Защита данных

Суд ЕС 3 сентября 2026 года по делу C-798/24 (Jautiva), инициированному по заявлению 17 миноритарных акционеров АО в Конституционный суд Латвии, постановил, что право ЕС не требует публичного доступа к сведениям реестра акционеров, а GDPR не допускает нормы, обязывающие раскрывать всем желающим персональные данные всех акционеров (личность, контакты, количество акций, право голоса). Суд указал, что цели прозрачности бизнеса, ПОД/ФТ и соблюдения санкций не оправдывают всеобщий публичный доступ, поскольку данные могут сохраняться и распространяться. Теперь Конституционный суд оценит соответствие латвийского регулирования раскрытия данных акционеров Сатверсме; ожидаются поправки к Коммерческому закону и правилам Регистра предприятий. Клиентов представлял COBALT.

DVI разъясняет, что лицу, желающему взыскать в суде компенсацию за вред от нарушения защиты персональных данных по статье 82 GDPR, не нужно предварительно получать решение надзорного органа — проверка инспекции и вопрос компенсации являются двумя разными делами. Со ссылкой на практику Суда ЕС DVI указывает, что цель компенсации — возместить фактически причиненный вред, а не наказать контролера: само нарушение не порождает права на возмещение, необходимо доказать вред и причинную связь, а размер зависит и от чувствительности данных.

После инцидентов с безопасностью данных в AS «Latvijas valsts meži» и VAS «CSDD» омбудсмен Карина Палкова призывает государственные и муниципальные учреждения превентивно оценить безопасность своих информационных систем. Согласно GDPR учреждения должны проверить, не собираются ли избыточные данные, своевременно ли удаляются ненужные и надлежаще ли защищены хранимые; особое внимание — системам с данными о здоровье и детях. Рекомендованы регулярные аудиты безопасности, пересмотр управления доступом и механизмы выявления инцидентов совместно с Государственной инспекцией данных, Национальным центром кибербезопасности и CERT.LV.

Статья iBizness (Артурс Фрейбергс) о поправках к Закону о туризме, вступивших в силу 10 июля 2026 г. и внедряющих Регламент ЕС 2024/1028 о сборе данных в сфере краткосрочной аренды жилья. В закон введён термин «деловой туризм» и новые обязанности арендодателей краткосрочного жилья (через Airbnb, Booking и др.) предоставлять данные, а также упрощено получение статуса курорта для самоуправлений. Статья платная.

Суд ЕС, отвечая на вопросы Конституционного суда по делу, возбуждённому по заявлению 17 миноритарных акционеров разных акционерных обществ, признал, что Директива 2017/1132 не требует публиковать сведения обо всех акционерах АО. Латвийское регулирование, предусматривающее неограниченную публикацию в интернете имени, персонального кода, адреса, e-mail, количества акций и голосов акционеров, является серьёзным вмешательством в основные права и не соответствует GDPR, если доступ не обусловлен, например, подтверждением законного интереса. Суд указал на менее ограничительные альтернативы — доступ по законному интересу или публикацию только о санкционированных лицах.

Суд ЕС в преюдициальном решении по вопросам Конституционного суда признал, что право ЕС не требует публиковать сведения обо всех акционерах АО, включая миноритарных, и что латвийское регулирование — п. «b» ч. 2 ст. 4.15 закона «О Регистре предприятий Латвийской Республики», предусматривающий публикацию данных акционеров в публичной части регистра, — не даёт достаточных гарантий против злоупотреблений, поскольку данные доступны для массового скачивания неидентифицированными пользователями. Суд указал на менее ограничительные решения, например доступ после проверки законного интереса. Теперь Конституционный суд должен решить вопрос о соответствии нормы Конституции.

Суд ЕС признал, что право ЕС не требует публиковать персональные данные акционеров в интернете, а латвийское требование публиковать в свободно доступном и скачиваемом виде имена, персональные коды, адреса и данные об участии акционеров нарушает гарантированные Хартией права на частную жизнь и защиту данных. Мера не является ни пригодной, ни необходимой для цели открытой бизнес-среды, а в Латвии отсутствуют достаточные гарантии против злоупотребления данными.

Центр защиты прав потребителей сообщает о возможном инциденте безопасности в Системе дистанционного сбора статистических данных (ASDIS, система класса C). Затронуты контактные данные 697 представителей предприятий и 34 должностных лиц PTAC (имя, e-mail, телефон) — в основном контакты лицензированных потребительских кредиторов, поставщиков услуг по взысканию долгов и комплексных туристических услуг, большей частью уже доступные в публичных реестрах. Поданные предприятиями надзорные данные не затронуты; система закрыта, пользователи уведомлены.

Портал судов разъясняет, что с 1 июля 2026 года в делах о принудительном исполнении обязательств в порядке предупреждения (SPIBK) судебные уведомления формируются и рассылаются автоматически, поэтому могут поступать на е-адрес и в субботу, воскресенье или праздничные дни. Если должник подает ответ через портал е-дел, решение суда может быть подготовлено и отправлено в тот же день; если ответ не поступил в течение 50 дней, система автоматически формирует решение, даже если срок выпадает на выходной. Суд призывает не игнорировать уведомления, полученные в выходные, и проверять их на портале Latvija.gov.lv.

В Latvijas Vēstnesis 1 сентября опубликованы принятые Сеймом 20 августа поправки к Закону о бюро кредитной информации, вступающие в силу 15 сентября; новые части статьи 12 – 20 ноября 2026 года. За физическими лицами закреплено право получать кредитную информацию о себе и отслеживать оценки своей кредитоспособности, а также регистрировать в системе бюро отметку об отказе от кредитных предложений, видимую всем пользователям бюро (кредиторам); отзыв отметки бюро обязано удалить в течение трех дней.

Старший юрист TEGOS Кристине Пукена анализирует цифровую и организационную устойчивость компаний в контексте требований Закона о национальной кибербезопасности, NIS2, DORA и GDPR. В статье подчёркивается, что типичные проблемы – нечёткие процессы и неопределённая ответственность, поэтому в спокойное время следует пересмотреть управление рисками, защиту информации и порядок уведомления об инцидентах. Практически рекомендуется упорядочить договоры с поставщиками услуг и субподрядчиками – роли, ответственность, условия SLA и сроки реагирования на инциденты.

Юрист Александра Баранова (ZAB Kronbergs Čukste Levin) анализирует решение Суда ЕС от 14 июля 2026 г. по делу C-474/24 о практике австрийской антидопинговой организации публиковать имена спортсменов, нарушения и сроки дисквалификации. Четверо спортсменов оспорили публикацию как несоразмерную обработку особых категорий персональных данных; в статье оценивается, при каких условиях такая публикация допустима с точки зрения права о защите данных. Статья платная.

Присяжный адвокат Аннийя Швемберга-Стрейкиша (AmberLaw) анализирует решение Суда ЕС от 16 июля 2026 г. по объединённым делам C-258/23–C-260/23 о доступе органов по конкуренции к электронной почте работников. Суд признал, что рабочая почта — корреспонденция, защищённая Хартией ЕС об основных правах, и внутренний запрет личного использования почты эту защиту не отменяет; любой доступ является вмешательством в основные права и должен быть юридически обоснован. Статья платная.

Европейская комиссия в соответствии с Актом о цифровых услугах признала ChatGPT очень крупной онлайн-поисковой системой, а Reddit и Roblox — очень крупными онлайн-платформами (у каждой более 45 млн пользователей в месяц в ЕС). До декабря 2026 г. они должны выполнить дополнительные требования — оценить и снизить системные риски (нелегальный контент, безопасность детей, основные права, выборы); Комиссия получает надзорные полномочия во взаимодействии с регуляторами Ирландии и Нидерландов.

DVI разъясняет право субъекта данных на доступ (статья 15 GDPR): сначала следует обратиться к контролеру, который в течение месяца (пункт 3 статьи 12 GDPR, в сложных случаях срок продлевается на два месяца) обязан предоставить конкретную и понятную информацию о целях обработки, категориях данных, получателях, сроках хранения и источнике данных. DVI вмешивается лишь если контролер не ответил в течение месяца, отказал, дал неполный ответ или обработка очевидно незаконна.

DVI сообщает, что в связи с утечкой персональных данных CSDD проверка уже начата и у CSDD запрошена информация, поэтому пострадавшим не нужно подавать индивидуальные жалобы. В ходе проверки будут оценены обстоятельства утечки и действия CSDD как контролера; возможное решение будет адресовано CSDD. DVI напоминает, что вопросы компенсации она не решает — такие споры рассматриваются в суде.

Министр юстиции Эдвардс Смилтенс собрал совещание с госучреждениями и экспертами по кибербезопасности по поводу растущих киберугроз в юридическом секторе. Он подчеркнул, что согласно Закону о национальной кибербезопасности за управление рисками и устойчивость критических услуг отвечает руководство организации, а не только IT-специалисты. Министерство обязалось усилить межведомственное сотрудничество и рассматривать аудиты безопасности как непрерывный, а не разовый процесс.

Омбудсмен указывает, что страховщики не вправе требовать, а медицинские работники — предоставлять полную медицинскую историю пациента для оценки страхового возмещения. Передаваться может только информация, непосредственно относящаяся к конкретному страховому случаю, согласно принципу минимизации данных. Позиция касается практики страховых компаний при работе с данными о здоровье клиентов.

Министры юстиции Латвии, Литвы и Эстонии в Таллине обсудили цифровизацию судебных систем, обмен данными между учреждениями и использование искусственного интеллекта в судопроизводстве, подчеркнув, что решения по-прежнему принимает судья. Была поддержана идея расширения компетенции Европейской прокуратуры на серьёзные нарушения санкций ЕС. Страны договорились продолжать координацию в борьбе с трансграничной преступностью.

Государственная инспекция данных разъясняет, как операторам данных следует информировать людей о нарушении защиты персональных данных, используя в качестве примера летний инцидент с CSDD, затронувший данные около 1,2 млн человек. DVI указывает, что при массовых случаях допустимо публичное уведомление (на сайте, в СМИ) вместо индивидуальных писем, если это создаёт несоразмерную нагрузку. В уведомлении нужно указать, какие данные затронуты, риски и рекомендуемые действия.

Выяснилось, что кибератака на CSDD прошла через собственное приложение ведомства, не входившее в договор о кибербезопасности с оператором Tet. Министр экономики пояснил, что Tet отвечал лишь за сетевую инфраструктуру, а переходный период позволял системам работать без обязательных защитных мер. Обе стороны признали необходимость усилить сотрудничество.

Министерство обороны Латвии разработало поправки к Закону о национальной кибербезопасности, создающие правовую основу для исследователей безопасности, позволяющую получать доступ к информационным системам для выявления уязвимостей, не перегружая систему и не угрожая безопасности. Регулирование коснётся поставщиков основных и важных услуг, а также операторов критической инфраструктуры. Предложение появилось после судебного дела 2026 года, в котором изобретателя Раймондса Скурулса оштрафовали на 4290 евро за сообщение об уязвимости CSDD; общественное обсуждение продлится до конца августа.

PTAC сообщает о росте числа обращений, подготовленных с помощью инструментов искусственного интеллекта и содержащих юридически необоснованные или ошибочные доводы. Ведомство подчёркивает, что ИИ не является юридическим консультантом и не несёт ответственности за предоставленную информацию, поэтому призывает потребителей перепроверять рекомендации ИИ в официальных источниках, особенно по срокам и финансовым обязательствам.

Центр защиты прав потребителей (PTAC) предупреждает, что латвийцы всё чаще подают жалобы, составленные искусственным интеллектом, в которых нередко встречаются серьёзные ошибки. По данным PTAC, ИИ способен убедительно сформулировать текст, но ему не хватает юридической компетенции — встречаются ссылки на устаревшие нормы, неверные сроки и юридически некорректные требования к компаниям или в суде. Ведомство советует использовать ИИ лишь как вспомогательный инструмент и не вводить чувствительные данные без понимания того, как они обрабатываются.

В комментарии об утечке данных CSDD эксперты предупреждают, что похищенные данные могут использоваться для целевого мошенничества — фальшивых SMS, звонков и рекламы, ведущей на мошеннические сайты. Автор советует не подтверждать незапрошенные запросы Smart-ID и проверять сообщения только по официальным каналам; упомянуты уже выявленные мошеннические письма от имени CSDD.

DVI разъясняет порядок действий после получения уведомления об утечке персональных данных: оценивается не сам факт инцидента, а обстоятельства нарушения и принятые организацией меры безопасности. Ведомство подчёркивает, что DVI не принимает решения о выплате компенсации пострадавшим — этот вопрос решается в гражданском судопроизводстве при предоставлении доказательств причинённого вреда.

Публикация разъясняет, что видеонаблюдение за работниками законно для работодателя только при наличии конкретной цели — например, выполнение юридических обязательств, сбор доказательств для споров или контроль качества работы, — при наличии правового основания и честном информировании сотрудников о наблюдении и их правах. Наблюдение незаконно, если камеры направлены на приватные зоны или вместо контроля ситуации следят за конкретным работником. Регулирование опирается на статью 96 Конституции, GDPR и Закон об обработке данных физических лиц.

В результате кибератаки на системы CSDD похищены данные о платежах 1,2 млн жителей и около 200 000 предприятий за 18 лет. Премьер резко раскритиковал CSDD за невыполнение требований кибербезопасности, включая отсутствие двухфакторной аутентификации; Инспекция по защите данных должна оценить последствия до 31 августа. Расследуется возможная причастность иностранных сторон.

Президент заявил, что после масштабной утечки данных CSDD, затронувшей 1,2 млн жителей и около 200 000 предприятий, руководство учреждения не должно оставаться в должности из-за утраты доверия общества. Президент назвал атаку серьёзной угрозой нацбезопасности; полиция возбудила уголовное дело.