BDAR auditas: 96 proc. Lietuvos .lt svetainių turi spragų

Lietuvos skaitmeninė rinka sparčiai auga: e. prekyba plečiasi Vilniuje, Kaune ir regionuose, savivaldybės vis daugiau paslaugų perkelia į internetą, o įmonės aktyviai naudoja analitikos, reklamos ir rinkodaros automatizavimo įrankius. Tačiau naujas plataus masto .lt domenų auditas parodė, kad technologinė pažanga ne visada žengia kartu su privatumo apsauga.

Kibernetinio saugumo sprendimų bendrovės „EcomWall“ ir advokatų profesinės bendrijos „Constat“ atliktas tyrimas atskleidė, jog net 96 proc. veikiančių lietuviškų svetainių turi bent vieną BDAR arba e. privatumo reikalavimų neatitikimą. Iš 104 033 patikrintų veikiančių svetainių problemų rasta 99 921 atveju. Tai vienas reikšmingiausių signalų Lietuvos verslui, viešajam sektoriui ir technologijų bendruomenei: vien turėti slapukų juostą nebepakanka.

Tyrimo metu buvo vertinama, kaip .lt domenų svetainės laikosi Bendrojo duomenų apsaugos reglamento, e. privatumo taisyklių ir naujausių Valstybinės duomenų apsaugos inspekcijos gairių. Analizė apėmė ne tik matomus dokumentus, bet ir realius techninius veiksmus – kokie slapukai įrašomi, kada pradedamas naudotojo sekimas ir ar duomenys perduodami trečiosioms šalims dar prieš lankytojui priimant sprendimą.

Kas antra svetainė lankytoją seka dar prieš sutikimą

Vienas svarbiausių audito rezultatų – 53,9 proc. tikrintų svetainių duomenis analitikos ar reklamos platformoms perduoda dar iki vartotojo sutikimo. Kitaip tariant, lankytojas dar nespėja paspausti „Sutikti“ ar „Atmesti“, tačiau tam tikri sekimo mechanizmai jau gali būti aktyvūs.

Lietuviams tai svarbu ne tik teoriškai. Daugelis vartotojų kasdien lankosi e. parduotuvėse, naujienų portaluose, bankų, universitetų, klinikų ar savivaldybių puslapiuose. Jei svetainė netinkamai valdo slapukus, naudotojo naršymo duomenys gali būti perduodami reklamos tinklams, analitikos įrankiams ar kitoms platformoms be aiškaus ir savanoriško sutikimo.

Dar 30,6 proc. svetainių apskritai nepateikė jokios slapukų sutikimo juostos ar kito sutikimo valdymo mechanizmo. 17 proc. atvejų naudotojui nebuvo suteikta lygiavertė galimybė atmesti slapukus, nes juostoje trūko mygtuko „Atmesti“. Tai rodo, kad dalis svetainių privatumo valdymą supranta kaip formalumą, o ne kaip realų naudotojo pasirinkimo mechanizmą.

Kodėl slapukų juosta ne visada reiškia atitiktį?

Šiuolaikinės svetainės dažnai naudoja „Google Analytics“, reklamos pikselius, personalizavimo įrankius, pokalbių langus, įterptus vaizdo grotuvus ar socialinių tinklų papildinius. Visi šie sprendimai gali rinkti arba perduoti duomenis. Jei jie įkeliami automatiškai, dar prieš sutikimą, svetainė gali pažeisti e. privatumo principus net tuomet, kai jos lange matoma gražiai atrodanti slapukų juosta.

Būtent čia atsiranda skirtumas tarp formalaus ir techninio atitikties lygio. Privatumo politika gali būti parašyta tvarkingai, tačiau jeigu svetainės kodas veikia netinkamai, rizika niekur nedingsta.

Daugiau nei pusei svetainių trūksta privatumo politikos

Auditas taip pat parodė, kad 60 proc. tikrintų .lt svetainių nebuvo rasta lengvai pasiekiamos privatumo politikos. Didžioji dalis jų neturėjo jokio privatumo pranešimo, o kai kuriais atvejais buvo pateikta tik slapukų politika, kuri nepakeičia išsamaus duomenų tvarkymo aprašymo.

Net ir tose svetainėse, kur privatumo politika buvo pasiekiama, ne viskas buvo tvarkinga. 23,8 proc. tokių dokumentų trūko bent vieno svarbaus elemento: duomenų tvarkymo teisinio pagrindo, saugojimo terminų, naudojamų slapukų sąrašo, informacijos apie duomenų perdavimą partneriams ar trečiosioms šalims.

Lietuvos rinkoje tai ypač aktualu smulkiam ir vidutiniam verslui. Daugelis įmonių interneto svetaines kuria naudodamos šablonus arba samdo išorinius kūrėjus, tačiau vėliau nepatikrina, ar įdiegti reklamos ir analitikos įrankiai atitinka BDAR reikalavimus. Tai būdinga ne tik mažoms įmonėms regionuose, bet ir sparčiai augantiems e. prekybos projektams Vilniuje bei Kaune.

Problema palietė ir didžiuosius rinkos žaidėjus

Svarbu tai, kad neatitikimai neapsiribojo pasenusiomis ar mažai prižiūrimomis svetainėmis. Papildomai patikrinus atpažįstamus sektorių lyderius, spragų rasta praktiškai visur: lažybų svetainėse, skelbimų portaluose, telekomunikacijų bendrovėse, universitetuose ir savivaldybių portaluose neatitikimų aptikta visais tikrintais atvejais.

Tarp didžiausių Lietuvos e. prekybos svetainių neatitikimų dalis siekė 95,7 proc., o bankų ir finansinių paslaugų sektoriuje – 90,9 proc. Tai rodo, kad BDAR atitiktis nėra vien teisininkų ar mažų svetainių administratorių problema. Tai technologinės infrastruktūros, kibernetinio saugumo, reputacijos ir vartotojų pasitikėjimo klausimas.

Globaliame kontekste tokios problemos nėra unikalios. Europos Sąjungoje priežiūros institucijos vis aktyviau vertina slapukų valdymą, sutikimo dizainą ir sekimo technologijas. Už netinkamą naudotojų sekimą kai kuriose šalyse jau skirtos milijoninės baudos. Lietuvos organizacijoms tai reiškia, kad laukimas, kol problema „praeis savaime“, gali tapti brangia strategija.

Kaip veikė automatizuotas „EcomWall“ patikrinimo įrankis?

Tyrimui naudotas „EcomWall“ sukurtas automatizuotas analizės įrankis imitavo naują lankytoją, kuris svetainėje apsilanko pirmą kartą. Toks virtualus naudotojas neturėjo ankstesnės naršymo istorijos, išsaugotų slapukų ar anksčiau duotų sutikimų.

Įrankis fiksavo, kokie slapukai įrašomi vos atidarius svetainę, kokie trečiųjų šalių scenarijai paleidžiami automatiškai ir ar duomenų perdavimas prasideda prieš vartotojo pasirinkimą. Toks metodas leidžia pamatyti ne deklaruojamą, o realų svetainės elgesį.

Tokio sprendimo privalumai verslui

Automatizuotas BDAR ir slapukų auditas gali būti naudingas e. parduotuvėms, žiniasklaidos portalams, „SaaS“ platformoms, viešojo sektoriaus įstaigoms ir agentūroms, kurios prižiūri daug klientų svetainių. Palyginti su rankiniu patikrinimu, automatizuotas įrankis greičiau aptinka techninius neatitikimus, leidžia analizuoti didelius domenų kiekius ir padeda suprasti, ar slapukų valdymo sprendimas veikia taip, kaip tikėtasi.

Praktiniai panaudojimo atvejai aiškūs: prieš paleidžiant naują svetainę, po reklamos įrankių diegimo, keičiant slapukų valdymo platformą, atliekant vidinį kibernetinio saugumo auditą arba ruošiantis galimam VDAI patikrinimui.

Ką turėtų padaryti Lietuvos svetainių savininkai?

Pirmiausia verta patikrinti, ar svetainėje aiškiai matoma privatumo politika ir ar joje pateikta visa būtina informacija. Antra, būtina įsitikinti, kad analitikos, reklamos ir trečiųjų šalių įrankiai nepaleidžiami iki sutikimo. Trečia, slapukų juostoje turi būti suteikta reali galimybė tiek sutikti, tiek atmesti nebūtinus slapukus.

Taip pat svarbu reguliariai peržiūrėti svetainės įskiepius, šablonus ir rinkodaros kodus. Dažnai neatitikimai atsiranda ne dėl sąmoningo pažeidimo, o dėl seniai įdiegtų sprendimų, kurių niekas nebeatnaujina. Kuo daugiau svetainėje trečiųjų šalių įrankių, tuo didesnė rizika, kad duomenys bus tvarkomi netinkamai.

Kodėl tai svarbu Lietuvos vartotojams ir verslui?

Privatumas internete tampa konkurenciniu pranašumu. Lietuvos vartotojai vis geriau supranta, kas yra slapukai, sekimas ir asmens duomenų apsauga. Įmonės, kurios skaidriai valdo duomenis, gali stiprinti pasitikėjimą, mažinti teisines rizikas ir gerinti prekės ženklo reputaciją.

Šis auditas parodė, kad Lietuvos interneto ekosistemai reikia ne tik gražesnių svetainių ar greitesnių serverių, bet ir brandesnio požiūrio į duomenų apsaugą. BDAR atitiktis turėtų tapti ne vien teisiniu dokumentu, o kasdiene technologijų kūrimo ir administravimo praktika.