„Legal Watch“ Nr. 92 – 2026 m. vasaris. 

 

Subrangovas, tarp silpnosios grandies ir strateginio žaidėjo.

Vasario 9 d. CNIL pristatė savo 2025 m. ataskaitą apie sankcijas ir taisomąsias priemones: slapukai, darbuotojų stebėsena ir duomenų saugumas yra pagrindinės 2025 m. skirtų sankcijų temos, o bendra baudų suma siekia 486 839 500 eurų.

Tarp sankcijų nemaža dalis atvejų yra susiję su subrangovais, kurie nesilaiko įsipareigojimų, susijusių su jiems patikėtais duomenimis.

CNIL primena, kad subrangovas privalo:

• Tvarkyti duomenis tik duomenų valdytojo nurodymu;
• Įgyvendinti tinkamas technines ir organizacines priemones, kad būtų užtikrintas pakankamas saugumo lygis;
• Ir ištrinti duomenis pasibaigus sutartiniams santykiams su duomenų valdytoju.

Subrangovas taip pat turi padėti duomenų valdytojui įgyvendinti tam tikrus reglamento įsipareigojimus: poveikio privatumui vertinimas, pranešimas apie duomenų saugumo pažeidimus, saugumas, indėlis į auditus.

Ji taip pat privalo tvarkyti duomenų tvarkymo veiklos įrašus ir tam tikrais atvejais paskirti duomenų apsaugos pareigūną.

BDAR 28 straipsnyje, kuriame kalbama apie konkrečios sutarties tarp duomenų valdytojo ir tvarkytojo sudarymą, nurodomos privalomos nuostatos, kurios turi būti įtrauktos į sutartį.

Tai gali būti visiškai arba iš dalies pagrįsta standartinėmis sutarčių sąlygomis, pavyzdžiui, patvirtintomis Europos Komisijos arba vienos iš ES valstybių narių.

Šiose sąlygose patartina aiškiai apibrėžti atitinkamą rangovo ir subrangovo atsakomybę. Ši informacija gali būti naudinga vienos iš šalių įsipareigojimų nevykdymo atveju.

Verta prisiminti, kad daugelį pastaruoju metu įvykusių duomenų saugumo pažeidimų, paveikusių tiek viešąjį, tiek privatų sektorius, sukėlė subrangovo saugumo pažeidimai.

Dažnai priežastis yra žmogiškoji klaida, o tiksliau – darbuotojo įgaliojimų vagystė.

Dviejų veiksnių autentifikavimas ir sudėtingų slaptažodžių naudojimas išlieka esminiais būdais apsisaugoti nuo tokių atakų, kaip jau minėjome komentare apie neseniai CNIL paskelbtą „Prancūzijos darbo“ sankciją.

Subrangovai iš tiesų turi konkrečius įsipareigojimus dėl saugumo, konfidencialumo ir dokumentacijos.

Siekdamos užtikrinti veiksmingą duomenų apsaugą, pritaikytą prie rizikos, jos turi įdiegti visas naudingas priemones nuo paslaugos ar produkto kūrimo iki standartizuotųjų nuostatų („projektuojamoji ir standartinė privatumo apsauga“).

Be to, apie bet kokį duomenų saugumo pažeidimą duomenų valdytojas turi būti informuotas per įstatymų nustatytus terminus.

Galiausiai, duomenų ištrynimas pasibaigus sutarčiai yra ne tik prievolė, bet ir geriausias būdas apsisaugoti nuo duomenų saugumo pažeidimų pasibaigus sutartiniams santykiams, ką primena gruodžio pabaigoje CNIL skirta milijono eurų bauda bendrovei „Mobius Solutions“.

Bendrovė, pasibaigus sutartiniams santykiams, išsaugojo daugiau nei 46 milijonų „Deezer“ naudotojų duomenų kopijas, nepaisant įsipareigojimo ištrinti visus šiuos duomenis pasibaigus sutarčiai, todėl galėjo įvykti didelis duomenų saugumo pažeidimas.

 

CNIL paskelbė atnaujintą duomenų apsaugos lentelių versiją kovo 2 d. 

Šiose lentelėse surinkta ir susisteminta esminė teismų praktika ir sprendimų priėmimo praktika, susijusi su asmens duomenų apsauga nacionaliniu ir Europos lygmenimis.

Vasario pabaigoje „France 2“ ataskaitoje buvo įspėjama apie medicininių duomenų nutekėjimą, o konkrečiau – apie „Cegedim“ įsilaužimą į „MonLogicielMedical“ programinę įrangą.

Ši ataka leido įsilaužėliui surinkti 11–15 milijonų prancūzų medicininius duomenis, prieinamus tamsiajame internete.

CNIL jau buvo skyrusi bendrovei 800 000 eurų baudą 2024 m. rugsėjį už sveikatos duomenų tvarkymą be leidimo.

2026 m. vasario 18 d. Viešųjų finansų generalinis direktoratas (DGFiP) pranešime spaudai pranešė, kad buvo aptikta neteisėta prieiga prie nacionalinės banko sąskaitų bylos (FICOBA), pasikliaujus įgalioto atstovo identifikatoriais.

Hakeris gavo paskyros prisijungimo duomenis prieš kibernetinę ataką: Ūkio ministerija nebuvo įdiegusi dviejų veiksnių autentifikavimo.

Aptariami duomenys susiję su maždaug 1,2 mln. sąskaitų ir apima, visų pirma, sąskaitų turėtojų tapatybę, jų adresą, banką ir IBAN.

„01net“ praneša apie bendrovės „Surfshark“ atliktą duomenų nutekėjimo Prancūzijoje vertinimą.

„Iki 2025 m. visame pasaulyje bus nulaužta 425,7 mln. paskyrų. Labiausiai nukentėjusi šalis yra ne kas kita, o Jungtinės Valstijos, kuriose užfiksuota 34 mln. duomenų nutekėjimų visame pasaulyje. Antroje vietoje yra Prancūzija, po jos seka Indija, Vokietija ir Rusija. Iki 2025 m. Prancūzijos interneto vartotojai vidutiniškai patirs beveik vieną paskyros nulaužimą per sekundę.“

Prancūzija taip pat išsiskiria tuo, kad „pažeidimų tankumas yra 12 kartų didesnis nei pasaulio vidurkis“. Išskiriamas investicijų į saugumą trūkumas, nesvarbu, ar tai būtų įmonių, ar viešųjų įstaigų.

Duomenų tarpininkai, kurie naršo internete, kad perparduotų tokiu būdu surinktus asmens duomenis, taip pat yra pagrindinis įsilaužėlių taikinys.

 

Europos institucijos ir įstaigos

Europos Komisijos „Omnibus“ pasiūlymas supaprastinti BDAR patyrė nesėkmę ES Taryboje.

Vasario 20 d. dokumente Taryba ketina pašalinti pasiūlymą iš dalies pakeisti asmens duomenų apibrėžimą.

Be to, „Euractiv“ duomenimis, Taryba taip pat nori panaikinti Komisijos pasiūlymą išplėsti jos pačios įgaliojimus, kurie leistų jai nustatyti, kas laikoma pakankamai pseudoniminiais duomenimis.

Tarybai pirmininkaujančio Kipro parengtas kompromisinis tekstas bus nacionalinių vyriausybių derybų pagrindas.

Tikimasi, kad Taryba tekstą nagrinės vasario 27 d.

Vasario 11 d. Europos duomenų apsaugos valdyba (EDAV) ir Europos duomenų apsaugos priežiūros pareigūnas (EDAPP) jau buvo priėmę ilgai lauktą bendrą nuomonę dėl šio „Omnibus“ pasiūlymo duomenų apsaugos aspektų.

Savo pranešime spaudai reguliavimo institucijos tvirtina, kad supaprastinimas neturi vykti žmonių apsaugos sąskaita.

Jie ragina teisės aktų leidėjus nepriimti siūlomų asmens duomenų apibrėžties pakeitimų, nes jie gerokai sumažintų jos taikymo sritį ir prieštarautų ESTT praktikai.

„Turime užtikrinti, kad bet kokie BDAR ir Europos Bendrojo duomenų apsaugos reglamento pakeitimai iš tikrųjų paaiškintų įsipareigojimus ir suteiktų teisinį tikrumą, kartu išsaugant pasitikėjimą ir aukštą asmens teisių ir laisvių apsaugos lygį.“

Bendroje nuomonėje taip pat pabrėžiama, kad duomenų apsaugos institucijos turi aiškiai kontroliuoti slapukų reklamjuostes ir viešojo sektoriaus duomenų pakartotinį naudojimą.

Europos duomenų apsaugos valdyba (EDAV) paskelbė ataskaitą apie koordinuotus veiksmus, susijusius su teisės būti pamirštam taikymu.

Ši teisė yra viena iš dažniausiai naudojamų.

Dėl to buvo pateikta daug skundų, o duomenų apsaugos institucijos priėmė vis daugiau sprendimų.

Ataskaitoje išryškinami septyni pagrindiniai organizacijų iššūkiai, įskaitant vidaus procedūrų trūkumą. Joje taip pat pateikiamos praktinės rekomendacijos, padėsiančios organizacijoms įveikti šiuos iššūkius.

Komitetas taip pat paskelbė ataskaitą apie 2025 m. gruodžio 12 d. vykusį renginį, susijusį su anonimizavimu ir pseudonimizavimu.

Ataskaitoje apibendrinami maždaug šimto dalyvių, susirinkusių aptarti BDAR taikymą šiems metodams po ESTT sprendimo EDAPP prieš SRB byloje, atsiliepimai.

Jis atkreipia dėmesį į praktinius netikrumus nustatant, kada duomenys išlieka „identifikuojami“, priklausomai nuo veikėjų ir konteksto, ir į klausimą apie „pagrįstai tikėtinas“ priemones, kurios bus panaudotos asmeniui iš naujo nustatyti.

Dokumente nepateikiamos galutinės gairės, tačiau įvardijami pagrindiniai klausimai, kuriais vadovausis Europos duomenų apsaugos valdyba (EDAV), nustatydama būsimas anoniminimo ir pseudonimų suteikimo kryptis savo darbo programoje.

EDAV patvirtino savo 2026–2027 m. darbo programą.

Jis dirbs su keliais modeliais, skirtais palengvinti atitiktį BDAR: pranešimais apie duomenų pažeidimus, duomenų apsaugos poveikio vertinimais, teisėtų interesų vertinimais, duomenų tvarkymo registru ir privatumo pranešimu / politika.

Vasario 10 d. Teisingumo Teismas byloje C-97/23 P | „WhatsApp Ireland“ prieš Europos duomenų apsaugos valdybą nusprendė, kad „WhatsApp“ pareikštas ieškinys dėl Europos duomenų apsaugos valdybos sprendimo yra priimtinas.

Kadangi Europos Sąjungos Teisingumo Teismas dar neišnagrinėjo bylos iš esmės, Teismas panaikina ginčijamą nutartį ir grąžina bylą Teismui nagrinėti iš naujo.

Vasario 17 d. Europos Žmogaus Teisių Teismas byloje „Žalioji aljansas prieš Bulgariją – 6580/22“ nusprendė, kad Bulgarijos teisės aktai, leidžiantys nacionalinio saugumo agentūrai naudoti „slaptuosius agentus“, pažeidžia Europos žmogaus teisių konvencijos 8 straipsnį, nes leido slapta stebėti organizacijas be pakankamų apsaugos priemonių ar kontrolės.

 

Naujienos iš Europos Sąjungos šalių narių.

Vokietijoje, remiantis „Heise.de“ ir „Table.Media“, Bundestagas intensyviai dirba ties išsamia savo skaitmeninės architektūros restruktūrizacija. Parlamentas nori išsivaduoti iš tokių Amerikos bendrovių kaip „Microsoft“ technologinės įtakos, kad krizės metu galėtų veikti atspariau ir, svarbiausia, nepriklausomai nuo trečiųjų šalių.

Austrijos duomenų apsaugos tarnyba (DPA) skyrė 1 500 eurų baudą duomenų valdytojui už neteisėtą viešo šaligatvio filmavimą vaizdo stebėjimo kamera ir įtariamo vagies vaizdų paskelbimą socialiniuose tinkluose, taip pažeidžiant duomenų kiekio mažinimo ir skaidrumo principus, taip pat teisminių duomenų tvarkymo taisykles.

Danijos duomenų apsaugos tarnyba (DPA) skyrė papeikimą 51 savivaldybei ir kartu perspėjo jas dėl „Google“ produktų naudojimo pradinėse ir žemesnėse vidurinėse mokyklose. Konkrečiai, nustatyta, kad savivaldybės tinkamai neįrodė, jog užtikrina tinkamą asmens duomenų, tvarkomų už ES ribų, apsaugos lygį.

Airijos duomenų apsaugos agentūra (DPA) vasario 17 d. paskelbė pradėjusi tyrimą dėl Elono Musko įmonės „X“. Tyrimas susijęs su „potencialiai žalingų, intymių ir (arba) seksualinio pobūdžio vaizdų, kuriuose yra ES/EEE duomenų subjektų, įskaitant vaikus, asmens duomenų arba kurie susiję su tokių duomenų tvarkymu“, kūrimu ir publikavimu „X“ platformoje, naudojant generatyvinę dirbtinio intelekto funkciją, susietą su „Grok“ kalbos modeliu. Kelios šalys jau nusprendė visiškai uždrausti Elono Musko dirbtinio intelekto pokalbių robotą, o Europos Komisija pradėjo tyrimą sausio 26 d.

Nyderlanduose teismas nusprendė, kad Nyderlandų duomenų apsaugos tarnyba (APD) nepakankamai pagrindė skundo prieš kino teatrą, kuris nebepriėmė mokėjimų grynaisiais pinigais, atmetimą. Teismo teigimu, APD neįvertino, ar reikalavimas mokėti kortelėmis siekia pakankamai konkretaus ir pagrįsto tikslo pagal BDAR.

Slovakijos Konstitucinis Teismas panaikino įstatymą, įpareigojantį NVO skelbti su savo rėmėjais susijusius duomenis, nusprendęs, kad jis pažeidžia privatumą, informacinį apsisprendimo teisę ir asociacijų laisvę, tuo pačiu metu nustatant pernelyg didelę naštą.

 

JK duomenų apsaugos institucija (ICO) skyrė „Reddit“ 14,47 mln. svarų sterlingų (maždaug 16,6 mln. eurų) baudą už tai, kad ši nesilaikė savo įsipareigojimų, susijusių su vaikų duomenų privatumu.

ICO mano, kad „Reddit“ amžiaus patikra yra nepakankama ir kad platforma „todėl neturėjo teisinio pagrindo tvarkyti jaunesnių nei 13 metų vaikų asmeninės informacijos“.

Be to, „Reddit“ „iki 2025 m. sausio mėn. neatliko duomenų apsaugos poveikio vertinimo (DPAV), kad įvertintų ir sumažintų vaikams kylančią riziką“.

ICO taip pat vasario 5 d. paskelbė apie 247 590 svarų sterlingų baudą bendrovei „MediaLab.AI, Inc.“, kurianti vaizdų bendrinimo platformą „Imgur“.

„MediaLab“ leido vaikams naudotis „Imgur“ neįdiegus pagrindinių apsaugos priemonių, kurių reikalauja JK duomenų apsaugos įstatymai.

2026 m. vasarį Indija nusprendė išplėsti „Aadhaar“, didžiausios pasaulyje skaitmeninės tapatybės sistemos, naudojimą kasdieniam privatumui užtikrinti, pasitelkdama naują programėlę ir neprisijungus veikiančią patvirtinimo sistemą.

Pakeitimai turėtų leisti asmenims įrodyti savo tapatybę be realaus laiko patvirtinimo duomenų bazėje, integruojant privačias patvirtinimo paslaugas, tokias kaip „Google Wallet“ ir „Apple Wallet“.

Pilietinės visuomenės kampanijos dalyviai teigia, kad neprisijungus veikianti patvirtinimo sistema kelia grėsmę privačiam sektoriui vėl naudoti „Aadhaar“, kurį jau pasmerkė Aukščiausiasis Teismas. 

Sistema taip pat leidžia „Indijos valstijoms ir policijai susieti su „Aadhaar“ numeriu įvairią asmeninę informaciją: GPS koordinates, telefono numerius, socialinius tinklus, rinkėjo registracijos kortelę, pasą, paskolas, socialines išmokas, kartais net giminaičių vardus ar net partnerių vardus tam tikrose policijos formose“.

Remiantis vasario 19 d. paskelbta CNBC ataskaita, „Accenture“ savo vyresniųjų vadovų paaukštinimą sieja su reguliariu dirbtinio intelekto įrankių naudojimu.

Pranešama, kad asocijuotieji direktoriai ir vyresnieji vadovai buvo informuoti, jog norint užimti vadovaujančias pareigas, reikės „reguliariai naudoti“ dirbtinį intelektą.

Bendrovės DI strategija „reikalauja diegti naujausius įrankius ir technologijas, kad galėtume kuo efektyviau aptarnauti savo klientus“, – CNBC sakė atstovas spaudai.

2026 m. vasario 11 d. Kalifornijos generalinis prokuroras paskelbė rekordinę 2,75 mln. JAV dolerių sumą, sumokėtą už „Walt Disney Company“. siekiant išspręsti įtarimus, kad bendrovė tinkamai neatsižvelgė į vartotojų prieštaravimus dėl jų duomenų tvarkymo pagal Kalifornijos vartotojų privatumo įstatymą.

Vasario 13 d. straipsnyje „The New York Times“ praneša, kad „Facebook“ patronuojanti bendrovė „Meta“ planuoja jau šiais metais įdiegti veido atpažinimo funkciją savo išmaniuosiuose akiniuose, kuriuos gamina bendradarbiaudama su „Ray-Ban“ ir „Oakleys“ savininku.

Ši funkcija, viduje vadinama „Vardo žyma“, leistų išmaniųjų akinių naudotojams atpažinti žmones ir gauti apie juos informacijos per „Meta“ dirbtinio intelekto asistentą. Praėjusiais metais paskelbtame vidiniame memorandume „Meta“ tariamai teigė, kad politiniai neramumai Jungtinėse Valstijose nukreips dėmesį nuo šios funkcijos išleidimo kritikų.

2026 m. vasario 23 d. 61 duomenų apsaugos institucija paskelbė bendrą pareiškimą dėl dirbtinio intelekto sugeneruotų vaizdų.

Šiame bendrame pareiškime aptariami susirūpinimai dėl dirbtinio intelekto sistemų, galinčių generuoti tikroviškus vaizdus ir vaizdo įrašus, kuriuose vaizduojami atpažįstami asmenys be jų žinios ar sutikimo.

2026 m. vasario 19 d. Ekonominio bendradarbiavimo ir plėtros organizacija (EBPO) paskelbė naujas gaires, skirtas padėti organizacijoms įgyvendinti EBPO gaires daugiašalėms įmonėms ir EBPO dirbtinio intelekto principus.

Šios gairės skirtos padėti organizacijoms valdyti su dirbtiniu intelektu susijusią riziką ir laikytis tarptautinių atsakingo verslo standartų.

Dirbtinio intelekto agentų kūrimas, nors ir skirtas palengvinti daugelį administracinių užduočių, taip pat kelia rimtų saugumo klausimų.

Naujausias „OpenClaw“ yra atvirojo kodo projektas, kurio esmė – autonominis dirbtinio intelekto agentas, galintis valdyti kompiuterį, o ne vartotoją.

Neseniai „OpenAI“ įsigijusi „OpenClaw“ dabar yra rimtų saugumo atakų taikinys.

Per kelias savaites kibernetiniai nusikaltėliai užpuolė daugiau nei 30 000 „OpenClaw“ egzempliorių, naudodami suklastotus scenarijus, leidžiančius įdiegti virusus ir kenkėjiškas programas, galinčias įrašyti viską, kas rašoma klaviatūra „Windows“ kompiuteriuose. 

„Vis daugiau startuolių lyderių uždraudžia autonominius agentus įmonių įrenginiuose, bijodami konfidencialių duomenų nutekėjimo. Saugumo ekspertai reiškia rimtą susirūpinimą dėl audito, perspektyvos, realių apsaugos priemonių ir skaidrumo stokos, susijusios su dirbtiniu intelektu, o vis daugiau darbuotojų jau integruoja jį į savo kasdienes užduotis siekdami produktyvumo.“

Šiuos įspėjimus vasario 12 d. perdavė Nyderlandų duomenų apsaugos tarnyba (APD), kuri įspėja vartotojus ir organizacijas nenaudoti „OpenClaw“ ir panašių eksperimentinių sistemų dėl kritinių saugumo pažeidžiamumų.

Tarptautinė privatumo specialistų asociacija (IAPP) vasario 5 d. paskelbė atnaujintą savo pasaulinio privatumo įstatymų ir duomenų apsaugos institucijų katalogo versiją.

IAPP pažymi, kad duomenų apsaugos režimai visame pasaulyje toliau vystosi ir bręsta. „Per pastaruosius 12 mėnesių Indija įvedė naujas vykdymo taisykles, skirtas Skaitmeninių asmens duomenų apsaugos įstatymui įgyvendinti, Bangladešas ir Gambija priėmė arba svarsto galimybę priimti naujus išsamius įstatymus, o kitos šalys, įskaitant Ekvadorą ir Indoneziją, sukūrė naujas agentūras, kurios aiškina ir vykdo galiojančius privatumo įstatymus.“