2024-10-23 Nr. AB-15588-3-61-3-01053-2021-7 · Lietuvos vyriausiasis administracinis teismas

Administracinė byla Nr. eA-1740-525/2024

Teisminio proceso Nr. 3-61-3-01053-2021-7

Procesinio sprendimo kategorija 26

(S)

LIETUVOS VYRIAUSIASIS ADMINISTRACINIS TEISMAS

SPRENDIMAS

2024 m. spalio 23 d.

Vilnius

Lietuvos vyriausiojo administracinio teismo teisėjų kolegija, susidedanti iš teisėjų Laimučio Alechnavičiaus (kolegijos pirmininkas ir pranešėjas), Rasos Ragulskytės-Markovienės ir Mildos Vainienės,

sekretoriaujant Laisvidai Versekienei,

dalyvaujant pareiškėjo valstybės įmonės Registrų centro atstovui Simonui Berneckiui,

viešame teismo posėdyje apeliacine žodinio proceso tvarka išnagrinėjo administracinę bylą pagal atsakovo Valstybinės duomenų apsaugos inspekcijos apeliacinį skundą dėl Regionų administracinio teismo Vilniaus rūmų 2024 m. balandžio 4 d. sprendimo administracinėje byloje pagal pareiškėjo valstybės įmonės Registrų centro skundą atsakovui Valstybinei duomenų apsaugos inspekcijai dėl sprendimo panaikinimo ir įpareigojimo atlikti veiksmus,

nustatė:

I. 1. Pareiškėjas valstybės įmonė Registrų centras (toliau – ir Registrų centras) kreipėsi į teismą su skundu, prašydamas: 1) panaikinti Valstybinės duomenų apsaugos inspekcijos (toliau – ir Inspekcija) 2021 m. vasario 26 d. sprendimą „Dėl administracinės baudos skyrimo valstybės įmonei Registrų centrui“ Nr. 3R-196(2.13.-1.E) (pareiškėjo skunde nurodomas skundžiamo akto numeris – Nr. 2R-891 (2.23.E)) (toliau – ir Sprendimas), 2) įpareigoti atsakovą iš naujo išnagrinėti bylą dėl administracinės baudos skyrimo, objektyviai ir pagrįstai nustatant asmens duomenų saugumo pažeidimo subjektą/-us ir jo/-ų atsakomybės ribas. Pareiškėjas taip pat prašė priteisti iš atsakovo pareiškėjo naudai sumokėtą žyminį mokestį.

2. Pareiškėjas skunde nurodė, kad:

2.1. Sprendimu jis nubaustas 15 000 Eur bauda už tai, kad pažeidė 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – ir BDAR) 32 straipsnio 1 dalies b (gebėjimas užtikrinti nuolatinį duomenų tvarkymo sistemų ir paslaugų konfidencialumą, vientisumą, prieinamumą ir atsparumą) ir c (gebėjimas laiku atkurti sąlygas ir galimybes naudotis asmens duomenimis fizinio ar techninio incidento atveju) punktų nuostatas.

2.2. 2020 m. liepos 20 d. Registrų centro pastate, esančiame (duomenys neskelbtini), dėl stichinio gamtos reiškinio – itin stiprios liūties Vilniaus mieste, trūko lietaus nuotekų sistemos vamzdis, todėl vanduo pateko į duomenų centro patalpas (rūsyje) (toliau – ir Incidentas). Įvykus Incidentui, kuris visiškai nepriklausė nuo Registrų centro veiksmų ir (ar) neveikimo bei kontrolės, nustojo veikti dalis serverių, todėl tam tikrą laiko tarpą tapo nepasiekiama dalis serveriuose saugomos informacijos. Reaguodamas į susiklosčiusią situaciją pareiškėjas Inspekcijai pateikė 2020 m. liepos 23 d. pranešimus apie asmens duomenų saugumo pažeidimus Nr. S-1054 (1.8), Nr. S-1055 (1.8) ir Nr. S-1056 (1.8), kurie buvo patikslinti Registrų centro 2020 m. rugpjūčio 20 d. raštu NS-5640 (1.8). Registrų centre buvo gautas Inspekcijos 2020 m. rugpjūčio 3 d. raštas. Registrų centras į Inspekcijos rašte užduotus klausimus atsakė pateikdamas 2020 m. rugpjūčio 20 d. raštą. Registrų centre buvo gautas Inspekcijos 2020 m. gruodžio 11 d. raštas, kuriuo Inspekcija prašė pateikti informaciją, reikšmingą skiriant administracinę baudą, nustatant baudos dydį. Registrų centras 2021 m. sausio 29 d. raštu prašė Inspekcijos dar kartą įvertinti pažeidimo sudėtį ir sankcijų už Incidentą klausimą, atsižvelgiant į tai, kad Registrų centro veiksmuose nebuvo nei tyčios, nei aplaidumo, kad Incidentas buvo visiškai atsitiktinis (force majeure) ir kad toks Incidentas atsitiko pirmą kartą, į Registrų centro pastangas pašalinti padarinius ir tinkamą bendradarbiavimą.

2.3. Inspekcija, atlikdama asmens duomenų saugumo pažeidimo tyrimą, turėjo įvertinti aplinkybių visumą, t. y. išnagrinėti ne tik bendro pobūdžio informaciją, bet ir atsižvelgti į pateiktus Registrų centro paaiškinimus, įvertinti, ar egzistuoja visi pažeidimo sudėties būtinieji elementai, pvz., priežastinis ryšys tarp Registrų centro veiksmų ir kilusių padarinių, kaltė ir kt., išanalizuoti visas Registrų centro įgyvendintas priemones, tačiau Inspekcija to nepadarė.

2.4. Inspekcija neatsižvelgė į tai, kad Registrų centras atliko visus, kaip registrų ir informacinių sistemų duomenų tvarkytojas, įmanomus veiksmus, todėl Registrų centro veiksmuose negalima įžvelgti nei tyčios, nei aplaidumo (subjektyvioji pažeidimo pusė). Tai, kad Registrų centro veiksmuose nėra tyčios pripažino ir pati Inspekcija nurodydama, jog pažeidimas nebuvo įvykdytas tyčia (Sprendimo 11 psl.), o Registrų centro veiksmų aplaidumo faktas Sprendime taip pat nėra konstatuotas, aiškiai ir nedviprasmiškai vertintas. Inspekcija neįsigilino į Registrų centro, kaip duomenų tvarkytojo, ribotas galimybes veikti nepriklausomai, nesant duomenų valdytojo leidimo (pritarimo) (Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo 34 straipsnio 3 dalies 3 punktas). Inspekcija asmens duomenų saugumo pažeidimo subjektu pripažino tik Registrų centrą ir taikė atsakomybę, t. y. skyrė baudą, išimtinai tik duomenų tvarkytojui, tačiau Sprendime taip pat nurodė, kad Registrų centras, įgyvendindamas saugumo priemones, yra priklausomas tiek nuo duomenų valdytojo – Lietuvos Respublikos sveikatos apsaugos ministerijos (toliau – ir SAM), tiek ir nuo kitų institucijų, sprendžiančių Valstybės IT išteklių konsolidavimo klausimus. Taigi, akivaizdu, kad Inspekcija pripažino ir duomenų valdytojo atsakomybę, tačiau baudą skyrė tik duomenų tvarkytojui Registrų centrui. Šiuo atveju aktualu išsiaiškinti tinkamą pažeidimo subjektą, t. y. kas yra laikoma duomenų valdytoju ir tvarkytoju bei kokie teisės aktai reglamentuoja duomenų valdytojo ir tvarkytojo teises, pareigas, funkcijas ir atsakomybes.

2.5. Pareiškėjas, remdamasis BDAR 5 straipsnio 1 dalies f punktu bei Valstybės informacinių išteklių valdymo įstatymo 24 straipsnio 3 dalies 4 punktu, nurodė, kad iš šių teisės nuostatų galima teigti, jog už asmens duomenų saugumo pažeidimą yra atsakingas tiek duomenų valdytojas, tiek tvarkytojas. Registrų centras netgi neturi teisės priimti vienašališkų sprendimų be duomenų valdytojo pritarimo. Tuo metu atsakovas dėl tinkamo subjekto atsakė remdamasis tik Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimo Nr. 716 „Dėl bendrųjų elektroninės informacijos saugos reikalavimų aprašo, saugos dokumentų turinio gairių aprašo ir elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ (toliau – ir Gairės) 18 punktu. Sisteminis Gairių 16, 17 ir 18 punktų vertinimas įrodo, kad už saugos politikos formavimą atsakingas duomenų valdytojas, tuo metu duomenų tvarkytojas atsakingas už saugos politiką įgyvendinančiuose dokumentuose nustatytų priemonių įgyvendinimą. Inspekcijai pripažinus, kad asmens duomenų saugumo pažeidimą lėmė tai, jog nebuvo užtikrintos tinkamos techninės ir organizacinės priemonės bei, vadovaujantis anksčiau nurodytų teisės aktų nuostatomis, akivaizdu, jog pirmiausiai turėjo būti analizuojama ir duomenų valdytojo atsakomybė.

2.6. Pareiškėjas nurodė Gairių 7.1 punktą, Lietuvos Respublikos sveikatos apsaugos ministerijos valdomų ir valstybės įmonės Registrų centro tvarkomų elektroninės sveikatos sistemos informacinių sistemų duomenų saugos nuostatų, patvirtintų Lietuvos Respublikos sveikatos apsaugos ministro 2019 m. liepos 3 d. įsakymu Nr. V-777 (toliau – ir ESPBI saugos nuostatai), 7.5, 10 ir 11 punktus.

2.7. Pareiškėjas, remdamasis Valstybės įmonės Registrų centro tvarkomų registrų ir informacinių sistemų duomenų saugos nuostatų, patvirtintų Lietuvos Respublikos teisingumo ministro 2017 m. gegužės 22 d. įsakymu Nr. 1R-132 (toliau – ir TM saugos nuostatai) 6.4, 6.5, 9, 10 punktais, taip pat Nekilnojamojo turto kadastro duomenų saugos nuostatų, patvirtintų Lietuvos Respublikos žemės ūkio ministro 2018 m. spalio 9 d. įsakymu Nr. 3D-723 (Lietuvos Respublikos žemės ūkio ministro 2020 m. birželio 22 d. įsakymo Nr. 3D-465 redakcija), 9.5, 12 punktais, nurodė, kad Inspekcija iš esmės neatliko išsamios aktualaus teisinio reguliavimo ir objektyvių faktinių aplinkybių analizės, susijusios su tinkamo subjekto, kuriam turėtų kilti atsakomybė, nustatymo klausimu, o apsiribojo tik paviršutinišku šio aspekto nagrinėjimu. Inspekcija Sprendime netinkamai nustatė asmens duomenų saugumo pažeidimo subjektą, todėl netinkamai pritaikė atsakomybės principą.

2.8. Inspekcija nevertino informacijos apie tai, kad Registrų centras ėmėsi visų galimų priemonių rizikoms šalinti, siekiant apsaugoti registruose ir informacinėse sistemose esančius asmens duomenis.

2.9. Pareiškėjas dar su 2019 m. sausio 23 d. raštu kreipėsi į duomenų valdytoją SAM, Lietuvos Respublikos ekonomikos ir inovacijų ministeriją ir Lietuvos Respublikos susisiekimo ministeriją su pasiūlymais įgyvendinti sprendimus, kurie užtikrintų Elektroninės sveikatos paslaugų ir bendradarbiavimo infrastruktūros informacinės sistemos (toliau – ir ESPBI IS) veiklos tęstinumą katastrofos atveju, bei su 2019 m. liepos 31 d. raštu Nr. S-47176 kreipėsi į Informacinės visuomenės plėtros komitetą (toliau – ir IVPK) dėl ESPBI IS duomenų bazių ir tarnybinių stočių naujos kartos technologijų. Inspekcija neanalizavo tam tikrų esminę reikšmę turinčių aplinkybių ir Sprendime nepagrindė jų selektyvaus nevertinimo priežasčių, nesigilino į teisės aktų nuostatas, kurios reglamentuoja duomenų valdytojo ir tvarkytojo funkcijas bei duomenų tvarkytojo ribotą galimybę veikti be valdytojo pritarimo.

2.10. Pareiškėjui nėra suprantama, kodėl Inspekcija Sprendime nurodo, jog Registrų centro duomenų centrų patalpos neatitiko nurodyto TIER standarto. Teisės aktuose nėra numatyta, kad duomenų centrai privalo turėti sertifikatą pagal TIER standartus ar jų atitiktis būtų patvirtinta atlikus nepriklausomų tos srities ekspertų auditą. Priešingai, apie kitus nei teisės aktuose aiškiai išdėstytus reikalavimus ar standartus, pažymima kaip rekomenduojamus ar galimus taikyti. Argumentai dėl TIER standartų Inspekcijos Sprendime iš esmės yra nepagrįstai aiškinami neigiamu aspektu Registrų centro atžvilgiu, todėl negali būti laikomi teisėtais motyvais, pagrindžiančiais Inspekcijos Sprendimo teisėtumą.

2.11. Pareiškėjas nesutinka su Inspekcijos išvada, kad duomenų centro – serverinės, įrengto (duomenys neskelbtini) (toliau – ir DC1), patalpos neužtikrina duomenų centrams keliamo aukšto patikimumo bei apsaugos nuo fizinių grėsmių reikalavimų. Inspekcija neatsižvelgė į Registrų centro 2020 m. rugpjūčio 20 d. rašto argumentus, kad ESPBI IS informacinių technologijų saugos atitikties elektroninės informacijos saugos ir kibernetinio saugumo reikalavimams vertinimo ataskaitoje buvo nurodytas visuotinai pripažintų tarptautinių organizacijų sertifikuotų informacinių sistemų auditorių duomenų centro patalpų įvertinimas, kuris buvo atliktas pagal pirmosios kategorijos (aukščiausios) informacinėms sistemoms taikomus saugos reikalavimus (ataskaitos 13 psl., viso 67 reikalavimai). Atitikimas įvertintas 5 balais (aukščiausiu balu) (ataskaitos 19 psl., 67 reikalavimai įgyvendinti visa apimtimi). Be to, Inspekcija neturi nei įgaliojimų, nei kompetencijos spręsti, kokie reikalavimai bei tarptautiniai standartai turi būti taikomi duomenų centrams ir, ar duomenų centrai atitinka reikalavimus bei rekomenduojamus tarptautinius standartus.

2.12. Visų registrų ir informacinių sistemų veiklos atstatymas, išskyrus ESPBI IS, buvo įgyvendintas laiku ir laikantis Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų, patvirtintų Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakymu Nr. 1V-832 (toliau – ir Aprašas), įtvirtintų reikalavimų informacinės sistemos neveikimo laikotarpiui, todėl iš Sprendimo turinio nėra aišku, kodėl Inspekcija nepagrįstai ir nemotyvuotai, neatsižvelgdama į teisės aktų reikalavimus, nurodė, jog Registrų centrui „nepavyko užtikrinti nuolatinio duomenų tvarkymo sistemų ir paslaugų prieinamumo.

2.13. Sprendimas neatitinka Lietuvos Respublikos viešojo administravimo įstatymo (toliau – ir VAĮ) reikalavimų.

3. Atsakovas Inspekcija atsiliepime į skundą prašė jį atmesti ir nurodė šiuos argumentus:

3.1. Sprendimu administracinė bauda pareiškėjui skirta už BDAR 32 straipsnio nuostatų pažeidimą. Atsakovas, remdamasis BDAR 32 straipsnio 1 dalimi, padarė išvadą, kad atsakomybė už atitinkamo lygio saugumą užtikrinančių techninių ir organizacinių priemonių įgyvendinimą, nepaisant BDAR 5 straipsnio 2 dalyje įtvirtinto atskaitomybės principo, yra tiesioginė duomenų tvarkytojo pareiga. Aplinkybę, jog duomenų tvarkytojas tiesiogiai atsako už tam tikrus BDAR pažeidimus, patvirtinta ir BDAR 83 straipsnio 4 dalies a punkto, numatančio administracines baudas už ne tik už duomenų valdytojo, bet ir už duomenų tvarkytojo prievolių, numatytų 8, 11, 25–39 ir 42 bei 43 straipsniuose, pažeidimą, nuostata. Be kita ko, BDAR 82 straipsnio 2 dalyje taip pat yra numatyta, jog duomenų tvarkytojas už dėl duomenų tvarkymo sukeltą žalą atsako tik tuo atveju, jeigu jis nesilaikė šiame reglamente konkrečiai duomenų tvarkytojams nustatytų prievolių. Sistemiškai vertinant paminėtas BDAR nuostatas, darytina išvada, jog duomenų tvarkytojas tiesiogiai atsako už asmens duomenų saugumo neužtikrinimą, todėl Inspekcija skundžiamu Sprendimu tinkamai nustatė atsakomybės subjektą.

3.2. Atsakovas nurodė Valstybės informacinių išteklių valdymo įstatymo 2 straipsnio 11 ir 12, 15 ir 16 dalis, Gairių 17 ir 18 punktus.

3.3. BDAR 32 straipsnyje nustatyta duomenų valdytojo ir duomenų tvarkytojo atsakomybė už tinkamų techninių ir organizacinių duomenų saugumo priemonių įgyvendinimą labai aiškiai atskirta Lietuvos Respublikos teisės aktuose ir todėl negali būti kvestionuojama.

3.4. Nors pareiškėjas stengėsi, siekdamas kuo skubiau atkurti valstybės registrų ir valstybės informacinių sistemų veikimą, tačiau laiku neįgyvendinus tinkamų techninių ir organizacinių saugumo priemonių, pareiškėjui nepavyko užtikrinti nuolatinio duomenų tvarkymo sistemų ir paslaugų prieinamumo ir atsparumo, o taip pat laiku (per nustatytą 8 valandų laikotarpį) atkurti ESPBI IS veikimo, sukeliant įvairaus rimtumo pavojus fizinių asmenų teisėms ir laisvėms (laiku negaunant reikiamų paslaugų), ir tuo pareiškėjas, neužtikrindamas Aprašo 5.11 ir 5.12.11 papunkčiuose nustatytų reikalavimų, pažeidė BDAR 32 straipsnio 1 dalies b ir c punktus.

II. 4. Regionų administracinio teismo Vilniaus rūmai 2024 m. balandžio 4 d. sprendimu pareiškėjo skundą patenkino, panaikino Valstybinės duomenų apsaugos inspekcijos Sprendimą ir grąžino Inspekcijai bylą dėl administracinės baudos skyrimo Registrų centrui pagal gautus 2020 m. liepos 23 d. Registrų centro pranešimus apie asmens duomenų saugumo pažeidimus Nr. S-1054(1.8), Nr. S-1055(1.8) ir Nr. S-1056(1.8)), kurie buvo patikslinti 2020 m. rugpjūčio 21 d. iš Registrų centro gautu 2020 m. rugpjūčio 20 d. raštu NS-6000 (1.10 E), nagrinėti iš naujo.

5. Pirmosios instancijos teismas nustatė, kad Registrų centras 2020 m. liepos 23 d. pranešimais Nr. S-1054 (1.8), Nr. S-1055 (1.8) ir elektroninio dokumento nuorašu 2-16S-1056 (1.8), kurie buvo patikslinti Registrų centro 2020 m. rugpjūčio 20 d. raštu NS-5640 (1.8), informavo Inspekciją apie 2020 m. liepos 20 d. įvykusius asmens duomenų saugumo pažeidimus (toliau – ir ADSP). Inspekcijoje 2020 m. liepos 24 d. buvo gautas SAM 2020 m. liepos 23 d. pranešimas apie asmens duomenų saugumo pažeidimą Nr. 10AD-164. Inspekcija, išnagrinėjusi su Incidentu susijusią medžiagą, priėmė 2021 m. vasario 26 d. sprendimą „Dėl administracinės baudos skyrimo valstybės įmonei Registrų centrui“ Nr. 3R-196(2.13.-1.E).

Sprendime Inspekcija nustatė, kad pradiniai pranešimai dėl ADSP1, ADSP2, ADSP3 ir pranešimas dėl ADSP4 pateikti laiku, nevėluojant, praėjus ne daugiau kaip 72 valandoms nuo tada, kai Registrų centras ir SAM sužinojo apie ADSP. Registrų centro nustatyta ADSP priežastis – 2020 m. liepos 20 d. vanduo prasisunkė per pastato konstrukcijų pažeidimus ir užliejo žemesniame aukšte įrengtą serverinę, dėl ko išsijungė dalis serverių ir dalis serveriuose saugomos informacijos tapo nepasiekiama (neprieinama). Vandens patekimas ant veikiančios techninės įrangos, kuri maitinama elektros srove, gali išjungti ir (-ar) sugadinti techninę įrangą bei pažeisti joje saugomus duomenis.

Registrų centras registrų ir valstybės informacinių sistemų (toliau – ir VIS) techninės įrangos talpinimui naudoja du duomenų centrus – serverines, kurie įrengti Vilniuje(duomenys neskelbtini). Rezervinio duomenų centro (toliau – ir Rezervinis DC), veikiančio veidrodinio (angl. Mirror-site) arba aktyvaus dubliavimo principu (angl. Hot-site), kuris incidento metu būtų užtikrinęs nepertraukiamą ir nenutrūkstamą informacinių sistemų veikimą, Registrų centras neturi. Inspekcijos Sprendime nurodyta Registrų centre įvykusių ADSP data ir nustatymo data bei apytikslis paveiktų duomenų subjektų skaičius.

Inspekcija nustatė, kad visų ADSP metu Registrų centras ėmėsi aktyvių veiksmų, siekdamas atstatyti Registrų ir VIS veikimą ir duomenis. Inspekcija nustatė, kad remiantis Registrų ir valstybės informacinių sistemų registro (toliau – ir RISR) viešai prieinamais duomenimis (https://registrai.lt/) Registrų centras yra 25 Registrų ir VIS duomenų tvarkytojas. Registrų centre įvykusio ADSP metu paveikti I kategorijos Registrai ir VIS. Inspekcija ginčijamu Sprendimu konstatavo, kad pareiškėjas pažeidė BDAR 32 straipsnio 1 dalies b ir c punktuose įtvirtintas nuostatas ir skyrė pareiškėjui 15 000 Eur baudą.

Laiku neįgyvendinus tinkamų techninių ir organizacinių saugumo priemonių, Registrų centrui nepavyko užtikrinti nuolatinio duomenų tvarkymo sistemų ir paslaugų prieinamumo ir atsparumo, o taip pat laiku (per nustatytą 8 valandų laikotarpį) atkurti ESPBI veikimo, ir tuo Registrų centras, netenkindamas Aprašo 5.11 ir 5.12.11 papunkčiuose nustatytų reikalavimų, pažeidė minėtus BDAR 32 straipsnio 1 dalies b ir c punktus.

6. Pirmosios instancijos teismas pažymėjo, kad nagrinėjamu atveju esminga nustatyti, ar Inspekcija dėl asmens duomenų saugumo pažeidimo nustatė tinkamą pažeidimo subjektą bei, ar Inspekcijos Sprendime nurodytas teisinis pagrindas yra tinkamas pagrįsti būtent duomenų tvarkytojo atsakomybę dėl Incidento padarinių. Lietuvos vyriausiasis administracinis teismas 2023 m. kovo 1 d. nutartyje administracinėje byloje Nr. eA-174-821/2023 nurodė, kad už informacijos saugą pagal kompetenciją atsako tiek registro ar valstybės informacinių sistemų valdytojai, tiek jų tvarkytoja.

7. Pirmosios instancijos teismas išanalizavo BDAR 24 straipsnio 1 dalies, 28 straipsnio 3 dalies, 32 straipsnio 1 dalies, Valstybės informacinių išteklių valdymo įstatymo 43 straipsnio 3 dalies, Gairių 7, 16, 17 ir 18 punktų, ESPBI saugos nuostatų 8, 10, 11, 12 punktų, TM saugos nuostatų 7, 9, 10, 11 punktų, Nekilnojamojo turto kadastro duomenų saugos nuostatų, patvirtintų žemės ūkio ministro 2018 m. spalio 9 d. įsakymu Nr. 3D-723 (žemės ūkio ministro 2020 m. birželio 22 d. įsakymo Nr. 3D-465 redakcija), 10, 11, 12, 13 punktų nuostatas ir nurodė, kad nuodytų nuostatų analizė paneigia Inspekcijos atsiliepime nurodytus argumentus, jog atsakomybė už atitinkamo lygio saugumą užtikrinančių techninių ir organizacinių priemonių įgyvendinimą, nepaisant BDAR 5 straipsnio 2 dalyje įtvirtinto atskaitomybės principo, yra tiesioginė duomenų tvarkytojo pareiga. Remiantis minėtais saugos nuostatais, galima daryti išvadą, kad duomenų tvarkytojas atsako už reikiamų administracinių, techninių ir organizacinių saugos priemonių įgyvendinimą, užtikrinimą ir laikymąsi saugos dokumentuose nustatyta tvarka.

8. Pirmosios instancijos teismas atkreipė dėmesį, kad Inspekcija ne tik nevertino ir nenustatė saugos nuostatų pažeidimų, bet priešingai, iš skundžiamo Sprendimo matyti, jog Inspekcija pati nustatė ir konstatavo, jog Registrų centras per pastaruosius 2 metus įgyvendino technines priemones, gerinančias duomenų saugumo lygį (Sprendimo 5 dalis); Registrų centras vykdė reguliarių techninių ir organizacinių priemonių, kuriomis užtikrinamas duomenų tvarkymo saugumas, tikrinimo, vertinimo ir veiksmingumo vertinimo procesą ir tai atitiko BDAR 32 straipsnio 1 dalies d punkto nuostatas (Sprendimo 6 dalis); Registrų centras per paskutinius dvejus metus iki ADSP atliko ir įgyvendino daug reikšmingų organizacinių ir techninių priemonių, kai kurios iš jų buvo didelės apimties ir reikšmingai pagerino Registrų centro valdomų ir tvarkomų duomenų saugumą ir (-ar) duomenų rezervinio kopijavimo ir atkūrimo priemones (Sprendimo III dalis). Nepaisant nurodytų Registrų centro veiksmų, Inspekcija padarė niekuo nepagrįstą išvadą, kad pareiškėjas pažeidė BDAR 32 straipsnio 1 dalies b ir c punktus, nes: 1) šių reikšmingų priemonių įvykus ADSP vis dėl to nepakako pilnai užtikrinti valstybės registrų ir valstybės informacijų sistemų pasiekiamumą ir ESPBI IS savalaikį atstatymą po šio kritinio incidento, taip pat, kad 2) priemonės nėra pakankamos, nes atsižvelgiant į Registrų centro prižiūrimų Registrų ir VIS duomenų svarbą ir sparčiai didėjančią duomenų apimtį, sistemų sudėtingumą ir kompleksiškumą bei Aprašo 5.11 ir 5.12.11 keliamus reikalavimus, yra reikalingi pažangesni, aukšto patikimumo duomenų centrų techniniai sprendimai, kurie užtikrintų saugomų duomenų svarbą ir kritiškumą, atitinkinantį asmens duomenų saugumo lygį bei gebėjimą užtikrinti nuolatinį Registruose ir VIS saugomų duomenų konfidencialumą, vientisumą, prieinamumą ir atsparumą.

9. Dėl Inspekcijos išvados, kad reikalingi pažangesni, aukšto patikimumo duomenų centrų techniniai sprendimai, teismas pažymėjo, jog Inspekcija privalėjo vertinti Registrų centro, kaip duomenų tvarkytojo, kompetenciją priimti tokius sprendimus. Pagal ESPBI saugos nuostatų 7.5 punktą duomenų valdytojo pareiga nagrinėti informacinių sistemų tvarkytojų pasiūlymus dėl informacinių sistemų elektroninės informacijos saugos (kibernetinio saugumo) tobulinimo ir priimti dėl jų sprendimus. TM saugos nuostatų 6 punktas numato Teisingumo ministerijos funkcijas: atlikti informacinių sistemų elektroninės informacijos tvarkymo ir elektroninės informacijos saugos (kibernetinio) reikalavimų laikymosi priežiūrą ir kontrolę (6.3 p.); nagrinėti Registrų centro, Lietuvos antstolių rūmų ir Tarnybos pasiūlymus dėl informacinių sistemų veiklos, elektroninės informacijos saugos (kibernetinio saugumo) tobulinimo ir priimti dėl jų sprendimus (6.4 p.); priimti sprendimus dėl informacinių sistemų techninių ir programinių priemonių, būtinų informacinių sistemų elektroninės informacijos saugai (kibernetiniam saugumui) užtikrinti, įsigijimo, diegimo ir modernizavimo (6.5 p.); prireikus tvirtinti rizikos įvertinimo ir rizikos valdymo priemonių planą (6.9 p.); prireikus tvirtinti informacinių sistemų informacinių technologijų saugos atitikties vertinimo metu pastebėtų trūkumų šalinimo planą (6.10 p.).

10. Pirmosios instancijos teismas nustatė, kad pareiškėjas tiek Inspekcijai, tiek teismui su skundu pateikė 2019 m. sausio 23 d. raštą adresuotą SAM „Dėl ESPBI IS duomenų bazių tarnybinių stočių naujos kartos technologijos“ (kopija siųsta Susisiekimo ministerijai ir Ekonomikos ir inovacijų ministerijai). Iš šio rašto matyti, kad Registrų centras, įgyvendindamas ESPBI IS pagrindinio tvarkytojo pareigas, rūpinosi, kad ESPBI IS veiktų sklandžiai, ir ieškojo naujų sprendimų sistemos veiklai gerinti. Pareiškėjas prašė ESPBĮ IS valdytojo priimti sprendimą dėl tolesnės ESPBI IS duomenų bazių tarnybinių stočių technologijos, įskaitant ir lėšų poreikį „Oracle“ duomenų bazių licencijoms ir jų palaikymui, bei spręsti klausimą dėl pakankamo lėšų skyrimo ESPBI IS (skundo priedas Nr. 5). Byloje pateiktas ir pareiškėjo 2019 m. liepos 31 d. raštas Nr. S-47176, kuriuo pareiškėjas kreipėsi į IVPK (kopija: SAM), kuriuo atsižvelgdamas į atliktą ESPBI IS techninės infrastruktūros plėtros alternatyvų analizę, siekiant efektyviai naudoti valstybės lėšas, ir į tai, kad konsoliduotoje valstybės informacinių išteklių infrastruktūroje planuojamos naudoti x86 technologijos ESPBI IS eksploatavimo atveju yra kelis kartus brangesnės, nei didesnės skaičiuojamosios galios sprendimai, prašė pritarimo ESPBI IS plėtrai ir modernizavimui, naudoti technologijas, užtikrinančias našesnę ir efektyvesnę sistemos veiklą (skundo 5 priedas), tačiau Inspekcija pateiktų įrodymų nevertino. Nors pagal saugos nuostatus nustatyta pareiga teikti informacinių sistemų valdytojui pasiūlymus dėl informacinių sistemų elektroninės informacijos saugos (kibernetinio saugumo) tobulinimo (ESPBI saugos nuostatų 8.8 p.), teikti Teisingumo ministerijai pasiūlymus dėl informacinių sistemų elektroninės informacijos saugos (kibernetinio saugumo) tobulinimo (TM saugos nuostatų 7.5 p.), teikti Kadastro valdytojui pasiūlymus dėl Kadastro elektroninės informacijos saugos ir kibernetinio saugumo tobulinimo (Nekilnojamojo turto kadastro duomenų saugos nuostatų 10.6 p.), pareiškėjo pateikti įrodymai patvirtina, kad pareiškėjas šias pareigas vykdė.

11. Pirmosios instancijos teismas darė išvadą, kad, nevertindamas kokią kompetenciją Registrų centras turi pagal informacinės sistemos valdytojų patvirtintus saugos nuostatus, ir, nenustatęs, kad pareiškėjas saugos nuostatuose ar kituose saugos dokumentuose nustatytos tvarkos nesilaikė ar laikėsi netinkamai, nėra pagrindo konstatuoti, kad už 2020 m. liepos 20 d. įvykusį ADSP atsakingas išimtinai Registrų centras.

12. Pirmosios instancijos teismas iš skundžiamo Sprendimo nustatė, kad Inspekcija, priimdama Sprendimą, vertino Registrų centro direktoriaus 2018 m. sausio 31 d. įsakymu Nr. v-44 patvirtintą Valstybės įmonės Registrų centro tvarkomų registrų ir informacinių sistemų 2017 m. rizikos vertinimo ataskaitą (toliau – ir RC rizikos ataskaita), Technologinio pažeidžiamumo vertinimo ataskaitą Nr. 1.2./2020-05-18 (skundo priedas Nr. 3–4), ESPBI IS rizikos įvertinimo ataskaitą Nr. 2.4/2020-07-07 ir ESPBI IS architektūros patikimumo ir optimalumo įvertinimo ataskaitą, dokumento versija 2.3/2020-07-22 (priedas 3–6).

Inspekcija darė išvadą, kad apie kylančią grėsmę, jog DC1 patalpos gali būti užlietos vandeniu ir kad jos neužtikrina duomenų centrams keliamo aukšto patikimumo bei apsaugos nuo fizinių grėsmių reikalavimų, Registrų centras žinojo dar prieš 2,5 metų prieš įvykstant anksčiau minimiems ADSP, tačiau ADSP tyrimo metu Registrų centras nepateikė jokių duomenų apie tai, kokias priemones, atsižvelgiant į proporcingumą, t. y. pasveriant grėsmės tikimybę (kad incidentas gali įvykti kelis kartus per metus), galimus grėsmės padarinius ir sąnaudas grėsmei sumažinti, per nurodytą laikotarpį įgyvendino, kad RC rizikos ataskaitoje nustatyta aukšta vandens grėsmės (užliejimo) rizika būtų sumažinta.

Inspekcija, atsižvelgdama į tai, kad Registrų centras, jau nuo 2018 m. sausio mėn. žinodamas apie tai, jog DC1 patalpos gali būti užlietos vandeniu ir kad jos neužtikrina duomenų centrams keliamo aukšto patikimumo bei apsaugos nuo fizinių grėsmių reikalavimų, žinodamas, jog neturint pilnaverčio sistemų dubliavimo nėra įmanoma užtikrinti tokio patikimumo lygio, kuris leistų užtikrinti nepertraukiamą Registrų ir VIS veikimą, laiku nesiėmė tinkamų priemonių, kad sumažintų RC rizikos ataskaitoje minimą nepriimtinai aukštą vandens grėsmės riziką iki priimtino lygio, padarė išvadą, jog Registrų centras, kaip duomenų tvarkytojas, o tam tikrų sistemų ir kaip duomenų valdytojas, neįgyvendino tinkamų techninių ir (ar) organizacinių priemonių, kad būtų užtikrintas pavojų atitinkančio lygio saugumas, atsižvelgdamas į priemonių įgyvendinimo sąnaudas (vandens grėsmei pašalinti ar sumažinti) bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus (valstybei ir kiekvienam asmeniui ypatingai svarbius, didžiulės apimties duomenų rinkinius), ir tuo pažeidė BDAR 32 straipsnio 1 dalį.

13. Pirmosios instancijos teismas su Inspekcijos išvadomis nesutiko, pirma, RC rizikos ataskaitos 7 lentelėje prie grėsmės Nr. 3 „Vanduo“ pažymėta, kad DC1 „negali būti vandentiekio, kanalizacijos ar šildymo sistemos vamzdžių, ji turi būti apsaugota nuo vandens užliejimo. Siekiant sumažinti vandens riziką, reikalinga modernizuoti duomenų centrą įrengiant apsaugos nuo užliejimo priemones arba pašalinti šiluminę trasą“, tačiau nagrinėjau atveju Registrų centro nustatyta ADSP priežastis – „vanduo prasisunkė per pastato konstrukcijų pažeidimus ir užliejo žemesniame aukšte įrengtą serverinę, dėl ko išsijungė dalis serverių ir dalis serveriuose saugomos informacijos tapo nepasiekiama (neprieinama)“. Vandens patekimas ant veikiančios techninės įrangos, kuri maitinama elektros srove, gali išjungti ir (-ar) sugadinti techninę įrangą bei pažeisti joje saugomus duomenis. Taigi ADSP įvyko ne dėl nurodytų rizikų. Antra, nors pati Inspekcija ne kartą nurodė, kad atsakomybė už atitinkamo lygio saugumą užtikrinančių techninių ir organizacinių priemonių įgyvendinimą yra tiesioginė duomenų tvarkytojo pareiga, ir kad duomenų tvarkytojas tiesiogiai atsako už asmens duomenų saugumo neužtikrinimą, tačiau Sprendimo 4 dalyje „Dėl tinkamų techninių ir organizacinių priemonių, kurios užtikrintų pavojų atitinkančio lygio saugumą, įgyvendinimo“ padarė išvadą, jog Registrų centras, kaip duomenų tvarkytojas, o tam tikrų sistemų ir kaip duomenų valdytojas, neįgyvendino tinkamų techninių ir (ar) organizacinių priemonių. Tokia išvada, kad Registrų centras ir kaip valdytojas pažeidė BDAR 32 straipsnio 1 dalį, teisėjų kolegijos vertinimu, prieštarauja pačios Inspekcijos išvadoms, jog tiesioginę pareigą užtikrinti tinkamą asmens duomenų saugumą pagal BDAR 32 straipsnį turi būtent tvarkytojas ir tvarkytojas tiesiogiai atsako už asmens duomenų saugumo neužtikrinimą.

14. Dėl Registrų centro užsakymu atliktos ir 2020 m. liepos 7 d. parengtos ESPBI rizikos vertinimo ataskaitos teismas pritarė pareiškėjo argumentams, kad ESPBI IS rizikos ataskaita parengta 2020 m. liepos 7 d., o ADSP įvyko 2020 m. liepos 20 d. Registrų centras tam tikrų rizikos šalinimo priemonių objektyviai negalėjo įgyvendinti ne tik dėl konsolidacijos veiksmų ar riboto veikimo be duomenų valdytojų pritarimo, tačiau ir dėl to, kad ESPBI IS rizikos ataskaitos, kuriose buvo nustatytos galimos rizikos, buvo pateiktos Registrų centrui liepos mėnesį, t. y. tą patį mėnesį, kai įvyko Incidentas. Inspekcija, priimdama Sprendimą, nurodytų Registrų centro argumentų nevertino, informacijos netikrino, nepaisant Registrų centro teikiamų paaiškinimų ir įrodymų. Inspekcija Sprendimą grindė tais pačiais argumentais, kurie buvo išdėstyti ir Inspekcijos 2020 m. gruodžio 11 d. rašte Nr. 2R-6244 (2.23.E) „Dėl siūlymo skirti administracinę baudą“.

15. Pirmosios instancijos teismas atkreipė dėmesį, kad Inspekcija nevertino ir kitų pareiškėjo paaiškinimų dėl 2020 m. gruodžio 11 d. rašte Nr. 2R-6244 (2.23.E) „Dėl siūlymo skirti administracinę baudą“ nurodytų argumentų. Registrų centras 2020 m. rugpjūčio 20 d. Inspekcijai teiktame rašte nurodė informaciją apie tai, kad Registrų centras jau 2019–2020 m. pradžioje įsigijo dvi identiškas atsarginių duomenų kopijų įrašymo, saugojimo ir atkūrimo sistemas, tarp kurių duomenys yra sinchronizuojami, o iki tol duomenų atstatymui buvo naudojamos kitos, ženkliai lėtesnį duomenų atkūrimą užtikrinančios technologijos (duomenų atstatymas iš magnetinių juostų). Inspekcija rėmėsi tik Technologinio pažeidžiamumo vertinimo ataskaita, nors ataskaitos parengtos nuo 2020 m. kovo 6 d. iki 2020 m. gegužės 18 d., o duomenų saugojimui ir atstatymui Registrų centras nuo 2020 m. gegužės mėnesio pabaigos pradėjo naudoti kitas technologijas – duomenų sinchronizaciją tarp skirtingose lokacijose esančiuose duomenų centruose naudojamų identiškų atsarginių duomenų kopijų įrašymo, saugojimo ir atkūrimo sistemų. Kaip nurodo pats pareiškėjas, Registrų centras dar iki 2020 m. liepos 20 d. pradėjo taikyti gerąją rezervinio kopijavimo praktiką (2020 m. gegužės mėn. rezervinio kopijavimo sistemos vykių žurnalus), kai rezervinės kopijos daromos į skirtingo tipo laikmenas (magnetinės juostos ir diskinės saugyklos), kurios saugomos dvejose skirtingose lokacijose. ESPBI IS duomenų atkūrimas po Incidento vyko iš diskinių saugyklų (greitas atstatymas), o ne iš magnetinių juostų, kaip nurodyta Inspekcijos rašte.

16. Teismas konstatavo, kad nagrinėjamu atveju Inspekcija priimdama Sprendimą nesilaikė Viešojo administravimo įstatymo 10 straipsnio 5 dalies reikalavimų. Registrų centro atsakomybė dėl 2020 m. liepos 20 d. ADSP nepagrįsta nei išsamiais teisiniais, nei faktiniais argumentais. Inspekcija tyrimo metu neanalizavo saugos nuostatų, kuriose įtvirtintos duomenų valdytojų ir tvarkytojų funkcijos bei atsakomybės, ir be jokio pagrįsto pagrindo konstatavo asmens duomenų saugumo pažeidimo subjektu išimtinai Registrų centrą ir jam skyrė baudą. Teismas priėjo prie išvados, kad, siekiant objektyvaus ir visapusiško ginčo išnagrinėjimo, reikalingas papildomas pirmiau aptartų aplinkybių ištyrimas. Teismas neatlieka viešojo administravimo funkcijų ir nevykdo atitinkamos srities priežiūros, o tik sprendžia ginčus dėl teisės viešojo administravimo srityje. Atsižvelgdamas į tai, kas išdėstyta, teismas konstatavo, kad nagrinėjamu atveju Sprendimo motyvų pateikimo trūkumai yra esminiai, todėl, vadovaujantis VAĮ 10 straipsnio 5 dalimi, yra pagrindas pripažinti Sprendimą nepagrįstu bei jį panaikinti. Teismas pažymėjo, kad ši teismo išvada nereiškia, jog Inspekcija, iš naujo nagrinėdama bylą dėl administracinės baudos skyrimo pagal Registrų centro 2020 m. liepos 23 d. pranešimus apie asmens duomenų saugumo pažeidimus Nr. S-1054(1.8), Nr. S-1055(1.8) ir Nr. S-1056(1.8), kurie buvo patikslinti 2020 m. rugpjūčio 21 d. iš Registrų centro gautu 2020 m. rugpjūčio 20 d. raštu NS-6000 (1.10 E), neturi teisės priimti tokias pačias teisines pasekmes pareiškėjui sukeliantį sprendimą.

III. 17. Atsakovas Inspekcija apeliaciniame skunde prašo panaikinti Regionų administracinio teismo Vilniaus rūmų 2024 m. balandžio 4 d. sprendimą ir priimti naują sprendimą – pareiškėjo skundą atmesti. Apeliacinis skundas grindžiamas šiais argumentais:

17.1. ADSP, dėl kurio buvo priimtas Inspekcijos sprendimas, įvyko ir paaiškėjo 2020 m. liepos 20 d., t. y. beveik prieš keturis metus, o Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ir ADTAĮ) 31 straipsnio 3 dalyje nustatyta, kad sprendimas dėl administracinės baudos skyrimo gali būti priimtas, jeigu praėjo ne daugiau kaip 2 metai nuo pažeidimo padarymo dienos, o kai pažeidimas trunkamasis, – nuo jo paaiškėjimo dienos. Inspekcija, priimdama naują sprendimą, dėl senaties neturėtų teisės Registrų centrui skirti administracinės baudos.

17.2. Aplinkybę, jog duomenų tvarkytojas tiesiogiai atsako už tam tikrus BDAR pažeidimus, patvirtina ne tik BDAR 32 straipsnio nuostatos, bet ir BDAR 83 straipsnio 4 dalies a punkto, numatančio administracines baudas ne tik už duomenų valdytojo, bet ir už duomenų tvarkytojo prievolių, įskaitant nustatytų BDAR 32 straipsnyje, pažeidimą, nuostata. Be kita ko, BDAR 82 straipsnio 2 dalyje taip pat yra numatyta, jog duomenų tvarkytojas už dėl duomenų tvarkymo sukeltą žalą atsako tik tuo atveju, jeigu jis nesilaikė šiame reglamente konkrečiai duomenų tvarkytojams nustatytų prievolių. Pagal BDAR 82 straipsnio 3 dalį, duomenų valdytojas arba duomenų tvarkytojas atleidžiami nuo atsakomybės pagal BDAR 82 straipsnio 2 dalį, jeigu jis įrodo, kad jokiu būdu nėra atsakingas už įvykį, dėl kurio patirta žala. Šiuo atveju yra aktuali ir BDAR 28 straipsnio 1 dalis, kuri nustato, jog kai duomenys turi būti tvarkomi duomenų valdytojo vardu, duomenų valdytojas pasitelkia tik tuos duomenų tvarkytojus, kurie pakankamai užtikrina, kad tinkamos techninės ir organizacinės priemonės bus įgyvendintos tokiu būdu, kad duomenų tvarkymas atitiktų šio reglamento reikalavimus ir būtų užtikrinta duomenų subjekto teisių apsauga. Nagrinėjamu atveju Registrų centrą, kaip eilės valstybės registrų duomenų tvarkytoją, paskyrė Lietuvos Respublikos Vyriausybė tokiu būdu išreikšdama savo pasitikėjimą, jog Registrų centras sugebės parinkti ir įgyvendinti tinkamas technines ir organizacines priemones, kad duomenų tvarkymas atitiktų BDAR reikalavimus ir būtų užtikrinta duomenų subjekto teisių apsauga. Taigi, sistemiškai vertinant paminėtas BDAR nuostatas, darytina išvada, jog duomenų tvarkytojas tiesiogiai atsako už asmens duomenų saugumo užtikrinimą.

17.3. Registrų centras yra daugelio valstybės registrų ir valstybės informacinių sistemų duomenų tvarkytojas, kurio, kaip duomenų tvarkytojo, statusas įtvirtintas ne asmens duomenų tvarkymo sutartimi, bet Lietuvos Respublikos teisės aktais. Atsižvelgiant į tai, sprendžiant Registrų centro, kaip duomenų tvarkytojo, atsakomybę nagrinėjamu atveju, yra aktualios taip pat ir teisės aktų, reglamentuojančių valstybės informacinių išteklių valdymą, nuostatos, kurios yra nurodytos ir analizuojamos ginčijamame Inspekcijos sprendime (Valstybės informacinių išteklių valdymo įstatymo 2 str. 11 ir 12 d., 15 ir 16 d.). Atsakovas cituoja Gairių 17, 18 punktus, Aprašo 5.11, 5.12.11 punktus, TM saugos nuostatų 7, 7.1–7.3, 7.5–7.6 punktus, ESPBI saugos nuostatų 8.2 punktą. Apibendrindamas pateiktą informaciją, daro išvadą, kad BDAR 32 straipsnyje nustatyta duomenų valdytojo ir duomenų tvarkytojo atsakomybė už tinkamų techninių ir organizacinių duomenų saugumo priemonių įgyvendinimą labai aiškiai atskirta Lietuvos Respublikos teisės aktuose ir todėl negali būti kvestionuojama. Inspekcijos Sprendime faktais įrodžius, kad ADSP įvyko dėl BDAR 32 straipsnio 1 dalies a, b ir c punktų nuostatų, už kurias atsako duomenų tvarkytojas, pažeidimo, Inspekcija Sprendime argumentuotai ir tinkamai nustatė atsakomybės subjektą, o teismas sprendime padarė nepagrįstą išvadą, jog Inspekcija sprendime nevertino, kokią kompetenciją Registrų centras turi pagal informacinės sistemos valdytojų patvirtintus saugos nuostatus ir nenustatė, kad pareiškėjas saugos nuostatuose ar kituose saugos dokumentuose nustatytos tvarkos nesilaikė ar laikėsi netinkamai.

17.4. BDAR 32 straipsnio 1 dalies nuostata yra vertinamoji ir tas vertinimas apima daug aspektų, todėl aplinkybė, kad Registrų centras įgyvendino jo nurodytas priemones, niekaip neįrodo, jog tos priemonės šiuo konkrečiu atveju buvo tinkamos. Priešingai nei teigia teismas, teismo sprendime pacituotos Inspekcijos sprendimo I dalies 5 punkte (Dėl gebėjimo užtikrinti nuolatinį duomenų tvarkymo sistemų ir paslaugų konfidencialumą, vientisumą, prieinamumą ir atsparumą (BDAR 32 straipsnio 1 dalies b punktas) ir gebėjimo laiku atkurti sąlygas ir galimybes naudotis asmens duomenimis fizinio ar techninio incidento atveju (BDAR 32 straipsnio 1 dalies c punktas)) bei III dalyje (Registrų centro pateiktų paaiškinimų vertinimas) pateiktos išvados yra padarytos nurodytose Inspekcijos sprendimo dalyse atlikus išsamią faktų ir taikomo teisinio reguliavimo analizę. Byloje nėra ginčo, kad, įvykus ADSP, Registrų centras neužtikrino pirmos kategorijos informacinės sistemos (ESPBI IS) nuolatinio duomenų tvarkymo sistemų ir paslaugų konfidencialumo, vientisumo, prieinamumo ir laiku per 8 valandas, kaip tai nustatyta Aprašo 5.11.4 papunktyje, neatkūrė galimybės naudotis ESPBI IS tvarkomais asmens duomenimis. Tuo pagrindu pareiškėjas Inspekcijos buvo pripažintas asmens duomenų saugumo pažeidimo subjektu, pažeidusiu ir BDAR 32 straipsnio 1 dalies b ir c punktuose įtvirtintus reikalavimus.

17.5. Teismas sprendime ypatingai daug dėmesio skyrė būtent vandens grėsmei, nesutikdamas su Inspekcijos padaryta išvada, kad Registrų centras nesiėmė tinkamų priemonių vandens grėsmei pašalinti ir sumažinti, bei pritardamas Registrų centro argumentams, jog Inspekcija Registrų centro teikiamų paaiškinimų ir įrodymų nevertino. Inspekcija nesutinka su šia teismo išvada, kadangi tiek Inspekcijos sprendimo I dalies 4 punkte, tiek ir III dalyje ypatingai didelis dėmesys yra skirtas vandens grėsmės suvaldymo aspektams. Registrų centras savo paaiškinimuose akcentuoja savo pastangas ir veiksmus, atliktus 2018 / 2020 m., o kaip matyti iš paties Registrų centro interneto svetainėje skelbiamos informacijos, savo, kaip duomenų tvarkytojo, veiklą Registrų centras pradėjo dar 1997 m., taigi iki 2018 m. turėjo daugiau kaip dešimtmetį.

18. Pareiškėjas Registrų centras atsiliepime į apeliacinį skundą prašo Regionų administracinio teismo Vilniaus rūmų 2024 m. balandžio 4 d. sprendimą palikti nepakeistą, o apeliacinį skundą atmesti. Atsiliepime nurodomi šie pagrindiniai argumentai:

18.1. Atsakovo nurodyta situacija, jog Inspekcija, priimdama naują sprendimą, dėl senaties neturėtų teisės Registrų centrui skirti administracinės baudos, susiklostė išimtinai dėl pačios Inspekcijos veiksmų, t. y. Inspekcija priėmė nemotyvuotą, nepagrįstą, nenuoseklų sprendimą, kuris priimtas neatsižvelgiant į faktų visumą, teisės aktų nuostatas ir Registrų centro paaiškinimus, grįstas žiniasklaidos straipsniuose esančia nepatvirtinta informacija arba menamais, subjektyviais argumentais.

18.2. Priešingai nei nurodyta atsakovo apeliaciniame skunde, Inspekcija neįsigilino į teisės aktus, reglamentuojančius duomenų valdytojo ir tvarkytojo teises, pareigas bei atsakomybes, taigi, iš esmės neatliko jokios objektyvios ir išsamios teisės aktų nuostatų analizės dėl duomenų valdytojo ir duomenų tvarkytojo atsakomybės aktualių aplinkybių kontekste. Inspekcija, priimdama sprendimą, vadovavosi tik Gairių 17 ir 18 punktais, todėl iš esmės neįvertino aplinkybės, jog Registrų centras negalėjo ir negali formuoti duomenų saugos politikos ar vienašališkai, be duomenų valdytojo pritarimo, priimti sprendimus dėl informacinių sistemų veiklos, elektroninės informacijos saugos (kibernetinio saugumo) tobulinimo, todėl Registrų centras negalėjo būti pripažintas vieninteliu pažeidimo subjektu, kuriam vienasmeniškai pritaikyta atsakomybė už asmens duomenų saugumo pažeidimą. Pareiškėjas cituoja BDAR 24 straipsnio 1 dalies, 32 straipsnio 1 dalies, Valstybės informacinių išteklių valdymo įstatymo (redakcija, galiojusi Registrų centro skundo pateikimo metu) 24 straipsnio 3 dalies 4 punkto, 43 straipsnio 3 dalies nuostatas.

18.3. Registrų centras atkreipia dėmesį į Gairių, kuriomis vadovavosi Inspekcija, 16, 17, 18 punktus, kurių sisteminis vertinimas vienareikšmiškai patvirtina klaidingą Inspekcijos išvadą, jog Inspekcija tinkamai nustatė atsakomybės subjektą, t. y. išimtinai tik Registrų centrą (kaip duomenų tvarkytoją). Pagal Gairių nuostatas, už saugos politikos formavimą atsakingas duomenų valdytojas, tuo metu duomenų tvarkytojas atsakingas už saugos politiką įgyvendinančiuose dokumentuose nustatytų priemonių įgyvendinimą. Registrų centras, kaip duomenų tvarkytojas, privalo užtikrinti tokias technines ir organizacines saugos priemones, kurias patvirtino duomenų valdytojas.

18.4. BDAR 32 straipsnyje nustatyta duomenų valdytojo ir duomenų tvarkytojo atsakomybė už tinkamų techninių ir organizacinių duomenų saugumo priemonių įgyvendinimą aiškiai atskirta Lietuvos Respublikos teisės aktuose, tačiau Inspekcija visiškai ignoravo aplinkybę, jog būtent duomenų valdytojas turi pareigą priimti sprendimus dėl informacinių sistemų techninių ir programinių priemonių, būtinų informacinių sistemų elektroninės informacijos saugai (kibernetiniam saugumui) užtikrinti, įsigijimo, diegimo ir modernizavimo, tuo metu duomenų tvarkytojas Registrų centras negalėjo ir negali formuoti duomenų saugos politikos ar vienašališkai, be duomenų valdytojo pritarimo, priimti sprendimus dėl informacinių sistemų veiklos, elektroninės informacijos saugos (kibernetinio saugumo) tobulinimo.

18.5. Teismas sprendime atkreipė dėmesį, kad Inspekcija ne tik nevertino, bet ir nenustatė saugos nuostatų pažeidimų. Teismas sprendime padarė išvadą, kad nevertindama, kokią kompetenciją Registrų centras turi pagal informacinės sistemos valdytojų patvirtintus saugos nuostatus, ir nenustačiusi, jog Registrų centras saugos nuostatuose ar kituose saugos dokumentuose nustatytos tvarkos nesilaikė ar laikėsi netinkamai, nėra pagrindo išvadai, kad už 2020 m. liepos 20 d. įvykusį asmens duomenų saugumo pažeidimą atsakingas išimtinai Registrų centras. Lietuvos vyriausiasis administracinis teismas 2023 m. kovo 1 d. nutartyje administracinėje byloje Nr. eA-174-821/2023 pabrėžė, kad už informacijos saugą pagal kompetenciją atsako tiek registro ar valstybės informacinių sistemų valdytojai, tiek jų tvarkytojai. Europos Sąjungos Teisingumo Teismo 2023 m. gruodžio 5 d. sprendimo, priimto byloje C-683/21, 36 punkte konstatuota: „Iš tiesų iš šios nuostatos, siejamos su BDAR 74 konstatuojamąja dalimi, matyti, kad jeigu subjektas atitinka minėto 4 straipsnio 7 punkte nustatytą sąlygą, jis yra atsakingas ne tik už bet kokį savo paties atliekamą asmens duomenų tvarkymą, bet ir už tvarkymą, atliekamą jo vardu“.

18.6. Inspekcija nenagrinėjo pagrindinio Registrų centro argumento, kad už saugos politikos formavimą atsako registrų ir valstybės informacinių sistemų valdytojai. Registrų centras, kaip duomenų tvarkytojas, privalo užtikrinti tokias technines ir organizacines saugos priemones, kurias patvirtino duomenų valdytojai, todėl akivaizdu, jog Registrų centras, kaip duomenų tvarkytojas, atliko visus įmanomus veiksmus, tinkamai įgyvendinant technines ir organizacines priemones, kad būtų užtikrintas duomenų saugumas jo atsakomybės ir galimybių ribose.

18.7. Teismas pagrįstai nurodė, jog Registrų centras tam tikrų rizikos šalinimo priemonių objektyviai negalėjo įgyvendinti ne tik dėl konsolidacijos veiksmų ar riboto veikimo be duomenų valdytojų pritarimo, tačiau ir dėl to, kad ESPBI IS rizikos ataskaitos, kuriose buvo nustatytos galimos rizikos, buvo pateiktos Registrų centrui liepos mėnesį, t. y. tą patį mėnesį, kai įvyko incidentas. Teismas konstatavo, jog Inspekcija, priimdama sprendimą, šių argumentų nevertino, informacijos netikrino, nepaisant Registrų centro teikiamų paaiškinimų ir įrodymų Inspekcija sprendimą grindė tais pačiais argumentais, kurie buvo išdėstyti ir Inspekcijos 2020 m. gruodžio 11 d. rašte Nr. 2R-6244 (2.23.E) „Dėl siūlymo skirti administracinę baudą“.

Teisėjų kolegija

konstatuoja:

IV. 19. Nagrinėjamoje byloje ginčas kilo dėl Valstybinės duomenų apsaugos inspekcijos 2021 m. vasario 26 d. sprendimo „Dėl administracinės baudos skyrimo valstybės įmonei Registrų centrui“ Nr. 3R-196(2.13.-1.E), kuriuo paskirta administracinė bauda valstybės įmonei Registrų centrui, taip pat dėl atsakovo įpareigojimo iš naujo išnagrinėti bylą dėl administracinės baudos skyrimo, teisėtumo ir pagrįstumo.

20. Pirmosios instancijos teismas pareiškėjo skundą tenkino, panaikino Valstybinės duomenų apsaugos inspekcijos 2021 m. vasario 26 d. sprendimą bei įpareigojo atsakovą iš naujo išnagrinėti bylą dėl administracinės baudos skyrimo. Pirmosios instancijos teismas konstatavo, kad atsakovas priimdamas ginčo sprendimą neišnagrinėjo visų bylai reikšmingų aplinkybių, nevertino dalies pareiškėjo argumentų ir padarė nepagrįstas išvadas.

21. Lietuvos Respublikos administracinių bylų teisenos įstatymo (toliau – ir ABTĮ) 140 straipsnio 1 dalyje nustatyta, kad teismas, apeliacine tvarka nagrinėdamas bylą, patikrina pirmosios instancijos teismo sprendimo pagrįstumą ir teisėtumą, neperžengdamas apeliacinio skundo ribų. To paties straipsnio 2 dalyje nustatyta, kad teismas peržengia apeliacinio skundo ribas, kai to reikalauja viešasis interesas arba kai neperžengus apeliacinio skundo ribų būtų reikšmingai pažeistos valstybės, savivaldybės ir asmenų teisės bei įstatymų saugomi interesai. Teismas taip pat patikrina, ar nėra šio įstatymo 146 straipsnio 2 dalyje nurodytų sprendimo negaliojimo pagrindų. Atsižvelgusi į minėtas nuostatas bei byloje nenustačiusi sprendimo negaliojimo pagrindų bei aplinkybių, dėl kurių turėtų būti peržengtos apeliacinio skundo ribos, teisėjų kolegija šią bylą apeliacine tvarka nagrinėja ir pirmosios instancijos teismo sprendimo pagrįstumą ir teisėtumą tikrina neperžengdama apeliacinio skundo ribų.

22. Teisėjų kolegija, patikrinusi bylą ABTĮ 140 straipsnyje nustatyta tvarka, nesutinka su pirmosios instancijos teismo padarytomis išvadomis.

23. Nagrinėjamoje byloje nustatyta, kad Registrų centras 2020 m. liepos 23 d. pranešimais Nr. S-1054 (1.8), Nr. S-1055 (1.8) ir Elektroninio dokumento nuorašu 2-16S-1056 (1.8), kurie buvo patikslinti Registrų centro 2020 m. rugpjūčio 20 d. raštu NS-5640 (1.8) informavo Inspekciją apie 2020 m. liepos 20 d. įvykusius asmens duomenų saugumo pažeidimus (toliau – ir ADSP). Inspekcijoje 2020 m. liepos 24 d. buvo gautas Sveikatos apsaugos ministerijos 2020 m. liepos 23 d. pranešimas apie asmens duomenų saugumo pažeidimą Nr. 10AD-164.

24. Inspekcija, išnagrinėjusi su Incidentu susijusią medžiagą, priėmė 2021 m. vasario 26 d. sprendimą „Dėl administracinės baudos skyrimo valstybės įmonei Registrų centrui“ Nr. 3R-196(2.13-1.E). Sprendime Inspekcija nustatė, kad pradiniai pranešimai dėl ADSP1, ADSP2, ADSP3 ir pranešimas dėl ADSP4 pateikti laiku, nevėluojant, praėjus ne daugiau kaip 72 valandoms nuo tada, kai Registrų centras ir SAM sužinojo apie ADSP. Registrų centro nustatyta ADSP priežastis – 2020 m. liepos 20 d. vanduo prasisunkė per pastato konstrukcijų pažeidimus ir užliejo žemesniame aukšte įrengtą serverinę, dėl ko išsijungė dalis serverių ir dalis serveriuose saugomos informacijos tapo nepasiekiama (neprieinama). Vandens patekimas ant veikiančios techninės įrangos, kuri maitinama elektros srove, gali išjungti ir (-ar) sugadinti techninę įrangą bei pažeisti joje saugomus duomenis. Dėl įvykusio ADSP, Registrų centras neužtikrino pirmos kategorijos informacinės sistemos (Elektroninės sveikatos paslaugų ir bendradarbiavimo infrastruktūros informacinės sistemos (ESPBI IS)) nuolatinio duomenų tvarkymo sistemų ir paslaugų konfidencialumo, vientisumo, prieinamumo ir laiku per 8 valandas, kaip tai nustatyta Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakymu Nr. 1V-832 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų patvirtinimo“ (toliau – ir Aprašas) 5.11.4 papunktyje, neatkūrė galimybės naudotis ESPBI IS tvarkomais asmens duomenimis. Tuo pagrindu pareiškėjas Inspekcijos buvo pripažintas asmens duomenų saugumo pažeidimo subjektu, pažeidusiu ir BDAR 32 straipsnio 1 dalies b ir c punktuose įtvirtintus reikalavimus.

25. Bendrojo duomenų apsaugos reglamento 32 straipsnio 1 dalies b ir c punktai nustato, kad atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas ir duomenų tvarkytojas įgyvendina tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas, įskaitant, inter alia, jei reikia (b) gebėjimą užtikrinti nuolatinį duomenų tvarkymo sistemų ir paslaugų konfidencialumą, vientisumą, prieinamumą ir atsparumą; (c) gebėjimą laiku atkurti sąlygas ir galimybes naudotis asmens duomenimis fizinio ar techninio incidento atveju.

26. Kaip jau minėta, asmens duomenų saugumo pažeidimas įvyko dėl to, kad 2020 m. liepos 20 d. lietaus vanduo prasisunkė per pastato konstrukcijų pažeidimus ir užliejo žemesniame aukšte įrengtą serverinę, dėl ko išsijungė dalis serverių ir dalis serveriuose saugomos informacijos tapo nepasiekiama (neprieinama), t.y. duomenų tvarkymo sistemų ir paslaugų konfidencialumas, vientisumas ir prieinamumas buvo pažeisti dėl techninio incidento, kuris taip pat turėjo įtakos pareiškėjo negebėjimui laiku atkurti sąlygas ir galimybes naudotis asmens duomenimis.

27. BDAR 32 straipsnio 1 dalies b ir c punktai pareigą užtikrinti, kad būtų užtikrintas pavojų atitinkančio lygio saugumas, taip pat ir gebėjimą užtikrinti nuolatinį duomenų tvarkymo sistemų ir paslaugų konfidencialumą, vientisumą, prieinamumą ir atsparumą bei gebėjimą laiku atkurti sąlygas ir galimybes naudotis asmens duomenimis, nustato asmens duomenų valdytojams ir duomenų tvarkytojams, t.y. šiame teisės akte vienareikšmiškai nėra atskiriamos duomenų valdytojo ir duomenų tvarkytojo atsakomybės ribos. Todėl sprendžiant dėl duomenų valdytojo ir duomenų tvarkytojo atsakomybės (kompetencijos) ribų būtina vadovautis nacionaliniais teisės aktais.

28. Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo (toliau – VIIVĮ) 2 straipsnio 11 ir 12 dalyse nustatyta, kad registro tvarkytojas – juridinis asmuo, pagal registro nuostatus įgaliotas registruoti registro objektą, tvarkyti registro duomenis, registro informaciją, registrui pateiktus dokumentus ir (arba) jų kopijas ir atsakyti už registro duomenų ir registro informacijos saugą; registro valdytojas – ministerija ar kita valstybės institucija ar valstybės įstaiga, kurios valdymo ar veiklos sričiai priskirtas registras ir kuri metodiškai vadovauja registro tvarkytojui ir koordinuoja registro funkcionavimą. Atitinkamai VIIVĮ 2 straipsnio 15 ir 16 punktuose nustatyta, kad valstybės informacinės sistemos valdytojas – ministerija ar kita valstybės institucija ar valstybės įstaiga, kuri nustato valstybės informacinės sistemos tikslus ir valdo valstybės informacinę sistemą; valstybės informacinės sistemos tvarkytojas – juridinis asmuo, pagal valstybės informacinės sistemos nuostatus įgaliotas tvarkyti informacinės sistemos duomenis ir atsakyti už jų saugą. Minėto įstatymo 34 straipsnio 4 ir 6 dalys nustato, kad valstybės informacinės sistemos tvarkytojas tvarko duomenis ir atsako už jų saugą. Valstybės informacinės sistemos tvarkytojas privalo apsaugoti duomenis nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo (3 punktas); numatyti ir įgyvendinti priemones, mažinančias duomenų atskleidimo ir praradimo riziką ir užtikrinančias prarastų duomenų atkūrimą ir duomenų apsaugą nuo klastojimo (4 punktas); užtikrinti, kad valstybės informacinė sistema veiktų nepertraukiamai (6 punktas).

29. LR Vyriausybės 2013m. liepos 24 d. nutarimu Nr. 716 patvirtinto Bendrųjų elektroninės informacijos saugos reikalavimų aprašo 16, 17 ir 18 punktai nustato, kad už elektroninės informacijos saugą pagal kompetenciją atsako informacinės sistemos valdytojas ir informacinės sistemos tvarkytojas (-ai). Informacinės sistemos valdytojas atsako už saugos politikos formavimą ir įgyvendinimo organizavimą, priežiūrą ir elektroninės informacijos tvarkymo teisėtumą. Informacinės sistemos tvarkytojas (-ai) atsako už reikiamų administracinių, techninių ir organizacinių saugos priemonių įgyvendinimą, užtikrinimą ir laikymąsi Saugos nuostatuose ir saugos politiką įgyvendinančiuose dokumentuose nustatyta tvarka.

30. Lietuvos Respublikos sveikatos sistemos įstatymo 131 straipsnio 2 dalis nustato, kad įgyvendinant Lietuvos Respublikos elektroninės sveikatos sistemos priemones, steigiama valstybės elektroninė sveikatos paslaugų ir bendradarbiavimo infrastruktūros informacinė sistema. Šios informacinės sistemos valdytoja yra Sveikatos apsaugos ministerija.

31. Lietuvos Respublikos teisingumo ministro 2017-05-22 įsakymu Nr. 1R-132 patvirtintų Valstybės įmonės Registrų centro tvarkomų registrų ir informacinių sistemų duomenų saugos nuostatų 7 punktas numato, kad pareiškėjas privalo užtikrinti nepertraukiamą informacinių sistemų veikimą, užtikrinti informacinių sistemų elektroninės informacijos saugą (kibernetinį saugumą) ir saugų elektroninės informacijos perdavimą elektroninių ryšių tinklais (automatiniu būdu), užtikrinti informacinių sistemų sąveiką su susijusiais registrais ir informacinėmis sistemomis.

32. Lietuvos Respublikos sveikatos apsaugos ministro 2019-07-03 įsakymu Nr. V-777 patvirtintų Lietuvos Respublikos sveikatos apsaugos ministerijos valdomų ir valstybės įmonės Registrų centro tvarkomų elektroninės sveikatos sistemos informacinių sistemų duomenų saugos nuostatų 8 punktas nustato, kad pagrindinis informacinių sistemų tvarkytojas – Registrų centras – privalo užtikrinti informacinių sistemų nepertraukiamą veiklą; užtikrinti saugų elektroninės informacijos perdavimą elektroninių ryšių tinklais; pagal kompetenciją prižiūrėti informacinių sistemų duomenų bazių valdymo sistemas, taikomųjų programų sistemas, ugniasienes, įsilaužimų aptikimo sistemas, elektroninės informacijos perdavimo tinklus ir kitus informacinių sistemų komponentus, užtikrinti jų veikimą.

33. Sistemiškai aiškinant šio sprendimo 25, 28, 29, 30, 31 ir 32 punktuose pateiktas teisės normas, šioje byloje nustatytų faktinių aplinkybių pagrindu, darytina išvada, jog nagrinėjamu atveju Elektroninės sveikatos paslaugų ir bendradarbiavimo infrastruktūros informacinės sistemos valdytojas yra LR Sveikatos apsaugos ministerija, o duomenų tvarkytojas – pareiškėjas. Pareiškėjas, būdamas Elektroninės sveikatos paslaugų ir bendradarbiavimo infrastruktūros informacinės sistemos duomenų tvarkytojas, yra atsakingas už tvarkomos informacinės sistemos saugą, duomenų tvarkymo sistemos ir teikiamų paslaugų konfidencialumą, vientisumą ir prieinamumą, taip pat turi pareigą laiku atkurti sąlygas ir galimybes naudotis asmens duomenimis fizinio ar techninio incidento atveju.

34. Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakymu Nr. 1V-832 patvirtintų Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų 5.11 punkte nustatyta, kad informacinės sistemos valdytojas turi nusistatyti, kiek jis ir informacinės sistemos tvarkytojas (-ai) ilgiausiai gali tęsti savo funkcijų, kurioms atlikti buvo sukurta informacinė sistema, vykdymą neveikiant informacinei sistemai ar jos daliai; informacinės sistemos neveikimo laikotarpis negali būti ilgesnis nei: 5.11.1. ketvirtos kategorijos informacinės sistemos – 24 val.; 5.11.2. trečios kategorijos informacinės sistemos – 16 val.; 5.11.3. antros kategorijos informacinės sistemos – 12 val.; 5.11.4. pirmos kategorijos informacinės sistemos – 8 val. Pagal Aprašo 5.12.11 punktą per metus turi būti užtikrintas informacinės sistemos prieinamumas: ketvirtos kategorijos informacinėms sistemoms – ne mažiau kaip 70 proc. laiko darbo metu darbo dienomis, trečios kategorijos informacinėms sistemoms – ne mažiau kaip 90 proc. laiko darbo metu darbo dienomis, antros kategorijos informacinėms sistemoms – ne mažiau kaip 96 proc. laiko visą parą, pirmos kategorijos informacinėms sistemoms – ne mažiau kaip 99 proc. laiko visą parą.

35. Kaip anksčiau paminėta, 2020 m. liepos 20 d. Registrų centro pastate, esančiame (duomenys neskelbtini), dėl gamtos reiškinio – stiprios liūties Vilniaus mieste, trūko lietaus nuotekų sistemos vamzdis, vanduo prasisunkė per pastato konstrukcijų pažeidimus ir užliejo žemesniame aukšte įrengtą Registrų centro serverinę, dėl ko išsijungė dalis serverių ir dalis serveriuose saugomos informacijos tapo nepasiekiama (neprieinama). Dėl įvykusio asmens duomenų saugos pažeidimo Registrų centras neužtikrino pirmos kategorijos informacinės sistemos (Elektroninės sveikatos paslaugų ir bendradarbiavimo infrastruktūros informacinės sistemos (ESPBI IS)) nuolatinio duomenų tvarkymo sistemų ir paslaugų konfidencialumo, vientisumo, prieinamumo ir laiku per 8 valandas, kaip tai nustatyta Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakymu Nr. 1V-832 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų patvirtinimo“ patvirtintame Aprašo 5.11.4 papunktyje, neatkūrė galimybės naudotis ESPBI IS tvarkomais asmens duomenimis. Vadovaujantis aptartomis teisės normomis ir nagrinėjamoje byloje nustatytomis faktinėmis aplinkybėmis, apeliacinės instancijos teisėjų kolegija sprendžia, kad atsakovas pagrįstai pripažino pareiškėją pažeidusiu BDAR 32 straipsnio 1 dalies b ir c punktuose įtvirtintus reikalavimus.

36. Pareiškėjo argumentus, kad už saugos politikos formavimą atsako registrų ir valstybės informacinių sistemų valdytojai, o Registrų centras, kaip duomenų tvarkytojas, privalo užtikrinti tokias technines ir organizacines saugos priemones, kurias patvirtino duomenų valdytojai, todėl Registrų centras, kaip duomenų tvarkytojas, atliko visus įmanomus veiksmus, tinkamai įgyvendinant technines ir organizacines priemones, kad būtų užtikrintas duomenų saugumas jo atsakomybės ir galimybių ribose, teismas atmeta kaip nepagrįstus. Byloje nagrinėjamas asmens duomenų saugumo pažeidimo incidentas, apeliacinės instancijos teismo vertinimu, įvyko ne dėl saugos politikos formavimo ydingumo, o dėl netinkamų ir nepakankamų techninės ir organizacinės saugos priemonių, kurių taikymas yra Registrų centro kompetencijoje.

37. Pareiškėjo argumentai, kad Registrų centras 2019 m. sausio 23d. raštais kreipėsi į LR sveikatos apsaugos ministeriją, LR susisiekimo ministeriją ir LR ekonomikos ir inovacijų ministeriją ir rūpinosi, kad ESPBI IS veiktų sklandžiai, ieškojo naujų sprendimų sistemos veiklai gerinti, prašė ESPBI IS valdytojo priimti sprendimą dėl tolesnės ESPBI IS duomenų bazių tarnybinių stočių technologijos, įskaitant ir lėšų poreikį „Oracle“ duomenų bazių licencijoms ir jų palaikymui, bei spręsti klausimą dėl pakankamo lėšų skyrimo ESPBI IS, kad 2019 m. liepos 31 d. raštu Nr. S-47176 kreipėsi į Informacinės visuomenės plėtros komitetą, kuriuo prašė pritarimo ESPBI IS plėtrai ir modernizavimui, naudoti technologijas, užtikrinančias našesnę ir efektyvesnę sistemos veiklą, nepaneigia padarytų BDAR 32 straipsnio 1 dalies b ir c punktuose įtvirtintų reikalavimų pažeidimų. Vadovaujantis BDAR 83 straipsnio 2 dalies nuostatomis, kad sprendžiant dėl administracinės baudos dydžio atsižvelgiama į pažeidimo pobūdį, sunkumą ir trukmę, atsižvelgiama į atitinkamo duomenų tvarkymo pobūdį, aprėptį ar tikslą, taip pat į nukentėjusių duomenų subjektų skaičių ir jų patirtos žalos dydį, į bet kuriuos veiksmus, kurių duomenų valdytojas arba duomenų tvarkytojas ėmėsi, kad sumažintų duomenų subjektų patirtą žalą, į duomenų valdytojo arba duomenų tvarkytojo atsakomybės dydį, atsižvelgiama į jų pagal 25 ir 32 straipsnius įgyvendintas technines ir organizacines priemones, pareiškėjo pateikti argumentai yra reikšmingi konkrečiu atveju parenkant administracinės baudos dydį.

38. Pagal BDAR 83 straipsnio 2 dalį nustatyta galimybė skirti baudą iki 10 000 000 Eur. Apeliacinės instancijos teismo kolegijos vertinimu, atsakovas šiuo konkrečiu atveju skirdamas pareiškėjui 15000 Eur baudą, t. y. iš esmės mažesnę nei numatyta BDAR 83 straipsnio 2 dalyje, pagrįstai ir tinkamai įvertino visas aplinkybes, turinčias reikšmės baudos individualizavimui. Atsakovas teisingai įvertino pareiškėjo kaltės formą ir visas atsakomybę lengvinančias aplinkybes, sudarančias pagrindą skirti mažesnę baudą.

39. Teisėjų kolegija sprendžia, jog atsakovas teisingai įvertino ir kvalifikavo pareiškėjo padarytą BDAR nuostatų pažeidimą, argumentuotai parinko administracinę baudą, todėl atsakovo 2021 m. vasario 26 d. sprendimas „Dėl administracinės baudos skyrimo valstybės įmonei Registrų centrui“ Nr. 3R-196(2.13.-1.E) yra teisėtas ir pagrįstas, pagrindo jį naikinti nėra.

40. Apibendrindama išdėstytus argumentus, apeliacinės instancijos teisėjų kolegija sprendžia, jog pirmosios instancijos teismas netinkamai vertino byloje surinktus įrodymus, netinkamai taikė materialiosios teisės normas, todėl priėmė nepagrįstą sprendimą. Todėl pirmosios instancijos teismo sprendimas naikinamas ir priimamas naujas sprendimas – pareiškėjo skundą atmesti.

Vadovaudamasi Lietuvos Respublikos administracinių bylų teisenos įstatymo 144 straipsnio 1 dalies 2 punktu, teisėjų kolegija

nusprendžia:

Atsakovo Valstybinės duomenų apsaugos inspekcijos apeliacinį skundą patenkinti.

Regionų administracinio teismo Vilniaus rūmų 2024 m. balandžio 4 d. sprendimą panaikinti ir priimti naują sprendimą – pareiškėjo valstybės įmonės Registrų centro skundą atmesti kaip nepagrįstą.

Sprendimas neskundžiamas.

Teisėjai Laimutis Alechnavičius

Rasa Ragulskytė-Markovienė

Milda Vainienė