“Drīzāk simti, nevis tūkstoši!” Advokāts pieliek punktu spekulācijām par iespējām iegūt kompensāciju CSDD datu noplūdes incidentā
0
Augusta sākumā VAS “Ceļu satiksmes drošības direkcijas” (CSDD) notikušajā kiberuzbrukumā uzbrukuma veicējs ir ieguvis informāciju par CSDD maksājumu kvītīs ietvertajiem datiem laika periodā no 2008. līdz 2026. gadam. Pēc veiktās analīzes noskaidrots, ka incidents skāris aptuveni 1,2 miljonus fizisku personu un 200 000 juridisku personu, vēstīts uzņēmuma mājaslapā.
Par to, vai konkrētas personas dati ir nozagti, var pārliecināties, autorizējoties CSDD mājaslapā. Tur redzams – vai un kādi dati ir nozagti. Kā neilgi pēc kiberuzbrukuma paziņoja Datu valsts inspekcija, personām, kuru dati ir noplūduši uzbrukuma laikā, ir tiesības pieprasīt kompensāciju. Tomēr nav zināms, par cik lielām kompensācijām varētu būt runa. Lai to noskaidrotu, lūdzām lietu komentēt zvērinātam advokātam Jānim Dzanuškānam.
Automātiski kompensācija nepienākas
J. Dzanuškāns skaidro: “Pēc Datu valsts inspekcijas skaidrojuma par iespēju vērsties tiesā saistībā ar personas datu noplūdi gadījumā sabiedrībai pamatoti rodas jautājums – vai ikvienam cilvēkam, kura dati ir nonākuši neatļautas piekļuves rezultātā pie trešajām personām, automātiski pienākas kompensācija?
Īsā atbilde ir – nē, automātiski ne. Taču tas nenozīmē, ka kompensācija nav iespējama.
Vienlaikus šobrīd ir svarīgi nošķirt divus jautājumus. Pirmais – pats CSDD kiberincidents un personas datu nonākšana nepiederošu personu rīcībā. Otrais – vai CSDD šajā gadījumā ir pārkāpusi personas datu aizsardzības prasības un vai konkrētai personai šāda pārkāpuma rezultātā ir nodarīts kaitējums. Datu valsts inspekcija 2026. gada 18. augustā paziņoja, ka ir uzsākusi pārbaudi par CSDD drošības incidentu. Tiek vērtēti incidenta apstākļi, skarto personas datu apjoms, CSDD veiktie pasākumi, kā arī tas, vai CSDD bija īstenojusi atbilstošus tehniskos un organizatoriskos pasākumus personas datu aizsardzībai un vai bija iespējams veikt papildu pasākumus incidenta novēršanai vai tā seku mazināšanai.
Tātad šobrīd vēl nav pamata apgalvot, ka CSDD ir konstatēts personas datu aizsardzības pārkāpums – šis jautājums vēl ir Datu valsts inspekcijas pārbaudes priekšmets.
Vienlaikus pati CSDD 2026. gada 28. augustā publiski norādīja, ka kompensāciju pieprasīšana šobrīd ir pāragra. CSDD skaidroja, ka attiecībā uz kompensācijām noteicošais būs Datu valsts inspekcijas lēmums, ar kuru tiktu konstatēta CSDD atbildība par personas datu aizsardzības prasību neievērošanu.
Kiberincidenta apjoms ir būtisks. Saskaņā ar CSDD un CERT.LV publiski sniegto informāciju uzbrucējs laika posmā no 2026. gada 8. līdz 10. augustam ieguva informāciju par maksājumu kvītīs ietvertajiem datiem par laika periodu no 2008. gada. Tika ietekmēti aptuveni 1,2 miljonu fizisko personu un 200 tūkstošu juridisko personu dati. Ietekmēto datu kategorijās ietilpst personas kods vai uzņēmuma reģistrācijas numurs, vārds un uzvārds vai uzņēmuma nosaukums, maksājuma summa, maksājuma veikšanas datums, transportlīdzekļa valsts reģistrācijas numura zīme un adrese, kas bija reģistrēta pakalpojuma saņemšanas dienā.
Ko paredz tiesiskais regulējums?
Vispārīgais datu aizsardzības regulējums paredz, ka personai ir tiesības uz kompensāciju, ja regulas pārkāpuma rezultātā tai ir nodarīts materiāls vai nemateriāls kaitējums. To paredz Regulas 82.pants.
Kompensācijas prasībai principā ir nepieciešami trīs savstarpēji saistīti elementi – personas datu aizsardzības regulējuma pārkāpums, kaitējums un cēloņsakarība starp pārkāpumu un konkrētajai personai nodarīto kaitējumu.
Eiropas Savienības Tiesa ir vairākkārt uzsvērusi, ka šie trīs priekšnoteikumi ir kumulatīvi.
Tādēļ pats personas datu aizsardzības regulējuma pārkāpums vēl nerada automātiskas tiesības uz naudas kompensāciju. Personai ir jāpastāv arī faktiski nodarītam materiālam vai nemateriālam kaitējumam un cēloņsakarībai starp pārkāpumu un šo kaitējumu.
Tas ir būtiski arī CSDD gadījumā. Kamēr Datu valsts inspekcija nav pabeigusi pārbaudi un nav noskaidrots, vai CSDD ir pārkāpusi tai saistošās personas datu aizsardzības prasības, nevar izdarīt galīgu secinājumu par CSDD civiltiesisko atbildību pret konkrētiem datu subjektiem.
Vai pats fakts, ka mani dati ir nozagti, jau ir kaitējums?
Personas datu aizsardzības pārkāpums un cilvēkam nodarītais kaitējums juridiski nav viens un tas pats. Tādēļ ar argumentu “mani dati ir nopludināti, tātad man pienākas nauda” vien nepietiek. Vienlaikus kaitējums nav jāsaprot tikai kā finansiāls zaudējums. Regula tieši paredz arī nemateriāla kaitējuma atlīdzināšanu.
Eiropas Savienības Tiesa ir precizējusi, ka arī bailes par iespējamu personas datu ļaunprātīgu izmantošanu nākotnē pašas par sevi noteiktos apstākļos var veidot nemateriālu kaitējumu. Personai nav obligāti jāgaida, līdz nozagtie dati faktiski tiek izmantoti krāpniecībā, identitātes zādzībā vai citā kaitējošā veidā. Tomēr ar abstraktu vai tikai hipotētisku risku nepietiek.
Ja persona kompensācijas prasību pamato ar bailēm, ka tās dati nākotnē varētu tikt ļaunprātīgi izmantoti, tiesai ir jāvērtē, vai šīs bailes konkrētajos apstākļos un attiecībā uz konkrēto personu ir pamatotas.
Tas ir būtisks precizējums, jo praksē starp “pastāv teorētiska iespēja, ka mani dati kādreiz var tikt izmantoti” un “man ir konkrēti pamatotas bažas par manu datu turpmāku izmantošanu” var būt juridiski nozīmīga atšķirība. Vienkārša neapmierinātība vai pats regulas pārkāpuma konstatējums nav automātiski pielīdzināms atlīdzināmam kaitējumam. Personai ir jāspēj pamatot, ka pārkāpums tai ir radījis faktisku materiālu vai nemateriālu kaitējumu.
Vai cilvēkam jau jābūt cietušam no datu ļaunprātīgas izmantošanas?
Atbilde ir – nē. Regula neparedz, ka kompensācija būtu iespējama tikai tad, ja jau ir notikusi identitātes zādzība, finanšu krāpšana vai cita konkrēta ļaunprātīga datu izmantošana.
Eiropas Savienības Tiesa ir atzinusi, ka bailes par iespējamu datu ļaunprātīgu izmantošanu nākotnē var pašas par sevi veidot nemateriālu kaitējumu. Tāpat personas kontroles zaudēšana pār saviem personas datiem var būt kaitējuma elements arī tad, ja dati vēl nav faktiski ļaunprātīgi izmantoti.
Tas nozīmē, ka personai nav obligāti jāpierāda, ka no tās konta jau ir nozagti, piemēram, 1000 eiro vai tās vārdā jau ir noslēgts krāpniecisks darījums. Tomēr arī šādā gadījumā personai ir jāpierāda, ka tā faktiski ir cietusi nemateriālu kaitējumu, nevis tikai jāatsaucas uz abstraktu iespēju, ka kaitējums varētu rasties.
Ko tas nozīmē tieši CSDD datu noplūdes gadījumā?
CSDD gadījums ir īpašs ar to, ka publiski ir zināms gan būtisks skarto personu skaits, gan konkrētas datu kategorijas, kas nonākušas uzbrucēja rīcībā. Tādēļ, vērtējot konkrētas personas iespējamo prasību, būtiska var būt ne tikai atbilde uz jautājumu, vai personas dati bija starp noplūdušajiem datiem, bet arī tas, kādi dati tieši bija skarti un kādas sekas konkrētajai personai radīja šo datu nonākšana nepiederošu personu rīcībā.
Piemēram, jānošķir situācija, kurā personai ir zināms tikai pats fakts par datu noplūdi, no situācijas, kurā pēc incidenta tā saņem aizdomīgus zvanus, īsziņas vai elektroniskā pasta vēstules, kurās tiek izmantoti tieši tai raksturīgi personas dati, vai rodas citi konkrēti apstākļi, kas palielina pamatotas bažas par šo datu izmantošanu.
Šādu apstākļu dokumentēšana var būt būtiska, ja persona vēlāk vēlas pamatot prasību par nemateriālā kaitējuma atlīdzināšanu.
Cik lielu kompensāciju varētu saņemt?
Šeit būtu nekorekti nosaukt kādu konkrētu summu, piemēram, 100, 500 vai 1000 eiro, un apgalvot, ka tāda kompensācija pienākas par personas datu noplūdi. Es teiktu, ka ņemot vērā mūsu valstī izveidojušos tiesu praksi mēs varam runāt drīzāk par simtiem, nevis tūkstošiem lielu kompensāciju. Arī Regula nenosaka fiksētu kompensācijas apmēru par konkrētu personas datu aizsardzības pārkāpumu.
Eiropas Savienības Tiesa ir norādījusi, ka kompensācijai ir kompensējoša, nevis sodoša funkcija. Tās mērķis ir pilnībā atlīdzināt konkrētajai personai faktiski nodarīto kaitējumu, nevis sodīt pārzini vai radīt preventīvu naudas sodu. Tādēļ kompensācijas apmērs ir atkarīgs no konkrētās personas pierādītā kaitējuma un lietas apstākļiem. Vienā un tajā pašā datu noplūdes incidentā dažādu personu situācija var būt atšķirīga.
Vienlaikus Eiropas Savienības Tiesa ir uzsvērusi, ka nemateriālam kaitējumam nav noteikts minimāls “de minimis” slieksnis. Taču personai joprojām ir jāpierāda, ka kaitējums tai faktiski ir nodarīts. Tādēļ būtu nepareizi izdarīt vienkāršotu secinājumu “jo vairāk cilvēku skarti, jo lielāka kompensācija pienākas katram”. Kompensācijas tiesiskais pamats ir konkrētajai personai nodarītais kaitējums, nevis kopējais incidenta mērogs.
Vai ir vērts tiesāties?
Tas ir individuāls juridisks un ekonomisks izvērtējums. Personai vispirms būtu jānovērtē, kādi dati ir skarti, vai pastāv konkrēts un pierādāms kaitējums, kādi pierādījumi ir pieejami un kāda ir iespējamā prasījuma ekonomiskā vērtība.
Šobrīd īpaši būtiski ir tas, ka Datu valsts inspekcijas pārbaude vēl turpinās, savukārt pati CSDD 28. augustā ir publiski norādījusi, ka kompensāciju pieprasīšana pašlaik ir pāragra. Tādēļ es neieteiktu skatīties uz šādu prasību kā uz garantētu iespēju “saņemt naudu par to, ka dati ir noplūduši”. Pareizā juridiskā pieeja ir vispirms izvērtēt konkrētajai personai nodarīto kaitējumu un tā pierādāmību, kā arī sagaidīt skaidrību par Datu valsts inspekcijas pārbaudes rezultātiem, ja vien konkrētajā situācijā nav citu īpašu apstākļu.
Jāņem vērā arī tiesvedības izmaksu risks. Civilprocesa likums paredz vispārīgos noteikumus par tiesāšanās izdevumu atlīdzināšanu. Pusei, kuras labā taisīts spriedums, noteiktos apstākļos var tikt atlīdzināti tiesāšanās izdevumi, savukārt prasības noraidīšanas gadījumā prasītājam var rasties pienākums atlīdzināt otras puses tiesāšanās izdevumus. Arī tiesvedības ilgumam nav iespējams atbildīgi nosaukt vienu konkrētu termiņu – tas ir atkarīgs no lietas sarežģītības, pierādījumu apjoma, tiesas noslodzes un tā, vai nolēmums tiek pārsūdzēts.
Ko cilvēkam darīt jau tagad?
Pat ja šobrīd nav pamata apgalvot, ka konkrētai personai jau pienākas kompensācija, tas nenozīmē, ka tai nekas nav jādara. Personai, kura vēlas saglabāt iespēju nākotnē pamatot prasību par kaitējuma atlīdzināšanu, būtu lietderīgi noskaidrot, kādi tās dati ir skarti, saglabāt CSDD sniegto informāciju par incidentu un personas datu skartību, kā arī fiksēt jebkādus aizdomīgus zvanus, īsziņas vai elektroniskā pasta vēstules, kurās tiek izmantoti personas dati. Tāpat būtu jāsaglabā dokumenti, kas varētu pierādīt materiālus zaudējumus vai citus konkrētus negatīvus incidenta radītus apstākļus, un jāseko Datu valsts inspekcijas un CSDD turpmākajiem paziņojumiem.
Tas ir svarīgi tādēļ, ka nākotnē jautājums nebūs tikai par to, vai mani dati bija noplūduši, bet gan par to, kā šis notikums konkrēti ietekmēja mani un kādu kaitējumu man radīja.
Par incidentu notiek arī citi procesi
CSDD datu noplūdes gadījumā paralēli personas datu aizsardzības jautājumam notiek arī citi procesi. 2026. gada 14. augustā Valsts policijas Galvenās kriminālpolicijas pārvaldes Kibernoziegumu apkarošanas pārvaldē tika uzsākts kriminālprocess saistībā ar nesankcionētu piekļuvi CSDD informācijas sistēmām. Savukārt 2026. gada 19. augustā Ģenerālprokuratūras Valsts drošības aizsardzības departamentā tika uzsākta prokurora pārbaude par iespējami pieļautiem pārkāpumiem vai nolaidību, kā rezultātā notikusi datu noplūde no CSDD informācijas sistēmām. Pārbaudes gaitā paredzēts vērtēt arī iespējamo CSDD un citu saistīto uzņēmumu amatpersonu un darbinieku atbildību.
Ministru prezidents Andris Kulbergs 2026. gada 18. augustā pēc CERT.LV un Satversmes aizsardzības biroja ziņojumu uzklausīšanas uzdeva satiksmes ministram kā CSDD kapitāldaļu turētājam vērtēt CSDD vadības atbildību notikušajā. Tomēr šie procesi ir jānošķir no jautājuma par konkrētai personai pienākošos kompensāciju. Kriminālprocesa vai prokurora pārbaudes uzsākšana pati par sevi nenozīmē, ka konkrētai personai automātiski rodas tiesības uz noteikta apmēra kompensāciju. Tāpat amatpersonu iespējamās atbildības izvērtēšana nav tas pats, kas civiltiesiskās atbildības konstatēšana konkrēta datu subjekta priekšā.
Tātad – vai par CSDD datu noplūdi pienākas kompensācija?
Šobrīd uz šo jautājumu nav iespējams atbildēt ar vienkāršu “jā” vai “nē”. Nē – pats fakts, ka personas dati ir nonākuši nepiederošu personu rīcībā, automātiski nenozīmē, ka ikvienam skartajam cilvēkam pienākas noteikta naudas summa. Taču tikpat nepareizi būtu apgalvot, ka kompensācija iespējama tikai tad, ja jau ir notikusi konkrēta finanšu krāpšana vai identitātes zādzība.
Eiropas Savienības Tiesas judikatūra ir skaidra: tiesības uz kompensāciju saskaņā ar Regulas 82.pantu ir saistītas ar trim kumulatīviem priekšnoteikumiem – pārkāpumu, kaitējumu un cēloņsakarību. Vienlaikus nemateriāls kaitējums var izpausties arī kā pamatotas bailes par personas datu iespējamu ļaunprātīgu izmantošanu nākotnē vai kontroles zaudēšana pār saviem datiem, taču konkrētajai personai ir jāspēj pierādīt, ka šāds kaitējums tai faktiski ir nodarīts.
Tāpēc šobrīd nav pamata ne vienam, ne otram galējam secinājumam – ne tam, ka visiem CSDD datu noplūdes skartajiem cilvēkiem automātiski pienākas vienāda kompensācija, ne arī tam, ka kompensācija nav iespējama, kamēr nav pierādīts konkrēts noziedzīgs nodarījums.
Galvenais ir saprast, ka datu noplūde pati par sevi ir ļoti nopietns personas datu aizsardzības jautājums, taču tiesības uz kompensāciju ir saistītas ar konkrētai personai nodarīta kaitējuma esamību un tā saistību ar pārkāpumu. Savukārt CSDD gadījumā šobrīd vēl ir jānoskaidro arī pats būtiskais priekšnoteikums – vai CSDD ir pieļāvusi tādu personas datu aizsardzības prasību pārkāpumu, par kuru iestājas atbildība.”
