Didžiausias Lietuvos interneto auditas: 96% .lt svetainių turi BDAR ar privatumo spragų

Lietuvos interneto erdvėje atliktas didžiausias iki šiol .lt domenų tyrimas atskleidė sisteminę problemą: net 96% veikiančių svetainių (99 921 iš 104 033 išanalizuotų) nustatytas bent vienas Bendrojo duomenų apsaugos reglamento (BDAR) arba e. privatumo reikalavimų neatitikimas.

Tyrimą atliko kibernetinio saugumo sprendimų bendrovė „EcomWall“, naudodama sukurtą automatizuotą analizės įrankį, kartu su advokatų profesine bendrija „Constat“. Tyrimo metu buvo išanalizuotos visos viešai pasiekiamos svetainės su domenu .lt, vertinant jų atitiktį BDAR, e. privatumo reikalavimams ir naujausioms Valstybinės duomenų apsaugos inspekcijos (VDAI) gairėms.

Kas antra svetainė pradeda sekti lankytoją dar iki jo sutikimo

Tyrimas atskleidė, kad dažniausiai pasitaikančios problemos susijusios ne su Privatumo politikos dokumentais ar formaliomis procedūromis, o su realiais techniniais veiksmais, vykstančiais naudotojams net nežinant.

Vienas reikšmingiausių tyrimo rezultatų – 53,9% patikrintų svetainių perduoda duomenis analitikos ar reklamos platformoms dar prieš vartotojui išreiškiant sutikimą (paspaudus slapukų juostoje „Sutikti“ arba „Atmesti“). 30,6% svetainių visai nepateikia sutikimo juostos, o 17% svetainių juostoje nėra „Atmesti“ mygtuko.

„Didžiausias netikėtumas buvo ne neatitikties atvejų skaičius, o jų mastas. Problema pasirodė būdinga ne tik mažoms ar senoms svetainėms, bet ir e. parduotuvėms, universitetams, savivaldybėms bei kitoms organizacijoms. Daugelis svetainių savininkų mato veikiančią slapukų juostą ir mano, kad privatumo reikalavimai yra įgyvendinti, tačiau techninis patikrinimas dažnai parodo visai kitą vaizdą“, – sako „EcomWall“ vadovas Tomas Redeckas.

Daugiau nei pusė svetainių neturi pasiekiamos privatumo politikos

Tyrimas taip pat parodė, kad 60% svetainių nebuvo rasta pasiekiamos privatumo politikos. Iš jų net 96% apskritai neturėjo jokio privatumo pranešimo, o likusiose buvo pateikta tik slapukų politika.

Be to, 23,8% svetainių, kuriose privatumo politika buvo pasiekiama, joje trūko bent vieno privalomo elemento – duomenų tvarkymo teisinio pagrindo, saugojimo terminų, naudojamų slapukų sąrašo ar informacijos apie duomenų perdavimą trečiosioms šalims.

Problema būdinga ir didžiausioms organizacijoms

Siekdami įvertinti situaciją skirtinguose sektoriuose, tyrimo autoriai papildomai analizavo atpažįstamus rinkos lyderius. Nustatyta, kad neatitikčių aptikta 100% tikrintų lažybų sektoriaus svetainių, skelbimų portalų, telekomunikacijų bendrovių, universitetų, savivaldybių. Tarp didžiausių el. prekybos svetainių neatitikčių nustatyta 95,7%, o tarp bankų ir finansų sektoriaus organizacijų – 90,9%

Šie rezultatai rodo, kad privatumo ir slapukų atitikties problemos nėra būdingos tik mažoms organizacijoms ar pasenusioms svetainėms – jos paplitusios praktiškai visuose sektoriuose.

Beveik kas trečia svetainė net nebando gauti sutikimo

Dar vienas iškalbingas rezultatas – 30,6% patikrintų svetainių apskritai nepateikė jokios slapukų sutikimo juostos ar kito sutikimo valdymo mechanizmo.

Tyrimo metu taip pat nustatyta, kad svetainės, kuriose buvo aptikta neatitikimų, vidutiniškai turėjo po 2,8 skirtingo tipo BDAR ar e. privatumo neatitiktis.

„Svarbu suprasti, kad dauguma šių problemų greičiausiai nėra tyčiniai pažeidimai. Dažniausiai jos atsiranda dėl senų svetainių šablonų, netinkamai sukonfigūruotų analitikos įrankių arba standartinių slapukų valdymo sprendimų, kurie sukuria atitikties įspūdį, tačiau realiai neveikia taip, kaip tikisi svetainės savininkas. Reikšmingiausi tyrimo radiniai susiję ne su dokumentais, o su realiai vykstančiu sekimu iki vartotojo sutikimo“, – teigia „Constat“ advokatas Tomas Tobulevičius.

Tyrimo tikslas – padėti svetainių savininkams pastebėti rizikas

Pasak tyrimo autorių, iniciatyva nėra skirta identifikuoti ar viešai vertinti atskiras organizacijas. Tyrimo tikslas – parodyti bendrą Lietuvos interneto būklę ir padėti svetainių savininkams anksčiau pastebėti galimas rizikas.

„Didžiausią susirūpinimą kelia tai, kad dalis organizacijų apie daromus pažeidimus greičiausiai net nežino. Europos priežiūros institucijos už panašius slapukų ir sekimo pažeidimus jau yra skyrusios milijonines baudas, o Lietuvoje vis dažniau matome atvejų, kai tyrimai pradedami gavus vartotojų ar konkurentų skundus. Tokiu atveju vieną dieną problema gali virsti ne tik VDAI tyrimu, bet ir reputacine krize“, – teigia tyrimo autoriai.

Su visa tyrimo metodologija ir rezultatais galima susipažinti specialiame interneto puslapyje: [ATASKAITA].

Bet kuris .lt domeno valdytojas šiame puslapyje taip pat gali sužinoti, ar jo svetainėje rasta pažeidimų. Prieiga prie konkrečios svetainės rezultatų suteikiama tik patvirtinus domeno valdymą (laikantis BDAR).

—————

Tyrimo metu buvo analizuojamas daugiau kaip 139 tūkst. .lt domenų sąrašas. Iš jų 104 033 svetainės matavimo metu buvo veikiančios ir prieinamos automatizuotam lankytojui, todėl būtent jos buvo įtrauktos į galutinę analizę.

Kiekviena svetainė buvo tikrinama naudojant „EcomWall“ įrankį, kuris imitavo pirmą kartą svetainėje besilankantį naudotoją be ankstesnės naršymo istorijos, išsaugotų slapukų ar sutikimų. Tyrimo metu buvo fiksuojama, kokie slapukai ir duomenų perdavimo procesai vyksta automatiškai dar prieš vartotojui priimant bet kokį sprendimą.