„Whitebridge AI“ reputacijos ataskaitos sulaukė tyrimo dėl privatumo pažeidimų
Lietuvoje įsikūręs startuolis „Whitebridge AI“ sulaukė Valstybinės duomenų apsaugos inspekcijos tyrimo dėl galimų asmens duomenų tvarkymo pažeidimų. Įmonė siūlo paslaugą, leidžiančią įsigyti vadinamąsias „reputacijos ataskaitas“, kuriose pateikiami iš socialinių tinklų ir kitų interneto šaltinių surinkti duomenys apie žmones.
Ši veikla sukėlė susirūpinimą privatumo gynėjams, o tyrimą paskatino Austrijos duomenų apsaugos organizacijos NOYB skundai dėl galimo asmeninės informacijos pardavinėjimo be sutikimo[1].
Tyrimo metu nustatyta, kad įmonės sistema pateikia išsamias ataskaitas su duomenimis apie asmenų pomėgius, politines pažiūras ir net privačius įrašus.
NOYB teisininkai teigia, kad gyventojų prašymai suteikti prieigą prie jų duomenų liko be atsako, nors to reikalauja Bendrasis duomenų apsaugos reglamentas (BDAR). Dėl šių aplinkybių inspekcija pradėjo vertinti, ar įmonė teisėtai tvarko asmens duomenis ir ar neparduoda jautrios informacijos be aiškaus teisinio pagrindo.
Įmonė savo kaltę neigia: duomenys – viešai prieinami
„Whitebridge AI“ vadovybė tikina, kad visa naudojama informacija yra viešai prieinama ir surenkama tik iš atvirų šaltinių, tokių kaip socialiniai tinklai, naujienų portalai ar sankcijų duomenų bazės.
Įmonės teigimu, reputacijos ataskaitos ištrinamos per 30 dienų, todėl jokie duomenys nėra saugomi ilgiau nei būtina. Vis dėlto duomenų apsaugos ekspertai primena, kad viešai matomi įrašai socialiniuose tinkluose nėra automatiškai laikomi vieša informacija, o jų panaudojimui komerciniais tikslais būtinas žmogaus sutikimas.
Duomenų apsaugos specialistai pabrėžia, kad šis atvejis atskleidžia platesnę problemą – interneto vartotojų duomenys vis dažniau tampa preke.
Europos Parlamento narys Virginijus Sinkevičius atkreipia dėmesį, jog daugelis žmonių, sutikdami su ilgomis privatumo sąlygomis, patys nesąmoningai leidžia rinkti savo informaciją. Ekspertų teigimu, „Whitebridge AI“ istorija rodo, kad privatumo apsauga internete vis dar išlieka pilkojoje zonoje, kurioje teisės aktai nespėja su sparčiai besikeičiančiomis technologijomis.
Duomenys gali „nutekėti“ ir iš valstybinių institucijų
Tuo tarpu pernai metais Užimtumo tarnyboje įvyko asmens duomenų nutekėjimas – elektroniniu laišku per klaidą buvo atskleista apie 29 tūkst. klientų informacijos. Nutekėjo vardai, pavardės, asmens kodai, adresai, kontaktinė informacija, išsilavinimas, įgūdžiai, buvusios darbovietės ir darbo užmokestis[2].
Klaida įvyko 2024 m. liepos 25 dieną, kai Vilniaus klientų aptarnavimo specialistė, siųsdama kvietimus į mokymus, netyčia prisegė failą su kitų klientų duomenimis. Laišką gavo 280 žmonių, o apie incidentą UT klientams pranešė tik liepos 30-ąją.
Paaiškinta, kad klaida įvyko dėl žmogiškojo faktoriaus, o nesuveikė ir įdiegtos techninės priemonės, skirtos neleistinai išsiųsti konfidencialiai informacijai sustabdyti. Visos paveiktos šalys buvo identifikuotos ir informuotos, o apie įvykį pranešta Valstybinei duomenų apsaugos inspekcijai. Nukentėjusiems klientams esą buvo išsiųsti laiškai su nurodymais, kaip apsaugoti savo asmens duomenis.
Tais pačiais 2024-aisiais programišių atakos metu nutekinti maždaug 20 tūkst. „Ignitis ON“ klientų duomenų, tarp kurių yra vardai, pavardės, elektroninio pašto adresai, elektromobiliams įkrauti naudojami žetonų duomenys, o kai kurių klientų – elektromobilių valstybiniai numeriai[3].
Bendrovė tikino, kad mokėjimų duomenys ir asmens kodai nepaviešinti, o nutekinti tik elektromobilių stotelių įkrovimo tinklo klientų duomenys.
