Teismų pranešimai spaudai

Regionų administracinis teismas kovo 19 d. išnagrinėjo administracinę bylą pagal Nacionalinio visuomenės sveikatos centro prie Sveikatos apaugos ministerijos (NVSC) skundą atsakovei Valstybinei duomenų apsaugos inspekcijai (VDI) ir atmetė skundą kaip nepagrįstą.

Byloje nustatyta, kad, atsižvelgdamas į COVID-19 viruso sukeltą pandemiją, sveikatos apsaugos ministras 2020 m. kovo 24 d. sprendimu pavedė NVSC direktoriui nedelsiant įsigyti informacinę sistemą, skirtą su šio viruso nešiotojais sąlytį turėjusių asmenų duomenims registruoti ir stebėti epidemiologinės priežiūros tikslais. 2020 m. kovo 27 d. NVSC atstovas informavo Įmonę, kad NVSC ją atrinko kaip mobiliosios programėlės kūrėją. Kuriant šią programėlę buvo parengta privatumo politika, kurioje Įmonė ir NVSC buvo nurodyti kaip duomenų valdytojai. Šią programėlę nuo 2020 m. balandžio 4 d. buvo galima atsisiųsti iš internetinės parduotuvės Google Play Store, o nuo 2020 m. balandžio 6 d. – ir iš Apple App Store. Programėlė veikė iki 2020 m. gegužės 26 d. ir ja pasinaudojo 3 802 asmenys. Registruodamiesi prie šios programėlės asmenys turėjo pateikti ID numerį, koordinates, šalį, miestą, asmens kodą, telefono numerį ir kt. jautrius asmens duomenis.

2020 m. gegužės 18 d. VDAI pradėjo tyrimą dėl asmens duomenų tvarkymo ir 2021 m. vasario 24 d. sprendimu skyrė NVSC 12 000 eurų administracinę baudą pagal BDAR 83 straipsnį dėl šio reglamento 5, 13, 24, 32 ir 35 straipsnių pažeidimo. Šiuo sprendimu Įmonei, kaip bendrai duomenų valdytojai, taip pat buvo skirta 3 000 eurų administracinė bauda. NVSC šį sprendimą apskundė teismui, nes mano, kad Įmonė turi būti pripažinta vienintele duomenų valdytoja, kaip tai suprantama pagal BDAR 4 straipsnio 7 punktą. Savo ruožtu Įmonė teigia, kad ji veikė kaip duomenų tvarkytoja, kaip tai suprantama pagal BDAR 4 straipsnio 8 punktą, ir vykdė NVSC, kuris, kaip ji mano, yra vienintelis duomenų valdytojas, nurodymus.

Teismas, gavęs Europos Sąjungos Teisingumo Teismo (ESTT) 2023 m. gruodžio 5 d. prejudicinį sprendimą, kuriame nurodyta, kaip turi būti aiškinamos tam tikrų BDAR straipsnių nuostatos, atnaujino bylos nagrinėjimą ir apsibrėžė, kad šios administracinės bylos nagrinėjimo ribas sudaro NVSC skundas dėl jo atžvilgiu priimtos skundžiamos VDAI administracinio sprendimo dalies, kurioje konstatuota, kad pareiškėjas yra aptariamų byloje asmens duomenų valdytojas bei už nustatytus pažeidimus jam skirta nustatyto dydžio finansinė sankcija (bauda).

Teisėjų kolegija, įvertinusi bylos aplinkybes, nusprendė, kad NVSC laikytinas programėlės duomenų valdytoju (BDAR 4 straipsnio 7 punktas). Teisėjų kolegija pažymėjo, NVSC, vykdydamas Sveikatos apsaugos ministerijos ir Lietuvos Respublikos Vyriausybės nurodymus, užsakė (organizavo neskelbtinų derybų būdu) programėlės įsigijimą siekdamas įgyvendinti jam nustatytą užduotį, t. y. suvaldyti COVID-19 pandemiją naudojant IT įrankį asmenų, turėjusių kontaktą su COVID-19 viruso nešiotojais, duomenims registruoti ir stebėti. Šiuo tikslu NVSC numatė, kad programėlėje bus tvarkomi programėlės naudotojų asmens duomenys. Nors viešasis pirkimas nesibaigė viešojo pirkimo sutarties pasirašymu, teisėjų kolegija nustatė, kad programėlės parametrai, kaip antai joje užduodami klausimai ir jų formuluotės, buvo pritaikyti prie NVSC poreikių, be to, byloje nėra duomenų, kad NVSC aiškiai išreiškė nepritarimą dėl programėlės padarymo viešai prieinamos, todėl šios aplinkybės teisėjų kolegijai sudarė pagrindą pripažinti, kad NVSC iš tikrųjų dalyvavo nustatant programėlės duomenų tvarkymo tikslus ir priemones. Byloje nustatytos faktinės aplinkybės rodo pareiškėjo, kaip institucijos, susisaistymą su kuriama programėle, jos kūrimo procesu, o ne atsiribojimo veiksmus. Taigi VDAI pagrįstai nustatė, kad NVSC laikytinas programėlės duomenų valdytoju, nes, kaip išaiškinta ESTT prejudiciniame sprendime, duomenų valdytojas yra asmuo, kuris „nustato“, o ne „įteisina“ duomenų tvarkymo tikslą ir būdus.

Teisėjų kolegija, vertindama NVSC teiginius, kad jis tvarkė tik netikrus asmens duomenis, skirtus programėlei testuoti, o ne tuos, kuriuos surinko Įmonė, pažymėjo, kad nustačius, jog NVSC aiškiai neišreiškė nepritarimo dėl programėlės padarymo viešai prieinamos iki jos išviešinimo, kad joje asmens duomenys buvo renkami po programėlės išviešinimo, ir tai, kad pareiškėjas laikytinas programėlės valdytoju, nėra teisinio pagrindo daryti išvadą, kad jis atsakingas tik už tęstinių duomenų (netikrų duomenų) tvarkymą Programėlėje.

Teismas, pripažinęs, kad VDAI teisingai nustatė, kad pareiškėjas yra duomenų valdytojas, o, kaip nurodyta šio sprendimo 36 punkte, duomenų valdytojas yra atsakingas ne tik už bet kokį asmens duomenų tvarkymą, kurį atlieka jis pats, bet ir už jo vardu atliekamą duomenų tvarkymą, šiam duomenų valdytojui gali būti skirta administracinė bauda pagal BDAR 83 straipsnį, jei asmens duomenys tvarkomi neteisėtai, ir taip juos tvarko ne šis valdytojas, o jo prašymu ir jo vardu veikiantis duomenų tvarkytojas (ESTT prejudicinio sprendimo 84 p.). Taigi teismas šią pareiškėjo skundo dalį atmetė kaip nepagrįstą.

Šis sprendimas per 30 kalendorinių dienų gali būti skundžiamas Lietuvos vyriausiajam administraciniam teismui.

Cituojant ar platinant šią informaciją būtina nuoroda į informacijos šaltinį.

Sigita Gamulėnienė
Regionų administracinio teismo
teismo pirmininko padėjėja ryšiams su žiniasklaida ir visuomene
Tel. (8 5) 205 4532, 8 612 49869
El. paštas sigita.gamuleniene@teismas.lt
administracinis.teismas.lt