„Ponia Dijana laimėjo konkursą, praėjo visas atitinkamas procedūras, kurios priklauso, ir todėl yra teikiama eiti Valstybinės duomenų inspekcijos direktoriaus pareigas“, – per posėdį sakė premjerė Ingrida Šimonytė.

Nauja direktorė skiriama pasibaigus dabartinio vadovo Raimondo Andrijausko penkerių metų kadencijai. Jis kiek anksčiau trečiadienį Vyriausybės atleistas iš pareigų nuo vasario 11 dienos.

Naujoji vadovė per Vyriausybės posėdį sakė, kad pagrindinis jos uždavinys ir prioritetas bus rasti tinkamą balansą tarp teisės į duomenų apsaugą ir laisvo duomenų judėjimo.

„Atitinkama pirmiausia ir daugiausia dėmesio stengsiuosi skirti pažeidimų prevencijai, institucijos veiklos atvirumui, dalijimuisi institucijos veiklos praktika, kaip turėtų būti teisingai taikomas Bendrasis duomenų apsaugos reglamentas ir kitos taisyklės“, – sakė D. Šinkūnienė.

Stengsiuosi, kad šitoje srityje būtų matoma, ieškoma ir randama daugiau galimybių, o ne apribojimų.

Ji tvirtino dėmesį taip pat skirsianti teisėkūros procesui, visuomenės informavimui apie savo teises ir pareigas asmens duomenų apsaugos srityje.

„Stengsiuosi, kad šitoje srityje būtų matoma, ieškoma ir randama daugiau galimybių, o ne apribojimų“, – kalbėjo D. Šinkūnienė.

Teisingumo ministrė Ewelina Dobrowolska sakė, jog pagrindinis lūkestis, keliamas inspekcijai, yra pasirengti Europos Sąjungos priimamų direktyvų taikymui, bei pabrėžė kvalifikacijos kėlimo institucijose ir mokymo, kaip taikyti Bendrasis duomenų apsaugos reglamentą (BDAR), svarbą.

„BDAR'as neturi tapti priedanga ten, kuri jis tampa priedanga ir, kita vertus, ten, kur jis turi atlikti asmens duomenų apsaugos funkciją, turi taipogi nekelti abejonių, bet tam reikalingas sistemingas mokymasis institucijose dirbančių žmonių, nes dažnai žmonės BDAR'u mosuoja ne iš piktos valios, bet tiesiog iš nežinojimo arba baimės“, – jai pritarė ir premjerė.

D. Šinkūnienė anksčiau ėjo šios inspekcijos direktoriaus pavaduotojo pareigas, taip pat laikinai jai vadovavo, kai iš pareigų pasitraukė ilgametis direktorius Algirdas Kunčinas.

2018-aisiais svarstyta ją skirti nuolatine vadove, tačiau vėliau tokių planų atsisakyta.

Tuometė teisingumo ministrė Milda Vainiutė tokį sprendimą argumentavo prastais įstaigos veiklos rezultatais, susiskaldžiusiu kolektyvu, gautais skundais dėl pačios D. Šinkūnienės darbo, nors ši ir surinko daugiausiai balų 2017-aisiais skelbtame vadovo konkurse.

Valstybinės duomenų apsaugos inspekcijos vadovas yra atskaitingas Vyriausybei ir teisingumo ministrui.

Ši institucija užtikrina asmenų teisę į privatumą tvarkant asmens duomenis, organizuoja duomenų valdytojų priežiūrą, rengia ir derina teisės aktus bei rūpinasi tarptautinių įsipareigojimų, susijusių su asmens duomenų apsauga, vykdymu.

Nauja direktorė skiriama pasibaigus dabartinio vadovo Raimondo Andrijausko penkerių metų kadencijai.

D. Šinkūnienė anksčiau ėjo šios inspekcijos direktoriaus pavaduotojo pareigas, taip pat laikinai jai vadovavo, kai iš pareigų pasitraukė ilgametis direktorius Algirdas Kunčinas.

2018-aisiais svarstyta ją skirti nuolatine vadove, tačiau vėliau tokių planų atsisakyta.

Tuometė teisingumo ministrė Milda Vainiutė tokį sprendimą argumentavo prastais įstaigos veiklos rezultatais, susiskaldžiusiu kolektyvu, gautais skundais dėl pačios D. Šinkūnienės darbo, nors ši ir surinko daugiausiai balų 2017-aisiais skelbtame vadovo konkurse.

Valstybinės duomenų apsaugos inspekcijos vadovas yra atskaitingas Vyriausybei ir teisingumo ministrui.

Ši institucija užtikrina asmenų teisę į privatumą tvarkant asmens duomenis, organizuoja duomenų valdytojų priežiūrą, rengia ir derina teisės aktus bei rūpinasi tarptautinių įsipareigojimų, susijusių su asmens duomenų apsauga, vykdymu.

Konkursas skelbiamas baigiantis dabartinio inspekcijos vadovo Raimondo Andrijausko kadencijai.

Pasak ministerijos, naujojo įstaigos vadovo bus prašoma stiprinti preventyvią veiklą, didinti duomenų valdytojų, duomenų apsaugos pareigūnų ir duomenų subjektų žinias, kompetenciją ir įgūdžius asmens duomenų apsaugos srityje, kelti pasitikėjimą viešojo sektoriaus atliekamu asmens duomenų tvarkymu bei stiprinti tarptautinį bendradarbiavimą asmens duomenų apsaugos srityje.

Anot teisingumo ministrės Ewelinos Dobrowolskos, tikimasi, jog naujasis įstaigos vadovas pakels duomenų apsaugos kartelę, stiprinant rizikingiausių sričių stebėseną ir tyrimus.

Jos teigimu, inspekcija turi „ne tik spėti koja kojon su laikmečiu, bet ir būti priekyje“, laiku imdamasi asmens duomenų apsaugos pažeidimų prevencijos.

„Dinamiška Europos Sąjungos Teisingumo Teismo praktika asmens duomenų apsaugos klausimais ir kasdienis dėmesys kylančių rizikų prevencijai yra pagrindiniai iššūkiai, su kuriais teks susidurti naujajam vadovui“, – teigė ministrė.

Kandidatų paraiškų bus laukiama iki spalio 4-osios.

VDAI – tai institucija, dalyvaujanti formuojant valstybės politiką asmens duomenų apsaugos srityje ir ją įgyvendinanti.

Neseniai Kauno apskrities vyriausiasis policijos komisariatas ir Kauno miesto savivaldybė Valstybinei duomenų apsaugos inspekcijai (VDAI) pateikė patobulintus vaizdo stebėjimo viešose vietose informacinės sistemos nuostatus, tačiau ir juose rasta spragų.

„Rugsėjo 21 d. VDAI  išsiuntė Kauno apskrities vyriausiajam policijos komisariatui ir Kauno miesto savivaldybės administracijai savo pastabas ir pasiūlymus dėl minėtų nuostatų atitikties Bendrojo duomenų apsaugos reglamento ir kitų asmens duomenų apsaugą reglamentuojančių teisės aktų reikalavimams“, – portalui kauno.diena.lt komentavo inspekcijos Teisės skyriaus patarėja Raminta Sinkevičiūtė-Šečkuvienė.

Vilmanto Raupelio nuotr.

Tai jau mažiausiai trečias bandymas pasitikrinti, gal nuostatos jau atitinka duomenų apsaugos reikalavimus ir bus galima pagaliau naudoti miestą apraizgiusių vaizdo kamerų tinklą.

Kameros sumontuotos trisdešimtyje Kauno vietų: prie pagrindinių įvažų į miestą, greta tiltų ir prietilčių, šviesoforais reguliuojamose didžiųjų gatvių sankirtose, prie troleibusų kontaktinio tinklo atramų, taip pat parkuose, požeminėse perėjose.

Vasarą VDAI atstovė apie kitus gautus nuostatų variantus kalbėjo taip: „VDAI, įvertinusi pateiktą informaciją, nustatė, kad siekiamas vykdyti vaizdo stebėjimas neatitiktų BDAR nustatytų reikalavimų ir informavo duomenų valdytojus, kad, pirma, turi būti užtikrinta, kad vaizdo stebėjimas būtų vykdomas tose vietose, kur vyrauja aukšta rizika, jog gali būti sukeltas pavojus fizinių asmenų gyvybei, sveikatai ar turtui, kitoms jų teisėms bei laisvėms, taip pat pavojus juridinių asmenų turtiniams interesams (sumažėjus rizikos lygiui, vaizdo stebėjimas turi būti nutrauktas). Antra, turi būti užtikrinama, kad pravažiuojančių transporto priemonių valstybiniai numeriai būtų saugomi tik proporcingą laikotarpį ir tik tų, kuriomis, pavyzdžiui, buvo padaryti Kelių eismo taisyklių (KET) pažeidimai, kurios yra paieškomos ir pan. Trečia, siekiant vykdyti vaizdo stebėjimą aptariamu atveju turėtų būti inicijuotas naujos valstybės informacinės sistemos steigimas arba esamos valstybės informacinės sistemos modernizavimas“.

Vilmanto Raupelio nuotr.

Ji pridūrė, kad VDAI nustatyti trūkumai yra susiję ne su asmens duomenų tvarkymo saugumu, o su asmens duomenų tvarkymo tinkamu įteisinimu, asmens duomenų apimties nustatymu ir jų saugojimo laikotarpiais.

Neapsikentę tokios kantrybę sekinančios nežinios, žmonės kreipėsi į portalo redakciją, kaip sakė jie patys, tikėdamiesi, kad žiniasklaidai pavyks išsiaiškinti priežastį, kodėl pastarosiomis dienomis nepasiekiami VDAI atstovai.

„Antrą dieną bandau susisiekti su Valstybinės duomenų inspekcijos atstovais, tačiau visi šios įstaigos telefonai išjungti! Prieš tai rašiau jiems laišką, tačiau sulaukiau dviejų atsakymų, kad adresatai šiuo metu atostogauja. Laišką persiuntusi bendruoju paštu, nesulaukiau jokios reakcijos. Tai kaip išvis susisiekti su šia institucija?!“ – plūdo su žurnalistais susisiekusi Monika.

Moteris pridūrė, kad interneto tinklalapyje nurodytas ir konsultacijų telefonas bei jų laikas. Tačiau paskambinus ir šiuo numeriu esą tiesiog kartojamas sakinys: „Šiuo metu visi konsultantai užimti, prašome palaukti“.

„O laukti galima parą, dvi ar tris, nes, panašu, kad niekas net neketina atsiliepti. Už ką šiems darbuotojams mokami atlyginimai iš mūsų mokesčių mokėtojų pinigų?!“ – piktinosi pašnekovė.

Už ką šiems darbuotojams mokami atlyginimai iš mūsų mokesčių mokėtojų pinigų?!

Po užplūdusių užklausų, žurnalistams patikrinus, ar iš tiesų, susisiekti su VDAI darbuotojais – misija neįmanoma, gyventojų žodžiai pasitvirtino – išjungtas net žiniasklaidos atstovų klausimams skirtas telefonas.

Dėl šios problemos susisiekus su Vyriausybės, kuriai pavaldi VDAI, kanceliarija ir apibūdinus situaciją, paaiškėjo, kad tokie nesklandumai, dėl kurių nepasiekiami inspekcijos darbuotojai, vyksta dėl rimto elektros tinklo gedimo. Būtent todėl čia laikinai neaptarnaujami lankytojai, neteikiamos konsultacijos, neveikia kompiuterių ir telefono tinklai.

„Atsiprašome už nepatogumus. Atstačius elektros tiekimą Inspekcijos pastate, konsultavimas ir kitos paslaugos veiks kaip įprastai“, – rašoma VDAI interneto puslapyje.

„Elektroniniu paštu atsakymus teikia, nes žmonės išvažiavo dirbti iš namų. Atstovė spaudai atostogauja, bet jei jūs rašytumėte ada@ada.lt, tada jums atsakytų“, – portalo žurnalistams detalizavo ministrės pirmininkės atstovė spaudai Rasa Jakilaitienė.

„Tyrimas, aš įsivaizduoju, bus baigtas gal už poros mėnesių, ne anksčiau“, – Seimo Ekonomikos komiteto Aukštųjų technologijų, inovacijų ir skaitmeninės ekonomikos pakomitečio posėdyje sakė J. Trichonovas, atsakydamas į pakomitečio pirmininko Andriaus Kupčinsko klausimą.

Pasak inspekcijos atstovo, tokio atvejo negalima ištirti greitai, nes neužtenka nustatyti vien asmens duomenų saugumo pažeidimo fakto, atliekant patikrinimą reikalingą nustatyti ir priežastis.

„Mes vykdome patikrinimą ir vietoje, ir žiūrime visą informacijos saugos valdymą organizacijoje „nuo iki“ – visas technines, organizacines priemones, nes šitoje vietoje mes turėsime priimti kažkokius sprendimus. Tyrimas reikalingas nustatyti ne tik faktą, bet ir kodėl taip įvyko, kaip galima padaryti, kad taip neįvyktų, taip pat turime ištirti, kaip buvo reaguota, kaip incidentas buvo suvaldytas, kaip atstatytas vientisumas, plius – informacijos saugos valdymas visoje organizacijoje“, – sakė J. Trichonovas.

„Šiuo metu mes esame jau buvę vietoje, esame gavę nemažai išvadų iš ekspertų, nemažai ir patys ištyrėme. Eigoje visą laiką gali atsirasti visokių dalykų, pas juos yra ir duomenų apsaugoje pareigūnai įdarbinti, ir teisininkai, ir panašiai. Ne tik nuo mūsų priklauso laikas, per kurį tyrimą atliksime. Bet įsivaizduoju, kad birželį jau turėtume kažką turėti“, – pridūrė J. Trichonovas.

Vasario pabaigoje paaiškėjo, kad kibernetiniai nusikaltėliai forume paskelbė apie 110 tūkst. Lietuvoje registruotų automobilių nuomos paslaugas teikiančios „CityBee“ klientų informaciją.

Tarp paviešintų duomenų buvo „CityBee“ klientų vardai, pavardės, asmens kodai, vairuotojų pažymėjimų numeriai ir jų galiojimo datos.

Kaip antradienį pranešė VDAI, bauda skirta dėl netinkamai įgyvendintų techninių ir organizacinių duomenų saugumo priemonių po liepos 20 dienos incidento.

Savo ruožtu Registrų centras BNS informavo šiuo metu vertinantis Duomenų apsaugos inspekcijos sprendimą skirti baudą.

„Sprendimą dėl kreipimosi į teismą priimsime per mėnesį“, – teigė valstybės įmonės atstovas Mindaugas Samkus.

Registrų centrui bauda skirta už nustatytus Bendrojo duomenų apsaugos reglamento (BDAR) pažeidimus: neužtikrinus nuolatinio duomenų tvarkymo sistemų ir paslaugų vientisumo, prieinamumo ir atsparumo bei teisės aktų nustatytu terminu neatkūrus sąlygų ir galimybių naudotis asmens duomenimis fizinio ar techninio incidento atveju.

VDAI duomenimis, minėtas incidentas paveikė 22 registrų ir informacinių sistemų veiklą.

Inspekcija atkreipia dėmesį, kad asmens duomenų saugumo užtikrinimas yra ne tik duomenų valdytojo, bet ir tiesioginė duomenų tvarkytojo, kokiu yra Registrų centras, pareiga. Už šios pareigos nevykdymą ar netinkamą vykdymą duomenų tvarkytojas atsako tiesiogiai.

Incidentas Registrų centre įvyko po gausios liūties trūkus vamzdžiui, dėl ko buvo užpilta Registrų centro serverinė. Dėl to buvo sutrikusi daugelio įmonės valdomų sistemų veikla, o e. sveikata neveikė kiek ilgiau nei savaitę.

Anot M. Samkaus, šiuo metu Registrų centro tvarkomų registrų ir sistemų duomenys realiu laiku kopijuojami į skirtingose fizinėse vietose esančias duomenų saugyklas.

„Tai leidžia užtikrinti žymiai greitesnį sistemų veiklos atstatymą, nei įmonė turėjo galimybių tai padaryti ankščiau“, – sakė jis.

Be kita ko, pasak įmonės atstovo, po incidento vasarą imtasi papildomų priemonių užtikrinti didesnę esamų duomenų centro patalpų fizinę apsaugą.

„Vyriausybė prioriteto tvarka skyrė įmonei naujas patalpas, taip paspartindama naujo duomenų centro kūrimą. Šiuo metu vyksta naujo duomenų centro Studentų gatvėje Vilniuje įrengimo darbai, kuriuos užbaigus į naujas, šiuolaikinius saugumo reikalavimus atitinkančias patalpas iki šių metų pabaigos bus perkelta įranga bei personalas iš V. Kudirkos gatvėje esančių patalpų“, – sakė jis.

M. Samkaus teigimu, tai leis sustiprinti tinkamą tvarkomų sistemų ir registrų duomenų apsaugą ir operatyvų jų veiklos atstatymą.

Pakeiskite slaptažodžius

Nedelsdami pakeiskite visų naudojamų „online“ paslaugų (socialinių tinklų, internetinių parduotuvių, internetinės komunikacijos ir pan.), taip pat su jomis susijusių paslaugų slaptažodžius. Niekada daugiau nenaudokite senojo slaptažodžio. Slaptažodžiai turėtų būti keičiami kas pusmetį – tai svarbus jūsų saugumo internete aspektas. Jokiais būdais nenaudokite tokių slaptažodžių kaip qwerty ar 123456 ir pan. Kiekvienai paslaugai kurkite skirtingus slaptažodžius. Pakartotinis slaptažodžių naudojimas yra didžiausia blogybė. Svetainėse gali būti taikomi slaptažodžio reikalavimai, pavyzdžiui, skaičiai, didžiosios raidės ar simboliai. Tačiau jos negali uždrausti vartotojams naudoti tų pačių slaptažodžių ir neleisti jiems pakartotinai naudoti pažeistų slaptažodžių.

Susigrąžinkite savo paskyrų kontrolę

Jeigu pastebėjote, kad yra pasikėsinta į daugiau Jūsų valdomų paslaugų, susigražinkite jų kontrolę. Daugelis interneto paslaugų turi savo mechanizmus, kaip grąžinti paskyrą tikram savininkui, kai ją perima užpuolikai. „Apple“, „Facebook“, „Google“, „Microsoft“, „Twitter“ , „Yahoo“  ir pan. turi šiuos mechanizmus. Dažniausiai reikia atsakyti į kelis klausimus apie savo sąskaitą. „Facebook“ naudoja naujoviškesnį būdą patikrinti Jūsų tapatybę pagal draugus. Kraštutiniu atveju turėsite kreiptis į vietinį paslaugos biurą ir parodyti dokumentus, po kurių jums bus grąžinta paskyros kontrolė.

Ieškokite „atvirų durų“ (angl. backdoor)

Gali būti, kad įsilaužėlis jau pabuvojo jūsų paskyrose. Protingas įsilaužėlis nenurims paprasčiausiai įsiskverbęs į jūsų paskyrą. Jis pasirūpins galimybe vėl į ją patekti, įdiegdamas tam reikalingas priemones. Todėl, kai tik atgausite savo paskyrų kontrolę, nedelsdami patikrinkite, ar nėra „atvirų durų“, pro kurias galėtų sugrįžti įsibrovėliai. Jei tai el. paštas, patikrinkite nustatymus – ar yra sukonfigūruoti korespondencijos persiuntimai į kitas pašto dėžutes, ar išjungti šlamšto filtrai ir ar pasikeitė atsakymai į jūsų saugos klausimus kitų paslaugų paskyrose.

Stebėkite savo finansus

Atidžiai stebėkite, kas vyksta su jūsų sąskaitomis ir lėšų judėjimu per jas. Įsitikinkite, kad atsiskaitymo sąskaitose ar internetinių parduotuvių ir kitų mokamų paslaugų paskyrose nebuvo pridėti nauji pristatymo adresai, pridėti nauji mokėjimo metodai ar prijungtos naujos paskyros. Tai ypač aktualu dėl paslaugų, leidžiančių sumokėti už pirkinį vienu paspaudimu.

Pasišalinkite iš visų atvirą autorizacijos protokolą palaikančių paslaugų

„Google“, „Twitter“, „Facebook“, „Dropbox“ ir daugelis kitų palaiko „OAuth“ – atvirą autorizacijos protokolą, leidžiantį suteikti trečiajai šaliai ribotą prieigą prie saugomų vartotojo išteklių, kai nereikia perduoti savo vartotojo vardo ir slaptažodžio trečiajai šaliai. Pasitikrinkite ir sukurkite atskirą prisijungimą su vartotojo vardu ir slaptažodžiu arba pašalinkite tokias paslaugas.

Tikrins 15 finansų įstaigų

Valstybinė duomenų apsaugos inspekcija (VDAI), pristatydama savo 2021 m. suplanuotus darbus, pranešė, kad iki metų pabaigos patikrins penkiolika kredito unijų, bankų ir kitų finansinių įmonių, ar šie nereikalauja perteklinių asmens duomenų iš savo klientų. Inspektoriai patikrinimus, kaip patys sako, dėl asmens duomenų teikiant mokėjimo inicijavimo paslaugas apimties ketina pradėti nuo "Paysera LT" UAB, paskui jų akiratyje: "NEO Finance", "Google Payment Lithuania", "European Merchant Bank", " Kevin EU", SEB bankas, "Swedbank", "Revolut Payments", Šiaulių bankas, Šeimos kredito unija, Trakų kredito unija, kredito unija "Saulėgrąža", Vilkaviškio kredito unija, "Argentum mobile", "Montonio Finance".

Tokių patikrinimų būtinybę pastebi ir Lietuvos bankas, gaunantis vis daugiau bankų, elektroninių pinigų ir kitų finansų įstaigų klientų klausimų ir nusiskundimų dėl perteklinių reikalavimų, siejamų su prašymais užpildyti, atnaujinti kliento pažinimo anketą ar pateikti papildomą informaciją.

Nagrinėjant juos, šalies centrinio banko atstovai pastebi atvejų, kai tikrai iš žmonių prašoma galimai daugiau informacijos, nei būtina jų keliamai rizikai tinkamai įvertinti ir valdyti. Pasitaiko ir atvejų, kai tiesiog vengiama rizikos, susijusios su tam tikrais klientais, užuot ją valdžius. Tokiu atveju kyla pavojus, kad atskiriems žmonėms ar verslo įmonėms būtiniausios finansinės paslaugos (pavyzdžiui, mokėjimo sąskaitos) gali tapti neprieinamos.

Bet… kontrolės reikia

Kita vertus, Lietuvos bankas sako, kad, griežtėjant pinigų plovimo ir teroristų finansavimo (PPTF) prevencijos reikalavimams ir finansų rinkos dalyviams šiai sričiai skiriant vis daugiau dėmesio, būtina tikrinti, kas yra kas.

"Labai svarbu suprasti, kad būtent finansų rinkos dalyviai yra pirmoji gynybos linija, užkertanti kelią pinigų, gautų iš prekybos narkotikais, ginklais, žmonėmis, legalizavimui, taip pat teroristų galimybėms įgyvendinti savo kėslus. Vis dėlto, valdydami riziką, finansų rinkos dalyviai turi taikyti priemones, kurios būtų šiai rizikai proporcingos. Savo ruožtu finansų įstaigų klientus kviečiame bendradarbiauti teikiant informaciją, o kilus klausimų, pirmiausia pamėginti spręsti juos kartu su finansinių paslaugų teikėju. Šiais metais Lietuvos bankas skirs daug dėmesio vertindamas, ar galimybės naudotis mokėjimo paslaugomis nėra nepagrįstai ribojamos", – praeitą antradienį teigė Lietuvos banko Finansų rinkos priežiūros tarnybos direktorė Jekaterina Govina.

Klientai dažniausiai piktinasi dėl klausimų išsamumo: kodėl finansų įstaigai reikia tiek daug žinoti apie mane – aš juk pinigų neplaunu, kur mano teisės į privatų gyvenimą? Persiunčiau artimajam pinigus, kodėl bankas klausia apie mano persiųstų lėšų kilmę?

Tačiau, Lietuvos banko teigimu, finansų rinkos dalyviai privalo tinkamai pažinti savo klientą ir stebėti dalykinius santykius. Teisės aktuose išsamiai nenustatyta, kiek ir kokios informacijos finansų įstaigos turi prašyti kliento kiekvienu atveju. Jos pačios tai sprendžia vertindamos riziką, todėl informacijos kiekis ir pobūdis konkrečiu atveju gali skirtis. Lietuvos banko nuomone, visais atvejais finansų įstaigos turėtų prašyti klientų pateikti tiek informacijos, kiek yra pakankama konkrečiu atveju valdyti PPTF riziką.

Lietuvos bankas stebi, kad finansų įstaigos nepiktnaudžiautų teise nutraukti santykius su klientais, o tokią priemonę taikytų tik kraštutiniu atveju.

Lietuvos bankas stebi, kad finansų įstaigos nepiktnaudžiautų teise nutraukti santykius su klientais, o tokią priemonę taikytų tik kraštutiniu atveju.

Daugėja e.atsiskaitymų

Dar pernai, pasibaigus pirmajam karantinui, Lietuvos banko valdybos narys Marius Jurgilas atkreipė dėmesį, kad 2020 m. antrąjį ketvirtį, palyginti su 2019-ųjų tuo pat metu, atsiskaitymo naudojant "Bank Link" paslaugą skaičius buvo 51 proc. didesnis, o mokėjimo kortelėmis atsiskaitymo internetu operacijų skaičius išaugo 125 proc.

Tiesa, Lietuvoje ir iki karantino įvedimo mokėjimų negrynaisiais pinigais naudojimas nuosekliai didėjo. 2019 m. įmonių ir gyventojų mokėjimo operacijų, atliktų tarpininkaujant Lietuvos mokėjimų paslaugų teikėjams, skaičius padidėjo 14,6 proc., o 2017 ir 2018 m. – atitinkamai 10,3 ir 14,2 proc. Lietuvos bankas teigia, kad šis skaičius daugiausia augo dėl aktyvesnio mokėjimo kortelių ir kredito pervedimų naudojimo. 2019 m. vidutiniškai vienam Lietuvos gyventojui teko 233 mokėjimų negrynaisiais pinigais operacijos – 30 operacijų daugiau nei 2018 m.

O plečiantis nuotolinių mokėjimų apimtims, tvarkoma ir vis daugiau asmens duomenų. VDAI atstovų manymu, asmens duomenų tvarkymas teikiant finansines paslaugas – ypač jautri sritis, nes dėl netinkamo asmens duomenų tvarkymo asmuo gali patirti finansinę žalą. Inspekcija, šiemet atlikdama patikrinimus, vertins, ar mokėjimo inicijavimo paslaugas teikiančios organizacijos netvarko perteklinių asmens duomenų, kad būtų kiek galima labiau užtikrintos duomenų subjektų teisės.

Atlikdama planinius patikrinimus ši priežiūros institucija stengiasi susipažinti su realia asmens duomenų tvarkymo veikla, nustatyti kylančias rizikas ir padėti organizacijoms pasitaisyti. Šie tikrinimai aktualūs ne tik kiekvienai patikrintai organizacijai, tačiau ir kitiems sektoriaus atstovams, kurie galės susipažinti su atliktų tikrinimų rezultatais ir, jais remdamiesi, peržiūrėti savo veiklą bei pasitaisyti.

Brangi pamoka

Šiemet VDAI patikrinimų metu pasižiūrės, ko pasimokė finansų įmonės iš svetimų brangiai kainavusių klaidų. Pavyzdžiui, prieš pusantrų metų ji už Bendrojo duomenų apsaugos reglamento pažeidimus UAB "MisterTango" (dabar – "Secure Nordic Payments") skyrė 61 500 eurų administracinę baudą. Inspekcijos nuomone, tai turėjo būti reikšmingas signalas ir kitoms įmonėms, tik deklaratyviai įgyvendinančioms šio teisės akto nuostatas.

Įvertinus tyrimo metu surinktą informaciją ir pateiktus paaiškinimus, nustatyta, kad tuometė UAB "MisterTango" tvarko (prieina, renka) daugiau asmens duomenų, negu pati nurodo esant būtina mokėtojo inicijuotam mokėjimui įvykdyti. Inspekcijos nuomone, įgyvendinant asmens duomenų kiekio mažinimo principą, turėtų būti renkami tik mokėjimui atlikti būtini tokie duomenys kaip mokėtojo vardas, pavardė, jei mokėtojas pageidauja, jo identifikavimo kodas, banko sąskaitos numeris, valiuta ir likutis, mokėjimo paskirtis / įmokos kodas.

Tačiau, be šių duomenų, įmonė rinko ir tokius pertekliniais laikytinus duomenis, kaip, pavyzdžiui, neperžiūrėtų elektroninių sąskaitų pateikimo datos, siuntėjų pavadinimai ir sumos; neperskaitytų pranešimų pateikimo datos, temos ir dalis pranešimo teksto; turimų paskolų paskirtys, pobūdžiai, sumos; pensijų fondų pavadinimai, sukaupti vienetai, jų vertė, sukauptos sumos; kredito tipai (pavyzdžiui, būsto), mokėtini likučiai, kitų mokėjimų sumos ir datos, išduotų mokėjimo kortelių numeriai ir jose esančios sumos. Be to, nustatyta, kad įmonė duomenis saugo ilgiau, negu pati yra nustačiusi ir nurodo esant reikalinga.

Tarp kitko, 2019 m. spalio pabaigoje tuometė "MisterTango" sulaukė ir Lietuvos banko sankcijų. Už šiurkščius pinigų plovimo ir teroristų finansavimo prevencijos reikalavimų pažeidimus jai buvo skirta bauda ir nurodyta neteikti mokėjimo paslaugų tam tikroms klientų grupėms. Tačiau pernai kovą, atsižvelgdama į tai, kad įstaiga ėmėsi veiksmų ir pašalino daugumą inspektavimo metu nustatytų pažeidimų ir trūkumų, aktyviai šalina likusius trūkumus, Lietuvos banko Priežiūros tarnyba nusprendė atšaukti apribojimus, tačiau atidžiai stebės UAB "Secure Nordic Payments" prisiimamą riziką ir taikomų pinigų plovimo ir teroristų finansavimo prevencijos priemonių efektyvumą.

„Bendrasis duomenų apsaugos reglamentas asmens duomenų tvarkymo nedraudžia, tačiau nustato reikalavimus, kurių būtina laikytis, siekiant užtikrinti, kad asmens duomenys būtų tvarkomi teisėtai“, – BNS ketvirtadienį sakė VDAI Teisės skyriaus patarėja Raminta Sinkevičiūtė-Šečkuvienė.

Trečiadienį Vyriausybė nusprendė, kad barai, restoranai ir naktiniai klubai turės užsidaryti vidurnaktį, o jų lankytojai privalės būti registruojami, siekiant sulėtinti koronaviruso plitimą. Tokia tvarka įsigalios nuo kitos savaitės.

„Prastėjanti epidemiologinė situacija reikalauja imtis papildomų priemonių ir nors tai savaime nereiškia, kad minėtos priemonės turi būti susijusios su asmens duomenų tvarkymu, bet tam tikrais atvejais tai išties neišvengiama“, – komentavo inspekcijos atstovė.

Valstybinė duomenų apsaugos inspekcija atkreipia dėmesį, kad viešojo maitinimo įstaigos rinkti galės tik tuos asmens duomenis, kuriuos būtina, o juos tvarkyti galės tik teisės akte nustatytu tikslu.

„Pavyzdžiui, šie asmens duomenys negalės būti naudojami tiesioginei rinkodarai“, – teigė R. Sinkevičiūtė-Šečkuvienė.

Be to, surinkti asmens duomenys turės būti saugomi tik tam tikrą nustatytą laikotarpį, o įmonės privalės užtikrinti tinkamą jų apsaugą, nustatant, kas ir kaip duomenis rinks, kur ir kaip jie bus saugomi, kas turės prie jų prieigą bei kam jie galės būti perduoti.

Taip pat asmenims turės būti pateikta informacija apie jų asmens duomenų tvarkymą.

Vyriausybės nutarime numatyta, kad tiksli informacija apie būtinus rinkti duomenis bus pateikta Operacijų vadovo sprendime. Toks sprendimas kol kas dar nėra priimtas.