DVI sodi Latvijā: Tet, ZZ Dats un Lursoft lietu skaidrojums

DVI naudas sodu pārskatā būtiska ir gan summa, gan lēmuma stadija. SIA “Tet” lietā 1,2 miljonu eiro sods izriet no 2022. gada 9. septembra lēmuma, kuru tiesa galīgi atstāja spēkā 2024. gadā. SIA “ZZ Dats” lietā 2025. gadā sākotnēji noteiktos 400 000 eiro pēc apstrīdēšanas samazināja līdz 300 000 eiro; DVI publiskajā sarakstā šis lēmums joprojām norādīts kā pārsūdzēts. Šīs summas nedrīkst uzskaitīt kā vienā gadā piemērotus, vienādā procesuālajā stadijā esošus sodus.

Rakstā aplūkotas trīs dokumentētas Latvijas lietas un to nozīme uzņēmuma darbā. Ziņas par publiski norādīto statusu pārbaudītas 2026. gada 29. septembrī. Tas ir atlasītu lietu skaidrojums, nevis visu DVI sodu statistika vai prognoze par konkrētam uzņēmumam piemērojamo sodu. DVI funkcijas un pārbaudes plašāk izskaidrotas Datu valsts inspekcijas ceļvedī.

Trīs lietas un to atšķirīgā hronoloģija

DVI lēmumu saraksts atsevišķi norāda pieņemšanas datumu, dokumenta pievienošanas vai atjaunināšanas datumu un statusu. Piemēram, 2026. gadā atjaunināta saite uz 2025. gada lēmumu neveido jaunu 2026. gada sodu. Ja publicēts vēlāks tiesas spriedums, tas jāizlasa kopā ar sarakstu: īsa statusa aile var neatspoguļot visu procesa turpinājumu.

Publiskā datubāze ietver arī rājienus, brīdinājumus un uzliktus pienākumus. Tie nav jāpieskaita naudas sodiem. Turklāt DVI skaidro, ka ierobežotas pieejamības lēmumus nepublicē un publiskajos dokumentos aizklāj noteiktu informāciju. Tādēļ tikai no redzamajiem ierakstiem nevar droši aprēķināt visu pārkāpumu biežumu, vidējo sodu vai secināt, kurš pārkāpuma veids Latvijā ir visizplatītākais.

Tet lieta: identitātes pārbaude un datu izmantošanas sekas

Rīgas apgabaltiesas 2024. gada 18. jūnija spriedums izklāsta vairākus procesa posmus. Sākotnēji 2022. gada 15. jūlijā tika noteikts 3,2 miljonu eiro sods. DVI direktore 2022. gada 9. septembrī to grozīja uz 1,2 miljoniem eiro. Rīgas pilsētas tiesa 2023. gada 20. aprīlī šo lēmumu atstāja negrozītu, un apelācijas instances tiesa 2024. gadā noraidīja Tet sūdzību. Sprieduma rezolutīvā daļa nosaka, ka tas nav pārsūdzams un stājas spēkā sastādīšanas dienā.

Lietu nevar reducēt uz vienu neveiksmīgu parādu piedziņas vēstuli. Spriedumā aprakstīta personu identitātes nepārbaudīšana, attālināti piesakot pakalpojumus, kā arī datu glabāšana, izmantošana un nodošana citiem saņēmējiem. Tiesa aplūko arī nepilngadīgas personas datu nodošanu parādu piedzinējam un iepriekš apzinātus riskus, kuru mazināšanai pasākumi nebija ieviesti. Tādēļ svarīga ir visa darbību secība no pieteikuma saņemšanas līdz turpmākai datu izmantošanai.

Uzņēmumam praktiski jāpārbauda, kā sistēmā rodas pārliecība, ka pieteikuma iesniedzējs ir persona, par kuru dati ievadīti. E-pasta adrese, atzīmēta izvēles rūtiņa un personas kods paši par sevi neatrisina visus identitātes jautājumus. Vienlaikus pareizā atbilde nav automātiski vākt ikviena klienta pilnu personu apliecinoša dokumenta kopiju. Pārbaudes veids jāizvēlas atbilstoši pakalpojumam, iespējamām sekām un datu minimizēšanai, nosakot arī darbības neatbilstību gadījumā.

Iedomāsimies hipotētisku abonēšanas pakalpojumu, kurā trešā persona ievada cita cilvēka datus. Ja pieteikums bez papildu pārbaudes pārtop rēķinā un vēlāk parāda nodošanā, kļūda izplatās vairākos procesos. Kontrolei jāspēj apturēt šo secību un saglabāt ziņas par pieteikuma izcelsmi, pārbaudēm un iebildumiem. Ja klients apstrīd savu saistību ar līgumu, uzņēmumam jāspēj nodalīt šo situāciju no parastas kavēta maksājuma administrēšanas.

Šī mācība ir saistīta ar integrētu datu aizsardzību un aizsardzību pēc noklusējuma. Ja pārbaude vajadzīga pirms datu nodošanas, vēlāk pievienota instrukcija pati par sevi neatceļ jau notikušo izpaušanu. Savukārt ietekmes novērtējumam, ja tas nepieciešams augsta riska apstrādei, jāietekmē projekta īstenošana. Identificēta riska apraksts bez atbilstošas rīcības nav pierādījums, ka risks ir novērsts.

Pārbaudot šādu pakalpojumu, lietderīgi atsevišķi izsekot parastam pieteikumam, kļūdainam pieteikumam un apstrīdētai identitātei. Pirmajā gadījumā sistēma var darboties bez redzamām problēmām, kamēr otrajā nav paredzēts neviens izņēmuma ceļš. Pārbaudē var izmantot izdomātus testa datus, neiesaistot nejaušu cilvēku identitātes. Rezultātā jābūt skaidram, kurš pamana neatbilstību, kurš aptur turpmāko izmantošanu un kā saņēmējs uzzina par labojumu. Tā ir praktiska procesa pārbaudes metode, nevis apgalvojums, ka tiesa šajā lietā noteikusi visiem uzņēmumiem vienādu identifikācijas tehnoloģiju.

ZZ Dats lieta: apstrādātāja pienākumi ir patstāvīgi

DVI publiskais ZZ Dats lietas kopsavilkums ļauj precīzi nošķirt divus lēmumus. Ar 2025. gada 23. jūlija lēmumu sākotnēji noteica 400 000 eiro sodu. Kopsavilkumā aprakstīta nesankcionēta piekļuve informācijas sistēmas atsevišķām datubāzēm un tajās glabāto personas datu iegūšana. DVI vērtēja tehnisko un organizatorisko pasākumu atbilstību, tostarp spēju nodrošināt sistēmas konfidencialitāti, integritāti un pieejamību.

Apstrīdēšanas rezultātā 2025. gada 8. septembrī tika atcelta daļa sākotnējā lēmuma. Direktore atzina, ka attiecīgajā apstrādē sabiedrība bija apstrādātājs, nevis pārzinis, un tādēļ bija nepamatoti atzīta par vainīgu pārkāpumā saistībā ar apstrādes pamatprincipiem tā, kā tas bija kvalificēts sākotnēji. Vienlaikus tika saglabāts secinājums par apstrādātāja drošības pienākumu neizpildi atbilstoši VDAR 32. panta 1. punkta b) un d) apakšpunktam un 2. punktam, nosakot 300 000 eiro sodu.

Tā nav ziņa par visu pārmetumu atcelšanu. Tāpat to nedrīkst aprakstīt kā galīgu tiesas apstiprinātu atbildību: publiskais kopsavilkums norāda uz sūdzību tiesā, bet aktuāli pārbaudītajā DVI sarakstā saglabāts pārsūdzēšanas statuss. Pilnais lēmums ir ierobežotas pieejamības. Tāpēc no kopsavilkuma nevar izsecināt ne katru izmantoto tehnisko ievainojamību, ne pilnu incidenta izmeklēšanas gaitu.

Praktiskā atziņa IT pakalpojumu sniedzējam ir konkrēta: klienta norādījumu izpilde neatbrīvo no paša drošības pienākumiem. Jābūt saprotamam, kurš uztur piekļuves tiesības, ievieš atjauninājumus, pārbauda aizsardzības pasākumus un reaģē uz konstatētajiem trūkumiem. Savukārt pārzinis nevar aprobežoties ar apgalvojumu, ka tehnisko sistēmu uztur ārpakalpojums. Tam jāizvēlas apstrādātājs ar pietiekamām garantijām un jāsaņem vajadzīgā informācija par uzticēto apstrādi.

Datu apstrādes līguma prasības palīdz sadalīt uzdevumus, informācijas apmaiņu un pārbaudes iespējas. VDAR paredz rakstisku līgumu vai citu apstrādātājam saistošu Savienības vai dalībvalsts tiesību aktu, tostarp elektroniskā formā. Parastā komercattiecībā līguma pielikumam jāatbilst faktiskajam pakalpojumam. Ja tajā minēta regulāra pasākumu pārbaude, jāspēj parādīt pārbaudes rezultātu un turpmāko rīcību, nevis tikai šīs frāzes esamību dokumentā.

Drošības izvērtējumā jāskatās arī uz pakalpojuma atjaunošanu. Rezerves kopijas izveides ieraksts vēl neatbild, vai vajadzīgos datus var atjaunot pēc incidenta un vai atjaunotajā vidē netiek atgrieztas jau slēgtas piekļuves. Izmēģinājuma rezultāts palīdz pamatot, ko uzņēmums patiesībā spēj izdarīt. Pārbaudes biežums un dziļums jāpamato ar riskiem un sistēmas izmaiņām, neizdomājot vienu obligātu kalendāru visiem pakalpojumiem. Šie ir uzņēmumam izvērtējami kontroles jautājumi; publiskais ZZ Dats kopsavilkums neļauj apgalvot, ka katrs no tiem bijis tieši šajā lietā konstatēts trūkums.

Lursoft IT lieta: publisks avots nenozīmē neierobežotu atkalizmantošanu

Lursoft IT apstrīdēšanas lēmuma izraksts norāda, ka sākotnējais 65 000 eiro sods piemērots 2020. gada 23. novembrī. DVI publiskajā sarakstā ar 2021. gada 14. janvāri datētais apstrīdēšanas lēmums ir atzīmēts kā spēkā stājies. Izraksta noslēgumā sākotnējais lēmums atstāts negrozīts. Tātad 2020. gads raksturo sākotnējā soda piemērošanu, bet 2021. gads — nākamo dokumentēto procesa posmu.

Lēmumā aplūkota personas datus saturošu dokumentu publiskošana, tostarp Uzņēmumu reģistra lietu nepubliskās daļas dokumenti un vēsturiska informācija par fizisku personu maksātnespējas procesiem. Maksātnespējas informācijas daļā DVI izvērtēja publiskošanu ilgāk par vienu gadu pēc ieraksta par procesa izbeigšanu. Iestāde vērtēja tiesisko pamatu un interešu līdzsvaru; tā nav visiem uzņēmuma dokumentiem piemērojama vispārēja viena gada glabāšanas norma.

Uzņēmumam, kas pārpublicē vai apkopo datus, jāvērtē sava apstrāde. Tas, ka informācija reiz bijusi pieejama citā vietnē, vēl nenosaka tās turpmākas publiskošanas nolūku, termiņu un auditoriju. Jānošķir vajadzība glabāt dokumentu konkrēta prasījuma aizsardzībai no tā pieejamības jebkuram interneta lietotājam. Arī viens tehniski izveidots arhīvs var ietvert vairākus atšķirīgus izmantošanas mērķus, kuriem vajadzīgs atsevišķs pamatojums.

Praktiska pārbaude sākas ar datu avotu un izmaiņu saņemšanas kārtību. Ja avots labo vai ierobežo informāciju, jānoskaidro, kā šī izmaiņa nonāk uzņēmuma kopijā, meklēšanas rezultātos un klientiem izsniegtajos datos. Nav pietiekami pārbaudīt tikai sākotnējā importa likumību. Jāspēj atrast konkrētās personas ierakstus un izvērtēt aktuālu pieprasījumu, saglabājot pierādījumus par pieņemto lēmumu.

Šeit būtiskas ir tiesības uz dzēšanu un to izņēmumi. Dzēšana nav automātiska pēc katra iesnieguma, taču arī atsauce uz uzņēmuma interesēm nav automātisks atteikuma pamats. Ir jāpiemēro konkrētie VDAR nosacījumi. Pieprasījuma izvērtējumā svarīgi nodalīt publicēšanas pārtraukšanu, labošanu, piekļuves ierobežošanu un nepieciešamu ierobežotu glabāšanu, nevis visus šos jautājumus apvienot vienā atbildē.

Ja dati tiek piegādāti citiem uzņēmumiem, jāizprot arī turpmākās izmantošanas nosacījumi. Piemēram, datu saņēmējam paredzēta informācija kredītriska izvērtēšanai nav tas pats, kas neierobežoti publiski pieejams meklēšanas katalogs. Jānosaka atjauninājumu nodošanas kanāls, kļūdas paziņošanas kārtība un tas, kā atšķirt pilnu eksportu no jau novecojušas kopijas. Ar vienu norādi uz sākotnējo avotu nevar atrisināt visus turpmākās apstrādes jautājumus. Šāds piemērs palīdz organizēt uzņēmuma datu dzīves ciklu, nepārnesot vēsturiskās lietas viena gada robežu uz jebkuru citu datu kopu.

Kā veidojas soda apmērs

VDAR 83. pants paredz iedarbīgus, samērīgus un atturošus administratīvos naudas sodus. Vērtē pārkāpuma raksturu, smagumu un ilgumu, skarto personu skaitu un kaitējumu, vainas formu, atbildības pakāpi, agrākus pārkāpumus, rīcību kaitējuma mazināšanai un citus pantā norādītos apstākļus. Sadarbība ar uzraudzības iestādi ir viens no vērtējamajiem faktoriem, nevis apsolīta atlaide par katru sniegto atbildi.

Apgrozījums ir nozīmīgs, tomēr sods nav vienkāršs fiksēta procenta reizinājums. Regulā norādītie maksimālie apmēri nav standarta tarifs par vienu neatbilstošu līgumu vai incidentu. Diviem uzņēmumiem ar līdzīgu apgrozījumu var būt atšķirīgas apstrādes, riski un rīcība. Tāpēc cita uzņēmuma sodu nevar izmantot kā uzticamu aprēķinu sava pārkāpuma izmaksām vai kā budžetā paredzamu cenu par prasību neievērošanu.

Arī sodu salīdzināšanai starp valstīm vajadzīga salīdzināma datu kopa. Atsevišķa liela lieta neparāda visu uzraudzības intensitāti, bet nelielas summas nenozīmē, ka prasības ir izvēles jautājums. Uzņēmuma darbību būtiski var ietekmēt arī pienākums izmainīt sistēmu vai pārtraukt noteiktu apstrādi. Pilnu risku veido gan tiesiskās sekas, gan pakalpojuma pārtraukumi un cilvēkiem nodarītais kaitējums.

Ko pārbaudīt savā uzņēmumā pēc šo lietu izlasīšanas

Vispirms sasaistiet apstrādes nolūku ar faktisko datu plūsmu. Pārbaudiet, vai reģistrā aprakstītie saņēmēji, termiņi un sistēmas atbilst ikdienai. Tiesiskā pamata dokumentēšana ir vērtīga arī tad, ja to pievienojat kā papildu lauku; tā nav jāuzdod par atsevišķu tieši nosauktu VDAR 30. panta minimālo lauku. Apstrādes reģistra programmatūras izvēle var palīdzēt novērtēt versiju, atbildīgo un saistīto dokumentu pārvaldību, bet ieraksta esamība nepadara neatbilstošu procesu likumīgu.

Pēc tam pārbaudiet piekļuves praktiskā situācijā. Vai darbinieks redz tikai vajadzīgos klientus? Vai ārpakalpojuma konts paliek aktīvs pēc sadarbības beigām? Vai labošanas process aptver arī eksportus un saņēmējus? Šādi jautājumi savieno līgumu, tehnisko konfigurāciju un darbinieka pienākumus. Konstatētajam trūkumam piešķiriet atbildīgo un izpildāmu labošanas darbību; saglabājiet pierādījumu, kas apliecina, ka izmaiņa patiešām ieviesta.

Atsevišķi pārskatiet incidenta lēmumu pieņemšanu. Personas datu aizsardzības pārkāpums var skart konfidencialitāti, integritāti vai pieejamību; tas nav tikai internetā publicēts fails. Pārzinim jāpaziņo uzraudzības iestādei bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā pēc tam, kad pārkāpums kļuvis zināms, izņemot gadījumu, kad maz ticams risks personu tiesībām un brīvībām. Vēlākam paziņojumam jāpievieno kavējuma iemesli. Apstrādātājs pārzinim ziņo bez nepamatotas kavēšanās; apstrādātājam nav piešķirts atsevišķs 72 stundu gaidīšanas termiņš.

Visi personas datu aizsardzības pārkāpumi jādokumentē, arī tad, ja paziņošana iestādei nav vajadzīga. Savukārt informēšana cilvēkiem augsta riska gadījumā ir atsevišķs VDAR 34. panta jautājums ar saviem nosacījumiem un izņēmumiem. Pārkāpuma paziņošanas ceļvedis palīdz nodalīt šos lēmumus. Šī organizācija ļauj reaģēt pēc incidenta faktiskajām sekām, nevis pēc pieņēmuma, ka katram tehniskam traucējumam vajadzīgs vienāds paziņojums.

Pārbaudiet arī, kā uzņēmums saņem personas iesniegumu. Pieprasījums var nonākt klientu apkalpošanā, filiālē vai darbinieka pastkastē, ne tikai īpaši izveidotā formā. Datu subjektu pieprasījumu pārvaldības rīku salīdzināšanā jāvērtē saņemšanas datuma fiksēšana, atbildīgā norīkošana un atbildes izsekojamība. Ja pārzinis neveic pieprasītās darbības, VDAR 12. panta 4. punkts prasa bez kavēšanās un ne vēlāk kā mēneša laikā paziņot iemeslus, kā arī informēt par sūdzības un tiesas aizsardzības iespējām.

Kā rīkoties, saņemot DVI dokumentu

Vispirms noskaidrojiet dokumenta veidu. Informācijas pieprasījums, lēmums par pienākuma uzlikšanu un lēmums administratīvā pārkāpuma lietā nav viens un tas pats. Fizisko personu datu apstrādes likuma 23. pants nošķir Administratīvā procesa likuma piemērošanu tiesiska pienākuma uzlikšanai no administratīvo pārkāpumu procesa noteikumiem attiecībā uz sodiem. Šī atšķirība ietekmē arī aizsardzības līdzekļus.

Likuma 24. pantā paredzētā administratīva akta vai faktiskās rīcības apstrīdēšana un pārsūdzēšana nav universāls noteikums, ka ikviens DVI naudas sods pārsūdzams administratīvajā tiesā. Tet lietā apelāciju izskatīja Rīgas apgabaltiesas Krimināllietu tiesas kolēģija administratīvā pārkāpuma procesā. Savukārt Lursoft izrakstā norādīta pārsūdzība rajona vai pilsētas tiesā. Konkrētajā dokumentā jāizlasa norāde par kārtību, termiņu un iesniegšanas vietu, nepārnesot citas lietas instrukciju automātiski.

Organizējiet pierādījumu saglabāšanu un saturisku atbildi. Nošķiriet tābrīža konfigurāciju no vēlāk ieviestiem labojumiem, norādiet nezināmos apstākļus un nepieļaujiet dokumentu pārrakstīšanu tā, it kā uzlabojums būtu pastāvējis jau agrāk. Sadarbība nozīmē pārbaudāmas informācijas sniegšanu atbilstoši pieprasījumam. Ja ir nepieciešams precizējums, rīkojieties savlaicīgi; klusēšana neatrisina ne sākotnējo jautājumu, ne procesuālos pienākumus.

Uzņēmuma vadībai vajadzīgs arī atsevišķs lēmums par turpmāko apstrādi. Sūdzības sagatavošana pati par sevi neaizstāj riska ierobežošanu un nepadara katru konstatēto trūkumu pieļaujamu līdz tiesvedības beigām. Konkrētā lēmuma izpildes un pārsūdzības sekas jāvērtē piemērojamajā procesā. Plašākai pienākumu pārbaudei izmantojiet datu aizsardzības ceļvedi Latvijā, sasaistot juridisko vērtējumu ar atbildīgajiem par sistēmu, pakalpojumu un klientu saziņu.

Pārbaudes materiālu kopumam jābūt samērīgam arī no datu aizsardzības viedokļa. Ja vienas darbības izskaidrošanai pietiek ar konkrētā notikuma ierakstu, nav lietderīgi nekritiski pavairot visu klientu datubāzi vairākās darbinieku pastkastēs. Jānosaka drošs dokumentu apkopošanas un nosūtīšanas veids, saņēmēju loks un pierādījumu pieejamība. Vienlaikus uzņēmums nedrīkst patvaļīgi aizklāt tieši izmeklēšanai vajadzīgo informāciju; jāizvērtē pieprasījuma saturs un vajadzības gadījumā jāprecizē drošs iesniegšanas risinājums.

Biežāk uzdotie jautājumi

Vai 300 000 eiro sods ZZ Dats lietā ir galīgs?

Pārbaudes datumā DVI publiskajā sarakstā tas norādīts kā pārsūdzēts, un publicētais kopsavilkums ziņo par tiesvedību. Tāpēc šo summu var aprakstīt kā DVI direktores 2025. gada 8. septembra lēmumā noteikto sodu, saglabājot norādi uz pārsūdzību. Publiskie avoti, uz kuriem balstās šis pārskats, nedod pamatu paziņot par galīgu tiesas iznākumu.

Vai pietiek ar datu apstrādes līgumu un reģistru?

Šie dokumenti palīdz noteikt pienākumus un pierādīt atbilstības organizāciju, taču to saturs jāsalīdzina ar faktisko rīcību. Identitātes pārbaudei, piekļuves ierobežojumiem, datu aktualizēšanai un incidenta eskalācijai ir jādarbojas. Lietu pārskatīšanas vērtība uzņēmumam rodas tad, kad konkrēta atziņa tiek pārvērsta pārbaudāmā uzlabojumā un ir zināms, kurš pārbaudīs tā darbību arī turpmāk.