Datu “noplūdes” gadījumā organizācijai ir jāspēj ne tikai novērst incidenta sekas, bet arī savlaicīgi un saprotami informēt cilvēkus, kurus pārkāpums varētu skart. Īpaši sarežģīti tas var būt situācijās, kad potenciāli skarto cilvēku skaits ir ļoti liels un nav iespējams katru personu uzrunāt individuāli - piemēram, nesenais CSDD kiberincidents, kura rezultātā trešās personas ieguva informāciju par vēsturiskajās maksājumu kvītīs ietvertajiem datiem. CSDD 2026. gada 18. augustā paziņoja, ka incidents skāris aptuveni 1,2 miljonus fizisko personu.
Datu regula nenosaka, ka visos gadījumos katrs cilvēks jāinformē individuāli, jo ne visos gadījumos ir praktiski vai samērīgi katram nosūtīt individuālu paziņojumu.
Ja kiberincidentā potenciāli skarti simti tūkstoši vai pat miljoni cilvēku, var būt ļoti sarežģīti un prasīt neproporcionāli daudz resursu, lai katru personu identificētu un atsevišķi uzrunātu. Turklāt cilvēkiem var būt mainīti e-pasti vai arī viņi gluži vienkārši to regulāri nepārbauda.
Šādā gadījumā Datu regula pieļauj publisku paziņojumu vai citu līdzvērtīgu pasākumu. Līdz ar to liela incidenta gadījumā paziņojuma publicēšana organizācijas tīmekļvietnē un sociālajos tīklos var būt atbilstošs risinājums.
Vēl labāk – ja informācija par incidentu tiek izplatīta arī ar plašsaziņas līdzekļu starpniecību. Tas palielina iespēju, ka informācija sasniegs visus cilvēkus, kurus pārkāpums varētu būt skāris.
No paziņojuma teksta cilvēkam ir jāspēj saprast:
vai viņa dati varētu būt skarti;
kādi dati varētu būt nonākuši neautorizētu personu rīcībā;
kas varētu būt noticis ar šiem datiem;
kādi riski cilvēkam no tā varētu rasties;
ko cilvēks var darīt, lai šos riskus mazinātu.
Lai noteiktu iespējamo skarto personu loku, var izmantot informāciju, kas pieejama par konkrēto personas datu apstrādi. Piemēram, CSDD incidenta gadījumā potenciāli skarto personu loku var raksturot, norādot konkrētu pakalpojumu vai darbību, ar kuru incidents ir saistīts. Tādējādi informāciju iespējams formulēt tā, lai cilvēks pēc konkrētām pazīmēm varētu izvērtēt, vai incidents varētu būt skāris arī viņa personas datus.
Piemēram: „Ja Jūs kopš 2008. gada esat veicis pārskaitījumu par CSDD sniegtu pakalpojumu, Jūsu maksājuma kvītī ietvertie dati, visticamāk, ir iekļauti incidentā un varētu būt kļuvuši pieejami neautorizētām trešajām personām.”
Šāds formulējums cilvēkam ļauj sasaistīt sniegto informāciju ar savu konkrēto situāciju un secināt: „Ja es šādu maksājumu esmu veicis, incidents, iespējams, skar arī manus personas datus.”
Vienlaikus pārzinim jābūt uzmanīgam ar formulējumiem un jānodala tas, kas ir droši konstatēts, no tā, kas ir tikai iespējams vai ticams. Informācijai ir jāpalīdz cilvēkam pieņemt lēmumu, vai un kā viņam jārīkojas.
Piemēram, ja incidentā ir nonācis, vārds, uzvārds un informācija par veiktu maksājumu, cilvēkam ir svarīgi zināt, ka šādas informācijas kombinācija var tikt izmantota krāpnieciskos mēģinājumos.
Tādēļ paziņojumā būtu lietderīgi ietvert arī praktiskus ieteikumus, piemēram, būt īpaši piesardzīgam ar zvaniem, īsziņām vai e-pastiem, kuros tiek lūgts atklāt internetbankas piekļuves datus, Smart-ID kodus, paroles vai citu informāciju.
Papildus norādām, ka, ņemot vērā pašlaik pieejamo informācijai par datu “noplūdi” un iepazīstoties ar CSDD tīmekļa vietnē un plašsaziņas līdzekļos publicēto informāciju, Inspekcija nekonstatē neatbilstību saistībā ar CSDD pienākuma informēt cilvēkus par personas datu aizsardzības pārkāpuma izpildi.