Nederlandsk personvernlovgivning: dine GDPR-rettigheter og hvordan du håndhever dem

Nederlandsk personvernlovgivning består av EUs personvernforordning (GDPR, AVG på nederlandsk) og den nederlandske implementeringsloven av GDPR (Uitvoeringswet AVG, UAVG). Den gir deg seks hovedrettigheter overfor enhver organisasjon som oppbevarer dine personopplysninger, for eksempel tilgang og sletting. Organisasjonen må svare innen én måned, men den kan nekte dersom den har et annet juridisk grunnlag for å oppbevare eller bruke dataene.

Den nederlandske databeskyttelsesmyndigheten (Autoriteit Persoonsgegevens, AP) fører tilsyn med samsvar. Hvis en organisasjon ikke respekterer dine rettigheter, kan du klage til AP, gå til retten eller kreve erstatning i henhold til artikkel 82 i GDPR.

Hvilke regler gjelder i Nederland?

GDPR har trådt i kraft direkte siden 25. mai 2018, sammen med UAVG. UAVG fyller ut punktene GDPR overlater til nasjonal lov, som behandling av borgerservicenummer (BSN), helseopplysninger og straffeopplysninger.

Reglene gjelder for selskaper, foreninger og offentlige organer i Nederland, og for organisasjoner utenfor EU som tilbyr varer eller tjenester til personer i Nederland eller overvåker deres atferd (artikkel 3 i GDPR). Enhver behandlingsoperasjon trenger ett av de seks rettslige grunnlagene i artikkel 6 i GDPR, for eksempel samtykke, en kontrakt eller en legitim interesse.

Hvilke rettigheter har du?

GDPR gir deg seks rettigheter du kan bruke mot enhver organisasjon. Det koster deg i prinsippet ingenting å utøve dem (artikkel 12(5) i GDPR).

• Tilgang (artikkel 15 i GDPR): en kopi av dataene dine, samt formål, mottakere, oppbevaringsperiode og kilde.
• Rettelse (artikkel 16 i GDPR): korrigering av uriktige eller ufullstendige data.
• Sletting (artikkel 17 i GDPR): sletting når dataene ikke lenger er nødvendige, samtykket trekkes tilbake eller behandlingen var ulovlig.
• Begrensning (artikkel 18 i GDPR): en frysing av behandlingen mens en tvist om nøyaktighet eller lovlighet løses.
• Dataportabilitet (artikkel 20 i GDPR): dataene du oppga, i et brukbart format, for å ta dem med til en annen leverandør.
• Innsigelse (artikkel 21 i GDPR): en opphør av behandling basert på legitim interesse, med mindre organisasjonen har tungtveiende grunner; for direkte markedsføring er innsigelsen absolutt.

Hvordan fremmer man en forespørsel som er vanskelig å avslå?

Send forespørselen din skriftlig, oppgi navnet på artikkelen du støtter deg på, og ta vare på beviset for at du har sendt den. Organisasjonen må svare innen én måned. For komplekse eller mange forespørsler kan den forlenge dette med ytterligere to måneder, men den må gi deg beskjed om dette innen den første måneden (artikkel 12(3) i GDPR).

Organisasjonen kan be om bevis på identitet hvis den har rimelig tvil om hvem du er. Ikke send en fullstendig kopi av passet ditt; dekk til bildet ditt og BSN-nummeret ditt, fordi en privat organisasjon ikke kan behandle BSN-nummeret ditt uten lovfestet grunnlag i henhold til UAVG.

Når kan en organisasjon nekte?

En organisasjon kan nekte sletting dersom den er loven om å oppbevare dataene. Et tydelig eksempel er den nederlandske skatteregelen om at bedrifter oppbevarer registrene sine i syv år (artikkel 52 i den generelle skatteloven, AWR).

Andre grunner for avslag er andres rettigheter (for eksempel en vitneforklaring i en HR-mappe), en forespørsel som er åpenbart grunnløs eller overdreven (artikkel 12(5) i GDPR), og unntakene i artikkel 41 i UAVG, som for eksempel forebygging og etterforskning av straffbare handlinger. En avslag må være begrunnet og må informere deg om at du kan klage til AP og gå til retten.

Hva kan du gjøre hvis rettighetene dine ikke blir respektert?

Du har tre ruter som du kan kombinere. Valget avhenger av om du ønsker en avgjørelse, en ordre eller penger.

• Klage til AP (artikkel 77 i GDPR): Det koster ingenting; AP bestemmer om de skal etterforske og kan ilegge en ordre eller en bot.
• Rett: Mot en privat organisasjon sender du inn en begjæring (verzoekschrift) til tingretten i henhold til UAVG. Mot et offentlig organ er svaret på forespørselen din en avgjørelse (besluit) i henhold til den generelle forvaltningsrettsloven (Awb), som du kan anke ved å sende inn en innsigelse (bezwaar) innen seks uker.
• Erstatning (artikkel 82 i GDPR): for materiell og ikke-materiell skade. EU-domstolen slo fast i Österreichische Post (EU-domstolen 4. mai 2023, C-300/21) at et brudd alene ikke er nok; du må vise faktisk skade, men det finnes ingen minimumsgrense for alvorlighetsgrad.

I hastesaker, for eksempel når dataene dine publiseres på nett, kan du be foreløpig rettshjelper (voorzieningenrechter) i summarisk prosess (kort geding) om en stansordre.

Hva krever GDPR av organisasjoner?

Organisasjoner må kunne vise at de overholder prinsippene i artikkel 5 i GDPR, som formålsbegrensning, dataminimering og lagringsbegrensning. Dette er ansvarlighetsprinsippet.

Et brudd på personopplysninger som utgjør en risiko må rapporteres til AP innen 72 timer etter at det ble oppdaget (artikkel 33 i GDPR). Bøter kan oppgå til 20 millioner euro eller 4 % av den globale årlige omsetningen, avhengig av hva som er høyest (artikkel 83 i GDPR). For spesielle kategorier som biometriske data gjelder strengere regler; se vår artikkel om biometriske data og GDPR-samsvar.

Hva bør du sjekke som privatperson?

En godt forberedt forespørsel sparer uker. Sjekk disse punktene før og etter at du sender den.

• Send forespørselen skriftlig til organisasjonens personvernkontakt eller personvernombud, og ta vare på datoen.
• Oppgi hvilken rettighet du bruker og hvilken GDPR-artikkel den hviler på.
• Overhold fristen på én måned i henhold til artikkel 12(3) i GDPR.
• Sjekk om svaret inkluderer formål, mottakere, oppbevaringsperiode og kilde, slik artikkel 15 GDPR krever.
• Hvis svaret er et avslag, sjekk om det er oppgitt begrunnelse og om AP og retten er nevnt.

Hva bør dere som organisasjon sjekke?

De fleste klager til AP starter med en forespørsel som ble besvart sent eller ufullstendig. Disse kontrollene forhindrer det.

• Har dere en prosedyre som registrerer hver forespørsel og fristen på én måned?
• Kan dere finne alle data om én person på tvers av systemene deres, inkludert e-post og sikkerhetskopier?
• Er hver behandlingsoperasjon i behandlingsregistrene dine (artikkel 30 i GDPR) knyttet til et rettslig grunnlag?
• Vet du hvilke lovbestemte oppbevaringsperioder som gjelder, for eksempel den sjuårige skatteoppbevaringsperioden?
• Kan man rapportere et datainnbrudd til AP innen 72 timer?

Hva kan vi gjøre for deg med databeskyttelse?

Vi gir råd til enkeltpersoner og bedrifter om GDPR som en del av vårt arbeid som IT-advokat.

• Vi utarbeider innsyns- eller slettingsforespørselen din og overvåker fristen på én måned.
• Vi vurderer et avslag og sender inn en klage til AP.
• Vi sender inn en begjæring til tingretten eller en innsigelse mot et offentlig organ.
• Vi beregner og krever erstatning i henhold til artikkel 82 i GDPR.
• Vi oppretter en forespørsels- og datainnbruddsprosedyre for organisasjonen din.

Sammendrag

• Den nederlandske personvernloven er GDPR pluss den nederlandske implementeringsloven (UAVG), overvåket av Autoriteit Persoonsgegevens.
• Du har rett til innsyn, retting, sletting, begrensning, portabilitet og innsigelse; organisasjonen må svare innen én måned.
• En organisasjon kan nekte dersom den har et annet rettslig grunnlag, for eksempel den syvårige skatteoppbevaringsperioden.
• Hvis rettighetene dine ikke respekteres, kan du klage til AP, gå til retten eller kreve erstatning i henhold til artikkel 82 i GDPR.

Ofte stilte spørsmål