BDAR ir Nyderlandų įgyvendinimo įstatymas (UAVG): kas taikoma?

Duomenų apsauga Nyderlanduose grindžiama dviem dokumentais: Bendruoju duomenų apsaugos reglamentu (BDAR), kuris tiesiogiai taikomas visoje ES, ir Nyderlandų BDAR įgyvendinimo įstatymu (Uitvoeringswet AVG, UAVG), kuris tik užpildo tas nacionalines pasirinkimo galimybes, kurias reglamentas palieka atviras. UAVG taip pat paskiria Nyderlandų duomenų apsaugos instituciją (Autoriteit Persoonsgegevens, AP) priežiūros institucija; jis nesukuria lengvesnio režimo.

Kadangi Reglamentas taikomas tiesiogiai, jūsų organizacija privalo laikytis paties BDAR. UAVG yra svarbus tais atvejais, kai buvo priimtas nacionalinis sprendimas, ir būtent šiuos punktus organizacijos, veikiančios keliose valstybėse narėse, linkusios ignoruoti.

Ką prideda Įgyvendinimo įstatymas?

Ribotas nacionalinių pasirinkimų skaičius. Informacinės visuomenės paslaugoms, tiesiogiai siūlomoms vaikui, Nyderlandai išlaikė BDAR numatytąjį šešiolikos metų amžių pagal BDAR 8 straipsnį, o UAVG 5 straipsnis išplečia šią taisyklę: kitais atvejais, kai pagrindas yra sutikimas, vaikui iki šešiolikos metų taip pat reikia tėvų ar globėjų sutikimo, kurį jie gali bet kada atšaukti.

UAVG taip pat nustato išimtis specialiųjų kategorijų duomenims. UAVG 29 straipsnis leidžia tvarkyti biometrinius duomenis unikaliam identifikavimui, kai tai būtina autentifikavimo ar saugumo tikslais, o ši išimtis taikoma prieigos kontrolės ir prisijungimo sistemoms. UAVG 31–33 straipsniai reglamentuoja nusikalstamumo duomenų tvarkymą, o įstatyme numatytos išimtys žurnalistikai, tyrimams ir archyvavimui.

Kokie įsipareigojimai yra svarbūs praktiškai?

Didžiąją darbo dalį sudaro keturi dalykai. Pirma, pagal BDAR 30 straipsnį vykdomos tvarkymo veiklos įrašas: dokumentas, kurio pirmiausia prašo AP, ir tas, kuris įpareigoja jus žinoti, ką iš tikrųjų turite. Antra, kiekvienos tvarkymo operacijos teisėtas pagrindas pagal BDAR 6 straipsnį, pasirinktas sąmoningai, o ne negavus sutikimo, kurį galima bet kada atšaukti.

Trečia, duomenų tvarkymo sutartis su kiekvienu tvarkytoju pagal BDAR 28 straipsnį ir tinkamos apsaugos priemonės, kai asmens duomenys palieka Europos ekonominę erdvę. Ketvirta, duomenų subjektų prašymų ir pranešimo apie pažeidimą teikimo AP per 72 valandas pagal BDAR 33 straipsnį darbo tvarka.

Kaip vykdomas BDAR?

AP gali atlikti tyrimus, nurodyti imtis priemonių, taikyti duomenų tvarkymo draudimus ir skirti baudas organizacijoms. Pagal BDAR 83 straipsnį baudos siekia iki 10 mln. EUR arba 2 % metinės pasaulinės apyvartos už administracinių įsipareigojimų pažeidimus, o baudos siekia iki 20 mln. EUR arba 4 % metinės pasaulinės apyvartos (priklausomai nuo to, kuri suma didesnė) už pagrindinių principų, duomenų subjekto teisių ar perdavimo taisyklių pažeidimus.

Asmenys taip pat gali reikalauti kompensacijos pagal BDAR 82 straipsnį, o nuo kolektyvinio žalos atlyginimo režimo (WAMCA) įsigaliojimo 2020 m. kolektyviniai ieškiniai dėl duomenų saugumo pažeidimų Nyderlanduose tapo realia problema.

Ką turėtumėte patikrinti kaip valdytojas?

• Ar jūsų duomenų tvarkymo veiklos įrašas (BDAR 30 straipsnis) yra išsamus ir atnaujintas?
• Ar dokumentavote kiekvienos tvarkymo operacijos teisėtą pagrindą?
• Ar su kiekvienu tvarkytoju yra pasirašyta apdorojimo sutartis?
• Ar galite pranešti apie pažeidimą AP per 72 valandas?
• Ar jums reikalingas duomenų apsaugos poveikio vertinimas (BDAR 35 straipsnis), susijęs su didelės rizikos tvarkymu?

Į ką, kaip procesorius, reikėtų atkreipti dėmesį?

• Ar tvarkote asmens duomenis tik pagal duomenų valdytojo dokumentuotus nurodymus (BDAR 28 straipsnis)?
• Ar samdote subrangovus tik gavę duomenų valdytojo leidimą?
• Ar jūsų saugumo priemonės aprašytos ir išbandytos?
• Ar po pažeidimo nedelsdami informuosite duomenų valdytoją?

Ką galime padaryti dėl jūsų, kad atitiktumėte BDAR reikalavimus?

Mūsų IT teisininkai pradeda nuo to, ką jūsų organizacija iš tikrųjų daro su duomenimis, o ne nuo šablono. Mes galime:

• Parengti arba peržiūrėti savo duomenų tvarkymo veiklos įrašą ir privatumo pareiškimą.
• Įvertinkite kiekvienos tvarkymo operacijos teisinį pagrindą.
• Parengti ir derėtis dėl duomenų tvarkymo sutarčių ir perdavimo sąlygų.
• Padės jums atlikti duomenų apsaugos poveikio vertinimą.
• Padėti pranešti AP apie pažeidimą ir atlikti AP tyrimą arba skirti baudą.

Santrauka

• BDAR tiesiogiai nustato esmines taisykles; UAVG tik užpildo nacionalinius pasirinkimus.
• Vaikams iki šešiolikos metų reikalingas tėvų sutikimas, kai sutikimas yra pagrindas (BDAR 8 straipsnis ir UAVG 5 straipsnis).
• UAVG 29 straipsnis leidžia naudoti biometrinius duomenis autentifikavimo ar saugumo tikslais.
• Didžiąją dalį atitikties užtikrinimo darbų sudaro apdorojimo įrašas, teisinis pagrindas kiekvienai operacijai, susitarimai dėl tvarkytojų ir 72 valandų pažeidimo procedūra.
• Pagal BDAR 83 straipsnį skiriamos baudos siekia iki 20 mln. EUR arba 4 % pasaulinės apyvartos; asmenys ir grupės gali reikalauti kompensacijos atskirai.

Dažnai užduodami klausimai