Mindaugo Kiškio tinklaraštis

Intelektinė nuosavybė, technologijų teisė, privatumas ir asmens duomenų apsauga, inovacijos ir verslumas ● Intellectual Property, Technology Law, Privacy and Data Protection, Innovation and Entrepreneurship

[mkiskis-blog]

MOKSLO IR INOVACIJŲ POLITIKĄ LIETUVOJE APIBŪDINA INOVATYVIŲ SPRENDIMŲ BADAS

Veiksni Mokslo ir inovacijų politika Lietuvai reikalinga kaip oras. Birželio mėn. lydima skambių antraščių LR Prezidentė pateikė Seimui „naujas“ Mokslo ir inovacijų politikos gaires, kurias galite rasti čia, o per pastarąsias dvi savaites pristatyti ES inovacijų švieslentė ir PINO pasaulinis inovacijų indeksas parodo kur esame. Pagal abu išorinius vertinimus Europos regione Lietuva užima 24-tą vietą. Iš esmės ten pat buvome ir ankstesniais metais, ir metais anksčiau, ir dar dešimt metų anksčiau. Pastarąjį dešimtmetį Lietuva inovacijoms skyrė milijardus, vienintelis pasiekimas – patekome į grupelę šalių kurios sparčiau diegia inovacijas. Bėda tik, kad artimesni ir tolimesni kaimynai vietoje taip pat nestovi.

Po 2000 m. įvairius Lietuvos mokslo ir inovacijų politikos dokumentus – programas, strategijas, veiksmų planus, etc. – galima skaičiuoti dešimtimis. Visų jų rezultatas menkas. Paciento (Lietuvos) diagnozė Gairėse nustatyta pakankamai tiksliai– „Lietuvos mokslo ir inovacijų sistemos veiklos rezultatai neatitinka šalies socialinės ir ekonominės plėtros poreikių“, be to „daugelis visuomenės raidos ir konkurencingumo rodiklių vis dar blogėja“ (Gairių 4 ir 6 p.).

Galima panaudoti medicininę analogiją – prieš penkiolika metų pacientui (Lietuvai) – diagnozuotas pirmos stadijos vėžys. Gydėme įvairiausiai vaistais, bet būklė blogėja. Šiuo metu jau (III) stadija. Rodos pats laikas keisti gydymo būdus?

Visus Mokslo ir inovacijų politikos dokumentus Lietuvoje, taip pat ir „naująsias“ Gaires rengė „daugiau nei penkiasdešimt akademinės ir verslo bendruomenės, nevyriausybinių organizacijų, ekspertų, ministerijų atstovų“. Šie ekspertai ir atstovai – t.y. „gydytojai“ – per du dešimtmečius beveik nepasikeitė. Daugumą pažįstu asmeniškai. Su visa pagarba ekspertų amžiaus vidurkį ir mentalitetą puikiai atspindi žilos galvos Prezidentūros nuotraukoje iliustruojančioje Gairių pristatymą. Tai yra pirma Lietuvos Mokslo ir inovacijų politikos problema.

Ji sąlygoja dvi išvestines problemas – inovatyvios politikos badą ir interesų konfliktus. Dauguma Mokslo ir inovacijų politikos rengėjų daugiau ar mažiau atstovauja aukštąsias mokyklas ir valstybinius mokslinių tyrimų institutus (arba yra su jais susiję) – nejaugi jie pjaus šaką ant kurios sėdi? Nejaugi skirsi pacientui inovatyvius vaistus, jeigu pats gamini aspiriną ir jį reikia kažkam „iškišti“?

Šią Mokslo ir inovacijų politikos bėdą išduoda Gairių tekste prasprūdusi emocija –  „vis dar blogėja“. Ji rodo, kad padėties rimtumas suvoktas tikrai ne savikritiškai. Ar tikimasi stebuklingo pagerėjimo – tigro šuolio?

Skirsim daugiau aspirino ir pacientas pasitaisys... Juk „Pastarąjį dešimtmetį Lietuvoje buvo siekiama sudaryti sąlygas aukštos kvalifikacijos specialistų pritraukimui, pažangios mokslo infrastruktūros ir inovacijų plėtrai, vykdyti aukšto lygio mokslinius tyrimus, skatinti tarptautinį ir įvairių sektorių bendradarbiavimą.“ (Gairių 4 p.). Viso to rezultatą jau žinome.

Gal „daktarų“ konsiliumas pagaliau skirs pacientui – Lietuvai – inovatyvių vaistų? Deja, Gairėse inovatyvių vaistų nerasta. Palyginkit 2003 m. Lietuvos ilgalaikės mokslinių tyrimų ir eksperimentinės plėtros strategijos bei Lietuvos mokslo ir technologijų baltosios knygos receptus (žiūrėti čia) ir 2016 m. „naująsias“ Gaires. Sakyčiau 2003 m. receptai net geresni.

Esant (III) stadijos vėžiui būtinos didelės chirurginės intervencijos ir kuo labiau jas atidėliojam tuo didesnių jų reikės. 

Ko reikia Lietuvai?

Nutraukti generinę inovacijų politiką. Neturi būti inovacijų politikos dokumentų ar priemonių, kuriuose vietoje žodžio "Lietuva" įrašius "Urugvajus", "Hondūras", ar "Bulgarija" viskas puikiausiai tiks. Jeigu gairės, tikslai, uždaviniai, strategijos ar priemonės tinka visiems, reiškia jos netinka niekam.

Realaus prioriteto verslo inovacijoms. Ypač prioriteto prieš privilegijuotą valstybinį mokslą, kuriam buvo teikiama pirmenybė pastaruosius 15 metų, o pagrindiniai rezultatai yra keli stikliniai pastatai skambiai pavadinti „slėniais“, iššvaistyti šimtai milijonų eurų ES SF paramos jau pasenusiai įrangai ir nestojantis „smegenų nutekėjimas“. Mokslo infrastruktūra (laboratorijos, prietaisai ir net personalas) turi būti prieinama Lietuvos verslui už savikainą. Mokslo darbai nereikalingi verslui turi būti atliekami antraeiliškai. Šiuo metu tyrėjas nedirbantis universitete yra žemesnės kastos išdavikas, o verslui dirbti universiteto laboratorijoje su universiteto įranga yra beveik nusikaltimas.

Būtina įsisąmoninti, kad su ypač ribotais resursais Lietuvoje neturime prabangos savitiksliam mokslui. Mokslo projektai, kuriuose tiesiogiai nedalyvauja verslas išvis neturi būti vykdomi. Mokslo darbų temas, ypač temas doktorantūrai, turi formuluoti tik verslas. Beje, dar 2003 m. buvo deklaruota „Valstybinę mokslo tiriamųjų institucijų sistemą labiau orientuoti taikomųjų tyrimų linkme“ ir siekta, kad „tyrimo rezultatų – naujų praktiškai naudingų žinių – ištekliais galėtų naudotis visos (net ir mažosios) Lietuvos verslo įmonės.“ Tik tuomet ne visi suvokė, kad didžiausias pavojus (SSGG analizėje jis neidentifikuotas) yra pačios valstybinio mokslo sistemos pasipriešinimas.

Valstybinis mokslo finansavimas turi būti skiriamas mokslininkams, o ne institucijoms. Institucijos turi konkuruoti dėl talento, o ne talentas pataikauti institucijoms. Mokslo finansavimas turi būti skiriamas išimtinai mokslininkams, o ne institucijoms. Šiuo metu situacija atvirkštinė – mokslininkas be institucijos malonės (institucijos palaikymo) net negali teikti projekto paraiškos, o perėjęs į kitą instituciją ar juo labiau verslą mokslininkas iš esmės praranda vykdomus projektus. Tik mokslo finansavimą teikiant patiems mokslininkams, o ne institucijoms, bus prielaidos stipriausiems telktis kartu, silpniesiems pasitempti arba pasitraukti, o institucijoms sudaryti palankiausias sąlygas mokslininkams dirbti.

Atiduoti intelektinę nuosavybę ir visą naudą iš jos jos kūrėjams taip skatinant pumpurines įmones, o pavymui dar pridėti vienkartinius grantus. Tai neapsirikimas būtent “už ačiū” atiduoti patentus, autorių teises tiems tyrėjams ir mokslininkams kurie juos sukūrė, ir visokeriopai padėti jiems kurti pumpurines įmones. Ne valstybinio mokslo sistemos darbas yra kurti ir valdyti technologinį verslą. Privalome suteikti patiems kūrėjams teises ir bent 20k EUR vertės vienkartinį šansą pumpurinių įmonių startui, taip pat pagalbą jauno verslo buičiai (pvz. buhalterines paslaugas). Lietuvai tikrai bus didesnė nauda jeigu intelektinė nuosavybė ir pumpuriniai grantai bus sunaudoti bandant iš jų daryti verslą, nei, kad jie bus supūdyti universitetų koridoriuose ar geriausiu atveju paversti mokslo straipsniu niekieno neskaitomuose mokslo žurnaluose. Tik taip mokslininkai įgis realių verslo įgūdžių, supras ūkio poreikius ir atsiras reali mokslo-verslo sinergija. Tik taip suteiksime mokslininkams daugiau paskatų pasilikti Lietuvoje, čia mokėti mokesčius, pirkti lietuviškas prekes ir čia, o ne užsienyje, ugdyti savo vaikus.

Supratimo, kad verslas dažniausiai reiškia nuostolį, o ne pelną. Ypač inovatyvus ar pumpurinis verslas, kur pelną uždirba geriausiu atveju 1 iš 10 projektų. O inovatyviausi projektai yra ne tie, kurių vertė matuojama įmonės pajamų padidėjimu ar eksporto rodikliais per du projekto metus. Tiesiog graudu, kai institucijos reikalauja paaiškinimų, kodėl projektas yra nuostolingas, kodėl ne viskas pavyko, arba dar blogiau kai vertinimo kriterijai yra per 24 mėn uždirbamas pelnas, pirmenybė teikiama projektų rašytojų pasakoms apie fantastinius pelnus.

Prioriteto inovaciniam darbui ir mažesnio jo apmokestinimo. Inovacijas kuria ir diegia žmonės, o ne laboratorijų įranga ar pastatai. Šiuo metu daugiau kaip pusė inovaciniam darbui (ne įrangai ar pastatams!) skiriamų lėšų yra sunaudojama mokesčiams mokėti. Ne kažkokiems egzotiniams mokesčiams, o tiems patiems darbo ir socialinio draudimo mokesčiams. Kitais žodžiais tariant net ir esami apgailėtini investicijų į mokslą ir inovacijas skaičiai Lietuvoje yra ženkliai išpūsti, kadangi valstybė juos pasiima iškart sumokėjus už inovacinį darbą. Deklaruojamos mokesčių lengvatos mokslui ir inovacijoms (MTEP) Lietuvoje yra fikcija, kadangi jos neduoda jokios naudos jaunoms įmonėms (t.y. įmonėms kurios pelno neuždirba), be to, apstatytos išgaląstomis ietimis VMI ir SODROS koridoriuose.

Tai tik keletas idėjų proveržiui, bet proveržiui pirmiausia reikia naujų gydytojų. Pacientui netyčia pagerėjus gydytojai juk gali likti be darbo... 

[mkiskis-blog]

NO COUNTRY FOR PRIVACY: A REVIEW OF PRIVACY REGULATION AND PRACTICE IN LITHUANIA

Over a year ago I did survey the state of privacy in Lithuania in 2013-2014. The situation was already upsetting then, but in 2015, and especially during the first six months of 2016, it has become even direr.

The degradation of privacy has been most noticeable in the media, which feels entitled to freely portray personal images and highlight errands of the public and private persons (even when the law is obeyed), freely publish sensitive health data,  photograph and film anything and anywhere, completely disregard the privacy of residence – all without the fear of any retribution and regard for the consequences of these actions.

Formally, the media operated under the cover of the freedom of expression and freedom information (Constitution of the Republic of Lithuania, Art. 25). Due to this freedom the media is largely exempt from the Law of Legal Protection of Personal Data (Law on Legal Protection of Personal Data, Art. 8), but does it really allow full disregard of privacy? In the hierarchy of constitutional values the right to privacy (Constitution of the Republic of Lithuania, Art. 22) surpasses the freedoms of expression and information (Constitution of the Republic of Lithuania, Art. 25). Furthermore, rights and freedoms can be realized only by not violating the other Constitutional virtues and the rights of others – therefore, the gathering and dissemination of public information must be executed only in observance of the person’s right to the protection of personal data (Law on Provision of Information to the Public, Art. 14). Presuming the media do comprehend their legal obligations, they justify their dubious practices through a noble intent – by publicizing private information they are seemingly fighting alcohol or drug addictions, or illegal construction, or environmental pollution, or something else. Do these ends really justify the means and obvious violations of privacy? I do not think so.

When assessing these situations it is important to remember that the disregard of privacy in the media has become a business. Content that systematically violates privacy is lucrative because it has an audience, and the advertising within it sells well. Private content resonates, lures public reactions and plentiful comments, it is deemed premium click-bait material. Moreover, the Lithuanian media feels immune to the consequences because the maximum legal liability for privacy violations is much lower than the profit they generate. Violating privacy simply pays off!

Ignorance of privacy in Lithuania is unequivocally led and enabled by the example of privacy-ignorant government and sleepy privacy watchdogs. Members of the Parliament, having seemingly forgotten the Art. 24 of the Constitution and Art. 165 of the Criminal Code, feel free to disregard the privacy of people’s residences – enter and puff a smoke in private home yards, terraces or entertain themselves in private swings. The State Tax Inspectorate feels entitled to be informed of all electronic payment accounts, as well as the transactions done. The Financial Crime Investigation Service wants to know everything about private payment cards and transactions done with them. Other institutions want to know everything about transport passengers and their travels (PNR records), though they already know plenty (API data is already retained). The national regulations enabling all of this are extremely vague and provide no external oversight and are sure to leave no chance for the data subjects to defend themselves.

The Lithuanian government also continues to ignore the CJEU decisions (cf. C-293/12 and C-594-12) repealing the Data Retention Directive (in Lithuania the legal norms implementing the late directive are still “successfully” enforced and the further legitimization of data retention is proposed through switching the legal grounds from the EU law to the national regulation). The European Court of Human Rights practice on data retention concerning crime suspects or expired sentences (including violations of administrative law) (cf. Brunet vs. FRANCE, 21010/10) is also snubbed. Although ECHR likens the storage of such data for 20 years to indefinite storage, in Lithuania this same data is stored for over 75 years (!), because privacy was never even considered!

As soon as the government decides it must know more, we all suddenly become telephone fraudsters or even potential terrorists. Not surprisingly such major privacy-restricting regulations are introduced at the ministerial and agency regulation level, instead of legislative level.

Experience elsewhere suggests that the government’s knowing does not only fail to stop real terrorists, but the nearly unlimited data about millions of people the government retains only gives more potential power to real criminals. It is worthwhile to recall that the gravest (and affecting the most people) violations of privacy in Lithuania so far have been committed precisely by parties serving the government.

In Lithuania, privacy, even in the cases of the gravest violations, is priced at barely more than 1000 EUR (highest non-pecuniary damages award for privacy violation, cf. Civil Case 2A-389/2012, which involved disclosure of nude pictures). Other liability (pecuniary, criminal-administrative) is even lesser. Privacy defense by the data subject usually means legal proceedings lasting several years, substantial legal expenses and a Don Quixotic fight with the media, or worse – the government, which both fight dirty. I second the conclusion made by the Law Institute of Lithuania in a 2013 study – „Since the litigation regarding violations of privacy is extraordinarily lengthy – taking 2–3 years, the eventual awards frequently do not even cover expenses.” Not to mention the demeaning experiences, wasted time and stress through the process of defending your privacy. Mere fact that you wish to remain private will be played as “evidence” that you must be a potential terrorist, likely criminal or at least an alcohol sympathizer. The media and the government understand these stigmas well and actively play them to intimidate any voices of privacy.

The real price of privacy in elsewhere in the EU is best illustrated by the sanctions for privacy violations set forth in the new EU General Data Protection Regulation (GDPR), which provides fines up to 20 M EUR! GDPR accounted for sanction practice in most EU countries including the not so new EU member states. It is worth reminding that already in 2014 the Lithuanian GDP per capita made circa 75% of the EU’s average. Thus, it is not normal that awards for privacy violations in Lithuania seem, quite frankly, laughable to the residents of Western Europe. In the aforementioned Brunet vs. FRANCE case, for mere prolonged processing of data in the governmental data base the ECHR awarded 3000 EUR in non-pecuniary damages!

The climate of privacy ignorance may only be overcome through public privacy awareness and active defense in case of privacy violations. As privacy is becoming increasingly more sellable and profitable, the damages for privacy violations shall take into account income generated (even if it was not reached) and discourage profit making. Even if in the short-term the only real award is going to be just moral victory, at this rate the other alternative is a country without privacy and other liberties.

[mkiskis-blog]

Šioje šalyje nėra vietos privatumui: privatumo teisinio reguliavimo ir praktikos apžvalga Lietuvoje

Prieš kiek daugiau nei metus rengiau apžvalgą apie privatumo padėtį Lietuvoje 2013-2014 m. Padėtis jau tuo metu buvo liūdna, o per 2015 m. ir ypač 2016 m. pirmą pusmetį tapo dar blogesnė.

Labiausiai privatumas degradavo žiniasklaidoje, kuri jaučiasi visiškai nebaudžiama viešinti žmonių atvaizdus ar aprašinėti viešų ir neviešų asmenų  privačias keliones (net ir nepažeidžiančias jokių įstatymų), laisvai platinti ypatingus sveikatos duomenis,  fotografuoti ir filmuoti bet ką ir bet kur, visiškai nesiskaityti su būsto privatumu.

Formaliai žiniasklaida prisidengia tuo, kad ji atstovauja bei realizuoja informacijos ir žodžio laisvę (Konstitucijos 25 str.). Dėl to žiniasklaidai didžiąja dalimi netaikomas Asmens duomenų teisinės apsaugos įstatymas (Asmens duomenų teisinės apsaugos įstatymo 8 str.). Ar tikrai tai pagrįsta? Konstitucinėje vertybių hierarchijoje teisė į privatumą (Konstitucijos 22 st.) yra viršiau nei informacijos ir žodžio laisvė (Konstitucijos 25 str.). Be to, visos teisės ir laisvės gali būti realizuojamos tik nepažeidžiant kitų Konstitucijoje įtvirtintų vertybių ir kitų asmenų teisių – rengiant ir platinant viešąją informaciją privaloma užtikrinti žmogaus teisę į privataus pobūdžio informacijos apsaugą (Visuomenės informavimo įstatymo 14 str.).

Jei žiniasklaidos atstovai ir suvokia savo teisines pareigas, tai savo sąžinę ramina kilniais tikslais – juk viešinant privačią informaciją kovojama su girtavimu ar narkomanija, arba prieš nelegalias statybas, arba aplinkos teršimą, etc. Tačiau, ar tikslas pateisina bet kokias priemones, tarp jų akivaizdžius privatumo pažeidimus?

Vertinant šias situacijas reikia priminti, kad nesiskaitymas su privatumu yra tapęs verslu. Sistemingai privatumą pažeidinėjantis turinys yra pelningas, nes turi auditoriją, o jame talpinama reklama puikiai (ir brangiai!) parsiduoda. Toks turinys rezonuoja, sulaukia daugybės komentarų. Be to, žiniasklaida paprasčiausiai jaučiasi nebaudžiama, kadangi maksimali žiniasklaidos priemonių teisinė atsakomybė yra žymiai mažesnė už gaunamą pelną. Privatumą pažeidinėti tiesiog apsimoka!

Privatumo nihilizmą Lietuvoje savo pavyzdžiu vienareikšmiškai skatina ir valdžia. Seimo nariai pamiršę Konstitucijos 24 str. ir Baudžiamojo kodekso 165 str. jaučiasi laisvai galintys pateikti į žmonių būstus – laipioti ir parūkyti privačių namų kiemuose, terasose ar net pasisupti svetimų vaikų privačiose sūpynėse.  Valstybinė mokesčių inspekcija jaučiasi turinti teisę žinoti apie visas žmonių sąskaitas, elektroninių mokėjimų paskyras ir apie pinigus jose.  Finansinių nusikaltimų tyrimo tarnyba nori žinoti viską apie žmonių mokėjimų korteles ir jomis atliekamas operacijas.  Kitos institucijos nori žinoti viską apie visus transporto keleivius ir jų keliones, nors ir taip žino labai daug. 

Valdžios institucijos toliau sėkmingai ignoruoja Europos Sąjungos Teisingumo Teismo sprendimus (žr. C-293/12 ir C-594-12) dėl visuotinio sekimo direktyvos (Lietuvoje buvusią direktyvą įgyvendinančios teisės normos „sėkmingai“ taikomos toliau, o neatitikimą ES teisei siūloma „įteisinti“ tiesiog formaliai pripažįstant, kad visuotinis sekimas yra nacionalinio reguliavimo klausimas). Ignoruojama ir Europos Žmogaus teisių teismo praktika dėl duomenų apie įtariamuosius ar pasibaigusį teistumą (įskaitant administracinius teisės pažeidimus) saugojimą (žr. Brunet v. FRANCE, 21010/10). Europos Žmogaus teisių teismas tokių duomenų saugojimą 20 metų prilygino neterminuotam saugojimui, tuo tarpu Lietuvoje šie duomenys saugomi daugiau nei 75 metus (!),  nes valdžia Lietuvoje aukščiau privatumo! 

Kai tik valdžia nusprendžia, kad jai reikia žinoti daugiau, mes visi  paverčiami telefoniniais sukčiais arba net potencialiais teroristais.  Deja, valdžios žinojimas tikrų teroristų ne tik nesustabdo,  bet valdžios kaupiami beveik neriboti duomenys apie milijonus žmonių tikrus nusikaltėlius tik įgalina.  Primintina, kad didžiausi (ir ypač daugiausiai žmonių palietę) privatumo pažeidimai Lietuvoje ligšiol padaryti būtent valdžios atstovų.

Lietuvoje privatumas net ir grubiausių pažeidimų atvejais įkainojamas vos daugiau nei 1000 EUR (žr. 2A-389/2012) ir tai nėra vakar išaiškėjusi problema.  Be to, privatumo gynimas dažniausiai reiškia kelis metus trunkančius teisminius procesus, reikšmingas išlaidas kvalifikuotai teisinei pagalbai ir ne retai Don Kichotišką kovą su žiniasklaida ar juo labiau valdžia. Galiu vienareikšmiškai paantrinti 2013 m. studijoje Teisės instituto padarytai išvadai – „Atsižvelgiant į tai, kad teisminiai procesai dėl privatumo pažeidimų įprastai trunka ilgai, apie 2–3 metus, priteisiamų sumų dažnai nepakanka patirtoms išlaidoms atlyginti.“ O ką jau kalbėti apie ginant privatumą patiriamus išgyvenimus, gaištamą laiką ir stresą, juk esate potencialus teroristas ar mažiausiai girtuoklių gynėjas. Valdžia ir žiniasklaida tą labai gerai supranta ir labai aktyviai tuo naudojasi vis labiau naikindami privatumą.

Privatumo tikrąją kainą kitose ES valstybėse geriausiai iliustruoja naujajame ES Duomenų apsaugos reglamente numatytos sankcijos už privatumo pažeidimus (baudos net iki 20 MILIJONŲ EUR)! Beje, svarstant Duomenų apsaugos reglamentą buvo įvertinta visų šalių praktika ir atsižvelgta į naujųjų ES narių žemesnį pragyvenimo lygį. Kita vertus primintina, kad jau 2014 m. vienam Lietuvos gyventojui tenkantis bendrasis vidaus produktas (BVP) sudarė apie 75% ES vidurkio. Dėl to tikrai nenormalu, kad žalos privatumui atlyginimo sumos Lietuvoje Vakarų Europos gyventojams atrodo švelniai tariant juokingos. Minėtoje Brunet v. FRANCE byloje nukentėjusiajam vien už per ilgą duomenų tvarkymą valstybinėje duomenų bazėje buvo priteista 3000 EUR neturtinės žalos! 

Kadangi privatumas vis labiau perkamas ir parduodamas – žala jam turi būti susieta su pelnu, gaunamu iš sistemingų privatumo pažeidimų, o tvyrantį nesiskaitymą su privatumu įveiksime tik viešai reikalaudami privatumo ir aktyviai gindami savo teises. Net jei trumpuoju laikotarpiu teisiniais veiksmais pasiekiama tik moralinė satisfakcija, alternatyva yra dar blogesnė – valstybė be privatumo ir be žmogaus teisių.

[mkiskis-blog]

Bankų taisyklės Lietuvoje aukščiau įstatymo?

Bankai Lietuvoje nuolat kelia paslaugų įkainius banko skyriuose, teigdami, kad jos yra labai brangios, todėl skatina klientus naudotis elektroninėmis paslaugomis. Deja, bankų realybė, su kuria teko susidurti keletą kartų per pastarąjį pusmetį yra kiek kitokia.

Pirma patirtis – Danske Bank A/S Lietuvos filiale. Kuriant naujas įmones elektroniniu būdu Danske Bank A/S Lietuvos filialas yra vienas iš kelių, kuriame įmonės kaupiamąją sąskaitą galima atidaryti tiesiai iš Juridinių asmenų registro. Atrodo viskas paprasta ir labai pažangu, juolab, kad Danske Bank A/S Lietuvos filialas reklamuojasi kaip XXI amžiaus bankas.

Deja, atidarant einamąją įmonės sąskaitą XXI amžiaus bankas netikėtai nuspaudžia stabdžius ir kaip pasakytų amerikiečiai „comes to a screeching halt“ (liet. stoja net cypdamas). Pasirodo, einamąją įmonės sąskaitą atidaryti pateikus elektroniniu parašu pasirašytus dokumentus neįmanoma. Privaloma keliauti į banko skyrių ir pasirašinėti bankui brangiai kainuojančius popierinius dokumentus. Elektroniniu būdu to padaryti negalima.

Taigi, pasiruoškite gaišti laiką ir keliauti į brangų banko skyrių. Čia laukia dar vienas akibrokštas. Pasirodo, sertifikuotas elektroninis parašas banke apskritai nepripažįstamas. Įmonės vadovo sertifikuotu elektroniniu parašu pasirašytas įgaliojimas bankui netinka.

LR Elektroninio parašo įstatymo 8 str. 1 d., galiojantis jau 16 metų, teigia – „Saugus elektroninis parašas, sukurtas saugia parašo formavimo įranga ir patvirtintas galiojančiu kvalifikuotu sertifikatu, elektroniniams duomenims turi tokią pat teisinę galią kaip ir parašas rašytiniuose dokumentuose ir yra leistinas kaip įrodinėjimo priemonė teisme.“ Deja, banke ši įstatymo norma atsimuša į vadybininkės mantrą – banko vidaus taisykles, pagal kurias bankas elektroniniu parašu pasirašytų dokumentų nepriima.

Gal čia smulkaus bankų rinkos žaidėjo problema?

Antra patirtis – pas Lietuvos bankų rinkos banginį – AB SEB bankas. Jam pateikę sertifikuotu elektroniniu parašu pasirašytą prašymą sulauksite identiško atsakymo kaip ir Danske Bank A/S Lietuvos filiale.

Geriausia pacituosiu, nes tokio teisinio nihilizmo seniai nemačiau. AB SEB bankas oficialiai atsako – „Šiuo metu bankas nepriima iš klientų dokumentų pasirašytų saugiu elektroniniu parašu. Elektroninio parašo specifiką reglamentuojantys ir kiti su tuo susiję teisės aktai suteikia galimybę naudoti kvalifikuotą elektroninį parašą, priimti kvalifikuotu el. parašu pasirašytus dokumentus, tačiau banko neįpareigoja. Kai būsime pasiruošę, pasinaudosime minėtomis galimybėmis.“

Paklausus kuo tai motyvuojama – bankas teigia neturintis techninių galimybių patikrinti kvalifikuotus elektroninius parašus. Oficialūs ir vieši Ryšių reguliavimo tarnybos  ir Lietuvos vyriausiojo archyvaro tarnybos įrankiai bankui pasirodo yra nežinomi ir neįkandami.

Paklausus kokias technines galimybes bankas turi patikrinti raštiškus parašus popieriuje – banko atstovai praranda kalbos dovaną.

Į retorinį klausimą – ar bankų taisyklės Lietuvoje yra aukščiau įstatymo, atsakymą tegu pateikia bankų atstovai.

Tikiuosi šios problemos viešumas padės bankams mažiau veidmainiauti ir tapti XXI amžiaus bankais ne tik reklamoje. Ar bankai Lietuvoje vykdo įstatymus tik tuomet kai jiems tas naudinga?

[mkiskis-blog]

Europos Parlamentas pagaliau patvirtino ES Bendrąjį duomenų apsaugos reglamentą

2016 balandžio 14 d. Europos Parlamentas formaliai ir galutinai patvirtino Bendrąjį duomenų apsaugos reglamentą (General Data Protection Regulation (GDPR)). Naujasis Reglamentas įsigalios per 2 metus nuo jo paskelbimo ES Oficialiame Leidinyje (Official Journal), t.y. jis bus tiesiogiai taikomas visose valstybėse narėse nuo 2018 m. balandžio-gegužės mėn. Tokiu būdu duomenų valdytojams suteikiamas 24 mėn. pereinamasis laikotarpis įgyvendinti Reglamente nustatytas taisykles.

Naujasis Reglamentas pakeičia ES Duomenų apsaugos direktyvą 95/46 ir didele dalimi pakeis Lietuvos Asmens duomenų teisinės apsaugos įstatymą. Dalis esamo Asmens duomenų teisinės apsaugos įstatymo taisyklių (pvz., susijusių su vaizdo stebėjimu ar skolininkų duomenų tvarkymu) išliks, tačiau jis turės būti suderintas su Reglamentu iki jo įsigaliojimo.

Lyginant su galiojančiais teisės aktais Reglamentas žymiai išsamiau nustato asmens duomenų tvarkymo taisykles, duomenų subjektų teises, labai ženkliai sugriežtina atsakomybę už jų nesilaikymą. Duomenų apsaugos taisykles pažeidusiems duomenų valdytojams arba duomenų tvarkytojams gali būti skiriamos baudos iki 20 mln. € arba įmonės atveju – iki 4 % nuo įmonės bendros metinės apyvartos. Šias administracines sankcijas skirs nacionalinės duomenų apsaugos institucijos. Nors baudų didinimas praktikoje tikėtinai bus įgyvendinamas laipsniškai, tačiau per kelis metus jis turės artėti prie ES sankcijų vidurkių ir, lyginant su šiuo metu Lietuvoje taikoma atsakomybe už asmens duomenų tvarkymo taisyklių pažeidimus, tai bus labai dramatiškas atsakomybės padidinimas.

Reglamente labai išplėstos taisyklės, numatančios asmens sutikimą dėl duomenų tvarkymo, reglamentuojamas vaikų duodamas sutikimas, išplėstos duomenų subjekto teisės, tarp jų nustatoma platesnė teisė prieštarauti dėl jo duomenų tvarkymo, plati „teisė būti pamirštam“, kuri bus taikoma ne tik paieškos sistemoms, bet ir duomenų pirminiam valdytojui, taip pat nustatoma nauja teisė į duomenų perkeliamumą.

Duomenų valdytojams ir tvarkytojams nustatomos naujos pareigos per 72 val. pranešti priežiūros institucijai apie asmens duomenų saugumo pažeidimus. Tam tikrais atvejais pranešimą reikės teikti ir su pažeidimu susijusiems duomenų subjektams.

Visgi įsigaliojus Reglamentui verslui ir kitiems asmens duomenų valdytojams dalis pareigų bus panaikinta ar palengvinta. Svarbiausias palengvinimas yra panaikinama pareiga asmens duomenų valdytojams registruotis Valstybinėje asmens duomenų teisinės apsaugos inspekcijoje. Pačios duomenų valdytojų pareigos iš esmės nesikeičia, tačiau informaciją apie asmens duomenų valdymą ir tvarkymą Valstybinei asmens duomenų teisinės apsaugos inspekcijai pagal Reglamentą reikės teikti tik gavus individualų prašymą. Mažoms įmonėms ar organizacijoms, kuriose dirba mažiau kaip 250 darbuotojų, biurokratinė našta dar labiau palengvinama. Daugeliu atvejų tokioms įmonėms ir organizacijoms, kur asmens duomenų tvarkymas nėra nuolatinė plataus masto veikla, nereikės turėti asmens duomenų tvarkymo veiklos įrašų – specialių taisyklių ir kitų dokumentų.

Reglamente nenumatoma bendra duomenų valdytojo pareiga paskirti duomenų apsaugos pareigūną. Tai pat palengvinamas tarptautinis asmens duomenų perdavimas (ne į ES šalis), kuriam šiuo metu Lietuvoje yra būtinas Valstybinės duomenų apsaugos inspekcijos leidimas – pagal Reglamentą atskiro leidimo daugeliu atvejų nereikės. Įmonėms, veikiančioms keliose ES valstybėse, suteikiama galimybė iš esmės pasirinkti su kurios ES valstybės priežiūros institucijomis bus bendraujama.

Reglamentu taip pat nustatomas teisinis pagrindas verslo savireguliacijai, asmens duomenų tvarkymo elgesio kodeksų nustatymui ir nevalstybiniam asmens duomenų tvarkymo sertifikavimui. 

Oficialus Reglamento tekstas lietuvių kalba.

[mkiskis-blog]

Ką reikia žinoti darbdaviams apie socialinių tinklų ir interneto naudojimą darbo vietoje: EŽTT praktika

2016 m. pradžioje Europos Žmogaus Teisių Teismas (EŽTT) priėmė sprendimą Barbulescu byloje prieš Rumuniją (BĂRBULESCU v. ROMANIA), kuris žiniasklaidoje dažnai netiksliai buvo komentuojamas kaip ribojantis darbuotojų privatumą darbo vietoje. Šis sprendimas tiesiogiai darbuotojų privatumo neriboja, tačiau aiškiau nustato sąlygas, kurias turi išpildyti darbdaviai, norėdami riboti socialinių tinklų ir interneto naudojimą darbo vietoje.

Šioje byloje EŽTT nusprendė, jog darbdavys, tikrinęs darbuotojo „Yahoo Messanger“ paskyros susirašinėjimą, teisės į asmens privatumą nepažeidė. Darbuotojo paskyra buvo stebima siekiant įvertinti vidinių įmonės aktų, reglamentuojančių darbo tvarką, laikymąsi, t.y. ar paskyra, kurią darbuotojas susikūrė darbdavio prašymu, tam, kad būtų komunikuojama su įmonės klientais, darbo metu ir darbdaviui priklausančiu inventoriumi, nebuvo naudojamasi asmeniniais tikslais. Darbdaviui patikrinus darbuotojo paskyrą ir nustačius pažeidimą – jos panaudojimą asmeniniams tikslams, darbo sutartis buvo nutraukta.

Kadangi socialiniai tinklai ir kitos interneto paslaugos visuotinai naudojami darbo vietoje, ši EŽTT byla reikšminga Lietuvos darbo teisės praktikai ir darbdavių pareigoms. Vengiant panašių teisminių ginčų darbdaviams pagal EŽTT suformuluotas gaires rekomenduotina iš anksto apibrėžti darbuotojo ir darbdavio teisėtų veiksmų ribas bei nustatyti tam vidines įmonės taisykles.

Remiantis Barbulescu išaiškinimais, darbdavys turi teisę tikrinti darbuotojui suteiktas ir (ar) darbo tikslu sukurtas (tarnybines) paskyras, kad įvertintų, ar darbuotojas nedaro darbo drausmės, darbo pareigų ar susijusių pažeidimų. Toks tikrinimas turi turėti konkretų pagrindą – turi būti kilęs pagrįstas įtarimas, jog darbuotojas atlieka (ar atliko) pažeidimus. Tikrinimo tikslas negali būti tiesiog darbuotojo asmeninės informacijos kaupimas, turinio analizė, paviešinimas ar (pa)naudojimas kitais tikslais. Darbdavys turi teisę atlikti tikrinimą ir naudoti gautą informaciją tik tam, kad nustatytų, ar yra daromas (ar buvo padarytas) pažeidimas. Nesant šio tikslo darbdavys pažeistų darbuotojo teisę į privatumą.

Pagal Barbulescu bylos praktiką, darbdavio teisė tikrinti darbuotojo tarnybines paskyras, suteiktą inventorių, priemones ar įrankius, taip pat su jomis atliekamus veiksmus turi būti aiškiai fiksuota įmonės vidaus dokumentuose. Įmonės vidaus dokumentuose turi būti aiškiai fiksuoti ir galimų darbdavio tikrinimų tikslai – kad įvertintų, ar darbuotojas nedaro darbo drausmės, darbo pareigų ar susijusių pažeidimų.

Tam, kad darbdavys, atlikdamas tikrinimo veiksmus, nepažeistų darbuotojo teisės į privatumą, darbo tvarką reglamentuojančiuose vidiniuose įmonės aktuose (darbo tvarkos taisyklėse, drausmės statutuose, pareiginiuose nuostatuose ir pan.) ir (ar) darbo sutartyse darbdavys turėtų nustatyti aiškią darbuotojo pareigą darbdavio suteiktas ir (ar) darbo tikslu, bet darbuotojo vardu, sukurtas tarnybines paskyras, suteiktą inventorių, priemones ar įrankius naudoti tik darbo tikslais. Gali būti nustatytas tiesioginis  draudimas darbuotojams darbo metu tvarkyti asmeninius reikalus.

Be to, būtina nustatyti aiškią darbdavio tikrinimo tvarką – kaip darbuotojui pateikiama informacija apie numatomą atlikti tikrinimą, jo apimtį bei tikslus, kaip komunikuojama su darbuotoju kilus įtarimui dėl atliekamo (ar atlikto) pažeidimo, kaip sudaromos sąlygos darbuotojui raštu pateikti darbdaviui paaiškinimus (šiuo atveju būtina laikytis paaiškinimų pateikimo tvarkos prieš skiriant drausminę nuobaudą, kaip reikalaujama LR darbo kodekse). Papildomai gali būti reglamentuojama tikrinamos informacijos saugojimo tvarka (kokie asmenys turi teisę susipažinti su ja, kokiais atvejais ir kokiu būdu ji yra sunaikinama ir kt.).

Nors EŽTT Barbulescu sprendimas tiesiogiai neliečia asmeninių darbuotojų paskyrų ir jų naudojimo darbo vietoje, vis dėlto Barbulescu byloje suformuluotas taisykles galima vertinti kaip bendras socialinių tinklų ir interneto naudojimo darbo vietoje taisykles.

Tai reiškia, kad darbdaviams nedraudžiama imtis tikrinimo priemonių, kai siekiama nustatyti, ar darbdavio suteiktu inventoriumi, techninėmis priemonėmis ir įrankiais darbuotojas nesinaudoja su darbu nesusijusiais tikslais bei darbo metu per asmenines paskyras netvarko asmeninių reikalų.  Tačiau tą reikia nustatyti įmonės vidaus dokumentuose.

Pagal Barbulescu byloje suformuluotas bendrąsias taisykles, darbdaviui rekomenduotina įmonės vidaus dokumentuose aiškiai apibrėžti, kas yra leidžiama ir kas yra draudžiama darbuotojams – ar darbdavio suteiktu inventoriumi, techninėmis priemonėmis ir įrankiais darbuotojas gali naudotis su darbu nesusijusiais tikslais, ar gali tą daryti nedarbo metu, pvz., pietų pertraukos metu, aiškiai nustatyti atsakomybę už taisyklių nesilaikymą.

Esant darbo taisyklėse nustatytiems atitinkamiems draudimams, jei darbo metu nedarbinei komunikacijai darbuotojas naudoja asmenines paskyras arba darbo metu darbdavio resursais naudojasi su darbu nesusijusiais tikslais (pvz.: naršo pramoginio turinio interneto portaluose ir pan.), tai yra akivaizdūs darbo drausmės ir darbo pareigų pažeidimai. Yra žinomų atvejų Lietuvoje, kai darbuotojų asmeninės interneto paskyros buvo naudojamos konfidencialios darbdavio informacijos atskleidimui ir kitiems aiškiai neteisėtiems tikslas.

Nors darbdavys neturi teisės tikrinti ir prisijungti prie darbuotojo asmeninių paskyrų, nes tai akivaizdžiai pažeistų darbuotojo privatumą, tačiau darbdavys vis dėlto turi teisę fiksuoti ir kontroliuoti patį prisijungimo prie asmeninių paskyrų ar nedarbinės veiklos faktą. Atitinkamai darbdavys turi teisę atlikti tikrinimo procedūras, kad nustatytų tokius faktus ir įvertinų, ar darbuotojas nedaro darbo drausmės, darbo pareigų ar susijusių pažeidimų. Šiuo atveju įmonės vidaus dokumentuose taip pat turėtų būti išsamiai reglamentuota tikrinimo tvarka.

Visus darbuotojus būtina faktiškai supažindinti su tokiais įmonės vidaus dokumentais. Supažindinti naujus darbuotojus geriausia pasirašytinai – sudarant naujas darbo sutartis, į jų papildomas sąlygas įtraukus atitinkamas nuostatas, pateikiant vidinius aktus susipažinimui ir pasirašytiniam patvirtinimui. Supažindinti esamus darbuotojus taip pat galima organizuojant visuotinius darbuotojų mokymus, kuriuose raštu patvirtinamas dalyvavimas. Dar vienas priimtinas būdas supažindinti darbuotojus su elektroninių resursų naudojimo taisyklėmis – informaciją apie darbuotojo pareigas pateikti kaip informacinius pranešimus, rodomus darbuotojams prisijungus prie savo paskyros darbdavio IT sistemose.

[mkiskis-blog]

Intelektinės nuosavybės teisės darbo sutartyse

Per 18 metų praktikos daugybę kartų susidūriau su situacija, kai darbo sutartyse su darbuotojais atliekančiais kūrybinį darbą, nėra jokių nuostatų susijusių su intelektinės nuosavybės teisėmis. Dalis darbdavių mano, kad juos gina įstatymas – Autorių teisių ir gretutinių teisių įstatymo 9 str. ir Patentų įstatymo 11 str. numato tam tikrus atvejus, kai intelektinės nuosavybės teisės į darbuotojų sukurtus intelektinės nuosavybės objektus pereina darbdaviui. Kita dalis darbdavių intelektinės nuosavybės teisėmis išvis nesirūpina, bent jau iki tol kol atsiranda konfliktinė situacija.

Anglosaksiškose valstybėse (JK, JAV, Kanadoje, etc.) sprendžiant intelektinės nuosavybės teisių priklausomybę yra laikomasi vadinamos užsakyto darbo (work for hire) doktrinos, kuri galioja darbuotojams, nepriklausomiems autoriams ar rangovams, taip pat kitiems asmenims su kuriais sudarytos sutartys dėl tam tikrų darbų ar paslaugų, susijusių su intelektinės nuosavybės objektais. Pagal šią doktriną visos intelektinės nuosavybės teisės besąlygiškai priklauso užsakovui, abejotinos situacijos taip pat sprendžiamos užsakovo naudai.

Kontinentinėje Europoje, taip pat ir Lietuvoje užsakyto darbo doktrina intelektinės nuosavybės teisėms negalioja, laikomasi kitokių nuostatų. Tam, kad darbuotojo intelektinės nuosavybės teisės pereitų darbdaviui yra nustatytos griežtos sąlygos:

1)      Intelektinės nuosavybės objektas turi būti sukurtas atliekant tarnybines pareigas ar darbo funkcijas;

2)      Įrodinėjimo našta, kad intelektinė nuosavybė sukurta būtent atliekant tarnybines pareigas ar darbo funkcijas, tenka darbdaviui;

3)      Intelektinės nuosavybės teisės automatiškai pereina darbdaviui tik trumpam laikotarpiui (bendra taisyklė Autorių teisių ir gretutinių teisių įstatymo 9 str. – tik 5 metams; neterminuotai darbdaviui pereina tik teisės į kompiuterių programas, kurias sukūrė darbuotojas atlikdamas savo tarnybines pareigas ar darbo funkcijas);

4)      Darbuotojui išradimo autoriui turėtų būti mokamas autorinis atlyginimas arba „sutartas padidintas atlyginimas (Patentų įstatymo 11 str. 5 d.);

5)      Intelektinės nuosavybės teisės darbdaviui pereina mažiausia apimtimi, kuri buvo aiški ir suprantama darbuotojui pagal darbo tikslus ir aplinkybes (Autorių teisių ir gretutinių teisių įstatymo 40 str. 2-3 d.);

6)      Susitarimai dėl intelektinės nuosavybės teisių turi būti rašytinės formos;

7)      Visos abejonės sprendžiamos darbuotojo naudai.

Neapibrėžtumas dėl intelektinės nuosavybės teisių priklausomybės naudingas darbuotojui. Tais atvejais, jeigu darbdaviui nepavyks pagrįsti, kad darbuotojas sukūręs kūrinį ar išradimą veikė atlikdamas tarnybines pareigas ar darbo funkcijas, bent jau dalis intelektinės nuosavybės teisių galės būti priskirtos darbuotojui. Kūrybinių darbuotojų darbo pareigos ir funkcijos dažniausiai apibrėžiamos abstrakčiai, todėl neapibrėžtumas gali būti ginčo prielaida, pvz. IT sistemų administratoriaus pareigos dažniausiai programavimo neapima, todėl dėl intelektinės nuosavybės teisių į tokio darbuotojo sukurtas programas, sistemų specifikacijas ir pan. geriau susitarti atskirai. Net jeigu darbuotojas pasinaudojo darbdavio resursais, tai nėra vienareikšmis pagrindas perduoti teises darbdaviui. Beje, analogiška situacija dėl intelektinės nuosavybės teisių priklausomybės yra ir su nepriklausomais autoriais ar rangovais.

Neapibrėžtoje situacijoje, darbuotojai, kuriantys intelektinius produktus turi galimybę reikalauti iš esamo ar buvusio darbdavio papildomo autorinio atlyginimo, kuris ginčo atveju gali būti labai ženklus (ypač jeigu produktas, kuriama realizuota intelektinė nuosavybė, yra komerciškai sėkmingas) arba vietoje žalos atlyginimo gali būti priteisiama kompensacija (37 650 EUR).

Pagal minėtas Autorių teisių ir gretutinių teisių įstatymo 40 str. 2-3 d. nuostatas, visos abejonės yra sprendžiamos autoriaus (darbuotojo ar rangovo), o ne užsakovo naudai. Tą geriausiai iliustruoja Nacionalinio M. K. Čiurlionio dailės muziejaus ginčas su buvusia darbuotoja dėl šios darbuotojos sukurto kūrinio išleidimo (žr. Lietuvos aukščiausiojo teismo nutartis 2007-09-27 civ. byloje Nr. 3K-3-353/2007, 2008-09-15 civ. byloje Nr. 3K-3-388/2008), kuriama autorė prisiteisė solidžias kompensacijas.

Nors nuo šių bylų praėjo nemažai laiko, praktika dėl intelektinės nuosavybės teisių darbo sutartyse iš esmės nepasikeitė, t.y., retoje naujai sudaromoje darbo sutartyje yra aptariami intelektinės nuosavybės teisių klausimai. Priežastys tikėtinai yra intelektinės nuosavybės teisių neišmanymas, bendras pasyvumas dėl intelektinės nuosavybės ar net jos nuvertinimas.

Su esamais kūrybiniais darbuotojais intelektinės nuosavybės teisių klausimus galima išspręsti arba specialiu darbo sutarties pakeitimu (kas dažnai sudėtinga), arba dar geriau - pasirašant atskirą sutartį dėl intelektinės nuosavybės teisių. Su naujais kūrybiniais darbuotojais visuomet rekomenduotina sudaryti atskirą išsamų susitarimą dėl intelektinės nuosavybės teisių.

[mkiskis-blog]

Privacy in Lithuania: what’s new in 2013-2014?

Lithuania has been a member of the European Union since 1May 2004, and diligently follows the EU guidance on regulating personal data protection. Data protection has been comprehensively regulated in Lithuania since 1996 by the special Law on Legal Protection of Personal Data (the current legislation in force is Law of 23 February 2008 (effective from 1 January 2009) with subsequent amendments effective from 1 September 2011). The Law on Legal Protection of Personal Data implements the EU Data Protection Directive 95/46/EC and also provides specific national rules on many additional issues, such as, processing of video surveillance data, processing of personal data for credit referencing and debt recovery, processing of personal identification numbers, direct marketing, etc.

Modern on the surface, the actual data protection endures to be rather nominal in Lithuania. Continuing trend in 2013-2014 is the increasingly broad and exceptions based data processing by the public data controllers. The legislative initiatives in 2013 and especially at the end of 2014 mark the reluctance of the public data controllers to follow the same basic rules for privacy and data protection as the private data controllers.

Public data controllers already control huge amounts of personal data and particularly the sensitive personal data (including citizen’s biometric data) in Lithuania. Already under existing rules the public data controllers are insufficiently accountable. Nevertheless, instead of strengthening the protection of personal data and respecting the privacy, the clear trend among public data controllers is to short-circuit them through legal exceptions.

The biggest and the most damaging infringements of privacy and personal data protection in Lithuania in 2013-2014 have been in the public sector. It is exemplified by the repeating cases where public officers possibly traded personal data for personal gain (http://www.15min.lt/naujiena/aktualu/lietuva/alytaus-policijos-pareigunai-itariami-neteisetai-rinke-asmens-duomenis-56-304478) or the reckless public internet disclosure of the personal data of the juveniles affected by the sexual abuse by the officers of the court (http://www.delfi.lt/news/daily/law/skandalas-detales-apie-moksleives-patirta-seksualine-prievarta-nagrinejo-visa-mokykla.d?id=64964429). Despite the resonance in the media, the responsibility of perpetrators and whether these cases led to any changes and improvements in personal data protection is unclear.

Another illustrative case of data protection in the public sector is the failure to implement the Decision of the Higher Administrative Court of Lithuania of December 18, 2012 pertaining to privacy violations in the electronic signature certificates issued by the State Enterprise Centre of Registers. Instead of securing the privacy of the electronic signature holders (e.g., by implementing certificate encryption), the conflicting legislation, distorting personal data protection system (and artificially creating a conflict of laws) was adopted in 2013-2014, thus continuing the unrestricted publicity of personal identification numbers in the electronic signature certificates.

The avoidance of the basic personal data protection principles is also entrenched in the new Law on Cyber Security adopted on December 11, 2014. This piece of legislation sets very broad rights for the law enforcement authorities to collect electronic personal data – ‘information that can be related with prevention and investigation of possible criminal offenses in cyberspace’. The proportionality for such processing of personal data is not addressed, and such personal data collection and further processing needs no approval from the judiciary. The procedures and conditions for such data processing were belittled to the by-law regulation.

Yet another very similar example is the proposed bulk banking data collection by the tax authorities, which is being enacted through amendments of the Articles 55 and 55-1 of the Law on Tax Administration (http://www3.lrs.lt/pls/inter3/dokpaieska.showdoc_l?p_id=473864). While these proposals are still pending, the legislative procedures are in progress and the adoption is expected in 2015.

These initiatives demonstrate unilateral administrative intervention into personal privacy, without judicial supervision, without rights to defend the privacy to the data subject, or even without rights to be informed. Article 29 Working Party in its Resolution 220 WP of August 1, 2014, stressed that bulk collection and processing of personal data should be inadmissible in the national laws. Instead, public data processing shall be based on the differentiation of personal data, limitations and exclusions. It must be ensured that that personal data is collected only when necessary.

Unfortunately, these basic principles were not ascertained in Lithuania. 2013-2014 legal regulation of data protection in Lithuania catered to the administrative interest and remained reactionary to resonant incidents, instead of following systemic and comprehensive approach. Existing and newly introduced rules remain extremely vague and the administrative practice continues to be inconsistent (e.g., on the protection of public personal data). Despite major developments at the EU level and the Lithuanian EU presidency in the second half of 2013, there were no official reactions to the new CJEU jurisprudence pertinent to the privacy protection and no official policy on emerging privacy issues.

The above overview is not a way to say that there are no private sector violations of personal data protection in Lithuania. In 2013-2014 important problems of personal data protection persisted among business parties, especially regarding the use of personal data for marketing purposed (https://www.ada.lt/go.php/lit/IMG/188). Good privacy practices have also been emerging from the private sector, for example the filtering of past public comments in the internet media, which limits the dissemination of often negative comments.

This comment is an excerpt from the 2013-2014 Human Rights Review in Lithuania prepared for the Human Rights Monitoring Institute (https://www.hrmi.lt/).

[mkiskis-blog]

Kas yra didžiausias privatumo pažeidėjas Lietuvoje?

Anksčiau esu rašęs apie nevienodą asmens duomenų apsaugą privačiame ir valstybiniame sektoriuje, tačiau 2013 m. įvykiai privatumo apsaugos srityje ir ypač 2014 m. pabaigos teisėkūros iniciatyvos Lietuvoje nuteikia dar pesimistiškiau.

Viešasis sektorius disponuojantis didžiausiais asmens duomenų kiekiais ir ypač jautriais asmens duomenimis yra nepakankamai atskaitingas už jų apsaugą, be to, užuot stiprindamos asmens duomenų apsaugą ir rodydamas pagarbos privatumui pavyzdį, įvairios institucijos kuria sau palankias teisines išimtis. Incidentai susiję su ypač dideliais arba sunkiausias pasekmes sukeliančias asmens duomenų apsaugos teisių pažeidimais Lietuvoje yra sietini būtent su viešu sektoriumi. Paminėtini kartotiniai atvejai, kai policijos pareigūnai galimai prekiavo asmens duomenimis (http://www.15min.lt/naujiena/aktualu/lietuva/alytaus-policijos-pareigunai-itariami-neteisetai-rinke-asmens-duomenis-56-304478) arba dėl teismo darbuotojų kaltės buvo paviešinti nepilnamečių, susijusių su seksualine prievarta, asmens duomenys (http://www.delfi.lt/news/daily/law/skandalas-detales-apie-moksleives-patirta-seksualine-prievarta-nagrinejo-visa-mokykla.d?id=64964429). Nepaisant rezonanso žiniasklaidoje šių incidentų baigtis ir kaltininkams taikyta atsakomybė yra neaiški.

Dar vienas iliustratyvus viešojo sektoriaus požiūrio į privatumą pavyzdys yra per 2013-2014 m. neįgyvendintas Vyriausiojo administracinio teismo 2012 m. gruodžio 18 d. sprendimas dėl privatumo pažeidimų VĮ Registrų centras išduodamuose elektroninio parašo sertifikatuose. Vietoje to, kad apsaugoti pasirašančių asmenų privatumą elektroniniuose parašuose, 2013-2014 m. laikotarpiu priimti prieštaringi teisės aktai, iškraipantys asmens duomenų teisinės apsaugos sistemą (dirbtinai sukuriant teisės aktų koliziją) ir sąlygojantys besitęsiantį asmens kodų viešinimą elektroninių parašų viešuose sertifikatuose.

Viešojo sektoriaus siekį išvengti asmens duomenų teisinės apsaugos nustatant specialias išimtis ir tęsiant masinį asmens duomenų tvarkymą rodo 2014 m. gruodžio 11 d. priimtas Kibernetinio saugumo įstatymas. Šiame įstatyme nustatytos ypač plačios teisėsaugos struktūrų teisės rinkti elektroninius asmens duomenis – “informaciją, reikalingą teisės pažeidimams, galimai turintiems nusikalstamos veikos požymių,kibernetinėje erdvėje užkardyti ir tirti” – nėra atsvertos proporcingais privatumo ir asmens duomenų teisinės apsaugos saugikliais. Šios informacijos teikimo tvarka ir sąlygos numenkintos iki reglamentavimo poįstatyminiuose aktuose. Beveik analogiškas atvejis – finansinių duomenų masinis teikimas mokesčių priežiūros institucijoms, siūlomas nustatyti LR Mokesčių administravimo įstatymo 55 ir 551 str. pakeitimais (http://www3.lrs.lt/pls/inter3/dokpaieska.showdoc_l?p_id=473864). Nors šie siūlymai dar nepriimti, tačiau jų priėmimo procedūros yra pasistūmėję ir tikėtinos 2015 m.

Minėta praktika ir teisės aktai demonstruoja vienašališką valstybės intervenciją į asmens privatumą, nenustatant net teisminės priežiūros ir nesuteikiant jokių galimybių ginti savo privatumą tuo metu, kai jis pažeidžiamas. ES 29 straipsnio duomenų apsaugos darbo grupės 2014 m. rugpjūčio 1 d. nutarimu WP 220 pabrėžiama, kad nacionaliniuose įstatymuose turėtų būti atsisakyta masinio asmens duomenų tvarkymo, vietoje jo nustatant duomenų diferencijavimo, ribojimo ir išskyrimo taisykles, taip pat užtikrinant, kad duomenys valstybinėms struktūroms bus prieinami tik esant būtinybei. Į šiuos siūlymus Lietuvoje nebandoma įsiklausyti. Teisinis reglamentavimas dažniausiai nustatomas post factum reaguojant į rezonansinius incidentus, be to yra abstraktus, o administracinė praktika nenuosekli. Į naują ES praktiką privatumo apsaugos srityje Lietuva taip pat reaguoja vangiai.

Privačiame sektoriuje 2013-2014 m. laikotarpiu taip pat išliko svarbių asmens duomenų teisinės apsaugos problemų (ypač dėl asmens duomenų panaudojimo rinkodarai (https://www.ada.lt/go.php/lit/IMG/188)), tačiau atsirado ir geros praktiškos apraiškų, pvz. senesnių interneto komentarų slėpimas interneto žiniasklaidos priemonėse, taip apribojant dažnai neigiamos informacijos viešą sklaidą.

Šios mintys yra ištrauka iš teksto ruošto ŽTSI (https://www.hrmi.lt/) leidžiamai Žmogaus teisių apžvalgai Lietuvoje 2013-2014 m.

[mkiskis-blog]

Mokslo konkursinio finansavimo problemos Lietuvoje

Vienu iš mokslo ir studijų reformos šviesulių Lietuvoje įprastai minimas mokslo konkursinis finansavimas. Pati idėja yra pasiskolinta iš pažangių valstybių ir iš esmės yra gera, tačiau realizuota specifikai, ženkliai sumenkinant sistemos privalumus. Su sistema betarpiškai esu susidūręs ne vieną kartą, be to, turiu tiesioginės patirties su užsienio mokslo grantų sistemomis, todėl galiu palyginti ir išskirti didžiausias problemas. Beje, dėl trijų svarbiausių vakar diskutavome ir vieningai sutarėme su dr. Daumantu Matuliu, Lietuvos nacionalinės mokslo premijos laureatu:

Diskriminacinis jaunųjų tyrėjų finansavimas

Finansavimas pririštas prie institucijos

Finansavimo saistymas su biurokratinėmis metrikomis.

Pirmąją problemą lemia iš esmės iš sovietmečio paveldėta sistema, kad atlyginimus tyrėjams nustato ne projekto vadovas ar vadovai, ir juos lemia ne pasiekti rezultatai, o biurokratai užbrėžę pareiginių atlyginimų koeficientus. Jaunųjų mokslo darbuotojų atlyginimų ribos Lietuvoje yra švelniai tariant gėdingos ir demotyvuojančios. Jos ypač nepadeda norint susigrąžinti į Lietuvą jaunus žmones, kurie įgiję išsilavinimą užsienyje bent jau svarsto galimybes grįžti. Esu asmeniškai susidūręs su žmonėmis, kurių mokslinis darbas publikuotas prestižiškiausiuose tarptautiniuose mokslo žurnaluose, tačiau neturint mokslo daktaro laipsnio Lietuvoje jų darbas vertinamas apie 200 litų per mėn. Būtina kuo skubiau suteikti galimybę atlyginimus mokslo projektuose reguliuoti projektų vadovams pagal gebėjimus ir rezultatus, o ne pagal formalias pareigybines kategorijas.

Antroji problema taip pat yra reliktas, apsunkinantis akademinį mobilumą ir tarpinstitucinį bendradarbiavimą, sveiką konkurenciją tarp institucijų pritraukiant šviesiausius protus, kurie paskui save atsineša mokslo grantus. Būtent taip sistema funkcionuoja JAV, JK, Kanadoje ir Skandinavijos šalyse, būtent taip veikia Europos Mokslo Taryba (European Research Council), bet ne Lietuva. Šios problemos sprendimas būtinas ir didesniam tyrėjų dalyvavimui versle.

Trečia problema yra prisirišimas prie formalių projektų rezultatų. Būtina suprasti, kad mokslas kaip kūrybinis procesas negali būti tiksliai prognozuojamas. Prognozuojamas mokslas apskritai nėra mokslas. Todėl, yra absurdiška reikalauti, kad užsibrėžtas rezultatas bus pasiektas iki konkrečios dienos, ar netgi, kad tarptautinės leidyklos paklustų lietuviškų mokslo grantų nustatytiems terminams. Mokslo projektuose būna visko – žmonės serga ar keičiasi, instrumentai genda, leidėjai vėluoja, gavus pirmuosius rezultatus paaiškėja metodikų trūkumai ir pan., todėl projektuose turi būti didesnis lankstumas. Visiškai nesuvokiami ir nepriimtini biurokratiniai sprendimai įšaldyti finansavimą projekto viduryje vien dėl to, kad tarpinė publikacija, gavusi teigiamas recenzijas ir priimta spausdinti prestižiniame mokslo žurnale dar nėra fiziškai atspausdinta.

Šių problemų sprendimai yra akivaizdūs, reikia tik jų suvokimo, valios sprendimams ir daugiau pasitikėjimo Lietuvos mokslininkais, ypač jaunaisiais.

[mkiskis-blog]

Inovatyvaus verslo plėtros problemos Lietuvoje

Dalyvaudamas Ūkio ministerijos Inovacijų konferencijoje susisteminau mintis dėl inovatyvaus verslo plėtros problemų Lietuvoje. Dauguma jų pagrįstos tiesiogine patirtimi inovatyviame versle, likusi dalis gerąja praktika užsienyje, kurią gali rasti JAV, Izraelyje, Kanadoje ar Švedijoje. Ne visos yra matomos, nes dauguma slepiasi po skambiais inovacijų skatinimo Lietuvoje prioritetais, bet jų sprendimas svarbesnis už paramos inovacijos prioritetus.

1. MTEP personalo pritraukimas ir išlaikymas įmonėse:

Mokslininkų ir tyrėjų darbo verslo įmonėse skatinimas (reikalingas mokestinis kreditas, pvz., pajamų mokesčio, socialinio draudimo);

Parama jaunųjų tyrėjų susigrąžinimui iš užsienio (baigus magistrantūrą ar doktorantūrą užsienyje turėtų būti galimybė gauti grantą moksliniam darbui (pvz. 10k EUR), kurį žmogus pats nusineštų į norimą instituciją ar įmonę);

Jaunųjų tyrėjų nediskriminavimas verslo projektuose - atlyginimas projektuose jauniesiems tyrėjams neturi būti ribojamas universitetinėmis atlyginimų kategorijomis (pvz. neturi būti aklai reikalaujama dr.);

Vienodos galimybės mokslininkams dirbantiems universitete ir versle gauti konkursinį mokslo finansavimą;

Prioritetinis finansavimas (daugiau balų) tiems mokslo projektams, kurie realiai reikalingi verslui (pvz., LMT mokslininkų grupių projektuose);

Naujų disertacijų temos turėtų būti suderintos su verslu.

2. Prieiga prie infrastruktūros bei mokslo ir studijų institucijose (MSI) kuriamų technologijų:

Įmonėms (ypač startuoliams) reikalinga efektyvi (greita) ir racionali (tokiom pat sąlygomis kaip vidinio MSI vartotojo) prieiga prie mokslinės infrastruktūroms tam, kad būti konkurencingiems tarptautiniuose projektuose;

Atviros prieigos infrastruktūros atskyrimas nuo MSI (tai palengvintų sąlygas įmonėms turėti sutartimis įformintą prieigą prie infrastruktūros);

Vienodos sąlygos MSI ir verslui pasinaudoti infrastruktūra (finansine prasme ir prieigos laiko prasme);

Verslo prieiga turi būti MSI infrastruktūros išlaikymo ir viešo finansavimo sąlyga;

Standartizuotas mokslinės intelektinės nuosavybės licencijavimas (reikalingas vienas langelis (Lietuvos ypatumas yra tai, kad dėl mažų universitetų daug intelektinės nuosavybės yra tarpinstitucinė; be to, universitetai neturi patirties ir elgiasi neracionaliai); standartinės sąlygos (pvz., procentas nuo būsimų pajamų iš šios IN)).

3. Struktūrinės problemos:

Sėkmės eksportas (sėkmingi projektai (ypač IT) iš esmės emigruoja iš LT, nesugrąžindami netgi gautos paramos; atitinkamai, visa sėkmingų projektų nauda darbo vietų ir mokesčių pavidalu iškeliauja iš LT);

Eksporto ir inovacijų tapatinimas (realiai inovatyviame versle eksportas nėra ir negali būti trumpalaikis (1-5 m.) prioritetas);

Nediferencijuoti paramos ir skatinimo instrumentai pagal verslo sektorius (pvz., IT ir biotechnologijų sektoriai yra labai skirtingi su skirtingais poreikiais, tačiau viešosios politikos ir finansinės paramos instrumentuose jie konkuruoja);

Ilgo laikotarpio investicinio kapitalo nebuvimas (ypač aktualu biotechnologijų sektoriui).

[mkiskis-blog]

Technology transfer as an operating principle of a modern university

Few weeks ago I attended a talk of the Israeli professor, discussing the entrepreneurial university and technology transfer. The professor explained the basic principles of remunerating the faculty competitively, facilitating the faculty innovation and industry demand driven research, which are employed by his university, which is an example of university-industry tandem. Indeed, industry demand driven research and conversion of research into business are basic operating principles in many Israeli academic institutions.

At the end of the talk a Lithuanian attendee sitting next to me turned to me and asked – why the speaker did not speak about technology transfer? This honest question perfectly summarizes the state of technology transfer in many European universities, including the Lithuanian ones.

Over the decade of the EU membership (2004-2014) new EU countries have poured billions into the university research infrastructure, driven by the idea that the supply of science is the weakest link in the national innovation systems. Policymakers thought that this is going to spill into the new innovative businesses and stubbornly non-innovative existing industries. Thus, majority of innovation funding was diverted to universities and especially infrastructure. Little was done to redesign the innovation systems around the industry demand for science and support for innovative entrepreneurship, and even less was done to directly support academic entrepreneurship (save for the entrepreneurial education) and initial stages (the Death Valley) of the technology startups.

Now the choices made appear increasingly questionable – universities are still stuck in producing self-centered or even useless research, which is disconnected from the industry, university patenting is abysmal (in Lithuania over 2003-2013 period the universities filed for less than 15 PCT patent applications, despite of the availability of very extensive support for patenting since 2005 (covering up to 95% of patenting expenses)), university infrastructure is underused and out of bounds for non-university researchers, while innovative university research is as rare as it was before (if not less due to braid drain).

Nevertheless, technology transfer is still assumed to be a science supply driven process by the policymakers and money still flows to the universities to set up technology transfer strategies (see e.g. http://www.mita.lt/lt/inovacijos/komercinimo-centrai/finansavimas/). While universities are enjoying the bounty, the outcomes for the economy are nowhere to be found. In one recent encounter a vice-rector of the Lithuanian university has seriously suggested that the university shall retain the intellectual property in the results of contract research fully paid for by the industry, in another case – the university claimed 10% from a turnover of the company interested in licensing pre-clinical technology.

Supply driven university technology transfer is bound to fail regardless of the resources thrown at it, especially if the demand for technology in the industry is not nurtured on equal terms and if the conversion of the university research into business is not recognized as a primary purpose. In the supply driven system there is no real incentives for the universities and faculty to engage into technology transfer, industry and university are not equals (and definitely not equally conscious about efficiency and costs). Unfortunately, in many countries it is still incomprehensible to the universities that industry shall dictate certain university research topics and priorities. Academics who venture into industry face discriminatory terms (e.g., disqualification from research grants). Universities and policy makers are not in position to unilaterally judge on the would be demand. On top of this, universities have no resources and experience in managing IP, while faculty at the universities has very little incentives to produce IP valuable to the industry (published papers count more). In the new EU member states faculty is also undercompensated, especially the youngest and most creative faculty.

Summarizing this situation, the university technology transfer has become only a formal pretence to obtain further public funding for ivory tower science, expensive infrastructure and overheads. It is not an operating principle and is therefore incomprehensible or irritating to many university incumbients. Demand driven technology transfer needs to be urgently resuscitated before all public resources are wasted on the supply of useless science.

[mkiskis-blog]

Viešų asmens duomenų apsauga

Privatumas ir viešumas iš pirmo žvilgsnio atrodo nesuderinami. Atvejai kai privati informacija patenka į viešąją erdvę (pvz., žiniasklaidą, socialinius tinklus) yra kasdienybė, todėl gali susidaryti įspūdis, jog vieša tapusi informacija yra nesaugoma ir nevaldoma.

Asmeninės informacijos viešumas nereiškia, kad visiškai atsisakome privatumo. Įstatymai saugo net ir viešą asmeninę informaciją, o kiti asmenys ją gali panaudoti tik tiek, kiek tai būtina dėl viešo intereso ar numatyta įstatymuose.

Šie klausimai aktualūs tiek privatumui internete, tiek tradicinėse erdvėse. Anksčiau esu išsamiai rašęs apie teisę būti pamirštam internete, kuri vaizdžiai iliustruoja, kad vieša asmeninė informacija vis dėl to yra saugoma ir turi būti tvarkoma prisilaikant specialių taisyklių.

Pastaruoju metu Lietuvoje formuojasi pavojinga praktika prilyginanti viešą asmeninę informaciją išvis nesaugomai viešai informacijai, kuri gali būti naudojama laisvai. Tokią praktiką formuoja priežiūros institucijos, o joms antrina teismai. Pvz., Vilniaus apygardos administracinio teismo 2013 m. balandžio 8 d. sprendime adm. byloje Nr. I-1424-815/2013 formuluojama nuostata, kad – informacija paviešinta žiniasklaidoje ir darbdavio traktuojama kaip vieša, „niekaip negali pažeisti darbuotojo teisės į privatumą“ – akivaizdžiai yra pernelyg kategoriška ir nepateisinamai plati; Kauno apylinkės teismo 2014 m. balandžio 14 d. nutarime adm. byloje Nr. A2.11-2468-660/2014 suponuojama, jog „bendro pobūdžio“ vieša informacija apie asmenis (vardai, pavardės ir pan.) yra išvis nesaugotina, tarp kitko paminint, kad jos tvarkymas pagrįstas ir specialiomis normomis. Vieša asmeninė informacija tikrai gali pažeisti asmens teises į privatumą, o jos apsauga neturi priklausyti nuo jos pobūdžio. Ir vienu, ir kitu atveju privačios informacijos viešas panaudojimas turėjo būti pagrįstas būtent specialiomis išimtinėmis įstatymų taisyklėmis ir LR Asmens duomenų teisinės apsaugos įstatymo 5 str. 1 d. 6 p.

Informacijos apie asmenį išskirtinumą (lyginant su kitomis informacijos rūšimis) parodo specialus asmens duomenų instituto reglamentavimas Europoje ir Lietuvoje. Asmens duomenys išvis nesiejami su viešumo ar neviešumo požymiu. Pagal LR Asmens duomenų teisinės apsaugos įstatymo 2 str. 1 d. „asmens duomenys – bet kuri informacija, susijusi su fiziniu asmeniu - duomenų subjektu, kurio tapatybė yra žinoma arba gali būti tiesiogiai ar netiesiogiai nustatyta pasinaudojant tokiais duomenimis […]”. LR Asmens duomenų teisinės apsaugos įstatymas nenustato, kad vieši asmens duomenys nėra saugomi. Bet kuriems asmens duomenims yra nustatomas vienodas jų tvarkymo teisinis režimas.

Asmens duomenų sąvoka remiasi ES Direktyva 95/46/EB. Direktyvos 29 straipsnio duomenų apsaugos darbo grupės (pagrindinės asmens duomenų teisę aiškinančios institucijos ES) 2007 m. birželio 20 d. Nuomonėje 4/2007 dėl asmens duomenų sąvokos nurodyta, kad Direktyvoje įtvirtintas asmens duomenų apibrėžimas rodo Europos teisės aktų leidėjo ketinimą taikyti plačią asmens duomenų sąvoką, taip pat pabrėžiama, kad informacija, kuri laikoma asmens duomenimis, su konkrečiu asmeniu gali būti susijusi netiesiogiai. Naujesnėje Direktyvos 29 straipsnio duomenų apsaugos darbo grupės 2012 m. spalio 5 d. Nuomonėje 08/2012 papildomai išaiškinama, kad asmens duomenimis laikytini bet kokie duomenys, kurie leidžia „išskirti asmenį iš asmenų grupės ir traktuoti jį skirtingai“.

Dažniausiai asmens duomenis apie konkretų asmenį sudaro viešos ir neviešos informacijos kompleksas. Tik tokiame komplekse matomi viešos informacijos (pvz., adreso, namų vaizdo, automobilio ir jo numerio, užimamų pareigų, pajamų, etc.) ir neviešos informacijos (pvz., išlaidų, gyvenimo būdo, asmeninių santykių, intymaus gyvenimo) ryšiai leidžia išskirti asmenį iš asmenų grupės ir traktuoti jį skirtingai. Kadangi bent dalis informacijos apie asmenį visuomet yra tam tikru mastu vieša (pvz., vardas), būtent viešos ir neviešos informacijos ryšiai dažniausia kelia didžiausią grėsmę privatumui. Tiek bendro pobūdžio, tiek netiesioginių, tiek paskirų viešų asmens duomenų, kurie leidžia apie asmenį ir jo privatų gyvenimą daryti papildomas išvadas (pvz., kad asmuo išlaidauja, kad asmuo yra pasiturintis, kad asmuo naudojasi tam tikromis paslaugomis, kad asmuo skiriasi su sutuoktiniu dėl specifinių priežasčių), susiejimas yra potencialus asmens privatumo pažeidimas.

Viešų asmens duomenų apsaugą riboja tik LR Asmens duomenų teisinės apsaugos įstatymo tikslas (1str. 1 d.) – ginti žmogaus privataus gyvenimo neliečiamumo teisę tvarkant asmens duomenis. Tai reiškia, kad viešų asmens duomenų apsaugos ribas apsprendžia tik paties žmogaus valia – ar jis norėjo, kad duomenys taptų vieši, ir jos tęstinumas – ar jis neprieštarauja, kad duomenys būtų tvarkomi bei naudojami kitų asmenų pasirinktais tikslais ir būdais.

Primintina, kad kiekvieno iš mūsų atvaizdas yra bent dalinai viešas – atvaizdo privatumo gali tikėtis tik musulmonės moterys nešiojančios burkhą, arba asmenys niekuomet neišeinantys iš namų. Faktiškai išeidamas į gatvę neužsidengęs veido asmuo išreiškia valią savo atvaizdą ribotai viešinti, tačiau tai nereiškia, kad asmens atvaizdas gali būti laisvai panaudojamas kitų asmenų ar juo labiau prieš atvaizdo savininko valią susiejamas su kitais asmens duomenimis.

Taigi, asmens duomenų viešumas savaime nėra teisinis pagrindas jų tvarkymui, ar juo labiau tolimesniam viešinimui. Išimtys iš šios taisyklės yra galimos kai tai pateisinama specialiomis taisyklėmis, viešu interesu, visuomenės informavimu ir pan. – tokios išimtys turi būti baigtinai apibrėžtos įstatymuose. Visgi, išimtys nepaneigia bendro viešų asmens duomenų apsaugos principo, tačiau tik nustato jo konkrečias ribas.

Atitinkamai, jei paskiri asmens duomenys tapo vieši (pvz., juos paviešino pats duomenų subjektas), tai nėra teisinis pagrindas kitiems asmenims naudoti tokius asmens duomenis ar, juo labiau, papildyti bei susieti juos su kitais duomenimis. Viešumas nepanaikina ir nepakeičia asmens duomenų teisinės apsaugos ir nesuteikia teisių juos naudoti nevaržomai. Jeigu duomenys bus teisėtai panaudoti visuomenės informavimo tikslais, tai nereiškia, kad tuos pat duomenis galima būti laisvai panaudoti, pvz., komercinėje reklamoje. Be to, ir visuomenės informavimo tikslai turi ribas – pagal ES Pirmos instancijos teismo 2007 m. rugsėjo 12 d. sprendimą byloje T-259/03 Nikolaou v. Commission –asmens duomenų viešinimas visuomenės informavimo tikslais laikytinas neteisėtu, jeigu duomenų paviešinimo metu visuomenei nebuvo būtinybės žinoti paviešintą informaciją.

Lietuvos teisėje jau yra pavyzdžių, kai viešų asmens duomenų tęstinis tvarkymas ir panaudojimas ribojamas, pvz., nors užtikrinamas teisminio proceso viešumas – proceso metu atskleidžiama daug asmeninės informacijos, tačiau šios viešos informacijos tęstinis tvarkymas leidžiamas tik nuasmeninus.

Atskirai paminėtina, kad Lietuvoje savotiškai įprastu pasiteisinimu asmens duomenų tvarkymui tampa tariamai atsitiktinis viešų asmens duomenų susiejimas, pvz., tariamai renkamas atsitiktinis telefono numeris marketingo skambučiams, įmonės darbuotojas (ar pažįstamas) neva prisiminė kliento atvaizdą ir pagal tai nustatė tapatybę ir pan. Toks viešų duomenų susiejimas ypač komerciniais tikslais (pvz., reklamos tikslais) yra akivaizdžiai neteisėtas asmens duomenų tvarkymas, kuris neturėtų būti toleruojamas nei teismų, nei administracinėje praktikoje remiantis tariamu viešumu.

Apibendrinant šį komentarą, noriu pabrėžti keturis svarbiausius viešos asmeninės informacijos apsaugos principus:

Paviešinta asmeninė informacija (asmens duomenys) turi būti saugoma taip pat kaip ir nevieša, jeigu pats asmuo nepageidauja tolimesnio viešumo;

Paviešinta asmeninė informacija gali būti panaudojama ir tvarkoma kitų asmenų tik tuomet, kai yra teisėtas pagrindas – asmens sutikimas, viešas interesas (pvz., visuomenės informavimo poreikis) arba kai tai konkrečiai numatyta įstatymuose;

Paviešinta asmeninė informacija be asmens sutikimo negali būti panaudojama kitam tikslui nei tam, dėl kurio ji paviešinta (pvz. visuomenės informavimo ir reklamos tikslai yra akivaizdžiai skirtingi);

Paviešinta asmeninė informacija negali būti jungiama su bet kokiais kitais asmens duomenimis, išskyrus dėl viešo intereso arba kai tai konkrečiai numatyta įstatymuose.

[mkiskis-blog]

H2020 SME innovation support: „first great success“?

In recognition of the inadequate funding for SME innovations, the EU has created a special financial instrument targeted specifically at SMEs. The first cut-off date passed on 18 June 2014, and 2 666 grant applications have been submitted. To put this number into the perspective - the general expected success rate for applications in this cut-off date is only of 6.2%. Lithuania has put forward 16 applications, thus Lithuanian SMEs will be lucky if one application is funded.

The majority of SMEs applied individually, and most consortia were of two SMEs. Given the European definition of the SME (which is accommodative to rather large companies), in an economy the size of Lithuania very few companies are disqualified. Nevertheless, assuming the costs involved, many micro enterprises (<10 employees, €2m turnover/assets) and even small enterprises – arguably the biggest disruptors and innovators, especially in small peripheral economies – are discouraged to apply.

Considering the ultra-low interest rate environment that we are in for several years already, the volume of applications shows how starved are innovative SMEs for capital and investment into innovation. It also shows how inadequate are H2020 (and also national) allocations to innovative SMEs, compared to other beneficiaries (e.g., universities). I am not going to expand on the quality of university innovation and technology transfer, the lack of which are the reasons to create direct SME funding instrument at the EU level in the first place.

According to one recent economic commentary describing current macro-economic environment – 20 percent of the economy, the listed companies and banks, get 100 percent of the credit and political capital available. Meanwhile, the 80 percent is suffocated through banks being unable to lend to them because of excessive bureaucracy and frequent late payment of invoices by governments. This means the credit due to the 80 percent is transferred to the listed companies, effectively lowering their cost of capital.

The above describes very well the current innovation funding environment, which is completely risk averse and favors the 20 percent – the incumbents with the track record of past public funding and political capital. Governments are unable to support the 80 percent of innovative SMEs due to excessive bureaucracy and lack of past support by the governments themselves! Even official criteria for H2020 SME instrument emphasize preferences for companies „based in an innovation hub, [having] received grants or venture capital funding, received innovation-related tax benefits, or won an innovation prize in the last 2 years“. Note that in small economies all venture capital funding is at least 50% tax payer’s money.

Some may argue that support for innovative SMEs and micro enterprises is a local (national) policy matter. Unfortunately, the 20/80 rule is fully valid at the local level as well – political capital, formal criteria and risk aversion (in many cases – enterprise aversion) prevails over quality of innovation. Moreover, allocation of public funding for such causes is clearly inadequate.

Lastly, it is worth noting the costs, distraction and lost opportunities of failed H2020 grant applications on the SMEs, and especially on micro enterprises. In many cases they prohibit the application altogether, but even if the application is somehow produced, the 6.2% success rate is hardly an encouragement to try again.

Unless something is done urgently to correct this imbalanced innovation system, which is ignoring the real disruptors and innovators, the innovative breakthroughs facilitated by public funding will remain a wishful dream.

[mkiskis-blog]

Teisė būti pamirštam atsirūgs?

Europos Sąjungos teisingumo teismo sprendimas byloje C-131/12 apie kurį rašiau gegužės mėnesį, kaip ir galima buvo tikėtis, sulaukė ir entuziazmo, ir kritikos. Teisinė šio sprendimo problema yra jo nekonkretumas – nėra nustatytos sąlygos „teisei būti pamirštam“, vietoje jų pažerta ypač abstrakčių vertinamųjų kriterijų. Praktinė šio sprendimo problema yra ryškėjantis jo deklaratyvumas. Teisė būti pamirštam rizikuoja tapti eiliniu lokalaus teisminio aktyvizmo farsu – interneto nesuprantančios juristų kartos bandymu primesti taisykles globaliems reiškiniams ir socialiniams santykiams.

Per pora mėnesių aiškiai išryškėjo šio sprendimo ribotumas - sprendimas konkrečiai liečia tik paieškos paslaugų tiekėjus, o ne visus interneto resursus. Absoliuti dauguma interneto resursų yra laikytina elektronine žiniasklaida, todėl naudojasi gana plačiomis žiniasklaidai suteikiamomis laisvėmis ir specialiomis išimtimis iš asmens duomenų teisinės apsaugos taisyklių.

Elektroninės visuomenės informavimo priemonės, kaip ir tradicinės visuomenės informavimo priemonės vadovaujasi LR Asmens duomenų teisinės apsaugos įstatymo 8 str. nustatytu specialiu teisiniu režimu – joms netaikoma dauguma LR Asmens duomenų teisinės apsaugos įstatymo taisyklių. Specialios išimtys nustatytos nes visuomenės informavimo laisvė yra ne mažiau svarbi nei asmens privatumas. Primintina, kad elektroninėmis visuomenės informavimo priemonėmis laikytinos ne tik tradicinių žiniasklaidos priemonių svetainės, tačiau iš esmės bet kokie interneto resursai, kurie nėra adresuoti konkrečiam subjektų ratui ir sistemingai talpina viešo pobūdžio informaciją, siekdami informuoti visuomenę vienu ar kitu klausimu. Tarp jų elektroninėmis visuomenės informavimo priemonėmis laikytina dauguma tinklaraščių, viešos paskyros socialiniuose tinkluose ir pan.

Europos Sąjungos teisingumo teismo sprendimas byloje C-131/12 pateikė išaiškinimus tik dėl interneto paieškos paslaugų tiekėjų pareigų, bet ne dėl elektroninių visuomenės informavimo priemonių pareigų. Pačiame sprendime be kita ko konstatuota, jog piliečio asmens duomenų viešas skelbimas visuomenės informavimo priemonės svetainėje gali būti proporcingas ir pagrįstas net ir praėjus pakankamai ilgam laikotarpiui – toje pačioje byloje, Ispanijos teismai atmetė suinteresuoto asmens pretenzijas dėl asmeninės informacijos talpinimo visuomenės informavimo priemonės svetainėje.

Taigi, Europos Sąjungos teisingumo teismo sprendimas byloje C-131/12 tikslas yra ne absoliučiai eliminuoti viešą asmeninę informaciją iš elektroninio tinklo, o tik apsunkinti jos prieigą per paieškos sistemas. Pirminiame informacijos šaltiniams Europos Sąjungos teisingumo teismo sprendimas byloje C-131/12 nėra taikomas ir juo labiau jis neįtakoja konkrečios asmeninės informacijos teisinio statuso, t.y. – jos viešumo.

Dėl šių priežasčių pirmoji Europos Sąjungos teisingumo teismo sprendimo byloje C-131/12 įgyvendinimo patirtis asmenims siekiantiems „užmaršties“ atsigręžė bumerangu. Google siekdama skaidrumo informavo elektroninės žiniasklaidos priemones apie gresiantį nuorodų į istorinę viešą informaciją šalinimą iš paieškos rezultatų, ko pasekoje bent jau kai kurie informaciją talpinantys tinklapiai nusprendė, kad norimą pamiršti viešą informaciją visuomenei vertėtų „priminti“ bei aktualizuoti. Ypač gilias žiniasklaidos laisvės tradicijas puoselėjančioje Didžiojoje Britanijoje tokia žiniasklaidos teise pasinaudojo ne tik tinklaraštininkai, bet ir The Daily Telegraph, The Guardian svetainės ir netgi BBC svetainės administratoriai.

Primintina, kad „teisė būti užmirštam“ bet kuriuo atveju galios tik interneto paieškoms resursams veikiantiems ES, bet ne trečiose šalyse. ES „užmiršta“ informacija teisėtai bus prieinama naudojantis trečiųjų šalių – JAV, Kinijos, Rusijos interneto paieškos resursais.

Šiomis dienomis vyksta ES asmens duomenų teisinės apsaugos prievaizdų (taip vadinamos 29 str. Darbo grupės) diskusijos dėl teisės būti užmirštam internete įgyvendinimo, tačiau jau dabar akivaizdu, kad tiesmukas priverstinis „teisės būti užmirštam“ nustatytas be plataus ir globalaus dialogo nėra tvarus.

Besikreipiantiems dėl „pamiršimo“ Lietuvoje taip pat primintina, kad Europos Sąjungos teisingumo teismo sprendimai nėra tiesiogiai taikomi asmenims, kurie nėra konkrečios bylos šalys. Atitinkamai, Europos Sąjungos teisingumo teismo sprendimai kol jie nėra realizuoti nacionalinės teisės taisyklėse, nenustato bendrųjų asmenų teisių ar pareigų.

[mkiskis-blog]

Europos Sąjungos teisingumo teismas nustatė “teisės būti pamirštam” internete sąlygas

"Teisė būti pamirštam internete" keletą metų yra privatumo teisės aktualiausia tema. Šiandien (2014 m. gegužės 13 d.) Europos Sąjungos teisingumo teismas (ESTT) paskelbė sprendimą byloje C-131/12 Google v. AEPD ir Gonzalez, kuriame tiesiogiai įtvirtino šią teisę ir nustatė jos sąlygas.

ESTT išaiškino, kad automatinis, nuolatinis ir sisteminis informacijos internete pateiktos naršymas yra laikomas duomenų „rinkimu“ asmens duomenų teisinės apsaugos prasme. Paieškos įrankių valdytojas indeksavimo robotų pagalba gauna, fiksuoja ir sistemina naršomą informaciją, kurią vėliau išsaugo savo duomenų bazėse ir pagal poreikį teikia ir skelbia ją interneto paieškos paslaugų vartotojams paieškos rezultatų forma. Šios operacijos su informacija laikytinos duomenų tvarkymo veiksmais, o juos atliekantis paieškos paslaugų tiekėjas – duomenų valdytoju, asmens duomenų teisinio reguliavimo prasme. Paieškos įrankių veikla viešinant informaciją internete iš esmės padidina viešumą, kurį informacijai suteikia pirminiai informacijos šaltiniai (tinklapiai), todėl paieškos įrankių valdytojams savarankiškai atsiranda asmens duomenų valdytojo teisės ir pareigos, nustatytos asmens duomenų teisinės apsaugos įstatymuose. ESTT nuomone tai vienintelis būdas apsaugoti duomenų subjekto teises.

Visgi paieškos įrankių valdytojų atsakomybė – pareiga riboti informaciją paieškos rezultatuose – kyla esant specialioms sąlygoms. ESTT patikslina, kad sprendžiant dėl informacijos šalinimo iš paieškos rezultatų reikia įvertinti kokio pobūdžio duomenys yra skelbiami, kokia jų svarba asmens privatumui, koks visuomenės interesas turėti šią informaciją, taip pat ar duomenų subjektas dalyvauja viešame gyvenime. Reikia individualiai vertinti ar duomenų subjektas turi "teisę būti pamirštas" (ar nėra teisinių įpareigojimų dėl šios informacijos viešumo, duomenų subjektas nėra viešas asmuo, nėra kitų priežasčių dėl kurių visuomenė turėtų turėti padidintą prieigą (per paprastą interneto paiešką) prie asmeninės informacijos – pvz., pasibaigę senaties ar teistumo terminai).

Pareiga riboti informaciją paieškos rezultatuose gali būti nustatyta nepriklausomai nuo to ar informacija pašalinta ar prieinama originaliuose tinklapiuose, kur ji buvo paskelbta (ir iš kurių pateko į paieškos rezultatus). ESTT atskirai pažymėjo, kad bėgant laikui informacijos pateikiamos paieškos rezultatuose statusas gali keistis. Informacija, kurios padidintas viešumas yra originaliai pagrįstas, gali būti šalinama, jeigu praėjus tam tikram laiko tarpui pats duomenų subjektas nepageidauja didesnio viešumo ir nėra kitų prielaidų jį nustatyti.

Dėl informacijos šalinimo paieškos rezultatuose duomenų subjektas gali kreiptis tiesiogiai į paieškos įrankių valdytoją, kuris turi įvertinti duomenų subjekto prašymą iš esmės. Paieškos įrankių valdytojui nepatenkinus duomenų subjekto prašymo, atsisakymas gali būti skundžiamas asmens duomenų apsaugos priežiūros institucijoms ar teismui.

[mkiskis-blog]

Kas atsakingas už kraujuojančias širdis?

Aš ne apie Ukrainą, o apie elektroninių duomenų saugumo situaciją Lietuvoje. Viso pasaulio elektroninių paslaugų tiekėjai per pastarąją savaitę proaktyviai komunikuoja su vartotojais, atnaujina savo serverių programinę įrangą ir primygtinai inicijuoja skubų slaptažodžių keitimą. Tuo tarpu Lietuvoje - ramu, nei iš vieno paslaugų tiekėjo per savaitę po Heartbleed klaidos atradimo negavau jokios komunikacijos susijusios su šia ypač pavojinga programine klaida.

Įvairiais vertinimais apie 2/3 visų elektroninių paslaugų tiekėjų internete naudoja OpenSSL TLS kriptografinį protokolą, kuris užtikrina perduodamų duomenų tarp kliento ir serverio saugumą. Būtent šis protokolas dėl Heartbleed tapo visiškai nesaugus. Jeigu manote, kad Lietuvos elektroninių paslaugų tiekėjai nepatenka į tuos 2/3, klystate. Kalba ne apie kažkokias egzotines paslaugas, duomenis ir protokolus, o apie paslaugas, kurias dauguma mūsų naudojame kasdien – pvz., apie Jūsų narystę interneto portaluose, Jūsų elektroninės bankininkystės ar mokesčių deklaravimo prisijungimus, arba tiesiog Jūsų elektroninio pašto paskyrą, Jūsų asmeninio ar įmonės tinklapio saugumą, Jūsų įmonės duomenų bazių, prieinamų internetu, saugumą, etc.

Kanadoje pasinaudojant Heartbleed klaida programišiai jau pagrobė mokesčių mokėtojų duomenis. Tas pat ištiko supermamų analogo JAV – Mumsnet.com – vartotojų duomenis. Taip pat pripažinta, kad Heartbleed klaida paliečia visus mobilius įrenginius naudojančius Android 4.1.1 versiją.

Ar turi kas nors nukentėti ir Lietuvoje, kad būtų rimčiau susirūpinta tokiomis problemomis, kad elektroninių paslaugų tiekėjai bent jau jaustų moralinę pareigą perspėti vartotojus apie grėsmes?

Skirtingai nei Kanadoje (kur esu praleidęs nemažai laiko ir su sistema esu susipažinęs) Lietuvoje paslaugų tiekėjai (ypač bankai) linkę neigti bet kokias saugumo problemas, o visas neigiamas pasekmes dėl jų – pvz., pavogtas lėšas dėl prarastų elektroninių mokėjimo priemonių – kortelių, perkelti vartotojams. Vartotojai būdami silpnesne šalimi, taip pat dažnai ir dėl teisinio neišprusimo, priversti su šia situacija taikstytis.

Elektroninės informacijos saugumas ir jo rizikos civiliniuose santykiuose Lietuvoje iš esmės nereglamentuotas. Tik dėl ES teisės perkėlimo yra keletas ribotų specialių normų susijusių su elektroninių sistemų saugumu ir atsakomybe už jų saugumo pažeidimus (LR Mokėjimų įstatymo 29-30 str.).

Nesant teisinio reglamentavimo, turi būti vadovaujamasi teisės principais. Civilinėje teisėje egzistuoja pora esminių principų, kuriuos verta prisiminti šioje situacijoje. Saugumo problemos internete toli gražu nėra pirmosios technologijos sukėlusios skausmingas teisines pasekmes. Atsakomybės už žalą sukeltą didesnio pavojaus šaltinio principas reguliuoja (ar bent jau turėtų reguliuoti) šalių santykius tokiose situacijose. Elektroninės paslaugos, tokios kaip elektroninė bankininkystė, elektroninės mokėjimo kortelės, etc. yra technologijos, kurios paslaugų tiekėjams (pvz., bankams) sutaupo milijonus litų kasdien (nors bankai mėgsta apversti viską aukštyn kojom – neva, sutaupo tik vartotojai, o ne bankai). Svarbu atkreipti dėmesį, kad ne vartotojas nustato ir pasirenka technologijas, ir ne vartotojas kontroliuoja jų saugumą (pradedant nuo mažmožių kaip programinės įrangos atnaujinimas). Priešingai, bankas net ir galėdamas kontroliuoti saugumą sąmoningai gali to nedaryti – kiek žmonių banko sąskaitos pratuštėjo palikus kortelę bankomate, kol bankai pakeitė bankomatų nustatymus prašydami įvesti PIN kodą prieš kiekvieną pinigų išgryninimą?

Paslaugos tiekėjas suteikiantis vartotojui technologinį sprendimą turi prisiimti ne tik atsakomybę už technologijos, kaip didesnio pavojaus šaltinio sąlygotas rizikas, tačiau taip pat ir proaktyvią teisinę pareigą nedelsiant imtis visų priemonių užtikrinančių maksimalų saugumą - tarp jų, atvirai ir proaktyviai informuoti vartotoją apie problemą ir jos sukeltas rizikas, atnaujinti programinę įrangą ir informuoti apie tai vartotojus (įskaitant konkretų laiką kada įsigaliojo atnaujinimas), inicijuoti vartotojų slaptažodžių keitimą, etc. Galiausiai, vadovaujantis silpnesnės teisinio santykio šalies gynimo principu – žalos atveju būtent paslaugos tiekėjui turi tekti pareiga įrodyti, kad žala atsirado ne dėl nuo jo priklausančių priežasčių. Vartotojui atsakomybė perkeltina tik tuo atveju, jei yra vartotojo tyčia arba didelis neatsargumas, ir paslaugos tiekėjas tą įrodo - šiuo atveju turėtų būti taikoma vartotojo nekaltumo prezumpcija, net jeigu vartotojas yra verslo klientas.