Lietuvos vyriausiasis administracinis teismas (LVAT) paskelbė verdiktą byloje, kuria išsprendė ginčą tarp kreditų rizikos vertinimo UAB „Creditinfo Lietuva“ ir Valstybinės duomenų apsaugos inspekcijos (VDAI). Šios bylos priešistorė siekia dar 2014 m., kai „Creditinfo“ pasiūlė paslaugą rinkai, pagal kurią asmens mokumas būtų vertinamas ir pagal „Facebook“ paskyroje skelbiamus duomenis.
Teismas nusprendė, kad informacija apie asmens duomenų gavimą iš socialinio tinklo „Facebook“ ir jų tvarkymas mokumo vertinimo tikslu neprieštarauja teisėtam duomenų tvarkymui.
Tam, kad paslauga būtų teikiama, reikėjo gauti kredito gavėjo sutikimą naudoti jo duomenis bei užregistruoti „Creditinfo Lietuva“ į Asmens duomenų valdytojų valstybės registro duomenų bazę. Inspekcija, kuri valdo šį registrą, atsisakė įrašyti bendrovę į minėtą duomenų bazę, nes vadovavosi nuostata, kad asmens mokumas negali būti nustatomas pagal „Facebook“ duomenis. „Creditinfo“ apskundė šį sprendimą Vilniaus apygardos administraciniam teismui (VAAT). VAAT atmetus skundą, „Creditinfo“ kreipėsi į aukštesnės instancijos teismą.
Beveik po dvejų metų ginčo LVAT teisėjų kolegija nusprendė, kad VDAI pagrįstai atsisakė informaciją įrašyti į Asmens duomenų valdytojų valstybės registro duomenų bazę. Nurodoma, kad taip buvo padaryta, nes duomenų subjekto sutikimas dėl duomenų naudojimo nebuvo aiškiai suprantamas, duomenų tvarkymo aprėptis bei pasekmės nebuvo nurodyti tiksliai ir informavimas duomenų subjektui apie duomenų tvarkymą nebuvo užtikrintas. Kitaip tariant, teismo nuomone, didžiausias kliuvinys buvo netinkamas informavimas ir duomenų rinkimo reglamentavimas.
Nors teismas ir pripažino, kad VDAI veiksmai buvo pagrįsti, tačiau sprendime yra dalis, kurioje kalbama apie informaciją, kurią vartotojas skelbia socialiniuose tinkluose. Teismas nusprendė, kad informacija apie asmens duomenų gavimą iš socialinio tinklo „Facebook“ ir jų tvarkymas mokumo vertinimo tikslu neprieštarauja teisėtam duomenų tvarkymui.
Nutartyje teismas taip pat analizavo tiek tarptautinę teismų praktiką, tiek teisės aktus: Europos Sąjungos Teisingumo teismas (ESTT) yra išvystęs praktiką dėl asmens duomenų tvarkymo internete; Lietuvos Aukščiausiojo Teismo (LAT) pozicija dėl privataus gyvenimo neliečiamumo yra tokia, kad jeigu asmuo duoda sutikimą, jog jo asmeniniai duomenys, skelbiami socialiniame tinkle, būtų tvarkomi, tai nereiškia privataus gyvenimo pažeidimo.
Būtinas sutikimas
Teismas pripažino, kad „Creditinfo“ sutikimo forma tvarkyti asmens duomenis neatitiko Asmens duomenų teisinės apsaugos įstatymo (ADTAĮ). Teismui užkliuvo, kad asmens duomenų subjektui nebuvo nurodytas baigtinis tvarkomų asmens duomenų sąrašas, taip pat nenurodyti konkretūs duomenų gavėjai, kuriems gali būti perduoti asmens duomenys.
Svarbu pažymėti, kad abstraktus asmens sutikimas tvarkyti jo asmens duomenis nesuvokiant, kokios apimties duomenys bus tvarkomi, taip pat nežinant, kokiems tretiesiems asmenims jie gali būti perduoti, praktiškai neturi teisinės prasmės.
„Asmens duomenų subjektui nesuteikus tokio pobūdžio informacijos, jis neturėtų praktinių galimybių įvertinti jo asmens duomenų tvarkymo veiksmų bei duoti konkretaus sutikimo dėl asmens duomenų tvarkymo“, rašoma teismo nutartyje.
Svarbu pažymėti, kad abstraktus asmens sutikimas tvarkyti jo asmens duomenis nesuvokiant, kokios apimties duomenys bus tvarkomi, taip pat nežinant, kokiems tretiesiems asmenims jie gali būti perduoti, praktiškai neturi teisinės prasmės. Darytina išvada, kad duomenų subjektas, duodamas sutikimą, privalo būti informuotas apie visus jo asmens duomenų gavėjus ir kurie iš jų siųs tiesioginės rinkodaros pasiūlymus.
Atkreipiant dėmesį į „Creditinfo“ pareiškimą, jog duomenys bus vertinami automatiniu būdu, apskaičiuojant kreditingumo reitingą, kyla klausimas, ar subjektas, nesutikdamas su tokiu įvertinimu, turi teisę pareikšti savo nuomonę?
O kaip draugai ir šeimos nariai?
Dar viena nutartyje nagrinėjama problema yra trečiųjų asmenų informacijos naudojimas. Pagal socialinių tinklų informacijos naudojimą, kai asmuo duoda sutikimą, kreditingumą vertinanti įmonė gauna ne tik vartotojo duomenis, bet ir papildomą informaciją, susijusią su vartotojo šeimos nariais, draugais ir kitais asmenimis, esančiais jo paskyroje.
Ši informacija turėtų taip pat būti laikoma duomenimis ir jai taikoma atitinkama apsauga, kadangi pagal 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo 2 straipsnio (a) dalį, „Asmens duomenys reiškia bet kurią informaciją, susijusią su asmeniu (duomenų subjektu), kurio tapatybė yra nustatyta arba gali būti nustatyta“.
Taigi, informacijos, susijusios su trečiaisiais asmenimis, rinkimas neturėtų būti naudojamas trečiųjų asmenų mokumui vertinti, nes tai neatitinka nustatytų pagrindinio asmens duomenų tvarkymo tikslų bei pagrindinis asmuo negali duodi sutikimo už kitus asmenis, kurie „Facebook“ jam atskleidė savo duomenis.
Apžvelgus visą bylą kyla klausimas: jeigu sutikimas, kuriuo yra įtvirtinama galimybė turint suinteresuoto asmens sutikimą gauti ir tvarkyti jo duomenis, esančius socialiniame tinkle „Facebook“ kreditavimui įvertinti, būtų suformuluotas teisingai, ar asmuo norėdamas gauti pigesnį kreditą, turėtų atsisakyti dalies savo privatumo?
Renata Beržanskienė yra advokatų kontoros „SORAINEN ir partneriai“ partnerė.
