2016-06-13 Nr. AB-12458-3-61-3-03836-2014-0 · Lietuvos vyriausiasis administracinis teismas

Administracinė byla Nr

Administracinė byla Nr. A-408-858/2016

Teisminio proceso Nr. 3-61-3-03836-2014-0

Procesinio sprendimo kategorija 25

(S)

LIETUVOS VYRIAUSIASIS ADMINISTRACINIS TEISMAS

N U T A R T I S

LIETUVOS RESPUBLIKOS VARDU

2016 m. birželio 13 d.

Vilnius

Lietuvos vyriausiojo administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Irmanto Jarukaičio (pranešėjas), Romano Klišausko (kolegijos pirmininkas) ir Skirgailės Žalimienės,

sekretoriaujant Gretai Kapačinskaitei,

dalyvaujant pareiškėjo uždarosios akcinės bendrovės „Creditinfo Lietuva“ atstovams advokatams Gyčiui Kuncevičiui ir Mindaugui Kiškiui,

atsakovo Valstybinės duomenų apsaugos inspekcijos atstovėms Aurelijai Krisenel, Daivai Vičinienei,

viešame teismo posėdyje apeliacine tvarka išnagrinėjo pareiškėjo uždarosios akcinės bendrovės „Creditinfo Lietuva“ apeliacinį skundą dėl Vilniaus apygardos administracinio teismo 2015 m. kovo 23 d. sprendimo administracinėje byloje pagal pareiškėjo uždarosios akcinės bendrovės „Creditinfo Lietuva“ skundą atsakovui Valstybinei duomenų apsaugos inspekcijai dėl sprendimo panaikinimo.

Teisėjų kolegija

n u s t a t ė:

I. Pareiškėjas uždaroji akcinė bendrovė (toliau – ir UAB) „Creditinfo Lietuva“ (toliau – ir pareiškėjas) kreipėsi į Vilniaus apygardos administracinį teismą su skundu (b. l. 6–8), prašydamas:

1) panaikinti atsakovo Valstybinės duomenų apsaugos inspekcijos (toliau – ir atsakovas, Inspekcija) 2014 m. liepos 10 d. sprendimą Nr. 2R-3557(9.1-1), kuriuo buvo nuspręsta, jog pareiškėjo pateikta informacija apie asmens duomenų gavimą iš socialinio tinklo „Facebook“ ir jų tvarkymą mokumo vertinimo tikslu prieštarauja teisėtam duomenų tvarkymui, ir kuriuo atsisakė įrašyti pareiškėjo pateiktą informaciją į Asmens duomenų valdytojų valstybės registro duomenų bazę (toliau – ir skundžiamas sprendimas);

2) įpareigoti Inspekciją iš naujo išnagrinėti pareiškėjo prašymą dėl jo pateiktų pasikeitusių registro duomenų įrašymo į Asmens duomenų valdytojų valstybės registro duomenų bazę.

Paaiškino, kad kreditų biure „Creditinfo“ yra formuojama fizinių ir juridinių asmenų kredito istorija, nustatomi kredito reitingai bei asmenų galimybės prisiimti finansinius įsipareigojimus. Kreditų biurą administruojanti UAB „Creditinfo Lietuva“ valdo gyventojams skirtą kredito istorijos sistemą „Mano Creditinfo“. Bendrovė nusprendė sudaryti galimybes fiziniams asmenims savitarnos svetainėje www.manocreditinfo.lt sužinoti savo kredito reitingą, kuris apskaičiuojamas iš socialiniuose tinkluose esančios informacijos (šiuo atveju iš „Facebook“ socialinio tinklo).

Nurodė, jog Inspekcijos kategoriškais argumentais iš esmės paneigiama pati galimybė tvarkyti iš socialinių tinklų gaunamus duomenis mokumo vertinimo tikslais, nepaisant to, ar pats asmuo sutinka, ar net to nori, t. y. Inspekcija nusprendžia už patį duomenų subjektą, kam jis gali ar negali pateikti duomenis ir kas su tais duomenimis gali būti atliekama, iš esmės uždraudžia asmeniui savo nuožiūra laisvai elgtis su savo duomenimis. Šios asmens teisės absoliutus paneigimas tuo pačiu reiškia, kad Inspekcija viršijo jai įstatymų nustatytas funkcijas ir uždraudė duomenų subjektui atlikti tam tikrus duomenų tvarkymo veiksmus. Pažymėjo kad visų valstybės registrų duomenys, kurie naudojami mokumo vertinimui (Sodra, Gyventojų registras, Nekilnojamojo turto registras ir t. t.), irgi yra surenkami kitais tikslais, tačiau, esant asmens sutikimui, gali būti panaudojami tiek mokumo vertinimo tikslu, tiek ir kitais tikslais.

Vartojimo kredito gavėjų mokumo ir atsakingojo skolinimo nuostatai, patvirtinti Lietuvos banko valdybos 2013 m. kovo 19 d. nutarimu Nr. 03-62 (toliau – ir Nuostatai), akivaizdžiai akcentuoja nebaigtinį vertintinos informacijos sąrašą (18.4, 18.5 p.). Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ir Įstatymas, ADTAĮ) 21 straipsnis, priešingai nei teigia Inspekcija, reglamentuoja tam tikras duomenų tvarkymo sritis ir duomenų tvarkymo būdus mokumo vertinimo, įsiskolinimo valdymo tikslais, bet nenustato baigtinio duomenų sąrašo. Įstatymo 22 straipsnis, priešingai nei teigia Inspekcija, reglamentuoja tam tikras duomenų tvarkymo sritis ir duomenų tvarkymo būdus mokumo vertinimo, finansinės rizikos vertinimo, įsiskolinimo valdymo tikslais, jis taip pat įtvirtina žinomai neperteklines duomenų kategorijas, kurie gali būti tvarkomi šiais tikslais, tačiau šis straipsnis neįtvirtina baigtinio duomenų sąrašo, kurie gali būti tvarkomi nurodytais tikslais, antraip tai būtų 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (toliau – ir Direktyva 95/46/EB) pažeidimas, susiaurinant duomenų tvarkymo galimybes.

Pabrėžė, jog asmens duomenys gali būti tvarkomi kitais tikslais nei tais, kuriais jie buvo surinkti, jei tam atsiranda teisinis pagrindas (šiuo atveju sutikimas), nei vienas iš Inspekcijos nurodytų teisės aktų nereglamentuoja visų duomenų tvarkymo aspektų ir duomenų kategorijų mokumo vertinimo, finansinės rizikos vertinimo, įsiskolinimo valdymo tikslais. Visi vertinamieji Inspekcijos argumentai sprendime yra išdėstyti paviršutiniškai. Inspekcija iš esmės neanalizavo viso sutikimo gavimo mechanizmo ir tvarkomų duomenų apimties.

Nurodė, jog Inspekcijos cituojamoje Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo 29 straipsnio duomenų apsaugos darbo grupės (toliau – ir Darbo grupė) Nuomonėje Nr. 15/2011 dėl sąvokos „sutikimas“ apibrėžties (toliau – ir Nuomonė) duomenų subjekto duodamam sutikimui keliami reikalavimai ir sistemiškai turi būti analizuojama:

1) ar sutikimas yra duodamas savanoriškai, šios aplinkybės nebuvo vertintos;

2) ar sutikimas buvo konkretus, tačiau Inspekcija nevertino, ar duomenų subjekto atliekamų veiksmų eiliškumas, informacijos pateikimo būdas, jo kontekstas su tekstu, sudaro pagrindą manyti, kad sutikimas yra konkretus/nekonkretus;

3) ar sutikimas pagrįstas informacija. Informacijos pateikimo būdas turi užtikrinti atitinkamos kalbos vartojimą, kad duomenų subjektai suprastų, dėl ko sutinka ir kokiais tikslais tai daro. Pernelyg sudėtingo teisinio ar techninio žargono vartojimas neatitiktų teisės aktų reikalavimų. Be to, naudotojams teikiama informacija turėtų būti aiški ir pakankamai akivaizdi, kad naudotojai negalėtų jos nepastebėti. Inspekcija netyrė, kiek, kur ir kokiu būdu informacijos yra pateikiama duomenų subjektui, ar ji pakankama būtent subjektams ir pan. Pats faktas, kad dalis informacijos buvo pateikiama ne lietuvių kalba, o „Facebook“ naudojamais terminais, kurie „Facebook“ vartotojams yra žinomi ir aktyviai naudojami, pats savaime nereiškia, kad nevykdomas šis reikalavimas;

4) ar sutikimas yra nedviprasmiškas. Praktiškai šis reikalavimas leidžia duomenų valdytojams naudoti įvairių rūšių mechanizmus sutikimui gauti, pavyzdžiui, sutikimą rodančius pareiškimus (aiškus sutikimas) arba mechanizmus, paremtus veiksmais, kuriais siekiama parodyti sutikimą. Šios aplinkybės taip pat nevertintos;

5) Inspekcija nevertino, ką reiškia „draugų duomenų“ sąvoka ir koks jos turinys, kiek tie duomenys laikytini duomenų subjekto, kuris duoda sutikimą, duomenimis.

Manė, kad pareiškėjui turėjo būti suformuluotas nurodymas, rekomendacijos dėl duomenų tvarkymo, o ne atsisakymas registruoti duomenis registre.

Atsakovas Valstybinė duomenų apsaugos inspekcija atsiliepime į pareiškėjo skundą (b. l. 29–34) prašė skundą atmesti kaip nepagrįstą.

Paaiškino, kad bet kokiu atveju, nors ir esant teisėtam pagrindui tvarkyti asmens duomenis, turi būti laikomasi asmens duomenų tvarkymo reikalavimų, numatytų Įstatymo 3 straipsnyje. Įstatyme nenumatyta, kad tvarkant asmens duomenis su sutikimu yra netaikomi Įstatymo 3 straipsnyje įtvirtinti reikalavimai.

Inspekcijos nuomone, pareiškėjo ketinamas atlikti asmens duomenų tvarkymas neatitinka Įstatymo 3 straipsnyje keliamų reikalavimų. Duomenų valdytojas turi užtikrinti, kad jis turi tinkamą teisinį pagrindą gauti ir toliau tvarkyti asmens duomenis, jo ketinamas atlikti asmens duomenų tvarkymas (įskaitant ir duomenų gavimą) yra adekvatus ir proporcingas siekiamiems tikslams. Pareiškėjo ketinami atlikti asmens duomenų tvarkymo veiksmai yra susiję su asmens mokumo, galimybių prisiimti finansinius įsipareigojimus ir pan. vertinimu, o socialinio tinklo funkcija yra galimybė palaikyti ryšį ir dalintis informacija su kitais vartotojais. Socialiniuose tinkluose („Facebook“ socialiniame tinkle) informaciją apie save asmenys skelbia siekdami palaikyti tarpusavio ryšius su artimaisiais, draugais ar bendraminčiais, bendrauti įvairiais asmeniniais tikslais, pasidalinti su kitais asmenimis privataus gyvenimo detalėmis ir pan., bet ne tam, kad jų skelbiama informacija būtų naudojama vertinti jų mokumą.

Pabrėžė, jog Nuostatai nenumato galimybės vertinant kredito gavėjo mokumą tvarkyti socialiniuose tinkluose esančią informaciją. Socialiniuose tinkluose asmenų skelbiama informacija ne visuomet atitinka tikrovę. Inspekcijos nuomone, socialiniuose tinkluose skelbiama informacija negali būti naudojama vertinant asmens mokumą, nes pareiškėjas, rinkdamas socialiniuose tinkluose esančius duomenis ir toliau tvarkydamas juos mokumo vertinimo tikslais, negalės užtikrinti šių duomenų tikslumo ir teisingumo, o tai galėtų sukelti neigiamų pasekmių pačiam duomenų subjektui (pvz., bus nustatytas žemesnis mokumo reitingas ar pan.).

Inspekcija nesutiko su pareiškėjo nuomone, kad Įstatymo 22 straipsnis neįtvirtina baigtinio duomenų sąrašo, kurie gali būti tvarkomi mokumo vertinimo, finansinės rizikos vertinimo bei įsiskolinimo tikslais. Be to, Inspekcijos nuomone, Įstatymo 21 straipsnyje nustatytais tikslais ir atvejais gali būti tvarkoma tik ta informacija, kuri yra susijusi su duomenų subjekto finansiniais ir (arba) turtiniais įsipareigojimais. Inspekcijos nuomone, socialinio tinklo profilio duomenys nėra susiję su asmens finansiniais ir (arba) turtiniais įsipareigojimais.

Pabrėžė, jog pareiškėjo ketinamas atlikti asmens duomenų tvarkymas yra neteisėtas ir negali būti vykdomas net ir esant duomenų subjektų sutikimui. Šiuo atveju gaunant sutikimą duomenų subjektui nėra pateikiama informacija apie tai, kas yra kredito reitingas, kaip ir iš kokios informacijos jis bus sudaromas, kur jis bus (gali būti) naudojamas ir pan. Pareiškėjas, duomenų subjektui prieš gaudamas jo sutikimą dėl asmens duomenų tvarkymo ir prieš pradėdamas jo asmens duomenų tvarkymo veiksmus, reikalaujamos informacijos nepateikia. Remiantis Lietuvos Respublikos valstybinės kalbos įstatymu (toliau – ir Valstybinės kalbos įstatymas), visi Lietuvos Respublikos fizinių ir juridinių asmenų sandoriai turi būti sudaromi valstybine kalba. Atitinkamai, faktas, kad sutikimas buvo surašytas „Facebook“ naudojamais terminais, „Facebook“ vartotojams yra žinomi ir aktyviai naudojami, dar nereiškia, kad sutikimas yra aiškus ir suprantamas, apsisprendžiant dėl asmens duomenų tvarkymo mokumo vertinimo. Pateiktas sutikimo dėl duomenų tvarkymo tekstas nėra suprantamas ir aiškus, yra surašytas anglų kalba, įterpiant keletą lietuviškų žodžių, tekste nėra tiksliai nurodyta duomenų tvarkymo aprėptis ir padariniai.

Atsakovo vertinimu, tokie duomenų subjekto socialinio tinklo profilio duomenys kaip draugų sąrašas, kvietimai draugauti, draugų santykiai ar pan., jau savaime preziumuoja, kad bus renkami tam tikri trečiųjų asmenų, pvz., draugų, artimųjų ar pan., asmens duomenys. Inspekcijos nuomone, su duomenų subjektu susijusių asmenų asmens duomenų tvarkymas nėra susijęs su nustatytais asmens duomenų tvarkymo tikslais, nes šių asmenų mokumas nėra vertinamas.

Pažymėjo, kad Asmens duomenų valdytojų valstybės registro nuostatai nenumato Inspekcijai galimybės duomenų valdytojų registravimo procese teikti duomenų valdytojui nurodymus ar rekomendacijas. Atkreipė dėmesį į tai, kad vienas iš ginčo sprendimo motyvų buvo tai, kad pareiškėjas atlikdamas minėtus duomenų tvarkymo veiksmus nesudaro sąlygų duomenų subjektui susipažinti su nustatytais vertinimo kriterijais ir principais bei pareikšti savo nuomonę dėl jo savybių įvertinimo, t. y. neįgyvendina Įstatymo 28 straipsnio 2 ir 3 dalyse nurodytų reikalavimų, tačiau apie šių nuostatų įgyvendinimą pareiškėjas skunde neužsimena.

II. Vilniaus apygardos administracinis teismas 2015 m. kovo 23 d. sprendimu (b. l. 71–76) pareiškėjo UAB „Creditinfo Lietuva“ skundą atmetė kaip nepagrįstą.

Vertindamas kilusį ginčą, teismas vadovavosi Įstatymo 1, 3 straipsniais ir nurodė, jog duomenų valdytojas privalo užtikrinti, kad asmens duomenys būtų renkami apibrėžtais ir teisėtais tikslais ir toliau nebūtų tvarkomi tikslais, nesuderinamais su nustatytaisiais prieš renkant asmens duomenis, bei tvarkomi tiksliai, sąžiningai ir teisėtai. Pirmosios instancijos teismas pažymėjo, jog pareiškėjas nusprendė sudaryti galimybę fiziniams asmenims savitarnos svetainėje www.manocreditinfo.lt sužinoti savo kredito reitingą, kuris apskaičiuojamas iš socialiniuose tinkluose esančios informacijos (iš „Facebook“), ir mano, jog Inspekcija nepagrįstai uždraudė duomenų subjektui atlikti tam tikrus duomenų tvarkymo veiksmus.

Teismas pabrėžė, jog asmens duomenys gali būti tvarkomi tik esant apibrėžtiems ir teisėtiems tikslams, turi sutapti duomenų paskelbimo ir tvarkymo tikslai, turi būti užtikrintas asmens privataus gyvenimo neliečiamumas, asmens susirašinėjimas, pokalbiai telefonu, bendravimas socialiniuose tinkluose. Teismas rėmėsi Lietuvos Respublikos Konstitucijos (toliau – ir Konstitucija) 22 straipsniu, Visuotinės žmogaus teisių deklaracijos (toliau – ir Deklaracija) 12 straipsniu, Žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos (toliau – ir Konvencija) 8 straipsniu. Pažymėjo, jog Europos Žmogaus Teisių Teismas (toliau – ir EŽTT) savo sprendimuose ne kartą yra pabrėžęs, kokia informacija ir kokiais būdais renkama, net ir viešame kontekste, gali patekti į asmens privataus gyvenimo sferą. EŽTT 1992 m. gruodžio 16 d. sprendime byloje Niemietz prieš Vokietiją konstatavo, kad nėra nei galimybės, nei būtinybės pateikti išsamią (baigtinę) „privataus gyvenimo“ sąvokos apibrėžtį; kad būtų per daug siaura šią sąvoką apriboti „artimiausia asmens aplinka“, kurioje asmuo gali savo nuožiūra gyventi savo asmeninį gyvenimą, visiškai pašalinant iš šios sąvokos išorinį pasaulį, kurio ši aplinka neapima. EŽTT 2004 m. birželio 24 d. sprendime Von Hannover prieš Vokietiją dar kartą pažymėjo esminę privataus gyvenimo apsaugos svarbą kiekvieno žmogaus asmenybės raidos požiūriu ir konstatavo, kad ši apsauga apima ne tik privačią šeimos, bet ir socialinę erdvę, kad kiekvienas asmuo (net jei jis ir yra žinomas plačiajai visuomenei) turi turėti galimybę naudotis teise į teisėtą lūkestį dėl savo privataus gyvenimo apsaugos ir gerbimo.

Teismas pažymėjo, jog šiuo atveju pareiškėjas, kaip kredito įstaiga, siekia gauti informaciją apie asmenį iš socialinių tinklų („Facebook“), ją tvarkyti, naudoti vertinant asmens kredito reitingą. Socialiniuose tinkluose („Facebook“) asmenys bendrauja su artimaisiais, draugais ar bendraminčiais įvairiais klausimais, socialiniuose tinkluose yra įvairiomis apimtimis skelbiama ir prieinama pati įvairiausia, net ir itin privati informacija – asmens rasinė ir etninė kilmė, politiniai, religiniai, filosofiniai ar kiti įsitikinimai, narystė profesinėje sąjungoje ir politinėje partijoje, sveikata, lytinis gyvenimas, teistumas. Taigi asmenys, kurie naudojasi socialiniais tinklais, siekia palaikyti tarpusavio ryšius, bendrauti, todėl tai nėra tikslas pateikti duomenis asmens mokumui įvertinti ar kredito reitingo nustatymui. Be to, Nuostatai apskritai nenumato galimybės vertinant kredito gavėjo mokumą tvarkyti socialiniuose tinkluose esančią informaciją.

Teismas sutiko su pareiškėjo teiginiais, kad asmuo gali laisvai disponuoti informacija apie save, leisti savo asmens duomenis naudoti įvairiais tikslais, tačiau jis laikė, jog asmuo negali duoti sutikimo už kitus asmenis, kurie „Facebook“ jam atskleidė savo asmens duomenis. Tokie duomenų subjekto socialinio tinklo profilio „Facebook“ duomenys kaip draugų sąrašas, kvietimai draugauti, draugų santykiai, socialiniame tinkle atskleista privati informacija (asmens kilmė, politiniai, religiniai ar kiti įsitikinimai, sveikata, lytinis gyvenimas, teistumas ar pan.), savaime preziumuoja, kad bus renkami tam tikri trečiųjų asmenų duomenys, kurie sutikimo nedavė, šie asmenys apie tokį duomenų tvarkymą net nesužinos, nes informacija apie atliktus asmens duomenų tvarkymo veiksmus ir nustatytą reitingą bus pateikiama tik asmeniui, kuris pageidavo tokį reitingą gauti.

Teismas nesutiko su pareiškėjo teiginiais, kad Inspekcija nevertino, ką reiškia „draugų duomenų“ sąvoka ir koks jos turinys, kiek tie duomenys laikytini duomenų subjekto, kuris duoda sutikimą duomenimis, kiek ne. Pažymėjo, jog iš pareiškėjo pateiktų paaiškinimų Inspekcijai matyti, kad pareiškėjas duomenų subjektui prieš gaudamas jo sutikimą dėl asmens duomenų tvarkymo, prieš pradėdamas jo asmens duomenų tvarkymo veiksmus, reikalaujamos informacijos nepateikia (sutikimo tekstas pateikiamas ne valstybine kalba), nors pagal Valstybinės kalbos įstatymo nuostatas visi Lietuvos Respublikos fizinių ir juridinių asmenų sandoriai turi būti sudaromi valstybine kalba. Atitinkamai, pareiškėjo nurodymas, kad sutikimas buvo surašytas „Facebook“ naudojamais terminais, šio socialinio tinklo vartotojams jie gerai žinomi, aktyviai naudojami, dar nereiškia, kad sutikimas yra aiškus ir suprantamas, apsisprendžiant dėl asmens duomenų tvarkymo mokumo vertinimo tikslu. Teismas laikė, kad pareiškėjo pateiktas sutikimo dėl duomenų tvarkymo tekstas nėra suprantamas ir aiškus, yra surašytas ne valstybine kalba, įterpiant keletą lietuviškų žodžių, tekste nėra tiksliai nurodyta duomenų tvarkymo apimtis ir padariniai. Atitinkamai, teismas sprendė, jog pareiškėjo noras rinkti, tvarkyti, naudoti duomenis apie asmenį iš socialinių tinklų (konkrečiai „Facebook“), vertinant klientų mokumą ar sudarant kredito reitingą, prieštarauja teisėtam duomenų tvarkymui, neatitinka Įstatymo 1 ir 3 straipsniuose nustatytų reikalavimų, neužtikrina asmens privataus gyvenimo neliečiamumo (asmens susirašinėjimo, bendravimo socialiniuose tinkluose privatumo).

Pirmosios instancijos teismas pabrėžė, jog, konstatavus ginčijamo sprendimo teisėtumą, nėra pagrindo įpareigoti Inspekciją iš naujo išnagrinėti pareiškėjo prašymą dėl pateiktų pasikeitusių registro duomenų įrašymo į Asmens duomenų valdytojų valstybės registro duomenų bazę. Teismas taip pat pastebėjo, jog EŽTT ir Lietuvos vyriausiojo administracinio teismo praktikoje ne kartą pažymėta, kad teismo pareiga pagrįsti priimtą spendimą neturėtų būti suprantama kaip reikalavimas detaliai atsakyti į kiekvieną argumentą (žr. EŽTT 1994 m. balandžio 19 d. sprendimą Van de Hurk prieš Suomiją, 1997 m. gruodžio 19 d. sprendimą Helle prieš Olandiją, Lietuvos vyriausiojo administracinio teismo administracinę bylą Nr. A261-3555/2011). Pirmosios instancijos teismas pareiškėjo skundą atmetė kaip nepagrįstą.

III. Pareiškėjas UAB „Creditinfo Lietuva“ apeliaciniu skundu (b. l. 80–88) prašo panaikinti Vilniaus apygardos administracinio teismo 2015 m. kovo 23 d. sprendimą ir priimti naują sprendimą – tenkinti jo skundą. Apeliaciniame skunde nurodomos aplinkybės, pateiktos pareiškėjo skunde pirmosios instancijos teismui. Papildomai apeliacinis skundas grindžiamas šiais argumentais:

1. Pirmosios instancijos teismas iš esmės atkartojo Inspekcijos argumentus, papildydamas sutikimo ydingumo ir draugų duomenų tvarkymo argumentus reikalavimu nepažeisti asmens susirašinėjimo privatumo, tačiau konstatavo, jog sutinka su pareiškėjo teiginiais, kad asmuo gali laisvai disponuoti informacija apie save, leisti savo asmens duomenis naudoti įvairiais tikslais.

2. Teismas netenkino pareiškėjo prašymo atidėti bylos nagrinėjimą dėl svarbios priežasties, tuo atimdamas iš jo galimybę betarpiškai pateikti paaiškinimus dėl ginčo, tikslinti argumentus, atskirti vienus argumentus nuo kitų, identifikuoti papildomų įrodymų poreikį, juos pateikti, užduoti klausimus Inspekcijai ir pasinaudoti kitomis procesinėmis teisėmis.

3. Pareiškėjo vertinimu, teismas nepagrįstai neišanalizavo kiekvieno argumento atskirai, nenustatė jo teisingumo, klaidingumo, jo apimties, pasekmių. Inspekcijos teiginiais iš esmės paneigiama galimybė tvarkyti iš socialinių tinklų gaunamus duomenis mokumo vertinimo tikslais, nepaisant to, ar pats asmuo sutinka, ar net to nori, t. y. Inspekcija nusprendžia už patį duomenų subjektą, kam jis gali ar negali pateikti duomenis ir kas su tais duomenimis gali būti atliekama. Tokia Inspekcijos išvada iš esmės reiškia draudimą asmeniui savo nuožiūra laisvai elgtis su savo duomenimis. Tačiau sutikimo vaidmuo aiškiai pripažintas Europos Sąjungos pagrindinių teisių chartijoje (toliau – ir Chartija), reglamentuojant asmens duomenų apsaugą. Sutikimas pripažįstamas esminiu pagrindinės teisės į asmens duomenų apsaugą aspektu. Šios asmens teisės absoliutus paneigimas reiškia, kad Inspekcija viršijo jai įstatymų nustatytas funkcijas ir uždraudė duomenų subjektui atlikti tam tikrus duomenų tvarkymo veiksmus.

4. Pareiškėjas nurodo, jog Inspekcija nepateikė apklausų, tyrimų, nuorodų į „Facebook“ naudojimosi taisykles, nuorodų į kitus šaltinius ir pan., kurios pagrįstų, kokiais tikslais yra naudojamas socialinis tinklas „Facebook“. Tai yra Inspekcijos nuomonė apie tai, kokiu principu funkcionuoja „Facebook“ socialinis tinklas. Pareiškėjui nedalyvaujant pirmosios instancijos teismo posėdyje, jis neturėjo galimybės atkreipti dėmesio į šią aplinkybę, pateikti papildomus įrodymus.

5. Socialinis tinklas „Facebook“ nėra uždaras tinklas, jis sudaro galimybes trečiosioms šalims gauti duomenis iš „Facebook“, jau registracijos socialiniame tinkle metu kiekvienas vartotojas sutinka su „Facebook“ naudojimosi sąlygomis ir privatumo politika. Tiek „Facebook“ naudojimosi sąlygose, tiek privatumo politikoje asmuo yra supažindinamas su tuo, kad jo duomenys gali būti perduodami trečiosioms šalims, t. y. asmuo supažindinamas ir sutinka, kad jo asmens duomenys gali būti perduodami trečiosioms šalims įvairiems tikslams. „Facebook“ duomenys naudojami įvairiais tikslais, pvz., tiesioginė rinkodara, žaidimai, sportas, muzika, elektroninis paštas (asmeninis, darbinis).

6. „Facebook“ yra asmens duomenų šaltinis, kuris suteikia duomenų subjektui teisę savo asmens duomenis „portabilizuoti“ ir iš „Facebook“ perduoti tiesiogiai trečiajam asmeniui. Lietuvos įstatymai nedraudžia, t. y. leidžia panaudoti „Facebook“ kaip duomenų šaltinį duomenų gavimui.

7. Inspekcija ir pirmosios instancijos teismas klaidingai sutapatino sąvokas neteisėtas ir perteklinis. Duomenų pertekliškumas nusako konkrečių duomenų ryšį su siekiamu tikslu. Pažymi, jog asmens duomenys gali būti tvarkomi kitais tikslais nei tais, kuriais jie buvo surinkti, jei tam atsiranda teisinis pagrindas (šiuo atveju sutikimas), nei vienas iš Inspekcijos nurodytų teisės aktų nereglamentuoja visų duomenų tvarkymo aspektų ir duomenų kategorijų mokumo vertinimo, finansinės rizikos vertinimo, įsiskolinimo valdymo tikslais.

8. Pareiškėjas pažymi, jog teismui nustačius, kad „Facebook“ duomenys gali būti naudojami jo siekiamais tikslais, nes duomenų tvarkymo tikslai yra suderinami ir kad „Facebook“ duomenų naudojimas gali būti teisėtas (neperteklinis), nes Įstatymas to nedraudžia, atsirastų reali teisinė galimybė jam įrodyti atitikimą kitiems duomenų tvarkymo reikalavimams ar galiausiai pašalinti trūkumus, jei tokie būtų nustatyti. Pabrėžia, jog, priešingai nei teigia Inspekcija, jos sprendime cituojamoje Nuomonėje duomenų subjekto duodamam sutikimui keliami reikalavimai apibūdinami kitaip ir atitinkamai turi būti sistemiškai analizuojama: ar sutikimas yra duodamas savanoriškai, ar sutikimas buvo konkretus, ar sutikimas pagrįstas informacija, ar sutikimas yra nedviprasmiškas. Šios visos aplinkybės vertintos nebuvo.

9. Pareiškėjas pažymi, jog šiuo atveju gaunamas duomenų subjekto sutikimas yra tinkamas. Pats duomenų subjektas registruodamasis „Facebook“ tinkle patvirtino jo sąlygas. Ši aplinkybė nei Inspekcijos, nei pirmosios instancijos teismo nebuvo vertinta.

10. Pareiškėjas netvarko draugų vardų, pavardžių (asmens kodas apskritai netvarkomas „Facebook“), t. y. „draugų duomenys“ iš esmės skiriasi nuo duomenų subjekto duomenų. Tokiu būdu iš duomenų subjekto gaunami draugų duomenys apibūdina tik to duomenų subjekto socialinę aplinką, kurioje jis yra, o ne konkrečius asmenis. Atitinkamai, pareiškėjas mano, kad jis netvarko trečiųjų asmenų asmens duomenų. Be to, jo pateikti duomenys liudija duomenų subjekto sutikimo savanoriškumą. Šiuo aspektu „Facebook“ duomenų tvarkymas iš esmės skiriasi nuo tradicinio duomenų tvarkymo finansų įstaigose, kuriam būdingi kai kurie privalomumo požymiai. Pareiškėjas taip pat neturi pareigos audituoti duomenų subjekto duomenų teisingumo.

Atsakovas Valstybinė duomenų apsaugos inspekcija atsiliepime į pareiškėjo apeliacinį skundą (b. l. 130–134) prašo Vilniaus apygardos administracinio teismo 2015 m. kovo 23 d. sprendimą palikti nepakeistą, pareiškėjo UAB „Creditinfo Lietuva“ apeliacinį skundą atmesti. Atsiliepime į apeliacinį skundą nurodomi argumentai, pateikti atsiliepime į pareiškėjo skundą. Papildomai nurodomi šie pagrindiniai argumentai:

1. Asmens mokumo vertinimas yra atliekamas tam, kad būtų nustatyta, ar asmuo yra pajėgus įvykdyti savo prisiimtus įsipareigojimus, t. y. ar galės laiku mokėti mėnesines įmokas ir grąžinti paskolą. Nuostatuose pabrėžiama, kad vartojimo kredito gavėjo mokumo vertinimo tikslas yra įvertinti vartojimo kredito gavėjo galimybes prisiimti konkretų finansinį įsipareigojimą, kurį kartu su jau turimais finansiniais įsipareigojimais vartojimo kredito gavėjas būtų pajėgus įvykdyti. Taigi mokumo vertinimas siejamas su klientų finansiniu pajėgumu. Valstybinė lietuvių kalbos komisija teigia, kad „Facebook“ – viena iš socialinių tinklų svetainių, vienijanti įvairiais ryšiais susijusius internautus (gimines, bendramokslius, draugus, vieno ar kito dalyko mėgėjus ir pan.); kitaip sakant, tai komunikacinis kanalas, per kurį plėtojami žmogiškieji socialiniai ryšiai, o įvairūs ryšiai sudaro žmogiškųjų socialinių ryšių tinklą (-us). „Facebook“ socialiniame tinkle nurodoma, kad „Facebook“ misija yra suteikti žmonėms galimybę dalintis informacija ir padaryti pasaulį atviresnį ir pasiekiamą; žmonės naudoja „Facebook“ palaikyti ryšį su draugais ir šeima, sužinoti, kas vyksta pasaulyje, ir dalintis bei išreikšti tai, kas svarbu jiems. Taigi tikslai, kurių siekiama vertinant asmens mokumą ir skelbiant informaciją socialiniame tinkle, yra skirtingi.

2. „Facebook“ esantys duomenys gali būti naudojami įvairiems „pramoginiams“ tikslams, pvz., atsisiųsti žaidimą ar dalyvauti jame, palikti komentarą, dalintis nuorodomis ir pan., kurie iš esmės susiję su šio socialinio tinklo paskirtimi ir nesukelia bei negali sukelti (jei tuo nedaromas teisės pažeidimas) asmeniui kokių nors teisinių pasekmių. Mokumo vertinimas nėra susijęs su „Facebook“ tikslais ir asmeniui sukelia tam tikras pasekmes, kurios gali būti ir neigiamo pobūdžio (pvz., žemas mokumo reitingas). Taigi asmens duomenų tvarkymo tikslas – mokumo vertinimas – nėra suderinamas su asmens duomenų tvarkymo „Facebook“ ar kituose socialiniuose tinkluose tikslais. Inspekcijos nuomone, duomenų subjektų socialiniuose tinkluose skelbiamos informacijos negalima laikyti reikšmingomis aplinkybėmis, turinčiomis ar galinčiomis turėti įtakos vartojimo kredito gavėjo ekonominei ir finansinei padėčiai, jo mokumo bei galimybių įvykdyti prisiimtus finansinius įsipareigojimus įvertinimui. Be to, siekiant tinkamai įvertinti asmens mokumą nebūtina tvarkyti tokios informacijos kaip asmens aktyvumas socialiniame tinkle, užsienio šalys, kurias aplankė, ir kaip dažnai dalinosi „Facebook“ tinkle savo nuotraukomis, kiek giminaičių turi ir pan. Visiškai pakanka tvarkyti tik tą informaciją, kurią numato Nuostatai.

3. Atsakovas remiasi Įstatymo 3 straipsniu ir nurodo, jog asmens mokumo vertinimu yra siekiama nustatyti asmens gebėjimus laiku, visiškai įvykdyti finansinius įsipareigojimus, o galimybė, kada nori ir kaip nori keisti „Facebook“ socialinio profilio duomenis sau tinkama linkme, gali iškraipyti realią situaciją bei sukelti abejonių sudaryto kredito reitingo teisingumu, objektyvumu ir jo nauda.

4. Įstatymo 21 ir 22 straipsnių nuostatos taikomos visada, kai asmens duomenys tvarkomi atliekant mokumo vertinimą. Įstatymo 22 straipsnio 1 dalis konkrečiai įvardija, kokie asmens duomenys gali būti tvarkomi asmens mokumo ir finansinės rizikos vertinimo ir įsiskolinimo valdymo tikslais, ir šis sąrašas yra baigtinis. Įstatymo 21 ir 22 straipsnių nuostatos nenumato galimybės vertinant asmens mokumą tvarkyti socialinio tinklo profilio duomenų, todėl šių duomenų tvarkymas minėtais tikslais būtų neteisėtas. Taigi pareiškėjo ketinamas atlikti asmens duomenų tvarkymas yra neteisėtas ir negali būti vykdomas net ir esant duomenų subjektų sutikimui.

5. Inspekcijos nuomone, pareiškėjas naudojasi duomenų subjekto sutikimu siekdamas perkelti savo atsakomybę asmeniui (duomenų subjektui). Ne visais atvejais duomenų subjektai gali numatyti, suprasti ir objektyviai įvertinti visas jų asmens duomenų tvarkymo aplinkybes ir iš tokio tvarkymo kylančias pasekmes. Be to, kalbant apie „Facebook“ esančius duomenis pabrėžtina tai, kad asmuo negali visiškai savarankiškai jais disponuoti – asmuo negali pasirinkti, dėl kurių asmens duomenų tvarkymo duoti sutikimą, o dėl kurių ne.

6. Inspekcija padarė išvadą, kad pareiškėjo ketinamas atlikti asmens duomenų tvarkymas prieštarauja teisėtam duomenų tvarkymui, išnagrinėjusi ir įvertinusi tuo metu pareiškėjo Inspekcijai pateiktus dokumentus, t. y. Pranešimą apie duomenų tvarkymą bei papildomus paaiškinimus apie duomenų tvarkymą, todėl pareiškėjo skunde nurodytų naujai įdiegtų papildomų priemonių nėra tikslinga vertinti, nes jų sprendimo priėmimo metu nebuvo.

7. Pabrėžia, jog „Facebook“ naudojimosi sąlygose nėra numatyta galimybė tvarkyti asmens duomenis mokumo vertinimo tikslu. Be to, minėtų sąlygų patvirtinimas negali būti prilyginamas sutikimo tvarkyti asmens duomenis mokumo vertinimo tikslu davimui (ir ypač tuomet, kai vertinamas kito asmens mokumas), todėl tokiam asmens duomenų tvarkymui nebus Įstatymo 5 straipsnio 1 dalyje nustatyto asmens duomenų teisėto tvarkymo kriterijaus.

8. Atsakovas nesutinka su pareiškėjo nuomone, kad jis netvarko trečiųjų asmenų asmens duomenų, remiasi Įstatymo 2 straipsnio 1, 4 dalimis ir nurodo, jog tokie duomenų subjekto socialinio tinklo profilio duomenys, kaip draugų sąrašas, kvietimai draugauti, draugų santykiai ar pan., savaime preziumuoja, kad bus renkami tam tikri trečiųjų asmenų asmens duomenys, o šių duomenų panaudojimas sudarant duomenų subjekto mokumo reitingą – kad bus atliekami tam tikri šių duomenų tvarkymo veiksmai.

Teisėjų kolegija

k o n s t a t u o j a:

IV. Dėl bylos esmės

Nagrinėjamoje byloje ginčas kilo dėl atsakovo Valstybinės duomenų apsaugos inspekcijos 2014 m. liepos 10 d. sprendimo Nr. 2R-3557(9.1-1), kuriuo buvo nuspręsta, jog pareiškėjo UAB „Creditinfo Lietuva“ pateikta informacija apie asmens duomenų gavimą iš socialinio tinklo „Facebook“ ir jų tvarkymą mokumo vertinimo tikslu prieštarauja teisėtam duomenų tvarkymui, ir kuriuo atsisakyta pareiškėjo pateiktą informaciją įrašyti į Asmens duomenų valdytojų valstybės registro duomenų bazę, teisėtumo ir pagrįstumo bei Inspekcijos įpareigojimo iš naujo išnagrinėti pareiškėjo prašymą dėl jo pateiktų pasikeitusių registro duomenų įrašymo į Asmens duomenų valdytojų valstybės registro duomenų bazę.

Bylos duomenimis patvirtinta, jog pareiškėjas UAB „Creditinfo Lietuva“ pateikė Inspekcijai 2014 m. gegužės 21 d. papildomą pranešimą apie duomenų tvarkymą Nr. 5-5/21/14/1 (toliau – ir Papildomas pranešimas), pranešdamas, jog tvarkys duomenis automatiniu būdu.

Inspekcija 2014 m. birželio 5 d. raštu Nr. 2R-2920(9.1.) „Dėl paaiškinimų apie duomenų tvarkymą“ (toliau – ir Raštas) paprašė pareiškėjo plačiau paaiškinti jo pranešime nurodyto asmens duomenų tvarkymo mokumo vertinimo tikslais procesą (aplinkybes).

Pareiškėjas 2014 m. birželio 25 d. rašte Nr. 03-6/25/14/1 „Dėl paaiškinimų apie „Facebook“ duomenų tvarkymą“ (toliau – ir Paaiškinimai) pateikė paaiškinimus dėl Inspekcijos nurodytų aplinkybių. Išdėstė, jog duomenys iš socialinio tinklo „Facebook“ renkami tik esant asmens, kurio duomenys tvarkomi, sutikimui, taip pat, jog šuo metu duomenys tvarkomi tik savitarnos svetainės www.manocreditinfo.lt vartotojų lygmenyje, tvarkomi duomenys yra nurodomi sutikime.

Inspekcija 2014 m. liepos 10 d. sprendimu Nr. 2R-3557(9.1-1), įvertinusi pareiškėjo pateiktą informaciją, nusprendė, jog pareiškėjo pateikta informacija, t. y. asmens duomenų gavimas iš socialinių tinklų („Facebook“) ir jų tvarkymas mokumo vertinimo tikslu prieštarauja teisėtam duomenų tvarkymui bei pažeidžia proporcingumo ir adekvatumo siekiamiems tikslams principus (ADTAĮ 3 str. 1 d. 1 ir 4 p.), ir atsisakė įrašyti pareiškėjo pateiktą informaciją į Asmens duomenų valdytojų valstybės registro duomenų bazę.

Pirmosios instancijos teismas išnagrinėjo pareiškėjo skundą ir, be kita ko, nustatęs, jog asmenys, kurie naudojasi socialiniais tinklais, siekia palaikyti tarpusavio ryšius, bendrauti, o ne pateikti duomenis asmens mokumui įvertinti ar kredito reitingo nustatymui, be to, Nuostatai apskritai nenumato galimybės vertinant kredito gavėjo mokumą tvarkyti socialiniuose tinkluose esančią informaciją, pareiškėjo skundą atmetė.

Pareiškėjo manymu, tokiu pirmosios instancijos teismo sprendimu yra paneigiama galimybė asmeniui sutikus tvarkyti iš socialinių tinklų gaunamus duomenis mokumo vertinimo tikslais, taip yra draudžiama asmeniui laisvai elgtis su savo duomenimis.

Šiomis aplinkybėmis teisėjų kolegija iš esmės turi nustatyti, ar socialiniame tinkle „Facebook“ esančio vartotojo duomenų, kaip antai šio tinklo vartotojo susikurto profilio, naudojimas asmens mokumui nustatyti yra asmens duomenų tvarkymas, suderinamas su Asmens duomenų teisinės apsaugos įstatyme įtvirtintais reikalavimais, inter alia ar asmens duomenys renkami apibrėžtais ir teisėtais tikslais ir ar jie yra tapatūs, tinkami ir tik tokios apimties, kuri būtina jiems rinkti ir toliau tvarkyti.

Preliminarios pastabos dėl asmens duomenų tvarkymo pagal nacionalinius, tarptautinius ir Europos Sąjungos teisės aktus bei teismų praktiką

Pirmiausia reikia pažymėti, kad Asmens duomenų teisinės apsaugos įstatymo nuostatos, reglamentuojančios asmens duomenų tvarkymą, dėl kurio gali būti pažeistos žmogaus teisės, ypač teisė į privatų gyvenimą, turi būti aiškinamos atsižvelgiant į konstitucines nuostatas, tarptautinius ir ES teisės aktus. Todėl teisėjų kolegija vertina, jog nagrinėjamo ginčo kontekste yra tikslinga aptarti asmens duomenų apsaugos reguliavimo įtvirtinimą Konstitucijoje, tarptautiniuose ir Europos Sąjungos teisės aktuose, taip pat asmens duomenų apsaugai aktualių teisės normų aiškinimą, pateiktą šiuos teisės aktus taikančių teisminių institucijų praktikoje.

Teisę į privataus gyvenimo apsaugą užtikrina konstitucinės nuostatos, visų pirma – Konstitucijos 22 straipsnis. Lietuvos Respublikos Konstitucinis Teismas yra pažymėjęs, jog Konstitucijos 22 straipsnyje įtvirtintos normos gina asmens teisę į privatumą. Ši teisė apima asmeninį, šeimos ir namų gyvenimą, asmens fizinę ir psichinę neliečiamybę, garbę ir reputaciją, asmeninių faktų slaptumą, draudimą skelbti gautą ar surinktą konfidencialią informaciją ir kt. Savavališkai ir neteisėtai kišantis į žmogaus privatų gyvenimą kartu yra kėsinamasi į jo garbę bei orumą (žr., pvz., 1999 m. spalio 21 d., 2000 m. gegužės 8 d. nutarimus). Konstitucinis Teismas taip pat yra nurodęs, jog Konstitucijos 25 straipsnio 3 dalis, kurioje inter alia įtvirtinta, kad laisvė gauti informaciją gali būti ribojama įstatymu, jei tai būtina apsaugoti žmogaus privačiam gyvenimui, glaudžiai susijusi su Konstitucijos 22 straipsnio nuostatomis, kuriose įtvirtintas žmogaus privataus gyvenimo neliečiamumas (2011 m. birželio 9 d. nutarimas).

Teisė į asmens privačios erdvės apsaugą nuo kitų subjektų, visų pirma, valstybės, įsikišimo pirmą kartą tarptautiniu teisiniu lygmeniu buvo nustatyta 1948 m. Jungtinių Tautų visuotinės žmogaus teisių deklaracijos 12 straipsnyje dėl teisės į privataus ir šeimos gyvenimo gerbimą. Ši teisė taip pat yra įtvirtinta Žmogaus teisių ir pagrindinių laisvių apsaugos konvencijoje, kurios 8 straipsnio 1 dalyje numatyta, kad kiekvienas turi teisę į tai, jog būtų gerbiamas jo asmeninis ir jo šeimos gyvenimas, buto neliečiamybė ir susirašinėjimo slaptumas. Europos Žmogaus Teisių Teismas yra išaiškinęs, jog duomenų, susijusių su privačiu asmens gyvenimu, laikymas, taip pat ir jų panaudojimas patenka į Konvencijos 8 straipsnio veikimo sritį (žr., pvz., 2008 m. gruodžio 4 d. sprendimą S. ir Marper prieš Jungtinę Karalystę (pareiškimo Nr. 30566/04). Pagal EŽTT praktiką, Konvencijos 8 straipsniu valstybės ne tik įpareigojamos susilaikyti nuo bet kokių veiksmų, kuriais galėtų būti pažeidžiama ši Konvencijoje įtvirtinta teisė, bet ir tam tikromis aplinkybėmis joms taip pat taikomi pozityvūs įpareigojimai aktyviais veiksmais užtikrinti faktinę pagalbą privačiam ir šeimos gyvenimui (žr., pvz., 2008 m. liepos 17 d. sprendimą I. prieš Suomiją (pareiškimo Nr. 20511/03), 2008 m. gruodžio 2 d. sprendimą K. U. prieš Suomiją (pareiškimo Nr. 2872/02).

1981 m. Strasbūre, Prancūzijoje, buvo priimta Konvencija dėl asmenų apsaugos ryšium su asmens duomenų automatizuotu tvarkymu (EST Nr. 108). Lietuvoje minėta konvencija įsigaliojo 2001 m. Šia konvencija siekiama užtikrinti, kad, tvarkant asmens duomenis automatizuotai, visų šalių teritorijose bus gerbiamos kiekvieno asmens, nepaisant jo tautybės ir gyvenamosios vietos, teisės ir pagrindinės laisvės, o svarbiausia, jo teisė į privatų gyvenimą (1 str.). Konvencijoje įtvirtinami esminiai duomenų tvarkymo principai: duomenų kokybės, pagal kurį automatizuotai tvarkomi asmens duomenys turi būti gauti ir tvarkomi sąžiningai ir teisėtai; saugomi konkrečiam ir teisėtam tikslui ir nenaudojami kitu šiam tikslui prieštaraujančiu būdu; tinkami, svarbūs ir ne pernelyg didelės apimties, kurie atitinka konkrečius tikslus; tikslūs, prireikus papildomi nauja informacija; laikomi tokio pavidalo, kad duomenų subjektų tapatybes būtų galima nustatyti ne ilgiau, nei tai yra reikalinga tam tikslui, dėl kurių duomenys buvo saugomi (5 str.); duomenų apsaugos, pagal kurį automatizuotai kaupiamiems asmens duomenims apsaugoti turi būti imtasi tinkamų apsaugos priemonių, kurios neleistų jų netyčia ar neteisėtai sunaikinti, netyčia prarasti, neleistinai palikti juos prieinamus, keisti ar platinti (7 str.) ir kt. Konvencijoje reglamentuojami principai kildintini iš kito svarbaus dokumento, glaudžiai susijusio su asmens duomenų teisine apsauga – 1980 metų Tarptautinės ekonominio bendradarbiavimo ir plėtros organizacijos (EBPO) priimtų gairių dėl asmens privatumo apsaugos ir asmens duomenų judėjimo tarp valstybių narių, kurių nuostatos nėra privalomojo pobūdžio.

Interneto požiūriu taip pat svarbus teisės aktas – Europos Tarybos Ministrų Komiteto rekomendacija Nr. R(99) 5 valstybėms narėms dėl privatumo apsaugos internete, priimta 1999 m. vasario 23 d. Šioje rekomendacijoje išvardijami interneto paslaugų naudotojų ir tiekėjų (IPT1) sąžiningos praktikos principai, kuriuos galima įtraukti į elgesio kodeksus.

Europos Sąjungos kontekste svarbi Europos Sąjungos pagrindinių teisių chartija, kurios 8 straipsnyje įtvirtinta, jog kiekvienas turi teisę į savo asmens duomenų apsaugą (1 d.); tokie duomenys turi būti tinkamai tvarkomi ir naudojami tik konkretiems tikslams ir tik atitinkamam asmeniui sutikus ar kitais įstatymo nustatytais teisėtais pagrindais. Kiekvienas turi teisę susipažinti su surinktais jo asmens duomenimis bei į tai, kad jie būtų ištaisomi (2 d.); nepriklausoma institucija kontroliuoja, kaip laikomasi šių taisyklių (3 d.).

Pagrindinis Europos Sąjungos teisės aktas, susijęs su duomenų apsauga, yra 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyva 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo. Šioje direktyvoje duomenų valdytojas reiškia tokį fizinį ar juridinį asmenį, valstybės valdžios instituciją, agentūrą ar bet kurį kitą organą, kuris vienas ar drauge su kitais nustato asmens duomenų tvarkymo tikslus ir būdus <...> (2 str. d p.). Direktyvos 95/46/EB 6 straipsnyje numatyta, jog valstybės narės numato, kad asmens duomenys turi būti adekvatūs, susiję ir savo apimtimi neviršijantys tikslų, kuriems jie renkami ir (arba) vėliau tvarkomi (c p.).

Kalbant apie socialinius interneto tinklus, svarbus ir reikšmingas yra Direktyvos 95/46/EB 29 straipsnio pagrindu įkurtos duomenų apsaugos darbo grupės dokumentas – Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo 29 straipsnio duomenų apsaugos darbo grupės Nuomonė Nr. 15/2011. Kiti aktualūs Darbo grupės dokumentai – 2007 m. birželio 20 d. priimta Nuomonė dėl asmens duomenų sąvokos, 2009 m. birželio 12 d. priimta Nuomonė dėl socialinių tinklų internete.

Europos Sąjungos Teisingumo Teismas (toliau – ir ESTT, Teisingumo Teismas) savo praktikoje primena, jog Direktyvos 95/46/EB nuostatos, reglamentuojančios asmens duomenų tvarkymą, dėl kurio gali būti pažeistos pagrindinės laisvės, ypač teisė į privatų gyvenimą, turi būti būtinai aiškinamos atsižvelgiant į Chartijoje garantuojamas pagrindines teises (žr. 2003 m. gegužės 20 d. sprendimo Österreichischer Rundfunk ir kt., C‑465/00, C‑138/01 ir C‑139/01, 68 punktą; 2014 m. gegužės 13 d. sprendimo Google Spain ir Google, C‑131/12, 68 punktą, 2015 m. spalio 6 d. sprendimo Maximillian Schrems prieš Data Protection Commissioner, C-362/14, 38 punktą). Iš Direktyvos 95/46/EB 1 straipsnio, taip pat 2 ir 10 konstatuojamųjų dalių aišku, kad ja siekiama garantuoti ne tik veiksmingą ir visapusišką fizinių asmenų pagrindinių teisių ir laisvių, ypač teisės į privatų gyvenimą, apsaugą tvarkant asmens duomenis, bet ir aukštą šių pagrindinių teisių ir laisvių apsaugos lygį. Tiek Chartijos 7 straipsnyje garantuojamos pagrindinės teisės į privatų gyvenimą, tiek jos 8 straipsnyje garantuojamos pagrindinės teisė į asmens duomenų apsaugą reikšmė yra taip pat pabrėžta Teisingumo Teismo praktikoje (žr. 2009 m. gegužės 7 d. sprendimo Rotterdam prieš M. E. E. Rijkeboer, C‑553/07, 47 punktą; 2015 m. spalio 6 d. sprendimo Maximillian Schrems prieš Data Protection Commissioner, C-362/14, 39 punktą).

ESTT praktikoje pabrėžiama, jog pagrindinės teisės į privataus gyvenimo gerbimą apsauga apima ir šio asmens galimybę įsitikinti, kad jo asmens duomenys tikslūs ir tvarkomi teisėtai. Iš Direktyvos 95/46/EB 41 konstatuojamosios dalies matyti, kad būtent siekiant sudaryti duomenų subjektui galimybę atlikti reikalingus patikrinimus, šios direktyvos 12 straipsnio a punktu jam suteikta teisė susipažinti su tvarkomais jo asmens duomenimis. Ši teisė susipažinti yra būtina, be kita ko, tam, kad duomenų subjektas prireikus galėtų iš duomenų valdytojo pareikalauti ištaisyti, ištrinti arba blokuoti šiuos duomenis ir pasinaudoti šios direktyvos 12 straipsnio b punkte įtvirtinta teise (šiuo klausimu žr. 2009 m. gegužės 7 d. sprendimo Rotterdam prieš M. E. E. Rijkeboer, C‑553/07, 49 ir 51 punktus, 2014 m. liepos 17 d. sprendimo sujungtose byloje YS prieš Minister voor Immigratie, Integratie en Asiel ir Minister voor Immigratie, Integratie en Asiel prieš M ir S., C-141/12 ir C-372/12, 44 punktą).

Taigi pagal Europos, inter alia Europos Sąjungos teisę reikalaujama užtikrinti aukšto lygio fizinių asmenų pagrindinių laisvių ir teisių, ypač jų teisės į privatų gyvenimą, tvarkant asmens duomenis, apsaugą.

Siekiant užtikrinti žmogaus privataus gyvenimo neliečiamumą nacionalinėje teisėje, asmens duomenų tvarkymo santykiai reguliuojami Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo nuostatomis. Asmens duomenų teisinės apsaugos įstatymo (2011 m. rugsėjo 1 d. redakcija) tikslas – ginti žmogaus privataus gyvenimo neliečiamumo teisę tvarkant asmens duomenis, jis reglamentuoja santykius, kurie atsiranda tvarkant asmens duomenis automatiniu būdu, taip pat neautomatiniu būdu tvarkant asmens duomenų susistemintas rinkmenas: sąrašus, kartotekas, bylas, sąvadus ir kita. Įstatymas nustato fizinių asmenų, kaip duomenų subjektų, teises, šių teisių apsaugos tvarką, juridinių ir fizinių asmenų teises, pareigas ir atsakomybę tvarkant asmens duomenis (1 str. 1, 2 d.).

Asmens duomenų teisinės apsaugos įstatymo 3 straipsnyje reglamentuojami asmens duomenų tvarkymo reikalavimai. ADTAĮ 5 straipsnis apibrėžia asmens duomenų teisėto tvarkymo kriterijus, o to paties straipsnio 1 dalies 1 punktas numato, jog asmens duomenys gali būti tvarkomi, jeigu duomenų subjektas duoda sutikimą. Pagal Direktyvos Nr. 95/46/EB 7 straipsnio a punktą, nedviprasmiškas duomenų subjekto sutikimas yra asmens duomenų tvarkymo pagrindas. Darbo grupės Nuomonėje 15/2011 dėl sąvokos „sutikimas“ apibrėžties nurodoma, jog gavus sutikimą nepanaikinami duomenų valdytojo įsipareigojimai pagal Direktyvos Nr. 95/46/EB 6 straipsnį, susiję su sąžiningumu, būtinumu ir proporcingumu, taip pat duomenų kokybe. Sutikimo gavimas taip pat nereiškia, kad leidžiama netaikyti kitų Direktyvos Nr. 95/46/EB nuostatų. Taigi asmens duomenų tvarkymas laikomas teisėtu tik tuo atveju, jeigu tai atitinka ADTAĮ 3 ir 5 straipsnių nuostatas (žr., pvz., Lietuvos vyriausiojo administracinio teismo 2015 m. vasario 12 d. nutartį administracinėje byloje Nr. A-375-858/2015).

Šiame aktualiame tarptautinių ir nacionalinių teisės aktų suponuojamų reikalavimų kontekste kilusį ginčą nagrinėjanti teisėjų kolegija vertins, ar Inspekcijos 2014 m. liepos 10 d. sprendimas Nr. 2R-3557(9.1-1) atsisakyti įrašyti pareiškėjo Pranešime pateiktą informaciją į Asmens duomenų valdytojų valstybės registro duomenų bazę, yra teisėtas ir pagrįstas. Kadangi šis atsisakymas yra grindžiamas skirtingais pagrindais, kiekvieną atsisakymo pagrindą yra tikslinga aptarti atskirai.

Dėl asmens duomenų tvarkymo tikslų

Pareiškėjas, siekdamas tvarkyti asmens duomenis automatiniu būdu (duomenų tvarkymas automatiniu būdu apima bet kokį asmens duomenų naudojimą informacinių technologijų sistemoje), t. y. asmens sutikimu naudojant viešus jo socialinio tinklo duomenis apskaičiuoti asmens kredito reitingą (mokumą), vadovaudamasis ADTAĮ 31 straipsnio 1 dalimi, pagal kurią asmens duomenys gali būti tvarkomi automatiniu būdu tik tuo atveju, kai duomenų valdytojas arba jo atstovas <...> Vyriausybės nustatyta tvarka praneša Valstybinei duomenų apsaugos inspekcijai <...>, Pranešimu kreipėsi į Inspekciją.

Pagal Lietuvos Respublikos Vyriausybės 2002 m. vasario 20 d. nutarimu Nr. 262 „Dėl Asmens duomenų valdytojų valstybės registro nuostatų ir Duomenų valdytojų pranešimo apie asmens duomenų tvarkymą taisyklių patvirtinimo“ patvirtintų Asmens duomenų valdytojų valstybės registro nuostatų (toliau – ir Registro nuostatai) 27 punktą, registro tvarkymo įstaiga, gavusi duomenų valdytojo pranešimą apie pasikeitusius registro duomenis, per 30 kalendorinių dienų nuo pranešimo gavimo dienos priima sprendimą dėl pakeitimų įrašymo į registro duomenų bazę ir pasikeitusių registro duomenų perkėlimo į registro duomenų bazės archyvą.

Pareiškėjas UAB „Creditinfo Lietuva“ Pranešime nurodė, jog tvarkys duomenis automatiniu būdu; asmens duomenų tvarkymo tikslas – mokumo vertinimas; duomenų subjektų grupė – socialinių tinklų vartotojai; su nurodyta duomenų grupe susijusių automatiniu būdu tvarkomų asmens duomenų sąrašas: vardas, pavardė, gimimo data, gyvenamoji vieta, elektroninio pašto adresas, darbovietės pavadinimas, kiti asmens duomenys – socialiniame tinkle skelbiami duomenys; asmens duomenų šaltiniai – tiesiogiai iš duomenų subjekto, iš juridinių asmenų – socialinio tinklo administratorius perduoda asmens paskyros duomenis; duomenys gaunami automatiniu būdu; duomenys teikiami duomenų subjektams apie juos pačius; asmens duomenys teikiami automatiniu būdu; duomenys į užsienio valstybes neteikiami; duomenys saugomi 3 metus; duomenų tvarkytojai – UAB „Baltic data center“. Prie minėto pranešimo buvo pridėtas Duomenų apsaugos priemonių aprašas.

Iš skundžiamo sprendimo matyti, kad vienas iš pagrindų, dėl ko buvo atsisakyta įrašyti Pranešime pateiktą informaciją į Asmens duomenų valdytojų valstybės registro duomenų bazę, – asmens duomenų tvarkymo prieštaravimas ADTAĮ 3 straipsnio 1 dalies 1 punktui, pagal kurį duomenų valdytojas privalo užtikrinti, jog asmens duomenys būtų renkami apibrėžtais ir teisėtais tikslais ir toliau nebūtų tvarkomi tikslais, nesuderinamais su nustatytaisiais prieš renkant asmens duomenis.

Aiškinant ADTAĮ 3 straipsnio 1 dalies 1 punkto nuostatą pabrėžtina, jog duomenų valdytojai turi nustatyti tikslą taip, kad tiek duomenų subjektui, tiek Inspekcijai nekiltų pagrįstų abejonių dėl šio tikslo aiškumo ir konkretumo. Šiuo atveju matyti, jog UAB „Creditinfo Lietuva“ aiškiai ir konkrečiai apibrėžė tikslą, kurį nori pasiekti, rinkdama ir tvarkydama duomenis – įvertinti asmens mokumą. Nėra pagrindo vertinti, jog šis tikslas iš esmės yra neteisėtas. Inspekcija skundžiamo sprendimo ir nemotyvuoja tuo, jog pareiškėjo nusistatytas duomenų tvarkymo tikslas pats savaime pažeidžia kokį nors įstatymą, teisės aktą ar sutartį.

Kalbant apie ADTAĮ 3 straipsnio 1 dalies 1 punkto reikalavimą duomenų valdytojui užtikrinti, jog surinkti asmens duomenys nebūtų tvarkomi tikslais, nesuderinamais su nustatytaisiais prieš renkant asmens duomenis, pastebėtina, jog pareiškėjui dar tik Inspekcijai pranešant apie asmens duomenų tvarkymo tikslą – mokumo vertinimą – nėra galimybės patikrinti, ar pareiškėjas užtikrina, jog surinkti asmens duomenys yra tvarkomi tikslais, suderinamais su nustatytaisiais prieš renkant asmens duomenis. Tai, ar pareiškėjas asmens duomenis tvarko tikslais, suderinamais su nustatytaisiais prieš renkant asmens duomenis, bus galima patikrinti tik jam šiuos duomenis pradėjus tvarkyti. Priešingai nei teigiama skundžiamame sprendime, pareiškėjo nurodomas asmens duomenų tvarkymo tikslas (mokumo vertinimas) neturi sutapti su asmens duomenų tvarkymo socialiniuose tinkluose tikslu. Tas tikslas, kurio siekiant asmens duomenys yra surinkti socialiniame tinkle „Facebook“, šiuo atveju nėra aktualus, kadangi pareiškėjas išsikelia naują tikslą ir asmens duomenis renka kitais tikslais, nei jie buvo surinkti kito subjekto socialiniame tinkle, t. y. pareiškėjas socialinį tinklą nori panaudoti kaip priemonę ir duomenų subjekto sutikimu bei tiesiogiai iš jo gauti jo asmens duomenis mokumui įvertinti. Kaip matyti iš to, kas išdėstyta, šiuo atveju ADTAĮ 3 straipsnio 1 dalies 1 punkto reikalavimai nėra pažeidžiami: pareiškėjas numatė apibrėžtą ir teisėtą tikslą, o galimybės patikrinti, ar pareiškėjas užtikrina, jog surinkti asmens duomenys yra tvarkomi tikslais, suderinamais su nustatytaisiais prieš renkant asmens duomenis, kol kas nėra, kadangi tokie duomenys dar nėra tvarkomi.

Dėl asmens duomenų tvarkymo teisėtumo

Inspekcija skundžiamame sprendime dėl asmens duomenų tvarkymo reikalavimų įgyvendinimo išdėsto ADTAĮ 3 straipsnio 1 dalies 2 punkto nuostatas, pagal kurias duomenų valdytojas privalo užtikrinti, kad asmens duomenys būtų tvarkomi tiksliai, sąžiningai ir teisėtai. Aiškinant šią įstatymo normą, pastebėtina, jog teisėtumo kriterijus reiškia, kad asmens duomenys turi būti tvarkomi nepažeidžiant įstatymų, teisės aktų, kitų teisiškai privalomų pareigų ar apribojimų. Galima suprasti, jog, Inspekcijos manymu, pareiškėjo siekiamas atlikti duomenų tvarkymas šio kriterijaus netenkina, kadangi Nuostatuose nenumatyta galimybė vertinant kredito gavėjo mokumą tvarkyti socialiniuose tinkluose esančią informaciją.

Lietuvos Respublikos vartojimo kredito įstatymas (toliau – ir VKĮ) (nuo 2012 m. sausio 1 d. galiojanti įstatymo redakcija), be kita ko, nustato vartojimo kredito davėjų ir vartojimo kredito tarpininkų pareigas bei atsakomybę teikiant vartojimo kreditus ir tikrinant vartojimo kredito gavėjų mokumą. VKĮ 8 straipsnyje yra reglamentuojama pareiga įvertinti vartojimo kredito gavėjo mokumą. Minėto straipsnio 1 dalyje įtvirtinta, jog prieš vartojimo kredito sutarties sudarymą vartojimo kredito davėjas, vadovaudamasis atsakingo skolinimo principu, privalo įvertinti vartojimo kredito gavėjo mokumą remdamasis iš vartojimo kredito gavėjo gauta pakankama informacija ir prireikus mokumui vertinti naudojamoje duomenų bazėje atlikęs patikrinimą.

Pagal VKĮ 8 straipsnio 3 dalį, vartojimo kredito gavėjų mokumo vertinimo tikslais naudojami asmens duomenys tvarkomi Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo nustatyta tvarka, o pagal to paties straipsnio 4 dalį – vartojimo kredito gavėjų mokumo vertinimo taisyklės rengiamos vadovaujantis vartojimo kredito gavėjų mokumo vertinimo principais, kuriuos nustato šio įstatymo 22 straipsnyje nurodyta priežiūros institucija (VKĮ 2 straipsnio 8 dalyje numatyta, jog priežiūros institucija – Lietuvos bankas, šio ir kitų įstatymų nustatyta tvarka vykdantis vartojimo kreditų davėjų ir vartojimo kredito tarpininkų veiklos priežiūros funkcijas).

Vadovaudamasi, be kita ko, VKĮ 8 straipsnio 3 dalimi, Lietuvos banko valdyba patvirtino Vartojimo kredito gavėjų mokumo vertinimo ir atsakingojo skolinimo nuostatus, kurių tikslas – skatinti atsakingą vartojimo kredito davėjų skolinimo praktiką, įtvirtinti pagrindines nuostatas, kriterijus ir principus, kuriais vartojimo kredito davėjai turi vadovautis tvirtindami Mokumo vertinimo ir atsakingojo skolinimo taisykles ir vertindami vartojimo kredito gavėjų mokumą (Nuostatų 1 p.).

Nuostatų 16 punkte įtvirtinta, jog prieš sudarydamas vartojimo kredito sutartį, vartojimo kredito davėjas, vadovaudamasis atsakingojo skolinimo principu, privalo visapusiškai vertinti vartojimo kredito gavėjo mokumą remdamasis iš vartojimo kredito gavėjo gauta pakankama informacija ir prireikus mokumui vertinti naudojamomis duomenų bazėmis. Vartojimo kredito gavėjo mokumas tikrinamas mokumui vertinti naudojamose duomenų bazėse su vartojimo kredito gavėjo rašytiniu sutikimu, jei šio sutikimo reikia pagal įstatymus.

Nuostatų 18 punkte numatyta, jog vartojimo kredito davėjas, vertindamas vartojimo kredito gavėjo mokumą, privalo surinkti informaciją ir įvertinti: vartojimo kredito gavėjo finansinę padėtį (vartojimo kredito gavėjo pajamų šaltinius, jų įvairovę, tvarumą, galimą kaitą ateityje ir pan.) (18.1 p.); vartojimo kredito gavėjo išlaidas pagal grupes, susijusias su įsiskolinimais finansų įstaigoms ir kitiems asmenims (18.2 p.); vartojimo kredito gavėjo kredito istoriją ir informaciją apie tai, ar vartojimo kredito gavėjas netinkamai vykdo arba netinkamai vykdė finansinius įsipareigojimus (18.3 p.); vartojimo kredito gavėjo nurodytų arba vartojimo kredito davėjui žinomų aplinkybių įtaką vartojimo kredito gavėjo ekonominei ir finansinei padėčiai bei vartojimo kredito gavėjo galimybes tinkamai vykdyti finansinius įsipareigojimus (18.4 p.); kitas reikšmingas aplinkybes (18.5 p.). Kaip matyti iš Nuostatų 18 punkto, jame nėra numatytas baigtinis sąrašas duomenų, kurie vertintini nustatant vartojimo kredito gavėjo mokumą, kadangi 18.4 punkte numatyta, jog kredito davėjas įvertina ir kitas reikšmingas aplinkybes. Taigi vien dėl to, jog Nuostatuose eksplicitiškai nėra nurodyta, kad vertinant kredito gavėjo mokumą vertintina ir socialiniuose tinkluose esanti informacija, nėra pagrindo teigti, jog tokie duomenys vertinant vartojimo kredito gavėjo mokumą negali būti vertinami, kadangi tokie duomenys galėtų būti priskirtini prie Nuostatų 18.5 punkte numatytų kitų reikšmingų aplinkybių. Taigi, atsižvelgiant į tai, kas išdėstyta, vertintina, jog pirmosios instancijos teismas ir Inspekcija pareiškėjo siekiamą atlikti duomenų tvarkymą nepagrįstai įvertino kaip neteisėtą dėl to, jog Nuostatai nenumato galimybės vertinant kredito gavėjo mokumą tvarkyti socialiniuose tinkluose esančią informaciją.

Dėl asmens duomenų tinkamumo

Pagal ADTAĮ 3 straipsnio 1 dalies 4 punktą, asmens duomenys renkami ir tvarkomi, jei jie yra tinkami. Pareiškėjo teigimu, būtent socialiniame tinkle „Facebook“ asmenų viešai skelbiami duomenys jiems yra reikalingi įvertinant asmens mokumą. Iš pareiškėjo Paaiškinimų apie „Facebook“ duomenų tvarkymą (b. l. 9) matyti, jog, pareiškėjo teigimu, tvarkomi duomenys sudaro sąlygas tiksliau įvertinti papildomas asmens mokumą apibūdinančias savybes. Inspekcijos vertinimu, asmens mokumą galima įvertinti naudojant kitus šaltinius, tam nebūtina vertinti socialinio tinklo duomenis, dėl to tokie duomenys neturėtų būti renkami ir tvarkomi. Taigi galima spręsti, jog, Inspekcijos nuomone, socialiniame tinkle „Facebook“ skelbiamų duomenų apskritai negalima rinkti ir tvarkyti, norint įvertinti asmens mokumą, kadangi, kaip motyvuojama skundžiamame sprendime, minėtame socialiniame tinkle informaciją apie save asmenys skelbia siekdami palaikyti tarpusavio ryšius su artimaisiais, draugais, bendraminčiais, bendrauti įvairias asmeniniais, privačiais tikslais ir pan., bet ne tam, kad jų skelbiama informacija būtų naudojama vertinant jų mokumą.

Tokiomis aplinkybėmis ADTAĮ 3 straipsnio 1 dalies 4 punkto aspektu svarbu nustatyti, ar socialinio tinklo „Facebook“ asmens viešai prieinami duomenys yra tinkami, siekiant įvertinti asmens mokumą. Prieš atsakant į šį klausimą, yra tikslinga apskritai aptarti socialinių tinklų paskirtį ir esmę, padėsiančius atskleisti ginčo duomenų pobūdį.

Darbo grupės 2009 m. birželio 12 d. priimtoje Nuomonėje Nr. 5/2009 dėl socialinių tinklų internete socialinių tinklų paslauga apibūdinama kaip internetinė ryšių platforma, leidžianti žmonėms susisiekti arba kurti tų pačių pažiūrų vartotojų tinklus. Kaip nurodoma Nuomonėje, teisiniu požiūriu internetiniai socialiniai tinklai yra informacinės visuomenės paslaugos, kaip apibrėžta 1998 m. birželio 22 d. Europos Parlamento ir Tarybos direktyvos 98/34/EB, nustatančios informacijos apie techninius standartus ir reglamentus teikimo tvarką, iš dalies pakeistos 1998 m. liepos 20 d.

Europos Parlamento ir Tarybos direktyva 98/48/EB, iš dalies keičiančia direktyvą 98/34/EB, nustatančią informacijos apie techninius standartus ir reglamentus teikimo tvarką 1 straipsnio 2 dalyje (dėl šiuo metu galiojančio apibrėžimo žr. 2015 m. rugsėjo 9 d. Europos Parlamento ir Tarybos direktyvos (ES) 2015/1535, kuria nustatoma informacijos apie techninius reglamentus ir informacinės visuomenės paslaugų taisykles teikimo tvarka, 1 straipsnio 1 dalies b punktą). Socialinių tinklų paslaugos turi panašių požymių: vartotojų prašoma pateikti asmens duomenis siekiant sukurti jų pačių aprašą arba profilį; socialinių tinklų paslaugų teikėjai taip pat teikia priemonių, leidžiančių vartotojams skelbti savo medžiagą (vartotojų kuriamą turinį, pvz., nuotraukas ar dienoraščio įrašą, muzikos ar vaizdo klipus arba nuorodas į kitas svetaines); socialinio darbo tinkle galimybė sukuriama naudojant priemones, kuriomis kiekvienam vartotojui pateikiamas adresatų sąrašas ir kuriomis naudodamasis vartotojas gali sąveikauti su kitais vartotojais.

Svarbus privatumo nuostatų aspektas yra prieiga prie profilyje skelbiamų asmens duomenų. Jei tokiai prieigai netaikomi jokie apribojimai, trečiosios šalys gali susieti įvairią asmeninę informaciją, susijusią su vartotojais kaip socialinių tinklų paslaugų nariais arba per programines paieškos priemones. Socialinių tinklų paslaugų teikėjai turėtų pranešti vartotojams apie savo tapatybę ir įvairius tikslus, dėl kurių jie tvarko asmens duomenis pagal Duomenų apsaugos direktyvos (Direktyva 95/46/EB) 10 straipsnio nuostatas, įskaitant šią informaciją, bet ja neapsiribojant: duomenų naudojimą tiesioginės rinkodaros tikslais; galimą duomenų keitimąsi su nurodytų kategorijų trečiosiomis šalimis; profilių peržiūrą: jų kūrimą ir pagrindinius duomenų šaltinius; neskelbtinų duomenų naudojimą.

Įvertinus socialinio tinklo „Facebook“ taisykles (prieiga internete <https://www.facebook.com/policy.php>) matyti, jog socialinio tinklo naudotojams priklauso visas turinys ir visa informacija, kurią jie skelbia „Facebook“, jie taip pat gali kontroliuoti dalijimąsi per privatumo ir taikymo nustatymus. Nurodoma, jog naudotojai, skelbiantys turinį ar informaciją naudodami viešinimo nustatymą, leidžia visiems, taip pat žmonėms, nesinaudojantiems „Facebook“, prieiti prie tos informacijos ir naudotis ja bei sieti ją su naudotoju (informaciją paskelbusiu asmeniu), t. y. jo vardu, pavarde ir profilio nuotrauka. Socialinio tinklo „Facebook“ tikslas yra teikti reklamą ar kitą komercinį arba finansuojamą turinį, kuris bus vertingas jų naudotojams ir reklamuotojams. Vartotojai, be kita ko, sutinka suteikti socialiniam tinklui leidimą naudoti naudotojo vardą, profilio nuotrauką, turinį ir informaciją dėl komercinio, finansuojamo arba susijusio turinio (pvz., patinkančios prekės ženklo), kurį „Facebook“ platina arba populiarina.

Teisės doktrinoje, kalbant apie socialinius interneto tinklus ir juose skelbiamus duomenis, taip pat yra išsakyta nuomonė, jog vieši socialinės žiniasklaidos duomenys gali būti lengvai panaudojami vertinant asmens kreditingumą, jo kitas savybes ir turėti įtakos kitų asmenų priimamiems sprendimams dėl tokio asmens (pvz., išduoti ar neišduoti paskolą, kredito kortelę, išnuomoti patalpas, automobilį) (M. Civilka, L. Šlapimaitė. Asmens duomenų samprata elektroninėje erdvėje. Teisė, 2015, Nr. 96).

Taigi socialiniai tinklai ir juose skelbiama informacija nėra išskirtinai ir tiesiogiai siejami vien su galimybe, leidžiančia žmonėms susisiekti asmeniniais tikslais, bet ir neretai yra pasitelkiami siekiant jais naudotis kaip bendradarbiavimo platforma komercine veikla užsiimantiems subjektams.

Iš pareiškėjo argumentų matyti, jog iš viešai skelbiamų socialinio tinklo „Facebook“ duomenų jis siekia įvertinti papildomas asmens mokumą apibūdinančias savybes. Teisėjų kolegijos vertinimu, Inspekcija, nustatydama, jog socialinio tinklo „Facebook“ duomenys nėra tinkami asmenų mokumui įvertinti, nepateikė konkrečių argumentų, kurie sudarytų pagrindą daryti tokią išvadą. Vien tik tai, jog, Inspekcijos nuomone, socialiniame tinkle „Facebook“ duomenys yra skelbiami ne mokumo vertinimo tikslu, nepatvirtina, kad tokie socialiniame tinkle viešai skelbiami asmens duomenys nėra tinkami siekiant įvertinti asmens mokumą. Tokia išvada yra nepagrįsta ir atsižvelgiant į tai, jog socialinių tinklų paslaugų teikėjai gali tvarkyti asmens duomenis tiesioginės rinkodaros tikslais, gali keistis duomenimis su trečiosiomis šalimis, o socialinį tinklą „Facebook“ apskritai galima apibūdinti kaip vieną išsamiausių ir labiausiai atnaujinamų duomenų bazių. Teisėjų kolegijos vertinimu, Inspekcija, darydama išvadą, jog UAB „Creditinfo Lietuva“ norimas atlikti asmens viešai socialiniame tinkle skelbiamų duomenų tvarkymas asmens mokumo vertinimo tikslais pažeidžia proporcingumo ir adekvatumo siekiamiems tikslams principus, šios išvados tinkamai nepagrindė ir nemotyvavo, pasirėmė savo subjektyviu vertinimu.

Dėl asmens duomenų apimties, kuri būtina jiems rinkti ir toliau tvarkyti

Kaip vieną iš atsisakymo įrašyti pareiškėjo pranešime pateiktą informaciją į Asmens duomenų valdytojų valstybės registro duomenų bazę atsakovas nurodė tai, jog mokumui vertinti bus naudojama informacija apie kitus, su duomenų subjektu susijusius asmenis. Inspekcijos nuomone, tai nėra susiję su asmens duomenų tvarkymo tikslais, be to, tai neatitiks ADTAĮ 5 straipsnio 1 dalyje nustatyto asmens duomenų teisėto tvarkymo kriterijaus. Taigi nagrinėjamu atveju duomenų tvarkymo teisėtumas taip pat kvestionuojamas siejant jį su numatomų tvarkyti duomenų pertekliškumu bei įstatymo reikalavimo, įtvirtinančio duomenų subjekto sutikimą, kaip vieną iš asmens duomenų teisėto tvarkymo kriterijų, nesilaikymu.

Dėl ADTAĮ 3 straipsnio 1 dalies 4 punkto reikalavimo visų pirma pažymėtina, jog šio punkto nuostatose įtvirtintas tvarkomų duomenų apimties ribojimas. Asmens duomenys renkami ir tvarkomi, jei jie yra tik tokios apimties, kuri būtina jiems rinkti ir toliau tvarkyti. Todėl asmens duomenys iš tiesų negali būti pertekliniai, neadekvatūs, o jų apimtis privalo būti tik tokia, kuri yra reikalinga ir būtina siekiant iš anksto apibrėžto, konkretaus duomenų tvarkymo tikslo.

Iš bylos medžiagos matyti, kad be ginčo pranešime apie duomenų tvarkymą nurodytų konkrečių asmens duomenų, t. y. asmens vardo, pavardės, gimimo datos, gyvenamosios vietos, el. pašto adreso ir darbovietės, pranešama apie kitų asmens duomenų – „socialiniame tinkle skelbiamų duomenų“ – tvarkymą. Inspekcijai paprašius patikslinti, kokie socialiniame tinkle skelbiami asmens duomenys bus renkami, pareiškėjas nurodė, jog tvarkomi duomenys yra išvardijami prie paaiškinimų pridedamo sutikimo tekste. Vis dėlto, iš pareiškėjo asmeniui, kuriam siūloma įvertinti mokumą, teikiamo sutikimo teksto neįmanoma sudaryti išsamaus nagrinėjamos informacijos turinio apibūdinimo. Sutikimo tekstas – nerišlus, vartojamas angliškų ir lietuviškų terminų rinkinys. Nepaisant to, ginčijamame Inspekcijos sprendime daromos išvados apie asmens duomenų, inter alia susijusių su trečiaisiais asmenimis, tvarkymo neteisėtumą.

Šiomis aplinkybėmis teisėjų kolegija pabrėžia, jog pranešimo apie duomenų tvarkymą, pateikto pagal Asmens duomenų teisinės apsaugos įstatymo 31 straipsnyje numatytą procedūrą, nagrinėjimas privalo būti konkretus. Teisėjų kolegija, įvertinusi bylos duomenis, sprendžia, jog šiuo atveju kitų asmens duomenų turinys Inspekcijos pateikto pranešimo nagrinėjimo metu nebuvo tinkamai pareiškėjo nurodytas ir Inspekcijos atskleistas.

Iš tiesų vien prielaidos, kad tam tikri duomenys gali būti susiję su trečiaisiais asmenimis, nepakanka asmens duomenų tvarkymo apimčiai ir teisėtumui nustatyti. Aplinkybė, kad bus tvarkomi trečiųjų asmenų asmens duomenys turi būti ne hipotetinė, o atidžiai nustatyta. Todėl konstatuodama neatitiktį ADTAĮ 5 straipsnyje įtvirtintiems asmens duomenų tvarkymo teisėtumo kriterijams, Inspekcija visų pirma privalo atlikti konkretų tyrimą dėl numatomų tvarkyti duomenų turinio, kuris privalo atsispindėti priimamo sprendimo motyvuose.

Pareiškėjo teigimu, atlikdamas asmens mokumą pagal asmens sutikimu perduotus viešus socialinio tinklo „Facebook“ paskyros duomenis trečiųjų asmenų asmens duomenų jis netvarko, kadangi iš „draugų“ duomenų sąrašo yra sprendžiama tik apie socialinę aplinką, o ne konkrečius asmenis. Tačiau, kaip matyti iš bylos medžiagos, pastarasis argumentas, susijęs su tvarkomų duomenų apimtimi, nėra įvertintas.

Asmens duomenų tvarkymo internete kontekste pažymėtina, jog Teisingumo Teismas 2003 m. lapkričio 6 d. sprendime Bodil Lindqvist, C-101/2001, Direktyvos 95/46 3 straipsnio 1 dalyje vartojamą sąvoką „asmens duomenys“, remiantis šios direktyvos 2 straipsnio a punkte pateiktu apibrėžimu, išaiškino kaip apimančią „bet kurią informaciją, susijusią su asmeniu <...>, kurio tapatybė yra nustatyta arba gali būti nustatyta“. Ši sąvoka neabejotinai apima asmens pavardę, susietą su šio asmens telefono numeriu ar informacija apie jo darbo sąlygas ar pomėgius (24 punktas). Interneto puslapyje minimi įvairūs asmenys, kurių tapatybė atskleidžiama nurodant pavardę arba kitus duomenis, pavyzdžiui, telefono numerį ar su darbo sąlygomis ir pomėgiais susijusią informaciją, yra atliktos visiškai ar iš dalies automatiniais būdais tvarkant asmens duomenis Direktyvos 95/46 3 straipsnio 1 dalies prasme (27 punktas). Taigi interneto puslapyje teikiama informacija apie įvairius asmenis, kurių tapatybė atskleidžiama nurodant jų vardą ir pavardę arba kitais būdais, pavyzdžiui, pateikiant jų telefono numerį ar informaciją apie jų darbo sąlygas ir pomėgius, yra asmens duomenų tvarkymas, kaip apibrėžta Direktyvoje 95/46/EB.

ESTT 2014 m. gegužės 13 d. sprendime Google Spain, Google Inc. prieš Agencia Española de Protección de Datos AEPD, Mario Costeja González, C-131/12, konstatavo, jog „Google“ veikė kaip duomenų valdytojas. Sprendime pažymėta, jog tokiam valdytojui sudarius prielaidas atlikti paiešką pagal fizinio asmens vardą, kartu su rezultatų sąrašu naudotojams bus pateikta sustruktūrinta su šiuo asmeniu susijusios informacijos, kurią galima rasti internete, apžvalga, leidžianti sudaryti daugiau ar mažiau išsamų duomenų subjekto profilį, o tai savo ruožtu gali daryti didelį neigiamą poveikį pagrindinėms teisėms į privatų gyvenimą ir asmens duomenų apsaugą.

Tuo metu Europos Sąjungos Teisingumo Teismas 2014 m. liepos 17 d. sprendime sujungtose byloje YS prieš Minister voor Immigratie, Integratie en Asiel ir Minister voor Immigratie, Integratie en Asiel prieš M ir S., C-141/12 ir C-372/12 vertino, kad trečiųjų šalių piliečių parengiamajame dokumente esantys prašymo išduoti leidimą gyventi šalyje teikėjo duomenys, tokie kaip asmenvardis, gimimo data, pilietybė, lytis, tautybė, religija ir kalba, yra informacija, susijusi su fiziniu asmeniu, kurio tapatybė šiame parengiamajame dokumente nustatyta nurodant, be kita ko, jo asmenvardį, todėl šiuos duomenis reikia laikyti asmens duomenimis (38 punktas). Tačiau ESTT dėl parengiamajame dokumente esančios teisinės analizės konstatavo, kad nors joje ir gali būti asmens duomenų, vis dėlto ji pati nėra tokie duomenys, kaip jie suprantami pagal Direktyvos 95/46 2 straipsnio a punktą (39 punktas). Tokia teisinė analizė yra ne informacija, susijusi su prašymo išduoti leidimą gyventi šalyje teikėju, bet veikiau, kaip ne tik visiškai abstraktus teisės aiškinimas, informacija apie kompetentingos institucijos pateiktą šios teisės vertinimą ir taikymą prašymo teikėjo situacijai, kuri nustatyta, be kita ko, panaudojus šios institucijos turimais jo asmens duomenimis (40 punktas).

Šiuo aspektu paminėtina ir tai, jog teisės doktrinoje laikomasi nuomonės, jog griežtai formaliai aiškinant asmens duomenų sąvoką, įtvirtintą Direktyvoje ir ADTAĮ 2 straipsnyje, informacija apie asmenį (pvz., plaukų spalva, profesija, lytis) netampa asmens duomenimis, kol šios informacijos neįmanoma susieti su egzistuojančiu asmeniu arba duomenimis, kurie užtikrina tiesioginę identifikaciją (asmenvardis, asmens kodas). Taigi asmens internetinėje paskyroje esantys duomenys, prisijungimo duomenys, el. pašto adresas, naršymo istorija, pirkimo įgūdžiai, virtualūs draugai, buvimas pažymėtu nuotraukoje (angl. – tagged) – nebus laikomi asmens duomenimis, kol nėra aišku, kokį konkretų asmenį (atskleidžiant vardą ir pavardę) ši informacija individualizuoja (M. Civilka, L. Šlapimaitė. Asmens duomenų samprata elektroninėje erdvėje. Teisė, 2015, Nr. 96).

Pažymėtina, jog ADTAĮ 2 straipsnio 1 dalis įtvirtina, kad asmens duomenys yra bet kuri informacija, susijusi su fiziniu asmeniu – duomenų subjektu, kurio tapatybė yra žinoma arba gali būti tiesiogiai ar netiesiogiai nustatyta pasinaudojant tokiais duomenimis kaip asmens kodas, vienas arba keli asmeniui būdingi fizinio, fiziologinio, psichologinio, ekonominio, kultūrinio ar socialinio pobūdžio požymiai. Iš esmės analogiškas asmens duomenų apibrėžimas yra įtvirtintas ir 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo 2 straipsnio a dalyje, kur numatyta, kad asmens duomenys reiškia bet kurią informaciją, susijusią su asmeniu (duomenų subjektu), kurio tapatybė yra nustatyta arba gali būti nustatyta; asmuo, kurio tapatybė gali būti nustatyta, yra tas asmuo, kurio tapatybė gali būti nustatyta tiesiogiai ar netiesiogiai, ypač pasinaudojus nurodytu asmens identifikavimo kodu arba vienu ar keliais to asmens fizinei, fiziologinei, protinei, ekonominei, kultūrinei ar socialinei tapatybei būdingais veiksniais.

Kaip matyti, ADTAĮ 2 straipsnio 1 dalyje įtvirtinta asmens duomenų sąvoka susideda iš kelių pagrindinių elementų: informacija; susijusi su asmeniu; kurio tapatybė jau yra arba gali būti nustatyta. Tapatybės nustatymas galimas tiesiogiai – pagal asmens vardą, pavardę, asmens kodą ir pan., arba netiesiogiai – pagal asmeniui būdingus fizinius, fiziologinius, protinius, kultūrinius, ekonominius, socialinius veiksnius.

Iš skundžiamo sprendimo matyti, jog Inspekcija nevertino, kokius konkrečiai asmens duomenis, inter alia trečiųjų asmenų, pareiškėjas tvarkys, vertindamas asmens mokumą pagal socialinio tinklo „Facebook“ duomenis, o apsiribojo abstrakčiu įvardijimu, jog mokumui įvertinti bus naudojama ir informacija apie kitus asmenis. Iš pareiškėjo pateiktos informacijos nėra pagrindo spręsti, jog jis tvarkys tokius duomenis, kaip trečiųjų asmenų vardas, pavardė, asmens kodas, t. y. tokius ir kitus duomenis, iš kurių būtų galima tiesiogiai ar netiesiogiai nustatyti trečiųjų asmenų tapatybę. Kita vertus, tais atvejais, kai duomenų subjekto tapatybę galima nustatyti panaudojant papildomą informaciją, gali būti laikoma, kad duomenų subjekto tapatybę galima nustatyti. Šiuo atveju nei Inspekcija, nei pirmosios instancijos teismas konkrečiai netyrė, ar vertinant asmens mokumą, remiantis asmens „draugų“ viešais duomenimis, tokie trečiųjų asmenų duomenys yra „asmens duomenimis“, kaip jie suprantami Direktyvos 95/46 2 straipsnio a punkto ir ADTAĮ 2 straipsnio 1 dalies kontekste, ar iš tokių duomenų galima tiesiogiai ar netiesiogiai nustatyti asmens tapatybę. Dėl to, kas išdėstyta, šiuo aspektu teismo sprendime ir skundžiame Inspekcijos sprendime padarytos išvados nėra pagrindo vertinti kaip pagrįstos ir tinkami motyvuotos.

V. Dėl asmeninių savybių vertinimo automatiniu būdu (ADTAĮ 28 str. 2 ir 3 d.)

Inspekcija skundžiame sprendime nurodė, jog UAB „Creditinfo Lietuva“, tvarkydama pranešime nurodytus asmens duomenis, nesudaro sąlygų duomenų subjektui susipažinti su nustatytais vertinimo kriterijais ir principais bei pareikšti savo nuomonę dėl jo savybių vertinimo, t. y. neįgyvendina ADTAĮ 28 straipsnio 2 ir 3 dalyse nurodytų reikalavimų.

ADTAĮ 28 straipsnio 2 dalyje numatyta, jog duomenų valdytojas, prieš pradėdamas duomenų subjekto savybių vertinimą automatiniu būdu, privalo sudaryti sąlygas duomenų subjektui susipažinti su duomenų valdytojo nustatytais vertinimo kriterijais ir principais. Duomenų valdytojui keliama pareiga sudaryti sąlygas duomenų subjektui susipažinti su duomenų valdytojo nustatytais vertinimo principais ir kriterijais atitinka ADTAĮ 23 straipsnio 1 dalies 2 punkte numatytą teisę susipažinti su savo asmens duomenimis ir kaip jie yra tvarkomi. Galiausiai ADTAĮ 28 straipsnio 3 dalyje nustatyta, jog jeigu duomenų valdytojas įvertina duomenų subjekto savybes automatiniu būdu ir duomenų subjektas nesutinka su tokiu įvertinimu, jis turi teisę pareikšti savo nuomonę dėl jo savybių įvertinimo. Duomenų valdytojas turi atsižvelgti į duomenų subjekto nuomonę ir prireikus vertinimą pakartoti neautomatiniu būdu.

Pareiškėjas nagrinėjamoje byloje neneigė aplinkybės, jog tvarkydamas asmens duomenis nesudaro sąlygų duomenų subjektui susipažinti su nustatytais vertinimo kriterijais ir principais bei pareikšti savo nuomonę dėl jo savybių vertinimo, tačiau paaiškindamas apie „Facebook“ duomenų tvarkymą nurodė, jog ADTAĮ 28 straipsnio reikalavimai šiuo metu UAB „Creditinfo Lietuva“ nėra taikomi, kadangi mokumas vertinamas pačiam asmeniui apie jį. Tačiau teisėjų kolegija su tokiu ADTAĮ 28 straipsnio aiškinimu nesutinka. Kaip matyti iš ADTAĮ 28 straipsnio ir kaip teisingai pastebėjo Inspekcija, ADTAĮ 28 straipsnio 2 ir 3 dalys taikomos kiekvienu atveju, kai yra atliekamas asmens savybių vertinimas automatiniu būdu, jokių išimčių, kuomet asmens savybes vertinant automatiniu būdu minėto straipsnio reikalavimai nebūtų taikomi, nėra numatyta. Taigi, atsižvelgiant į tai, jog pareiškėjas, atlikdamas asmens socialinio tinklo „Facebook“ profilio duomenų tvarkymo veiksmus, nesudaro sąlygų duomenų subjektui susipažinti su nustatytais mokumo vertinimo kriterijais ir principais bei pareikšti savo nuomonę dėl jo savybių vertinimo, Inspekcija pagrįstai nustatė, jog ADTAĮ 28 straipsnio 2 ir 3 dalių reikalavimai nebūtų įgyvendinti.

Pareiškėjas kartu su apeliaciniu skundu pateikė informaciją, iš kurios matyti internetiniame tinklapyje www.creditinfo.lt teikiama informacija apie socialinių tinklų reitingą (b. l. 110). Nors proceso šalys turi teisę teikti įrodymus, pagrindžiančius jų reikalavimus, dalyvauti juos tiriant, savaip juos interpretuoti, pareiškiant nuomonę dėl įrodymų galios (Lietuvos Respublikos administracinių bylų teisenos įstatymo (toliau – ir ABTĮ) 53 str. 2 d., 57 str. 4 d.), vertinti įrodymus – teismo prerogatyva. Tam, kad būtų įsitikinta egzistuojant vieną ar kitą faktą, teismas privalo patikrinti įrodymų liečiamumą, leistinumą, įrodymų pakankamumą ir tarpusavio ryšį, laikantis lygiateisiškumo principo, bet neprivalo, vertindamas vieną ar kitą įrodymą, besąlygiškai vadovautis vienos iš šalių akcentuotu įrodymo pranašumu ir būtinybe teismui vertinti šį įrodymą būtent tokiu aspektu (žr., pvz., Lietuvos vyriausiojo administracinio teismo 2003 m. birželio 11 d. nutartį administracinėje byloje Nr. A4-557/2003, Administracinių teismų praktika Nr. 4). ABTĮ 57 straipsnyje suformuluotos įrodymų vertinimo taisyklės esmė yra ta, kad bylos įrodymus vertina teismas, o nė vienos proceso šalies pateikta įrodymų interpretacija teismui nėra privaloma (žr., pvz., Lietuvos vyriausiojo administracinio teismo 2011 m. lapkričio 18 d. nutartį administracinėje byloje Nr. A143-2619/2011, Lietuvos vyriausiojo administracinio teismo biuletenis Nr. 22, p. 213‒241). Teisėjų kolegija pažymi, jog kartu su pareiškėjo Pranešimu ši informacija Inspekcijai nebuvo pateikta, dėl to minėta informacija nebuvo vertinta, taip pat nėra aišku, kada ši informacija buvo sukurta, todėl spręstina, jog šis įrodymas neatitinka įrodymams keliamo liečiamumo kriterijaus, t. y. jis nėra reikšmingas nagrinėjamam ginčui, dėl to šio įrodymo nėra pagrindo vertinti sprendžiant dėl skundžiamo Inspekcijos sprendimo teisėtumo ir pagrįstumo.

Dėl duomenų subjekto sutikimo

Su anksčiau aptarta pareiga supažinti duomenų subjektą su duomenų valdytojo nustatytais vertinimo kriterijais ir principais glaudžiai susijęs duomenų subjekto sutikimas tvarkyti jo asmens duomenis ir tokio sutikimo turinys.

Inspekcija skundžiamą sprendimą taip pat motyvavo tuo, jog, be kita ko, duomenų subjekto sutikimas tvarkyti jo asmens duomenis nėra gaunamas tinkamai – pateiktas sutikimo dėl duomenų tvarkymo tekstas nėra suprantamas ir aiškus, yra surašytas anglų kalba, įterpiant keletą lietuviškų žodžių, tekste nėra tiksliai nurodytos duomenų tvarkymo aprėpties ir padarinių.

Pirmosios instancijos teismas taip pat darė išvadą, kad pareiškėjo pateiktas sutikimo dėl duomenų tvarkymo tekstas nėra suprantamas ir aiškus.

Kaip jau buvo minėta anksčiau, duomenų subjekto sutikimas tvarkyti jo asmens duomenis yra vienas iš asmens duomenų teisėto tvarkymo kriterijų (ADTAĮ 5 str. 1 d. 1 p.). Pagal Direktyvą 95/46/EB, duomenų subjekto sutikimas reiškia bet kurį savanoriškai ir žinomai duotą konkretų duomenų subjekto pareiškimą, kuriuo duomenų subjektas nurodo savo sutikimą, kad būtų tvarkomi su juo susiję duomenys (2 str. h p.). Pagal ADTAĮ 2 straipsnio 12 dalį, sutikimas – savanoriškas duomenų subjekto valios pareiškimas tvarkyti jo asmens duomenis jam žinomu tikslu. Sutikimas tvarkyti ypatingus asmens duomenis turi būti išreikštas aiškiai – rašytine, jai prilyginta ar kita forma, neabejotinai įrodančia duomenų subjekto valią. Iš išdėstytos sutikimo sąvokos matyti, jog duomenų subjekto valios pareiškimas susideda iš kelių elementų: jis yra duodamas savo noru (duomenų subjektas gali pasirinkti, o nesutikimo atveju nekyla apgaulės, bauginimo, prievartos ar reikšmingų neigiamų padarinių grėsmė), duodamas žinomai (pagrįstas informacija) ir yra konkretus (suprantamas, duomenų tvarkymo aprėptis ir padariniai aiškiai ir tiksliai nurodyti) (taip pat žr. Nuomonę).

Darbo grupės Nuomonėje 15/2011 dėl sąvokos „sutikimas“ apibrėžties nurodyta, jog nors sutikimas gali būti bet kokios formos, turėtų būti aišku, ką konkrečiai apima pareiškimo apibrėžtis. Direktyvoje 95/46/EB pareiškimo forma nenurodyta, tačiau Nuomonėje pažymima, jog minimali pareiškimo išraiška galėtų būti bet koks ženklas, pakankamai aiškus, kad galėtų rodyti duomenų subjekto norus, ir suprantamas duomenų valdytojui.

Kalbant apie sutikimo apibrėžties elementą – sutikimo pagrįstumą informacija – Nuomonėje pažymima, jog Direktyvos 95/46/EB 10 ir 11 straipsniuose nustatyta pareiga teikti informaciją duomenų subjektams, todėl pareiga informuoti yra atskira, tačiau daugeliu atveju akivaizdžiai susijusi su sutikimu. Direktyvos 95/46/EB 10 straipsnyje numatyta, jog informavimas renkant duomenis iš duomenų subjekto valstybės narės numato, kad duomenų valdytojas arba jo atstovas privalo duomenų subjektui, iš kurio renkami su juo susiję duomenys, suteikti bent tokią informaciją, jeigu jis jos dar neturi: duomenų valdytojo arba jo atstovo, jei toks yra, tapatybė (a p.); tikslai, dėl kurių ketinama tvarkyti šiuos duomenis (b p.); bet kokia platesnė informacija, kaip duomenų gavėjai ar gavėjų kategorijos, ar į klausimus atsakoma privaloma tvarka, ar savanoriškai, taip pat galimos neatsakymo pasekmės, teisės gauti informaciją ir teisės pataisyti duomenis apie save buvimas (c p.); kiek tokios platesnės informacijos reikia, atsižvelgus į specifines duomenų rinkimo aplinkybes, kad būtų garantuotas teisingas subjekto duomenų tvarkymas. Direktyvos 95/46/EB 11 straipsnyje aptariamas informavimas, kai duomenys gaunami ne iš duomenų subjekto.

Direktyvos 95/46/EB 10 straipsnyje išdėstyti reikalavimai iš esmės atkartojami ADTAĮ 24 straipsnio 1 dalyje, pagal kurią duomenų valdytojas privalo suteikti duomenų subjektui, kurio asmens duomenis renka tiesiogiai iš jo, šią informaciją (išskyrus atvejus, kai duomenų subjektas tokią informaciją jau turi): savo (duomenų valdytojo) ir savo atstovo, jeigu šis yra, tapatybę ir nuolatinę gyvenamąją vietą (jeigu duomenų valdytojas ar jo atstovas yra fizinis asmuo) arba nurodyti pavadinimą, juridinio asmens kodą ir buveinę (jeigu duomenų valdytojas ar jo atstovas yra juridinis asmuo) (1 p.); kokiais tikslais ketinami tvarkyti duomenų subjekto asmens duomenys (2 p.); kitą papildomą informaciją (kam ir kokiais tikslais teikiami duomenų subjekto asmens duomenys; kokius savo asmens duomenis duomenų subjektas privalo pateikti ir kokios yra duomenų nepateikimo pasekmės, apie duomenų subjekto teisę susipažinti su savo asmens duomenimis ir teisę reikalauti ištaisyti neteisingus, neišsamius, netikslius savo asmens duomenis), kiek jos reikia, kad būtų užtikrintas teisingas asmens duomenų tvarkymas nepažeidžiant duomenų subjekto teisių (3 p.).

Lietuvos vyriausiasis administracinis teismas, sistemiškai aiškindamas Įstatymo 24 straipsnio 1 ir 2 dalių nuostatas, yra pažymėjęs, kad teisinis reglamentavimas įtvirtina reikalavimus, jog asmens duomenų valdytojas privalo asmens duomenų subjektui nurodyti baigtinį tvarkomų asmens duomenų sąrašą, taip pat nurodyti konkrečius duomenų gavėjus, kuriems gali būti perduoti asmens duomenys. Asmens duomenų subjektui nesuteikus tokio pobūdžio informacijos, jis neturėtų praktinių galimybių įvertinti jo asmens duomenų tvarkymo veiksmų bei duoti konkretaus sutikimo dėl asmens duomenų tvarkymo. Priešingas Įstatymo 2 straipsnio 12 dalies, 5 straipsnio 1 dalies 1 punkto, 24 straipsnio 2 dalies aiškinimas iš esmės reikštų, kad nebus pasiektas teisiniu reguliavimu siekiamas tikslas – ginti žmogaus privataus gyvenimo neliečiamumo teisę tvarkant asmens duomenis (Įstatymo 1 str. 1 d.), nes abstraktus asmens sutikimas tvarkyti jo asmens duomenis, nesuvokiant, kokios apimties duomenys bus tvarkomi, taip pat nežinant, kokiems tretiesiems asmenims jie gali būti perduoti, praktiškai neturi prasmės (žr., pvz., 2012 m. liepos 26 d. nutartį administracinėje byloje Nr. A858-2133/2012).

Iš pareiškėjo asmeniui, kuriam siūloma įvertinti mokumą pagal jo socialinio tinklo „Facebook“ profilio duomenis, pateikiamo sutikimo teksto matyti, jog jame nurodoma, kad asmuo sutinka pateikti UAB „Creditinfo Lietuva“ atitinkamą savo socialinio tinklo „Facebook“ profilio informaciją, kuri yra išvardijama vartojant angliškus ir lietuviškus žodžius. Teisėjų kolegijos vertinimu, akivaizdu, jog toks sutikimo turinys, kuriame vartojami tiek lietuviški, tiek angliški žodžiai, nėra aiškus ir suprantamas. Nuomonėje pabrėžiama, jog informacijos pateikimo būdas turi užtikrinti atitinkamos kalbos vartojimą, kad duomenų subjektai suprastų, dėl ko sutinka ir kokiais tikslais tai daro. Nors pareiškėjas nurodo, jog socialinio tinklo „Facebook“ vartotojams sutikime nurodyti terminai yra žinomi, toks jo tvirtinimas yra grindžiamas prielaidomis. Be to, kad sutikimas nėra suprantamas, jis taip pat yra nekonkretus – jame aiškiai ir tiksliai nenurodyta duomenų tvarkymo aprėptis ir padariniai. Taip pat pareiškėjas nepateikia duomenų subjektui ADTAĮ 24 straipsnio 1 dalyje išdėstytos informacijos, dėl to duomenų subjektas nėra tinkamai informuojamas apie norimus tvarkyti duomenis. Taigi, atsižvelgiant į tai, kad sutikimas nėra suprantamas, konkretus, taip pat nėra užtikrinama, jog duomenų subjektas būtų tinkamai informuotas dėl asmens duomenų tvarkymo, vertintina, jog pirmosios instancijos teismas ir Inspekcija pagrįstai nustatė, jog pareiškėjo pateikiamas sutikimo tekstas nėra tinkamas.

Dėl asmens duomenų tvarkymo mokumo vertinimo tikslais pagal ADTAĮ 21 ir 22 str.

Pareiškėjas, kaip matyti, taip pat nurodė, kad ateityje asmens duomenys mokumo vertinimo tikslu bus tvarkomi visais atvejais, todėl juos prašoma iškart registruoti ties kiekvieno mokumo vertinimo tikslu. Tačiau dėmesys atkreiptinas į tai, jog tokį prašymą jis išdėstė 2014 m. birželio 25 d. rašte „Dėl paaiškinimų apie „Facebook“ duomenų tvarkymą“ (b. l. 9).

Inspekcija šiuo aspektu, be kita ko, sprendė, jog ADTAĮ 21 ir 22 straipsniai nenumato galimybės vertinant asmens mokumą tvarkyti socialinio tinklo profilio duomenis, todėl šių duomenų tvarkymas minėtais tikslais būtų neteisėtas.

ADTAĮ IV skirsnis yra skirtas asmens duomenų apie mokumo ir finansinės rizikos vertinimą ir įsiskolinimo valdymą tvarkymui. Įstatymo 21 straipsnyje yra reglamentuojamas asmens duomenų tvarkymas asmens mokumui įvertinti ir įsiskolinimui valdyti. Šio straipsnio 1 dalyje numatyta, jog duomenų valdytojas turi teisę tvarkyti ir teikti teisėtą interesą turintiems tretiesiems asmenims laiku ir tinkamai finansinių ir (arba) turtinių įsipareigojimų jam neįvykdžiusių duomenų subjektų (toliau – skolininkai) duomenis, taip pat ir asmens kodus, kad būtų galima įvertinti asmens mokumą ir valdyti įsiskolinimą, jeigu tinkamai įgyvendinami šiame įstatyme ir kituose teisės aktuose nustatyti duomenų apsaugos reikalavimai.

ADTAĮ 22 straipsnyje yra reglamentuojamas asmens duomenų apie suteiktas finansines paslaugas, susijusias su rizikos prisiėmimu ar kreditingumo vertinimu, tvarkymas asmens mokumo ir finansinės rizikos vertinimo bei įsiskolinimo valdymo tikslais. Šio straipsnio 1 dalyje įtvirtinta, kad kredito įstaigos ir finansų įmonės, kurios teikia finansines paslaugas, susijusias su rizikos prisiėmimu ar kreditingumo vertinimu (toliau – finansinės paslaugos), (toliau – finansų įstaigos) turi teisę tvarkyti ir gauti viena iš kitos duomenų subjektų, kuriems yra suteikusios ar ketina suteikti finansinių paslaugų, ir jų įsipareigojimus minėtoms įstaigoms užtikrinančių duomenų subjektų asmens duomenis (vardą, pavardę, asmens kodą (jeigu asmens kodas nesuteiktas, – asmens dokumento duomenis), adresą, telefono ryšio numerį, pageidautų finansinių ir (arba) turtinių įsipareigojimų, dėl kurių buvo priimtas teigiamas ar neigiamas sprendimas, rūšis ir sumas, esamų finansinių ir (arba) turtinių įsipareigojimų rūšis ir sumas, vykdymo terminus, duomenis apie šių įsipareigojimų vykdymą, duomenis apie buvusius finansinius ir (arba) turtinius įsipareigojimus ir jų vykdymą, įskaitant jungtinėse skolininkų rinkmenose esančius duomenų subjektų duomenis, taip pat duomenis apie duomenų subjektų pajamas, pajamų rūšis ir jų šaltinius, duomenis apie duomenų subjektų turtą, šeiminę padėtį, einamas pareigas (darbą) ir išsilavinimą) asmens mokumo ir finansinės rizikos vertinimo ir įsiskolinimo valdymo tikslais, jeigu šie duomenų subjektai duoda sutikimą.

Taigi ADTAĮ aptariamas asmens duomenų tvarkymas apima skolininkų duomenų, taip pat jų asmens kodų tvarkymą asmens mokumo įvertinimo ir įsiskolinimo valdymo tikslais (21 str.), taip pat tų duomenų subjektų, kuriems finansų įstaigos yra suteikusios ar ketina suteikti finansinių paslaugų, ir jų įsipareigojimus minėtoms įstaigoms užtikrinančių duomenų subjektų išvardintus asmens duomenis, taip pat išvardintus duomenis apie finansinius įsipareigojimus ir turtinę padėtį bei kitus duomenis asmens mokumo ir finansinės rizikos vertinimui ir įsiskolinimo valdymui. Tiesa, jog nei ADTAĮ 21 straipsnyje, nei 22 straipsnyje nėra eksplicitiškai įtvirtinta teisė duomenų valdytojui (ADTAĮ 21 straipsnio atveju), kredito ar finansų įmonei (ADTAĮ 22 straipsnio atveju) tvarkyti socialinio tinklo paskyros duomenis asmens mokumo vertinimo tikslais.

Kita vertus, ADTAĮ yra įstatymas, ginantis žmogaus privataus gyvenimo neliečiamumo teisę tvarkant asmens duomenis (1 str. 1 d.). Šis įstatymas reglamentuoja santykius, kurie atsiranda tvarkant asmens duomenis automatiniu būdu, taip pat neautomatiniu būdu tvarkant asmens duomenų susistemintas rinkmenas: sąrašus, kartotekas, bylas, sąvadus ir kita. Įstatymas nustato fizinių asmenų, kaip duomenų subjektų, teises, šių teisių apsaugos tvarką, juridinių ir fizinių asmenų teises, pareigas ir atsakomybę tvarkant asmens duomenis (1 str. 2 d.). Tačiau ADTAĮ nėra įstatymas, kuriuo paskirtis yra reguliuoti kreditingumo vertinimo paslaugų sritį ir apibrėžti duomenis, kurie sudaro asmens mokumą.

Asmens mokumo, finansinės rizikos vertinimo ir įsiskolinimo valdymo tikslais atliekamas reikalingų duomenų tvarkymas, asmens mokumo ir finansinės rizikos vertinimas, taip pat asmens kreditingumo reitingo (balo), išskyrus kredito reitingus, kuriems taikomas Europos Parlamento ir Tarybos reglamentas (EB) Nr. 1060/2009 dėl kredito reitingų agentūrų, nustatymas Lietuvos Respublikos finansinių įstaigų įstatyme (nuo 2014 m. birželio 17 d. galiojanti įstatymo redakcija) apibrėžiamas kaip kreditingumo vertinimo paslaugos (2 str. 23 d.). Tame pačiame įstatyme kreditingumo vertinimo paslaugos priskiriamos prie finansinių paslaugų (3 str. 1 d. 11 p.).

Kaip jau minėta anksčiau, pavyzdžiui, VKĮ paskirtis yra nustatyti vartojimo kreditų teikimo sąlygas ir informavimo apie šias sąlygas reikalavimus, vartojimo kredito davėjų ir vartojimo kredito tarpininkų pareigas bei atsakomybę teikiant vartojimo kreditus ir tikrinant vartojimo kredito gavėjų mokumą <...> (1 str. 1 d.).VKĮ 8 straipsnio 1 dalyje įtvirtinta, jog prieš vartojimo kredito sutarties sudarymą vartojimo kredito davėjas, vadovaudamasis atsakingo skolinimo principu, privalo įvertinti vartojimo kredito gavėjo mokumą remdamasis iš vartojimo kredito gavėjo gauta pakankama informacija ir prireikus mokumui vertinti naudojamoje duomenų bazėje atlikęs patikrinimą. Nuostatuose, kaip pažymėta anksčiau, nėra numatytas baigtinis sąrašas duomenų, kurie vertintini nustatant vartojimo kredito gavėjo mokumą.

Teisėjų kolegijos manymu, nėra pagrįsta teigti, jog ADTAĮ 21 ir 22 straipsniuose tiesiogiai neįtvirtinus, kad šiuose straipsniuose apibrėžtiems tikslams gali būti tvarkomi socialinio tinklo asmens profilio duomenys, ribojimas tokius duomenis minėtiems tikslams tvarkyti turėtų būti kildinamas iš ADTAĮ normų. Be to, primintina, jog nesant specialaus reguliavimo dėl asmens duomenų tvarkymo, taikytinos bendrosios duomenų subjektų duomenų tvarkymą ir teikimą reglamentuojančios nuostatos (ADTAĮ 5 str.).

Kita vertus, dėmesys atkreiptinas į tai, jog pagal ADTAĮ 21 straipsnio 2 dalį, duomenų valdytojas gali tvarkyti jungtines skolininkų rinkmenas, turėdamas tikslą teikti tokius duomenis teisėtą interesą turintiems tretiesiems asmenims <...> tik šio įstatymo 33 straipsnio nustatyta tvarka pranešęs Valstybinei duomenų apsaugos inspekcijai, kuri privalo atlikti išankstinę patikrą. Pagal ADTAĮ 22 straipsnio 2 dalį, jungtinių finansinės rizikos rinkmenų valdytojais gali būti finansų įstaigos, tik šio įstatymo 33 straipsnio nustatyta tvarka pranešusios Valstybinei duomenų apsaugos inspekcijai, kuri privalo atlikti išankstinę patikrą. Inspekcija ADTAĮ 21 straipsnio 2 dalyje ir 22 straipsnio 2 dalyje nustatytais atvejais atlieka išankstinę patikrą (ADTAĮ 33 str. 1 d. 4 p.).

Pagal Valstybinės duomenų apsaugos inspekcijos direktoriaus 2006 m. vasario 2 d. įsakymu Nr. 1T-6 „Dėl Išankstinės patikros atlikimo taisyklių patvirtinimo“ patvirtintų Išankstinės patikros atlikimo taisyklių (toliau – ir Išankstinės patikros atlikimo taisyklės) 8 punktą, duomenų valdytojas privalo pateikti pranešimą (užpildytą ir duomenų valdytojo (juridinio asmens) vadovo, duomenų valdytojo (fizinio asmens) arba jų įgalioto asmens pasirašytą nustatytos formos pranešimą dėl išankstinės patikros), kai pasikeičia asmens duomenų tvarkymo veiksmai ar kita informacija, susijusi su asmens duomenų tvarkymu, dėl kurio jau buvo atlikta išankstinė patikra ir išduotas leidimas dėl tokio asmens duomenų tvarkymo, laikydamasis Taisyklių nustatytos tvarkos. Pranešime nurodoma, kokia informacija pasikeitė.

Kaip jau buvo pažymėta anksčiau, pareiškėjas tai, jog ateityje asmens duomenis mokumo vertinimo tikslu ketina tvarkyti visais atvejais, nurodė Paaiškinimuose, kai pagal Išankstinės patikros atlikimo taisykles pareiškėjas turėjo pateikti pranešimą dėl išankstinės patikros. Taigi pareiškėjas pasirinko netinkamą pranešimo apie asmens duomenų tvarkymą mokumo vertinimo tikslu visais atvejais formą ir Išankstinės patikros atlikimo taisyklėse numatyto užpildyto ir duomenų valdytojo (juridinio asmens) vadovo, duomenų valdytojo (fizinio asmens) arba jų įgalioto asmens pasirašyto nustatytos formos pranešimo dėl išankstinės patikros nepateikė, dėl to toks jo prašymas pagrįstai nebuvo tenkintas.

Dėl kitų apeliacinio skundo argumentų

Pareiškėjo atstovas teismo posėdyje sutiko, kad dėl sutikimo formos yra tobulintinų dalykų, tačiau teigė, kad dėl to Inspekcija turėjo teikti rekomendacijas ir konsultuoti, kaip galima jį pakeisti, patobulinti.

Valstybinės duomenų apsaugos inspekcijos, priėmusios ginčijamą sprendimą, atliekama funkcija – prižiūrėti ir kontroliuoti, kaip yra vykdomas ADTAĮ (ADTAĮ 36 str. 1 d.). Kalbant apie Inspekcijos paskirtį pastebėtina, jog ESTT praktikoje pažymima, kad nepriklausomų priežiūros institucijų įsteigimas valstybėse narėse yra esminis asmenų apsaugos tvarkant asmens duomenis elementas (žr. 2010 m. kovo 9 d. sprendimo Komisija prieš Vokietiją, C‑518/07, 25 punktą ir jame nurodytą teismo praktiką; 2015 m. spalio 6 d. sprendimo Maximillian Schrems prieš Data Protection Commissioner, C-362/14, 41 punktą).

Siekdamos garantuoti šią apsaugą nacionalinės priežiūros institucijos turi, be kita ko, užtikrinti teisingą, pirma, pagrindinės teisės į privatų gyvenimą ir, antra, laisvo asmens duomenų judėjimo interesų pusiausvyrą (žr. 2010 m. kovo 9 d. sprendimo Komisija prieš Vokietiją, C‑518/07, 24 punktą). Šiuo klausimu šios institucijos turi nemažai įgaliojimų ir šie įgaliojimai, kurių negalutinis sąrašas pateiktas Direktyvos 95/46 28 straipsnio 3 dalyje, yra būtinos priemonės, kad jos galėtų atlikti savo užduotis, kaip nurodyta šios direktyvos 63 konstatuojamojoje dalyje.

Taigi minėtos institucijos turi tyrimo įgaliojimus, pavyzdžiui, įgaliojimus rinkti bet kokią jų priežiūros funkcijai vykdyti būtiną informaciją, įgaliojimus imtis tokių veiksmingų intervencijos priemonių, koks yra laikinas ar galutinis draudimas tvarkyti duomenis, arba įgaliojimus kreiptis į teismą. Dėl Europos Sąjungoje garantuojamo pagrindinių teisių ir laisvių apsaugos lygio pažymima, kad Chartijos 7 ir 8 straipsniuose garantuojamų pagrindinių teisių ir laisvių apribojimus nustatančiame teisės akte pagal nusistovėjusią Teisingumo Teismo praktiką turi būti numatytos aiškios ir tikslios taisyklės, kuriomis reglamentuojama priemonės apimtis ir taikymas ir nustatomi minimalūs reikalavimai, kad asmenims, kurių duomenims tai turi įtakos, būtų suteikta pakankamai garantijų, leidžiančių veiksmingai apsaugoti jų asmens duomenis nuo piktnaudžiavimo pavojų, taip pat bet kokios neteisėtos prieigos prie jų ir neteisėto jų naudojimo.

Būtinybė turėti tokias garantijas yra dar svarbesnė tais atvejais, kai asmens duomenys tvarkomi automatiniu būdu ir egzistuoja didelis neteisėtos prieigos prie šių duomenų pavojus (žr. 2014 m. balandžio 8 d. sprendimo sujungtose bylose Digital Rights Ireland Ltd prieš Minister for Communications, Marine and Natural Resources ir kt. ir Kärntner Landesregierung ir kt., C-293/12 ir C-594/12, 54 ir 55 punktus ir juose nurodytą teismo praktiką; 2015 m. spalio 6 d. sprendimo byloje Maximillian Schrems prieš Data Protection Commissioner, C-362/14, 42–43, 91 punktus).

Aptariant Inspekcijos funkcijas priimant iš duomenų valdytojų pranešimus apie duomenų tvarkymą ir kitus dokumentus, susijusius su registro tvarkymu, registruojant ir išregistruojant duomenų valdytojus, tvarkant registro duomenų bazę ir kt. (Registro nuostatų 12.1–12.4 p.), pažymėtina, jog, vadovaujantis Registro nuostatais, registro tvarkymo įstaiga turi teisę gauti iš duomenų valdytojų pranešimus, paaiškinimus apie asmens duomenų tvarkymą ir kitus dokumentus, susijusius su registro duomenų tvarkymu (13.2 p.); skirti duomenų valdytojui terminą trūkumams pašalinti, jeigu nustatoma, kad registrui pateikti duomenys ar dokumentai yra netikslūs ar neatitinka teisės aktų nustatytų reikalavimų (13.3 p.). Bylos duomenys patvirtina, kad Inspekcija, įvertinusi pareiškėjo Pranešime pateiktus duomenis, paprašė pareiškėją plačiau paaiškinti Rašte išdėstytas aplinkybes (b. l. 10). Taigi pareiškėjui buvo sudaryta galimybė patikslinti registrui pateiktus duomenis. Be to, Registrų nuostatuose duomenų valdytojų registravimo procese nėra numatytos pareigos registro tvarkymo įstaigai teikti rekomendacijas dėl duomenų tvarkymo.

Apeliacinis skundas taip pat grindžiamas tam tikrais argumentais, susijusiais su procesinių teisės normų tinkamu įgyvendinimu.

Pareiškėjas apeliaciniame skunde, išdėstydamas nesutikimo su pirmosios instancijos teismo sprendimu argumentus, be kita ko, nurodo, jog pirmosios instancijos teismui netenkinus pareiškėjo prašymo atidėti bylos nagrinėjimą dėl svarbios priežasties, iš jo buvo atimta galimybė betarpiškai pateikti paaiškinimus dėl ginčo, tikslinti argumentus ir kt. Iš pareiškėjo 2015 m. vasario 23 d. prašymo dėl teismo posėdžio atidėjimo matyti, jog pareiškėjas šį prašymą motyvavo tuo, kad pareiškėjo atstovas A. K., kuris yra įgaliotas atstovauti pareiškėjui šioje byloje, yra gavęs kvietimą atvykti į Baltarusijos Respublikos nacionalinį banką dėl 2014 m. rugpjūčio 28 d. sutarties vykdymo, dėl tos pačios priežasties teismo posėdyje negali dalyvauti ir UAB „Creditinfo Lietuva“ generalinis direktorius A. B., kuris taip pat kviečiamas. Pirmosios instancijos teismas pareiškėjo nurodytos priežasties nelaikė pagrįsta ir bylą nagrinėjo pareiškėjo atstovui nedalyvaujant. Teisėjų kolegija pažymi, jog apeliacinės instancijos teisme byla buvo nagrinėjama žodinio proceso tvarka, dėl to pareiškėjui buvo suteikta galimybė išdėstyti visus savo argumentus, pateikti klausimus atsakovui, taip pat pateikti naujus įrodymus, taigi nagrinėjant bylą buvo užtikrinta pareiškėjo teisė būti išklausytam.

Pareiškėjas apeliaciniame skunde taip pat pažymi, jog Lietuvos bankas nepagrįstai nebuvo įtrauktas į bylos nagrinėjimą ir nedalyvavimo byloje. Teisėjų kolegijos vertinimu, atsižvelgiant į byloje kilusio ginčo individualų (ne norminį) pobūdį, pagrindo vertinti, kad Lietuvos bankas turi suinteresuotumą šioje byloje, nebuvo. Atitinkamai nebuvo pagrindo jį įtraukti į bylą trečiuoju suinteresuotu asmeniu. Be to, kaip nurodyta anksčiau, nagrinėjamos bylos dalyką sudaro asmens duomenų tvarkymo vertinimas asmens duomenų teisinės apsaugos kontekste. Šią bylą nagrinėjanti teisėjų kolegija nevertina tokių duomenų panaudojimo teisiniuose santykiuose, susiklostančiuose tarp vartojimo kredito gavėjų ir vartojimo kredito davėjų, pagrįstumo.

Apibendrindama pateiktą kilusio ginčo teisinį vertinimą, teisėjų kolegija konstatuoja, jog iš esmės nėra pagrindo pripažinti, kad pareiškėjo pateikti duomenys atitiko visas Asmens duomenų teisinės apsaugos įstatyme įtvirtintas asmens duomenų tvarkymo sąlygas ir, atitinkamai, jis turėjo būti įrašytas į Asmens duomenų valdytojų valstybės registrą. Įvertinusi Inspekcijai prašymo nagrinėjimo metu pareiškėjo pateiktą informaciją, stokojančią išsamumo ir adekvatumo, teisėjų kolegija sprendžia, jog nėra tikslinga tęsti tokio prašymo nagrinėjimą teismo įpareigojimu. Atsižvelgiant į tai, kas išdėstyta, spręstina, jog, nors pirmosios instancijos teismas kai kuriais aspektais padarė skirtingas išvadas, nei apeliacinės instancijos teismas, iš esmės buvo priimtas teisingas ir pagrįstas sprendimas netenkinti pareiškėjo skundo. Tenkinti pareiškėjo apeliacinį skundą, remiantis jame išdėstytais argumentais, nėra faktinio ir teisinio pagrindo, todėl apeliacinis skundas atmetamas, o skundžiamas Vilniaus apygardos administracinio teismo sprendimas paliekamas nepakeistas.

Vadovaudamasi Lietuvos Respublikos administracinių bylų teisenos įstatymo 140 straipsnio 1 dalies 1 punktu, teisėjų kolegija

n u t a r i a:

Vilniaus apygardos administracinio teismo 2015 m. kovo 23 d. sprendimą palikti nepakeistą, o pareiškėjo uždarosios akcinės bendrovės „Creditinfo Lietuva“ apeliacinį skundą atmesti.

Nutartis neskundžiama.

Teisėjai Irmantas Jarukaitis

Romanas Klišauskas

Skirgailė Žalimienė