Lai vērstos tiesā un prasītu kompensāciju par personas datu aizsardzības pārkāpumā nodarīto kaitējumu, nav nepieciešams vispirms saņemt uzraudzības iestādes lēmumu, ar kuru pārzinim būtu konstatēts pārkāpums, skaidro Datu valsts inspekcija.
Uzraudzības iestāde vērtē, vai ir pārkāpti personas datu aizsardzības noteikumi, savukārt jautājums par kompensāciju ir saistīts ar to, vai konkrētajai personai pārkāpuma dēļ ir radies kaitējums un kāds ir tā apmērs.
Arī pats personas datu aizsardzības pārkāpums automātiski nenozīmē, ka pienākas kompensācija. Eiropas Savienības Tiesa ir norādījusi, ka kompensācijas mērķis ir atlīdzināt faktiski nodarīto kaitējumu, nevis sodīt pārzini.
Vērtējot pārkāpuma iespējamo ietekmi uz cilvēkiem, nozīme ir arī tam, kādi personas dati ir noplūduši. Atbilstoši starptautiski atzītām personas datu aizsardzības pārkāpumu ietekmes novērtēšanas metodikām vispārīgu personas datu, piemēram, vārda, uzvārda un e-pasta adreses, noplūde parasti nav vērtējama kā augstas ietekmes gadījums, ja šie dati paši par sevi neatklāj, piemēram, personas finansiālo stāvokli un neietver īpašu kategoriju personas datus. Vērtējot iespējamo ietekmi uz katru cilvēku atsevišķi, to pats par sevi nepalielina arī kopējais incidentā skarto cilvēku skaits. Tomēr liels skarto cilvēku skaits var būt nozīmīgs, nosakot pārkāpuma izskatīšanas prioritāti un vērtējot pārkāpumu kopumā, tostarp lemjot par piemērojamiem korektīvajiem līdzekļiem.
Tādēļ, nosakot kompensācijas apmēru, būtiska nozīme ir konkrētajam kaitējumam, kas personai patiešām ir radies un ko tā var pamatot, kā arī cēloņsakarībai starp šo kaitējumu un notikušo pārkāpumu.
