2024 metais Valstybinė duomenų apsaugos inspekcija (VDAI) iš viso skyrė 13 administracinių baudų, kurių bendra suma siekė 2 423 971 Eur. Didžiausia bauda – net 2 385 276 Eur, o mažiausia – 231 Eur.
Palyginti su 2023 metais, kai didžiausia skirta bauda siekė 20 000 Eur, 2024-ieji Lietuvos asmens duomenų apsaugos priežiūros istorijoje išsiskyrė iki tol neregėto dydžio sankcija.
Kokie pažeidimai lėmė tris didžiausias 2024 metų baudas ir ko iš šių atvejų gali pasimokyti kitos organizacijos?
1 vieta – 2 385 276 Eur bauda
Didžiausia 2024 metais VDAI skirta bauda teko internetinę dėvėtų drabužių prekybos ir mainų platformą „Vinted“ valdančiai bendrovei „Vinted“, UAB.
Tyrimas pradėtas gavus Prancūzijos ir Lenkijos priežiūros institucijų persiųstus asmenų skundus dėl galimai netinkamai įgyvendintos teisės reikalauti ištrinti asmens duomenis – vadinamosios teisės būti pamirštam – ir teisės susipažinti su duomenimis.
VDAI nustatė, kad bendrovė atsisakydavo imtis veiksmų dėl prašymų ištrinti duomenis, jeigu pareiškėjai tiksliai neįvardydavo konkretaus BDAR 17 straipsnyje nustatyto pagrindo. Atsakymuose taip pat nebuvo nurodomos visos priežastys ir tikslai, dėl kurių asmens duomenys po prašymo pateikimo buvo tvarkomi toliau.
Nustatyta ir tai, kad daliai platformos naudotojų buvo taikomas vadinamasis „šešėlinis blokavimas“. Asmens duomenys buvo tvarkomi siekiant, kad galimai platformos taisykles pažeidęs naudotojas ją paliktų, tačiau pats asmuo apie tokį jo duomenų tvarkymą nežinojo.
VDAI taip pat konstatavo, kad bendrovė neįgyvendino pakankamų techninių ir organizacinių priemonių, leidžiančių įrodyti, kaip buvo nagrinėjami asmenų prašymai susipažinti su duomenimis.
Buvo nustatyti teisėtumo, sąžiningumo, skaidrumo ir atskaitomybės principų bei duomenų subjektų teisių įgyvendinimo reikalavimų pažeidimai.
Praktinė pamoka organizacijoms: asmuo neprivalo savo prašymo suformuluoti teisininko kalba ar tiksliai nurodyti konkretaus BDAR straipsnio. Organizacija turi gebėti atpažinti prašymo esmę, aiškiai informuoti apie priimtą sprendimą ir dokumentais pagrįsti, kokių veiksmų ėmėsi.
2 vieta – 12 000 Eur bauda
Antroji pagal dydį bauda skirta transporto priemonių istorijos patikros paslaugas teikiančiai bendrovei už netinkamą VDAI nurodymo įvykdymą.
Pareiškėja kreipėsi dėl galimai netikslių jos asmens duomenų, teisės susipažinti su duomenimis bei jų šaltiniais ir teisės reikalauti ištaisyti netikslius duomenis.
Išnagrinėjusi skundą, VDAI nustatė, kad bendrovė nepateikė pareiškėjai informacijos apie jos duomenų šaltinį, neįrodė, jog tvarkomi duomenys yra tikslūs, ir nepagrindė atsisakymo juos ištaisyti.
Bendrovei buvo nurodyta pateikti informaciją apie duomenų šaltinį ir ištaisyti netikslius duomenis arba įrodyti, kad jie yra teisingi. Tačiau vėliau VDAI nustatė, kad šis nurodymas nebuvo tinkamai įvykdytas.
Bendrovė teigė negalinti atskleisti duomenų šaltinio dėl komercinės paslapties, tačiau VDAI pabrėžė, kad komercinės paslapties apsauga negali lemti visiško atsisakymo suteikti asmeniui informaciją apie jo duomenų kilmę.
Praktinė pamoka organizacijoms: jeigu asmens duomenys gauti ne iš paties žmogaus, jam paprašius turi būti pateikta visa turima informacija apie jų šaltinį. Kilus ginčui dėl duomenų tikslumo, būtent duomenų valdytojas turi gebėti įrodyti, kad jo tvarkomi duomenys yra teisingi.
3 vieta – 9 000 Eur bauda
Trečioji pagal dydį bauda skirta savivaldybės administracijai po įsilaužimo į jos serverį ir įvykusio asmens duomenų saugumo pažeidimo.
Kibernetinio incidento metu buvo užšifruoti savivaldybės serveriuose tvarkomi asmens duomenys. Dėl incidento tam tikrą laiką nebuvo teikiama dalis savivaldybės paslaugų, sutriko gyventojų aptarnavimas ir vėlavo socialinės išmokos.
Incidentas paveikė daug asmenų, o užšifravus serveriuose esančius duomenis buvo pažeistas ne tik jų prieinamumas, bet ir konfidencialumas.
VDAI nustatė, kad savivaldybė nepakankamai užtikrino asmens duomenų saugumą. Buvo konstatuoti BDAR įtvirtinto vientisumo ir konfidencialumo principo bei reikalavimų, susijusių su sistemų atsparumu, duomenų atkūrimu, saugumo priemonių veiksmingumo vertinimu ir asmenų informavimu apie didelę riziką keliantį pažeidimą, pažeidimai.
Praktinė pamoka organizacijoms: asmens duomenų saugumas apima ne tik apsaugą nuo duomenų paviešinimo. Organizacija turi užtikrinti sistemų atsparumą, galimybę laiku atkurti duomenis bei paslaugų teikimą ir reguliariai tikrinti taikomų saugumo priemonių veiksmingumą.
Ką parodė 2024 metų VDAI sprendimai?
Trys didžiausios 2024 metais skirtos baudos atskleidė svarbiausias organizacijų atsakomybės sritis:
- tinkamą teisės ištrinti duomenis ir teisės susipažinti su duomenimis įgyvendinimą;
- pareigą atskleisti turimą informaciją apie asmens duomenų šaltinius;
- priežiūros institucijos nurodymų vykdymą;
- techninių ir organizacinių saugumo priemonių veiksmingumą;
- gebėjimą įrodyti, kad BDAR reikalavimų iš tikrųjų laikomasi.
2024 metų praktika dar kartą patvirtino, kad baudos dydį lemia ne vien pažeidimo pobūdis. Vertinama ir duomenų tvarkymo apimtis, pažeidimo trukmė, paveiktų asmenų skaičius, organizacijos bendradarbiavimas bei jos gebėjimas pagrįsti priimtus sprendimus.
BDAR atitiktis turi būti ne deklaruojama, o įrodoma.
Šaltiniai: VDAI 2024 metų veiklos ataskaita ir VDAI informacija apie „Vinted“, UAB skirtą baudą.