Court dismisses request to order data inspector to investigate bank data processing due to criminal offense nature.

ADMINISTRATĪVĀ RAJONA TIESA

RĒZEKNES TIESU NAMS

Lietas arhīva Nr.A42-01064-21/44

ECLI:LV:ADRJRTN:2021:0416.A420285820.2.S

SPRIEDUMS

Latvijas tautas vārdā

Rēzeknē 2021.gada 16.aprīlī

Administratīvā rajona tiesa

šādā sastāvā: tiesnese Solvita Pujāte,

rakstveida procesā izskatīja administratīvo lietu, kas ierosināta sakarā ar /pers. A/ pieteikumu par pienākuma uzlikšanu Datu valsts inspekcijai veikt

pārbaudi par iespējamiem akciju sabiedrības „Swedbank” pārkāpumiem pieteicējas personas datu apstrādē.

Aprakstošā daļa

[1] /pers. A/ vērsās Datu valsts inspekcijā (turpmāk – inspekcija) ar 2020.gada 29.septembra sūdzību par iespējamiem akciju sabiedrības

„Swedbank” (turpmāk –banka) pārkāpumiem pieteicējas personas datu apstrādē, nepilnīgas atbildes uz piekļuves pieprasījumu sniegšanu un neziņošanu

inspekcijai par personas datu aizsardzības pārkāpumu, kā to paredz Eiropas Parlamenta un Padomes 2016.gada 27.aprīļa Regulas par fizisku personu

aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula, turpmāk –

Regula) 33.pants (lietas 28.-29.lapa).

Sūdzībā norādīja, ka bankas pieļauto iespējamo pārkāpumu rezultātā kāda persona ieguvusi pieteicējas kontā esošos naudas līdzekļus 2 200 euro

apmērā.

[2] Inspekcijas direktora vietnieks, izskatījis sūdzību, 2020.gada 22.oktobrī sniedza pieteicējai atbildi Nr.2-4.3/1071-N (lietas 12.-15.lapa), kurā

norādīja sekojošo.

[2.1] Banka atbilstoši Regulas 15.panta prasībām atbildē uz piekļuves pieprasījumu ir ietvērusi visu minētajā pantā noteikto informāciju. Tādējādi

banka ir izpildījusi Regulā noteikto pienākumu sniegt piekļuvi datu subjekta personas datiem.

[2.2] Inspekcija nav guvusi apstiprinājumu pieteicējas sniegtajām ziņām par bankas rīcību, kas izpaudusies kā pieteicējas personas datu nejauša vai

nelikumīga nozaudēšana, izpaušana vai piekļuves sniegšana trešajām personām. Tādējādi nav konstatējams personas datu apstrādes pārkāpums un

attiecīgi bankas pienākums saskaņā ar Regulas 33.pantu ziņot inspekcijai par tādu.

[2.3] Inspekcijas kompetencē neietilpst iespējamu kibernoziegumu (tiešsaitē izdarītu noziedzīgu nodarījumu pret automatizētas datu apstrādes

sistēmas drošību) vai citu noziedzīgu nodarījumu, par kuriem normatīvajos aktos paredzēta kriminālatbildība, izmeklēšana.

Pieteicēja nepiekrita minētajai atbildei un 2020.gada 28.oktobrī iesniedza sūdzību (lietas 30.-31.lapa) inspekcijas direktoram.

[3] Inspekcijas direktors, izskatījis sūdzību, 2020.gada 1.decembrī sniedza pieteicējai atbildi Nr.8-4.3/295-N (turpmāk – atbilde), kurā

inspekcijas 2020.gada 22.oktobra atbilde Nr.2-4.3/1071-N atzīta par pareizu (lietas 10.-11.lapa). Papildus atbildē norādīja, ka gadījumā, ja noticis

personas datu aizsardzības pārkāpums, prettiesiski piekļūstot pieteicējas datiem un izmantojot tos, lai izdarītu noziedzīgu nodarījumu, tas nav vērtējams

atrauti no sekām (zādzības), kas radušās personas datu apstrādes rezultātā. Tādējādi konkrētajā gadījumā trešo personu veiktā pieteicējas personas datu

apstrāde ir tikai viens posms (epizode) no notikuma, kas kvalificējams kā zādzība, tas ir, personas dati izmantoti kā līdzeklis mērķa (naudas līdzekļu

iegūšana) sasniegšanai. Ievērojot tiesībās nostiprināto ne bisi in idem principu (dubultās sodīšanas aizliegums) un inspekcijas kompetenci, 2020.gada

22.oktobra atbildē ir sniegta norāde par kompetento iestādi (Valsts policija), kur pieteicēja var vērsties ar lūgumu izvērtēt konkrētā gadījuma apstākļus.

Pieteicējas sūdzību daļā, kas ietilpst inspekcijas kompetencē, inspekcija ir izskatījusi un sniegusi savu vērtējumu par bankas atbildes uz piekļuves

pieprasījumu atbilstību Regulas noteikumiem un paskaidrojusi, kādēļ bankai nav saistošs Regulas 33.pantā noteiktais pienākums ziņot uzraudzības

iestādei par personas datu aizsardzības pārkāpumu.

[4] Pieteicēja nepiekrita atbildei un iesniedza pieteikumu tiesā par pienākuma uzlikšanu inspekcijai veikt pārbaudi par bankas pārkāpumiem

pieteicējas personas datu apstrādē (lietas 5.-8.lapa).

Pieteikumā norādīja, ka inspekcija nav pildījusi tai ar normatīvo aktu noteikto pienākumu veikt pārbaudi par iespējamiem bankas pārkāpumiem

pieteicējas personas datu apstrādē, ka inspekcijai bija jāveic pārbaude bankā, nevis jāvērtē bankas atbilde uz piekļuves pieprasījumu. Uzskata, ka

inspekcijai bija jāpārbauda tehniskos un organizatoriskos pasākumus, nodrošinot tādu drošības līmeni personas datu apstrādei, kas nepieļauj personas

datu izpaušanu. Ja pieteicējas dati netiktu izpausti, pieteicējas konts netiktu apzagts. Nepiekrita inspekcijas secinājumiem, ka bankai nav saistošs Regulas

33.pantā noteiktais pienākums ziņot uzraudzības iestādei par personas datu aizsardzības pārkāpumu. Nepiekrita, ka Regulas noteikumi neparedz datu

subjektam tiesības prasīt uzraudzības iestādei veikt savu personas datu apstrādes pārbaudi.

[5] Inspekcija rakstveida paskaidrojumā (lietas 24.-26.lapa) pieteikumam nepiekrita, lūdza to noraidīt un paskaidroja sekojošo.

Inspekcijas kompetence noteikta Regulā, Fizisko personu datu apstrādes likumā (turpmāk – Datu likums) un citos normatīvajos aktos. Datu likums

un Regula neparedz inspekcijai pilnvaras izskatīt krimināllietas un veikt citas ar attiecīgo procesu saistītās darbības, līdz ar to inspekcija nevar sniegt

vērtējumu iespējamā noziedzīgā nodarījuma atbilstībai Krimināllikuma 145.pantā noteiktā noziedzīgā nodarījuma pazīmēm, tā kā tas neietilpst inspekcijas

normatīvajos aktos noteiktajā darbības ietvarā. Minētā vērtējuma veikšana ir Valsts policijas kompetencē.

Ievērojot tiesībās nostiprināto dubultās sodīšanas aizlieguma principu, kas atzīmēts arī Regulas 149.apsvērumā, inspekcija nevērtē un arīdzan

nepārbauda personas datu apstrādes atbilstību Regulas noteikumiem (jo īpaši) gadījumos, kad personas dati ir izmantoti kā rīks cita noziedzīga

nodarījuma (attiecīgajā gadījumā – zādzības), par kuru paredzēta kriminālatbildība, veikšanai.

Inspekcija, sniedzot atbildes uz pieteicējas sūdzībām, izskaidroja apsvērumus saistībā ar tās kompetenci, kā arī norādīja kompetento iestādi, kurā

vērsties pēc palīdzības, lai vienlaicīgi risinātu, iespējams, prettiesiski veikto personas datu apstrādi un naudas līdzekļu zādzību, tā kā abi notikumi ir saistīti

un, iespējams, veido noziedzīga nodarījuma kopību.

Konkrētajā gadījumā inspekcija pārbaudīja pārziņa sniegtās atbildes uz datu subjekta piekļuves pieprasījuma atbilstību Regulas noteikumiem.

Pārbaudes rezultātā inspekcija pārliecinājās, ka pārziņa darbības ir atbilstošas Regulas noteikumiem, līdz ar to pārziņa veiktā personas datu apstrāde

neradīja aizdomas par tās rīcības rezultātā notikušu personas datu apstrādes pārkāpumu. Gūstot šādu pārliecību un ievērojot to, ka noteikti datu

apstrādes aspekti, tostarp organizatoriskie un tehniskie pasākumi vērtējami, izmeklējot attiecīgos noziedzīgos nodarījumus, inspekcija neveica padziļinātu

personas datu apstrādes pārbaudi.

Konkrētajā gadījumā inspekcijas rīcībā nebija ziņu par faktiem, kas liecinātu par nepieciešamību ierosināt lietu. Personas subjektīvā vēlme, kas nav

balstīta ziņās par faktiem, nevar kalpot par pietiekamu pamatu lietas ierosināšanai iestādē.

Motīvu daļa

[6] Izvērtējot lietas dalībnieku argumentus un lietas materiālus, tiesa secina, ka pieteikums ir noraidāms.

[7] Lietā pastāv strīds, vai inspekcijai ir uzliekams pienākums veikt pieteicējas datu apstrādes bankā pārbaudi.

[8] Regulas 1.pantā ir ietverti regulas mērķi, kas paredz noteikumus fizisku personu aizsardzībai attiecībā uz personas datu apstrādi un noteikumus

personas datu brīvai apritei (1.punkts), fizisku personu pamattiesību un pamatbrīvību aizsardzībai, jo īpaši to tiesības uz personas datu aizsardzību

(2.punkts), un to, ka personas datu brīvu apriti Savienībā neierobežo un neaizliedz tādu iemeslu dēļ, kas saistīti ar fizisku personu aizsardzību attiecībā uz

personas datu apstrādi (3.punkts).

Atbilstoši Regulas 4.panta 12.apakšpunktam personas datu aizsardzības pārkāpums ir drošības pārkāpums, kura rezultātā notiek nejauša vai

nelikumīga nosūtīto, uzglabāto vai citādi apstrādāto personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem,

savukārt 33.panta 1.punkts paredz pārziņa pienākumu personas datu aizsardzības pārkāpuma gadījumā bez nepamatotas kavēšanās un, ja iespējams, ne

vēlāk kā 72 stundu laikā no brīža, kad pārkāpums tam kļuvis zināms, paziņot par personas datu aizsardzības pārkāpumu uzraudzības iestādei

(inspekcijai), kas ir kompetenta saskaņā ar 55.pantu, izņemot gadījumus, kad ir maz ticams, ka personas datu aizsardzības pārkāpums varētu radīt risku

fizisku personu tiesībām un brīvībām.

Regulas 15.pants cita starp noteic, ka datu subjektam ir tiesības saņemt no pārziņa apstiprinājumu par to, vai attiecībā uz datu subjektu tiek vai

netiek apstrādāti personas dati, un, ja tiek, datu subjektam ir tiesības piekļūt attiecīgajiem datiem un saņemt šajā pantā minēto informāciju, proti, a)

apstrādes nolūki; b) attiecīgo personas datu kategorijas; c) personas datu saņēmēji vai saņēmēju kategorijas, kam personas dati ir izpausti vai kam tos

izpaudīs, jo īpaši saņēmēji trešās valstīs vai starptautiskās organizācijās; d) ja iespējams, paredzētais laikposms, cik ilgi personas dati tiks glabāti, vai, ja

nav iespējams, kritēriji, ko izmanto minētā laikposma noteikšanai; e) tas, ka pastāv tiesības pieprasīt no pārziņa datu subjekta personas datu labošanu vai

dzēšanu, vai personas datu apstrādes ierobežošanu vai tiesības iebilst pret šādu apstrādi; f) tiesības iesniegt sūdzību uzraudzības iestādei; g) visa pieejamā

informācija par datu avotu, ja personas dati netiek vākti no datu subjekta.

[9] Kā konstatējams no lietas materiāliem, pieteicēja, konstatējot, ka no viņas bankas konta ir pārskaitīti (nozagti) naudas līdzekļi uz kontu citā

bankā, vērsās ar iesniegumu bankā, lūdzot sniegt informāciju par viņas personas datu apstrādi, proti, kas, kad piekļuva pieteicējas datiem (par norēķina

kontu, vārdu, uzvārdu, personas kodu) un uz kāda pamata veica datu apstrādi, vai bija nelikumīga piekļuve pieteicējas datiem, ja banka to fiksēja, vai

par to tika ziņots inspekcijai.

Banka sniedza pieteicējai atbildi (lietas 16.-20.lapa), kurā cita starp norādīja, ka banka veica rūpīgu informācijas izpēti par varbūtēju pieteicējas

datu nonākšanu trešo personu rīcībā. Pārbaudes rezultātā netika gūti pierādījumi tam, ka pieteicējas dati trešo personu rīcībā būtu nonākuši no bankas.

Kā arī norādīja, ka banka ir veikusi apstrīdētā darījuma analīzi un par tās rezultātiem pieteicējai sniegta atbilde 2020.gada 9., 11. un 25.septembrī

internetbankā bankas ziņojumu sadalē.

Tiesa, izvērtējot bankas sniegto atbildi, konstatē, ka banka atbilstoši Regulas 15.panta prasībām atbildē uz piekļuves pieprasījumu ir ietvērusi visu

minētajā pantā noteikto informāciju, kā arī ir sniegusi informāciju par to, ka pārbaudes rezultātā netika gūti pierādījumi tam, ka pieteicējas dati trešo

personu rīcībā būtu nonākuši no bankas. Līdz ar to secināms, ka banka ir veikusi darbības, lai noskaidrotu 2020.gada 9.septembra gadījumu un tā

iespējamos rašanās cēloņus. Ievērojot, ka banka nekonstatēja personas datu aizsardzības pārkāpumu, bankai nebija pienākums saskaņā ar Regulas

33.pantu ziņot inspekcijai par tādu. Līdz ar to nav pamatots pieteicējas iebildums par bankas pieļautu Regulas 33.panta pārkāpumu.

[10] Datu likuma 5.panta pirmās daļas 1.punkts noteic, ka inspekcijai ir Regulas 58.pantā noteiktās tiesības, kā arī tiesības veikt datu apstrādes

pārbaudi, lai noteiktu datu apstrādes atbilstību normatīvo aktu prasībām.

Pieteicēja uzskata, ka inspekcija nav pildījusi savus normatīvajos aktos noteiktos pienākumus, proti, pieteicējas ieskatā, inspekcija nav veikusi

pārbaudi pieteicējas datu apstrādes prettiesiskuma konstatēšanai.

Izvērtējot inspekcijas pieteicējai sniegtās atbildes, tiesa konstatē, ka inspekcija ir veikusi pieteicējas datu apstrādes atbilstības normatīvajiem aktiem

pārbaudi tiktāl, ciktāl piemērojami Regulas un Datu likuma noteikumi. Proti, konkrētajā gadījumā inspekcija ir pārbaudījusi bankas sniegtās atbildes uz

pieteicējas piekļuves pieprasījumu atbilstību Regulas noteikumiem. Pārbaudes rezultātā inspekcija nav konstatējusi bankas kā pārziņa darbības

neatbilstību Regulā ietvertajiem noteikumiem, proti, nekonstatēja prettiesisku pieteicējas datu apstrādi no bankas puses, citiem vārdiem, pārziņa veiktā

pieteicējas datu apstrāde neliecina par iespējamu tā rīcības rezultātā notikušu personas datu apstrādes pārkāpumu. Līdz ar to nav pamatots pieteicējas

iebildums, ka inspekcija nav veikusi pārbaudi par iespējamu pieteicējas datu aizsardzības pārkāpumu.

[11] Kā secināms no pieteikumā izklāstītajiem apstākļiem, izmantojot pieteicējas datus, no pieteicējas konta bankā pārskaitīti naudas līdzekļi uz

citas personas kontu Citadele bankā, proti, no pieteicējas konta nozagti naudas līdzekļi, par ko ir ierosināts kriminālprocess.

Par tādu datu iegūšanu, kas dod iespēju nelikumīgi izmantot finanšu instrumentu vai maksāšanas līdzekli, ir paredzēta kriminālatbildība

(Krimināllikuma 193.1pants). Proti, datu aizsardzību tieši naudas līdzekļu pārskaitījuma dēļ faktiski aizsargā Krimināllikuma 193.1pants. Atbilstoši Datu

likuma 5.panta pirmās daļas 2.punktam inspekcija cita starpā ir tiesīga sastādīt administratīvo pārkāpumu protokolus, izskatīt administratīvo pārkāpumu

lietas un uzlikt administratīvos sodus par pārkāpumiem, kuru izskatīšana ir tai piekritīga. Taču inspekcijas kompetencē neietilpst veikt pārbaudi, ja

apstrādājot personas datus, tiek veiktas darbības, par kurām paredzēta kriminālatbildība. Citiem vārdiem, inspekcijas kompetencē nav iespējamu

noziedzīgu nodarījumu, tostarp kibernoziegumu izmeklēšana. Konkrētajā gadījumā personas datu apstrāde veikta ļaunprātīgos nolūkos, proti, lai nozagtu

no konta naudas līdzekļus. Šāda datu apstrāde un tam sekojošā zādzība ir izvērtējama kriminālprocesa ietvaros, kas nav inspekcijas kompetencē.

Līdz ar to inspekcija pamatoti neveica padziļinātu pieteicējas personas datu apstrādes pārbaudi, kā arī pamatoti norādīja, ka noteikti datu

apstrādes aspekti, tostarp organizatoriskie un tehniskie pasākumi vērtējami, izmeklējot konkrēto noziedzīgo nodarījumu.

[12] No regulas 57.panta 1.punkta f) apakšpunkta un 78.panta 2.punkta un Datu likuma 5.panta pirmās daļas 1.punkta secināms, ka inspekcijai ir

pienākums izskatīt datu subjekta sūdzību, atbilstošā apjomā izmeklēt (pārbaudīt) sūdzībā minētos faktus un trīs mēnešu laikā informēt sūdzības iesniedzēju

par pārbaudes rezultātiem.

Tātad personai, kas ir vērsusies ar sūdzību inspekcijā un lūgusi izvērtēt datu apstrādes atbilstību normatīvo aktu prasībām, ir tiesības saņemt atbildi

par veiktās pārbaudes rezultātiem.

No iepriekš konstatētā secināms, ka inspekcija 2020.gada 29.septembrī saņēma pieteicējas sūdzību, veica pārbaudi (atbilstošā apjomā izmeklēja

jautājumu) un 2020.gada 22.oktobrī informēja pieteicēju par pārbaudes rezultātiem. Tātad inspekcija savu pilnvaru ietvaros ir veikusi pārbaudi un

noteiktajā termiņā informējusi pieteicēju par pārbaudes rezultātiem, ka pārziņa veiktā pieteicējas datu apstrāde neliecina par iespējamu tā rīcības rezultātā

notikušu personas datu apstrādes pārkāpumu.

[13] Apkopojot visu spriedumā konstatēto un secināto, tiesa atzīst, ka nav konstatējams pamats pienākuma uzlikšanai inspekcijai veikt pārbaudi

bankā, līdz ar to pieteikums kā nepamatots ir noraidāms.

Rezolutīvā daļa

Saskaņā ar Administratīvā procesa likuma 246.-251., 289.pantu, 290.panta pirmo un otro daļu, 291.panta pirmo daļu tiesa

nosprieda:

noraidīt /pers. A/ pieteikumu par pienākuma uzlikšanu Datu valsts inspekcijai veikt pārbaudi par iespējamiem akciju sabiedrības „Swedbank”

pārkāpumiem pieteicējas personas datu apstrādē.

Spriedumu var pārsūdzēt Administratīvajā apgabaltiesā viena mēneša laikā no sprieduma sastādīšanas dienas, iesniedzot apelācijas sūdzību

Administratīvās rajona tiesas Rēzeknes tiesu namā.

Tiesnese Solvita Pujāte