Защита данных

21 октября Совет ЕС утвердил переговорную позицию по упрощению цифрового регулирования (Digital Omnibus), которая предусматривает облегчение для предприятий выполнения отдельных обязанностей по обработке персональных данных. Планируется уточнить правила псевдонимизации данных, обязанности по информированию и порядок рассмотрения необоснованных или чрезмерных запросов. Изменения касаются всех компаний, обрабатывающих персональные данные по GDPR.

Государственная инспекция данных в электронной консультации указывает, что публикация видео, на котором можно опознать людей, является обработкой персональных данных, для которой нужны цель и правовое основание по Общему регламенту о защите данных. Согласие на запись разговора ещё не означает согласия на публикацию записи; при его отсутствии нужно оценить иное правовое основание и баланс общественного интереса и права на частную жизнь. Конкретный случай без содержания видео инспекция оценить не может.

Государственная инспекция данных разъясняет, что согласие родителей на фотографирование ребёнка и публикацию снимков на сайте учреждения не распространяется на загрузку их в инструменты искусственного интеллекта, так как согласие привязано к конкретным целям, а разрешение руководителя не заменяет правовое основание обработки данных (BilancePLZ, платный материал, виден только вводный абзац).

Европейский совет по защите данных опубликовал отчет о видеозаписи, наблюдении и управлении доказательствами в эпоху умных очков. В документе отмечается, что такие устройства, будучи полезными для общения и повседневной поддержки, создают новые риски непреднамеренной обработки данных третьих лиц и использования видеозаписей как доказательств. Отчет актуален для компаний, рассматривающих использование подобных устройств на рабочем месте.

Государственная инспекция данных создала на своём сайте новый раздел 'Надзор за Актом об искусственном интеллекте', где будут постепенно публиковаться разъяснения о требованиях Акта ЕС об ИИ к разработчикам и пользователям систем ИИ. Первый материал простым языком объясняет, что считается системой ИИ и чем она отличается от обычной автоматизированной программы. Раздел адресован частным лицам, предприятиям и госучреждениям.

14 октября EBA классифицировал выпускаемый Circle токен USDC как первый «значимый» токен электронных денег в Европейском союзе среди 45 токенов, уведомленных в рамках регламента MiCA. С 12 ноября EBA возьмёт на себя у французского регулятора ACPR прямой пруденциальный надзор в части собственных средств, резерва активов, требований ликвидности и планов погашения, тогда как ACPR продолжит контролировать управление и аутсорсинг.

Государственное агентство цифрового развития сообщило, что единый модуль авторизации (VPM), обеспечивающий подтверждение личности при использовании различных государственных и муниципальных электронных услуг, получит собственную визуальную идентичность и логотип, чтобы пользователи чётко отличали его от портала Latvija.gov.lv. Сам процесс авторизации и способы входа для пользователей не меняются.

После утечки данных в CSDD поступило более 10 000 заявлений о компенсации, в основном на сумму около 10 000 евро. Адвокат отмечает, что потерпевшим нужно доказать не только сам факт нарушения, но и конкретный ущерб, причём моральный вред можно подтвердить, например, справкой врача. CSDD пока не планирует выплаты, а обращение в суд без достаточных оснований может оказаться безрезультатным.

Аналитическая статья магистра права RSU рассматривает растущее использование банками искусственного интеллекта при оценке кредитоспособности и проблемы, которые создаёт регулирование чувствительных данных по статье 9 GDPR, когда решение принимает алгоритм, а человек не понимает оснований отказа.

Доктор RGSL Виктория Сонеца и студентка Элизабете Филипович опубликовали в журнале Jurista Vārds статью о цифровом гражданстве в эпоху ИИ, анализируя влияние дипфейков и созданного ИИ контента на приватность и достоинство в контексте Акта ЕС об ИИ, GDPR и Акта о цифровых услугах.

С 1 апреля 2027 года нельзя будет одновременно уплачивать сниженную патентную плату и налог для начинающих микропредприятий — это предусмотрено поправками от 17 сентября 2026 года к закону "О подоходном налоге с населения". В связи с изменениями СГД обновила методический материал о сниженной патентной плате.

С 1 января 2027 года Патентное управление будет переименовано в Латвийское бюро интеллектуальной собственности, чтобы точнее отразить компетенцию учреждения. Переименование 29 сентября 2026 года поддержал Кабинет министров по предложению Министерства юстиции.

Статья разъясняет требования статьи 50 Закона ЕС об искусственном интеллекте (AI Act) об обозначении контента, созданного ИИ. Разработчики систем ИИ обязаны обеспечить, чтобы искусственно созданные изображения, аудио, видео и тексты имели машиночитаемую маркировку, а пользователям должно быть ясно, что они взаимодействуют с системой ИИ, например с чат-ботом. Дополнительная обязанность касается и тех, кто публикует дипфейки или использует ИИ для написания текстов, предназначенных для информирования общества - они должны явно указывать на участие ИИ.

Государственная инспекция данных разъясняет, что регистрационный номер автомобиля сам по себе не является персональными данными, если он не связан с конкретным лицом — например, при увязке с данными владельца транспортного средства в целях взыскания долга за парковку. Операторы, использующие системы распознавания номеров, обязаны заранее информировать водителей соответствующей вывеской и уведомлением, а данные можно хранить только так долго, как это необходимо для заявленной цели.

Статья разъясняет, как предприятию правильно обрабатывать запрос субъекта данных об удалении персональных данных согласно Общему регламенту защиты данных, чтобы избежать ошибок — необоснованной передачи данных третьим лицам, поспешного удаления или пропуска срока ответа. Подчёркивается, что это бизнес-процесс, к которому компания может заранее подготовиться, разработав внутренний порядок.

После кибератаки на CSDD, затронувшей данные около 1,2 млн человек, многие пострадавшие предъявили требования о компенсации в размере 10 000 евро. Эксперты Sorainen разъясняют, что сам факт нарушения защиты данных не создаёт автоматического права на компенсацию – необходимо доказать конкретный вред (материальный или моральный). Статья анализирует применение статьи 82 GDPR и распределение бремени доказывания.

ПТАЦ принял участие в заседании Европейского совета по цифровым услугам, где надзорные органы стран ЕС обсудили применение Закона о цифровых услугах (DSA) и трансграничное сотрудничество по обеспечению его исполнения. В Латвии ПТАЦ является координатором по надзору за DSA, отвечающим за контроль исполнения обязанностей платформами и онлайн-посредниками.

В 2025 году "Cert.lv" провёл 16 симуляций фишинга для сотрудников учреждений и компаний: из 15 436 отправленных писем открыто почти 32%, причём в 3032 случаях пользователи ввели данные аутентификации. Кроме того, в ходе 27 проведённых тестов безопасности ИТ-систем выявлено 82 уязвимости, в том числе критические, которые были устранены до возможного использования в кибератаках.

После трёх крупных кибератак 2026 года на государственные регистры (LVM, CSDD, система ASDIS Центра защиты прав потребителей), в результате которых были похищены данные более половины жителей страны, присяжный адвокат Лаурис Клагишс разъясняет применение статьи 82 Общего регламента по защите данных. Пострадавшие вправе требовать от оператора или обработчика данных возмещения как реального ущерба, так и нематериального вреда.

Мошеннические телефонные звонки и SMS-сообщения уже давно перестали быть чем-то необычным. В статье рассматривается, как утечка данных из CSDD могла дать злоумышленникам дополнительную информацию, делающую их обман более правдоподобным.

Платная статья разъясняет, обязана ли и в каких случаях компания, предоставляющая аутсорсинг бухгалтерских услуг, назначить ответственное лицо за защиту данных.

Опираясь на разъяснение Инспекции по защите данных, статья указывает, что регистрационный номер автомобиля сам по себе не считается персональными данными, если он не связан с конкретным лицом, однако операторы платных автостоянок ещё до фиксации номера камерой должны прозрачно информировать об обработке данных, сроке хранения и правовом основании.

DVI разъясняет, что автоматическое считывание номерных знаков на платных парковках становится обработкой персональных данных, как только номер связывается с конкретным лицом, например, для взимания оплаты или разрешения споров. Оператору не обязательно получать согласие - можно использовать основание исполнения договора или законного интереса, но необходимо указать цель обработки, данные оператора и контакты, разместить предупреждение перед зоной камер и хранить данные не дольше необходимого.

EBA опубликовало ответ на консультацию Европейской комиссии по пересмотру Регламента о рынках криптоактивов (MiCA), определив приоритетные направления для дальнейших изменений. Документ может затронуть и латвийских участников рынка, работающих с криптоактивами или планирующих оказывать связанные услуги на едином рынке ЕС.

Платная статья в формате интервью с отраслевым экспертом рассматривает риски, которые создаёт в компаниях неконтролируемое использование инструментов искусственного интеллекта, опередившее и обучение сотрудников, и внутреннее регулирование.

ESMA объявило, что с 2027 года цифровые инновации и связанная с ними надзорная конвергенция станут одним из приоритетов надзора ведомства - это затронет и поставщиков финансовых услуг, работающих на рынке Латвии и ЕС и использующих цифровые/ИИ-решения.

Заказанный Министерством сообщения документ об оценке киберинцидента CSDD выявил ряд серьёзных недостатков в управлении защитой данных, включая неполные проверки безопасности, недостаточную защиту сети и отсутствие многофакторной аутентификации, что позволило злоумышленнику получить персональные данные. Юрист отмечает, что этот опубликованный документ уже сейчас даёт достаточные доказательства халатности CSDD, поэтому пострадавшим больше не нужно ждать заключения Государственной инспекции данных, чтобы подать гражданский иск о компенсации.

Генеральный адвокат Дин Шпильман пришёл к выводу, что согласие, данное лицом компании на использование данных в целях прямого маркетинга от имени 'своих партнёров', действительно только в том случае, если личность этих партнёров известна. Если Суд ЕС подтвердит это заключение, оно уточнит требования GDPR к согласию и для компаний в Латвии, использующих модели согласия для третьих сторон в целях прямого маркетинга.

17 сентября Еврокомиссия представила предложение о новом общеевропейском регламенте по защите детей в интернете (так называемом EU Kids Act), который ограничит доступ детей к платформам социальных сетей. Предложение ещё предстоит утвердить в рамках законодательной процедуры, но в случае принятия оно создаст новые обязанности для операторов платформ, работающих и на латвийском рынке.

Государственная инспекция данных (DVI) опубликовала рекомендации организациям по предотвращению инцидентов защиты персональных данных: вести актуальный учёт IT-систем и оборудования, сегментировать сети, обеспечивать защищённые резервные копии, внедрять многофакторную аутентификацию и другие технические меры безопасности, а также ограничивать круг лиц с доступом к персональным данным только необходимым для работы. Рекомендации направлены на упреждающее предотвращение инцидентов, а не реагирование постфактум.

PTAC призывает предприятия электронной коммерции обеспечить доступность цифровых услуг для людей с функциональными ограничениями. С середины 2025 года в Латвии действует Закон о доступности товаров и услуг, устанавливающий соответствующие требования и для услуг электронной торговли.

Платная статья разбирает распространённое мнение, что с 2 августа 2026 года в ЕС обязательно нужно маркировать любой контент, созданный с помощью искусственного интеллекта, и поясняет, когда это требование о раскрытии действительно применяется к компаниям и учреждениям.

Европейский союз подготовил пакет правовых актов «Цифровой Омнибус», направленный на упрощение цифрового регулирования и стимулирование инноваций. Цель инициативы — устранить дублирующие требования и нечётко согласованные определения, возникшие из-за параллельного применения нескольких правовых актов.

Юристы Sorainen объясняют, как компаниям действовать при кибератаке - например, при заражении программой-вымогателем или утечке данных. В статье подчёркивается необходимость немедленно подключить руководство, изолировать затронутые системы и сообщить надзорным органам в установленные законом сроки. Рекомендации касаются всех компаний независимо от того, подпадают ли они под требования Закона о кибербезопасности.

DVI разъясняет, что персональные данные без вести пропавшего лица могут передаваться родственникам или поставщикам услуг (кредиторам, банкам, коммунальным предприятиям) на основании законных интересов по ст. 6(1)(f) GDPR, если это необходимо для срочных платежей или исполнения обязательств. Поставщики услуг обязаны проверить личность заявителя, родство и факт пропажи, соблюдая принцип минимизации данных. Цель – предотвратить накопление долгов и применение неустойки, не раскрывая больше данных, чем требуется.

LSM.lv сообщает, что в результате кибератаки на входящую в группу LMT компанию "TSC", занимающуюся ремонтом бытовой техники и гаджетов, несанкционированно получено около 7% данных клиентов — в основном имена, фамилии, адреса электронной почты и телефонные номера тех, кто оформлял заявку на ремонт через сайт компании. Базы данных самой LMT не пострадали, сайт компании на время был закрыт из соображений безопасности. Руководитель компании отметил, что вопрос о компенсациях будет решаться индивидуально по каждому случаю.

PRESS.LV пишет, что CERT.LV предупреждает о последствиях утечки данных CSDD, в результате которой в руки злоумышленника попали имена, фамилии, персональные коды клиентов, суммы и даты платежей, регистрационные номера автомобилей и адреса, указанные при получении услуги; телефонные номера, адреса электронной почты, банковские данные и данные доступа к e-CSDD похищены не были. После инцидента жители всё чаще сообщают о подозрительных письмах, SMS и звонках, включая фальшивые уведомления о задолженностях или неоплаченных штрафах, однако прямых доказательств связи с утечкой CSDD в конкретных случаях пока нет.

8-9 сентября в Приекули прошёл 11-й региональный семинар для судей, на котором представители балтийских и европейских судов, Апелляционного совета по промышленной собственности, ВОИС, EUIPO и ЕПВ обсудили актуальную европейскую и национальную судебную практику в сфере защиты интеллектуальной собственности. Обсуждались взаимодействие искусственного интеллекта и авторского права, защита коммерческой тайны, рассмотрение патентных споров и развитие защиты товарных знаков; участники разбирали практические сценарии судебных разбирательств в групповой работе, подчёркивая важность единообразной судебной практики в условиях быстрого технологического развития.

Статья обобщает шаги, которые компания должна предпринять при инциденте кибербезопасности: проинформировать руководство, изолировать затронутые системы, провести анализ рисков и сообщить надзорным органам в установленные сроки. Согласно Закону о национальной кибербезопасности, отчёт в CERT.LV подаётся в течение 24 часов, 72 часов и одного месяца, а GDPR требует уведомить Государственную инспекцию данных в течение 72 часов, если нарушение создаёт риск для прав лиц. За нарушения предусмотрены штрафы до 20 млн евро или 4% оборота по GDPR и до 10 млн евро или 2% по закону о кибербезопасности, а также возможная ответственность по статье 245 Уголовного закона.

В консультации LV portāls со ссылкой на разъяснение Государственной инспекции данных указывается, что указание имени и фамилии работника в рабочих документах само по себе не является нарушением защиты персональных данных. Обработка имени должна иметь правовое основание и законную цель, например обеспечение подотчётности или возможность для граждан связаться с ответственным должностным лицом. Допустимо ли это в конкретном случае, зависит от вида документа, должностных обязанностей и внутреннего порядка учреждения.

Рижская высшая школа права (RGSL) выбрана для участия в консультационной структуре Совета Европы по борьбе с дезинформацией, которая будет действовать до 2030 года. RGSL предоставит экспертизу в области европейского права, прав человека и цифрового регулирования, помогая государствам совершенствовать законодательство при сохранении защиты свободы слова и СМИ.

Исследователи RGSL присоединятся к трём европейским исследовательским сетям COST Action на 2026-2030 годы: HARPA — о приватности при разработке искусственного интеллекта, «Moving Data for Europe» — о движении данных в Европе, и STONE — о моделях доверительной собственности.

DVI разъясняет, что поставщик услуги вправе отказать в услуге только в том случае, если способен обосновать объективную необходимость конкретных данных для её оказания. Сам факт указания данных в договоре или форме заявки автоматически не делает их предоставление обязательным. В разъяснении напоминается принцип минимизации данных GDPR – компании вправе собирать только данные, необходимые для конкретной цели, а не ради удобства или сложившейся практики.

NRA.lv пишет, что регулирование рынков криптоактивов ЕС (MiCA) установило строгие требования к лицензированию криптокомпаний — резервы капитала, сертификацию соответствия, кибербезопасность и меры против отмывания денег. Многие мелкие компании и стартапы в Эстонии, Польше и других странах ЕС стоят перед выбором — дорогостоящее соответствие или переезд в юрисдикции вроде ОАЭ, Грузии или США. В статье делается вывод, что регулирование консолидирует рынок вокруг крупных, хорошо капитализированных игроков, сдерживая инновации и предпринимательство в Латвии и ЕС в целом.

PRESS.LV пишет, что ИТ-эксперт в соцсетях проверил, какие данные получает магазин Rimi при использовании Smart-ID для проверки возраста, после того как подписчики спросили, не «крадёт» ли Rimi данные клиентов. Связавшись с представителями Smart-ID, эксперт выяснил, что во время проверки Rimi получает точный возраст клиента, а не просто подтверждение достижения 18 лет, и задаётся вопросом, зачем магазину нужен точный возраст, если достаточно было бы простого подтверждения 18+.

DVI разъясняет, что лицу, желающему взыскать в суде компенсацию за вред от нарушения защиты персональных данных по статье 82 GDPR, не нужно предварительно получать решение надзорного органа — проверка инспекции и вопрос компенсации являются двумя разными делами. Со ссылкой на практику Суда ЕС DVI указывает, что цель компенсации — возместить фактически причиненный вред, а не наказать контролера: само нарушение не порождает права на возмещение, необходимо доказать вред и причинную связь, а размер зависит и от чувствительности данных.

После утечек данных в AS «Latvijas valsts meži» и CSDD омбудсмен Карина Палкова призывает государственные и муниципальные учреждения действовать превентивно, а не реагировать постфактум, и проверить соответствие своих информационных систем требованиям защиты данных. Она призывает незамедлительно провести аудит безопасности систем, обрабатывающих данные о здоровье и информацию о детях (особенно E-veselība и E-klase), и сотрудничать с органами кибербезопасности для выявления и предотвращения дальнейших нарушений.

Также писали: lvportals.lv

После серии инцидентов с безопасностью данных в государственных информационных системах тиесибсарг (омбудсмен) Латвии Карина Палкова призвала госучреждения и самоуправления незамедлительно проверить безопасность своих систем и принять превентивные меры по защите персональных данных, особо выделив системы с данными о здоровье и о детях.

Министр экономики Виктор Валайнис и парламентский секретарь Юрг Миезайнис в видеоконференции с коллегами из Литвы, Польши, Германии, Чехии и Болгарии обсудили предложение Еврокомиссии «Цифровой омнибус» (2025/0360), объединяющее несколько актов цифрового регулирования с целью снизить административную нагрузку на бизнес при сохранении стандартов защиты данных. Участники согласились, что в итоговом регулировании нужно больше учитывать интересы конкурентоспособности бизнеса, и договорились продолжать координацию экспертов перед заседаниями рабочих групп Совета ЕС.

Центр защиты прав потребителей сообщает о возможном инциденте безопасности в Системе дистанционного сбора статистических данных (ASDIS, система класса C). Затронуты контактные данные 697 представителей предприятий и 34 должностных лиц PTAC (имя, e-mail, телефон) — в основном контакты лицензированных потребительских кредиторов, поставщиков услуг по взысканию долгов и комплексных туристических услуг, большей частью уже доступные в публичных реестрах. Поданные предприятиями надзорные данные не затронуты; система закрыта, пользователи уведомлены.

После кибератаки на CSDD в начале августа, в результате которой были получены данные примерно из 1,2 млн платежных квитанций физлиц и 200 000 юрлиц, присяжный адвокат разъясняет, что компенсация за утечку не полагается автоматически — её нужно доказывать индивидуально, а реальное число исков, вероятнее всего, будет исчисляться сотнями, а не тысячами.

Юрист Александра Баранова (ZAB Kronbergs Čukste Levin) анализирует решение Суда ЕС от 14 июля 2026 г. по делу C-474/24 о практике австрийской антидопинговой организации публиковать имена спортсменов, нарушения и сроки дисквалификации. Четверо спортсменов оспорили публикацию как несоразмерную обработку особых категорий персональных данных; в статье оценивается, при каких условиях такая публикация допустима с точки зрения права о защите данных. Статья платная.

Старший юрист TEGOS Кристине Пукена анализирует цифровую и организационную устойчивость компаний в контексте требований Закона о национальной кибербезопасности, NIS2, DORA и GDPR. В статье подчёркивается, что типичные проблемы – нечёткие процессы и неопределённая ответственность, поэтому в спокойное время следует пересмотреть управление рисками, защиту информации и порядок уведомления об инцидентах. Практически рекомендуется упорядочить договоры с поставщиками услуг и субподрядчиками – роли, ответственность, условия SLA и сроки реагирования на инциденты.

Присяжный адвокат Аннийя Швемберга-Стрейкиша (AmberLaw) анализирует решение Суда ЕС от 16 июля 2026 г. по объединённым делам C-258/23–C-260/23 о доступе органов по конкуренции к электронной почте работников. Суд признал, что рабочая почта — корреспонденция, защищённая Хартией ЕС об основных правах, и внутренний запрет личного использования почты эту защиту не отменяет; любой доступ является вмешательством в основные права и должен быть юридически обоснован. Статья платная.

DVI разъясняет право субъекта данных на доступ (статья 15 GDPR): сначала следует обратиться к контролеру, который в течение месяца (пункт 3 статьи 12 GDPR, в сложных случаях срок продлевается на два месяца) обязан предоставить конкретную и понятную информацию о целях обработки, категориях данных, получателях, сроках хранения и источнике данных. DVI вмешивается лишь если контролер не ответил в течение месяца, отказал, дал неполный ответ или обработка очевидно незаконна.

DVI сообщает, что в связи с утечкой персональных данных CSDD проверка уже начата и у CSDD запрошена информация, поэтому пострадавшим не нужно подавать индивидуальные жалобы. В ходе проверки будут оценены обстоятельства утечки и действия CSDD как контролера; возможное решение будет адресовано CSDD. DVI напоминает, что вопросы компенсации она не решает — такие споры рассматриваются в суде.

Европейская комиссия в соответствии с Актом о цифровых услугах признала ChatGPT очень крупной онлайн-поисковой системой, а Reddit и Roblox — очень крупными онлайн-платформами (у каждой более 45 млн пользователей в месяц в ЕС). До декабря 2026 г. они должны выполнить дополнительные требования — оценить и снизить системные риски (нелегальный контент, безопасность детей, основные права, выборы); Комиссия получает надзорные полномочия во взаимодействии с регуляторами Ирландии и Нидерландов.

Партнёр BDO Latvia В. Бриежкалнс, ссылаясь на кибератаки летом 2026 года на AS «Latvijas valsts meži», AS «Olpha» и CSDD (в последнем случае затронуты данные около 1,2 млн физических и 200 000 юридических лиц), отмечает, что компаниям следует исходить не из того, случится ли атака, а из того, кто оплатит простой, восстановление и потерю доверия клиентов. CERT.LV во 2-м квартале 2026 года зафиксировал 673 киберинцидента; в статье перечислены пять зон (стоимость простоя и др.), где киберриск превращается в вопрос управления и финансов, включая напоминание об обязанностях компаний по уведомлению регулятора.

Европейская комиссия в соответствии с Актом о цифровых услугах классифицировала ChatGPT как очень крупную поисковую систему в интернете, а Reddit и Roblox — как очень крупные онлайн-платформы. Классификация означает, что на эти сервисы впредь будут распространяться более строгие требования DSA по управлению системными рисками и прозрачности.

CSDD сообщает, что решающим для получения компенсации за похищенные в кибератаке персональные данные станет решение Государственной инспекции данных об ответственности CSDD за нарушение Общего регламента по защите данных. Требовать компенсацию сейчас признано преждевременным, о дальнейших шагах клиентов проинформируют отдельно.

Министр юстиции Эдвардс Смилтенс собрал совещание с госучреждениями и экспертами по кибербезопасности по поводу растущих киберугроз в юридическом секторе. Он подчеркнул, что согласно Закону о национальной кибербезопасности за управление рисками и устойчивость критических услуг отвечает руководство организации, а не только IT-специалисты. Министерство обязалось усилить межведомственное сотрудничество и рассматривать аудиты безопасности как непрерывный, а не разовый процесс.

Заместитель директора Государственной инспекции данных Ласма Дилба в передаче «Rīta Panorāma» отметила, что наибольший риск для пострадавших от кибератаки на CSDD возникает, если мошенники комбинируют украденные данные с информацией из других публичных баз, например земельных книг, что позволяет составить точный профиль человека. DVI сейчас оценивает, сделала ли CSDD всё возможное для защиты данных.

В качестве латвийского стандарта зарегистрирован LVS EN 18286:2026 о системе менеджмента качества ИИ для целей Закона ЕС об ИИ, устанавливающий для разработчиков систем ИИ требования к управлению рисками, данными и инцидентами.

Бюро присяжного адвоката Лауриса Клагиша опубликовало в соцсетях рекомендации для автовладельцев после кибератаки на CSDD, в которой похищены данные 1,2 млн человек и около 200 000 юридических лиц за последние 18 лет. Подчёркивается важность понимания субъектами данных своих прав по GDPR и возможных дальнейших шагов.

Судья Суда ЕС Инета Зиемеле в передаче «Rīta Panorāma» заявила, что все 1,2 миллиона жителей, чьи данные украдены в результате кибератаки на CSDD, уже сейчас вправе требовать компенсацию морального вреда, поскольку нарушение прав человека произошло независимо от того, использованы ли данные злоумышленниками. Она подчеркнула, что решение о компенсации должны принимать ответственные органы, а не каждый человек в отдельности.

Русскоязычная версия той же новости: судья Суда ЕС Инета Зиемеле разъясняет, что пострадавшие от кибератаки на CSDD 1,2 млн жителей уже вправе требовать компенсацию морального вреда, поскольку нарушение в отношении персональных данных произошло независимо от их дальнейшего использования. Судья подчёркивает значение защиты данных как одной из базовых ценностей ЕС.

Омбудсмен указывает, что страховщики не вправе требовать, а медицинские работники — предоставлять полную медицинскую историю пациента для оценки страхового возмещения. Передаваться может только информация, непосредственно относящаяся к конкретному страховому случаю, согласно принципу минимизации данных. Позиция касается практики страховых компаний при работе с данными о здоровье клиентов.

Бюро омбудсмена разъясняет, что страховщик вправе запрашивать, а медучреждение – передавать лишь ту часть данных о здоровье пациента, которая необходима для оценки конкретного страхового случая, а не всю медицинскую историю.

Статья (доступна только вводная часть) рассматривает вопрос, может ли автором текста или изображения считаться искусственный интеллект, учитывая его всё более широкое использование при создании контента.

Статья (доступна только вводная часть) предупреждает, что мошенники используют персональные данные – имя, личный код, адрес – для убедительных схем обмана, и советует знать, как их защитить.

Государственная инспекция данных разъясняет, как операторам данных следует информировать людей о нарушении защиты персональных данных, используя в качестве примера летний инцидент с CSDD, затронувший данные около 1,2 млн человек. DVI указывает, что при массовых случаях допустимо публичное уведомление (на сайте, в СМИ) вместо индивидуальных писем, если это создаёт несоразмерную нагрузку. В уведомлении нужно указать, какие данные затронуты, риски и рекомендуемые действия.

После призывов юристов в обществе распространяется готовый образец запроса в CSDD о статусе своих данных в связи с кибератакой, однако среди самих юристов нет единого мнения о пользе массовых обращений. Одни считают, что это заставит CSDD острее осознать последствия небрежности, другие предупреждают о перегрузке ведомства, что затруднит расследование инцидента.

Выяснилось, что кибератака на CSDD прошла через собственное приложение ведомства, не входившее в договор о кибербезопасности с оператором Tet. Министр экономики пояснил, что Tet отвечал лишь за сетевую инфраструктуру, а переходный период позволял системам работать без обязательных защитных мер. Обе стороны признали необходимость усилить сотрудничество.

CSDD создала на своём сайте единый раздел, где собрана актуальная информация о кибератаке на учреждение. В разделе доступна информация по нескольким связанным с инцидентом темам, и CSDD обещает регулярно его обновлять. Шаг направлен на более прозрачное информирование о ликвидации последствий инцидента с безопасностью данных.

Ежегодный опрос «Bite Latvija» и исследовательского центра SKDS, в котором приняли участие 750 руководителей действующих предприятий, показал, что 18% компаний сталкивались с кибератаками, но более трети компаний не обеспокоены киберрисками.

Министерство обороны Латвии разработало поправки к Закону о национальной кибербезопасности, создающие правовую основу для исследователей безопасности, позволяющую получать доступ к информационным системам для выявления уязвимостей, не перегружая систему и не угрожая безопасности. Регулирование коснётся поставщиков основных и важных услуг, а также операторов критической инфраструктуры. Предложение появилось после судебного дела 2026 года, в котором изобретателя Раймондса Скурулса оштрафовали на 4290 евро за сообщение об уязвимости CSDD; общественное обсуждение продлится до конца августа.

Министерство обороны подготовило поправки к Национальному закону о кибербезопасности, легализующие деятельность так называемых «белых хакеров» — исследователей, выявляющих уязвимости в информационных системах. Доступ к данным разрешат только в объёме, необходимом для проверки уязвимости, без права нарушать работу системы. Организации, получившие сообщение об уязвимости, будут обязаны уведомить компетентное учреждение и устранить проблему.

PTAC сообщает о росте числа обращений, подготовленных с помощью инструментов искусственного интеллекта и содержащих юридически необоснованные или ошибочные доводы. Ведомство подчёркивает, что ИИ не является юридическим консультантом и не несёт ответственности за предоставленную информацию, поэтому призывает потребителей перепроверять рекомендации ИИ в официальных источниках, особенно по срокам и финансовым обязательствам.

Государственная инспекция данных разъясняет порядок действий после утечки персональных данных — получив уведомление от организации, ГИД выясняет обстоятельства и характер нарушения и связанные риски, а также оценивает дальнейшие обязанности организации перед пострадавшими лицами.

DVI разъясняет порядок действий после получения уведомления об утечке персональных данных: оценивается не сам факт инцидента, а обстоятельства нарушения и принятые организацией меры безопасности. Ведомство подчёркивает, что DVI не принимает решения о выплате компенсации пострадавшим — этот вопрос решается в гражданском судопроизводстве при предоставлении доказательств причинённого вреда.

В результате кибератаки на системы CSDD похищены данные о платежах 1,2 млн жителей и около 200 000 предприятий за 18 лет. Премьер резко раскритиковал CSDD за невыполнение требований кибербезопасности, включая отсутствие двухфакторной аутентификации; Инспекция по защите данных должна оценить последствия до 31 августа. Расследуется возможная причастность иностранных сторон.

Президент заявил, что после масштабной утечки данных CSDD, затронувшей 1,2 млн жителей и около 200 000 предприятий, руководство учреждения не должно оставаться в должности из-за утраты доверия общества. Президент назвал атаку серьёзной угрозой нацбезопасности; полиция возбудила уголовное дело.

Swedbank призывает клиентов быть внимательными, поскольку мошенники рассылают поддельные письма, имитирующие запросы банка на обновление данных, пытаясь выманить учётные данные клиентов. Банк напоминает никогда не сообщать пароли или коды и проверять адрес отправителя перед ответом.