GDPR og den nederlandske implementeringsloven (UAVG): hva gjelder?

Databeskyttelse i Nederland hviler på to instrumenter: personvernforordningen (GDPR), som gjelder direkte i hele EU, og den nederlandske implementeringsloven for GDPR (Uitvoeringswet AVG, UAVG), som kun fyller ut de nasjonale valgene som forordningen lar være åpne. UAVG utpeker også den nederlandske databeskyttelsesmyndigheten (Autoriteit Persoonsgegevens, AP) som tilsynsførende; den oppretter ikke et enklere regime.

Fordi forordningen er direkte anvendelig, er det selve GDPR det organisasjonen din må overholde. UAVG er viktig der det er tatt et nasjonalt valg, og det er nettopp disse punktene organisasjoner som er aktive i flere medlemsstater har en tendens til å overse.

Hva tilfører implementeringsloven?

Et begrenset antall nasjonale valg. For informasjonssamfunnstjenester som tilbys direkte til et barn, beholdt Nederland GDPRs standardalder på seksten i henhold til artikkel 8 i GDPR, og artikkel 5 i UAVG utvider denne regelen: i andre situasjoner der samtykke er grunnlaget, trenger et barn under seksten også samtykke fra en forelder eller verge, som kan trekke det tilbake når som helst.

UAVG setter også unntak for spesielle kategoridata. Artikkel 29 i UAVG tillater behandling av biometriske data for unik identifikasjon der dette er nødvendig for autentisering eller sikkerhetsformål, et unntak som brukes for tilgangskontroll- og innloggingssystemer. Artikkel 31 til 33 i UAVG regulerer behandling av kriminelle data, og loven inneholder unntak for journalistikk, forskning og arkivering.

Hvilke forpliktelser er viktige i praksis?

Fire ting står for mesteparten av arbeidet. For det første, en oversikt over behandlingsaktiviteter i henhold til artikkel 30 i GDPR: dokumentet AP ber om først, og det som tvinger deg til å vite hva du faktisk har. For det andre, et rettslig grunnlag i henhold til artikkel 6 i GDPR for hver behandlingsoperasjon, valgt bevisst i stedet for å bruke samtykke som standard, som kan trekkes tilbake når som helst.

For det tredje, en databehandleravtale med hver databehandler i henhold til artikkel 28 i GDPR, og tilstrekkelige garantier når personopplysninger forlater Det europeiske økonomiske samarbeidsområdet. For det fjerde, en arbeidsprosedyre for forespørsler fra registrerte og for varsling av brudd til AP innen 72 timer i henhold til artikkel 33 i GDPR.

Hvordan håndheves GDPR?

AP kan etterforske, beordre tiltak, ilegge behandlingsforbud og bøtelegge organisasjoner. I henhold til artikkel 83 i GDPR kan bøter på opptil 10 millioner euro eller 2 % av den globale årlige omsetningen for brudd på administrative forpliktelser, og opptil 20 millioner euro eller 4 % av omsetningen, avhengig av hva som er høyest, for brudd på kjerneprinsippene, den registrertes rettigheter eller overføringsregler.

Enkeltpersoner kan også kreve erstatning i henhold til artikkel 82 i GDPR, og siden ordningen med kollektive erstatninger (WAMCA) trådte i kraft i 2020, har kollektive søksmål om datainnbrudd blitt en reell eksponering i Nederland.

Hva bør du sjekke som kontrollør?

• Er din oversikt over behandlingsaktiviteter (artikkel 30 i GDPR) fullstendig og oppdatert?
• Har du dokumentert et lovlig grunnlag for hver behandlingsoperasjon?
• Finnes det en signert behandlingsavtale med hver databehandler?
• Kan du varsle AP om et sikkerhetsbrudd innen 72 timer?
• Trenger du en konsekvensutredning for personvern (artikkel 35 i GDPR) for behandling med høy risiko?

Hva bør du sjekke som databehandler?

• Behandler dere personopplysninger kun i henhold til dokumenterte instruksjoner fra den behandlingsansvarlige (artikkel 28 i GDPR)?
• Bruker dere kun underdatabehandlere med den behandlingsansvarliges godkjenning?
• Er sikkerhetstiltakene dine beskrevet og testet?
• Vil du informere den behandlingsansvarlige uten unødig forsinkelse etter et brudd?

Hva kan vi gjøre for deg med samsvar med GDPR?

Våre IT-advokater tar utgangspunkt i hva organisasjonen din faktisk gjør med data, ikke en mal. Vi kan:

• Utarbeide eller gjennomgå din oversikt over behandlingsaktiviteter og personvernerklæring.
• Vurder det rettslige grunnlaget for hver behandlingsoperasjon.
• Utarbeide og forhandle databehandleravtaler og overføringsklausuler.
• Veilede deg gjennom en konsekvensanalyse av personvern.
• Bistå med varsling om brudd til AP og med etterforskning eller bot for AP.

Sammendrag

• GDPR setter de materielle reglene direkte; UAVG fyller bare ut de nasjonale valgene.
• Barn under seksten år trenger foreldresamtykke der samtykke er grunnlaget (artikkel 8 i GDPR og artikkel 5 i UAVG).
• Artikkel 29 i UAVG tillater biometriske data for autentiserings- eller sikkerhetsformål.
• En behandlingslogg, et lovlig grunnlag per operasjon, databehandleravtaler og en 72-timers bruddprosedyre står for mesteparten av compliance-arbeidet.
• Bøter i henhold til artikkel 83 i GDPR kan påløpe opptil 20 millioner euro eller 4 % av den globale omsetningen; enkeltpersoner og grupper kan kreve erstatning separat.

Ofte stilte spørsmål