L'Inspection nationale de la protection des données de Lettonie (DVI) a précisé les conditions d'indemnisation pour un dommage résultant d'une violation de données à caractère personnel.

L'autorité rappelle qu'une personne souhaitant obtenir une indemnisation pour un dommage n'est pas tenue d'attendre une décision préalable de l'autorité de contrôle constatant une violation, ces deux procédures étant distinctes. Une violation de la protection des données n'entraîne pas automatiquement un droit à réparation, son objectif étant de compenser un préjudice réellement subi et non de sanctionner le responsable du traitement, comme l'a souligné la Cour de justice de l'Union européenne. L'évaluation du dommage dépend de la nature des données ; la fuite de données générales, telles qu'un nom et une adresse électronique, n'est généralement pas considérée comme ayant un impact élevé si elles ne révèlent pas d'informations sensibles. Le nombre total de personnes affectées n'augmente pas l'impact individuel, mais peut influencer la priorisation du dossier par l'autorité. Pour obtenir une indemnisation, la personne concernée doit prouver le dommage spécifique subi ainsi que le lien de causalité avec la violation.