La protecció de dades als Països Baixos es basa en dos instruments. El Reglament general de protecció de dades (RGPD) s'aplica directament a tota la Unió Europea i estableix les normes substantives: els principis, les bases jurídiques, els drets dels interessats i les obligacions dels responsables i encarregats del tractament. Paral·lelament, la Llei neerlandesa d'implementació del RGPD (Uitvoeringswet AVG, UAVG) completa les opcions que el Reglament deixava als estats membres i designa l'Autoritat neerlandesa de protecció de dades (Autoriteit Persoonsgegevens) com a autoritat de control.
Com que el Reglament és directament aplicable, una organització ha de complir el RGPD. La Llei d'implementació és important quan s'ha fet una elecció nacional, i són precisament aquests punts els que les organitzacions que operen en diversos estats membres tendeixen a passar per alt.
Què afegeix la Llei d'Implementació?
La UAVG omple un nombre limitat d'opcions nacionals. Segons l'article 5 de la UAVG, un infant menor de setze anys necessita el consentiment d'un pare o tutor abans que els serveis de la societat de la informació puguin basar-se en el consentiment com a base legal; a partir dels setze anys, l'infant pot consentir sol.
La Llei també preveu el processament de dades de categoria especial en situacions definides. L'article 29 de la UAVG permet que es processin dades biomètriques per a la identificació única quan això sigui necessari per a l'autenticació o la seguretat, una excepció que les organitzacions utilitzen per als sistemes de control d'accés i inici de sessió. La UAVG també conté disposicions sobre el processament de dades delictives i regula exempcions en àrees com el periodisme, la recerca i l'arxivament, i estableix les competències de l'Autoritat de Protecció de Dades i els procediments que les envolten.
El que no fa és crear un règim més lleuger. Quan el Reglament i la Llei es llegeixen conjuntament, el Reglament estableix l'estàndard i la Llei determina com es respon a un nombre limitat de preguntes nacionals.
Quines obligacions importen a la pràctica?
Quatre coses expliquen la major part de la feina. Un registre de les activitats de tractament en virtut de l'article 30 del RGPD, que és el document que una autoritat supervisora sol·licita primer i que obliga una organització a saber què té realment. Una base jurídica per a cada operació de tractament, escollida deliberadament en lloc de recórrer al consentiment per defecte, que sovint és la base més feble disponible perquè ha de ser donat lliurement i es pot retirar en qualsevol moment.
Acords de processament de dades amb cada encarregat del tractament en virtut de l'article 28 del RGPD, i garanties adequades quan les dades personals surten de l'Espai Econòmic Europeu. I un procediment de treball per als drets dels interessats i per a la notificació d'infracció, que ha de ser capaç de funcionar dins del període de notificació de setanta-dues hores de l'article 33 del RGPD.
Com s'aplica el RGPD?
L'Autoritat de Protecció de Dades dels Països Baixos pot investigar, ordenar mesures, imposar prohibicions de processament i multar organitzacions. Segons l'article 83 del RGPD, les multes arriben fins als 10 milions d'euros o el 2% de la facturació anual total mundial per incompliment de les obligacions administratives, i fins als 20 milions d'euros o el 4% de la facturació, el que sigui més alt, per incompliment dels principis bàsics, els drets dels interessats o les normes de transferència internacional.
Juntament amb l'aplicació de la normativa, els particulars poden reclamar una indemnització, i les accions col·lectives en aquest camp s'han convertit en una veritable exposició als Països Baixos des de la introducció del règim de danys col·lectius (WAMCA) el 2020.
En resum
- El RGPD estableix les normes substantives directament; el UAVG només completa les opcions nacionals que el Reglament deixa obertes.
- Segons l'article 5 de la UAVG, un infant necessita el consentiment dels pares per als serveis de la societat de la informació fins als setze anys.
- L'article 29 de la UAVG permet que les dades biomètriques s'utilitzin amb finalitats d'autenticació o seguretat com a excepció a la prohibició general.
- Un registre d'activitats de processament, una base legal per operació de processament, acords amb l'encarregat del tractament i un procediment d'incompliment que cobreixi el període de notificació de setanta-dues hores representen la major part del treball de compliment.
- Les multes en virtut de l'article 83 del RGPD arriben fins als 20 milions d'euros o el 4% de la facturació mundial, i els individus i els grups poden reclamar una indemnització per separat.
Preguntes freqüents
Necessitem un delegat de protecció de dades?
Només quan el Reglament ho exigeix: autoritats públiques i organitzacions les activitats principals de les quals impliquen un seguiment regular a gran escala o un tractament a gran escala de dades de categoria especial. Moltes organitzacions en designen un voluntàriament, cosa que comporta la posició legal i les proteccions.
És el consentiment la base més segura?
Normalment és el contrari. El consentiment ha de ser donat lliurement i es pot retirar en qualsevol moment, després del qual el processament ha d'aturar-se. Els interessos legítims o l'execució d'un contracte solen ser la base més sòlida, sempre que l'avaluació estigui documentada.
Ens aplica el RGPD si som fora de la UE?
Sí que pot. El Reglament s'aplica quan s'ofereixen béns o serveis a persones de la Unió Europea o es controla el seu comportament allà, independentment d'on estigui establerta l'organització.
Assessorament sobre protecció de dades
El treball de compliment normatiu és més eficaç quan comença a partir del que una organització fa realment amb les dades en lloc d'una plantilla. Assessorem sobre el processament de registres, bases legals, acords de processament, transferències internacionals, avaluacions d'impacte i resposta a infraccions.
No esteu segurs de la vostra situació? Expliqueu-nos la vostra situació. Us informarem de les vostres opcions en el termini d'un dia laborable.
Com Law & More us pot ajudar amb això s'explica al nostre advocat informàtic
