Kā jau minējām nesenā ziņā, apakšuzņēmējs daudziem datu pārziņiem ir gan centrālais un būtiskais spēlētājs, gan vājais posms datu drošības ķēdē.

Jaunākā tiesu prakse, kā arī datu aizsardzības iestāžu lēmumi ir atkārtoti apliecinājuši, ka datu pārzinis joprojām ir pirmās līnijas atbildīgā persona, ja tā apakšuzņēmējā notiek datu noplūde.

Tomēr tas nemaina apakšuzņēmēja paša atbildību kiberuzbrukuma gadījumā. Viņu izšķirošā pozīcija datu sistēmu centrā attaisno īpaši augstus organizācijas un reaģēšanas standartus.

Maija beigās savā tīmekļa vietnē publicētā scenārijā CNIL smeļas iedvesmu no reāliem notikumiem, lai izklāstītu praktisku gadījumu un iezīmētu dažādos posmus un pasākumus, kas jāveic apakšuzņēmējam, saskaroties ar kiberuzbrukumu.

Komisija uzsver divu galveno personu — informācijas drošības vadītāja (CISO) un datu aizsardzības speciālista (DPO) — lomu uzņēmumā un viņu būtisko reaģēšanas spēju ziņojumu gadījumā par neparastu darbību.

Tas arī uzsver uzraudzības rīku būtisko lomu šādas darbības (nestabilitātes, latentuma, datu zuduma, kļūdu utt.) atklāšanā.

Apakšuzņēmēja izveidotajai krīzes vadības komandai ir jānosaka, kādas darbības tiks veiktas iekšēji un kas tās veiks. Galvenais ir organizēt divvirzienu reaģēšanu: pārvaldīt uzbrukumu apakšuzņēmēja paša datiem un vienlaikus risināt klientu datu noplūdes problēmu.

Apakšuzņēmējam ir 72 stundas, lai novērtētu situācijas un datu noplūdes nopietnību un veiktu vairākus pasākumus:

• Paziņot CNIL (Francijas Datu aizsardzības iestādei) par datu noplūdi, kas attiecas uz tās datiem, un ar klientu piekrišanu arī par viņu vārdā veikto apstrādi. Alternatīvi, datu apstrādātājs var arī atbalstīt un konsultēt savus klientus šajā paziņošanas procedūrā.
• Pēc iespējas ātrāk informējiet klientus par pārkāpuma apmēru un tā sekām, kā arī papildiniet šo informāciju reāllaikā atbilstoši situācijas attīstībai.
• Informējiet attiecīgās personas par viņu datu apdraudējumu, atkarībā no viņu tiesību un brīvību aizskāruma riskiem.

Tā kā datorsistēmas tagad ir ļoti regulāri pakļautas uzbrukumiem, CNIL uzstāj, ka ir nepieciešams iepriekš sagatavoties šāda veida situāciju rašanās gadījumā, aizsargājot datus (šifrēšana, divfaktoru autentifikācija utt.) un nodrošinot atbilstošu pārvaldības procedūru.

Ir vērts atcerēties, ka Francija ir viena no pasaules valstīm, ko visvairāk skar drošības pārkāpumi, tiktāl, ka aptuveni piecdesmit senatori maija vidū pieprasīja izveidot parlamentāro izmeklēšanas komisiju šajā jautājumā. 

Turklāt, lai gan CNIL kādu laiku bija saprotoša, tagad tā bargi sankcionē uzņēmumus, kas nav savlaicīgi veikuši pasākumus, kas ļautu tiem bloķēt vai mazināt uzbrukumu sekas.

Francijā

CNIL savu darbības pārskatu par 2025. gadu publicēja maija vidū.

Ziņojumā ir apkopots gads, ko iezīmēja straujš sūdzību skaita pieaugums un rekordliels datu noplūžu skaitspuse no tiem ir saistīti ar datorurķēšanu.

Iestāde veica 323 pārbaudes un izdeva 83 sankcijas par vēl nebijušu kopējo summu gandrīz 487 miljonu eiro apmērā.

Kiberdrošība tagad ir galvenā prioritāte: 2026. gadā puse no CNIL pārbaudēm būs vērstas uz datu drošību.

Vienlaikus CNIL turpina savu misiju atbalstīt uzņēmumus un stiprina arī sabiedrības, jo īpaši jauniešu, izpratnes veicināšanas pasākumus.

Ziņojumā arī uzsvērts, ka mākslīgā intelekta uzplaukums.

CNIL gatavojas ieviest Eiropas regulu par mākslīgo intelektu un izstrādā rīkus tā lietojuma regulēšanai.

Tomēr 2026. gadam iestāde nav ieguvusi nevienu jaunu amatu, neskatoties uz jaunajām prasmēm šajā jomā.

26. maijā CNIL piesprieda Iqvia Operations France 5 miljonu eiro sodu par to, ka tā neievēroja drošības pasākumus, kuru mērķis ir ierobežot riskus personām veselības datu noliktavu pārvaldības kontekstā.

11. maijā CNIL uzsāka rīcības plānu saistībā ar viedajām brillēm.

Iestāde uzsver, ka šīs ierīces, kas bieži vien ir saistītas ar mākslīgo intelektu, var nodrošināt gandrīz pastāvīgu novērošanu publiskās un privātās telpās.

Aptauja liecina, ka 67% franču to uzskata par risku viņu privātumam.

CNIL (Francijas Datu aizsardzības iestāde) atkārtoti uzsver, ka to izmantošana joprojām ir pakļauta GDPR, attēlu tiesībām un prasībai iegūt filmēto vai ierakstīto personu piekrišanu. Tā paziņo par Eiropas rīcības plānu un iesaka vairākas labākās prakses, lai ierobežotu uzmācīgu izmantošanu.

Šī komunikācija notiek laikā, kad Meta izstrādā sejas atpazīšanas funkciju savām viedajām brillēm, un Samsung un Google 19. maijā prezentēja savas pirmās brilles operētājsistēmā Android XR, kas ir savienotas ar viedtālruni un integrētas ar Gemini, nodrošinot balss mijiedarbību un pastāvīgu konteksta uztveršanu.

Visbeidzot, maija beigās CNIL publicēja vadlīnijas, lai palīdzētu mākoņpakalpojumu dalībniekiem noteikt savus pienākumus ar konkrētiem piemēriem.

NVO Tīkla kvadrāts 21. maijā publicēja padziļinātu analīzi par ierosināto likumprojektu, kas aizliegtu piekļuvi sociālajiem tīkliem nepilngadīgajiem, kas jaunāki par 15 gadiem, par kuru balsojums Parlamentā ir nenovēršams.

Asociācija norāda, ka, aizbildinoties ar nepilngadīgo aizsardzību, teksts paredzētu identitātes pārbaudi visiem lietotājiem, tādējādi vispārinot sistēmu, kas iepriekš bija paredzēta tikai pieaugušajiem paredzētām vietnēm.

Šis pienākums būtu pretrunā ar GDPR datu minimizēšanas principu un Eiropas Savienības Tiesas (EST) atzītajām tiesībām uz anonīmu pārlūkošanu.

27. maijā, bērnu aizsardzības likumprojekta prezentācijas laikā, nacionālās izglītības ministrs Eduārs Žefrijs norādīja, ka darbinieki, kuri skolā ir izturējušies nepiedienīgi ar nepilngadīgajiem, tagad tiks iekļauti "melnajā sarakstā", pat ja viņiem nebūs notiesājoša sprieduma.

Jautājums par procesuālajām garantijām un attiecīgo personu datu aizsardzību joprojām paliek atklāts.

Trešās puses maksājumu pakalpojumu sniedzējs Almerīsa atkal saskaras ar drošības pārkāpumu.

24. maijā veselības apdrošināšanas sabiedrība Alanas brīdināja savus biedrus par datu noplūdi, kas notika pie tās apakšuzņēmēja.

Potenciāli atklātie dati ietver ģimenes stāvokli, sociālās apdrošināšanas numuru, līguma numuru un apdrošināšanas datumus. Tiek uzskatīts, ka ir skarti vairāki simti veselības apdrošināšanas sabiedrību un miljoniem sociālās apdrošināšanas numuru.

Šis incidents kalpo kā atgādinājums, ka pat apakšuzņēmuma līguma gadījumā datu pārzinis saglabā savus GDPR pienākumus attiecībā uz drošību un paziņošanu.

24. maijā publicētā rakstā 01net atklāj izmeklēšanas rezultātus par darba vietas uzraudzības programmatūra.

Pētnieki pārtvēra tīkla trafiku no deviņām novērošanas platformām, kuras visas pārsūtīja darbinieku personas datus trešajām personām.

Pārsūtītie dati ietver darbinieku vārdus, e-pasta adreses un aktivitāšu datus.

Kopumā šo informāciju saņem vairāk nekā 145 trešo pušu domēni, tostarp Google, Meta, Microsoft, LinkedIn, Yandex un AppLovin.

Trešdaļa no testētajiem rīkiem arī pārraida precīzu darbinieka ģeogrāfisko atrašanās vietu.

Eiropā

Eiropas iestādes un struktūras

Eiropas Komisija ir publicējusi vadlīniju projektu, kurā precizēti augsta riska mākslīgā intelekta sistēmu klasifikācija, kā arī konkrētu piemēru sarakstu, kas paredzēts, lai palīdzētu piegādātājiem un operatoriem noteikt, vai viņu mākslīgā intelekta sistēma rada augstu risku.

Jebkura ieinteresētā persona vai organizācija, tostarp piegādātāji un attīstītāji, uzņēmumi un valsts iestādes, kā arī akadēmiskās aprindas, pētniecības institūti un iedzīvotāji, ir aicināti iesniegt savus komentārus līdz 2026. gada 23. jūnijam.

Maija sākumā Google saņēma Eiropas Komisijas pagarinājumu, lai risinātu problēmas, kas saistītas ar atbilstību Digitālā tirgus regulai (DMA).

Paziņojumā Eiropas iestādēm uzņēmums apgalvoja, ka Komisijas priekšlikums piespiest to kā "vārtu sargu" dalīties ar noteiktiem meklēšanas datiem ar konkurentiem, piemēram, OpenAI vai alternatīvām meklētājprogrammām, rada ievērojamu lietotāju atkārtotas identifikācijas risku.

Šo nostāju no Google puses varētu uzskatīt par neparastu, taču mūsdienās tā ir intensīvu debašu objekts.

29. aprīlī žurnālā “Media Laws” publicēts pētījums “Media Laws” (“Meklēšanas dati, privātums un heiristikas robežas: kritiska EK sākotnējo secinājumu pret alfabētu” lasīšana” (“Meklēšanas dati, privātums un heiristikas robežas: kritiska EK sākotnējo secinājumu pret alfabētu” lasīšana) saista šo DMA 6.(11) panta par datu koplietošanu jautājumu ar debatēm par digitālo omnibusu attiecībā uz personas datu definīcijas tvērumu.

Lai gan ierosinātā regula par digitālais eiro Tā kā Eiropas Parlaments pašlaik balso par eiro un Eurosistēma gatavojas tā emisijai līdz 2029. gadam, CNIL un Vācijas Federālā datu aizsardzības iestāde 13. maijā publicēja kopīgu ziņojumu par nākotnes digitālā eiro datu aizsardzības izaicinājumiem.

Abas iestādes atgādina par savu kopīgo darbu: nepieciešamību pēc augstas konfidencialitātes pakāpes mazas vērtības maksājumiem, "bezsaistes" režīma bez ECB un maksājumu pakalpojumu sniedzēju izsekošanas, kā arī stingras atļauto mērķu kontroles (nelikumīgi iegūtu līdzekļu legalizācijas novēršana, krāpšanas novēršana).

2026. gada 21. maijā Eiropas Patērētāju organizācija BEUC kopā ar 29 tās biedriem no 27 valstīm iesniedza sūdzības Eiropas Komisijā un attiecīgajās valstu iestādēs pret Meta, TikTok un Google, apgalvojot, ka šie uzņēmumi nav veikuši nepieciešamos pasākumus, lai cīnītos pret krāpniecisku reklāmu izplatība finanšu sektorā savās platformās, kā to pieprasa Eiropas digitālo pakalpojumu regula (DPA).

BEUC izmeklēšana dokumentē krāpniecisku reklāmu (ātrie kredīti, viltus investīcijas, garantēta peļņa) masveida pastāvēšanu, no kurām 53 % ziņojumi platformas it kā ignorēja vai noraidīja.

Ziņas no Eiropas Savienības dalībvalstīm.

Konsultāciju firmas CMS 2026. gada ziņojumā "GDPR Enforcement Tracker" norādīts, ka GDPR piemērošana Eiropā ir sasniegusi brieduma fāzi, un vairāk nekā Kopš 2018. gada reģistrētas 3000 sankcijas, un kopējā summa pārsniedz 6 miljardus eiro.

Valsts iestādes tagad pievēršas ne tikai digitālajiem gigantiem, bet arī ikdienas darbības jautājumiem: pārredzamībai, kiberdrošībai, sīkdatnēm, darbinieku uzraudzībai un apakšuzņēmēju pārvaldībai.

Visbiežāk pieļautie pārkāpumi joprojām ir skaidra juridiskā pamata trūkums, GDPR vispārējo principu neievērošana un drošības pārkāpumi.

Īpaši rūpīgi tiek pārbaudītas digitālo platformu, tiešsaistes reklāmas un mākslīgā intelekta darbinātu pakalpojumu nozares.

Ziņojumā arī uzsvērts, ka lietotāju sūdzības un datu noplūdes ir kļuvušas par galvenajiem izmeklēšanas iemesliem.

Visbeidzot, neskatoties uz pieaugošo koordināciju Eiropas līmenī, sankciju piemērošanas prakse dažādās valstīs joprojām ievērojami atšķiras.

Beļģijas Datu aizsardzības iestāde (APD) ir piespriedusi tehnoloģiju uzņēmumam kopumā 176 946,61 eiro sodu par pakalpojumu sniedzēja e-pasta konta nelikumīgu aktīvu saglabāšanu pēc tam, kad tas bija aizgājis no uzņēmuma, un par pārredzamības pienākumu pārkāpšanu.

Iestāde arī lika uzņēmumam izpildīt pakalpojumu sniedzēja pieprasījumu par piekļuvi piekļuves žurnāliem, pēc tam dzēst personas datus un veikt pasākumus, lai nodrošinātu atbilstību noteikumiem nākotnē.

APD 16. maijā dienas laikrakstā Le Soir arī paziņoja, ka tagad veiks juridiskas darbības atsevišķos konkrētos nopietnu GDPR pārkāpumu gadījumos.

Iestāde 2025. gadā saņēma 1394 sūdzības, kas ir par 67 % vairāk nekā 2024. gadā.

Krimināltiesiskā pieeja balstās uz valstu noteikumiem, kas pieņemti saskaņā ar VDAR 84. pantu, kas pilnvaro dalībvalstis paredzēt sankcijas, tostarp kriminālsodus, par pārkāpumiem, uz kuriem neattiecas 83. pantā minētie administratīvie naudas sodi.

Skaidri izteiktais mērķis ir apiet ilgstošas apelācijas procedūras Tirgus tiesā, kas "dažreiz samazina bargos naudas sodus līdz 1 eiro", un ES Tiesā, kuras izmanto lielas digitālās platformas.

Nīderlandes Datu aizsardzības iestāde noteica MLU BV piespriests 100 miljonu eiro sods par personas datu nosūtīšanu uz Krieviju.

MLU ir Nīderlandē bāzēts uzņēmums, kas izstrādā Yango taksometru lietotnes Eiropas versiju.

Norvēģijā un Somijā lietotāji izmanto Yango, lai rezervētu taksometru braucienus ar saistītajiem vadītājiem. Pēc tam Yango nosūta vadītāju un klientu personas datus uzņēmumiem, kas atrodas Krievijā, negarantējot pienācīgu šo datu aizsardzību.

Ziņots, ka Microsoft sniedza ASV Pārstāvju palātai Nīderlandes Patērētāju un tirgus iestādes un Nīderlandes Datu aizsardzības iestādes strādājošo Nīderlandes amatpersonu vārdus.Šie aģenti piedalītos DSA īstenošanā.

Saskaņā ar NL Times publicēto informāciju Microsoft, iespējams, kopīgoja e-pastus, ziņojumus un ielūgumus, neanonimizējot iesaistīto amatpersonu vārdus, kā to paredz ASV Mākoņdatošanas likums.

Nīderlandes iekšlietu valsts sekretārs pauda bažas par situāciju, vienlaikus norādot, ka vēlas noskaidrot precīzus pārraides apstākļus.

Spānijas Datu aizsardzības aģentūra (APD) uzskatīja, ka Izglītības un sporta ministrijas sniegtie mākoņdatošanas izglītības pakalpojumi valsts skolām, izmantojot Microsoft kā apakšuzņēmēju, ir GDPR noteikumu pārkāpums.

Starptautiski

Apvienotajā Karalistē parlamentārieši ir noraizējušies par Nacionālā veselības dienesta (NHS) lēmumu piešķirt Palantir piekļuvi identificējamiem pacientu datiem. kā daļu no sava projekta izmantot mākslīgo intelektu "veselības aprūpes sistēmas uzlabošanai".

Uzņēmums iegūtu piekļuvi pacientu datiem pirms to pseidonimizācijas, neraugoties uz bažām par "sabiedrības uzticības zaudēšanas risku".

Jūnija sākumā parlamentārā komiteja lūdza valdību lauzt līgumu ar uzņēmumu.

Šīs bažas pauž gan pilsoniskā sabiedrība, gan NHS analītiķi, kuri ir publicējuši atklātu vēstuli, kurā uzsvērti projekta riski.

Papildus datu aizsardzības problēmām Palantir mākslīgā intelekta sistēma tiek apsūdzēta par to, ka tā ir desmit reizes lēnāka nekā esošā sistēma.

Kanādā Ontārio Informācijas un privātuma komisāra birojs publicē Jaunas vadlīnijas par mākslīgā intelekta balstītiem transkripcijas asistentiem, lai palīdzētu aizsargāt pacientu privātumu.

"Jaunās CPI vadlīnijas atbilst Mākslīgā intelekta atbildīgas izmantošanas principiem, ko nesen publicēja un kopīgi izstrādāja Ontārio Informācijas un privātuma komisārs un Ontārio Cilvēktiesību komisija."

Šie principi uzsver, ka mākslīgā intelekta sistēmām, piemēram, mākslīgā intelekta rakstvežiem, ir jābūt derīgām un uzticamām, drošām, jāievēro privātums, jāievēro cilvēktiesības, jābūt pārredzamām un atbildīgām.

Amerikas Savienoto Valstu Pārstāvju palātas republikāņu deputāti ir iesnieguši likumprojektus "SECURE Data Act" un "GUARD Financial Data Act". kuras mērķis ir izveidot federālu datu aizsardzības regulējumu.

Šo likumprojektu mērķis ir saskaņot piemērojamos noteikumus, aizstājot noteiktus štatu likumus, ierobežot datu vākšanu un stiprināt patērētāju piekļuves tiesības.

2026. gada 8. maijā Kalifornijas ģenerālprokurors paziņoja par rekordlielu 12,75 miljonu ASV dolāru lielu vienošanos ar General Motors (GM), lai izbeigtu apgalvojumus, ka GM nelikumīgi pārdeva Kalifornijas iedzīvotāju atrašanās vietas un braukšanas paradumu datus bez pienācīgas paziņošanas vai piekrišanas, cita starpā pārkāpjot Kalifornijas Patērētāju privātuma likuma (CCPA) datu minimizācijas un mērķa ierobežošanas principus.

Uzņēmums “Anthropic” 22. maijā paziņoja par savu projektu “Glasswing”, norādot, ka tā kiberdrošības specializētais mākslīgā intelekta modelis “Mythos” ir identificējis vairāk nekā 10 000 ievainojamību plaši izmantotā atvērtā pirmkoda programmatūrā un projektos.

Pēc uzņēmuma teiktā, mākslīgais intelekts ievērojami uzlabo ievainojamību izpētes ātrumu un efektivitāti, un atklāšanas līmenis tiek uzskatīts par augstu.

Tomēr šī iespēja rada jaunu izaicinājumu programmatūras ekosistēmai: uzturētājiem un drošības komandām ir jātiek galā ar pieaugošu ziņojumu apjomu un ātrāk jānovērš ievainojamības.

Papildus tehniskajiem sasniegumiem šī tēma izceļ kiberdrošības attīstību virzienā uz ievainojamību noteikšanas automatizācijas pieaugumu, un to ātra korekcija joprojām ir galvenais riska mazināšanas faktors.