Persónuvernd í Hollandi byggir á tveimur gerðum. Almennu persónuverndarreglugerðin (GDPR) gildir beint um allt Evrópusambandið og setur efnisreglur: meginreglur, lagalegar heimildir, réttindi skráðra aðila og skyldur ábyrgðaraðila og vinnsluaðila. Samhliða henni fyllir hollenska innleiðingarlögin um GDPR (Uitvoeringswet AVG, UAVG) út í valmöguleikana sem reglugerðin gaf aðildarríkjunum og tilnefnir hollensku persónuverndarstofnunina (Autoriteit Persoonsgegevens) sem eftirlitsyfirvald.
Þar sem reglugerðin hefur bein áhrif er það sjálf GDPR-reglugerðin sem fyrirtæki verður að fara eftir. Innleiðingarlögin skipta máli þegar val hefur verið tekið á landsvísu – og það eru einmitt þessi atriði sem fyrirtæki sem starfa í mörgum aðildarríkjum hafa tilhneigingu til að líta fram hjá.
Hvað bætir framkvæmdalögin við?
Upplýsingasamfélagslögin (UAVG) fylla út takmarkaðan fjölda valkosta á landsvísu. Samkvæmt 5. grein UAVG þarf barn yngra en sextán ára samþykki foreldris eða forráðamanns áður en upplýsingasamfélagsþjónustur geta reitt sig á samþykki sem lögmætan grundvöll; frá sextán ára aldri getur barnið gefið samþykki eitt og sér.
Lögin kveða einnig á um vinnslu sérstakra gagna í skilgreindum tilvikum. 29. grein laga um persónuvernd heimilar vinnslu líffræðilegra gagna til að auðkenna einstaklinga ef það er nauðsynlegt vegna auðkenningar eða öryggis, sem er undantekning sem stofnanir nota fyrir aðgangsstýringar- og innskráningarkerfi. Lögin innihalda einnig ákvæði um vinnslu sakamálaupplýsinga og undanþágur á sviðum eins og blaðamennsku, rannsóknum og skjalavörslu, og þar eru sett fram valdsvið Persónuverndarstofnunarinnar og verklagsreglur í kringum þau.
Það sem það gerir ekki er að skapa léttari reglur. Þegar reglugerðin og lögin eru lesin saman setur reglugerðin staðalinn og lögin ákvarða hvernig takmörkuðum fjölda innlendra spurninga er svarað.
Hvaða skyldur skipta máli í reynd?
Fjórir þættir skýra meginhluta vinnunnar. Skrá yfir vinnslustarfsemi samkvæmt 30. grein GDPR, sem er skjalið sem eftirlitsyfirvald biður fyrst um og sem neyðir stofnun til að vita hvað hún geymir í raun. Löglegur grundvöllur fyrir hverja vinnsluaðgerð, valinn af ásettu ráði frekar en að vanrækja samþykki, sem er oft veikasti grundvöllurinn sem völ er á þar sem það verður að vera gefið af fúsum og frjálsum vilja og hægt er að afturkalla það hvenær sem er.
Samningar um gagnavinnslu við alla vinnsluaðila samkvæmt 28. gr. GDPR og fullnægjandi verndarráðstafanir þegar persónuupplýsingar fara út fyrir Evrópska efnahagssvæðið. Og vinnuferli fyrir réttindi skráðra aðila og tilkynningar um brot, sem verður að geta virkað innan sjötíu og tveggja klukkustunda tilkynningarfrestsins sem kveðið er á um í 33. gr. GDPR.
Hvernig er GDPR framfylgt?
Persónuverndarstofnun Hollands getur rannsakað, fyrirskipað ráðstafanir, bannað vinnslu og sektað fyrirtæki. Samkvæmt 83. grein GDPR geta sektir numið allt að 10 milljónum evra eða 2% af heildarveltu á heimsvísu vegna brota á stjórnsýsluskyldum og allt að 20 milljónum evra eða 4% af veltu, hvort sem er hærra, vegna brota á meginreglum, réttindum skráðra aðila eða reglum um alþjóðlega gagnaflutninga.
Samhliða reglugerðarframfylgd geta einstaklingar krafist bóta og sameiginlegar málssóknir á þessu sviði hafa orðið raunveruleg útsetning í Hollandi síðan sameiginleg skaðabótareglan (WAMCA) var innleidd árið 2020.
Í stuttu máli
- Persónuverndarreglugerðin setur efnislegar reglur beint; UAVG fyllir aðeins út þá innlendu valkosti sem reglugerðin skilur eftir opna.
- Samkvæmt 5. grein upplýsingasamfélagslaganna þarf barn samþykki foreldra fyrir þjónustu í upplýsingasamfélaginu þar til það er orðið sextán ára.
- Í 29. grein UAVG er heimilt að nota líffræðileg gögn til auðkenningar eða öryggis sem undantekning frá almenna banninu.
- Skrá yfir vinnslustarfsemi, lögmætur grundvöllur fyrir hverja vinnsluaðgerð, vinnslusamningar og verklagsregla vegna brota sem nær yfir sjötíu og tveggja klukkustunda tilkynningarfrest eru meginhluti eftirlitsstarfa.
- Sektir samkvæmt 83. grein GDPR nema allt að 20 milljónum evra eða 4% af heimsveltu og einstaklingar og hópar geta krafist bóta sérstaklega.
Algengar spurningar
Þurfum við persónuverndarfulltrúa?
Aðeins þar sem reglugerðin krefst þess: opinberir aðilar og stofnanir sem hafa aðalstarfsemi sína í för með sér umfangsmikið reglulegt eftirlit eða umfangsmikla vinnslu gagna í sérstökum flokkum. Margar stofnanir skipa slíkan einstakling sjálfviljugir, sem hefur í för með sér lagalega stöðu og vernd.
Er samþykki öruggasta forsenda þess?
Venjulega er hið gagnstæða. Samþykki verður að vera gefið af fúsum og frjálsum vilja og hægt er að afturkalla það hvenær sem er, eftir það verður vinnslan að hætta. Lögmætir hagsmunir eða framkvæmd samnings eru oft traustari grundvöllur, að því tilskildu að matið sé skjalfest.
Á GDPR við um okkur ef við erum utan ESB?
Það getur það. Reglugerðin á við þegar vörur eða þjónusta eru í boði fyrir fólk í Evrópusambandinu eða hegðun þeirra er fylgst með þar, óháð því hvar fyrirtækið er staðsett.
Ráðgjöf um gagnavernd
Eftirlitsvinna er árangursríkust þegar hún byggir á því hvað stofnun gerir í raun við gögn frekar en að byggja á sniðmáti. Við ráðleggjum um vinnslu gagna, lagalegan grundvöll, vinnslusamninga, alþjóðlegar millifærslur, áhrifamat og viðbrögð við brotum.
Ertu óviss um stöðu þína? Segðu okkur frá stöðu þinni. Við munum láta þig vita af möguleikunum innan eins virks dags.
Hvernig Law & More getur hjálpað þér með þetta er útskýrt á okkar Lögfræðingur í upplýsingatækni síðu.
