CSDD datu noplūde kompensācija — šis ir viens no biežākajiem jautājumiem, ko cilvēki uzdod pēc 2026. gada augusta incidenta. 2026. gada augustā Ceļu satiksmes drošības direkcija (CSDD) piedzīvoja apjomīgu kiberdrošības incidentu, kura rezultātā trešo personu rīcībā nonāca informācija par aptuveni 1,2 miljoniem fizisko personu.
Publiski pieejamā informācija liecina, ka incidentā varēja tikt skarti tādi personas dati kā:
- vārds un uzvārds;
- personas kods;
- adrese;
- transportlīdzekļa valsts reģistrācijas numurs;
- maksājuma summa;
- maksājuma veikšanas datums.
Šāda apjoma personas datu noplūde rada būtisku jautājumu: vai personām, kuru dati ir nonākuši trešo personu rīcībā, ir tiesības pieprasīt kompensāciju no CSDD?
Atbilde ir — noteiktos apstākļos jā. CSDD datu noplūde kompensācija ir iespējama, ja izpildās GDPR nosacījumi.
Šajā rakstā
Datu valsts inspekcija jau pārbauda CSDD incidentu
Datu valsts inspekcija ir uzsākusi CSDD datu drošības incidenta pārbaudi.
Tās ietvaros cita starpā tiks vērtēts:
- kā incidents notika;
- kāds personas datu apjoms tika skarts;
- kādus drošības pasākumus CSDD bija ieviesusi pirms incidenta;
- vai šie pasākumi bija atbilstoši personas datu aizsardzības prasībām;
- kā CSDD reaģēja pēc incidenta konstatēšanas;
- vai bija iespējams veikt papildu pasākumus incidenta novēršanai vai tā seku mazināšanai.
Svarīgi uzsvērt, ka pats kiberuzbrukuma fakts automātiski nenozīmē, ka CSDD ir pārkāpusi GDPR.
Tas būs jānoskaidro kompetentajām iestādēm.
Tomēr šī izvērtējuma rezultāts var būt ļoti būtisks personām, kuras vēlāk vēlas prasīt kompensāciju par nodarīto kaitējumu.
CSDD datu noplūde kompensācija: ko paredz GDPR?
Vispārīgās datu aizsardzības regulas jeb GDPR 82. pants paredz, ka personai ir tiesības saņemt kompensāciju, ja GDPR pārkāpuma rezultātā tai ir nodarīts:
- materiāls kaitējums; vai
- nemateriāls kaitējums.
Materiāls kaitējums varētu būt, piemēram, konkrēti finansiāli zaudējumi.
Nemateriāls kaitējums savukārt var būt saistīts ar personas privātuma aizskārumu, satraukumu vai pamatotām bažām par iespējamu personas datu ļaunprātīgu izmantošanu.
Tomēr kompensācija nav automātiska tikai tāpēc, ka personas dati ir bijuši iesaistīti datu noplūdē.
Lai izvērtētu, vai CSDD datu noplūde kompensācija ir pamatota, parasti jāvērtē trīs galvenie jautājumi:
- Vai ir noticis GDPR pārkāpums?
- Vai personai ir nodarīts materiāls vai nemateriāls kaitējums?
- Vai pastāv saikne starp pārkāpumu un nodarīto kaitējumu?
Eiropas Savienības Tiesa: kaitējumam nav jābūt “ļoti smagam”
Eiropas Savienības Tiesa lietā C-300/21 Österreichische Post ir skaidrojusi, ka ar GDPR pārkāpuma faktu vien nepietiek, lai automātiski rastos tiesības uz kompensāciju.
Tomēr Tiesa vienlaikus secināja, ka nemateriālajam kaitējumam nav jāsasniedz kāds noteikts minimālais smaguma līmenis, lai persona varētu prasīt kompensāciju.
Tas nozīmē, ka jautājums “CSDD datu noplūde kompensācija” katrā situācijā ir jāvērtē individuāli.
Vai bailes par savu datu izmantošanu var būt kaitējums?
CSDD incidenta kontekstā īpaši nozīmīgs varētu būt vēl viens Eiropas Savienības Tiesas spriedums.
Lietā C-340/21 tika vērtēta situācija, kur kibernoziedznieki bija ieguvuši piekļuvi ļoti lielam personas datu apjomam.
Eiropas Savienības Tiesa atzina, ka pamatotas bailes par to, ka trešās personas nākotnē varētu ļaunprātīgi izmantot personas datus, noteiktos apstākļos pašas par sevi var būt nemateriāls kaitējums GDPR izpratnē.
Tas ir būtiski arī CSDD datu noplūdes kontekstā.
Piemēram, izvērtējot iespējamu kompensācijas prasījumu, nozīme varētu būt tam:
- kādi konkrēti personas dati ir noplūduši;
- vai starp tiem ir personas kods un dzīvesvietas adrese;
- vai persona pēc incidenta saņēmusi aizdomīgus zvanus, SMS vai e-pastus;
- vai ir bijuši krāpšanas vai identitātes izmantošanas mēģinājumi;
- vai personai nācies veikt papildu drošības pasākumus;
- vai ir radušies konkrēti izdevumi vai finansiāli zaudējumi;
- vai radušās objektīvi pamatotas bažas par personas datu turpmāku izmantošanu.
CSDD datu noplūde kompensācija: kā noskaidrot, vai skarti tieši Jūsu dati?
Ikvienai personai ir tiesības noskaidrot, vai tās personas dati ir bijuši iesaistīti incidentā un kādas personas datu kategorijas konkrēti ir skartas.
Tādēļ viens no pirmajiem soļiem var būt informācijas pieprasījuma iesniegšana CSDD.
Jo precīzāk persona zina, kādi dati nonākuši trešo personu rīcībā, jo precīzāk iespējams izvērtēt arī iespējamo risku un prasījuma pamatu.
Ko darīt jau tagad?
Ja Jūsu personas dati ir bijuši iesaistīti CSDD incidentā, iesakām saglabāt visu ar incidentu saistīto informāciju — tā var būt izšķiroša, ja vēlāk tiks vērtēts jautājums “CSDD datu noplūde kompensācija”.
Tas var ietvert:
- CSDD nosūtītos paziņojumus;
- CSDD atbildes uz Jūsu informācijas pieprasījumiem;
- aizdomīgas SMS;
- aizdomīgus e-pastus;
- informāciju par aizdomīgiem zvaniem;
- pierādījumus par krāpšanas vai identitātes izmantošanas mēģinājumiem;
- banku vai citu pakalpojumu sniedzēju paziņojumus;
- pierādījumus par radušiem izdevumiem vai finansiāliem zaudējumiem;
- citu informāciju par incidenta radītajām sekām.
Šāda informācija vēlāk var būt būtiska, lai pamatotu iespējamu kompensācijas prasījumu.
Vai nepieciešams iesniegt sūdzību Datu valsts inspekcijā?
Ne vienmēr.
Datu valsts inspekcija jau ir uzsākusi CSDD incidenta pārbaudi.
Tādēļ nav nepieciešams iesniegt sūdzību tikai tāpēc, lai atkārtoti informētu DVI par faktu, kas tai jau ir zināms.
Tomēr individuāla vēršanās DVI var būt lietderīga, ja personas rīcībā ir papildu informācija vai īpaši apstākļi, kuri varētu būt nozīmīgi incidenta izvērtēšanā.
Svarīgi: Datu valsts inspekcijas piemērots sods un kompensācija konkrētai personai nav viens un tas pats.
DVI var izvērtēt GDPR prasību ievērošanu un nepieciešamības gadījumā piemērot uzraudzības pasākumus vai administratīvu sodu.
Savukārt jautājums par konkrētai personai nodarītā kaitējuma atlīdzināšanu risināms atsevišķi.
Vai CSDD var tikt piemērots sods?
GDPR paredz būtiskus administratīvos sodus par personas datu aizsardzības prasību pārkāpumiem.
Atkarībā no konkrētā pārkāpuma veida GDPR noteiktie maksimālie soda apmēri var sasniegt 10 miljonus vai 20 miljonus eiro, savukārt uzņēmumu gadījumā noteiktos apstākļos var tikt piemērots arī procentuāls slieksnis no kopējā gada apgrozījuma.
Tomēr tas nenozīmē, ka CSDD automātiski tiks piemērots šāda apmēra sods.
Konkrētais juridiskais regulējums, iespējamais pārkāpums un sankcija būs atkarīga no kompetento institūciju veiktās pārbaudes rezultātiem.
Turklāt pat tad, ja CSDD tiktu piemērots administratīvais sods, šī summa netiktu automātiski izmaksāta personām, kuru dati tika skarti.
Tiesības uz individuālu kompensāciju ir atsevišķs juridisks jautājums.
CSDD datu noplūde kompensācija: vai Jums ir tiesības to prasīt?
CSDD datu noplūde kompensācija ir atkarīga no konkrētiem apstākļiem. Ja CSDD datu noplūdes incidentā ir skarti Jūsu personas dati, Jums varētu būt tiesības prasīt kompensāciju, ja konkrētajos apstākļos iespējams konstatēt GDPR pārkāpumu un tā rezultātā nodarītu materiālu vai nemateriālu kaitējumu.
Katrs gadījums ir jāvērtē individuāli.
Tas, ka personas dati ir nonākuši trešo personu rīcībā, pats par sevi vēl negarantē kompensācijas izmaksu.
Tomēr GDPR un Eiropas Savienības Tiesas prakse paredz mehānismus, kas ļauj personām prasīt nodarītā kaitējuma atlīdzināšanu.
CSDD datu noplūde kompensācija: pārbaudiet savu situāciju
RR Partners piedāvā sākotnēji izvērtēt personas situāciju saistībā ar CSDD datu noplūdi. Sākotnējā izvērtējumā tiek vērtēts, vai konkrētajā gadījumā CSDD datu noplūde kompensācija vispār ir iespējama.
Lai veiktu sākotnējo izvērtējumu, mums būs svarīgi noskaidrot:
- vai CSDD ir apstiprinājusi, ka Jūsu dati tika skarti;
- kādi tieši dati ir noplūduši;
- vai pēc incidenta esat saņēmis aizdomīgus zvanus, SMS vai e-pastus;
- vai ir bijuši krāpšanas vai identitātes izmantošanas mēģinājumi;
- vai incidents Jums radījis finansiālus zaudējumus;
- vai Jums radušās pamatotas bažas par savu personas datu ļaunprātīgu izmantošanu.
Sazinieties ar RR Partners, lai noskaidrotu, vai Jūsu konkrētajā situācijā varētu pastāvēt juridisks pamats kompensācijas prasījumam pret CSDD.
Šajā rakstā sniegtā informācija ir vispārīga un informatīva. Tā nav uzskatāma par individuālu juridisku konsultāciju. Tiesības uz kompensāciju, prasījuma pamats un iespējamais kompensācijas apmērs ir atkarīgs no katra konkrētā gadījuma apstākļiem.