⚖️ Latviju satricinājusi kārtējā ziņa par iespējamu milzīga apmēra personas datu noplūdi. Šoreiz runa ir nevis par vārdiem, uzvārdiem vai personas kodiem, bet par vairāk nekā 125 miljoniem īsziņu, tostarp to pilnu saturu!

📱 Kā vēsta TV3, atsaucoties uz Cybernews izmeklēšanu, telekomunikāciju pakalpojumu sniedzēja CSCTelecom datubāze drošības nepilnības dēļ bijusi publiski pieejama. Tajā atradušās īsziņas, kas saistītas ar Swedbank, SEB, airBaltic, apdrošināšanas sabiedrībām, medicīnas iestādēm un pat ārkārtas palīdzības numuru 112.

❗ Un šeit sākas pats interesantākais – kāds īsti ir šo datu saturs un cik lielu kaitējumu to izpaušana var nodarīt cilvēkiem?

🔍 Publiskotā informācija liecina, ka datubāzē bijuši autentifikācijas kodi, pagaidu paroles, medicīnisko izmeklējumu rezultāti, bankas darījumu paziņojumi, ceļojumu rezervācijas un cita privāta informācija. Turklāt datubāze esot tikusi atjaunināta reāllaikā.

💶 Iedomāsimies situāciju, kurā nepiederoša persona iegūst piekļuvi bankas autentifikācijas kodam, medicīniskai informācijai vai konfidenciālai sarakstei. Sekas var būt daudz nopietnākas par neērtībām – sākot ar finanšu krāpšanu un identitātes izmantošanu, beidzot ar būtisku privātās dzīves aizskārumu.

⚖️ Un te neizbēgami rodas paralēles ar neseno CSDD datu noplūdes lietu. Arī toreiz sākotnēji galvenais jautājums bija par noplūdušo datu apjomu. Taču vēlāk arvien aktuālāki kļuva jautājumi par atbildību, drošības prasību ievērošanu un cilvēku tiesībām pieprasīt kompensācijas.

📚 Atgādināšu, ka Vispārīgās datu aizsardzības regulas (VDAR) 82. pants paredz tiesības prasīt kompensāciju par personas datu aizsardzības pārkāpuma rezultātā nodarītu materiālu vai nemateriālu kaitējumu. Turklāt Eiropas Savienības Tiesa lietā C-340/21 ir atzinusi, ka pat pamatotas bažas par iespējamu personas datu ļaunprātīgu izmantošanu nākotnē var veidot atlīdzināmu nemateriālu kaitējumu. Protams, pārkāpums, kaitējums un to savstarpējā cēloņsakarība ir jāpamato.

❓ Taču šoreiz situācija juridiski var izrādīties vēl sarežģītāka. Kuram būs jāuzņemas atbildība, ja apstiprināsies, ka miljoniem īsziņu saturs bijis nepamatoti pieejams trešajām personām? Vai tikai telekomunikāciju pakalpojumu sniedzējam? Vai arī uzņēmumiem un iestādēm, kas uzticējuši tam savu klientu personas datu apstrādi? Vai visi ir pienācīgi izvērtējuši izmantotā pakalpojuma drošību? Atbildes būs atkarīgas no konkrētās datu apstrādes organizācijas, pušu pienākumiem un incidenta apstākļiem. Tas, ka uzņēmuma nosaukums figurē datubāzē, pats par sevi vēl nenozīmē tā vainu.

⚠️ Manuprāt, īpaši būtiski būs noskaidrot trīs lietas: kādi dati faktiski bijuši pieejami, vai tiem kāds prettiesiski piekļuvis un kurš nav izpildījis savus datu aizsardzības pienākumus. Un tad, gluži kā CSDD lietā, var nākties vērtēt, pie kā cietušajiem vērsties un kādas kompensācijas būtu juridiski pamatoti pieprasīt.

💬 Jo lielāks ir atklātās informācijas sensitivitātes līmenis, jo nopietnākas var būt sekas. Viena lieta ir telefona numura izpaušana, bet pavisam cita – medicīniskā diagnoze, bankas drošības kods vai privātas dzīves detaļas.Pagaidām vēl ir pāragri spriest par konkrētu personu atbildību un kompensāciju apmēriem. Publiska datubāzes pieejamība pati par sevi vēl nepierāda, ka visi tajā esošie dati patiešām nonākuši ļaunprātīgu personu rokās. Tomēr viens ir skaidrs – pēc CSDD incidenta šis ir vēl viens nopietns pārbaudījums tam, cik droši Latvijā tiek apstrādāti cilvēku personas dati un cik efektīvi tiek aizsargātas viņu tiesības.

⚖️ Atliek jautāt – vai pēc kāda laika atkal runāsim nevis par to, kā noplūdi novērst, bet gan par to, kurš maksās kompensācijas?