Privatumo politika Nyderlanduose: ko reikalauja įstatymai ir kaip parengti tinkamą politiką

Beveik kiekviena įmonė, turinti svetainę, skirtą Nyderlandams, skelbia privatumo politiką – privacyverklaring arba privatumo pareiškimą. Daug mažiau tokių skelbia tokią, kuri atlaikytų Autoriteit Persoonsgegevens (Nyderlandų duomenų apsaugos institucijos, AP) peržiūrą. Dokumentas traktuojamas kaip standartinis dokumentas, nukopijuojamas iš konkurento ir paliekamas nepakeistas, kol po juo keičiasi verslas. Dabar tai brangus įprotis: 2026 m. kovo mėn. Europos duomenų apsaugos valdyba visoje Europoje pradėjo koordinuotus vykdymo veiksmus, skirtus būtent šiam įpareigojimui įvykdyti.

Iš kur kyla prievolė

Nė vienas BDAR straipsnis nėra pavadintas „privatumo politika“. Šis pareiškimas yra tiesiog įprastas būdas įvykdyti prievolę, kurią BDAR apibrėžia kitaip – ​​kaip asmens teisę būti informuotam. Skaidrumas yra BDAR 5 straipsnyje nurodytas principas; BDAR 12, 13 ir 14 straipsniuose jis paverčiamas konkrečiu dalykų, kuriuos turite pasakyti žmonėms, sąrašu ir standartu, kaip tai padaryti.

Skirtumas tarp 13 ir 14 straipsnių yra svarbesnis, nei dauguma įmonių suvokia.

• Art. 13 GDPR taikoma, kai renkate asmens duomenis iš individo — kontaktinė forma, atsiskaitymas, naujienlaiškio prenumerata. Informacija turi būti pateikta tuo metu duomenys gaunami: prieš pateikiant formą, o ne po to.
• Art. 14 GDPR taikoma, kai duomenys gauti iš kitur – duomenų tarpininko, viešojo registro, iškopintos informacijos šaltinio, partnerio, darbdavio. Privalote informuoti asmenį per pagrįstą laikotarpį, bet ne vėliau kaip per vieną mėnesį, arba pirmą kartą su juo susisiekus, arba kai duomenys pirmą kartą atskleidžiami kitam gavėjui, atsižvelgiant į tai, kas įvyksta anksčiau.

14 straipsnyje numatyta keletas išimčių: asmuo jau turi informaciją, jį informuoti neįmanoma arba pareikalautų neproporcingų pastangų, informacijos gavimas ar atskleidimas yra aiškiai numatytas įstatyme arba duomenims taikoma profesinė paslaptis. Šios išimtys yra siauros. „Nepatogu“ nereiškia neproporcingų pastangų, o įmonė, kuri perka arba išima kontaktinius duomenis ir niekam apie tai nesako, remiasi išimtimi, kurios nėra.

BDAR 12 straipsnis reglamentuoja pateikimo būdą : glaustai, skaidriai, suprantamai, lengvai prieinamai, aiškia ir paprasta kalba.

Privalomas turinys, punktas po punkto

Tai ne meniu. Teiginys, kuriame trūksta vieno iš šių elementų, pagal įstatymą yra nepilnas.

Trys nusipelno atidžiau panagrinėti, nes būtent į jas ir atkreipia AP dėmesį.

Gavėjai ir „partnerių“ problema

BDAR 13 ir 14 straipsniai leidžia gavėjus arba gavėjų kategorijas . Tai yra realus pasirinkimas, tačiau kategorija turi ką nors reikšti. „Mūsų partneriai“ nėra kategorija; tai atsisakymas atsakyti. „Mūsų mokėjimo paslaugų teikėjas, mūsų prieglobos paslaugų teikėjas Vokietijoje, mūsų el. pašto rinkodaros platforma Jungtinėse Valstijose ir reklamos tinklai, nurodyti mūsų slapukų naudojimo aprašyme“ yra. Jei negalite apibūdinti gavėjo neapibrėžtai, tikriausiai nežinote, kas turi duomenis – tai dar didesnė problema.

Saugojimas, kai negalima nustatyti nustatyto laikotarpio

BDAR pripažįsta, kad ne visada galima nurodyti dienų skaičių, todėl 13 straipsnis leidžia naudoti kriterijus laikotarpiui nustatyti. Ko jis neleidžia, tai neatsakymo. Savo 2023 m. gruodžio 11 d. sprendime, kuriuo „Uber Technologies Inc.“ ir „Uber BV“ buvo skirta 10 000 000 eurų bauda, ​​AP nustatė būtent tai: pareiškime teigiama, kad duomenys bus saugomi tiek laiko, kiek reikia, o tai laikė pernelyg bendro pobūdžio. Tinkamas kriterijus būtų „sutarties galiojimo laikotarpiu ir septynerius metus po paskutinio sandorio, laikantis Nyderlandų mokesčių įstatymų“.

Tarptautiniai pervedimai

Teiginys, kad duomenys „gali būti perduoti už Europos ekonominės erdvės ribų“, skaitytojui nieko nesako. AP pozicija tame pačiame „Uber“ sprendime buvo ta, kad turėtų būti įvardytos paskirties šalys ir nurodytos apsaugos priemonės – tinkamumo sprendimas, standartinės sutarčių sąlygos, privalomos įmonių taisyklės – ir kaip gauti kopiją. Įmonės, kurios naudoja JAV analitiką, CRM ar debesijos talpinimą, perduoda duomenis; klausimas tik, ar pareiškime tai pripažįstama.

Formos reikalavimai

BDAR 12 straipsnyje nustatytas standartas, kurį lengva suformuluoti, bet dažnai nepavyksta pasiekti:

• Glaustas ir skaidrus — pateikta efektyviai ir aiškiai atskirta nuo sąlygų. Paslėpimas bendrosiose sąlygose neatitinka reikalavimų.
• Suprantama — suprantama vidutiniam tikslinės auditorijos nariui. Amerikos teisininkams parašytas pareiškimas nėra suprantamas Nyderlandų vartotojams, kaip ir pareiškimas tik anglų kalba olandų kalba pateiktoje svetainėje.
• Lengvai prieinamas — skaitytojui neturėtų tekti ieškoti. Europos gairėse tai nurodoma kaip iš karto akivaizdu: tiesioginė nuoroda iš kiekvieno puslapio, kontekstinė nuoroda rinkimo vietoje ir programėlėje – ne daugiau kaip už kelių paspaudimų.
• Aiški ir paprasta kalba — konkretūs ir galutiniai, o ne abstraktūs. Europos gairėse išskiriami tokie įspėjamieji žodžiai kaip „gali“, „galbūt“ ir „įmanoma“, o „mes galime naudoti jūsų asmens duomenis naujoms paslaugoms kurti“ arba „tyrimų tikslais“ traktuojami kaip pavyzdžiai, ko nerašyti.

Kai paslauga skirta vaikams arba žinote, kad vaikai ja dažnai naudojasi, 12 straipsnis reikalauja pritaikyti žodyną, toną ir stilių taip, kad vaikas galėtų ją suprasti. Nyderlanduose tai labai svarbu: pagal Informacijos visuomenės įstatymo (Uitvoeringswet AVG) 5 straipsnį amžius, iki kurio reikalingas tėvų sutikimas tiesiogiai vaikui siūlomoms informacinės visuomenės paslaugoms, yra šešiolika metų – tai aukščiausias BDAR leidžiamas amžius. Suaugusiesiems parašytas pareiškimas apie keturiolikmečių naudojamą paslaugą negalioja, o paties vaiko teisė būti informuotam nėra įgyvendinta informuojant tėvus.

Sluoksniuotas metodas, tinkamai atliktas

Sluoksniavimas yra rekomenduojamas atsakas į įtampą tarp išsamumo ir skaitomumo, ir tiek AP, tiek Europos gairės tam pritaria. Tinkamai atliktas pirmasis sluoksnis apima duomenų valdytojo tapatybę, tikslus, didžiausią poveikį ar galintį nustebinti tvarkymą ir kaip naudotis teisėmis – visą tekstą rasite vienu spustelėjimu viename dokumente.

Netinkamai atliktas tai tampa būdu paslėpti dalykus. Sluoksniai neturi vienas kitam prieštarauti, visa informacija turi būti prieinama vienoje vietoje ir niekas negali būti nustumta į žemesnę vietą vien dėl to, kad tai gėdinga. Jei apdorojimo operacija nustebintų skaitytoją, tai yra argumentas už pirmąjį, o ne ketvirtąjį sluoksnį.

Kur privatumo pareiškimai neveikia

Pasikartojančių nesėkmių yra nedaug ir jos nuspėjamos.

• Neaiškūs tikslai ir neatskleistas dalijimasis. „Siekiant tobulinti savo paslaugas“ nieko nereiškia, o „galime bendrinti jūsų duomenis su pasirinktais partneriais“ yra dažniausias trūkumas – paprastai jis slepia reklamos technologijas. Svarbiausia yra tai, ar skaitytojas gali pasakyti, kas nutinka su jo duomenimis, ir nuspręsti, ar jam tai prieštarauja.
• Teiginys, prieštaraujantis svetainei. Tai popierizmo problemą paverčia vykdymo problema. Pareiškime teigiama, kad žymų tvarkyklei įsikraunant puslapį be sutikimo nėra įdiegiami jokie stebėjimo slapukai; duomenys lieka ES, kol pagalbos tarnyba veikia JAV platformoje. Reguliavimo institucijai nereikia atidžiai perskaityti pareiškimo, kad tai sužinotų. Jai reikia atidaryti tinklo skirtuką.
• Nukopijuotas teiginys. Iš konkurento paimta politika aprašo konkurento duomenų tvarkymą: joje įvardinami gavėjai, kurių nenaudojate, praleidžiami tie, kuriuos naudojate, ir nurodomi saugojimo laikotarpiai, kurių nesilaikote. Tai melagingų teiginių apie jūsų verslą rinkinys.

Privatumo pareiškimas nėra pranešimas apie slapukus

Tai yra du įsipareigojimai pagal du dokumentus, ir jų sujungimas yra patikimas būdas įvykdyti nė vieno iš jų.

Nyderlanduose slapukus ir panašius metodus reglamentuoja „Telekomunikacijų įstatymo“ 11.7a straipsnis, įgyvendinantis E. privatumo direktyvą. Kiekvienas, saugantis informaciją naudotojo galiniame įrenginyje arba prie jo prisijungiantis, privalo pateikti aiškią ir išsamią informaciją bei gauti sutikimą, taikant siauras išimtis tiems atvejams, kurie yra griežtai būtini norint perduoti pranešimą arba suteikti prašomą paslaugą. Tai reglamentuoja skaitymo ar rašymo įrenginyje veiksmą , neatsižvelgiant į tai, ar yra susiję asmens duomenys. BDAR reglamentuoja tai, ką vėliau darote su gautais asmens duomenimis.

Taigi: reklamjuostė yra ta vieta, kur duodamas arba atmetamas sutikimas; slapukų naudojimo pareiškime išvardijami slapukai, jų tikslai ir trukmė; privatumo pareiškime paaiškinamas asmens duomenų tvarkymas. Privatumo pareiškimas negali gauti sutikimo, o reklamjuostė negali vykdyti 13 ir 14 straipsnių reikalavimų. Pateikite jų kryžmines nuorodas ir užtikrinkite jų nuoseklumą.

AP aktyviai dalyvavo šioje srityje. 2025 m. balandžio 30 d. ji paskelbė apie struktūrinį olandiškų slapukų reklamjuosčių stebėjimą ir parašė pirmosioms penkiasdešimčiai organizacijų, aprašydama kelių šimtų per metus programą. 2025 m. lapkričio 11 d. ji pranešė, kad daugiau nei 200 svetainių buvo įspėtos, maždaug trys ketvirtadaliai jų pakoregavo savo veiksmus, o dėl likusių pradėtas tyrimas. Iš anksto pažymėti langeliai, papildomi paspaudimai norint atsisakyti ir paslėptos parinktys – tai jos įvardijami modeliai.

Išrašą generuokite iš kasos, o ne iš konkurento

BDAR 30 straipsnis reikalauja, kad dauguma organizacijų tvarkytų duomenų tvarkymo veiklos registrą – verwerkingsregister . Kiekvienai veiklai jame registruojami duomenų tvarkymo tikslai, duomenų subjekto ir asmens duomenų kategorijos, gavėjai, įskaitant trečiosiose šalyse esančius, perdavimo apsaugos priemonės ir saugojimo laikotarpiai. Kai gavėjas yra duomenų tvarkytojas, tie patys faktai jau turėtų būti nurodyti duomenų tvarkymo sutartyje su ta šalimi, todėl registrą ir pareiškimą daug lengviau suderinti.

Palyginkite tai su aukščiau pateikta lentele: sutapimas yra beveik visiškas. Registras yra faktinis inventorius; privatumo pareiškimas yra jo viešas pateikimas. Suformuluotas tokia tvarka, pareiškimas yra tikslus savo struktūra ir išlieka tikslus, nes atnaujinant registrą atnaujinamas ir šaltinis. Parašytas atvirkščiai, šie du dalykai nutolsta – ir reguliuotojas, kuris prašo registro ir skaito svetainę, mato spragą.

Nuolatinis aktualumas

Privatumo pareiškimas aprašo veikiančią sistemą, todėl jis tampa nebegaliojantis, kai sistema pasikeičia: atsiranda nauja analizės priemonė, nauja CRM, naujas duomenų tvarkytojas užsienyje, nauja jau saugomų duomenų paskirtis.

Toliau pateikiamos dvi taisyklės. Tvarkymo pakeitimas yra pareiškimo pakeitimas, ir jis turėtų būti peržiūrėtas prieš pakeitimo įsigaliojimą. Apie esminį pakeitimą turi būti aktyviai informuojama: Europos gairėse tvirtai teigiama, kad leisti asmenims patiems pastebėti peržiūrėtą politiką yra ne tik nepakankama, bet ir neteisinga. Apie esminius pakeitimus – naują tikslą, duomenų valdytojo pasikeitimą, teisių įgyvendinimo būdo pasikeitimą – žmonės turėtų būti informuojami el. paštu arba pranešimu svetainėje pakankamai iš anksto, kad jie galėtų atšaukti sutikimą arba nesutikti. Spausdinimo klaidos nereikia pranešti. Apie naują tikslą – reikia.

Įrašykite pareiškimo versijos datą ir išsaugokite ankstesnes versijas. Jei reikia parodyti, ką sakėte klientui 2024 m., nedatuotas aktyvus puslapis to nepadarys.

Už ES ribų įsteigtos įmonės

Įmonei, neturinčiai buveinės ES, taikomas BDAR 3 straipsnis, jei ji siūlo prekes ar paslaugas ES esantiems asmenims arba stebi jų elgesį ten. Vien interneto svetainės prieinamumo nepakanka; svarbūs įrodymai apie tikslinę rinkodarą – versija olandų kalba, kainodara eurais, pristatymas į Nyderlandus, .nl domenas, olandiška reklama. ES lankytojų elgesio stebėjimas yra nepriklausomas veiksnys.

Jei taikomas 3 straipsnis, BDAR 27 straipsnis paprastai reikalauja, kad būtų įgaliotas atstovas Sąjungoje, įsisteigęs valstybėje narėje, kurioje yra atitinkami duomenų subjektai, o jo tapatybė ir kontaktiniai duomenys yra nurodyti privatumo pareiškime. Išimtis yra siaura: tvarkymas, kuris yra atsitiktinis, neapima didelio masto specialių kategorijų duomenų ir mažai tikėtina, kad sukels pavojų. Internetinė parduotuvė, nuolat parduodanti Nyderlandų rinkoje, nėra laikoma atsitiktine.

AP tai vykdė atskirai, skyrusi Locatefamily.com 525 000 eurų baudą už tai, kad ji nepaskyrė ES atstovo. Sprendimas yra datuotas 2020 m. gruodžio 10 d. ir AP jį paskelbė 2021 m. gegužės 12 d.; kartu su bauda buvo skirta bauda, ​​reikalaujanti paskirti atstovą. Pažeidimas buvo BDAR 27 straipsnio, skaitomo kartu su 3 straipsniu. Svetainė neturėjo ES buveinės, o jos buveinės vieta niekada nebuvo tiksliai nustatyta, kas nesutrukdė skirti baudos – tai signalas bet kuriam ne ES operatoriui, manančiam, kad atstumas prilygsta imunitetui.

vykdymas

Pagal „Uitvoeringswet AVG“ 6 straipsnį Nyderlandų priežiūros institucija yra „Autoriteit Persoonsgegevens“. Jos įgaliojimai kyla iš BDAR 58 straipsnio – įspėjimai, papeikimai, nurodymai, tvarkymo apribojimai, o BDAR 83 straipsnis nustato, kad 12, 13 ir 14 straipsnių pažeidimai yra aukštesnio lygio administracinė bauda : iki 20 mln. EUR arba 4 % bendros metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma didesnė.

AP informacijos teikimo prievolę traktuoja kaip atskirą pažeidimą, o ne kaip išnašą. 2023 m. gruodžio 11 d. „Uber“ skirta 10 000 000 eurų bauda buvo pagrįsta BDAR 12 ir 13 straipsniais – per daug bendros informacijos apie saugojimą, neįvardytos perdavimo vietos, teisė į duomenų perkeliamumą nepaminėta kaip tokia. AP 2026 m. gegužės 8 d. paskelbė „Uber“ prieštaravimą dėl šios baudos nepagrįstu, o „Uber“ kreipėsi į teismą, todėl sprendimas kol kas galioja ir nėra galutinai išspręstas. Tai bauda už tai, kas nebuvo nurodyta privatumo pareiškime. Atskirai, 2024 m. liepos 22 d. AP skyrė „Uber“ 290 000 000 eurų baudą už vairuotojų duomenų perdavimą į Jungtines Valstijas be galiojančios perdavimo priemonės, apie tai paskelbta 2024 m. rugpjūčio 26 d.

Artimiausiu metu rizika yra didesnė nei įprastai. 2025 m. spalio 14 d. Europos duomenų apsaugos valdyba pasirinko skaidrumo ir informavimo prievolių temą kaip savo penktojo koordinuoto vykdymo užtikrinimo veiksmo temą ir pradėjo jį 2026 m. kovo 19 d., dalyvaujant dvidešimt penkioms duomenų apsaugos institucijoms, kurios yra orientuotos į BDAR 12, 13 ir 14 straipsnius. Šios institucijos kreipiasi į duomenų valdytojus įvairiuose sektoriuose imdamosi vykdymo užtikrinimo veiksmų arba faktų rinkimo veiklų, o prireikus imasi tolesnių veiksmų; rezultatai pateikiami ir apibendrinami 2026 m. antroje pusėje ir konsoliduojami ataskaitoje, kurią Valdyba priima. Dalyvavimas yra savanoriškas, ir Valdyba nepaskelbė, kurios institucijos prisijungė, todėl nereikėtų daryti jokių prielaidų apie „Autoriteit Persoonsgegevens“. Šis teiginys išlieka aktualus bet kuriuo atveju: skaidrumas yra šio ciklo Europos vykdymo užtikrinimo tema, o pareiškimas, kuris nebuvo perskaitytas prieš įmonę nuo pat jo parengimo, yra būtent toks dokumentas, kuris neišliko po šio klausimo.

Law & More Konsultuoja Nyderlandų ir užsienio įmones informacijos teikimo įsipareigojimų pagal BDAR 12–14 straipsnius klausimais: peržiūri esamą privatumo pareiškimą pagal duomenų tvarkymo veiklos registrą, jį parengia nuo nulio ir atsako į Autoriteit Personsgegevens klausimus ar atlieka tyrimus. Jei norėtumėte, kad jūsų pareiškimas būtų patikrintas prieš tai, kai jį patikrins kas nors kitas, susisiekite su mumis.