Заштита података у Холандији почива на два инструмента. Општа уредба о заштити података (GDPR) се директно примењује широм Европске уније и утврђује суштинска правила: принципе, правне основе, права носилаца података и обавезе контролора и обрађивача. Уз то, холандски Закон о спровођењу GDPR-а (Uitvoeringswet AVG, UAVG) попуњава изборе које је Уредба оставила државама чланицама и одређује холандски орган за заштиту података (Autoriteit Persoonsgegevens) као надзорни орган.
Пошто се Уредба директно примењује, организација мора да се придржава саме Опште уредбе о заштити података (GDPR). Закон о имплементацији је важан тамо где је направљен национални избор – а управо су то тачке које организације које послују у више држава чланица имају тенденцију да превиђају.
Шта додаје Закон о имплементацији?
Закон о информационом друштву (UAVG) попуњава ограничен број националних избора. Према члану 5. UAVG-а, детету млађем од шеснаест година потребна је сагласност родитеља или старатеља пре него што се услуге информационог друштва могу ослонити на сагласност као законски основ; од шеснаест година дете може самостално дати сагласност.
Закон такође предвиђа обраду података посебне категорије у дефинисаним ситуацијама. Члан 29. Закона о заштити података (UAVG) дозвољава обраду биометријских података ради јединствене идентификације када је то неопходно за аутентификацију или безбедносне сврхе, изузетак који организације користе за системе контроле приступа и пријављивања. UAVG даље садржи одредбе о обради кривичних података и регулише изузећа у областима као што су новинарство, истраживање и архивирање, и утврђује овлашћења Агенције за заштиту података и процедуре у вези са њима.
Оно што не чини јесте да ствара лакши режим. Када се Уредба и Закон тумаче заједно, Уредба поставља стандард, а Закон одређује како се одговара на ограничен број националних питања.
Које обавезе су битне у пракси?
Четири ствари чине највећи део посла. Запис о активностима обраде у складу са чланом 30 GDPR-а, што је документ који надзорни орган први тражи и који приморава организацију да зна шта заправо поседује. Правни основ за сваку операцију обраде, намерно изабран, уместо да се не да сагласност, што је често најслабији расположиви основ јер мора бити слободно дат и може се повући у било ком тренутку.
Споразуми о обради података са сваким обрађивачем у складу са чланом 28 GDPR-а и одговарајуће мере заштите у случајевима када лични подаци напуштају Европски економски простор. И радна процедура за права субјеката података и за обавештавање о кршењу, која мора бити способна да се примени у року од седамдесетдвочасовног рока за обавештавање из члана 33 GDPR-а.
Како се спроводи GDPR?
Холандски орган за заштиту података може да истражује, наређује мере, уводи забране обраде и казни организације. Према члану 83 GDPR-а, казне износе до 10 милиона евра или 2% укупног светског годишњег промета за кршење административних обавеза, и до 20 милиона евра или 4% промета, шта год је веће, за кршење основних принципа, права субјеката података или правила међународног преноса података.
Уз спровођење прописа, појединци могу тражити надокнаду штете, а колективне тужбе у овој области постале су права изложеност у Холандији од увођења режима колективне одштете (WAMCA) 2020. године.
Укратко
- GDPR директно поставља суштинска правила; UAVG само попуњава националне изборе које Уредба оставља отвореним.
- Према члану 5 Закона о ванбрачној заштити (UAVG), детету је потребна родитељска сагласност за услуге информационог друштва до навршене шеснаесте године.
- Члан 29 UAVG-а дозвољава употребу биометријских података за аутентификацију или безбедносне сврхе као изузетак од опште забране.
- Евиденција активности обраде, законски основ за сваку операцију обраде, уговори са обрађивачем и поступак у случају кршења прописа који покрива период обавештавања од седамдесет два сата чине највећи део посла у вези са усклађеношћу.
- Казне према члану 83 GDPR-а достижу и до 20 милиона евра или 4% светског промета, а појединци и групе могу захтевати одштету одвојено.
Često postavljana pitanja
Да ли нам је потребан службеник за заштиту података?
Само тамо где Уредба то захтева: јавни органи и организације чије основне активности укључују редовно праћење великих размера или обраду података посебне категорије великих размера. Многе организације га добровољно именују, што са собом носи законски положај и заштиту.
Да ли је сагласност најсигурнија основа?
Обично је супротно. Сагласност мора бити дата слободно и може се повући у било ком тренутку, након чега обрада мора престати. Легитимни интереси или извршење уговора су често чвршћа основа, под условом да је процена документована.
Да ли се GDPR примењује на нас ако смо ван ЕУ?
Може. Уредба се примењује тамо где се роба или услуге нуде људима у Европској унији или се њихово понашање тамо прати, без обзира на то где је организација основана.
Савети о заштити података
Рад на усклађености је најефикаснији када почиње од онога што организација заправо ради са подацима, а не од шаблона. Саветујемо о обради евиденције, правним основама, уговорима о обрађивању, међународним преносима, проценама утицаја и реаговању на кршење прописа.
Нисте сигурни где се налазите? Реците нам о својој ситуацији. Обавестићемо вас о вашим могућностима у року од једног радног дана.
Како Law & More може вам помоћи у вези са овим, објашњено је на нашем ИТ адвокат страна.
