Datu aizsardzība

Eiropas Savienības Tiesa 2026. gada 3. septembrī lietā C-798/24 (Jautiva), kas ierosināta pēc 17 akciju sabiedrības mazākuma akcionāru pieteikuma Satversmes tiesā, atzina, ka ES tiesības neprasa akcionāru reģistra informācijas publisku pieejamību un ka VDAR nepieļauj regulējumu, kas paredz visu akcionāru personas datu (identitāte, kontakti, akciju skaits, balsstiesības) atklāšanu ikvienam. Tiesa norādīja, ka komercdarbības caurskatāmības, NILLTPFN un sankciju mērķi nepamato vispārēju publisku piekļuvi, jo dati var tikt saglabāti un izplatīti. Tagad Satversmes tiesa vērtēs Latvijas akcionāru datu atklāšanas regulējuma atbilstību Satversmei; sagaidāmi grozījumi Komerclikumā un Uzņēmumu reģistra regulējumā. Klientus pārstāvēja COBALT (L. Liepa, G. Šantare, M. Aktumane).

DVI skaidro, ka personai, kas vēlas tiesā prasīt kompensāciju par personas datu aizsardzības pārkāpuma nodarīto kaitējumu saskaņā ar VDAR 82. pantu, nav vispirms jāsaņem uzraudzības iestādes lēmums – iestādes pārbaude un kompensācijas jautājums ir divas dažādas lietas. Atsaucoties uz EST praksi, DVI norāda, ka kompensācijas mērķis ir atlīdzināt faktiski nodarīto kaitējumu, nevis sodīt pārzini: pārkāpums vien nerada tiesības uz atlīdzību, jāpierāda kaitējums un cēloņsakarība, un tā apmērs atkarīgs arī no datu jutīguma.

Pēc datu drošības incidentiem AS "Latvijas valsts meži" un VAS "Ceļu satiksmes drošības direkcija" tiesībsardze Karina Palkova aicina valsts un pašvaldību iestādes preventīvi izvērtēt savu informācijas sistēmu drošību. Saskaņā ar Vispārīgo datu aizsardzības regulu iestādēm jāpārbauda, vai netiek vākti lieki dati, vai nevajadzīgie dati tiek laikus dzēsti un vai glabātie dati ir pienācīgi aizsargāti; īpaša uzmanība veselības un bērnu datu sistēmām. Ieteikti regulāri drošības auditi, piekļuves pārvaldības pārskatīšana un incidentu atklāšanas mehānismi sadarbībā ar Datu valsts inspekciju, Nacionālo kiberdrošības centru un CERT.LV.

iBizness raksts (Artūrs Freibergs) par Tūrisma likuma grozījumiem, kas stājās spēkā 2026.gada 10.jūlijā un ievieš ES Regulu 2024/1028 par datu vākšanu īstermiņa izmitināšanas pakalpojumos. Likumā ieviests termins "darījumu tūrisms" un jaunas prasības īstermiņa mītņu izīrētājiem (Airbnb, Booking u.c. platformās) sniegt datus, kā arī vienkāršota kūrorta statusa piešķiršana pašvaldībām. Raksts maksas.

Eiropas Savienības Tiesa, atbildot uz Satversmes tiesas jautājumiem lietā, ko ierosinājuši 17 dažādu akciju sabiedrību mazākuma akcionāri, atzina, ka Direktīva 2017/1132 neprasa publiskot informāciju par visiem akciju sabiedrības akcionāriem. Latvijas regulējums, kas paredz internetā bez ierobežojumiem publiskot akcionāru vārdu, personas kodu, adresi, e-pastu, akciju skaitu un balsstiesības, ir nopietna iejaukšanās pamattiesībās un neatbilst Vispārīgajai datu aizsardzības regulai, ja piekļuvei nav nosacījumu (piemēram, leģitīmas intereses pierādīšanas). Tiesa norādīja uz mazāk ierobežojošām alternatīvām – piekļuvi pēc leģitīmas intereses vai publiskošanu tikai par sankcionētām personām.

Eiropas Savienības Tiesa prejudiciālā nolēmumā pēc Satversmes tiesas jautājumiem atzina, ka ES tiesības neprasa publiskot informāciju par visiem akciju sabiedrības akcionāriem, tostarp mazākuma akcionāriem, un ka Latvijas regulējums – likuma "Par Latvijas Republikas Uzņēmumu reģistru" 4.15 panta otrās daļas b) punkts, kas paredz akcionāru datu publiskošanu reģistra publiskajā daļā, – nesniedz pietiekamas garantijas pret ļaunprātīgu izmantošanu, jo dati pieejami masveida lejupielādei neidentificētiem lietotājiem. Tiesa norādīja uz mazāk ierobežojošiem risinājumiem, piemēram, piekļuvi pēc leģitīmas intereses pārbaudes. Tagad Satversmes tiesai jālemj par normas atbilstību Satversmei.

Eiropas Savienības Tiesa atzina, ka ES tiesības neprasa publiskot akcionāru personas datus internetā, un Latvijas prasība brīvi pieejamā un lejupielādējamā veidā publicēt akcionāru vārdus, personas kodus, adreses un līdzdalības datus pārkāpj Pamattiesību hartā garantētās tiesības uz privātumu un datu aizsardzību. Pasākums nav ne piemērots, ne nepieciešams atklātas uzņēmējdarbības vides mērķim, un Latvijā trūkst pietiekamu garantiju pret datu ļaunprātīgu izmantošanu.

Patērētāju tiesību aizsardzības centrs informē par iespējamu drošības incidentu Attālinātās statistikas datu ievākšanas sistēmā (ASDIS, C klases sistēma). Skarta 697 uzņēmumu pārstāvju un 34 PTAC amatpersonu kontaktinformācija (vārds, e-pasts, tālrunis) – galvenokārt licencēto patērētāju kreditētāju, parādu atgūšanas pakalpojumu sniedzēju un komplekso tūrisma pakalpojumu sniedzēju kontakti, kas lielākoties jau pieejami publiskos reģistros. Uzņēmumu iesniegtie uzraudzības dati nav skarti; sistēma slēgta, lietotāji informēti.

Tiesu portāls skaidro, ka kopš 2026. gada 1. jūlija saistību piespiedu izpildīšanas brīdinājuma kārtības (SPIBK) lietās tiesas paziņojumi tiek sagatavoti un nosūtīti automatizēti, tāpēc tie var pienākt e-adresē arī sestdienās, svētdienās un svētku dienās. Ja parādnieks iesniedz atbildi e-lietu portālā, tiesas nolēmums var tikt sagatavots un nosūtīts tajā pašā dienā; ja 50 dienu laikā atbilde nav saņemta, sistēma automātiski ģenerē nolēmumu, arī ja termiņš iekrīt brīvdienā. Tiesa aicina neignorēt brīvdienās saņemtos paziņojumus un pārbaudīt tos Latvija.gov.lv portālā.

Latvijas Vēstnesī 1. septembrī publicēti Saeimas 20. augustā pieņemtie grozījumi Kredītinformācijas biroju likumā, kas stājas spēkā 15. septembrī; jaunās 12. panta daļas – 2026. gada 20. novembrī. Fiziskām personām nostiprinātas tiesības saņemt kredītinformāciju par sevi un sekot līdzi savas kredītspējas vērtējumiem, kā arī reģistrēt biroja sistēmā atzīmi par atteikšanos no kredītu piedāvājumiem, kas redzama visiem biroja lietotājiem (kreditoriem); atzīmes atsaukums birojam jādzēš trīs dienu laikā.

TEGOS vecākā juriste Kristīne Puķēna analizē uzņēmumu digitālo un organizatorisko noturību Nacionālās kiberdrošības likuma, NIS2, DORA un VDAR prasību kontekstā. Rakstā uzsvērts, ka biežākās problēmas ir neskaidri procesi un nenoteikta atbildība, tāpēc miera laikā jāpārskata risku pārvaldība, informācijas aizsardzība un incidentu ziņošanas kārtība. Praktiski ieteikts sakārtot līgumus ar pakalpojumu sniedzējiem un apakšuzņēmējiem – lomas, atbildību, pakalpojumu līmeņa (SLA) nosacījumus un incidentu reaģēšanas termiņus.

Juriste Aleksandra Baranova (ZAB Kronbergs Čukste Levin) analizē EST 2026.gada 14.jūlija spriedumu lietā C-474/24 par Austrijas antidopinga organizācijas praksi publiskot sportistu vārdus, pārkāpumus un diskvalifikācijas ilgumu. Četri sportisti apstrīdēja publiskošanu kā nesamērīgu īpašu kategoriju personas datu apstrādi; rakstā vērtēts, kādos apstākļos šāda publiskošana pieļaujama datu aizsardzības tiesību ietvaros. Raksts maksas.

Zvērināta advokāte Annija Švemberga-Streikiša (AmberLaw) analizē EST 2026.gada 16.jūlija spriedumu apvienotajās lietās C-258/23–C-260/23 par konkurences iestāžu piekļuvi darbinieku e-pastiem. Tiesa atzina, ka darba e-pasts ir ar ES Pamattiesību hartu aizsargāta korespondence, un iekšējs aizliegums lietot e-pastu privāti šo aizsardzību neatceļ; jebkura piekļuve ir iejaukšanās pamattiesībās, kurai jābūt tiesiski pamatotai. Raksts maksas.

Eiropas Komisija saskaņā ar Digitālo pakalpojumu aktu noteica ChatGPT par ļoti lielu tiešsaistes meklētājprogrammu, bet Reddit un Roblox – par ļoti lielām tiešsaistes platformām (katrai virs 45 milj. lietotāju mēnesī ES). Līdz 2026.gada decembrim tām jāizpilda papildu prasības – jānovērtē un jāmazina sistēmiskie riski (nelegāls saturs, bērnu drošība, pamattiesības, vēlēšanas); Komisija iegūst uzraudzības pilnvaras sadarbībā ar Īrijas un Nīderlandes regulatoriem.

DVI skaidro datu subjekta piekļuves tiesības (VDAR 15. pants): persona vispirms jāvēršas pie pārziņa, kuram mēneša laikā (VDAR 12. panta 3. punkts, sarežģītos gadījumos pagarināms par diviem mēnešiem) jāsniedz konkrēta, saprotama informācija par apstrādes nolūkiem, datu kategorijām, saņēmējiem, glabāšanas termiņiem un datu avotu. DVI iejaucas tikai tad, ja pārzinis mēneša laikā neatbild, atsaka vai sniedz nepilnīgu atbildi, vai apstrāde ir acīmredzami nelikumīga.

DVI informē, ka saistībā ar CSDD personas datu noplūdi jau uzsākta pārbaude un no CSDD pieprasīta informācija, tāpēc skartajām personām nav individuāli jāiesniedz sūdzības. Pārbaudē tiks vērtēti noplūdes apstākļi un CSDD kā pārziņa rīcība; iespējamais lēmums tiks adresēts CSDD. DVI atgādina, ka par kompensācijām tā nelemj – šādi strīdi risināmi tiesā.

Tieslietu ministrs Edvards Smiltēns sasauca apspriedi ar valsts iestāžu un kiberdrošības ekspertiem par pieaugošajiem kiberdraudiem tieslietu nozarē. Viņš uzsvēra, ka saskaņā ar Nacionālās kiberdrošības likumu par risku vadību un kritisko pakalpojumu noturību atbild organizācijas vadība, nevis tikai IT speciālisti. Ministrija apņēmās stiprināt starpinstitūciju sadarbību un uzskatīt drošības auditus par pastāvīgu, nevis vienreizēju procesu.

Tiesībsargs norāda, ka apdrošinātāji nedrīkst pieprasīt, un ārstniecības personas nedrīkst izsniegt pacienta pilnu medicīnisko vēsturi apdrošināšanas atlīdzības izvērtēšanai. Nododama drīkst būt tikai informācija, kas tieši attiecas uz konkrēto apdrošināšanas gadījumu, ievērojot datu minimizēšanas principu. Viedoklis skar apdrošināšanas sabiedrību praksi darbā ar klientu veselības datiem.

Latvijas, Lietuvas un Igaunijas tieslietu ministri Tallinā pārrunāja tiesu sistēmu digitalizāciju, datu apmaiņu starp iestādēm un mākslīgā intelekta izmantošanu tiesvedības procesos, uzsverot, ka lēmumu pieņemšana paliek tiesneša ziņā. Tika atbalstīta Eiropas Prokuratūras kompetences paplašināšana uz smagiem ES sankciju pārkāpumiem. Valstis vienojās turpināt koordināciju pārrobežu noziedzības apkarošanā.

Datu valsts inspekcija skaidro, kā datu pārziņiem jārīkojas, informējot cilvēkus par personas datu aizsardzības pārkāpumu, izmantojot par piemēru vasarā notikušo CSDD incidentu, kurā tika apdraudēti aptuveni 1,2 miljonu cilvēku dati. DVI norāda, ka masveida gadījumos pieļaujama publiska paziņošana (mājaslapā, medijos) individuālu vēstuļu vietā, ja tas nesamērīgi apgrūtinātu pārzini. Paziņojumā jānorāda, vai un kādi dati skarti, riski un ieteicamā rīcība.

Izrādās, kiberuzbrukums CSDD noticis caur iestādes pašas pārziņā esošu lietotni, kas nebija ietverta operatora "Tet" drošības uzraudzības līgumā. Ekonomikas ministrs skaidroja, ka "Tet" atbildēja tikai par tīkla infrastruktūru, un pārejas periods ļāvis sistēmām darboties bez obligātajiem drošības pasākumiem. Abas puses atzinušas nepieciešamību stiprināt sadarbību.

Latvijas Aizsardzības ministrija izstrādājusi grozījumus Nacionālās kiberdrošības likumā, kas radītu tiesisko ietvaru drošības pētniekiem piekļūt informācijas sistēmām, lai identificētu ievainojamības, nepārslogojot sistēmu vai neapdraudot drošību. Regulējums attiektos uz būtisko un svarīgo pakalpojumu sniedzējiem un kritiskās infrastruktūras operatoriem. Priekšlikums radies pēc 2026. gada tiesas lietas, kurā izgudrotājam Raimondam Skurulam piesprieda 4290 eiro sodu par ievainojamības ziņošanu CSDD; sabiedriskā apspriešana ilgst līdz augusta beigām.

PTAC ziņo par pieaugošu skaitu iesniegumu, kas sagatavoti ar mākslīgā intelekta rīku palīdzību un satur juridiski nepamatotus vai kļūdainus argumentus. Iestāde uzsver, ka MI nav juridisks konsultants un neuzņemas atbildību par sniegto informāciju, tāpēc aicina patērētājus pārbaudīt MI ieteikumus oficiālos avotos, īpaši jautājumos par termiņiem un finanšu saistībām.

Patērētāju tiesību aizsardzības centrs (PTAC) brīdina, ka arvien vairāk Latvijas iedzīvotāju iesniedz ar mākslīgo intelektu sagatavotas sūdzības, kurās bieži ir nopietnas kļūdas. PTAC norāda, ka MI var pārliecinoši formulēt tekstu, taču tam trūkst juridiskās kompetences — tiek minēti novecojuši normatīvie akti, nepareizi termiņi un juridiski nekorekti prasījumi pret uzņēmumiem vai tiesā. Iestāde iesaka izmantot MI tikai kā palīglīdzekli un nepaziņot sensitīvus datus bez izpratnes par to apstrādi.

Komentārā par CSDD datu noplūdi eksperti brīdina, ka nozagtos datus var izmantot mērķtiecīgai krāpšanai — viltus SMS, zvanos un reklāmās, kas ved uz krāpnieciskām lapām. Autors iesaka nekad neapstiprināt nepieprasītus Smart-ID pieprasījumus un pārbaudīt saziņu tikai caur oficiāliem kanāliem; minēti jau konstatēti krāpnieciski CSDD vārdā sūtīti e-pasti.

DVI skaidro, kā iestāde rīkojas pēc saņemta paziņojuma par personas datu noplūdi - vērtē pārkāpuma apstākļus un organizācijas veiktos drošības pasākumus, nevis tikai pašu incidenta faktu. Iestāde uzsver, ka DVI nelemj par kompensācijas izmaksu cietušajiem, jo šāds jautājums risināms civilprocesuālā kārtībā tiesā, iesniedzot pierādījumus par nodarīto kaitējumu.

Publikācija skaidro, ka darbinieku videonovērošana darba devējam ir likumīga tikai tad, ja tai ir konkrēts mērķis — piemēram, juridisku pienākumu izpilde, pierādījumu vākšana strīdiem vai darba kvalitātes kontrole —, ir atbilstošs tiesiskais pamats un darbinieki ir godīgi informēti par novērošanu un savām tiesībām. Novērošana ir prettiesiska, ja kameras vērstas uz privātām zonām vai ja tās vietā, lai uzraudzītu situāciju, seko līdzi konkrētam darbiniekam. Regulējums balstās Satversmes 96. pantā, VDAR un Fizisko personu datu apstrādes likumā.

Kiberuzbrukumā CSDD sistēmām nozagti 1,2 miljonu iedzīvotāju un ap 200 000 uzņēmumu 18 gadu maksājumu dati. Ministru prezidents kritizējis CSDD par neizpildītām obligātajām kiberdrošības prasībām, tostarp divfaktoru autentifikācijas trūkumu; Datu valsts inspekcijai līdz 31. augustam jāizvērtē pārkāpuma sekas. Notiek izmeklēšana par iespējamu ārvalstu iesaisti.

Valsts prezidents paziņojis, ka pēc masīvās CSDD datu noplūdes, kas skārusi 1,2 miljonus iedzīvotāju un ap 200 000 uzņēmumu, iestādes vadība šādos apstākļos nedrīkst turpināt darbu, jo zaudēta sabiedrības uzticēšanās. Prezidents uzbrukumu raksturojis kā nopietnu valsts drošības apdraudējumu; Valsts policija sākusi kriminālprocesu.