Apie tai, kad atliekant aptariamÄ tyrimÄ yra vadovaujamasi BDAR 60 straipsniu, pareiÅ¡kėja ne kartÄ buvo informuota. Be to, Inspekcijos atlikto tyrimo terminai neturi įtakos pareiÅ¡kėjos padarytų pažeidimų kvalifikavimui ir nepanaikina pareiÅ¡kėjos atsakomybės už padarytus pažeidimus.

PareiÅ¡kėja nurodo, kad jai buvo pateikta ne visa tyrimo medžiaga. Pažymėtina, kad atsakovė nurodė, jog pareiÅ¡kėjai buvo pateikta visa tyrimo medžiaga, kurios pakako priimti skundžiamÄ SprendimÄ .

5. Dėl pažeidimų, nurodomų Sprendime

5.1. Dėl asmens duomenų tvarkymo MEV

Tyrimo metu nustatyta, kad pareiÅ¡kėjos MIP sistema, mokėjimo operacijų atlikimo metu daro mokėjimo sesijos MEV, kurie daromi naudotojo ekrano duomenų perėmimo bÅ«du (angl. screen scrapping), o elektroninės bankininkystės naudotojas apie tai neinformuojamas. PareiÅ¡kėjos padarytuose MEV yra fiksuojami (priklausomai nuo mokėtojo naudojamo banko) Å¡ie asmens duomenys: mokėtojo vardas, pavardė, turimų banko (įskaitant mokėjimo kortelių) sÄ skaitų numeriai, jų valiuta, likučiai, rezervuotos sumos; paskutinių atliktų operacijų informacija (data, mokėtojo arba gavėjo pavadinimas, mokėjimo paskirtis, suma); neperžiÅ«rėtų elektroninių sÄ skaitų pateikimo datos, siuntėjų pavadinimai bei sumos; neperskaitytų praneÅ¡imų pateikimo datos, temos ir dalis praneÅ¡imo teksto; turimų paskolų paskirtys, pobÅ«džiai, sumos; pensijų fondų pavadinimai, sukaupti vienetai, jų vertė, sukauptos sumos; paskutinio prisijungimo datos; turimų indėlių pobÅ«dis (terminuotas, taupomasis ir pan.), valiutos sumos bei datos, iÅ¡duotų mokėjimo kortelių numeriai ir jose esančios sumos.

Seniausiai saugomas tyrimo metu nustatytas MEV buvo saugomas nuo 2017 m. gruodžio 5 d. Inspekcija konstatavo, jog pareiÅ¡kėja tvarko (prieina, renka) daugiau asmens duomenų nei pati nurodo esant bÅ«tina mokėtojo inicijuotam mokėjimui įvykdyti (minėta, kad nuo 2016 m. rugsėjo 20 d. registruota Asmens duomenų valdytojų valstybės registre, kaip duomenų valdytojas, vykdantis asmens duomenų tvarkymÄ mokėjimų inicijavimo tikslu bei nurodyta, kad Å¡iuo tikslu pareiÅ¡kėja tvarko Å¡iuos asmenų, besinaudojančių MIP, asmens duomenis – vardÄ , pavardę, elektroninio paÅ¡to adresÄ , mokėjimo datÄ ir sumÄ , mokėjimo paskirtį, sÄ skaitos numerio kelis paskutinius skaičius) bei Å¡iuos duomenis saugo ilgiau nei pati yra nustačiusi bei nurodo esant reikalinga (216 dienų vietoje nustatytų 10 minučių).

PareiÅ¡kėja nepateikė įrodymų, kurie patvirtintų teiginius, kad MEV asmens duomenų rinkimas (tiek pareiÅ¡kėjos nurodyta apimti, tiek Inspekcijos nustatyta apimtimi) yra bÅ«tinas mokėjimo paslaugos įvykdymui, nepagrindė taip pat, kodėl atliekant mokėjimo paslaugÄ nėra renkami tik tie asmens duomenys, be kurių nėra įmanomas mokėjimo atlikimas. Todėl Inspekcija konstatavo, jog pareiÅ¡kėja mokėtojo banko aplinkoje matomus asmens duomenis tvarko (prieina, renka, saugo) neskaidriai, didesne apimtimi ir ilgiau nei tai yra bÅ«tina duomenų tvarkymo tikslui pasiekti.

Didesne apimti nei tai yra bÅ«tina duomenų tvarkymo tikslui pasiekti tvarkomi asmens duomenys tvarkomi neteisėtai, pažeidžiant BDAR 5 straipsnio 1 dalies a, c ir e punktus. Teismas pabrėžia, kad pareiÅ¡kėjos teiginiai, jog MEV fiksuojami duomenys nėra pareiÅ¡kėjos tvarkomi, nėra pagrįsti patikimais įrodymais. Teismas atkreipia dėmesį, kad buvo pavieÅ¡inti net ne mokėtojų duomenys, o kitų fizinių asmenų duomenys, taigi, tai irgi įrodo, kad tvarkoma (be kita ko, fiksuojant) buvo ne tik tie duomenys, kurių tvarkymÄ pareiÅ¡kėja deklaravo (Pagal Asmens duomenų valdytojų valstybės registrÄ pareiÅ¡kėja tvarko Å¡iuos asmenų, besinaudojančių MIP, asmens duomenis – vardÄ , pavardę, elektroninio paÅ¡to adresÄ , mokėjimo datÄ ir sumÄ , mokėjimo paskirtį, sÄ skaitos numerio kelis paskutinius skaičius).

Taigi, teismas sutinka, kad pareiškėja tvarkė daugiau duomenų negu deklaravo, todėl šis pažeidimas buvo nustatytas pagrįstai.

5.2. Dėl MEV asmens duomenų paviešinimo

Tyrimo metu nustatyta, kad ne mažiau kaip 2 dienas (2018 m. liepos 9–10 d.) Nuoroda buvo prieinamas tinklalapis su pareiÅ¡kėjos apdorotų mokėjimų sÄ raÅ¡u, kuriame buvo matomi įvairių bankų įstaigų klientų atlikti mokėjimai per pareiÅ¡kėjos MIP sistemÄ su tų klientų asmens duomenimis, taip pat daugiau nei 9 000 MEV su 12 skirtingų bankų, esančių skirtingose valstybėse, klientų mokėjimo sesijų detalių puslapiais. Pastarieji duomenys galėjo bÅ«ti matomi prie nurodyto adresu pridėjus kokios nors mokėjimo operacijos identifikatoriaus numerį, matomÄ mokėjimo sÄ raÅ¡o stulpelyje „(duomenys neskelbtini)“.

Atidarius nuorodÄ buvo patenkama į sesijos detalių puslapį, kuriame buvo pateikiami MEV įvairiomis prisijungimo sesijos stadijomis (pvz., „(duomenys neskelbtini)“, „(duomenys neskelbtini)“, „(duomenys neskelbtini)“ ir pan.). Po kiekvienu iÅ¡ vaizdų buvo nuoroda „(duomenys neskelbtini)“, kuri įgalino parsisiųsti pilnÄ MEV vaizduojamo puslapio kodÄ HTML formatu, t. y. buvo prieinamas MEV sÄ raÅ¡as su nuorodomis į vaizduojamo HTML kodÄ ((duomenys neskelbtini)), MEV padarymo data ir sesijos stadija.

Tyrimo metu nustatyta, kad pareiÅ¡kėja 2018 m. liepos 9–10 d. neužtikrino prieigos kontrolės prie minėto adreso ir per jį galimų gauti asmens duomenų, t. y. jungiantis prie minėto adreso, nebuvo reikalauja autorizuotis – nurodyti vartotojo vardÄ ir slaptažodį. Prie nurodyto tinklalapio ir MEV asmens duomenų prieigÄ turėjo visų bankų, kuriuose naudojantis pareiÅ¡kėjos MIP buvo atliekami mokėjimai, darbuotojai (įskaitant atvejus, jei bÅ«tų jungiamasi naudojantis VPN prie tokio darbuotojo darbo vietos), kas reiÅ¡kia, kad, pavyzdžiui, vieno banko darbuotojas galėjo matyti kitų bankų klientų asmens duomenis, kurie jam įprastomis aplinkybėmis negalėtų bÅ«ti prieinami.

Įvertinusi tai, kad:

1) pareiškėja neužtikrino prieigos kontrolės prie MEV asmens duomenų, t. y. neužtikrino šių duomenų apsaugos nuo neteisėtos prieigos ir tvarkymo;

2) pareiÅ¡kėjos saugos užtikrinimÄ ir valdymÄ bei visos Bendrovės IT infrastruktÅ«ros (techninės ir programinės) valdymÄ , diegimÄ ir priežiÅ«rÄ vykdė vienas darbuotojas, Inspekcija darė iÅ¡vadÄ , kad pareiÅ¡kėja neužtikrino, kad asmens duomenys bÅ«tų tvarkomi tokiu bÅ«du, kad taikant atitinkamas technines ar organizacines priemones bÅ«tų užtikrintas pavojų atitinkančio lygio saugumas, įskaitant apsaugÄ nuo neteisėto tvarkymo, atskleidimo, ir tuo pažeidė BDAR 5 straipsnio 1 dalies f punktÄ ir 32 straipsnio 1 dalies b punktÄ . Sprendime pažymima, jog veiksmai, kurių pareiÅ¡kėja ėmėsi nustatytiems pažeidimams paÅ¡alinti, darbuotojų mokymams bei BDAR reikalavimų įgyvendinimo užtikrinimui, t. y. veiksmų, kurių pareiÅ¡kėja ėmėsi po 2018 m. liepos 9–10 d. įvykusio asmens duomenų saugumo pažeidimo, nepaneigia to, kad pažeidimai buvo ir nepadaro Inspekcijos iÅ¡vadų dėl nustatytų pažeidimų neteisingų.

Å is pažeidimas yra susijęs su pirmuoju, pagal kurį pareiÅ¡kėja tvarkė platesnį duomenų kiekį negu deklaravo. Nustatyta, kad pareiÅ¡kėja atskleidė net tuos duomenis, kurių neturėjo tvarkyti. Teismas atkreipia dėmesį, kad apie duomenų vieÅ¡inimÄ pranešė ne tik (duomenys neskelbtini), bet ir (duomenys neskelbtini) (taip pat Latvijos asmens duomenų apsaugos institucija), taigi, pareiÅ¡kėjos netinkamas duomenų tvarkymas buvo pastebėtas ir užfiksuotas.

5.3. Dėl praneÅ¡imo apie asmens duomenų saugumo pažeidimÄ

MEV duomenys buvo prieinami 2018 m. liepos 9–10 d. PareiÅ¡kėja Inspekcijai ir (duomenys neskelbtini) pati nurodė, kad apie šį saugumo pažeidimÄ jai tapo žinoma 2018 m. liepos 9 d., tačiau Inspekcijai pareiÅ¡kėja apie aptariamÄ saugumo pažeidimÄ nepranešė. Dar daugiau, Inspekcijai 2018 m. liepos 31 d. kreipusis į pareiÅ¡kėjÄ , Å¡i 2018 m. rugpjūčio 20 d. raÅ¡tu nepateikė Inspekcijai visos informacijos apie aptariamÄ pažeidimÄ , dėl ko Inspekcijai į Bendrovę teko kreiptis pakartotinai 2018 m. rugpjūčio 21 d. raÅ¡tu.

Å is atvejis, pareiÅ¡kėjos teigimu, atitinka asmens duomenų saugumo pažeidimo, kaip jis yra apibrėžtas BDAR 4 straipsnio 12 dalyje, požymius. BDAR 5 straipsnio 2 dalyje numatytas esminis asmens duomenų tvarkymo principas – duomenų valdytojo atskaitomybės principas, reiÅ¡kiantis, kad duomenų valdytojas yra atsakingas už tai, kad bÅ«tų laikomasi BDAR 5 straipsnio 1 dalyje įtvirtintų asmens duomenų tvarkymo principų ir sugebėtų įrodyti, kad jų laikomasi. Pagal BDAR 24 straipsnio 1 dalį, atsižvelgdamas į duomenų tvarkymo pobÅ«dį, aprėptį, kontekstÄ bei tikslus, taip pat įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemones, kad užtikrintų ir galėtų įrodyti, kad duomenys tvarkomi laikantis Å¡io reglamento.

Tos priemonės prireikus peržiÅ«rimos ir atnaujinamos. Atsižvelgusi į byloje nustatytas aplinkybes, taip pat į minėtas BDAR nuostatas, Inspekcija darė iÅ¡vadÄ , kad pareiÅ¡kėja, nepraneÅ¡dama Inspekcijai apie 2018 m. liepos 9–10 d. įvykusį asmens duomenų saugumo pažeidimÄ , pažeidė BDAR 33 straipsnį. Dėl pareiÅ¡kėjos teiginių, jog dėl minėto incidento nekelia pavojaus duomenų subjektų teisėms ir laisvėms, taip pat kad dėl incidento nebuvo kreiptasi, Inspekcija nurodo, jog pareiÅ¡kėja nepateikė jokių įrodymų minėtiems teiginiams pagrįsti, be to, pati pareiÅ¡kėja pripažino, jog prieigÄ prie nuorodos turėjo bent jau itin siauras, specifines žinias turinčių asmenų ratas, taigi, prie duomenų buvo neautorizuota prieiga.

Tai, kad tuo metu nenustatytas aptariamų asmens duomenų netinkamas panaudojimas, nereiškia, jog toks panaudojimas neįvyks ateityje, todėl išlieka grėsmė, kad asmens duomenų saugumo pažeidimo metu nukentėję duomenų subjektai gali ir ateityje patirti neigiamas pasekmes. Pareiškėjos teiginius, kad minėto saugumo pažeidimo metu buvo matomi tik 58 asmenų elektroninio pašto adresai, paneigia tyrimo metu surinkti įrodymai, patvirtinantys, kad minėto saugumo pažeidimo metu neautorizuota prieiga buvo prie daugiau nei 9 000 MEV su 12 skirtingų bankų, esančių skirtingose valstybėse, klientų mokėjimo sesijų detalių puslapiais, t. y. banko paslaptį sudaranti informacija, kas paneigia pareiškėjos teiginius, jog saugumo pažeidimo metu prieiga buvo tik prie nejautrių duomenų ir saugumo pažeidimas nekėlė pavojaus duomenų subjektų teisėms ir laisvėms.

6. Teismas daro iÅ¡vadÄ , kad atsakovė tinkamai nustatė ir kvalifikavo pareiÅ¡kėjos padarytus pažeidimus, pareiÅ¡kėja jų nepaneigė, todėl darytina iÅ¡vada, kad Valstybinės duomenų apsaugos inspekcijos 2019 m. gegužės 14 d. sprendimas Nr. 3R-397(2.14) „Dėl administracinės baudos skyrimo UAB „MisterTango““ Å¡iuo aspektu yra teisėtas ir pagrįstas.

7. Dėl baudos

Pareiškėja skunde nurodo, kad paskirta neproporcinga pažeidimui bauda.

Teismas pabrėžia, kad sprendžiant baudos dydžio klausimÄ , kiekvienu konkrečiu atveju atsižvelgiama į BDAR 83 straipsnio 2 dalyje nustatytas aplinkybes. Pagal BDAR 83 straipsnio 1 dalį, kiekviena priežiÅ«ros institucija užtikrina, kad pagal šį straipsnį skiriamos administracinės baudos už 4, 5 ir 6 dalyse nurodytus BDAR pažeidimus kiekvienu konkrečiu atveju bÅ«tų veiksmingos, proporcingos ir atgrasančios. Taigi, pagal BDAR baudos turi bÅ«ti ne tik proporcingos, bet atgrasančios ir Å¡ia prasme veiksmingos. Ä®vertinus skundžiamÄ sprendimÄ , darytina iÅ¡vada, jog Inspekcija, nustatydama baudos dydį, atsižvelgė į:

1) tyrimo metu nustatytas aplinkybes, į tai, kad MEV asmens duomenys buvo neteisėtai tvarkyti tyčia;

2) Å¡ių asmens duomenų tvarkymo pareiÅ¡kėja neatsisakė ir toliau juos tvarkė sprendimo priėmimo metu, o Inspekcijai nebuvo praneÅ¡ta apie įvykusį asmens duomenų saugumo pažeidimÄ dėl aplaidumo, 3) pareiÅ¡kėja nesiėmė veiksmų, kad sumažintų duomenų subjektų patirtÄ Å¾alÄ , 4) Sprendime nustatyti pažeidimai turi poveikį asmens duomenims, pagal kuriuos galima tiesiogiai nustatyti duomenų subjekto tapatybę, Å¡ie duomenys sudaro banko paslaptį ir tvarkomi neÅ¡ifruoti, o asmens duomenų saugumo pažeidimo metu buvo tvarkomi neužtikrinant prieigos kontrolės prie Å¡ių duomenų, 5) apie pažeidimÄ Inspekcija sužinojo iÅ¡ trečiųjų asmenų, o ne iÅ¡ pareiÅ¡kėjos;

6) baudos skyrimo bylos metu pareiÅ¡kėja informavo InspekcijÄ apie BDAR reikalavimų užtikrinimui skirtas lėšas bei numatytÄ biudžetÄ , skirtÄ tam, kad bÅ«tų nuolat užtikrinama ir prižiÅ«rima BDAR reikalavimų atitiktis bei pareiÅ¡kėjos darbuotojų mokymus asmens duomenų apsaugos bei saugumo klausimais. Sunkinančiomis aplinkybėmis Inspekcijos buvo laikytos aukščiau iÅ¡dėstytos aplinkybės, atitinkančios BDAR 83 straipsnio 2 dalies a, b, c, g ir h punktus. Kadangi pareiÅ¡kėja, be kita ko, pažeidė BDAR 5 straipsnyje nurodytus asmens duomenų tvarkymo principus, tai pagal BDAR 83 straipsnio 5 dalį jai galėjo bÅ«ti paskirta iki 4 proc. jos ankstesnių finansinių metų bendros metinės pasaulinės apyvartos dydžio bauda. Taigi, atsakovė, tinkamai pritaikiusi BDAR nuostatas, paskyrė proporcingÄ padarytiems pažeidimams, o tuo pačiu atgrasančiÄ ir Å¡ia prasme veiksmingÄ , baudÄ .

Teismas, vadovaudamasis Lietuvos Respublikos administracinių bylų teisenos įstatymo 84–87 straipsniais, 88 straipsnio 1 punktu, 132 straipsnio 1 dalimi, 133 straipsniu,

nusprendžia:

PareiÅ¡kėjos uždarosios akcinės bendrovės „MisterTango“ skundÄ atmesti kaip nepagrįstÄ .

Sprendimas per trisdeÅ¡imt kalendorinių dienų nuo jo paskelbimo apeliaciniu skundu gali bÅ«ti skundžiamas Lietuvos vyriausiajam administraciniam teismui, paduodant apeliacinį skundÄ per Vilniaus apygardos administracinį teismÄ .

Teisėjai Jovita Einikienė

Violeta Petkevičienė

Ernestas Spruogis