Privatlivspolitik i Holland: hvad den skal indeholde i henhold til GDPR

I henhold til artikel 12, 13 og 14 i GDPR skal du fortælle folk, hvem du er, hvorfor og på hvilket retsgrundlag du behandler deres data, hvem der modtager dem, hvor længe du opbevarer dem, og hvilke rettigheder de har. På et websted er en privatlivspolitik ( privacyverklaring ) den praktiske måde at gøre det på. En erklæring kopieret fra en konkurrent eller en generator mislykkes normalt, og i 2026 valgte Det Europæiske Databeskyttelsesråd disse gennemsigtighedsforpligtelser som tema for en koordineret håndhævelsesaktion fra nationale tilsynsmyndigheder. I Holland er denne tilsynsmyndighed Autoriteit Persoonsgegevens (AP).

Hvor stammer pligten til at offentliggøre en privatlivspolitik fra?

Ingen artikel i GDPR har overskriften "privatlivspolitik". Erklæringen er blot den almindelige måde at opfylde en forpligtelse, som GDPR definerer anderledes – som individets ret til at blive informeret. Gennemsigtighed er et princip i artikel 5 i GDPR; artikel 12, 13 og 14 i GDPR gør det til en konkret liste over ting, du skal fortælle folk, og en standard for hvordan.

Opdelingen mellem artikel 13 og artikel 14 er vigtigere, end de fleste virksomheder er klar over.

• Kunst. 13 GDPR gælder, hvor du indsamler personoplysninger fra den enkelte — en kontaktformular, en betalingsmetode, en tilmelding til nyhedsbrevet. Oplysningerne skal gives på det tidspunkt Dataene indhentes: før formularen indsendes, ikke bagefter.
• Kunst. 14 GDPR gælder, hvor dataene stammer fra et andet sted — en datamægler, et offentligt register, en scrapet kilde, en partner, en arbejdsgiver. Du skal informere personen inden for en rimelig frist og senest inden for en måned, eller ved første kommunikation med dem, eller når dataene først videregives til en anden modtager, alt efter hvad der kommer først.

Artikel 14 indeholder et lille sæt undtagelser – personen har allerede oplysningerne, det er umuligt eller ville kræve en uforholdsmæssig stor indsats at informere dem, indhentelsen eller videregivelsen er udtrykkeligt fastsat ved lov, eller dataene er underlagt tavshedspligt. Disse er snævre. "Ubekvem" er ikke en uforholdsmæssig stor indsats, og en virksomhed, der køber eller scraper kontaktdata og aldrig fortæller det til nogen, benytter sig af en undtagelse, der ikke findes.

Artikel 12 i GDPR regulerer måden : præcis, transparent, forståelig, let tilgængelig og i et klart og enkelt sprog.

Hvad skal en privatlivspolitik indeholde?

Dette er ikke en menu. En erklæring, der mangler et af disse elementer, er ufuldstændig ifølge loven.

Tre punkter fortjener et nærmere kig, for det er der, AP's opmærksomhed lander.

Hvorfor er "vores partnere" ikke et godt nok svar på modtagere?

Artikel 13 og artikel 14 i GDPR tillader modtagere eller kategorier af modtagere. Det er et reelt valg, men en kategori skal betyde noget. "Vores partnere" er ikke en kategori; det er en afvisning af at svare. "Vores betalingstjenesteudbyder, vores hostingudbyder i Tyskland, vores e-mailmarketingplatform i USA og de annonceringsnetværk, der er nævnt i vores cookieerklæring", er det. Hvis du ikke kan beskrive en modtager uden vaghed, ved du sandsynligvis ikke, hvem der har dataene – et større problem.

Hvad hvis du ikke kan give en fast opbevaringsperiode?

GDPR accepterer, at et antal dage ikke altid kan gives, hvilket er grunden til, at artikel 13 i stedet tillader kriterierne til at bestemme perioden. Hvad den ikke tillader, er manglende svar. I en afgørelse fra 2023, der pålagde Uber Technologies Inc. og Uber BV en bøde på 10,000,000 euro, fandt AP netop dette: Erklæringen sagde, at data ville blive opbevaret så længe det var nødvendigt, hvilket den anså for at være for generelt. Et brugbart kriterium lyder "i kontraktens varighed og syv år efter den sidste transaktion, i overensstemmelse med hollandsk skattelovgivning".

Hvad skal der siges om overførsler uden for EØS?

At sige, at data "kan overføres uden for Det Europæiske Økonomiske Samarbejdsområde" siger læseren ingenting. I den samme Uber-sag var AP's holdning, at destinationslandene skulle navngives, og at sikkerhedsforanstaltningerne skulle identificeres – tilstrækkelighedsbeslutning, standardkontraktbestemmelser, bindende virksomhedsregler – med hensyn til, hvordan man får en kopi. Virksomheder, der bruger amerikansk analyse, CRM eller cloudhosting, overfører data; det eneste spørgsmål er, om udtalelsen indrømmer det.

Hvilken form skal udtalelsen have?

Artikel 12 i GDPR sætter en standard, der er let at formulere, og som ofte har fejlet:

• Kortfattet og gennemsigtig — præsenteret effektivt og klart adskilt fra vilkår og betingelser. At skjule det i de generelle vilkår er ikke i overensstemmelse med reglerne.
• Forståelig — forståelig for et gennemsnitligt medlem af den tiltænkte målgruppe. En erklæring skrevet til amerikanske advokater er ikke forståelig for hollandske forbrugere, og det er en erklæring kun på engelsk på et hollandsksproget websted heller ikke.
• Let tilgængeligt — læseren skal ikke behøve at lede. Europæisk vejledning behandler det som et krav om at være umiddelbart synligt: ​​et direkte link fra hver side, et kontekstuelt link på indsamlingsstedet og i en app højst et par tryk væk.
• Klart og klart sprog — konkret og definitivt snarere end abstrakt. Europæisk vejledning fremhæver ord som "kan", "muligvis" og "muligvis" og behandler sætninger som "vi kan bruge dine personoplysninger til at udvikle nye tjenester" eller "til forskningsformål" som eksempler på, hvad man ikke skal skrive.

Hvor en tjeneste er rettet mod børn, eller du ved, at børn bruger den i vid udstrækning, kræver artikel 12, at ordforråd, tone og stil tilpasses, så et barn kan forstå den. I Holland slår dette igennem tidligt: ​​I henhold til artikel 5 i Uitvoeringswet AVG (den hollandske GDPR-implementeringslov) er den alder, hvorunder forældres samtykke er påkrævet for informationssamfundstjenester, der tilbydes direkte til et barn, seksten, det højeste niveau, som GDPR tillader. En erklæring skrevet til voksne om en tjeneste, der anvendes af fjortenårige, bortfalder, og barnets egen ret til at blive informeret ophæves ikke ved at informere forælderen.

Hvordan fungerer en lagdelt privatlivspolitik?

Lagdeling er det anbefalede svar på spændingen mellem fuldstændighed og læsbarhed, og både AP og europæiske retningslinjer støtter det. Når det udføres korrekt, indeholder det første lag den dataansvarliges identitet, formålene, den behandling, der har den største effekt eller kapacitet til at overraske, og hvordan rettigheder udøves – med den fulde tekst et klik væk som et enkelt dokument.

Hvis det gøres forkert, bliver det en måde at skjule ting på. Lag må ikke modsige hinanden, den komplette information skal forblive tilgængelig ét sted, og intet må degraderes, fordi det er pinligt. Hvis en behandlingsoperation ville overraske læseren, er det et argument for det første lag, ikke det fjerde.

Hvor går privatlivserklæringerne galt?

De tilbagevendende fejl er få og forudsigelige.

• Vage formål og ikke-offentliggjort deling. "For at forbedre vores tjenester" beskriver ingenting, og "vi kan dele dine data med udvalgte partnere" er den mest almindelige mangel af alle - den skjuler normalt annonceteknologi. Testen er, om en læser kan se, hvad der sker med deres data, og afgøre, om de har noget imod det.
• En udtalelse, der modsiger webstedet. Dette forvandler et papirarbejdeproblem til et håndhævelsesproblem. Erklæringen siger, at der ikke placeres sporingscookies uden samtykke, mens tag manageren aktiveres ved sideindlæsning; den siger, at data forbliver i EU, mens supportdesken kører på en amerikansk platform. En regulator behøver ikke at læse erklæringen omhyggeligt for at finde dette. Den skal åbne fanen netværk.
• Den kopierede erklæring. En politik taget fra en konkurrent beskriver konkurrentens behandling: den navngiver modtagere, du ikke bruger, udelader dem, du bruger, og angiver opbevaringsperioder, du ikke overholder. Det er et sæt falske udsagn om din egen virksomhed.

Er en privatlivspolitik det samme som en cookiemeddelelse?

Nej. Dette er to forpligtelser i henhold til to instrumenter, og at sammenlægge dem er en pålidelig måde at overholde ingen af ​​dem på.

Cookies og sammenlignelige teknikker er i Holland reguleret af artikel 11.7a i Telecommunicatiewet, der implementerer e-databeskyttelsesdirektivet. Enhver, der lagrer oplysninger på eller tilgår oplysninger, der er lagret i en brugers terminaludstyr, skal give klare og fuldstændige oplysninger og indhente samtykke, med snævre undtagelser for, hvad der er strengt nødvendigt for at overføre kommunikationen eller levere den ønskede tjeneste. Dette regulerer handlingen med at læse eller skrive på enheden , uanset om der er tale om personoplysninger eller ej. GDPR regulerer, hvad du derefter gør med eventuelle resulterende personoplysninger.

Så: banneret er der, hvor samtykke gives eller nægtes; cookieerklæringen angiver cookies, deres formål og varighed; privatlivspolitikken forklarer behandlingen af ​​personoplysninger. En privatlivspolitikken kan ikke indhente samtykke, og et banner kan ikke overtræde artikel 13 og 14. Krydsreferencer dem, og hold dem konsistente.

AP har øget sin overvågning af hollandske cookiebannere siden 2025 og har skrevet til organisationer, hvis bannere bruger forudafkrydsede felter, en lettere vej at acceptere end at afvise, eller muligheder, der er svære at finde. De fleste organisationer, der er blevet kontaktet, har siden justeret deres bannere; AP har indledt undersøgelser af dem, der ikke har gjort det.

Hvordan opbygger man en præcis påstand i stedet for at kopiere en?

Artikel 30 i GDPR kræver, at de fleste organisationer fører et register over behandlingsaktiviteter — verwerkingsregisteret . For hver aktivitet registreres formålene, kategorierne af registrerede og personoplysninger, modtagerne, herunder dem i tredjelande, overførselsgarantierne og opbevaringsperioderne. Hvis en modtager er en databehandler, bør de samme oplysninger allerede fremgå af databehandleraftalen med den pågældende part, hvilket gør det langt nemmere at holde register og erklæring i overensstemmelse.

Sammenlign det med ovenstående tabel: overlapningen er næsten total. Registret er den faktuelle fortegnelse; privatlivspolitikken er dens offentlige gengivelse. Bygget i den rækkefølge er politikken nøjagtig i sin konstruktion og forbliver nøjagtig, fordi opdatering af registeret opdaterer kilden. Skrevet omvendt, glider de to fra hinanden - og en regulator, der beder om registeret og læser hjemmesiden, ser hullet.

Hvordan holder du udsagnet aktuelt?

En privatlivspolitik beskriver et aktivt system, så det bliver forældet, når systemet ændres: et nyt analyseværktøj, et nyt CRM, en ny databehandler i udlandet, et nyt formål med data, der allerede opbevares.

To regler følger. En ændring af behandlingen er en ændring af erklæringen, og den bør revideres, før ændringen træder i kraft. Og en væsentlig ændring skal aktivt kommunikeres: Europæisk vejledning er fast i, at det ikke er tilstrækkeligt at lade enkeltpersoner selv bemærke en revideret politik. Væsentlige ændringer – et nyt formål, en ændring af dataansvarlig, en ændring i, hvordan rettigheder udøves – bør meddeles folk via e-mail eller meddelelse på stedet, så længe de kan trække samtykket tilbage eller gøre indsigelse. En slåfejl behøver ingen meddelelse. Et nyt formål gør.

Versionsdatér erklæringen, og gem tidligere versioner. Hvis du har brug for at vise, hvad du fortalte en kunde i 2024, er en udateret liveside ikke tilstrækkelig.

Gælder forpligtelsen for virksomheder etableret uden for EU?

En virksomhed uden etablering i EU er omfattet af artikel 3 i GDPR, hvis den tilbyder varer eller tjenesteydelser til personer i EU eller overvåger deres adfærd der. Det er ikke nok blot, at et websted er tilgængeligt; det, der tæller, er bevis for målretning — en hollandsksproget version, europriser, levering til Holland, et .nl-domæne, hollandsk reklame. Adfærdsovervågning af besøgende i EU er en uafhængig udløsende faktor.

Hvis artikel 3 finder anvendelse, kræver artikel 27 i GDPR generelt en repræsentant i Unionen, der er etableret i en medlemsstat, hvor de relevante registrerede befinder sig, og hvis identitet og kontaktoplysninger skal fremgå af privatlivspolitikken. Undtagelsen er snæver: behandling, der er lejlighedsvis, ikke involverer store specialkategorier af data, og som sandsynligvis ikke vil medføre en risiko. En webshop, der sælger kontinuerligt på det hollandske marked, er ikke lejlighedsvis.

AP har håndhævet dette isoleret og idømt Locatefamily.com en bøde på 525,000 euro for ikke at have udpeget en EU-repræsentant. Overtrædelsen var i overensstemmelse med artikel 27 sammenholdt med artikel 3 i GDPR. Webstedet havde ingen EU-etablering, og dets etableringssted blev aldrig endeligt identificeret, hvilket ikke forhindrede bøden – et signal til enhver operatør uden for EU, der antager, at afstand er lig med immunitet.

Hvordan håndhæver AP disse regler?

I henhold til artikel 6 i Uitvoeringswet AVG er Autoriteit Persoonsgegevens den hollandske tilsynsmyndighed. Dens beføjelser stammer fra artikel 58 i GDPR — advarsler, irettesættelser, påbud, begrænsninger af behandling — og artikel 83 i GDPR placerer overtrædelser af artikel 12, 13 og 14 i det højere niveau for en administrativ bøde : op til 20 millioner euro eller 4 % af den samlede globale årlige omsætning, alt efter hvad der er højest.

AP behandler informationsforpligtelsen som en selvstændig overtrædelse, ikke en fodnote. Dens bøde på 10,000,000 euro til Uber hvilede på artikel 12 og 13 i GDPR — opbevaring af oplysninger er for generel, overførselsdestinationer ikke navngivet, retten til dataportabilitet ikke nævnt som sådan. Det er en bøde for det, der ikke fremgik af en privatlivspolitik. Separat pålagde AP Uber en bøde på 290,000,000 euro i 2024 for at overføre chaufførers data til USA uden et gyldigt overførselsværktøj.

Risikoen på kort sigt er højere end normalt. Det Europæiske Databeskyttelsesråds koordinerede håndhævelsesaktion i 2026 er direkte rettet mod artikel 12, 13 og 14 i GDPR: De deltagende myndigheder henvender sig til dataansvarlige på tværs af sektorer gennem undersøgelser eller indsamling af fakta med opfølgning, hvor resultaterne berettiger det.

Hvad skal man som virksomhed tjekke?

Sammenlign din udtalelse med, hvad din hjemmeside og dine systemer rent faktisk gør; det er sådan, AP tester det.

• Kontroller, at ethvert formål har et angivet retsgrundlag i henhold til artikel 6 i GDPR, og at legitime interesser er nævnt, hvor du påberåber dig dem.
• Navngiv modtagere eller relevante kategorier, ikke "vores partnere", og match dem med dine databehandleraftaler.
• Angiv en opbevaringsperiode eller et brugbart kriterium for hver datakategori.
• Navngiv de lande uden for EØS, du overfører til, og den sikkerhedsforanstaltning, der anvendes for hvert land.
• Kontrollér, at erklæringen stemmer overens med dit cookiebanner og de tags, der rent faktisk aktiveres i henhold til artikel 11.7a i Telekommunikationsloven.
• Versionsdatér erklæringen, og opdater den, før et nyt værktøj eller formål går i luften.

Hvad kan vi gøre for dig med din privatlivspolitik?

Vores IT-advokater rådgiver hollandske og udenlandske virksomheder om GDPR-informationspligten.

• Vi gennemgår din nuværende privatlivspolitik i forhold til artikel 12, 13 og 14 i GDPR og oplister hullerne.
• Vi udarbejder en erklæring baseret på dit register over behandlingsaktiviteter (artikel 30 i GDPR).
• Vi kontrollerer, at dit cookiebanner og din cookieerklæring stemmer overens med privatlivspolitikken.
• Vi vurderer, om du har brug for en EU-repræsentant i henhold til artikel 27 i GDPR.
• Vi hjælper dig, når AP sender spørgsmål eller indleder en undersøgelse.

Resumé

• GDPR bruger ikke ordene "privatlivspolitik", men artikel 12, 13 og 14 gør offentliggørelse til en af ​​de eneste praktiske måder at opfylde informationspligten på.
• Artikel 13 gælder for data indsamlet fra den enkelte; artikel 14 for data indhentet andetsteds, med sine egne tidsfristregler og et snævert sæt af undtagelser.
• Erklæringen skal være kortfattet, forståelig, let tilgængelig og i et letforståeligt sprog – vag formulering om modtagere, opbevaring og overførsler er, hvor håndhævelsen rammer.
• Byg erklæringen ud fra dit register over behandlingsaktiviteter (artikel 30 i GDPR), ikke fra en konkurrents politik eller en generator, og revider den, når den underliggende behandling ændres.
• Hvis du ikke har en EU-etablering, men henvender dig til det hollandske marked, skal du kontrollere, om du har brug for en EU-repræsentant i henhold til artikel 27 i GDPR.

Ofte stillede spørgsmål