Nagu me hiljutises uudises mainisime, on alltöövõtja paljude andmetöötlejate jaoks nii keskne ja oluline osaleja kui ka nõrk lüli andmeturbeahelas.

Hiljutine kohtupraktika ja andmekaitseasutuste otsused on korduvalt rõhutanud, et andmetöötleja on alltöövõtja juures toimuva andmetega seotud rikkumise korral esirinnas.

See ei muuda aga alltöövõtja enda vastutust küberrünnaku korral. Nende oluline positsioon andmesüsteemide keskmes õigustab eriti kõrgeid korraldus- ja reageerimisstandardeid.

Mai lõpus oma veebisaidil avaldatud stsenaariumis ammutab CNIL inspiratsiooni tegelikest sündmustest, et esitada praktiline juhtum ja kirjeldada erinevaid etappe ja meetmeid, mida küberrünnakuga silmitsi seisev alltöövõtja peaks võtma.

Komisjon rõhutab ettevõtte kahe võtmeisiku, infoturbejuhi (CISO) ja andmekaitseametniku (DPO) rolli ning nende olulist reageerimisvõimet ebatavalise tegevuse kohta käivate teadete korral.

Samuti rõhutab see jälgimisvahendite olulist rolli sellise tegevuse (ebastabiilsus, latentsus, andmete kadu, vead jne) tuvastamisel.

Alltöövõtja moodustatud kriisiohjemeeskond peab kindlaks määrama, milliseid sisemiselt meetmeid võetakse ja kelle poolt. Eelkõige peab meeskond korraldama kaheosalise reageerimise: alltöövõtja enda andmete vastu suunatud rünnaku haldamine ja samaaegselt kliendiandmete rikkumisega tegelemine.

Alltöövõtjal on 72 tundi aega olukorra ja andmelekke tõsiduse hindamiseks ning mitme sammu astumiseks:

• Teavitada CNIL-i (Prantsuse andmekaitseasutus) oma andmeid puudutavast rikkumisest ja klientide nõusolekul ka nende nimel teostatavast töötlemisest. Teise võimalusena saab andmetöötleja oma kliente selles teavitamismenetluses toetada ja nõustada.
• Teavitage kliente rikkumise ulatusest ja selle tagajärgedest nii kiiresti kui võimalik ning täiendage seda teavet reaalajas vastavalt olukorra arengule.
• Teavitage asjaomaseid isikuid nende andmete ohtu sattumisest, olenevalt nende õiguste ja vabaduste rikkumise riskidest.

Kuna arvutisüsteemid on nüüd väga regulaarselt rünnakute ohvriks langenud, rõhutab CNIL vajadust olla sellise olukorra tekkeks eelnevalt valmis, kaitstes andmeid (krüpteerimine, kahefaktoriline autentimine jne) ja pakkudes sobivat haldusprotseduuri.

Tasub meeles pidada, et Prantsusmaa on üks maailma riike, mida julgeolekurikkumised enim mõjutavad, sedavõrd, et umbes viiskümmend senaatorit taotlesid mai keskel sellel teemal parlamentaarse uurimiskomisjoni loomist. 

Lisaks, kuigi CNIL oli mõnda aega mõistev, karistab see nüüd karmilt ettevõtteid, kes ei ole õigeaegselt võtnud meetmeid, mis oleksid võimaldanud neil rünnakuid blokeerida või leevendada.

Prantsusmaal

CNIL avaldas oma 2025. aasta tegevusaruande mai keskel.

Aruanne võtab kokku aasta, mida iseloomustas kaebuste arvu järsk suurenemine ja rekordarv andmelekkeidmillest pooled on seotud arvutihäkkimisega.

Amet viis läbi 323 kontrolli ja väljastas 83 sanktsiooni enneolematu kogusumma eest, ligi 487 miljonit eurot.

Küberturvalisus on nüüd peamine prioriteet: 2026. aastal keskendub pool CNILi kontrollidest andmeturbele.

Paralleelselt jätkab CNIL oma ettevõtete toetamise missiooni ja tugevdab ka teadlikkuse tõstmise meetmeid üldsuse, eriti noorte seas.

Aruandes rõhutatakse ka seda, tehisintellekti tõus.

CNIL valmistub rakendama Euroopa tehisintellekti määrust ja töötab välja vahendeid selle kasutamise reguleerimiseks.

Vaatamata uutele oskustele selles valdkonnas ei ole ametkond 2026. aastaks siiski ühtegi uut ametikohta saanud.

26. mail trahvis CNIL Iqvia Operations France'i 5 miljoni euroga, eelkõige terviseandmete hoidlate haldamisel üksikisikutele tekkivate riskide piiramiseks mõeldud kaitsemeetmete mittetäitmise eest.

11. mail käivitas CNIL nutiprillidega seotud tegevuskava.

Ametiasutus rõhutab, et need seadmed, mida sageli seostatakse tehisintellektiga, võivad viia peaaegu pideva jälgimiseni nii avalikes kui ka privaatsetes ruumides.

Uuring näitab, et 67% prantslastest peab seda oma privaatsusele ohuks.

CNIL (Prantsuse andmekaitseamet) kordab, et nende kasutamine on endiselt allutatud isikuandmete kaitse üldmäärusele, pildiõigustele ja nõudele saada filmitud või salvestatud isikute nõusolek. Amet kuulutab välja Euroopa tegevuskava ja soovitab mitmeid parimaid tavasid pealetükkiva kasutamise piiramiseks.

See teade tuleb ajal, mil Meta arendab oma nutikate prillide jaoks näotuvastusfunktsiooni ning Samsung ja Google avalikustasid 19. mail oma esimesed Android XR-i prillid, mis on ühendatud nutitelefoniga ja integreeritud Geminiga, võimaldades häälsuhtlust ja püsivat konteksti jäädvustamist.

Lõpuks avaldas CNIL mai lõpus suunised, mis aitavad pilveteenuste osutajatel oma kohustusi konkreetsete näidete abil kindlaks teha.

Valitsusväline organisatsioon Neto kvadratuur avaldas 21. mail põhjaliku analüüsi kavandatava seaduseelnõu kohta, millega keelatakse alla 15-aastaste alaealiste juurdepääs sotsiaalvõrgustikele ning mille üle parlamendis peagi hääletatakse.

Ühing juhib tähelepanu sellele, et alaealiste kaitsmise ettekäändel kehtestaks tekst kõigile kasutajatele isikusamasuse kontrollimise, üldistades seega süsteemi, mis varem piirdus täiskasvanutele mõeldud saitidega.

See kohustus oleks vastuolus isikuandmete kaitse üldmääruse andmete minimeerimise põhimõttega ja Euroopa Liidu Kohtu (CJEU) tunnustatud anonüümse sirvimise õigusega.

27. mail lastekaitse seaduseelnõu esitlemise ajal andis haridusminister Édouard Geffray mõista, et koolis alaealiste suhtes sobimatult käitunud töötajad kantakse nüüd musta nimekirja isegi kriminaalkaristuse puudumisel.

Menetluslike tagatiste ja asjaomaste isikute andmete kaitse küsimus jääb lahtiseks.

Kolmanda osapoole makseteenuse pakkuja Almerys seisab taas silmitsi turvaintsidendiga.

24. mail teavitas Alani tervisekindlustusselts oma liikmeid alltöövõtja juures toimunud andmete rikkumisest.

Potentsiaalselt avalikustatud andmete hulka kuuluvad perekonnaseis, sotsiaalkindlustusnumber, lepingu number ja kindlustuskuupäevad. Arvatakse, et mõjutatud on mitu sada tervisekindlustusseltsi ja miljonid sotsiaalkindlustusnumbrid.

See intsident tuletab meelde, et isegi alltöövõtu korral säilivad andmetöötlejal GDPR-i kohustused turvalisuse ja teavitamise osas.

24. mail avaldatud artiklis avalikustab 01net uurimise tulemused, mis käsitlesid töökoha jälgimise tarkvara.

Teadlased pealtkuulasid võrguliiklust üheksalt jälgimisplatvormilt, mis kõik edastasid töötajate isikuandmeid kolmandatele isikutele.

Edastatavate andmete hulka kuuluvad töötajate nimed, e-posti aadressid ja tegevuste andmed.

Kokku saavad seda teavet enam kui 145 kolmanda osapoole domeeni, sealhulgas Google, Meta, Microsoft, LinkedIn, Yandex ja AppLovin.

Kolmandik testitud tööriistadest edastab ka töötaja täpse geograafilise asukoha.

Euroopas

Euroopa institutsioonid ja organid

Euroopa Komisjon on avaldanud suuniste kavandi, mis selgitab kõrge riskiga tehisintellekti süsteemide klassifikatsioon, samuti konkreetsete näidete loetelu, mille eesmärk on aidata tarnijatel ja operaatoritel kindlaks teha, kas nende tehisintellekti süsteem kujutab endast suurt riski või mitte.

Kõik huvitatud isikud ja organisatsioonid, sealhulgas tarnijad ja arendajad, ettevõtted ja avaliku sektori asutused, samuti akadeemilised ringkonnad, teadusasutused ja kodanikud, on kutsutud esitama oma kommentaare enne 23. juunit 2026.

Mai alguses sai Google Euroopa Komisjonilt pikendust digitaalsete turgude määruse (DMA) järgimisega seotud probleemide lahendamiseks.

Euroopa ametivõimudele saadetud avalduses väitis ettevõte, et komisjoni ettepanek sundida teda „väravavahina“ jagama teatud otsinguandmeid konkurentidega, näiteks OpenAI või alternatiivsete otsingumootoritega, kujutab endast märkimisväärset kasutajate taasidentifitseerimise ohtu.

Seda seisukohta võib Google'ilt ebatavaliseks pidada, kuid see on tänapäeval intensiivse arutelu teema.

29. aprillil ajakirjas Media Laws avaldatud uuring seob käesoleva DMA artikli 6(11) andmete jagamist käsitleva küsimuse digitaalse omnibusi aruteludega isikuandmete määratluse ulatuse üle: „Otsinguandmed, privaatsus ja heuristikate piirid: Euroopa Komisjoni esialgsete järelduste kriitiline lugemine Alphabeti vastu“.

Kuigi kavandatav määrus digitaalne euro Kuna Euroopa Parlament hääletab praegu euro üle ja eurosüsteem valmistub selle emiteerimiseks 2029. aastaks, avaldasid CNIL ja Saksamaa föderaalne andmekaitseamet 13. mail ühisaruande tulevase digitaalse euro andmekaitsealaste väljakutsete kohta.

Mõlemad ametiasutused tuletavad meelde oma ühist tööd: vajadust väikese väärtusega maksete kõrge konfidentsiaalsusastme järele, EKP ja makseteenuse pakkujate poolse jälgimiseta „võrguühenduseta” režiimi ning lubatud eesmärkide range kontrolli järele (rahapesuvastane võitlus, pettuste ennetamine).

21. mail 2026 esitas Euroopa Tarbijate Ühendus (BEUC) koos 29 liikmega 27 riigist Euroopa Komisjonile ja asjaomastele riiklikele ametiasutustele kaebused Meta, TikToki ja Google'i vastu, väites, et need ettevõtted ei ole võtnud vajalikke meetmeid võitluseks. petturlike reklaamide levik finantssektoris oma platvormidel, nagu nõuab Euroopa digitaalteenuste määrus (DSA).

BEUCi uurimine dokumenteerib petturlike reklaamide (kiirlaenud, võltsinvesteeringud, garanteeritud tootlus) massiivset püsimist, millest platvormid väidetavalt ignoreerisid või lükkasid tagasi 53 % aruannet.

Uudised Euroopa Liidu liikmesriikidest.

Konsultatsioonifirma CMS 2026. aasta aruanne „GDPR Enforcement Tracker” näitab, et GDPR-i kohaldamine on Euroopas jõudnud küpsusfaasi, kusjuures rohkem kui Alates 2018. aastast on registreeritud 3000 sanktsiooni ja nende kogusumma ületab 6 miljardit eurot.

Riiklikud ametivõimud ei ole nüüd suunatud mitte ainult digihiiglastele, vaid ka igapäevastele tegevusalastele küsimustele: läbipaistvus, küberturvalisus, küpsised, töötajate jälgimine ja alltöövõtjate haldamine.

Kõige sagedasemad rikkumised on endiselt selge õigusliku aluse puudumine, isikuandmete kaitse üldmääruse üldpõhimõtete eiramine ja turvarikkumised.

Erilise tähelepanu all on digiplatvormide, veebireklaami ja tehisintellektil põhinevate teenuste sektorid.

Aruandes rõhutatakse ka seda, et kasutajate kaebused ja andmetega seotud rikkumised on muutunud uurimiste peamiseks ajendiks.

Lõpuks, hoolimata Euroopa tasandi koordineerimise suurenemisest, on sanktsioonide kohaldamise tavad riigiti endiselt väga erinevad.

Belgia andmekaitseamet (APD) määras tehnoloogiaettevõttele kokku 176 946,61 euro suuruse trahvi teenusepakkuja e-posti konto ebaseadusliku aktiivsena hoidmise eest pärast ettevõttest lahkumist ja läbipaistvuskohustuste rikkumise eest.

Samuti käskis amet ettevõttel täita teenusepakkuja juurdepääsutaotlust juurdepääsulogide esitamiseks, seejärel kustutada isikuandmed ja võtta meetmeid, et tagada tulevikus eeskirjade järgimine.

APD teatas 16. mail päevalehes Le Soir ka, et võtab nüüd teatud konkreetsetel GDPR-i tõsiste rikkumiste juhtudel õiguslikke meetmeid.

Amet sai 2025. aastal 1394 kaebust, mis on 67 kaebuse (%) võrra rohkem kui 2024. aastal.

Kriminaalmenetluse puhul lähtutakse isikuandmete kaitse üldmääruse artikli 84 kohaselt vastu võetud siseriiklikest sätetest, mis lubavad liikmesriikidel ette näha karistusi, sealhulgas kriminaalkaristusi, rikkumiste eest, mis ei ole hõlmatud artiklis 83 sätestatud haldustrahvidega.

Otsene eesmärk on vältida pikki apellatsioonkaebusi turukohtusse, mis "mõnikord vähendab karme trahve ühe euroni", ja Euroopa Kohtusse, mida kasutavad suured digiplatvormid.

Hollandi andmekaitseamet kehtestas MLU BV-le määrati 100 miljoni euro suurune trahv isikuandmete edastamise eest Venemaale.

MLU on Hollandis asuv ettevõte, mis loob Yango taksorakenduse Euroopa versiooni.

Norras ja Soomes kasutavad kasutajad Yangot taksosõitude broneerimiseks koos seotud juhtidega. Seejärel edastab Yango juhtide ja klientide isikuandmeid Venemaal asuvatele ettevõtetele, garanteerimata nende andmete piisavat kaitset.

Väidetavalt edastas Microsoft USA Esindajatekojale Hollandi Tarbija- ja Turuameti ning Hollandi Andmekaitseameti heaks töötavate Hollandi ametnike nimed.Need agendid osaleksid DSA rakendamises.

NL Timesi avaldatud teabe kohaselt jagas Microsoft väidetavalt e-kirju, aruandeid ja kutseid ilma asjaomaste ametnike nimesid anonüümseks muutmata, nagu nõuab USA pilveseadus.

Hollandi siseminister ütles, et on olukorra pärast mures, andes samas mõista, et soovib edastamise täpseid asjaolusid selgitada.

Hispaania andmekaitseamet (APD) leidis, et haridus- ja spordiministeeriumi poolt avalikele koolidele pilvepõhiste haridusteenuste osutamine, kasutades Microsofti alltöövõtjana, rikkus isikuandmete kaitse üldmääruse (GDPR) sätteid.

Rahvusvaheliselt

Ühendkuningriigis on parlamendiliikmed mures riikliku tervishoiuteenistuse (NHS) otsuse pärast anda Palantirile juurdepääs tuvastatavatele patsientide andmetele. osana oma projektist kasutada tehisintellekti "tervishoiusüsteemi parandamiseks".

Ettevõte saaks juurdepääsu patsientide andmetele enne nende pseudonüümiseerimist, hoolimata murest "avaliku usalduse kaotamise ohu" pärast.

Parlamendikomisjon palus valitsusel juuni alguses ettevõttega leping lõpetada.

Neid muresid jagavad nii kodanikuühiskond kui ka NHS-i analüütikud, kes on avaldanud avaliku kirja, milles toovad esile projekti riske.

Lisaks andmekaitseprobleemidele süüdistatakse Palantiri tehisintellekti süsteemi kümme korda aeglasemas töös kui olemasolevat süsteemi.

Kanadas avaldab Ontario teabe- ja privaatsusvoliniku büroo Uued juhised tehisintellektil põhinevate transkriptsiooniassistentide kohta patsientide privaatsuse kaitsmiseks.

„Uued tarbijakaitseinspektsiooni suunised on kooskõlas tehisintellekti vastutustundliku kasutamise põhimõtetega, mille avaldasid hiljuti ja töötasid ühiselt välja Ontario teabe- ja privaatsusvolinik ning Ontario inimõiguste komisjon.“

Need põhimõtted rõhutavad, et tehisintellekti süsteemid, näiteks tehisintellekti kirjutajad, peavad olema kehtivad ja usaldusväärsed, turvalised, privaatsust austavad, inimõigusi järgivad, läbipaistvad ja vastutustundlikud.

Ameerika Ühendriikide Esindajatekoja vabariiklasest liikmed on esitanud seaduseelnõud "SECURE Data Act" ja "GUARD Financial Data Act". eesmärk on luua föderaalne andmekaitseraamistik.

Nende seaduseelnõude eesmärk on ühtlustada kohaldatavaid eeskirju teatud osariikide seaduste asendamise kaudu, piirata andmete kogumist ja tugevdada tarbijate juurdepääsuõigusi.

8. mail 2026 teatas California peaprokurör rekordilisest 12,75 miljoni dollari suurusest kokkuleppest General Motorsiga (GM), et lõpetada süüdistused, et GM müüs ebaseaduslikult California kodanike asukoha- ja sõidukäitumise andmeid ilma nõuetekohase teavitamise või nõusolekuta, rikkudes muu hulgas California tarbijate privaatsusseaduse (CCPA) andmete minimeerimise ja eesmärgi piiramise põhimõtteid.

Anthropic teatas 22. mail oma Glasswingi projektist, öeldes, et nende küberturvalisusele spetsialiseerunud tehisintellekti mudel Mythos on tuvastanud enam kui 10 000 haavatavust laialdaselt kasutatavas avatud lähtekoodiga tarkvaras ja projektides.

Ettevõtte sõnul parandab tehisintellekt märkimisväärselt haavatavuste uurimise kiirust ja tõhusust ning avastamise määr on kõrge.

See võimekus loob aga tarkvara ökosüsteemile uue väljakutse: hooldajad ja turvameeskonnad peavad tegelema üha suureneva hulga teadetega ja haavatavusi kiiremini parandama.

Lisaks tehnilisele saavutusele toob see teema esile küberturvalisuse arengut haavatavuste tuvastamise automatiseerimise suunas, kusjuures nende kiire parandamine on endiselt peamine riski vähendamise tegur.