GDPR og den hollandske implementeringslov (UAVG): hvad gælder?

Databeskyttelse i Holland hviler på to instrumenter: den generelle forordning om databeskyttelse (GDPR), som gælder direkte i hele EU, og den hollandske lov om implementering af GDPR (Uitvoeringswet AVG, UAVG), som kun udfylder de nationale valg, som forordningen lader stå åbne. UAVG udpeger også den hollandske databeskyttelsesmyndighed (Autoriteit Persoonsgegevens, AP) som tilsynsførende; den skaber ikke en lempeligere ordning.

Da forordningen er direkte gældende, er det selve GDPR, som din organisation skal overholde. UAVG er relevant, når der er truffet et nationalt valg, og det er præcis de punkter, som organisationer, der er aktive i flere medlemsstater, har en tendens til at overse.

Hvad tilføjer implementeringsloven?

Et begrænset antal nationale valgmuligheder. For informationssamfundstjenester, der tilbydes direkte til et barn, har Nederlandene fastholdt GDPR's standardalder på seksten i henhold til artikel 8 i GDPR, og artikel 5 i UAVG udvider denne regel: i andre situationer, hvor samtykke er grundlaget, skal et barn under seksten også have samtykke fra en forælder eller værge, som kan trække det tilbage når som helst.

UAVG fastsætter også undtagelser for særlige kategorioplysninger. Artikel 29 i UAVG tillader behandling af biometriske data med henblik på unik identifikation, hvor dette er nødvendigt af hensyn til autentificering eller sikkerhedsformål, en undtagelse, der anvendes til adgangskontrol- og loginsystemer. Artikel 31 til 33 i UAVG regulerer behandlingen af ​​strafferetlige data, og loven indeholder undtagelser for journalistik, forskning og arkivering.

Hvilke forpligtelser er relevante i praksis?

Fire ting tegner sig for det meste af arbejdet. For det første en fortegnelse over behandlingsaktiviteter i henhold til artikel 30 i GDPR: det dokument, som AP'en først beder om, og det dokument, der tvinger dig til at vide, hvad du rent faktisk er i besiddelse af. For det andet et retsgrundlag i henhold til artikel 6 i GDPR for hver behandlingsoperation, valgt bevidst i stedet for et samtykke, som kan trækkes tilbage når som helst.

For det tredje, en databehandleraftale med hver databehandler i henhold til artikel 28 i GDPR, og tilstrækkelige sikkerhedsforanstaltninger, når personoplysninger forlader Det Europæiske Økonomiske Samarbejdsområde. For det fjerde, en arbejdsprocedure for anmodninger fra registrerede og for anmeldelse af brud til AP inden for 72 timer i henhold til artikel 33 i GDPR.

Hvordan håndhæves GDPR?

Datatilsynet kan undersøge, pålægge foranstaltninger, pålægge behandlingsforbud og pålægge organisationer bøder. I henhold til artikel 83 i GDPR kan bøderne udgøre op til 10 millioner euro eller 2 % af den globale årlige omsætning for brud på administrative forpligtelser, og op til 20 millioner euro eller 4 % af omsætningen, alt efter hvad der er højest, for brud på kerneprincipperne, den registreredes rettigheder eller overførselsreglerne.

Enkeltpersoner kan også kræve erstatning i henhold til artikel 82 i GDPR, og siden ordningen for kollektive erstatninger (WAMCA) trådte i kraft i 2020, er kollektive søgsmål vedrørende databrud blevet en reel eksponering i Holland.

Hvad skal man som controller kontrollere?

• Er din fortegnelse over behandlingsaktiviteter (artikel 30 i GDPR) fuldstændig og aktuel?
• Har du dokumenteret et lovligt grundlag for hver behandlingsoperation?
• Er der en underskrevet databehandleraftale med hver databehandler?
• Kan man anmelde et brud til AP inden for 72 timer?
• Har du brug for en konsekvensanalyse af databeskyttelse (artikel 35 i GDPR) i forbindelse med højrisikobehandling?

Hvad skal du som databehandler kontrollere?

• Behandler I kun personoplysninger efter den dataansvarliges dokumenterede instruktioner (artikel 28 i GDPR)?
• Bruger I kun underdatabehandlere med den dataansvarliges godkendelse?
• Er jeres sikkerhedsforanstaltninger beskrevet og testet?
• Vil du underrette den dataansvarlige uden unødig forsinkelse efter et brud?

Hvad kan vi gøre for dig med GDPR-overholdelse?

Vores IT-advokater tager udgangspunkt i, hvad din organisation rent faktisk gør med data, ikke ud fra en skabelon. Vi kan:

• Udarbejd eller gennemgå din fortegnelse over behandlingsaktiviteter og din privatlivspolitik.
• Vurder det retlige grundlag for hver behandlingsoperation.
• Udarbejde og forhandle databehandleraftaler og overførselsklausuler.
• Vejlede dig gennem en konsekvensanalyse af databeskyttelse.
• Hjælp med en anmeldelse af brud til AP og med en AP-undersøgelse eller bøde.

Resumé

• GDPR fastsætter de materielle regler direkte; UAVG udfylder kun de nationale valg.
• Børn under seksten år skal have forældresamtykke, hvis samtykket er grundlaget (artikel 8 i GDPR og artikel 5 i UAVG).
• Artikel 29 i UAVG tillader biometriske data til autentificerings- eller sikkerhedsformål.
• En behandlingshistorik, et lovligt grundlag pr. operation, databehandleraftaler og en 72-timers procedure for brud på databeskyttelse tegner sig for det meste af compliance-arbejdet.
• Bøder i henhold til artikel 83 i GDPR kan udgøre op til 20 millioner euro eller 4 % af den globale omsætning; enkeltpersoner og grupper kan kræve erstatning separat.

Ofte stillede spørgsmål