Prireikė daugiau nei pusmečio, kad 2018 m. pavasario pabaigoje įsigaliojęs ES Bendrasis duomenų apsaugos reglamentas įrodytų buvęs priimtas ne tuščiai. Pirmieji asmens duomenų pažeidimai skaudžiai atsirūgo jau ne vienai įmonei Europoje.
Prireikė daugiau nei pusmečio, kad 2018 m. pavasario pabaigoje įsigaliojęs ES Bendrasis duomenų apsaugos reglamentas (BDAR) įrodytų buvęs priimtas ne tuščiai. Pirmieji asmens duomenų pažeidimai skaudžiai atsirūgo jau ne vienai įmonei Europoje.
Portugalija
Viena pirmųjų baudų Europoje už asmens duomenų apsaugos pažeidimus buvo skirta Portugalijos ligoninei „Centro Hospitalar Barreiro Montijo“ – 2018 m. liepos viduryje ligoninei buvo skirta net 400 tūkst. eurų bauda dėl trijų reglamento pažeidimų. Pasak šalies duomenų apsaugos tarnybos, ligoninėje per daug darbuotojų turėjo prieigą prie pacientų asmens duomenų, nebuvo laikomasi tinkamų techninių ir organizacinių priemonių asmens duomenims apsaugoti.
Tarp ligoninės administracijos sukeltų pažeidimų minimi tokie atvejai, kaip vidinių sistemų vartotojų skaičiaus neatitikimas realybei, pavyzdžiui, sistemoje buvo registruoti 985 vartotojai su žyma „gydytojas“, nors pačioje ligoninėje tuo metu dirbo tik 296 gydytojai. Devyni techniniai darbuotojai turėjo medicinos grupei skirtą prieigos lygį prie pacientų duomenų ir galėjo bet kada peržiūrėti norimų asmenų ligos istorijas.
„Piktnaudžiavimas prieiga prie asmens duomenų yra viena iš dažnesnių įmonių problemų, todėl rekomenduojame tiek įmonių, tiek valstybės įstaigų vadovams susirūpinti ir užbėgti įvykiams už akių inicijuojant darbuotojams suteiktų prieigos teisių prie informacinių sistemų resursų auditą“, – komentuoja ESET Lietuva IT inžinierius Ramūnas Liubertas.
Vokietija
2018 m. lapkričio pabaigoje Badeno-Viurtembergo regiono duomenų apsaugos institucija paskelbė apie pirmąjį rimtą BDAR reglamento pažeidimą Vokietijoje. Pokalbių svetainei „Knuddels.de“ buvo skirta 20 tūkst. eurų bauda dėl 32-ojo BDAR straipsnio pažeidimo.
Iki „Facebook“ atsiradimo Vokietijoje itin populiarus buvęs „Knuddels.de“ praėjusių metų rugsėjį patyrė masinį duomenų pažeidimą, kurio metu programišiai nutekino beveik 2 milijonus vartotojų vardų ir slaptažodžių ir virš 800 tūkstančių el. pašto adresų, taip pat kitokio pobūdžio informacijos. Pasisavinti duomenys netrukus atsirado įvairiose dalinimosi svetainėse.
Duomenų pažeidimą tyrę ekspertai tikina, kad „Knuddels.de“ nesilaikė tinkamų saugumo priemonių, kad apsaugotų savo vartotojų informaciją. Kita vertus, pokalbių svetainės administratoriai, pastebėję duomenų nutekėjimą, iškart informavo savo vartotojus ir duomenų apsaugos tarnybą ir ėmėsi IT infrastruktūros stiprinimo. Tai buvo viena iš priežasčių, kodėl organizacijai buvo skirta mažesnė bauda, nei nurodo BDAR reglamentas.
Austrija
Pirmoji su BDAR pažeidimu susijusi bauda Austrijoje buvo gana menka – už netinkamą stebėjimo kameros įrengimą prie parduotuvės verslininkui buvo skirta 4 800 eurų bauda. Pasak Austrijos duomenų apsaugos tarnybos, parduotuvės kamera filmavo per daug viešosios erdvės ir nebuvo tinkamai pažymėta, kad teritorija yra stebima.
Vis dėlto įdomesnis atvejis šiuo metu verda dėl Austrijos pašto, kuris, kaip paaiškėjo, politinėms partijoms pardavė virš 2,2 milijonų austrų duomenų, tokių kaip jų vardai, namų adresai, amžius ir lytis, kad politikai galėtų organizuoti tikslines kampanijas prieš rinkimus. Austrijos paštas ginasi, kad tokia praktika, kai duomenys parduodami tiesioginės rinkodaros tikslais, yra nuo seno leidžiama šalies įstatymų. Austrijos duomenų apsaugos institucija jau įsitraukė į šio skandalo tyrimą.
Lietuva
Tuo tarpu Lietuvoje kol kas negirdėti apie rimtesnius asmens duomenų apsaugos pažeidimus. Tiesa, Valstybinė duomenų apsaugos inspekcija sulaukia dvigubai daugiau skundų nei iki BDAR įsigaliojimo: per 2018 m. pirmus 3 ketvirčius gauti 644 asmenų skundai, kai 2017 m. per tą patį laikotarpį užregistruota tik 311.
Remiantis inspekcijos veiklos statistika, daugiausia lietuviai skundžiasi dėl tiesioginės rinkodaros, vaizdo duomenų, duomenų tvarkymo internete, skolininkų duomenų, valstybės registrų, asmens kodo ir kitos informacijos.
„Lietuvoje dažna nūdiena tokia, kol įmonė negavo tiesioginio skundo, tol neskubama susitvarkyti asmens duomenų tvarkymą reglamentuojančią teisinę bazę ar diegtis atitinkamų saugumo priemonių. Visa tai grindžiama žmogiškųjų resursų, laiko ar lėšų stoka, tačiau tai nebus argumentas išvengti atsakomybės tiriant skundą inspekcijos specialistams“, – teigia R. Liubertas.
