Vis daugiau sandorių sudaroma per skaitmenines platformas, kurios ne tik sujungia klientą su paslaugų teikėju, bet ir sukuria pasitikėjimo infrastruktūrą – patvirtina paslaugos teikėjo tapatybę, rezervacijos sistemos tikrumą ir pateikiamos informacijos patikimumą. Advokatų profesinės bendrijos „LAWCORPUS|VENSLAUSKAS“ vadovaujantysis partneris, advokatas Rokas Venslauskas, aiškina, kodėl tokia infrastruktūra kartu tampa ir rizikos šaltiniu, kai ja pasinaudoja sukčiai, kokia atsakomybė tokiais atvejais tenka pačiai platformai, ir kokius klausimus verslas, veikiantis per skaitmenines platformas, turėtų sau užduoti dar iki incidento.
Pasak advokato, tokią problemą gerai iliustruoja praktinis pavyzdys: vartotojas rezervuoja realiai egzistuojantį viešbutį, mato tikras jo nuotraukas, istoriją, atsiliepimus ir gauna rezervacijos patvirtinimą. Tik po apmokėjimo paaiškėja, kad sandoris sudarytas ne su viešbučiu, o su jo paskyrą perėmusiais sukčiais. R. Venslausko teigimu, būtent tokie atvejai rodo, kad šiandieninė skaitmeninio sukčiavimo problema nebėra vien vartotojo neatidumo klausimas.
Pasitikėjimas platforma tampa teisiškai reikšmingas
Tradicinėje sutartinėje situacijoje klientas pats vertina, su kuo sudaro sandorį. Advokato teigimu, skaitmeninėse platformose dalį šio vertinimo faktiškai perima pati platforma – vartotojas pasitiki ne vien konkrečiu paslaugų teikėju, bet ir tuo, kad platforma patikrino, kas yra paslaugos teikėjas, kad paskyra priklauso būtent tam verslui, kad rezervacijos sistema yra tikra, o gauta informacija nėra suklastota.
„Platformos vaidmuo tampa daugiau nei techninis. Ji sukuria pasitikėjimo infrastruktūrą, kuria naudojasi abi sandorio šalys“, – pažymi R. Venslauskas.
Jo teigimu, tai keičia ir teisinį požiūrį į riziką: vien tai, kad sukčiavo trečiasis asmuo, ne visada atsako į klausimą, ar platforma pati įvykdė jai tenkančias pareigas. Reikia vertinti, kokios saugumo priemonės buvo taikomos, kaip buvo tikrinama paskyros tapatybė, kaip greitai reaguota į įtartiną veiklą ir ar vartotojui buvo sudaryta reali galimybė suprasti, kad vyksta sukčiavimas.
Skaitmeninio sukčiavimo atvejais nukenčia ne tik klientas negavęs paslaugų
Advokatas atkreipia dėmesį, kad toks incidentas sukuria bent tris atskirus interesų sluoksnius. Pirmiausia – klientas, kuris gali prarasti pinigus ir patirti papildomų išlaidų. Antra – tikrasis paslaugos teikėjas, kurio vardu veikė sukčiai: jo reputacija gali būti susieta su sandoriais, kurių jis niekada nesudarė, o paskyros perėmimas gali sukelti ir tiesioginių finansinių nuostolių. Trečia – pati platforma, kuri kontroliuoja technologinę infrastruktūrą, per kurią klientas ir paslaugų teikėjas buvo sujungti.
Be to, pasak advokato, jeigu per perimtą paskyrą buvo prieinama prie klientų rezervacijų ar kitų asmens duomenų, situacija gali tapti susijusi ir su asmens duomenų pažeidimais. Jis primena, kad Europos duomenų apsaugos valdyba pabrėžia, jog asmens duomenų saugumo pažeidimas gali sukelti įvairią žalą asmenims, įskaitant tapatybės vagystės, sukčiavimo ir finansinių nuostolių riziką.
Europos Sąjungos skaitmeninių paslaugų reguliavimas
Advokato teigimu, šioje vietoje tampa aktualus ir Europos Sąjungos skaitmeninių paslaugų reguliavimas. Skaitmeninių paslaugų aktu (SPA) nustatomos internetinių paslaugų, kuriomis Europos piliečiai naudojasi kasdieniame gyvenime, taisyklės – šios paslaugos apima prekyvietes, socialinės žiniasklaidos tinklus, programėlių parduotuves ir internetines kelionių ir apgyvendinimo platformas.
„Skaitmeninių paslaugų aktas savaime nepaverčia platformos atsakinga už kiekvieną joje įvykusį sukčiavimą. Tačiau jis keičia klausimą, kurį verta užduoti ginče: ne tik kas paskelbė apgaulingą informaciją, bet ir kokias rizikos valdymo pareigas turėjo platforma ir kaip jos buvo vykdomos“, – aiškina R. Venslauskas.
Pasak jo, šių dienų teisinė sistema vis dažniau vertina ne tik tai, kas paskelbė informaciją, bet ir kokį vaidmenį atliko platforma, leidusi šiai informacijai pasiekti vartotoją. Todėl verslui, veikiančiam per platformas, kuriose pastarieji pristato ir parduoda savo paslaugas, nepakanka vien turėti slaptažodį ir antivirusinę programą. Reikšminga tampa tai, ar egzistuoja vidinė paskyrų kontrolė, kelių lygių autentifikacija, prieigos teisių valdymas, incidentų registravimas ir aiški procedūra, kas vyksta pastebėjus neteisėtą paskyros naudojimą.
Advokatas pabrėžia, kad šiuos klausimus svarbu įvertinti dar iki incidento, nes po jo dažnai jau sprendžiama nebe techninė, o įrodinėjimo problema – kas žinojo, kas turėjo žinoti, kokių priemonių buvo imtasi ir ar jos buvo pakankamos.
“Verslas turėtų sau užduoti kelis klausimus: kas įmonėje kontroliuoja pagrindines platformų paskyras? Ar prieigos ir autentifikavimo taisyklės yra dokumentuotos? Ką darysime po paskyros perėmimo? Ar sutartys su platformomis pakankamai aiškiai paskirsto riziką ir atsakomybę?
Verslo savininkai apskritai turėtų apgalvoti, ar įmonė galėtų tęsti veiklą, jeigu rytoj būtų perimta jos paskyra pagrindinėje platformoje, kurioje ją randa klientai? Tai jau ne vien IT saugumo klausimas – tai sutartinės atsakomybės, vartotojų teisių, asmens duomenų apsaugos, reputacinės žalos ir verslo tęstinumo klausimas“, – teigia R. Venslauskas.
Advokato teigimu, jeigu įmonės veikla priklauso nuo skaitmeninių platformų, verta iš anksto įvertinti, kaip paskirstyta rizika tarp platformos, verslo ir galutinio kliento, kokios atsakomybės numatytos sutartyse ir kokių veiksmų reikėtų imtis incidento atveju.
