2022-11-09 Nr. AB-27304-3-61-3-00386-2021-5 · Lietuvos vyriausiasis administracinis teismas

Administracinė byla Nr. eA-294-525/2022

Teisminio proceso Nr. 3-61-3-00386-2021-5

Procesinio sprendimo kategorija 26

(S)

LIETUVOS VYRIAUSIASIS ADMINISTRACINIS TEISMAS

NUTARTIS

LIETUVOS RESPUBLIKOS VARDU

2022 m. lapkričio 9 d.

Vilnius

Lietuvos vyriausiojo administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Laimučio Alechnavičiaus (kolegijos pirmininkas ir pranešėjas), Rasos Ragulskytės-Markovienės ir Dalios Višinskienės,

teismo posėdyje apeliacine rašytinio proceso tvarka išnagrinėjo administracinę bylą pagal pareiškėjo Vilniaus miesto savivaldybės administracijos apeliacinį skundą dėl Vilniaus apygardos administracinio teismo 2021 m. balandžio 27 d. sprendimo administracinėje byloje pagal pareiškėjo Vilniaus miesto savivaldybės administracijos skundą atsakovui Valstybinei duomenų apsaugos inspekcijai dėl išankstinės konsultacijos panaikinimo.

Teisėjų kolegija

nustatė:

I. 1. Pareiškėjas Vilniaus miesto savivaldybės administracija (toliau – ir pareiškėjas, Administracija) kreipėsi į teismą su skundu, prašydamas panaikinti atsakovo Valstybinės duomenų apsaugos inspekcijos (toliau – ir Inspekcija, atsakovas) 2021 m. sausio 7 d. išankstinę konsultaciją Nr. 3R-11(2.13-1) (toliau – ir Išankstinė konsultacija).

2. Pareiškėjas paaiškino, kad jam suteikta Išankstinė konsultacija, po kurios uždrausta naudoti asmenų biometrinius duomenis asmens tapatybės nustatymui, taip sukeliant teisines pasekmes – pareiškėjas, siekdamas suteikti Vilniaus gyventojams patogumą bei skatindamas inovatyvumą valstybės įstaigose, negali įdiegti asmens tapatybės nustatymo paslaugos. Išankstinėje konsultacijoje konstatuota, kad biometrinių duomenų tvarkymas siekiant identifikuoti asmenį negali būti pripažintas būtinu ir proporcingu, nes neatitinka 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (toliau – ir BDAR) 5 straipsnio 1 dalies a punkte nustatyto asmens duomenų teisėtumo principo ir c punkte įtvirtinto duomenų kiekio mažinimo principo.

3. Pareiškėjas pažymėjo, kad Inspekcija Išankstinę konsultaciją pateikė praleidusi teisės aktuose nustatytą terminą. Administracija 2020 m. rugpjūčio 5 d. kreipėsi į Inspekciją su prašymu pateikti išankstinę konsultaciją dėl planuojamo biometrinių duomenų tvarkymo atitikties, 2020 m. rugsėjo 7 d. Administracija gavo Inspekcijos raštą, kuriuo buvo informuota, jog išankstinės konsultacijos pateikimo terminas pratęsiamas 6 savaitėms, t. y. iki 2020 m. lapkričio 11 d. Inspekcija, nepaisydama nustatyto termino ir nepranešusi apie termino pratęsimą bei nepateikusi vėlavimo priežasčių, Išankstinę konsultaciją Administracijai pateikė tik 2021 m. sausio 7 d. Inspekcija neįvertino klausimo svarbos ir planuojamos įdiegti paslaugos naudos.

4. Pareiškėjas nurodė, kad prasidėjus pandemijai Vilniaus miesto gyventojams tapo sudėtingiau prisijungti prie paslaugų elektroniniu būdu, tad Administracija ėmė plėtoti informacines galimybes, siekdama didinti paslaugų prieinamumą bei plėsti prisijungimo galimybes. Vienas iš būdų buvo įdiegti asmens tapatybės nustatymo naudojant biometrinius duomenis paslaugą. Paslauga veiktų naudojant biometrinius duomenis, gaunamus po specialaus duomenų apdorojimo, susijusius su fizinio asmens fizinėmis, fiziologinėmis arba elgesio savybėmis, pagal kurias galima nustatyti arba patvirtinti fizinio asmens tapatybę. Paslauga svarbi nenaudojantiems arba neturintiems elektroninės bankininkystės ar kitų elektroninių priemonių, kurias galėtų naudoti tapatybei identifikuoti arba elektroninėms paslaugoms užsakyti. Paslauga būtų pasirenkama laisva valia, asmuo galėtų pasirinkti ir kitus identifikavimo būdus. Pareiškėjas pabrėžė, kad teisės aktai nedraudžia ieškoti alternatyvių būdų teikti paslaugas, atvirumo permainoms principas netgi įpareigoja tai daryti.

5. Pareiškėjas teigė, kad asmens išreiškiamas sutikimas neturės padarinių paslaugų gavimui ir teikimui. Jeigu asmuo nesutiks patvirtinti tapatybės naudodamas biometrinius duomenis, tą padaryti galės kitais būdais, pavyzdžiui, atvykti į Vilniaus miesto savivaldybę, identifikuotis per banką ar atsiųsti notaro patvirtintą kopiją. Asmuo, nesutikdamas su biometrinių duomenų pateikimu, nepatirs neigiamų pasekmių ir galės įgyvendinti savo teises kitais būdais, be to, bus tik informuojamas apie tokią alternatyvią galimybę. Tarp asmenų, siekiančių prisijungti prie elektroninės svetainės, ir pačios Administracijos nėra pavaldumo santykių, tad sutikimas gauti paslaugą yra savanoriškas.

6. Pareiškėjas pažymėjo nesuprantąs, kokio pobūdžio pagalbą Inspekcija nurodo Išankstinėje konsultacijoje. Pagalba naudojantis prietaisu prisijungti prie elektroninės svetainės nesudaro pagrindo teigti, kad duomenų subjektas tampa priklausomas nuo Administracijos. Asmenų sutikimai bus savanoriški, duomenų subjektai galės pasirinkti, o nesutikimo atveju nėra neigiamų padarinių grėsmės, sutikimai bus duoti žinomai ir konkrečiai, todėl nėra pagrindo konstatuoti, kad duomenų subjektai būtų verčiami pateikti savo duomenis ar juos su Administracija sieja pavaldumas.

7. Pareiškėjas pabrėžė, kad Administracijos konsultanto funkcija traktuojama tik kaip pagalba padėti asmenims suprasti naudojimosi principus, tačiau asmuo gali atlikti veiksmus ir be jo. Asmuo, pateikęs prašymą padėti naudotis sistema, gauna Administracijos konsultanto pagalbą, todėl nėra pagrindo sutikti su Inspekcijos pozicija, jog sutikimas nėra tinkamas teisinis pagrindas Administracijai atliekant asmens duomenų tvarkymą, vykdant jai, kaip valdžios institucijai, pavestas funkcijas, ar kad šiuo atveju tarp Administracijos ir kliento yra aiškus padėties disbalansas.

8. Pareiškėjas atkreipė dėmesį, kad pati Inspekcija siūlo naudoti asmens identifikavimą, naudojant biometrinius duomenis, pateikia sistemos įdiegimo rekomendacines gaires, tad Administracijai nesuprantama, kaip biometrinių duomenų tvarkymas negali turėti teisinio pagrindo. Asmens tapatybės nustatymo paslauga veiks naudojant asmenų biometrinius duomenis, gaunamus po specialaus duomenų – veido atvaizdo – apdorojimo, pagal kurį bus galima nustatyti ar patvirtinti fizinio asmens tapatybę. Be to, naudojant biometrinius duomenis, būtų palengvinama prieiga prie Administracijos teikiamų elektroninių paslaugų. Tai ypač būtų svarbu asmenims, kurie negali fiziškai atvykti į Vilniaus miesto savivaldybę. Administracija, siekdama tvarkyti asmenų duomenis, siekia viešojo intereso, kuris yra teisėtas – užtikrinti gyventojų sklandesnį prieinamumą prie paslaugas teikiančios elektroninės svetainės. Pareiškėjas aiškiai ir konkrečiai apibrėžė tikslą, kurį nori pasiekti rinkdamas ir tvarkydamas duomenis – sudaryti galimybę asmeniui identifikuoti save ir prisijungti prie Administracijos elektroninių paslaugų portalo, naudojant biometrinius duomenis – ir nėra pagrindo vertinti, jog šis tikslas yra neteisėtas, t. y. asmens, kurio duomenys bus tvarkomi, interesai yra tapatūs siekiamam tikslui suteikti kuo kokybiškesnes ir patogesnes sąlygas asmenims su jų sutikimu naudotis https://paslaugos.vilnius.lt svetaine.

9. Pareiškėjo nuomone, Inspekcija peržengė savo kompetencijos ribas, nes paslaugos prieinamumo vertinimas į jos kompetenciją nepatenka. Be to, Inspekcija Administracijai uždrausti tvarkyti biometrinius duomenis galėtų tik jei jos išankstinės konsultacijos nebūtų paisoma arba paisoma netinkamai ir būtų vykdomas neteisėtas arba ydingas duomenų tvarkymas. Pagal BDAR Inspekcija turi įgaliojimą duomenų valdytojui patarti, kaip sumažinti asmens duomenų saugumui galinčias kilti rizikas, papildomas priemones, kuriomis numatoma sumažinti pavojų fizinių asmenų teisėms ir laisvėms, tačiau ne uždrausti asmens tapatybės nustatymo tikslu naudoti asmenų biometrinius duomenis. Administracija, siekdama gauti konsultaciją, dar nebuvo pateikusi galutinio gaminio (prieigos prie Administracijos teikiamų elektroninių paslaugų) rezultato, buvo siekiama tik gauti konsultaciją dėl tolimesnių veiksmų. Tačiau Inspekcija iš karto priėmė sprendimą, sukeliantį Administracijai teisines pasekmes.

10. Pareiškėjas, kaip biometrinių duomenų valdytojas, prisiima visą duomenų valdytojui tenkančią atsakomybę už tinkamą duomenų tvarkymą nepažeidžiant teisės aktų, reglamentuojančių asmens duomenų apsaugą. Pareiškėjas, sudarydamas asmens tapatybės nustatymo paslaugos sutartį, įsipareigotų teikti paslaugas nepažeisdamas BDAR. Visi biometriniai duomenys laikomi didelės rizikos informacija, todėl jų tvarkymas būtų atliekamas laikantis reikalingo standarto. Duomenims apsaugoti bus naudojamos techninės ir organizacinės priemonės.

11. Pareiškėjas akcentavo, kad Lietuvoje veikiantys juridiniai asmenys, nepažeisdami BDAR, biometrinių duomenų suteikimo paslaugą integravo į vidinę sistemą, kuria asmenys gali naudotis biometrinių duomenų pagalba, o Išankstine konsultacija Administracijai tą padaryti buvo uždrausta. Nagrinėjamu atveju asmenų duomenų rinkimas nebūtų naujas asmens duomenų rinkimas, tai būtų inovatyvus indentifikavimo būdas asmenims prisijungti.

12. Atsakovas Inspekcija atsiliepime į skundą prašė jį atmesti.

13. Inspekcija nurodė, kad viešojoje teisėje vadovaujamasi principu „draudžiama viskas, kas nėra tiesiogiai leidžiama“, todėl, nesant aiškiai įtvirtinto asmens duomenų tvarkymo, pareiškėjas veiktų neteisėtai. Kai duomenų valdytojas yra valstybės institucija, esti ryškus galios disbalansas, nes duomenų subjektas gali laikyti valstybės instituciją viršesne ir jaustis verčiamas duoti sutikimą, be to, būtų sunku įrodyti, kad sutikimas duotas laisva valia. Nors Administracija ir paliktų kitus prisijungimo būdus, vien dėl duomenų valdytojo teisinio statuso sutikimo laisvanoriškumu galima abejoti. Numatomas asmens duomenų tvarkymas orientuotas į pažeidžiamus asmenis (ligonius, neįgaliuosius), kuriems prisijungti prie sistemos padės pareiškėjo darbuotojai. Duomenų subjektai pateiktų itin jautrius duomenis – veido atvaizdą, kurie, įvykus asmens duomenų saugumo pažeidimui, gali tapti prieinami tretiesiems asmenims.

14. Inspekcija pabrėžė, kad gali vertinti tik aplinkybes, nurodytas prašymo suteikti išankstinę konsultaciją metu. Į Inspekciją kreiptasi būtent išankstinės konsultacijos taip, kaip ji suprantama pagal BDAR 36 straipsnį. Administracija, prieš kreipdamasi į Inspekciją, privalėjo poveikio duomenų apsaugai vertinime būti įvertinusi visą numatomą asmens duomenų tvarkymą, todėl nepagrįstai teismui teigė, jog norėjo pasiteirauti. Be to, jeigu taip ir būtų, tai tik patvirtina Inspekcijos sprendimo teisingumą, kadangi priešingu atveju būtų leista atlikti tokį duomenų tvarkymą, kuris nebuvo visiškai atskleistas Inspekcijai ir dėl kurio nebuvo atliktas tinkamas poveikio duomenų apsaugai vertinimas. Tokie Administracijos teiginiai rodo nerūpestingumą asmens duomenų tvarkymo atžvilgiu. Valstybės institucijos, kurioms asmenys dažniausiai privalo teikti asmens duomenis vykdant teisinę prievolę, neturint pasirinkimo teikti juos ar ne, privalo itin didelį dėmesį skirti asmens duomenų apsaugai. Išankstinės konsultacijos tikslas yra įvertinti pateiktus duomenis ir nuspręsti, ar toks būdas neprieštarauja BDAR nuostatoms. Be to, teisės aktuose yra įtvirtinta, jog Inspekcija, išnagrinėjusi duomenų valdytojo prašymą ir prie jo pateiktą informaciją, gali priimti sprendimą ir uždrausti numatomą asmens duomenų tvarkymą, šiuo įgaliojimu ir buvo pasinaudota.

15. Inspekcija akcentavo, kad pareiškėjo teiginys, jog tai nebūtų naujas duomenų rinkimas, yra klaidingas. Jeigu asmuo nėra prisiregistravęs sistemoje, būtų renkami jo biometriniai duomenys bei kita asmeninė informacija, reikalinga prašymams nagrinėti. Jei asmuo yra registravęsis sistemoje, būtų renkami jo biometriniai duomenys, kurie iki registravimosi nebuvo renkami. Todėl abiem atvejais būtų renkami nauji duomenys, kurių dalis yra itin jautrūs. Inspekcija pažymėjo, kad negalima suabsoliutinti visų atvejų, kiekviena situacija vertintina individualiai, nustatant, ar tam tikras duomenų tvarkymas atitinka BDAR nuostatas. Vien faktas, kad tokios sistemos yra naudojamos kitur, nereiškia, kad jose atliekamas biometrinis asmens duomenų tvarkymas yra tinkamas.

16. Inspekcija paaiškino, kad, gavusi pareiškėjo prašymą suteikti Išankstinę konsultaciją ir atsižvelgusi į jos pobūdį, reikalaujantį kompleksinio įvertinimo, konsultacijos priėmimo terminą pratęsė 6 savaitėms. Nors Išankstinė konsultacija buvo suteikta 2021 m. sausio 7 d., t. y. praleidus nustatytą terminą, teisės aktai nenumato pakartotinio termino pratęsimo ar informavimo apie Išankstinės konsultacijos suteikimo vėlavimo priežastis. Tai, kad Išankstinė konsultacija suteikta vėliau, nedaro jos neteisėta ir neturi įtakos pareiškėjo norimų atlikti veiksmų vertinimui.

II. 17. Vilniaus apygardos administracinis teismas 2021 m. balandžio 27 d. sprendimu pareiškėjo Administracijos skundą atmetė.

18. Teismas, atsižvelgęs į bylos medžiagą, nustatė šias faktines aplinkybes:

18.1. Pareiškėjas 2020 m. rugpjūčio 5 d. Inspekcijai pateikė prašymą dėl išankstinės konsultacijos suteikimo. Pareiškėjas siekė sudaryti galimybę asmeniui identifikuoti save ir prisijungti prie Administracijos elektroninių paslaugų portalo, naudojant biometrinius duomenis.

18.2. Inspekcija 2020 m. rugsėjo 7 d. raštu Nr. 2R-(2.27.E) nurodė, kad atsižvelgiant į konsultacijos pobūdį, reikalaujantį kompleksinio (tiek teisinio, tiek techninio) įvertinimo, išankstinės konsultacijos pateikimo terminas buvo pratęstas šešioms savaitėms, t. y. iki 2020 m. lapkričio 12 d.

18.3. Inspekcija 2021 m. sausio 7 d. pateikė Išankstinę konsultaciją, kuria uždraudė pareiškėjui asmens tapatybės nustatymo tikslu naudoti duomenų subjektų biometrinius duomenis.

19. Teismas nurodė, kad teisė į asmens duomenų apsaugą Europos Sąjungos lygmeniu užtikrinama pirminėje teisėje, o konkretūs šios teisės užtikrinimo aspektai detalizuojami antrinės teisės aktuose. Teismas apžvelgė Sutarties dėl Europos Sąjungos veikimo (toliau – ir SESV) nuostatas (16 str.), Europos Sąjungos sutarties (toliau – ir ESS) nuostatas (39 str.), Europos Sąjungos pagrindinių teisių chartijos (toliau – ir Chartija) nuostatas (8 str.), Žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos nuostatas (8 str.), BDAR nuostatas (2 str., 4 str. 1 p., 5 str. 1 d. a ir c p., 2 d., 6 str. 1 d. f p., 36 str. 1–2 d., Preambulės 45 p.), Lietuvos Respublikos Vyriausybės 2007 m. rugpjūčio 22 d. nutarimu Nr. 875 patvirtintų Prašymų ir skundų nagrinėjimo ir asmenų aptarnavimo viešojo administravimo subjektuose taisyklių 19 punktą.

20. Teismas nurodė, kad iš Administracijos 2020 m. rugpjūčio 5 d. prašymo dėl išankstinės konsultacijos suteikimo matyti, jog Administracija siekia įdiegti naują asmenų atpažinimo sistemą, kurioje būtų naudojami itin jautrūs duomenys, t. y. veido atvaizdas. Teismas pabrėžė, kad nei vienas teisės aktas tiek nacionaliniu, tiek tarptautiniu mastu neįtvirtinta galimybės viešojo administravimo subjektams teikiant administracines paslaugas naudoti asmenų biometrinius duomenis. Byloje nėra įrodymų, patvirtinančių, jog tokių duomenų naudojimas teikiant administracines paslaugas yra būtinas ir proporcingas siekiamam tikslui.

21. Įvertinęs BDAR 5 straipsnio 1 dalies c punkte įtvirtintą duomenų kiekio mažinimo principą, teismas padarė išvadą, kad toks duomenų rinkimas ir tvarkymas būtų perteklinis ir neatitiktų asmens duomenų teisėtumo principo, įtvirtinto BDAR 5 straipsnio 1 dalies a punkte.

22. Vadovaudamasis Valstybinės duomenų apsaugos inspekcijos direktoriaus 2018 m. rugpjūčio 29 d. įsakymu Nr. 1T-84(1.12.E) patvirtintų taisyklių „Dėl Išankstinių konsultacijų teikimo taisyklių patvirtinimo“ 15.2. punktu, teismas pažymėjo, kad Inspekcija išankstinės konsultacijos metu gali apriboti tam tikrą duomenų tvarkymą.

23. Teismas pabrėžė, kad pareiškėjo argumentai, jog Inspekcija viršijo jai suteiktus įgaliojimus, yra nepagrįsti.

24. Teismas, įvertinęs Administracijos 2020 m. rugpjūčio 5 d. prašymą, konstatavo, kad toks biometrinių duomenų tvarkymas prieštarautų BDAR nuostatoms. Tai, kad kiti Lietuvoje veikiantys juridiniai asmenys gali naudotis biometrinių duomenų pagalba, nesudaro pagrindo spręsti, jog nagrinėjamu atveju Inspekcija, priimdama Sprendimą, pažeidė lygiateisiškumo principą.

25. Teismas padarė išvadą, kad Išankstinė konsultacija pagrįsta faktinėmis aplinkybėmis ir teisės aktų nuostatomis, atitinka Lietuvos Respublikos viešojo administravimo įstatymo (toliau – ir VAĮ) 10 straipsnio 5 dalyje nustatytus reikalavimus, Inspekcija pagal kompetenciją priėmė pagrįstą ir teisėtą Išankstinę konsultaciją pagal galiojantį teisinį reglamentavimą.

26. Vertindamas pareiškėjo argumentą, kad Išankstinė konsultacija priimta praleidus nustatytą terminą, teismas konstatavo, kad nėra ginčo dėl to, jog Išankstinė konsultacija pareiškėjui pateikta praleidus Taisyklėse nustatytus terminus, tačiau teismas, įvertinęs nustatytas faktines aplinkybes, padarė išvadą, kad šis pažeidimas nelaikytinas esminiu procedūriniu pažeidimu, turėjusiu esminės įtakos jos teisėtumui ir pagrįstumui. Teismas pažymėjo, kad Inspekcija ėmėsi visų aktyvių veiksmų, siekdama ištirti pareiškėjo prašymą ir priimti motyvuotą, pagrįstą Išankstinę konsultaciją.

27. Atsižvelgęs į tai, kad naikinti Išankstinės konsultacijos nėra pagrindo, teismas pareiškėjo skundą atmetė.

III. 28. Pareiškėjas Administracija apeliaciniame skunde prašo panaikinti Vilniaus apygardos administracinio teismo 2021 m. balandžio 27 d. sprendimą ir priimti naują sprendimą – pareiškėjo skundą tenkinti.

29. Pareiškėjas apeliacinį skundą grindžia šiais pagrindiniais argumentais:

29.1. Pirmosios instancijos teismas nenurodė pakankamų argumentų, sudarančių pagrindą atmesti pareiškėjo skundą – neįsigilinta į ginčo esmę, prisijungimo prie el. sistemos naudojant biometrinius duomenis technines specifikacijas, inovatyvumą, teisinį reglamentavimą, itin formaliai taikyti bei aiškinti teisės aktai, vertintos pareiškėjo, kaip viešojo administravimo subjekto, teisės įdiegti inovatyvius kylančių problemų sprendimo būdus, nepagrįstai neatsižvelgta į tai, kad kitos valstybinės institucijos taiko analogiškus prisijungimo metodus, nevertinti visi procesiniuose dokumentuose išdėstyti argumentai, į kai kuriuos teiginius neatsakyta arba atsakyta itin lakoniškai, pakartojant Inspekcijos išdėstytus teiginius.

29.2. Pareiškėjas nurodo, kad formaliai taikytas reglamentavimas, t. y. jei nacionaliniuose teisės aktuose nėra tiesiogiai reglamentuota teisė įdiegti inovatyvias programas, kuriomis būtų vertinami asmenų biometriniai duomenys, tuomet Administracija tokios teisės negali turėti. Kai viešasis juridinis asmuo siekia palengvinti prisijungimą Vilniaus gyventojams, užsieniečiams, įdiegdamas inovatyvią programą, naudojamą ne vienos valstybinės institucijos, tokia teisė neturėtų būti apribota; be to, nei teismas, nei Inspekcija nepasisakė, dėl kokios priežasties analogiškas programas naudoti gali valstybinės institucijos.

29.3. Pirmosios instancijos teismo sprendime nebuvo konstatuota, kokius teisės aktus pažeis Administracija, siekdama įdiegti prisijungimą naudojant biometrinius duomenis. Jei Administracija nepažeidžia jokių teisės aktų, BDAR leidžia nacionalinius teisės aktus, reglamentuojančius asmens duomenų apsaugą, interpretuoti ir taikyti taip, kad nebūtų pažeistos BDAR imperatyvios normos, neaišku, kodėl ši teisė Administracijai apribojama. Pirmosios instancijos teismo sprendime nebuvo išnagrinėta ginčo esmė, nes neaišku, ar pats programos įdiegimas pažeidžia BDAR reikalavimus, ar Administracija negali jos diegti, nes tiesiogiai teisės aktuose tokia jos teisė nėra reglamentuota.

29.4. Teismas nepagrįstai apriboja viešojo administravimo subjektų galimybę remtis visais BDAR 6 straipsnyje įtvirtintais pagrindais laisva valia, tačiau BDAR nėra įtvirtintos nuostatos, kad viešojo administravimo subjektai negali vykdyti BDAR visa apimtimi.

29.5. Inspekcija, priimdama Išankstinę konsultaciją ir teigdama, kad Administracija negali įdiegti programos, pagal kurią prisijungiant naudojami biometriniai duomenys, prieštarauja savo išaiškinimams (2017 m. rekomendacijai „Biometrinių duomenų tvarkymas elektroninėje erdvėje“).

29.6. VAĮ 3 straipsnio 7 punkte įtvirtintas naujovių ir atvirumo permainoms principas. Vilniaus gyventojams reikalinga Asmens tapatybės nustatymo paslauga, kuri veiks naudojant biometrinius duomenis, gaunamus po specialaus duomenų apdorojimo. Paslauga svarbi neturintiems ar nenaudojantiems el. bankininkystės ar kitų elektroninių priemonių, kurias galėtų naudoti tapatybės identifikavimui arba el. paslaugų užsakymui. Tai yra fakultatyvi paslauga, naudotina tik siekiant praplėsti asmenų, galinčių naudotis el. paslaugomis, ratą. Nors Taisyklių 19 punkte nenumatyta galimybė identifikuoti asmenis biometrinių duomenų pagalba, teisės aktai viešojo administravimo subjektui neuždraudžia ieškoti alternatyvių būdų teikti paslaugas, atvirumo permainoms principas netgi įpareigoja tai daryti.

29.7. Pažeidžiamas lygiateisiškumo principas – kiti Lietuvoje veikiantys juridiniai asmenys biometrinių duomenų suteikimo paslaugą integravo į vidinę sistemą, o pareiškėjui tą daryti uždrausta.

29.8. BDAR 6 straipsnio 1 dalyje įtvirtinti šeši lygiaverčiai teisėto tvarkymo pagrindai, o pirmosios instancijos teismas nepagrįstai vertino tik f punktą, kuriuo Administracija skunde nesirėmė. Valdžios institucijoms nedraudžiama remtis bet kuriuo iš teisėto tvarkymo pagrindų.

29.9. Inspekcijos vaidmuo yra teikti rekomendacijas, konsultacijas, dalyvauti teisėkūros procese, teikti pastabas – ji turėjo nurodyti planuojamos diegti programos trūkumus, bet ne uždrausti asmens tapatybės nustatymo tikslu naudoti asmenų biometrinius duomenis.

29.10. Inspekcija viršijo jai suteiktus įgaliojimus. Lietuvos Respublikos Vyriausybės 2001 m. rugsėjo 25 d. nutarimu Nr. 1156 patvirtintų Valstybinės duomenų apsaugos inspekcijos nuostatų II skyriuje reglamentuotos Inspekcijos teisės ir vykdomos funkcijos, į kurias nepatenka Inspekcijos teisė vertinti Administracijos teikiamų paslaugų prieinamumą. Inspekcija Administracijai uždrausti tvarkyti biometrinius duomenis galėtų tik jei išankstinės konsultacijos nebūtų paisoma arba paisoma netinkamai ir būtų vykdomas neteisėtas arba ydingas duomenų tvarkymas.

29.11. Inspekcija, vykdydama išankstines konsultacijas, turi ribotus įgaliojimus – pagal BDAR 36 straipsnyje nurodytą procedūrą gali duomenų valdytojui patarti, kaip sumažinti asmens duomenų saugumui galinčias kilti rizikas, papildomas priemones, kuriomis numatoma sumažinti pavojų fizinių asmenų teisėms ir laisvėms, tačiau ne uždrausti asmens tapatybės nustatymo tikslu naudoti asmenų biometrinius duomenis. Administracija, siekdama gauti konsultaciją, dar nebuvo pateikusi galutinio gaminio rezultato, siekta tik pasikonsultuoti dėl tolimesnių veiksmų ir įvairūs pakeitimai yra galimi. Inspekcija turi teisę (ne pareigą) pasinaudoti BDAR 58 straipsnio įgaliojimais.

29.12. Inspekcija, nepaisydama nustatyto termino, nepranešusi apie jo pratęsimą ar vėlavimą, nepateikusi vėlavimo priežasčių, Išankstinę konsultaciją Administracijai pateikė tik 2021 m. sausio 7 d. (terminą viršydama 2 mėn.).

29.13. Inovatyvios programos įdiegimas nepažeis nei teisės aktų, nei asmenų teisių. Asmens sutikimas neturės jokių padarinių paslaugų gavimui ir teikimui. Jeigu asmuo nesutiks patvirtinti tapatybės naudojant biometrinius duomenis, ją patvirtinti galės ir kitais būdais. Taikant biometrinių duomenų paslaugą, asmenų sutikimas duodamas savanoriškai ir bet kada gali būti atšauktas nepatiriant neigiamų pasekmių, sutikimas duodamas žinomai (pagrįstas informacija apie kilsiančias pasekmes) ir yra konkretus (duomenų tvarkymo aprėptis, padariniai aiškiai ir tiksliai nurodyti).

29.14. Vien pagalba naudotis prietaisu prisijungti prie el. svetainės nesudaro pagrindo teigti, kad duomenų subjektas tampa priklausomu nuo pareiškėjo. Asmenų sutikimai bus savanoriški, duomenų subjektai galės pasirinkti, o nesutikimo atveju nėra neigiamų padarinių grėsmės, sutikimai bus duoti žinomai (pagrįsti informacija) ir konkretūs (suprantamas, duomenų tvarkymo aprėptis ir padariniai aiškiai ir tiksliai nurodyti), tad nėra pagrindo konstatuoti, kad duomenų subjektai buvo priverčiami pateikti savo duomenis ar juos su Administracija sieja pavaldumas. Administracijos konsultanto funkcija tėra pagalba asmenims suprasti naudojimosi principus, tačiau asmuo gali atlikti visus veiksmus ir be konsultanto pagalbos.

29.15. Administracijoje pateikus žodinį prašymą padėti naudotis sistema, jei tai objektyviai įmanoma, kompetentingas Administracijos darbuotojas suteikia paslaugas. Nėra pagrindo sutikti su Inspekcija, jog sutikimas nėra tinkamas teisinis pagrindas Administracijai atliekant asmens duomenų tvarkymą vykdant jai, kaip valdžios institucijai, pavestas funkcijas ar kad šiuo atveju tarp Administracijos ir kliento (duomenų subjekto) yra aiškus padėties disbalansas.

29.16. Išankstinėje konsultacijoje nepagrįstai teigiama, kad biometrinių duomenų tvarkymas negali turėti teisinio pagrindo. Toks teiginys pažeidžia visapusiško ištyrimo principą, nes tokiu būdu Inspekcija įvertino visus tvarkymo pagrindus bei nepagrįstai konstatavo, kad jais irgi negalima pagrįsti biometrinių duomenų tvarkymo.

29.17. Administracija, siekdama tvarkyti asmenų duomenis, siekia viešojo intereso, kuris yra teisėtas – užtikrinti gyventojų sklandesnį prieinamumą prie paslaugas teikiančios el. svetainės, taip pat užtikrinti asmenų, kurie objektyviai neturi galimybės kitais būdais prisijungti prie sistemos. Pareiškėjas aiškiai ir konkrečiai apibrėžė tikslą, kurio siekia rinkdamas ir tvarkydamas duomenis – sudaryti galimybę asmeniui identifikuoti save ir prisijungti prie Administracijos elektroninių paslaugų portalo naudojant biometrinius duomenis – ir nėra pagrindo vertinti, jog šis tikslas neteisėtas, t. y. asmens, kurio duomenys bus tvarkomi, interesai sutampa su tikslu – suteikti kuo kokybiškesnes ir patogesnes sąlygas asmenims su jų sutikimu naudotis el. svetaine. Prisijungimas naudojant biometrinius duomenis yra papildomas, bet ne vienintelis būdas, asmuo gali rinktis.

29.18. Atsižvelgiant į paslaugos prisijungti prie el. sistemos naudojant biometrinius duomenis naudingumą, nėra pagrindo sutikti su Inspekcija, kad biometrinių duomenų tvarkymas šiuo atveju laikytinas neproporcingu ir nebūtinu numatomam tikslui.

29.19. Administracija, biometrinių duomenų valdytoja, prisiima atsakomybę, duomenų valdytojui tenkančią už jų tvarkymą nepažeidžiant teisės aktų nuostatų.

29.20. Pirmosios instancijos teismo sprendimas akivaizdžiai nepagrįstas ir nemotyvuotas – neįsigilinta į ginčo esmę, prisijungimo prie el. sistemos, naudojant biometrinius duomenis, technines specifikacijas, inovatyvumą, paprastumą, į esamą teisinį reglamentavimą, teismas itin formaliai taikė bei aiškino teisės aktus, itin formaliai vertinamos Administracijos, kaip viešojo administravimo subjekto, teisės įdiegti inovatyvius kylančių problemų sprendimo būdus, nepagrįstai nebuvo atsižvelgta į tai, kad kitos valstybinės institucijos taiko analogiškus prisijungimo metodus, neįvertintini visi procesiniuose dokumentuose išdėstyti argumentai, į kai kuriuos teiginius neatsakyta arba atsakyta lakoniškai, teismas iš esmės vadovavosi Inspekcijos nuomone. Sprendimu nepagrįstai diskriminuota Administracija, kaip viešojo administravimo subjektas, nes, remiantis pirmosios instancijos teismo išaiškinimu, jokių naujovių Administracija negali įvesti, jei tai tiesiogiai nėra reglamentuota nacionaliniuose teisės aktuose.

30. Atsakovas Inspekcija atsiliepime į apeliacinį skundą prašo jį atmesti.

31. Atsakovas atsiliepimą į apeliacinį skundą grindžia šiais pagrindiniais argumentais:

31.1. Atsakovas nurodo, kad pirmosios instancijos teismas išnagrinėjo ir įvertino esmines ginčo aplinkybes ir pritaikęs teisės aktų nuostatas bei atsižvelgęs Europos Sąjungos Teisingumo Teismo ir Lietuvos vyriausiojo administracinio teismo praktiką priėmė motyvuotą sprendimą.

31.2. Pareiškėjas klaidingai teigia, kad biometrinių duomenų rinkimas yra plačiai paplitusi praktika, be to, šios aplinkybės (kad biometrinius duomenis tvarko kitos institucijos) savaime nedaro Administracijos ketinamo atlikti asmens duomenų tvarkymo teisėtu. Išankstinė konsultacija teikta vertinant būtent Administracijos ketinamą atlikti biometrinių duomenų rinkimą ir jo atitikimą BDAR nuostatoms. Inspekcija neturėjo pagrindo vertinti kitų įstaigų atliekamo duomenų tvarkymo, nagrinėdama prašymą Išankstinę konsultaciją galėjo priimti tik Administracijos atžvilgiu.

31.3. Tvarkant biometrinius duomenis surenkama daugiau duomenų negu naudojant kitus asmens identifikavimo ar autentifikavimo būdus, tokia priemonė nėra tinkama visiems, atsižvelgiant į fizines charakteristikas, kurioms esant sistemos, skirtos biometriniams duomenims tvarkyti, jų neatpažįsta. Tai gali būti susiję su laikinomis būklėmis (asmens ligomis (paralyžius), sužalojimais) ir dėl to asmuo gali patirti socialinę atskirtį. Paminėtos priežastys vertinant numatomo tvarkymo būtinumą ir proporcingumą ypač svarbios, atsižvelgiant į tai, kad Administracija nurodo besirenkanti biometrinių duomenų tvarkymą siekdama palengvinti paslaugų tiekimą tokiems asmenims, kurie fiziškai negali atvykti į Administraciją bei nesinaudoja el. bankininkystės paslauga. Inspekcija nesutinka, kad numatomas tvarkymas yra paprastesnis ir draugiškesnis duomenų subjektams nei kiti šiuo metu egzistuojantys ir mažiau privatumą pažeidžiantys autentifikavimo ar identifikavimo būdai.

31.4. Pareiškėjas klaidingai nurodo, kad nebuvo konstatuota, kokius teisės aktus pažeistų jo veiksmai. Nei vienas teisės aktas neįtvirtina galimybės viešojo administravimo subjektams teikiant administracines paslaugas naudoti asmenų biometrinius duomenis. Nesant aiškiai įtvirtinto asmens duomenų tvarkymo, pareiškėjas veiktų neteisėtai, t. y. ultra vires (viršydamas įgaliojimus).

31.5. Asmens duomenų (taip pat ir biometrinių) tvarkymas turi atitikti BDAR reikalavimus. Inspekcija nėra rekomendavusi tvarkyti asmens duomenis pažeidžiant BDAR reikalavimus; nurodytoje 2017 m. rekomendacijoje pabrėžiama, kad Inspekcija valstybinėms, verslo ir kitoms organizacijoms, siekiančioms naudoti biometrinius duomenis duomenų subjektų autentifikavimui, siūlo kurti technologijas, kurios užtikrintų biometrinių asmens duomenų privatumą ir saugumą, pakeistų mažiau saugias, slaptažodžiais paremtas autentifikavimo technologijas.

31.6. Pirmosios instancijos teismas pažymėjo, kad nei vienas teisės aktas tiek nacionaliniu, tiek tarptautiniu mastu neįtvirtinta galimybės viešojo administravimo subjektams teikiant administracines paslaugas naudoti asmenų biometrinius duomenis, todėl Administracijos nurodytas argumentas, grįstas BDAR preambulės 10 punkto nuostatomis, yra nepagrįstas.

31.7. Pirmosios instancijos teismas argumentavo, kodėl Inspekcija, uždrausdama asmens tapatybės nustatymo tikslu naudoti asmenų biometrinius duomenis, neviršijo savo kompetencijos.

31.8. Pareiškėjo išvada, kad Išankstinės konsultacijos pateikimo ilgesnis terminas galimai lėmė Inspekcijos paviršutinišką įsigilinimą į prašymą pateikti išankstinę konsultaciją, nepagrįsta. Inspekcija siekė suteikti išsamią konsultaciją, išnagrinėti visus ketinamo atlikti duomenų tvarkymo aspektus, o ne pateiktą informaciją įvertinti paviršutiniškai, siekdama suspėti teisės aktų nustatytais terminais, todėl prašymo dėl išankstinės konsultacijos suteikimo nagrinėjimo terminas užtruko.

31.9. Biometriniai (ir visi kiti) asmens duomenys turi būti tvarkomi laikantis BDAR reikalavimų. Duomenų valdytojo atsakomybės už pažeidimą prisiėmimas nepanaikina paties pažeidimo fakto. Išankstinės konsultacijos į Inspekciją kreipiamasi tik atlikus poveikio duomenų apsaugai vertinimą ir nustačius, jog tvarkant duomenis kiltų didelis pavojus, jei duomenų valdytojas nesiimtų priemonių pavojui sumažinti, kas reiškia, jog pareiškėjas, kreipdamasis į Inspekciją, privalėjo poveikio duomenų apsaugai vertinime būti įvertinęs visą numatomą asmens duomenų tvarkymą, tačiau pareiškėjas teismui teigė, jog Inspekcijai nebuvo pateikęs „galutinio gaminio rezultato“. Tai rodo nerūpestingumą asmens duomenų tvarkymo atžvilgiu.

31.10. Pareiškėjui tvarkant biometrinius duomenis pagal duomenų subjektų sutikimus kyla pagrįstų grėsmių šių duomenų apsaugai, sutikimų laisvanoriškumui (ir teisėtumui), todėl pareiškėjo argumentas, kad išreiškiamas sutikimas neturės padarinių paslaugų gavimui ir teikimui, negali būti laikomas pagrįstu pagrindu tvarkyti biometrinius duomenis, siekiant suteikti viešąsias paslaugas.

31.11. Pareiškėjas neįrodė, kad pirmosios instancijos teismo sprendimas ir Išankstinė konsultacija yra nepagrįsti ar priimti pažeidžiant įstatymų nuostatas.

Teisėjų kolegija

k o n s t a t u o j a:

IV. 32. Byloje nagrinėjamas ginčas, kilęs dėl Valstybinės duomenų apsaugos inspekcijos 2021 m. sausio 7 d. Išankstinės konsultacijos, teiktos Vilniaus miesto savivaldybės tarybos administracijos prašymu. Nors Administracija, siekdama didinti savo teikiamų paslaugų prieinamumą bei plėsti prisijungimo prie teikiamų elektroninių paslaugų galimybes, planavo įdiegti asmens tapatybės nustatymo paslaugą (naudojant asmenų biometrinius duomenis, gaunamus po veido atvaizdo apdorojimo, nustatyti arba patvirtinti fizinio asmens tapatybę), Inspekcija Išankstinėje konsultacijoje nusprendė uždrausti Administracijai asmens tapatybės nustatymo tikslu naudoti duomenų subjektų biometrinius duomenis. Inspekcija, be kita ko, nurodė, kad toks tvarkymas negali būti pripažintas būtinu ir proporcingu bei atitinkančiu BDAR 5 straipsnio 1 dalies c punkte įtvirtintą duomenų kiekio mažinimo principą; taip pat neatitinka BDAR 5 straipsnio 1 dalies a punkte įtvirtinto asmens duomenų teisėtumo principo. Inspekcija pažymėjo, kad duomenų subjekto sutikimas šiuo atveju nebūtų tinkamas asmens duomenų tvarkymo pagrindas. Pirmosios instancijos teismas sutiko su Inspekcijos išvadomis ir pareiškėjo skundą atmetė.

33. Teisė į asmens duomenų apsaugą Europos Sąjungos lygmeniu užtikrinama pirminėje teisėje, o konkretūs šios teisės užtikrinimo aspektai detalizuojami antrinės teisės aktuose. SESV 16 straipsnis, ESS 39 straipsnis ir Chartijos 8 straipsnis reglamentuoja asmens duomenų apsaugą. Konvencijos 8 straipsnyje įtvirtintos teisės į pagarbą privačiam gyvenimui aspektas yra informacijos apie asmens privatų gyvenimą apsauga, tokios informacijos, kaip biometrinių duomenų, rinkimo, saugojimo ir perdavimo klausimai patenka į Konvencijos 8 straipsnio taikymo sritį. Chartijoje teisė į asmens duomenų apsaugą įtvirtinta atskirame 8 straipsnyje, kuris gali būti laikomas lex specialis Chartijos straipsnio, įtvirtinančio teisę į privatų ir šeimos gyvenimą, atžvilgiu. Asmens duomenų apsaugos požiūriu Chartijos 7 (teisė į privataus gyvenimo gerbimą) ir 8 straipsniai yra imanentiškai susiję; tai patvirtina ir aplinkybė, kad ESTT su asmens duomenų apsauga susijusiose bylose įprastai nurodo abu Chartijos straipsnius. Taip pat ESTT laikosi nuostatos, kad Chartijos 7 ir 8 straipsniais pripažinta teisė į privataus gyvenimo gerbimą tvarkant asmens duomenis siejama su visa informacija apie fizinį asmenį, kurio tapatybė nustatyta arba gali būti nustatyta, teisei į asmens duomenų apsaugą galimi taikyti apribojimai atitinka leidžiamus pagal Konvencijos 8 straipsnį. Taigi Chartijos 7 ir 8 straipsniuose yra įtvirtinta teisė į privataus gyvenimo gerbimą tvarkant asmens duomenis. ESTT formuluojami teisės į privatų gyvenimą ir asmens duomenų apsaugos standartai, grindžiami griežtu proporcingumo testu (reikalaujama, kad būtų apsiribojama tuo, kas yra griežtai būtina atsižvelgiant į siekiamą tikslą) (žr. Lietuvos vyriausiojo administracinio teismo 2020 m. balandžio 2 d. sprendimo administracinėje byloje Nr. A-3345-822/2020 32-34 p. ir ten nurodytą praktiką).

34. Bet koks asmens duomenų tvarkymas turi, viena vertus, atitikti BDAR 5 straipsnyje nurodytus duomenų kokybės principus ir, kita vertus, tenkinti vieną iš duomenų tvarkymo teisėtumo principų, išvardytų šio reglamento 6 straipsnyje. Pagal BDAR 5 straipsnio 1 dalies b ir c punktus asmens duomenys turi būti renkami nustatytais, aiškiai apibrėžtais ir teisėtais tikslais, be to, asmens duomenys turi būti adekvatūs, tinkami ir tik tokie, kurių reikia siekiant minėtų tikslų (žr. Europos Sąjungos Teisingumo Teismo 2019 m. sausio 16 d. sprendimo Deutsche Post AG prieš Hauptzollamt Köln, C‑ 496/17, EU:C:2019:26, 57-58 p. ir ten nurodytą jurisprudenciją). Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš sąlygų, nurodytų BDAR 6 straipsnio 1 dalies a-f punktuose, ir tik tokiu mastu, kokiu ji yra taikoma (BDAR 6 str. 1 d.). Tarp tokių sąlygų – duomenų subjekto duotas sutikimas, kad jo asmens duomenys būtų tvarkomi vienu ar keliais konkrečiais tikslais (BDAR 6 str. 1 d. a p.), duomenų tvarkymo būtinumas, kad būtų įvykdyta duomenų valdytojui taikoma teisinė prievolė (BDAR 6 str. 1 d. c p.), duomenų tvarkymo būtinumas siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas (BDAR 6 str. 1 d. e p.). BDAR 6 straipsnio 1 dalies c ir e punktuose nurodytas duomenų tvarkymo pagrindas nustatomas Sąjungos teisėje arba duomenų valdytojui taikomoje valstybės narės teisėje (BDAR 6 str. 3 d. a-b p.). Be to, kaip paaiškinta Europos Parlamento ir Tarybos direktyvos 95/46 dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo 29 straipsnio duomenų apsaugos darbo grupės (toliau – ir Darbo grupė), turėjusios patariamąjį statusą (Direktyvos 95/46/EB 29 str. 1 d.), nuomonėje 15/2011, teiktoje BDAR panaikintos Direktyvos 95/46/EB kontekste, dėl sąvokos „sutikimas“, gavus sutikimą nepanaikinami duomenų valdytojo įsipareigojimai pagal Direktyvos 95/46/EB 6 straipsnį, susiję su sąžiningumu, būtinumu ir proporcingumu, taip pat duomenų kokybe. Sutikimo gavimas taip pat nereiškia, kad leidžiama netaikyti kitų Direktyvos 95/46/EB nuostatų (Lietuvos vyriausiojo administracinio teismo 2020 m. balandžio 2 d. sprendimas administracinėje byloje Nr. A-3345-822/2020, 35 p).

35. BDAR 4 straipsnio 14 punkte biometriniai duomenys apibrėžti kaip po specialaus techninio apdorojimo gauti asmens duomenys, susiję su fizinio asmens fizinėmis, fiziologinėmis arba elgesio savybėmis, pagal kurias galima konkrečiai nustatyti arba patvirtinti to fizinio asmens tapatybę, kaip antai veido atvaizdai arba daktiloskopiniai duomenys. Tokių asmens duomenų tvarkymas, siekiant konkrečiai nustatyti fizinio asmens tapatybę, patenka į specialiųjų kategorijų asmens domenų tvarkymą, reglamentuotą BDAR 9 straipsnyje, pagal kurį draudžiama tvarkyti asmens duomenis, atskleidžiančius rasinę ar etninę kilmę, politines pažiūras, religinius ar filosofinius įsitikinimus ar narystę profesinėse sąjungose, taip pat tvarkyti genetinius duomenis, biometrinius duomenis, siekiant konkrečiai nustatyti fizinio asmens tapatybę, sveikatos duomenis arba duomenis apie fizinio asmens lytinį gyvenimą ir lytinę orientaciją. Vis dėlto šis draudimas netaikomas, jei taikoma viena iš BDAR 9 straipsnio 2 dalyje nurodytų sąlygų. Viena jų – aiškus duomenų subjekto sutikimas, kad tokie asmens duomenys būtų tvarkomi vienu ar keliais nurodytais tikslais, išskyrus atvejus, kai Sąjungos arba valstybės narės teisėje numatyta, kad 1 dalyje nurodyto draudimo duomenų subjektas negali panaikinti (BDAR 9 str. 2 d. a p.).

36. Bylą apeliacine tvarka nagrinėjanti teisėjų kolegija dėmesį pirmiausia atkreipia į tai, kad Inspekcija Išankstinėje konsultacijoje konstatavo, jog Administracijos planuojamas vykdyti asmens duomenų tvarkymas negali būti pripažintas būtinu ir proporcingu bei atitinkančiu BDAR 5 straipsnio 1 dalies c punkte įtvirtintą duomenų kiekio mažinimo principą (asmens duomenys turi būti adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi); jis taip pat neatitinka ir BDAR 5 straipsnio 1 dalies a punkte įtvirtinto asmens duomenų teisėtumo principo (asmens duomenys turi būti duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas)).

37. Aptariant duomenų kiekio mažinimo principą paminėtina, kad pagal BDAR preambulės 39 punktą asmens duomenys turėtų būti tinkami, susiję su tikslais, kuriais jie tvarkomi, ir riboti pagal tai, kiek jų yra būtina turėti atsižvelgiant į tikslus, kuriais jie tvarkomi; tam pirmiausia reikia užtikrinti, kad asmens duomenų saugojimo laikotarpis būtų tikrai minimalus. Asmens duomenys turėtų būti tvarkomi tik tuomet, jei asmens duomenų tvarkymo tikslo pagrįstai negalima pasiekti kitomis priemonėmis. Nuomonę 3/2012 dėl biometrinių technologijų pokyčių 2012 m. balandžio 27 d. pateikusi Darbo grupė taip pat yra pažymėjusi, jog tokie duomenys gali būti tvarkomi tik tada, jei tam yra teisinis pagrindas, o pats tvarkymas yra tinkamas, susijęs su tikslais, kuriais duomenys tvarkomi, ir neviršijantis to, kas reikalinga. Naudojant biometrinius duomenis turi būti griežtai įvertintas tvarkomų duomenų būtinumas ir proporcingumas (Lietuvos vyriausiojo administracinio teismo 2020 m. balandžio 2 d. sprendimas administracinėje byloje Nr. A-3345-822/2020, 52 p). Minėtoje nuomonėje pabrėžta, kad vertinant proporcingumą turi būti atsižvelgta į tokios priemonės būtinumą (t. y. ar ji tikrai būtina nustatytam poreikiui patenkinti, ar veikiau tėra patogesnė, ekonomiškesnė nei kitos); jos efektyvumą patenkinant nustatytą poreikį, atsižvelgiant į naudoti planuojamos technologijos charakteristiką; numatomos naudos proporcingumą patirsiamam privatumo praradimui; ar to paties rezultato negali būti pasiekta kitomis (privatumą mažiau ribojančiomis) priemonėmis. Pažymėtina, kad šiais rekomenduojamais aspektais Išankstinėje konsultacijoje rėmėsi ir Inspekcija.

38. Teisėjų kolegija atkreipia dėmesį, kad Administracija pati pripažįsta siekianti papildyti jau egzistuojančias pasinaudojimo savo paslaugomis galimybes (kaip nurodyta, diegti norima programa esą pagelbėtų negalintiems atvykti į Administraciją ir nesinaudojantiems elektroninės bankininkystės paslauga), kad jos būtų patogiau prieinamos. Tai suponuoja išvadą, jog planuojama diegti programa (kuriai veikti reikėtų asmens biometrinių duomenų, dažnai ir taip apimančių daugiau informacijos, nei yra būtina tapatybės nustatymui ar patvirtinimui) ketinamas vykdyti asmens duomenų tvarkymas iš esmės neatitinka duomenų tvarkymo būtinumo kriterijaus, ir šiuo atveju negali būti laikomas pagrįstai reikalingu pasiekti Administracijos numatytus tikslus, kurie šios bylos aplinkybėmis jau yra tenkinami kitais būdais (kaip nurodė pati Administracija, asmuo tapatybę patvirtinti gali ir kitais būdais, pavyzdžiui, atvykti į Vilniaus miesto savivaldybę, identifikuotis per banką, atsiųsti notaro patvirtintą kopiją ir t. t.). Teisėjų kolegija nesutinka, jog vien pareiškėjo nurodomas patogumas, egzistuojant kitiems (asmens duomenų subjektų privatumą mažiau ribojantiems) būdams pasinaudoti Administracijos teikiamomis paslaugomis, laikytinas atitinkančiu duomenų kiekio mažinimo principą, kaip ir nemano, jog asmens duomenų subjektų neva galima patirti nauda dėl tokios priemonės įgyvendinimo šiuo atveju yra proporcinga jų privatumo (ypač atsižvelgiant į tvarkyti norimų duomenų pobūdį) suvaržymui.

39. Kad duomenų tvarkymas būtų teisėtas, jis taip pat turi tenkinti vieną iš duomenų tvarkymo teisėtumo pagrindų, išvardytų BDAR 6 straipsnyje. Inspekcija Išankstinėje konsultacijoje pripažino asmens duomenų subjekto sutikimą esant netinkamu teisiniu pagrindu tvarkyti asmens duomenis, inter alia dėl to, kad asmens duomenų tvarkymą atliks valstybės institucija, kuriai jokiais teisės aktais nesuteikta teisė naudoti biometrinius duomenis asmens identifikavimui kreipiantis dėl administracinių paslaugų gavimo, o duodamas sutikimas, kai egzistuoja tam tikros padėties disbalansas tarp duomenų subjekto ir duomenų valdytojo, gali būti nepripažintas suteiktu laisva valia.

40. Duomenų subjekto sutikimas – bet koks laisva valia duotas, konkretus ir nedviprasmiškas tinkamai informuoto duomenų subjekto valios išreiškimas pareiškimu arba vienareikšmiais veiksmais kuriais jis sutinka, kad būtų tvarkomi su juo susiję asmens duomenys (BDAR 4 str. 11 p.), o sutikimo sąlygos reglamentuojamos BDAR 7 straipsnyje, viena kurių – kai duomenys tvarkomi remiantis sutikimu, duomenų valdytojas turi galėti įrodyti, kad duomenų subjektas davė sutikimą, kad būtų tvarkomi jo asmens duomenys (BDAR 7 str. 1 d.). Pagal BDAR preambulės 42-43 punktus sutikimas neturėtų būti laikomas duotas laisva valia, jei duomenų subjektas faktiškai neturi laisvo pasirinkimo ar negali atsisakyti sutikti arba sutikimo atšaukti, nepatirdamas žalos. Siekiant užtikrinti, kad sutikimas būtų duotas laisva valia, sutikimas neturėtų būti laikomas pagrįstu asmens duomenų tvarkymo teisiniu pagrindu konkrečiu atveju, kai yra aiškus duomenų subjekto ir duomenų valdytojo padėties disbalansas, ypač kai duomenų valdytojas yra valdžios institucija ir dėl to nėra tikėtina, kad sutikimas, atsižvelgiant į visas to konkretaus atvejo aplinkybes, buvo duotas laisva valia. Laikoma, kad sutikimas nebuvo duotas laisva valia, jeigu neleidžiama duoti atskiro sutikimo atskiroms asmens duomenų tvarkymo operacijoms, nors tai ir tikslinga atskirais atvejais, arba jeigu sutarties vykdymas, įskaitant paslaugos teikimą, priklauso nuo sutikimo, nepaisant to, kad toks sutikimas nėra būtinas tokiam vykdymui.

41. Teisėjų kolegija, įvertinusi byloje esančius duomenis bei šalių nurodytus argumentus, sutinka su Išankstinėje konsultacijoje atsakovo padaryta išvada, jog šiuo atveju gali kilti sunkumų įrodyti, jog asmens duomenų subjekto sutikimas buvo duotas laisva valia, kadangi tarp Administracijos darbuotojų, atstovaujančių duomenų valdytoją – valstybės instituciją, – ir asmens duomenų subjektų (ypač jei jie, kaip nurodė Administracija, paprastai būtų pažeidžiami asmenys – ligoniai, neįgalieji, – į kuriuos diegti norima programa ir orientuota) egzistuoja tam tikros padėties disbalansas, konkrečiu atveju galintis iškreipti asmens duomenų subjektų elgesį ir valią, reikalingą duomenų subjekto sutikimo kvalifikavimui kaip duotam laisva valia. Tokiomis aplinkybėmis duotas sutikimas, kai nuo jo priklauso ir asmens (o ypač pažeidžiamo asmens) galimybė naudotis administracijos teikiamomis paslaugomis, suponuoja, jog jis nebuvo duotas laisva valia, kaip tai suprantama pagal BDAR.

42. Taip pat svarbu atkreipti dėmesį į tai, jog BDAR preambulės 45 punkte pažymėta, kad kai duomenų valdytojas duomenis tvarko vykdydamas jam tenkančią teisinę prievolę arba kai duomenis būtina tvarkyti siekiant atlikti užduotį, vykdomą dėl viešojo intereso arba vykdant viešosios valdžios funkcijas, duomenų tvarkymo pagrindas turėtų būti įtvirtintas Sąjungos arba duomenų valdytojui taikomoje valstybės narės teisėje. Be to, BDAR 6 straipsnio 1 dalyje be asmens duomenų subjekto sutikimo yra nurodyti ir kiti pagrindai, aktualūs tokiems duomenų valdytojams, kuriems taikoma teisinė prievolė siekiant atlikti užduotį, vykdomą viešojo intereso labui, arba vykdant pavestas viešosios valdžios funkcijas (BDAR 6 str. 1 d. c ir e p.) ir šiomis aplinkybėmis tvarkymo pagrindas turi būti nustatytas ES arba duomenų valdytojui taikomoje nacionalinėje teisėje (BDAR 6 str. 3 d.).

Pažymėtina, kad Administracija savo procesiniuose dokumentuose ir pati nurodė, kad siekdama tvarkyti asmenų duomenis siekia teisėto viešojo intereso – užtikrinti gyventojų sklandesnį prieinamumą prie paslaugas teikiančios elektroninės svetainės, taip pat užtikrinti asmenų, kurie objektyviai neturi galimybės kitais būdais prisijungti prie sistemos, interesus (pareiškėjo apeliacinio skundo 19 p.). Teisėjų kolegija, įvertinusi pirmosios instancijos teismo sprendime nurodytus argumentus, neturi pagrindo nesutikti su padarytomis išvadomis, jog jokie nei nacionaliniai, nei Europos Sąjungos teisės aktai nenustato pareiškėjo, vykdančio jam pavestas viešosios valdžios funkcijas, teisės tvarkyti biometrinius asmens duomenis siekiant nustatyti ar patvirtinti fizinio asmens tapatybę.

Be kita ko, pagal BDAR 6 straipsnio 3 dalį net ir tokio viešojo administravimo subjektų atliekamo duomenų tvarkymo tikslas yra nustatomas tame teisiniame pagrinde arba, BDAR 1 dalies e punkte nurodyto duomenų tvarkymo atveju, yra būtinas, siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas. Tame teisiniame pagrinde galėtų būti išdėstytos konkrečios nuostatos pagal BDAR taikomų taisyklių pritaikymui <...>. Sąjungos arba valstybės narės teisė atitinka viešojo intereso tikslą ir yra proporcinga teisėtam tikslui, kurio siekiama.

Tačiau šiuo atveju jokių teisės aktų ar jų nuostatų, iš kurių būtų kildinamas toks duomenų tvarkymo pagrindas Administracijai vykdant jai pavestas viešosios valdžios funkcijas, nenurodė ir pats pareiškėjas.

43. Administracija apeliaciniame skunde taip pat nurodė, kad ribotus įgaliojimus turinti Inspekcija, priimdama konsultaciją, neturi teisės Administracijai uždrausti tvarkyti biometrinius duomenis, ir tą padaryti galėtų tik tuomet, jei jos konsultacijos nebūtų paisoma arba paisoma netinkamai. Šiuo klausimu teisėjų kolegija pažymi, kad BDAR 36 straipsnyje, reglamentuojančiame išankstines konsultacijas, nurodyta, kad jeigu priežiūros institucija laikosi nuomonės, kad 1 dalyje nurodytas numatytas duomenų tvarkymas pažeistų šį reglamentą, visų pirma tais atvejais, kai duomenų valdytojas nepakankamai nustatė arba nepakankamai sumažino pavojų, priežiūros institucija ne vėliau kaip per aštuonias savaites nuo prašymo dėl konsultacijos gavimo, raštu pateikia duomenų valdytojui ir, kai taikoma, duomenų tvarkytojui, rekomendacijas ir gali pasinaudoti bet kuriais 58 straipsnyje nurodytais įgaliojimais.

Tas laikotarpis gali būti pratęstas šešioms savaitėms, atsižvelgiant į numatyto duomenų tvarkymo sudėtingumą. Priežiūros institucija informuoja duomenų valdytoją ir, kai taikoma, duomenų tvarkytoją, apie bet kokį tokį pratesimą per vieną mėnesį nuo prašymo dėl konsultacijos gavimo, kartu su vėlavimo priežastimis. Tie laikotarpiai gali būti sustabdyti iki priežiūros institucija gavus informaciją, kurios ji buvo paprašiusi konsultacijų tikslais (BDAR 36 str. 2 d.). BDAR 58 straipsnyje išdėstyti įgaliojimai, kuriuos turi kiekviena priežiūros institucija: 58 straipsnio 1-3 dalyse nurodyti įgaliojimai varijuoja nuo tyrimo, taisomųjų veiksmų, leidimo išdavimo ir patariamųjų.

Išankstinėje konsultacijoje Inspekcija rėmėsi būtent BDAR 58 straipsnio 2 dalies f punktu, pagal kurį Inspekcija įgaliojama nustatyti laikiną arba galutinį duomenų tvarkymo apribojimą, įskaitant tvarkymo draudimą. BDAR preambulės 129 punkte taip pat paaiškinta, kad kiekviena taikytina priemonė turėtų būti tinkama, būtina ir proporcinga siekiant užtikrinti šio reglamento laikymąsi, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes, ja turėtų būti gerbiama kiekvieno asmens teisė būti išklausytam prieš imantis konkrečios priemonės, kuri jam padarytų neigiamą poveikį, ir taikoma taip, kad atitinkami asmenys nepatirtų bereikalingų išlaidų ir pernelyg didelių nepatogumų.

Inspekcija, įvertinusi Administracijos diegti planuojamą programą BDAR reikalavimų kontekste, BDAR 58 straipsnio 2 dalies f punkte nurodytą priemonę pasitelkė įvertinusi Išankstinėje konsultacijoje nustatytas aplinkybes, taigi, inter alia ir tvarkyti numatomų duomenų pobūdį, tokio tvarkymo teisinio pagrindo stygių bei prieštaravimą duomenų tvarkymo principams. Nors Administracija apeliaciniame skunde akcentavo, kad naudojimasis BDAR 58 straipsnio įgaliojimais yra Inspekcijos teisė, bet ne pareiga, teisėjų kolegija šiuo atveju neturi pagrindo kvestionuoti Inspekcijos sprendimo, priimto jai suteiktos diskrecijos ribose.

44. Administracija skundė ir tai, kad Inspekcija praleido nustatytą terminą pateikti išankstinę konsultaciją. Iš tiesų, jau minėtoje BDAR 36 straipsnio 2 dalyje nurodyta, kad priežiūros institucija rekomendacijas pateikia ne vėliau kaip per aštuonias savaites nuo prašymo dėl konsultacijos gavimo, o šis laikotarpis gali būti pratęstas šešioms savaitėms. Byloje ginčo dėl to, jog Inspekcija praleido šį terminą, nėra. Vis dėlto teisėjų kolegija sutinka su pirmosios instancijos teismo išvadomis, kad toks pažeidimas nelaikytinas esminiu procedūriniu pažeidimu, turėjusiu esminės įtakos Išankstinės konsultacijos teisėtumui ir pagrįstumui. Teisėjų kolegija pabrėžia, kad ir BDAR konstatuojamosios dalies 94 punkte nurodyta, jog priežiūros institucija į prašymą suteikti konsultaciją turėtų atsakyti per nustatytą laikotarpį, tačiau tai, kad priežiūros institucija nesureagavo per tą laikotarpį, neturėtų turėti poveikio priežiūros institucijos intervenciniams veiksmams jai vykdant šiame reglamente nustatytas užduotis ir įgaliojimus, įskaitanti įgaliojimą uždrausti duomenų tvarkymo operacijas.

45. Europos Žmogaus Teisių Teismas yra nurodęs, kad nors Konvencijos 6 straipsnio 1 dalis įpareigoja teismus pateikti savo sprendimų motyvus, ši pareiga negali būti suprantama kaip reikalaujanti detaliai atsakyti į kiekvieną argumentą (žr., pvz., 1994 m. balandžio 19 d. sprendimą byloje Van de Hurk prieš Nyderlandus, pareiškimo Nr. 16034/90), todėl teisėjų kolegija, pasisakiusi dėl pagrindinių pareiškėjo byloje keltų klausimų bei teiktų argumentų, detaliai nepasisako dėl kitų pareiškėjo nurodytų argumentų.

46. Atsižvelgiant į argumentus, išdėstytus šioje nutartyje, teisėjų kolegija neturi pagrindo nesutikti su pirmosios instancijos teismo padarytomis išvadomis, patvirtinusiomis Inspekcijos priimtos Išankstinės konsultacijos teisėtumą, todėl pareiškėjo apeliacinis skundas yra atmetamas, o pirmosios instancijos teismo sprendimas paliekamas nepakeistas.

Vadovaudamasi Lietuvos Respublikos administracinių bylų teisenos įstatymo 144 straipsnio 1 dalies 1 punktu, teisėjų kolegija

n u t a r i a:

Pareiškėjo Vilniaus miesto savivaldybės administracijos apeliacinį skundą atmesti.

Vilniaus apygardos administracinio teismo 2021 m. balandžio 27 d. sprendimą palikti nepakeistą.

Nutartis neskundžiama.

Teisėjai Laimutis Alechnavičius

Rasa Ragulskytė-Markovienė

Dalia Višinskienė