{"id":33687,"date":"2021-11-30T09:19:20","date_gmt":"2021-11-30T06:19:20","guid":{"rendered":"https:\/\/www.teise.pro\/?p=33687"},"modified":"2021-11-30T09:19:22","modified_gmt":"2021-11-30T06:19:22","slug":"automobiliu-nuomos-bendrovei-skirta-bauda-del-duomenu-saugumo-pazeidimo-pagal-bendraji-duomenu-apsaugos-reglamenta","status":"publish","type":"post","link":"https:\/\/www.teise.pro\/index.php\/2021\/11\/30\/automobiliu-nuomos-bendrovei-skirta-bauda-del-duomenu-saugumo-pazeidimo-pagal-bendraji-duomenu-apsaugos-reglamenta\/","title":{"rendered":"Automobili\u0173 nuomos bendrovei skirta bauda d\u0117l duomen\u0173 saugumo pa\u017eeidimo pagal Bendr\u0105j\u012f duomen\u0173 apsaugos reglament\u0105"},"content":{"rendered":"\n<p>Asmens duomen\u0173 apsaugos prie\u017ei\u016bros institucija Valstybin\u0117 duomen\u0173 apsaugos inspekcija (VDAI) 2021 m. lapkri\u010dio 29 d. sprendimu skyr\u0117 110 t\u016bkst. eur\u0173 administracin\u0119 baud\u0105 trumpalaik\u0117s automobili\u0173 nuomos platform\u0105 \u201eCityBee\u201c valdan\u010diai UAB \u201ePrime Leasing\u201c. VDAI savo iniciatyva atliko tyrim\u0105 atsi\u017evelgdama \u012f 2021 m. vasario m\u0117n. vie\u0161oje erdv\u0117je pasirod\u017eiusi\u0105 informacij\u0105 d\u0117l galimai \u012fvykusio bendrov\u0117s klient\u0173 asmens duomen\u0173 saugumo pa\u017eeidimo (ADSP). Bauda bendrovei skirta d\u0117l Bendrojo duomen\u0173 apsaugos reglamento (BDAR) 32 straipsnio 1 dalies a, b, d punkt\u0173, reglamentuojan\u010di\u0173 pareig\u0105 u\u017etikrinti asmens duomen\u0173 tvarkymo saugum\u0105, pa\u017eeidim\u0173.<\/p>\n\n\n\n<p><strong>ATVEJO KILM\u0116<\/strong><\/p>\n\n\n\n<p>UAB \u201ePrime Leasing\u201c tyrimas prad\u0117tas VDAI iniciatyva, atsi\u017evelgus \u012f gaut\u0105 informacij\u0105, kad buvo pavie\u0161inti bendrov\u0117s klient\u0173 asmens duomenys, \u012fskaitant ir asmens kodus. Tyrimo metu bendrov\u0117 teis\u0117s akt\u0173 nustatyta tvarka pateik\u0117 prie\u017ei\u016bros institucijai savo prane\u0161im\u0105 apie ADSP bendrov\u0117s IT infrastrukt\u016broje. Bendrov\u0117s teigimu, ji apie \u0161\u012f pa\u017eeidim\u0105 su\u017einojo i\u0161 kitos kibernetinio saugumo paslaugas teikian\u010dios \u012fmon\u0117s, kuri informavo, kad \u201eCityBee\u201c klient\u0173 duomenys CSV formatu yra paskelbti RaidForums.com interneto svetain\u0117je. Tyrimo metu nustatyta, kad pavie\u0161inti duomenys gauti i\u0161 neapsaugotai laikomo duomen\u0173 baz\u0117s atsargin\u0117s kopijos&nbsp;BACPAC failo (DB failas), kurio suk\u016brimo data yra 2018-02-27. Paai\u0161k\u0117jo, kad tiksli i\u0161orin\u0117s prieigos prie min\u0117to failo panaikinimo data 2021-02-16 11:15. Nepateikus joki\u0173 faktini\u0173 \u012frodym\u0173, kurie leist\u0173 teigti, kad min\u0117tas failas buvo vie\u0161ai pasiekiamas ne vis\u0105 \u0161\u012f laikotarp\u012f, buvo konstatuota, kad ADSP t\u0119s\u0117si nuo 2018-02-27 iki 2021-02-16.<\/p>\n\n\n\n<p>Atsi\u017evelgiant \u012f nustatyt\u0105 trunkam\u0105j\u012f ADSP pob\u016bd\u012f bei \u012fvertinus BDAR taikymo prad\u017ei\u0105, prie\u017ei\u016bros institucijos tyrimo metu buvo vertintos bendrovei taikomos BDAR numatytos prievol\u0117s, susijusios tiek su ADSP, tiek ir su reikalavimais asmens duomen\u0173 saugumo u\u017etikrinimui.<\/p>\n\n\n\n<p><strong>PAGRINDINIAI TYRIMO REZULTATAI<\/strong><\/p>\n\n\n\n<p>Atlikus tyrim\u0105 nustatyta:<\/p>\n\n\n\n<ul><li>DB failo, kuriame esan\u010di\u0173 asmens duomen\u0173 pagrindu sukurtas ir vie\u0161ai paskelbtas bendrov\u0117s klient\u0173 asmens duomen\u0173 rinkinys CSV formatu, suk\u016brimo data buvo 2018-02-27.<\/li><li>Atskleisti ir vie\u0161ai paskelbti 110 302 \u201eCityBee\u201c vartotoj\u0173 duomenys.<\/li><li>Nustatyti 433 vartotojai, kurie buvo pateik\u0119 savo gyvenamosios vietos adres\u0105 kitose Europos S\u0105jungos ir (ar) Europos Ekonomin\u0117s Erdv\u0117s valstyb\u0117se.<\/li><li>DB faile atviru tekstu buvo saugomi \u0161ie saugumo po\u017ei\u016briu keliantys didesn\u0119 rizik\u0105 asmens duomenys: asmen\u0173 vardai, pavard\u0117s, adresai, telefono numeriai, el. pa\u0161to adresai, asmens kodai, vairuotojo pa\u017eym\u0117jimo numeriai, mok\u0117jimo kortel\u0117s tipas ir paskutiniai 4 jos numerio skai\u010diai, mok\u0117jimo kortel\u0117s galiojimo data bei vartotojo \u201eBraintree\u201c sistemoje identifikatorius (token).<\/li><li>Bendrov\u0117 neu\u017etikrino tinkamo asmens duomen\u0173 saugumo valdymo ir kontrol\u0117s:<ul><li>nepaskyr\u0117 tinkam\u0105 kompetencij\u0105 turin\u010dio asmens atsakingu u\u017e saugumo u\u017etikrinim\u0105 ir rizikos valdym\u0105;<\/li><li>neatskyr\u0117 IT k\u016brimo ir prie\u017ei\u016bros srities pareig\u0173 ir atsakomybi\u0173 rib\u0173 nuo kibernetinio saugumo srities pareig\u0173 ir atsakomybi\u0173 rib\u0173;<\/li><li>neu\u017etikrino prieigos prie DB failo \u017eurnalini\u0173 \u012fra\u0161\u0173 fiksavimo ir kaupimo, bei neu\u017etikrino atliekam\u0173 veiksm\u0173 su DB fail\u0173 fiksavimo, steb\u0117senos ir vertinimo;<\/li><li>DB fail\u0105 saugojo ne\u0161ifruot\u0105, tod\u0117l technini\u0173 \u017eini\u0173 turintis asmuo gal\u0117jo parsisiunt\u0119s fail\u0105 gauti piln\u0105 prieig\u0105 prie jame esan\u010di\u0173 duomen\u0173. Asmens kodai DB faile taip pat buvo saugomi atviru tekstu, neapsaugoti naudojant mai\u0161os ar \u0161ifravimo algoritmus;<\/li><li>DB faile esan\u010dius slapta\u017eod\u017eius \u0161ifravo silpnu ir gana nesaugiu laikomu SHA-1 \u0161ifravimo algoritmu. Technini\u0173 \u017eini\u0173 turintys asmenys, pasinaudodami vie\u0161ai internete prieinamais ir (ar) specializuotais \u012frankiais, gal\u0117jo nesunkiai su\u017einoti faile saugom\u0173 dalies (ar vis\u0173) slapta\u017eod\u017ei\u0173 tikr\u0105sias (neu\u017emaskuotas mai\u0161os (angl.&nbsp;<em>hash<\/em>) b\u016bdu) reik\u0161mes;<\/li><li>vartotojai tur\u0117jo galimyb\u0119 naudoti bendrov\u0117s IT saugumo politikos slapta\u017eod\u017eiams keliam\u0173 reikalavim\u0173 neatitinkant\u012f slapta\u017eod\u012f.<\/li><\/ul><\/li><li>Bendrov\u0117 nevertino, nevald\u0117 ir negal\u0117jo valdyti rizikos, susijusios su \u0161iame DB faile esan\u010di\u0173 asmens duomen\u0173 konfidencialumo praradimu (taikydama tinkamas organizacines ir technines saugumo priemones), nes, jos teigimu, ji ne\u017einojo, kad jos valdomoje IT infrastrukt\u016broje egzistuoja \u0161is DB failas. Tai tiesiogiai l\u0117m\u0117 ADSP bei buvo sudarytos s\u0105lygos (anks\u010diau ar v\u0117liau) jam \u012fvykti.<\/li><\/ul>\n\n\n\n<p>Inspekcijos vertinimu, DB faile saugom\u0173 asmens duomen\u0173 konfidencialum\u0105 b\u016bt\u0173 apsaugojusios tinkamai panaudotos bent viena i\u0161 toliau nurodyt\u0173 bazini\u0173 saugumo priemoni\u0173: autentifikuota prieiga prie DB failo tik bendrov\u0117s darbuotojams; prisijungimas prie saugyklos tik i\u0161 vidinio bendrov\u0117s kompiuteri\u0173 tinklo; DB failo saugojimas u\u017e\u0161ifravus (\u0161ifravimo raktus patikint tik \u012fgaliotiems bendrov\u0117s darbuotojams); tinkama informacini\u0173 i\u0161tekli\u0173 steb\u0117sena.<\/p>\n\n\n\n<p>Pa\u017eym\u0117tina, kad&nbsp;bendrov\u0117 \u0117m\u0117si reikiam\u0173 priemoni\u0173 siekiant pa\u0161alinti ADSP ar suma\u017einti jo pasekmes ir tinkamai vykd\u0117 BDAR 33 straipsnio 3 dalies reikalavimus.<\/p>\n\n\n\n<p><strong>SPRENDIMAS<\/strong><\/p>\n\n\n\n<p>Kaip numato BDAR (83 straipsnio 4 dalies a punktas), UAB \u201ePrime Leasing\u201c administracin\u0117 bauda skirta atsi\u017evelgiant \u012f bendrov\u0117s ankstesni\u0173 finansini\u0173 met\u0173 (2020 m.) bendr\u0105 metin\u0119 pasaulin\u0119 apyvart\u0105 ir \u012fvertinus byloje pateiktas aplinkybes. VDAI sprendimu, u\u017e nustatytus BDAR 32 straipsnio 1 dalies a, b, d punkt\u0173 pa\u017eeidimus administracin\u0117 110 t\u016bkst. eur\u0173 dyd\u017eio bauda leis pasiekti BDAR tikslus ir bus atgrasanti bei proporcinga.<\/p>\n\n\n\n<p><strong>VDAI, spr\u0119sdama d\u0117l baudos dyd\u017eio, atsi\u017evelg\u0117 \u012f \u0161iuos<\/strong>&nbsp;<strong>bendrov\u0117s atsakomyb\u0119 sunkinan\u010dius ir \u0161velninan\u010dius veiksnius:<\/strong><\/p>\n\n\n\n<ul><li>Sunkinantis veiksnys. DB failo saugumas nebuvo u\u017etikrintas nuo pat jo suk\u016brimo, d\u0117l ko \u012fvyko ADSP, kurio metu buvo pa\u017eeistas didelio duomen\u0173 subjekt\u0173 skai\u010diaus asmens duomen\u0173 konfidencialumas (BDAR 83 straipsnio 2 dalies a punktas). Nors \u017ealos duomen\u0173 subjektams dydis nebuvo neai\u0161kus bylos nagrin\u0117jimo metu, ta\u010diau tai nerei\u0161kia, kad \u0161i \u017eala ateityje nekils, juolab, kad d\u0117l pa\u010dios bendrov\u0117s tinkamo duomen\u0173 saugumo neu\u017etikrinimo, n\u0117ra ai\u0161ku, kiek asmen\u0173 tur\u0117jo neteis\u0117t\u0105 prieig\u0105 prie DB failo ir kiek pla\u010diai \u0161ie duomenys jau yra pasklid\u0119, tik dar n\u0117ra panaudoti, taip pat n\u0117ra ai\u0161ku, kur ir kaip pla\u010diai jau yra panaudoti, tik dar ne\u017einomi tokie panaudojimo atvejai.<\/li><li>Sunkinantis veiksnys. D\u0117l netinkamo duomen\u0173 saugumo u\u017etikrinimo buvo pa\u017eeistas asmens unikalaus identifikatoriaus (asmens kodo), kuris n\u0117ra kei\u010diamas, kur\u012f draud\u017eiama skelbti vie\u0161ai (Asmens duomen\u0173 teisin\u0117s apsaugos \u012fstatymo 3 straipsnio 2 dalis) bei pagal kur\u012f daugelyje Lietuvos Respublikos registr\u0173 ir informacini\u0173 sistem\u0173 tarpusavyje siejama \u012fvairi informacija, konfidencialumas. Be to, aptariamame DB faile i\u0161saugota visuma asmens duomen\u0173 tiesiogiai ir nedviprasmi\u0161kai identifikuoja konkret\u0173 fizin\u012f asmen\u012f. Pa\u017eym\u0117tina, kad \u0161ie asmens duomenys buvo saugomi be jokios papildomos technin\u0117s apsaugos, nebuvo \u0161ifruoti (BDAR 83 straipsnio 2 dalies g punktas).<\/li><li>Bendrov\u0117 asmens duomen\u0173 migracijos procesui netaik\u0117 rizikos vertinimo, pasikliov\u0117 tik \u012fsitikinimu, kad taip, kaip jis yra atliekamas, yra saugu. Bendrov\u0117, kaip duomen\u0173 valdytojas, tur\u0117jo pareig\u0105 u\u017etikrinti asmens duomen\u0173 saugum\u0105 ne tik duomen\u0173 migracijos proceso metu, bet ir tolimesnio DB failo tvarkymo metu. Toks bendrov\u0117s elgesys vertintas kaip aplaidumas (BDAR 83 straipsnio 2 dalies b punktas). Aplinkyb\u0117, jog bendrov\u0117s veiksmuose nustatyta ne ty\u010dia, o aplaidumas, yra pagrindas atsakomyb\u0119 bendrovei \u0161velninti.<\/li><\/ul>\n\n\n\n<p><strong>Aplinkyb\u0117s, \u012f kurias atsi\u017evelgta, ta\u010diau jos nebuvo vertinamos nei kaip atsakomyb\u0119 \u0161velninantys, nei kaip sunkinantys veiksniai:<\/strong><\/p>\n\n\n\n<ul><li>Bendrov\u0117, \u012fvykus ADSP, \u0117m\u0117si priemoni\u0173 siekiant pa\u0161alinti ADSP ar suma\u017einti jo pasekmes ir \u012fvykus ADSP tinkamai vykd\u0117 BDAR 33 straipsnio 3 dalies reikalavimus (BDAR 83 straipsnio 2 dalies c punktas).<\/li><li>Bendrov\u0117 tiesiogiai, kaip duomen\u0173 valdytoja, atsakinga u\u017e netinkam\u0105 BDAR 32 straipsnio reikalavim\u0173 neu\u017etikrinim\u0105 nurodyto failo at\u017evilgiu (BDAR 83 straipsnio 2 dalies d punktas).<\/li><li>Bendrov\u0117s at\u017evilgiu iki nagrin\u0117jamo atvejo nebuvo taikytos jokios poveikio priemon\u0117s u\u017e BDAR 24 straipsnio ir (ar) 32 straipsnio nuostat\u0173 pa\u017eeidim\u0105 (BDAR 83 straipsnio 2 dalies e punktas).<\/li><li>Bendrov\u0117 atliekant tikrinim\u0105 bendradarbiavo su VDAI, ta\u010diau bendradarbiavimas n\u0117ra sietinas su siekiu atitaisyti pa\u017eeidim\u0105 ar suma\u017einti jo galimo neigiamo poveikio laipsn\u012f.<\/li><li>Nors VDAI bendrov\u0117s tyrim\u0105 prad\u0117jo savo iniciatyva gautos informacijos pagrindu, ta\u010diau visuomen\u0119 apie \u012fvykus\u012f ADSP, kurio kontekste buvo tikrintas bendrov\u0117s saugumas, informavo pati bendrov\u0117. Be to, bendrov\u0117, nepraleidusi BDAR 34 straipsnyje nustatyt\u0173 termin\u0173, apie \u012fvykus\u012f ADSP informavo VDAI (BDAR 83 straipsnio 2 dalies h punktas). Atsi\u017evelgiant \u012f tai, nelaikytina, kad bendrov\u0117 b\u016bt\u0173 siekusi nusl\u0117pti ADSP nuo VDAI.<\/li><\/ul>\n\n\n\n<p>VDAI byl\u0105 d\u0117l administracin\u0117s baudos skyrimo i\u0161nagrin\u0117jo \u017eodin\u0117s proced\u016bros tvarka u\u017edarame pos\u0117dyje, dalyvaujant VDAI ir UAB \u201ePrime leasing\u201c atstovams. Atsi\u017evelgiant \u012f tai, kad ADSP buvo susij\u0119s ir su kit\u0173 Europos S\u0105jungos valstybi\u0173 nari\u0173 pilie\u010di\u0173 asmens duomenimis, vadovaujantis BDAR priimtas sprendimas suderintas ir su t\u0173 valstybi\u0173 asmens duomen\u0173 apsaugos prie\u017ei\u016bros institucijomis. Susijusiomis prie\u017ei\u016bros institucijomis save laik\u0117 \u0161i\u0173 valstybi\u0173 prie\u017ei\u016bros institucijos: Airijos, Vokietijos, Austrijos, Italijos, Portugalijos, Estijos, Belgijos, Danijos, Olandijos, Ispanijos, Latvijos, \u0160vedijos, Liuksemburgo, Pranc\u016bzijos, Norvegijos, Suomijos, Slovakijos, Slov\u0117nijos.<\/p>\n\n\n\n<p><em>Valstybin\u0117s duomen\u0173 apsaugos inspekcijos informacija<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Asmens duomen\u0173 apsaugos prie\u017ei\u016bros institucija Valstybin\u0117 duomen\u0173 apsaugos inspekcija (VDAI) 2021 m. lapkri\u010dio 29 d. sprendimu skyr\u0117 110 t\u016bkst. eur\u0173 administracin\u0119 baud\u0105 trumpalaik\u0117s automobili\u0173 nuomos platform\u0105 \u201eCityBee\u201c valdan\u010diai UAB \u201ePrime Leasing\u201c. VDAI savo iniciatyva atliko tyrim\u0105 atsi\u017evelgdama \u012f 2021 m. vasario m\u0117n. vie\u0161oje erdv\u0117je pasirod\u017eiusi\u0105 informacij\u0105 d\u0117l galimai \u012fvykusio bendrov\u0117s klient\u0173 asmens duomen\u0173 saugumo pa\u017eeidimo &hellip;<\/p>\n","protected":false},"author":2,"featured_media":33688,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"episode_type":"","audio_file":"","duration":"","filesize":"","date_recorded":"","explicit":"","block":"","filesize_raw":""},"categories":[27],"tags":[413,541,465,2744],"_links":{"self":[{"href":"https:\/\/www.teise.pro\/index.php\/wp-json\/wp\/v2\/posts\/33687"}],"collection":[{"href":"https:\/\/www.teise.pro\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.teise.pro\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.teise.pro\/index.php\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.teise.pro\/index.php\/wp-json\/wp\/v2\/comments?post=33687"}],"version-history":[{"count":1,"href":"https:\/\/www.teise.pro\/index.php\/wp-json\/wp\/v2\/posts\/33687\/revisions"}],"predecessor-version":[{"id":33689,"href":"https:\/\/www.teise.pro\/index.php\/wp-json\/wp\/v2\/posts\/33687\/revisions\/33689"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.teise.pro\/index.php\/wp-json\/wp\/v2\/media\/33688"}],"wp:attachment":[{"href":"https:\/\/www.teise.pro\/index.php\/wp-json\/wp\/v2\/media?parent=33687"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.teise.pro\/index.php\/wp-json\/wp\/v2\/categories?post=33687"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.teise.pro\/index.php\/wp-json\/wp\/v2\/tags?post=33687"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}