2016-12-07 Nr. AB-23324-3-61-3-04060-2015-1 · Lietuvos vyriausiasis administracinis teismas

Administracinė byla Nr. eA-2333-525/2016

Teisminio proceso Nr. 3-61-3-04060-2015-1

Procesinio sprendimo kategorija: 25

(S)

LIETUVOS VYRIAUSIASIS ADMINISTRACINIS TEISMAS

N U T A R T I S

LIETUVOS RESPUBLIKOS VARDU

2016 m. gruodžio 7 d.

Vilnius

Lietuvos vyriausiojo administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Laimučio Alechnavičiaus (pranešėjas), Ramūno Gadliausko (kolegijos pirmininkas) ir Dalios Višinskienės,

rašytine apeliacinio proceso tvarka išnagrinėjo administracinę bylą pagal atsakovo Valstybinės duomenų apsaugos inspekcijos apeliacinį skundą dėl Vilniaus apygardos administracinio teismo 2015 m. lapkričio 17 d. sprendimo administracinėje byloje pagal pareiškėjo Kalvarijos globos ir užimtumo centro skundą atsakovui Valstybinei duomenų apsaugos inspekcijai dėl nurodymo panaikinimo.

Teisėjų kolegija

n u s t a t ė:

I. Pareiškėjas Kalvarijos globos ir užimtumo centras (toliau – ir pareiškėjas, Centras) 2015 m. balandžio 28 d. teismui pateikė skundą, prašydamas panaikinti Valstybinės duomenų apsaugos inspekcijos (toliau – ir atsakovas, Inspekcija) 2015 m. liepos 13 d. nurodymą dėl asmens duomenų tvarkymo Nr. 2R-4085 (toliau – ir Nurodymas) ir priteisti bylinėjimosi išlaidas.

Pareiškėjas paaiškino, kad Inspekcija, išnagrinėjusi jo darbuotojų skundą, 2015 m. liepos 13 d. priėmė Nurodymą, kuriuo pareiškėjui nurodė sustabdyti įrenginio pagalba renkamų asmens duomenų tvarkymą, kol bus pašalinti skundo nagrinėjimo metu nustatyti Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ir ADTAĮ) pažeidimai. Pareiškėjas nurodė, kad jam priklausė tarnybinis automobilis „Mitsubishi Outlander Sport“, kurį darbuotojai naudojo tarnybos reikmėms. Naudojimąsi tarnybiniu automobiliu reglamentavo Tarnybinių lengvųjų automobilių naudojimo Kalvarijos globos ir užimtumo centre ir kompensacijų už netarnybinio automobilio naudojimą tarnybos reikmėms mokėjimo taisyklės, patvirtintos Centro direktoriaus 2014 m. spalio 1 d. įsakymu Nr. 67 VK (toliau – ir Taisyklės). Tarnybinius automobilius darbuotojai galėjo naudoti tik tarnybos reikmėms bei Centro funkcijoms vykdyti. Šios nuostatos užtikrinimui Centras nusprendė minėtame tarnybiniame automobilyje įdiegti vietos nustatymo įrenginį (GSM/GPS įrenginys), kuris nustatė transporto priemonės buvimo vietą, judėjimo kryptį bei greitį (toliau – ir Įrenginys). Įrenginys sumontuotas 2014 m. gruodžio 10 d., montavimo darbus atliko uždaroji akcinė bendrovė (toliau – ir UAB) „Kajetonas“. 2014 m. gruodžio 10 d. pareiškėjas su UAB „Kajetonas“ sudarė Mobiliojo objekto kontrolės paslaugų sutartį, pagal kurią UAB „Kajetonas“ pardavė įrangą ir įsipareigojo įrengti ir techniškai prižiūrėti bei teikti „eTransportas“ paslaugą, t. y. mobiliųjų objektų kontrolės paslaugą. Įrenginiu gauti duomenys buvo apdorojami „Web Fleet“ transporto valdymo paslauga. Duomenis buvo galima gauti prisijungus prie interneto tinklalapio www.eraservice.lt, turint prisijungimo kodą. Techninę paslaugos dalį prižiūrėjo UAB „AKTKC“, kuri užtikrino, kad duomenys iš Įrenginio būtų tinkamai įrašyti į serverius ir vartotojas galėtų prisijungti prie paskyros. UAB „AKTKC“ 2015 m. kovo 3 d. rašte paaiškino, kad automobilyje sumontuota ne „sekimo“, o vietos nustatymo ir komunikavimo įranga, kuria fiksuojama transporto priemonės buvimo vieta, nuvažiuotas atstumas, važiavimo ir stovėjimo laikas. Vaizdas ar garsas neperduodamas.

Pareiškėjas teigė, kad Centro darbuotojai apie Įrenginio įmontavimą ir naudojimą tarnybiniame automobilyje buvo informuoti žodžiu 2014 m. gruodžio 29 d. vykusiame visuotiniame darbuotojų susirinkime. Centro direktoriaus 2015 m. balandžio 20 d. įsakymu Centro darbuotojai buvo pasirašytinai informuoti, kad automobilyje „Mitsubishi Outlander“ įrengtas Įrenginys, kuris nustatė transporto priemonės buvimo vietą, judėjimo kryptį, greitį bei statistinę laiko informaciją. Pareiškėjo vertinimu, atsakovas nepagrįstai sutapatino Įrenginiu gaunamus duomenis apie automobilį su duomenimis apie asmenį. Automobilio parametrų traktavimas kaip asmens duomenų neatitiko ADTAĮ įtvirtintos asmens duomenų sampratos, nes automobilio parametrai nesusiję su fiziniu asmeniu. Nurodyme nepaaiškinta, kaip automobilio parametrus galima susieti su konkrečiu asmeniu. Įrenginiu nevykdomas automobilio salono vaizdo stebėjimas ar garso įrašinėjimas.

Pareiškėjas tvirtino, kad Centras neturėjo tikslo sekti darbuotojus ir jų nesekė. Įrengti Įrenginį paskatino su tarnybinio automobilio naudojimu kilusios problemos. Kalvarijos savivaldybės darbo aptarimo su socialinės rizikos ir probleminėmis šeimomis 2014 m. balandžio 30 d. susirinkime buvo analizuotas klausimas dėl transporto užtikrinimo lankant socialinės rizikos šeimas Kalvarijos savivaldybėje. Centro darbuotojos informavo, kad jos negalėjo efektyviai vykdyti darbo šeimose, nes susidūrė su transporto naudojimo problemomis. Susirinkimo metu buvo įvardyta, kad stigo kuro, nesilaikyta grafiko, nepakako finansavimo. Įrenginio įrengimu buvo siekta išspręsti transporto naudojimo problemas, taupyti lėšas kurui, eksploatacijai, užtikrinti naudojimąsi automobiliu pagal grafiką. Naudojant Įrenginį automobilis taip pat buvo saugomas nuo vagysčių. Pareiškėjas paaiškino, kad tokių įrenginių naudojimas buvo įprasta praktika tiek privačiose įmonėse, tiek valstybės institucijose. Be to, pareiškėjas privalėjo Lietuvos Respublikos socialinės apsaugos ir darbo ministerijai teikti informaciją, reikalingą 2016 metų lėšų poreikiui socialinei priežiūrai socialinės rizikos šeimoms apskaičiuoti. Centras turėjo pateikti informaciją apie darbuotojo kelionei pas šeimą ir iš jos sugaištą laiką (minutėmis). Tokią informaciją tiksliai surinkti ir apskaičiuoti padėjo Įrenginys.

Atsakovas Valstybinė duomenų apsaugos inspekcija atsiliepimu į pareiškėjo skundą prašė jį atmesti.

Atsakovas nurodė, kad pareiškėjas tvarkė duomenis apie automobilį, kurie netiesiogiai buvo susiję su konkrečiu pareiškėjo darbuotoju ir jį netiesiogiai identifikavo, šie duomenys laikytini asmens duomenimis. Pareiškėjas tvarkė darbuotojų, besinaudojančių automobiliu, asmens duomenis: vardą, pavardę, darbovietę, automobilio valstybinį numerį, bei Įrenginiu gautus asmens duomenis: automobilio judėjimo trajektoriją, sustojimus su įjungtu ir išjungtu varikliu, nuvažiuotą kelią, judėjimo pradžios ir pabaigos laiką, vidutinį ir didžiausią važiavimo greitį.

Atsakovas pažymėjo neteigiantis, jog Įrenginys naudotas darbuotojų sekimui. Inspekcija, atsižvelgdama į pareiškėjo nurodytus asmens duomenų, gautų naudojant Įrenginį, tvarkymo tikslus, pripažino, kad pareiškėjo siekiami tikslai tvarkant šiuos duomenis nepažeidė ADTAĮ 5 straipsnio 1 dalies 6 punkte nustatyto teisėto tvarkymo kriterijaus ir duomenys galėjo būti toliau renkami ir tvarkomi, tačiau reikėjo užtikrinti Centro darbuotojų teises, numatytas ADTAĮ – duomenų subjekto teisę žinoti apie savo asmens duomenų tvarkymą bei teisę nesutikti su tokiu duomenų tvarkymu. Įrenginys, kurį naudojant gaunami asmens duomenys, buvo automatinė asmens duomenų tvarkymo priemonė, vėliau duomenys apdoroti, saugoti, naudoti kitose automatinėse priemonėse: informacinėse sistemose, duomenų bazėse, kompiuteriuose bei serveriuose. Tai matyti iš pareiškėjo su UAB „Kajetonas“ 2014 m. gruodžio 10 d. sudarytos Mobiliojo objekto kontrolės paslaugų sutarties Nr. NTS-141210-01/16 nuostatų dėl „eTransportas“ paslaugos teikimo internetu.

Atsakovas pastebėjo, kad pareiškėjas teigė savo darbuotojus apie Įrenginio sumontavimą ir asmens duomenų tvarkymą informavęs žodžiu tik 2014 m. gruodžio 29 d., t. y. praėjus 19 dienų nuo Įrenginio sumontavimo dienos, visuotinio darbuotojų susirinkimo metu, tačiau nepateikė informacijos, nustatytos ADTAĮ 24 straipsnio 1 dalyje ir 27 straipsnio 1 dalyje. Atsižvelgiant į tai, kad tarp duomenų valdytojo ir duomenų subjektų susiklostę darbo teisiniai santykiai, informacija pateiktina raštu. Inspekcija padarė išvadą, kad pareiškėjas asmens duomenis tvarkė nesilaikydamas privalomos procedūros ir tuo pažeidė ADTAĮ 3 straipsnio 1 dalies 2 punktą.

Atsakovas atkreipė dėmesį į tai, kad skundo nagrinėjimo metu pareiškėjas 2015 m. balandžio 20 d. įsakymo Inspekcijai nepateikė. Išnagrinėjus šio įsakymo turinį matyti, kad darbuotojai raštu informuoti tik apie tai, kad automobilyje buvo sumontuotas Įrenginys, nurodant, jog jis nustatė transporto priemonės buvimo vietą, judėjimo kryptį, greitį bei statistinę laiko informaciją, tačiau nepateikiant ADTAĮ 24 straipsnio 1 dalyje bei 27 straipsnio 1 dalyje nustatytos informacijos, todėl laikytina, jog pareiškėjas ir toliau nevykdė šių ADTAĮ reikalavimų.

II. Vilniaus apygardos administracinis teismas 2015 m. lapkričio 17 d. sprendimu pareiškėjo skundą tenkino iš dalies ir panaikino ginčijamo nurodymo dalį dėl 3 punkte nustatyto įpareigojimo informuoti Centro darbuotojus apie renkamų asmens duomenų tvarkymą, pateikiant papildomą informaciją, nustatytą ADTAĮ 24 straipsnio 1 dalyje.

Teismas išdėstė aktualų teisinį reguliavimą ir nustatė, kad atsakovas Nurodymu pareiškėjui nurodė sustabdyti Įrenginiu renkamų asmens duomenų tvarkymą, kol bus pašalinti ADTAĮ pažeidimai; užtikrinti, kad tvarkant Įrenginiu gautus asmens duomenis būtų įgyvendinami ADTAĮ 3 straipsnio 1 dalies 2 punkto reikalavimai, t. y. taikant ADTAĮ 5 straipsnio 1 dalies 6 punkte nustatytą asmens duomenų teisėto tvarkymo kriterijų, supažindinti duomenų subjektus su jų teise nesutikti, kad būtų tvarkomi jų asmens duomenys, numatyta ADTAĮ 27 straipsnio 1 dalyje, išskyrus ADTAĮ 23 straipsnio 2 dalyje nustatytas išimtis; papildomai informuoti Centro darbuotojus apie Įrenginiu renkamų asmens duomenų tvarkymą, pateikiant papildomą informaciją, nustatytą ADTAĮ 24 straipsnio 1 dalyje; papildyti Asmens duomenų tvarkymo ir konfidencialios informacijos nustatymo, naudojimo bei konfidencialumo laikymosi tvarką, patvirtintą Centro direktoriaus 2013 m. liepos 30 d. įsakymu Nr. 29 VK (toliau – ir Tvarka), nuostatomis, numatančiomis Inspekcijos direktoriaus 2008 m. lapkričio 12 d. įsakymu Nr. 1T-71 „Dėl bendrųjų reikalavimų organizacinėms ir techninėms asmens duomenų saugumo priemonėms patvirtinimo“ patvirtinto dokumento (toliau – ir Bendrieji reikalavimai) 8.1, 8.2, 8.4-8.8, 8.10-8.15 punktų reikalavimų įgyvendinimo tvarką; papildyti sutartį su UAB „Kajetonas“, numatant, kad Įrenginiu gauti asmens duomenys duomenų tvarkytojo – UAB „Kajetonas“ – turi būti nedelsiant sunaikinti sutarčiai pasibaigus arba ją nutraukus; pateikti Inspekcijai pranešimą apie automatiniu būdu Įrenginiu renkamų asmens duomenų tvarkymą pagal Lietuvos Respublikos Vyriausybės 2002 m. vasario 20 d. nutarimu Nr. 262 patvirtintų Duomenų valdytojų pranešimo apie duomenų tvarkymą taisyklių reikalavimus.

Atsakovas konstatavo, kad Centro siekiami tikslai tvarkant Įrenginiu gautus asmens duomenis nepažeidė ADTAĮ 5 straipsnio 1 dalies 6 punkte nustatyto teisėtumo kriterijaus, tačiau sprendė, kad Centro darbuotojų informavimas apie duomenų rinkimą 2014 m. gruodžio 29 d. susirinkime žodžiu buvo nepakankamas dėl informacijos stokos, ir konstatavo ADTAĮ 3 straipsnio 1 dalies 2 punkto pažeidimą. Atsakovas pažymėjo, kad Tvarkoje nebuvo reglamentuoti klausimai, nurodyti Bendruosiuose reikalavimuose, tuo pažeidžiant ADTAĮ 30 straipsnio 5 dalį. Pareiškėjo su UAB „Kajetonas“ sudarytoje Mobiliojo objekto kontrolės paslaugų sutartyje nebuvo aptartas duomenų sunaikinimo klausimas sutarčiai pasibaigus ar ją nutraukus, tuo pažeidžiant ADTAĮ 30 straipsnio 1 ir 5 dalis, Bendrųjų reikalavimų 8 punktą.

Centro darbuotojai 2014 m. gruodžio 31 d. atsakovui pateikė skundą, kuriuo skųstasi dėl sekimo įrangos įdiegimo tarnybiniame automobilyje „Mitsubishi Outlander“. Atsakovas 2015 m. sausio 22 d. raštu Nr. 2R-346(2.13) kreipėsi į pareiškėją, prašydamas pateikti informaciją apie automobilyje sumontuotą įrangą bei ja gautų duomenų tvarkymą. Centras 2015 m. vasario 2 d. raštu Nr. 23S paaiškino, kad Įrenginys sumontuotas 2014 m. gruodžio 10 d. Įrenginio sumontavimo tikslas – efektyvus tarnybinio automobilio naudojimas, darbo planavimas. Įrenginiu fiksuojama transporto priemonės buvimo vieta, judėjimo kryptis, maršrutas ir greitis, nefiksuojamas vaizdas ir garsas. Darbuotojai buvo informuoti 2014 m. gruodžio 29 d. visuotiniame darbuotojų susirinkime. Papildomus paaiškinimus pareiškėjas pateikė 2015 m. vasario 11 d. raštu Nr. 29S, 2015 m. kovo 4 d. raštu Nr. 42S bei 2015 m. kovo 4 d. elektroniniu laišku. Kalvarijos savivaldybės Darbo aptarimo su socialinės rizikos ir probleminėmis šeimomis susirinkimo 2014 m. balandžio 30 d. protokole Nr. 13 pažymėta, kad svarstytas klausimas dėl transporto užtikrinimo lankant socialinės rizikos šeimas Kalvarijos savivaldybėje. Socialinės darbuotojos skundėsi, kad lankydamos šeimas nuolat susidūrė su transporto problema, trūko kuro, vykimo į šeimas grafike nurodytu metu automobilis būdavo užimtas.

Pareiškėjas teismui pateikė Įrenginio vartojimo vadovą. Iš „Web Fleet“ vartotojo vadovo matyti, kad „Web Fleet“ paslauga suteikė galimybę bet kur ir bet kada stebėti transporto priemonės buvimo vietą esamuoju laiku, kontroliuoti transporto priemonės maršrutus, gauti informaciją apie transporto priemonės kuro lygį, judėjimo greitį, šaldytuvo temperatūrą, šaldytuvo durų būseną, borto kompiuterio duomenis, bendrauti su vairuotoju tekstiniais pranešimais, gauti statistinę informaciją, darbo laiko, kelionių lapo, kuro suvartojimo ataskaitas. Pareiškėjas su UAB „Kajetonas“ 2014 m. gruodžio 10 d. sudarė Mobiliojo objekto paslaugų sutartį Nr. NTS-141210-01-01/16, pagal kurią pareiškėjui teikta mobiliųjų objektų kontrolės paslauga „eTransportas“. „eTransportas“ paslauga apėmė objekto vietos nustatymo, laiko, judėjimo maršruto atvaizdavimo skaitmeniniuose žemėlapiuose, telemetrinių duomenų (variklio užvedimo spynelės įjungimo trukmės ir kitų prijungtų elektroninių prietaisų būsenų) atvaizdavimą grafine, tekstine ar skaitine forma. Įrenginio techninėje specifikacijoje nurodyta, kad įrenginys surenka duomenis iš palydovų ir atvaizduoja žemėlapyje bei fiksuoja būsenas, juo transporto priemonė stebima realiu laiku, surenkamas, apdorojamas ir persiunčiamas į serverį tikslus maršrutas, siunčiami duomenys ir komandos SMS žinutėmis, identifikuojamas vairuotojas arba fiksuojama temperatūra. Elektroniniu laišku pareiškėjas pateikė UAB „AKTKC“ 2015 m. kovo 3 d. raštą Nr. SR-140303-01, kuriame paaiškinta, kad Įrenginiu galima nustatyti transporto priemonės buvimo vietą realiu laiku, dienos ar pasirinkto laikotarpio maršrutą, transporto priemonės rezervavimo modulį, elektroninius kelionės lapus, darbo laiką, aplankytus objektus, greičio ataskaitą. Iš esmės pareiškėjas rinko duomenis, susijusius su automobiliu, tačiau automobilis nebuvo savarankiškai veikiantis prietaisas ir veikė tik vairuojamas asmens.

Centro direktoriaus 2014 m. spalio 1 d. įsakymu Nr. 67VK buvo patvirtintos Taisyklės, pagal kurių 9 punktą automobiliai naudojami surašant kelionės lapus, kuriuose pateikiama detali informacija apie kelionės eigą. Vadinasi, kiekvienas asmuo, kuris naudojosi automobiliu, buvo neabejotinai identifikuotas ir jo tapatybė buvo žinoma. Centro direktorius 2015 m. balandžio 20 d. įsakymu patvirtino darbuotojų, turinčių teisę vairuoti lengvuosius tarnybinius automobilius, sąrašą. Minimos aplinkybės rodė, jog pareiškėjas rinko duomenis apie darbuotojų buvimo vietą, vairavimo įpročius, kitą su automobilio naudojimu susijusią informaciją. Teismas, atsižvelgęs į 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (toliau – ir Direktyva) preambulės 26 punktą, konstatavo, kad, Įrenginiu gautą informaciją suderinus su kelionės lapais, asmens tapatybė visada bus nustatyta itin tiksliai, todėl nebuvo pagrindo šiuos duomenis laikyti anoniminiais. Teismas darė išvadą, kad atsakovas pareiškėjo renkamus duomenis pagrįstai pripažino asmens duomenimis ADTAĮ 2 straipsnio 1 dalies prasme. Šie duomenys buvo akivaizdžiai susiję su asmeniu, jo socialinėmis savybėmis, leido bet kuriuo metu nustatyti asmens vairuojamo automobilio buvimo vietą.

Teismas pastebėjo, kad byloje nebuvo ginčo dėl teisėto tikslo tvarkyti asmens duomenis turėjimo. Atsakovas pripažino, kad Įrenginiu gaunamų duomenų tvarkymas atitiko ADTAĮ 5 straipsnio 1 dalies 6 punkte nustatyto teisėto tvarkymo kriterijaus reikalavimus. Tai reiškė, kad pareiškėjas galėjo naudotis Įrenginiu, tačiau turėjo įvykdyti ADTAĮ reikalavimus dėl asmens duomenų tvarkymo.

Ginčijamame nurodyme pažymėta, kad duomenų subjektai turėjo būti supažindinti su duomenų subjektų teisėmis, be kita ko teise nesutikti, kad jų asmens duomenys būtų tvarkomi (ADTAĮ 23 str. 1 d.). Jiems turėjo būti pateikta informacija, numatyta ADTAĮ 24 straipsnio 1 dalyje. Centro 2014 m. gruodžio 29 d. Visuotinio darbuotojų susirinkimo protokole užfiksuota, kad darbuotojai informuoti, jog automobilyje „Mitsubishi Outlander“ sumontuotas vietos nustatymo įrenginys (GSM/GPS), kuris nustatė transporto priemonės buvimo vietą, judėjimo kryptį bei greitį. Duomenys bus apdorojami „Web Fleet“ transporto valdymo paslauga. Centro direktorius 2015 m. balandžio 20 d. įsakymu Nr. 24VK darbuotojus informavo, kad automobilyje „Mitsubishi Outlander“ įrengtas vietos nustatymo įrenginys, kuris nustatė transporto priemonės buvimo vietą, judėjimo kryptį, greitį ir statistinę laiko informaciją. Su šiuo įsakymu Centro darbuotojai supažindinti pasirašytinai. Iš Centro darbuotojų, turinčių teisę vairuoti lengvuosius automobilius, pareigybių sąrašo matyti, kad ši teisė suteikta 10 darbuotojų. Su 2015 m. balandžio 20 d. įsakymu nesupažindintas V. R.

Teismas nurodė, kad ADTAĮ 24 straipsnio 1 dalies normos taikomos tiesioginio informacijos rinkimo atveju. Bylos aplinkybės leido konstatuoti, kad duomenų, gautų naudojant Įrenginį, rinkimas buvo netiesioginis duomenų rinkimas, kadangi duomenų subjektai jokios informacijos neteikė, o pareiškėjas ją gavo savo nuožiūra ir iniciatyva. Netiesioginio duomenų rinkimo atveju ADTAĮ 24 straipsnio 1 dalies taisyklės netaikomos. Tuo labiau, kad ši informacija duomenų subjektams iš dalies buvo žinoma. Darbuotojai nebuvo tinkamai supažindinti tik su informacijos rinkimo tikslu ir savo teisėmis, nustatytomis ADTAĮ 23 straipsnio 1 dalyje. Be to, UAB „Kajetonas“ PVM sąskaita faktūra už Įrenginio įrengimą pateikta 2014 m. gruodžio 10 d. Pareiškėjas nurodė, kad kaip tik šią dieną buvo sumontuotas Įrenginys. Taigi, atsakovas teisingai pastebėjo, jog supažindinimas su duomenų rinkimu buvo pavėluotas.

Teismas akcentavo, kad atsakovas pareiškėją taip pat įpareigojo Tvarką papildyti Bendrųjų reikalavimų 8.1, 8.2, 8.4-8.8, 8.10-8.15 punktais. Bendrųjų reikalavimų 8 punkto papunkčiuose išdėstytos organizacinės ir techninės asmens duomenų saugumo priemonės, kurios turėjo būti įtrauktos į rašytinės (popierinės ar elektroninės) formos dokumentą (duomenų valdytojo patvirtintose asmens duomenų tvarkymo taisyklėse, duomenų valdytojo ir duomenų tvarkytojo sudarytoje sutartyje ir pan.). Pažymėtina, kad nustačius, jog pareiškėjo tvarkomi duomenys atitiko asmens duomenų sąvoką, jis turėjo laikytis ir Bendrųjų reikalavimų.

Teismas pabrėžė, kad asmens duomenys gali būti tvarkomi automatiniu būdu tik tuo atveju, kai duomenų valdytojas arba jo atstovas Vyriausybės nustatyta tvarka praneša Inspekcijai, išskyrus nustatytus atvejus (ADTAĮ 31 str. 1 d.). Lietuvos Respublikos Vyriausybės 2002 m. vasario 20 d. nutarimu Nr. 262 patvirtintos Duomenų valdytojų pranešimo apie duomenų tvarkymą taisyklės, kurios nustatė pranešimo apie asmens duomenų tvarkymą turinį ir pateikimo tvarką. Taigi, Inspekcijos reikalavimas dėl pranešimo pateikimo buvo teisėtas.

Teismas atkreipė dėmesį į tai, kad pareiškėjas duomenis gavo su UAB „Kajetonas“ 2014 m. gruodžio 10 d. sudarytos Mobiliojo objekto paslaugų sutarties Nr. NTS-141210-01-01/16 pagrindu. ADTAĮ 4 straipsnis numato, kad asmens duomenys saugomi ne ilgiau, negu to reikalauja duomenų tvarkymo tikslai. Kai asmens duomenys nebereikalingi jų tvarkymo tikslams, jie turi būti sunaikinami, išskyrus tuos, kurie įstatymų nustatytais atvejais turi būti perduoti valstybės archyvams. Teisėjų kolegijos vertinimu, tuo patvirtintas Nurodymo reikalavimo dėl papildomo punkto sutartyje su UAB „Kajetonas“ įrašymo pagrįstumas.

Teisėjų kolegija darė išvadą, kad, kadangi neatlikus asmens duomenų rinkimui būtinų veiksmų asmens duomenų tvarkymas nebuvo galimas, Įrenginiu renkamų asmens duomenų tvarkymo veikla buvo pagrįstai sustabdyta iki bus pašalinti ADTAĮ pažeidimai.

Dėl pareiškėjo prašymo priteisti bylinėjimosi išlaidas teisėjų kolegija pažymėjo, kad pareiškėjas nepateikė dokumentų dėl šių išlaidų turėjimo, todėl jo prašymas paliktas nenagrinėtu.

III. Atsakovas Valstybinė duomenų apsaugos inspekcija apeliaciniu skundu prašo Vilniaus apygardos administracinio teismo 2015 m. lapkričio 17 d. sprendimą panaikinti dalyje, kuria panaikintas Nurodymo 3 punktas, ir priimti naują sprendimą.

Atsakovas teigia, kad nagrinėjamu atveju pareiškėjas asmens duomenis rinko tiesiogiai iš duomenų subjektų – Centro darbuotojų, tam naudodamas techninę priemonę – Įrenginį. Nors darbuotojams nereikia atlikti jokių papildomų veiksmų, išskyrus pradėti naudotis pareiškėjo tarnybiniu automobiliu, kad būtų surinkti jų asmens duomenys, negalima teigti, kad šie duomenys yra renkami ne iš pareiškėjo darbuotojų. Šiems darbuotojams nesinaudojant tarnybiniu automobiliu, jų asmens duomenys nėra ir negali būti renkami, nes pareiškėjas neturi galimybės jų gauti. Tuo tarpu asmens duomenis renkant iš kito šaltinio (pvz., kito duomenų valdytojo ar duomenų tvarkytojo), asmens duomenų gavimas nuo duomenų subjekto dalyvavimo duomenų rinkimo procese nepriklauso. Tai matyti ir palyginus ADTAĮ 24 straipsnio 2 dalies 3 punktą su 24 straipsnio 1 dalimi. Atsižvelgiant į tai, atsakovo vertinimu, pareiškėjas duomenų subjektams privalo suteikti informaciją, numatytą ADTAĮ 24 straipsnio 1-3 dalyse.

Pareiškėjas Kalvarijos globos ir užimtumo centras atsiliepimu į atsakovo apeliacinį skundą prašo jį atmesti.

Pareiškėjas sutinka su teismo pozicija, kad nagrinėjamu atveju duomenys Įrenginiu yra renkami netiesiogiai, kadangi duomenų subjektai jokios informacijos neteikia, o pareiškėjas ją gauna savo nuožiūra ir iniciatyva. Dėl šios priežasties ADTAĮ 24 straipsnio 1 dalies normos pareiškėjui netaikytinos. Pareiškėjas paaiškina, kad atsakovas nepagrįstai sutapatino Įrenginiu gaunamus duomenis apie automobilį su duomenimis apie asmenį, nes duomenys apie konkretų asmenį gaunami tik jei tam kyla poreikis, o ne tiesiogiai. Duomenys apie konkretų asmenį gaunami tik Įrenginio rodmenis susiejus su konkretaus darbuotojo kelionės lapais, kuriuos pareiškėjui pateikdavo patys jo darbuotojai. Pareiškėjas teigia, kad duomenys apie automobilį (pvz., judėjimo trajektorija) yra visiškai nesusiję su fiziniu asmeniu, todėl jie negali būti laikomi duomenimis apie asmenį. Tai patvirtina ir aplinkybė, kad atsakovas Nurodyme nepaaiškino, kaip iš duomenų apie automobilio parametrus galima identifikuoti jį vairuojantį asmenį.

Teisėjų kolegija

k o n s t a t u o j a:

IV. Teismo kolegija pažymi, kad ši byla nagrinėjama vadovaujantis Lietuvos Respublikos administracinių bylų teisenos įstatymo (1999 m. sausio 14 d. įstatymo Nr. VIII-1029 redakcija) normomis, galiojusiomis iki 2016 m. birželio 30 d., nes apeliacinis procesas šioje byloje pradėtas iki įsigaliojant naujajai Administracinių bylų teisenos įstatymo redakcijai (iki 2016 07 01).

Nagrinėjamoje byloje ginčas kilo dėl atsakovo įpareigojimo duomenų valdytojui – pareiškėjui – įgyvendinti pareigą, tvarkant asmens duomenis, užtikrinti duomenų subjektų – jo darbuotojų – teises.

Pirmosios instancijos teismas pareiškėjo skundą tenkino iš dalies ir konstatavo, kad atsakovas ginčijamu nurodymu pareiškėją nepagrįstai įpareigojo savo darbuotojus supažindinti su ADTAĮ 24 straipsnio 1 dalyje pateikta informacija, kadangi pareiškėjas darbuotojų duomenis rinko netiesiogiai.

Atsakovas nesutinka su tokia pirmosios instancijos teismo pozicija ir nurodo, kad pareiškėjas savo darbuotojų asmens duomenis rinko tiesiogiai, todėl jo atžvilgiu taikytinos ADTAĮ 24 straipsnio 1 dalies nuostatos.

Teisėjų kolegija pirmiausiai nurodo, kad ADTAĮ 2 straipsnio 1 dalyje pateiktas asmens duomenų apibrėžimas: asmens duomenys – bet kuri informacija, susijusi su fiziniu asmeniu – duomenų subjektu, kurio tapatybė yra žinoma arba gali būti tiesiogiai ar netiesiogiai nustatyta pasinaudojant tokiais duomenimis kaip asmens kodas, vienas arba keli asmeniui būdingi fizinio, fiziologinio, psichologinio, ekonominio, kultūrinio ar socialinio pobūdžio požymiai. Iš esmės analogiškas asmens duomenų apibrėžimas yra įtvirtintas ir Direktyvos 2 straipsnio a dalyje, kurioje numatyta, kad asmens duomenys reiškia bet kurią informaciją, susijusią su asmeniu (duomenų subjektu), kurio tapatybė yra nustatyta arba gali būti nustatyta; asmuo, kurio tapatybė gali būti nustatyta, yra tas asmuo, kurio tapatybė gali būti nustatyta tiesiogiai ar netiesiogiai, ypač pasinaudojus nurodytu asmens identifikavimo kodu arba vienu ar keliais to asmens fizinei, fiziologinei, protinei, ekonominei, kultūrinei ar socialinei tapatybei būdingais veiksniais. Kadangi ADTAĮ nuostatomis, be kita ko, siekiama įgyvendinti Direktyvą, Įstatymo turinys turi būti aiškinamas atsižvelgiant į šios direktyvos turinį ir jos aiškinimo praktiką. Direktyvos 29 straipsnio pagrindu įsteigtos 29 straipsnio duomenų apsaugos darbo grupės 2007 m. birželio 20 d. Nuomonėje 4/2007 dėl asmens duomenų sąvokos nurodyta, kad Direktyvoje įtvirtintas asmens duomenų apibrėžimas rodo Europos teisės aktų leidėjo ketinimą taikyti plačią asmens duomenų sąvoką, taip pat nurodyta, kad ši sąvoka turi būti aiškinama atsižvelgiant į Direktyvos tikslą – saugoti fizinių asmenų pagrindines teises ir laisves, visų pirma jų privatumo teisę tvarkant asmens duomenis. Minėtoje nuomonėje taip pat nurodyta, kad kai kuriais atvejais iš duomenų gaunama informacija pirmiausiai yra susijusi su objektais, o ne su asmenimis. Tie objektai paprastai kam nors priklauso, jiems asmenys gali daryti tam tikrą poveikį arba jie gali daryti tam tikrą poveikį asmenims, taip pat objektai gali būti fizine ar geografine prasme artimi asmenims arba kitiems objektams. Tokiais atvejais galima laikyti, kad informacija su tais asmenimis arba objektais susijusi netiesiogiai (žr., pvz., Lietuvos vyriausiojo administracinio teismo 2012 m. liepos 26 d. nutartį administracinėje byloje Nr. A858-2133/2012, 2015 m. vasario 12 d. nutartį administracinėje byloje Nr. A-375-858/2015).

Nagrinėjamu atveju pareiškėjas skunde ir atsiliepime į atsakovo apeliacinį skundą nesutiko, kad Įrenginiu gauti duomenys laikytini asmens duomenimis. Teisėjų kolegija, vadovaudamasi anksčiau pateiktu asmens duomenų apibrėžimu, sutinka su atsakovo ir pirmosios instancijos teismo pozicija, kad šie duomenys vis tik yra asmens duomenys. Aptariami duomenys (automobilio judėjimo trajektorija, judėjimo pradžios ir pabaigos laikas, vidutinis ir didžiausias važiavimo greitis bei kt.) pripažintini asmens duomenimis, nes jie netiesiogiai gali būti susieti su konkrečiu asmeniu – automobilį atitinkamu laikotarpiu naudojusiu Centro darbuotoju. Pagal Taisyklių (I t., b. l. 79-82) 9 punktą, asmenys, pasinaudoję tarnybiniu automobiliu, užpildo kelionės lapus, parašu patvirtina lengvojo automobilio kelionės lape įrašytą maršrutą ir nuvažiuotus kilometrus bei šiuos kelionės lapus pateikia pareiškėjui. Pagal šiuose kelionės lapuose užfiksuotą informaciją aptariami duomenys (automobilio judėjimo trajektorija ir kt.) yra susiejami su konkrečiu automobilį vairavusiu asmeniu, t.y. iš šių duomenų galima nustatyti identifikuoto darbuotojo važiuotą maršrutą, sustojimus, važiavimo trukmę, greitį, asmens vairavimo įpročius ir pan. Taigi pareiškėjas tvarkė asmens duomenis, kaip jie apibrėžti ADTAĮ 2 straipsnio 1 dalyje.

Teisėjų kolegija pažymi, kad ADTAĮ 24 straipsnio 1 dalyje nurodyta, jog duomenų valdytojas privalo suteikti duomenų subjektui, kurio asmens duomenis renka tiesiogiai iš jo, šią informaciją (išskyrus atvejus, kai duomenų subjektas tokią informaciją jau turi):

1) apie savo (duomenų valdytojo) ir savo atstovo, jeigu šis yra, tapatybę ir nuolatinę gyvenamąją vietą (jeigu duomenų valdytojas ar jo atstovas yra fizinis asmuo) ar rekvizitus ir buveinę (jeigu duomenų valdytojas ar jo atstovas yra juridinis asmuo);

2) kokiais tikslais ketinami tvarkyti duomenų subjekto asmens duomenys;

3) kitą papildomą informaciją (kam ir kokiais tikslais teikiami duomenų subjekto asmens duomenys; kokius savo asmens duomenis duomenų subjektas privalo pateikti ir kokios yra duomenų nepateikimo pasekmės, apie duomenų subjekto teisę susipažinti su savo asmens duomenimis ir teisę reikalauti ištaisyti neteisingus, neišsamius, netikslius savo asmens duomenis), kiek jos reikia, kad būtų užtikrintas teisingas asmens duomenų tvarkymas nepažeidžiant duomenų subjekto teisių. Tuo tarpu ADTAĮ 24 straipsnio 2 dalyje, be kita ko, nustatyta, kad duomenų valdytojas, kuris asmens duomenis gauna ne iš duomenų subjekto, privalo apie tai informuoti duomenų subjektą pradėdamas tvarkyti asmens duomenis ir suteikti šią informaciją (išskyrus atvejus, kai duomenų subjektas tokią informaciją jau turi):

1) savo (duomenų valdytojo) ir savo atstovo, jeigu šis yra, tapatybę ir nuolatinę gyvenamąją vietą (jeigu duomenų valdytojas ar jo atstovas yra fizinis asmuo) arba nurodyti pavadinimą, juridinio asmens kodą ir buveinę (jeigu duomenų valdytojas ar jo atstovas yra juridinis asmuo);

2) kokiais tikslais tvarkomi ar ketinami tvarkyti duomenų subjekto asmens duomenys;

3) kitą papildomą informaciją (iš kokių šaltinių ir kokie duomenų subjekto asmens duomenys renkami ar ketinami rinkti; kam ir kokiais tikslais teikiami duomenų subjekto asmens duomenys; apie duomenų subjekto teisę susipažinti su savo asmens duomenimis ir teisę reikalauti ištaisyti neteisingus, neišsamius, netikslius savo asmens duomenis), kiek jos reikia, kad būtų užtikrintas teisingas asmens duomenų tvarkymas nepažeidžiant duomenų subjekto teisių. Vadinasi, nepriklausomai nuo to, ar asmens duomenys renkami tiesiogiai, ar netiesiogiai, duomenų valdytojas turi pareigą informuoti duomenų subjektus apie jų asmens duomenų rinkimo aplinkybes. Nagrinėjamu atveju spręstina tik dėl to, kurios ADTAĮ 24 straipsnio dalies pagrindu pareiškėjui, kaip duomenų valdytojui, kilo minėta pareiga.

Pirmosios instancijos teismas sprendė, kad pareiškėjas neprivalo įvykdyti ADTAĮ 24 straipsnio 1 dalies nuostatų, t. y. ginčijamas nutarimas (I t., b. l. 44-48) šioje dalyje turi būti panaikintas, kadangi asmens duomenys nebuvo gaunami tiesiogiai iš duomenų subjektų – Centro darbuotojų. Teisėjų kolegija su tokiu pirmosios instancijos teismo vertinimu nesutinka. Teisėjų kolegija, sistemiškai įvertinusi ADTAĮ 24 straipsnio 1 dalies ir 2 dalies 3 punkto formuluotes, daro išvadą, kad tiesioginiu duomenų rinkimu laikytini atvejai, kai duomenys gaunami iš duomenų subjekto, o netiesioginio duomenų rinkimo metu asmens duomenys gaunami iš kitų šaltinių, t. y. duomenų tvarkytojų arba trečiųjų asmenų. Nagrinėjamoje byloje nėra duomenų apie tai, kad Centro darbuotojų asmens duomenis rinko kiti asmenys ir juos perdavė pareiškėjui. Iš teismui pateiktų dokumentų matyti, kad pareiškėjas savo darbuotojų asmens duomenis gavo tiesiogiai iš jų, pasinaudodamas duomenų rinkimo priemone – Įrenginiu. Iš šių aplinkybių spręstina, kad pareiškėjas darbuotojų asmens duomenis renka tiesiogiai, todėl privalo įvykdyti ADTAĮ 24 straipsnio 1 dalyje numatytas pareigas. Taigi ginčijamo atsakovo nutarimo 3 punkte nustatytas įpareigojimas yra pagrįstas ir nėra pagrindo jį panaikinti.

Apibendrindama išdėstytus argumentus, teisėjų kolegija konstatuoja, kad pirmosios instancijos teismas iš dalies netinkamai aiškino ir taikė materialinės teisės normas, todėl priėmė iš dalies nepagrįstą sprendimą. Atsižvelgiant į tai, pirmosios instancijos teismo sprendimas keičiamas, o atsakovo apeliacinis skundas tenkinamas.

Vadovaudamasi Lietuvos Respublikos administracinių bylų teisenos įstatymo (2000 m. rugsėjo 19 d. įstatymo Nr. VIII-1927 redakcija) 140 straipsnio 1 dalies 3 punktu, teisėjų kolegija

n u t a r i a

Atsakovo Valstybinės duomenų apsaugos inspekcijos apeliacinį skundą patenkinti.

Vilniaus apygardos administracinio teismo 2015 m. lapkričio 17 d. sprendimą pakeisti.

Vilniaus apygardos administracinio teismo 2015 m. lapkričio 17 d. sprendimo dalį, kuria panaikinta Valstybinės duomenų apsaugos inspekcijos 2015 m. liepos 13 d. nurodymo dėl asmens duomenų tvarkymo Nr. 2R-4085 dalis dėl 3 punkte nustatyto įpareigojimo informuoti Kalvarijos globos ir užimtumo centro darbuotojus apie renkamų asmens duomenų tvarkymą, pateikiant papildomą informaciją, nustatytą ADTAĮ 24 straipsnio 1 dalyje, panaikinti ir šioje dalyje pareiškėjo Kalvarijos globos ir užimtumo centro skundą atmesti.

Likusioje dalyje pirmosios instancijos teismo sprendimą palikti nepakeistą.

Nutartis neskundžiama.

Teisėjai Laimutis Alechnavičius

Ramūnas Gadliauskas

Dalia Višinskienė