BDAR, įsigaliojęs 2018 m. gegužės 25 d., išplėtė ES duomenų apsaugos zonos aprėptį, pristatė naujoves, turinčios įtakos tiek įmonėms, tiek fiziniams asmenims. Todėl tai buvo vienas svarbiausių įvykių ES ir už ES ribų esančioms įmonėms, kurios tvarko ES gyventojų asmens duomenis. Įmonės buvo priverstos persvarstyti asmens duomenų tvarkymo veiklos prioritetus, pristatyti naujus metodus ir plėtoti asmens duomenų tvarkymo kultūrą, sumažinant surinktų duomenų kiekius, apibrėžiant duomenų tvarkymo tikslus ir priežastis, vykdant duomenų subjektų teises ir kita.
BDAR atitikties apklausa
The TechRadar – internetinis leidinys, skirtas technologijoms, neseniai vykdė tyrimą, kuriame dalyvavo 103 didžiosios bendrovės, veikiančios Europoje, iš įvairių pramonės šakų, įskaitant mažmeninę prekybą, žiniasklaidą, technologijas, viešąjį sektorių, finansus ir kelionių organizavimą. Rezultatai parodė, nors įmonės žino apie BDAR reikalavimus ir jau turėjo šešis mėnesius, kad atitiktų naujus standartus, daugeliui įmonių BDAR atitiktis vis dar sukelia galvos skausmą. Apibendrinus apklausą buvo paminėta, kad dažniausi trūkumai BDAR atitikties procese yra nenurodomas duomenų saugojimo terminas, netinkamas duomenų tvarkymo ar paieškos metodų taikymas. Apklausa parodo, kur kas mažesnį atitikties lygį , nei tikėtasi.
GDPR susijęs ne tik su įmonėmis ES viduje, bet ir su ne ES šalimis, kurios tvarko ES piliečių asmens duomenis. Ir, remiantis „TechRadar“ apklausos duomenimis, tik 35% Europos bendrovių sutiko pateikti tyrimo duomenis. Tai apima įmones, kurių būstinė yra JK, Prancūzijoje, Vokietijoje, Ispanijoje, Švedijoje ir Italijoje. Tačiau tik 50% įmonių pateikusių duomenis, parodė vos aukštesnė reikalavimų atitikimą, nei įmonęs už ES ribų. Taigi, atrodo, kad įmonės, nepriklausančios ES, stengiasi aktyviau dalyvauja BDAR atitikties procese.
Kai kurios pramonės šakos labiau atitinka BDAR standartus, lyginants su kitomis. „TechRadar“ išreiškė susirūpinimą dėl to, kad daugiau nei 76% mažmeninės prekybos įmonių nesutiko dalyvauti apklausoje. Finansinių paslaugų teikėjai buvo aktyviausi, nors tik pusė šios srities atstovų pateikė duomenis.
Pagrindinė BDAR duomenų apsaugos pažeidimo priežastis
Pasak ICO, dauguma asmens duomenų apsaugos pažeidimų atsirado dėl „žmogaus klaidos“. Nekompetencija ar klaidos lėmė net 88 % gautų pranešimų apie pažeidimus (konfidencialūs duomenys, išsiųsti el. paštu neteisingam gavėjui, dokumentų praradimas arba vagystė, dokumentai palikti nesaugioje vietoje ir kt.). Tik 22% susijusę su kenksminga veikla.
Keletas gerai žinomų BDAR suomenų apsaugos pažeidimų:
- Quora nutekino apie 100 milijonų vartotojų asmens duomenis. Apsaugos pažeidimą lėmė neautorizuotas trečiosios šalies – kenkėjo prisijungimas prie jų sistemos.
- Amazon prieš pat „juodąjį penktadienį“ patyrė apsaugos pažeidimą, dėl kurio įmonės vartotojų vardai ir adresai tapo prieinami visiems.
- Ligoninei Portugalijoje skirta 400 000 eurų baudą
- „Radisson Hotel“ lojalumo programos duomenų apsaugos pažeidimas.
- Google stabdo Google+ veiklą, nustačius API pažeidžiamumą. Tai leido trečiųjų šalių programinės įrangos kūrėjams pasiekti asmens duomenis, naudojantis prieiga prie programos vartotojų draugų rato.
- British Airways patyrė duomenų pažeidimą, kuris paveikė apie 380 000 klientų.
- Nubaustai Facebook irAIQ.
- Pažeista 57 milijonų Uber vartotojų duomenys.
- Eurostar nurodo vartotojams pasikeisti slaptažodzius po įvykusių cyber-atakų, ir daugėlis kitų.
6 mėnesių BDAR Lietuvoje apibendrinimas
Lietuvos duomenų apsaugos inspekcija gavo daugybę prašymų konsultacijoms ir tiek pat skundų iš duomenų subjektų dėl neteisėto arba neteisingo jų duomenų tvarkymo. Todėl Lietuvos duomenų apsaugos inspekcija kol kas dirba kaip padėjėjas BDAR atitikties procese, nei baudėjas.
Per 2018 m. buvo suteikta daugiau kaip 6671 konsultacijų. Tai yra 15% daugiau, palyginti su 2017 m. Daugiausia dėmesio buvo skiriama duomenų tvarkymo teisėtumui ir BDAR pateiktoms naujovėms. Taip pat tiek įmonėms, tiek fiziniams amenims buvo aktuali informacija dėl vaizdo kamerų įrašų, duomenų apsaugos pareigūno paskyrimo bei BDAR numatytų fizinių asmenų teisių vykdymo ir jų pažeidimo. Iki šiol Lietuvos duomenų apsaugos inspekcija nėra paskyrusi BDAR baudų. Tačiau po 19 patikrinimų, atliktų nuo gegužės 25 d., nustatyta 18 atvejų, kai asmens duomenysbuvo tvarkomi neteisingai.
Iš gautų skundų skaičiaus akivaizdu, kad tiesioginė rinkodara yra vienas iš aktualiausių klausimų, su kuriais susiduria duomenų subjektai. Per pusmetį vietos duomenų apsaugos institucija gavo 443 tokius skundus. Beveik tiek pat kaip ir 2017 m. (480). Be tiesioginės rinkodaros, fiziniai asmenys aktyviai skundžiasi dėl duomenų, kuriuos renka ir naudoja skolų surinkėjai, paslaugų teikėjų sektorius ir valstybiniai registrai. Taip pat galimi pažeidimai dėl specialių asmens duomenų kategorijų, asmens kodų, vaizdo duomenų tvarkymo teisėtumo.
Po BDAR įsigaliojimo, duomenų saugumo pažeidimai tapo svarbūs tiek viešajam, tiek privačiam sektoriui. Nuo gegužės 25 d. buvo pranešta apie 80 duomenų apsaugos pažeidimų (2017 m. – tik 7 duomenų pažeidimo atvejai). Pagrindinės priežastys – neteisėtas duomenų atskleidimas, praradimas, vagystė ir plagijavimas.
