Andmekaitseidufirma GDPR Register tegevjuht Krete Paal sõnas, et esimesel poolaastal määratud trahvid andmekaitse üldmääruse (GDPR) nõuete rikkumise eest tõid välja korduvad mustrid ja vead andmekaitse valdkonnas, kus ettevõtted aina uuesti libastuvad.
„Euroopa andmekaitseasutused on ettevõtjatele andnud selge sõnumi, et andmekaitse pole enam valikuline ning formaalse vastavusega enam ei lepita – ettevõtetelt oodatakse sisulist ja dokumenteeritud andmekaitsepraktikat,” kommenteeris Paal.
Meta, Amazon ja TikTok said valusalt pihta
Käesoleva aasta alguses jõustus GDPR-i ajaloo suurim trahv suurusega 1,2 miljardit eurot, mida Iirimaa andmekaitseasutus määras Facebooki emaettevõttele Meta. Trahvi aluseks on Meta hallatavate sotsiaalmeediaplatvormide poolt ulatuslik isikuandmete edastamine USA-sse ilma piisava järelevalveta. „See otsus annab selge signaali kõikidele ettevõtetele, et rahvusvaheliste andmeedastuste puhul ei piisa standardlepingutest. Vajalik on riskianalüüs, tehnilised kaitsemeetmed ja pidev järelevalve,” rõhutas Paal.
Tehnoloogiagigant Amazon jõudis suurimate trahvide edetabelis auväärsele teisele kohale 746 miljoni eurose trahviga, mille määras Luksemburgi andmekaitseamet tänavu märtsis. Hiiglasliku trahvi tõi ettevõttele sihtotstarbeline reklaam ilma kasutaja kehtiva ja selge nõusolekuta. Andmekaitsele keskendunud iduettevõtte GDPR Registri juht tõi välja, et andmete kasutamisel reklaamiks peab nõusolek olema vabatahtlik, dokumenteeritud ning igal hetkel lihtsasti tagasi võetav.
Suuruselt kolmas trahv määrati tänavu mais TikTokile ning selle summaks kujunes 530 miljonit eurot. Trahvi määras taas Iirimaa andmekaitseasutus. Põhjuseks oli Hiinas asuvate töötajate ligipääs sotsiaalmeediaplatvormi Euroopas asuvate kasutajate andmetele ning protsesside ebapiisav läbipaistvus. „Ettevõtted peavad andmete asukohta ja töötlemisega seotud kolmandaid riike selgelt ja arusaadavalt kasutajatele selgitama,” tõi Paal välja selle juhtumiga seotud õppetunni.
Hooletus lepingutes ja nõrk autentimine toovad järjest suuremaid trahve
Hispaania andmekaitseamet trahvis tänavu aprillis tervise- ja raviteenuseid osutavat ettevõtet Marina Salud 500 000 euroga. Kopsaka trahvi tõi ettevõttele terviseandmete töötlemine allhankijatega ilma nõuetekohase lepinguta. „Siit saame õppida, et iga andmetöötleja, sealhulgas näiteks IT-partner, peab olema ametlikult andmekaitselepinguga määratletud ning tellijal peab olema selge ülevaade kogu andmete töötlemise ahelast,” rõhutas GDPR Registri juht.
Äramärkimist väärib ka telekommunikatsioonikontsern Vodafone, kes sai trahvi lausa mitmel korral. Aprillis Vodafone España, keda kohalik andmekaitseamet trahvis 200 000 euroga. Põhjuseks SIM-kaardi vahetus ilma piisava isikutuvastuseta, mis viis andmelekkeni. See trahv tõi esile nõude, et kõik isikuandmetega seotud toimingud, sealhulgas näiteks konto taastamine, peavad põhinema tugeval autentimisel ja riskihinnangul. Vodafone Saksamaa haru sai samuti trahvitud 45 miljoni euroga, kuna neil puudus piisav kontroll alamtöötlejate osas ja turvameetmed kasutajate tuvastamisel olid ebapiisavad.
Suurimad GDPR-trahvid tänavu esimesel poolaastal tõid andmekaitse eksperdi sõnul välja korduvad mustrid, millest ettevõtted saavad teha olulisi järeldusi. Paal rõhutas, et GDPR ei ole enam dokumentide kogum sahtlis. „Tegemist on strateegilise juhtimisteemaga, sest edukalt rakendatud andmekaitse kasvatab usaldust, tugevdab ärisuhteid ja loob pikaajalist väärtust. Ja vastupidi, kui isikuandmeid töödeldakse hooletult, kaotavad ettevõtted nii raha, usalduse kui ka konkurentsieelise.”
Paal soovitas ettevõtetel maine- ja rahaliste riskide vältimiseks kindlaks teha andmevood ja andmete rahvusvahelised edastused ning kontrollida, kas kõik ettevõttega seotud alamtöötlejad on kaetud andmetöötluse lepingutega. Regulaarselt tuleb tema sõnul uuendada privaatsusteatised ja nõusolekumallid vastavalt uusimale praktikale, õppides ka teiste vigadest. Mööda ei tohi vaadata ka regulaarsete riskipõhiste auditite läbiviimisest, veendudes, et isikuandmete töötlemisel on selge õiguslik alus.
„Ka kõige parem süsteem ei toimi, kui inimesed ei tunne reegleid ega taju ohte. Töötajate koolitamine on andmekaitses võtmetähtsusega, sest suurimad rikkumised saavad alguse teadmatusest,” rõhutas Paal.
Eesti iduettevõtte loodud GDPR Register on arendatud koostöös IT-ekspertidega ning teeb GDPRi nõuete järgimise lihtsaks ja loogiliseks, aidates ettevõtetel ja asutustel efektiivselt hallata GDPR-regulatsiooniga kaasnevaid protsesse, toiminguid ja dokumente.
