Kodėl tavo duomenys yra naujas auksas
Jei dar prieš dešimt metų kas nors būtų pasakęs, kad tavo vardas, el. pašto adresas ir naršymo istorija yra vertingesni už fizinį turtą, tikriausiai būtum nusijuokęs. Dabar tai – tiesiog realybė. Duomenys tapo tokia vertinga prekė, kad didžiausios pasaulio kompanijos – „Meta”, „Google”, „Amazon” – iš esmės yra duomenų surinkimo mašinos, kurios tik apsimeta, kad teikia nemokamas paslaugas.
Kai naudoji „Gmail”, mokėjimas yra ne pinigais, o informacija apie tave. Kai scrollini per „Instagram”, algoritmas mokosi tavo elgesio, pomėgių, emocinių reakcijų. Kai perkate ką nors internetu, kiekvienas paspaudimas yra užfiksuojamas, analizuojamas ir parduodamas. Tai nėra sąmokslo teorija – tai verslo modelis, kuris veikia atvirai ir legaliai.
Asmens duomenų apsauga šiame kontekste nėra tik teisinis reikalavimas ar biurokratinė procedūra. Tai – fundamentalus klausimas apie tai, kas tu esi skaitmeniniame pasaulyje ir kas gali tą informaciją naudoti prieš tave arba be tavo žinios.
Kas iš tikrųjų yra asmens duomenys – platesnė perspektyva
Daugelis žmonių galvoja, kad asmens duomenys – tai vardas, pavardė, adresas. Techniškai taip, bet tai tik ledkalnio viršūnė. Šiuolaikiniame skaitmeniniame pasaulyje asmens duomenų sąvoka yra kur kas platesnė ir sudėtingesnė.
Pagal BDAR (Bendrąjį duomenų apsaugos reglamentą), asmens duomenys – tai bet kokia informacija, pagal kurią galima tiesiogiai arba netiesiogiai identifikuoti fizinį asmenį. Ir čia prasideda įdomumai. Tavo IP adresas – asmens duomenys. Slapukai (cookies) tavo naršyklėje – asmens duomenys. Tavo automobilio valstybinis numeris – asmens duomenys. Net tavo veido bruožai, užfiksuoti vaizdo stebėjimo kameromis – taip pat asmens duomenys.
Dar toliau einant, yra vadinamieji ypatingi asmens duomenys, kuriems taikoma papildoma apsauga:
- Sveikatos informacija
- Biometriniai duomenys (pirštų atspaudai, veido atpažinimas)
- Genetiniai duomenys
- Politinės pažiūros
- Religiniai įsitikinimai
- Seksualinė orientacija
- Rasinė ar etninė kilmė
Šie duomenys yra ypač jautrūs, nes jų nutekėjimas gali turėti rimtų pasekmių – diskriminacijos, šantažo ar kitokio piktnaudžiavimo forma. Todėl jų tvarkymas yra griežčiau reguliuojamas ir reikalauja aiškaus, atskiro sutikimo.
Praktinis patarimas: kitą kartą, kai kuri nors programa prašo prieigos prie tavo sveikatos duomenų, buvimo vietos ar kontaktų – sustok ir pagalvok, ar tai tikrai būtina tai programai veikti. Dažnai atsakymas yra „ne”.
BDAR – Europos skydas, kurio daugelis nesupranta
2018 metais įsigaliojęs Bendrasis duomenų apsaugos reglamentas buvo tikras žemės drebėjimas duomenų apsaugos srityje. Europos Sąjunga iš esmės pasakė: „Gerai, jei norite dirbti su mūsų piliečių duomenimis, turite laikytis mūsų taisyklių.” Ir tai galioja net Amerikos ar Azijos kompanijoms – jei jos tvarko ES piliečių duomenis, BDAR jiems taikomas.
Pagrindiniai BDAR principai, kuriuos verta žinoti:
Teisėtumas ir skaidrumas. Duomenys turi būti tvarkomi teisėtai ir skaidriai. Žmogus turi žinoti, kas, kodėl ir kaip tvarko jo duomenis.
Tikslo apribojimas. Duomenys gali būti renkami tik konkrečiam, aiškiai apibrėžtam tikslui. Jei surinkai el. paštą siuntinių sekimui, negali jo naudoti rinkodarai be atskiro sutikimo.
Duomenų minimizavimas. Rinkti tik tai, kas būtina. Ne „gali praversti ateityje”, o „būtina dabar”.
Tikslumas. Duomenys turi būti tikslūs ir atnaujinami.
Saugojimo apribojimas. Duomenys negali būti saugomi amžinai. Kai tikslas pasiektas – duomenys turi būti ištrinti.
Vientisumas ir konfidencialumas. Duomenys turi būti apsaugoti nuo neteisėtos prieigos, praradimo ar sunaikinimo.
Baudos už BDAR pažeidimus yra rimtos – iki 20 milijonų eurų arba 4% metinės pasaulinės apyvartos, priklausomai nuo to, kuri suma didesnė. „Amazon” 2021 metais gavo 746 milijonų eurų baudą Liuksemburge. „Meta” 2023 metais – 1,2 milijardo eurų baudą Airijoje. Tai nėra simbolinės sumos.
Kaip duomenys nuteka ir kodėl tai dažnai tavo paties kaltė
Čia reikia būti sąžiningais. Dažnai duomenų saugumo problemos kyla ne dėl sudėtingų hakerių atakų, o dėl paprastų žmonių klaidų ir neatsargumo. Ir tai nėra kritika – tai tiesiog realybė, kurią reikia pripažinti, kad galėtum ją pakeisti.
Silpni slaptažodžiai. „123456″, „password”, „vardas1990″ – tai vis dar dažniausiai naudojami slaptažodžiai pasaulyje. Jei tavo slaptažodis yra žodis iš žodyno su keliais skaičiais gale, jis gali būti nulaužtas per sekundes naudojant „brute force” ataką.
Slaptažodžių pakartojimas. Naudoji tą patį slaptažodį „Facebook”, el. paštui ir banko sąskaitai? Jei viena iš šių platformų patiria duomenų nutekėjimą (o tai nutinka reguliariai), hakeriai automatiškai išbandys tą patį slaptažodį visose kitose platformose. Šis metodas vadinamas „credential stuffing” ir jis veikia stebėtinai dažnai.
Phishing atakos. Gauni el. laišką, kuris atrodo kaip iš banko, su skubiu prašymu patvirtinti duomenis. Paspaudžiai nuorodą, įvedi informaciją – ir viskas. Phishing atakos tampa vis sudėtingesnės ir sunkiau atpažįstamos, ypač su dirbtinio intelekto pagalba.
Viešasis „Wi-Fi”. Kavos kavinėje ar oro uoste jungiesi prie nemokamo „Wi-Fi” ir tikrinate banko sąskaitą? Tai yra rimta saugumo rizika. Viešuose tinkluose tavo duomenys gali būti perimami.
Pertekliniai leidimai programoms. Žibintuvėlio programa, kuriai reikia prieigos prie tavo kontaktų ir buvimo vietos. Žaidimas, kuris nori skaityti tavo SMS žinutes. Šie leidimai dažnai suteikiami automatiškai, neskaitant, ko prašoma.
Praktinis patarimas: reguliariai tikrink savo el. pašto adresą puslapyje haveibeenpwned.com – ten galima sužinoti, ar tavo duomenys buvo nutekinti kokiame nors duomenų pažeidime. Tai nemokama ir labai informatyvu.
Praktiniai įrankiai duomenų apsaugai – ką naudoti jau šiandien
Teorija yra gerai, bet konkretūs veiksmai yra geriau. Čia yra realus, praktinis sąrašas to, ką galima padaryti dabar, be didelių techninių žinių.
Slaptažodžių tvarkyklė. Tai turbūt svarbiausias žingsnis. Programos kaip „Bitwarden” (nemokama, atviro kodo), „1Password” ar „Dashlane” generuoja ir saugo sudėtingus, unikalius slaptažodžius kiekvienai paskyrai. Tu turi prisiminti tik vieną pagrindinį slaptažodį. „Bitwarden” yra ypač rekomenduotinas, nes jo kodas yra viešas ir gali būti patikrintas nepriklausomų ekspertų.
Dviejų faktorių autentifikacija (2FA). Įjunk ją visur, kur tik galima – el. paštui, socialiniams tinklams, bankininkystei. Net jei kažkas sužinos tavo slaptažodį, be antrojo faktoriaus (paprastai kodo iš telefono) jie negalės prisijungti. Naudok autentifikatoriaus programą kaip „Authy” ar „Google Authenticator”, o ne SMS žinutes – SMS yra mažiau saugus variantas.
VPN (virtualus privatus tinklas). Ypač naudingas naudojant viešąjį „Wi-Fi”. „Mullvad” ar „ProtonVPN” yra gerai vertinami privatumo požiūriu. Svarbu: nemokamas VPN dažnai pats parduoda tavo duomenis, todėl čia verta mokėti.
Privatumo orientuota naršyklė ir paieška. „Firefox” su tinkamais nustatymais arba „Brave” naršyklė blokuoja daug sekimo mechanizmų. „DuckDuckGo” ar „Startpage” vietoj „Google” paieškos – jie nerenka tavo paieškos istorijos.
Šifruotas el. paštas ir žinutės. „ProtonMail” siūlo šifruotą el. paštą. „Signal” – šifruotas žinučių siuntimas. Jei jau naudoji „WhatsApp”, žinok, kad nors žinutės yra šifruotos, metaduomenys (su kuo, kada, kiek laiko kalbėjai) yra renkami ir priklauso „Meta”.
Reguliarus programinės įrangos atnaujinimas. Nuobodu, žinau. Bet dauguma saugumo pažeidimų išnaudoja žinomus pažeidžiamumus, kuriems jau yra pataisymų. Atnaujinimai dažnai yra tie pataisymai.
Įmonių atsakomybė ir ką daryti, kai tavo teisės pažeidžiamos
Duomenų apsauga nėra tik individualaus vartotojo reikalas. Įmonės, kurios tvarko tavo duomenis, turi konkrečias teisines prievoles, ir tu turi teisę jas priminti.
Pagal BDAR, tu turi šias teises:
Teisė susipažinti. Gali paprašyti bet kurios įmonės pateikti visus duomenis, kuriuos ji turi apie tave. Tai vadinama „Subject Access Request” (SAR). Įmonė privalo atsakyti per 30 dienų ir nemokamai.
Teisė būti pamirštam. Gali paprašyti ištrinti savo duomenis, jei jie nebereikalingi pradiniam tikslui arba jei atšaukei sutikimą. Tai nėra absoliuti teisė – yra išimčių (pvz., teisinės prievolės), bet daugeliu atvejų ji veikia.
Teisė į duomenų perkeliamumą. Gali paprašyti savo duomenų mašininio skaitomumo formatu ir perkelti juos pas kitą paslaugų teikėją.
Teisė nesutikti. Gali nesutikti su tuo, kad tavo duomenys būtų naudojami tiesioginei rinkodarai. Tai yra absoliuti teisė – įmonė privalo sustoti.
Jei manai, kad tavo teisės buvo pažeistos, pirmiausia kreipkis į įmonę tiesiogiai. Jei tai nepadeda – Lietuvoje galima kreiptis į Valstybinę duomenų apsaugos inspekciją (VDAI). Jie nagrinėja skundus ir gali skirti baudas. Tai nėra tik teorinė galimybė – VDAI tikrai nagrinėja skundus ir priima sprendimus.
Praktinis patarimas verslo savininkams: jei tvarkai klientų duomenis, tau reikia privatumo politikos, duomenų tvarkymo sutarčių su trečiosiomis šalimis ir aiškios duomenų tvarkymo veiklos registro. Tai ne biurokratija dėl biurokratijos – tai apsauga nuo baudų ir reputacijos žalos.
Dirbtinis intelektas ir duomenų apsauga – naujas galvos skausmas
Dirbtinis intelektas atnešė naują dimensiją į duomenų apsaugos diskusiją. „ChatGPT”, „Gemini”, „Copilot” ir kiti DI įrankiai yra neįtikėtinai naudingi, bet jie taip pat kelia rimtų klausimų apie privatumą.
Kai rašai į „ChatGPT” apie savo sveikatos problemas, darbo situaciją ar asmeninius rūpesčius – ta informacija kažkur keliauja. „OpenAI” pagal nutylėjimą naudoja pokalbius modelių tobulinimui (nors tai galima išjungti nustatymuose). Tai reiškia, kad tavo asmeninė informacija gali tapti mokymo duomenimis.
Dar sudėtingiau su darbo aplinka. Darbuotojai, kurie naudoja DI įrankius darbo klausimams spręsti, neretai įkelia konfidencialią įmonės informaciją, klientų duomenis ar intelektinę nuosavybę į trečiųjų šalių sistemas. Samsung 2023 metais patyrė duomenų nutekėjimą būtent dėl to – darbuotojai įkėlė konfidencialų kodą į „ChatGPT”.
Veido atpažinimo technologijos kelia dar didesnį nerimą. Kinijoje tokios sistemos jau naudojamos masinei gyventojų stebėsenai. Europoje BDAR iš esmės draudžia viešą biometrinį stebėjimą, bet technologijos vystosi greičiau nei reguliavimas.
Praktiniai patarimai dirbant su DI:
- Niekada nekopijuok realių klientų duomenų į viešus DI įrankius
- Išjunk pokalbių istoriją, jei nenori, kad tavo duomenys būtų naudojami mokymui
- Naudok anonimizuotus arba fiktyvius duomenis, kai testuoji DI su jautriais scenarijais
- Jei įmonėje naudoji DI, patikrink, ar paslauga siūlo „enterprise” variantą su duomenų apsaugos garantijomis
Skaitmeninis higiena – ne paranoja, o elementarus raštingumas
Duomenų apsauga dažnai pristatoma kaip kažkas sudėtingo, techniško ir skirto tik IT specialistams. Bet iš tikrųjų tai yra tiesiog skaitmeninis raštingumas – tokia pat bazinė įgūdžių dalis kaip mokėjimas skaityti ar vairuoti automobilį.
Niekas nereikalauja tapti kibernetinio saugumo ekspertu. Bet keletas paprastų įpročių gali dramatiškai sumažinti riziką. Naudok unikalius slaptažodžius. Įjunk dviejų faktorių autentifikaciją. Pagalvok prieš spausdamas nuorodas el. laiškuose. Atnaujink programinę įrangą. Skaityk (bent jau peržvelk) ką sutinki, kai spaudžiai „Sutinku”.
Ir dar vienas dalykas, apie kurį retai kalbama: mokyk kitus. Tavo tėvai, seneliai, vaikai – jie taip pat naudoja technologijas ir dažnai yra pažeidžiamiausi. Phishing atakos ypač dažnai nukreiptos į vyresnio amžiaus žmones. Vienas pokalbis apie tai, kaip atpažinti įtartinus el. laiškus, gali apsaugoti nuo rimtų problemų.
Duomenų apsauga nėra apie tai, kad esi paranojiškas ar turi ką slėpti. Ji yra apie tai, kad tu kontroliuoji savo skaitmeninį gyvenimą, o ne atvirkščiai. Šiame pasaulyje, kur duomenys yra naujas auksas, žinoti, kaip apsaugoti savąjį – tai tiesiog elementarus išgyvenimo įgūdis skaitmeninėje eroje.
