Marc legal per a la ciberseguretat i la protecció de dades
Reglament general de protecció de dades (RGPD) i implementació neerlandesa
L' GDPR serveix com a principal marc de protecció de dades a tota la UE, inclosos els Països Baixos. Estableix normes completes per al tractament de dades personals i exigeix que les organitzacions implementin mesures tècniques i organitzatives adequades per protegir la informació. Els Països Baixos van implementar el RGPD a través del Llei neerlandesa d'implementació del RGPD (Uitvoeringswet AVG), que adapta els requisits de la UE a la legislació neerlandesa. Aquesta llei estableix disposicions específiques per a les circumstàncies nacionals, tot mantenint l'alineació amb els estàndards europeus. Designa l'Autoritat Neerlandesa de Protecció de Dades (Autoritat de Dades Personals) com a òrgan supervisor responsable de l'aplicació. Segons el RGPD, heu d'informar incompliments de dades a l'autoritat supervisora en un termini de 72 hores després de tenir-ne coneixement. Quan les infraccions representin un alt risc per als drets i les llibertats de les persones, també heu de notificar-ho a les persones afectades sense demora indeguda. Aquests requisits de notificació constitueixen la base de la responsabilitat per infracció als Països Baixos. El/La Verzamelwet Gegevensbescherming (Llei de protecció de dades col·lectives) refina encara més diverses lleis neerlandeses per adaptar-les als estàndards del RGPD. Això garanteix la coherència entre els diferents àmbits legals.Llei de ciberseguretat i la directiva NIS2
L' Directiva NIS2 amplia significativament els requisits de ciberseguretat per a entitats essencials i importants a tota la UE. Els Països Baixos ho van transposar en Ciberseguritat (Llei de ciberseguretat neerlandesa), que va entrar en vigor el 15 d'agost de 2026 juntament amb la Llei de resiliència d'entitats crítiques (Weerbaarheid kritieke entiteiten). No hi ha període de gràcia: les obligacions s'apliquen a partir d'aquesta data. Tres deures són els més importants. Heu de registrar la vostra organització al registre nacional d'entitats que manté el Centre Nacional de Seguretat CibernèticaHeu de prendre les mesures tècniques i organitzatives adequades per gestionar els riscos per a la vostra xarxa i els vostres sistemes d'informació, un deure de diligència que la Llei estableix en lloc de deixar-lo al mercat. I heu d'informar d'un incident significatiu en un termini de 24 hores després de tenir-ne coneixement, seguit d'una notificació més completa en un termini de 72 hores i un informe final posteriorment. Aproximadament vuit mil organitzacions als Països Baixos entren dins de l'àmbit d'aplicació com a entitats essencials o importants, moltes de les quals estaven completament fora del règim anterior. Si esteu dins de l'àmbit d'aplicació no és una decisió que feu per impressió. Es desprèn del sector i dels criteris de mida de la Llei, i un proveïdor que queda fora de l'àmbit d'aplicació en si encara pot ser contractat per un client que no ho està. La Llei de ciberseguretat va substituir la Llei de seguretat de xarxes i sistemes d'informació (Wet beveiliging netwerk- en informatiesystemen, Wbni), de manera que les referències a la Wbni en contractes, polítiques i informes d'auditoria més antics ara apunten a un règim que ja no existeix. Consulteu-los. La supervisió es distribueix per sectors en lloc de concentrar-se en un sol regulador. L'Autoritat Neerlandesa per a la Infraestructura Digital (Infraestructures d'inspecció digital, RDI) supervisa la infraestructura digital, la gestió de serveis TIC, el proveïdor digital i els sectors governamentals, mentre que altres sectors tenen el seu propi supervisor designat. Identifiqueu el vostre abans d'un incident, no durant un.Altres lleis i directives rellevants
L' Directiva de la UE sobre la privadesa electrònica Complementa el RGPD abordant la privadesa de les comunicacions electròniques. Requereix consentiment per a les galetes i tecnologies similars i protegeix la confidencialitat de les dades de les comunicacions. El Llei de telecomunicacions (Telecomunicacions) imposa obligacions de seguretat específiques als proveïdors de telecomunicacions, incloent-hi requisits per protegir la integritat de la xarxa i les dades dels usuaris. Aquesta llei funciona juntament amb les lleis de protecció de dades per garantir una protecció integral en el sector de les comunicacions. La Llei de resiliència d'entitats crítiques (Weerbaarheid kritieke entiteiten), que implementa la Directiva (UE) 2022/2557 i va entrar en vigor el mateix dia que la Llei de ciberseguretat, aborda la resiliència física en lloc de la seguretat digital. Obliga les entitats designades com a crítiques a dur a terme una avaluació de riscos, adoptar mesures de resiliència i informar d'incidents disruptius. Una organització pot estar subjecta a les dues lleis alhora, i els dos conjunts d'obligacions no es fusionen. Aquests marcs creen obligacions superposades. Cal navegar-hi quan s'opera en diversos sectors o es gestionen diversos tipus de dades.Normativa sectorial específica
L' Llei de supervisió financera (Wet op het financeeel toezicht) estableix requisits estrictes de ciberseguretat i protecció de dades per a les institucions financeres. Heu d'implementar controls de seguretat robustos, procediments de resposta a incidents i protocols de proves periòdiques quan opereu en el sector financer. Les organitzacions encarregades de l'aplicació de la llei s'enfronten a requisits especialitzats en virtut de la Llei de dades policials (Política humida) I Wet justitiële en strafvorderlijke gegevens (Llei de dades judicials i de procediment penal). Aquestes lleis regeixen la manera com la policia i les autoritats judicials recopilen, processen i protegeixen les dades personals durant les investigacions i els procediments penals. Els proveïdors d'atenció mèdica han de complir amb garanties de privadesa addicionals més enllà dels requisits estàndard del RGPD. Això reflecteix la naturalesa sensible de la informació mèdica. Els sectors de l'energia, el transport i l'aigua s'enfronten a obligacions específiques en virtut de la implementació del NIS2, amb mesures de seguretat adaptades als seus riscos operatius. Cada reglament específic del sector imposa càrregues de compliment úniques. És essencial identificar quines lleis s'apliquen a les activitats i operacions de processament de dades específiques de la vostra organització.Assignació de responsabilitat després d'una violació de dades
Definició de responsabilitat: controladors, encarregats del tractament i tercers
La seva responsabilitat després d'un violació de dades personals depèn de si actues com a controlador de dades o encarregat del tractament. Els responsables del tractament decideixen com i per què es processen les dades personals, cosa que els fa principals responsables dels incidents de seguretat. Els encarregats del tractament gestionen les dades en nom dels responsables del tractament i s'enfronten a responsabilitats si excedeixen les instruccions o no implementen mesures de seguretat adequades. Els tercers, com ara els proveïdors de serveis digitals, tenen responsabilitats separades. Si utilitzeu proveïdors externs, sou responsable de les seves accions quan processen dades en nom vostre. Els vostres contractes han d'especificar les obligacions de seguretat i els procediments de gestió d'incidents. Quan hi ha diverses parts implicades, la responsabilitat es pot compartir. Si tant vosaltres com el vostre encarregat del tractament no vau implementar mesures tècniques i organitzatives, podeu afrontar sancions per part de l'Autoritat de Responsabilitat Personal (Autoriteit Persoonsgegevens). L'autoritat supervisora examina el paper de cada part en la violació per assignar la responsabilitat.Autoritats supervisores i funcions reguladores
L'Autoriteit Persoonsgegevens actua com a Autoritat de Protecció de Dades neerlandesa responsable de fer complir el compliment del RGPD. Heu d'informar de les violacions de dades personals a aquesta autoritat supervisora en un termini de 72 hores després de tenir coneixement de l'incident. L'incompliment dels terminis per informar d'incidents augmenta la vostra responsabilitat. El Centre Nacional de Ciberseguretat (NCSC) s'encarrega de casos més amplis. amenaces de ciberseguretat que afecten els operadors de serveis essencials. Si proporcioneu infraestructures crítiques o serveis digitals, també heu d'informar sobre incidents de seguretat significatius a l'NCSC. Aquests informes ajuden a coordinar les respostes nacionals a les amenaces cibernètiques. Ambdues autoritats duen a terme investigacions després d'incidents de seguretat. L'Autoriteit Persoonsgegevens pot imposar multes de fins a 20 milions d'euros o el 4% de la vostra facturació global anual, el que sigui més alt. Tenen en compte factors com la naturalesa de la violació, el nombre de persones afectades i les vostres mesures de resposta. Les directrius de l'ENISA influeixen en la manera com les autoritats neerlandeses avaluen el vostre compliment amb els requisits de ciberseguretat.Mesures organitzatives i tècniques
La implementació de mesures tècniques i organitzatives afecta directament les determinacions de responsabilitat. Aquestes mesures inclouen el xifratge, els controls d'accés, les proves de seguretat periòdiques i la formació del personal. Els tribunals i l'autoritat supervisora avaluen si la vostra seguretat era adequada per als riscos implicats. Heu de documentar les vostres mesures de seguretat i demostrar una planificació de continuïtat del negoci. Si no podeu demostrar les precaucions adequades, la responsabilitat augmenta substancialment. Les avaluacions de riscos periòdiques us ajuden a identificar vulnerabilitats abans que es produeixin infraccions. Els procediments de gestió d'incidents són crucials. Necessiteu protocols clars per detectar, investigar i respondre a les infraccions de dades personals. El vostre temps de resposta i l'eficàcia per contenir els incidents de seguretat influeixen en les decisions de sanció. L'Autoritat de Seguretat de les Persones espera que mantingueu proves del vostre marc de seguretat. Sense la documentació adequada, demostrar una cura raonable esdevé difícil durant les investigacions.La cadena de subministrament i els proveïdors de serveis
La seguretat de la cadena de subministrament crea problemes complexos de responsabilitat. Quan els vostres proveïdors de serveis experimenten infraccions que afecten les vostres dades, encara podeu afrontar conseqüències. Heu de dur a terme la diligència deguda amb els proveïdors i supervisar contínuament les seves pràctiques de seguretat. Els operadors de serveis essencials s'enfronten a requisits més estrictes per a la gestió de proveïdors. Heu d'assegurar-vos que els proveïdors de serveis digitals de la vostra cadena de subministrament mantinguin estàndards que coincideixin amb les vostres pròpies obligacions. Els acords contractuals han de definir clarament les tasques d'informe d'incidents i l'assignació de responsabilitats. Si una infracció s'origina a la vostra cadena de subministrament, l'Autoriteit Persoonsgegevens examina si heu realitzat avaluacions adequades dels proveïdors. La vostra responsabilitat depèn de si heu pres mesures raonables per verificar la seguretat del proveïdor. No podeu delegar completament la responsabilitat, fins i tot quan utilitzeu processadors externs. Les cadenes de subministrament de diversos nivells requereixen una vigilància addicional. Necessiteu visibilitat dels subprocessadors i les seves mesures de seguretat per protegir-vos contra errors en cascada que comprometen les dades personals en diverses organitzacions.Obligacions de notificació de violació de dades
Els Països Baixos implementen un marc de notificació multicapa en virtut del RGPD i de les lleis nacionals de ciberseguretat. Els responsables del tractament han de denunciar infraccions a l'Autoritat de Protecció de Dades (AP) dels Països Baixos en un termini de 72 hores quan hi hagi un risc de drets dels subjectes de dades. Infraccions d'alt risc requereixen notificació directa a les persones afectades.Terminis i requisits procedimentals
Heu de notificar a l'AP sense demora indeguda i, sempre que sigui possible, no més tard de 72 hores després de tenir coneixement d'una violació de dades personals. Aquesta obligació s'aplica tret que sigui improbable que la violació suposi un risc per als drets i les llibertats de les persones físiques. La notificació ha d'incloure informació específica sempre que sigui possible. Heu de proporcionar les categories i el nombre aproximat d'interessats afectats, les categories i el nombre aproximat de registres de dades personals afectats i el nom del vostre delegat de protecció de dades o altre punt de contacte. També heu de descriure les probables conseqüències de la violació i les mesures adoptades o proposades per solucionar-la. Si no podeu proporcionar tota la informació requerida dins del termini de 72 hores, podeu presentar-la per fases. Heu d'explicar els motius de qualsevol retard en la vostra notificació inicial.A qui s'ha d'avisar i quan
Heu de notificar directament als interessats afectats quan sigui probable que una violació de dades personals suposi un alt risc per als seus drets i llibertats. Aquesta notificació s'ha de fer sense demora indeguda i s'ha d'utilitzar un llenguatge clar i planer. La notificació directa als interessats no és necessària en tres circumstàncies específiques. No cal que notifiqueu si heu implementat mesures de protecció tècniques i organitzatives adequades (com ara el xifratge) que fan que les dades siguin inintel·ligibles per a persones no autoritzades. Tampoc cal que notifiqueu si heu pres mesures posteriors per garantir que l'alt risc per als drets dels interessats ja no es materialitzi, o si la comunicació directa implicaria un esforç desproporcionat. En aquests casos, cal la comunicació pública o mesures similars. No hi ha cap exempció sectorial del deure d'informar els interessats; l'exempció que existia abans per a les empreses financeres en virtut de l'antiga Llei de protecció de dades personals no va sobreviure al RGPD. Els encarregats del tractament tenen obligacions diferents. Heu de notificar al responsable del tractament sense demora indeguda després de tenir coneixement de qualsevol violació de dades personals, independentment del nivell de risc. Això és un requisit legal en virtut del RGPD i s'ha d'incloure al vostre acord de processament.Requisits de notificació sectorials i nacionals
Més enllà de les obligacions del RGPD, podeu afrontar requisits d'informació addicionals segons el vostre sector. La Llei de ciberseguretat exigeix que les entitats essencials i importants informin d'un incident significatiu al seu supervisor sectorial i al CSIRT en un termini de 24 hores, amb una notificació més completa a les 72 hores, fins i tot quan no hi hagi dades personals implicades. Els proveïdors de xarxes públiques de comunicacions electròniques informen a l'Autoritat Neerlandesa per a la Infraestructura Digital (RDI), que supervisa el sector de la infraestructura digital. Les organitzacions sanitàries tenen l'obligació de notificar a la Inspecció d'Atenció a la Salut i la Joventut sobre els incidents que afecten la seguretat dels dispositius mèdics o les dades dels pacients. Les empreses de serveis financers han de complir els requisits específics del sector en virtut de la legislació de supervisió financera. Les entitats designades com a crítiques també tenen obligacions en virtut de la Llei de resiliència d'entitats crítiques. Heu d'informar d'incidents significatius a l'Equip de resposta a incidents de seguretat informàtica (CSIRT) que podrien interrompre substancialment els serveis essencials. Les empreses públiques poden haver de notificar incidents de seguretat que podrien afectar materialment les decisions dels inversors. Aquests requisits sectorials sovint funcionen juntament amb les obligacions del RGPD en lloc de substituir-les. És possible que hàgiu de fer diverses notificacions a diferents autoritats per a un sol incident, depenent de les activitats de la vostra organització i la naturalesa de la violació.Execució i sancions
Les autoritats neerlandeses tenen poders clars per investigar les fallades de ciberseguretat i imposar sancions econòmiques substancials a les organitzacions que no protegeixen les dades personals o no compleixen els requisits de seguretat. El marc d'aplicació implica múltiples reguladors amb responsabilitats de supervisió específiques, esquemes de sancions estructurats i procediments d'apel·lació definits per a les organitzacions que s'enfronten a sancions.Poders d'investigació i supervisió
L'Autoritat de Protecció de Dades dels Països Baixos (Autoriteit Persoonsgegevens, o AP) té la responsabilitat principal d'investigar les filtracions de dades i les infraccions del RGPD. L'AP pot iniciar investigacions basades en queixes, informes dels mitjans de comunicació o auditories rutinàries. Durant les investigacions, l'autoritat pot sol·licitar documentació, dur a terme inspeccions in situ i entrevistar membres del personal. Pel que fa a les obligacions de ciberseguretat en virtut del nou Cyberbeveiligingswet, els reguladors específics del sector duen a terme la supervisió. L'Autoritat d'Infraestructures Digitals dels Països Baixos (RDI) supervisa la infraestructura digital, la gestió de serveis TIC, el proveïdor digital i els sectors governamentals. El Banc Central dels Països Baixos (DNB) supervisa les institucions financeres. Altres sectors tenen el seu propi supervisor designat, amb poders d'aplicació que recauen en el ministre responsable o la inspecció que actua en nom del ministre. Aquests reguladors poden auditar els vostres sistemes, revisar els procediments de resposta a incidents i avaluar si la vostra gestió de riscos compleix els estàndards legals. També poden recuperar els costos d'aplicació de la vostra organització si es troben infraccions. El Centre Nacional de Ciberseguretat (NCSC) coordina entre els reguladors però no imposa sancions directament.Sancions administratives i econòmiques
Les sancions econòmiques varien segons el marc legal i la gravetat de les infraccions. Segons l'aplicació del RGPD, l'autoritat de control pot imposar multes de fins a 20 milions d'euros o el 4% de la facturació global anual, el que sigui més alt. L'autoritat té en compte factors com la naturalesa de la violació, el nombre de persones afectades i la vostra cooperació durant les investigacions. Segons la Llei sobre ciberseguritat, les sancions segueixen una estructura escalonada:| Classificació d'Entitats | Multa màxima | Alternativa de rotació de personal |
|---|---|---|
| Entitats essencials (EE) | 10 milions de € | 2% de facturació global |
| Entitats de responsabilitat civil (BE) | 7 milions de € | 1.4% de facturació global |
Recursos i apel·lacions legals
Tens dret a impugnar les decisions d'aplicació mitjançant recursos administratiusDesprés de rebre una notificació de sanció, podeu presentar una objecció (bezwaar) a l'autoritat emissora en un termini de sis setmanes. L'organisme regulador ha de reconsiderar la seva decisió i proporcionar una resposta formal. Si no esteu d'acord amb el resultat de la reconsideració, podeu apel·lar al tribunal de districte (rechtbank). El tribunal revisa si l'organisme regulador ha seguit els procediments adequats i ha aplicat la llei correctament. Aleshores podeu... decisions del tribunal d'apel·lació a la Divisió de Jurisdicció Administrativa del Consell d'Estat (Afdeling bestuursrechtspraak van de Raad van State) quan la decisió es va prendre en virtut de la Llei d'implementació del RGPD. El tribunal d'apel·lació competent depèn de la Llei en virtut de la qual es va prendre la decisió, per tant, cal establir-ho abans que transcorri el període de sis setmanes. Durant tot el procés d'apel·lació, heu de continuar implementant qualsevol mesura correctiva ordenada pels reguladors. Els tribunals poden suspendre les sancions pecuniàries a l'espera dels resultats de l'apel·lació, però això no és automàtic.Funcions i responsabilitats clau en la gestió de la ciberseguretat
Les organitzacions han de definir clarament qui gestiona les tasques de ciberseguretat, des del nomenament dels responsables de protecció de dades fins a l'establiment de la responsabilitat a nivell de junta directiva i la formació dels empleats sobre els protocols de seguretat.Delegats de protecció de dades
Heu de nomenar un delegat de protecció de dades (DPO) si la vostra organització processa dades personals sensibles a gran escala o supervisa sistemàticament les persones. El DPO serveix com a principal punt de contacte per a les autoritats de protecció de dades i els interessats. El vostre DPO necessita qualificacions específiques en legislació de protecció de dades i pràctiques de seguretat de la informació. Ha de reportar directament al vostre nivell directiu més alt i no pot ser destituït per exercir les seves funcions. La funció inclou la supervisió del compliment del RGPD, la realització d'avaluacions d'impacte sobre la protecció de dades i l'assessorament sobre els requisits de xifratge i criptografia. Heu de documentar clarament les responsabilitats del DPO. Això inclou la seva autoritat per auditar la vostra infraestructura digital i revisar el vostre pla de resposta a incidents. Si opereu en diversos països de la UE, podeu designar un únic DPO en funció de les seves qualitats professionals i coneixement de les jurisdiccions pertinents.Govern corporatiu i rendició de comptes
El vostre consell d'administració té la responsabilitat última de la gestió del risc de ciberseguretat. Han d'aprovar mesures de seguretat, assignar recursos adequats i garantir una supervisió adequada dels esforços de ciberresiliència. La responsabilitat del lideratge inclou:- Aprovació de polítiques de seguretat per a marcs de seguretat de la informació
- Supervisió de les avaluacions de riscos i planificació de la resiliència operativa
- Garantir el compliment de les auditories mitjançant revisions independents
- Assignació de pressupostos per a la gestió de la ciberseguretat i formació dels empleats
Polítiques internes i formació dels empleats
Heu de crear polítiques documentades que defineixin els rols de seguretat a tota l'organització. Aquestes polítiques han d'especificar les responsabilitats per a la protecció de dades, la resposta a incidents i el manteniment de la ciberresiliència. Les vostres polítiques de seguretat han de cobrir:- Controls d'accés i requisits d'autenticació
- Estàndards de classificació i xifratge de dades
- Procediments de comunicació d'incidències
- Formació regular de sensibilització sobre seguretat
Tipus d'incidents de ciberseguretat i amenaces emergents
Els incidents de ciberseguretat van des de correus electrònics enganyosos fins a interrupcions de xarxa a gran escala que poden comprometre organitzacions senceres. Comprendre aquestes amenaces us ajuda a identificar vulnerabilitats i determinar qui recau la responsabilitat quan es produeix una violació.Suplantació d'identitat (phishing), programari maliciós i ransomware
Phishing continua sent una de les amenaces de ciberseguretat més comunes que trobareu. Els atacants envien correus electrònics o missatges que es fan passar per empreses legítimes per robar les vostres contrasenyes, informació financera o altres dades sensibles. El phishing també és el punt d'entrada d'una gran part dels casos de ransomware que segueixen, motiu pel qual l'autoritat supervisora tracta un atac de phishing reeixit com a prova sobre els vostres controls en lloc de com a mala sort. malware fa referència a programari nociu que fa malbé els vostres sistemes o xarxes informàtiques. Això inclou virus, troians i altres codis maliciosos dissenyats per accedir a les vostres dades o interrompre les vostres operacions. ransomware és un tipus específic de programari maliciós que bloqueja l'accés als vostres fitxers i exigeix el pagament per la restauració. Fins i tot si pagueu el rescat, no hi ha cap garantia que els atacants us restaurin l'accés o eliminin les dades robades. El pagament també planteja les seves pròpies qüestions legals, com ara la selecció de sancions del destinatari i el tractament comptable i de divulgació del pagament.Atacs de denegació de servei i atacs de denegació de servei distribuïts
Atacs DoS sobrecarregar els sistemes amb trànsit per fer que els serveis no estiguin disponibles per als usuaris legítims. Una única font inunda la xarxa amb sol·licituds fins que es bloqueja o es torna massa lenta per funcionar. Atacs DDoS Feu servir diversos sistemes compromesos per llançar atacs coordinats contra la vostra infraestructura. Aquests atacs distribuïts són més difícils d'aturar perquè provenen de molts llocs simultàniament. Els atacs DDoS poden interrompre serveis crítics, des de llocs web governamentals fins a operacions del sector privat. El període entre la detecció i el dany material és curt, i el rellotge de notificació segons la Llei de ciberseguretat comença a les 24 hores. Aquest període estret fa que la resposta ràpida sigui essencial quan s'enfronten a atacs DoS o DDoS.Frau i accés no autoritzat
Frau en ciberseguretat implica pràctiques enganyoses per obtenir accés no autoritzat als vostres sistemes o dades. Això inclou el robatori d'identitat, el frau en els pagaments i la violació de credencials. Accés no autoritzat passa quan algú incompleix les vostres polítiques de seguretat per accedir a xarxes, sistemes o dades sense permís. Això pot passar a través de:- Credencials d'inici de sessió robades
- Vulnerabilitats del programari explotat
- Controls de seguretat ignorats
- Amenaces internes d'empleats actuals o antics
Vulnerabilitats del sector i de la cadena de subministrament
Els sectors d'infraestructures crítiques s'enfronten a riscos més elevats derivats de la ciberdelinqüència, i els principals objectius són l'atenció sanitària, l'energia i els serveis financers. Les empreses de serveis professionals són un objectiu recurrent precisament perquè tenen dades concentrades dels clients. Seguretat de la cadena de subministrament ha adquirit cada cop més importància, ja que els atacants es dirigeixen als vostres socis i proveïdors externs en lloc d'atacar-vos directament. Aquests atacs de proveïdors externs exploten mesures de seguretat més febles de les vostres organitzacions associades per accedir a les dades dels vostres clients. Les vulnerabilitats de la cadena de subministrament permeten als atacants comprometre diverses organitzacions a través d'una sola violació. Quan els sistemes del vostre proveïdor es connecten als vostres, les seves debilitats de seguretat es converteixen en les vostres debilitats de seguretat. Aquest risc interconnectat significa que heu d'avaluar no només les vostres pròpies mesures de ciberseguretat, sinó també les de totes les organitzacions de la vostra cadena de subministrament. Els estats nació proven i penetren cada cop més en espais cibernètics rivals, sovint operant sota l'aparença d'entitats privades mentre actuen en nom dels governs.Preguntes freqüents
Les empreses neerlandeses han de complir amb requisits estrictes d'informació i estàndards de compliment després d'una violació de dades, i la responsabilitat s'estén a múltiples parts en funció dels seus rols i responsabilitats. Comprendre aquestes obligacions ajuda les organitzacions a protegir-se a si mateixes i a les persones afectades, alhora que mantenen el compliment de les normatives nacionals i europees.Quines són les obligacions legals de les empreses neerlandeses després d'una violació de dades?
La vostra organització ha de notificar a l'Autoritat de Protecció de Dades dels Països Baixos (Autoriteit Persoonsgegevens) en un termini de 72 hores després de tenir coneixement d'una violació de dades.
Aquest requisit s'aplica en virtut del RGPD, que regula la protecció de dades als Països Baixos.
Heu de proporcionar informació específica a la notificació de violació de seguretat.
Això inclou la naturalesa de la violació, el nombre de persones afectades, les possibles conseqüències i les mesures que heu pres o teniu previst prendre.
Si no podeu proporcionar tots els detalls en un termini de 72 hores, heu d'explicar el retard i enviar la informació restant el més aviat possible.
Quan la violació suposi un alt risc per als drets i les llibertats de les persones, també heu d'informar-ne directament a les persones afectades.
No podeu endarrerir aquesta notificació sense motius justificats.
La vostra comunicació amb les persones afectades ha de ser clara i explicar les possibles conseqüències de la violació i les mesures que poden prendre per protegir-se.
Heu de mantenir una documentació detallada de totes les filtracions de dades, independentment de si les informeu a les autoritats.
Aquesta documentació ha d'incloure els fets relacionats amb la infracció, els seus efectes i les mesures correctores preses.
L'Autoritat de Protecció de Dades dels Països Baixos pot sol·licitar aquesta documentació durant les inspeccions o investigacions.
Com es determina la responsabilitat per les filtracions de dades segons la legislació neerlandesa?
La responsabilitat per les filtracions de dades als Països Baixos depèn del vostre rol com a controlador o encarregat del tractament de dades.
Els responsables del tractament de dades determinen les finalitats i els mitjans del tractament de les dades personals, mentre que els encarregats del tractament gestionen les dades en nom dels responsables del tractament.
Les teves responsabilitats legals varien segons aquesta classificació.
Com a responsable del tractament de dades, vostè té la responsabilitat principal de garantir el compliment de les normes de protecció de dades.
Heu d'implementar mesures tècniques i organitzatives adequades per protegir les dades personals.
Els tribunals avaluen si vau prendre mesures raonables per evitar la violació i si vau actuar de manera negligent en les vostres pràctiques de seguretat.
Els encarregats del tractament de dades també poden afrontar responsabilitats si no segueixen les instruccions del responsable o incompleixen les seves obligacions contractuals.
No obstant això, els encarregats del tractament solen tenir una responsabilitat més limitada que els controladors.
Si processeu dades sense l'autorització adequada del responsable del tractament o no implementeu les mesures de seguretat acordades, podeu ser considerat directament responsable.
Els tribunals neerlandesos apliquen diversos factors a l'hora de determinar la responsabilitat.
Aquests inclouen la gravetat de la violació, la sensibilitat de les dades compromeses, les vostres mesures de seguretat abans de la violació i la vostra resposta després de descobrir l'incident.
La mida i els recursos de la vostra organització també influeixen en el que els tribunals consideren mesures de seguretat raonables.
La responsabilitat conjunta pot sorgir quan diverses parts contribueixen a una violació de dades.
Si compartiu la responsabilitat amb altres controladors o encarregats del tractament, els tribunals poden considerar que cada part és responsable de la totalitat dels danys.
Aleshores, podeu sol·licitar una compensació a altres parts responsables en funció de les seves respectives contribucions a la violació.
Quines parts poden ser considerades responsables dels incidents de seguretat de dades als Països Baixos?
Els responsables del tractament de dades tenen la responsabilitat principal dels incidents de seguretat de les dades.
Com a responsable del tractament, preneu decisions sobre com es processen les dades personals i heu de garantir que s'implementin les mesures de seguretat adequades.
La vostra organització pot afrontar multes administratives, responsabilitat civil i danys a la reputació després d'una infracció.
Els encarregats del tractament de dades poden ser considerats responsables quan incompleixen les seves obligacions contractuals i legals.
Si processeu dades en nom d'un responsable del tractament, heu d'implementar les mesures de seguretat especificades en el vostre acord i complir les instruccions legals del responsable del tractament.
T'enfrontes a una responsabilitat directa si excedeixes la teva autoritat o no mantens una seguretat adequada.
Els directors i directius de la vostra organització poden afrontar responsabilitat personal en determinades circumstàncies.
Segons la implementació de la Directiva NIS2 als Països Baixos, la direcció pot ser considerada personalment responsable dels errors en la governança de la ciberseguretat.
Això inclou la possible inhabilitació per exercir el càrrec de director si es produeixen infraccions greus.
Els proveïdors de serveis externs també poden assumir la responsabilitat dels incidents de seguretat.
Si depeneu de serveis al núvol , assistència informàtica o altres proveïdors externs, és possible que aquests comparteixin la responsabilitat quan els seus errors contribueixin a una violació de seguretat.
Els vostres contractes amb aquests proveïdors han de definir clarament les responsabilitats de seguretat i els termes de la responsabilitat.
L'Autoritat de Protecció de Dades dels Països Baixos actua com a principal òrgan encarregat de fer complir la normativa.
Tot i que no és directament responsable dels incompliments, l'Autoritat investiga incidents, emet ordres correctives i imposa multes administratives a les organitzacions que incompleixen la normativa.
Quines repercussions afronten les organitzacions per l'incompliment de les normatives neerlandeses de protecció de dades?
La vostra organització pot afrontar multes administratives de fins a 20 milions d'euros o el 4% de la vostra facturació anual global, l'import que sigui més alt. L'Autoritat de Protecció de Dades dels Països Baixos determina l'import de les multes en funció de la naturalesa, la gravetat, la durada i la vostra cooperació durant les investigacions.
Més enllà de les sancions econòmiques, l'Autoritat pot imposar mesures correctives que interrompin les vostres operacions. Aquestes mesures inclouen restriccions temporals sobre les activitats de processament de dades, ordres per rectificar infraccions específiques i auditories obligatòries.
És possible que hàgiu de suspendre certes activitats comercials fins que demostreu el compliment de la normativa. La vostra organització corre el risc de patir danys importants a la seva reputació a causa de l'incompliment.
La divulgació pública de les violacions de dades i les sancions reglamentàries poden erosionar la confiança dels clients i danyar les relacions comercials. L'Autoritat de Protecció de Dades dels Països Baixos publica les decisions d'aplicació de la llei, que continuen sent accessibles al públic i als mitjans de comunicació.
És possible que us enfronteu a demandes civils per part de persones afectades que demanin una compensació per danys i perjudicis. Les persones poden reclamar danys materials i morals derivats de violacions de la protecció de dades.
Els tribunals neerlandesos han reconegut cada cop més les demandes per deteriorament i pèrdua de control sobre dades personals, fins i tot sense pèrdues econòmiques directes. Les vostres oportunitats de negoci poden veure's restringides després d'infraccions greus.
Alguns sectors requereixen certificacions de seguretat o registres de compliment per mantenir els contractes, especialment quan es tracta d'entitats governamentals o indústries regulades.
De quines maneres poden les persones afectades sol·licitar reparació després d'una violació de dades als Països Baixos?
Podeu presentar una queixa a l'Autoritat de Protecció de Dades dels Països Baixos si creieu que una organització ha violat els vostres drets de protecció de dades. L'Autoritat investiga les queixes i pot prendre mesures coercitives contra les organitzacions que no compleixin la normativa.
Aquest procés no et costa res i no requereix representació legal. Tens dret a emprendre un litigi civil contra l'organització responsable.
La legislació neerlandesa us permet reclamar una indemnització tant per danys materials com no materials derivats de violacions de la protecció de dades. Els danys materials inclouen pèrdues econòmiques, mentre que els danys no materials cobreixen l'angoixa, l'ansietat i la pèrdua de control sobre les vostres dades personals.
Els advocats neerlandesos no solen treballar amb el sistema "si no es cura, no es cobra", però hi ha assistència jurídica subvencionada disponible si es compleixen els criteris d'ingressos i capital establerts per la Junta d'Assistència Jurídica.
Les accions col·lectives en virtut de la Llei sobre la reparació de danys massius en accions col·lectives ( WAMCA ) permeten a una fundació o associació presentar una reclamació per un grup definit, i diverses accions d'aquest tipus per violacions de dades ja s'han presentat davant els tribunals neerlandesos. Podeu sol·licitar una compensació directament a l'organització sense anar a judici.
Moltes organitzacions prefereixen resoldre les reclamacions de forma privada per evitar costos judicials i publicitat negativa. La vostra posició negociadora es reforça si l'organització ha violat clarament les normes de protecció de dades o si la violació ha causat danys importants.
També podeu presentar reclamacions contra els encarregats del tractament de dades si són responsables de la violació. Segons el RGPD, tant els responsables del tractament com els encarregats del tractament poden ser considerats responsables dels danys i perjudicis.
Si diverses parts han contribuït a la violació, podeu reclamar l'import total a qualsevol de les parts responsables.
Com influeix el RGPD en la responsabilitat en cas de violació de dades per a les entitats que operen als Països Baixos?
El RGPD estableix obligacions clares per a les organitzacions pel que fa a la protecció de dades personals.
Les entitats han d'implementar mesures tècniques i organitzatives adequades per garantir la seguretat de les dades.
En cas de violació de dades, les organitzacions han de notificar-ho a l'autoritat supervisora pertinent en un termini de 72 hores.
Si la violació representa un alt risc per als drets i les llibertats de les persones, també s'ha d'informar les persones afectades.
L'incompliment d'aquests requisits pot comportar multes importants i danys a la reputació de l'organització.
Tant els responsables del tractament de dades com els encarregats del tractament tenen responsabilitats diferents en virtut del RGPD, i els contractes han de definir clarament aquestes funcions.
Com Law & More us pot ajudar amb això s'explica al nostre advocat informàtic
