Holandski zakon o privatnosti podataka: vaša prava iz GDPR-a i kako ih ostvariti

Holandski zakon o privatnosti podataka sastoji se od Opće uredbe EU o zaštiti podataka (GDPR, na holandskom AVG) i holandskog Zakona o implementaciji GDPR-a (Uitvoeringswet AVG, UAVG). On vam daje šest glavnih prava protiv bilo koje organizacije koja posjeduje vaše lične podatke, kao što su pristup i brisanje; organizacija mora odgovoriti u roku od mjesec dana, ali može odbiti ako ima drugi pravni osnov za čuvanje ili korištenje podataka.

Holandski organ za zaštitu podataka (Autoriteit Persoonsgegevens, AP) nadgleda usklađenost. Ako neka organizacija ne poštuje vaša prava, možete se žaliti AP-u, obratiti sudu ili tražiti odštetu prema članu 82. GDPR-a.

Koja pravila važe u Holandiji?

GDPR se direktno primjenjuje od 25. maja 2018. godine, zajedno sa UAVG-om. UAVG popunjava tačke koje GDPR ostavlja nacionalnom zakonodavstvu, kao što su obrada broja građanske službe (BSN), zdravstvenih podataka i kriminalnih podataka.

Pravila se primjenjuju na kompanije, udruženja i vladina tijela u Holandiji, te na organizacije izvan EU koje nude robu ili usluge ljudima u Holandiji ili prate njihovo ponašanje (Član 3. GDPR-a). Za svaku operaciju obrade potreban je jedan od šest pravnih osnova u Članu 6. GDPR-a, na primjer, pristanak, ugovor ili legitimni interes.

Koja prava imate?

GDPR vam daje šest prava koja možete koristiti protiv bilo koje organizacije. Njihovo korištenje vas u principu ne košta ništa (Član 12(5) GDPR-a).

• Pristup (Član 15. GDPR-a): kopiju vaših podataka, plus svrhe, primaoce, period čuvanja i izvor.
• Ispravka (Član 16 GDPR-a): ispravka netačnih ili nepotpunih podataka.
• Brisanje (Član 17 GDPR-a): brisanje kada podaci više nisu potrebni, kada je saglasnost povučena ili je obrada bila nezakonita.
• Ograničenje (Član 18 GDPR-a): zamrzavanje obrade dok se ne riješi spor o tačnosti ili zakonitosti.
• Prenosljivost podataka (Član 20. GDPR-a): podatke koje ste dostavili, u upotrebljivom formatu, kako biste ih odnijeli drugom pružatelju usluga.
• Prigovor (Član 21. GDPR-a): prestanak obrade na osnovu legitimnog interesa, osim ako organizacija ima uvjerljive razloge; za direktni marketing prigovor je apsolutan.

Kako uputiti zahtjev koji je teško odbiti?

Pošaljite svoj zahtjev u pisanoj formi, navedite članak na koji se pozivate i sačuvajte dokaz o slanju. Organizacija mora odgovoriti u roku od jednog mjeseca; za složene ili brojne zahtjeve može produžiti ovaj rok za dodatna dva mjeseca, ali vas o tome mora obavijestiti u roku od prvog mjeseca (Član 12(3) GDPR-a).

Organizacija može tražiti dokaz o identitetu ako ima razumne sumnje u vezi s vašim identitetom. Nemojte slati potpunu kopiju pasoša; prekrijte svoju fotografiju i svoj BSN, jer privatna organizacija ne smije obrađivati ​​vaš BSN bez zakonske osnove prema UAVG-u.

Kada organizacija može odbiti?

Organizacija može odbiti brisanje ako je po zakonu obavezna čuvati podatke. Jasan primjer je holandsko poresko pravilo koje predviđa da preduzeća čuvaju svoje evidencije sedam godina (Član 52. Opšteg poreznog zakona, AWR).

Drugi razlozi za odbijanje su prava drugih (na primjer, izjava svjedoka u HR dosijeu), zahtjev koji je očigledno neosnovan ili pretjeran (Član 12(5) GDPR-a) i izuzeci iz Člana 41 UAVG-a, kao što su sprječavanje i istraga krivičnih djela. Odbijanje mora biti obrazloženo i mora vam reći da se možete žaliti AP-u i obratiti sudu.

Šta možete učiniti ako vaša prava nisu poštovana?

Imate tri rute koje možete kombinovati. Izbor zavisi od toga da li želite odluku, narudžbu ili novac.

• Žalba AP-u (Član 77 GDPR-a): Ne košta ništa; AP odlučuje hoće li istražiti i može izreći nalog ili kaznu.
• sud: Protiv privatne organizacije, podnosite tužbu (verzoekschrift) okružnom sudu prema UAVG-u. Protiv vladinog tijela, njegov odgovor na vaš zahtjev je odluka (besluit) prema Zakonu o općem upravnom pravu (Awb), koju možete osporiti podnošenjem prigovora (bezwaar) u roku od šest sedmica.
• Naknada (Član 82 GDPR-a): za materijalnu i nematerijalnu štetu. Sud pravde EU je u predmetu Österreichische Post (Sud pravde EU od 4. maja 2023., C-300/21) presudio da samo kršenje nije dovoljno; morate dokazati stvarnu štetu, ali ne postoji minimalni prag ozbiljnosti.

U hitnim slučajevima, na primjer kada se vaši podaci objavljuju na internetu, možete zatražiti od sudije za prethodne mjere (voorzieningenrechter) u skraćenom postupku (kort geding) nalog o obustavi.

Šta GDPR zahtijeva od organizacija?

Organizacije moraju biti u stanju dokazati da se pridržavaju principa iz člana 5. GDPR-a, kao što su ograničavanje svrhe, minimiziranje podataka i ograničenje pohrane. Ovo je princip odgovornosti.

Povreda ličnih podataka koja predstavlja rizik mora se prijaviti Agenciji za zaštitu podataka (AP) u roku od 72 sata od otkrivanja (Član 33. GDPR-a). Kazne mogu doseći 20 miliona eura ili 4% svjetskog godišnjeg prometa, što god je veće (Član 83. GDPR-a). Za posebne kategorije kao što su biometrijski podaci primjenjuju se stroža pravila; pogledajte naš članak o biometrijskim podacima i usklađenosti s GDPR-om.

Šta biste trebali provjeriti kao pojedinac?

Dobro pripremljen zahtjev štedi sedmice. Provjerite ove tačke prije i nakon što ga pošaljete.

• Pošaljite pisani zahtjev kontakt osobi za privatnost ili službeniku za zaštitu podataka u organizaciji i sačuvajte dokaz o datumu.
• Navedite koje pravo koristite i na koji se član GDPR-a ono temelji.
• Pridržavajte se roka od mjesec dana prema članu 12(3) GDPR-a.
• Provjerite da li odgovor uključuje svrhe, primaoce, period čuvanja i izvor, kako to zahtijeva Član 15 GDPR-a.
• Ako je odgovor odbijanje, provjerite da li su navedeni razlozi i da li se spominju AP i sud.

Šta biste kao organizacija trebali provjeriti?

Većina pritužbi upućenih AP-u počinje sa zahtjevom na koji je odgovoreno sa zakašnjenjem ili nepotpuno. Ove provjere to sprječavaju.

• Imate li proceduru koja evidentira svaki zahtjev i njegov rok od mjesec dana?
• Možete li pronaći sve podatke o jednoj osobi u svim vašim sistemima, uključujući e-poštu i sigurnosne kopije?
• Da li je svaka operacija obrade u vašim evidencijama o obradi (Član 30. GDPR-a) povezana sa pravnim osnovom?
• Znate li koji se zakonski periodi čuvanja podataka primjenjuju, kao što je sedmogodišnji period čuvanja poreza?
• Možete li prijaviti povredu podataka AP-u u roku od 72 sata?

Šta možemo učiniti za vas u vezi sa zaštitom podataka?

Kao IT advokati, savjetujemo pojedince i kompanije o GDPR-u.

• Sastavljamo vaš zahtjev za pristup ili brisanje i pratimo rok od mjesec dana.
• Procjenjujemo odbijanje i podnosimo žalbu AP-u.
• Podnosimo peticiju okružnom sudu ili prigovor protiv državnog tijela.
• Obračun i zahtjev za naknadu vršimo u skladu s članom 82. GDPR-a.
• Za vašu organizaciju smo uspostavili proceduru za zahtjeve i slučajeve kršenja podataka.

rezime

• Holandski zakon o privatnosti podataka je GDPR plus Holandski zakon o implementaciji (UAVG), koji nadzire Autoriteit Persoonsgegevens.
• Imate pravo pristupa, ispravke, brisanja, ograničenja, prenosivosti i prigovora; organizacija mora odgovoriti u roku od mjesec dana.
• Organizacija može odbiti ako ima drugi pravni osnov, kao što je sedmogodišnji period zadržavanja poreza.
• Ako vaša prava nisu poštovana, možete se žaliti AP-u, obratiti se sudu ili tražiti odštetu u skladu s članom 82. GDPR-a.

Često Postavljena Pitanja