«Скорее сотни, а не тысячи!» Адвокат ставит точку в спекуляциях о возможностях получить компенсацию в инциденте с утечкой данных CSDD 0
В начале августа в результате кибератаки на ГАО «Дирекция безопасности дорожного движения» (CSDD) злоумышленник получил информацию о данных, содержащихся в платежных квитанциях CSDD, за период с 2008 по 2026 год. После проведенного анализа выяснилось, что инцидент затронул примерно 1,2 миллиона физических лиц и 200 000 юридических лиц, сообщается на сайте предприятия.
Проверить, были ли похищены данные конкретного лица, можно, авторизовавшись на сайте CSDD. Там видно — были ли и какие именно данные похищены. Как вскоре после кибератаки сообщила Государственная инспекция данных, лица, чьи данные утекли во время атаки, имеют право требовать компенсацию. Однако неизвестно, о каких размерах компенсации может идти речь. Чтобы это выяснить, мы попросили прокомментировать ситуацию присяжного адвоката Яниса Дзанушканса.
Автоматически компенсация не полагается
Я. Дзанушканс поясняет: «После разъяснения Государственной инспекции данных о возможности обратиться в суд в связи с утечкой персональных данных у общества обоснованно возникает вопрос — полагается ли автоматически компенсация каждому человеку, чьи данные в результате несанкционированного доступа оказались у третьих лиц?
Короткий ответ — нет, автоматически нет. Однако это не означает, что компенсация невозможна.
В то же время сейчас важно разграничить два вопроса. Первый — сам киберинцидент CSDD и попадание персональных данных в распоряжение посторонних лиц. Второй — нарушила ли CSDD в данном случае требования по защите персональных данных и причинен ли в результате такого нарушения ущерб конкретному лицу. Государственная инспекция данных 18 августа 2026 года сообщила, что начала проверку в связи с инцидентом безопасности CSDD. Оцениваются обстоятельства инцидента, объем затронутых персональных данных, меры, предпринятые CSDD, а также то, реализовала ли CSDD надлежащие технические и организационные меры по защите персональных данных и была ли возможность принять дополнительные меры для предотвращения инцидента или смягчения его последствий.
Следовательно, в настоящее время еще нет оснований утверждать, что в действиях CSDD установлен факт нарушения защиты персональных данных — этот вопрос все еще является предметом проверки Государственной инспекции данных.
В то же время сама CSDD 28 августа 2026 года публично указала, что требование компенсации на данный момент преждевременно. CSDD пояснила, что в вопросе компенсаций определяющим будет решение Государственной инспекции данных, которым была бы установлена ответственность CSDD за несоблюдение требований по защите персональных данных.
Масштаб киберинцидента значителен. Согласно публично предоставленной CSDD и CERT.LV информации, злоумышленник в период с 8 по 10 августа 2026 года получил информацию о данных, содержащихся в платежных квитанциях, за период начиная с 2008 года. Были затронуты данные примерно 1,2 миллиона физических лиц и 200 тысяч юридических лиц. К категориям затронутых данных относятся персональный код или регистрационный номер предприятия, имя и фамилия или наименование предприятия, сумма платежа, дата совершения платежа, государственный регистрационный номерной знак транспортного средства и адрес, зарегистрированный на день получения услуги.
Что предусматривает правовое регулирование?
Общий регламент по защите данных предусматривает, что лицо имеет право на компенсацию, если в результате нарушения регламента ему причинен материальный или нематериальный ущерб. Это предусмотрено статьей 82 Регламента.
Для требования компенсации в принципе необходимы три взаимосвязанных элемента — нарушение регулирования защиты персональных данных, ущерб и причинно-следственная связь между нарушением и причиненным конкретному лицу ущербом.
Суд Европейского союза неоднократно подчеркивал, что эти три предпосылки являются кумулятивными.
Поэтому само по себе нарушение регулирования защиты персональных данных еще не создает автоматического права на денежную компенсацию. У лица также должен иметь место фактически причиненный материальный или нематериальный ущерб и причинно-следственная связь между нарушением и этим ущербом.
Это важно и в случае CSDD. Пока Государственная инспекция данных не завершила проверку и не выяснено, нарушила ли CSDD обязательные для нее требования по защите персональных данных, нельзя сделать окончательный вывод о гражданско-правовой ответственности CSDD перед конкретными субъектами данных.
Является ли сам факт того, что мои данные украдены, уже ущербом?
Нарушение защиты персональных данных и причиненный человеку ущерб юридически не одно и то же. Поэтому одного аргумента «мои данные утекли, значит, мне полагаются деньги» недостаточно. В то же время ущерб не следует понимать только как финансовые потери. Регламент прямо предусматривает также возмещение нематериального ущерба.
Суд Европейского союза уточнил, что и страх перед возможным злоупотреблением персональными данными в будущем сам по себе при определенных обстоятельствах может образовывать нематериальный ущерб. Лицу не обязательно ждать, пока похищенные данные фактически будут использованы для мошенничества, кражи личности или иным вредоносным образом. Однако абстрактного или лишь гипотетического риска недостаточно.
Если лицо обосновывает требование компенсации страхом, что его данные в будущем могут быть использованы злоумышленно, суд должен оценить, являются ли эти страхи обоснованными в конкретных обстоятельствах и в отношении конкретного лица.
Это существенное уточнение, поскольку на практике между «существует теоретическая возможность, что мои данные когда-нибудь могут быть использованы» и «у меня есть конкретные обоснованные опасения по поводу дальнейшего использования моих данных» может быть юридически значимая разница. Простое недовольство или сам факт установления нарушения регламента автоматически не приравниваются к подлежащему возмещению ущербу. Лицо должно быть способно обосновать, что нарушение причинило ему фактический материальный или нематериальный ущерб.
Должен ли человек уже пострадать от злоупотребления данными?
Ответ — нет. Регламент не предусматривает, что компенсация возможна только тогда, когда уже произошла кража личности, финансовое мошенничество или иное конкретное злоупотребление данными.
Суд Европейского союза признал, что страх перед возможным злоупотреблением данными в будущем сам по себе может образовывать нематериальный ущерб. Также утрата лицом контроля над своими персональными данными может быть элементом ущерба даже тогда, когда данные еще фактически не были использованы злоумышленно.
Это означает, что лицу не обязательно доказывать, что с его счета уже были похищены, например, 1000 евро или что от его имени уже была заключена мошенническая сделка. Однако и в таком случае лицо должно доказать, что оно фактически понесло нематериальный ущерб, а не просто ссылаться на абстрактную возможность того, что ущерб может возникнуть.
Что это означает именно в случае утечки данных CSDD?
Случай CSDD особенный тем, что публично известны как значительное число затронутых лиц, так и конкретные категории данных, оказавшиеся в распоряжении злоумышленника. Поэтому при оценке возможного иска конкретного лица существенным может быть не только ответ на вопрос, были ли его данные среди утекших, но и то, какие именно данные были затронуты и какие последствия для конкретного лица вызвало попадание этих данных в распоряжение посторонних лиц.
Например, следует различать ситуацию, когда лицу известен только сам факт утечки данных, и ситуацию, когда после инцидента оно получает подозрительные звонки, SMS или электронные письма, в которых используются именно характерные для него персональные данные, либо возникают иные конкретные обстоятельства, усиливающие обоснованные опасения по поводу использования этих данных.
Документирование таких обстоятельств может иметь существенное значение, если лицо позднее захочет обосновать требование о возмещении нематериального ущерба.
Какую компенсацию можно было бы получить?
Здесь было бы некорректно называть какую-либо конкретную сумму, например 100, 500 или 1000 евро, и утверждать, что именно такая компенсация полагается за утечку персональных данных. Я бы сказал, что с учетом сложившейся в нашей стране судебной практики мы можем говорить скорее о компенсациях в сотни, а не в тысячи. Сам Регламент также не устанавливает фиксированный размер компенсации за конкретное нарушение защиты персональных данных.
Суд Европейского союза указал, что компенсация имеет компенсаторную, а не карательную функцию. Ее цель — полностью возместить конкретному лицу фактически причиненный ущерб, а не наказать оператора или создать превентивный денежный штраф. Поэтому размер компенсации зависит от доказанного конкретным лицом ущерба и обстоятельств дела. В одном и том же инциденте утечки данных ситуация разных лиц может различаться.
В то же время Суд Европейского союза подчеркнул, что для нематериального ущерба не установлен минимальный порог «de minimis». Однако лицо по-прежнему должно доказать, что ущерб ему фактически причинен. Поэтому было бы неправильно делать упрощенный вывод: «чем больше людей затронуто, тем большая компенсация полагается каждому». Правовым основанием компенсации является ущерб, причиненный конкретному лицу, а не общий масштаб инцидента.
Стоит ли судиться?
Это индивидуальная юридическая и экономическая оценка. Лицу прежде всего следует оценить, какие данные затронуты, имеется ли конкретный и доказуемый ущерб, какие доказательства доступны и какова возможная экономическая ценность требования.
Сейчас особенно важно то, что проверка Государственной инспекции данных еще продолжается, тогда как сама CSDD 28 августа публично указала, что требование компенсации в настоящее время преждевременно. Поэтому я бы не советовал смотреть на такой иск как на гарантированную возможность «получить деньги за то, что данные утекли». Правильный юридический подход — сначала оценить причиненный конкретному лицу ущерб и возможность его доказать, а также дождаться ясности относительно результатов проверки Государственной инспекции данных, если только в конкретной ситуации нет иных особых обстоятельств.
Следует учитывать и риск судебных расходов. Закон о гражданском процессе предусматривает общие правила возмещения судебных издержек. Стороне, в пользу которой вынесено решение, при определенных обстоятельствах могут быть возмещены судебные расходы, тогда как в случае отклонения иска у истца может возникнуть обязанность возместить судебные расходы другой стороны. Также невозможно ответственно назвать один конкретный срок продолжительности судебного разбирательства — это зависит от сложности дела, объема доказательств, загруженности суда и того, будет ли решение обжаловано.
Что человеку делать уже сейчас?
Даже если сейчас нет оснований утверждать, что конкретному лицу уже полагается компенсация, это не означает, что ему ничего не нужно делать. Лицу, которое хочет сохранить возможность в будущем обосновать требование о возмещении ущерба, было бы полезно выяснить, какие именно его данные затронуты, сохранить предоставленную CSDD информацию об инциденте и затронутости персональных данных, а также фиксировать любые подозрительные звонки, SMS или электронные письма, в которых используются персональные данные. Также следует сохранять документы, которые могли бы доказать материальные убытки или иные конкретные негативные обстоятельства, вызванные инцидентом, и следить за дальнейшими сообщениями Государственной инспекции данных и CSDD.
Это важно потому, что в будущем вопрос будет не только в том, были ли мои данные утекшими, но и в том, как именно это событие повлияло на меня и какой ущерб мне причинило.
По инциденту происходят и другие процессы
В случае утечки данных CSDD параллельно с вопросом защиты персональных данных происходят и другие процессы. 14 августа 2026 года в Управлении по борьбе с киберпреступностью Главного управления криминальной полиции Государственной полиции было начато уголовное производство в связи с несанкционированным доступом к информационным системам CSDD. В свою очередь, 19 августа 2026 года в Департаменте защиты государственной безопасности Генеральной прокуратуры была начата прокурорская проверка по поводу возможных допущенных нарушений или халатности, в результате которых произошла утечка данных из информационных систем CSDD. В ходе проверки предусмотрено оценить также возможную ответственность должностных лиц и работников CSDD и других связанных предприятий.
Премьер-министр Андрис Кулбергс 18 августа 2026 года после заслушивания докладов CERT.LV и Бюро по защите Конституции поручил министру сообщения как держателю долей капитала CSDD оценить ответственность руководства CSDD за произошедшее. Однако эти процессы следует отличать от вопроса о компенсации, причитающейся конкретному лицу. Начало уголовного процесса или прокурорской проверки само по себе не означает, что у конкретного лица автоматически возникает право на компенсацию определенного размера. Также оценка возможной ответственности должностных лиц — это не то же самое, что установление гражданско-правовой ответственности перед конкретным субъектом данных.
Итак — полагается ли компенсация за утечку данных CSDD?
В настоящее время на этот вопрос невозможно ответить простым «да» или «нет». Нет — сам факт того, что персональные данные оказались в распоряжении посторонних лиц, автоматически не означает, что каждому затронутому человеку полагается определенная денежная сумма. Но столь же неправильно было бы утверждать, что компенсация возможна только тогда, когда уже произошло конкретное финансовое мошенничество или кража личности.
Судебная практика Суда Европейского союза ясна: право на компенсацию в соответствии со статьей 82 Регламента связано с тремя кумулятивными предпосылками — нарушением, ущербом и причинно-следственной связью. В то же время нематериальный ущерб может проявляться и как обоснованный страх перед возможным злоупотреблением персональными данными в будущем или утрата контроля над своими данными, однако конкретное лицо должно быть способно доказать, что такой ущерб ему фактически причинен.
Поэтому сейчас нет оснований ни для одного, ни для другого крайнего вывода — ни для того, что всем людям, затронутым утечкой данных CSDD, автоматически полагается одинаковая компенсация, ни для того, что компенсация невозможна, пока не доказано конкретное преступное деяние.
Главное — понимать, что утечка данных сама по себе является очень серьезным вопросом защиты персональных данных, однако право на компенсацию связано с наличием ущерба, причиненного конкретному лицу, и его связью с нарушением. В случае же CSDD сейчас еще предстоит выяснить и сам существенный предварительный вопрос — допустила ли CSDD такое нарушение требований по защите персональных данных, за которое наступает ответственность.»
