Dėl Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo Nr. I-1374 papildymo 5-1 straipsniu įstatymo projekto Nr. XVP-1496

Įstatymo projektu siūlomos nuostatos iš esmės dubliuoja 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) reguliavimą ir jo taikymo praktiką, suformuotą Europos Sąjungos Teisingumo Teismo (toliau – ESTT) ir Europos duomenų apsaugos valdybos (toliau – Valdyba), todėl Įstatymo projektu siūlomas reguliavimas vertintinas kaip perteklinis ir neatitinkantis Lietuvos Respublikos teisėkūros pagrindų įstatymo 3 straipsnio 2 dalies 1 punkte įtvirtinto teisėkūros tikslingumo principo, pagal kurį teisės akto projektas turi būti rengiamas ir teisės aktas priimamas tik tada, kai siekiamų tikslų negalima pasiekti kitomis priemonėmis.

Vaizdo stebėjimas yra vienas iš asmens duomenų tvarkymo būdų. Asmens duomenų tvarkymą reglamentuoja Reglamentas (ES) 2016/679 ir Lietuvos Respublikos asmens duomenų, tvarkomų nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas, bausmių vykdymo arba nacionalinio saugumo ar gynybos tikslais, teisinės apsaugos įstatymas (toliau – Teisėsaugos ADTAĮ). Reglamentas (ES) 2016/679 ir Teisėsaugos ADTAĮ nenustato atskirų nuostatų, skirtų vaizdo stebėjimui reguliuoti, todėl vykdomas vaizdo stebėjimas turi atitikti Reglamento (ES) 2016/679 ir (ar) Teisėsaugos ADTAĮ nuostatas. Vadinasi, asmens duomenys gali būti tvarkomi tik laikantis su asmens duomenų tvarkymu susijusių principų, įtvirtintų Reglamento (ES) 2016/679 5 straipsnyje (kai taikoma, Teisėsaugos ADTAĮ 3 straipsnyje), ir kai toks asmens duomenų tvarkymas gali būti pagrįstas bent viena teisėto asmens duomenų tvarkymo sąlyga, numatyta Reglamento (ES) 2016/679 6 straipsnyje (kai taikoma, Teisėsaugos ADTAĮ 7 straipsnyje). Jeigu nėra nė vienos iš Reglamente (ES) 2016/679 ar Teisėsaugos ADTAĮ nurodytų asmens duomenų teisėto tvarkymo sąlygų ir teisėto asmens duomenų tvarkymo tikslo, asmens duomenys negali būti tvarkomi. Reglamento taikymą atliekant vaizdo stebėjimą detalizuoja Valdybos 2020 m. sausio 29 d. priimtos Gairės 3/2019 dėl asmens duomenų tvarkymo naudojant vaizdo prietaisus (toliau – Gairės).

Įstatymo projekto 1 straipsnyje dėstomo 51 straipsnio 1 dalyje nustatyta, kad „vaizdo stebėjimas viešose vietose leidžiamas tik tada, kai tai būtina <...> ir kitais būdais šio tikslo pasiekti neįmanoma arba jie būtų neproporcingai sudėtingi.“ Pažymėtina, kad būtinybės kriterijus tvarkant asmens duomenis jau numatytas Reglamento (ES) 2016/679 5 ir 6 straipsniuose: duomenų valdytojas, siekdamas teisėto tikslo, gali tvarkyti tik tuos duomenis ir tik tokia apimtimi, kuri yra objektyviai būtina tam tikslui pasiekti. Reglamento (ES) 2016/679 5 straipsnio 1 dalies c punkte nustatyta, kad asmens duomenys turi būti „adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi“ (duomenų kiekio mažinimo principas). Tai reiškia, kad būtina vertinti ne tik tvarkymo tikslą, bet ir tai, ar renkami duomenys iš tiesų reikalingi tam tikslui pasiekti. Reglamento (ES) 2016/679 6 straipsnyje būtinybės kriterijus įtvirtintas teisiniuose asmens duomenų tvarkymo pagrinduose kaip teisėtumo sąlyga (6 straipsnio 1 dalies b–f punktai). Būtinybės tvarkyti asmens duomenis naudojant vaizdo prietaisus vertinimas išsamiai atskleistas Gairių 24–29 punktuose. Taigi iš esmės Įstatymo projekto 1 straipsnyje dėstomo 51 straipsnio 1 dalies nuostata neįveda naujos teisinės vertės. Be to, formuluotė „leidžiamas tik tada“ gali būti interpretuojama kaip apibrėžianti teisinį pagrindą atlikti vaizdo stebėjimą viešoje vietoje, nors Reglamentas (ES) 2016/679 leidžia duomenų tvarkymą ir kitais pagrindais, pvz., vykdant teisinę prievolę, atliekant viešojo intereso užduotį, vykdant viešosios valdžios funkcijas. Todėl nuostata gali būti vertinama kaip nepagrįstai siaurinanti Reglamente (ES) 2016/679 nustatytus teisėto tvarkymo pagrindus.

Įstatymo projekto 1 straipsnyje dėstomo 51 straipsnio 2 dalyje nustatyta, kad vaizdo stebėjimas yra griežtai draudžiamas patalpose ir vietose, kuriose asmenys pagrįstai tikisi absoliutaus privatumo, įskaitant, bet neapsiribojant: tualetus, dušus, pirtis, persirengimo kabinas, medicininės ar psichologinės apžiūros patalpas, taip pat darbuotojų asmeninio poilsio kambarius. Pirma, Valdyba, nacionalinės priežiūros institucijos ir nacionaliniai teismai tokias vietas jau seniai laiko ypač jautriomis ir be specialios nacionalinės normos (Gairių 36–39 punktai, Valstybinės duomenų apsaugos inspekcijos 2025 m. rugsėjo 25 d. sprendimas Nr. 3R‑1334 (2.13-1.E), Valstybinės duomenų apsaugos inspekcijos 2025 m. gruodžio 30 d. sprendimas Nr. 3R-1876 (2.13-1.E), Valstybinės duomenų apsaugos inspekcijos 2026 m. vasario 13 d. sprendimas Nr. 3R-252 (2.13-1.E), Regionų administracinio teismo 2023 m. spalio 29 d. sprendimas byloje Nr. I1-6675-402/2023). Antra, sąrašas nėra (ir negali būti) baigtinis, nes svarbus privatumo ir duomenų subjekto lūkesčio aspektas, o ne konkretus patalpos įvardijimas. Atsižvelgiant į tai, Įstatymo projekto 1 straipsnyje dėstomo 51 straipsnio 2 dalies nuostata laikytina deklaratyvia ir pertekline.

Įstatymo projekto 1 straipsnyje dėstomo 51 straipsnio 3 dalyje nustatyta, kaip turi būti vykdomas vaizdo stebėjimas fizinių ar juridinių asmenų privačiose teritorijose, ir detalizuojami techniniai vaizdo stebėjimo sprendimai (metodai). Pirma, kai asmens duomenis tvarko fizinis asmuo užsiimdamas išimtinai asmenine ar namų ūkio veikla ir vaizdo stebėjimas nėra susijęs su profesine ar komercine veikla, Reglamentas (ES) 2016/679 netaikomas. Tačiau jeigu asmens vykdomas vaizdo stebėjimas apima ne tik jam priklausančią teritoriją ar patalpas, bet ir viešą erdvę ir (ar) kito asmens privačią teritoriją ar kitaip peržengia privataus ar šeimos gyvenimo ribas, o vaizdo stebėjimą vykdantis asmuo nesiima priemonių apriboti jam nepriklausančios teritorijos stebėjimą, vykdomam vaizdo stebėjimui taikomos Reglamento (ES) 2016/679 nuostatos ir duomenų valdytojas turi sugebėti įrodyti, kad laikosi Reglamento (ES) 2016/679 reikalavimų (atskaitomybės principas). Dėl vaizdo stebėjimo techninių ir organizacinių priemonių įgyvendinimo aktualus Reglamento (ES) 2016/679 32 straipsnis, kuriame, siekiant užtikrinti pavojų atitinkančio lygio saugumą, nustatyta duomenų valdytojų ir duomenų tvarkytojų pareiga įgyvendinti tinkamas technines ir organizacines priemones atsižvelgiant į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms. Techniniai vaizdo stebėjimo saugumo aspektai aptariami ir Gairių 123–135 punktuose. Be to, vertinant Įstatymo projekto 1 straipsnyje dėstomo 51 straipsnio 3 dalies nuostatą ta apimtimi, kiek joje aptariami techniniai vaizdo stebėjimo sprendimai (metodai), svarbu turėti omenyje, kad įstatymais turėtų būti reglamentuojami svarbiausi visuomeniniai santykiai, įstatymai yra skirti bendriesiems principams ir esminėms bendro pobūdžio reguliavimo nuostatoms įtvirtinti. Įstatymų leidėjui reguliuojant konkrečius techninius metodus kyla rizika, kad dėl technologijų kaitos po keleto metų tokia norma gali tapti pasenusi arba net trukdyti naudoti efektyvesnes privatumo apsaugos technologijas.

Įstatymo projekto 1 straipsnyje dėstomo 51 straipsnio 4 dalyje nustatytas bendras 14 kalendorinių dienų vaizdo stebėjimo duomenų saugojimo terminas, išskyrus atvejus, kai užfiksuojamas galimas teisės pažeidimas, nelaimingas atsitikimas ar kitas incidentas, kuriam tirti šie duomenys yra būtini, arba kai ilgesnį saugojimo terminą nustato kiti įstatymai. Bendro 14 dienų standarto įtvirtinimas gali būti problematiškas atsižvelgiant į Reglamente (ES) 2016/679 įtvirtintą atskaitomybės principą: valdytojai gali pradėti klaidingai manyti, kad 14 dienų terminas visada yra teisėtas, nors Reglamentas (ES) 2016/679 reikalauja įrodyti būtinumą konkrečioje situacijoje. Pagal Reglamento (ES) 2016/679 5 straipsnio 1 dalies e punkte įtvirtintą saugojimo trukmės apribojimo principą asmens duomenys gali būti saugomi tik tiek laiko, kiek būtina konkrečiam duomenų tvarkymo tikslui pasiekti. Tai nurodyta ir ESTT jurisprudencijoje (pvz., Europos Sąjungos Teisingumo Teismo 2022 m. spalio 20 d. sprendimas byloje Digi Távközlési és Szolgáltató Kft.,C‑77/21). Todėl duomenų saugojimo terminų teisėtumas turi būti vertinamas individualiai, atsižvelgiant į konkretų tvarkymo tikslą ir aplinkybes. Gairių 121 punkte nurodyta, kad „kuo ilgesnis saugojimo laikotarpis nustatomas (ypač kai jis ilgesnis negu 72 valandos), tuo daugiau reikia pateikti argumentų, susijusių su tikslo teisėtumu ir saugojimo būtinumu. Jeigu duomenų valdytojas stebėjimą vaizdo kameromis naudoja ne tik savo patalpoms stebėti, bet ir ketina saugoti duomenis, jis privalo patikinti, kad duomenų saugojimas faktiškai yra būtinas norint pasiekti tikslą. Jei taip, saugojimo laikotarpis turi būti aiškiai apibrėžtas ir nustatytas atskirai dėl kiekvieno konkretaus tikslo. Būtent duomenų valdytojas, atsižvelgdamas į būtinumo ir proporcingumo principus, privalo apibrėžti saugojimo laikotarpį ir įrodyti atitiktį Reglamento (ES) 2016/679 nuostatoms.“ Atsižvelgiant į tai, siūloma nuostata laikytina netikslia ir pertekline.

Duomenų subjektų informavimo pareigos reglamentuojamos Reglamente (ES) 2016/679, taigi Įstatymo projekto 1 straipsnyje dėstomo 51 straipsnio 5 dalis nesukuria pridėtinės vertės, nes atkartoja Reglamento (ES) 2016/679 12, 13 ir 14 straipsniuose nustatytus reikalavimus. Paaiškinimai dėl duomenų subjektų informavimo apie vykdomą vaizdo stebėjimą išsamiai pateikti ir Gairių 110–116 punktuose. Kaip jau minėta anksčiau, įstatymuose vengtina nurodyti konkrečias technologijas, nes tai neatitinka įstatymų paskirties, be to, kintant ir vystantis naujoms technologijoms gali tekti dažnai keisti įstatyme nustatytą reguliavimą.