Teismas: ugdymo įstaiga neteisėtai rinko ir tvarkė vaiko sveikatos duomenis

2024 metų rugsėjo 11 dienos nutartimi LVAT atmetė ugdymo įstaigos „Pažinimo medis“ argumentus dėl Valstybinės duomenų apsaugos inspekcijos sprendimo pagrįstumo ir teisėtumo. LVAT pripažino, jog ši ugdymo įstaiga pažeidė Bendrajame duomenų apsaugos reglamente (BDAR) nustatytus reikalavimus.

Nagrinėtu atveju fizinis asmuo kreipėsi į Valstybinę duomenų apsaugos inspekciją, teigdamas, jog ketino leisti savo sūnų lankyti darželį.

Ugdymo įstaiga elektroniniu paštu pranešė Vilniaus miesto savivaldybės administracijos Švietimo aplinkos skyriui, jog nori grąžinti šio vaiko krepšelį, nurodydama, kad vaikas „taip ir nepradėjo lankyti mūsų įstaigos dėl sveikatos būklės“.

Į inspekciją kreipęsis fizinis asmuo teigė, jog ugdymo įstaiga neteisėtai tvarko vaiko sveikatos duomenis ir perdavė juos trečiajam asmeniui, nes su įstaiga nebuvo sudaryta ugdymo sutartis, o be ugdymo sutarties vaiko asmens duomenų rinkimas, tvarkymas ir perdavimas trečiajam asmeniui pažeidžia BDAR nuostatas.

Inspekcija byloje ginčytu sprendimu pripažino, jog ugdymo įstaiga pažeidė BDAR nuostatą, kad asmens duomenys turi būti tvarkomi teisėtu, sąžiningu ir skaidriu būdu.

Nagrinėdamas šią bylą, LVAT pažymėjo, jog BDAR yra įtvirtinta labai plati sveikatos duomenų sąvoka, kuriems, be kita ko, kaip specialiosios kategorijos asmens duomenims, yra taikytina aukštesnio lygio apsauga.

Byloje nustatyta, kad tarp ugdymo įstaigos ir vaiko tėvų nebuvo sudaryta ugdymo sutartis, darželis tvarkė jo nepradėjusio lankyti vaiko asmens duomenis ir neinformavo apie tai tėvų.

Įvertinęs tai, LVAT nusprendė, jog teiginys „nepradėjo lankyti mūsų įstaigos dėl sveikatos būklės“ vienareikšmiškai suponuoja apie vaiko sveikatos problemas ar kitas kontraindikacijas, kurios daro įtaką jo galimybei lankyti darželį, ir yra duomenys apie duomenų subjekto sveikatos būklę, kaip jie suprantami pagal BDAR.

Taigi, LVAT padarė išvadą, jog ugdymo įstaiga rinko ir tvarkė vaiko sveikatos duomenis neteisėtai.