Naujienos

Asmens duomenų apsauga: Registrų centras, būdamas Elektroninės sveikatos paslaugų ir bendradarbiavimo infrastruktūros informacinės sistemos duomenų tvarkytojas, yra atsakingas už tvarkomos informacinės sistemos saugą, duomenų tvarkymo sistemos ir teikiamų paslaugų konfidencialumą, vientisumą ir prieinamumą, taip pat turi pareigą laiku atkurti sąlygas ir galimybes naudotis asmens duomenimis fizinio ar techninio incidento atveju.

Lietuvos vyriausiasis administracinis teismas (LVAT) 2024 m. spalio 23 d. paskelbė sprendimą byloje, kurioje nagrinėtas ginčas tarp pareiškėjo valstybės įmonės Registrų centro ir atsakovo Valstybinės duomenų apsaugos inspekcijos (VDAI, Inspekcija). Byloje ginčas kilo dėl VDAI sprendimo skirti Registrų centrui 15 000 Eur baudą už Bendrojo duomenų apsaugos reglamento (BDAR) nuostatų pažeidimą. Inspekcija nustatė, jog Registrų centras nesugebėjo užtikrinti nuolatinio duomenų tvarkymo sistemų ir paslaugų konfidencialumo, vientisumo, prieinamumo ir atsparumo bei laiku atkurti galimybės naudotis asmens duomenimis fizinio ar techninio incidento atveju.

Minimas incidentas įvyko 2020-aisiais, kai dėl itin stiprios liūties Vilniuje, lietaus vanduo prasisunkė per Registrų centro pastato konstrukcijų pažeidimus ir užliejo žemesniame aukšte įrengtą serverinę, dėl ko išsijungė dalis serverių ir dalis serveriuose saugomos informacijos tapo nepasiekiama.

Pirmosios instancijos teismas, nagrinėdamas pareiškėjo skundą, jį patenkino ir panaikino Inspekcijos Sprendimą dėl administracinės baudos skyrimo, bei įpareigojo Inspekciją nagrinėti pranešimus apie asmens duomenų saugumo pažeidimus iš naujo, konstatavęs, kad atsakovas priimdamas ginčo sprendimą neišnagrinėjo visų bylai reikšmingų aplinkybių, nevertino dalies pareiškėjo argumentų ir padarė nepagrįstas išvadas.

LVAT konstatavo, kad dėl įvykusio asmens duomenų saugumo pažeidimo Registrų centras neužtikrino sveikatos paslaugų informacinės sistemos nuolatinio duomenų tvarkymo sistemų ir paslaugų konfidencialumo, vientisumo, prieinamumo ir laiku per 8 valandas, kaip tai nustatyta teisės aktuose, neatkūrė galimybės naudotis tvarkomais asmens duomenimis.

LVAT teisėjų kolegija pažymėjo, jog byloje nagrinėtas asmens duomenų saugumo pažeidimo incidentas, įvykęs dėl netinkamų ir nepakankamų techninės ir organizacinės saugos priemonių, kurių taikymas yra Registrų centro kompetencija, o Inspekcija tinkamai įvertino Registrų centro kaltės formą bei visas reikšmingas aplinkybes baudos dydžio nustatymui.

Lietuvos vyriausiasis administracinis teismas panaikino pirmosios instancijos teismo sprendimą ir priėmė naują sprendimą – Registrų centro skundą atmetė, konstatavęs, kad atsakovas VDAI teisingai įvertino ir kvalifikavo pareiškėjo padarytą BDAR nuostatų pažeidimą, argumentuotai parinko administracinę baudą, todėl VDAI sprendimas yra teisėtas ir pagrįstas, pagrindo jį naikinti nėra.

Administracinės bylos Nr. eA-1740-525/2024.