2022-11-08 Nr. AB-26750-3-61-3-02326-2020-0 · Lietuvos vyriausiasis administracinis teismas

Administracinė byla Nr. eA-228-822/2022

Teisminio proceso Nr. 3-61-3-02326-2020-0

Procesinio sprendimo kategorija 26

(S)

LIETUVOS VYRIAUSIASIS ADMINISTRACINIS TEISMAS

N U T A R T I S

LIETUVOS RESPUBLIKOS VARDU

2022 m. lapkričio 8 d.

Vilnius

Lietuvos vyriausiojo administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Ryčio Krasausko, Ivetos Pelienės ir Skirgailės Žalimienės (kolegijos pirmininkė ir pranešėja),

teismo posėdyje apeliacine rašytinio proceso tvarka išnagrinėjo administracinę bylą pagal pareiškėjo akcinės bendrovės „Energijos skirstymo operatorius“ apeliacinį skundą dėl Vilniaus apygardos administracinio teismo 2021 m. kovo 31 d. sprendimo administracinėje byloje pagal pareiškėjo akcinės bendrovės „Energijos skirstymo operatorius“ skundą atsakovui Valstybinei duomenų apsaugos inspekcijai (tretieji suinteresuoti asmenys – D. V. ir V. M.) dėl sprendimo panaikinimo.

Teisėjų kolegija

n u s t a t ė:

I. 1. Pareiškėjas akcinė bendrovė (toliau – ir AB) „Energijos skirstymo operatorius“ (toliau – ir ESO, ir Bendrovė) su skundu kreipėsi į teismą, prašydama panaikinti Valstybinės duomenų apsaugos inspekcijos (toliau – ir Inspekcija) 2020 m. birželio 5 d. sprendimo Nr. 3R-481(2.13-1.) „Dėl D. V. 2018 m. birželio 21 d. skundo“ (toliau – ir Sprendimas) 2 ir 3 punktus. Pareiškėjas taip pat prašė iš atsakovo priteisti 22,50 Eur bylinėjimosi išlaidų.

2. Pareiškėjas skunde nurodė, kad:

2.1. Inspekcija Sprendimu nusprendė: nutraukti trečiojo suinteresuoto asmens D. V. (toliau – ir suinteresuotas asmuo) skundo nagrinėjimą dalyje dėl trečiojo suinteresuoto asmens V. M.; D. V. skundą dalyje dėl ESO veiksmų, neįgyvendinant tinkamų techninių ir organizacinių priemonių, skirtų apsaugoti asmens duomenims nuo bet kokio neteisėto tvarkymo pripažinti pagrįstu; D. V. skundą dalyje dėl ESO atsakymo D. V. apie jos asmens duomenis teikusį asmenį pripažinti pagrįstu ir skirti ESO papeikimą; informuoti D. V., V. M. ir ESO apie priimtą sprendimą.

2.2. 2018 m. pavasarį (duomenys neskelbtini) (toliau – ir Kvartalas), esančių gyvenamųjų namų savininkai susirinkimo metu nusprendė įsivesti dujas į jų valdomus sklypus ir / ar kitus objektus. Tuo tikslu buvo pradėtas Kvartalo dujofikavimo procesas. Kvartalo dujofikavimo organizatorius V. M., veikęs dujas įsivesti pageidavusių Kvartale esančių gyvenamųjų namų savininkų vardu, 2018 m. gegužės 22 d. elektroniniu paštu atsakingam ESO darbuotojui pateikė gamtines dujas įsivesti pageidavusių asmenų sąrašą (toliau – ir Sąrašas) su dujofikavimo projektui, sutartims bei paraiškoms parengti, kitiems dujofikavimo proceso metu iškylantiems veiksmams atlikti reikalingais duomenimis. V. M. pateiktame Sąraše buvo ir D. V. duomenys (vardas, pavardė, objekto adresas, el. pašto adresas), kurių pagrindu D. V. vardu buvo užregistruota naujo buitinio vartotojo dujų sistemos prijungimo prie ESO dujų sistemos paraiška dėl prisijungimo prie dujų skirstomųjų tinklų (toliau – ir paraiška), taip pat buvo parengta naujo buitinio vartotojo sistemos prijungimo prie operatoriaus dujų sistemos paslaugos sutartis (toliau – ir sutartis). Atsakingam ESO darbuotojui V. M. atsiųsti D. V. duomenys buvo panaudoti tik tam tikslui ir tokia apimtimi, kokia jie buvo pateikti ESO; pagrįstai manant, kad duomenys gauti bei tvarkomi su gamtines dujas įsivesti pageidaujančio duomenų subjekto sutikimu, esant būtinybei parengti su D. V. planuojamą pasirašyti sutartį. Neabejodamas, kad V. M. pateiktame Sąraše ties D. V. duomenimis nurodytas elektroninis paštas (duomenys neskelbtini)@gmail.com yra įrašytas paties suinteresuoto asmens ir / arba su jo sutikimu, 2018 m. gegužės 24 d. minėtu elektroninio pašto adresu ESO išsiuntė suinteresuotam asmeniui pasirašyti parengtą sutartį bei patalpino ją ESO savitarnos svetainėje www.manogile.lt paraiškų stebėsenos skiltyje.

2.3. 2018 m. gegužės 25 d. įsigaliojus 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – ir BDAR arba Reglamentas), pareiškėjas, siekdamas užtikrinti didesnę asmens duomenų apsaugą, nuo 2018 m. gegužės 25 d. pakeitė paraiškų teikimo ir sutarčių sudarymo procesus, įtvirtindama nuostatą, kad priimamos tik savo tapatybę galinčių įrodyti asmenų arba nustatyta tvarka jų įgaliotų atstovų pasirašytos paraiškos.

2.4. Pareiškėjas 2018 m. birželio 4 d. gavo D. V. 2018 m. gegužės 30 d. pretenziją, kurioje buvo nurodyta, kad savo asmens duomenų suinteresuotas asmuo niekam neteikė ir kuria buvo prašoma pateikti informaciją, kaip buvo identifikuota asmens tapatybė; kokie, kokiu būdu, iš kokio šaltinio buvo gauti asmens duomenys ir kodėl informacija buvo persiųsta ne suinteresuotam asmeniui, bet trečiajam asmeniui. Siekdamas išsiaiškinti susidariusią situaciją, pareiškėjas nedelsiant susisiekė su suinteresuotu asmeniu. Telefoninio pokalbio metu paaiškėjo, kad D. V. nepageidauja įsivesti gamtinių dujų, tikėtinai neįrašė savo asmens duomenų Kvartalo organizatoriaus V. M. pateiktame Sąraše ir pageidauja, jog būtų panaikinti visi pareiškėjo duomenų bazėse esantys suinteresuoto asmens duomenys. Vykdydamas suinteresuoto asmens prašymą, pareiškėjas iš karto deaktyvavo paraišką ir sutartį ESO informacinėse sistemose, o visa su paraiška bei sutartimi susijusi informacija buvo galutinai panaikinta 2018 m. birželio 21 d. Pareiškėjas 2018 m. birželio 7 d. raštu Nr. 3021-18SK-AT-337 „Dėl susiklosčiusių aplinkybių“ informavo suinteresuotą asmenį apie jo asmens duomenų pašalinimą iš pareiškėjo duomenų bazių, nurodė, kad suinteresuoto asmens duomenys buvo gauti iš Kvartalo organizatoriaus, tačiau išreiškė apgailestavimą, kad dėl BDAR įtvirtintų asmens duomenų apsaugos reikalavimų ESO galimybės pateikti detalesnius Kvartalo organizatoriaus asmens duomenis yra ribotos.

2.5. Inspekcija 2018 m. birželio 25 d. gavo D. V. 2018 m. birželio 21 d. skundą, kuriuo buvo prašoma išsiaiškinti ir nubausti asmenis, nepagarbiai pasielgusius su suinteresuoto asmens duomenimis. Praėjus trims mėnesiams nuo skundo Inspekcijoje gavimo dienos, 2018 m. rugsėjo 25 d. raštu Nr. 2R-5293 (2.13) „Dėl asmens duomenų tvarkymo“ atsakovas kreipėsi į pareiškėją, prašydamas pateikti informaciją apie suinteresuoto asmens duomenų tvarkymą. Pareiškėjas išaiškino atsakovui su ginču susijusias aplinkybes raštu. Praėjus metams laiko nuo pareiškėjo 2018 m. spalio 2 d. atsakymo pateikimo Inspekcijai dienos, 2019 m. spalio 23 d. raštu Nr. 2R-4979 (2.13.) “Dėl asmens duomenų tvarkymo” atsakovas pareikalavo pareiškėjo pateikti V. M. kontaktinius duomenis, kuriais Inspekcija galėtų su šiuo asmeniu susisiekti, taip pat paprašė elektroninio laiško, kuriuo ESO buvo atsiųsti suinteresuoto asmens duomenys, kopijos. Kadangi visa su suinteresuoto asmens duomenimis susijusi informacija dėl BDAR reikalavimų iš pareiškėjo duomenų bazių buvo pašalinta, reaguodamas į tik po metų pateiktą atsakovo užklausą, 2019 m. spalio 31 d. raštu Nr. 50100-19KR-SD-10239 „Dėl duomenų pateikimo“ pareiškėjas pateikė atsakovui V. M. kontaktinius duomenis ir paaiškino, kad elektroninio pašto kopijos neturi, nes jis ištrintas vidaus teisės aktų nustatyta tvarka. Patikslino, kad el. pašto dėžutė ir joje esanti informacija dėl asmens duomenų apsaugos reikalavimų sistemoje saugoma ne ilgiau kaip 30 (trisdešimt) kalendorinių dienų po darbuotojo paskyros panaikinimo (t. y. darbo santykių su darbuotoju nutraukimo), o darbuotojas, kuris dujotiekio įvedimo klausimais tiesiogiai bendravo ir susirašinėjo su V. M., ESO nebedirba nuo 2019 m. gegužės 31 d.

2.6. Atsakovas 2019 m. lapkričio 5 d. raštu Nr. 2R-5218(2.13.) kreipėsi į V. M., kuris 2019 m. lapkričio 29 d. pateikė atsakymą jame nurodydamas, kad suinteresuotas asmuo yra jo sesuo, todėl jis žino jos asmens duomenis; tarp jo ir suinteresuoto asmens daug metų vyksta nesutarimai; 2018 m. pavasarį vyko kaimynų susirinkimas dėl dujų įvedimo, kaimynams susirinkus buvo nuspręsta kaip galima greičiau bandyti įsivesti dujas. Savo raštu, nors ir vengdamas galimos atsakomybės, V. M. iš esmės patvirtino, kad tai jis pateikė pareiškėjui suinteresuoto asmens duomenis. Praėjus beveik dvejiems metams nuo skundo Inspekcijoje gavimo dienos priimtas Sprendimas.

2.7. Atsakovas nepagrįstai ir neteisėtai konstatavo, jog ESO pažeidė Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ir ADTAĮ) 30 straipsnio 1 dalies, BDAR 32 straipsnio 1 dalies nuostatas, ir, pirmiausia, dėl to, kad Inspekcija neįrodė minėtų nuostatų pažeidimo, o savo konstatuojamąją išvadą iš esmės grindė tos pačios išvados deklaratyviu pakartojimu. Atsakovas, norėdamas konstatuoti, jog pareiškėjas pažeidė ADTAĮ 30 straipsnio 1 dalies, BDAR 32 straipsnio 1 dalies nuostatas, visų pirma, turėjo išsiaiškinti, kokius bendruosius reikalavimus organizacinėms ir techninėms duomenų saugumo priemonėms ji pati buvo nustačiusi ADTAĮ 30 straipsnio 2 dalyje numatyta tvarka; kokios priemonės pareiškėjo buvo įgyvendintos iki BDAR ir po BDAR įsigaliojimo; ir kokių tiksliai organizacinių ir techninių priemonių pareiškėjas galbūt neįgyvendino tiek vienu (t. y. nuo 2018 m. gegužės 22 d. iki 2018 m. gegužės 25 d.), tiek kitu laikotarpiu (t. y. nuo 2018 m. gegužės 25 d.).

2.8. Inspekcija nenustatė saugotinų asmens duomenų pobūdžio bei saugumo lygio, asmens duomenų tvarkymu keliamos rizikos, neįvertino, ar pareiškėjo taikomos organizacinės ir techninės priemonės užtikrino saugotinų asmens duomenų pobūdį atitinkantį saugumo lygį, todėl padarė vien subjektyviu vertinimu paremtą išvadą apie tariamą ADTAĮ 30 straipsnio 1 dalies, BDAR 32 straipsnio 1 dalies pažeidimą. Pareiškėjo nuomone, atsakovas turėjo nustatyti, kad pareiškėjas suinteresuoto asmens duomenis tvarko neteisėtai, kaip ir tai, kaip tiksliai pasireiškė tariamas pažeidimas konkrečiais laikotarpiais. Inspekcija Sprendime deklaratyviai pacitavo ADTAĮ 30 straipsnio 1 dalies, BDAR 32 straipsnio 1 dalies reguliavimą, visiškai nemotyvuotai pakartodama, kad suinteresuoto asmens skundo dalis dėl ESO veiksmų, neįgyvendinant tinkamų techninių ir organizacinių priemonių, skirtų apsaugoti asmens duomenims nuo bet kokio neteisėto tvarkymo, galbūt yra pagrįsta.

2.9. Pareiškėjas buvo įsitikinęs, jog suinteresuoto asmens duomenis tvarko su jo sutikimu; duomenys buvo tvarkomi ne vien pildant paraišką, bet ir siekiant parengti bei sudaryti su suinteresuotu asmeniu sutartį, kurios šalis, pareiškėjo įsitikinimu, ir būtų buvusi suinteresuotas asmuo, t. y. asmens duomenų subjektas. Savo ruožtu, toks duomenų tvarkymas pagal ADTAĮ 5 straipsnio 1 dalies 1 ir 2 punktų reguliavimą būtų laikomas teisėtu, tačiau atsakovas šios aplinkybės apskritai neanalizavo, kaip ir nesiaiškino bei netyrė to, ar Sąraše esančiais įrašais nebuvo pademonstruotas duomenų subjekto sutikimas dėl duomenų tvarkymo; ar pareiškėjui nebuvo sudarytos prielaidos manyti, kad duomenys tvarkomi su duomenų subjekto sutikimu ir / ar tikslu sudaryti sutartį, t. y. teisėtai. Inspekcija duomenų tvarkymo teisėtumo kontekste nevertino aplinkybės, kad Sąrašą bei duomenis ESO pateikė suinteresuoto asmens brolis, jog tarp suinteresuoto asmens ir V. M. ilgus metus tęsiasi nesutarimai, kad ESO neturėjo pagrindo netikėti jam pateikiamos informacijos bei dokumentų tikrumu, vertinant dokumentų pateikimo priežastingumo kontekstą. Kadangi atsakovas faktiniais duomenimis neįrodė, jog pareiškėjas asmens duomenis tvarkė neteisėtai, nėra pagrindo konstatuoti ADTAĮ 30 straipsnio 1 dalies, BDAR 32 straipsnio 1 dalies nuostatų pažeidimą. Taigi, visuma išdėstytų aplinkybių rodo, kad atsakovas nepagrįstai ir neteisėtai pripažino pagrįsta suinteresuoto asmens skundo dalį dėl ESO veiksmų, neįgyvendinant tinkamų techninių ir organizacinių priemonių, skirtų apsaugoti asmens duomenims nuo bet kokio neteisėto tvarkymo, kas sudaro pagrindą panaikinti Sprendimą Lietuvos Respublikos administracinių bylų teisenos įstatymo (toliau – ir ABTĮ) 91 straipsnio 1 dalies 1 ir 3 punktų pagrindu.

2.10. Atsakovas Sprendimu pripažino pagrįsta suinteresuoto asmens skundo dalį dėl ESO atsisakymo pateikti suinteresuotam asmeniui duomenis apie jo asmens duomenis teikusį asmenį ir skyrė ESO papeikimą. Šiai savo išvadai pagrįsti atsakovas pakartojo BDAR 15 straipsnio nuostatą ir nurodė, kad, nepateikdamas informacijos apie suinteresuoto asmens duomenis pateikusį asmenį, ESO galbūt netinkamai įgyvendino BDAR 15 straipsnio 1 dalies g punkto nuostatas. ESO nurodė suinteresuotam asmeniui, jog jo asmens duomenis pateikė dujofikuojamo Kvartalo organizatorius elektroniniu paštu. Taip pat pareiškėjas tvarkė V. M. asmens duomenis, kuriems taip pat taikoma asmens duomenų apsauga bei BDAR įtvirtinti reikalavimai. Atsakovas nėra atskleidęs duomenų „šaltinio“ sąvokos bei vieno duomenų subjekto asmens duomenų apsaugos santykio su kito duomenų subjekto asmens duomenų apsauga. Kadangi pats atsakovas nėra pateikęs metodinės medžiagos ir / ar išaiškinimo, kaip turėtų būti elgiamasi tuo atveju, kai duomenų šaltinis yra į BDAR taikymo sritį patenkantis fizinis asmuo, iš pareiškėjo negali būti reikalaujama elgesio, kuris turėtų pasireikšti ESO nuožiūra atliekamu plečiamuoju BDAR 15 straipsnyje įtvirtintos duomenų „šaltinio“ sąvokos aiškinimu. Taip pat BDAR nėra imperatyviai nustatyti būdai bei konkretus duomenų pateikimo detalumas, kuriais vadovaujantis duomenų subjektui turi būti teikiama informacija apie asmens duomenų šaltinius. Todėl visuma paminėtų aplinkybių rodo, kad nėra jokio pagrindo konstatuoti tariamą BDAR 15 straipsnio 1 dalies g punkto pažeidimą.

2.11. Inspekcija, nagrinėdama skundą ir priimdama Sprendimą, savo išvadas grindė ne faktiniais duomenimis paremtais argumentais, kiekvieną jų susiedama su atitinkamo pažeidimo sudėtimi bei baigiamosiomis išvadomis, bet deklaratyviu rezoliucinėje dalyje nurodytų išvadų pakartojimu motyvacinėje Sprendimo dalyje. Tai aiškiai iliustruoja pavyzdys, kuomet rezoliucinėje Sprendimo dalyje nurodytą teiginį apie tai, kad pagrįsta suinteresuoto asmens skundo dalis dėl ESO veiksmų, neįgyvendinant tinkamų techninių ir organizacinių priemonių, skirtų apsaugoti asmens duomenims nuo bet kokio neteisėto tvarkymo, atsakovas grindė teiginiu, kad ESO neįgyvendino tinkamų ir organizacinių priemonių, skirtų apsaugoti asmens duomenis nuo bet kokio neteisėto tvarkymo. Todėl toks deklaratyvus Sprendimo motyvavimas akivaizdžiai neatitinka ADTAĮ 51 straipsnio 1 dalyje įtvirtintų reikalavimų.

2.12. Sprendimo turiniui yra keliami ir Lietuvos Respublikos viešojo administravimo (toliau – ir VAĮ) 8 straipsnyje įtvirtinti individualaus administracinio akto bendrieji reikalavimai. Inspekcija yra viešojo administravimo subjektas, kuris, remiantis VAĮ 3 straipsniu, savo veikloje privalo vadovautis įstatymo viršenybės, objektyvumo bei lygiateisiškumo principais, numatančiais, kad viešojo administravimo subjektai turi veikti tik įstatyme suteiktų įgaliojimų ribose, nešališkai bei objektyviai, suvokiant, kad įstatymui visi asmenys lygūs. Formaliai ir biurokratiškai vykdomos viešojo administravimo funkcijos nesuderinamos su gero administravimo principu. Atsakovas Sprendime apsiribojo dviem teiginiais, kurie buvo deklaratyvus tų pačių išvadų pakartojimas, tačiau taip ir nenurodė baigiamąsias išvadas pagrindžiančių VAĮ 8 straipsnio reikalavimus atitinkančių argumentų. Be to, Inspekcija nenustatė ir apskritai neanalizavo daug Sprendimo pagrįstumui bei teisėtumui reikšmės turinčių aplinkybių. Atsakovas neįrodė, kad suinteresuoto asmens duomenys buvo tvarkomi neteisėtai; nedetalizavo, kaip konkrečiai pasireiškė ADTAĮ 30 straipsnio 1 dalies, BDAR 15 straipsnio 1 dalies g punkto, 32 straipsnio 1 dalies normų pažeidimai; neatskleidė „šaltinio“ sąvokos; nepasisakė, kokiomis teisės normomis remiantis prioritetas turėtų būti teikiamas suinteresuoto asmens duomenų apsaugai, lyginant su V. M. atžvilgiu taikoma asmens duomenų apsauga; ir visiškai nemotyvavo paskirto papeikimo. Toks deklaratyvus, tačiau faktiniais duomenimis bei teisiniais argumentais neparemtas Sprendimas negali būti laikomas pagrįstu ar teisėtu.

2.13. Aptariamu atveju atsakovas pažeidė ir ADTAĮ 49 straipsnyje maksimalius skundo išnagrinėjimo ir Sprendimo priėmimo terminus. Atsakovas skundą nagrinėjo netgi du metus. Dėl atsakovo pasyvaus veikimo ir nepateisinamo delsimo tiriant skunde nurodytas aplinkybes pareiškėjas objektyviai prarado galimybę apsiginti ir paneigti tariamai padarytus asmens duomenų tvarkymo pažeidimus, kas akivaizdžiai rodo, kad atsakovo padaryti procedūriniai pažeidimai šiuo atveju turėjo esminę įtaką Sprendimo neteisėtumui ir nepagrįstumui. Tokie procedūrinio pobūdžio trūkumų turintys aktai turi būti panaikinti ABTĮ 91 straipsnio 1 dalies 3 punkto pagrindu.

2.14. Tariamas pažeidimas, net jeigu ir būtų buvęs padarytas, yra formalaus pobūdžio, nedidelis, nesunkus, pavienis, nesukėlė neigiamų pasekmių ar žalos. Net ir netaikant jokios sankcijos, ja siekiami tikslai jau seniai pasiekti, tad papeikimo skyrimas apskritai praranda savo prasmę. Be kita ko, papeikimas turėtų būti panaikintas atsižvelgiant ir į tuometinį reguliavimo naujumą, tai, kad Inspekcija nebuvo ir iki šiol nėra pateikusi jokių išaiškinimų BDAR 15 straipsnio taikymo klausimu, o vertinami veiksmai buvo atliekami besikeičiant įstatyminiam reguliavimui, todėl natūralu, kad pareiškėjui nebuvo žinoma, kaip Inspekcija vertina ir interpretuoja BDAR 15 straipsnį ir jo tinkamą įgyvendinimą, koks tiksliai turėtų būti ESO elgesys.

3. Atsakovas Inspekcija atsiliepime į pareiškėjo skundą prašė skundą atmesti. Atsakovas nurodė, kad:

3.1. Pareiškėjas neįgyvendino tinkamų priemonių siekiant užtikrinti tinkamą asmens duomenų apsaugą, t. y. nuo 2018 m. gegužės 22 d. gavus iš V. M. ir D. V. asmens duomenis, neįsitikino, kad juos pateikė D. V. ir (ar) jos įgaliotas atstovas, gavus šiuos duomenis D. V. vardu užregistravo prijungimo prie dujų sistemos paraišką ir parengė paslaugos sutartį jos vardu. Pareiškėjas D. V. asmens duomenis tvarkė iki 2018 m. birželio 7 d., įvertinus tai Inspekcija padarė išvadą, jog pareiškėjas tvarkydama D. V. asmens duomenis nuo bet kokio neteisėto tvarkymo, tokiu būdu nuo 2018 m. gegužės 22 d., pažeidė ADTAĮ 30 straipsnio 1 dalį, BDAR 32 straipsnio 1 dalį.

3.2. Sprendime buvo nustatyta, kad D. V. asmens duomenis pareiškėjas gavo ne iš jos, taip pat rinkdamas D. V. asmens duomenis pareiškėjas neįsitikino, jog juos pateikė jos įgaliotas asmuo, todėl Inspekcija padarė išvadą, kad nebuvo užtikrintos tinkamos organizacinės ir techninės priemonės, skirtos užtikrinti, jog asmens duomenys būtų tvarkomi teisėtai. Inspekcija, atsižvelgdama į pateikto D. V. skundo turinį ir nustatytas faktines aplinkybes, įvertino pareiškėjo veiksmus tvarkant D. V. asmens duomenis kaip nepakankamus vykdant duomenų valdytojui numatytą pareigą įgyvendinti tinkamas technines ir organizacines priemones, skirtas apsaugoti asmens duomenims nuo bet kokio neteisėto tvarkymo.

3.3. Pareiškėjo, kaip duomenų valdytojo, pareiga yra įrodyti, jog duomenys tvarkomi laikantis BDAR reikalavimų. Duomenų valdytojas galėtų vadovautis ADTAĮ 5 straipsnio 1 dalies 1 punkto ir 2 punkto nuostatomis tik tuo atveju, kai yra išreikšta duomenų subjekto valia, sutikimas, prašymas, o ne pats duomenų valdytojas savo iniciatyva imasi veiksmų. Šiuo atveju, priešingai nei teigia pareiškėjas, Inspekcija neturėjo papildomai tirti informacijos dėl duomenų tvarkymo ir, ar tokie duomenys tvarkomi duomenų subjekto sutikimu. D. V. tiek pareiškėją, tiek Inspekciją informavo, kad paraiškos neteikė ir savo asmens tapatybės duomenų niekam neatskleidė.

3.4. D. V. netenkino pareiškėjo pateiktas atsakymas, kadangi pareiškėjas neįvardijo asmens, pateikusio jos asmens duomenis pareiškėjui. Inspekcija Sprendime nurodė, kaip pasireiškė BDAR 15 straipsnio 1 dalies g punkto pažeidimas. Inspekcija neturėjo atskirai pasisakyti kas laikytina „šaltiniu“ BDAR 15 straipsnio 1 dalies g punkto prasme. Pareiškėjas klaidingai vertina ir supranta BDAR nuostatų reikalavimus, teigdamas, jog Inspekcija nepasisakė, kodėl V. M., kurio asmens duomenys taip pat tvarkomi BDAR nustatyta tvarka, atžvilgiu neturėjo būti taikoma asmens duomenų apsauga, neatskleidė D. V. duomenų ir V. M. asmens duomenų apsaugos sąveikos. Sprendime ji neturėjo pasisakyti dėl V. M. atžvilgiu taikomų asmens duomenų apsaugos reikalavimų, nes tai nėra šio skundo dalykas. Taip pat BDAR nustatomos taisyklės, susijusios su fizinių asmenų apsauga tvarkant jų asmens duomenis, ir taisyklės, susijusios su laisvu asmens duomenų judėjimu. Asmens duomenų tvarkymas laikomas teisėtu tik laikantis BDAR 5 straipsnyje nustatytų su asmens duomenų tvarkymu susijusių principų bei esant bent vienai iš BDAR 6 straipsnio 1 dalyje nustatytų asmens duomenų tvarkymo sąlygai. Dėl šių priežasčių Inspekcija D. V. skundo dalį dėl pareiškėjo atsisakymo pateikti duomenis apie jos asmens duomenis teikusį asmenį pripažino pagrįstu ir skyrė papeikimą.

3.5. BDAR nuostatos nedraudžia tvarkyti fizinio asmens duomenis siekiant įgyvendinti duomenų subjekto prašymą, jeigu tam yra teisėtas pagrindas. Cituojant BDAR preambulės 63 punktą, duomenų subjektui turi būti sudaroma teisė susipažinti su apie jį surinktais asmens duomenimis ir suteikiama galimybė ta teise lengvai ir pagrįstais laiko tarpais pasinaudoti. Ši teisė neturėtų turėti neigiamo poveikio kitų asmenų teisėms ar laisvėms bei lemti tai, kad duomenų subjektui būtų atsisakyta suteikti visą reikiamą informaciją. D. V. nesikreipė į pareiškėją su abstrakčiu prašymu įgyvendinti duomenų subjekto teisę susipažinti su duomenimis, tačiau ji kreipėsi į pareiškėją su konkrečiu prašymu iš kokio šaltinio buvo gauti jos asmens duomenys. Todėl Inspekcija konkrečiai vertino D. V. pretenzijos turinį ir tai ko ji klausė. Iš pareiškėjo D. V. pateiktos informacijos Inspekcija negalėjo įvertinti ir patikrinti jos asmens duomenų tvarkymo teisėtumo. Vadovaudamasi BDAR 58 straipsnio 2 dalies b punktu ir išnagrinėjusi D. V. skundo dalį dėl pareiškėjo atsisakymo pateikti duomenis apie jos asmens duomenis teikusį asmenį pripažino pagrįstu ir skyrė papeikimą. Atsakovo nuomone, pareiškėjui skirta poveikio priemonė yra proporcinga ir adekvati, kadangi duomenų subjekto teisė susipažinti su duomenimis nėra nauja duomenų subjekto teisė; ši duomenų subjekto teisė yra pagrindinė, nes susipažinus su savo asmens duomenimis duomenų subjektas gali patikrinti savo asmens duomenų tvarkymo teisėtumą, o taip pat iš šios teisės kyla galimybė duomenų subjektui įgyvendinti kitas duomenų subjekto teises.

II. 4. Vilniaus apygardos administracinis teismas 2021 m. kovo 31 d. sprendimu pareiškėjo skundą atmetė.

5. Teismas pažymėjo, kad nagrinėjamoje byloje ginčas kilo dėl Inspekcijos 2020 m. birželio 5 d. sprendimo Nr. 3R-481(2.13-1.) „Dėl D. V. 2018 m. birželio 21 d. skundo“ 2 ir 3 punktų teisėtumo ir pagrįstumo.

6. Teismas nustatė, kad:

6.1. ESO 2018 m. gegužės 23 d. elektroninio pašto adresu (duomenys neskelbtini)@gmail.com atsiuntė D. V. pranešimą, kad prisijungimo prie dujų skirstomųjų tinklų paraiška yra patvirtinta. ESO 2018 m. gegužės 24 d. į tą patį elektroninio pašto adresą atsiuntė D. V. pranešimą, kad yra parengta paslaugos sutartis ir, kad prisijungimo prie dujų skirstomųjų tinklų darbai bus pradėti, kai bus pasirašyta paslaugos sutartis ir sumokėtas paslaugos mokestis. D. V. Inspekciją informavo, kad ji 2018 m. gegužės 30 d. raštu kreipėsi su pretenzija į ESO informuodama, jog jos vardu patvirtinta paraiška, tačiau ji tokios paraiškos neteikė ir savo asmens tapatybės duomenų niekam neatskleidė. D. V. 2018 m. gegužės 30 d. ESO prašė pateikti informaciją kaip buvo identifikuota jos asmens tapatybė priimant paraišką; kokie, kokiu būdu, iš kokio šaltinio buvo gauti jos asmens duomenys. Atsakydama D. V. į jos pretenziją ESO 2018 m. birželio 7 d. raštu Nr. 3021 nurodė, kad 2018 m. gegužės mėn. buvo organizuojamas gyvenamųjų namų, esančių (duomenys neskelbtini), kvartalo dujofikavimas. Kvartalo organizatorius surinko minėtos gatvės gyventojų, norinčių įsivesti gamtines dujas, kontaktus ir 2018 m. gegužės 22 d. informaciją pateikė Bendrovės atsakingam darbuotojui. Pagal pateiktus duomenis buvo užregistruotos naujų buitinių vartotojų dujų sistemos prijungimo prie ESO dujų sistemos paraiškos, sudarytos naujų buitinių vartotojų sistemos prijungimo prie operatoriaus dujų sistemos paslaugos sutartys, kurios 2018 m. gegužės 24 d. buvo išsiųstos būsimiems vartotojams. Todėl atsižvelgiant į D. V. išreikštą pageidavimą, jos duomenys buvo iš sistemos pašalinti. ESO D. V. nurodė, kad informacijos apie Kvartalo organizatorių dėl asmens duomenų apsaugos reikalavimų jai pateikti negali.

6.2. ESO 2018 m. spalio 2 d. raštu Nr. 3021 Inspekcijai nurodė, kad 2018 m. gegužės mėn. organizuojant gyvenamųjų namų, esančių (duomenys neskelbtini), kvartalo dujofikavimą, V. M. surinkęs minėtos gatvės gyventojų, norinčių įsivesti gamtines dujas, duomenis, tarp kurių buvo ir D. V. duomenys, juos 2018 m. gegužės 22 d. pateikė el. paštu ESO atsakingam darbuotojui. Gavus D. V. duomenis iš V. M., D. V. vardu buvo užregistruota prijungimo prie ESO dujų sistemos paraiška ir parengta paslaugos sutartis. D. V. sutartis pasirašyti buvo išsiųsta 2018 m. gegužės 24 d. V. M. pateiktu el. pašto adresu. ESO 2018 m. birželio 4 d. gavus D. V. prašymą, 2018 m. birželio 7 d. deaktyvavo jos paraišką ir paslaugos sutartį informacinėse sistemose, o visa D. V. su aptariama paraiška ir sutartimi susijusi informacija buvo galutinai panaikinta 2018 m. birželio 21 d. ESO 2018 m. spalio 2 d. raštu Inspekcijai pažymėjo, kad nuo 2018 m. gegužės 25 d. paraiškų teikimo ir sutarčių sudarymo procesus pakeitė ir paraiškas priima pasirašytas tik pačių asmenų arba jų įgaliotų atstovų.

6.3. V. M. 2019 m. lapkričio 29 d. atsakydamas į Inspekcijos 2019 m. lapkričio 5 d. rašte Nr. 2R-5218(2.13.) pateiktus klausimus nurodė, kad D. V. yra jo sesuo, todėl jam yra žinomi jos asmens duomenys. Paaiškino, kad tarp jo ir D. V. daug metų vyksta nesutarimai. Pažymėjo, jog 2018 m. pavasarį vyko kaimynų susirinkimas dėl dujų įvedimo. Kaimynams susirinkus buvo nuspręsta kaip galima greičiau bandyti įsivesti dujas, ESO pasiūlė padėti ir suformavo kvartalo dujų įvedimo projektą visiems kvartalo gyventojams, todėl asmeniškai gyventojams buvo išsiųsti pasiūlymai, prisijungimo sąlygos ir preliminari sutartis. V. M. nurodė, kad 2018 m. gegužės 22 d., kadangi su D. V. nepavyko susisiekti telefonu, o ESO pasiūlė kaip galima operatyviau padėti dėl dujų įvedimo projekto, jis el. paštu Bendrovei pateikė tik tuos D. V. duomenis, kuriuos jie ir taip jau turėjo. Jokių kitų konfidencialių duomenų nesiuntė ESO, o taip pat ir kitiems asmenims.

6.4. Inspekcija, įvertinusi byloje surinktus duomenis, 2020 m. birželio 5 d. priėmė Sprendimą, kuriuo nusprendė: nutraukti D. V. skundo nagrinėjimą dalyje dėl V. M.; D. V. skundą dalyje dėl ESO veiksmų, neįgyvendinant tinkamų techninių ir organizacinių priemonių, skirtų apsaugoti asmens duomenims nuo bet kokio neteisėto tvarkymo pripažino pagrįstu; D. V. skundą dalyje dėl ESO atsakymo D. V. apie jos asmens duomenis teikusi asmenį pripažinti pagrįstu ir skirti ESO papeikimą.

6.5. Pareiškėjas skunde nurodė, kad Inspekcija nepagrįstai ir neteisėtai konstatavo, jog pareiškėjas pažeidė ADTAĮ 30 straipsnio 1 dalį, BDAR 32 straipsnio 1 dalį, nes neįrodė minėtų nuostatų pažeidimo.

7. Atsižvelgdamas į išdėstytas faktines aplinkybes teismas priėjo prie išvados, jog pareiškėjas neįgyvendino tinkamų priemonių, siekiant užtikrinti tinkamą asmens duomenų apsaugą, t. y. gavęs iš V. M. D. V. asmens duomenis pareiškėjas neįsitikino, kad juos pateikė D. V. ar jos įgaliotas atstovas. Dar daugiau, gavęs šiuos duomenis, D. V. vardu užregistravo prijungimo prie dujų sistemos paraišką ir parengė paslaugos sutartį trečiojo suinteresuoto asmens D. V. vardu. Inspekcija tyrimo metu nustatė, kad D. V. asmens duomenys buvo tvarkomi iki 2018 m. birželio 7 d., t. y. iki kol buvo deaktyvuota paraiška ir sutartis, todėl Inspekcija pagrįstai padarė išvadą, jog pareiškėjas, tvarkydamas D. V. asmens duomenis, neįgyvendino tinkamų techninių ir organizacinių priemonių, skirtų apsaugoti asmens duomenims nuo bet kokio neteisėto tvarkymo, tokiu būdu pažeisdamas ADTAĮ 30 straipsnio 1 dalį, BDAR 32 straipsnio 1 dalį.

8. Teismas vadovavosi ADTAĮ 5 straipsnio 1 dalies 2 punktu, 5 straipsnio 2 dalimi, 7 straipsnio 1 dalimi, 24 straipsnio 1 dalimi, 30 straipsnio 1 dalimi. Iš išdėstyto reguliavimo teismas priėjo prie išvados, jog pareiškėjui, kaip duomenų valdytojui, įstatymuose numatyta pareiga įrodyti, kad duomenys tvarkomi laikantis BDAR reikalavimų. Kaip teisingai savo atsiliepime nurodė Inspekcija, ji neturėjo papildomai tirti informacijos, kadangi D. V. tiek pareiškėją, tiek Inspekciją informavo, kad paraiškos neteikė ir savo asmens tapatybės duomenų niekam neatskleidė. Taip pat V. M. pats patvirtino, jog asmens duomenis pareiškėjui pateikė būtent jis, todėl pareiškėjo skundo argumentai, kad ji esą manė, jog buvo gautas D. V. sutikimas dėl jos asmens duomenų tvarkymo, prieš tai šiomis aplinkybėmis neįsitikinus, yra nepagrįsti.

9. Teismas, pasisakydamas dėl pareiškėjo teiginių, kad Inspekcija nepagrįstai pripažino, jog jis netinkamai įgyvendino BDAR 15 straipsnio 1 dalies g punkto nuostatas, pažymėjo, kad informavimas ir teisė susipažinti su asmens duomenimis nustatyta BDAR 13–15 straipsniuose. Inspekcija ginčijamame Sprendime aiškiai ir tiksliai nurodė, kaip pasireiškė BDAR 15 straipsnio 1 dalies g punkto pažeidimas, t. y. jog ESO, nepateikdama duomenų trečiajam suinteresuotam asmeniui apie tai iš kur gavo D. V. asmens duomenis, netinkamai įgyvendino minėtos nuostatos reikalavimus. Teismas pažymėjo, kad Inspekcija, išnagrinėjusi D. V. skundą, neturėjo pasisakyti dėl V. M. atžvilgiu taikomų asmens duomenų apsaugos reikalavimų, kadangi tai nebuvo skundo nagrinėjimo dalyku. Teismas pabrėžė, kad BDAR nuostatos nedraudžia tvarkyti fizinio asmens duomenų siekiant įgyvendinti duomenų subjekto prašymą, jeigu tam yra teisėtas pagrindas, o toks teisės pagrindas šiuo konkrečiu atveju buvo. Pareiškėjas visiškai nepagrįstai atsisakė įgyvendinti trečiojo suinteresuoto asmens, kaip duomenų subjekto, teisę susipažinti su duomenimis ir nurodyti kas teikė D. V. asmens duomenis, nors tokią pareigą pareiškėjas turėjo.

10. Teismas nurodė, kad pagal Valstybinės duomenų apsaugos inspekcijos nuostatų, patvirtintų Lietuvos Respublikos Vyriausybės 2001 m. rugsėjo 25 d. nutarimu Nr. 1156, 12.3 punktą, Inspekcija teikia konsultacijas duomenų subjektams, duomenų valdytojams, taip pat rengia metodines rekomendacijas dėl asmens duomenų apsaugos ir asmens duomenų tvarkymo, tačiau, teismo vertinimu, metodinės medžiagos nepateikimas negali būti priežastis nesilaikyti BDAR nuostatų reikalavimų. Teismas pažymėjo, kad BDAR įsigaliojo 2016 m., prieš pradedant taikyti BDAR duomenų subjektų teisės buvo įgyvendinamos vadovaujantis ADTAĮ (redakcija, galiojusi iki 2018 m. liepos 15 d.) V skirsnio nuostatomis pagal tuo metu galiojusios ADTAĮ redakcijos 25 straipsnio 1 dalį, duomenų subjektas turėjo gauti informaciją, iš kokių šaltinių ir kokie jo asmens duomenys surinkti, kokiu tikslu jie tvarkomi, kokiems duomenų gavėjams teikiami ir buvo teikti bent per paskutinius vienus metus, todėl duomenų valdytojas ir iki BDAR įsigaliojimo turėjo pareigą pagal duomenų subjekto prašymą pateikti jam visus apie jį turimus duomenis. Teismas akcentavo, kad BDAR 15 straipsnio 1 dalyje konkrečiai nurodyta, kokia informacija turi būti pateikta, todėl Inspekcijos vertinimo nežinojimas nėra pakankamas argumentas teigti, jog skundžiamo Sprendimo atitinkami punktai yra neteisėti ir nepagrįsti. Net jeigu pareiškėjui ir nebuvo aiškus minėtos nuostatos turinys ir jos taikymo galimybės šiuo konkrečiu atveju, jis turėjo galimybę pasikreipti į Inspekciją dėl konsultacijos suteikimo, tačiau teismas tokių duomenų neturi. Teismas tuo pačiu atkreipė dėmesį, jog D. V. į pareiškėją kreipėsi konkrečiu prašymu, siekiant sužinoti iš kokio šaltinio buvo gauti jos asmens duomenys, todėl Inspekcija konkrečiai vertino D. V. pretenzijos turinį. Iš pareiškėjo pateiktos abstrakčios informacijos, kad jos asmens duomenys pateikė Kvartalo organizatorius, ji negalėjo įvertinti ir patikrinti asmens duomenų tvarkymo teisėtumo. Atsisakydamas suteikti detalius duomenis apie asmenį, kuris pateikė pareiškėjui D. V. duomenis, pareiškėjas nenurodė nei pagrindo, nei kuo remiantis buvo atsisakyta tai padaryti.

11. Teismas nurodė, kad atsakovas teisingai savo atsiliepime pažymėjo, jog atsižvelgiant į tai, kad įsigaliojus BDAR Inspekcijoje buvo gaunamas didelis skaičius skundų, atliekami duomenų valdytojų tikrinimai ir buvo vykdomos kitos funkcijos, numatytos BDAR, Inspekcija negalėjo per Įstatyme nustatytą terminą išnagrinėti skundo, tačiau apie tai, kad skundo nagrinėjimas pratęsiamas, buvo informuojama Inspekcijos raštais. Teismas nesutiko su pareiškėjo skundo argumentu, kad paskirta poveikio priemonė yra neproporcinga, teismo vertinimu, ji yra ne tik proporcinga, bet ir adekvati pareiškėjo atžvilgiu, nes subjekto teisė susipažinti su duomenimis nėra naujai įtvirtinta teisė, kurios iki BDAR įsigaliojimo apskritai nebuvo. Tokia asmens duomenų subjekto teisė, kaip teisingai pabrėžė ir Inspekcija, buvo numatyta dar iki BDAR įsigaliojimo. Ši teisė yra pagrindinė, nes susipažinus su savo asmens duomenimis duomenų subjektas gali patikrinti savo asmens duomenų tvarkymo teisėtumą, o taip pat iš šios teisės kyla galimybė duomenų subjektui įgyvendinti kitas duomenų subjekto teises.

12. Teismas, įvertinęs ginčijamo Sprendimo turinį, nustatė, kad jame aiškiai ir tiksliai nurodomas sprendimo priėmimo faktinis ir teisinis pagrindai. Iš ginčijamo Sprendimo turinio suprantama kokiais motyvais remiantis buvo priimtas būtent tokio pobūdžio sprendimas (VAĮ 8 str. 1 d.). Teismas konstatavo, kad Inspekcija tinkamai nustatė ir įvertino ginčo faktines aplinkybes, visapusiškai ir objektyviai jas ištyrė, teisingai pritaikė ginčo santykius reguliuojančias teisės normas bei priėmė pagrįstą ir teisėtą sprendimą, kurio keisti arba panaikinti pareiškėjo skunde nurodomais argumentais ar kitais motyvais nėra pagrindo. Pareiškėjo skundą atmetus, bylinėjimosi išlaidos nepriteistos (ABTĮ 40 str. 1 d.).

III. 13. Pareiškėjas apeliaciniame skunde prašo panaikinti Vilniaus apygardos administracinio teismo 2021 m. kovo 31 d. sprendimą ir priimti naują sprendimą – panaikinti Inspekcijos Sprendimo 2 ir 3 punktus; priteisti pareiškėjui iš atsakovo žyminį mokestį. Apeliacinis skundas grindžiamas šiais argumentais:

13.1. Pirmosios instancijos teismo sprendimas priimtas tinkamai neatskleidus bylos esmės, išsamiai, visapusiškai ir objektyviai neištyrus ir neįvertinus esminių faktinių bylos aplinkybių, nenustačius skundžiamo akto priėmimui būtinų sąlygų, netinkamai pritaikius materialiosios teisės normas, nepašalinus byloje esančių prieštaravimų bei abejonių.

13.2. Teismo tikslas nagrinėjant bylą – teisėtas ir pagrįstas procesinis sprendimas, todėl teismas privalo išnaudoti visas įstatymų jam suteiktas teises ir pareigas, kad minėtas tikslas būtų pasiektas (ABTĮ 86 str.). Teismas tiesiog pakartojo Inspekcijos atsiliepime į pareiškėjo skundą išdėstytus teiginius, motyvuotai nepaneigė ir apskritai ignoravo pareiškėjo į bylą pateiktus įrodymus, rašytinius bei žodinius paaiškinimus, todėl šis teisingumo vykdymo aktas negali būti laikomas pagrįstu bei teisėtu, todėl naikintinas ABTĮ 91 straipsnio 1 dalies 1 ir 3 punktuose įtvirtintais pagrindais. Tokia situacija gali būti prilyginama atvejui, kai teismo sprendimas yra be motyvų.

13.3. Inspekcija veikė kaip viešojo administravimo institucija, todėl jos priimtas individualus administracinis aktas, kuriuo skirta reali poveikio priemonė – papeikimas už tariamą BDAR 15 straipsnio 1 dalies g punkto pažeidimą, turėjo atitikti tokių subjektų sprendimams keliamus reikalavimus, be kita ko, išdėstytus VAĮ 3 straipsnio 1 punkte, 8 straipsnyje. Skundžiamas aktas, o tuo pačiu ir pirmosios instancijos teismo sprendimas savo turiniu prieštarauja aukštesnės galios teisės aktams (ABTĮ 91 str. 1 d. 1 p.), kadangi pareiškėjui pritaikyta teisinė atsakomybė nesant nedviprasmiškai suformuluoto galimo pažeidimo esmės, turinio požiūriu nepagrindus teisinio pagrindo, nenurodžius faktinių aplinkybių ir išsamios jų teisinės kvalifikacijos, nepagrindus tikslų, į kuriuos atsižvelgiant siekta poveikio priemonės pritaikymo, bet ne preventyvaus konsultavimo (VAĮ 363 str., šiuo metu galiojančios ADTAĮ redakcijos 11 str. 2 d. 1 p.). Skundžiamo akto „motyvavimas“ akivaizdžiai neatitinka ADTAĮ 31 straipsnio 1 dalyje įtvirtintų reikalavimų. Tiek Inspekcija, tiek teismas šių įrodinėjimo taisyklių nesilaikė, o skundžiamą aktą bei skundžiamą sprendimą priėmė nesant įrodyto teisės pažeidimo fakto bei sudėties. Atsakovo atsiliepime į skundą nurodytos aplinkybės bei argumentai, kuriais buvo papildyta skundžiamo akto motyvacija, negali ištaisyti esamų individualaus administracinio akto trūkumų.

13.4. Pareiškėjo nuomone, informacijos duomenų subjektui teikimo apimtį, kai asmens duomenys buvo gauti ne iš duomenų subjekto, apibrėžia BDAR 14 straipsnis, bet ne atsakovo taikytas 15 straipsnis. BDAR 14 straipsnio 2 dalies f punkte nustatyta, kad be 1 dalyje nurodytos informacijos, duomenų valdytojas pateikia duomenų subjektui toliau nurodytą papildomą informaciją <...> koks yra asmens duomenų kilmės šaltinis, ir, jei taikoma, ar duomenys gauti iš viešai prieinamų šaltinių. Pareiškėjas tinkamai atskleidė suinteresuoto asmens duomenų kilmės šaltinį, paaiškindamas, kad duomenų šaltinis yra fizinis asmuo, todėl tiesiogiai įvardyti jo tapatybę (vardą, pavardę) draudžia duomenų apsaugą reguliuojantys teisės aktai. Inspekcija, išsiaiškinusi ESO ir suinteresuoto asmens nesutarimo esmę, nepagrįstai nepasinaudojo BDAR 58 straipsnio 2 dalies c punkte įtvirtintais įgaliojimais nurodyti duomenų valdytojui arba duomenų tvarkytojui patenkinti duomenų subjekto prašymus pasinaudoti savo teisėmis pagal šį reglamentą, tokiu būdu adekvačiai ir visiškai pašalinant suinteresuoto asmens teisių galimą suvaržymą. Teismas nepateikė net glaustų argumentų, kodėl atmeta pareiškėjo argumentus, jog pareiškėjas įvykdė BDAR reikalavimus, kadangi įvardijo D. V. duomenų kilmės šaltinį – Kvartalo dujofikavimo organizatorių. Šis atsargumu ir rūpestingumu grįstas elgesys leido užtikrinti abiejų fizinių asmenų konkuruojančius interesus, išlaikyti jų deramą pusiausvyrą. Atsakovo teiginiai, kad V. M. asmens duomenų teisinės apsaugos užtikrinimas neva nėra ginčo dalykas, vertintini itin kritiškai. Išreikšdamas šią poziciją atsakovas vienareikšmiškai atsisakė vykdyti savo kompetenciją jam priskirtoje viešojo administravimo srityje. Esminė aplinkybė, kodėl ESO suinteresuotam asmeniui atskleidė tik duomenų šaltinį, tačiau neidentifikavo tikslių tokio šaltinio asmens tapatybės duomenų, buvo siekis nepažeisti kito duomenų subjekto teisių.

13.5. Vienas pamatinių administracinės teisės principų yra tas, kad teisės pažeidimą tirianti institucija turi būti visiškai įsitikinusi tuo, kad subjektas pažeidimą padarė. Esant bet kokioms abejonėms dėl tam tikrų aplinkybių egzistavimo, jos privalo būti aiškinamos atsakomybėn traukiamo asmens naudai. Į ESO atsakovas kreipėsi tik su prašymu pateikti informaciją bei atsakyti į atitinkamus klausimus, tačiau jokia forma nesudarė pagrindo manyti, kad yra atliekamas BDAR ir / ar ADTAĮ pažeidimo tyrimas, kuriame pareiškėjui suteiktas skundžiamos įmonės statusas. Pareiškėjas nuosekliai bendradarbiavo ir pateikė Inspekcijai visą šios prašomą informaciją, tuo metu Inspekcija ne tik nenurodė ESO pateikti suinteresuotam asmeniui šios prašytą informaciją, neinformavo ESO apie tai, kad būtent jos, kaip atsakomybėn trauktino asmens, atžvilgiu yra pradėta administracinė procedūra, bet dar ir vilkino skundžiamo akto priėmimą.

13.6. Nemotyvuotas, VAĮ 3, 8 straipsnių įtvirtintų individualiam administraciniam aktui keliamų reikalavimų neatitinkantis Sprendimas yra ir toje dalyje, kuria Inspekcija pripažino pagrįstu suinteresuoto asmens skundą dėl ESO veiksmų neįgyvendinant tinkamų techninių ir organizacinių priemonių, skirtų apsaugoti asmens duomenis nuo bet kokio neteisėto tvarkymo. Šią klaidingą prielaidą atsakovas iš karto paneigė Sprendime pripažindamas, jog ESO įgyvendino reikalingas priemones ir asmens duomenys tvarkomi tinkamai. Vadinasi, skundžiamo akto priėmimo metu suinteresuoto asmens skundas atsakovui negalėjo būti laikomas pagrįstu. Atsakovas patvirtino, kad 2018 m. gegužės 25 d. padariusi atitinkamus pakeitimus, susietus su BDAR įsigaliojimu, ESO užtikrino tinkamų techninių ir organizacinių priemonių įgyvendinimą. Tiek iki BDAR įsigaliojimo, tiek dabar vidaus teisės aktuose yra numatęs konkrečius veiksmus ir procedūras, leidžiančias užtikrinti asmens duomenų tinkamą apsaugą. Teismui buvo pateikti rašytiniai įrodymai, patvirtinantys, kad ADTAĮ 30 straipsnio 1 dalyje minimos organizacinės ir techninės priemonės buvo pilnai įdiegtos. ESO veiksmų tariamo neteisėtumo praeityje konstatavimas, kai skundžiamo akto rezoliucinėje dalyje nenustatomi jokie patvarkymai dėl materialinių teisinių santykių bei nedaromas jiems teisinis poveikis (atsakovas motyvuose pabrėžė, kad nurodymas ESO nebus duodamas, nes nuo 2018 m. gegužės 25 d. jis pakeitė paraiškų teikimo ir sutarčių sudarymo procesus <...>; tokiu būdu užtikrino, kad asmens duomenys būtų tvarkomi tinkamai), yra ydingas, aiškiai prieštaraujantis ADTAĮ 31 straipsnio 2 daliai. ADTAĮ 31 straipsnis nesuteikia atsakovui teisės skundžiamo asmens atžvilgiu priimti vien konstatuojamojo pobūdžio administracinių sprendimų (neleidžia veikti atsakovo pasirinktu būdu), kas sudaro pagrindą naikinti Sprendimo 2 punktą.

13.7. Tyrimo metu suinteresuotas asmuo nurodė atsakovui, jog pareiškėjui pateikti jo asmens duomenys iš ESO sistemos yra pašalinti, prašė nubausti ne konkrečiai ESO, tačiau siekė sužinoti su jo duomenimis negarbingai pasielgusio (taigi – duomenis ESO pateikusio) subjekto tapatybę. Nepaisant pagrindinio suinteresuoto asmens tikslo, dėl kurio D. V. kreipėsi į Inspekciją, atsakovas, pažeisdamas gerojo viešojo administravimo principą, veikė formaliai, nenustatė visų skundžiamam aktui priimti reikšmingų aplinkybių, jų visapusiškai ir objektyviai neištyrė, o papeikimą paskyrė, savo veiklai taikydama žemesnį elgesio standartą, lyginant su reikalavimais, kuriuos kėlė pareiškėjui, dėjusiam maksimalias pastangas, kad būtų užtikrinta teisinga ir subalansuota visų duomenų subjektų teisių apsauga. Atitinkamai aktyvus nebuvo ir teismas, kuris, be kita ko, 2021 m. kovo 16 d. teismo posėdžio metu paaiškėjus naujoms aplinkybėms, nesiėmė pakankamų priemonių visoms reikšmingoms aplinkybėms nustatyti bei neaiškumams pašalinti. 2021 m. kovo 16 d. teismo posėdyje paaiškėjo, kad V. M. yra suinteresuoto asmens brolis, tarp jų esama ilgalaikių nesutarimų. Kita vertus, suinteresuotas asmuo, duodama žodinius paaiškinimus, suabejojo Inspekcijos nustatyta aplinkybe, kad būtent V. M. atliko duomenų perdavimo veiksmus ir pats surašė tariamą prisipažinimą, nes, pasak suinteresuoto asmens, V. M. kompiuterinis raštingumas yra žemas. Be to, suinteresuoto asmens teigimu, egzistuoja asmenų grupė, kuri ilgą laiką prieš ją veikia, daro neteisėtą spaudimą viešai prisidengdama brolio vardu. Nepaisant to, teismas į šiuos paaiškinimus niekaip nereagavo ir nedėjo jokių pastangų šioms aplinkybėms detaliau nustatyti, ribojo pareiškėjo galimybes užduoti suinteresuotam asmeniui papildomus klausimus šioms naujoms aplinkybėms detaliau išsiaiškinti. Išvadą apie V. M. vaidmenį ginčo situacijoje atsakovas grindė 2019 m. lapkričio 29 d. elektroniniu laišku. Nors laiškas yra išsiųstas iš pašto paskyros (duomenys neskelbtini)@gmail.com, tačiau po tekstu nėra užrašyta jį rengusio asmens vardas, pavardė, juo labiau, nėra elektroninių žymenų, vienareikšmiškai susiejančių su V. M. Svarbu, jog teismo posėdyje V. M. nedalyvavo ir 2019 m. lapkričio 29 d. elektroninio laiško autorystės nepatvirtino.

13.8. ADTAĮ 24 straipsnio 4 dalies 7 punkte įtvirtinta, kad skunde nurodoma pareiškėjo ar jo atstovo, jeigu jis yra, parašas; skundas, kuris pateikiamas elektroninėmis priemonėmis, turi būti pasirašytas pareiškėjo ar jo atstovo, jeigu jis yra, kvalifikuotu elektroniniu parašu arba suformuotas elektroninėmis priemonėmis, kurios leidžia užtikrinti teksto vientisumą ir nepakeičiamumą. Analogiškas reikalavimas tapatybės identifikavimui, ESO įsitikinimu, turėtų būti taikomas ir kitų asmenų, dalyvaujančių Inspekcijos atliekamame tyrime, teikiamiems dokumentams (elektroniniams bei fiziniams). Šiuo atveju Inspekcija, būdama tiesiogiai paskirta dalyvauti formuojant valstybės politiką asmens duomenų apsaugos valdymo srityje ir ją įgyvendinti, nesiėmė net minimalių, visuomeniniuose santykiuose jau įprastomis tapusių priemonių, administracinės procedūros metu surinktų dokumentų / duomenų tikrumui garantuoti. Nagrinėdama jai pateiktą skundą, Inspekcija turi pareigą patikrinti jai pateiktame skunde nurodytų aplinkybių pagrįstumą ir realumą, naudodamasi jai teisės aktais suteiktomis priemonėmis bei instrumentais įrodymų surinkimui, aplinkybių nustatymui ir užfiksavimui. Nors procese pareiškėjas iškėlė visumą svarių abejonių, teismas, kaip ir Inspekcija, formaliai pasirėmė D. V. paaiškinimais, netikrino nei D. V., nei V. M. vardu elektroniniu laišku atsiųstos informacijos patikimumo bei įrodomosios reikšmės, beatodairiškai palaikydamas atsakovo versiją.

13.9. Teismas nebuvo aktyvus, nenustatė visų bylai reikšmingų aplinkybių (ABTĮ 86 str. 2 d.), jų visapusiškai ir objektyviai neištyrė, kaip to reikalauja ABTĮ 80 straipsnis, pažeidė ABTĮ 56 straipsnyje įtvirtintas įrodymų vertinimo taisykles, t. y. netinkamai pritaikė proceso teisės normas ir dėl šios klaidos netinkamai pritaikė materialiosios teisės normas.

13.10. Inspekcija padarė šiurkštų procedūrinių taisyklių pažeidimą, praleido įspėjamojo bei prevencinio pobūdžio priemonių, išvardytų BDAR 58 straipsnio 2 dalyje, taikymo senatį, kas sudaro savarankišką pagrindą panaikinti skundžiamą aktą (ABTĮ 91 str. 1 d. 3 p.). Bylos medžiaga rodo, kad suinteresuoto asmens skundą atsakovas gavo ir savo dokumentų valdymo sistemoje užregistravo 2018 m. birželio 25 d., tačiau skundžiamą aktą dėl jo priėmė tik 2020 m. birželio 5 d., t. y. net keturis kartus viršydamas ADTAĮ 30 straipsnio 2 dalyje įtvirtintą maksimalų 6 mėnesių skundo išnagrinėjimo terminą. Vadovaujantis suinteresuoto asmens skundo pateikimo momentu galiojusio ADTAĮ 49 straipsnio nuostatomis, skundas turėjo būti ištirtas, o suinteresuotam asmeniui atsakyta per dar trumpesnius terminus, t. y. 2 mėnesius nuo skundo gavimo dienos, o visas skundo tyrimo terminas negalėjo būti ilgesnis negu 4 mėnesiai. Apie skundo priėmimą nagrinėti suinteresuotas asmuo turėjo būti informuotas per 3 darbo dienas. Bylos duomenimis nustatyta, kad pirmą kartą atsakovas į ESO kreipėsi tik po 3 mėnesių nuo suinteresuoto asmens skundo gavimo, taigi – jau pažeidus nustatytą skundo išnagrinėjimo terminą. Ginčas savo esme, kaip ir suinteresuoto asmens tikslas nustatyti jo asmens duomenis ESO pateikusio pažeidėjo tapatybę, nebuvo sudėtingi ir daug laiko bei pastangų reikalaujantys klausimai.

13.11. Vadovaujantis ADTAĮ 30 straipsnio 2 dalimi, skundo ar jo dalies nagrinėjimo terminas gali būti pratęstas, tačiau tik dėl nagrinėjimo metu paaiškėjusių aplinkybių sudėtingumo, informacijos apimties, skundžiamo asmens ir kitų juridinių ar fizinių asmenų vengimo vykdyti priežiūros institucijos reikalavimus, skundžiamų veiksmų tęstinio pobūdžio arba kitų objektyvių priežasčių. Kartu su atsiliepimu į pareiškėjo skundą ar vėliau atsakovas nepateikė nei vieno tarpinio administracinio akto dėl pagrindinio skundo nagrinėjimo termino (atitinkamai 4 ir 2 mėnesiai) pratęsimo 2 mėnesiams arba bet kuriam kitam apibrėžtam laikui, todėl visiškai nepagrįstas ir neteisingas teismo motyvas, kad terminas neva buvo tinkamai pratęsiamas. Be to, pagal bendrąją taisyklę galima pratęsti dar nepasibaigusius terminus, o, kai terminas jau yra pasibaigęs, jo pratęsimo galimybė išnyksta.

13.12. ESO skunde, rašytiniuose paaiškinimuose bei teismo posėdžio metu akcentavo, jog iš 2018 m. birželio 21 d. skundo nagrinėjimo medžiagos matyti, kad pateikti paaiškinimus dėl skundo pareiškėjas buvo paprašytas atsakovo 2018 m. rugsėjo 25 d. raštu, į kurį ESO atsakė 2018 m. spalio 2 d.; į atsakovo 2019 m. spalio 23 d. raštą pareiškėjas atsakė 2019 m. spalio 31 d.; į V. M. atsakovas kreipėsi 2019 m. lapkričio 5 d. ir jau 2019 m. lapkričio 29 d. gavo iš V. M. el. pašto atsiųstą elektroninį laišką dėl suinteresuoto asmens nusiskundimų. Išanalizavus pirmiau aptartas faktines aplinkybes, darytina išvada, kad nuo 2018 m. birželio 25 d. iki 2018 m. rugsėjo 25 d. (3 mėnesiai), nuo 2018 m. spalio 2 d. iki 2019 m. spalio 13 d. (net 1 metai) ir nuo 2019 m. lapkričio 29 d. iki 2020 m. birželio 5 d. (6 mėnesiai) atsakovas nevykdė jokių aktyvių tyrimo veiksmų, o elementaraus rašto ESO atsiuntimas prašant pateikti V. M. duomenis, užtrukęs netgi vienerius metus laiko, neabejotinai neužėmė tiek laiko bei resursų, kad suprantamai paaiškintų tokias ilgas viešojo administravimo subjekto darbo pertraukas. Byloje nėra jokių įrodymų prielaidai, kad pareiškėjas ir / ar V. M. veikė priešingai greitam skundo išnagrinėjimui, skundo dalykas buvo susijęs su didelės apimties medžiagos rinkimu bei vertinimu ar sudėtingų / naujų teisės klausimų aiškinimu.

13.13. Inspekcija privalėjo tinkamai pasirengti BDAR įsigaliojimui, užtikrinti efektyvų žmogiškųjų (įskaitant dalykines kompetencijas) ir techninių resursų paskirstymą. Tinkamas, atsakingas valdymas yra neatsiejamas nuo gero administravimo reikalavimų. Atsakingo valdymo (gero administravimo) principas, be kita ko, įtvirtina viešojo administravimo subjekto pareigą imtis aktyvių veiksmų vykdant administracinę procedūrą. Formaliai ir biurokratiškai vykdomos viešojo administravimo funkcijos nedera su gero administravimo principu. Kiekvienas viešojo administravimo subjektas, įskaitant atsakovą, spręsdamas įstatymų leidėjo pavestus uždavinius, privalo nepažeisti imperatyvių teisės aktų reikalavimų, tvarkyti savo veiklą tokiu būdu, kad jam pavesti uždaviniai būtų įgyvendinti laiku ir tinkamai, paisant teisėtumo, objektyvumo ir kitų viešojo administravimo principų.

13.14. ADTAĮ 32 straipsnio 3 dalyje nustatyta, kad sprendimas dėl administracinės baudos skyrimo gali būti priimtas, jeigu praėjo ne daugiau kaip 2 metai nuo pažeidimo padarymo dienos, o kai pažeidimas trunkamasis, – nuo jo paaiškėjimo dienos. Minėta nuostata (2 metų terminas) aiškintina kaip įtvirtinanti senaties termino skaičiavimą už aukščiausio pavojingumo laipsnio veikas, t. y. už pažeidimus, už kuriuos numatytos finansinio pobūdžio sankcijos. Taigi tokiu atveju, kai net taikant griežčiausią atsakomybę – finansinio pobūdžio sankcijas, yra nustatytas maksimalus dvejų metų ieškinio senaties terminas, kitoms poveikio priemonėms pagal BDAR 58 straipsnio 2 dalį galioja ADTAĮ 30 straipsnio 2 dalyje expressis verbis (aiškiais žodžiais) įtvirtintas maksimalus leistinas 6 mėnesių laikotarpis, kuris šiuo atveju buvo reikšmingai praleistas.

13.15. Atsižvelgiant į tai, kad tiek baudžiamajame, tiek administraciniame procese yra draudžiamas teisės ar įstatymo analogijos taikymas arba plečiamasis atsakomybę nustatančių teisės normų aiškinimas, bei įvertinus teisiškai reikšmingą aplinkybę, jog BDAR ir ADTAĮ daro aiškią takoskyrą tarp veikų, užtraukiančių administracines baudas (ADTAĮ 4 skirsnis) ir baudų neužtraukiančių (ADTAĮ 3 skirsnis), nurodymams, rekomendacijoms ar kitoms taisomosioms priemonėms pagal BDAR 58 straipsnio 2 dalį skirti galioja ADTAĮ 30 straipsnio 2 dalis expressis verbis įtvirtintas maksimalus leistinas 6 mėnesių laikotarpis. ADTAĮ 30 straipsnio 2 dalyje nustatytas 6 mėnesių terminas yra ne tik procedūrinio pobūdžio, bet ir materialusis – apibrėžiantis valstybės vykdomų persekiojimo veiksmų senatį. Senaties terminai būtent ir egzistuoja tam, kad suėjus tam tikrame įstatyme nustatytam terminui, valstybės vykdomas administracinis ar baudžiamasis persekiojimas asmens atžvilgiu būtų nutrauktas. Todėl nagrinėjamu atveju atsakovui per 6 mėnesius nuo 2018 m. birželio 25 d., t. y. iki 2018 m. gruodžio 25 d., nepriėmus sprendimo iš esmės dėl suinteresuoto asmens 2018 m. birželio 21 d. skundo pagrįstumo ir ESO veiksmų / neveikimo įvertinimo atitikties teisei požiūriu, skundžiamas aktas naikintinas dėl atsakovo padarytų grubių, už normalios administravimo rizikos ribų išeinančių klaidų, jas aiškinant atsakomybėn trauktino asmens naudai.

13.16. Pareiškėjas neturi teisės ir negina suinteresuoto asmens intereso, tačiau su konstituciniais teisinės valstybės, teisėtų lūkesčių, teisinio tikrumo ir teisinio saugumo principais nėra suderinama situacija, kai atsakymą dėl galbūt neteisėto jo asmens duomenų tvarkymo asmuo gauna po 2 metų, vietoje įstatymų leidėjo nustatyto 4, o išskirtiniais, specifiniais atvejais, 6 mėnesių termino (ADTAĮ 30 str. 2 d.). Šiuo atveju tarp suinteresuoto asmens prašymo nustatyti su jo asmens duomenimis nepagarbiai pasielgusį asmenį ir skundžiamo akto priėmimo yra itin didelis laiko atotrūkis, dėl kurio atsakovo pasirinkta pareiškėją disciplinuojanti priemonė (papeikimas) yra praradusi prasmę, nebegali užtikrinti savo paskirties bei teisinės atsakomybės institutui keliamų tikslų, kas suponuoja Sprendimo 2 ir 3 punktų panaikinimą.

14. Atsakovas Inspekcija atsiliepime į pareiškėjo apeliacinį skundą prašo Vilniaus apygardos administracinio teismo 2021 m. kovo 31 d. sprendimą palikti nepakeistą, o apeliacinį skundą atmesti. Atsiliepime nurodomi šie pagrindiniai argumentai:

14.1. Pareiškėjas klaidingai supranta ir vertina BDAR 14 ir 15 straipsnių nuostatas. Vadovaujantis BDAR 14 straipsnio 1 ir 2 dalimis, kai asmens duomenys yra gauti ne iš duomenų subjekto, duomenų valdytojas pateikia duomenų subjektui informaciją, nurodytą minėto straipsnio 1 ir 2 dalyse. BDAR preambulės 61 punkte nustatyta, kad informacija apie duomenų subjekto asmens duomenų tvarkymą turėtų būti jam suteikta duomenis renkant arba, kai asmens duomenys gaunami ne iš duomenų subjekto, o iš kito šaltinio, per pagrįstą laikotarpį, priklausomai nuo konkretaus atvejo aplinkybių. Ši duomenų subjekto teisė yra įgyvendinama paties duomenų valdytojo iniciatyva, dėl jos įgyvendinimo duomenų subjektas neturi atskirai kreiptis į duomenų valdytoją.

14.2. BDAR preambulės 63 punkte nustatyta, kad duomenų subjektas turėtų turėti teisę susipažinti su apie jį surinktais asmens duomenimis ir galimybę ta teise lengvai ir pagrįstais laiko tarpais pasinaudoti, kad žinotų apie duomenų tvarkymą ir galėtų patikrinti jo teisėtumą. BDAR 15 straipsnyje reglamentuota duomenų subjekto teisė susipažinti su duomenimis. Teismas, nesutikdamas su pareiškėjo skunde išdėstytais argumentais, sprendime pagrįstai įvertino, kad Inspekcija ginčijamame sprendime aiškiai ir tiksliai nurodė, kaip pasireiškė BDAR 15 straipsnio 1 dalies g punkto pažeidimas, t. y., jog pareiškėjas, nepateikdamas duomenų D. V. apie tai iš kur gavo jos asmens duomenis, netinkamai įgyvendino minėtos nuostatos reikalavimus. Teismas pagrįstai konstatavo, kad D. V. į pareiškėją kreipėsi su konkrečiu prašymu, siekiant sužinoti iš kokio šaltinio buvo gauti jos asmens duomenys. Atsisakydamas suteikti detalius duomenis apie asmenį, kuris pateikė pareiškėjui D. V. duomenis, pareiškėjas nenurodė nei pagrindo, nei kuo remiantis buvo atsisakyta tai padaryti.

14.3. Asmens duomenų tvarkymas laikomas teisėtu tik laikantis BDAR 5 straipsnyje nustatytų su asmens duomenų tvarkymu susijusių principų bei esant bent vienai iš BDAR 6 straipsnio 1 dalyje nustatytų asmens duomenų tvarkymo sąlygų. Pagal BDAR 5 straipsnio 2 dalį duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi šio straipsnio 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas). Taigi BDAR nuostatos nedraudžia tvarkyti (šiuo atveju atskleisti, teikti) fizinio asmens duomenų siekiant įgyvendinti duomenų subjekto prašymą, jeigu tam yra teisėtas pagrindas, o toks teisėtas pagrindas šiuo konkretaus skundo atveju buvo. Akivaizdu, jog pareiškėjas visiškai nepagrįstai atsisakė įgyvendinti D. V., kaip duomenų subjekto, teisę susipažinti su duomenimis ir nurodyti kas teikė D. V. asmens duomenis, nors tokią pareigą pareiškėjas, kaip duomenų valdytojas, turėjo.

14.4. Vadovaujantis ADTAĮ (redakcijos, galiojusios iki 2018 m. liepos 15 d.) 48 straipsniu, Inspekcija apie skundo priėmimą privalo informuoti tik asmenį pateikusį Inspekcijai skundą, todėl nagrinėjamu atveju D. V. apie tai buvo raštu informuota. Inspekcija 2018 m. rugsėjo 25 d. raštu Nr. 2R-5293(2.13.) (raštas pirmosios instancijos teismui pridėtas) kreipėsi į pareiškėją informuodama, kad nagrinėja D. V. skundą. Tame pačiame rašte Inspekcija išdėstė skundo esmę; priminė, kad vadovaujantis BDAR 5 straipsnio 2 dalimi duomenų valdytojas yra atsakingas už BDAR nuostatų laikymąsi ir turi sugebėti įrodyti, kad jo laikomasi; uždavė klausimus susijusius su skundo turiniu ir įspėjo apie atsakomybę už informacijos / dokumentų nepateikimą ir / ar tikrovės neatitinkančios informacijos pateikimą. Pakartotinai Inspekcija 2019 m. spalio 23 d. raštu Nr. 2R-4979(2.13.) kreipėsi į pareiškėją prašydama pateikti informaciją dėl V. M. Todėl pareiškėjo argumentai, kad Inspekcija neinformavo apie nagrinėjamą skundą ir nesudarė galimybės pateikti paaiškinimų, yra visiškai nepagrįsti.

14.5. Iš Inspekcijai pateikto D. V. skundo turinio ir nustatytų faktinių aplinkybių (D. V. asmens duomenis pareiškėjas gavo ne iš jos, taip pat rinkdamas D. V. asmens duomenis pareiškėjas neįsitikino, kad juos pateikė jos įgaliotas asmuo), Inspekcija įvertino pareiškėjo veiksmus tvarkant (naudojantis) D. V. asmens duomenis kaip nepakankamus vykdant duomenų valdytojui numatytą pareigą įgyvendinti tinkamas technines ir organizacines priemones, skirtas apsaugoti asmens duomenims nuo bet kokio neteisėto tvarkymo.

14.6. Aplinkybė, kad V. M. yra D. V. brolis, kad tarp jų vyksta nesutarimai, buvo žinoma. Pareiškėjas klaidingai vertina D. V. posėdžio metu išsakytus teiginius. D. V. teismo posėdžio metu tiek bylos nagrinėjimo stadijoje, tiek baigiamojoje kalboje prašė pareiškėjo skundą atmesti, pritarė / sutiko su Inspekcijos Sprendimu. D. V. posėdžio metu išsakė nuomonę, kad būtent pareiškėjas netinkamai pasielgė su jos asmens duomenimis, jos vardu užregistruodamas paraišką ir parengdamas sutartį, o taip pat nepateikdamas atsakymo, kas jos duomenis pateikė pareiškėjui. D. V. nesikreipė į Inspekciją informuodama, kad ne V. M., o kitas asmuo jos duomenis perdavė pareiškėjui. Taip pat D. V. neskundė Inspekcijos Sprendimo. ADTAĮ 24 straipsnio 4 dalies 7 punktas yra taikomas tik asmenims, kurie teikia skundus. ADTAĮ nėra reikalavimo, kad skundžiamieji asmenys / asmenys teikiantys paaiškinimus elektroniniu būdu teiktus pranešimus pasirašytų. Iš gauto pranešimo Inspekcijai nekilo abejonių, kad atsakymas pateiktas ne V. M. Be to, pareiškėjas pirmosios instancijos teismui teiktame rašytiniame skunde, tiek teismo posėdžio metu nenurodė (ir nepateikė pagrindžiančių įrodymų), kad ne V. M. pateikė el. paštu Inspekcijai atsakymą ir / ar kad ne V. M. yra el. laiško rengėjas ir siuntėjas.

14.7. Inspekcija 2019 m. sausio 15 d. raštu Nr. 2R-303(2.13.) D. V. informavo, kad Inspekcijos Priežiūros skyriuje trūksta specialistų, todėl nėra galimybės išnagrinėti jos skundo per ADTAĮ 30 straipsnio 2 dalyje nustatytus terminus. Inspekcija atsiliepime į pareiškėjo skundą ir teismo posėdžio metu paaiškino pirmosios instancijos teismui, kad atsižvelgiant į objektyviais aplinkybes, jog įsigaliojus BDAR Inspekcijoje buvo gaunamas didelis skaičius skundų, atliekami duomenų valdytojų tikrinimai ir buvo vykdomos kitos funkcijos nustatytos BDAR, Inspekcijos nuostatuose, ADTAĮ bei Inspekcijoje turimus žmogiškuosius išteklius, D. V. skundo nagrinėjimas užtruko ir nebuvo spėta išnagrinėti nustatytais terminais. Teismas sprendime įvertino Inspekcijos pateiktus paaiškinimus ir nenustatė, kad įvardintas pareiškėjo argumentas sudarytų pagrindą panaikinti Inspekcijos sprendimą. ADTAĮ 32 straipsnio 3 dalis nustato tik administracinei baudai senaties terminą. Papeikimui, kaip poveikio priemonei, nei BDAR, nei ADTAĮ nėra nustatytas senaties terminas. Vadovaujantis BDAR 58 straipsnio 2 dalies b punktu, Inspekcija dėl pareiškėjo atsisakymo pateikti duomenis skyrė papeikimą. Inspekcijos nuomone, pareiškėjui skirta poveikio priemonė yra proporcinga ir adekvati, kadangi, pirma, duomenų subjekto teisė susipažinti su duomenimis (BDAR 15 str.) nėra nauja duomenų subjekto teisė (ši teisė buvo įtvirtinta ADTAĮ 25 str.); antra, ši duomenų subjekto teisė yra pagrindinė (esminė), nes susipažinus su savo asmens duomenimis duomenų subjektas gali patikrinti savo asmens duomenų tvarkymo teisėtumą, o taip pat iš šios teisės kyla galimybė duomenų subjektui įgyvendinti kitas duomenų subjekto teises.

Teisėjų kolegija

k o n s t a t u o j a:

IV. 15. Nagrinėjamoje byloje ginčas kilo dėl Inspekcijos 2020 m. birželio 5 d. sprendimo Nr. 3R-481(2.13-1) „Dėl D. V. 2018 m. birželio 21 d. skundo“ 2 ir 3 punktų teisėtumo ir pagrįstumo.

16. Ginčijamu sprendimu Inspekcija nusprendė nutraukti D. V. skundo nagrinėjimą dalyje dėl V. M. (1 punktas); D. V. skundą dalyje dėl ESO veiksmų, neįgyvendinant tinkamų techninių ir organizacinių priemonių, skirtų apsaugoti asmens duomenims nuo bet kokio neteisėto tvarkymo pripažino pagrįstu (2 punktas); D. V. skundą dalyje dėl ESO atsakymo D. V. apie jos asmens duomenis teikusį asmenį pripažino pagrįstu (3 punktas), ir skyrė ESO papeikimą.

17. Pirmosios instancijos teismas pareiškėjo skundą atmetė.

18. Apeliaciniame skunde teigiama, kad teismo sprendimas yra be motyvų, ginčijamas sprendimas neatitinka VAĮ 3 straipsnio 1 punkto, 8 straipsnio reikalavimų, teigia, kad pareiškėjas įvykdė BDAR reikalavimus, kadangi įvardijo D. V. duomenų kilmės šaltinį – Kvartalo dujofikavimo organizatorių. Šis atsargumu ir rūpestingumu grįstas elgesys leido užtikrinti abiejų fizinių asmenų konkuruojančius interesus, išlaikyti jų deramą pusiausvyrą. ESO suinteresuotam asmeniui atskleidė tik duomenų šaltinį, tačiau neidentifikavo tikslių tokio šaltinio asmens tapatybės duomenų, buvo siekis nepažeisti kito duomenų subjekto teisių. Pats atsakovas patvirtino, kad 2018 m. gegužės 25 d. padariusi atitinkamus pakeitimus, susietus su BDAR įsigaliojimu, ESO užtikrino tinkamų techninių ir organizacinių priemonių įgyvendinimą.

19. Teisėjų kolegija, patikrinusi bylą ABTĮ 140 straipsnyje nustatyta tvarka, daro išvadą, kad tikrinamas pirmosios instancijos teismo sprendimas paminėtų esminių teismo sprendimui keliamų reikalavimų neatitinka, todėl negali būti pripažintas pagrįstu bei teisėtu. Pirmiausiai pažymėtina, kad apeliacinis procesas nėra bylos nagrinėjimo pirmosios instancijos teisme pratęsimas. Apeliacinės instancijos teismas paprastai bylą gali tikrinti tik ta apimtimi, kuria byla buvo išnagrinėta pirmosios instancijos teisme ir kuri buvo užfiksuota pirmosios instancijos teismo sprendimu (žr., pvz., LVAT 2013 m. birželio 11 d. nutartį administracinėje byloje Nr. A822-1321/2013, 2017 m. birželio 21 d. nutartį administracinėje byloje Nr. A-1855-575/2017). ABTĮ 140 straipsnio 1 dalyje įtvirtinta, kad teismas, apeliacine tvarka nagrinėdamas bylą, patikrina pirmosios instancijos teismo sprendimo pagrįstumą ir teisėtumą, neperžengdamas apeliacinio skundo ribų.

20. ABTĮ 86 straipsnyje nustatyta, kad teismo sprendimas turi būti teisėtas ir pagrįstas (1 d.), kad priimdamas sprendimą, administracinis teismas įvertina teismo posėdyje ištirtus įrodymus, konstatuoja, kurios aplinkybės, turinčios bylai esminės reikšmės, yra nustatytos ir kurios nenustatytos, kuris įstatymas turi būti taikomas šioje byloje ir ar skundas (prašymas, pareiškimas) yra tenkintinas (2 d.), ir kad teismo sprendime turi būti atsakyta į visus pareiškėjo pareikštus pagrindinius reikalavimus (3 d.). Taigi teismo sprendimas laikomas teisėtu ir pagrįstu, kai teismas įvertina teismo posėdyje ištirtus įrodymus, konstatuoja, kurios aplinkybės, turinčios bylai esminės reikšmės, yra nustatytos ir kurios nenustatytos, kuris įstatymas turi būti taikomas šioje byloje, taip pat kai teismo sprendimo motyvuojamoje dalyje yra argumentuotai atsakyta į pagrindinius pareiškėjo reikalavimus.

21. Inspekcija ginčijamu sprendimu konstatavo, jog pareiškėjas pažeidė Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo 30 straipsnio 1 dalį, 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (BDAR) 32 straipsnio 1 dalį. Pirmosios instancijos teismas patvirtino šį pažeidimą ir konstatavo, kad pareiškėjas neįgyvendino tinkamų techninių ir organizacinių priemonių, skirtų apsaugoti duomenis laikotarpiu nuo 2018 m. gegužės 22 d. iki 2018 m. birželio 7 d. Teisėjų kolegija laikosi nuostatos, kad pirmosios instancijos teismas konkrečiu atveju neištyrė, kokias konkrečiai technines bei organizacines priemones yra pažeidęs pareiškėjas minėtu laikotarpiu, taip pat atkreiptinas dėmesys į tai, kad minėtu laikotarpiu keitėsi reguliavimas ir nuo 2018 m. gegužės 25 d. pradėjo galioti BDAR nuostatos. Taip pat pagrįstai nepaneigtas pareiškėjo teiginys, kad ir iki BDAR įsigaliojimo, ir po to vidaus teisės aktuose buvo numatyti konkretūs veiksmai ir procedūros, leidžiantys užtikrinti asmens duomenų tinkamą apsaugą. Be to, teismui buvo pateikti rašytiniai įrodymai, patvirtinantys, kad ADTAĮ 30 straipsnio 1 dalyje minimos organizacinės ir techninės priemonės buvo pilnai įdiegtos. Teisėjų kolegijai taip pat kyla abejonių dėl to, kas perdavė D. V. duomenis pareiškėjui, nes pirmosios instancijos teismas iš esmės tik preziumavo minėtą aplinkybę. Šie argumentai pirmosios instancijos teismo neaptarti. Dėl Inspekcijos nustatyto BDAR 15 straipsnio pažeidimo pirmosios instancijos teismas taip pat patvirtino šį pažeidimą, tačiau neįvertino aplinkybių, kad pareiškėjas buvo įvardinęs D. V. duomenų kilmės šaltinį – Kvartalo dujofikavimo organizatorių ir tai, kad taip pareiškėjas, anot jo, užtikrino abiejų fizinių asmenų konkuruojančius interesus. Kita vertus, teisėjų kolegija atsižvelgdama į BDAR 15 straipsnio teisinį turinį, laikosi nuostatos, kad pirmosios instancijos teismas neištyrė minėto BDAR straipsnio pažeidimo. Taigi, darytina išvada, kad pirmosios instancijos teismas neatliko įrodymų vertinimo nagrinėjamoje byloje aktualiais ADTAĮ 30 straipsnio 1 dalyje ir BDAR 32 straipsnio 1 dalies ir 15 straipsniuose įtvirtintais aspektais.

22. Taip pat bylos medžiaga rodo, kad suinteresuoto asmens skundą atsakovas gavo ir savo dokumentų valdymo sistemoje užregistravo 2018 m. birželio 25 d., tačiau ginčijamą sprendimą dėl jo priėmė tik 2020 m. birželio 5 d., tačiau pirmosios instancijos teismas neištyrė objektyvių aplinkybių, kurios galėtų pateisinti tokį ilgą Inspekcijos sprendimo priėmimo laikotarpį.

23. Apeliacinės instancijos teismas paprastai tikrina priimto pirmosios instancijos teismo sprendimo teisėtumą bei pagrįstumą, o pirmosios instancijos teismas privalo išsamiai, visapusiškai ir objektyviai ištirti ir įvertinti konkrečios bylos faktus, atskleisti bylos esmę ir sprendimu nustatyti, ar pareiškusio skundą asmens teisės ir įstatymų saugomi interesai pažeisti, jei pažeisti, – kokiu teisiniu būdu bei kokia apimtimi gintini (žr., pvz., LVAT 2017 m. sausio 4 d. nutartį administracinėje byloje Nr. A-1037-438/2017). Vien tik LVAT teisiškai įvertinus reikšmingus faktinius duomenis, kurie nebuvo tirti bei vertinti pirmosios instancijos teisme, būtų pažeista proceso šalies teisė į apeliaciją, o tai lemtų teisės bent kartą apskųsti nepalankų teismo sprendimą instancine teismų sprendimų kontrolės tvarka pažeidimą (žr., pvz., 2012 m. kovo 9 d. nutartį administracinėje byloje Nr. A662-374/2012).

24. Apibendrinant nurodytus argumentus, darytina išvada, kad pirmosios instancijos teismas nenustatė visų bylai svarbių aplinkybių, visapusiškai ir objektyviai jų neištyrė. Pirmosios instancijos teismo padaryti proceso pažeidimai negali būti ištaisyti apeliacinės instancijos teisme, todėl yra faktinis ir teisinis pagrindas bylą grąžinti nagrinėti iš naujo pirmosios instancijos teismui, o ne priimti naują sprendimą. Dėl nurodytų priežasčių pareiškėjo apeliacinis skundas tenkinamas iš dalies, pirmosios instancijos teismo sprendimas naikinamas ir administracinė byla grąžinama pirmosios instancijos teismui nagrinėti iš naujo. Kadangi bylos nagrinėjimas nėra pasibaigęs, bylinėjimosi išlaidų atlyginimo klausimas šioje bylos nagrinėjimo stadijoje nesprendžiamas.

Vadovaudamasi Lietuvos Respublikos administracinių bylų teisenos įstatymo 144 straipsnio 1 dalies 4 punktu, teisėjų kolegija

n u t a r i a:

Pareiškėjo akcinės bendrovės „Energijos skirstymo operatorius“ apeliacinį skundą tenkinti iš dalies.

Vilniaus apygardos administracinio teismo 2021 m. kovo 31 d. sprendimą panaikinti ir perduoti bylą šiam teismui nagrinėti iš naujo.

Nutartis neskundžiama.

Teisėjai Rytis Krasauskas

Iveta Pelienė

Skirgailė Žalimienė