Lietuvos vyriausiojo administracinio teismo (LVAT) išplėstinė teisėjų kolegija 2025 m. gegužės 28 d. sprendimu panaikino Valstybinės duomenų apsaugos inspekcijos (Inspekcija) sprendimo dalį, kuria konstatuotas asmens duomenų tvarkymo pažeidimas ir skirtas papeikimas VĮ „Regitra“ dėl darbuotojo naršymo internete istorijos duomenų tvarkymo korupcijos prevencijos (atitikties) pareigūnui atliekant su šio darbuotojo veikla susijusį tyrimą.

Teismas išsamiai apžvelgė ginčui aktualias nuostatas dėl asmens duomenų tvarkymo ir pažymėjo, kad VĮ „Regitra“ korupcijos prevencijos (atitikties) pareigūnas turėjo dvejopą statusą, kadangi tuo pačiu metu buvo paskirtas ir kompetentingu subjektu atlikti vidiniu įstaigos kanalu gautų pranešimų tyrimą. Šiame kontekste įvertinusi minėto pareigūno statusą, jo savarankiškumą ir iš įstatymų bei juos įgyvendinančių teisės aktų kylančią kompetenciją siekiant viešojo intereso tikslų, išplėstinė teisėjų kolegija atkreipė dėmesį, kad vertindamas vidiniu kanalu gautą pranešimą apie galimą VĮ „Regitra“ darbuotojo pažeidimą ir jo pagrindu kilus pagrįstų įtarimų dėl šio darbuotojo galbūt su korupcijos prevencija nesuderinamos veiklos darbo metu, nurodytas pareigūnas turėjo ne tik teisę, bet ir pareigą jam suteiktos kompetencijos ribose organizuoti ir atlikti atitinkamą tyrimą, be to, turėjo pakankamai plačią diskreciją apsispręsti, kokios apimties tyrimą būtina atlikti ir kokios apimties duomenis tam būtina rinkti.

LVAT sprendė, kad Inspekcija nepagrįstai apsiribojo duomenų subjekto ginčo asmens duomenų (naršymo internete istorijos) tvarkymo patikrinimu išimtinai tik vidiniu kanalu gauto pranešimo apie galimą pažeidimą tyrimo aspektu ir iš esmės nevertino šio tyrimo iš korupcijos prevencijos bei kontrolės perspektyvos kylančių asmens duomenų tvarkymo tikslų aspektu bei tokio tvarkymo atitikties BDAR. Nors tam tikros VĮ „Regitra“ vidaus teisės aktų nuostatos dėl informacinių ir telekomunikacinių darbo priemonių naudojimo asmeniniams poreikiams tenkinti buvo pripažintos turinčiomis trūkumų juridinės technikos prasme, tačiau jie byloje nagrinėtu atveju nelaikyti esminiais, kadangi iš šių nuostatų duomenų subjektas neabejotinai galėjo ir turėjo suvokti savo prisiimamą riziką dėl naršymo internete istorijos darbiniame kompiuteryje galimo atskleidimo, t. y. galėjo iš anksto aiškiai suvokti ir numatyti tokio jo asmens duomenų tvarkymo tikslus ir su šių asmens duomenų tvarkymu susijusius pavojus (pasekmes).

Teismas pažymėjo, kad individualiosios korupcijos prevencijos tikslų požiūriu, pagal vidiniu kanalu gautame pranešime pateiktą informaciją kilus pagrįstiems įtarimams dėl duomenų subjekto galbūt darbo metu vykdomos su korupcijos prevencija nesuderinamos veiklos, objektyviai egzistavo poreikis VĮ „Regitra“ korupcijos prevencijos (atitikties) pareigūnui atlikti platesnės apimties tyrimą, kas sąlygojo ir ginčo duomenų už ilgesnį laikotarpį tvarkymo poreikį. Šiame kontekste išplėstinė teisėjų kolegija atkreipė dėmesį, kad:

• ginčo duomenys (naršymo internete istorija) buvo renkami ir toliau tvarkomi ne atsitiktinai, o susiję su aiškiai apibrėžtais įtarimais dėl duomenų subjekto galbūt darbo metu vykdomos automobilių prekybos, kurie pagrįstai kilo vertinant vidiniu kanalu gautą pranešimą ir jame pateiktą informaciją;
• duomenų subjekto naršymo internete istorijos duomenys buvo renkami už aiškiai apibrėžtą laikotarpį – nuo galimo pažeidimo, apie kurį vidiniu kanalu buvo gautas pranešimas ir kuriuo remiantis kilo minėti įtarimai, padarymo mėnesio iki tyrimo atlikimo laikotarpio;
• ginčo duomenys buvo tvarkomi tik duomenų subjekto veiklos tyrimo metu ir išimtinai tik siekiant deklaruotų tikslų;
• korupcijos prevencijos (atitikties) pareigūnui renkant minėtus duomenis nebuvo ir negalėjo iš anksto būti žinomas jų turinys, o vėlesnio šių duomenų tvarkymo metu į tyrimo medžiagą neįtraukti patys jautriausi naršymo istorijos duomenys, susiję su darbuotojo asmeniniu gyvenimu;
• dėl ginčo asmens duomenų tvarkymo duomenų subjektui iš esmės nekilo neigiamos pasekmės – galimas pažeidimas dėl prekybos automobiliais darbo metu galiausiai nenustatytas, o pažeidimas dėl darbo laiko naudojimo lankymuisi su darbu nesusijusiose svetainėse pripažintas mažareikšmiu, ginčo duomenys nebuvo atskleisti su jais susipažinti teisės neturintiems asmenims.

Išplėstinė teisėjų kolegija nenustatė, jog byloje nagrinėtu atveju susiklosčiusioje situacijoje teisėtiems individualiosios korupcijos prevencijos tikslams pasiekti galėjo būti naudojamos akivaizdžiai mažiau ribojančios priemonės. Atsižvelgiant į tai, konstatuota, kad ginčo asmens duomenų tvarkymas neviršijo to, kas būtina, todėl šių duomenų tvarkymas laikytinas proporcingu teisėtiems tikslams, kurių buvo siekiama.

Administracinė byla Nr. eA-98-968/2025.

Lietuvos vyriausiojo administracinio teismo inf.