What changed

Datumu sk. laika zīmogā Nr. 111.8/6-40-14/26

14. Saeimas deputāti:

* Šis dokuments ir elektroniski parakstīts ar drošu elektronisko parakstu un satur laika zīmogu

## Anotācija likumprojektam “Grozījumi Krimināllikumā”

Nesen notika kiberuzbrukumi AS “Latvijas Valsts meži” un VAS “Ceļu satiksmes drošības direkcija” (turpmāk - CSDD), kas ietekmēja uzņēmumu digitālo infrastruktūru, nopludināja milzīgu apjomu privātpersonu datu, un publiskajā telpā izskan aizdomas, ka nozagtie dati var apdraudēt pat valsts drošību. Būtisks kaitējums - privātpersonu datu aizsardzības pārkāpums - ir nodarīts iedzīvotājiem, par ko jāatbild šiem valsts uzņēmumiem. Pastāvīgs risks Latvijai ir kiberuzbrukumi no nedraudzīgām valstīm. Tajā pašā laikā ir gadījumi, kad personas rīkojoties brīvprātīgi un labticīgi ir atklājušas informāciju sistēmu nepilnības, par ko ziņo informāciju sistēmu turētājiem, bet rezultātā personas riskē ar kriminālatbildību. Minētais notika ar vairākiem Latvijas kiberdrošības ekspertiem. Piemēram, kāda persona (privātpersonas datu aizsardzības nolūkā iniciāļi netiek minēti, taču presē ir atrodama informācija) 2018.gadā informēja CSDD par tās informācijas sistēmas ievainojamību1, taču uzklausīšanas vietā pret personu tika uzsākts kriminālprocess par informācijas sistēmas darbības traucēšanas mēģinājumu (KL 241.pants) un izspiešanas mēģinājumu mantkārīgos nolūkos (KL 183.pants). Minētā persona ilglaicīgi tiesājas savai aizstāvībai, un šobrīd ir iesniegta kasācijas sūdzība LR Augstākajā tiesā. Minētā situācija sabiedrībā raisīja neizpratni, jo dati īsā laika posmā masveidā no valsts informācijas sistēmām tiek nozagti, taču pretenzijas tiek vērstas pret privātpersonām, kas brīdinājušas par to atklātajām problēmām informācijas sistēmā. Starptautiskā praksē turpretī atzīst labticīgu t.s. “balto hakeru ” darbu, un tā ir izplatīta metode, kā neatkarīgi testēt informācijas sistēmu un elektronisko sakaru tīklu kiberdrošību. Šāda veida “ētisko hakeru” rīcība ir orientēta uz ierīču vai pakalpojumu drošības uzlabošanu pētniecības nolūkos un ir atbildīga ievainojamību atklāšana, par ko mēdz tikt slēgtas vienošanās ar informācijas sistēmu turētājiem par atbilstošu atlīdzības saņemšanu. Nacionālās kiberdrošības likuma 39.pants regulē koordinētu ievainojamību atklāšanu, taču tajā noteiktais smagnējais un neelastīgais procesuālais ietvars realitātē nesekmē labticīgu hakeru iesaisti valsts informācijas sistēmu drošības uzlabošanā (regulējums kopumā rada iespaidu, ka jebkura baltā hakera darbībā būs iespējams atrast nepilnību, par ko personu saukt pie atbildības). Arī tiesībsargājošās iestādes nespēj noorientēties šādā specifiskā situācijā. Attiecīgi šobrīd trūkst regulējums, kas pieļautu labticīgām personām, brīvprātīgi atklājot IT ievainojamību un ziņojot par to, ar nosacījumu, ka netiek radīts nekāds cits apdraudējums citām aizsargātām interesēm, lūgt adekvātu samaksu par savu patērēto darbu, laiku, pieredzi, komunikāciju un ieguldījumu. Izpildot adekvātas sadarbības kritērijus, organizācijām un tiesībsargājošajām iestādēm nebūtu jāuztver šāda balto hakeru rīcība kā uzbrukums (IT sistēmai) vai likumpārkāpums (izspiešana). Pārāk strikts regulējums vājina kiberdrošību, jo neveicina labticīgu, zinošu personu iesaisti ievainojamību atklāšanas procesā. Labticīga persona, atklājot ievainojamību, esošajā situācijā var izvēlēties par to neziņot, apzinoties, ka tās ziņojumu organizācija var uztvert kā apdraudējumu un likumpārkāpumu, par ko sekos barga kriminālatbildība. Galvenā atbildība par IT sistēmas uzturēšanu un drošību ir tās turētājam, taču acīmredzami IT sistēmas turētāji nespēj izpildīt savus pienākumus. Persona, kura IT sistēmas lietošanas procesā atklāj trūkumus, faktiski līdzdarbojas IT sistēmas uzlabošanā. Godprātīgi sadarbojoties ar iestādi (organizāciju) atklāto nepilnību novēršanai, hakeris izmanto savas zināšanas un izglītību, patērē resursus līdzvērtīgi algotam IT sistēmas uzturētājam, tāpēc, pat ja persona lūdz, aicina tai piešķirt taisnīgu atlīdzību par savu veikumu, tā ne vienmēr būtu jāuzskata par izspiešanu. Šādos gadījumos, izvērtējot samērīguma

1 Termins “ievainojamība” (tās atklāšana) skaidrots Nacionālās kiberdrošības likumā - informācijas un komunikācijas tehnoloģiju vai to pakalpojumu vājums, uzņēmība pret tehniskām problēmām vai nepilnība, kas var tikt izmantota kiberapdraudējumam.

Likumprojektam ir pozitīva ietekme uz sabiedrības un tautsaimniecības attīstību, jo garantē, ka personas netiks sauktas pie kriminālatbildības nepamatoti, kā arī kopumā tiks uzlabota IT sistēmu drošība, kas mūsdienās ir būtisks tautsaimniecības attīstības faktors.

Likumprojekts aizsargā personu tiesības uz datu aizsardzību un netikt sauktam pie kriminālatbildības bez atbilstoša juridiska pamatojuma.

## 6. Kādas konsultācijas notikušas, sagatavojot likumprojektu?

Likumprojekts neparedz īpašu izpildes kārtību, tieši pretēji, tiesībsargājošās iestādes un tiesas tiks atslogotas no nepamatotu kriminālprocesu vešanas pienākuma.