✔️ Saistībā ar neseno CSDD datu noplūdi publiskajā telpā izskan pamatoti minējumi par sekām un atbildību. Mūsu biroja uzkrātā pieredze, pārvaldot un konsultējot klientus par datu aizsardzību, nodokļiem un komerctiesībām, apliecina, ka informācijas drošības incidenti vairs nav tikai reputācijas jautājums – tie bieži ir mērāmi reālos finansiālos zaudējumos. Bet kurš par to reāli samaksās šajā gadījumā?

✔️ Ņemot vērā CSDD 2025. gada neto apgrozījumu, kas sasniedz 68 228 279 EUR, VDAR (Vispārīgās datu aizsardzības regulas) teorētiskie naudas soda griesti ir ārkārtīgi augsti. Ja tiktu konstatēti apstrādes drošības prasību (VDAR 32. pants) pārkāpumi saskaņā ar VDAR 83. panta ceturto daļu, maksimālais teorētiskais sods būtu 10 miljoni EUR, jo šī summa ir lielāka par 2% no uzņēmuma apgrozījuma (1,36 miljoniem EUR). Savukārt, konstatējot datu apstrādes principu un tiesiskā pamata pārkāpumus (VDAR 83. panta piektā daļa), maksimālais slieksnis sasniedz 20 miljonus EUR, kas apsteidz 4% no apgrozījuma jeb 2,73 miljonus EUR.

✔️ Vienlaikus paziņojums par neatļautu piekļuvi datiem automātiski nepierāda VDAR 32. panta pārkāpumu. Datu valsts inspekcijai (DVI) būs jāvērtē CSDD īstenoto tehnisko un organizatorisko pasākumu atbilstība pastāvošajiem riskiem. Faktisko soda apmēru noteiks, analizējot pārkāpuma smagumu, ilgumu, skarto personu skaitu, kā arī pārziņa atbildības līmeni un sadarbību ar uzraudzības iestādi.

✔️ Papildu nianse slēpjas Fizisko personu datu apstrādes likuma 38. pantā, kas publisko tiesību juridiskās personas gadījumā paredz sodu amatpersonai līdz 200 naudas soda vienībām jeb 1 000 EUR. Tomēr CSDD kā valsts akciju sabiedrības konkrētā statusa un piemērojamā sankciju režīma kvalifikācija vēl būs atsevišķi jānoskaidro DVI procesā. Šis 1 000 EUR sods noteikti nav mehānisms, ar kuru CSDD varētu uzlikto VDAR naudas sodu vienkārši pārvirzīt uz valdi vai darbinieku.

✔️ Teorētiski CSDD varētu prasīt zaudējumu atlīdzību no konkrēta darbinieka, taču VDAR sodu automātiski pārlikt nedrīkst – vispirms CSDD ir jāpierāda darbinieka prettiesiska un vainojama rīcība, cēloniskais sakars ar sodu, kā arī pats zaudējumu apmērs. Darba likuma 86. panta pirmā daļa noteic, ka darbiniekam ir pienākums atlīdzināt darba devējam radītos zaudējumus. Šāda atbildība var iestāties, ja IT vai informācijas drošības darbinieks, piemēram, apzināti ignorējis drošības prasības, patvaļīgi atslēdzis obligātu aizsardzību, piešķīris nepamatotas piekļuves tiesības vai savlaicīgi nav novērsis būtisku ievainojamību. Tomēr IT drošības un sistēmu administrēšanas jomā darbs bieži vien pats par sevi ir saistīts ar paaugstinātu zaudējumu rašanās risku. Šādos apstākļos darbinieks atbild tikai par ļaunu nolūku vai rupju neuzmanību (Darba likuma 86. panta ceturtā daļa). Būtiski ir vērtēt arī paša darba devēja līdzvainību saskaņā ar Darba likuma 87. pantu. Ja CSDD nenodrošināja pietiekamus aizsardzības rīkus, personālu, budžetu vai skaidras instrukcijas, darbinieka atbildība var tikt izslēgta vai samazināta. Jebkurus ieturējumus no darba samaksas var veikt tikai ar darbinieka rakstveida piekrišanu, bet, ja darbinieks to apstrīd, CSDD būs jāvēršas tiesā (Darba likuma 79. panta pirmā un otrā daļa).

✔️ Komerclikuma 169. panta pirmā daļa prasa valdes un padomes locekļiem rīkoties kā krietniem un rūpīgiem saimniekiem, pretējā gadījumā paredzot solidāru atbildību par sabiedrībai nodarītajiem zaudējumiem. CSDD teorētiski varētu vērsties pret viņiem, lai atprasītu DVI uzlikto sodu kā radītu mantisku zaudējumu, ja pierādītu, ka valde vai padome ignorējusi kiberdrošības riskus, nenodrošinājusi pietiekamu kontroli, nepamatoti atlikusi ieguldījumus aizsardzībā vai nereaģējusi uz brīdinājumiem par ievainojamībām. Tomēr ar pašu kiberuzbrukuma faktu vien atbildības iestāšanās nepierādās. Valdes vai padomes loceklis nav atbildīgs, ja spēj pierādīt savu rīcību ar Komerclikumā prasīto rūpību.

✔️ Izvērtējot situāciju, secināms, ka CSDD būtu iespēja atprasīt sodu vai tā daļu civiltiesiskā zaudējumu atlīdzināšanas procesā, taču tikai stingri pierādot individualizētu vainu, cēloņsakarību un zaudējumu apmēru. DVI lēmums un VDAR 83. panta otrajā daļā prasītais pārziņa atbildības līmeņa vērtējums var kalpot kā pierādījumu avots vēlākā regresa prasībā, taču tas nenozīmē automātisku civiltiesisko atbildību amatpersonām. Praktiski vislielākajam riskam ir pakļautas tās personas, kuras pieņēma – vai nepamatoti izvairījās pieņemt – lēmumus par drošības resursu pārvaldību un konstatēto risku novēršanu.