2023 metais Valstybinė duomenų apsaugos inspekcija (VDAI) iš viso skyrė 13 administracinių baudų, kurių bendra suma siekė 64 060 Eur. Didžiausia skirta bauda – 20 000 Eur.
Nors Lietuvoje skiriamų baudų dydžiai neprilygsta didžiausioms Europos Sąjungoje skiriamoms sankcijoms, VDAI sprendimai siunčia aiškią žinią: vien parengti asmens duomenų apsaugos dokumentus nepakanka. Organizacija turi gebėti įrodyti, kad BDAR reikalavimų realiai laikomasi kasdienėje veikloje.
1 vieta – 20 000 Eur bauda
Didžiausia 2023 metais Lietuvoje skirta bauda buvo susijusi su asmens duomenų saugumo pažeidimu, per kurį galėjo būti pažeistas daugiau kaip 50 000 bendrovės klientų duomenų konfidencialumas.
VDAI nustatė, kad bendrovė neužtikrino tinkamos IT sistemų administratorių ir kitų privilegijuotų naudotojų prieigos kontrolės. Jungiantis prie duomenų bazės administravimo aplinkos nebuvo naudojamas kelių veiksnių autentifikavimas, nebuvo įdiegtos pakankamos apsaugos nuo slaptažodžių spėliojimo, o naudotojų veiksmai ir sistemų žurnaliniai įrašai nebuvo tinkamai stebimi bei saugomi.
Tyrimo metu taip pat nustatyta, kad bendrovė visų klientų asmens duomenis saugojo penkerius metus, tačiau neįrodė, kad toks vienodas saugojimo terminas yra būtinas ir proporcingas kiekvienam duomenų tvarkymo tikslui.
VDAI konstatavo ne tik nepakankamą asmens duomenų saugumą, bet ir BDAR įtvirtinto saugojimo trukmės apribojimo principo pažeidimą.
Praktinė pamoka organizacijoms: privilegijuotoms prieigoms būtina taikyti sustiprintas saugumo priemones, įskaitant kelių veiksnių autentifikavimą ir veiksmų registravimą. Asmens duomenų saugojimo terminai turi būti pagrįsti konkrečiais tikslais – vien patogumo ar galimo poreikio ateityje nepakanka.
2 vieta – 10 000 Eur bauda
Antroji pagal dydį bauda skirta bendrovei, kuri neįvykdė VDAI nurodymo.
Išnagrinėjusi asmens skundą dėl teisės apriboti duomenų tvarkymą įgyvendinimo, VDAI įpareigojo bendrovę informuoti pareiškėją, ar jo asmens duomenų tvarkymas buvo apribotas. Jeigu prašymas nebuvo įvykdytas, bendrovė turėjo pateikti teisinį tokio sprendimo pagrindimą ir apie nurodymo įvykdymą informuoti VDAI.
Bendrovė nurodymo neįvykdė, nors VDAI kelis kartus prašė pateikti tai patvirtinančią informaciją. Bendrovė iš esmės nesutiko su priimtu sprendimu, tačiau jo teisės aktų nustatyta tvarka neapskundė.
Neapskųstas ir įsiteisėjęs VDAI nurodymas yra privalomas. Nesutikimas su sprendimu savaime nesuteikia teisės jo nevykdyti.
Praktinė pamoka organizacijoms: gavus VDAI nurodymą būtina nedelsiant paskirti už jo įvykdymą atsakingą asmenį, laikytis nustatytų terminų ir pateikti įvykdymą patvirtinančius įrodymus. Nesutinkant su sprendimu, jis turi būti skundžiamas nustatyta tvarka.
3 vieta – 8 000 Eur bauda
Trečioji pagal dydį bauda skirta dėl netinkamai įgyvendintos asmens teisės susipažinti su savo asmens duomenimis.
Bendrovė pareiškėjui nepateikė visos BDAR reikalaujamos informacijos: duomenų tvarkymo tikslų ir teisinių pagrindų, tvarkomų duomenų kategorijų, jų gavėjų, saugojimo laikotarpių bei duomenų gavimo šaltinių. Asmeniui taip pat nebuvo pateikta jo tvarkomų asmens duomenų kopija.
Teisė susipažinti su duomenimis leidžia asmeniui sužinoti, kaip tvarkomi jo duomenys, ir patikrinti tokio tvarkymo teisėtumą. Todėl formalus, neišsamus arba dalies klausimų neapimantis atsakymas nelaikomas tinkamu šios teisės įgyvendinimu.
Praktinė pamoka organizacijoms: darbuotojai turi žinoti, kaip atpažinti duomenų subjekto prašymą, kam jį perduoti ir per kokį terminą atsakyti. Pravartu turėti aiškią prašymų nagrinėjimo tvarką, atsakymo kontrolinį sąrašą ir prašymų registrą.
Ką parodė 2023 metų VDAI sprendimai?
Didžiausios 2023 metais skirtos baudos atskleidė tris skirtingas, tačiau tarpusavyje susijusias rizikas:
- nepakankamą techninę ir organizacinę asmens duomenų apsaugą;
- priežiūros institucijos nurodymų nevykdymą;
- netinkamą duomenų subjektų teisių įgyvendinimą.
Šie atvejai patvirtina, kad BDAR atitiktis nėra vien dokumentų rinkinys. Organizacija turi nuolat prižiūrėti prieigos teises, pagrįsti duomenų saugojimo terminus, laiku ir išsamiai atsakyti į asmenų prašymus bei gebėti įrodyti savo veiksmų teisėtumą.
Šaltinis – Valstybinės duomenų apsaugos inspekcijos skelbiama informacija apie priimtus sprendimus ir 2023 metų veiklos rezultatus.