A-858-2133-12 · Lietuvos vyriausiasis administracinis teismas

Administracinė byla Nr

Administracinė byla Nr. A858-2133/2012

Teisminio proceso Nr. 3-61-3-01770-2011-2

Procesinio sprendimo kategorija 25. (S)

LIETUVOS VYRIAUSIASIS ADMINISTRACINIS TEISMAS

N U T A R T I S

LIETUVOS RESPUBLIKOS VARDU

2012 m. liepos 26 d.

Vilnius

Lietuvos vyriausiojo administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Artūro Drigoto, Ramūno Gadliausko (kolegijos pirmininkas), Irmanto Jarukaičio (pranešėjas),

sekretoriaujant Rasai Kubickienei,

dalyvaujant atsakovo Valstybinės duomenų apsaugos inspekcijos atstovei V. P.,

viešame teismo posėdyje apeliacine tvarka išnagrinėjo administracinę bylą pagal pareiškėjo EDRAUDA, UADBB apeliacinį skundą dėl Vilniaus apygardos administracinio teismo 2012 m. sausio 20 d. sprendimo administracinėje byloje pagal pareiškėjo EDRAUDA, UADBB skundą atsakovui Valstybinei duomenų apsaugos inspekcijai dėl nurodymo panaikinimo.

Teisėjų kolegija

n u s t a t ė:

I. Pareiškėjas EDRAUDA, UADBB (toliau – ir pareiškėjas, Bendrovė) kreipėsi į teismą skundu (t. I, b. l. 1-7), prašydamas panaikinti Valstybinės duomenų apsaugos inspekcijos (toliau – ir Inspekcija) 2011 m. liepos 20 d. nurodymą Nr. 2R-2337(2.14) „Dėl asmens duomenų tvarkymo“ (toliau – ir Nurodymas).

Grįsdama reikalavimus Bendrovė paaiškino, jog Inspekcija pateikdama Nurodymą neteisingai vertino faktines aplinkybes, neteisingai išaiškino ir taikė asmens duomenų teisinę apsaugą reglamentuojančias materialinės teisės normas, todėl priėmė neteisėtą ir nepagrįstą sprendimą. Nurodė, jog pareiškėjas (ankstesnis pavadinimas PIGIAU LT, UADBB) turi licenciją draudimo brokerių įmonės veiklai vykdyti ir yra įrašytas į Lietuvos Respublikos draudimo priežiūros komisijos tvarkomą draudimo brokerių įmonių sąrašą, kuris yra skelbiamas Draudimo priežiūros komisijos internetiniame tinklalapyje www.dpk.lt Inspekcijos 2010 m. sausio 4 d. sprendimu pareiškėjas nuo 2010 m. sausio 7 d. yra įregistruotas Asmens duomenų valdytojų valstybės registre ir jam suteiktas asmens duomenų valdytojo statusas (duomenų valdytojo identifikavimo kodas P4371). Todėl pareiškėjas turi teisę tvarkyti atitinkamus asmens duomenis draudimo tarpininkavimo veiklos vykdymo tikslu.

Nurodė, jog pareiškėjo internetinėje svetainėje www.edrauda.lt (toliau – ir Svetainė) lankytojams yra suteikiama galimybė operatyviai sužinoti ir palyginti skirtingų draudikų siūlomas transporto priemonių draudimo kainas bei sudaryti transporto priemonės draudimo sutartis. Siekdamas sužinoti geriausią jo turimai transporto priemonei taikomą draudimo kainą, lankytojas į pradinį laukelį turi įvesti automobilio valstybinį numerį, susipažinti su Naudojimosi tinklalapiu taisyklėmis bei pažymėti varnelę prie laukelio „Su Edrauda.lt taisyklėmis susipažinau ir sutinku“. Spustelėjus laukelį „Skaičiuoti“, lankytojui pateikiama geriausia draudimo kaina. Lankytojui sutikus su siūloma kaina, jis gali sudaryti draudimo sutartį. Šiuo tikslu jis turi įvesti savo asmens kodą bei kitus papildomus duomenis. Visas procesas yra automatizuotas.

Pabrėžė, jog pirmuoju nurodymu (Nurodymo rezoliucinės dalies 1 p.) Inspekcija pareiškėją įpareigojo asmens duomenis, gautus Iš VĮ „Regitra“, tvarkyti asmens duomenų teikimo sutartyje nustatytomis sąlygomis ir tvarka. Inspekcijos nuomone pareiškėjas iš VĮ „Regitra“ gautus duomenis draudimo bendrovėms teikia neturėdamas tam teisinio pagrindo. Tačiau pareiškėjas su tuo nesutiko ir pažymėjo, jog Duomenų teikimo sutartyje aiškiai nurodoma, kad gauti duomenys bus naudojami kelių transporto priemonių draudimo (sutarčių sudarymo) tikslais (2.4 p.), todėl kitų sutarties nuostatų analizė bei ta aplinkybė, kad pareiškėjas yra draudimo tarpininkas, suponuoja išvadą, kad duomenys gali būti teikiami draudimo bendrovėms, nes tai yra reikalinga draudimo kainos bei draudimo sutarčių sudarymo tikslais. Manė, jog Inspekcijos pozicija, kad pareiškėjas pažeidžia Duomenų teikimo sutarties 3.3.4 punktą bei neturėdamas teisėto pagrindo teikia gautus duomenis draudimo bendrovėms, nepagrįsta. Įvertinant pareiškėjo veiklos pobūdį, t. y. draudimo tarpininko veiklą, Duomenų teikimo sutartyje nurodytą duomenų gavimo bei tvarkymo tikslą, akivaizdu, kad draudimo bendrovės negali būti laikomos trečiaisiais asmenimis, kuriems negali būti atskleisti bei teikiami duomenų subjektų iš VĮ „Regitra“ gauti duomenys, nes be draudimo bendrovių dalyvavimo negali būti pasiektas Duomenų teikimo sutartyje nurodytas duomenų gavimo tikslas, t. y. transporto priemonių draudimas tarpininkaujant pareiškėjui.

Dėl antrojo nurodymo (Nurodymo rezoliucinės dalies 2 p.) pareiškėjas paaiškino, kad šiuo nurodymu Inspekcija pareiškėjui nurodė atsisakyti automobilio valstybinio registracijos numerio, kaip vienintelio identifikatoriaus, naudojamo prisijungimui Svetainėje, ir nustatyti tokį identifikavimą, kuris nesudarytų sąlygų gauti asmens duomenų tokios teisės neturintiems asmenims, leidžiantį vienareikšmiškai identifikuoti duomenis pateikiantį asmenį. Inspekcija teigė, kad pareiškėjas savo siūlomai paslaugai teikti kaip pradinį ir vienintelį identifikatorių naudoja automobilio valstybinį numerį, kuris yra plačiai naudojamas ir lengvai prieinamas asmens duomuo, todėl sudaromos sąlygos teikiama paslauga pasinaudoti ne tik automobilio valdytojui, bet ir bet kuriam kitam asmeniui, žinančiam automobilio valstybinį numerį.

Pareiškėjo teigimu tokia Inspekcijos pozicija yra nepagrįsta, nes prisijungimui Svetainėje nėra reikalingas joks identifikatorius, o pradiniame Svetainės lange, lankytojui patvirtinus, kad jis susipažino su Naudojimosi tinklalapiu taisyklėmis bei įvedus transporto priemonės valstybinį registracijos numerį, yra pateikiama geriausia draudimo paslaugos kaina, šią kainą siūlančios draudimo bendrovės pavadinimas, automobilio modelis bei pagaminimo metai, tačiau lankytojui nepateikiamas nei automobilio savininkas, nei kiti duomenys, pagal kuriuos būtų galima identifikuoti asmenį, kuriam priklauso transporto priemonė.

Pagal Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ir Asmens duomenų teisinės apsaugos įstatymas, Įstatymas) 2 straipsnio 1 dalį asmens duomenys apibrėžiami kaip bet kuri informacija, susijusi su fiziniu asmeniu – duomenų subjektu, kurio tapatybė yra žinoma arba gali būti tiesiogiai ar netiesiogiai nustatyta pasinaudojant tokiais duomenimis kaip asmens kodas, vienas arba keli asmeniui būdingi fizinio, fiziologinio, psichologinio, ekonominio, kultūrinio ar socialinio pobūdžio požymiai. Tokie Svetainėje pateikiami duomenys, kaip transporto priemonės draudimo kaina, draudimo bendrovės pavadinimas, transporto priemonės modelis bei pagaminimo metai nesuteikia galimybės tiesiogiai ar netiesiogiai nustatyti duomenų subjekto tapatybės, todėl šie duomenys nelaikytini asmens duomenimis Asmens duomenų teisinės apsaugos įstatymo prasme.

Todėl pareiškėjas savo Svetainėje pateikdamas šiuos duomenis nepažeidžia jokių asmens duomenų teisinę apsaugą reglamentuojančių teisės aktų reikalavimų. Be to, pati Inspekcija pripažįsta, kad transporto priemonės valstybinis registracijos numeris yra plačiai naudojamas ir lengvai prieinamas duomuo, kuris negali būti laikomas asmens duomeniu Asmens duomenų teisinės apsaugos įstatymo prasme. Transporto priemonės markė yra taip pat viešai prieinama informacija (t. y. šią informaciją gali gauti bet kuris asmuo gatvėse bei keliuose pamatęs transporto priemonę), o pagal šios informacijos pagrindu gaunamą draudimo paslaugos kainą bei papildomai gaunamą informaciją apie transporto priemonės pagaminimo metus asmens identifikuoti neįmanoma.

Tam, kad Svetainės lankytojas galėtų pasinaudoti pareiškėjo teikiamomis paslaugomis, t. y. sudaryti transporto priemonės draudimo sutartį, transporto priemonės valstybinis registracijos numeris nėra pakankamas identifikatorius, nes lankytojas turi įvesti jo asmenį identifikuojantį duomenį – automobilio savininko asmens kodą. Tik įvedus šį identifikatorių ir įsitikinus Svetainės lankytojo tapatybe yra inicijuojamas draudimo sutarties sudarymo procesas bei pradedami tvarkyti draudimo sutarčiai sudaryti reikalingi lankytojo asmens duomenys.

Dėl trečiojo nurodymo (Nurodymo rezoliucinės dalies 3 p.) pareiškėjas paaiškino, kad šiuo nurodymu Inspekcija įpareigoja pareiškėją atsisakyti perteklinių asmens duomenų tvarkymo automobilio draudimo kainos paskaičiavimo tikslu. Kaip teigė Inspekcija, pareiškėjas, kaip pradinį VĮ „Regitra“ pateiktinos užklausos identifikatorių naudodamas transporto priemonės valstybinį numerį, automatiniu būdu iš VĮ „Regitra“ gauna papildomus duomenis, įvardintus pareiškėjo su VĮ „Regitra“ 2010 m. gruodžio 27 d. sudarytos Duomenų teikimo sutarties Nr. (I.6)-2-592 (toliau – ir Duomenų teikimo sutartis) Priedo Nr. 14 punkte. Inspekcija darė išvadą, kad pareiškėjas iš VĮ „Regitra“ gaudamas duomenis, kurie transporto priemonės paskaičiavimui neturi įtakos, pavyzdžiui, transporto priemonės registracijos numerį, transporto priemonės registracijos dokumento spausdinimo datą ir kt., tvarko perteklinius asmens duomenis, taip pažeidžiant Asmens duomenų teisinės apsaugos įstatymo 3 straipsnio 1 dalies 4 punktą.

Tačiau, pareiškėjo teigimu, Inspekcija klaidingai laiko Duomenų teikimo sutarties Priedo Nr. 14 punkte išvardintus duomenis asmens duomenimis. Pažymėjo, kad, remiantis Asmens duomenų teisinės apsaugos įstatymo 2 straipsnio 1 dalyje pateiktu asmens duomenų sąvokos apibrėžimu, tokie duomenys, kaip transporto priemonės registracijos dokumento numeris, transporto priemonės registracijos dokumento spausdinimo data, transporto priemonės identifikavimo duomenys ir kiti su transporto priemones techninėmis specifikacijomis bei jos registravimu susiję duomenys, išvardinti Duomenų teikimo sutarties Priedo Nr. 14 punkte, yra duomenys, kurie nei kartu, nei atskirai, nei jokiu kitu būdu nesuteikia galimybės identifikuoti duomenų subjektą ir kitokiu būdu nustatyti jo tapatybę. Todėl jie nelaikytini asmens duomenimis Asmens duomenų teisinės apsaugos įstatymo prasme. Be to, Inspekcija duomenų valdytojo registravimo metu nereikalavo pateikti išsamaus tvarkomų duomenų sąrašo, suteikė pareiškėjui teisę tvarkyti ir kitus su transporto priemone susijusius duomenis, todėl nėra pagrindo teigti, kad pareiškėjas tvarko perteklinius asmens duomenis.

Teigė, jog visi iš VĮ „Regitra“ pagal sudarytą Duomenų teikimo sutartį gaunami duomenys yra reikalingi ir būtini galimybei sudaryti draudimo sutartį konkrečios transporto priemonės draudimo kainai apskaičiuoti pagal draudimo įmonių taikomą draudimo kainos skaičiavimo metodologiją, taip pat draudimo sutarčiai sudaryti. Tam, kad nustatyti, ar draudimo sutartis konkrečios transporto priemonės atžvilgiu gali būti sudaryta, taip pat draudimo kainos paskaičiavimui, draudikai naudoja iš esmės visus VĮ „Regitra“ įregistruotus ir su transporto priemone susijusius duomenis, todėl šių duomenų pateikimo draudikai reikalauja iš pareiškėjo, kaip draudimo tarpininkavimo veikia užsiimančio subjekto. Dauguma iš VĮ „Regitra“ gaunamų duomenų yra transporto priemonės identifikavimo duomenys ir tik nedidelė jų dalis yra asmenį identifikuojantys duomenys. Kadangi visi, net ir iš pirmo žvilgsnio nereikšmingi, duomenys, išvardinti Duomenų teikimo sutarties Priedo Nr. 14 punkte, yra naudojami teisėtu tikslu, Inspekcijos pozicija, kad pareiškėjas tvarko perteklinius asmens duomenis yra nepagrįsta.

Dėl ketvirto nurodymo (Nurodymo rezoliucinės dalies 4 p.) pareiškėjas pažymėjo, kad Inspekcija reikalauja užtikrinti, kad prieš tvarkant asmens duomenis Svetainėje būtų gaunamas Asmens duomenų teisinės apsaugos įstatymo reikalavimus atitinkantis duomenų subjekto sutikimas, papildant Naudojimosi tinklapiu taisykles ir nustatant baigtinį tvarkomų asmens duomenų sąrašą, konkrečiai įvardinant duomenų gavėjus. Inspekcija teigė, kad pareiškėjas, Naudojimosi tinklalapiu taisyklėse neapibrėždamas gaunamų ir teikiamų asmens duomenų baigtinio sąrašo bei gavėjų sąrašo ir Svetainėje nesudarydamas galimybės duomenų subjektui žinomai ir konkrečiai pareikšti sutikimą, pažeidžia Asmens duomenų teisinės apsaugos įstatymo 5 straipsnio 1 dalies 1 punkto, 24 straipsnio 1, 2 dalių nuostatas.

Tačiau pareiškėjas manė, jog Asmens duomenų teisinės apsaugos įstatymas nenustato reikalavimo bei neįpareigoja duomenų valdytoją nustatyti baigtinį tvarkomų asmens duomenų sąrašą ar/ir nurodyti konkrečius duomenų gavėjus. Todėl duomenų gavėjai gali būti apibrėžti kaip tam tikros subjektų grupės (pavyzdžiui, bankai, draudimo įmonės), būtent tokį Asmens duomenų teisinės apsaugos įstatymo traktavimą patvirtina Inspekcijos praktika registruojant pareiškėją ir kitus duomenų valdytojus Asmens duomenų valdytojų valstybės registre. Pareiškėjas nelaikė teisėtu Inspekcijos reikalavimą nustatyti baigtinį tvarkomų asmens duomenų sąrašą, t. y. baigtinį gaunamų ir perduodamų asmens duomenų sąrašą. Pažymėjo, jog pagal Asmens duomenų teisinės apsaugos įstatymo 24 straipsnio 1 dalies 3 punktą duomenų valdytojas privalo suteikti duomenų subjektui informaciją, kokius savo asmens duomenis subjektas privalo pateikti, o pagal Asmens duomenų teisinės apsaugos įstatymo 24 straipsnio 2 dalies 3 punktą suteikti informaciją apie tai, kokie duomenų subjekto asmens duomenys renkami ar ketinama rinkti. Tačiau Asmens duomenų teisinės apsaugos įstatymas neįpareigoja duomenų valdytoją nurodyti baigtinį sąrašą duomenų, kuriuos duomenų subjektas privalo pateikti, ar kurie bus renkami ar ketinami rinkti iš trečiųjų asmenų bei kurie bus perduodami tretiesiems asmenims. Inspekcija, įregistruodama pareiškėją duomenų valdytoju, nereikalavo nurodyti baigtinį tvarkomų su transporto priemone susijusių duomenų sąrašą. Didžioji dalis iš VĮ „Regitra“ gaunamų duomenų yra su transporto priemonės registravimu ir jos techninėmis charakteristikomis susiję duomenys, kurie nėra laikytini asmens duomenimis, nes iš jų negalima nustatyti duomenų subjekto tapatybės.

Pabrėžė, jog Inspekcija netinkamai traktuoja Asmens duomenų teisinės apsaugos įstatymo nuostatas dėl duomenų subjekto sutikimo. Asmens duomenų teisinės apsaugos įstatymo 2 straipsnio 11 punktas sutikimą apibrėžia kaip savanorišką duomenų subjekto valios pareiškimą tvarkyti jo asmens duomenis jam žinomu tikslu. Naudojimosi tinklalapiu taisyklėse, su kuriomis Svetainės lankytojas turi susipažinti bei patvirtinti savo susipažinimą, yra nurodyta, kokiu tikslu bus tvarkomi jo duomenys, nurodyti duomenys, kuriuos turi pateikti Svetainės lankytojas (4.4 p.), nurodyti subjektai, iš kurių bus gaunami ir kuriems bus perduodami lankytojo ir jam priklausančios transporto priemonės duomenys (4.6 ir 4.7 p.). Tokiu būdu lankytojas turi visą būtiną ir Asmens duomenų teisinės apsaugos įstatyme nurodytą informaciją apie jo asmens duomenų tvarkymą tam, kad išreikštų savo sutikimą arba nesutikimą. Nurodė, jog duomenų subjektas, įregistruodamas transporto priemonę VĮ „Regitra“, kartu duoda sutikimą dėl jo asmens ir jam priklausančios transporto priemonės duomenų tvarkymo, įskaitant ir teikimą kitiems duomenų gavėjams. Atitinkamai VĮ „Regitra“, veikdama pagal gautą duomenų subjekto sutikimą bei jos veiklą reglamentuojančius teisės aktus, teisėtai teikia šiuos duomenis pagal jos sudarytas sutartis, įskaitant Duomenų teikimo sutartį.

Atsakovas Valstybinė duomenų apsaugos inspekcija atsiliepimu į pareiškėjo skundą (t. I, b. l. 75-79) prašė skundą atmesti.

Atsakovas paaiškino, jog pareiškėjas pažeidžia Duomenų teikimo sutarties 3.3.4 punktą bei neturėdamas teisėto pagrindo teikia gautus duomenis draudimo bendrovėms. Lietuvos Respublikos valstybės registrų įstatymo (toliau – ir Registrų įstatymas) 16 straipsnio 4 dalis nurodo, kad fiziniai ir juridiniai asmenys, gavę registro duomenis, gali juos naudoti tik tokiam tikslui, tokia apimtimi ir tokiu būdu, kokie buvo nurodyti gaunant duomenis. Duomenis teikti tretiesiems asmenims galima tik duomenų teikimo sutarčių, pasirašytų su registro tvarkymo įstaiga, nustatyta tvarka ir registro nuostatų nustatyta tvarka. Duomenų teikimo sutarties 2.3 punkte nustatyta, kad teikėjas teikia gavėjui duomenų subjekto duomenis, o gavėjas įsipareigoja naudoti gautus duomenų subjekto duomenis, siekiant nustatyti, ar duomenų subjektas valdo transporto priemones, atliekant kelių transporto priemonių draudimo paslaugas. Gavėjas garantuoja, kad duomenis jis renka teisėtam interesui, o renkant duomenis apie duomenų subjektą, kuris yra fizinis asmuo, esant fizinio asmens sutikimui rinkti tokius duomenis. Be to, pareiškėjas garantuoja, kad duomenų subjektas yra davęs sutikimą arba yra informuotas apie tokį jo duomenų gavimą bei jo teisę nesutikti su gautų duomenų tvarkymu. Pažymėjo, jog asmens duomenų tvarkymą reglamentuoja Asmens duomenų teisinės apsaugos įstatymas, kurio 2 straipsnio 13 dalis apibrėžia, kad trečiasis asmuo – juridinis ar fizinis asmuo, išskyrus duomenų subjektą, duomenų valdytoją, duomenų tvarkytoją ir asmenis, kurie yra tiesiogiai duomenų valdytojo ar duomenų tvarkytojo įgalioti tvarkyti duomenis. Asmens duomenų teisinės apsaugos įstatymo 2 straipsnio 6 dalis nurodo, kad duomenų tvarkytojas – juridinis ar fizinis (kuris nėra duomenų valdytojo darbuotojas) asmuo, duomenų valdytojo įgalioti tvarkyti asmens duomenis. Draudimo bendrovės nepatenka į Asmens duomenų teisinės apsaugos įstatymo 2 straipsnio 13 dalies numatytas išimtis, t. y. draudimo bendrovės nėra VĮ „Regitra“ teikiamų duomenų valdytojos, nes teikiamų duomenų valdytoja yra Vidaus reikalų ministerija (atstovaujama duomenų tvarkytojo VĮ „Regitra“). Duomenų valdytoju yra pareiškėjas, todėl laikytina, kad draudimo bendrovės yra trečiaisiais asmenimis Asmens duomenų teisinės apsaugos įstatymo 2 straipsnio 13 dalies prasme.

Atsakovas nurodė, jog Duomenų teikimo sutarties 2.5 punkte VĮ „Regitra“ pareiškėjui yra nurodžiusi, kad gali teikti gautus kelių transporto priemonių techninius duomenis tik UAB „Plius“, o 3.3.4 punktu pareiškėjas įsipareigoja neatskleisti, neskelbti, nesuteikti galimybės tretiesiems asmenims bet kokia forma susipažinti su gaunamais asmens duomenimis, jeigu Lietuvos Respublikos įstatymai, kiti teisės aktai ir ši sutartis nenustato kitaip. Nurodė, jog pareiškėjas pažeisdamas sutarties sąlygas gautus iš VĮ „Regitra“ duomenų subjektų asmens duomenis (transporto priemonės valdytojo vardą, pavardę, asmens kodą, registracijos adresą, atspausdintą išduotame dokumente, transporto priemonės registravimo operacijoms taikomus apribojimus, transporto priemonės valstybinį numerį, identifikavimo numerį (VIN), registracijos dokumento numerį (pateikus užklausoje), spausdinimo datą, transporto priemonės markę (gamintoją) ir modelį (komercinį pavadinimą), paskutinės vykdytos registracijos operacijos datą ir laiką, transporto priemonės registracijos statusą (būseną), galią, šalies kodą, gamybos metus, pirmos registracijos datą, pirmos registracijos Lietuvos Respublikoje datą, transporto priemonės kategoriją ir klasę, kėbulo tipą, specializacijos kodą, sėdimų vietų skaičių, stovimų vietų skaičių, leistiną maksimalų svorį, nuosavą svorį, puspriekabei leistino maksimalaus svorio ir puspriekabės vilkiko balniniam sujungimui tenkančio visiškai pakrautos puspriekabės svorio dalies sumą, variklio darbinį turį, galią transporto priemonės valdytojo rolę (savininkas/naudotojas)) teikia AAS „Gjen&idige Baltic“ Lietuvos filialui, UADB „Industrijos garantas“ (nuo 2011 m. balandžio 1 d. Bendrovė su draudiku nebendradarbiauja), „If P&C Insurance AS“ filialui, UADB „Seesam Lietuva“ (toliau – ir Trys draudimo bendrovės). Duomenų teikimo sutartyje nenumatyta, kad asmens duomenis galima teikti Trims draudimo bendrovėms, todėl toks asmens duomenų tvarkymas prieštarauja Registrų įstatymo 16 straipsnio 4 daliai ir Asmens duomenų teisinės apsaugos įstatymo 3 straipsnio 1 dalies 2 punktui. Tam, kad svetainės lankytojas galėtų pasinaudoti teikiamomis paslaugomis, transporto priemonės valstybinis registracijos numeris nėra pakankamas identifikatorius, nes plačiai naudojamas ir lengvai prieinamas.

Pažymėjo, jog, panaudojus netinkamą identifikatorių – valstybinį transporto priemonės registravimo numerį – be paties duomenų subjekto žinios ir jo sutikimojo asmens duomenys: vardas, pavardė, asmens kodas ir kt., gauti iš VĮ „Regitra“, yra automatiškai perduodami Trims draudimo bendrovėms. Nors pareiškėjas nepripažįsta, kad automobilio valstybinis numeris, modelis, draudimo kaina, pagaminimo metai ir kt., yra asmens duomenys, tačiau 2010 m. spalio 1 d. raštu „Prašymas dėl asmens duomenų tvarkymo“ jis kreipėsi į Inspekciją, prašydamas papildyti Asmens duomenų valdytojų valstybės registro duomenis, papildant tvarkomų asmens duomenų sąrašą: „automobilio tipas, markė, modelis, valstybinis numeris, identifikacinis kodas, registracijos liudijimo numeris, pagaminimo metai, krovinio tipas, saugos priemonės“. Nurodė, jog Inspekcija informaciją apie transporto priemonę laiko asmens duomenimis, nes pagal valstybinį transporto priemonės registracijos numerį transporto priemonę galima susieti su automobilio savininku, o pagal transporto priemonės modelį ir gamybos metus galima padaryti išvadą apie ekonominę, socialinę duomenų subjekto padėtį. Be to, Direktyvos 95/46/EB 29 straipsnis Duomenų apsaugos darbo grupė (nepriklausomas Europos patariamasis organas duomenų apsaugos ir slaptumo klausimais) yra parengusi dokumentą „Nuomonė Nr. 4/2007 dėl asmens duomenų sąvokos“, kuriame konstatuojama, kad kai kuriais atvejais iš duomenų gaunama informacija pirmiausia yra susijusi su objektais, o ne su asmenimis. Tokie objektai paprastai kam nors priklauso, jiems asmenys gali daryti tam tikrą poveikį arba jie gali daryti tam tikrą poveikį asmenims, taip pat objektai gali būti fizine ar geografine prasme artimi asmenims arba kitiems objektams. Tokiais atvejais galima laikyti, kad informacija su tais asmenimis arba objektais susijusi netiesiogiai. Pabrėžė, jog pareiškėjas sudaro sąlygas be duomenų subjekto sutikimo vykdyti asmens duomenų tvarkymo veiksmus, t. y., be duomenų subjekto sutikimo ir žinios, panaudojus netinkamą identifikatorių teikti/gauti iš VĮ „Regitra“ aukščiau minėtus asmens duomenis, juos perduoti Trims draudimo bendrovėms, o taip pat asmens duomenis padaryti viešai prieinamus.

Pažymėjo, jog Inspekcija patikslino Asmens duomenų valdytojų valstybės registro informaciją apie pareiškėjo numatomus tvarkyti papildomus asmens duomenis bei šaltinius, nes pareiškėjas 2010 m. spalio 1 d. rašte „Prašymas dėl asmens duomenų tvarkymo“ to prašė. Iš nurodyto rašto matyti, kad pareiškėjas suprato Asmens duomenų teisinės apsaugos įstatymo 3 straipsnio nuostatas, jog asmens duomenys bus tvarkomi tik tokios apimties, kuri būtina jiems rinkti ir toliau tvarkyti siekiant konkretaus tikslo, tačiau praktikoje to nepaisė, todėl Inspekcija nurodė atsisakyti perteklinių asmens duomenų tvarkymo.

Pabrėžė, jog Inspekcijos direktoriaus 2008 m. lapkričio 12 d. įsakymu Nr. 1T-71 „Dėl bendrųjų reikalavimų organizacinėms ir techninėms duomenų saugumo priemonėms patvirtinimo“ patvirtinti Bendrieji reikalavimai organizacinėms ir techninėms duomenų saugumo priemonėms (toliau – ir Bendrieji reikalavimai) numato, jog turi būti duomenų valdytojo patvirtintos rašytinės formos dokumentas, taisyklės, duomenų valdytojo ir duomenų tvarkytojo sudaryta sutartis (9.1 p.). Pagal Bendrųjų reikalavimų 9.1.5 punktą turi būti nurodytas baigtinis tvarkomų asmens duomenų sąrašas kiekvienu asmens duomenų tvarkymo tikslu, o 9.1.9 punktą – asmens duomenų gavėjai ir asmens duomenų teikimo tvarka.

Atsakovas rėmėsi Asmens duomenų teisinės apsaugos įstatymo 24 straipsnio 1, 2 dalimis ir nurodė, jog pareiškėjas duomenų subjekto asmens duomenis rinko iš VĮ „Regitra“ ir teikė Trims draudimo bendrovėms, todėl privalo duomenų subjektui suteikti Asmens duomenų teisinės apsaugos įstatymo 24 straipsnio 2 dalyje 3 punkte nurodytą informaciją, t. y. iš kokių šaltinių ir kokie duomenų subjekto asmens duomenys renkami ar ketinami rinkti, kam ir kokiais tikslais teikiami duomenų subjekto asmens duomenys. Asmens duomenų teisinės apsaugos įstatymo 2 straipsnio 11 dalis nustato, kad sutikimas yra savanoriškas duomenų subjekto valios pareiškimas tvarkyti jo asmens duomenis jam žinomu tikslu.

Duomenų subjekto sutikimas turi būti konkretus. Tai reiškia, kad valios pareiškimas turi būti susijęs su tam tikra konkrečia asmens duomenų tvarkymo operacija, o ne duodamas bendras sutikimas tvarkyti asmens duomenis. Tačiau šiuo atveju duomenų subjektui nėra suteikiama išsami informacija, t. y. iš kokių šaltinių ir kokie duomenų subjekto asmens duomenys renkami ar ketinami rinkti, kam ir kokiais tikslais teikiami duomenų subjekto asmens duomenys, todėl duomenų subjektas, nežinodamas minėtų aplinkybių, negali įvertinti asmens duomenų tvarkymo veiksmų bei duoti konkretaus sutikimo tvarkyti jo asmens duomenis.

Atsižvelgdamas į tai, kad Bendrovė, prieš pradėdama tvarkyti automobilio valdytojo asmens duomenis automobilio draudimo kainos paskaičiavimo tikslu, neinformuoja duomenų subjekto, kokie konkrečiai jo asmens duomenys bus gaunami iš VĮ „Regitra“ ir kokioms konkrečiai draudimo bendrovėms bei kokie jo asmens duomenys bus teikiami, atsakovas sprendė, kad tokiu būdu gautas sutikimas negali būti laikomas žinomai duotu ir konkrečiu sutikimu. Bendrovė interneto svetainėje nesudarydama galimybės duomenų subjektui žinomai ir konkrečiai pareikšti sutikimą pažeidžia Asmens duomenų teisinės apsaugos įstatymo 5 straipsnio 1 dalies 1 punktą.

II. Vilniaus apygardos administracinis teismas 2012 m. sausio 20 d. sprendimu (t. II, b. l. 74-85) pareiškėjo EDRAUDA, UADBB skundą atmetė.

Pirmosios instancijos teismas nagrinėjamoje byloje vertino Nurodymo teisėtumą ir pagrįstumą. Teismas dėl Nurodymo 1 punkto, kuriuo pareiškėjui nurodoma asmens duomenis, gautus iš VĮ „Regitra“, tvarkyti asmens duomenų teikimo sutartyje nustatytomis sąlygomis ir tvarka, nurodė, jog pagal Registrų įstatymo 16 straipsnio 4 dalį fiziniai ir juridiniai asmenys, gavę registro duomenis, gali juos naudoti tik tokiam tikslui, tokia apimtimi ir tokiu būdu, kokie buvo nurodyti gaunant duomenis. Duomenis teikti tretiesiems asmenims galima tik duomenų teikimo sutarčių, pasirašytų su registro tvarkymo įstaiga, nustatyta tvarka ir registro nuostatų nustatyta tvarka. Ši nuostata netaikoma, kai fiziniai ir juridiniai asmenys naudoja iš registro gautus registro duomenis apie save. Asmens duomenų teisinės apsaugos įstatymo 2 straipsnio 13 dalyje nustatyta, kad trečiasis asmuo – juridinis ar fizinis asmuo, išskyrus duomenų subjektą, duomenų valdytoją, duomenų tvarkytoją ir asmenis, kurie yra tiesiogiai duomenų valdytojo ar duomenų tvarkytojo įgalioti tvarkyti duomenis. Asmens duomenų teisinės apsaugos įstatymo 3 straipsnio 1 dalies 2 punkte nustatyta, kad duomenų valdytojas privalo užtikrinti, jog asmens duomenys būtų tvarkomi tiksliai, sąžiningai ir teisėtai. Duomenų teikimo sutarties 2.4 punkte nurodoma, kad duomenų gavėjas garantuoja, jog iš duomenų teikėjo gauti duomenys bus naudojami atliekant transporto priemonių draudimo ar kitais sutartyje nustatytais ir teisėtais tikslais, o 2.5 punkte nustatyta, jog gavėjas iš teikėjo gautus kelių transporto priemonių techninius duomenis gali teikti UAB „Plius“. Duomenų teikimo sutarties 3.3.4 punkte nustatyta, kad duomenų gavėjas įsipareigoja neatskleisti, neskelbti, nesuteikti galimybės tretiems asmenims bet kokia forma susipažinti su gaunamais duomenimis, jeigu Lietuvos Respublikos įstatymai, kiti teisės aktai ir ši sutartis nenustato kitaip. Įvertinęs nurodytas nuostatas, pirmosios instancijos teismas sprendė, jog pareiškėjas iš VĮ „Regitra“ (duomenų teikėjas) gaunamus duomenis gali naudoti tik Duomenų teikimo sutartyje numatytomis sąlygomis, t. y. teikti gautus duomenis tik UAB „Plius“.

Pirmosios instancijos teismas nurodė, jog byloje nėra ginčo dėl Inspekcijos atlikto tyrimo metu nustatytų aplinkybių, kad pareiškėjas iš VĮ „Regitra“ gaunamus duomenis teikė tretiesiems asmenims (draudimo bendrovėms) – AAS „Gjensidige Baltic“ Lietuvos filialui, UADB „Industrijos garantas“ (nuo 2011 m. balandžio 1 d. pareiškėjas su šiuo draudiku nebendradarbiauja), „If P&C Insurance ASM“ filialui, UADB „Seesam Lietuva“. Todėl teismas sprendė, jog tokiais veiksmais buvo pažeidžiamos Duomenų teikimo sutarties 2.4, 2.5 punktų, Registrų įstatymo 16 straipsnio 4 dalies ir Asmens duomenų teisinės apsaugos įstatymo 3 straipsnio 1 dalies 2 punkto nuostatos, todėl Nurodymo 1 punktu pareiškėjui pagrįstai nurodyta iš VĮ „Regitra“ gautus duomenis tvarkyti asmens duomenų teikimo sutartyje numatytomis sąlygomis ir tvarka.

Pirmosios instancijos teismas dėl Nutarimo 2 punkto, kuriuo nurodoma pareiškėjui atsisakyti automobilio valstybinio registracijos numerio, kaip vienintelio identifikatoriaus, naudojimo prisijungimui interneto svetainėje www.edrauda.lt ir nustatyti tokį identifikavimą, kuris nesudarytų sąlygų gauti asmens duomenų tokios teisės neturintiems asmenims bei leidžiantį vienareikšmiai identifikuoti duomenis pateikiantį asmenį, nustatytų įpareigojimų, pažymėjo, jog Duomenų teikimo sutarties 1 priedo 4 punkte numatyta, kad pareiškėjas turi galimybę VĮ „Regitra“ pateikti užklausą ne tik pagal automobilio valstybinį numerį, tačiau ir pagal kelių transporto priemonės identifikavimo numerį (VIN), registracijos dokumento numerį ar valdytojo kodą. Atlikto patikrinimo metu Inspekcija nustatė, kad Bendrovė internetinėje svetainėje siūlomai paslaugai teikti kaip pradinį ir vienintelį identifikatorių naudoja automobilio valstybinį numerį, kuris yra plačiai naudojamas ir lengvai prieinamas asmens duomuo. Remdamasis tuo, teismas sprendė, jog Bendrovė sudaro sąlygas jos teikiama paslauga pasinaudoti ne tik automobilio valdytojui, bet ir bet kuriam kitam asmeniui, kuriam yra žinomas automobilio valstybinis numeris. Todėl atsakovas, neįsitikinęs, ar paslauga norintis pasinaudoti asmuo yra automobilio, kurio draudimo kainą norima sužinoti valdytojas, sudaro sąlygas be duomenų subjekto sutikimo vykdyti asmens duomenų tvarkymo veiksmus. Taigi naudojant valstybinį automobilio numerį kaip vienintelį transporto priemonės identifikatorių gali būti pažeidžiamos Asmens duomenų teisinės apsaugos įstatymo 5 straipsnio 1 dalies 1 punkto nuostatos, nes prieš pateikiant kitus automobilio duomenis (markę, pagaminimo metus, draudimo kainą) nėra galimybės įsitikinti, ar duomenys yra teikiami duomenų subjektui, duomenų subjekto sutikimas dėl duomenų teikimo nėra gaunamas. Todėl teismas sprendė, jog Nurodymo 2 punkte nustatytas įpareigojimas yra pagrįstas ir teisėtas.

Teismas dėl Nurodymo 3 punkto, kuriuo pareiškėjui nurodoma atsisakyti perteklinių asmens duomenų tvarkymo automobilio draudimo kainos paskaičiavimo tikslu, remdamasis Asmens duomenų teisinės apsaugos įstatymo 2 straipsnio 1 dalimi, 3 straipsnio 4 dalimi, 3 ir 5 straipsnių nuostatomis, nurodė, jog asmens duomenys gali būti tvarkomi tik esant iš anksto apibrėžtam ir teisėtam tikslui, tvarkomi tiksliai, sąžiningai ir tik tokios apimties, kurios reikia šiam tikslui pasiekti, esant bent vienam iš Asmens duomenų teisinės apsaugos įstatymo 5 straipsnio 1 dalyje numatytam teisėto tvarkymo kriterijui. Teismas vertino, jog Bendrovė iš VĮ „Regitra (duomenų teikėjas) gaunamus duomenis gali naudoti tik Duomenų teikimo sutartyje numatytomis sąlygomis. Teismas, remdamasis byloje esančiais įrodymais, pažymėjo, jog pareiškėjas pripažįsta, kad jo 2010 m. spalio 1 d. prašyme nurodyti duomenys yra tiesiogiai ar netiesiogiai susiję su duomenų subjektu. Be to, pareiškėjas nei skunde teismui, nei teisminio nagrinėjimo metu nepaneigė skundžiamame Inspekcijos Nurodyme nustatytų aplinkybių, kad dalis jo tvarkomų duomenų (pavyzdžiui, transporto priemonės registracijos dokumento numeris, šio dokumento spausdinimo data ir kt.) neturi įtakos automobilio draudimo kainos apskaičiavimui. Remdamasis tuo, teismas sprendė, jog Nurodymo 3 punktu formuluojamas įpareigojimas yra pagrįstas ir teisėtas.

Pirmosios instancijos teismas, spręsdamas dėl Nurodymo 4 punktu nustatytų įpareigojimų – užtikrinti, kad prieš tvarkant asmens duomenis interneto svetainėje www.edrauda.lt būtų gaunamas Asmens duomenų teisinės apsaugos įstatymo reikalavimus atitinkantis duomenų subjekto sutikimas, papildant Naudojimosi tinklapiu taisykles, nustatant baigtinį tvarkomų asmens duomenų sąrašą ir konkrečiai įvardinant duomenų gavėjus – teisėtumo, rėmėsi Asmens duomenų teisinės apsaugos įstatymo 5 straipsnio 1 dalies 1 punktu, 2 straipsnio 12 punktu, 24 straipsnio 1, 2 dalimis, 30 straipsnio 1 dalimi, Bendrųjų reikalavimų 9.1, 9.1.5 punktais.

Teismas nurodė, jog Naudojimosi tinklapiu taisyklių 4.6 punkte nustatyta, kad tam tikri vartotojo asmens duomenys, reikalingi tinkamam Svetainėje nurodytų brokerio paslaugų suteikimui – duomenys apie transporto priemonę (valstybinis numeris, tipas, markė, modelis, pagaminimo metai ir kt.), transporto priemonės valdytojo asmens kodas, gyvenamoji vieta (adresas) bus gaunami iš VĮ „Regitra“. Naudojimosi tinklapiu taisyklių 4.7. punkte nurodoma, kad tam tikri asmens duomenys – duomenys apie transporto priemonę (valstybinis numeris, tipas, markė, modelis, pagaminimo metai ir kt.), transporto priemonės valdytojo asmens kodas, siekiant tinkamai suteikti Svetainėje nurodytas brokerio paslaugas, bus teikiami Svetainėje nurodytoms draudimo įmonėms.

Šiuo atveju apie draudimo bendroves, kurioms duomenys buvo teikti, duomenų subjektas buvo informuojamas tik paskaičiavus draudimo kainą. Teismas pažymėjo, jog byloje iš esmės nėra ginčo dėl aplinkybių, kad Naudojimosi tinklapiu taisyklėse nebuvo nurodomas kiekvienu asmens duomenų tvarkymo tikslu gaunamų ir teikiamų asmens duomenų bei šių duomenų gavėjų baigtinis sąrašas. Įvertinęs nurodytas aplinkybes, teismas sprendė, jog interneto svetainės lankytojams (duomenų subjektams) nebuvo teikiama informacija apie tai, iš kokių šaltinių ir kokie jų duomenys bus renkami ir ketinami rinkti, kokioms konkrečiai draudimo bendrovėms, kokiais tikslais ir kokie duomenys bus teikiami.

Taigi Bendrovė prieš atlikdama užklausas dėl subjekto duomenų bei šių duomenų perdavimo tretiesiems asmenims, prašydavo duomenų subjektų išreikšti sutikimą tvarkyti jų asmens duomenis, kurie nebūdavo tiksliai įvardijami, nenurodomi konkretūs subjektai, kuriems šie duomenys bus teikiami. Minėti pažeidimai taisytini keičiant Naudojimosi tinklapiu taisykles, t. y. interneto svetainės lankytojams aiškiai ir konkrečiai įvardijant dėl kokių jų duomenų tvarkymo ir kokioms draudimo bendrovėms šių duomenų perdavimo yra prašoma išreikšti sutikimą.

Teismas vertino, jog tokiais pareiškėjo veiksmais pažeidžiamos Asmens duomenų teisinės apsaugos įstatymo 5 straipsnio 1 dalies 2 punkto nuostatos, todėl Nurodymo 4 punktu pareiškėjui pagrįstai nurodoma iš VĮ „Regitra“ gautus duomenis tvarkyti asmens duomenų teikimo sutartyje numatytomis sąlygomis ir tvarka.

Įvertinęs bylos medžiagą, pirmosios instancijos teismas sprendė, jog Inspekcija Nurodyme faktines aplinkybes vertino bei ginčo santykius reglamentuojančių teisės aktų nuostatas aiškino tinkamai, formuluojami nurodymai yra pagrįsti pagal Lietuvos Respublikos viešojo administravimo įstatymo (toliau – ir VAĮ) 8 straipsnio 1 dalį, todėl naikinti skundžiamą Nurodymą nėra pagrindo.

III. Pareiškėjas EDRAUDA, UADBB apeliaciniu skundu (t. II, b. l. 88-94) prašo Vilniaus apygardos administracinio teismo 2012 m. sausio 20 d. sprendimą panaikinti ir priimti naują sprendimą – panaikinti Valstybinės duomenų apsaugos inspekcijos 2011 m. liepos 20 d. nurodymą Nr. 2R-2337(2.14) „Dėl asmens duomenų tvarkymo“.

Apeliaciniame skunde dėl Nurodymo rezoliucinės dalies 1 punkte nustatyto įpareigojimo nurodoma, kad Duomenų teikimo sutartyje eksplicitiškai nėra išvardintos draudimo bendrovės, kurioms pareiškėjas teikia iš VĮ „Regitra“ gautus asmens duomenis, ir tai nesudaro pagrindo konstatuoti, kad pareiškėjas asmens duomenis teikė ne Duomenų teikimo sutarties pagrindu, pažeisdamas Duomenų teikimo sutarties ir teisės aktų reikalavimus. Pabrėžia, jog pareiškėjas yra nepriklausomas draudimo tarpininkas, turintis licenciją draudimo brokerių įmonės veiklai vykdyti.

Remiasi Lietuvos Respublikos draudimo įstatymo (toliau – ir Draudimo įstatymas) 2 straipsnio 24 punktu, 147 straipsnio 4 dalimi ir nurodo, jog pareiškėjas pats nedraudžia ir negali drausti savo klientų, o tarpininkauja sudarant transporto priemonių valdytojų privalomojo civilinės atsakomybės draudimo sutartis tarp draudėjų ir draudimo įmonių. Atsižvelgiant į tai, kad pareiškėjas yra draudimo tarpininkas ir pats sutarčių tarp draudėjo ir draudimo įmonės nesudaro, tačiau turi pareigą suteikti draudėjui jį dominančią informaciją apie draudimo sutarties sąlygas, vartotojui besikreipiant į pareiškėją, pareiškėjui siekiant vykdyti savo tiesioginę veiklą yra būtina pateikti ir gauti tam tikrą informaciją iš draudimo bendrovių, nes tik draudimo bendrovė nustato ir pateikia esminį draudimo sutarties elementą – siūlomą draudimo kainą, kuri priklauso nuo draudėjo valdomos transporto priemonės. Duomenų teikimo sutartyje aiškiai nurodoma, kad gauti duomenys bus naudojami kelių transporto priemonių draudimo (sutarčių sudarymo) tikslais (2.4 p.).

Todėl sisteminė Duomenų teikimo sutarties nuostatų analizė suponuoja, kad draudimo įmonių dalyvavimas joms teikiant iš VĮ „Regitra“ gautus duomenis yra neatsiejama Duomenų teikimo sutarties vykdymo dalis, nes be tokio draudimo įmonių dalyvavimo būtų paneigtas Duomenų teikimo sutarties sudarymo tikslas, o jos vykdymas (duomenų gavimas iš VĮ „Regitra“, neperduodant jų draudimo įmonėms) prarastų prasmę. Todėl, atsižvelgdamas į tai, kad duomenų teikimas draudimo įmonėms yra neatsiejamas nuo Duomenų teikimo sutarties sudarymo ir vykdymo, mano, kad toks duomenų teikimas patenka į Registrų įstatymo 16 straipsnio 4 dalies taikymo sritį.

Pažymi, kad Duomenų teikimo sutarties 2.5 punkte duomenų teikimo sąlygos subjektui UAB „Plius“ buvo apibrėžtos papildomai atsižvelgiant į tai, kad UAB „Plius“ nėra draudimo įmonė, todėl duomenų teikimas šiam subjektui nėra neatsiejamai susijęs su Duomenų teikimo sutarties vykdymo esme, skirtingai negu draudimo įmonių atveju.

Dėl Nurodymo rezoliucinės dalies 2 punkte nustatyto įpareigojimo pareiškėjas pabrėžia, kad teismas lakoniškai konstatavo, kad automobilio valstybinis numeris yra asmens duomuo, nepateikdamas visiškai jokių tokią savo poziciją pagrindžiančių argumentų. Pareiškėjo nuomone, teismas netinkamai aiškina sąvoką „asmens duomuo“ ir netinkamai šią sąvoką taikė šioje byloje, neįvertino byloje esančių įrodymų dėl pareiškėjo Svetainės veikimo, duomenų gavimo. Nurodo, jog Svetainėje lankytojui nepateikiamas nei automobilio savininkas, nei kiti duomenys, pagal kuriuos būtų galima identifikuoti asmenį, kuriam priklauso transporto priemonė. Pats transporto priemonės valstybinis registracijos numeris, nei tokie Svetainėje pateikiami duomenys, kaip transporto priemonės draudimo kaina, draudimo bendrovės pavadinimas, transporto priemonės modelis bei pagaminimo metai nesuteikia galimybės tiesiogiai ar netiesiogiai nustatyti duomenų subjekto tapatybės, todėl šie duomenys nelaikytini asmens duomenimis.

Pažymi, kad transporto priemonės modelis yra viešai prieinama informacija. Šia poziciją patvirtina ir VĮ „Regitra“ teikiamos elektroninės informacijos apie transporto priemonę paslaugos. VĮ „Regitra“ šių duomenų nelaiko asmens duomenimis ir teikia juos viešai ir visiems prieinamu būdu. Nurodo, jog tam, kad Svetainės lankytojas galėtų pasinaudoti pareiškėjo teikiamomis paslaugomis, t. y. sudaryti transporto priemonės draudimo sutartį, transporto priemonės valstybinis registracijos numeris nėra pakankamas identifikatorius, t. y. lankytojas turi įvesti jo asmenį identifikuojantį duomenį – automobilio savininko asmens kodą. Tik įvedus šį identifikatorių ir įsitikinus Svetainės lankytojo tapatybe yra inicijuojamas draudimo sutarties sudarymo procesas bei pradedami tvarkyti draudimo sutarčiai sudaryti reikalingi lankytojo asmens duomenys. Automobilio valdytojo asmens kodas, įvedamas svetainės lankytojui siekiant užsakyti pareiškėjo teikiamas paslaugas bei inicijuoti draudimo sutarties sudarymo procesą, yra tas identifikatorius, kuris leidžia pasinaudoti pareiškėjo teikiamomis paslaugomis bei užtikrina teisėtą asmens duomenų tvarkymą.

Dėl Nurodymo rezoliucinės dalies 3 punkte nustatyto įpareigojimo pareiškėjas paaiškina, jog teismas Duomenų teikimo sutarties Priedo Nr. 1 4 punkte išvardintus tam tikrus duomenis klaidingai laiko asmens duomenimis. Remiasi Asmens duomenų teisinės apsaugos įstatymo 2 straipsnio 1 dalyje pateiktu asmens duomenų sąvokos apibrėžimu ir nurodo, jog tokie duomenys, kaip transporto priemonės registracijos dokumento numeris, transporto priemonės registracijos dokumento spausdinimo data, transporto priemonės identifikavimo duomenys ir kiti su transporto priemonės techninėmis specifikacijomis bei jos registravimu susiję duomenys, išvardinti Duomenų teikimo sutarties Priedo Nr. 1 4 punkte, yra su transporto priemonės ir jos identifikavimu susiję duomenys, kurie nei kartu, nei atskirai, nei jokiu kitu būdu nesuteikia galimybės identifikuoti duomenų subjekto ar kitokiu būdu nustatyti jo tapatybės, todėl jie nelaikytini asmens duomenimis Asmens duomenų teisinės apsaugos įstatymo prasme. Net ir tuo atveju, jei tokie duomenys būtų pripažįstami asmens duomenimis, pabrėžia, kad visi iš VĮ „Regitra“ pagal sudarytą Duomenų teikimo sutartį gaunami duomenys yra reikalingi ir būtini galimybei sudaryti draudimo sutartį dėl konkrečios transporto priemonės nustatyti, draudimo kainai paskaičiuoti pagal draudimo įmonių taikomą draudimo kainos skaičiavimo metodologiją, taip pat draudimo sutarčiai sudaryti.

Dėl Nurodymo rezoliucinės dalies 4 punkte nustatyto įpareigojimo pareiškėjas nurodo, jog Asmens duomenų teisinės apsaugos įstatymas nenustato reikalavimo bei neįpareigoja duomenų valdytojo nustatyti baigtinio tvarkomų asmens duomenų sąrašo ar/ir nurodyti konkrečių duomenų gavėjų, t. y. nagrinėjamu atveju nurodyti konkrečias draudimo bendroves. Todėl, pareiškėjo nuomone, duomenų gavėjai gali būti apibrėžti kaip tam tikros subjektų grupės (pavyzdžiui, bankai, draudimo įmonės). Mano, jog teismo ir Inspekcijos reikalavimas nurodyti konkrečias draudimo bendrovės yra perteklinis, neatitinka Asmens duomenų teisinės apsaugos įstatymo nuostatų ir prieštarauja Inspekcijos praktikai. Pažymi, jog Inspekcija, įregistruodama pareiškėją duomenų valdytoju, nereikalavo iš pareiškėjo nurodyti baigtinio tvarkomų su transporto priemone susijusių duomenų sąrašo, be to, didžioji dalis VĮ „Regitra“ gaunamų duomenų yra su transporto priemonės registravimu ir jos techninėmis charakteristikomis susiję duomenys, kurie nėra laikytini asmens duomenimis, nes iš jų negalima nustatyti duomenų subjekto tapatybės.

Pabrėžia, jog Naudojimosi tinklalapiu taisyklėse, su kuriomis Svetainės lankytojas turi susipažinti bei patvirtinti savo susipažinimą prieš pasinaudojant Svetainėje teikiamomis paslaugomis, yra nurodyta, kokiu tikslu bus tvarkomi Svetainės lankytojo duomenys (4.2 ir 4.8 p.), yra nurodyti duomenys, kuriuos turi pateikti Svetainės lankytojas (4.4 p.), taip pat yra nurodyti subjektai, iš kurių bus gaunami ir kuriems bus perduodami lankytojo ir jam priklausančios transporto priemonės duomenys (4.6 ir 4.7 p.). Tokiu būdu lankytojas turi visą būtiną ir Asmens duomenų teisinės apsaugos įstatyme nurodytą informaciją apie jo asmens duomenų tvarkymą tam, kad išreikštų savo sutikimą arba nesutikimą. Patvirtindamas savo susipažinimą su Naudojimosi tinklalapiu taisyklėmis, lankytojas savanoriškai išreiškia savo valią bei sutikimą, kad Naudojimosi tinklalapiu taisyklėse nurodyti jo asmens duomenis bus tvarkomi šiose taisyklėse nurodytu tikslu. Lankytojas, kuris nesutinka su jo duomenų tvarkymu, negali pasinaudoti Svetainėje teikiamomis paslaugomis, nes, nepatvirtinus susipažinimo su Naudojimosi tinklalapiu taisyklėmis, tokiu būdu lankytojas išreiškia savo valią – nesutikimą. Pažymi, jog duomenų subjektas įregistruodamas transporto priemonę VĮ „Regitra“ kartu duoda sutikimą dėl jo asmens ir jam priklausančios transporto priemonės duomenų tvarkymo, įskaitant ir teikimą kitiems duomenų gavėjams. Atitinkamai VĮ „Regitra“, veikdama pagal gautą duomenų subjekto sutikimą bei jos veiklą reglamentuojančius teisės aktus, teisėtai teikia šiuos duomenis pagal jos sudarytas sutartis, įskaitant Duomenų teikimo sutartį.

Atsakovas Valstybinė duomenų apsaugos inspekcija atsiliepimu į pareiškėjo apeliacinį skundą (t. II, b. l. 113-119) prašo apeliacinį skundą atmesti, pirmosios instancijos teismo sprendimą palikti nepakeistą.

Atsiliepime į apeliacinį skundą atsakovas remiasi atsiliepime į pareiškėjo skundą nurodomais argumentais. Atsakovas dėl Inspekcijos Nurodymo rezoliucinės dalies 1 punkte nustatyto įpareigojimo nurodo, jog draudimo bendrovės nepatenka į Asmens duomenų teisinės apsaugos įstatymo 2 straipsnio 13 dalyje numatytas išimtis, t. y. draudimo bendrovės nagrinėjamu atveju nėra VĮ „Regitra“ teikiamų duomenų valdytojos, nes teikiamų duomenų valdytoja yra Vidaus reikalų ministerija (atstovaujama duomenų tvarkytojo VĮ „Regitra“) bei duomenų valdytoju yra pareiškėjas, todėl laikytina, kad draudimo bendrovės yra trečiaisiais asmenimis Asmens duomenų teisinės apsaugos įstatymo 2 straipsnio 13 dalies prasme. Pažymi, jog Duomenų teikimo sutarties 2.5 punkte VĮ „Regitra“ pareiškėjui yra aiškiai nurodžiusi, kad gali teikti gautus kelių transporto priemonių techninius duomenis tik UAB „Plius“, o 3.3.4 punktu pareiškėjas įsipareigoja neatskleisti, neskelbti, nesuteikti galimybės tretiesiems asmenims bet kokia forma susipažinti su gaunamais asmens duomenimis, jeigu Lietuvos Respublikos įstatymai, kiti teisės aktai ir ši sutartis nenustato kitaip. Atkreipia dėmesį, jog nei įstatymai, nei kiti teisės aktai nenumato draudimo bendrovėms ar draudimo tarpininkams pareigos rinkti ir toliau tvarkyti asmens duomenis iš Lietuvos Respublikos kelių transporto priemonių registro, o numanoma draudimo tarpininko veiklos specifikacija nesudaro teisinio pagrindo duomenų perteikimui tretiesiems asmenims. Vadovaujantis Registrų įstatymo 16 straipsnio 4 dalimi, bet koks gautų asmens duomenų perteikimas turėjo būti apibrėžtas duomenų teikimo sutartyje. Pažymi, jog Inspekcija neginčija pareiškėjo teisės verstis draudimo tarpininko veikla, tačiau pats pareiškėjas, žinodamas savo veiklos specifiką, turėjo ją įvertinti sudarydamas sutartį su VĮ „Regitra“ ir sutartyje numatyti galimybę gautus duomenis pateikti bendrovėms.

Nurodo, jog pirmosios instancijos teismas padarė teisingą išvadą, kad pareiškėjo naudodamas automobilio valstybinis numeris kaip vienintelis identifikatorius prisijungimui interneto svetainėje www.eldrausa.lt sudaro sąlygas jo teikiama paslauga pasinaudoti ne tik automobilio valdytojui, bet ir bet kuriam kitam asmeniui, kuriam yra žinomas automobilio valstybinis numeris, neįsitikinęs, ar paslauga norintis pasinaudoti asmuo yra automobilio, kurio draudimo kainą norima sužinoti, valdytojas, sudaro sąlygas be duomenų subjekto sutikimo vykdyti asmens duomenų tvarkymo veiksmus. Pažymi, kad panaudojus netinkamą identifikatorių – valstybinį transporto priemonės registravimo numerį – be paties duomenų subjekto žinios ir jo sutikimo jo asmens duomenys: vardas, pavardė, asmens kodas, gyvenamoji vieta, automobilio markė, pagaminimo metai, variklio nr. ir kt. gauti iš VĮ „Regitra“ yra automatiškai perduodami Trims draudimo bendrovėms. Pabrėžia, jog Inspekcija dėl VĮ „Regitra“ teikiamos elektroninės paslaugos neatliko patikrinimo, todėl negali vertinti tokios paslaugos teikimo teisėtumo, be to, tai nesusiję su ginčijamo Inspekcijos Nurodymo teisėtumu.

Inspekcija dėl Nurodymo rezoliucinės dalies 3 punkte nustatyto įpareigojimo pažymi, kad pareiškėjas nei skunde teismui, nei teisminio nagrinėjimo metu nepaneigė skundžiamame Inspekcijos Nurodyme nustatytų aplinkybių, kad dalis jo tvarkomų duomenų (pavyzdžiui, transporto priemonės registracijos dokumento numeris, šio dokumento spausdinimo data ir kt.) neturi įtakos automobilio draudimo kainos paskaičiavimui. Pareiškėjas apeliaciniame skunde nepateikė kainos apskaičiavimo metodikos, nepagrindė Inspekcijos įvardintų perteklinių asmens duomenų elementų įtakos kainai, nepateikė jokių kitų įrodymų, kad Nurodyme nurodyti pertekliniai duomenys yra reikalingi automobilio draudimo kainos paskaičiavimo tikslu.

Atsakovas pabrėžia, jog asmens duomenų valdytojų registravimą ir duomenų saugumo organizacines ir technines priemones reglamentuoja skirtingi teisės aktai: Asmens duomenų valdytojų valstybės registro nuostatai, patvirtinti Lietuvos Respublikos Vyriausybės 2002 m. vasario 20 d. nutarimu Nr. 262 (toliau – ir Asmens duomenų valdytojų valstybės registro nuostatai), Bendrieji reikalavimai. Pažymi, kad transporto priemonių registravimą reglamentuoja Lietuvos Respublikos kelių transporto priemonių registro nuostatai, patvirtinti Lietuvos Respublikos Vyriausybės 2005 m. lapkričio 28 d. nutarimu Nr. 1286 (toliau – ir Kelių transporto priemonių registro nuostatai), kuriuose nenumatyta, kad duomenų subjektas, įregistruodamas transporto priemonę VĮ „Regitra“, kartu duotų sutikimą dėl jo asmens duomenų teikimo duomenų gavėjams, atvirkščiai šių nuostatų 59 punkte nustatyta, kad registre tvarkomi asmens duomenys teikiami vadovaujantis Asmens duomenų teisinės apsaugos įstatymu.

Teisėjų kolegija

k o n s t a t u o j a:

IV. Apeliacinis skundas atmestinas.

Byloje ginčas kyla dėl Valstybinės duomenų apsaugos inspekcijos 2011 m. liepos 20 d. nurodymo Nr. 2R-2337(2.14) „Dėl asmens duomenų tvarkymo“, kuriuo pareiškėjui buvo nustatyti tam tikri įpareigojimai, teisėtumo ir pagrįstumo.

Pirmosios instancijos teismas konstatavo, kad Nurodymas yra teisėtas ir pagrįstas, todėl pareiškėjo skundą atmetė.

Pareiškėjas apeliaciniame skunde atskirai pateikia argumentus dėl Nurodymo rezoliucinės dalies 1 – 4 punktuose įtvirtintų įpareigojimų, todėl teisėjų kolegija dėl jų pasisako atskirai. Teisėjų kolegija taip pat pažymi, kad iš esmės nekyla ginčo dėl pirmosios instancijos teismo nustatytų faktinių aplinkybių, todėl teisėjų kolegija dėl jų atskirai nepasisako.

Dėl Nurodymo rezoliucinės dalies 1 punkto

Nurodymo rezoliucinės dalies 1 punkte pareiškėjas įpareigotas asmens duomenis, gautus iš VĮ „Regitra“, tvarkyti asmens duomenų teikimo sutartyje nustatytomis sąlygomis ir tvarka.

Pirmosios instancijos teismas sprendime konstatavo, jog, įvertinus byloje taikytiną teisinį reguliavimą, pareiškėja iš VĮ „Regitra“ gaunamus duomenis gali tvarkyti tik Duomenų teikimo sutartyje numatytomis sąlygomis, o joje nenumatyta, kad pareiškėjas minėtus duomenis galėtų teikti ne UAB „Plius“. Kadangi pareiškėja iš VĮ „Regitra“ gautus duomenis teikė AAS „Gjinsidige Baltic“ Lietuvos filialui, UADB „Industrijos garantas“, „If P&C Insurance ASM“ filialui bei UADB „Seesam Lietuva“, pirmosios instancijos teismas konstatavo, kad pareiškėjas pažeidė Lietuvos Respublikos valstybės registrų įstatymo 16 straipsnio 4 dalį, Asmens duomenų teisinės apsaugos įstatymo 3 straipsnio 1 dalies 2 punktą ir Duomenų teikimo sutarties 2.4 ir 2.5 punktus.

Bendrovė apeliaciniame skunde nurodo, kad, atsižvelgiant į jos vykdomos veiklos pobūdį (t. y. į tai, kad ji yra nepriklausomas draudimo tarpininkas), ji turi pareigą draudėjams pateikti juos dominančią informaciją, duomenų pateikimas draudimo įmonėms yra neatsiejamas nuo pareiškėjo vykdomos veiklos. Pareiškėjo teigimu, Duomenų teikimo sutarties 2.4 punktas traktuotinas kaip tinkamas pagrindas teikti duomenis pirmiau nurodytoms draudimo bendrovėms.

Teisėjų kolegija su tokiu apelianto vertinimu nesutinka.

Šiuo aspektu pažymėtina, kad pirmosios instancijos teismas pagrįstai nurodė, jog Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (bylai aktuali 2001 m. gegužės 28 d. redakcija) 3 straipsnio 1 dalies 2 punkte nurodyta, kad duomenų valdytojas privalo užtikrinti, kad asmens duomenys būtų tvarkomi tiksliai, sąžiningai ir teisėtai, o Lietuvos Respublikos valstybės registrų įstatymo (bylai aktuali 2009 m. lapkričio 12 d. redakcija) 16 straipsnio 4 dalyje numatyta, kad fiziniai ir juridiniai asmenys, gavę registro duomenis, gali juos naudoti tik tokiam tikslui, tokia apimtimi ir tokiu būdu, kokie buvo nurodyti gaunant duomenis. Duomenis teikti tretiesiems asmenims galima tik duomenų teikimo sutarčių, pasirašytų su registro tvarkymo įstaiga, nustatyta tvarka ir registro nuostatų nustatyta tvarka. Pastaroji nuostata expressis verbis numato, kad tretiesiems asmenims duomenis teikti galima tik duomenų teikimo sutarčių, pasirašytų su registro tvarkymo įstaiga, nustatyta tvarka. Įstatymo 2 straipsnio 13 dalyje nurodyta, kad trečiasis asmuo – juridinis ar fizinis asmuo, išskyrus duomenų subjektą, duomenų valdytoją, duomenų tvarkytoją ir asmenis, kurie yra tiesiogiai duomenų valdytojo ar duomenų tvarkytojo įgalioti tvarkyti duomenis. Byloje nėra ginčo, kad pirmiau minėtoms draudimo bendrovėms pareiškėjas teikė asmens duomenis, taip pat nėra ginčo dėl to, kad šios bendrovės nepatenka į Įstatymo 2 straipsnio 13 dalyje nurodytų išimčių ratą, taigi Įstatymo požiūriu jos laikytinos trečiaisiais asmenimis.

Duomenų teikimo sutarties 2.3 punkte nurodyta, jog teikėjas teikia gavėjui duomenų subjekto duomenis, o gavėjas įsipareigoja naudoti gautus duomenų subjekto siekiant nustatyti, ar duomenų subjektas valdo transporto priemones, atliekant kelių transporto priemonių draudimo paslaugas. Gavėjas, pateikdamas užklausimą teikėjui, garantuoja, kad duomenis jis renka teisėtam interesui, o renkant duomenis apie duomenų subjektą, kuris yra fizinis asmuo, esant fizinio asmens sutikimui rinkti tokius duomenis. Gavėjas garantuoja, kad duomenų subjektas (fizinis asmuo) yra davęs sutikimą arba yra informuotas apie tokį jo duomenų gavimą bei jo teisę nesutikti su gautų duomenų tvarkymu. Sutarties 2.4 punkte numatyta, kad duomenų gavėjas garantuoja, jog iš duomenų teikėjo gauti duomenys bus naudojami atliekant transporto priemonių draudimo ar kitais sutartyje nustatytais ir teisėtais tikslais, 2.5 punkte nustatyta, jog gavėjas iš teikėjo gautus kelių transporto priemonių techninius duomenis gali teikti UAB „Plius“, o 3.3.4 punkte nurodyta, kad duomenų gavėjas įsipareigoja neatskleisti, neskelbti nesuteikti galimybės tretiems asmenims bet kokia forma susipažinti su gaunamais duomenimis, jeigu Lietuvos Respublikos įstatymai, kiti teisės aktai ir ši sutartis nenustato kitaip (t. I, b.l. 17–18).

Teisėjų kolegija, įvertinusi minėtas Duomenų teikimo sutarties nuostatas, pažymi, kad jos 3.3.4 punkte yra tiesiogiai įtvirtintas draudimas neteikti gaunamų duomenų tretiesiems asmenims, šio draudimo išimtis numatyta Duomenų teikimo sutarties 2.5 punkte. Nors pareiškėjas teisę teikti duomenis byloje minimoms draudimo bendrovėms kildina iš Duomenų teikimo sutarties 2.4 punkto, atkreiptinas dėmesys į tai, kad šioje Sutarties nuostatoje įtvirtintas tik duomenų tvarkymo tikslas, bet ne subjektų, kuriems pareiškėjas turi teisę teikti iš VĮ „Regitra“ gautus duomenis, ratą. Taigi Sutarties 2.4 punktas negali būti traktuojamas kaip leidžiantis teikti iš VĮ „Regitra“ gautus duomenį bet kuriems tretiesiems asmenims, veikiantiems draudimo paslaugų srityje. Be to, nors pareiškėjas nurodo, kad pareiga draudėjams teikti gaunamus duomenis kyla iš jo, kaip draudimo tarpininko, veiklos prigimties, pažymėtina, kad teisės aktai jokių išimčių būtent šiame ūkinės veiklos sektoriuje nenumato.

Atsižvelgiant į pirmiau nurodytus argumentus darytina išvada, jog atsakovas Nurodyme pagrįstai konstatavo, kad pareiškėjas iš VĮ „Regitra“ gautus duomenis AAS „Gjinsidige Baltic“ Lietuvos filialui, UADB „Industrijos garantas“, „If P&C Insurance ASM“ filialui bei UADB „Seesam Lietuva“ teikė tam nesant teisinio pagrindo ir pagrįstai įpareigojo pareiškėją asmens duomenis tvarkyti Duomenų teikimo sutartyje nustatytomis sąlygomis ir tvarka. Atitinkamai ši pareiškėjo apeliacinio skundo dalis atmetama kaip nepagrįsta.

Dėl Nurodymo rezoliucinės dalies 2 punkto

Nurodymo rezoliucinės dalies 2 punkte pareiškėjas įpareigotas atsisakyti automobilio valstybinio registracijos numerio, kaip vienintelio identifikatoriaus, naudojimo prisijungimui interneto svetainėje www.eldrauda.lt ir nustatyti tokį identifikavimą, kuris nesudarytų sąlygų gauti asmens duomenų tokios teisės neturintiems asmenims ir leidžiantį vienareikšmiai identifikuoti duomenis pateikiantį asmenį.

Pirmosios instancijos teismas, atsižvelgęs į Įstatymo 5 straipsnio 1 dalies 1 punkto nuostatas, sprendime nurodė, kad naudojant valstybinį automobilio numerį kaip vienintelį transporto priemonės identifikatorių, gali būti pažeidžiamos minėtos Įstatymo nuostatos, nes prieš pateikiant kitus automobilio duomenis nėra galimybės įsitikinti, ar duomenys yra teikiami duomenų subjektui, duomenų subjekto sutikimas dėl duomenų teikimo nėra gaunamas. Pirmosios instancijos teismas pažymėjo, kad Bendrovė sudaro sąlygas jos teikiama paslauga pasinaudoti ne tik automobilio valdytojui, bet ir bet kuriam kitam asmeniui, kuriam yra žinomas valstybinis automobilio numeris, todėl pareiškėjas, neįsitikinęs, jog paslauga norintis pasinaudoti asmuo yra automobilio, kurio draudimo kainą norima sužinoti, savininkas, sudaro sąlygas be duomenų subjekto sutikimo vykdyti asmens duomenų tvarkymo veiksmus.

Teisėjų kolegija pažymi, kad byloje nėra ginčo dėl to, jog pareiškėjas paslaugų teikimui ir prisijungimui, t. y. galimos automobilio draudimo sumos apskaičiavimui, interneto svetainėje www.eldrauda.lt bylai reikšmingu laikotarpiu naudojo vien automobilio registracijos numerį.

Įstatymo 5 straipsnio 1 dalies 1 punkte numatyta, kad asmens duomenys gali būti tvarkomi, jeigu duomenų subjektas duoda sutikimą.

Pareiškėjas apeliaciniame skunde nurodo, kad pirmosios instancijos teismas nepagrįstai konstatavo, jog automobilio valstybinis numeris yra asmens duomuo, taip pat teigia, kad įvedus automobilio valstybinį numerį interneto tinklapyje pateikiama informacija (automobilio modelis, automobilio pagaminimo metai, geriausią draudimo paslaugos kainą siūlančios draudimo bendrovės pavadinimas) taip pat nėra asmens duomenys Įstatymo 2 straipsnio 1 dalies prasme, nes pagal minėtus duomenis nei tiesiogiai, nei netiesiogiai negalima identifikuoti asmens, kuriam priklauso transporto priemonė.

Vertindama Nurodymo rezoliucinės dalies 2 punkto teisėtumą teisėjų kolegija visų pirma atkreipia dėmesį į tai, kad apeliantas neginčija atsakovo nurodytos faktinės aplinkybės, jog panaudojus plačiai naudojamą ir lengvai prieinamą identifikatorių – automobilio valstybinį numerį, atitinkamoms draudimo bendrovėms yra automatiškai pateikiami įvairūs asmens duomenys (asmens vardas, pavardė, asmens kodas, gyvenamoji vieta ir pan.). Taigi tuo atveju, jei minėtą identifikatorių įveda asmuo, kuris nėra atitinkamos transporto priemonės savininkas, draudimo bendrovėms yra perduodami asmens duomenys be paties duomenų subjekto valios ir sutikimo. Todėl šiuo atveju apskritai nėra teisiškai reikšminga, ar automobilio valstybinis numeris, taip pat interneto tinklapyje pateikiama informacija (automobilio modelis, automobilio pagaminimo metai, geriausią draudimo paslaugos kainą siūlančios draudimo bendrovės pavadinimas) yra asmens duomenys Įstatymo prasme. Atitinkamai darytina išvada, kad pirmosios instancijos teismas pagrįstai konstatavo, jog Nurodymo rezoliucinės dalies 2 punktas yra teisėtas ir pagrįstas.

Kiek tai susiję su automobilio valstybinio numerio, kaip identifikatoriaus, naudojimu pažymėtina, kad pareiškėjas nesudarė prielaidų gauti šiuos duomenis savo svetainėje, taigi, vien tai, kad asmuo, panaudojęs lengvai prieinamą identifikatorių - automobilio valstybinį numerį, jį gali panaudoti, savaime netraktuotina kaip Įstatymo pažeidimas. Kita vertus, kaip minėta, panaudojus šį identifikatorių, interneto tinklapyje pateikiami duomenys (automobilio modelis, automobilio pagaminimo metai, geriausią draudimo paslaugos kainą siūlančios draudimo bendrovės pavadinimas), kuriuos gali matyti automobilio valstybinį numerį įvedęs asmuo.

Įstatymo 2 straipsnio 1 dalyje pateiktas asmens duomenų apibrėžimas: asmens duomenys – bet kuri informacija, susijusi su fiziniu asmeniu – duomenų subjektu, kurio tapatybė yra žinoma arba gali būti tiesiogiai ar netiesiogiai nustatyta pasinaudojant tokiais duomenimis kaip asmens kodas, vienas arba keli asmeniui būdingi fizinio, fiziologinio, psichologinio, ekonominio, kultūrinio ar socialinio pobūdžio požymiai. Iš esmės analogiškas asmens duomenų apibrėžimas yra įtvirtintas ir 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB (toliau – Direktyva 95/46/EB) dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo 2 straipsnio a dalyje, kur numatyta, kad asmens duomenys reiškia bet kurią informaciją, susijusią su asmeniu (duomenų subjektu), kurio tapatybė yra nustatyta arba gali būti nustatyta; asmuo, kurio tapatybė gali būti nustatyta, yra tas asmuo, kurio tapatybė gali būti nustatyta tiesiogiai ar netiesiogiai, ypač pasinaudojus nurodytu asmens identifikavimo kodu arba vienu ar keliais to asmens fizinei, fiziologinei, protinei, ekonominei, kultūrinei ar socialinei tapatybei būdingais veiksniais. Kadangi Įstatymo nuostatomis, be kita ko, siekiama įgyvendinti Direktyvą 95/46/EB (žr. Įstatymo priedą), Įstatymo turinys turi būti aiškinamas atsižvelgiant į Direktyvos 95/46/EB turinį ir jos aiškinimo praktiką. Šios Direktyvos 29 straipsnio pagrindu įsteigtos 29 straipsnio duomenų apsaugos darbo grupės 2007 m. birželio 20 d. Nuomonėje 4/2007 dėl asmens duomenų savokos nurodyta, kad Direktyvoje įtvirtintas asmens duomenų apibrėžimas rodo Europos teisės aktų leidėjo ketinimą taikyti plačią asmens duomenų sąvoką, taip pat nurodyta, kad ši sąvoka turi būti aiškinama atsižvelgiant į Direktyvos tikslą - saugoti fizinių asmenų pagrindines teises ir laisves, visų pirma jų privatumo teisę tvarkant asmens duomenis. Minėtoje nuomonėje taip pat nurodyta, kad kai kuriais atvejais iš duomenų gaunama informacija pirmiausiai yra susijusi su objektais, o ne su asmenimis. Tie objektai paprastai kam nors priklauso, jiems asmenys gali daryti tam tikrą poveikį arba jie gali daryti tam tikrą poveikį asmenims, taip pat objektai gali būti fizine ar geografine prasme artimi asmenims arba kitiems objektams. Tokiais atvejais galima laikyti, kad informacija su tais asmenimis arba objektais susijusi netiesiogiai.

Teisėjų kolegija pažymi, kad, įvertinus Įstatymo 2 straipsnio 1 dalį, aptariami duomenys (automobilio valstybinis numeris, automobilio modelis, automobilio pagaminimo metai) laikytini asmens duomenimis, nes netiesiogiai gali būti siejami su konkrečiu asmeniu - atitinkamo automobilio savininku. Todėl darytina išvada, kad šiuo aspektu atsakovo argumentai dėl Nurodymo rezoliucinės dalies 2 punkte esančio įpareigojimo taip pat pagristi.

Dėl pirmiau nurodytų motyvų ši pareiškėjo apeliacinio skundo dalis atmetama kaip nepagrįsta.

Dėl Nurodymo rezoliucinės dalies 3 punkto

Nurodymo rezoliucinės dalies 3 punkte pareiškėjas įpareigotas atsisakyti perteklinių asmens duomenų tvarkymo automobilio draudimo kainos paskaičiavimo tikslu.

Pirmosios instancijos teismas sprendime nurodė, kad pagal Įstatymo 3 straipsnio 4 dalį duomenų valdytojas privalo užtikrinti, jog asmens duomenys būtų tik tokios apimties, kuri būtina jiems rinkti ir toliau tvarkyti, tuo tarpu pareiškėjas nepaneigė Nurodyme nustatytų aplinkybių, kad dalis pareiškėjo tvarkomų duomenų (pvz., transporto priemonės registracijos dokumento numeris, šio dokumento spausdinimo data) neturi įtakos automobilio draudimo kainos apskaičiavimui.

Pareiškėjas apeliaciniame skunde nurodo, kad Duomenų teikimo sutarties Priedo Nr. 1 4 punkte išvardinti duomenys nėra asmens duomenys, taip pat teigia, kad šie duomenys yra būtini paslaugos teikimui, todėl negali būti laikomi pertekliniais.

Kiek tai susiję su vertinimu, ar aptariami duomenys laikytini asmens duomenimis, teisėjų kolegija pažymi, kad, kaip minėta, Įstatymo 2 straipsnio 1 dalyje pateiktas asmens duomenų apibrėžimas aiškintinas plačiai, o duomenys, susiję su konkrečiu objektu, kuris priklauso konkrečiam asmeniu, laikytini asmens duomenimis, nes jie netiesiogiai susiję su tuo asmeniu. Pareiškėjas apeliaciniame skunde nurodo, kad aptariami duomenys identifikuoja konkretų automobilį, taigi, jie laikytini duomenimis, kurie netiesiogiai susiję su transporto priemonės valdytoju. Todėl pirmosios instancijos teismas pagrįstai aptariamus duomenis traktavo kaip asmens duomenis.

Kiek tai susiję su argumentu, kad aptariami duomenys nėra pertekliniai, teisėjų kolegija pažymi, jog pagal Įstatymo 3 straipsnio 4 dalį būtent pareiškėjui tenka pareiga užtikrinti, kad asmens duomenys būtų tik tokios apimties, kuri būtina jiems rinkti ir toliau tvarkyti. Atitinkamai, ginčo atveju įrodinėjimo našta, kad konkretūs asmens duomenys yra būtini paslaugai teikti, tenka taip pat pareiškėjui. Nors pareiškėjas apeliaciniame skunde nurodo, kad šie duomenys yra reikalingi ir būtini galimybei sudaryto draudimo sutartį nustatyti, draudimo kainai paskaičiuoti ir sutarčiai sudaryti, jis nepaaiškino, kodėl ir kaip aptariami duomenys yra būtini jo nurodytiems tikslams pasiekti, nepateikė savo teiginius pagrindžiančių įrodymų. Todėl darytina išvada, kad pirmosios instancijos teismas pagrįstai konstatavo, jog ši Nurodymo dalis yra teisėta.

Dėl Nurodymo rezoliucinės dalies 4 punkto

Nurodymo rezoliucinės dalies 4 punkte pareiškėjas įpareigotas užtikrinti, kad prieš tvarkant asmens duomenis interneto svetainėje www.eldrauda.lt būtų gaunamas Įstatymo reikalavimus atitinkantis duomenų subjekto sutikimas, papildant Naudojimosi tinklapiu taisykles, nustatant baigtinį tvarkomų asmens duomenų sąrašą ir konkrečiai įvardijant duomenų gavėjus.

Pirmosios instancijos teismas, įvertinęs byloje taikytiną teisinį reguliavimą, šiuo aspektu nurodė, kad Naudojimosi tinklapiu taisyklėse nebuvo nurodomas kiekvienu asmens duomenų tvarkymo tikslu gaunamų ir teikiamų asmens duomenų bei šių duomenų gavėjų baigtinis sąrašas, o tai prieštarauja byloje taikytinam teisiniam reguliavimui.

Pareiškėjas apeliaciniame skunde iš esmės teigia, kad pirmosios instancijos teismas netinkamai aiškino teisinį reguliavimą, kuris, pareiškėjo teigimu, neįtvirtina pareigos nustatyti baigtinį tvarkomų asmens duomenų sąrašą ir konkrečiai įvardinti duomenų gavėjus.

Teisėjų kolegija visų pirma pažymi, kad nėra ginčo dėl to, jog Naudojimosi tinklapiu taisyklėse (t. I, b.l. 38-41), konkrečiai, 4.6 ir 4.7 punktai, nenustato baigtinio duomenų, kuriuos pareiškėjas gauna iš VĮ „Regitra“ ir kuriuos jis teikia draudimo bendrovėms, sąrašo, juose taip pat nenurodyti konkretūs asmens duomenų gavėjai.

Kaip minėta, Įstatymo 5 straipsnio 1 dalies 1 punkte kaip vienas iš asmens duomenų teisėto tvarkymo pagrindų yra nurodytas atvejis, kuomet duomenų subjektas duoda sutikimą. Įstatymo 2 straipsnio 12 dalyje pateikiama sutikimo sąvoka: savanoriškas duomenų subjekto valios pareiškimas tvarkyti jo asmens duomenis jam žinomu tikslu. Sutikimas tvarkyti ypatingus asmens duomenis turi būti išreikštas aiškiai – rašytine, jai prilyginta ar kita forma, neabejotinai įrodančia duomenų subjekto valią.

Įstatymo 30 straipsnio 1 dalyje nurodyta, kad duomenų valdytojas ir duomenų tvarkytojas privalo įgyvendinti tinkamas organizacines ir technines priemones, skirtas apsaugoti asmens duomenims nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo. Minėtos priemonės turi užtikrinti tokį saugumo lygį, kuris atitiktų saugotinų asmens duomenų pobūdį ir jų tvarkymo keliamą riziką, ir turi būti išdėstytos rašytinės formos dokumente (duomenų valdytojo patvirtintose asmens duomenų tvarkymo taisyklėse, duomenų valdytojo ir duomenų tvarkytojo sudarytoje sutartyje ir pan.). Įstatymo 30 straipsnio 2 dalimi Inspekcijai pavesta nustatyti bendruosius reikalavimus organizacinėms ir techninėms duomenų saugumo priemonėms.

Inspekcijos direktorius, įgyvendindamas Įstatymo 30 straipsnio 2 dalį, 2008 m. lapkričio 12 d. įsakymu Nr. 1T-71 patvirtino Bendruosius reikalavimus organizacinėms ir techninėms duomenų saugumo priemonėms (toliau – ir Reikalavimai).

Reikalavimų 1 punkte nurodyta, kad jie nustato bendruosius reikalavimus organizacinėms ir techninėms duomenų saugumo priemonėms, kurias privalo įgyvendinti duomenų valdytojas ir duomenų tvarkytojas, siekdami apsaugoti asmens duomenis nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo. Reikalavimų 9.1 punkte nustatyta, kad siekiant užtikrinti pirmąjį tvarkomų duomenų saugumo lygį, be kitų taikytinų organizacinių ir techninių duomenų saugumo priemonių, turi būti patvirtintas (-i) rašytinės formos dokumentas (-ai) (duomenų valdytojo patvirtintos asmens duomenų tvarkymo taisyklės, duomenų valdytojo ir duomenų tvarkytojo sudaryta sutartis ir pan.). Reikalavimų 9.1.5 punkte nustatyta, jog turi būti nurodomas baigtinis tvarkomų asmens duomenų sąrašas kiekvienu asmens duomenų tvarkymo tikslu, o 9.1.9 punkte, kad privalo būti nurodyti asmens duomenų gavėjai ir asmens duomenų teikimo tvarka.

Taip pat pažymėtina, kad Įstatymo 24 straipsnio 1 dalyje nurodyta, jog duomenų valdytojas privalo suteikti duomenų subjektui, kurio asmens duomenis renka tiesiogiai iš jo, šią informaciją (išskyrus atvejus, kai duomenų subjektas tokią informaciją jau turi): 1) apie savo (duomenų valdytojo) ir savo atstovo, jeigu šis yra, tapatybę ir nuolatinę gyvenamąją vietą (jeigu duomenų valdytojas ar jo atstovas yra fizinis asmuo) ar rekvizitus ir buveinę (jeigu duomenų valdytojas ar jo atstovas yra juridinis asmuo); 2) kokiais tikslais ketinami tvarkyti duomenų subjekto asmens duomenys; 3) kitą papildomą informaciją (kam ir kokiais tikslais teikiami duomenų subjekto asmens duomenys; kokius savo asmens duomenis duomenų subjektas privalo pateikti ir kokios yra duomenų nepateikimo pasekmės, apie duomenų subjekto teisę susipažinti su savo asmens duomenimis ir teisę reikalauti ištaisyti neteisingus, neišsamius, netikslius savo asmens duomenis), kiek jos reikia, kad būtų užtikrintas teisingas asmens duomenų tvarkymas nepažeidžiant duomenų subjekto teisių. Tuo tarpu Įstatymo 24 straipsnio 2 dalyje nustatyta, kad duomenų valdytojas, kuris asmens duomenis gauna ne iš duomenų subjekto, privalo apie tai informuoti duomenų subjektą pradėdamas tvarkyti asmens duomenis arba, jei ketina duomenis teikti tretiesiems asmenims, privalo apie tai informuoti duomenų subjektą ne vėliau kaip iki to momento, kai duomenys teikiami pirmą kartą, išskyrus atvejus, kai įstatymai ar kiti teisės aktai apibrėžia tokių duomenų rinkimo ir teikimo tvarką bei duomenų gavėjus.

Teisėjų kolegija, sistemiškai įvertinusi pirmiau nurodytas nuostatas, sutinka su pirmosios instancijos teismo išvada, kad teisinis reglamentavimas įtvirtina reikalavimus, jog asmens duomenų valdytojas privalo asmens duomenų subjektui nurodyti baigtinį tvarkomų asmens duomenų sąrašą, taip pat nurodyti konkrečius duomenų gavėjus, kuriems gali būti perduoti asmens duomenys. Šiuo aspektu sutiktina su atsakovo argumentais, jog asmens duomenų subjektui nesuteikus tokio pobūdžio informacijos, jis neturėtų praktinių galimybių įvertinti jo asmens duomenų tvarkymo veiksmų bei duoti konkretaus sutikimo dėl asmens duomenų tvarkymo. Priešingas Įstatymo 2 straipsnio 12 dalies, 5 straipsnio 1 dalies 1 punkto, 24 straipsnio 2 dalies ir Reikalavimų nuostatų aiškinimas iš esmės reikštų, kad nebus pasiektas teisiniu reguliavimu siekiamas tikslas - ginti žmogaus privataus gyvenimo neliečiamumo teisę tvarkant asmens duomenis (Įstatymo 1 straipsnio 1 dalis), nes abstraktus asmens sutikimas tvarkyti jo asmens duomenis, nesuvokiant, kokios apimties duomenys bus tvarkomi, taip pat nežinant, kokiems tretiesiems asmenims jie gali būti perduoti, praktiškai neturi prasmės.

Teisėjų kolegija taip pat pažymi, kad nors pareiškėjas apeliaciniame skunde nurodo, jog aptariamu atveju Įstatymas nenustato Nurodymo rezoliucinės dalies 4 punkte atsakovo įtvirtintų įpareigojimų, o vertinant Reikalavimų nuostatas prioritetas teiktinas Įstatymo nuostatoms, toks argumentas atmestinas kaip nepagrįstas. Kaip minėta, Reikalavimų 9.1.5 ir 9.1.9 punktai tiesiogiai įtvirtina reikalavimus nurodyti baigtinį tvarkomų asmens duomenų sąrašą kiekvienu asmens duomenų tvarkymo tikslu, taip pat nurodyti asmens duomenų gavėjus, Įstatymo 24 straipsnio 2 dalyje nurodyta, kokiu metu ši informacija turi būti pateikta. Pareiškėjas nepateikė argumentų, leidžiančių abejoti Reikalavimų atitiktimi aukštesnės galios teisės aktams, todėl toks argumentas atmestinas kaip nepagrįstas.

Dėl pirmiau nurodytų priežasčių darytina išvada, kad pirmosios instancijos teismas pagrįstai konstatavo, jog Nurodymo rezoliucinės dalies 4 punktas yra teisėtas ir pagrįstas.

Atsižvelgdama į pirmiau išdėstytus argumentus teisėjų kolegija daro išvadą, kad pirmosios instancijos teismas priėmė teisėtą ir pagrįstą sprendimą, todėl jį naikinti pagrindo nėra. Todėl pareiškėjo apeliacinis skundas atmetamas, o pirmosios instancijos teismo sprendimas paliekamaas nepakeistas.

Vadovaudamasi Lietuvos Respublikos administracinių bylų teisenos įstatymo 140 straipsnio 1 dalies 1 punktu, teisėjų kolegija

n u t a r i a:

pareiškėjo EDRAUDA, UADBB apeliacinį skundą atmesti.

Vilniaus apygardos administracinio teismo 2012 m. sausio 20 d. sprendimą palikti nepakeistą.

Nutartis neskundžiama.

Teisėjai Artūras Drigotas

Ramūnas Gadliauskas

Irmantas Jarukaitis