Nevaikiškas žaidimas

Neseniai skandalingoje duomenų nutekinimo istorijoje linksniuota „CityBee“, panašu, iš klaidų nepasimokė. Aušros (tikrasis vardas ir pavardė redakcijai žinomi – aut. past.) šeimos dramą įvertinę teisininkai plika akimi įžvelgia galimų bendrovės duomenų apsaugos spragų. Asmeninės atsakomybės pagrindinė istorijos herojė taip pat nesikrato, tačiau savo pasakojimu siekia įspėti kitus – asmens duomenis turinčias apsaugoti „CityBee“ sistemas nesunkiai įveikia net paaugliai.

Aušra nenutuokė, kad vos prasidėję šie metai jai pažers gniuždančių netikėtumų. Viskas prasidėjo niekuo nuo kitų nesiskiriančią dieną, kai kaunietės nepilnametė dukra buvo namuose ir žvaliai lakstydama su telefonu rankose išpyškino prašymą.

„Mergaitė panoro pažiūrėti, kaip atrodžiau vairuotojo pažymėjimo nuotraukoje. Nesudvejojusi padaviau dokumentą ir net aptarėme pasikeitusią mano išvaizdą. Netrukus ji teigė žaidžianti kažkokį žaidimą, todėl vis su telefonu rankose pribėgdavo prie manęs, atkišdavo jį prie veido ir vėl nubėgdavo. Žinote, paaugliai, ko tik neprisigalvoja“, – su  jauduliu balse apie savo septyniolikmetės dukros keistus žaidimus pasakojo su „Kauno diena“ susisiekusi pašnekovė.

Tiesiog norisi, kad tėvai, suaugę žmonės labiau saugotų savo dokumentus nuo vaikų, nes, kaip rodo mūsų pavyzdys, „CityBee“ gali lengvai išsinuomoti bet kas, tikriausiai net mažametis.

Praėjus daugiau nei savaitei, sausio 13 d., paaiškėjo visi šio nevaikiško žaidimo padariniai.

„Paskambino Kauno policijos pareigūnas ir pasakė, kad mano vardu išnuomotu „CityBee“ automobiliu sausio 10 d. vidurdienį buvo sukeltas eismo įvykis, o vairuotojas pabėgo iš nelaimės vietos. Mane ištiko šokas, nes turiu savo automobilį ir niekada nesu naudojusis šios bendrovės paslaugomis“, – pasakojo moteris ir neslėpė, kad pirma šmėstelėjusi mintis – čia nagus bus prikišusi jos dukra.

Užregistruoti gali bet ką?

Mamos nuojauta neapgavo – pasikalbėjusi su dukra kaunietė sužinojo visą tiesą.

„Su keliais pažįstamais nepilnamečiais vaikinais ji sugalvojo planą, kaip išsinuomoti „CityBee“ automobilį. Kadangi patys vairuotojų pažymėjimų neturi, nusprendė sukurti paskyrą mano vardu. Tai jiems nesunkiai pavyko padaryti, nes, akivaizdu, tereikia atlikti vos kelis kad ir kito žmogaus asmens duomenis patvirtinančius žingsnius ir tampi nauju šios bendrovės vartotoju“, – Aušra sutiko pasidalyti ir raštišku dukros paaiškinimu, kuris nedelsiant buvo surašytas ir perduotas pareigūnams.

„CityBee“ mėgsta manipuliuoti skambiomis reklaminėmis frazėmis, bet linkę užmerkti akis prieš akivaizdžias pačių paliktas spragas. (Vilmanto Raupelio nuotr.)

Paaiškinime nepilnametė išdėsto viską strėlės tikslumu: įvardija datą ir laiką, kada sukūrė naują „CityBee“ paskyrą mamos vardu. Detalizuoja, kad tam reikėjo nufotografuoti mamos vairuotojo pažymėjimą, tuomet patvirtinimui nuskenuoti mamos veidą. Su vardais ir pavardėmis įvardytais bendrininkais, rašoma toliau, mergina sukūrė visai naują e.pašto adresą mamos vardu ir jau kitą dieną sėdėjo išsinuomotame „Mini Cooper“. Tiesa, norint užsiregistruoti reikalingas ir telefono numeris. Jis buvo nurodytas nepilnamečio, vėliau ir vairavusio automobilį. Įdomiausia tai, kad su paskyra privalu susieti banko mokėjimo kortelę. Ši, kaip teigiama, buvo ne kieno kito, o nepilnametės. Tai „CityBee“ atstovams nė neužkliuvo.

Nuomotu „Mini Cooper“ trijulė jau kitą dieną pasivažinėjo kelias valandas, tuomet Aušros dukra buvo parvežta namo.

„Ji tikino, kad prašė vaikinų nuvežti ir palikti nuomotą transporto priemonę saugioje vietoje. Tačiau jie atrakciją tęsė ir kitą dieną. Viskas baigėsi smūgiu į tvorą, – pasakojo pašnekovė. – Neginu dukros, bet negi dabar barsi. Vaikai pridaro daug kvailysčių.“

Padėjo surasti kaltininką

Panašios patirties niekada neturėjusi kaunietė stengėsi nesivadovauti emocijomis – racionaliai apmąstė situaciją ir visus galimus padarinius. Pasak Aušros, norėjosi tikėti, kad, padėjus nustatyti, kas vairavo nuomotą automobilį, visos problemos baigsis.

„Nuo pirmos minutės bendradarbiavome su pareigūnais, jiems pateikėme vaikinų vardus ir pavardes, taip pat dukros ir vieno jų susirašinėjimą iškart po sukelto eismo įvykio. Tai buvo pagrindinis įrodymas nustatant kaltininką, kuris netrukus buvo surastas“, – tarsi laimingą dramos pabaigą nubraižė Aušra, bet baisiausia dar tik laukė.

Avarijos Kaune, Šernų gatvėje, kaltininkas buvo ne tik surastas, bet ir nubaustas.

„Automobilį „Mini Cooper“ vairavo teisės vairuoti neturintis nepilnametis (gim. 2004 m.), kuris nesuvaldė automobilio, kliudė tvorą ir pasišalino iš įvykio vietos. Vairuotojas eismo įvykio metu nenukentėjo, kartu važiavusių asmenų nenustatyta. Už Kelių eismo taisyklių pažeidimus vairuotojui surašytas administracinio nusižengimo protokolas. Jam paskirta administracinė nuobauda – 900 eurų bauda ir specialiosios teisės vairuoti transporto priemonę atėmimu vieniems metams“, – „Kauno dienai“ patvirtino Kauno policijos atstovai.

Sulaukė ieškinio

Istorija tuo nesibaigė. Praėjus keturiems mėnesiams po pirmojo pareigūno skambučio, kaunietė gavo dar vieną netikėtą dovanėlę.

„Kai jau buvome nuriję karčią piliulę ir bepradedantys pamiršti šią istoriją, paštu man atsiuntė bendrovės „CityBee“ draudimo „Prime Leasing“ suformuluotą ir man pateiktą ieškinį. Iškart nesupratau ir galvojau, kad tai kažkokia klaida, – juk kaltininkas nustatytas, jam paskirta bauda. Kuo čia dėta aš?“ – emocijų neslėpė Aušra. Ji prisipažino nesanti tokių reikalų ekspertė, todėl atidžiai viską skaitė kelis kartus. O kai pamatė sumą, kurią bendrovė siekia iš jos prisiteisti, apsipylė ašaromis.

Moteriai atsiųstame ieškinyje aiškinama, kad neva ji, pasinaudodama mobiliąja programėle „CityBee shared mobility“, kuria atliekama transporto priemonių rezervacija, atrakinimo, užrakinimo ir kiti veiksmai, numatyti programinėje įrangoje, elektroniniu būdu atliko vartotojo identifikacijos ir registracijos veiksmus. Tokiu būdu buvo patvirtinama, kad ji sutinka su nuomos ir paslaugų teikimo sąlygomis ir taisyklėmis, o kartu ir sudarė sutartį su „CityBee“. Tik atlikus visus šiuos veiksmus galima nuomotis bendrovės automobilį.

„Sutartyje nustatyta, kad vartotojas neturi teisės be rašytinio bendrovės sutikimo transporto priemonės subnuomoti, perduoti savo teisių ir pareigų, leisti transporto priemone naudotis kitam asmeniui“, – tarsi savaime suprantamus kriterijus ieškinyje išdėsto „CityBee“ draudimo atstovai ir jais tikisi pagrįsti žalos atlyginimo privalomumą. Tačiau, įsigilinus į Aušros istoriją ir aplinkybes, kyla klausimas – ar tokias teisines vingrybes galima tiesiogiai taikyti žmogui, kurio asmens duomenimis buvo pasinaudota be jo žinios?

4,2 tūkst. eurų – tiek už sugadintą automibilį iš kaunietės reikalauja „CityBee“.

Pasirašius sutartį, tęsiama toliau, nustatyta, kad jei nuomotas automobilis yra apgadintas, nuomotojas įsipareigoja sumokėti bendrovei baudą ir atlyginti padarytą žalą.

„Įvykus eismo įvykiui ar kitomis aplinkybėmis apgadinus nuomotą automobilį, nuomininkas įsipareigoja nedelsiant informuoti apie tai atitinkamas tarnybas, užpildyti eismo įvykio deklaraciją ar atlikti kitus veiksmus, siekiant išvengti ar sumažinti galinčią kilti žalą automobiliui, asmenims ar kitam turtui“, – būti atsakingus tarsi įpareigoja bendrovė, tačiau kaip tai padaryti, jei apie tavo vardu išnuomotą automobilį net nenutuoki?

Reikalauja tūkstančių

Ieškinyje dėstomi teisiniai sutarties aspektai baigiami teiginiu, kad neva Aušra savo įsipareigojimų neįvykdė: „Išsinuomojo automobilį naudodamasi savo asmenine paskyra ir jį sugadino, tuo bendrovei padarydama turtinę žalą.“

Po sukeltos eismo nelaimės esą nepriklausomas „CityBee“ pasamdytas turto vertintojas įvertino nuomoto automobilio apgadinimus ir žalos dydį bei pateikė ataskaitą: „Nuomotojas bendrovei padarė 4247,38 euro nuostolį.“ Nė karto prie „CityBee“ automobilio vairo nesėdėjusiai kaunietei dar papildomai priskaičiuotos administracinės ir turto vertinimo išlaidos.

Kalbėdama apie ieškinio turinį, pašnekovė sunkiai tramdė emocijas, o paklausta, ar jau turi advokato paruoštą atsaką, suglumo: „Kaip sugebu, taip atsakysiu pati, neturime pinigų samdytis advokatą, o valstybės garantuojama teisinė pagalba mums nepriklauso.“

Nepaisant gresiančio finansinio nukraujavimo, Aušra išliko tvirta ir teigė padarysianti viską, kas jos jėgoms.

„Suprantu, kad atsakau už savo nepilnametę dukrą ir tai, kad ji iškrėtė brangiai galinčią kainuoti kvailystę. Bet kuris tėvas nuo to apsaugotas? Ar neturėtų tokiomis paslaugomis besiverčiančios bendrovės naudoti sistemas, visiškai eliminuojančios net menkiausias tokių akibrokštų galimybes? Tai skaudi pamoka visai mūsų šeimai, gyvename jausdami didelį stresą. Su dukra daug kalbėjome ir ji gailisi, bet laiko nebeatsuksime. Tiesiog norisi, kad tėvai, suaugę žmonės labiau saugotų savo dokumentus nuo vaikų, nes, kaip rodo mūsų pavyzdys, „CityBee“ gali lengvai išsinuomoti bet kas, tikriausiai net mažametis“, – karčias likimo dovanas apmąstė Aušra.

Skylėta duomenų apsauga

Kaunietės iškeltus klausimus dėl „CityBee“ duomenų apsaugos perdavėme tai geriausiai išmanantiems teisininkams.

Pagal viešai skelbiamą „CityBee“ privatumo politiką, vieni iš bendrovės tikslų yra užtikrinti, kad tik turintys teisę vairuoti asmenys galėtų užsakyti ir pasinaudoti bendrovės teikiamomis paslaugomis bei užtikrinti, kad būtų tinkamai įsitikinta bendrovės klientų tapatybe ir būtų užkirstas kelias pasinaudoti kitų asmenų tapatybe. Vis dėlto Aušros pateikta situacija rodo, kad pasinaudoti kito asmens tapatybe sukuriant paskyrą „Citybee“ programėlėje yra gana nesudėtinga, ypač asmenims, gyvenantiems kartu su tavimi ir turintiems prieigą prie tavo asmens dokumentų.

Advokatų kontoros „Advocatera“ teisininkė Žemyna Lekečinskaitė pastebi, kad, vadovaujantis „CityBee“ Transporto priemonių ir turto nuomos ir paslaugų teikimo sąlygomis bei taisyklėmis, registracijos mobiliojoje programėlėje metu vartotojas privalo nurodyti savo elektroninio pašto adresą, kuris laikomas vartotojo identifikavimo kodu, ir sukurti savo slaptažodį, kuris bus naudojamas vėliau prisijungiant prie elektroninės sistemos. Vartotojas, pageidaujantis naudotis motorinėmis transporto priemonėmis, privalo turėti galiojantį vairuotojo pažymėjimą ir patvirtinti jo galiojimą mobiliojoje programėlėje nustatyta tvarka, t.y. registracijos metu įkelti savo veido atvaizdo ir vairuotojo pirmos pusės pažymėjimo fotonuotraukas, kurias gavusi bendrovė atlieka vartotojo veido panašumo jose patikrą (verifikaciją) ir patikrina teisę vairuoti motorines transporto priemones patvirtinančio dokumento galiojimą.

„Advocateros“ teisininkė Ž.Lekečinskaitė pastebėjo net kelias  „CityBee“ paliktas sragas. (Laimučio Brundzos nuotr.)

„Siekiant sukurti paskyrą pasinaudojant kito asmens tapatybe tereikia to asmens vairuotojo pažymėjimo ir veido atvaizdo. Vadovaujantis bendrovės taisyklėmis, vartotojas taip pat privalo susieti savo mokėjimo kortelę su asmenine elektronine paskyra, tačiau, kaip nurodo skaitytoja, yra suteikiama galimybė susieti mokėjimo kortelę, kuri yra registruota net ne vairuotojo pažymėjimą pateikusio asmens vardu, o trečiojo asmens vardu. Šiuo konkrečiu atveju mokėjimo kortelė buvo registruota nepilnamečio asmens vardu, kuris be tėvų sutikimo net neturi veiksnumo sudaryti transporto priemonių nuomos sutartį“, – pirmąją duomenų apsaugos spragą įvardija teisininkė.

Palikta terpė sukčiauti

Neabejotina, kad nuotolinis asmens tapatybės nustatymas tampa kritiškai svarbia ir neatsiejama nuotolinių sutarčių sudarymo dalimi. Šios istorijos kontekste bendrovė teikia paslaugas – nuomoja automobilius, kurie yra didesnio pavojaus šaltiniai, galintys padaryti didelės žalos asmens sveikatai ir turtui.

„Dėl šios priežasties bendrovė turėtų imtis visų jai prieinamų priemonių, kad būtų sudarytos sąlygos saugiausiais būdais patvirtinti asmens tapatybę nuotoliniu būdu. Tokios priemonės galėtų būti asmens tapatybės patvirtinimas kvalifikuotu elektroniniu parašu ir elektroninėmis atpažinties priemonėmis. Nes, kaip rodo skaitytojos pateikta situacija, nagrinėjamu atveju asmens tapatybei nustatyti pasitelkiant vien vairuotojo pažymėjimą ir vaizdo perdavimo priemones, paliekama terpė sukčiauti. Be abejo, kad, gyvenant kartu su nepilnamečiais vaikais, nėra galimybės užtikrinti, kad jie visiškai neprieitų prie tavo asmens dokumentų ar atvaizdo. Nereikalaujant kitų asmens tapatybę nuotoliniu būdu patvirtinančių priemonių, nepilnamečiai asmenys gali gana lengvai įgyti teisę naudotis transporto priemonių nuoma, o tai gali sukelti itin sunkių padarinių aplinkiniams“, – ne tik keistinas duomenų apsaugos priemones, bet ir patarimus, kaip tai padaryti, nurodė Ž.Lekečinskaitė.

Teisininkė pabrėžė, kad teismai ginčuose dėl nuotolinių sutarčių vykdymo didelį dėmesį skiria verslininko profesiniam atidumui. Pastarojo standartas – tai specialieji įgūdžiai ir rūpestingumas, kurio pagrįstai galima tikėtis iš komercinės veiklos subjekto vartotojų atžvilgiu.

„Spręstinas klausimas, ar bendrovė, atsižvelgiant į veiklos specifiką, ėmėsi pakankamai saugumo priemonių nuotoliniam asmens tapatybės nustatymui užtikrinti. Taip pat akcentuotina ir tai, kad faktiškai nagrinėjamu atveju sutartis su bendrove buvo sudaryta apgaule, t.y. pateikiant kito asmens duomenis. Be kita ko, sutartis buvo sudaryta nepilnamečio vaiko vardu, neturint tėvų ar rūpintojų sutikimo tokį sandorį sudaryti. Atitinkamai yra pagrindas pripažinti sandorį negaliojančiu nuo jo sudarymo momento CK 1.91 straipsnyje (dėl apgaulės sudaryto sandorio pripažinimo negaliojančiu) ir CK 1.88 straipsnyje (nepilnamečio nuo keturiolikos ir aštuoniolikos metų sudaryto sandorio pripažinimas negaliojančiu) įtvirtintais pagrindais“, – įžvalgas apibendrino teisės ekspertė.

Šiuo konkrečiu atveju mokėjimo kortelė buvo registruota nepilnamečio asmens vardu, kuris be tėvų sutikimo nė neturi veiksnumo sudaryti transporto priemonių nuomos sutartį.

Savo klaidų neįžvelgia

„CityBee“ atstovai, gavę daugybę konkrečių klausimų dėl kaunietės atvejo, į juos atsakė bendru kelių puslapių komentaru. Pirmiausia nepamirštama pasigirti dėl lyderystės rinkoje ir investicijų į duomenų apsaugos saugumą. Panašu, bendrovės atstovai nė nepasigilino į kaunietės gyvenimą griaunančios problemos dydį, nes ir naudotojų tapatybės nustatymą, kurį sukritikavo teisininkė, jie laiko pažangiu ir saugiu.

„Pasirašant paslaugų teikimo sutartį prašome realiu laiku nufotografuoti ir įkelti asmenukę. Naudoti senų ar anksčiau darytų nuotraukų katalogą ar kitą archyvą yra neleidžiama. Taip pat prašome fotografuoti ir vairuotojo pažymėjimą. Naujo kliento registracijos procesas privalo būti nepertraukiamas ir vykti realiu laiku“, – atsiųstame komentare teigė bendrovės komunikacijos atstovas Gintaras Gimžauskas ir dar pridūrė, kad visuomet išlieka galimybė, kad kai kurie asmenys nesąžiningu būdu sieks pergudrauti sistemą ir sulaužyti taisykles.

Nepamirštama paminėti, kad toks vairuotojo pažymėjimo ir veido atvaizdo sutikrinimas yra pripažintas ES rinkoje ir yra vienas iš kelių alternatyvių būdų, įtvirtintų oficialiuose teisės aktuose bei pripažįstamas kaip tinkamas. Toks galbūt ir yra, o ar tikrai patikimas?

Tarsi atkartodami ieškinyje jau minėtus dalykus, „CityBee“ atstovai aiškina, kad už žalą, sukeltą naudojantis „CityBee“ automobiliu, privalo atsakyti klientas, su kuriuo buvo sudaryta paslaugų teikimo sutartis, o ne faktiškai prie vairo sėdėjęs asmuo. Tačiau pamini ir visai kitokią, galbūt net esminę detalę Aušros istorijoje.

„Jei ikiteisminiame tyrime ar baudžiamojoje byloje būna nustatomas konkretus žalą padaręs asmuo (ne klientas), savo reikalavimus dėl žalos nukreipiame būtent į tą asmenį ir nereikalaujame žalos atlyginimo iš mūsų kliento, kuris faktiškai nevairavo automobilio“, – apie visai kita linkme galinčius pasisukti teisminius procesus tarsi užsimena G.Gimžauskas. Jis taip pat pamini galimybę bendrovės priskaičiuotą žalą paprasčiausiai išieškoti iš įvykio kaltininko, pareiškiant atskirą ieškinį civilinėje byloje.

Kontratakuoja toliau

Atsakomybę dėl kaunietės paskyros kūrimo metu naudotos nepilnametės mokėjimo kortelės „CityBee“ taip pat ragino prisiimti pačią šeimą.

„Kito asmens mokėjimo kortelės susiejimas ar kortelės, jos duomenų panaudojimas registruojantis „CityBee“ be mokėjimų kortelės savininko žinios ar sutikimo yra rimtas teisės aktų pažeidimas. Kortelės turėtojas turi nedelsdamas pranešti išdavusiam bankui apie prarastą mokėjimo kortelę ar prarastus kortelės duomenis, prarastą kortelės duomenų kontrolę ar atvejus, kai ja be turėtojo žinios pasinaudoja kiti asmenys. Bankas tokią kortelę nedelsdamas blokuoja“, – lyg nežinodamas, kad tik po sukelto eismo įvykio išaiškėjo visa duomenų panaudojimo schema, pyškino toliau bendrovės atstovas.

Nors teigiama, kad „CityBee“ taisyklės neleidžia automobilių vairuoti nepilnamečiams, kauniečių šeimos istorija parodė priešingai.

„Netoleruotino elgesio atvejai, kai nepilnamečiai apgaule ar dėl suaugusiųjų patiklumo įgyja galimybę naudotis „CityBee“ automobiliu, yra itin reti, tačiau, deja, pasitaiko ir sukelia labai liūdnų padarinių. Blogiausia, tokių situacijų sunku išvengti, mat, jeigu asmuo turi nesąžiningų kėslų, jie gana sunkiai aptinkami“, – komentaro pabaigoje galiausiai ir pats pripažįsta G.Gimžauskas.