Kaip pranešė VDAI, tyrimai numatyti atsižvelgiant į pasikeitusį biometrinių duomenų teisinį reguliavimą, įtvirtintą Bendrajame duomenų apsaugos reglamente (BDAR), taip pat gautus nusiskundimus bei Lietuvos gyventojų tyrimo apie asmens apsaugą duomenų rezultatus.

Teigiama, kad bus tikrinami sporto klubai, sporto ir turizmo prekių bei paslaugų bendrovės, viešbučiai, valstybinės institucijos, greitųjų kreditų bendrovės.

Vasarį patvirtintame plane numatoma atlikti patikrinimus Narkotikų, tabako ir alkoholio kontrolės departamente, Statistikos departamente, bendrovėje „Reitan Convenience Lithuania“, komunikacijų bendrovėje „Tele2”, viešbutyje „Astorija Hotel“, greitų kreditų bendrovėje „Credit day” ir pan.

ELTA primena, kad praeitų metų gegužę įsigaliojus BDAR asmenys gali labiau kontroliuoti, kaip renkami ir saugomi jų asmens duomenys.

Labiau išprusę

Bendrasis duomenų apsaugos reglamentas visose ES narėse įsigaliojo pernai pavasarį. Valstybinė duomenų apsaugos inspekcija šiuo pokyčių laikotarpiu stebėjo didelį visuomenės ir organizacijų susidomėjimą naujovėmis, o baigiantis metams atliko reprezentatyvų tyrimą.

Respondentams buvo užduotas klausimas "Ar teko girdėti apie 2018 m. gegužės 25 d. visoje Europoje ir Lietuvoje pradėtą taikyti naują asmens duomenų apsaugos teisės aktą – Bendrąjį duomenų apsaugos reglamentą?" Teigiamai į šį klausimą atsakė 71 proc. gyventojų. Apie naują asmens duomenų apsaugos teisės aktą dažniau yra girdėję 26–45 metų asmenys, aukštąjį išsilavinimą įgiję, didžiausias pajamas gaunantys (daugiau kaip 500 eurų) respondentai.

Pusės apklaustųjų teigimu, nors naujos taisyklės įpareigoja, tačiau duomenų valdytojai, t.y. įmonės, įstaigos ir fiziniai asmenys, tvarkantys asmens duomenis su profesija susijusiais tikslais, nėra informavę jų apie turimus duomenis ir jų perdavimą kitiems asmenims.

28 proc. teigė, kad duomenų valdytojai yra informavę, kam perduoda duomenis, tačiau neinformavo, kokiais tikslais tai daroma. 22 proc. teigė, kad duomenų valdytojai informavo, kam ir kokiu tikslu perduoda duomenis.

Į klausimą "Ar jūs žinote apie įstatymų jums suteiktas teises ir nustatytas pareigas asmens duomenų apsaugos srityje?" atsakė žinantys ir manantys, kad žino 68 proc. respondentų. 2016 m. šis rodiklis siekė 35 proc., tad, palyginti 2016-ųjų ir 2018-ųjų tyrimo duomenis, kone dvigubai padaugėjo žinančių apie savo teises ir pareigas asmens duomenų apsaugos srityje. Apie suteiktas teises ir nustatytas pareigas daugiau žino 36–55 metų Lietuvos gyventojai.

Patikimi ir įtartinieji

Paprašius įvardyti instituciją, į kurią kreiptųsi, jeigu tektų susidurti su problemomis dėl netinkamo asmens duomenų tvarkymo, daugiausia respondentų (54 proc.) nurodė vieną iš asmens duomenų apsaugos priežiūros institucijų Lietuvoje – Valstybinę duomenų apsaugos inspekciją. Ją dažniau paminėjo vyresnio amžiaus (46–55 metų), didesnes pajamas gaunantys (daugiau kaip 500 eurų) respondentai.

Lietuvos gyventojai, kaip duomenų valdytoju, užtikrinančiu, kad duomenys yra tvarkomi tinkamai, labiausiai pasitiki policija (81 proc.).

Lietuvos gyventojai, kaip duomenų valdytoju, užtikrinančiu, kad duomenys yra tvarkomi tinkamai, labiausiai pasitiki policija (81 proc.).

Nemažai respondentų pasitiki sveikatos priežiūros paslaugas teikiančiomis įmonėmis ir įstaigomis (77 proc.), Valstybine mokesčių inspekcija bei "Sodra" (po 72 proc.). Daugiausia apklaustųjų nepasitiki greitųjų vartojimo kreditų bendrovėmis – 59 proc.

Kaip ir ankstesniais metais, daugiausia Lietuvos gyventojų mano, kad griežčiausia asmens duomenų apsauga turėtų būti finansines paslaugas teikiančiose bendrovėse. 2018 m. taip manė trys ketvirtadaliai (77 proc.) respondentų, 2014 m. – 78 proc., 2010 m. – 77 proc.

2018-aisiais 68 proc. manė, kad griežčiausiai turėtų būti reguliuojamos sveikatos priežiūros įmonės ir įstaigos, 57 proc. įvardijo teisėsaugos ir teisėtvarkos institucijas, kiek daugiau kaip trečdalis (36 proc.) įvardijo prekybos įmones, 32 proc. – švietimo ir kultūros įstaigas bei įmones, o 30 proc. – telekomunikacijų bendroves.

Įvertintų atgailą

Neseniai pradėtose taikyti naujose asmens duomenų tvarkymo taisyklėse numatyta įvairių sankcijų dėl netinkamo asmens duomenų tvarkymo. Ypač didelį ažiotažą sukėlė žymiai padidėjusios baudos už asmens duomenų tvarkymo pažeidimus, kurios, kaip numato Bendrasis duomenų apsaugos reglamentas, kiekvienu konkrečiu atveju turi būti veiksmingos, proporcingos ir atgrasomos.

Bauda gali siekti iki 2–4 proc. ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, arba iki 10 000 000–20 000 000 eurų.

Atliekant tyrimą Lietuvos gyventojų teirautasi jų nuomonės dėl nuobaudų asmens duomenų tvarkymo pažeidėjams. Beveik pusės (47 proc.) respondentų nuomone, pakanka, kad pažeidėjas pasitaisytų, 41 proc. laikosi nuomonės, kad pažeidėjas turėtų būti nubaustas, 12 proc. respondentų pažeidėjų likimas nesvarbus.

Kaip ELTA skelbė antradienį, duomenų apsaugos inspektoriai baigė patikrinimą, ar didieji prekybos tinklai tinkamai tvarko asmens duomenis lojalumo programų ir tiesioginės rinkodaros tikslais. Rezultatai prasti - nustatyta, kad asmens duomenų tvarkymo pažeidimų apstu.

Iš tikrintų 12 prekybos tinklų 11 tvarko fizinių asmenų duomenis lojalumo programos ir tiesioginės rinkodaros tikslais. Visose juose rasta asmens duomenų tvarkymo pažeidimų.

„Atlikusi patikrinimus didžiuosiuose prekybos tinkluose ir vaistinėse, Valstybinė duomenų apsaugos inspekcija pateikė rekomendacijas visiems verslininkams, kaip turi būti tvarkomi vartotojų duomenys lojalumo programose. Tai bus gera pagalba prekybininkams, kokių klaidų tvarkant asmens duomenis jie turi nedaryti įsigaliojus Bendrajam duomenų apsaugos reglamentui“, - rezultatus komentuoja teisingumo viceministrė Irma Gudžiūnaitė.

ELTA primena, kad Valstybinė duomenų apsaugos inspekcija (VDAI) rugpjūčio-rugsėjo mėnesį atliko tikrinimus didžiosiose bendrovėse, veikiančiose maisto, namų apyvokos prekių parduotuvių ir vaistinių sektoriuje.

Atliekant tikrinimus, be kitų teisės aktų, jau remtasi gegužės 25 d. pradėtu taikyti Bendruoju duomenų apsaugos reglamentu (BDAR).

VDAI nustatė, kad trijose bendrovėse nustatyti nepagrįstai ilgi asmens duomenų saugojimo terminai: nurodoma, kad asmens duomenys bus saugomi, „kol turite galiojančią kliento kortelę ir 10 metų po jos paskutinio panaudojimo“, „10 metų nuo dalyvavimo lojalumo programoje pabaigos“ ir „(...) galutinai duomenys bus ištrinti praėjus 5 metams nuo perkėlimo į archyvą“, „saugomi bendrovės veiklos vykdymo laikotarpiu“ ir pan.

Atlikus patikrinimus nustatyta, kad keturios bendrovės renka perteklinę informaciją apie savo klientus. Dažniausiai (net trimis atvejais) renkama tiksli kliento gimimo data. VDAI konstatavo, kad tiksli klientų gimimo data (metai, mėnuo, diena) yra perteklinis duomuo tvarkant asmens duomenis statistikos ir rinkos tyrimų tikslais, klientų elgesio tyrimų tikslais ir šio duomens tvarkymas yra nebūtina ir neproporcinga priemonė siekiamiems tikslams įgyvendinti (pvz., šiems tikslams įgyvendinti pakaktų tvarkyti, pvz., pirkėjo gimimo metus, amžių ar pan.).

Dažniausiai pasitaikęs pažeidimas (6 atvejai) susijęs su informavimu apie asmens duomenų teikimą tretiesiems asmenims (partneriams).

Nustatyta, kad vienoje bendrovėje lojalumo programos tikslais klientų prašoma pateikti dirbančių pagal verslo liudijimus, užsiimančių individualia veikla ir (ar) ūkininkų pažymėjimo kopijas. VDAI konstatavo, kad dirbančių pagal verslo liudijimus, užsiimančių individualia veikla ir (ar) ūkininkų pažymėjimo kopijų rinkimas bei tolesnis tvarkymas yra perteklinė informacija bei neadekvati ir neproporcinga priemonė siekiamiems tikslams (lojalumo programai) įgyvendinti (pvz., šiems tikslams įgyvendinti pakaktų, kad asmuo nurodytų pažymėjimo numerį ar pan.).

Taip pat atliekant patikrinimus nustatyta, kad trys bendrovės, siųsdamos SMS žinutes su tiesioginės rinkodaros pasiūlymais duomenų subjektams, nesuteikia aiškios, nemokamos ir lengvai įgyvendinamos galimybės nesutikti arba atsisakyti duomenų naudojimo tiesioginės rinkodaros tikslais, jeigu pastarieji iš pradžių neprieštaravo dėl tokio duomenų naudojimo teikiant kiekvieną pasiūlymą.

Atliekant patikrinimus nustatyta, kad bendrovių duomenų subjektams pateikiama informacija nėra tiksli, skaidri ir teisinga, kaip to reikalaujama BDAR.

Dažniausiai pasitaikęs pažeidimas (6 atvejai) susijęs su informavimu apie asmens duomenų teikimą tretiesiems asmenims (partneriams). Nėra nurodoma, kokiems konkrečiai duomenų gavėjams (ar jų kategorijoms) duomenų subjektų asmens duomenys gali būti teikiami. Atsižvelgiant į tai, darytina išvada, kad duomenų subjektams teikiama klaidinanti, neteisinga ir (ar) netiksli informacija apie jų asmens duomenų teikimą.

Taip pat nustatyta, kad bendrovės, tvarkydamos asmens duomenis tiesioginės rinkodaros bei profiliavimo tikslais, nepagrįstai remiasi bendrovės teisėtu interesu. VDAI aiškinimu, bendrovės veiksmų negalima laikyti atitinkančiais BDAR nustatytą asmens duomenų tvarkymo teisėtumo sąlygą vien todėl, kad bendrovė turi interesą pritaikyti savo teikiamas paslaugas (prekes) kiek įmanoma labiau klientų poreikiams bei efektyvinant bendrovės verslą. Teisėto intereso sąlyga negali būti taikoma, kadangi šiuo atveju duomenų subjektų (klientų, pirkėjų) interesai yra svarbesni negu duomenų valdytojo, o asmens duomenys profiliavimo tikslais galėtų būti tvarkomi tik su duomenų subjekto sutikimu.

Inspekcija bendrovėms pateikė nurodymus nustatytus pažeidimus pašalinti.

„Pirkdami internetu, pildydami mokesčių deklaraciją ar naudodami socialinius tinklus galėsite būti daug ramesni dėl pateikiamos asmeninės informacijos. Pagal BDAR jums suteikiamos pagrindinės teisės, padedančios valdyti, kaip organizacijos naudoja jūsų asmens duomenis, ir užtikrinama, kad jos taikytų naujas procedūras duomenims apsaugoti“, - aiškinama EK pranešime.

Naujoji tvarka, anot EK, bus naudinga, jeigu atsibodo gauti nepageidaujamų gaminių ar paslaugų reklamą - galima paprašyti, kad jus pašalintų iš rinkodaros informacijos platinimo sąrašų.

Jeigu trikdo internete esantis turinys - tam tikrais atvejais galima pareikalauti, kad jis būtų pašalintas.

Jeigu norite pakeisti paslaugų teikėją - turite teisę gauti visus savo duomenis iš senojo teikėjo, kad būtų lengviau pradėti naudotis naujojo teikėjo paslaugomis.

Griežtesnės duomenų saugumo pažeidimų taisyklės taip pat reiškia, kad jūs turite būti informuoti, jei pažeidimas kelia grėsmę jūsų teisėms ir laisvėms.

Naujosios taisyklės galioja visoje ES, nesvarbu, kur tvarkomi duomenys ir kur įsikūrusi organizacija. Jos galioja net ne ES įmonėms, ieškančioms klientų ES. Taigi, nesvarbu, ar perkate vietos parduotuvėse, ar iš kitos šalies internetu - gaunate tas pačias teises ir apsaugą.

„Nuo šiandien BDAR suteikia ES gyventojams galimybę labiau valdyti savo asmens duomenis. Naujosios taisyklės užtikrina geresnę žmonių asmeninės informacijos apsaugą, nesvarbu, kur siunčiama, tvarkoma ar laikoma - net už ES ribų“, - pranešime teigia EK teisingumo, vartotojų ir lyčių lygybės komisarė Vera Jourova.

Pranešime pažymima, kad, nors BDAR nustatomos konkrečios individualių asmenų teisės, jūs patys turite jomis pasinaudoti. Jei manote, kad jūsų duomenų apsaugos teisės buvo pažeistos, galite susisiekti su jūsų duomenis saugančia organizacija. Ji turi atsakyti į jūsų užklausą pernelyg nedelsdama ir nereikalaudama užmokesčio. Taip pat turite teisę pateikti skundą Valstybinei duomenų apsaugos inspekcijai arba kreiptis į teismą.

BDAR pakeičia 1995 m. Duomenų apsaugos direktyvą, kuri buvo priimta prieš internetui ir debesų kompiuterijai suteikiant naujų asmens duomenų tvarkymo būdų.

„Kadangi dabar visiškai kitaip bendriname ir naudojame duomenis, ES duomenų apsaugos taisykles reikėjo modernizuoti“, - aiškina EK.

EK duomenimis, kiekvieną dieną daugiau nei 250 mln. europiečių naudojasi internetu bendrauti su šeimos nariais ar pirkti. Tai darydami, jie atskleidžia daug asmens duomenų, įskaitant vardą, namų adresą, asmens tapatybės kortelės numerį ir informaciją apie savo sveikatą. Pasak EK, atsiranda daug potencialių pavojų, pavyzdžiui, nesankcionuotas duomenų atskleidimas, tapatybės vagystė ar tvirkinimas internete.

Eurobarometro tyrimas atskleidė, kad Lietuvoje tik 22 proc. gyventojų jaučiasi visiškai kontroliuojantys savo asmeninę informaciją internete. Daugiau nei pusė (58 proc.) respondentų pripažįsta, kad jaučiasi tik iš dalies kontroliuojantys šią sritį, o 17 proc. atsakė manantys, jog visiškai nekontroliuoja savo asmeninės informacijos virtualioje erdvėje.

8 iš 10 Lietuvos gyventojų mano, kad neturi visiškos savo asmens duomenų kontrolės, o 4 iš 10 sako nepasitikintys prekybą internetu vykdančiomis įmonėmis. Tiek pat yra susirūpinusių dėl mobiliųjų programėlių, renkančių duomenis be naudotojų sutikimo, o 5 iš 10 respondentų nerimauja dėl to, kaip įmonės gali panaudoti jų pateiktą informaciją.

Asmens duomenų apsauga yra ne tik svarbus klausimas daugeliui europiečių, bet ir pagrindinė teisė, kurią reikia užtikrinti. ES BDAR, EK teigimu, patenkina šį poreikį.

Bendrajame duomenų apsaugos reglamente numatytus pokyčius pajus visi – internautai ar įvairių paslaugų vartotojai įgauna naujų teisių, o verslas ir viešasis sektorius turės atsakingiau žvelgti į duomenų tvarkymą bei priežiūrą.

Tai buvo galima matyti pastarosiomis savaitėmis, kai socialinių tinklų, internetinių parduotuvių, kelionių agentūrų ir daugelio kitų įmonių interneto svetainių lankytojams iššokdavo informacija apie atnaujintas asmens duomenų tvarkymo taisykles ar privatumo politikas.

Pranešimų į elektroninius paštus siuntėjai taip pat atsiklausė savo nuolatinių adresatų, ar šie nori ir toliau gauti jų siunčiamą turinį ar pakvietimus į renginius.

Reglamentas yra taikomas tiesiogiai visoms šalims narėms, tačiau tam ruošiantis ES valstybės turėjo pertvarkyti nacionalines duomenų apsaugos institucijas. Lietuva tai padaryti pavėlavo.

Kas naujo?

Pradėjus taikyti naują reguliavimą, paslaugų teikėjai turėtų išsamiau informuoti žmones, kokiais būdais bus tvarkomi jų asmens duomenys.

Daugiausiai pokyčių pajus interneto vartotojai, tačiau kai kurie ekspertai svarsto, kad uolus klausinėjimas dėl su asmens duomenimis susijusių operacijų gali iškreipti naršymo internete patirtį.

Naujos europinės taisyklės sudaro daugiau galimybių žmonėms gauti apie juos sukauptą informaciją ir tam tikrais atvejais nustato galimybę būti „pamirštiems“. Bendrasis duomenų apsaugos reglamentas taip pat įtvirtina vartotojų teisę reikalauti ištaisyti duomenų rinkimo klaidas ir numato galimybes paprašyti „perkelti“ asmens duomenis iš vieno paslaugos tiekėjo duomenų bazės į kito tiekėjo bazę.

Reglamentas panaikina prievolę verslui gauti priežiūros tarnybų leidimą tvarkyti asmens duomenis, tačiau daugiau įgaliojimų permeta patiems verslininkams.

Daugeliui įmonių prieš taisyklių įsigaliojimą teko peržiūrėti ir sutvarkyti asmens duomenų rinkimo, tvarkymo bei saugojimo procesus, jog jie atitiktų atnaujintą reguliavimą. Didelėms bendrovėms teko įdarbinti duomenų apsaugos pareigūnus.

Nuo šiol visos su asmens duomenimis dirbančios bendrovės privalės pranešti apie pažeidimus priežiūros institucijai – Valstybinei duomenų apsaugos inspekcijai – ir žmogui, su kurio duomenimis buvo pasielgta netinkamai.

Laikytis naujų taisyklių verslą turėtų skatinti ir už pažeidimus smarkiai išaugusios baudos – nuo penktadienio kompanijoms už duomenų apsaugos taisyklių nepaisymą galės būti išrašyta maksimali 20 mln. eurų arba 4 proc. metinių pajamų bauda.

Lietuva pavėlavo

Nors pasiruošti naujų taisyklių taikymui ES šalys turėjo dvejus metus, Lietuva ir dar septynios bendrijos šalys nespėjo priimti reikalingų teisės aktų.

Reglamento taikymui reikalingas Asmens duomenų apsaugos įstatymo projektas Seime buvo pateiktas šią savaitę. Dabar jį nagrinės komitetai, o į plenarinį posėdį projektas turėtų grįžti birželio pabaigoje.

Valstybinė duomenų apsaugos inspekcija teigia, kad duomenų apsaugos reformai įgyvendinti reikia perkelti ir ES direktyvą dėl policijos duomenų apsaugos. Anot jos, šis įstatymo projektas Seimą pasieks kitą savaitę.

Europos Komisija nurodo stebėsianti pavėlavusių pasirengti reglamento taikymui šalių situaciją ir esant poreikiui žada imtis pažeidimo procedūrų.

Lietuvoje daug galvos skausmo naujos taisyklės kėlė smulkiajam verslui, tačiau duomenų apsaugos inpekcija sako esanti pasiruošusi konsultuoti įmones dėl kilusių neaiškumų ir neskubėti bausti prasižengusiųjų.