Court dismisses city council appeal against Data Protection Inspectorate's fine for unauthorized data disclosure.

ADMINISTRATĪVĀ RAJONA TIESA

RĒZEKNES TIESU NAMS

Lietas arhīva Nr. A42-00908-21/44

ECLI:LV:ADRJRTN:2021:0622.A420265620.3.S

SPRIEDUMS

Latvijas tautas vārdā

Rēzeknē 2021. gada 22. jūnijā

Administratīvā rajona tiesa

šādā sastāvā: tiesnese Solvita Pujāte,

piedaloties pieteicējas – Daugavpils pilsētas domes – pārstāvjiem /pers. A/ un /pers. B/, atbildētāja pusē pieaicinātās iestādes – Datu valsts

inspekcijas – pārstāvei /pers. C/ un trešās personas – /pers. D/ – pārstāvim /pers. E/,

atklātā tiesas sēdē izskatīja administratīvo lietu, kas ierosināta sakarā ar Daugavpils pilsētas domes pieteikumu par Datu valsts inspekcijas

2020. gada 13. oktobra lēmuma Nr.2-2.2/45 atcelšanu.

Aprakstošā daļa

[1] /pers. D/ vērsās ar iesniegumu Datu valsts inspekcijā (turpmāk – inspekcija vai atbildētāja), kurā norādīja uz Daugavpils pilsētas domes

(turpmāk – dome vai pieteicēja) nelikumīgu rīcību ar viņas personas datiem.

[2] Ar inspekcijas 2020. gada 13. oktobra lēmumu Nr. 2-2.2/45 (turpmāk – lēmums) pieteicējai izteikts rājiens par Eiropas Parlamenta un

Padomes regulas (ES) 2016/679 par fizisko personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu

95/46/EK (Vispārīgā datu aizsardzības regula) (turpmāk – Datu regula) 5. panta 1. punkta a) un f) apakšpunktā minēto personas datu apstrādes principu

un 24. panta 1. punktā un 32. panta 1. punkta b) apakšpunktā noteikto prasību neievērošanu, tādējādi pieļaujot personas datu drošības pārkāpumu,

proti, nepamatotu personas datu izpaušanu trešajām personām. Papildus izteikts aicinājums pieteicējai turpmākā darbībā, veicot personas datu apstrādi,

ievērot Datu regulas prasības, izvērtēt dažādas iespējamības un nopietnības pakāpes riskus attiecībā uz fizisku personu tiesībām un brīvībām, ņemot vērā

datu apstrādes raksturu, apmēru, kontekstu, nolūkus un veiktos tehniskos un organizatoriskos pasākumus, lai aizsargātu personas datus un novērstu to

iespējamu nelikumīgu apstrādi, tajā skaitā to nelikumīgu apstrādi, kā arī novērst neatbilstības, nodrošinot tiesisku personas datu apstrādi un aizsardzību,

kas novērš prettiesisku personas datu apstrādi un riskus informācijas, tai skaitā personas datu, izpaušanai trešajām personām. Lēmumā norādīts turpmāk

minētais.

[2.1] Inspekcijas rīcībā ir informācija, ka dome ir pieļāvusi tās Revīzijas un audita nodaļas vadītāja vietnieces /pers. D/ personas datus saturošas

informācijas, konkrēti, šādu domes lietvedībā esošo dokumentu, kas satur /pers. D/ personas datus, nonākšanu SIA „Daugavpils dzīvokļu un komunālās

saimniecības uzņēmums” (turpmāk – uzņēmums) rīcībā:

1 . 2019. gada 11. marta Daugavpils pilsētas domes Revīziju un audita nodaļas vadītāja /pers. F/ ziņojuma Daugavpils pilsētas domes

priekšsēdētājam kopija, kas satur personas datus: vārdu, uzvārdu, darba vietu un ieņemamo amatu, prombūtnes no darba datumus 2018. un 2019. gada

laikā ar iemeslu „ģimenes apstākļi, slimība” un darba pienākumu veikšanas novērtējumu;

2. 2019. gada 14. maija Daugavpils pilsētas domes Revīziju un audita nodaļas vadītāja /pers. F/ dienesta ziņojumu Daugavpils pilsētas domes

priekšsēdētājam kopija, kas satur personas datus: vārda pirmo burtu, uzvārdu, darba vietu;

3. 2019. gada 3. jūlija revidentes /pers. G/ paskaidrojuma Daugavpils pilsētas domes izpilddirektoram kopija, kas satur personas datus: vārdu,

uzvārdu, darba vietu un ieņemamo amatu.

Visi dokumenti satur /pers. F/ domes amatpersonas zīmogu, apliecinājumu rokrakstā „kopija pareiza” un parakstu.

[2.2] Izmantojot savas datu subjekta tiesības, /pers. D/ 2020. gada 24. jūlijā vērsās domē ar pieprasījumu skaidrot viņas personas datu apstrādi,

nododot minētos dokumentus uzņēmumam. Dome 2020. gada 13. augusta atbildes vēstulē Nr. 1-2.6/822 sniedza informāciju, ka ir veikta apstākļu

noskaidrošana, kurā konstatēts, ka saskaņā ar domes elektronisko dokumentu informācijas sistēmas „Lietvaris” auditācijas pierakstiem, attiecīgajā laika

periodā nav konstatētas domes amatpersonu funkcijām un uzdevumiem neatbilstošas darbības un piekļuve dokumentiem. /pers. F/ savos paskaidrojumos

nav minējis, ka dokumentus ir nodevis uzņēmumam, savukārt uzņēmuma valdes loceklis /pers. H/ paskaidroja, ka dokumentu kopijas ir atradis uz sava

darba galda, slēgtā aploksnē, uz kuras tika norādīts, ka tajā esošā informācija ir adresēta viņam.

[2.3] /pers. D/ vārds, uzvārds, ieņemamais amats, darbavieta, prombūtnes no darba datumi 2018. un 2019. gada laikā, tās iemesli un darba

pienākumu veikšanas novērtējums ir uzskatāmi par personas datiem, bet to izpaušana uzņēmumam – par apstrādi Datu regulas izpratnē (Datu regulas

4. panta 1. un 2. punkts).

[2.4] Konkrētajā gadījumā par pārzini personas datu apstrādei ir uzskatāma dome (Datu regulas 4. panta 7. punkts).

[2.5] Saskaņā ar Datu regulas 6. panta nosacījumiem, apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja ir piemērojams vismaz viens no šajā

pantā minētajiem pamatojumiem – datu subjekta piekrišana, līguma noslēgšana vai izpilde, datu pārziņa juridisks pienākums, uzdevuma veikšana,

balstoties uz oficiālu pilnvaru vai sabiedrības interesēs, datu subjekta vai trešās personas vitālo interešu aizsardzība un pārziņa vai trešās personas leģitīmo

interešu ievērošana. Papildu tiesiskā pamata nodrošināšanai saskaņā ar Datu regulas 5. pantu pārzinim ir jāievēro arī personas datu apstrādes principi,

saskaņā ar kuriem jebkurai personas datu apstrādei ir jābūt likumīgai, godprātīgai, pārredzamai (likumīgums, godprātība, pārredzamība), to jāveic tikai

atbilstoši tam paredzētajam nolūkam (nolūka ierobežojums) un jānodrošina personas datu drošība (integritāte un konfidencialitāte).

Ievērojot Datu regulas 5. panta 2. punktā noteikto pārskatatbildības principu, tieši pārzinim, konkrētajā gadījumā, domei ir pienākums nodrošināt

tādu personas datu apstrādes procesu, kas ļauj pierādīt, ka pārziņa veiktā personas datu apstrāde ir atbilstoša datu aizsardzības normatīvā regulējuma

prasībām.

Atbilstoši Datu regulas 24. panta 1. un 2. punktam, ņemot vērā apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un

nopietnības pakāpes riskus attiecībā uz fizisku personu tiesībām un brīvībām, pārzinim jāīsteno atbilstoši tehniskie un organizatoriskie pasākumi, lai

nodrošinātu un spētu uzskatāmi pierādīt, ka apstrāde notiek saskaņā ar regulu. Ja tas ir samērīgi attiecībā uz apstrādes darbībām, 1. punktā minētajos

pasākumos ietver to, ka pārzinis īsteno atbilstīgu politiku attiecībā uz datu aizsardzību. Tādējādi saprotams, ka pārzinis nodrošina tehniskos un

organizatoriskos līdzekļus, lai datu apstrāde būtu droša. Datu regulas 24. panta 1. un 2. punktu konkretizē Datu regulas 32. pants, kas noteic, ka, ņemot

vērā tehnikas līmeni, īstenošanas izmaksas un apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un smaguma pakāpes risku

attiecībā uz fizisku personu tiesībām un brīvībām, pārzinis un apstrādātājs īsteno atbilstīgus tehniskus un organizatoriskus pasākumus, lai nodrošinātu tādu

drošības līmeni, kas atbilst riskam, tajā skaitā un jo īpaši attiecībā uz personas datu nozaudēšanu un neatļautu izpaušanu.

Datu regulas 4. panta 12. punktā „personas datu aizsardzības pārkāpums” ir definēts šādi: „drošības pārkāpums, kura rezultātā notiek nejauša vai

nelikumīga nosūtīto, uzglabāto vai citādi apstrādāto personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem.”

[2.6] Ievērojot iepriekš minēto, inspekcija konstatē, ka /pers. D/ adresētajā atbildes vēstulē dome nespēj sniegt galīgu skaidrojumu, kā arī

inspekcijas rīcībā esošā informācija neļauj viennozīmīgi secināt, kādā veidā dokumenti un tādējādi arī /pers. D/ personas dati konkrētajā gadījumā pameta

domi un nokļuva uzņēmumā. Bet neatkarīgi no tā, vai dokumentu nonākšana uzņēmuma rīcībā nonāca apzinātas domes amatpersonas rīcības rezultātā vai

nejaušības dēļ, esošās informācijas kopums ir pietiekošs un ļauj secināt, ka konkrētajā situācijā tika pieļauta vēstulē minēto domes dokumentu nonākšana

trešo personu (uzņēmuma) rīcībā, un to pieļāva dome. Līdz ar to secināms, ka dome nav ievērojusi Datu regulas 24. panta 1. punktā un 32. panta

1. punktā noteikto, kā rezultātā tika pieļauts personas datu aizsardzības pārkāpums – domes apstrādāto datu nonākšana trešās personas (uzņēmuma)

rīcībā.

Ņemot vērā minēto, inspekcija konstatē, ka ar minētajām darbībām dome ir pārkāpusi Datu regulas 5. panta 1. punkta a) un f) apakšpunktā

minētos personas datu apstrādes principus un 24. panta 1. punktā un 32. panta 1. punkta b) apakšpunktā noteiktās prasības.

[2.7] Inspekcija norāda, ka šis administratīvais akts tiek izdots ar mērķi aizsargāt Satversmē, Konvencijā un Hartā noteiktās datu subjektu tiesības

uz savu personas datu aizsardzību, kas konkretizētas Datu regulā, Fizisko personu datu aizsardzības likumā un citos normatīvajos aktos, konkrētāk,

atturēt domi (speciālā prevencija) un citas personas salīdzināmās situācijās (vispārējā prevencija) no līdzīgu pārkāpumu veikšanas nākotnē.

Lemjot par šī administratīva akta izdošanas lietderību un saturu, inspekcija secina, ka pārkāpēja audzināšana likumu ievērošanas, cienīšanas garā,

kā arī jaunu pārkāpumu novēršana, var tikt sasniegta, izsakot domei rājienu un informējot to par tās rīcības neatbilstību likuma prasībām. Inspekcija,

lemjot par administratīvā akta izdošanu, nekonstatē, ka no gadījuma būtības būtu nepieciešama domes viedokļa noskaidrošana, jo adresāta viedoklis

nespētu mainīt konstatētos apstākļus un inspekcijas veikto rīcību.

[3] Pieteicēja lēmumam nepiekrita un iesniedza tiesā pieteikumu par tā atcelšanu. Pieteikumā norādīja turpmāk minēto.

[3.1] Inspekcijai bija pienākums noskaidrot un pamatot, vai ir notikusi personas datu nelikumīga apstrāde, t.i., personas sensitīvie dati ir nokļuvuši

pie personas, kurai nebija tiesību šos datus saņemt.

[3.2] Inspekcija nav noskaidrojusi, ka /pers. D/ ir valsts amatpersona un tādēļ viņas ikgadējā amatpersonas deklarācijā, kas ir publiski pieejama, ir

norādīti /pers. D/ gan vārds, gan uzvārds, gan ieņemamais amats, gan citi sensitīvie dati.

[3.3] Inspekcija nav vērtējusi būtisku apstākli, ka uzņēmums, kuram pēc /pers. D/ domām, tika „nopludināti” viņas sensitīvie dati, ir viņas bijušais

darba devējs, kura rīcībā ir viņas vārds, uzvārds, dzimšanas datums, personas kods, dzīves vieta, e-pasta adrese, personīgais tālrunis, bankas nosaukums

un norēķinu konts, viņas aprūpē esošo bērnu vārdi, uzvārdi un to personas kodi. Pie tam /pers. D/ ir devusi uzņēmumam piekrišanu apstrādāt savus

personas datus.

[3.4] Neiztur kritiku lēmumā norādītais, ka trešās personas rīcībā ir nonākuši /pers. D/ sensitīvie dati – vārda pirmais burts, uzvārds un darba vieta,

jo uzņēmuma rīcībā ir daudz vairāk sensitīvo datu nekā tie, kas nonāca no domes uzņēmuma, kura kapitāla daļu turētājs ir dome, rīcībā, tādēļ inspekcijai,

izsakot /pers. D/ sūdzību, bija jāvērtē ir vai nav izdarīts reāls /pers. D/ tiesību aizskārums. Tāds aizskārums uz lēmuma pieņemšanas dienu nav konstatēts,

bet notiekošais vēlāk apliecina, ka /pers. D/ ļoti labvēlīgi un mierīgi uztver to, ka viņas dati tiek darīti zināmi visai Latvijas sabiedrībai, iesniedzot tiesas

spriedumu internetportālam „gorod.lv” un atļaujot publicēt sprieduma motīvu daļu ar savu pilnu vārdu, uzvārdu, personas kodu un darba vietu. Savu

sensitīvo datu publiskošanu viņa neuztver kā aizskārumu, jo tāds aizskārums nepastāv.

[4] Inspekcija rakstveida paskaidrojumā par pieteikumu tam nepiekrita un paskaidroja turpmāk minēto.

[4.1] Ar lēmumu domei izteikts rājiens par personas datu drošības pārkāpumu, nepamatoti izpaužot darbinieka personas datus trešajām personām

– uzņēmumam, t.i., lēmumā sniegts vērtējums (konstatējot pārkāpumu) par domes kā datu apstrādes pārziņa rīcības tiesiskumu jeb tiesībām izpaust

darbinieka personas datus trešajām personām. Konkrētajā gadījumā netika vērtētas uzņēmuma tiesības saņemt darbinieka personas datus, jo datu

subjekta sūdzības izskatīšanas gaitā netika konstatēts uzņēmuma pieprasījums domei izsniegt darbinieka personas datus.

[4.2] Atbilstoši Datu regulas 4. panta 10. punktam ar jēdzienu „trešā persona” saprot fizisku vai juridisku personu, publisku iestādi, aģentūru vai

struktūru, kura nav datu subjekts, pārzinis, apstrādātājs un personas, kuras pārziņa vai apstrādātāja tiešā pakļautībā ir pilnvarotas apstrādāt personas

datus. Proti, lai konkrētajā gadījumā konstatētu, ka uzņēmums nav trešā persona, bet gan datu saņēmējs Datu regulas izpratnē, būtu jākonstatē, ka

uzņēmums domes kā pārziņa apstrādātajiem personas datiem piekļuvis, pamatojoties uz domes rīkojumu vai domes uzdevumā. Ievērojot to, ka dome kā

datu apstrādes pārzinis noteica darbinieka personas datu apstrādes nolūku un līdzekļus, un tā nebija pilnvarojusi uzņēmumu savā vārdā vai tiešā

pakļautībā veikt darbinieka personas datu apstrādi nolūkā novērtēt tā darba pienākumu domē izpildes rezultātus, lēmumā minēto (vārds, uzvārds, darba

vieta un ieņemamais amats, prombūtnes no darba datumi 2018. un 2019.gada laikā ar iemeslu „ģimenes apstākļi, slimība” un darba pienākumu veikšanas

novērtējums) darbinieka personas datu izpaušana uzņēmumam vērtējama kā darbinieka personas datu izpaušana trešajai personai.

[4.3] Atbilstoši Eiropas Savienības Tiesas praksē (piemēram, Österreichischer Rundfunk u.c., C?465/00, C?138/01 un C?

139/01, EU:C:2003:294) nostiprinātajai atziņai nav izšķirošas nozīmes tam, vai veiktā datu apstrāde ir radījusi jebkādas negatīvas sekas (reālu tiesību

aizskārumu), lai to atzītu par iejaukšanos pamattiesībās. Līdz ar to apstāklis, ka noteikti darbinieka personas dati jau bija zināmi uzņēmumam vai

sabiedrībai, nemaina pamattiesību aizskāruma faktu.

[4.4] Domes paustais viedoklis pieteikumā jautājumā par atšķirīgām datu apstrādēm inspekcijai rada bažas par personas datu aizsardzību

regulējošo normatīvo aktu interpretāciju un piemērošanu domes darbībā, tāpēc tā vērš uzmanību uz atšķirīgām pēc nolūka, datu apjoma un veida datu

apstrādēm. Dome apkopo (summē) atšķirīgas nolūka un datu apjoma, kā arī to veida ziņā datu apstrādes, ko veic dažādi pārziņi, izsakot vienu, kopēju

vērtējumu ar jaušamu domu – ja dati ir apritē (tos apstrādā vēl kāds pārzinis citā nolūkā/(-os)), tātad tie nav sargājami. Tā ir kļūdaina interpretācija, jo

katra jauna (jeb atšķirīga nolūkā un/vai datu apjomā un/vai veidā) apstrāde ir vērtējama atsevišķi. Piemēram, domes kā darba devēja darbinieka

personas datu apstrāde apjomā, kāds nepieciešams nolūkā nodibināt darba tiesiskās attiecības, ir tiesiski pamatota, savukārt domes darbinieka personas

datu izpaušanā uzņēmumam inspekcija nesaskata tiesisko pamatu. Lai arī apstrādei ir viens pārzinis, tiek veiktas divas atšķirīgas datu apstrādes, kur viena

ir tiesiski pamatota, bet otra nē. Minētais nenozīmē, ka domei nav tiesības, ievērojot datu regulas noteikumus, izpaust darbinieka personas datus,

piemēram, trešās personas leģitīmo interešu (datu regulas 6. panta 1. punkta f) apakšpunkts) ievērošanai tiesā, tomēr jāņem vērā normatīvajos aktos

noteiktais regulējums un kārtība šādas informācijas izpaušanai.

[4.5] Cita starpā atzīmējams, ka bijušā darba devēja (uzņēmuma) rīcībā iepriekš nevarēja atrasties darbinieka personas dati par darba pienākumu

domē izpildes rezultātiem vai prombūtnes no darba datumi 2018. un 2019.gada laikā ar iemeslu “ģimenes apstākļi, slimība”. Jāņem arī vērā, ka personas

lietai var piekļūt ierobežots personu loks, t.i., personas lietā ietvertā informācija nav vispārpieejama visiem darbiniekiem. Piemēram, ziņas par apgādībā

esošām personām, kuras var aplūkot tiešsaistē Elektroniskās deklarēšanās sistēmā, un bankas konta numurs nepieciešams grāmatvedības uzdevumu

veikšanai, līdz ar to nevienai citai personai, ja tās tiešajos amata pienākumos neietilpst attiecīgo uzdevumu veikšana, nav vajadzības aplūkot informāciju

par nodarbinātā apgādībā esošajām personām un bankas konta numuru. Ievērojot, ka ziņas par apgādībā esošajām personām iespējams aplūkot

tiešsaistē, turklāt tās var mainīties, darba devējam nav nepieciešamības un/vai normatīvajos aktos noteikta uzdevuma tās glabāt personas lietā ne darba

tiesisko (vai civildienesta tiesisko) attiecību laikā, ne pēc to izbeigšanās, t.i., uzņēmumam (un domei) nevajadzētu glabāt šādu informāciju. Valsts

ieņēmumu dienesta pārziņā esošajā reģistrā „Valsts amatpersonu deklarācijas” nav atrodama darbinieka amatpersonas ikgadējā deklarācija, līdz ar to

secināms, ka domes norāde nav korekta.

[4.6] Pieteikums nesatur domes skaidrojumu par tās tiesisko pamatu darbinieka personas datu izpaušanai uzņēmumam. Dome norāda uz

darbinieka uzņēmumam iepriekš sniegtu piekrišanu datu apstrādei citā nolūkā. Minētā piekrišana nevar kalpot par derīgu tiesisku pamatu uzņēmumam

iegūt (pieprasīt) datus no citām personām, jo tā ir ierobežota ar apstrādes nolūku, kādā sākotnēji sniegta.

[5] Tiesas sēdē pieteicējas pārstāvji pieteikumu uzturēja uz tajā norādīto argumentu pamata. Papildus paskaidroja, ka nav strīda par to, ka ir

notikusi /pers. D/ datu izpaušana uzņēmumam. Strīds ir par to, vai dome ir pamatoti izpaudusi šos datus, vai ir pārkāpusi Datu regulas prasības. Uzskata,

ka dome ir rīkojusies pamatoti. Rīcība ir pamatota ar Datu regulas preambulas 48. punktu, jo domei bija leģitīma interese izpaust /pers. D/ datus

uzņēmumam saskaņā ar Publiskas personas kapitāla daļu un kapitālsabiedrību pārvaldības likuma 1. panta pirmās daļas 14.a apakšpunktu. Lai varētu

vispusīgi un objektīvi izskatīt civilstrīdu tiesā, uzņēmumam bija nepieciešama informācija par bijušo darbinieci – /pers. D/. Tieši šī informācija pēc

uzņēmuma pieprasījuma tika izsniegta. Norādīja, ka par apstākļiem, kā notika informācijas pieprasīšana un izsniegšana, liecinās /pers. H/. Vērsa

uzmanību, ka inspekcija pirms lēmuma izdošanas nenoskaidroja domes viedokli, kas ir būtisks procesuāls pārkāpums. Atbildot uz jautājumiem,

paskaidroja, ka datu izsniegšana tika fiksēta domes izejošajos dokumentos. Datu izsniegšana var būt gan uz mutiska pieprasījuma pamata, gan uz

rakstveida pieprasījuma pamata. Domei ir savi iekšējie datu aprites kārtības noteikumi, kuri arī nosaka kārtību, kā notiek informācijas izsniegšana.

Konkrētajā gadījumā datu izsniegšana notika saskaņā ar domes iekšējo kārtību attiecībā uz dokumentu apriti.

Atbildētāja pārstāve pieteikumam nepiekrita, atsaucoties uz lēmumā un rakstveida paskaidrojumos norādīto argumentāciju. Papildus paskaidroja,

ka inspekcija konkrētajā gadījumā konstatēja, ka domes viedokļa noskaidrošana nav nepieciešama, jo iestādē bija datu subjekta iesniegums gan ar

piekļuves pieprasījumu domei, gan arī domes atbilde, kurā bija sniegts skaidrojums par datu subjekta personas datu apstrādi. Līdz ar to inspekcijas

rīcībā, pieņemot lēmumu par rājiena izteikšanu, jau bija domes skaidrojums. Piebilda, ka viedokļa noskaidrošana nemainītu faktu, ka datu subjekta

personas dati ir izpausti. Dome cenšas likt uzsvaru uz tiesībām izpaust datus. Inspekcija nevēlas apstrīdēt to, ka uzņēmumam bija tiesības saņemt

informāciju, lai aizstāvētu savas leģitīmās intereses. Taču, kāds bija pamats datu izpaušanai, vai bija pieprasījums vai iesniegums. Nav skaidrs, vai tas bija

pieprasījums no tiesas vai tas ir bijis iesniegums no uzņēmuma, nav konstatējams ne viens, ne otrs. Līdz ar to sanāk, ka datu subjekta dati izpausti pēc

savas iniciatīvas. Nav dokumentālu pierādījumu datu tiesiskai izpaušanai. Atbildot uz jautājumiem, paskaidroja, ka Datu regulas 5. panta 2. punkts uzliek

domei par pienākumu pierādīt datu apstrādes faktu, ka tas ir noticis likumīgi. Kritiski ir vērtējuma mutiska pieprasījuma esība, jo datu subjektam dome

nevar paskaidrot, kā šie dati ir nonākuši uzņēmumā. Dome tika sodīta par prettiesisku datu izpaušanu, jo nav konstatējams tiesiskais pamats. Domei ir

pienākums pierādīt, ka personas dati ir izpausti tiesiski. Bija paskaidrojums, ka no lietvedības sistēmas tie nav nekādā veidā prettiesiski izpausti un otrs

paskaidrojums bija, ka saņemta aploksne ar dokumentiem. Domei ir likumā noteikts pienākums datu subjektam, atbildot uz pieprasījumu, sniegt visu

Datu regulas 15. pantā uzskaitīto informāciju.

Trešās personas pārstāvis tiesas sēdē paskaidroja, ka dome nespēj paskaidrot, kā /pers. D/ dati nonākuši uzņēmuma rīcībā. Šāda datu apstrāde

neatbilst pārskatāmības principam, ka datu pārzinis jebkurā brīdī zina, kas notiek ar personas datiem, viņš var izsekot visu datu ceļu no datu glabāšanas

līdz trešajai personai. Kā arī jābūt atbildīgai personai par datu nodošanas likumību un pamatotību konkrētai situācijai. Uzskata, ka datu noplūdes mērķis

visticamāk bija kaut kādā veidā diskreditēt /pers. D/ sabiedrības acīs, kaut kādā veidā nodarīt viņai kaitējumu kā sodu par to, ka viņa nepatīk atsevišķām

domes amatpersonām. Konkrētajā gadījumā dome norāda likumisko mērķi, ka tas ir bijis aizsargāt kaut kādas uzņēmuma intereses. Tajā pašā laikā šie

dokumenti tiesvedībā civilprocesā nemaz netika pieņemti, tie nebija vajadzīgi, tāpēc tie nekādā veidā nepalīdzēja aizsargāt uzņēmuma likumiskās

intereses. Tā vienkārši bija nepamatota un nevajadzīga /pers. D/ personas datu nodošana trešajai personai (uzņēmumam) nezināmos apstākļos. Veids,

kādā domes pārstāvji sevi pozicionē tiesā, nekādā veidā neliecina par to, ka dome ir sapratusi, ka tā nedrīkst darīt.

Lietā tika nopratināti liecinieki /pers. H/, /pers. F/ un /pers. I/.

Motīvu daļa

[6] Izvērtējot lietas dalībnieku argumentus, liecinieku liecības un lietas materiālus, tiesa secina, ka pieteikums ir noraidāms.

[7] Lietā nav strīda par to, ka dome ir pārzinis personas datu apstrādei Datu regulas izpratnē, nav strīda arī par to, ka /pers. D/ personas dati no

domes tika izpausti uzņēmumam. Lietā ir strīds par to, vai inspekcija pamatoti domei izteica rājienu par /pers. D/ personas datu izpaušanu uzņēmumam.

Tādējādi tiesai jāpārbauda, vai domes rīcībā, izpaužot /pers. D/ personas datus uzņēmumam, ir konstatējams personas datu drošības pārkāpums.

[8] Atbilstoši Datu regulas 4. panta 7. punktam par personas datu apstrādes atbilstību Datu regulai ir atbildīgs pārzinis.

Atbilstoši Datu regulas 4. panta 12. punktā noteiktajam personas datu aizsardzības pārkāpums ir drošības pārkāpums, kura rezultātā notiek

nejauša vai nelikumīga nosūtīto, uzglabāto vai citādi apstrādāto personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve

tiem.

Atbilstoši Datu regulas 6. panta 1. punkta nosacījumiem apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja ir piemērojams vismaz viens no

turpmāk minētajiem pamatojumiem: datu subjekts ir devis piekrišanu savu personas datu apstrādei vienam vai vairākiem konkrētiem nolūkiem; apstrāde

ir vajadzīga līguma, kura līgumslēdzēja puse ir datu subjekts, izpildei vai pasākumu veikšanai pēc datu subjekta pieprasījuma pirms līguma noslēgšanas;

apstrāde ir vajadzīga, lai izpildītu uz pārzini attiecināmu juridisku pienākumu; apstrāde ir vajadzīga, lai aizsargātu datu subjekta vai citas fiziskas personas

vitālas intereses; apstrāde ir vajadzīga, lai izpildītu uzdevumu, ko veic sabiedrības interesēs vai īstenojot pārzinim likumīgi piešķirtās oficiālās pilnvaras;

apstrāde ir vajadzīga pārziņa vai trešās personas leģitīmo interešu ievērošanai, izņemot, ja datu subjekta intereses vai pamattiesības un pamatbrīvības,

kurām nepieciešama personas datu aizsardzība, ir svarīgākas par šādām interesēm, jo īpaši, ja datu subjekts ir bērns.

Tātad Datu regula nosaka sešus vispārējus tiesiskus pamatus datu apstrādei, tostarp, ja apstrāde ir nepieciešama pārziņa vai trešās personas

leģitīmo interešu īstenošanai.

[9] Dome, sniedzot atbildi uz /pers. D/ iesniegumu par nelikumīgu rīcību ar viņas personas datiem, 2020. gada 13. augusta vēstulē Nr. 1-2.6/822

sniedza informāciju, ka ir veikta apstākļu noskaidrošana, kurā konstatēts, ka saskaņā ar domes elektronisko dokumentu informācijas sistēmas „Lietvaris”

auditācijas pierakstiem attiecīgajā laika periodā darbinieku piekļuve dokumentiem notikusi likumīgi, atbilstoši amata funkcijām un pilnvarām. Atbilstoši

saņemtajiem paskaidrojumiem domes darbinieki, kuri veica dokumentu apstrādi elektronisko dokumentu informācijas sistēmā „Lietvaris”, nav izpauduši

dokumentus trešajām personām, t.sk., nav tos nodevuši uzņēmumam. /pers. F/ savos paskaidrojumos nav minējis, ka dokumentus ir nodevis

uzņēmumam, savukārt uzņēmuma valdes loceklis /pers. H/ paskaidroja, ka dokumentu kopijas ir atradis uz sava darba galda, slēgtā aploksnē, uz kuras

tika norādīts, ka tajā esošā informācija ir adresēta viņam. Secināts, ka Daugavpils tiesā iesniegtie dokumenti, kas satur /pers. D/ personas datus, nav

iegūti no domes elektronisko dokumentu informācijas sistēmas „Lietvaris”.

Novērtējot minēto atbildi, tiesa secina, ka dome noliedz /pers. D/ personas datu izpaušanu uzņēmumam.

No pieteikumā izklāstītajiem apstākļiem tiesa secina, ka dome netieši atzīst /pers. D/ personas datu izpaušanu uzņēmumam, taču uzskata,

inspekcijai bija pienākums noskaidrot un pamatot, vai dokumenti ir nonākuši pie personas, kurai nebija tiesību šādus datus saņemt, vai ir reāls aizskārums

/pers. D/.

Tiesas sēdē pieteicējas pārstāvji atzina, ka dome ir veikusi /pers. D/ personas datu apstrādi, un norādīja, ka personas datu apstrādes tiesiskais

pamats ir taisnīga un objektīva civilstrīda izšķiršana starp uzņēmumu, kas ir domes kapitālsabiedrība, un /pers. D/. Proti, norādīja uz tiesisko pamatu, kas

atbilst Datu regulas 6. panta 1. punkta f) apakšpunktam, – apstrāde ir vajadzīga pārziņa vai trešās personas leģitīmo interešu ievērošanai. Kā arī

paskaidroja, ka datu izsniegšana notika saskaņā ar domes iekšējo kārtību attiecībā uz dokumentu apriti.

Novērtējot pieteicējas pārstāvju tiesas sēdē sniegtos paskaidrojumus kopsakarā ar lietā esošajiem pierādījumiem, tiesa secina, ka pieteicējas

vērtējumā datu apstrāde ir notikusi tiesiski – uzņēmuma leģitīmo interešu ievērošanai, bet dokumentālu pierādījumu datu tiesiskai izpaušanai pieteicējas

rīcībā nav. Tiesas vērtējumā no pieteicējas pārstāvju sniegtajiem paskaidrojumiem izriet, ka pieteicēja nezina, uz kāda pamata, kura persona uzņēmumam

nodeva informāciju par /pers. D/. Par to liecina arī tas apstāklis, ka tiesas sēdē pieteicējas pārstāvji nevēlējās atbildēt uz jautājumiem saistībā ar

informācijas izpaušanas apstākļiem, norādot, ka par to liecinās liecinieks.

[10] Tiesas sēdē uzņēmuma valdes loceklis /pers. H/ liecināja, ka uzņēmums bija iesaistīts tiesvedībā ar /pers. D/ civillietā. Zināja, ka /pers. D/

strādāja par revizori domes Revīziju un audita nodaļā. Revīziju un audita nodaļas vadītājam /pers. F/ lūdza sniegt informāciju par to, kā /pers. D/ strādā,

kāda viņa ir kā darbiniece. Saņēma atbildi, ka /pers. D/ strādā, pieļaujot daudz kļūdu. Lūdza, lai iedod rakstveidā viņas raksturojumu. Zina, ka /pers. F/

lūdza atļauju domes vadībai sniegt informāciju. Pēc nedēļas vai divām uz sava galda atrada aploksni ar dokumentiem. Saprata, ka /pers. F/ iesniegto

dokumentu drīkst izmantot tiesvedībā civillietā. Atbildot uz jautājumiem, liecināja, ka telefoniski informāciju par /pers. D/ /pers. F/ kā nodaļas vadītājam

prasīja oficiāli kā uzņēmuma valdes loceklis. Pieprasījums bija mutisks. Sarunas ar /pers. F/ laikā sākumā prasīja vispārīgu informāciju, bet tad konkrētus

dokumentus, kurus var iesniegt tiesā. Kad uz sava galda slēgtā viņam adresētā aploksnē atrada dokumentus, pavadraksta, ka sakarā ar viņa mutisko

pieprasījumu tiek sniegta informācija, nebija. Pēc dokumentu saņemšanas nezvanīja /pers. F/, lai pārliecinātos, ka tie ir no viņa, jo dokumentus bija

parakstījis /pers. F/.

Domes Revīziju un audita nodaļas vadītājs /pers. F/ liecināja, ka [2020. gada] maija mēnesī uzrakstīja dienesta ziņojumu pilsētas mēram /pers. R/

par to, ka /pers. D/ neatbilst ieņemamajam amatam. Tā kā nekāda rīcība nesekoja, jūnija sākumā, kad domes priekšsēdētāja pienākumus sāka pildīt

/pers. I/, uzrakstīja gandrīz analogu dienesta ziņojumu, kuram klāt pievienoja iepriekšējos ziņojumus un paskaidrojošos materiālus. Nesagaidot arī uz šo

ziņojumu nekādu rīcību, 3. jūlijā viņa nodaļas darbiniece /pers. S/ uzrakstīja domes izpilddirektorei savu dienesta ziņojumu, kurā tika norādīts, ka /pers.

D/ mēģināja piespiest viņu mainīt savu viedokli un, kad viņai tas neizdevās, draudēja /pers. S/ atbrīvot no darba, pamatojot to ar savu draudzību ar /pers.

R/. Uzskatīja, ka tas ir papildu arguments un tā kā šis ziņojums nebija viņa, to apliecināja kā kopiju, kā arī apliecināja visus pārējos savus ziņojumus un

ielika /pers. I/ mapē. Šajā laikā pie viņa vērsās /pers. H/ jautājumā par trūkumu novēršanu saistībā ar audita rezultātiem uzņēmumā, sarunas laikā minēja,

ka ir darba strīds ar /pers. D/, un vēlējās noskaidrot, kāds ir viņa viedoklis par /pers. D/. Paskaidroja /pers. H/, ka viņam ir pretenzijas pret /pers. D/ un

ka viņa neatbilst ieņemamajam amatam. /pers. H/ vēlējās iepazīties ar ziņojumiem par /pers. D/, uz ko viņš norādīja, ka ziņojumi ir iesniegti vadībai, lai

vēršas pie vadības ar lūgumu izsniegt dokumentu kopijas. Atbildot uz jautājumiem, liecināja, ka pats personīgi /pers. H/ nekādu informāciju neizsniedza,

sniedza savu subjektīvo viedokli par /pers. D/, mutiski informēja, ko ir rakstījis vadībai, bet nekādus dokumentus neizsniedza. Ja S. Fridmans prasītu no

viņa šo informāciju, tad viņam nebūtu nekādu problēmu dokumentu kopijas iedot, jo, viņaprāt, tā nav nekāda datu izpaušana, jo tas notiktu domes

struktūrvienību starpā. Viņa rīcībā nav informācijas par to, kurš saņēma pieprasījumu un nodeva dokumentus /pers. H/. Ar /pers. H/ neapsprieda, ka

/pers. D/ slimo, to apsprieda ar domes priekšsēdētāju. Ar /pers. H/ tikās vienu reizi, telefoniski par šo tēmu ar /pers. H/ nav runājis.

/pers. I/ liecināja, ka /pers. D/ viņam ir mazpazīstama un nav viņa padotā, neatceras, vai V. Pjankovskis 2020. gada 17. jūnijā iesniedza

dokumentus par /pers. D/. Tāpat neatceras, ka kādus dokumentus par /pers. D/ būtu nodevis kādam uzņēmuma pārstāvim, tostarp /pers. H/. Ja /pers. F/

vēlējās viņam nodot kādus dokumentus, tad tos atnesa personīgi vai atsūtīja elektroniski. Ja viņš nav uz vietas, dokumentus ir iespējams atstāt pie

sekretāres. Ja uz dokumentiem norādīts, ka tie adresēti tikai viņam, sekretāre citai personai tos nodot nevar.

Novērtējot liecinieku liecības, tiesa secina, ka ar tām nav atspēkoti lēmumā norādītie argumenti, turklāt /pers. H/ un V. Pjankovska liecības ir

pretrunīgas. Proti, /pers. H/ liecināja, ka telefoniski oficiāli kā uzņēmuma valdes loceklis pieprasīja V. Pjankovskim sniegt informāciju par /pers. D/,

savukārt /pers. F/ liecināja, ka sarunas laikā klātienē /pers. H/ pauda savu subjektīvo viedokli par /pers. D/, ka /pers. H/ pieprasījuma sniegt informāciju

nebija, kurš saņēmis tādu pieprasījumu un izsniedzis informāciju, nezina. Arī liecinieks /pers. I/ neatceras, ka būtu uzņēmuma pārstāvim nodevis kādus

dokumentus par /pers. D/.

[11] Atbilstoši Datu regulas 5. panta 2. punktā noteiktajam pārskatatbildības principam, izskatāmajā gadījumā tieši pieteicējai kā pārzinim ir

pienākums nodrošināt tādu personas datu apstrādes procesu, kas ļauj pierādīt, ka veiktā personas datu apstrāde ir atbilstoša datu aizsardzības normatīvā

regulējuma prasībām.

Ievērojot sprieduma 9. un 10. punktā norādīto, tiesa atzīst, ka pieteicēja nespēj paskaidrot, kādā veidā dokumenti, kas satur informāciju par /pers.

D/ personas datiem, konkrētajā gadījumā no domes nokļuva uzņēmumā.

Atbilstoši Datu regulas 24. panta 1. punktam pārzinim jāīsteno atbilstoši tehniskie un organizatoriskie pasākumi, lai nodrošinātu un spētu uzskatāmi

pierādīt, ka apstrāde notiek saskaņā ar Datu regulu.

Kaut arī tiesas sēdē pieteicējas pārstāvji norādīja uz tiesisko pamatu /pers. D/ personas datu izpaušanai uzņēmumam, taču lietā nav dokumentālu

pierādījumu datu tiesiskai izpaušanai, kā arī ar liecinieku liecībām šādi apstākļi netika pierādīti. Līdz ar to, kā to pamatoti konstatēja arī inspekcija,

pieteicēja ir pieļāvusi /pers. D/ personas datus saturošu dokumentu nonākšanu uzņēmuma rīcībā bez tiesiska pamata.

Izskatāmajā gadījumā nav nozīmes apstāklim, ka /pers. D/ ir bijusī uzņēmuma darbiniece, ka uzņēmumam personas dati bija zināmi, ka reāls tiesību

aizskārums /pers. D/ nav konstatējams, jo jebkurā gadījumā datu subjekta personas datu apstrādei jānotiek, ievērojot Datu regulas 6. pantā noteiktos

vispārējos tiesiskos pamatus. Ja tas netiek ievērots, ir atzīstams, ka ir notikusi iejaukšanās pamattiesībās, neatkarīgi no tā personai ir vai nav iestājušās

reālas sekas nepamatotas personas datu apstrādes rezultātā. Nav pamatots pieteicējas iebildums, ka inspekcijai bija jāvērtē, vai uzņēmumam bija tiesības

saņemt /pers. D/ personas datus, jo konkrētajā gadījumā netika konstatēts uzņēmuma pieprasījums domei izsniegt bijušā darbinieka personas datus.

Ņemot vērā minēto, tiesa atzīst, ka pieteicēja ir pieļāvusi personas datu aizsardzības pārkāpumu – pieteicējas apstrādāto datu nonākšana trešās

personas (uzņēmuma) rīcībā.

[12] Par minēto datu aizsardzības pārkāpumu Datu regulas 58. panta 2. punkta b) apakšpunkts paredz inspekcijas tiesības pārzinim izteikt rājienu

par pieļauto datu drošības pārkāpumu, ko izskatāmajā gadījumā inspekcija savu pilnvaru ietvaros arī ir izteikusi. Izvērtējot lēmumu, tiesa konstatē, ka tā

lietderības apsvērumi pamatoti ar pārkāpēja audzināšanu likumu ievērošanas, cienīšanas garā, kā arī jaunu pārkāpumu novēršanu. Līdz ar rājiena

izteikšana ir samērīga un pamatota.

Tiesa nekonstatē, ka pieteicējas viedokļa pirms lēmuma izdošanas nenoskaidrošana izskatāmajā gadījumā būtu ietekmējusi lēmumu pēc būtības, jo,

kā tiesa konstatēja iepriekš, pieteicēja arī tiesas sēdē nespēja paskaidrot informācijas izpaušanas uzņēmumam apstākļus, līdz ar to pieteicējas viedoklis

nespētu mainīt konstatētos apstākļus un inspekcijas lēmumu.

[13] Apkopojot spriedumā konstatēto un secināto, tiesa atzīst, ka lēmums ir tiesisks un pamatots, bet pieteikums par tā atcelšanu kā nepamatots ir

noraidāms.

Rezolutīvā daļa

Saskaņā ar Administratīvā procesa likuma 246.-251., 289. pantu, 290. panta pirmo un otro daļu, 291. panta pirmo daļu tiesa

nosprieda:

noraidīt Daugavpils pilsētas domes pieteikumu par Datu valsts inspekcijas 2020. gada 13. oktobra lēmuma Nr. 2-2.2/45 atcelšanu.

Spriedumu var pārsūdzēt Administratīvajai apgabaltiesai viena mēneša laikā no sprieduma sastādīšanas dienas, iesniedzot apelācijas sūdzību

Administratīvās rajona tiesas Rēzeknes tiesu namā.

Tiesnese Solvita Pujāte