Skaitmeninių technologijų reguliavimas: BDAR, TIS2 ir DI akto aktualijos

Spartus skaitmeninių technologijų vystimasis sukuria ne tik naujas galimybes, bet ir iššūkius, nes jų teisinis reguliavimas tik vejasi skaitmeninę pažangą. Įmonės ir organizacijos vis dažniau atsiduria kelių skirtingų reguliavimų sankirtoje, ypač kalbant apie duomenų saugumą ir incidentų valdymą.

Trumpai apžvelgsime, kaip Bendrasis duomenų apsaugos reglamentas (BDAR), Tinklų ir informacinių sistemų saugumo direktyva (TIS 2) bei Dirbtinio intelekto aktas (DI aktas) formuoja naują teisinę aplinką ir kokių veiksmų reikėtų imtis organizacijoms.

BDAR, TIS 2 ir DI akto lyginamoji lentelė:

Euopos Sąjunga toliau stiprina trisinę bazę duomenų apsaugą, kibernetinį saugumą ir dirbtinį intelektą.

Duomenų  apsaugos reglamentavimo naujovės

Nors BDAR galioja jau nuo 2018 metų, Lietuvoje nuo 2024 m. liepos 1 d. įsigaliojo Asmens duomenų teisinės apsaugos įstatymo (ADTAĮ) pakeitimai, kurie įneša keletą svarbių naujovių:

1. Sprendimų viešinimas: Valstybinė duomenų apsaugos inspekcija (VDAI) ir Žurnalistų etikos inspektoriaus tarnyba privalės viešai skelbti visus sprendimus, priimtus atlikus tyrimus dėl duomenų apsaugos pažeidimų. Pažeidimus padariusių įmonių pavadinimai taip pat bus skelbiami viešai.
2. Išplėstos NVO teisės: Ne pelno siekiančios organizacijos, veikiančios duomenų apsaugos srityje, galės teikti skundus VDAI nepriklausomai nuo duomenų subjekto įgaliojimų.
3. Darbuotojų teistumo duomenų tvarkymas: Darbdaviams suteikiama galimybė tvarkyti darbuotojų ir kandidatų teistumo duomenis, kai tai būtina dėl teisėtų darbdavio interesų, laikantis nustatytų sąlygų ir apsaugos priemonių.

Pakeitimai gali padidinti reputacinės žalos riziką įmonėms, kurios nesilaiko duomenų apsaugos reikalavimų, todėl turėtų skirti ypatingą dėmesį duomenų apsaugos atitikčiai.

Tinklų ir informacinių sistemų saugumo direktyva (TIS 2)

2023 m. sausio 16 d. įsigaliojo TIS 2 direktyva, kuria siekiama sustiprinti kibernetinį saugumą visoje ES. Iki 2024 m. spalio 17 d. jos nuostatos turi būti perkeltos į Lietuvos teisės aktus. Ši direktyva taikoma:

• Ypatingos svarbos sektoriams (energetika, transportas, bankininkystė, sveikatos priežiūra ir kt.)
• Kitiems svarbiems sektoriams (pašto paslaugos, atliekų tvarkymas, maisto gamyba ir kt.)
• Vidutinėms ir stambioms įmonėms (50+ darbuotojų, 10+ mln. EUR metinė apyvarta)

Nustatomi škie pagrindiniaireikalavimai įmonėms

• Įgyvendinti technines, operatyvines ir organizacines kibernetinio saugumo priemones
• Pranešti apie didelius kibernetinio saugumo incidentus
• Užtikrinti veiklos tęstinumą ir tiekimo grandinės saugumą

Už reikalavimų nesilaikymą gali būti skiriamos didelės baudos – iki 10 mln. EUR arba 2% metinės apyvartos.

Dirbtinio intelekto aktas

2024 m. rugpjūčio 1 d. įsigaliojo ES Dirbtinio intelekto aktas (DI aktas) – pirmasis pasaulyje teisės aktas, reglamentuojantis DI technologijų naudojimą. Nors daugelis nuostatų įsigalios tik 2026 metais, kai kurie reikalavimai bus taikomi jau nuo 2025 m. vasario:

1. Draudžiama DI praktika: Uždraudžiamos DI sistemos, kurios manipuliuoja žmonių elgesiu, išnaudoja pažeidžiamumą ar kuria masines biometrines duomenų bazes.
2. DI raštingumas: Įmonės privalo užtikrinti, kad darbuotojai, dirbantys su DI sistemomis, turėtų pakankamą raštingumo lygį šioje srityje.

DI aktas numato griežtas sankcijas už pažeidimus – baudos gali siekti iki 35 mln. EUR arba 7% įmonės metinės apyvartos.

Keletas patarimų, padėčiansčių pasiruošti šiems pokyčiams:

1. Įvertinkite, ar jūsų įmonė patenka į naujų reguliavimų taikymo sritį.
2. Peržiūrėkite ir atnaujinkite duomenų tvarkymo, kibernetinio saugumo ir DI naudojimo praktikas.
3. Investuokite į darbuotojų mokymą ir kompetencijų kėlimą.
4. Sukurkite arba atnaujinkite vidines politikas ir procedūras, atitinkančias naujus reikalavimus.
5. Reguliariai atlikite rizikų vertinimą ir stebėkite teisės aktų pokyčius

Skaitmeninių techlnologijų pažanga, jų taikymo problematika, formuojama praktika ir  BDAR, TIS2 ir DI akto teisinė bazė, reikalauja iš organizacijų visapusiško požiūrio į duomenų apsaugą, kibernetinį saugumą ir atsakingą DI naudojimą. Nors atitikties užtikrinimas kelia nemažai iššūkių, tai taip pat atveria galimybes organizacijoms sustiprinti savo pozicijas rinkoje, kelti klientų pasitikėjimą ir taikyti inovacijas ir jų pagalbą gerinti veiklos rezultatus,

Organizacijos turėtų vertinti šiuos reguliavimus ne tik kaip teisinę prievolę, bet ir kaip galimybę optimizuoti veiklą, sustiprinti duomenų valdymo praktikas ir kurti patikimesnes, saugesnes sistemas. Geriausia pokyčiams pradėti ruoštis jau šiandien ir užtikrinti ne tik atitiktį, bet ir aukštą saugumo, privatumo, teisėto ir etiško DI taikymo standartą savo veikloje.

JUMS GALI BŪTI AKTUALŪS ŠIE MOKYMAI: