Kaip minėjome neseniai paskelbtoje naujienoje, subrangovas daugeliui duomenų valdytojų yra ir pagrindinis bei esminis veikėjas, ir silpnoji duomenų saugumo grandinės grandis.

Naujausia teismų praktika, taip pat duomenų apsaugos institucijų sprendimai, dar kartą patvirtina, kad duomenų valdytojas išlieka priešakinėse linijose, jei jo subrangovo įmonėje įvyksta duomenų saugumo pažeidimas.

Tačiau tai nekeičia paties subrangovo atsakomybės kibernetinės atakos atveju. Jų itin svarbi pozicija duomenų sistemų centre pateisina ypač aukštus organizuotumo ir reagavimo standartus.

Gegužės pabaigoje savo svetainėje paskelbtame scenarijuje CNIL, remdamasi tikrais įvykiais, pateikia praktinį atvejį ir apibūdindama skirtingus etapus bei priemones, kurių turėtų imtis su kibernetine ataka susidūręs subrangovas.

Komisija pabrėžia dviejų pagrindinių įmonės darbuotojų – vyriausiojo informacijos saugumo pareigūno (CISO) ir duomenų apsaugos pareigūno (DAP) – vaidmenį ir jų esminį reagavimą į pranešimus apie neįprastą veiklą.

Taip pat pabrėžiamas esminis stebėjimo įrankių vaidmuo aptinkant tokią veiklą (nestabilumą, delsą, duomenų praradimą, klaidas ir kt.).

Subrangovo sudaryta krizių valdymo komanda turi nustatyti, kokių veiksmų bus imtasi viduje ir kas juos atliks. Svarbiausia, kad ji turi organizuoti dvejopą atsaką: valdyti ataką prieš paties subrangovo duomenis ir tuo pačiu metu spręsti klientų duomenų pažeidimo problemą.

Subrangovas turi 72 valandas įvertinti situacijos ir duomenų saugumo pažeidimų rimtumą bei imtis kelių veiksmų:

• Pranešti CNIL (Prancūzijos duomenų apsaugos institucijai) apie duomenų saugumo pažeidimą, susijusį su jų pačių duomenimis, ir, gavęs klientų sutikimą, apie jų vardu atliekamą tvarkymą. Arba duomenų tvarkytojas taip pat gali padėti ir konsultuoti savo klientus šios pranešimo procedūros metu.
• Kuo greičiau informuokite klientus apie pažeidimo mastą ir jo pasekmes ir realiuoju laiku papildykite šią informaciją, atsižvelgdami į situacijos raidą.
• Informuokite atitinkamus asmenis apie jų duomenų pažeidimą, atsižvelgdami į jų teisių ir laisvių pažeidimo riziką.

Kadangi kompiuterinės sistemos dabar yra labai reguliarių atakų objektas, CNIL primygtinai reikalauja iš anksto pasiruošti tokio tipo situacijoms, apsaugant duomenis (šifravimas, dviejų veiksnių autentifikavimas ir kt.) ir užtikrinant tinkamą valdymo procedūrą.

Verta prisiminti, kad Prancūzija yra viena iš labiausiai saugumo pažeidimų paveiktų šalių pasaulyje – gegužės viduryje apie penkiasdešimt senatorių pareikalavo sudaryti parlamentinę tyrimo komisiją šiuo klausimu. 

Be to, nors CNIL kurį laiką buvo supratinga, dabar ji griežtai baudžiama įmones, kurios laiku nesiėmė priemonių, kurios būtų leidusios joms blokuoti ar sušvelninti atakas.

Prancūzijoje

CNIL savo 2025 m. veiklos ataskaitą paskelbė gegužės viduryje.

Ataskaitoje apibendrinami metai, kuriems būdingas staigus skundų skaičiaus padidėjimas ir rekordinis duomenų pažeidimų skaičiuspusė jų susiję su kompiuterių įsilaužimu.

Įstaiga atliko 323 patikrinimus ir išdavė 83 sankcijos už precedento neturinčią beveik 487 milijonų eurų sumą.

Kibernetinis saugumas dabar yra svarbus prioritetas: 2026 m. pusė CNIL patikrinimų bus skirti duomenų saugumui.

Tuo pačiu metu CNIL tęsia savo misiją remti įmones ir stiprina visuomenės, ypač jaunimo, informuotumo didinimo kampanijas.

Ataskaitoje taip pat pabrėžiama, dirbtinio intelekto iškilimas.

CNIL ruošiasi įgyvendinti Europos dirbtinio intelekto reglamentą ir kuria priemones jo naudojimui reguliuoti.

Tačiau 2026 m. institucija, nepaisant naujų įgūdžių šioje srityje, negavo jokių naujų pareigybių.

Gegužės 26 d. CNIL skyrė „Iqvia Operations France“ 5 mln. eurų baudą už tai, kad ši nesilaikė apsaugos priemonių, skirtų apriboti riziką asmenims valdant sveikatos duomenų saugyklas.

Gegužės 11 d. CNIL paskelbė veiksmų planą, susijusį su išmaniaisiais akiniais.

Institucija pabrėžia, kad šie įrenginiai, dažnai siejami su dirbtiniu intelektu, gali lemti beveik nuolatinį stebėjimą viešose ir privačiose erdvėse.

Apklausa rodo, kad 67 % prancūzų tai laiko grėsme jų privatumui.

CNIL (Prancūzijos duomenų apsaugos tarnyba) pakartoja, kad jų naudojimui ir toliau taikomas BDAR, atvaizdų teisės ir reikalavimas gauti filmuojamų ar įrašinėjamų asmenų sutikimą. Ji skelbia Europos veiksmų planą ir rekomenduoja keletą geriausios praktikos pavyzdžių, kaip apriboti įkyrų naudojimą.

Šis pranešimas pasirodė tuo metu, kai „Meta“ kuria veido atpažinimo funkciją savo išmaniesiems akiniams, o gegužės 19 d. „Samsung“ ir „Google“ pristatė savo pirmuosius akinius su „Android XR“, prijungtus prie išmaniojo telefono ir integruotus su „Gemini“, kurie leidžia bendrauti balsu ir nuolat fiksuoti kontekstą.

Galiausiai, gegužės pabaigoje, CNIL paskelbė gaires, skirtas padėti debesijos subjektams nustatyti savo pareigas, pateikiant konkrečius pavyzdžius.

NVO Grynojo kvadratūra Gegužės 21 d. paskelbė išsamią siūlomo įstatymo, kuriuo siekiama uždrausti nepilnamečiams iki 15 metų naudotis socialiniais tinklais, analizę, dėl kurios balsavimas Parlamente netrukus vyks.

Asociacija atkreipia dėmesį, kad, prisidengiant nepilnamečių apsauga, tekstas įpareigotų visus naudotojus patvirtinti tapatybę, taip apibendrinant sistemą, kuri anksčiau buvo taikoma tik suaugusiųjų svetainėms.

Ši prievolė prieštarautų BDAR duomenų kiekio mažinimo principui ir Europos Sąjungos Teisingumo Teismo (ESTT) pripažintai teisei į anoniminę naršymą.

Gegužės 27 d., pristatant Vaikų apsaugos įstatymo projektą, nacionalinio švietimo ministras Édouard Geffray nurodė, kad darbuotojai, kurie mokykloje netinkamai elgėsi su nepilnamečiais, dabar bus įtraukti į „juodąjį sąrašą“, net ir nesant teistumo.

Procesinių apsaugos priemonių ir atitinkamų asmenų duomenų apsaugos klausimas lieka atviras.

Trečiosios šalies mokėjimo paslaugų teikėjas Almerys vėl susiduria su saugumo pažeidimu.

Gegužės 24 d. Alano sveikatos draudimo bendrovė įspėjo savo narius apie duomenų pažeidimą, įvykusį jos subrangovo įmonėje.

Potencialiai paviešinti duomenys apima šeimyninę padėtį, socialinio draudimo numerį, sutarties numerį ir draudimo datas. Manoma, kad nukentėjo keli šimtai sveikatos draudimo bendrovių ir milijonai socialinio draudimo numerių.

Šis incidentas primena, kad net ir subrangos atveju duomenų valdytojas išlaiko savo BDAR įsipareigojimus dėl saugumo ir pranešimų.

Gegužės 24 d. paskelbtame straipsnyje „01net“ atskleidžia tyrimo rezultatus. darbo vietos stebėjimo programinė įranga.

Tyrėjai perėmė tinklo srautą iš devynių stebėjimo platformų, kurios visos perduoda darbuotojų asmens duomenis trečiosioms šalims.

Perduodami duomenys apima darbuotojų vardus, pavardes, el. pašto adresus ir veiklos duomenis.

Iš viso šią informaciją gauna daugiau nei 145 trečiųjų šalių domenai, įskaitant „Google“, „Meta“, „Microsoft“, „LinkedIn“, „Yandex“ ir „AppLovin“.

Trečdalis išbandytų įrankių taip pat perduoda tikslią darbuotojo geografinę vietą.

Europoje

Europos institucijos ir įstaigos

Europos Komisija paskelbė gairių projektą, kuriame paaiškinama, didelės rizikos dirbtinio intelekto sistemų klasifikacija, taip pat konkrečių pavyzdžių sąrašą, skirtą padėti tiekėjams ir operatoriams nustatyti, ar jų dirbtinio intelekto sistema kelia didelę riziką.

Visi suinteresuoti asmenys ar organizacijos, įskaitant tiekėjus ir vystytojus, įmones ir valdžios institucijas, taip pat akademinę bendruomenę, mokslinių tyrimų institutus ir piliečius, kviečiami pateikti savo komentarus iki 2026 m. birželio 23 d.

Gegužės pradžioje „Google“ gavo Europos Komisijos pratęsimą, kad išspręstų problemas, susijusias su jos atitiktimi Skaitmeninių rinkų reglamentui (DMA).

Pareiškime Europos valdžios institucijoms bendrovė teigė, kad Komisijos pasiūlymas priversti ją, kaip „vartininkę“, dalytis tam tikrais paieškos duomenimis su konkurentais, tokiais kaip „OpenAI“ ar alternatyvios paieškos sistemos, kelia didelę vartotojų pakartotinio identifikavimo riziką.

Ši „Google“ pozicija gali atrodyti neįprasta, tačiau pastaruoju metu dėl jos vyksta intensyvios diskusijos.

Balandžio 29 d. žurnale „Media Laws“ paskelbtame tyrime nustatomas ryšys tarp šio DMA 6(11) straipsnio dėl dalijimosi duomenimis klausimo ir diskusijų dėl skaitmeninio omnibuso dėl asmens duomenų apibrėžimo apimties: „Paieškos duomenys, privatumas ir euristikos ribos: kritinis EK preliminarių išvadų prieš abėcėlę skaitymas“.

Nors siūlomas reglamentas dėl skaitmeninis euras Europos Parlamentui šiuo metu balsuojant dėl euro, o Eurosistemai ruošiantis jo išleidimui iki 2029 m., CNIL ir Vokietijos federalinė duomenų apsaugos tarnyba gegužės 13 d. paskelbė bendrą ataskaitą apie būsimojo skaitmeninio euro duomenų apsaugos iššūkius.

Abi institucijos primena savo bendrą darbą: aukšto konfidencialumo laipsnio poreikį atliekant mažos vertės mokėjimus, „neprisijungus“ režimą be ECB ir mokėjimo paslaugų teikėjų sekimo ir griežtą įgaliotų tikslų kontrolę (kovą su pinigų plovimu, sukčiavimo prevencija).

2026 m. gegužės 21 d. Europos vartotojų organizacija BEUC kartu su 29 savo nariais iš 27 šalių pateikė skundus Europos Komisijai ir atitinkamoms nacionalinėms institucijoms prieš „Meta“, „TikTok“ ir „Google“, teigdami, kad šios bendrovės nesiėmė būtinų priemonių kovai su... apgaulingų reklamų plitimas finansų sektoriuje savo platformose, kaip reikalaujama pagal Europos skaitmeninių paslaugų reglamentą (DSR).

BEUC tyrimas dokumentuoja didžiulį nesąžiningų reklamų (greitų kreditų, netikrų investicijų, garantuotos grąžos) paplitimą, iš kurių 53 % ataskaitas platformos tariamai ignoravo arba atmetė.

Naujienos iš Europos Sąjungos šalių narių.

2026 m. konsultacijų bendrovės CMS „BDAR vykdymo stebėjimo“ ataskaita rodo, kad BDAR taikymas Europoje pasiekė brandos etapą – daugiau nei Nuo 2018 m. užregistruota 3000 sankcijų, o bendra suma viršija 6 milijardus eurų.

Nacionalinės valdžios institucijos dabar taikosi ne tik į skaitmeninius gigantus, bet ir į kasdienes veiklos problemas: skaidrumą, kibernetinį saugumą, slapukus, darbuotojų stebėseną ir subrangovų valdymą.

Dažniausi pažeidimai išlieka aiškaus teisinio pagrindo nebuvimas, bendrųjų BDAR principų nesilaikymas ir saugumo pažeidimai.

Ypač atidžiai stebimi skaitmeninių platformų, internetinės reklamos ir dirbtiniu intelektu paremtų paslaugų sektoriai.

Ataskaitoje taip pat pabrėžiama, kad vartotojų skundai ir duomenų nutekėjimas tapo pagrindiniais tyrimų veiksniais.

Galiausiai, nepaisant didėjančio Europos masto koordinavimo, sankcijų taikymo praktika šalyse vis dar labai skiriasi.

Belgijos duomenų apsaugos tarnyba (APD) skyrė technologijų bendrovei 176 946,61 euro baudą už neteisėtą paslaugų teikėjo el. pašto paskyros aktyvios palaikymą po to, kai šis paliko įmonę, ir už skaidrumo įsipareigojimų pažeidimą.

Institucija taip pat įpareigojo bendrovę patenkinti paslaugų teikėjo prašymą suteikti prieigą prie prieigos žurnalų, tada ištrinti asmens duomenis ir imtis priemonių, kad ateityje būtų užtikrintas teisės aktų laikymasis.

APD gegužės 16 d. dienraštyje „Le Soir“ taip pat paskelbė, kad dabar imsis teisinių veiksmų tam tikrais konkrečiais rimtų BDAR pažeidimų atvejais.

2025 m. institucija gavo 1 394 skundus – 67 % daugiau nei 2024 m.

Baudžiamasis kelias grindžiamas nacionalinėmis nuostatomis, priimtomis pagal BDAR 84 straipsnį, kuris įgalioja valstybes nares numatyti sankcijas, įskaitant baudžiamąsias sankcijas, už pažeidimus, kuriems netaikomos 83 straipsnyje numatytos administracinės baudos.

Aiškus tikslas – išvengti ilgų apeliacijų Rinkos teisme, kuris „kartais sumažina dideles baudas iki 1 euro“, ir ES Teisingumo Teisme, kuriais naudojasi didelės skaitmeninės platformos.

Nyderlandų duomenų apsaugos institucija (DPA) nustatė MLU BV skirta 100 milijonų eurų bauda už asmens duomenų perdavimą Rusijai.

MLU yra Nyderlanduose įsikūrusi bendrovė, kurianti europinę „Yango“ taksi programėlės versiją.

Norvegijoje ir Suomijoje vartotojai naudoja „Yango“ taksi kelionėms su susijusiais vairuotojais užsisakyti. Tada „Yango“ perduoda vairuotojų ir klientų asmens duomenis Rusijoje esančioms įmonėms, negarantuojant tinkamos šių duomenų apsaugos.

Pranešama, kad „Microsoft“ pateikė JAV Atstovų Rūmams Nyderlandų pareigūnų, dirbančių Nyderlandų vartotojų ir rinkų tarnyboje bei Nyderlandų duomenų apsaugos tarnyboje, vardus ir pavardes.Šie agentai dalyvautų įgyvendinant DSA.

Remiantis „NL Times“ paskelbta informacija, „Microsoft“ tariamai dalijosi el. laiškais, ataskaitomis ir kvietimais nenuasmenindama susijusių pareigūnų vardų, kaip reikalaujama pagal JAV debesijos įstatymą.

Nyderlandų vidaus reikalų valstybės sekretorius pareiškė esąs susirūpinęs dėl susidariusios situacijos, tačiau užsiminė, kad nori išsiaiškinti tikslias perdavimo aplinkybes.

Ispanijos duomenų apsaugos agentūra (APD) nusprendė, kad Švietimo ir sporto ministerijos teikiamos debesijos pagrindu veikiančios švietimo paslaugos valstybinėms mokykloms, naudojant „Microsoft“ kaip subrangovą, pažeidžia BDAR nuostatas.

Tarptautiniu mastu

Jungtinėje Karalystėje parlamentarai susirūpinę dėl Nacionalinės sveikatos tarnybos (NHS) sprendimo suteikti „Palantir“ prieigą prie identifikuojamų pacientų duomenų. kaip savo projekto, kuriuo siekiama panaudoti dirbtinį intelektą „sveikatos sistemai gerinti“, dalis.

Bendrovė gautų prieigą prie pacientų duomenų prieš jiems suteikiant pseudoniminę anonim ...

Parlamento komitetas birželio pradžioje paprašė vyriausybės nutraukti sutartį su bendrove.

Šiuos nuogąstavimus atkartoja pilietinė visuomenė ir NHS analitikai, kurie paskelbė atvirą laišką, kuriame pabrėžiama projekto rizika.

Be duomenų apsaugos problemų, „Palantir“ dirbtinio intelekto sistema kaltinama esanti dešimt kartų lėtesnė nei esama sistema.

Kanadoje Ontarijo informacijos ir privatumo komisaro biuras skelbia Naujos dirbtiniu intelektu pagrįstų transkripcijos asistentų gairės, skirtos padėti apsaugoti pacientų privatumą.

„Naujosios VKI gairės atitinka atsakingo dirbtinio intelekto naudojimo principus, kuriuos neseniai paskelbė ir kartu parengė Ontarijo informacijos ir privatumo komisaras bei Ontarijo žmogaus teisių komisija.“

Šie principai pabrėžia, kad dirbtinio intelekto sistemos, tokios kaip dirbtinio intelekto raštininkai, turi būti galiojančios ir patikimos, saugios, gerbiančios privatumą, atitinkančios žmogaus teises, skaidrios ir atskaitingos.

Jungtinių Valstijų Atstovų Rūmų respublikonai pateikė „SECURE Data Act“ ir „GUARD Financial Data Act“ įstatymų projektus. siekiant sukurti federalinę duomenų apsaugos sistemą.

Šiais įstatymų projektais siekiama suderinti taikomas taisykles, pakeičiant tam tikrus valstijų įstatymus, apriboti duomenų rinkimą ir sustiprinti vartotojų teises susipažinti su duomenimis.

2026 m. gegužės 8 d. Kalifornijos generalinis prokuroras paskelbė apie rekordinį 12,75 mln. JAV dolerių susitarimą su „General Motors“ (GM), kuriuo siekiama nutraukti įtarimus, kad GM neteisėtai pardavė Kalifornijos piliečių buvimo vietos ir vairavimo elgsenos duomenis be tinkamo pranešimo ar sutikimo, pažeisdama, be kita ko, Kalifornijos vartotojų privatumo įstatymo (CCPA) duomenų mažinimo ir tikslo ribojimo principus.

Gegužės 22 d. „Anthropic“ paskelbė apie savo „Glasswing“ projektą, teigdama, kad jos kibernetinio saugumo srityje sukurtas dirbtinio intelekto modelis „Mythos“ aptiko daugiau nei 10 000 pažeidžiamumų plačiai naudojamoje atvirojo kodo programinėje įrangoje ir projektuose.

Pasak bendrovės, dirbtinis intelektas žymiai pagerina pažeidžiamumų tyrimų greitį ir efektyvumą, o aptikimo rodiklis laikomas aukštu.

Tačiau ši galimybė sukuria naują iššūkį programinės įrangos ekosistemai: prižiūrėtojai ir saugumo komandos turi susidoroti su didėjančiu pranešimų kiekiu ir greičiau taisyti pažeidžiamumus.

Be techninių pasiekimų, tema pabrėžia kibernetinio saugumo evoliuciją siekiant didesnio pažeidžiamumų aptikimo automatizavimo, o greitas jų ištaisymas išlieka pagrindiniu rizikos mažinimo veiksniu.