Datu aizsardzība

ES Padome 21.oktobrī apstiprinājusi sarunu nostāju par digitālā regulējuma vienkāršošanu (Digital Omnibus), kas paredz atvieglot uzņēmumiem atsevišķu personas datu apstrādes pienākumu izpildi. Plānots precizēt datu pseidonimizācijas noteikumus, informēšanas pienākumus un kārtību, kādā izskata nepamatotus vai pārmērīgus pieprasījumus. Izmaiņas skar visus uzņēmumus, kas apstrādā personas datus saskaņā ar VDAR.

Datu valsts inspekcija e-konsultācijā norāda, ka publicēt video, kurā identificējami cilvēki, ir personas datu apstrāde, kurai vajadzīgs nolūks un tiesiskais pamats saskaņā ar Datu regulu. Piekrišana sarunas ierakstīšanai vēl nenozīmē piekrišanu ieraksta publiskošanai; ja piekrišanas nav, jāvērtē cits tiesiskais pamats un sabiedrības intereses samērs ar privātumu. Konkrēto gadījumu inspekcija bez video satura izvērtēt nevar.

Datu valsts inspekcija skaidro, ka vecāku piekrišana bērna fotografēšanai un attēlu publicēšanai iestādes tīmekļvietnē neattiecas uz to augšupielādi mākslīgā intelekta rīkos, jo piekrišana ir saistīta ar konkrētiem nolūkiem un vadītāja atļauja neaizstāj datu apstrādes tiesisko pamatu (BilancePLZ, maksas saturs, redzams tikai ievads).

Eiropas Datu aizsardzības kolēģija publicējusi ziņojumu par video ierakstīšanu, novērošanu un pierādījumu pārvaldību viedo briļļu laikmetā. Dokuments brīdina, ka viedās brilles, lai gan noderīgas saziņai un ikdienas atbalstam, rada jaunus riskus trešo personu datu nejaušai apstrādei un video pierādījumu izmantošanai. Ziņojums aktuāls uzņēmumiem, kas vērtē šādu ierīču izmantošanu darbā.

Datu valsts inspekcija izveidojusi savā mājaslapā jaunu sadaļu 'Mākslīgā intelekta akta uzraudzība', kurā pakāpeniski publicēs skaidrojumus par ES Mākslīgā intelekta aktu un tā prasībām MI sistēmu izstrādātājiem un lietotājiem. Pirmais publicētais materiāls vienkāršā valodā paskaidro, kas uzskatāms par MI sistēmu un kā tā atšķiras no parastas automatizētas programmas. Jaunā sadaļa ir adresēta privātpersonām, uzņēmumiem un valsts iestādēm, kas izmanto vai izstrādā MI risinājumus.

EBI 14. oktobrī klasificēja Circle emitēto USDC kā pirmo "nozīmīgo" e-naudas žetonu Eiropas Savienībā no 45 MiCA regulējumā paziņotajiem e-naudas žetoniem. No 12. novembra EBI pārņems no Francijas ACPR tiešo prudenciālo uzraudzību pašu kapitāla, aktīvu rezerves, likviditātes prasību un atpirkšanas plānu jomā, bet ACPR turpinās uzraudzīt pārvaldību un ārpakalpojumus.

Valsts digitālās attīstības aģentūra paziņojusi, ka vienotais autorizācijas modulis (VPM), kas nodrošina identitātes apstiprināšanu dažādu valsts un pašvaldību e-pakalpojumu izmantošanai, iegūst savu vizuālo identitāti un logo, lai lietotāji skaidri atšķirtu to no portāla Latvija.gov.lv. Pats autorizācijas process un pieteikšanās veidi lietotājiem nemainās.

Pēc CSDD datu noplūdes saņemti vairāk nekā 10 000 kompensācijas pieprasījumu, lielākoties par aptuveni 10 000 eiro. Advokāte skaidro, ka cietušajiem jāpierāda ne tikai pats pārkāpums, bet arī konkrēts kaitējums, un ka morālo kaitējumu var pamatot, piemēram, ar ārsta izziņu. CSDD kompensācijas pagaidām neplāno, un prasība tiesā bez pietiekama pamatojuma var izrādīties neauglīga.

Analītisks raksts, kura autore ir RSU tiesību zinātņu maģistre, apskata, kā bankas kredītspējas izvērtēšanā izmanto mākslīgo intelektu un kādas problēmas rada Vispārīgās datu aizsardzības regulas 9. panta sensitīvo datu regulējums, ja lēmumu pieņem algoritms, nesniedzot cilvēkam izpratni par lēmuma pamatojumu.

RGSL docente Dr. Viktorija Soņeca un studente Elizabete Fiļipoviča žurnālā "Jurista Vārds" publicējušas rakstu par digitālo pilsonību MI laikmetā, analizējot deepfake un MI radīta satura ietekmi uz privātumu un cieņu ES Mākslīgā intelekta akta, VDAR un Digitālo pakalpojumu akta kontekstā.

No 2027.gada 1.aprīļa nevarēs vienlaikus maksāt samazināto patentmaksu un iesācēju mikrouzņēmumu nodokli — to paredz 2026.gada 17.septembra grozījumi likumā "Par iedzīvotāju ienākuma nodokli". VID saistībā ar izmaiņām aktualizējis savu metodisko materiālu par samazināto patentmaksu.

No 2027.gada 1.janvāra Patentu valdes nosaukums tiks mainīts uz Latvijas Intelektuālā īpašuma biroju, lai precīzāk atspoguļotu iestādes kompetenci. Nosaukuma maiņu 2026.gada 29.septembrī atbalstījis Ministru kabinets pēc Tieslietu ministrijas priekšlikuma.

Raksts skaidro ES Mākslīgā intelekta likuma (AI Act) 50. panta prasības par MI radīta satura apzīmēšanu. No noteikta brīža MI sistēmu attīstītājiem jānodrošina, ka mākslīgi radīti attēli, audio, video un teksti ir mašīnlasāmi apzīmēti kā tādi, savukārt personām jāzina, ka tās sarunājas ar MI sistēmu, piemēram, tērzēšanas robotu. Papildu pienākums skar arī tos, kas publisko deepfake saturu vai izmanto MI, lai rakstītu sabiedrībai nozīmīgus tekstus - viņiem MI iesaiste jānorāda skaidri.

Datu valsts inspekcija skaidro, ka automašīnas reģistrācijas numurs pats par sevi nav personas dati, ja vien tas nav savienojams ar konkrētu personu, piemēram, saistot ar transportlīdzekļa īpašnieka datiem parkošanas parāda piedziņas gadījumā. Operatoriem, kas izmanto numuru atpazīšanas sistēmas, jāinformē autovadītāji ar atbilstošu norādi un paziņojumu, un dati glabājami tikai tik ilgi, cik nepieciešams norādītajam mērķim.

Raksts skaidro, kā uzņēmumam pareizi apstrādāt datu subjekta pieprasījumu dzēst personas datus atbilstoši Vispārīgajai datu aizsardzības regulai, lai izvairītos no kļūdām — nepamatotas datu izsniegšanas trešajām personām, sasteigtas dzēšanas vai termiņa nokavēšanas. Uzsvērts, ka tas ir biznesa process, kuram uzņēmums var laikus sagatavoties, izstrādājot iekšējo kārtību.

Pēc CSDD kiberuzbrukuma, kurā tika apdraudēti aptuveni 1,2 miljonu personu dati, daudzi cietušie iesnieguši prasības par 10 000 eiro kompensāciju. Sorainen eksperti skaidro, ka pats datu aizsardzības pārkāpums automātiski nerada tiesības uz kompensāciju – jākonstatē konkrēts kaitējums (materiāls vai morāls). Raksts analizē VDAR 82. panta piemērošanu un pierādīšanas pienākumu šādās prasībās.

PTAC piedalījies Eiropas Digitālo pakalpojumu padomes sanāksmē, kur ES dalībvalstu uzraudzības iestādes pārrunāja Digitālo pakalpojumu akta (DSA) piemērošanu un sadarbību pārrobežu izpildē. Latvijā PTAC ir DSA uzraudzības koordinators, kas atbild par platformu un tiešsaistes starpnieku pienākumu ievērošanas kontroli.

"Cert.lv" 2025. gadā rīkoja 16 pikšķerēšanas simulācijas iestāžu un uzņēmumu darbiniekiem: no 15 436 nosūtītajiem e-pastiem atvērti gandrīz 32%, bet turklāt 3032 gadījumos lietotāji ievadījuši autentifikācijas datus. Papildus veiktajos 27 IT sistēmu drošības testos atklātas 82 ievainojamības, tostarp kritiskas, kas novērstas pirms iespējamas izmantošanas kiberuzbrukumos.

Pēc trim vērienīgām 2026. gada kiberuzbrukumiem valsts pārvaldītiem reģistriem (LVM, CSDD, PTAC sistēma ASDIS), kuros nozagti vairāk nekā puses iedzīvotāju dati, zvērināts advokāts Lauris Klagišs skaidro Vispārīgās datu aizsardzības regulas 82. panta piemērošanu. Cietušajiem ir tiesības no datu pārziņa vai apstrādātāja prasīt gan reālo zaudējumu, gan nemantiskā kaitējuma atlīdzību.

Rakstā aplūkota krāpniecisku telefonzvanu un SMS problēma pēc datu noplūdes no CSDD, norādot, ka noziedznieki, iespējams, izmanto no noplūdušajiem datiem iegūtu informāciju, lai savus zvanus padarītu ticamākus.

Raksts (aiz maksas sienas) skaidro, vai un kādos gadījumos ārpakalpojumu grāmatvedības uzņēmumam obligāti jānorīko atbildīgā persona par datu aizsardzību.

Pamatojoties uz Datu valsts inspekcijas skaidrojumu, rakstā norādīts, ka automašīnas reģistrācijas numurs pats par sevi nav uzskatāms par personas datiem, ja vien tas nav sasaistīts ar identificētu personu, taču maksas autostāvvietu operatoriem jau pirms kameras nofiksē numuru jāsniedz caurskatāma informācija par datu apstrādi, uzglabāšanas termiņu un tiesisko pamatu.

DVI skaidro, ka automātiska numura zīmes nolasīšana maksas autostāvvietās kļūst par personas datu apstrādi, tiklīdz numurs tiek saistīts ar konkrētu personu, piemēram, maksājuma iekasēšanai vai strīdu risināšanai. Operatoram nav obligāti jāprasa piekrišana - var izmantot līguma izpildes vai leģitīmo interešu pamatu, taču jānorāda apstrādes mērķis, operatora identitāte un kontaktinformācija, jāizvieto brīdinājums pirms kameru zonas un dati jāglabā tikai tik ilgi, cik nepieciešams.

EBA publicējusi atbildi Eiropas Komisijas konsultācijai par kriptoaktīvu tirgu regulas (MiCA) pārskatīšanu, nosakot prioritāros virzienus turpmākajiem grozījumiem. Dokuments var ietekmēt arī Latvijas tirgus dalībniekus, kas darbojas ar kriptoaktīviem vai plāno sniegt saistītus pakalpojumus ES vienotajā tirgū.

Raksts (aiz maksas sienas), intervijas formātā ar nozares ekspertu, pievēršas riskiem, ko uzņēmumos rada mākslīgā intelekta rīku nekontrolēta izmantošana, kad tā apsteigusi gan darbinieku apmācību, gan iekšējo regulējumu.

ESMA paziņojusi, ka no 2027. gada digitālā inovācija un ar to saistītā uzraudzības konverģence kļūs par vienu no iestādes uzraudzības prioritātēm - tas skars arī finanšu pakalpojumu sniedzējus, kas darbojas Latvijas un ES tirgū un izmanto digitālus/MI risinājumus.

Satiksmes ministrijas pasūtītā CSDD kiberincidenta izvērtējuma dokuments konstatē vairākas nopietnas nepilnības datu drošības pārvaldībā, tostarp nepilnīgas drošības pārbaudes, nepietiekamu tīkla aizsardzību un daudzfaktoru autentifikācijas trūkumu, kas ļāvis uzbrucējam iegūt personas datus. Jurists norāda, ka šis publiskotais dokuments jau tagad sniedz pietiekamus pierādījumus par CSDD nolaidību, tāpēc cietušajiem vairs nav jāgaida Datu valsts inspekcijas atzinums, lai celtu civiltiesisku prasību par kompensāciju.

Ģenerāladvokāts Dīns Spīlmens secinājis, ka piekrišana, ko persona devusi uzņēmumam datu izmantošanai tiešā mārketinga nolūkos 'savu partneru' vārdā, ir derīga tikai tad, ja šo partneru identitāte ir zināma. Ja Tiesa atzinumu apstiprinās, tas precizētu GDPR piekrišanas prasības arī uzņēmumiem Latvijā, kas izmanto trešo pušu piekrišanas modeļus tiešā mārketinga vajadzībām.

Eiropas Komisija 17. septembrī nākusi klajā ar priekšlikumu jaunai ES mēroga regulai bērnu aizsardzībai tiešsaistē (t.s. EU Kids Act), kas ierobežotu sociālo mediju platformu pieejamību bērniem. Priekšlikums vēl jāapstiprina likumdošanas procesā, taču pieņemts tas radītu jaunus pienākumus platformu operatoriem, kas darbojas arī Latvijas tirgū.

Datu valsts inspekcija (DVI) publicējusi ieteikumus organizācijām, kā izvairīties no personas datu aizsardzības incidentiem: uzturēt aktuālu IT sistēmu un iekārtu uzskaiti, segmentēt tīklus, nodrošināt aizsargātas rezerves kopijas, ieviest daudzfaktoru autentifikāciju un citus tehniskos drošības pasākumus, kā arī ierobežot personu loku ar piekļuvi personas datiem tikai līdz darba pienākumu izpildei nepieciešamajam. Ieteikumi vērsti uz proaktīvu incidentu novēršanu, nevis reaģēšanu pēc fakta.

PTAC aicina e-komercijas uzņēmumus nodrošināt digitālo pakalpojumu piekļūstamību cilvēkiem ar funkcionāliem traucējumiem. Kopš 2025.gada vidus Latvijā ir spēkā Preču un pakalpojumu piekļūstamības likums, kas nosaka attiecīgas prasības arī elektroniskās tirdzniecības pakalpojumiem.

Raksts (aiz maksas sienas) izvērtē izplatīto uzskatu, ka kopš 2026.gada 2.augusta ES obligāti jāmarķē jebkurš ar mākslīgā intelekta palīdzību radīts saturs, un skaidro, kad uzņēmumiem un iestādēm šāda atklāšanas prasība patiešām attiecas.

Eiropas Savienība sagatavojusi tiesību aktu paketi "Digitālais Omnibuss", kas paredzēta digitālā regulējuma vienkāršošanai un inovāciju veicināšanai. Iniciatīvas mērķis ir novērst vairāku paralēli piemērojamu tiesību aktu radītās pārklājošās prasības un neskaidri saskaņotās definīcijas.

Sorainen speciālisti skaidro, kā uzņēmumiem rīkoties, ja tie saskaras ar kiberdrošības incidentu, piemēram, izspiedējvīrusu uzbrukumu vai datu noplūdi. Raksts uzsver nepieciešamību nekavējoties iesaistīt vadību, izolēt skartās sistēmas un ziņot uzraudzības iestādēm normatīvajos termiņos. Ieteikumi attiecas uz visiem uzņēmumiem neatkarīgi no tā, vai uz tiem attiecas Kiberdrošības likuma prasības.

DVI skaidro, ka bezvēsts pazuduša cilvēka personas dati var tikt izsniegti tuviniekiem vai pakalpojumu sniedzējiem (kreditoriem, bankām, komunālo pakalpojumu uzņēmumiem), pamatojoties uz VDAR 6. panta 1. punkta "f" apakšpunktā minētajām leģitīmajām interesēm, ja tas nepieciešams steidzamu maksājumu vai saistību nokārtošanai. Pakalpojumu sniedzējiem jāpārbauda pieprasītāja identitāte, radniecība un pazušanas fakts, ievērojot datu minimizācijas principu. Mērķis – novērst parādu uzkrāšanos un līgumsodu piemērošanu, neizpaužot vairāk datu, nekā nepieciešams.

LSM.lv ziņo, ka kiberuzbrukumā LMT grupas uzņēmumam "TSC", kas nodarbojas ar sadzīves tehnikas un viedierīču remontu, nesankcionēti iegūti aptuveni 7% klientu datu — galvenokārt to klientu vārdi, uzvārdi, e-pasta adreses un tālruņu numuri, kuri ierīces remontam pieteikuši caur uzņēmuma mājaslapu. LMT pašas datubāzes uzbrukumā nav cietušas, un uzņēmums mājaslapu uz laiku slēdzis drošības apsvērumu dēļ. Uzņēmuma vadītājs norādīja, ka par iespējamām kompensācijām lems, izvērtējot katru gadījumu individuāli.

PRESS.LV raksta, ka CERT.LV brīdina par sekām pēc CSDD datu noplūdes, kurā uzbrucēja rīcībā nonākuši klientu vārdi, uzvārdi, personas kodi, maksājumu summas un datumi, transportlīdzekļu reģistrācijas numuri un pakalpojuma saņemšanas laikā norādītās adreses; tālruņu numuri, e-pasta adreses, bankas dati un e-CSDD piekļuves dati nozagti nav. Pēc incidenta iedzīvotāji arvien biežāk ziņo par aizdomīgām vēstulēm, īsziņām un zvaniem, tostarp viltus paziņojumiem par parādiem vai neapmaksātiem soda naudas, taču tiešu pierādījumu saiknei ar CSDD noplūdi konkrētos gadījumos vēl nav.

Priekuļos 8.-9. septembrī notika 11. reģionālais tiesnešu seminārs, kurā Baltijas un Eiropas tiesu, Rūpnieciskā īpašuma apelācijas padomes, PPIO, EUIPO un EPO pārstāvji pārrunāja aktuālo Eiropas un nacionālo tiesu praksi intelektuālā īpašuma tiesību aizsardzībā. Diskusijas ietvēra mākslīgā intelekta un autortiesību mijiedarbību, komercnoslēpumu aizsardzību, patentu strīdu izskatīšanu un preču zīmju aizsardzības attīstību; dalībnieki analizēja praktiskus tiesvedības scenārijus grupu darbā, uzsverot vienotas judikatūras veidošanas nozīmi straujas tehnoloģiju attīstības apstākļos.

Raksts apkopo soļus, kas uzņēmumam jāveic kiberdrošības incidenta gadījumā: jāinformē vadība, jāizolē skartās sistēmas, jāveic riska analīze un jāziņo uzraudzības iestādēm normatīvajos termiņos. Saskaņā ar Nacionālās kiberdrošības likumu ziņojumi CERT.LV jāiesniedz 24 stundu, 72 stundu un viena mēneša termiņos, savukārt VDAR paredz ziņot Datu valsts inspekcijai 72 stundu laikā, ja pārkāpums rada risku personu tiesībām. Pārkāpumu gadījumā draud administratīvie sodi līdz 20 miljoniem eiro vai 4% no apgrozījuma pēc VDAR un līdz 10 miljoniem eiro vai 2% pēc kiberdrošības likuma, kā arī iespējama atbildība pēc Krimināllikuma 245. panta.

LV portāla konsultācijā, atsaucoties uz Datu valsts inspekcijas skaidrojumu, norādīts, ka darbinieka vārda un uzvārda norādīšana darba dokumentos pati par sevi nav personas datu aizsardzības pārkāpums. Vārda apstrādei jābūt tiesiskam pamatam un leģitīmam mērķim, piemēram, atbildības nodrošināšanai vai iespējai iedzīvotājiem sazināties ar atbildīgo amatpersonu. Vai konkrētā gadījumā tas ir pieļaujams, atkarīgs no dokumenta veida, amata pienākumiem un iestādes iekšējās kārtības.

Rīgas Juridiskā augstskola (RGSL) izraudzīta dalībai Eiropas Padomes konsultāciju ietvarā par dezinformācijas apkarošanu, kas darbosies līdz 2030.gadam. RGSL sniegs ekspertīzi Eiropas tiesību, cilvēktiesību un digitālā regulējuma jomā, palīdzot valstīm pilnveidot tiesisko regulējumu, saglabājot vārda un mediju brīvības aizsardzību.

RGSL pētnieki iesaistīsies trīs Eiropas COST Action pētniecības tīklos 2026.-2030.gadam: HARPA par privātumu mākslīgā intelekta izstrādē, "Moving Data for Europe" par datu apriti Eiropā un STONE par pārvaldnieku īpašumtiesību modeļiem.

DVI skaidro, ka pakalpojuma sniedzējs drīkst atteikt pakalpojumu tikai tad, ja spēj pamatot konkrēto datu objektīvu nepieciešamību pakalpojuma sniegšanai. Vien fakts, ka dati pieprasīti līgumā vai pieteikuma formā, automātiski nepadara to sniegšanu par obligātu. Skaidrojumā atgādināts VDAR datu minimizācijas princips – uzņēmumi drīkst iegūt tikai tos datus, kas nepieciešami konkrētam mērķim, nevis ērtības vai iedibinātas prakses dēļ.

NRA.lv raksta, ka ES kriptoaktīvu tirgu regulējums (MiCA) kriptovalūtu uzņēmumiem noteicis stingras licencēšanas prasības — kapitāla rezerves, atbilstības sertifikācijas, kiberdrošības un noziedzīgi iegūtu līdzekļu legalizācijas novēršanas pasākumus. Daudzi mazie uzņēmumi un jaunuzņēmumi Igaunijā, Polijā un citviet ES saskaras ar izvēli — dārga atbilstība vai izceļošana uz jurisdikcijām, piemēram, AAE, Gruziju vai ASV. Raksts secina, ka regulējums tirgu koncentrē lielāku un kapitālietilpīgāku spēlētāju rokās, mazinot inovācijas un uzņēmējdarbību Latvijā un ES kopumā.

PRESS.LV raksta, ka IT eksperts sociālajos tīklos pārbaudījis, kādus datus veikals "Rimi" saņem, izmantojot Smart-ID vecuma pārbaudei, pēc tam, kad sekotāji jautājuši, vai "Rimi" "zog" klientu datus. Sazinājies ar Smart-ID pārstāvjiem, eksperts noskaidrojis, ka pārbaudes laikā "Rimi" saņem klienta precīzu vecumu, nevis tikai apstiprinājumu, ka persona ir sasniegusi 18 gadu vecumu, un uzdod jautājumu, kāpēc veikalam nepieciešams precīzs vecums, ja pietiktu ar vienkāršu 18+ apstiprinājumu.

DVI skaidro, ka personai, kas vēlas tiesā prasīt kompensāciju par personas datu aizsardzības pārkāpuma nodarīto kaitējumu saskaņā ar VDAR 82. pantu, nav vispirms jāsaņem uzraudzības iestādes lēmums – iestādes pārbaude un kompensācijas jautājums ir divas dažādas lietas. Atsaucoties uz EST praksi, DVI norāda, ka kompensācijas mērķis ir atlīdzināt faktiski nodarīto kaitējumu, nevis sodīt pārzini: pārkāpums vien nerada tiesības uz atlīdzību, jāpierāda kaitējums un cēloņsakarība, un tā apmērs atkarīgs arī no datu jutīguma.

Pēc datu noplūdēm AS "Latvijas valsts meži" un CSDD tiesībsarga Karina Palkova aicina valsts un pašvaldību iestādes rīkoties preventīvi, nevis reaģēt pēc fakta, un pārbaudīt savu informācijas sistēmu atbilstību datu aizsardzības prasībām. Viņa aicina nekavējoties veikt drošības auditus sistēmās, kas apstrādā veselības datus un bērnu informāciju (īpaši E-veselība un E-klase), un sadarboties ar kiberdrošības iestādēm, lai atklātu un novērstu turpmākus pārkāpumus.

Arī rakstīja: lvportals.lv

Pēc virknes datu drošības incidentu valsts informācijas sistēmās Latvijas tiesībsarģe Karina Palkova aicinājusi valsts iestādes un pašvaldības nekavējoties pārbaudīt to pārziņā esošo sistēmu drošību un veikt preventīvus pasākumus personas datu aizsardzībai, īpaši uzsverot veselības un bērnu datu sistēmas.

Ekonomikas ministrs Viktors Valainis un parlamentārais sekretārs Jurģis Miezainis videokonferencē ar Lietuvas, Polijas, Vācijas, Čehijas un Bulgārijas kolēģiem pārrunāja Eiropas Komisijas priekšlikumu "Digitālais omnibuss" (2025/0360), kas apvieno vairākus digitālo datu regulējumus, lai mazinātu uzņēmumu administratīvo slogu, saglabājot datu aizsardzības standartus. Dalībnieki vienojās, ka gala regulējumā vairāk jāņem vērā uzņēmumu konkurētspējas intereses, un solīja turpināt ekspertu koordināciju pirms ES Padomes darba grupu sanāksmēm.

Patērētāju tiesību aizsardzības centrs informē par iespējamu drošības incidentu Attālinātās statistikas datu ievākšanas sistēmā (ASDIS, C klases sistēma). Skarta 697 uzņēmumu pārstāvju un 34 PTAC amatpersonu kontaktinformācija (vārds, e-pasts, tālrunis) – galvenokārt licencēto patērētāju kreditētāju, parādu atgūšanas pakalpojumu sniedzēju un komplekso tūrisma pakalpojumu sniedzēju kontakti, kas lielākoties jau pieejami publiskos reģistros. Uzņēmumu iesniegtie uzraudzības dati nav skarti; sistēma slēgta, lietotāji informēti.

Pēc augusta sākumā notikušā kiberuzbrukuma CSDD, kurā iegūti dati no aptuveni 1,2 miljoniem fizisko un 200 000 juridisko personu maksājumu kvītīm, zvērināts advokāts skaidro, ka kompensācija par datu noplūdi nepienākas automātiski – tā jāpierāda katrā gadījumā atsevišķi, un reālais prasību skaits, visticamāk, būs simtos, nevis tūkstošos.

Juriste Aleksandra Baranova (ZAB Kronbergs Čukste Levin) analizē EST 2026.gada 14.jūlija spriedumu lietā C-474/24 par Austrijas antidopinga organizācijas praksi publiskot sportistu vārdus, pārkāpumus un diskvalifikācijas ilgumu. Četri sportisti apstrīdēja publiskošanu kā nesamērīgu īpašu kategoriju personas datu apstrādi; rakstā vērtēts, kādos apstākļos šāda publiskošana pieļaujama datu aizsardzības tiesību ietvaros. Raksts maksas.

TEGOS vecākā juriste Kristīne Puķēna analizē uzņēmumu digitālo un organizatorisko noturību Nacionālās kiberdrošības likuma, NIS2, DORA un VDAR prasību kontekstā. Rakstā uzsvērts, ka biežākās problēmas ir neskaidri procesi un nenoteikta atbildība, tāpēc miera laikā jāpārskata risku pārvaldība, informācijas aizsardzība un incidentu ziņošanas kārtība. Praktiski ieteikts sakārtot līgumus ar pakalpojumu sniedzējiem un apakšuzņēmējiem – lomas, atbildību, pakalpojumu līmeņa (SLA) nosacījumus un incidentu reaģēšanas termiņus.

Zvērināta advokāte Annija Švemberga-Streikiša (AmberLaw) analizē EST 2026.gada 16.jūlija spriedumu apvienotajās lietās C-258/23–C-260/23 par konkurences iestāžu piekļuvi darbinieku e-pastiem. Tiesa atzina, ka darba e-pasts ir ar ES Pamattiesību hartu aizsargāta korespondence, un iekšējs aizliegums lietot e-pastu privāti šo aizsardzību neatceļ; jebkura piekļuve ir iejaukšanās pamattiesībās, kurai jābūt tiesiski pamatotai. Raksts maksas.

DVI skaidro datu subjekta piekļuves tiesības (VDAR 15. pants): persona vispirms jāvēršas pie pārziņa, kuram mēneša laikā (VDAR 12. panta 3. punkts, sarežģītos gadījumos pagarināms par diviem mēnešiem) jāsniedz konkrēta, saprotama informācija par apstrādes nolūkiem, datu kategorijām, saņēmējiem, glabāšanas termiņiem un datu avotu. DVI iejaucas tikai tad, ja pārzinis mēneša laikā neatbild, atsaka vai sniedz nepilnīgu atbildi, vai apstrāde ir acīmredzami nelikumīga.

DVI informē, ka saistībā ar CSDD personas datu noplūdi jau uzsākta pārbaude un no CSDD pieprasīta informācija, tāpēc skartajām personām nav individuāli jāiesniedz sūdzības. Pārbaudē tiks vērtēti noplūdes apstākļi un CSDD kā pārziņa rīcība; iespējamais lēmums tiks adresēts CSDD. DVI atgādina, ka par kompensācijām tā nelemj – šādi strīdi risināmi tiesā.

Eiropas Komisija saskaņā ar Digitālo pakalpojumu aktu noteica ChatGPT par ļoti lielu tiešsaistes meklētājprogrammu, bet Reddit un Roblox – par ļoti lielām tiešsaistes platformām (katrai virs 45 milj. lietotāju mēnesī ES). Līdz 2026.gada decembrim tām jāizpilda papildu prasības – jānovērtē un jāmazina sistēmiskie riski (nelegāls saturs, bērnu drošība, pamattiesības, vēlēšanas); Komisija iegūst uzraudzības pilnvaras sadarbībā ar Īrijas un Nīderlandes regulatoriem.

BDO Latvia partneris V. Briežkalns, atsaucoties uz 2026. gada vasaras kiberuzbrukumiem AS “Latvijas valsts meži”, AS “Olpha” un CSDD (pēdējā gadījumā skarot ap 1,2 miljoniem fizisku un 200 000 juridisku personu datu), norāda, ka uzņēmumiem jārēķinās nevis ar to, vai uzbrukums notiks, bet ar to, kurš segs dīkstāves, atjaunošanas un uzticības zaudējuma izmaksas. CERT.LV 2026. gada 2. ceturksnī reģistrējis 673 kiberincidentus; rakstā uzskaitītas piecas jomas (dīkstāves izmaksas u.c.), kurās kiberrisks pārtop par vadības un finanšu jautājumu, tostarp atgādinot par uzņēmumu ziņošanas pienākumiem regulatoram.

Eiropas Komisija saskaņā ar Digitālo pakalpojumu aktu klasificējusi ChatGPT par ļoti lielu tiešsaistes meklētājprogrammu, bet Reddit un Roblox — par ļoti lielām tiešsaistes platformām. Klasifikācija nozīmē, ka šiem pakalpojumiem turpmāk būs saistošas stingrākas DPA prasības par sistēmisko risku pārvaldību un pārredzamību.

CSDD paziņo, ka kompensāciju par kiberuzbrukumā nozagtajiem personas datiem noteicošais būs Datu valsts inspekcijas lēmums par CSDD atbildību par Vispārīgās datu aizsardzības regulas pārkāpumu. Kompensācijas pieprasīšana šobrīd atzīta par pāragru, un klienti par turpmākajiem soļiem tiks informēti atsevišķi.

Tieslietu ministrs Edvards Smiltēns sasauca apspriedi ar valsts iestāžu un kiberdrošības ekspertiem par pieaugošajiem kiberdraudiem tieslietu nozarē. Viņš uzsvēra, ka saskaņā ar Nacionālās kiberdrošības likumu par risku vadību un kritisko pakalpojumu noturību atbild organizācijas vadība, nevis tikai IT speciālisti. Ministrija apņēmās stiprināt starpinstitūciju sadarbību un uzskatīt drošības auditus par pastāvīgu, nevis vienreizēju procesu.

DVI direktora vietniece Lāsma Dilba "Rīta Panorāmā" norādīja, ka lielākais risks CSDD kiberuzbrukumā cietušajiem rodas, ja krāpnieki nozagtos datus kombinē ar citās publiskās datubāzēs, piemēram, zemesgrāmatās, pieejamu informāciju, ļaujot izveidot precīzu personas profilu. DVI šobrīd vērtē, vai CSDD ir darījusi visu iespējamo datu aizsardzībai.

Latvijas standarta statusā reģistrēts LVS EN 18286:2026 par mākslīgā intelekta kvalitātes vadības sistēmu ES Mākslīgā intelekta akta mērķiem, nosakot organizācijām, kas izstrādā MI sistēmas, prasības risku, datu un incidentu pārvaldībai.

Zvērināta advokāta Laura Klagiša birojs sociālajos tīklos publiskojis rīcības soļus autovadītājiem pēc CSDD kiberuzbrukuma, kurā nozagti 1,2 miljonu cilvēku un ap 200 000 juridisko personu dati par pēdējiem 18 gadiem. Uzsvērts, ka datu subjektiem svarīgi izprast savas VDAR noteiktās tiesības un iespējamos turpmākos rīcības soļus.

ES Tiesas tiesnese Ineta Ziemele raidījumā "Rīta Panorāma" pauda, ka visiem 1,2 miljoniem iedzīvotāju, kuru dati nozagti CSDD kiberuzbrukumā, jau tagad ir tiesības prasīt kompensāciju par morālo kaitējumu, jo cilvēktiesību aizskārums noticis neatkarīgi no tā, vai dati vēl tikuši izmantoti ļaunprātīgi. Viņa uzsvēra, ka par kompensāciju būtu jālemj atbildīgajām iestādēm, nevis katram pašam tā jāprasa.

Krievu valodas versijā tas pats stāsts: ES Tiesas tiesnese Ineta Ziemele skaidro, ka CSDD kiberuzbrukumā cietušajiem 1,2 miljoniem iedzīvotāju jau ir tiesības uz kompensāciju par morālo kaitējumu, jo personas datu aizskārums noticis neatkarīgi no turpmākas datu izmantošanas. Tiesnese uzsver datu aizsardzības kā vienas no ES pamatvērtībām nozīmi.

Tiesībsargs norāda, ka apdrošinātāji nedrīkst pieprasīt, un ārstniecības personas nedrīkst izsniegt pacienta pilnu medicīnisko vēsturi apdrošināšanas atlīdzības izvērtēšanai. Nododama drīkst būt tikai informācija, kas tieši attiecas uz konkrēto apdrošināšanas gadījumu, ievērojot datu minimizēšanas principu. Viedoklis skar apdrošināšanas sabiedrību praksi darbā ar klientu veselības datiem.

Tiesībsarga birojs skaidro, ka apdrošinātājs drīkst pieprasīt un ārstniecības persona drīkst izsniegt tikai to pacienta veselības datu daļu, kas tieši nepieciešama konkrētā apdrošināšanas gadījuma izvērtēšanai, nevis visu medicīnisko vēsturi.

Raksts (pieejama tikai ievaddaļa) aplūko jautājumu, vai teksta vai attēla autors var būt mākslīgais intelekts, ņemot vērā tā arvien plašāku izmantošanu satura veidošanā.

Raksts (pieejama tikai ievaddaļa) brīdina, ka krāpnieki iegūtos personas datus – vārdu, personas kodu, adresi – izmanto pārliecinošu krāpšanas shēmu veidošanai, un aicina iedzīvotājus zināt, kā šādus datus pasargāt.

Datu valsts inspekcija skaidro, kā datu pārziņiem jārīkojas, informējot cilvēkus par personas datu aizsardzības pārkāpumu, izmantojot par piemēru vasarā notikušo CSDD incidentu, kurā tika apdraudēti aptuveni 1,2 miljonu cilvēku dati. DVI norāda, ka masveida gadījumos pieļaujama publiska paziņošana (mājaslapā, medijos) individuālu vēstuļu vietā, ja tas nesamērīgi apgrūtinātu pārzini. Paziņojumā jānorāda, vai un kādi dati skarti, riski un ieteicamā rīcība.

Pēc juristu aicinājumiem sabiedrībā izplatās gatavs pieprasījuma paraugs CSDD par sava datu statusa noskaidrošanu kiberuzbrukuma sakarā, taču pašu juristu vidū nav vienprātības, vai masveida pieprasījumi ir lietderīgi. Daļa uzskata, ka tas liks CSDD apzināties seku smagumu, citi brīdina par iestādes pārslogošanu, kas kavētu incidenta izmeklēšanu.

Izrādās, kiberuzbrukums CSDD noticis caur iestādes pašas pārziņā esošu lietotni, kas nebija ietverta operatora "Tet" drošības uzraudzības līgumā. Ekonomikas ministrs skaidroja, ka "Tet" atbildēja tikai par tīkla infrastruktūru, un pārejas periods ļāvis sistēmām darboties bez obligātajiem drošības pasākumiem. Abas puses atzinušas nepieciešamību stiprināt sadarbību.

CSDD savā mājaslapā izveidojusi vienotu sadaļu, kurā apkopota aktuālā informācija par iestādes ciesto kiberuzbrukumu. Sadaļā pieejama informācija par vairākām ar incidentu saistītām tēmām, un CSDD apsolījusi to regulāri papildināt. Solis vērsts uz caurskatāmāku informēšanu par datu drošības incidenta seku novēršanu.

“Bite Latvija” un pētījumu centra SKDS ikgadējā aptaujā, kurā piedalījās 750 aktīvo uzņēmumu vadītāju, secināts, ka ar kiberuzbrukumiem saskārušies 18% uzņēmumu, taču vairāk nekā trešā daļa uzņēmumu par kiberriskiem neuztraucas.

Latvijas Aizsardzības ministrija izstrādājusi grozījumus Nacionālās kiberdrošības likumā, kas radītu tiesisko ietvaru drošības pētniekiem piekļūt informācijas sistēmām, lai identificētu ievainojamības, nepārslogojot sistēmu vai neapdraudot drošību. Regulējums attiektos uz būtisko un svarīgo pakalpojumu sniedzējiem un kritiskās infrastruktūras operatoriem. Priekšlikums radies pēc 2026. gada tiesas lietas, kurā izgudrotājam Raimondam Skurulam piesprieda 4290 eiro sodu par ievainojamības ziņošanu CSDD; sabiedriskā apspriešana ilgst līdz augusta beigām.

Aizsardzības ministrija sagatavojusi grozījumus Nacionālās kiberdrošības likumā, kas legalizētu tā saukto "balto hakeru" – drošības pētnieku – darbību, atklājot ievainojamības informācijas sistēmās. Pētnieki drīkstēs piekļūt datiem tikai ievainojamības konstatēšanai vajadzīgajā apjomā, netraucējot sistēmas darbību. Organizācijām, kas saņem ziņojumu par ievainojamību, būs jāziņo kompetentajai iestādei un jārīkojas.

PTAC ziņo par pieaugošu skaitu iesniegumu, kas sagatavoti ar mākslīgā intelekta rīku palīdzību un satur juridiski nepamatotus vai kļūdainus argumentus. Iestāde uzsver, ka MI nav juridisks konsultants un neuzņemas atbildību par sniegto informāciju, tāpēc aicina patērētājus pārbaudīt MI ieteikumus oficiālos avotos, īpaši jautājumos par termiņiem un finanšu saistībām.

Datu valsts inspekcija skaidro rīcības kārtību pēc personas datu noplūdes — pēc organizācijas paziņojuma DVI noskaidro notikušā apstākļus, pārkāpuma raksturu un riskus, kā arī vērtē organizācijas turpmākos pienākumus pret skartajām personām.

DVI skaidro, kā iestāde rīkojas pēc saņemta paziņojuma par personas datu noplūdi - vērtē pārkāpuma apstākļus un organizācijas veiktos drošības pasākumus, nevis tikai pašu incidenta faktu. Iestāde uzsver, ka DVI nelemj par kompensācijas izmaksu cietušajiem, jo šāds jautājums risināms civilprocesuālā kārtībā tiesā, iesniedzot pierādījumus par nodarīto kaitējumu.

Kiberuzbrukumā CSDD sistēmām nozagti 1,2 miljonu iedzīvotāju un ap 200 000 uzņēmumu 18 gadu maksājumu dati. Ministru prezidents kritizējis CSDD par neizpildītām obligātajām kiberdrošības prasībām, tostarp divfaktoru autentifikācijas trūkumu; Datu valsts inspekcijai līdz 31. augustam jāizvērtē pārkāpuma sekas. Notiek izmeklēšana par iespējamu ārvalstu iesaisti.

Valsts prezidents paziņojis, ka pēc masīvās CSDD datu noplūdes, kas skārusi 1,2 miljonus iedzīvotāju un ap 200 000 uzņēmumu, iestādes vadība šādos apstākļos nedrīkst turpināt darbu, jo zaudēta sabiedrības uzticēšanās. Prezidents uzbrukumu raksturojis kā nopietnu valsts drošības apdraudējumu; Valsts policija sākusi kriminālprocesu.

Swedbank aicina klientus būt piesardzīgiem, jo krāpnieki izsūta viltus vēstules, kas atdarina bankas datu atjaunošanas pieprasījumus, cenšoties izkrāpt klientu pieejas datus. Banka atgādina nekad nesūtīt paroles vai kodus un pirms atbildēšanas pārbaudīt sūtītāja adresi.