Ruošiasi vienetai

Bendrovės „Elsis IS“, teikiančios asmens duomenų tvarkymo vertinimo ir pasiruošimo BDAR paslaugas, Informacinių sistemų saugumo skyriaus vadovas Martynas Miškinis pasakojo, kad asmens duomenų tvarkymas ES reglamentuotas pakankamai senai, griežtai ir aiškiai, tačiau šioje srityje tvyro betvarkė. „Lietuvoje asmens duomenų apsaugos teisinis reguliavimas egzistuoja ilgai. Kai kuriems sektoriams galioja griežtesni reikalavimai, tačiau iš esmės iki šiol dauguma įmonių Lietuvoje asmens duomenų tvarkymą vertino formaliai: neinvestavo į duomenų apsaugą, nes negalvojo kokią žalą gali padaryti duomenų praradimas, o ir numatytos baudos yra nedidelės, kurias sumokėti yra pigiau, nei atitikti nustatytus reikalavimus“, – aiškino M.Miškinis.

Padėtis kardinaliai keisis nuo kitų metų gegužės, kai ir bus pradėtas taikyti BDAR. Apie tai Europos Komisija informavo pernai pavasarį, davė du metus pasiruošti, tačiau pasiruošimo laikotarpį produktyviai išnaudoja ne visi.

Valstybinės duomenų apsaugos inspekcijos (VDAI) direktoriaus pavaduotojos Ritos Vaitkevičienės manymu, nuosekliai ruošiasi tik didžiosios privataus sektoriaus atstovės – užsienio kapitalo įmonės, elektroninių ryšių operatoriai, bankai, IT kompanijos, draudikai.

„Kai kurie netgi specialiai pasamdė teisininkus arba pasiruošė įdarbinti duomenų apsaugos pareigūnus. Mažos ir vidutinio dydžio bendrovės bei savivaldybės, jų įmonės yra sunkiausioje padėtyje, joms reikėtų pasitempti labiausiai“, – įsitikinusi R.Vaitkevičienė.

VDAI Informacijos ir technologijų skyriaus vyriausioji specialistė Raminta Sinkevičiūtė-Šečkuvienė sakė pastebinti, kad nemažai įmonių apskritai nežino apie naujus reikalavimus ir sankcijas. Ypač pasitempti turėtų sveikatos priežiūros, švietimo įstaigos, kurios naujovėms nesiruošia, bet saugo labai daug asmenų duomenų.

Anot M.Miškinio, asmens duomenų apsaugą reglamentuojantys dokumentai dažnai yra padėti į bendrovių atsakingų asmenų stalčius ir dauguma įmonių darbuotojų tikriausiai net neįsivaizduoja, kaip turi būti tvarkomi asmens duomenys. Neretai net nežinoma, kiek ir kokių asmens duomenų įmonė turi sukaupusi.

Duomenų valdytojams ir tvarkytojams, neužtikrinus tinkamos duomenų apsaugos, kils ir teisinė atsakomybė, jie taip pat gali prarasti gerą reputaciją.

Gresia žiaurios sankcijos

Už gegužės 25 d. įsigaliosiančio BDAR pažeidimus grės milijonus eurų galinčios siekti baudos.

„Kibernetinės grėsmės pasaulyje kasmet didėja, o vieni iš kibernetinių nusikaltėlių taikinių yra asmens duomenys. Tam, kad pagaliau priversti įmones laikytis asmens duomenų saugumo reikalavimų ir buvo pasirinktas finansinių sankcijų kelias. Vien gręsiančių baudų dydžiai yra veiksminga priemonė įmonėms, iki šiol mažai kreipdavusioms dėmesį duomenų apsaugai“, – kalbėjo M.Miškinis.

„Duomenų valdytojams ir tvarkytojams, neužtikrinus tinkamos duomenų apsaugos, kils ir teisinė atsakomybė, jie taip pat gali prarasti gerą reputaciją“, –kalbėjo R.Sinkevičiūtė-Šečkuvienė.

„Duomenų apsauga yra verslo kultūros dalis. Laikymasis asmens duomenų apsaugos standartų siunčia žinią investuotojams, darbdaviams ir darbuotojams, kad šioje šalyje yra gerbiamos žmogaus teisės, yra užtikrintas konfidencialumas, joks subjektas dėl prastos duomenų apsaugos nepatirs turtinės ar neturtinės žalos. Netinkama asmens duomenų apsauga sukelia netikrumo aplinką, o nustačius teisės normų pažeidimus, grasia įspūdingos sankcijos“, – kalbėjo R.Vaitkevičienė.

Kaip pasikeis procesas?

Vienas atsainaus požiūrio į asmens duomenų apsaugą pavyzdžių – įmonių apsaugos postuose esančios svečių registracijos knygos, žurnalai. „Juose svečias turi įrašyti savo vardą, pavardę, kam atstovauja. Žurnale bet kas gali pamatyti, kas įmonėje lankėsi. Tai jau yra pažeidimas“, – aiškino M. Miškinis.

Kitas pavyzdys – įdarbinimo proceso metu siunčiamų gyvenimo aprašymų likimas. Ne paslaptis, kad neretai įmonėse jie saugomi neaišku kur, juos vienas kitam siunčia įmonių, skyrių vadovai, informacija saugoma net ir asmeniniuose kompiuteriuose, o oficialiai deklaruojamas konfidencialumas neišsaugomas.

„Gyvenimo aprašymai turėtų būti saugomi tik numatytą ir pagrįstą laikotarpį. Be duomenų subjekto sutikimo tai galima daryti tik kol vyksta įdarbinimo procesas, kurio metu siekiama sudaryti darbo sutartį. Dažniausiai CV pasiliekami saugoti ir tam, kad prireikus potencialų darbuotoją į pokalbį būtų galima pasikviesti ir vėliau. Tačiau tolimesniam asmens duomenų tvarkymui – CV saugojimui ir panaudojimui yra būtinas atskiras žmogaus sutikimas“, - akcentavo M.Miškinis.