Persónuverndarstefna í Hollandi: hvað lögin krefjast og hvernig á að skrifa eina sem stenst kröfur

Næstum öll fyrirtæki með vefsíðu sem snýr að hollensku birta persónuverndarstefnu — privacyverklaring eða persónuverndaryfirlýsingu. Mun færri birta slíka yfirlýsingu sem myndi standast skoðun Autoriteit Persoonsgegevens (hollenska persónuverndarstofnunin, AP). Skjalið er meðhöndlað eins og staðlað skjal, afritað frá samkeppnisaðila og látið óhreyft á meðan reksturinn breytist undir því. Það er nú orðinn dýr venja: í mars 2026 hóf Evrópska persónuverndarnefndin samræmdar aðgerðir um alla Evrópu sem miðuðu að einmitt þessari skyldu.

Hvaðan kemur skyldan

Engin grein í GDPR ber yfirskriftina „persónuverndarstefna“. Yfirlýsingin er einfaldlega venjuleg leið til að uppfylla skyldu sem GDPR setur öðruvísi fram — eins og rétt einstaklingsins til upplýsinga. Gagnsæi er meginregla í 5. gr. GDPR; 12., 13. og 14. gr. GDPR breyta henni í raunverulegan lista yfir það sem þú verður að segja fólki og staðal fyrir hvernig.

Skiptingin á milli 13. og 14. gr. skiptir meira máli en flest fyrirtæki gera sér grein fyrir.

• 13. gr. GDPR á við þegar þú safnar persónuupplýsingum frá einstaklingnum — tengiliðseyðublað, greiðsluferli, áskrift að fréttabréfi. Upplýsingarnar verða að vera gefnar á þeim tíma Gögnunum er aflað: áður en eyðublaðið er sent inn, ekki eftir það.
• 14. gr. GDPR á við þegar gögnin komu annars staðar frá — gagnamiðlara, opinberri skrá, gagnasöfnun, samstarfsaðila, vinnuveitanda. Þú verður að upplýsa einstaklinginn innan hæfilegs tíma og í síðasta lagi innan eins mánaðar, eða við fyrstu samskipti við hann, eða þegar gögnin eru fyrst afhent öðrum viðtakanda, hvort sem kemur á undan.

14. gr. inniheldur fáar undantekningar — einstaklingurinn hefur þegar upplýsingarnar, það er ómögulegt að upplýsa þær eða það myndi fela í sér óhóflega fyrirhöfn, öflun eða miðlun upplýsinga er sérstaklega kveðið á um í lögum eða upplýsingarnar falla undir þagnarskyldu. Þessar undantekningar eru þröngar. „Óþægilegt“ er ekki óhófleg fyrirhöfn og fyrirtæki sem kaupir eða skráir tengiliðaupplýsingar og segir engum frá því treystir á undantekningu sem er ekki til.

12. gr. GDPR kveður á um hvernig : upplýsingar eru hnitmiðaðar, gagnsæjar, skiljanlegar, aðgengilegar og á skýru og einföldu máli.

Skylduefni, liður fyrir lið

Þetta er ekki matseðill. Yfirlýsing sem vantar einn af þessum atriðum telst ófullkomin samkvæmt lögum.

Þrjú verðskulda nánari skoðun, því það er þar sem athygli AP beinist.

Viðtakendur og vandamálið með „samstarfsaðila“

13. og 14. gr. GDPR leyfa viðtakendur eða flokka viðtakenda. Það er raunverulegt val, en flokkur verður að þýða eitthvað. „Samstarfsaðilar okkar“ er ekki flokkur; það er synjun á að svara. „Greiðsluþjónustuaðili okkar, hýsingaraðili okkar í Þýskalandi, tölvupóstmarkaðssetningarvettvangur okkar í Bandaríkjunum og auglýsinganetin sem nefnd eru í vafrakökuyfirlýsingu okkar“ er það. Ef þú getur ekki lýst viðtakanda án þess að vera óljós, þá veistu líklega ekki hver hefur gögnin - stærra vandamál.

Varðveisla þar sem ekki er hægt að tilgreina tímafrest

Persónuverndarreglugerðin viðurkennir að ekki sé alltaf hægt að gefa upp fjölda daga, og þess vegna heimilar 13. gr. viðmiðin sem notuð eru til að ákvarða tímabilið í staðinn. Það sem hún leyfir ekki er að svara ekki. Í ákvörðun sinni frá 11. desember 2023 um að sekta Uber Technologies Inc. og Uber BV um 10,000,000 evrur komst AP að þeirri niðurstöðu að í yfirlýsingunni kom fram að gögn yrðu geymd eins lengi og nauðsyn krefði, sem hún taldi of almennt. Nothæft viðmið er „á meðan samningurinn gildir og sjö ár eftir síðustu viðskipti, í samræmi við hollensk skattalög“.

Alþjóðlegir millifærslur

Að segja að gögn „heimili að vera flutt út fyrir Evrópska efnahagssvæðið“ segir lesandanum ekkert. Afstaða AP í sömu Uber-ákvörðun var sú að nefna ætti áfangalöndin og tilgreina verndarráðstafanirnar — ákvörðun um fullnægjandi gögn, staðlaðar samningsákvæði, bindandi fyrirtækjareglur — um hvernig hægt væri að fá afrit. Fyrirtæki sem nota bandarískar greiningar, CRM eða skýhýsingu eru að flytja; eina spurningin er hvort yfirlýsingin viðurkenni það.

Kröfur um eyðublað

12. gr. GDPR setur staðal sem auðvelt er að setja fram og hefur oft brugðist:

• Hnitmiðað og gagnsætt — sett fram á skilvirkan hátt og greinilega aðskilið frá skilmálum. Að fela það í almennum skilmálum er ekki í samræmi við ákvæði reglugerðarinnar.
• Skiljanlegt — skiljanlegt fyrir meðaláhorfendur. Yfirlýsing sem er skrifuð fyrir bandaríska lögfræðinga er ekki skiljanleg fyrir hollenska neytendur, og það sama á við um yfirlýsingu sem er eingöngu á ensku á hollenskumælandi vefsíðu.
• Auðvelt aðgengilegt — lesandinn ætti ekki að þurfa að leita. Í evrópskum leiðbeiningum er litið svo á að þetta þurfi að vera strax augljóst: bein tengill frá hverri síðu, samhengisbundinn tengill þar sem efnið er safnað og í appi í mesta lagi nokkurra snertinga fjarlægð.
• Skýrt og einfalt tungumál — áþreifanlegt og afdráttarlaust frekar en óhlutbundið. Evrópskar leiðbeiningar draga fram hugtök eins og „gæti“, „gæti“ og „mögulegt“ og fjalla um „við gætum notað persónuupplýsingar þínar til að þróa nýjar þjónustur“ eða „í rannsóknarskyni“ sem dæmi um hvað eigi ekki að skrifa.

Þegar þjónusta er ætluð börnum, eða þú veist að börn nota hana mikið, þá krefst 12. gr. þess að orðaforði, tónn og stíll sé aðlagað þannig að barn geti skilið hana. Í Hollandi kemur þetta snemma í ljós: samkvæmt 5. gr. Uitvoeringswet AVG er sextán ára aldur, sem er hæsti aldur sem GDPR leyfir, sem samþykki foreldra þarf fyrir þjónustu upplýsingasamfélagsins sem boðin er barni beint. Yfirlýsing sem skrifuð er fyrir fullorðna um þjónustu sem fjórtán ára börn nota fellur ekki undir rétt barnsins til að fá upplýsingar og réttur barnsins til að fá upplýsingar fellur ekki niður með því að upplýsa foreldrið.

Lagskipt nálgun, rétt framkvæmd

Lagskipting er ráðlögð lausn á spennunni milli heildstæðni og læsileika, og bæði AP og evrópskar leiðbeiningar styðja hana. Ef rétt er gert inniheldur fyrsta lagið auðkenni ábyrgðaraðilans, tilganginn, vinnsluna sem hefur mest áhrif eða getu til að koma á óvart og hvernig á að nýta réttindi sín — með fullum texta í einu smelli sem eitt skjal.

Ef það er gert á rangan hátt verður það leið til að fela hluti. Lög mega ekki stangast á við hvert annað, allar upplýsingar verða að vera aðgengilegar á einum stað og ekkert má lækka í tign vegna þess að það er vandræðalegt. Ef vinnsla kæmi lesandanum á óvart, þá er það rök fyrir fyrsta laginu, ekki því fjórða.

Þar sem persónuverndaryfirlýsingar bregðast

Endurteknu mistökin eru fá og fyrirsjáanleg.

• Óljós tilgangur og óupplýst miðlun. „Til að bæta þjónustu okkar“ lýsir engu og „við gætum deilt gögnum þínum með völdum samstarfsaðilum“ er algengasti gallinn af öllum – hann hylur venjulega auglýsingatækni. Prófið er hvort lesandi geti séð hvað verður um gögnin hans og ákveðið hvort hann hafi á móti því.
• Yfirlýsing sem stangast á við það sem vefurinn segir. Þetta breytir pappírsvandamáli í framfylgdarvandamál. Í yfirlýsingunni segir að engar rakningarkökur séu settar inn án samþykkis á meðan merkjastjórinn virkjar við hleðslu síðu; segir að gögn séu geymd í ESB á meðan þjónustuborðið keyrir á bandarískum vettvangi. Eftirlitsaðili þarf ekki að lesa yfirlýsinguna vandlega til að komast að þessu. Hann þarf að opna netflipann.
• Afritaða yfirlýsingin. Stefna sem tekin er frá samkeppnisaðila lýsir vinnslu samkeppnisaðilans: hún nefnir viðtakendur sem þú notar ekki, sleppir þeim sem þú notar og tilgreinir varðveislutímabil sem þú fylgir ekki. Þetta er safn rangra fullyrðinga um fyrirtæki þitt.

Persónuverndaryfirlýsingin er ekki tilkynning um vafrakökur

Þetta eru tvær skyldur samkvæmt tveimur skjölum, og að sameina þær er áreiðanleg leið til að uppfylla hvoruga.

Vafrakökur og sambærilegar aðferðir eru stjórnaðar í Hollandi af 11.7a. gr. Telecommunicatiewet, sem innleiðir tilskipunina um rafræna friðhelgi einkalífsins. Allir sem geymir upplýsingar á eða nálgast upplýsingar sem geymdar eru í endabúnaði notanda verða að gefa skýrar og fullkomnar upplýsingar og fá samþykki, með þröngum undantekningum fyrir það sem er stranglega nauðsynlegt til að senda samskiptin eða veita þjónustuna sem óskað er eftir. Þetta gildir um lestur eða ritun á tækið , hvort sem um persónuupplýsingar er að ræða eða ekki. GDPR gildir um hvað þú gerir síðan við allar persónuupplýsingar sem af því hlýst.

Þannig að: borðinn er þar sem samþykki er veitt eða hafnað; í vafrakökuyfirlýsingunni eru vafrakökurnar tilgreindar, tilgangur þeirra og gildistíma; í persónuverndaryfirlýsingunni er útskýrt hvernig persónuupplýsingar eru unnin. Persónuverndaryfirlýsing getur ekki aflað samþykkis og borði getur ekki brotið gegn ákvæðum 13. og 14. gr. Vísaðu til þeirra og hafðu þau í samræmi.

AP hefur verið virkt hér. Þann 30. apríl 2025 tilkynnti það skipulagða vöktun á hollenskum fótsporaborðum og skrifaði til fyrstu fimmtíu stofnana þar sem lýst var áætlun sem nær yfir nokkur hundruð vefsíður á ári. Þann 11. nóvember 2025 greindi það frá því að meira en 200 vefsíður hefðu verið varað við, um það bil þrír fjórðu hefðu aðlagað sig og hefði hafið rannsókn á restinni. Formerktir reitir, auka smell til að hafna og faldir valkostir eru þau mynstur sem það nefnir.

Búa til yfirlitið úr skránni, ekki frá samkeppnisaðila

Samkvæmt 30. gr. GDPR eru flestar stofnanir skylt að halda skrá yfir vinnslustarfsemi — svokölluðu „ verwerkingsregister“ . Fyrir hverja starfsemi er þar skráð tilgangur, flokkar skráðra einstaklinga og persónuupplýsingar, viðtakendur, þar á meðal þeir sem eru í þriðju löndum, verndarráðstafanir varðandi millifærslu og varðveislutímabil. Þegar viðtakandi er vinnsluaðili ættu sömu staðreyndir þegar að koma fram í vinnslusamningi við þann aðila, sem gerir það mun auðveldara að halda skrá og yfirlýsingu samræmdum.

Berið það saman við töfluna hér að ofan: skörunin er nánast algjör. Skráin er staðreyndaskráin; persónuverndaryfirlýsingin er opinber birting hennar. Í þeirri röð er yfirlýsingin nákvæm í eðli sínu og helst nákvæm, því að uppfærsla á skránni uppfærir heimildina. Skrifuð öfugt, þá reka þessi tvö í sundur - og eftirlitsaðili sem biður um skrána og les vefsíðuna sér bilið.

Að halda því uppfærðu

Persónuverndaryfirlýsing lýsir virku kerfi, þannig að það verður úrelt í hvert skipti sem það breytist: nýtt greiningartól, nýtt CRM-kerfi, nýr vinnsluaðili erlendis, nýtt tilgangur fyrir gögn sem þegar eru geymd.

Tvær reglur fylgja. Breyting á vinnslu er breyting á yfirlýsingunni og hana ætti að endurskoða áður en breytingin tekur gildi. Og efnisleg breyting verður að vera virk miðluð: Evrópskar leiðbeiningar eru staðfastar um að það sé ekki aðeins ófullnægjandi heldur ósanngjarnt að láta einstaklinga taka eftir breyttri stefnu sjálfir. Efnislegar breytingar - nýtt tilgang, breytingar á ábyrgðaraðila, breyting á því hvernig réttindi eru nýtt - ættu að vera tilkynntar fólki með tölvupósti eða tilkynningu á staðnum, nógu snemma til að það geti afturkallað samþykki eða mótmælt. Innsláttarvilla þarf ekki tilkynningu. Nýr tilgangur þarf það.

Útgáfudagsettu yfirlýsinguna og geymdu fyrri útgáfur. Ef þú þarft að sýna það sem þú sagðir viðskiptavini árið 2024, þá dugar ódagsett virkt vefsíða ekki til þess.

Fyrirtæki stofnuð utan ESB

Fyrirtæki án starfsstöðvar innan ESB fellur undir 3. gr. GDPR ef það býður upp á vörur eða þjónustu til fólks innan ESB eða fylgist með hegðun þeirra þar. Aðgengi að vefsíðu eingöngu er ekki nóg; það sem skiptir máli eru sönnunargögn um markmiðssetningu - hollensk útgáfa, evrópsk verðlagning, afhending til Hollands, .nl lén, hollenskar auglýsingar. Hegðunarvöktun gesta innan ESB er sjálfstæð kveikja.

Ef 3. gr. á við, þá krefst 27. gr. GDPR almennt fulltrúa í Sambandinu, sem hefur staðfestu í aðildarríki þar sem viðkomandi skráðir aðilar eru, og hvers persónuupplýsingar og tengiliðaupplýsingar eiga að vera tilgreindar í persónuverndaryfirlýsingunni. Undantekningin er þröng: vinnsla sem er einstaka, felur ekki í sér stórfelld gögn í sérstökum flokkum og ólíkleg er til að leiða til áhættu. Netverslun sem selur stöðugt á hollenska markaðnum telst ekki einstaka.

Lögreglan í Bandaríkjunum hefur framfylgt þessu eingöngu og sektað Locatefamily.com um 525,000 evrur fyrir að hafa ekki tilnefnt fulltrúa frá ESB. Ákvörðunin er dagsett 10. desember 2020 og var birt af lögreglunni 12. maí 2021; samhliða sektinni var lagt á fyrirmæli um að fulltrúinn skyldi tilnefndur. Brotið var gegn 27. gr. í samhengi við 3. gr. GDPR. Síðan hafði enga starfsstöð í ESB og starfsstöð hennar var aldrei staðfest með vissu, sem kom ekki í veg fyrir sektina - sem er merki fyrir alla rekstraraðila utan ESB sem gera ráð fyrir að fjarlægð jafngildi friðhelgi.

Enforcement

Samkvæmt 6. gr. Uitvoeringswet AVG er Autoriteit Persoonsgegevens hollenska eftirlitsstofnunin. Heimildir hennar koma frá 58. gr. GDPR — viðvörunum, áminningum, fyrirmælum, takmörkunum á vinnslu — og 83. gr. GDPR flokka brot á 12., 13. og 14. gr. í hærra þrep stjórnsýslusekta : allt að 20 milljónum evra eða 4% af heildarársveltu um allan heim, hvort sem er hærra.

Persónuverndarstofnunin lítur á upplýsingaskylduna sem sjálfstætt brot, ekki neðanmálsgrein. Sektin upp á 10,000,000 evra á Uber frá 11. desember 2023 byggðist á 12. og 13. gr. GDPR — varðveisla upplýsinga of almenn, flutningsstaðir ekki nefndir, rétturinn til gagnaflutnings ekki nefndur sem slíkur. Persónuverndarstofnunin lýsti andmælum Uber við þeirri sekt ógrundaðri 8. maí 2026 og Uber hefur höfðað málið fyrir dómstóla, þannig að ákvörðunin stendur í bili án þess að vera endanlega úrskurðuð. Það er sekt fyrir það sem persónuverndaryfirlýsing sagði ekki. Sérstaklega, þann 22. júlí 2024, lagði Persónuverndarstofnunin á Uber 290,000,000 evra sekt fyrir að flytja gögn ökumanna til Bandaríkjanna án gilds flutningstóls, sem tilkynnt var um 26. ágúst 2024.

Áhættan til skamms tíma er meiri en venjulega. Þann 14. október 2025 valdi Evrópska persónuverndarráðið gagnsæi og upplýsingaskyldur sem efni fimmtu samræmdrar framkvæmdaraðgerðar sinnar og hóf hana 19. mars 2026 með þátttöku tuttugu og fimm persónuverndaryfirvalda, sem beinist eingöngu að 12., 13. og 14. gr. GDPR. Þessi yfirvöld nálgast ábyrgðaraðila úr öllum geirum, annaðhvort með framkvæmdaraðgerðum eða með staðreyndakönnun, með eftirfylgni þar sem niðurstöður réttlæta það; niðurstöður eru deilt og safnað saman á seinni hluta ársins 2026 og sameinaðar í skýrslu til samþykktar stjórnarinnar. Þátttaka er valfrjáls og stjórnin hefur ekki birt hvaða yfirvöld gengu til liðs við hana, þannig að engar ályktanir ættu að vera gerðar um Autoriteit Persoonsgegevens. Málið gildir óháð því: gagnsæi er þema evrópskrar framkvæmdar í þessari lotu og yfirlýsing sem hefur ekki verið lesin upp gegn fyrirtækinu síðan hún var samin er einmitt sú tegund skjals sem lifir ekki af spurninguna.

Law & More Ráðleggur hollenskum og erlendum fyrirtækjum varðandi upplýsingaskyldu samkvæmt 12. til 14. gr. GDPR: fer yfir núverandi persónuverndarskýrslu gagnvart skrá yfir vinnslustarfsemi, drög að henni frá grunni og svarar spurningum eða rannsóknum frá Autoriteit Persoonsgegevens. Ef þú vilt að yfirlýsing þín verði yfirfarin áður en einhver annar yfirfarir hana, vinsamlegast hafðu samband.