VDAI nustatė, kad sporto klubas neproporcingai naudojo pirštų atspaudų nuskaitymo sistemą. Nustatyta, kad bendrovė nebuvo atlikusi biometrinių duomenų tvarkymo poveikio duomenų apsaugai vertinimo, netvarkė veiklos įrašų.
Lietuvoje, kaip ir visoje Europoje, pirštų atspaudai kaip biometriniai asmeniniai duomenys patenka į griežtesnį teisinį reguliavimą. Tokių duomenų apdorojimas neleistinas, išskyrus kai kurias išimtis. Viena jų – savanoriškas sąmoningas žmogaus sutikimas, kurį galima atšaukti.
Paprastai tam, kad asmuo patektų į bendrąsias patalpas, pavyzdžiui, sporto klubą, pasitelkiamos kitokios priemonės, kurios pastebimai mažiau paliečia asmeninę sferą nei pirštų atspaudų apdorojimas: klubo kortelės ar programėlė mobiliajame telefone.
Tokiose situacijose, kai nėra jokios kitos alternatyvos patekti į patalpą, tik piršto atspaudas, apie savanorišką sutikimą negali būti nė kalbos.
Per patikrinimą nustatyta, kad bendrovė neteisėtai tvarkė ir darbuotojų pirštų atspaudus. VDAI pažymėjo, kad darbuotojo sutikimas dėl galios disbalanso paprastai nelaikytinas tinkama asmens duomenų tvarkymo sąlyga.
Bendrovė nenurodė, kokiu tikslu ir kokiu teisiniu pagrindu tvarko darbuotojų biometrinius duomenis, nebuvo atlikusi poveikio duomenų apsaugai vertinimo, neįrodė darbuotojų pirštų atspaudų tvarkymo būtinumo ir proporcingumo. VDAI pažymėjo, kad asmenys, kuriems priklauso duomenys, turi teisę būti informuoti apie jų duomenų tvarkymą. Tuo metu šiuo atveju nustatyta, kad bendrovė asmenims pateikia ne visą informaciją, kurią turėtų.
Sprendžiant dėl baudos sporto klubui „VS FITNESS“ dydžio atsižvelgta į ta, kad bendrovei jau ankščiau buvo teiktas nurodymas dėl biometrinių duomenų tvarkymo kitame jai priklausančiame sporto klube. Tai patvirtina, kad bendrovė žinojo, kaip turi būti užtikrinamas klientų sutikimui tvarkyti jų biometrinius duomenis keliamas savanoriškumo reikalavimas, kad turi būti pasiūloma lygiavertė, laisvai pasirenkama identifikavimosi sporto klubuose alternatyva nenaudojant pirštų atspaudų binarinių kodų. Taip pat, kad turi būti reglamentuota galimybė klientui bet kada atšaukti piršto atspaudo modelio naudojimą.
Atsižvelgusi į šias aplinkybes, VDAI bendrovės klientų biometrinių duomenų neteisėtą tvarkymą vertino kaip tyčinį pažeidimą.
Bauda galėjo būti ir didesnė, tačiau VDAI nurodo, kad skirdama ją atsižvelgė į pandemijos padarytą žalą sporto klubo veiklai.
