2025 metais Valstybinė duomenų apsaugos inspekcija (VDAI) už asmens duomenų saugumo užtikrinimo pažeidimus skyrė penkias administracines baudas. Bendra jų suma siekė 27 029 Eur, didžiausia bauda – 9 000 Eur, o mažiausia – 3 529 Eur.
Skirtingai nei 2024 metais, kai rekordinė 2 385 276 Eur bauda buvo susijusi su duomenų subjektų teisių įgyvendinimu, 2025 metų didžiausių baudų trejetuke dominavo kibernetiniai incidentai, netinkamas prieigų valdymas ir nepakankamai išbandytos duomenų apsaugos priemonės.
1 vieta – 9 000 Eur bauda
Didžiausia 2025 metais bauda skirta Užimtumo tarnybai po asmens duomenų saugumo pažeidimo, per kurį 292 asmenims elektroniniu paštu buvo išsiųstas „Excel“ dokumentas su 29 636 duomenų subjektų asmens duomenimis.
Dokumente buvo ne tik bendrieji, bet ir specialių kategorijų asmens duomenys.
VDAI nustatė, kad pažeidimas įvyko netinkamai išbandžius įdiegtas duomenų praradimo prevencijos priemones. Buvo nepagrįstai manoma, kad apsaugos priemonė suveiks net ir tuomet, kai konkretus siunčiamo dokumento scenarijus neatitiks iš anksto nustatytos taisyklės.
Tačiau priemonė nesuveikė ir didelės apimties asmens duomenys buvo išsiųsti netinkamiems gavėjams.
VDAI konstatavo konfidencialumo principo bei reikalavimų, susijusių su duomenų valdytojo atsakomybe ir tinkamų techninių bei organizacinių saugumo priemonių įgyvendinimu, pažeidimus.
Praktinė pamoka organizacijoms: vien įdiegti duomenų praradimo prevencijos priemonę nepakanka. Būtina reguliariai ir pagal skirtingus realius scenarijus tikrinti, ar ji iš tiesų veikia. Techninės priemonės negali pakeisti darbuotojų atidumo, mokymų ir aiškių dokumentų siuntimo procedūrų.
2 vieta – 6 000 Eur bauda
Antroji pagal dydį bauda skirta privačiai bendrovei po įsilaužimo į jos duomenų bazę.
Piktavalis pasinaudojo privilegijuotas prieigos teises turinčių naudotojų prisijungimo duomenimis ir neteisėtai prisijungė prie bendrovės duomenų bazės. Per incidentą buvo nutekinti 39 794 duomenų subjektų asmens duomenys.
VDAI nustatė, kad bendrovė nebuvo tinkamai dokumentavusi slaptažodžių valdymo politikos ir neužtikrino reguliaraus privilegijuotų naudotojų slaptažodžių keitimo.
Taip pat nebuvo užblokuota galimybė prie bendrovės tinklo jungtis iš išorės, o darbuotojams nebuvo organizuojami tinkami mokymai apie asmens duomenų apsaugą ir saugumo procedūras.
Šis atvejis parodė, kad privilegijuotos prieigos kelia ypač didelę riziką, nes neteisėtai gavus vieno naudotojo prisijungimo duomenis gali būti pasiekta didelė duomenų bazės dalis.
Praktinė pamoka organizacijoms: administratorių ir kitų privilegijuotų naudotojų paskyroms turi būti taikoma sustiprinta apsauga – kelių veiksnių autentifikavimas, reguliarus slaptažodžių keitimas, prisijungimų iš išorės ribojimas, veiksmų registravimas ir nuolatinė prieigų peržiūra.
3 vieta – 4 500 Eur bauda
Trečioji pagal dydį bauda skirta viešajai įstaigai po kibernetinės atakos, per kurią buvo užšifruoti jos tvarkomi duomenys.
Asmens duomenų saugumo pažeidimas paveikė apie 22 000 asmenų. Tarp paveiktų duomenų buvo ir specialių kategorijų asmens duomenų.
VDAI nustatė, kad įstaiga nebuvo tinkamai dokumentavusi bei aiškiai paskirsčiusi su informacijos saugumu susijusių vaidmenų ir atsakomybių. Ji taip pat neturėjo prieigos valdymo politikos ir tinkamai nevaldė suteiktų prieigos teisių.
Nebuvo užtikrinta pakankama prieigų kontrolė ir autentifikavimas, nebuvo įdiegta kompiuterinių darbo vietų techninių įrašų registravimo bei stebėsenos sistema. Be to, naudotojams jų darbo vietose buvo suteiktos administratoriaus teisės.
Perteklinės naudotojų teisės ir nepakankama veiksmų stebėsena sudarė sąlygas incidentui išplisti ir paveikti didelį duomenų subjektų skaičių.
Praktinė pamoka organizacijoms: darbuotojams turi būti suteikiamos tik jų funkcijoms būtinos prieigos teisės. Administratoriaus teisės negali būti įprastas nustatymas visose darbo vietose. Prieigos turi būti periodiškai peržiūrimos, o prisijungimai ir reikšmingi naudotojų veiksmai – registruojami bei stebimi.
Ką parodė 2025 metų VDAI sprendimai?
Trys didžiausios 2025 metais skirtos baudos parodė, kad didžiausia praktinė rizika kyla ne vien dėl sudėtingų kibernetinių atakų. Pažeidimus dažnai lemia pagrindinių saugumo priemonių trūkumai:
- neišbandytos duomenų praradimo prevencijos priemonės;
- netinkamai valdomos privilegijuotos prieigos;
- neapibrėžtos darbuotojų atsakomybės;
- perteklinės administratoriaus teisės;
- nepakankama sistemų ir naudotojų veiksmų stebėsena;
- darbuotojų mokymų trūkumas.
2025 metais VDAI gavo 223 pranešimus apie asmens duomenų saugumo pažeidimus. Lietuvoje šie incidentai paveikė daugiau kaip 1,2 mln. duomenų subjektų. Net 58 proc. pažeidimų įvyko dėl žmogiškosios klaidos, 29 proc. – dėl kibernetinių incidentų, o 13 proc. – dėl kitų priežasčių.
Ši statistika primena, kad asmens duomenų saugumas turi būti užtikrinamas ne pavienėmis priemonėmis, o nuolat veikiančia sistema: aiškiomis taisyklėmis, tinkamai paskirstytomis atsakomybėmis, ribojamomis prieigomis, darbuotojų mokymais ir reguliariu saugumo priemonių veiksmingumo tikrinimu.
Šaltiniai: VDAI 2025 metų veiklos ataskaita, VDAI informacija apie 2025 metų veiklą ir VDAI sprendimai 2025 metais.