Personvernadvokat

Råd eller saksbehandling? Be om et gratis introduksjonsmøte.

Vi hjelper bedrifter og organisasjoner i Nederland med å overholde GDPR og handle raskt når noe går galt. Som personvernadvokat utarbeider vi personvernregler og behandlingsavtaler, gir råd om datainnbrudd og bistår i kontakt med den nederlandske datatilsynet (Autoriteit Persoonsgegevens). Vi jobber på engelsk og nederlandsk. Det første trinnet er et gratis introduksjonsmøte der vi kartlegger dataflyten og risikoene dine.

Klientenes vurdering Law & More 9.6 av 10 på Kundehistorier, den nederlandske anmeldelsesplattformen (81 anmeldelser, per oktober 2026).

Hva kan vi hjelpe deg med?

du trenger en personvernerklæring for nettstedet, appen eller de ansatte;
en leverandør eller kunde ber deg om å signere en databehandleravtale;
du har et datainnbrudd og må innen 72 timer bestemme deg for om du vil varsle;
en kunde eller ansatt sender inn en forespørsel om tilgang eller sletting;
du ønsker å dele data med en partner eller overføre data utenfor EØS-området;
du planlegger kameraovervåking, biometrisk adgangskontroll eller ansattovervåking;
Det nederlandske datatilsynet har startet en etterforskning eller ilagt en bot.

Hva krever GDPR av bedriften din?

GDPR krever at du kun behandler personopplysninger for et bestemt formål og på et gyldig rettslig grunnlag, og at du kan bevise samsvar. Den gjelder for alle organisasjoner i EU som behandler personopplysninger, uavhengig av størrelse.

Personvernforordningen (GDPR, på nederlandsk: AVG) har gjeldt siden 25. mai 2018. I Nederland er den supplert av implementeringsloven for GDPR (UAVG). Artikkel 6 lister opp seks rettslige grunnlag, som samtykke, oppfyllelse av en kontrakt og legitim interesse. Artikkel 5 legger til prinsipper som dataminimering og lagringsbegrensning.

I praksis trenger de fleste bedrifter minst disse dokumentene:

en personvernerklæring som informerer folk om behandlingen din (artikkel 13 og 14);
en oversikt over behandlingsaktiviteter (artikkel 30), som er obligatorisk for de fleste organisasjoner med ansatte;
behandlingsavtaler med leverandører som håndterer personopplysninger for deg (artikkel 28);
en konsekvensanalyse av personvern (DPIA) for behandling med høy risiko (artikkel 35);
en intern prosedyre for datainnbrudd og forespørsler fra registrerte.

Et personvernombud er obligatorisk for offentlige organer og for organisasjoner hvis kjernevirksomhet innebærer storskala overvåking eller spesielle kategorier av data (artikkel 37).

Når trenger du en databehandleravtale?

Du trenger en databehandleravtale når en leverandør behandler personopplysninger på dine vegne. Eksempler er en lønnsleverandør, skyvert eller SaaS-plattform. Artikkel 28 i GDPR angir hva avtalen minst må inneholde.

Avtalen registrerer behandlingens emne, varighet, art og formål, datatyper og sikkerhetstiltak. Den dekker også underdatabehandlere, bistand med forespørsler fra registrerte og sletting eller retur av data på slutten. Mange leverandører tilbyr en standardversjon. Sjekk den, fordi ansvar og revisjonsrettigheter ofte er utformet i leverandørens favør.

Ikke alle leverandører er databehandlere. En part som bestemmer sine egne formål, for eksempel en regnskapsfører eller en bank, er ofte en separat behandlingsansvarlig. Artikkelen vår om behandlingsansvarliges og databehandlerroller forklarer forskjellen.

Hva må du gjøre etter et datainnbrudd?

Du må varsle den nederlandske datatilsynsmyndigheten innen 72 timer etter at du har blitt oppmerksom på et brudd på personopplysninger, med mindre bruddet sannsynligvis ikke vil medføre en risiko for enkeltpersoner. Hvis risikoen er høy, må du også informere de berørte personene uten unødig forsinkelse.

Disse pliktene følger av artikkel 33 og 34 i GDPR. Et brudd er bredere enn et hacking: en e-post til feil mottaker, en mistet bærbar PC eller løsepengevirus teller alle. Varsle via nettskjemaet til Autoriteit Persoonsgegevens . Hvis du ikke har alle fakta ennå, varsle i tide og suppler senere.

Trinn	Deadline
Inneslut bruddet og sikre bevisene	Umiddelbart
Vurder risikoen for enkeltpersoner	Innen timer
Varsle den nederlandske databeskyttelsesmyndigheten	Innen 72 timer etter bevissthet
Informer berørte personer hvis risikoen er høy	Uten unødig forsinkelse
Registrer bruddet i ditt interne register	Alltid, også hvis du ikke varsler

En databehandler må informere deg om et brudd uten unødig forsinkelse. Avtal en konkret periode i databehandleravtalen, for eksempel 24 eller 48 timer.

Hvordan forholder dere dere til det nederlandske datatilsynet?

Autoriteit Persoonsgegevens fører tilsyn med samsvar med GDPR i Nederland og kan ilegge pålegg og administrative bøter. Bøtene kan nå 20 millioner euro eller 4 prosent av den globale årlige omsetningen, avhengig av hva som er høyest (artikkel 83 i GDPR).

En etterforskning starter vanligvis med en skriftlig forespørsel om informasjon. Svar nøyaktig og i tide, og sørg for at dokumentasjonen du gir er konsistent. Før et forelegg får du muligheten til å gi ditt syn. Mot et forelegg kan du fremme en innsigelse til myndigheten og deretter anke til tingretten. Siden vår om forvaltningsrett forklarer innsigelse og anke.

Enkeltpersoner kan også holde deg ansvarlig for skade forårsaket av et GDPR-brudd (artikkel 82). De kan også klage til myndigheten om deg.

Hvordan fungerer det å jobbe med Law & More arbeide?

Innledende møte: du forklarer organisasjonen eller hendelsen din, og vi identifiserer de presserende punktene.
Rådgivning og kostnadsoverslag: Vi vurderer dataflyten, dokumentene og risikoene dine, og gir et kostnadsoverslag.
Tilnærming og forhandling: Vi utarbeider eller gjennomgår retningslinjer og avtaler, og håndterer kontakt med leverandører, registrerte eller myndigheter.
Saksbehandling eller fullføring: Vi avslutter med en samsvarsfil, eller bistår med innsigelser og anker på en avgjørelse.

Hva koster en personvernadvokat?

Vår timepris er 250 til 350 euro eksklusive mva. for en advokat og 300 til 400 euro eksklusive mva. for en partner. Vi diskuterer prisen og et estimat på forhånd. Det innledende møtet er gratis. Et engangs rådgivningsmøte uten ytterligere bistand koster 300 euro inkludert mva.

Eksterne kostnader, som rettsgebyrer, belastes separat. Rettshjelp finnes via Rettshjelpsnemnda (Raad voor Rechtsbijstand), men vi jobber ikke på det grunnlaget.

Hvem håndterer saken din?

Personvern og GDPR-saker håndteres av Aylin Acar . Du kan se hele teamet på teamsiden vår . For IT-kontrakter og cybersikkerhet, se også siden vår for IT-advokater.

Ofte stilte spørsmål

Innen hvilken periode må jeg rapportere et datainnbrudd?

Du må rapportere et brudd på personopplysninger til den nederlandske datatilsynet innen 72 timer etter at du ble oppmerksom på det, i henhold til artikkel 33 i GDPR. Det er ikke nødvendig med varsling dersom bruddet sannsynligvis ikke vil medføre en risiko for enkeltpersoner. Alle brudd må registreres internt, inkludert de du ikke rapporterer.

Må en liten bedrift også overholde GDPR?

Ja. GDPR gjelder for alle bedrifter som behandler personopplysninger, inkludert enkeltpersonforetak. Noen forpliktelser er lettere for små organisasjoner, for eksempel registrering av behandlingsaktiviteter i begrensede tilfeller. En personvernerklæring, behandlingsavtaler og en prosedyre for brudd på personopplysninger er nødvendig uavhengig av størrelse.

Hvor raskt må jeg svare på en tilgangsforespørsel?

Du må svare uten unødig forsinkelse og innen én måned etter mottakelsen, i henhold til artikkel 12 i GDPR. For komplekse eller mange forespørsler kan du forlenge dette med ytterligere to måneder, forutsatt at du informerer personen innen den første måneden. Selve tilgangen er vanligvis gratis.

Når bør jeg kontakte en personvernadvokat?

Kontakt en personvernadvokat før du starter høyrisikobehandling, for eksempel ansattovervåking eller biometri, og når du signerer viktige behandlingsavtaler. Ved et datainnbrudd, kontakt oss umiddelbart, fordi 72-timersperioden løper fra det øyeblikket du blir oppmerksom på det. Tidlig rådgivning er vanligvis billigere enn å reparere et brudd senere.

Kan jeg overføre personopplysninger til en leverandør utenfor EU?

Kun med en gyldig overføringsmekanisme. Det kan være en tilstrekkelighetsbeslutning fra EU-kommisjonen, eller standard kontraktsklausuler kombinert med en konsekvensvurdering av overføring. For sertifiserte amerikanske selskaper kan EU-US Data Privacy Framework tjene som grunnlag. Sjekk dette før du signerer, ikke etterpå.

Kan ansatte kreve erstatning for et GDPR-brudd?

Ja. I henhold til artikkel 82 i GDPR kan alle som lider skade som følge av et brudd kreve erstatning fra den behandlingsansvarlige eller databehandleren. Dette inkluderer ikke-materiell skade, men personen må vise faktisk skade. Nederlandske domstoler har tilkjent stort sett beskjedne beløp til enkeltpersoner. Stiftelser kan også anlegge kollektive søksmål på vegne av en stor gruppe mennesker, noe som øker den økonomiske risikoen for organisasjoner.

Er du i tvil om din situasjon? Fortell oss om din situasjon. Vi vil gi deg beskjed innen én virkedag om hvilke alternativer du har. Kontakt oss, ring +31 40 369 06 80 eller send e-post info@lawandmore.nl.

Law & More, Marconilaan 13, 5612 HM Eindhoven (+31 40 369 06 80) og besøkssted Pietersbergweg 291, 1105 BM Amsterdam (+31 20 369 71 21). Tilgjengelig mandag til fredag 08:00-22:00, lørdag og søndag 09:00-17:00.

Denne siden gir generell informasjon og erstatter ikke råd om din spesifikke situasjon.