Klausimas. Dėl darbuotojo naršymo internete duomenų tvarkymo atliekant korupcijos prevencijos tyrimą

Byloje nagrinėtas ginčas kilo dėl Valstybinės duomenų apsaugos inspekcijos (toliau – Inspekcija) sprendimo rezoliucinės dalies 1 ir 2 punktų, kuriais trečiojo suinteresuoto asmens (toliau – Duomenų subjektas) skundo dalis dėl jo asmens duomenų rinkimo apimties ir šių duomenų perdavimo tretiesiems asmenims (VĮ „Regitra“ (po reorganizacijos – AB „Regitra“) Klaipėdos filialo direktoriui ir vyr. specialistui) pripažinta pagrįsta ir už šį pažeidimą VĮ „Regitra“ skirtas papeikimas, pagrįstumo bei teisėtumo.

Pirmosios instancijos teismas pareiškėjo VĮ „Regitra“ skundą tenkino iš dalies ir pakeitė Inspekcijos sprendimo rezoliucinės dalies 1 punktą, pašalindamas kaip papildomą pažeidimą kvalifikuotą duomenų perdavimą nurodytiems tretiesiems asmenims, o kitą skundo dalį atmetė.

Bylą pagal pareiškėjo apeliacinį skundą nagrinėjusi LVAT išplėstinė teisėjų kolegija pažymėjo, kad šiuo atveju aktualus Inspekcijos nustatytas pažeidimas dėl Duomenų subjekto asmens duomenų (naršymo internete istorijos) tvarkymo, kuris susijęs su jo atžvilgiu atliktu tyrimu dėl galbūt netinkamo darbuotojo elgesio. Šis tyrimas buvo pradėtas pagal VĮ „Regitra“ vidiniu informacijos apie pažeidimus teikimo kanalu gautą informaciją, jog Duomenų subjektas, tikėtina, savo darbo metu VĮ „Regitra“ teritorijoje sudarė transporto priemonės pirkimo– pardavimo sandorį, šio sandorio tinkamai ir laiku nedeklaravo bei tokiu būdu sukėlė rūpesčių pardavėjui ir galbūt pakenkė VĮ „Regitra“ reputacijai. Tyrimas buvo atliekamas, be kita ko, esant įtarimams, jog Duomenų subjektas darbo metu užsiima automobilių prekyba.

LVAT išsamiai apžvelgė ginčui aktualias nuostatas dėl asmens duomenų tvarkymo ir pažymėjo, kad tyrimą atlikęs VĮ „Regitra“ korupcijos prevencijos (atitikties) pareigūnas turėjo dvejopą statusą, kadangi tuo pačiu metu buvo paskirtas ir kompetentingu subjektu atlikti vidiniu įstaigos kanalu gautų pranešimų tyrimą. Šiame kontekste įvertinusi minėto pareigūno statusą, jo savarankiškumą ir iš įstatymų bei juos įgyvendinančių teisės aktų kylančią kompetenciją siekiant viešojo intereso tikslų, išplėstinė teisėjų kolegija atkreipė dėmesį, kad vertindamas vidiniu kanalu gautą pranešimą apie galimą VĮ „Regitra“ darbuotojo pažeidimą ir jo pagrindu kilus pagrįstų įtarimų dėl šio darbuotojo galbūt su korupcijos prevencija nesuderinamos veiklos darbo metu, nurodytas pareigūnas turėjo ne tik teisę, bet ir pareigą jam suteiktos kompetencijos ribose organizuoti ir atlikti atitinkamą tyrimą: pirma, kaip administruoti vidinį įstaigos kanalą bei nagrinėti juo gautą informaciją apie pažeidimus kompetentingu subjektu paskirtas asmuo; antra, kaip korupcijos prevencijos (atitikties) pareigūnas. Taigi Inspekcija nepagrįstai apsiribojo Duomenų subjekto ginčo asmens duomenų (naršymo internete istorijos) tvarkymo patikrinimu išimtinai tik vidiniu kanalu gauto pranešimo apie galimą pažeidimą tyrimo aspektu ir iš esmės nevertino šio tyrimo iš korupcijos prevencijos bei kontrolės perspektyvos kylančių asmens duomenų tvarkymo tikslų aspektu bei atitinkamai tokio tvarkymo atitikties BDAR įtvirtintiems asmens duomenų apsaugos reikalavimams.

Tam tikros VĮ „Regitra“ vidaus teisės aktų nuostatos, susijusios su korupcijos prevencijos (atitikties) pareigūno ir administruoti vidinį įstaigos kanalą bei nagrinėti juo gautą informaciją apie pažeidimus kompetentingo subjekto įgaliojimais peržiūrėti VĮ „Regitra“ darbuotojų naudojimosi tarnybiniais telefonais ir kompiuteriniu tinklu žurnalų duomenis, taip pat dėl informacinių ir telekomunikacinių darbo priemonių naudojimo asmeniniams poreikiams tenkinti buvo pripažintos turinčiomis trūkumų juridinės technikos prasme, tačiau jie byloje nagrinėtu atveju nelaikyti esminiais, kadangi iš šių nuostatų Duomenų subjektas neabejotinai galėjo ir turėjo suvokti savo prisiimamą riziką dėl naršymo internete istorijos darbiniame kompiuteryje galimo atskleidimo, t. y. galėjo iš anksto aiškiai suvokti ir numatyti tokio jo asmens duomenų tvarkymo tikslus ir su šių asmens duomenų tvarkymu susijusius pavojus (pasekmes). Išplėstinė teisėjų kolegija sprendė, kad nustatyti trūkumai nesudaro pagrindo ginčui aktualias nuostatas aiškinti kaip apribojančias iš kitų (specialiųjų) teisės aktų kylančią korupcijos prevencijos (atitikties) pareigūno ir administruoti vidinį įstaigos kanalą bei nagrinėti juo gautą informaciją apie pažeidimus kompetentingo subjekto kompetenciją tvarkyti tokius asmens duomenis, kadangi iš esmės paneigtų jų, kaip savarankiškų subjektų, statusą ir nebūtų suderinama su įstatymų leidėjo šių subjektų veiklai keliamais viešojo intereso tikslais. LVAT vertinimu, ginčui aktualus teisinis reguliavimas apėmė visus pagal BDAR būtinus asmens duomenų tvarkymo teisinio reguliavimo aspektus, o tyrimą atlikęs pareigūnas, tiesiogiai pavesdamas VĮ „Regitra“ Informacinių technologijų departamento darbuotojams pateikti jam Duomenų subjekto lankymosi internete istoriją, neviršijo jam suteiktų įgaliojimų.

Išplėstinė teisėjų kolegija taip pat pažymėjo, kad nors tyrimą atlikęs VĮ „Regitra“ pareigūnas, turėdamas dvejopą statusą, turėjo pakankamai plačią diskreciją apsispręsti, kokios apimties tyrimą pagal vidiniu kanalu gautą pranešimą būtina atlikti ir atitinkamai kokios apimties duomenis tam būtina rinkti, vadovaujantis BDAR įtvirtintu tikslo apribojimo principu, svarbu aiškiai atriboti atitinkamų asmens duomenų tvarkymo tikslus, t. y. jų tvarkymą vidiniu įstaigos kanalu gauto pranešimo tyrimo ir kitais, su tokiu pranešimu galbūt susijusiais bei iš jo kylančiais platesniais tikslais, kaip šiuo atveju – korupcijos prevencijos ir kontrolės. Tai ypač svarbu, kai šie klausimai susiję su tokiais jautriais duomenimis, kaip asmens naršymo internete istorija, prieiga prie kurių gali leisti daryti pakankamai tikslias išvadas apie šių asmenų privatų gyvenimą, kaip antai jų kasdienio gyvenimo įpročius, pomėgius, socialinius ryšius ir pan., kad būtų tvarkomi tik tokie duomenys, kurie būtini siekiant aiškiai apibrėžtų tikslų, be kita ko, laikantis BDAR įtvirtinto duomenų kiekio mažinimo principo.

Įvertinusi byloje nustatytas aplinkybes, išplėstinė teisėjų kolegija priėjo prie išvados, kad individualiosios korupcijos prevencijos tikslų požiūriu, pagal vidiniu kanalu gautame pranešime pateiktą informaciją kilus pagrįstiems įtarimams dėl Duomenų subjekto galbūt darbo metu vykdomos su korupcijos prevencija nesuderinamos veiklos, objektyviai egzistavo poreikis VĮ „Regitra“ korupcijos prevencijos (atitikties) pareigūnui atlikti platesnės apimties tyrimą, kas sąlygojo ir ginčo duomenų už ilgesnį laikotarpį tvarkymo poreikį. Šiame kontekste LVAT atkreipė dėmesį, kad:

− ginčo duomenys (naršymo internete istorija) buvo renkami ir toliau tvarkomi ne atsitiktinai, o susiję su aiškiai apibrėžtais įtarimais dėl Duomenų subjekto galbūt darbo metu vykdomos automobilių prekybos, kurie pagrįstai kilo vertinant vidiniu kanalu gautą pranešimą ir jame pateiktą informaciją; − Duomenų subjekto naršymo internete istorijos duomenys buvo renkami už aiškiai apibrėžtą laikotarpį – nuo galimo pažeidimo, apie kurį vidiniu kanalu buvo gautas pranešimas ir kuriuo remiantis kilo minėti įtarimai, padarymo mėnesio iki tyrimo atlikimo laikotarpio; − ginčo duomenys buvo tvarkomi tik Duomenų subjekto veiklos tyrimo metu ir išimtinai tik siekiant deklaruotų tikslų;

− korupcijos prevencijos (atitikties) pareigūnui renkant minėtus duomenis nebuvo ir negalėjo iš anksto būti žinomas jų turinys, o vėlesnio šių duomenų tvarkymo metu į tyrimo medžiagą neįtraukti patys jautriausi naršymo istorijos duomenys, susiję su darbuotojo asmeniniu gyvenimu; − dėl ginčo asmens duomenų tvarkymo Duomenų subjektui iš esmės nekilo neigiamos pasekmės – galimas pažeidimas dėl prekybos automobiliais darbo metu galiausiai nenustatytas, o pažeidimas dėl darbo laiko naudojimo lankymuisi su darbu nesusijusiose svetainėse pripažintas mažareikšmiu, ginčo duomenys nebuvo atskleisti su jais susipažinti teisės neturintiems asmenims. Išplėstinė teisėjų kolegija nenustatė, jog byloje nagrinėtu atveju susiklosčiusioje situacijoje teisėtiems individualiosios korupcijos prevencijos tikslams pasiekti galėjo būti naudojamos akivaizdžiai mažiau ribojančios priemonės. Atsižvelgiant į tai, konstatuota, kad ginčo asmens duomenų tvarkymas neviršijo to, kas būtina, todėl šių duomenų tvarkymas laikytinas proporcingu teisėtiems tikslams, kurių buvo siekiama.

Šiomis aplinkybėmis LVAT pakeitė pirmosios instancijos teismo sprendimą – pareiškėjo VĮ „Regitra“ skundas tenkintas, panaikinant Inspekcijos sprendimo rezoliucinės dalies 1 ir 2 punktus.

Išplėstinės teisėjų kolegijos

2025 m. gegužės 28 d. nutartis administracinėje byloje Nr. eA-98-968/2025