CP v2

Tag: Asmens duomenų apsauga

  • Naujausi duomenų nutekėjimo per MyDr faktai: cyberpolicija sako, kad PESEL viešinti dar per anksti

    Lenkijoje tiriamas vienas didžiausių pastarojo meto kibernetinių incidentų, susijęs su sveikatos sektoriaus IT sprendimais. Bendrovė „MyDr“ pranešė, kad jos sistemose galėjo būti neteisėtai pasiekti istoriniai duomenys, o rizika gali apimti apie 18,8 mln. žmonių ir daugiau nei 12 tūkst. medicinos įstaigų.

    „MyDr“ teigia šiuo metu esanti baigiamojoje stadijoje, nustatant incidento apimtį: kokie duomenys galėjo būti paveikti, kuriems klientams ir pacientams kilo didžiausia rizika. Bendrovė taip pat tvirtina aktyviai stebinti vadinamąjį dark web ir kol kas neturinti įrodymų, kad duomenys jau būtų viešai paskelbti ar plačiai išplatinti.

    Pranešimų lavina duomenų apsaugos institucijai

    Su incidentu susiję pranešimai pasiekė ir duomenų apsaugos priežiūros instituciją. Lenkijos asmens duomenų apsaugos institucija UODO nurodo gavusi šimtus pranešimų apie galimus asmens duomenų saugumo pažeidimus, o naujų pranešimų srautas dar nesustojo.

    Tokiose situacijose atsakomybės grandinė dažnai būna sudėtinga: jeigu pažeidimas įvyko duomenis tvarkančioje įmonėje, ji turi nustatyti incidento priežastis ir informuoti duomenų valdytojus. Medicinos įstaigos, veikiančios kaip duomenų valdytojai, privalo įsivertinti riziką pacientams ir spręsti, ar būtina informuoti priežiūros instituciją bei pačius pacientus.

    „UODO pirmininkas nusprendė atlikti patikrinimą bendrovėje, kuri tvarko duomenis“, – teigė UODO atstovas spaudai Łukasz Kuligowski.

    CBZC: viešinti PESEL numerių kol kas nereikėtų

    Tyrimą dėl nutekėjimo prižiūri Varšuvos apygardos prokuratūra, o ikiteisminius veiksmus atlieka Centrinis kovos su kibernetiniais nusikaltimais biuras CBZC. Pareigūnai plačiau detalių nekomentuoja, motyvuodami tuo, kad tai galėtų pakenkti vykstantiems veiksmams.

    CBZC viešai pabrėžė, kad šiuo etapu PESEL numerių, susijusių su „MyDr“ sistema, publikavimas valstybinėje platformoje bepiecznedane.gov.pl būtų nepagrįstas ir galėtų apsunkinti operatyvinius veiksmus. Pasak biuro, šiuo metu atliekamos aktyvios priemonės, kuriomis siekiama maksimaliai apriboti galimo nutekėjimo mastą.

    Ką tai reiškia gyventojams?

    Didelės apimties incidentuose didžiausia rizika kyla dėl asmens identifikavimo duomenų ir sveikatos informacijos derinio: tokie duomenys gali būti naudojami sukčiavimui, tapatybės vagystėms ar šantažui. Net jei įsilaužėliai nepaskelbia informacijos viešai, vien neteisėtas priėjimas prie duomenų gali reikšti, kad jie buvo nukopijuoti ir vėliau panaudoti.

    Kol tyrimas vyksta, sprendimai dėl konkrečių asmenų informavimo ir rekomenduojamų veiksmų priklausys nuo to, kokie duomenys realiai buvo pasiekti ir kokia yra nustatyta rizika. „MyDr“ skelbia, kad patvirtinus galutines išvadas bus tiesiogiai susisiekta su klientais ir pateiktos aiškios instrukcijos, ką daryti toliau.

  • „Samsung“ užsimojo dėl DI: arba atiduosite sveikatos duomenis, arba jie bus ištrinti

    „Samsung“ užsimojo dėl DI: arba atiduosite sveikatos duomenis, arba jie bus ištrinti

    „Samsung“ naudotojai pastaruoju metu pradėjo matyti naują „Samsung Health“ pranešimą, kuris kelia aštrias diskusijas dėl privatumo. Jame prašoma sutikti, kad sveikatos duomenys būtų naudojami DI modelių mokymui ir tobulinimui.

    Svarbiausia – pasirinkimas, anot kritikos, nėra lygiavertis. Nesutikus su tokia tvarka, naudotojui gali būti apribota sinchronizacija su „Samsung“ paskyra ir debesija, o dalis iki tol sukauptos istorijos gali būti ištrinta iš bendrovės serverių.

    Praktikoje tai reikštų, kad praradus įrenginį, perėjus prie naujo „Galaxy“ laikrodžio ar atlikus nustatymų atkūrimą, per kelerius metus kaupti treniruočių įrašai ir sveikatos tendencijos gali nebeatsistatyti. Dėl to dalis vartotojų tokį sutikimo modelį vertina kaip spaudimą, o ne savanorišką apsisprendimą.

    Kokie duomenys patenka į rizikos zoną

    Pagal viešai aprašomą „Samsung Health“ funkcionalumą, platforma gali apdoroti itin plačią informaciją: kūno rodiklius, mitybos įrašus, žingsnių statistiką, miego parametrus, aktyvumo istoriją. Kai kuriuose scenarijuose gali būti kaupiami ir jautresni duomenys, susiję su vaistų vartojimu, medicinine dokumentacija ar menstruacijų ciklu.

    Didžiausią susirūpinimą kelia tai, kad DI tobulinimui skirti duomenys teoriškai gali būti ne tik apdorojami algoritmų, bet ir peržiūrimi žmonių kokybės užtikrinimo tikslais. Taip pat gali būti pasitelkiami išoriniai rangovai, o tai vartotojams kelia papildomų klausimų dėl kontrolės ir atsakomybės grandinės.

    „Duomenys, kuriuos pateikiate, gali būti naudojami paslaugų tobulinimui, įskaitant peržiūrą žmonių atliekant kokybės užtikrinimą“, – tokio pobūdžio praktiką vartotojai dažniausiai randa privatumo sąlygose ir pagalbos puslapiuose.

    Kodėl tai svarbu Europos vartotojams

    Europos Sąjungoje sveikatos duomenys laikomi specialios kategorijos asmens duomenimis, kuriems taikomi griežtesni apsaugos reikalavimai. Dėl to vartotojai tikisi aiškaus, laisva valia duodamo sutikimo, o ne situacijos, kai atsisakymas tampa nuostolių ar funkcijų praradimo priežastimi.

    Privatumo ekspertai ne kartą pabrėžė, kad sutikimas turi būti konkretus ir nedviprasmiškas, o paslaugos teikimas neturėtų būti nepagrįstai siejamas su papildomu duomenų naudojimu kitais tikslais. Jei vartotojai masiškai skųstųsi, tokia praktika gali atsidurti ir priežiūros institucijų akiratyje.

    DI bumas keičia sveikatos programėles

    Technologijų bendrovės vis dažniau siekia realių vartotojų duomenimis paremti naujas sveikatos įžvalgas, prognozes ir personalizuotas rekomendacijas. Tam reikia didelių, įvairių ir nuolat atsinaujinančių duomenų rinkinių, todėl spaudimas plėsti duomenų panaudojimą auga.

    Vis dėlto dėvimųjų įrenginių rinkoje pasitikėjimas yra viena svarbiausių valiutų. Jei naudotojai jaus, kad pasirinkimas tarp privatumo ir funkcionalumo yra dirbtinai supriešintas, tai gali paskatinti dalį jų ieškoti alternatyvų arba riboti, kokią informaciją jie apskritai kaupia programėlėse.

  • Socialinių paslaugų įstatymo pakeitimai: daugiau saugumo darbuotojams ir naujos galimybės studentams

    Vyriausybė pritarė Socialinės apsaugos ir darbo ministerijos parengtiems Socialinių paslaugų įstatymo pakeitimams, kuriais siekiama didinti socialinių paslaugų srities darbuotojų saugumą ir aiškiau apibrėžti kai kurias jų darbo situacijas. Pokyčiai apimtų ir savivaldybėms aktualų teisinį aiškumą dėl pagalbos pinigų mokėjimo.

    Vienas jautriausių siūlymų – galimybė socialiniams darbuotojams ir kitiems socialinių paslaugų specialistams tam tikrais atvejais fiksuoti garso ar vaizdo įrašus. Toks sprendimas būtų skirtas darbuotojų apsaugai, kai kyla grėsmė jų sveikatai ar saugumui, tačiau kartu reikalautų aiškių taisyklių dėl duomenų apsaugos ir proporcingumo.

    Socialinės apsaugos ir darbo ministrė Jūratė Zailskienė pabrėžė, kad įsigaliojus pakeitimams būtų sudarytos saugesnės darbo sąlygos, o darbuotojai turėtų daugiau priemonių apsisaugoti konfliktinėse situacijose. Pastaraisiais metais socialinių paslaugų sektoriuje vis dažniau akcentuojamas perdegimo, agresijos atvejų ir įtampos rizikos valdymas, todėl darbuotojų sauga tampa prioritetu.

    Kita numatoma naujovė – galimybė Socialinį darbą studijuojantiems studentams dirbti socialiniu darbuotoju. Tai galėtų padėti spręsti darbuotojų trūkumo problemą savivaldybėse ir socialinių paslaugų įstaigose, tačiau kartu keltų klausimų dėl praktinio pasirengimo, mentorystės ir atsakomybių paskirstymo.

    Jei pakeitimams pritartų Seimas, savivaldybėms ir įstaigoms tektų atnaujinti vidines tvarkas, ypač susijusias su incidentų valdymu ir darbuotojų saugos užtikrinimu. Taip pat reikėtų aiškiai apibrėžti, kada ir kokiomis sąlygomis galima daryti įrašus, kad būtų suderinti darbuotojų saugumo poreikiai ir asmens duomenų apsauga.