2023-12-06 Nr. AB-21339-3-61-3-04301-2020-5 · Lietuvos vyriausiasis administracinis teismas

Administracinė byla Nr. A-416-822/2023

Teisminio proceso Nr. 3-61-3-04301-2020-5

Procesinio sprendimo kategorija 26

(S)

LIETUVOS VYRIAUSIASIS ADMINISTRACINIS TEISMAS

NUTARTIS

LIETUVOS RESPUBLIKOS VARDU

2023 m. gruodžio 6 d.

Vilnius

Lietuvos vyriausiojo administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Ivetos Pelienės, Ernesto Spruogio ir Skirgailės Žalimienės (kolegijos pirmininkė ir pranešėja),

teismo posėdyje apeliacine rašytinio proceso tvarka išnagrinėjo administracinę bylą pagal pareiškėjų J. N. ir R. N. apeliacinį skundą dėl Vilniaus apygardos administracinio teismo 2022 m. vasario 23 d. sprendimo administracinėje byloje pagal pareiškėjų J. N. ir R. N. skundą atsakovui Valstybinei duomenų apsaugos inspekcijai, (trečiasis suinteresuotas asmuo – uždaroji akcinė bendrovė „Pažinimo medis“), dėl sprendimų dalių panaikinimo.

Teisėjų kolegija

nustatė:

I. 1. Pareiškėjai J. N. ir R. N. (toliau kartu – ir pareiškėjai) kreipėsi į teismą su skundu, prašydami: 1) panaikinti atsakovo Valstybinės duomenų apsaugos inspekcijos (toliau – ir atsakovas, Inspekcija) 2020 m. gruodžio 4 d. sprendimo Nr. 3R-1071(2.13-1.) „nusprendžiu“ 1 ir 2 dalį, 4 dalies dalį „dėl UAB „Pažinimo medis“ steigėjų ir valdymo organų neatskleidimo – atmesti“ (toliau – ir 2020 m. gruodžio 4 d. sprendimas); 2) 2020 m. lapkričio 19 d. sprendimo Nr. 3R-1013(2.13-1.) „nusprendžiu“ 2 dalį (toliau – ir 2020 m. lapkričio 19 d. sprendimas); 3) įpareigoti atsakovą priimti naują sprendimą 2020 m. gruodžio 4 d. sprendimo pagrindu, įvertinant, kad UAB „Pažinimo medis“ rinko ir tvarkė perteklinius asmens duomenis: pareiškėjų gimimo datas, kitų ugdytinių tėvų – darboviečių pavadinimus ir užimamas pareigas; 4) įpareigoti atsakovą, remiantis 2020 m. lapkričio 19 d. sprendimo ir 2020 m. gruodžio 4 d. sprendimo (toliau abu kartu – ir skundžiami sprendimai) pagrindu, skirti UAB „Pažinimo medis“ administracinę baudą pagal 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – ir BDAR) 83 straipsnio bei Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ir ADTAĮ) 22 straipsnio reikalavimus; 5) priteisti iš atsakovo bylinėjimosi išlaidas.

2. Pareiškėjai nurodė, kad:

2.1. 2020 m. birželio 5 d. jie kreipėsi į Inspekciją dėl UAB „Pažinimo medis“ mokyklos (toliau – ir Mokykla) asmens duomenų tvarkymo pažeidimų, nurodydami, kad UAB „Pažinimo medis“ (toliau – ir Bendrovė) direktorė be tėvų sutikimo 3 metus tvarkė pareiškėjų sūnaus asmens duomenis (vardą, pavardę, asmens kodą, kitus duomenis, reikalingus mokinio krepšeliui gauti); neturėdama sutikimo, jų asmens duomenis (vaiko tėvų gimimo datas); išplatino vaiko asmens kodą visai klasei; nepateikė pareiškėjams duomenų apie pareiškėjų šeimos asmens duomenų tvarkymą Bendrovės direktorės valdomuose ūkio subjektuose; neištaisė neteisingų duomenų Tamo elektroniniame dienyne; nesuteikė informacijos apie Mokyklos steigėjus. Dėl galimo valstybės lėšų pasisavinimo ir duomenų klastojimo el. dienyne yra kreiptasi į Lietuvos policiją.

2.2. Inspekcija 2020 m. birželio 12 d. priėmė sprendimą Nr. 3R-516(2.13-1.), kuriuo atmetė pareiškėjų skundo dalį dėl pažeistos teisės susipažinti su UAB „Pažinimo medis“ tvarkomais savo ir jų vaikų asmens duomenimis.

2.3. 2020 m. birželio 15 d. pareiškėjai gavo Mokyklos 2020 m. birželio 12 d. atsakymą Nr. PM-2020/06/12 apie pareiškėjų šeimos asmens duomenų tvarkymą, tačiau jame nurodyta netiksli informacija (pvz., nenurodyta, kad Mokykla tvarko M. N. asmens kodą, kitus duomenis), todėl pareiškėjai pateikė Inspekcijai 2020 m. birželio 16 d. skundą dėl M. N. duomenų ištrynimo, o 2020 m. rugpjūčio 31 d. skundą papildė naujais iš Mokyklos gautais duomenimis. 2020 m. birželio 17 d. pateikė skundo papildymą, o 2020 m. lapkričio 17 d. paštu ir el. paštu Inspekcijai pateiktas paklausimas dėl 2020 m. birželio 5 d. skundo nagrinėjimo eigos. Inspekcija visus dokumentus pareiškėjams siuntė tik el. paštu, dokumentams netaikant papildomos apsaugos, nors pagal ADTAĮ 17 straipsnį Inspekcija visus dokumentus pareiškėjams turėjo siųsti jų nurodytu gyvenamosios vietos adresu, tačiau to nepadarė.

2.4. Inspekcija 2020 m. gruodžio 4 d. raštu Nr. 2R-6087(2.12.E) atsakė į pareiškėjų 2020 m. lapkričio 17 d. paklausimą, nurodydama, kad 2020 m. birželio 5 d. skundo nagrinėjimas atliktas per įmanomai trumpiausią laiką su nežymiu terminų praleidimu. Pareiškėjų teigimu, Inspekcija nagrinėjo pareiškėjų skundus per nepagrįstai ilgą laiką, vėluojant supažindinti pareiškėjus dėl nagrinėjimo terminų pratęsimo: 2020 m. birželio 5 d. skundas Inspekcijoje gautas 2020 m. birželio 9 d., sprendimas priimtas 2020 m. gruodžio 4 d.; 2020 m. birželio 15 d. skundas Inspekcijoje gautas 2020 m. birželio 22 d., sprendimas priimtas 2020 m. lapkričio 19 d.

2.5. 2018 m. pabaigoje Mokykla perdavė jiems pasirašyti 2 egzempliorius Asmens duomenų teikimo ir asmens duomenų tvarkymo susitarimo (toliau – ir Susitarimas), kuriame buvo daug perteklinių asmens duomenų, klaidų, kurios po pareiškėjų pastabų buvo ištaisytos, tačiau nepakoreguota ankstesnė Susitarimo formos patvirtinimo žyma. Kiti Mokykloje ugdomų vaikų tėvai, pareiškėjų teigimu, pasirašė nepakoreguotą Susitarimo formą.

2.6. 2019 m. birželio mėn. pareiškėjams buvo pateikta pasirašyti 2019 m. birželio 4 d. Vaikų iki 14 metų mokymo sutartis Nr. OZ 2019/06/04-027 (toliau – ir 2019 m. birželio 4 d. Sutartis), kurioje Mokykla nurodė vaiko tėvų gimimo datą, nors pagal pasirašytą Susitarimą Mokyklai nebuvo leista tvarkyti vaiko tėvų gimimo datų. 2018 m. gruodžio 18 d. pareiškėjai kreipėsi el. paštu į Mokyklos administratorę dėl tėvų gimimo datų naudojimo mėnesinėse mokėjimo už paslaugas PVM sąskaitose-faktūrose, kurios po šio prašymo buvo pakoreguotos, ir jose pareiškėjų asmens duomenys (gimimo data) nebuvo nurodomos.

2.7. Pareiškėjai nesutiko su Inspekcijos 2020 m. gruodžio 4 d. sprendime padaryta išvada, kad Mokykla turėjo „teisėtą pagrindą, numatytą BDAR 6 straipsnio 1 dalies b punkte, tvarkyti pareiškėjų gimimo datas sutarties sudarymo ir vykdymo tikslu, neprivalėjo įgyvendinti pareiškėjų teisės nesutikti su jų gimimo datų tvarkymu sutarties sudarymo ir vykdymo tikslais“, ir pažymėjo, jog po pareiškėjų prašymo jų asmens duomenys (gimimo data) buvo pašalinti iš Mokyklos rengiamų PVM sąskaitų-faktūrų, ir tai patvirtina, kad tėvų gimimo datos nurodymas PVM sąskaitose-faktūrose nėra būtinas, Mokykla taip pat nepagrindė, kad tokie duomenys būtini mokymosi sutartims tvarkyti.

2.8. Inspekcija nepasisakė dėl Mokyklos Asmens duomenų teikimo ir asmens duomenų tvarkymo susitarimų teisėtumo: ar teisėtai Mokykla renka duomenis apie ugdytinių tėvų darboviečių pavadinimus ir užimamas pareigas, dėl Susitarimo 14.4 punkte esančios klaidos, dėl pareiškėjams pakoreguoto Susitarimo, kurio pakoreguota forma nepatvirtinta Mokyklos direktorės įsakymu ir pan. Mokykla ir Inspekcija neįrodė, kad tėvų gimimo datų duomenys buvo būtini dėl sudarytų sutarčių apskaitos ir vaikų ugdymo paslaugų teikimo teisėto tikslo, kaip tai numatyta BDAR 5 straipsnyje, todėl nepagrįstai vadovavosi BDAR 6 straipsnio 1 dalies b punktu. Inspekcija 2020 m. gruodžio 4 d. sprendime pasisakė, kad pareiškėjų skundas šioje dalyje yra pagrįstas, tačiau akcentavo, kad Mokykla pažeidė pareiškėjų teises tik dėl neskaidraus informavimo apie pareiškėjų gimimo datų tvarkymą. 2020 m. gruodžio 4 d. sprendimo galutinės išvados 2 punkte Inspekcija teikė Mokyklai nurodymą, tačiau, įvertinus visą pateiktą informaciją, darytina išvada, kad Inspekcijos 2020 m. gruodžio 4 d. sprendime padarytos galutinės išvados 1 ir 2 punkte yra nepakankamos ir turi būti iš naujo įvertintos.

2.9. Jie, susidūrę su problemomis, dėl kurių sprendimo norėjo pasitarti su Mokyklos steigėjais, 2020 m. gegužės 14 d. kreipėsi į Mokyklos direktorę su prašymu pateikti UAB „Pažinimo medis“ mokyklos ir darželių steigėjų ir valdymo organų kontaktus, tačiau to nebuvo padaryta, o Inspekcija tokiam direktorės sprendimui pritarė, 2020 m. gruodžio 4 d. sprendimu atmesdama šią pareiškėjų skundo dalį. Tokia Mokyklos praktika yra ydinga ir netoleruojama, o Inspekcija, neįsigilinusi į situaciją, priėmė klaidingą sprendimą.

2.10. Pareiškėjai, pasisakydami dėl Inspekcijos 2020 m. lapkričio 19 d. sprendimo, nurodė, kad R. N. 2020 m. birželio 15 d. skunde Inspekcijai buvo pateikta informacija apie tai, jog Mokyklos direktorė be tėvų sutikimo 3 metus tvarkė pareiškėjų sūnaus M. N. asmens duomenis, reikalingus mokinio krepšeliui gauti. Kadangi Inspekcija 2020 m. birželio 12 d. sprendimu atmetė pareiškėjų skundo dalį dėl teisės susipažinti su Mokykloje tvarkomais pareiškėjų šeimos duomenimis, 2020 m. birželio 15 d. buvo paduotas naujas skundas Inspekcijai, nurodant, kad galbūt buvo pažeista M. N. teisė būti pamirštam. Inspekcija, priimdama 2020 m. lapkričio 19 d. sprendimą, Mokyklos veiksmus neteisėtai tvarkant M. N. asmens duomenis turėjo vertinti kaip tyčinius.

2.11. Pareiškėjai, vadovaudamiesi BDAR 83 straipsnio 2 dalimi, pažymėjo, jog atsižvelgiant į Mokyklos padarytų asmens duomenų tvarkymo pažeidimų trukmę (3 m.), tvarkomų duomenų pobūdį (Mokykla rinko ir tvarkė M. N. specialios kategorijos duomenis (sveikatos duomenis); taip pat apie jo tėvų (pareiškėjų) darbovietes, užimamas pareigas; gimimo datas ir kt.), dėl tokio duomenų tvarkymo gautą finansinę naudą ir kitas aplinkybes, Inspekcija, kuri 2020 m. gruodžio 4 d. sprendime teikė Mokyklai nurodymą, o 2020 m. lapkričio 19 d. sprendime – pareiškė papeikimą, turėjo skirti Mokyklai administracinę baudą.

3. Atsakovas Inspekcija atsiliepime prašė skundą atmesti.

4. Atsakovas atsiliepime nurodė tokius argumentus:

4.1. Pareiškėjų skundai buvo išnagrinėti laikantis ADTAĮ 30 straipsnio 2 dalyje nustatytų terminų, o aplinkybė dėl vėlavimo informuojant apie skundų nagrinėjimo eigą ar terminų pratęsimą nėra teisinis pagrindas pripažinti skundžiamus sprendimus neteisėtais, kadangi Inspekcija kelis kartus informavo pareiškėjus apie jų skundo nagrinėjimo eigą; be to, pareiškėjai teikė skundo papildymus, kurte taip pat buvo tiriami su pareiškėjų skundu, o skundo išnagrinėjimo terminas buvo praleistas tik 5 dienomis.

4.2. Pareiškėjai tiek 2020 m. birželio 9 d. skunde, tiek 2020 m. birželio 15 d. skunde kaip kontaktinį duomenį nurodė ir elektroninio pašto adresą bei nenurodė, kad prašo Inspekcijos, jog dokumentai būtų siunčiami tik registruotu paštu, todėl Inspekcija priėmė sprendimą visus dokumentus pareiškėjams siųsti elektroniniu paštu, be to, Inspekcijos elektroninio pašto serveris elektroninius laiškus siunčia ir gauna naudodamas šifruotus prievadus su SSL/TLS, todėl pareiškėjų argumentai dėl netinkamo saugumo užtikrinimo yra visiškai niekuo nepagrįsti.

4.3. Tarp Mokyklos ir pareiškėjų buvo sudaryta ir vykdoma sutartis dėl vaiko mokymosi, ir Mokykla teisėtai tvarkė pareiškėjų gimimo datas sudarytų sutarčių apskaitos ir vaikų ugdymo paslaugų teikimo tikslais, remdamasi BDAR 6 straipsnio 1 dalies b punktu. UAB „Pažinimo medis“, turėdamas teisėtą pagrindą, numatytą BDAR 6 straipsnio 1 dalies b punkte, tvarkyti pareiškėjų gimimo datas 2019 m. birželio 4 d. Sutarties sudarymo ir vykdymo tikslu, neprivalėjo įgyvendinti pareiškėjų teisės nesutikti su jų gimimo datų tvarkymo 2019 m. birželio 4 d. Sutarties sudarymo ir vykdymo tikslais, tik turėjo skaidriai informuoti apie tai, nurodant gimimo datų tvarkymo teisinį pagrindą bei jų turimas teises, įskaitant ir tai, ar šiuo atveju pareiškėjai turėjo teisę nesutikti su tokiu asmens duomenų tvarkymu. Todėl UAB „Pažinimo medis“, duodamas pasirašyti Susitarimą ir leisdamas pareiškėjams jį koreguoti, t. y. išbraukti jų (tėvų) gimimo datas, ir neinformuodamas pareiškėjų, kad jų gimimo datas vis tiek tvarkys tuo pačiu tikslu, kuris anksčiau buvo nurodytas Susitarime, t. y. mokymo sutarčių apskaitos tikslu, elgėsi nesąžiningai ir neskaidriai, taip pažeisdamas BDAR 5 straipsnio 1 dalies a punktą.

4.4. Skundžiami sprendimai buvo priimti vadovaujantis ADTAĮ 31 straipsniu, t. y. pareiškėjų skundų pagrindu, taigi Inspekcija turėjo pareigą išnagrinėti pareiškėjų skundą tik dėl skundo dalyko, t. y. tik dėl tų UAB „Pažinimo medis“ veiksmų ir tik dėl tų asmens duomenų tvarkymo galimo pažeidimo, dėl kurių pareiškėjai skundėsi pateiktuose skunduose. Be to, skundų nagrinėjimo metu nebuvo nustatyta, kad UAB „Pažinimo medis“ būtų tvarkęs tokius duomenis kaip pareiškėjų darbovietės ir užimamos pareigos. Inspekcija nustatė, kad UAB „Pažinimo medis“ rinko ir tvarkė pareiškėjų, kaip įstatyminių vaiko atstovų, asmens duomenis: vardus, pavardes, gimimo datas, gyvenamąją vietą, kontaktinius duomenis (telefono numerį, elektroninį paštą), duomenis apie Sutarties vykdymą.

4.5. Inspekcija, išnagrinėjusi pareiškėjų 2020 m. birželio 15 d. skundą, nustatė, kad UAB „Pažinimo medis“ tvarkė (rinko) pareiškėjų sūnaus asmens duomenis, tarp jų ir asmens kodą, neturėdama tam teisėto duomenų tvarkymo pagrindo, numatyto BDAR 6 straipsnio 1 dalyje, ir pažeidė BDAR 5 straipsnio 1 dalies a punktą. Taip pat konstatavo, kad negebėdama įrodyti savo atliekamo M. N. asmens duomenų tvarkymo atitikties BDAR 5 straipsnio 1 dalies, Mokykla pažeidė atskaitomybės principą, įtvirtintą BDAR 5 straipsnio 5 dalies 2 dalyje. Atsižvelgiant į tai, Inspekcija pareiškėjo skundą dėl Mokyklos veiksmų tvarkant (renkant) pareiškėjų sūnaus asmens duomenis pripažino pagrįstu. Inspekcija, įvertinusi tai, kad dėl skundžiamo asmens, t. y. Mokyklos veiksmų pirmą kartą buvo gautas skundas Inspekcijoje, taip pat į tai, kad Mokykla geranoriškai teikė atsakymus ir paaiškinimus į Inspekcijos klausimus bei ėmėsi taisomųjų veiksmų, t. y. duomenys apie M. N. iš Mokinių registro Mokyklos iniciatyva buvo išregistruoti 2019 m. spalio 11 d., bei remdamasi BDAR 58 straipsnio 2 dalies b punktu, skyrė UAB „Pažinimo medis“ papeikimą.

4.6. Inspekcija, išnagrinėjusi pareiškėjų 2020 m. birželio 9 d. skundą dalyje, nustatė, kad Mokykla, turėdama teisėtą pagrindą, numatytą BDAR 6 straipsnio 1 dalies b punkte, tvarkyti pareiškėjų gimimo datas sutarties sudarymo ir vykdymo tikslu, neprivalėjo įgyvendinti pareiškėjų teisės nesutikti su jų gimimo datų tvarkymo sutarties sudarymo ir vykdymo tikslais, tačiau turėjo skaidriai informuoti apie tai, nurodant gimimo datų tvarkymo teisinį pagrindą bei jų turimas teises, įskaitant ir tai, ar šiuo atveju pareiškėjai turėjo teisę nesutikti su tokiu asmens duomenų tvarkymu. Todėl Mokykla, duodama pasirašyti Susitarimą ir leisdama pareiškėjams jį koreguoti, t. y. išbraukti jų (tėvų) gimimo datas ir neinformuodama pareiškėjų, kad jų gimimo datas vis tiek tvarkys, tuo pačiu tikslu, kuris anksčiau buvo nurodytas Susitarime, t. y. mokymo sutarčių apskaitos tikslu, elgėsi nesąžiningai ir neskaidriai, taip pažeisdama BDAR 5 straipsnio 1 dalies a punktą, todėl, pripažinus šią skundo dalį pagrįsta, Inspekcija teikė UAB „Pažinimo medis“ nurodymą užtikrinti, kad duomenų subjektai būtų skaidriai informuojami apie jų asmens duomenų tvarkymą ir turimas jų, kaip duomenų subjektų, teises, atitinkamai patikslinant sutartis bei susitarimus dėl asmens duomenų tvarkymo, o pareiškėjų skundą dalyse dėl el. dienyno vertinimo ir lankomumo, dėl pareiškėjų sūnaus duomenų ištrynimo bei dėl UAB „Pažinimo medis“ steigėjų ir valdymo organų neatskleidimo – atmetė.

4.7. Skundžiamam asmeniui pateikti taisomieji veiksmai, t. y. papeikimas ir nurodymas, yra proporcingi nustatytiems pažeidimams. Nurodymo, kaip taisomosios priemonės, taikymas yra tam tikrais atvejais efektyvesnis, kadangi jį įvykdžius yra apginamos ne tik skundą pateikusio, bet ir kitų duomenų subjektų, kurių asmens duomenis tvarko duomenų valdytojas, teisės. Taip pat ši priemonė efektyvesnė ir tuo pažiūriu, jog ateityje nustačius, jog duomenų valdytojas nevykdė duoto nurodymo, jam už tokį pažeidimą būtų taikoma sunkesnė, BDAR 83 straipsnio 5 dalyje nustatyta atsakomybė.

II. 5. Vilniaus apygardos administracinis teismas 2022 m. vasario 23 d. sprendimu pareiškėjų skundą atmetė.

6. Teismas byloje vadovavosi ADTAĮ 7 straipsnio, 23 straipsnio 1 dalies, 30 straipsnio 1, 2 dalių, BDAR 4 straipsnio 1, 2, 7 punktų nuostatomis.

7. Teismas, spręsdamas, ar Inspekcija, nagrinėdama pareiškėjų skundą, laikėsi teisės aktuose nustatytų terminų, nustatė, kad Inspekcija, 2020 m. birželio 9 d. gavusi pareiškėjų 2020 m. birželio 5 d. skundą dėl UAB „Pažinimo medis“ veiksmų, 2020 m. birželio 12 d. rašte Nr. 2R-2984(2.13.) nurodė pateikti pareiškėjos vyro įgaliojimą, kuriuo pareiškėja įgaliota teikti skundą Inspekcijai dėl jo asmens duomenų galimo pažeidimo (ADTAĮ 24 str. 4 d.). Inspekcija 2020 m. birželio 22 d. gavo pareiškėjų 2020 m. birželio 15 d. skundą dėl UAB „Pažinimo medis“ veiksmų galimai neteisėtai tvarkant pareiškėjų sūnaus duomenis, o 2020 m. rugsėjo 4 d. – pareiškėjų 2020 m. birželio 5 d. skundo papildymą, todėl atsižvelgiant į tai, kad reikėjo išnagrinėti papildomą informaciją, pareiškėjai Inspekcijos 2020 m. spalio 20 d. raštu Nr. 2R-5228(2.13.) buvo informuoti apie jų 2020 m. birželio 22 d. gauto skundo nagrinėjimo termino pratęsimą, nesuėjus 4 mėnesių terminui. Inspekcija, vadovaudamasi ADTAĮ 30 straipsnio 1 dalimi, praleisdama 5 dienų terminą, pareiškėjus Inspekcijos 2020 m. rugsėjo 28 d. raštu Nr. 2R-4830(2.13.) informavo apie skundo nagrinėjimo eigą, t. y. informaciją apie atliktus veiksmus (pateiktą raštą skundžiamam asmeniui bei iš jo gautą atsakymą). Atsižvelgiant į tai, kad pareiškėjų 2020 m. birželio 15 d. skundas, suėjus 4 mėnesiams nuo pareiškėjų skundo Inspekcijoje gavimo (Inspekcijoje gauta 2020 m. birželio 22 d.) dienos dar nebuvo išnagrinėtas, Inspekcija 2020 m. spalio 20 d. raštu Nr. 2R-5227(2.13.) informavo pareiškėją apie 2020 m. birželio 22 d. gauto skundo nagrinėjimo termino pratęsimą, nesuėjus 4 mėnesių terminui.

8. Teismas konstatavo, jog Inspekcija praleido ADTAĮ 30 straipsnio 1 dalyje nustatytą 3 mėnesių terminą informuoti pareiškėjus apie skundo nagrinėjimo eigą 5 dienomis; Inspekcija 2020 m. spalio 20 d. raštu Nr. 2R-5227(2.13.) pareiškėjus informavo apie skundo nagrinėjimo pratęsimą nesuėjus minėto įstatymo 30 straipsnio 2 dalyje įtirtintam 4 mėnesių terminui, o be to, pareiškėjai Inspekcijai 2020 m. rugsėjo 4 d. pateikė 2020 m. birželio 5 d. skundo papildymą t. y. informaciją, kurią reikėjo išnagrinėti ir įvertinti, todėl atmetė pareiškėjų argumentus, kad Inspekcija neišnagrinėjo skundo per įmanomai trumpiausią laiką. Teismas pažymėjo, kad skundo nagrinėjimo terminai neturi įtakos pareiškėjams padarytų pažeidimų kvalifikavimui ir nepanaikina skundžiamų atsakovo sprendimų.

9. Teismas, spręsdamas dėl pareiškėjų skunde nurodytų argumentų, jog Inspekcija nepagrįstai pareiškėjams informaciją siuntė elektroniniu paštu „pdf formatu“, netaikant dokumentams papildomos apsaugos, tačiau nepagrįstai nesiuntė informacijos Lietuvos Respublikos gyventojų registre nurodytu gyvenamosios vietos adresu, įvertino ADTAĮ 17 straipsnio 3 dalies nuostatas, ir nurodė, kad pareiškėjai šias įstatymo nuostatas klaidingai interpretuoja, kadangi tiek 2020 m. birželio 9 d. skunde, tiek 2020 m. birželio 15 d. skunde pareiškėjai kaip kontaktinį duomenį nurodė ir elektroninio pašto adresą bei nenurodė, kad prašo Inspekcijos, jog dokumentai būtų siunčiami tik registruotu paštu, todėl Inspekcija, atsižvelgusi į epidemiologinę situaciją Lietuvoje bei į tai, kad pareiškėjai kaip kontaktinį duomenį skunduose nurodė ir pareiškėjų elektroninį paštą, pagrįstai priėmė sprendimą visus dokumentus pareiškėjams siųsti elektroniniu paštu. Teismas taip pat nesutiko su pareiškėjų argumentu dėl netinkamo elektroniniuose laiškuose esančių duomenų saugumo užtikrinimo ir nurodė, kad Inspekcijos elektroninio pašto serveris elektroninius laiškus siunčia ir gauna naudodamas šifruotus prievadus su SSL/TLS.

10. Teismas vadovavosi BDAR 5 straipsnio 1 ir 2 dalių, 6 straipsnio 1 dalies nuostatomis ir pažymėjo, kad tarp Mokyklos ir pareiškėjų buvo sudarytas Susitarimas, pagal kurį nebuvo leista Mokyklai tvarkyti pareiškėjų duomenų: tėvų gimimo datų, tėvų darboviečių pavadinimų ir užimamų pareigų. Mokyklai pateikus pareiškėjams pasirašyti Sutartį, pareiškėjų gimimo datos vis tiek buvo nurodytos, o pareiškėjams Mokykla nurodė, kad tik iš dalies atsižvelgė į Susitarimą, argumentuodama tuo, jog Mokykla teisėtai tvarkė pareiškėjų gimimo datas sudarytų sutarčių apskaitos ir vaikų ugdymo paslaugų teikimo tikslais, nes tvarkyti pareiškėjų duomenis (gimimo datas) būtina, siekiant identifikuoti 2019 m. birželio 4 d. Sutarties šalis t. y. įvykdyti 2019 m. birželio 4 d. Sutartį, kurios šalis yra duomenų subjektas, kaip nurodyta BDAR 6 straipsnio 1 dalies b punkte; pareiškėjai, prieštaraudami šiai Mokyklos išvadai, argumentų, kodėl gimimo datos tvarkymas yra perteklinis asmens duomenų naudojimas, nenurodė, o Mokykla nurodė, kad tėvų gimimo datą tvarkyti reikia ir dėl galimybės ginti savo pažeistą teisę, nes pareiškėjai nėra atsiskaitę Mokyklai už suteiktas paslaugas, o be to, kitų duomenų – ugdytinių tėvų darboviečių pavadinimų bei užimamų pareigų pavadinimų mokykla, kaip nurodyta Susitarime, nenaudojo.

11. Teismas sutiko su Inspekcijos vertinimu, kad UAB „Pažinimo medis“, turėdamas teisėtą pagrindą, numatytą BDAR 6 straipsnio 1 dalies b punkte, tvarkyti pareiškėjų gimimo datas Sutarties sudarymo ir vykdymo tikslu, neprivalėjo įgyvendinti pareiškėjų teisės nesutikti su jų gimimo datų tvarkymo Sutarties sudarymo ir vykdymo tikslais, tačiau turėjo skaidriai informuoti apie tai, nurodant gimimo datų tvarkymo teisinį pagrindą bei jų turimas teises, įskaitant ir tai, ar šiuo atveju pareiškėjai turėjo teisę nesutikti su tokiu asmens duomenų tvarkymu, todėl UAB „Pažinimo medis“, duodamas pasirašyti Susitarimą ir leisdamas pareiškėjams jį koreguoti, t. y. išbraukti jų (tėvų) gimimo datas ir neinformuodamas pareiškėjų, kad jų gimimo datas vis tiek tvarkys, tuo pačiu tikslu, kuris anksčiau buvo nurodytas Susitarime, t. y. mokymo sutarčių apskaitos tikslu, elgėsi nesąžiningai ir neskaidriai, pažeidė BDAR 5 straipsnio 1 dalies a punktą. Teismas konstatavo, kad Inspekcijos 2020 m. gruodžio 4 d. sprendimas pagrįstas ir nėra pagrindo jo keisti, o Inspekcijos paskirta sankcija – nurodymas – laikytina pagrįsta bei proporcinga.

12. Teismas, spręsdamas dėl pareiškėjų skundo argumento, jog Inspekcija 2020 m. gruodžio 4 d. sprendime nepasisakė dėl UAB „Pažinimo medis“ pagal Asmens duomenų teikimo ir asmens duomenų tvarkymo susitarimą rinktų duomenų teisėtumo, pažymėjo, kad Inspekcija turi pareigą pareiškėjų skundą išnagrinėti tik dėl skundo dalyko (dėl tų galimų asmens duomenų pažeidimų, dėl kurių kreipėsi pareiškėjai) bei, vadovaujantis ADTAĮ 20 straipsnio 1 bei 2 dalimis, negali savo iniciatyva pradėti neplaninių patikrinimų dėl galimų pavienių asmenų duomenų tvarkymo, be to, byloje nėra duomenų, kad Mokykla būtų naudojusi pareiškėjų asmens duomenis apie ugdytinių tėvų darboviečių pavadinimus bei užimamas pareigas, kaip ir buvo susitarta Susitarime, tokių duomenų nepateikė ir patys pareiškėjai, o gimimo datą mokykla tvarkė teisėtai.

13. Teismas, įvertinęs BDAR 15 straipsnio nuostatas, atmetė pareiškėjų skundo argumentus, jog Mokykla neturėjo teisės atsisakyti teikti kontaktinę informaciją apie Mokyklos steigėjus bei valdymo organo narius, bei sutiko su Inspekcijos išvadomis, kad tokių duomenų tvarkymui taip pat taikomos BDAR nuostatos, o kontaktiniai duomenys: vardai, pavardės, adresai korespondencijai, el. pašto adresai yra laikomi asmens duomenimis, todėl nėra vieši, taigi, Mokyklos atsisakymas suteikti pareiškėjams tokius duomenis bei Inspekcijos 2020 m. gruodžio 4 d. sprendimas šioje dalyje yra pagrįstas.

14. Teismas, spręsdamas dėl Inspekcijos 2020 m. lapkričio 19 d. sprendimu Mokyklai taikytos sankcijos už padarytus BDAR 5 straipsnio 1 dalies a punkto, 2 dalies pažeidimus, įvertino BDAR 83 straipsnio 1, 2 dalių nuostatas, ir padarė išvadą, jog pareiškėjų argumentai dėl Mokyklai skirtinos griežtesnės sankcijos – baudos – nėra pagrįsti. Teismas įvertino aplinkybes, į kurias Inspekcija atsižvelgė skirdama Mokyklai sankcijas, ir pažymėjo, kad pareiškėjų teiginiai, jog Mokykla joje nesimokančio vaiko duomenis tvarkė siekiant galimai pasisavinti mokinio krepšelį, yra deklaratyvaus pobūdžio, nėra pagrįsti jokiais įrodymais, tik prielaidomis. Teismas, vadovaudamasis proporcingumo, teisingumo ir protingumo principais, sprendė, kad nėra pagrindo Inspekcijos paskirtą sankciją – papeikimą – pakeisti griežtesne sankcija, kadangi nagrinėjamu atveju paskirta sankcija atitinka BDAR nustatytus reikalavimus, kad bauda būtų veiksminga, proporcinga ir atgrasanti. Teismas konstatavo, kad Inspekcijos skundžiami sprendimai atitinka Lietuvos Respublikos viešojo administravimo įstatymo (toliau ir – VAĮ) 3 straipsnio 10 punkte įtvirtintą proporcingumo principą.

15. Teismas sprendė, kad Inspekcija iš esmės teisingai taikė teisės normas, išsamiai išnagrinėjo faktines bylos aplinkybes, atsakovo sprendimai pripažintini pagrįstais ir teisėtais, todėl jų naikinti skunde išdėstytais motyvais nėra pagrindo, o netenkinus pagrindinių pareiškėjų reikalavimų, negali būti patenkinami ir išvestiniai reikalavimai įpareigoti atsakovą priimti naują sprendimą. Teismas taip pat atmetė pareiškėjų prašymą dėl bylinėjimosi išlaidų atlyginimo.

III. 16. Pareiškėjai apeliaciniame skunde prašo panaikinti Vilniaus apygardos administracinio teismo 2022 m. vasario 23 d. sprendimą ir priimti naują sprendimą, tenkinant 2020 m. gruodžio 23 d. skundo prašymus. Pareiškėjai tai pat prašo priteisti iš atsakovo bylos nagrinėjimo išlaidas.

17. Pareiškėjų apeliacinis skundas grindžiamas šiais argumentais:

17.1. Nepagrįsta teismo išvada, jog Inspekcija, informaciją pareiškėjams teikdama elektroniniu paštu, laikėsi teisės aktų nuostatų. Teismas plečiamai aiškino teisės normas, kadangi ADTAĮ 17 straipsnio 3 dalyje aiškiai nurodyta, kad Inspekcija turi pareigą fiziniams asmenims dokumentus siųsti tik Gyventojų registre nurodytu asmens elektroninių siuntų pristatymo ar gyvenamosios vietos (ar kitu nurodytu įteikimo) adresu, o pareiškėjai nėra registravę elektroninių siuntų pristatymo adreso.

17.2. Teismas netinkamai vertino bylos aplinkybes, susijusias su Susitarimo bei 2019 m. birželio 4 d. Sutarties sudarymu ir juose naudojamais asmens duomenimis, neatsižvelgė į pareiškėjų paaiškinimus dėl mokinių tėvų asmens duomenų kiekio, be kurio mokymosi sutarčių tvarkymas nebūtų įmanomas, nevertino pareiškėjų pateiktų duomenų dėl apskaitos programoje tvarkomų mokymosi sutarčių duomenų, tarp kurių nėra mokinių tėvų gimimo datų, ir kt. Pareiškėjai nurodo nesutikę su savo asmens duomenų (gimimo datų) tvarkymu, tačiau šie duomenys vis tiek buvo tvarkomi, nors jų naudojimas Mokyklai nebuvo būtinas.

17.3. Teismas, vertindamas pareiškėjų skundo argumentus dėl perteklinių asmens duomenų – ugdytinių tėvų darboviečių pavadinimo ir užimamų pareigų – tvarkymo, neteisingai aiškino ADTAĮ 20 straipsnio bei Valstybinės duomenų apsaugos inspekcijos vykdomų tyrimų ir (ar) patikrinimų atlikimo taisyklių, patvirtintų Inspekcijos direktoriaus 2019 m. liepos 17 d. Nr. įsakymu Nr. 1T-92(1.12.E), (toliau – ir Taisyklės) 16.3 punkto nuostatas. Pareiškėjai pateikė duomenis Inspekcijai ne tik apie savo, bet ir dėl kitų Mokyklos ugdytinių tėvų asmens duomenų tvarkymo, tačiau Inspekcija šios skundo dalies nepagrįstai nenagrinėjo. Pagal Taisyklių 16.1 punkto nuostatas Inspekcija gali atlikti neplaninius patikrinimus, atsižvelgdama į pateiktą informaciją. Teismas nepagrįstai konstatavo, kad Inspekcija negalėjo atlikti patikrinimo dėl galimų pavienių asmenų duomenų tvarkymo pažeidimų.

17.4. Pareiškėjai nesutinka su Inspekcijos ir teismo išvada, jog Mokykla pagrįstai atsisakė atskleisti pareiškėjams duomenis apie Mokyklos steigėjus, ir nurodo, kad susiklosčius situacijai, kai Mokyklos direktorė neteikė pareiškėjams jų prašomos informacijos, nebendradarbiavo, bei esant pagrindui apie tai informuoti Mokyklos steigėjus, tokia Inspekcijos ir teismo išvada apriboja pareiškėjų teises kreiptis pagalbos į Mokyklos savininkus – steigėjus. Teismas nepagrindė, kokia teisės norma vadovaujantis yra saugomi ugdymo viešosios paslaugos teikėjų – Mokyklos savininkų – steigėjų vardai, pavardės ir jų kontaktiniai duomenys.

17.5. Teismas, spręsdamas dėl Mokyklai pritaikytos sankcijos pagrįstumo, nevertino pareiškėjų kartu su skundu pateiktų duomenų, patvirtinančių, jog UAB „Pažinimo medis“, neteisėtai pasinaudojus M. N. asmens kodu, gavo finansavimą – mokinio krepšelį už 3 metus, nors M. N. šios ugdymo įstaigos niekada nelankė ir nebuvo sudaryta su Bendrove nei žodinė, nei rašytinė sutartis. Inspekcija nustatė, kad Mokykla, neturėdama teisėto duomenų tvarkymo pagrindo, pažeidė BDAR 5 straipsnio 1 dalies a punktą, pažeidė atskaitomybės principą, įtvirtintą BDAR 5 straipsnio 2 dalyje, tačiau neskyrė administracinės baudos Mokyklai. Vilniaus miesto savivaldybės administracijos 2020 m. gruodžio 22 d. rašte pateikta informacija rodo, kad Mokykla klastojo duomenis – pateikė savivaldybei neegzistuojančių mokymosi sutarčių numerius Nr. 98 ir Nr. 33. Pareiškėjų teigimu, Inspekcija nepagrįstai vengia pažeidėjams skirti administracines baudas už pasikartojančius pažeidimus, o teismas tokį Inspekcijos neveiklumą pateisina. Mokykloje nustatyti keli pažeidimai asmens duomenų srityje, keli iš jų buvo įvykdyti tyčia, žinant, kad bus pažeistos teisės ir geros moralės normos. Vengimas Mokyklai skirti administracinę baudą jos nemotyvuos atsakingai rinkti ir tvarkyti gaunamus asmens duomenis.

18. Atsakovas Inspekcija atsiliepime į apeliacinį skundą prašo jį atmesti.

19. Atsakovo atsiliepimas į apeliacinį skundą grindžiamas tokiais argumentais:

19.1. Pareiškėjai buvo nurodę elektroninio pašto adresą, neprašė informacijos siųsti tik registruotu paštu, nereiškė pretenzijų dėl netinkamai siunčiamos informacijos.

19.2. Mokykla teisėtai tvarkė pareiškėjų gimimo datas sudarytų sutarčių apskaitos ir vaikų ugdymo paslaugų teikimo tikslais, remdamasi BDAR 6 straipsnio 1 dalies b punktu, kuriame nustatyta, kad tvarkyti duomenis būtina siekiant įvykdyti sutartį, kurios šalis yra duomenų subjektas, arba siekiant imtis veiksmų duomenų subjekto prašymu prieš sudarant sutartį. Inspekcija nurodo padariusi išvadą, kad Mokykla, duodama pasirašyti Susitarimą ir leisdama pareiškėjams jį koreguoti, t. y. išbraukti jų (tėvų) gimimo datas ir neinformuodama pareiškėjų, kad jų gimimo datas vis tiek tvarkys, tuo pačiu tikslu, kuris anksčiau buvo nurodytas Susitarime, t. y. mokymo sutarčių apskaitos tikslu, elgėsi nesąžiningai ir neskaidriai, taip pažeisdama BDAR 5 straipsnio 1 dalies a punktą, todėl teismas priėmė teisingą sprendimą pripažindamas, kad UAB „Pažinimo medis“ teisėtai tvarkė pareiškėjų gimimo datas, tik tą padarė pažeisdamas skaidrumo principą.

19.3. Inspekcija nustatė, kad UAB „Pažinimo medis“ rinko ir tvarkė pareiškėjų, kaip įstatyminių vaiko atstovų, asmens duomenis: vardus, pavardes, gimimo datas, gyvenamąją vietą, kontaktinius duomenis (telefono numerį, elektroninį paštą), duomenis apie Sutarties vykdymą, tačiau nerinko ir netvarkė duomenų apie pareiškėjų darboviečių pavadinimus ir užimamas pareigas, kadangi tokių duomenų tvarkymui J. N. prieštaravo ir turėjo teisę jų nepateikti. Nagrinėjamu atveju Inspekcija neturėjo kompetencijos imtis prevencinių priemonių apsaugoti kitus asmenis nuo galimo tokio duomenų rinkimo (tvarkymo) ateityje, nes priešingu atveju būtų pažeisti VAĮ 3 straipsnio 1 ir 4 punktuose nustatyti įstatymo viršenybės ir nepiktnaudžiavimo valdžia principai. Inspekcija pareiškėjų skundus nagrinėjo ir skundžiamus sprendimus priėmė pareiškėjų skundų ribose (ADTAĮ 31 str.).

19.4. Teismas pagrįstai konstatavo, kad UAB „Pažinimo medis“, 2020 m. gegužės 20 d. raštu Nr. 2020/05-20 atsisakydamas pateikti prašomą informaciją apie Mokyklos steigėjus, nepažeidė pareiškėjų teisės susipažinti su savo asmens duomenimis.

19.5. Teismas, vadovaudamasis proporcingumo, teisingumo ir protingumo principais, skundžiamame sprendime konstatavo, kad Inspekcijos paskirtą sankciją – papeikimą – pakeisti kita, griežtesne sankcija nėra pagrindo, nes tokia sankcija atitinka BDAR nustatytus reikalavimus, kad bauda būtų veiksminga, proporcinga ir atgrasanti, be to, teismų praktikoje pripažįstama Inspekcijos diskrecijos teisė pasirinkti, kokias poveikio priemones taikyti, kai asmens skundo nagrinėjimo metu nustatoma, kad skundas yra pagrįstas.

20. Trečiasis suinteresuotas asmuo UAB „Pažinimo medis“ atsiliepime į apeliacinį skundą prašo Vilniaus apygardos administracinio teismo 2022 m. vasario 23 d. sprendimą palikti nepakeistą ir pareiškėjų apeliacinį skundą atmesti, o taip pat priteisti UAB „Pažinimo medis“ naudai iš pareiškėjų patirtas bylinėjimosi išlaidas.

21. Trečiojo suinteresuoto asmens atsiliepimas į apeliacinį skundą grindžiamas šiais argumentais:

21.1. Sutiktina su teismo išvada, kad atsakovas priėmė pagrįstą ir teisėtą sprendimą pareiškėjams dokumentus įteikti elektroniniu paštu, nes tokie veiksmai ne tik nepažeidžia ADTAĮ 17 straipsnio 3 dalyje įtvirtintų reikalavimų, bet ir juos atitinka. Mokykla pareiškėjų asmens duomenis (gimimo datas) tvarkė teisėtai. Pareiškėjai su Mokykla 2019 m. birželio 4 d. sudarė Vaikų iki 14 m. mokymo sutartį Nr. OZ 2019/06/04-027, taigi sutiko su Sutarties sąlygomis, bei Sutartyje nurodė savo gimimo datas, o Mokykla turėjo teisėtą pagrindą duomenis tvarkyti.

21.2. Inspekcija negali atlikti Mokyklos neplaninio patikrinimo dėl asmens duomenų tvarkymo, o pareiškėjai neteisingai interpretuoja teisės aktus, manydami, jog kreipiantis į priežiūros instituciją išimtinai dėl jų asmens duomenų tvarkymo, toks kreipimasis galėtų būti traktuojamas kaip Taisyklių 16.1 punkte nurodyta kitų šaltinių suteikta informacija, kadangi pareiškėjai skundus Inspekcijai teikė tik dėl savo pačių asmens duomenų tvarkymo pažeidimo.

21.3. Mokykla pagrįstai atsisakė atskleisti pareiškėjams Mokyklos steigėjų ir valdymo organų asmens duomenis. Šiuo aspektu trečiasis suinteresuotas asmuo pažymi, jog: 1) pareiškėjai nenurodė, kokiu pagrindu jiems turėtų būti atskleidžiami minėtų asmenų, ypač steigėjų (akcininkų), asmens duomenys; 2) pareiškėjų teisė kreiptis pagalbos į Mokyklos valdymo organus nebuvo ribojama, kadangi jie galėjo komunikuoti su Mokyklos direktore, kaip valdymo organu, turinčiu teisę veikti Bendrovės vardu; 3) pareiškėjų prašomi pateikti Mokyklos steigėjų duomenys nėra vieši, todėl minėtų duomenų tvarkymui taikomos BDAR nuostatos.

21.4. Nėra jokio pagrindo pareiškėjų argumentams, jog Mokyklai turėjo būti skirta administracinė bauda už pasikartojančius asmens duomenų apsaugos pažeidimus. Sankcijų skyrimas yra išimtinė Inspekcijos kompetencija. Pareiškėjų argumentai, kad Mokyklai turėtų būti skiriama administracinė bauda, nes paskirtos poveikio priemonės yra nepakankamos, yra nepagrįsti, deklaratyvūs ir atmestini, kadangi pareiškėjai neturi absoliučiai jokios teisės spręsti ar reikšti pageidavimų dėl skiriamos sankcijos pobūdžio ir masto.

21.5. Trečiasis suinteresuotas asmuo nesutinka su apeliacinio skundo argumentais, jog Mokykla tvarkė ypatingus pareiškėjų sūnaus duomenis, t. y. duomenis apie sveikatą, ir pažymi, jog pareiškėjai skunduose Inspekcijai dėl tokių duomenų tvarkymo nesiskundė, be to, teiginys, jog pareiškėjų sūnus nepradėjo lankyti mokyklos dėl sveikatos būklės yra bendro pobūdžio, ir negali būti vertinamas kaip sveikatos duomenų atskleidimas.

Teisėjų kolegija

konstatuoja:

IV. 22. Nagrinėjamoje byloje ginčas kilo dėl Valstybinės duomenų apsaugos inspekcijos 2020 m. gruodžio 4 d. sprendimo rezoliucinės dalies 1 ir 2 punktų, kuriais pareiškėjų 2020 m. birželio 9 d. skundas dėl UAB „Pažinimo medis“ veiksmų neskaidriai informuojant apie pareiškėjų gimimo datų tvarkymą sutarties sudarymo ir vykdymo tikslais laikytas pagrįstu bei teiktas UAB „Pažinimo medis“ nurodymas – užtikrinti, kad duomenų subjektai būtų skaidriai informuojami apie jų asmens duomenų tvarkymą ir turimas jų, kaip duomenų subjektų teises, atitinkamai patikslinant sutartis bei susitarimus dėl asmens duomenų tvarkymo, 4 punkto dalies, kuria buvo atmesta pareiškėjų skundo dalis dėl UAB „Pažinimo medis“ steigėjų ir valdymo organų neatskleidimo, ir 2020 m. lapkričio 19 d. sprendimo rezoliucinės dalies 2 punkto, kuriuo UAB „Pažinimo medis“ pareikštas papeikimas, teisėtumo ir pagrįstumo bei įpareigojimo atlikti veiksmus.

23. Pirmosios instancijos teismas, išnagrinėjęs pareiškėjų skundo argumentus, atsakovo atsikirtimus į skundą, įvertinęs byloje esančią medžiagą, pareiškėjų skundą atmetė, konstatavęs, kad Inspekcija teisingai taikė teisės normas, išsamiai išnagrinėjo faktines bylos aplinkybes, todėl pareiškėjų skundžiami atsakovo 2020 m. gruodžio 4 d. ir 2020 m. lapkričio 19 d. sprendimai yra pagrįsti ir teisėti, o 2020 m. lapkričio 19 d. sprendimu skirta poveikio priemonė – papeikimas – yra proporcinga ir pakankama už UAB „Pažinimo medis“ padarytą pažeidimą.

24. Pareiškėjai apeliaciniame skunde nesutinka su pirmosios instancijos teismo sprendimu, teigia, kad teismas plečiamai aiškino teisės normas, susijusias su jų informavimu, netinkamai vertino byloje esančias faktines aplinkybes, susijusias su jų ir kitų asmenų asmens duomenų tvarkymu, apribojo pareiškėjų teises kreiptis pagalbos į Mokyklos savininkus – steigėjus, nepagrįstai Mokyklai neskyrė administracinės baudos, todėl prašo panaikinti pirmosios instancijos teismo sprendimą ir priimti naują sprendimą, kuriuo pareiškėjų skundas būtų tenkintas.

25. Teisėjų kolegija, tikrindama pirmosios instancijos teismo sprendimo pagrįstumą ir teisėtumą, pažymi, kad byloje nenustatytos aplinkybės, dėl kurių turėtų būti peržengtos apeliacinio skundo ribos, bei sprendimo negaliojimo pagrindai, nurodyti Lietuvos Respublikos administracinių bylų teisenos įstatymo (toliau – ir ABTĮ) 146 straipsnio 2 dalyje (ABTĮ 140 str. 2 d.), todėl apeliacinės instancijos teismas šią bylą apeliacine tvarka nagrinėja ir patikrina pirmosios instancijos teismo sprendimo pagrįstumą ir teisėtumą neperžengdamas pareiškėjų apeliacinio skundo ribų (ABTĮ 140 str. 1 d.).

26. Teisėjų kolegijos vertinimu, pirmosios instancijos teismas, tikrindamas atsakovo skundžiamų sprendimų teisėtumą ir pagrįstumą, detaliai išanalizavo teisinius santykius, dėl kurių kilo ginčas, iš esmės teisingai išnagrinėjo ir įvertino 2020 m. gruodžio 4 d. bei 2020 m. lapkričio 19 d. sprendimų turinį, nepažeidė įrodymų vertinimo taisyklių (ABTĮ 56 str. 7 d.), todėl teisėjų kolegija pripažįsta tikslinga aptarti tik esminius apeliacinio skundo aspektus.

27. Asmens duomenų teisėto tvarkymo principai ir sąlygos reglamentuojamos 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamente (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas). BDAR 5 straipsnio 1 dalies a punkte įtvirtinta, jog asmens duomenys duomenų subjekto atžvilgiu turi būti tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas), o 5 straipsnio 1 dalies c punkte nustatyta, kad asmens duomenys turi būti adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie yra tvarkomi (duomenų kiekio mažinimo principas). Pagal BDAR 6 straipsnio, apibrėžiančio duomenų tvarkymo teisėtumo sąlygas, 1 dalies a punktą duomenų tvarkymas yra teisėtas, jeigu duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu ar keliais konkrečiais tikslais, o pagal 6 straipsnio 1 dalies b punktą, duomenų tvarkymas yra teisėtas, kai tvarkyti duomenis būtina siekiant įvykdyti sutartį, kurios šalis yra duomenų subjektas, arba siekiant imtis veiksmų duomenų subjekto prašymu prieš sudarant sutartį.

28. Byloje nustatyta, kad pareiškėja nesutiko su Asmens duomenų teikimo ir asmens duomenų tvarkymo susitarimo nuostatomis dėl pareiškėjų asmens duomenų (gimimo datų, darboviečių pavadinimų bei užimamų pareigų) tvarkymu (I t., b. l. 45–48), teikė Mokyklai pastabas (I t., b. l. 61) bei pasirašė pakoreguotą 2019 m. sausio 3 d. Susitarimą (I t., b. l. 49–52), kurio 11.1 punkte įtvirtinta, jog mokymo sutarčių apskaitos tikslu yra tvarkomi šie asmens duomenys: mokinių, jų tėvų (globėjų, rūpintojų) vardai, pavardės, gyvenamoji vieta ir telefonų numeriai. Nepaisant pareikštos valios netvarkyti pareiškėjų gimimo datų, Mokykla 2019 m. birželio 4 d. Vaikų iki 14 metų mokymo sutartyje Nr. OZ 2019/06/04-027 nurodė tėvų gimimo datas.

29. Inspekcija nustatė, kad UAB „Pažinimo medis“, duodamas pasirašyti Asmens duomenų teikimo ir asmens duomenų tvarkymo susitarimą ir leisdamas pareiškėjams jį koreguoti, t. y. išbraukti tėvų gimimo datas, bei neinformuodamas pareiškėjų, kad jų gimimo datas vis tiek tvarkys tuo pačiu teisėtu pagrindu (BDAR 6 str. 1 d. b p.), t. y. 2019 m. birželio 4 d. Sutarties apskaitos tikslu, elgėsi nesąžiningai ir neskaidriai, todėl pažeidė BDAR 5 straipsnio 1 dalies a punktą.

30. Apeliacinės instancijos teismo teisėjų kolegija, patikrinusi bylą teisės taikymo ir įrodymų vertinimo aspektu, vadovaudamasi šioje nutartyje nurodytomis teisės aktų nuostatomis pritaria pirmosios instancijos teismo padarytai išvadai, kad nėra pagrindo kitaip vertinti Bendrovės veiksmų, nei nurodyta Inspekcijos 2020 m. gruodžio 4 d. sprendime. Tokie asmens duomenys kaip asmens vardas, pavardė, gimimo data yra minimalus asmens duomenų rinkinys, leidžiantis identifikuoti sutarties šalį. Pirmosios instancijos teismui nustačius, jog Mokyklai tvarkyti pareiškėjų asmens duomenis (gimimo datas) buvo būtina, siekiant įvykdyti 2019 m. birželio 4 d. Sutartį, apeliacinės instancijos teismo teisėjų kolegija neturi pagrindo nesutikti su pirmosios instancijos teismo išvada, kad UAB „Pažinimo medis“, turėdamas teisėtą pagrindą, numatytą BDAR 6 straipsnio 1 dalies b punkte, tvarkyti pareiškėjų gimimo datas 2019 m. birželio 4 d. Sutarties sudarymo ir vykdymo tikslu, neprivalėjo įgyvendinti 2019 m. sausio 3 d. Susitarimo dalies dėl pareiškėjų gimimo datų tvarkymo, tačiau, netinkamai įgyvendindamas skaidrumo reikalavimą, pažeidė vieną iš asmens duomenų tvarkymo principų – BDAR 5 straipsnio 1 dalies a punktą. Atsižvelgusi į tai, kas išdėstyta, apeliacinės instancijos teismo teisėjų kolegija nepagrįstu pripažįsta pareiškėjų skundo argumentą, jog pirmosios instancijos teismas, objektyviai neįvertinęs faktinių įrodymų ir BDAR nuostatų, priėmė neteisingą sprendimą šiuo aspektu.

31. Apeliaciniame skunde pareiškėjai nurodo, kad pirmosios instancijos teismas neteisingai aiškino ADTAĮ 20 straipsnio ir Taisyklių 16.3 punkto nuostatas, todėl nepagrįstai konstatavo, kad Inspekcija negalėjo atlikti patikrinimo dėl galimų pavienių asmenų duomenų tvarkymo pažeidimų – kitų ugdytinių tėvų darboviečių pavadinimo ir užimamų pareigų tvarkymo. Šiuo aspektu pažymėtina, kad tiek ADTAĮ 20 straipsnis, reglamentuojantis tyrimus ir (ar) patikrinimus, atliekamus Valstybinės duomenų apsaugos inspekcijos iniciatyva, ir jų atlikimo tvarką, tiek ir Taisyklių IV skyrius „Neplaninių tikrinimų organizavimas“ įtvirtina Inspekcijos teisę, o ne pareigą pradėti tyrimą ir (ar) patikrinimą bet kokiu klausimu, susijusiu su BDAR, ADTAĮ ir kitų įstatymų, reglamentuojančių asmens duomenų ir (ar) privatumo apsaugą galimu pažeidimu, o taip pat atlikti neplaninius patikrinimus. Kadangi į Inspekciją su 2020 m. birželio 5 d. skundu pareiškėjai kreipėsi dėl savo asmens duomenų tvarkymo, Inspekcija turėjo pareigą tyrimą atlikti pareiškėjų skundo ribose ir vadovaudamasi ADTAĮ 31 straipsnio 1 dalimi priimti atitinkamą sprendimą būtent dėl pareiškėjų asmens duomenų tvarkymo, todėl, priešingai nei pareiškėjai teigia apeliaciniame skunde, Inspekcija pagrįstai nenagrinėjo pareiškėjų pateiktų duomenų dėl kitų Mokyklos ugdytinių tėvų asmens duomenų tvarkymo.

32. Duomenų subjekto teisę susipažinti su duomenimis ir šios teisės įgyvendinimo tvarką numato BDAR III skyrius „Duomenų subjekto teisės“. BDAR 12 straipsnio 1 dalyje įtvirtinta, kad duomenų valdytojas imasi tinkamų priemonių, kad visą 13 ir 14 straipsniuose nurodytą informaciją ir visus pranešimus pagal 15–22 ir 34 straipsnius, susijusius su duomenų tvarkymu, duomenų subjektui pateiktų glausta, skaidria, suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba, ypač jei informacija yra konkrečiai skirta vaikui. Informacija pateikiama raštu arba kitomis priemonėmis, įskaitant, prireikus, elektronine forma. Duomenų subjekto prašymu informacija gali būti suteikta žodžiu, jeigu duomenų subjekto tapatybė įrodoma kitomis priemonėmis. BDAR 15 straipsnyje detalizuojama informacija, su kuria turi teisę susipažinti duomenų subjektas, kurio asmens duomenys yra tvarkomi duomenų valdytojo.

33. Atmestinas pareiškėjų apeliacinio skundo argumentas, jog pirmosios instancijos teismas nepagrindė, kokia teisės norma vadovaujantis yra saugomi viešosios paslaugos – ugdymo – teikėjų, Mokyklos savininkų – steigėjų vardai, pavardės ir jų kontaktiniai duomenys. Kaip matyti iš skundžiamo pirmosios instancijos teismo sprendimo, jame aiškiai nurodytas BDAR 15 straipsnis, pagal kurį pareiškėjai neturėjo teisės gauti tokios informacijos. Pareiškėjų pageidaujama gauti informacija yra asmens duomenys (BDAR 4 str. 1 p.), todėl jiems, kaip ir pareiškėjų asmens duomenims, tvarkyti taikomos BDAR 5 ir 6 straipsnių nuostatos. Tiek skunde pirmosios instancijos teismui, tiek apeliaciniame skunde minimos Lietuvos Respublikos švietimo įstatymo nuostatos nėra teisėtas pagrindas pareiškėjams atskleisti Mokyklos steigėjų (akcininkų) asmens duomenis, nėra tinkamai suformuluotas jų gavimo tikslas. Pareiškėjams nepateikus prašomų duomenų, nebuvo ribojama jų teisė kreiptis į Mokyklos valdymo organus, kadangi pareiškėjai galėjo komunikuoti su Mokyklos direktore, kaip valdymo organu, turinčiu teisę veikti Bendrovės vardu, o taip pat šios informacijos ribojimas neužkirto kelio pareiškėjams kreiptis su skundu į priežiūros instituciją. Taigi teisėjų kolegija pagrįsta pripažįsta pirmosios instancijos teismo išvadą, kad Mokykla turėjo teisę atsisakyti teikti kontaktinę informaciją apie jos steigėjus bei valdymo organo narius, o Inspekcijos sprendimas šioje dalyje yra pagrįstas.

34. ADTAĮ 31 straipsnio 2 dalies 1 punktas, be kita ko, suteikia Inspekcijai teisę, kai skundas ar jo dalis pripažįstama pagrįsta, teikti duomenų valdytojui ir (ar) duomenų tvarkytojui nurodymus, rekomendacijas ir (ar) taikyti kitas BDAR 58 straipsnio 2 dalyje nurodytas priemones. BDAR 58 straipsnio 2 dalyje įtvirtinta, jog kiekviena priežiūros institucija turi visus šiuos įgaliojimus imtis taisomųjų veiksmų: pareikšti papeikimą duomenų valdytojui arba duomenų tvarkytojui, kai duomenų tvarkymo operacijomis buvo pažeistos šio reglamento nuostatos (b p.); skirti administracinę baudą pagal 83 straipsnį, kartu taikydama šioje dalyje nurodytas priemones arba vietoj jų, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes (i p.). BDAR 83 straipsnio 2 dalyje nustatyta, kad sprendžiant dėl to, ar skirti administracinę baudą, ir sprendžiant dėl administracinės baudos dydžio kiekvienu konkrečiu atveju deramai atsižvelgiama į šiuos dalykus:

a) pažeidimo pobūdį, sunkumą ir trukmę, atsižvelgiant į atitinkamo duomenų tvarkymo pobūdį, aprėptį ar tikslą, taip pat į nukentėjusių duomenų subjektų skaičių ir jų patirtos žalos dydį;

b) tai, ar pažeidimas padarytas tyčia, ar dėl aplaidumo;

c) bet kuriuos veiksmus, kurių duomenų valdytojas arba duomenų tvarkytojas ėmėsi, kad sumažintų duomenų subjektų patirtą žalą;

d) duomenų valdytojo arba duomenų tvarkytojo atsakomybės dydį, atsižvelgiant į jų pagal 25 ir 32 straipsnius įgyvendintas technines ir organizacines priemones;

e) bet kuriuos to duomenų valdytojo arba duomenų tvarkytojo svarbius ankstesnius pažeidimus;

f) bendradarbiavimo su priežiūros institucija siekiant atitaisyti pažeidimą ir sumažinti galimą neigiamą jo poveikį laipsnį;

g) asmens duomenų, kuriems pažeidimas turi poveikį, kategorijas;

h) tai, kokiu būdu priežiūros institucija sužinojo apie pažeidimą, visų pirma tai, ar duomenų valdytojas arba duomenų tvarkytojas pranešė apie pažeidimą (jei taip – kokiu mastu);

i) jei atitinkamam duomenų valdytojui arba duomenų tvarkytojui dėl to paties dalyko anksčiau buvo taikytos 58 straipsnio 2 dalyje nurodytos priemonės – ar laikytasi tų priemonių;

j) ar laikomasi patvirtintų elgesio kodeksų pagal 40 straipsnį arba patvirtintų sertifikavimo mechanizmų pagal 42 straipsnį; ir k) kitus sunkinančius ar švelninančius veiksnius, susijusius su konkretaus atvejo aplinkybėmis, pavyzdžiui, finansinę naudą, kuri buvo gauta, arba nuostolius, kurių buvo išvengta, tiesiogiai ar netiesiogiai dėl pažeidimo.

35. Vertindama pareiškėjų apeliacinio skundo argumentus dėl Inspekcijos nepagrįsto vengimo pažeidėjams skirti administracines baudas už pasikartojančius pažeidimus, teisėjų kolegija pažymi, kad šiuo aspektu turėtų būti išspręstas pareiškėjų materialinio teisinio suinteresuotumo klausimas. ABTĮ 5 straipsnio 1 dalis nustato, kad kiekvienas suinteresuotas subjektas turi teisę įstatymų nustatyta tvarka kreiptis į teismą, kad būtų apginta pažeista ar ginčijama jo teisė arba įstatymų saugomas interesas. Taip pat pažymėtina, jog suinteresuoto asmens teisė kreiptis į teismą nereiškia teisės reikalauti ginti nuo pažeidimų bet kieno teisę, o reiškia galimybę kreiptis į teismą tik dėl to, kad būtų apginta jo (pareiškėjo) subjektinė teisė ar įstatymų saugomas interesas (žr., pvz., Lietuvos vyriausiojo administracinio teismo 2009 m. spalio 15 d. nutartį administracinėje byloje Nr. A662-1157/2009; 2015 m. lapkričio 17 d. sprendimą administracinėje byloje Nr. A-1238-552/2015; išplėstinės teisėjų kolegijos 2017 m. spalio 31 d. sprendimą administracinėje byloje Nr. A-638-492/2017). Teismas, nagrinėdamas administracines bylas, privalo nustatyti, kuo pasireiškia pareiškėjo nurodytas pažeidimas, t. y. kiekvienu konkrečiu atveju nustatyti, ar asmuo, kuris kreipėsi dėl pažeistos teisės (intereso) gynimo, turi jo nurodytas teises (įstatymų saugomus interesus), ar šios teisės (interesai) objektyviai yra pažeistos asmens nurodytu būdu. Nagrinėjamu atveju pareiškėjai neįrodė savo materialinio teisinio suinteresuotumo, t. y. nepagrindė, kokią įtaką Mokyklai skirta tam tikra poveikio priemonė daro jų teisėms ir / ar teisėtiems interesams, kaip jie pakistų šio pareiškėjų reikalavimo tenkinimo atveju, todėl šie pareiškėjų argumentai atmestini.

36. Apibendrinant tai, kad išdėstyta, darytina vienareikšmiška išvada, kad būtent Inspekcijai, kaip priežiūros institucijai, yra suteikta diskrecijos teisė kiekvienu konkrečiu atveju deramai įvertinus visas asmens duomenų tvarkymo pažeidimo padarymui reikšmingas aplinkybes nuspręsti, kokia poveikio priemonė (nurodymas, rekomendacija ar BDAR 58 straipsnio 2 dalyje įtvirtinti taisomieji veiksmai) turėtų būti taikoma duomenų valdytojui ir (ar) duomenų tvarkytojui už asmens duomenų tvarkymo pažeidimus. Nagrinėjamu atveju pareiškėjai nepagrindė, kokią įtaką Mokyklai skirta poveikio priemonė daro jų teisėms ir / ar teisėtiems interesams, kaip jie pakistų pareiškėjų reikalavimo tenkinimo atveju, todėl šie pareiškėjų argumentai nėra reikšmingi nagrinėjamo ginčo apimčiai ir atmestini.

37. Įvertinus kitus apeliacinio skundo argumentus (dėl informacijos pareiškėjams teikimo elektroniniu paštu, Mokyklai paskirtos sankcijos už padarytą pareiškėjų sūnaus asmens duomenų tvarkymo pažeidimą), pažymėtina, kad jais kartojami skunde pirmosios instancijos teismui išdėstyti argumentai, dėl kurių tikrinamame teismo sprendime motyvuotai atsakyta, todėl teisėjų kolegija jų nekartoja.

38. Apeliacinės instancijos teismo teisėjų kolegija, remdamasi išdėstytais argumentais, bylos faktų vertinimo ir teisės taikymo aspektais patikrinusi pirmosios instancijos teismo sprendimą, konstatuoja, kad pirmosios instancijos teismas teisingai nustatė bylai išnagrinėti teisiškai reikšmingas faktines aplinkybes, tinkamai aiškino ir taikė materialiosios ir proceso teisės normas, todėl naikinti teismo sprendimą remiantis apeliacinio skundo argumentais nėra faktinio ir teisinio pagrindo. Pirmosios instancijos teismo sprendimas paliekamas galioti nepakeistas, o apeliacinis skundas atmetamas.

39. Atmetus pareiškėjų apeliacinį skundą, jie neįgijo teisės į bylinėjimosi išlaidų atlyginimą (ABTĮ 40 str. 1 d.).

40. Vertinant trečiojo suinteresuoto asmens UAB „Pažinimo medis“ prašymą priteisti bylinėjimosi išlaidas, pažymėtina, kad ABTĮ 41 straipsnio 1 dalyje įtvirtinta, kad dėl išlaidų atlyginimo suinteresuota proceso šalis iki bylos nagrinėjimo iš esmės pabaigos teismui pateikia prašymą raštu su išlaidų apskaičiavimu ir pagrindimu. Prašymus dėl išlaidų atlyginimo teismas išnagrinėja priimdamas sprendimą dėl administracinės bylos. Ši administracinė byla buvo nagrinėjama rašytinio proceso tvarka 2023 m. lapkričio 14 d. 10 val., trečiojo suinteresuoto asmens atstovas prašymą ir bylinėjimosi išlaidas pagrindžiančius įrodymus pateikė 2023 m. lapkričio 14 d. 11 val. 54 min., t. y. jau pasibaigus bylos nagrinėjimui iš esmės, todėl trečiojo suinteresuoto asmens bylinėjimosi išlaidų klausimas nesprendžiamas.

Vadovaudamasi Lietuvos Respublikos administracinių bylų teisenos įstatymo 144 straipsnio 1 dalies 1 punktu, teisėjų kolegija

nutaria:

Pareiškėjų J. N. ir R. N. apeliacinį skundą atmesti.

Vilniaus apygardos administracinio teismo 2022 m. vasario 23 d. sprendimą palikti nepakeistą.

Nutartis neskundžiama.

Teisėjai Iveta Pelienė

Ernestas Spruogis

Skirgailė Žalimienė