BDAR ir nacionalinės teisės santykis: duomenų kiekio mažinimo principas
Pradėjus taikyti Bendrąjį duomenų apsaugos reglamentą (BDAR), bene vienas iš labiausiai rūpėjusių klausimų visiems tvarkantiems asmens duomenis buvo duomenų kiekio mažinimo principas (ar vis dar galime rinkti tiek duomenų, kiek rinkome, ir ar ne per daug žinome apie asmenį bei ar apskritai žinome, kodėl norime rinkti tam tikrus duomenis).
Ypač šis asmens duomenų tvarkymo principas aktualus, kai asmens duomenų tvarkymas liečia pažeidžiamų asmenų grupes, pavyzdžiui, vaikus. Neatsitiktinai, priežiūros institucija dėl asmens duomenų tvarkymo apimties 2020 m. atliko planinius tikrinimus ugdymo įstaigose. Valstybinės duomenų apsaugos inspekcijos Asmens duomenų, tvarkomų ugdymo įstaigos nelankymo priežastims pagrįsti, apimties planinių prevencinių patikrinimų rezultatų apibendrinime[1] pažymėta, kad „BDAR įtvirtinti asmens duomenų tvarkymo principai yra pamatiniai, t. y. iš jų kildinamas ir jais grindžiamas visas BDAR įtvirtintas teisinis reguliavimas, todėl duomenų valdytojas dar prieš pradėdamas asmens duomenų tvarkymo veiksmus turi tiksliai žinoti ir įsivertinti bei sugebėti įrodyti kam, kokiais tikslais, kokie asmens duomenys, kokiu būdu bei kokį laiką bus tvarkomi, kodėl būtina tvarkyti atitinkamus asmens duomenis. Tokia pareiga duomenų valdytojui kyla iš BDAR 5 straipsnio 2 dalyje įtvirtinto atskaitomybės principo.“. Pastebėtina, kad atlikusi tikrinimus, Valstybinė duomenų apsaugos inspekcija atkreipė dėmesį į asmens duomenų tvarkymo tikslo formuluotės svarbą, pažymėdama, kad priklausomai nuo tikslo, duomenų apie ugdymo nelankymo priežastis tvarkymas arba atitinka duomenų kiekio mažinimo principą arba ne.
Šiemet jau sulaukėme ir pirmosios Lietuvos vyriausiojo administracinio teismo 2022-02-02 nutarties, priimtos administracinėje byloje Nr. A-222-261/2022 pagal ugdymo įstaigos apeliacinį skundą dėl pirmos instancijos teismo sprendimo, kuriuo buvo pripažintas teisėtu Valstybinės duomenų apsaugos inspekcijos sprendimas pripažinti duomenų kiekio mažinimo principo pažeidimą.
Įdomu tai, kad Lietuvos vyriausiasis administracinis teismas jau ne pirmą kartą pabrėžia Bendrojo duomenų apsaugos reglamento viršenybę nacionalinės teisės atžvilgiu. Lietuvos vyriausiasis administracinis teismas nutartyje pažymėjo „Europos Sąjungos Teisingumo Teismo 2019 m. birželio 25 d. didžiosios kolegijos sprendimu Daniel Adam Popławski (C-573/17) konstatavo, kad kiekvienas nacionalinis teismas, nagrinėdamas jo jurisdikcijai priklausančią bylą, kaip valstybės narės institucija privalo netaikyti jokios nacionalinės teisės nuostatos, prieštaraujančios Sąjungos teisės normai, kuri yra tiesiogiai veikianti jo nagrinėjamoje byloje. Remiantis šia nuostata atsakovas nustatęs BDAR nuostatų pažeidimą neprivalėjo vertinti Aprašo atitikties BDAR ir pripažinti jo prieštaravimą BDAR. Atsakovas nustatęs pažeidimą turėjo pareigą jį tiesiogiai kvalifikuoti pagal BDAR nuostatas. Atsakovas ir pirmosios instancijos teismas negali nurodyti, kokiomis priemonėmis turi būti nustatomas mokestis už ugdymo įstaigą, nes tokią pareigą turi atitinkamos kompetencijos viešojo administravimo subjektas.“. Iš paminėtos teismo nutarties seka išvada, kad nepaisant nacionalinės teisės nuostatų, duomenų valdytojui visuomet išlieka pareiga įrodyti tvarkomų asmens duomenų būtinumą numatytam tikslu pasiekti, o nuoroda į nacionalinės teisės aktą ne visuomet yra pakankama įrodymui, kad asmens duomenų kiekio mažinimo principas yra tinkamai įgyvendintas.
Visgi, derėtų pažymėti, kad Lietuvos vyriausiojo administracinio teismo praktika dėl asmens duomenų kiekio mažinimo principo taikymo yra nevienareikšmiška. Štai 2021-12-01 nutartyje, priimtoje administracinėje byloje Nr. eA-3122-629/2021, minėtas teismas konstatavo, kad sprendžiant, ar nebuvo pažeistas minėtas principas, svarbu atsižvelgti ir į asmens duomenų jautrumą.
Iš besiformuojančios tiek priežiūros institucijos, tiek teismų praktikos matome, kad duomenų kiekio mažinimo principo įgyvendinimui yra skiriamas didelis dėmesys, kartais palydimas ir skiriamomis administracinėmis baudomis.
Keli aspektai, į kuriuos reikėtų atkreipti dėmesį sprendžiant klausimą dėl duomenų kiekio mažinimo principo įgyvendinimo:
- Ar galime pagrįsti, kaip vienas ar kitas duomuo padeda pasiekti tikslą?
- Ar nesaugome duomenų ilgiau nei tai reikalinga tikslui pasiekti, taip išplėsdami asmens duomenų apimtį?
- Ar teisės aktas numatantis prievolę tvarkyti asmens duomenis numato konkretų asmens duomenų sąrašą?
- Ar nemėginame išspręsti duomenų kiekio mažinimo klausimo per asmens sutikimą? Atminkime, kad net jei ir turime asmens sutikimą tvarkyti asmens duomenis, jis neatleidžia nuo pareigos įgyvendinti duomenų kiekio mažinimo principą.
Tekstą parengė Daiva Tamulionienė, advokatų kontoros ILAW LEXTAL vyresnioji teisininkė
[1] https://vdai.lrv.lt/uploads/vdai/documents/files/Ugdymo%20istaigu%202020%20m_%20tikrinimu%20apibendrinimas%202021-02-05.pdf
