Asmens kodo naudojimas kaip prisijungimo duomenys: pavojai ir alternatyvos

Šiame straipsnyje aptarsime asmens kodo naudojimą kaip prisijungimo duomenis, įvertinsime saugumo aspektus, rizikas ir galimas alternatyvas.

Lietuvos asmens tapatybės kortelė

Bendrosios nuostatos

Asmens duomenys - bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti (duomenų subjektas). Fizinis asmuo, kurio tapatybę galima nustatyti, yra asmuo, kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti, visų pirma pagal identifikatorių, kaip antai vardą ir pavardę, asmens identifikavimo numerį, buvimo vietos duomenis ir interneto identifikatorių arba pagal vieną ar kelis to fizinio asmens fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės požymius.

Duomenų tvarkymas - bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas.

Duomenų subjektas - fizinis asmuo, kurio asmens duomenys tvarkomi.

Duomenų valdytojas užtikrina, kad jo įgalioti duomenų tvarkytojai (tame tarpe darbuotojai) asmens duomenis tvarko vadovaudamiesi šiomis Taisyklėmis, ADTAĮ ir BDAR nuostatomis. Duomenų valdytojo įgalioti duomenų tvarkytojai turi teisę rinkti, tvarkyti, perduoti, saugoti, naikinti ar kitaip naudoti asmens duomenis tik atlikdami savo tiesiogines funkcijas, apibrėžtas pareigybės aprašyme, pareiginiuose nuostatuose ar tarp Duomenų valdytojo ir duomenų tvarkytojo sudaromoje sutartyje. Duomenų tvarkytojas (tame tarpe darbuotojams) draudžiama savavališkai rinkti, tvarkyti, perduoti, saugoti, naikinti ar kitaip tvarkyti asmens duomenis.

Tvarkomi asmens duomenys turi būti tikslūs ir, jei reikia dėl asmens duomenų tvarkymo, atnaujinami. Netikslūs ar neišsamūs duomenys yra ištaisomi, papildomi, sunaikinami arba jų tvarkymas sustabdomas šiose Taisyklėse nustatyta tvarka.

Asmens duomenų rinkimas, tvarkymas, saugojimas

Asmens duomenys renkami apibrėžtais ir teisėtais tikslais, nustatytais teisės aktais, ir tvarkomi su šiais tikslais suderintais būdais. Renkant ir tvarkant asmens duomenis laikomasi tikslingumo ir proporcingumo principų, nereikalaujama iš duomenų subjektų pateikti tų duomenų, kurie nėra reikalingi, nekaupiami ir netvarkomi pertekliniai duomenys.

Asmens duomenys tvarkomi tiksliai, sąžiningai, teisėtai. Asmens duomenys saugomi tokia forma, kad duomenų subjektų tapatybę būtų galima nustatyti neilgiau negu to reikia tiems tikslams, dėl kurių šie duomenys buvo surinkti ir tvarkomi.

Duomenų subjektas privalo nedelsdamas atlikti tinkamus asmens duomenų pakeitimus duomenų valdytojo interneto svetainėje arba paštu pranešti duomenų valdytojui, jeigu duomenų subjekto asmens duomenys pasikeičia po registracijos duomenų valdytojo interneto svetainėje. Duomenų valdytojas nebus atsakingas už žalą, atsiradusią duomenų subjektui ir/ar tretiesiems asmenims dėl to, jog duomenų subjektas nurodė neteisingus ir/ar neišsamius asmens duomenis arba nepateikė ir nepapildė asmens duomenų pasikeitimų.

Duomenų valdytojas įgalioja tvarkyti asmens duomenis tik tuos duomenų tvarkytojus, kurie yra raštu arba pagal įstatymą įpareigoti:

• neatskleisti, neperduoti ir nesudaryti sąlygų bet kokiomis priemonėmis susipažinti su asmens duomenimis tretiesiems asmenims, kurie nėra įgalioti tvarkyti asmens duomenis ir kuriems nėra suteikta teisė gauti asmens duomenis šiose Taisyklėse ar įstatymuose nustatyta tvarka;
• saugoti Asmens duomenų paslaptį;
• nedelsiant pranešti duomenų valdytojo vadovui apie bet kokias žinomas aplinkybes, galinčias kelti grėsmę Asmens duomenų saugumui;
• laikytis asmens duomenų apsaugą reglamentuojančių teisės aktų nuostatų.

Duomenų subjekto teisės

Duomenų subjektas turi teisę:

• žinoti (būti informuotas) apie savo asmens duomenų tvarkymą;
• susipažinti su savo asmens duomenimis ir tuo, kaip jie yra tvarkomi bei gauti visų savo asmens duomenų pateiktų duomenų valdytojui kopijas įprastiniu kompiuterių nuskaitomų formatu;
• reikalauti ištaisyti, sunaikinti savo asmens duomenis arba sustabdyti savo asmens duomenų tvarkymo, išskyrus saugojimą, veiksmus, kai duomenys tvarkomi nesilaikantTaisyklių ir kitų įstatymų nuostatų;
• nesutikti, kad būtų tvarkomi jo asmens duomenys, išskyrus teisės aktuose ir Taisyklėse nustatyta išimtis.
• reikalauti, kad jo asmens duomenys būtų visiškai ištrinti (teisė būti pamirštam), išskyrus atvejus kai duomenų valdytojas negali ištrinti duomenų dėl teisės aktuose įtvirtintų pareigų ir reikalavimų įvykdymo.

Duomenų valdytojas gavęs duomenų subjekto prašymą dėl vienos iš šių Taisyklių 3.1. punkte.

Slapukai

Interneto svetainėje yra naudojami slapukai (angl. cookies), kurie padeda užtikrinti Lankytojams teikiamų paslaugų kokybę. Slapukas yra mažas tekstinis dokumentas, turintis unikalų identifikacijos numerį, kuris yra perduodamas iš duomenų valdytojo interneto svetainės į duomenų subjekto įrenginio kietąjį diską tam, kad duomenų valdytojas galėtų atskirti duomenų subjekto įrenginio prisijungimą prie duomenų valdytojo sistemos ir tokiu būdu interneto svetainės veikimas būtų pritaikomas ir organizuojamas konkrečiam duomenų subjektui.

Duomenų valdytojui slapuku perduodama informacija nėra asmens duomenys ir nėra naudojama duomenų subjekto tapatybei nustatyti. Duomenų subjektas sutikimą su slapukų politika patvirtina pažymėdamas, kad „Sutinku“ su slapukų naudojimu šiose Taisyklėse nustatyta tvarka ir tikslais.

Slapukų tipai:

• Seanso slapukai - leidžia greitai ir lengvai eiti per daugybę svetainės puslapių, kad kaskart apsilankius naujoje vietoje nereikėtų iš naujo apdoroti informacijos. Seanso slapukai yra laikini ir išnyksta vos tik užveriate naršyklę arba atsijungiate nuo svetainės.
• Ilgalaikiai slapukai - tai tokie slapukai, kurie nustatytą laikotarpį išlieka duomenų subjekto kompiuteryje pasibaigus naršymo seansui, todėl gali įrašyti tam tikras naudotojų parinktis arba veiksmus, kai svetainė aplankoma išnaujo.
• Pirmosios šalies slapukai - tie slapukai, kurie reikalingi svetainei tinkamai funkcionuoti.
• Trečiųjų šalių slapukai - tie slapukai, kuriuos naudoja kitos organizacijos per duomenų valdytojo svetainę.

Asmens duomenų apsaugos įgyvendinimo priemonės

Duomenų valdytojas įgyvendina tinkamas organizacines ir technines priemones, skirtas apsaugoti asmens duomenis nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo. Siekdamas užtikrinti asmens duomenų apsaugą, duomenų valdytojas įgyvendina šias asmens duomenų apsaugos priemones:

• administracines (saugaus dokumentų ir kompiuterinių duomenų bei jų archyvų tvarkymo, taip pat įvairių veiklos sričių darbo organizavimo tvarkos nustatymas, supažindinimas su asmens duomenų apsauga įdarbinant ir pasibaigus darbo ar panašiems santykiams ir k t.);
• techninės ir programinės įrangos apsaugos (tarnybinių stočių, informacinių sistemų ir duomenų bazių administravimas, darbo vietų, Bendrovės patalpų priežiūra, serverių kuriuose laikomos duomenų bazės saugumo standartų užtikrinimo ir kt.);
• komunikacijų ir kompiuterių tinklų apsaugos (bendro naudojimo duomenų, programų, nepageidaujamų duomenų paketų filtravimas (firewalling) ir kt.

Asmens duomenų tvarkymo saugos reikalavimų yra įpareigojamas laikytis kiekvienas duomenų tvarkytojas, kuriam pavedama atlikti asmens duomenų tvarkymo veiksmus.

Duomenų valdytojas taiko šias organizacines asmens duomenų saugumo priemonės:

• užtikrinama prieigos prie asmens duomenų apsauga, valdymas ir kontrolė;
• prieiga prie asmens duomenų suteikta tik tam asmeniui, kuriam asmens duomenys yra reikalingi jo funkcijoms, susijusioms su duomenų tvarkymo veiksmais, vykdyti;
• su asmens duomenimis galima atlikti tik tuos duomenų tvarkymo veiksmus, kuriems atlikti duomenų tvarkytojui yra duodamas duomenų valdytojo įgaliojimas, nurodymas ar pavedimas;
• įgyvendinti reikalavimai prieigos prie asmens duomenų slaptažodžiams: užtikrintas jų konfidencialumas; jie yra unikalūs; sudaryti iš ne mažiau kaip 8 simbolių, nenaudojant asmeninio pobūdžio informacijos; keičiami ne rečiau kaip kartą per 3 mėnesius; pirmojo prisijungimo metu naudotojo privalomai keičiami;
• apribojamas neįgaliotų asmenų patekimas į patalpas, kuriose saugomi asmens duomenys;
• užtikrinamas asmens duomenų naikinimas pasibaigus šiose Taisyklėse nustatytam duomenų saugojimo terminui;
• užtikrinama kompiuterinės įrangos apsauga nuo kenksmingos programinės įrangos - įdiegiamos antivirusinės programos, vykdomas jų atnaujinimas);
• ne rečiau kaip kartą per 1 metus atliekamas poveikio asmens duomenų saugumui vertinimas;
• aktyvioje (veikiančioje) duomenų bazėje saugomi asmens duomenys šifruojami;
• naudojamos asmens duomenų saugumo priemonės, kurių pagalba kontroliuojami duomenų bazę /tarnybinę stotį / informacinę sistemą administruojančių asmenų veiksmai.

Alternatyvūs prisijungimo būdai

Atsižvelgiant į rizikas, susijusias su asmens kodo naudojimu kaip prisijungimo duomenimis, rekomenduojama naudoti alternatyvius, saugesnius tapatybės patvirtinimo būdus:

• Smart-ID: Nemokama programėlė, leidžianti patvirtinti tapatybę naudojant PIN kodą arba biometrinius duomenis.
• Mobilusis parašas: Elektroninis parašas, saugomas SIM kortelėje, leidžiantis patvirtinti tapatybę įvedant sPIN kodą.
• Elektroninė asmens tapatybės kortelė: Kortelė su integruotu elektroniniu parašu, leidžianti patvirtinti tapatybę naudojant kortelės skaitytuvą ir PIN kodą.
• Biometriniai duomenys: Pirštų atspaudai, veido atpažinimas ir kiti biometriniai duomenys, kurie gali būti naudojami tapatybei patvirtinti.

Saugumo patarimai

Norint užtikrinti asmens duomenų saugumą, rekomenduojama laikytis šių patarimų:

• Niekada neatskleiskite savo asmens kodo tretiesiems asmenims.
• Naudokite sudėtingus ir unikalius slaptažodžius.
• Reguliariai keiskite slaptažodžius.
• Būkite atsargūs su el. laiškais ir nuorodomis, prašančiomis pateikti asmeninę informaciją.
• Naudokite antivirusinę programinę įrangą ir ugniasienes.
• Stebėkite savo banko sąskaitas ir kredito kortelių išrašus.

Laikydamiesi šių patarimų, galite apsaugoti savo asmens duomenis nuo neteisėto naudojimo ir sukčiavimo.

tags: #asmens #kodes #negali #buti #naudojams #kaip