GDPR at ang Dutch Implementation Act (UAVG): ano ang naaangkop?

Ang proteksyon ng datos sa Netherlands ay nakasalalay sa dalawang instrumento: ang General Data Protection Regulation (GDPR), na direktang naaangkop sa buong EU, at ang Dutch GDPR Implementation Act (Uitvoeringswet AVG, UAVG), na pumupuno lamang sa mga pambansang pagpipilian na iniiwan ng Regulasyon na bukas. Itinalaga rin ng UAVG ang Dutch Data Protection Authority (Autoriteit Persoonsgegevens, AP) bilang superbisor; hindi ito lumilikha ng mas magaan na rehimen.

Dahil direktang naaangkop ang Regulasyon, ang GDPR mismo ang dapat sundin ng iyong organisasyon. Mahalaga ang UAVG kung saan nagawa ang isang pambansang pagpili, at iyon mismo ang mga puntong madalas na hindi napapansin ng mga organisasyong aktibo sa ilang mga estadong miyembro.

Ano ang idinaragdag ng Batas sa Implementasyon?

Limitado ang bilang ng mga pambansang pagpipilian. Para sa mga serbisyo ng lipunang pang-impormasyon na direktang iniaalok sa isang bata, pinanatili ng Netherlands ang default na edad ng GDPR na labing-anim sa ilalim ng Artikulo 8 GDPR, at pinalalawak ng Artikulo 5 UAVG ang panuntunang iyon: sa ibang mga sitwasyon kung saan ang pahintulot ang batayan, ang isang batang wala pang labing-anim ay nangangailangan din ng pahintulot ng isang magulang o tagapag-alaga, na maaaring bawiin ito anumang oras.

Nagtatakda rin ang UAVG ng mga eksepsiyon para sa mga espesyal na datos ng kategorya. Pinapayagan ng Artikulo 29 ng UAVG ang pagproseso ng biometric data para sa natatanging pagkakakilanlan kung saan ito kinakailangan para sa mga layunin ng pagpapatunay o seguridad, isang eksepsiyon na ginagamit para sa mga sistema ng pagkontrol sa pag-access at pag-login. Kinokontrol ng Artikulo 31 hanggang 33 ng UAVG ang pagproseso ng datos ng kriminal, at naglalaman ang Batas ng mga eksepsiyon para sa pamamahayag, pananaliksik at pag-archive.

Aling mga obligasyon ang mahalaga sa pagsasagawa?

Apat na bagay ang bumubuo sa halos lahat ng gawain. Una, isang talaan ng mga aktibidad sa pagproseso sa ilalim ng Artikulo 30 GDPR: ang dokumentong hinihingi ng AP muna, at ang dokumentong pumipilit sa iyong malaman kung ano talaga ang hawak mo. Pangalawa, isang legal na batayan sa ilalim ng Artikulo 6 GDPR para sa bawat operasyon sa pagproseso, na sadyang pinili sa halip na hindi sumunod sa pahintulot, na maaaring bawiin anumang oras.

Pangatlo, isang kasunduan sa pagproseso ng datos sa bawat processor sa ilalim ng Artikulo 28 GDPR, at sapat na mga pananggalang kung saan ang personal na datos ay lumalabas sa European Economic Area. Pang-apat, isang pamamaraan ng pagtatrabaho para sa mga kahilingan ng paksa ng datos at para sa abiso ng paglabag sa AP sa loob ng 72 oras sa ilalim ng Artikulo 33 GDPR.

Paano ipinapatupad ang GDPR?

Maaaring imbestigahan ng AP, mag-utos ng mga hakbang, magpataw ng mga pagbabawal sa pagproseso, at magmulta ng mga organisasyon. Sa ilalim ng Artikulo 83 GDPR, ang mga multa ay umaabot ng hanggang €10 milyon o 2% ng taunang kita sa buong mundo para sa mga paglabag sa mga obligasyong administratibo, at hanggang €20 milyon o 4% ng kita, alinman ang mas mataas, para sa mga paglabag sa mga pangunahing prinsipyo, karapatan ng paksa ng datos, o mga patakaran sa paglilipat.

Maaari ring humingi ng kabayaran ang mga indibidwal sa ilalim ng Artikulo 82 GDPR, at simula nang magkabisa ang collective damages regime (WAMCA) noong 2020, ang mga kolektibong aksyon laban sa mga paglabag sa datos ay naging isang tunay na pagkakalantad sa Netherlands.

Ano ang dapat mong suriin bilang isang controller?

• Kumpleto at napapanahon ba ang iyong talaan ng mga aktibidad sa pagproseso (Artikulo 30 GDPR)?
• Nakapagdokumento ka na ba ng legal na batayan para sa bawat operasyon sa pagproseso?
• Mayroon bang nilagdaang kasunduan sa pagproseso sa bawat processor?
• Maaari mo bang ipaalam sa AP ang isang paglabag sa loob ng 72 oras?
• Kailangan mo ba ng pagtatasa ng epekto ng proteksyon ng datos (Artikulo 35 GDPR) para sa pagprosesong may mataas na panganib?

Ano ang dapat mong suriin bilang isang processor?

• Pinoproseso mo ba ang personal na datos ayon lamang sa mga dokumentadong tagubilin ng controller (Artikulo 28 GDPR)?
• Gumagamit ka ba ng mga sub-processor nang may pahintulot lamang ng controller?
• Inilarawan at nasubukan ba ang iyong mga hakbang sa seguridad?
• Ipapaalam mo ba agad sa controller pagkatapos ng isang paglabag?

Ano ang magagawa namin para sa iyo sa pagsunod sa GDPR?

Ang aming mga IT lawyer ay nagsisimula sa kung ano talaga ang ginagawa ng inyong organisasyon sa data, hindi mula sa isang template. Magagawa namin ang:

• Isulat o repasuhin ang iyong talaan ng mga aktibidad sa pagproseso at pahayag sa privacy.
• Suriin ang legal na batayan para sa bawat operasyon sa pagproseso.
• Gumawa at makipagnegosasyon para sa mga kasunduan sa pagproseso ng datos at mga sugnay sa paglilipat.
• Gagabayan ka sa isang pagtatasa ng epekto ng proteksyon ng datos.
• Tumulong sa abiso ng paglabag sa AP at sa imbestigasyon o multa ng AP.

Buod

• Direktang itinatakda ng GDPR ang mga mahahalagang tuntunin; pinupunan lamang ng UAVG ang mga pambansang pagpipilian.
• Ang mga batang wala pang labing-anim na taong gulang ay nangangailangan ng pahintulot ng magulang kung saan ang pahintulot ang batayan (Artikulo 8 GDPR at Artikulo 5 UAVG).
• Artikulo 29 ng UAVG, pinapayagan ang biometric data para sa mga layunin ng pagpapatunay o seguridad.
• Ang rekord ng pagproseso, isang legal na batayan bawat operasyon, mga kasunduan sa processor, at isang 72-oras na pamamaraan ng paglabag ang bumubuo sa karamihan ng mga gawaing sumusunod sa mga regulasyon.
• Ang mga multa sa ilalim ng Artikulo 83 GDPR ay umaabot ng hanggang €20 milyon o 4% ng pandaigdigang kita; ang mga indibidwal at grupo ay maaaring humiling ng kabayaran nang hiwalay.

Mga madalas itanong