Created by Unknown User (m.zvinyte@juridicon.lt), last modified by CPO on Oct 12, 2022
Duomenų apsaugos pareigūnas Allaw® supažindina
Praėjusių metų balandį Valstybinė duomenų apsaugos inspekcija (toliau - VDAI) skyrė UAB "Vilniaus viešasis transportas" (toliau - Bendrovė) 8 000 Eur baudą už tai, kad pastaroji nepagrindė poreikio Vilniaus viešajame transporte vykdyti ne tik vaizdo stebėjimą, bet ir garso įrašymą. Bendrovė su tokiu VDAI sprendimu nesutiko ir apskundė jį Vilniaus apygardos teismui (toliau - Teismas). Šių metų vasario pabaigoje Teismas savo priimtame sprendime pripažino, kad VDAI paskirta bauda yra pagrįsta. Kokie pažeidimai lėmė baudos skyrimą ir kas padėtų jų išvengti? Apie tai supažindina Duomenų apsaugos pareigūnas Allaw.
Neįvertinę garso įrašymo būtinumo - būsite pripažinti pažeidę BDAR reikalavimus
Tyrimo metu buvo nustatyta, kad UAB "Vilniaus viešasis transportas" autobusuose ir troleibusuose (toliau - transporto priemonės) buvo atliekamas ne tik vaizdo stebėjimas, bet, nustatyta, kad vaizdo stebėjimo kameromis atliekami ir garso įrašai. Vaizdo stebėjimo ir garso įrašymo kameros yra sumontuotos transporto priemonių išorėje, jomis tiksliai nenustatytu atstumuyra įrašomas garsas tiek transporto priemonių salone prie vairuotojo kabinos, tiek transporto priemonių išorėje. Garso įrašai buvo daromi transporto priemonės maršruto metu tol, kol veikia transporto priemonės variklis.
Bendrovė garso įrašų darymo transporto priemonėse būtinumą grindė tuo, kad šis reikalingas: siekiant užtikrinti Bendrovės teikiamų paslaugų kokybę; siekiant užtikrinti Bendrovės darbuotojų, atliekančių savo darbines pareigas viešojo transporto priemonėse, saugumą, šių asmenų ir Bendrovės turto saugumą bei viešąją tvarką; siekiant užtikrinti Bendrovės darbuotojų interesų apsaugą, sprendžiant su Bendrovės teikiamų paslaugų kokybe susijusius konfliktus ir tinkamai įvertinti konfliktines situacijas, įtakojančias asmenų sveikatos sužalojimo, turto sugadinimo atvejus ar eismo įvykius. Tvarkydama garso įrašo metu gautus duomenis Bendrovė rėmėsi teisėto intereso pagrindu (BDAR 6 str. 1 d. f) punktas).
VDAI pažymėjo, jog Bendrovės transporto priemonėse vykdomas vaizdo stebėjimas yra pakankama priemonė sprendžiant daugumą Bendrovės nurodytų atvejų, dėl kurių Bendrovė nurodė daranti garso įrašus, pavyzdžiui, sprendžiant neteisingos grąžos už bilietus sumokėjimo atvejus, bilietų pardavimo / nepardavimo atvejus, bilietų pardavimo laiką, vagystės atvejus. Bendrovė VDAI nepateikė informacijos, kaip garso įrašai padėjo tiriant vagystes ar kitas nusikalstamas veikas, įvykdytas viešajame transporte, todėl VDAI padarė išvadą, kad garso įrašymas yra perteklinė priemonė. VDAI taip pat pažymėjo, jog Bendrovės siekis garso įrašų pagalba spręsti retai pasitaikančius vairuotojų darbo tvarkos pažeidimus negali būti laikoma pakankamu argumentu vertinant garso įrašų darymo pagrįstumą. Pati Bendrovė VDAI nurodė, jog ištyrus keleivių gautus skundus, vairuotojų darbo drausmės pažeidimai buvo nustatyti retai, todėl Bendrovės argumentas, kad garso įrašų darymas, siekiant drausminti vairuotojus ir panaikinti Bendrovėje įsivyravusią „nebaudžiamumo“ atmosferą, pripažintas nepagrįstu.
Atsižvelgusi į tai, jog Bendrovės transporto priemonės važinėja visame Vilniaus mieste, garso įrašai daromiviso maršruto metu, transporto priemonėmis Vilniuje važinėja daug asmenų, todėl Bendrovės tvarkomas asmens duomenų mastas yra labai didelis, VDAI pripažino jį kaip neproporcingą lyginant su Bendrovės siekiamu tikslu. Be to Bendrovė nebuvo įvertinusi daromo garso įrašo kokybės, todėl nebuvo įsitikinusi, ar iš tiesų gali pasiekti išsikeltus tikslus.
Kas turėtų būti įvertinta siekiant nustatyti garso įrašymo būtinumą?
Atsižvelgiant į BDAR 5 str. 2 d. įtvirtintą atskaitomybės principą kiekviena įmonė (duomenų valdytoja) turi pareigą įrodyti jos atliekamo asmens duomenų tvarkymo atitiktį BDAR nuostatoms. Vertinant VDAI ir Teismo argumentus bei Europos duomenų apsaugos valdybos (toliau - EDAV) gaires, galima išskirti aspektus, kuriuos kiekviena įmonė, planuodama atlikti garso įrašus, turėtų įvertinti ir dokumentuoti, t. y.:
ar Jūsų siekiami tikslai bus pasiekti atliekant garso įrašymą?
ar Jūsų siekiami tikslai gali būti įgyvendinti kitu, mažiau privatumą ribojančiu būdu ir priemonėmis?
kokios yra garso įrašymo įrangos techninės galimybės (pvz., kokiu atstumu fiksuojamas garsas)?
ar garso įrašymo kokybė tinkama ir sudarys sąlygassiekiamiems tikslams pasiekti?
Remiantis EDAV gairėmis tikslams pasiekti, atrinktuose sprendimo būduose neturėtų būti nebūtinų funkcijų (pvz., neribotas kamerų judėjimas, vaizdo mastelio didinimo galimybės, radijo signalo perdavimas, analizė ir garso įrašai). Numatytos funkcijos, kurios nėra būtinos, turi būti išjungtos. Duomenų tvarkymo būtinumas yra vertinamas atliekant poveikio duomenų apsaugai (toliau - PDAV) vertinimą, kuris, atsižvelgiant į VDAI direktoriaus įsakymą, turi būti atliekamas tuomet, kai vaizdo stebėjimas atliekamas kartu su garso įrašymu.
Netinkamas asmenų informavimas apie vykdomą garso įrašymą - dar vienas pažeidimas, kaip tinkamai informuoti?
Kaip jau minėta, tyrimo metu buvo nustatyta, kad vairuotojų kabinose yra įrengti mikrofonai, kuriais yra įrašomas garsas, įskaitant vairuotojų pokalbius, nors transporto priemonėse yra nurodyta informacija tik apie tai, kad yra vykdomas vaizdo stebėjimas. Tokia praktika neatitinka BDAR 13 str., nustatančio pareigą duomenų valdytojams tinkamai informuoti asmenis apie tvarkomus jų asmens duomenis. Kaip pažymėjo Teismas, svarbiausia aplinkybė, dėl kurios asmens duomenų tvarkymo darant garso įrašus teisėtumas negali būti grindžiamas BDAR 6 str. 1 d. f) punkte nurodyta teisėto asmens duomenų tvarkymo sąlyga, yra tai, kad Bendrovė tinkamai neinformavo duomenų subjektų apie daromus garso įrašus taip, kaip tai numato BDAR 13 straipsnio bei ADTAĮ 5 straipsnio 3 dalies nuostatos. Teismo vertinimu, garso duomenų tvarkymas laikytinas labiau asmens privatumą ribojančia priemone nei vaizdo duomenų tvarkymas, todėl vaizdo duomenų tvarkymui taikytini reikalavimai ir praktika negali būti pagal analogiją taikoma garso duomenų tvarkymui. Taigi, duomenų subjektams nežinant, kad yra daromi garso įrašai, bendrovės, kaip duomenų valdytojos, interesai daryti garso įrašus apskritai negali būti vertinami kaip teisėti.
Vadovaujantis EDAV gairėmis, informavimas turėtų būti vykdomas dviem "sluoksniais", t. y.:
pirmiausiai gerai matomu ženklu, informuojančiu, kad vykdomas vaizdo stebėjimas ir garso įrašymas bei to tikslas ir duomenų valdytojo kontaktai, kuriais duomenų subjektas gali gauti detalesnę informaciją (nuoroda į informacinį pranešimą),
informaciniu pranešimu, kurio turinys numatytas BDAR 13 str., pateikiant informaciją ne tik kokiu tikslu, bet ir kokiu pagrindu tvarkomi asmens duomenys, kokios yra duomenų subjekto teisės ir kita.
Kokios aplinkybės buvo įvertintos nustatant baudos dydį?
Skiriant baudą VDAI atsižvelgė į tai, kad:
Bendrovė garso įrašuose esančius asmens duomenis tvarkė tyčia,
ilgą laiką,
neskaidriai (neinformavo apie vykdomą garso įrašymą, tik apie vaizdo stebėjimą),
dideliu mastu,
didesne apimtimi, nei tai yra būtina duomenų tvarkymo tikslams pasiekti,
tvarkomus asmens duomenis tvarkė neteisėtai,
tai atliko sistemingai,
neužtikrino techninių ir organizacinių priemonių tam, kad galėtų įrodyti, kad tvarkydama asmens duomenis, esančius garso įrašuose laikosi BDAR reikalavimų.
Teismas pripažino, kad Bendrovės padaryti pažeidimai laikytini itin rimtais, todėl su Bendrovės bandymu ginčyti paskirtos baudos dydį nesutiko. Vadovaujantis BDAR 83 str. 3 d., skiriant administracinę baudą bendra administracinės baudos suma nustatoma pagal rimčiausią pažeidimą. Tiesa, ADTAĮ 33 str. 2 d. yra nustatyta, kad valdžios institucijai ar įstaigai (kokia ir yra Bendrovė), pažeidusiai BDAR yra skiriamos mažesnės apimties baudos, didžiausia iš jų gali būti ne didesnė kaip 60 000 Eur.
VDAI skyrė UAB "Vilniaus viešasis transportas" 8 000 Eur baudą už neteisėtą garso įrašymą viešajame transporte
Praėjusių metų balandį Valstybinė duomenų apsaugos inspekcija (toliau - VDAI) skyrė UAB "Vilniaus viešasis transportas" (toliau - Bendrovė) 8 000 Eur baudą už tai, kad pastaroji nepagrindė poreikio Vilniaus viešajame transporte vykdyti ne tik vaizdo stebėjimą, bet ir garso įrašymą. Bendrovė su tokiu VDAI sprendimu nesutiko ir apskundė jį Vilniaus apygardos teismui (toliau - Teismas). Šių metų vasario pabaigoje Teismas savo priimtame sprendime pripažino, kad VDAI paskirta bauda yra pagrįsta. Kokie pažeidimai lėmė baudos skyrimą ir kas padėtų jų išvengti? Apie tai supažindina Duomenų apsaugos pareigūnas Allaw.
Neįvertinę garso įrašymo būtinumo - būsite pripažinti pažeidę BDAR reikalavimus
Tyrimo metu buvo nustatyta, kad UAB "Vilniaus viešasis transportas" autobusuose ir troleibusuose (toliau - transporto priemonės) buvo atliekamas ne tik vaizdo stebėjimas, bet, nustatyta, kad vaizdo stebėjimo kameromis atliekami ir garso įrašai. Vaizdo stebėjimo ir garso įrašymo kameros yra sumontuotos transporto priemonių išorėje, jomis tiksliai nenustatytu atstumu yra įrašomas garsas tiek transporto priemonių salone prie vairuotojo kabinos, tiek transporto priemonių išorėje. Garso įrašai buvo daromi transporto priemonės maršruto metu tol, kol veikia transporto priemonės variklis.
Bendrovė garso įrašų darymo transporto priemonėse būtinumą grindė tuo, kad šis reikalingas: siekiant užtikrinti Bendrovės teikiamų paslaugų kokybę; siekiant užtikrinti Bendrovės darbuotojų, atliekančių savo darbines pareigas viešojo transporto priemonėse, saugumą, šių asmenų ir Bendrovės turto saugumą bei viešąją tvarką; siekiant užtikrinti Bendrovės darbuotojų interesų apsaugą, sprendžiant su Bendrovės teikiamų paslaugų kokybe susijusius konfliktus ir tinkamai įvertinti konfliktines situacijas, įtakojančias asmenų sveikatos sužalojimo, turto sugadinimo atvejus ar eismo įvykius. Tvarkydama garso įrašo metu gautus duomenis Bendrovė rėmėsi teisėto intereso pagrindu (BDAR 6 str. 1 d. f) punktas).
VDAI pažymėjo, jog Bendrovės transporto priemonėse vykdomas vaizdo stebėjimas yra pakankama priemonė sprendžiant daugumą Bendrovės nurodytų atvejų, dėl kurių Bendrovė nurodė daranti garso įrašus, pavyzdžiui, sprendžiant neteisingos grąžos už bilietus sumokėjimo atvejus, bilietų pardavimo / nepardavimo atvejus, bilietų pardavimo laiką, vagystės atvejus. Bendrovė VDAI nepateikė informacijos, kaip garso įrašai padėjo tiriant vagystes ar kitas nusikalstamas veikas, įvykdytas viešajame transporte, todėl VDAI padarė išvadą, kad garso įrašymas yra perteklinė priemonė. VDAI taip pat pažymėjo, jog Bendrovės siekis garso įrašų pagalba spręsti retai pasitaikančius vairuotojų darbo tvarkos pažeidimus negali būti laikoma pakankamu argumentu vertinant garso įrašų darymo pagrįstumą. Pati Bendrovė VDAI nurodė, jog ištyrus keleivių gautus skundus, vairuotojų darbo drausmės pažeidimai buvo nustatyti retai, todėl Bendrovės argumentas, kad garso įrašų darymas, siekiant drausminti vairuotojus ir panaikinti Bendrovėje įsivyravusią „nebaudžiamumo“ atmosferą, pripažintas nepagrįstu.
Atsižvelgusi į tai, jog Bendrovės transporto priemonės važinėja visame Vilniaus mieste, garso įrašai daromi viso maršruto metu, transporto priemonėmis Vilniuje važinėja daug asmenų, todėl Bendrovės tvarkomas asmens duomenų mastas yra labai didelis, VDAI pripažino jį kaip neproporcingą lyginant su Bendrovės siekiamu tikslu. Be to Bendrovė nebuvo įvertinusi daromo garso įrašo kokybės, todėl nebuvo įsitikinusi, ar iš tiesų gali pasiekti išsikeltus tikslus.
Atsižvelgiant į BDAR 5 str. 2 d. įtvirtintą atskaitomybės principą kiekviena įmonė (duomenų valdytoja) turi pareigą įrodyti jos atliekamo asmens duomenų tvarkymo atitiktį BDAR nuostatoms. Vertinant VDAI ir Teismo argumentus bei Europos duomenų apsaugos valdybos (toliau - EDAV) gaires, galima išskirti aspektus, kuriuos kiekviena įmonė, planuodama atlikti garso įrašus, turėtų įvertinti ir dokumentuoti, t. y.:
Remiantis EDAV gairėmis tikslams pasiekti, atrinktuose sprendimo būduose neturėtų būti nebūtinų funkcijų (pvz., neribotas kamerų judėjimas, vaizdo mastelio didinimo galimybės, radijo signalo perdavimas, analizė ir garso įrašai). Numatytos funkcijos, kurios nėra būtinos, turi būti išjungtos. Duomenų tvarkymo būtinumas yra vertinamas atliekant poveikio duomenų apsaugai (toliau - PDAV) vertinimą, kuris, atsižvelgiant į VDAI direktoriaus įsakymą, turi būti atliekamas tuomet, kai vaizdo stebėjimas atliekamas kartu su garso įrašymu.
Kaip jau minėta, tyrimo metu buvo nustatyta, kad vairuotojų kabinose yra įrengti mikrofonai, kuriais yra įrašomas garsas, įskaitant vairuotojų pokalbius, nors transporto priemonėse yra nurodyta informacija tik apie tai, kad yra vykdomas vaizdo stebėjimas. Tokia praktika neatitinka BDAR 13 str., nustatančio pareigą duomenų valdytojams tinkamai informuoti asmenis apie tvarkomus jų asmens duomenis. Kaip pažymėjo Teismas, svarbiausia aplinkybė, dėl kurios asmens duomenų tvarkymo darant garso įrašus teisėtumas negali būti grindžiamas BDAR 6 str. 1 d. f) punkte nurodyta teisėto asmens duomenų tvarkymo sąlyga, yra tai, kad Bendrovė tinkamai neinformavo duomenų subjektų apie daromus garso įrašus taip, kaip tai numato BDAR 13 straipsnio bei ADTAĮ 5 straipsnio 3 dalies nuostatos. Teismo vertinimu, garso duomenų tvarkymas laikytinas labiau asmens privatumą ribojančia priemone nei vaizdo duomenų tvarkymas, todėl vaizdo duomenų tvarkymui taikytini reikalavimai ir praktika negali būti pagal analogiją taikoma garso duomenų tvarkymui. Taigi, duomenų subjektams nežinant, kad yra daromi garso įrašai, bendrovės, kaip duomenų valdytojos, interesai daryti garso įrašus apskritai negali būti vertinami kaip teisėti.
Vadovaujantis EDAV gairėmis, informavimas turėtų būti vykdomas dviem "sluoksniais", t. y.:
Skiriant baudą VDAI atsižvelgė į tai, kad:
Bendrovė garso įrašuose esančius asmens duomenis tvarkė tyčia,
ilgą laiką,
neskaidriai (neinformavo apie vykdomą garso įrašymą, tik apie vaizdo stebėjimą),
dideliu mastu,
didesne apimtimi, nei tai yra būtina duomenų tvarkymo tikslams pasiekti,
tvarkomus asmens duomenis tvarkė neteisėtai,
tai atliko sistemingai,
neužtikrino techninių ir organizacinių priemonių tam, kad galėtų įrodyti, kad tvarkydama asmens duomenis, esančius garso įrašuose laikosi BDAR reikalavimų.
Teismas pripažino, kad Bendrovės padaryti pažeidimai laikytini itin rimtais, todėl su Bendrovės bandymu ginčyti paskirtos baudos dydį nesutiko. Vadovaujantis BDAR 83 str. 3 d., skiriant administracinę baudą bendra administracinės baudos suma nustatoma pagal rimčiausią pažeidimą. Tiesa, ADTAĮ 33 str. 2 d. yra nustatyta, kad valdžios institucijai ar įstaigai (kokia ir yra Bendrovė), pažeidusiai BDAR yra skiriamos mažesnės apimties baudos, didžiausia iš jų gali būti ne didesnė kaip 60 000 Eur.
Bylos santrauka (turinys tik Allaw klientams)
Nuorodos
http://liteko.teismai.lt/viesasprendimupaieska/tekstas.aspx?id=998cea92-bd22-4760-b7b7-f3638225fd60
https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_201903_video_devices_lt.pdf
https://www.e-tar.lt/portal/lt/legalAct/abb01940465511e9a221b04854b985af
Pasitikrinti, ar esate pagrindę Jūsų atliekamo garso įrašymo būtinumą, atlikę poveikio duomenų apsaugai vertinimą
Pasitikrinti, ar esate nustatę ir dokumentavę vaizdo stebėjimo ir garso įrašymo taisykles
Pasitikrinti, ar Jūsų darbuotojai apmokyti informuoti duomenų subjektu apie jų asmens duomenų tvarkymą, nustatyti poreikį atlikti poveikio duomenų apsaugai vertinimą
Pasitikrinti, ar Jūsų BDAR mokymų temos apima teisėto duomenų tvarkymo pagrindo nustatymą, poveikio duomenų apsaugai vertinimo atlikimą
Būtina prieš vykdant garso įrašymą įvertinti jo atlikimo būtinybę ir tinkamai informuoti duomenų subjektus!
You will need to contact your administrator.
BDAR specializuoti mokymai duomenų saugos pažeidimų prevencijai
BDAR e-vedlys
Dažnai užduodami klausimai (DUK)
Teirautis dėl prieigos prie BDAR mokymų e-medžiagos
Sužinoti apie inovatyvią paslaugą duomenų apsaugos pareigūnas Allaw®
Palikti žinutę duomenų apsaugos pareigūnui Allaw®
Telefonu: 8-616 02000