RC duomenų vagystė: kas keisis Lietuvos rinkoje dabar

Registrų centro duomenų vagystės tyrimas Lietuvoje įgauna ne tik teisinį, bet ir platesnį technologinį atspalvį. Generalinei prokuratūrai toliau aiškinantis incidento aplinkybes, advokatai, ieškantys galimai nukentėjusių gyventojų, skelbia sulaukę daugiau nei šimto žmonių kreipimųsi. Tai jau viršija minimalų skaičių, reikalingą grupiniam ieškiniui inicijuoti, tačiau teisininkai pabrėžia, kad kol kas vyksta pirminis situacijos vertinimas.

Šis atvejis svarbus ne tik tiems, kurių asmens duomenys galėjo būti paviešinti. Jis kelia platesnius klausimus apie tai, kaip Lietuva saugo valstybės registruose kaupiamą informaciją, kokie kibernetinio saugumo standartai taikomi viešajame sektoriuje ir kokių teisių gali tikėtis Lietuvos vartotojai, kai jų duomenys nuteka ne iš privataus verslo, o iš valstybės valdomos infrastruktūros.

Daugiau nei 100 žmonių domisi galimu grupiniu ieškiniu

Advokato Antano Jonikaičio teigimu, po viešai nuskambėjusio Registrų centro incidento matomas akivaizdus poreikis telkti nukentėjusius asmenis ir įvertinti, ar yra pagrindas kreiptis į teismą dėl žalos atlyginimo. Pasak jo, šiuo metu kvietimas registruotis nereiškia, kad žmogus jau automatiškai tampa ieškovu byloje. Tai veikiau pirmasis etapas, padedantis nustatyti, kiek asmenų norėtų ginti savo teises kolektyviai.

Lietuvos teisinėje praktikoje tokio masto ginčas dėl valstybės registro duomenų nutekėjimo būtų išskirtinis. Jei byla pasiektų teismą, ji galėtų suformuoti naują precedentą, kuris ateityje būtų svarbus tiek gyventojams, tiek institucijoms, tiek Lietuvos rinkoje veikiančioms technologijų bendrovėms, tvarkančioms jautrius duomenis.

Kodėl grupinis ieškinys gali būti racionalus?

Grupinis ieškinys tokiose situacijose leidžia sujungti daugelio nukentėjusiųjų interesus į vieną procesą. Tai ypač aktualu, kai kiekvienam asmeniui padaryta žala gali būti individualiai sunkiai įvertinama, tačiau bendrai incidento mastas yra labai didelis. Didesnis ieškovų skaičius gali sumažinti proceso kaštus ir padaryti teisinę gynybą prieinamesnę paprastiems gyventojams Vilniuje, Kaune, Klaipėdoje ir kituose Lietuvos miestuose.

Kokios žalos atlyginimo būtų siekiama?

Pagrindinis galimo ieškinio tikslas būtų žalos priteisimas. Vis dėlto konkrečios sumos kol kas neįvardijamos, nes jos priklausytų nuo to, kokie neteisėti veiksmai būtų nustatyti tyrimo metu. Teisininkai vertintų ne tik patį duomenų atskleidimo faktą, bet ir tai, ar buvo tinkamai užtikrintas informacijos saugumas, ar institucijos pakankamai greitai informavo visuomenę ir galimai nukentėjusius asmenis.

Ypač jautrus aspektas yra tai, kad kalbama apie valstybės registrą. Gyventojai negali pasirinkti, ar jų duomenys bus saugomi tokiose sistemose – tam tikra informacija kaupiama privalomai. Dėl šios priežasties iš valstybės skaitmeninių paslaugų tikimasi aukščiausio patikimumo, skaidrumo ir kibernetinio atsparumo.

Ką žinome apie patį incidentą?

Viešai skelbta, kad iš Registrų centro galėjo būti neteisėtai pasisavinta daugiau nei 600 tūkst. Nekilnojamojo turto registro įrašų. Kartu galėjo nutekėti ir itin jautrūs asmens duomenys, įskaitant asmens kodus. Teisėsaugos duomenimis, neteisėti prisijungimai galėjo būti vykdomi naudojant iš užsienio perimtas Migracijos departamento darbuotojų paskyras.

Pirmieji neteisėti veiksmai, kaip nurodoma, galėjo prasidėti dar metų pradžioje. Registrų centrui apie incidentą tapo žinoma balandžio pradžioje, o visuomenė apie situaciją informuota gegužės pabaigoje. Būtent laiko tarpas tarp incidento nustatymo ir viešo pranešimo gali tapti vienu iš vertinamų klausimų.

Kibernetinio saugumo pamokos Lietuvos rinkai

Šis atvejis parodo, kad kibernetinis saugumas Lietuvoje nebėra tik IT skyrių problema. Tai reputacijos, pasitikėjimo ir teisinių rizikų klausimas. Lietuvos verslui ir viešajam sektoriui tai signalas iš naujo įvertinti prieigos valdymą, darbuotojų paskyrų apsaugą, duomenų šifravimą, veiksmų žurnalavimą ir incidentų valdymo procedūras.

Svarbiausios technologinės priemonės

Tokiuose scenarijuose itin svarbios kelios saugumo funkcijos: kelių veiksnių autentifikavimas, privilegijuotų paskyrų kontrolė, anomalijų stebėsena realiuoju laiku, automatiniai įspėjimai apie neįprastus prisijungimus ir reguliarūs saugumo auditai. Globalioje rinkoje tokios praktikos jau laikomos standartu, o Lietuvoje jos tampa būtinybe ne tik bankams ar fintech įmonėms, bet ir valstybės registrams.

Lietuviams vis dažniau naudojantis e. valdžios paslaugomis, elektroniniu parašu, savitarnos portalais ir skaitmeninėmis tapatybės priemonėmis, pasitikėjimas duomenų apsauga tampa kertiniu skaitmeninės valstybės veiksniu. Jei vartotojai nepasitiki sistemomis, lėtėja ir inovacijų įsisavinimas.

Ką turėtų daryti gyventojai ir įmonės?

Gyventojams rekomenduojama atidžiau stebėti įtartinus pranešimus, saugotis sukčiavimo bandymų, neskubėti spausti neaiškių nuorodų ir tikrinti, ar jų vardu neatliekami neįprasti veiksmai. Asmens kodo nutekėjimas savaime dar nereiškia tiesioginės finansinės žalos, tačiau kartu su kitais duomenimis jis gali būti naudojamas socialinės inžinerijos atakoms.

Įmonėms Lietuvos rinkoje verta peržiūrėti, kokius klientų duomenis jos renka, kiek laiko juos saugo ir ar tikrai turi tam teisinį pagrindą. Mažesnis saugomų duomenų kiekis dažnai reiškia mažesnę riziką incidento atveju.

Precedentas, galintis pakeisti požiūrį į duomenų apsaugą

Jeigu galimas grupinis ieškinys dėl Registrų centro duomenų vagystės pasiektų teismą, tai būtų viena reikšmingiausių bylų Lietuvos duomenų apsaugos istorijoje. Ji galėtų nubrėžti ribas, kokios atsakomybės tikimasi iš valstybės institucijų, kai tvarkomi milijonams gyventojų svarbūs duomenys.

Lietuvai siekiant išlikti pažangia skaitmeninių paslaugų valstybe, šis incidentas primena paprastą, bet svarbią taisyklę: inovacijos turi eiti kartu su saugumu, o vartotojų pasitikėjimas yra viena svarbiausių skaitmeninės ekonomikos valiutų.