Darbuotojo naršymo internete duomenų tvarkymas atliekant korupcijos prevencijos tyrimą

Klausimas

Dėl darbuotojo naršymo internete duomenų tvarkymo atliekant korupcijos prevencijos tyrimą

Suformuluota taisyklė

Korupcijos prevencijos (atitikties) pareigūnas, kuris kartu paskirtas administruoti vidinį įstaigos kanalą ir nagrinėti juo gautą informaciją apie pažeidimus kompetentingu subjektu, turėdamas tokį dvejopą statusą, gavęs pranešimą apie galimą pažeidimą, turi ne tik teisę, bet ir pareigą suteiktos kompetencijos ribose organizuoti ir atlikti atitinkamą tyrimą. Ši pareiga apima, pirma, gautame pranešime nurodytų faktinių aplinkybių dėl konkretaus galimo pažeidimo patikrinimą, ir, antra, kilus pagrįstiems įtarimams dėl galimo korupcinio pobūdžio pažeidimo, individualiosios korupcijos prevencijos tikslais – platesnių prevencinių priemonių taikymą (74 punktas).

Net ir įgyvendindami korupcijos prevencijos ir kontrolės bei pažeidimų tyrimo srityje suteiktus pakankamai plačius įgaliojimus, atsakingi subjektai tvarkydami asmens duomenis, privalo laikytis Bendrojo duomenų apsaugos reglamento (toliau – BDAR) įtvirtintų asmens duomenų tvarkymo principų (77 punktas).

Vadovaujantis tikslo apribojimo principu, svarbu aiškiai atriboti atitinkamų asmens duomenų tvarkymo tikslus, t. y. jų tvarkymą vidiniu įstaigos kanalu gauto pranešimo tyrimo ir kitais, su tokiu pranešimu galbūt susijusiais bei iš jo kylančiais platesniais tikslais – korupcijos prevencijos ir kontrolės. Tai ypač svarbu, kai šie klausimai susiję su tokiais jautriais duomenimis, kaip asmens naršymo internete istorija, prieiga prie kurių gali leisti daryti pakankamai tikslias išvadas apie šių asmenų privatų gyvenimą, kaip antai jų kasdienio gyvenimo įpročius, pomėgius, socialinius ryšius ir pan., kad būtų tvarkomi tik tokie duomenys, kurie būtini siekiant aiškiai apibrėžtų tikslų, be kita ko, laikantis BDAR įtvirtinto duomenų kiekio mažinimo principo (79 punktas)

*** Nagrinėtoje byloje ginčas kilo dėl Valstybinės duomenų apsaugos inspekcijos sprendimo, kuriuo Duomenų subjekto skundo dalis dėl jo asmens duomenų (naršymo internete istorijos) rinkimo apimties ir šių duomenų perdavimo tretiesiems asmenims buvo pripažinta pagrįsta, o Duomenų subjekto darbdaviui VĮ „Regitra“ už tai skirtas papeikimas. Ginčo duomenų tvarkymas buvo susijęs su Duomenų subjekto atžvilgiu atliktu tyrimu dėl galbūt netinkamo elgesio darbo metu, kuris buvo pradėtas pagal VĮ „Regitra“ vidiniu informacijos apie pažeidimus teikimo kanalu gautą pranešimą. Byloje nustatyta, kad tyrimą atlikęs darbuotojas ginčui aktualiu laikotarpiu turėjo dvejopą statusą – buvo Korupcijos prevencijos (atitikties) pareigūnas ir kartu paskirtas administruoti vidinį įstaigos kanalą (21, 23, 58 punktai).

Teismas konstatavo, kad pareigūno kompetencija apėmė tiek bendrąją, tiek individualiąją korupcijos prevenciją, todėl vidiniu kanalu gauta informacija galėjo būti teisėtai panaudota platesniam tyrimui, o tai, jog šios funkcijos buvo suteiktos vienam asmeniui, savaime nepaneigė tokio veikimo teisėtumo (65, 73 punktai).

Įvertinus byloje nustatytas aplinkybes, padaryta išvada, kad vidiniu kanalu gauto pranešimo pagrindu galėjo kilti pagrįstos abejonės dėl galimo interesų konflikto ir galbūt su korupcijos prevencijos tikslais nesuderinamos Duomenų subjekto veiklos darbo metu, todėl tyrimą atlikęs pareigūnas, atsižvelgiant į jo turėtą dvejopą statusą, turėjo ne tik teisę, bet ir pareigą suteiktos kompetencijos ribose neapsiriboti vien pranešime nurodytų aplinkybių dėl konkretaus įvykio patikrinimu, o šio pranešimo pagrindu turėjo teisę ir iš esmės privalėjo atlikti taip pat platesnį, su individualiąja korupcijos prevencija, susijusį tyrimą (80 punktas). Būtent individualiosios korupcijos prevencijos tikslų požiūriu, pagal vidiniu kanalu gautame pranešime pateiktą informaciją kilus pagrįstiems įtarimams dėl Duomenų subjekto galbūt darbo metu vykdomos su korupcijos prevencija nesuderinamos veiklos objektyviai egzistavo poreikis atlikti platesnės apimties tyrimą, kas sąlygojo ir ginčo duomenų už ilgesnį laikotarpį tvarkymo poreikį. Šiame kontekste atkreiptas dėmesys į tai, kad:

- Ginčo duomenys (Duomenų subjekto naršymo internete istorija) buvo renkami ir toliau tvarkomi ne atsitiktinai, o susiję su aiškiai apibrėžtais įtarimais dėl Duomenų subjekto galbūt darbo metu vykdomos automobilių prekybos, kurie pagrįstai kilo vertinant vidiniu kanalu gautą pranešimą ir jame pateiktą informaciją; - Duomenų subjekto naršymo internete istorijos duomenys buvo renkami už aiškiai apibrėžtą laikotarpį; - Ginčo duomenys buvo tvarkomi tik Duomenų subjekto veiklos tyrimo metu ir išimtinai tik siekiant deklaruotų tikslų; - Atsakingam asmeniui renkant minėtus duomenis nebuvo ir negalėjo iš anksto būti žinomas jų turinys (konkrečios Duomenų subjekto lankytos, su darbo funkcijų vykdymu nesusijusios interneto svetainės ir kt.), o vėlesnio jų tvarkymo metu, į tyrimo medžiagą neįtraukti patys jautriausi naršymo istorijos duomenys, susiję su darbuotojo (Duomenų subjekto) asmeniniu gyvenimu, pavyzdžiui, apsilankymų interneto bankų, sveikatos įstaigų, socialinių medijų svetainėse, žinių portaluose ir pan.; - Dėl ginčo asmens duomenų tvarkymo Duomenų subjektui iš esmės nekilo neigiamos pasekmės – galimas pažeidimas dėl prekybos automobiliais darbo metu nenustatytas, o pažeidimas dėl darbo laiko naudojimo lankymuisi su darbu nesusijusiose svetainėse pripažintas mažareikšmiu, ginčo duomenys nebuvo atskleisti su jais susipažinti teisės neturintiems asmenims; - Byloje nenustatyta, jog susiklosčiusioje situacijoje teisėtiems individualiosios korupcijos prevencijos tikslams pasiekti galėjo būti naudojamos akivaizdžiai mažiau ribojančios priemonės (81 punktas).

Atsižvelgiant į tai, konstatuota, kad ginčo asmens duomenų tvarkymas neviršijo to, kas būtina, todėl šių duomenų tvarkymas pripažintas proporcingu teisėtiems tikslams, kurių buvo siekiama (82 punktas).

Šaltinis: Lietuvos vyriausiojo administracinio teismo biuletenis „Administracinė jurisprudencija“ Nr. 49 (2025 m. sausis–birželis).