Perlindungan data di Belanda bertumpu pada dua instrumen. Peraturan Perlindungan Data Umum (GDPR) berlaku langsung di seluruh Uni Eropa dan menetapkan aturan substantif: prinsip-prinsip, dasar hukum, hak-hak subjek data, dan kewajiban pengendali dan pengolah data. Bersamaan dengan itu, Undang-Undang Pelaksanaan GDPR Belanda (Uitvoeringswet AVG, UAVG) mengisi pilihan yang diberikan oleh Peraturan tersebut kepada negara-negara anggota dan menunjuk Otoritas Perlindungan Data Belanda (Autoriteit Persoonsgegevens) sebagai otoritas pengawas.
Karena Regulasi tersebut berlaku secara langsung, maka GDPR itu sendiri yang harus dipatuhi oleh suatu organisasi. Undang-Undang Pelaksanaan menjadi penting jika pilihan nasional telah dibuat – dan justru poin-poin inilah yang cenderung diabaikan oleh organisasi yang beroperasi di beberapa negara anggota.
Apa yang ditambahkan oleh Undang-Undang Pelaksanaan?
UAVG mengisi sejumlah pilihan nasional yang terbatas. Berdasarkan pasal 5 UAVG, anak di bawah usia enam belas tahun memerlukan persetujuan orang tua atau wali sebelum layanan masyarakat informasi dapat mengandalkan persetujuan sebagai dasar hukum; mulai usia enam belas tahun, anak tersebut dapat memberikan persetujuan sendiri.
Undang-undang ini juga mengatur pemrosesan data kategori khusus dalam situasi tertentu. Pasal 29 UAVG mengizinkan pemrosesan data biometrik untuk identifikasi unik jika hal ini diperlukan untuk tujuan otentikasi atau keamanan, pengecualian yang digunakan organisasi untuk kontrol akses dan sistem login. UAVG selanjutnya memuat ketentuan tentang pemrosesan data kriminal dan mengatur pengecualian di bidang-bidang seperti jurnalisme, penelitian, dan pengarsipan, serta menetapkan wewenang Otoritas Perlindungan Data dan prosedur yang terkait dengannya.
Yang tidak dilakukan adalah menciptakan rezim yang lebih ringan. Jika Peraturan dan Undang-Undang dibaca bersama, Peraturan menetapkan standar dan Undang-Undang menentukan bagaimana sejumlah pertanyaan nasional yang terbatas dijawab.
Kewajiban mana yang penting dalam praktiknya?
Empat hal mencakup sebagian besar pekerjaan. Catatan aktivitas pemrosesan berdasarkan pasal 30 GDPR, yang merupakan dokumen pertama yang diminta oleh otoritas pengawas dan yang memaksa organisasi untuk mengetahui apa yang sebenarnya mereka miliki. Dasar hukum untuk setiap operasi pemrosesan, yang dipilih secara sengaja daripada secara otomatis menggunakan persetujuan, yang seringkali merupakan dasar terlemah yang tersedia karena harus diberikan secara bebas dan dapat ditarik kapan saja.
Perjanjian pemrosesan data dengan setiap pengolah data berdasarkan pasal 28 GDPR, dan perlindungan yang memadai jika data pribadi keluar dari Wilayah Ekonomi Eropa. Dan prosedur kerja untuk hak subjek data dan pemberitahuan pelanggaran, yang harus mampu beroperasi dalam jangka waktu pemberitahuan tujuh puluh dua jam sebagaimana diatur dalam pasal 33 GDPR.
Bagaimana GDPR ditegakkan?
Otoritas Perlindungan Data Belanda dapat melakukan investigasi, memerintahkan tindakan, memberlakukan larangan pemrosesan, dan mengenakan denda kepada organisasi. Berdasarkan pasal 83 GDPR, denda dapat mencapai €10 juta atau 2% dari total omset tahunan di seluruh dunia untuk pelanggaran kewajiban administratif, dan hingga €20 juta atau 4% dari omset, mana pun yang lebih tinggi, untuk pelanggaran prinsip inti, hak subjek data, atau aturan transfer internasional.
Selain penegakan peraturan, individu dapat menuntut kompensasi, dan tindakan kolektif di bidang ini telah menjadi risiko nyata di Belanda sejak diperkenalkannya rezim ganti rugi kolektif (WAMCA) pada tahun 2020.
Singkatnya
- GDPR menetapkan aturan substantif secara langsung; UAVG hanya mengisi pilihan nasional yang dibiarkan terbuka oleh Regulasi tersebut.
- Berdasarkan pasal 5 UAVG, seorang anak memerlukan persetujuan orang tua untuk mengakses layanan masyarakat informasi hingga usia enam belas tahun.
- Pasal 29 UAVG memperbolehkan penggunaan data biometrik untuk tujuan otentikasi atau keamanan sebagai pengecualian dari larangan umum.
- Catatan aktivitas pemrosesan, dasar hukum per operasi pemrosesan, perjanjian pemroses, dan prosedur pelanggaran yang mencakup periode pemberitahuan tujuh puluh dua jam merupakan sebagian besar pekerjaan kepatuhan.
- Denda berdasarkan pasal 83 GDPR dapat mencapai €20 juta atau 4% dari omset global, dan individu serta kelompok dapat mengajukan klaim kompensasi secara terpisah.
Pertanyaan yang sering diajukan
Apakah kita membutuhkan petugas perlindungan data?
Hanya jika Peraturan mensyaratkannya: otoritas publik, dan organisasi yang kegiatan intinya melibatkan pemantauan rutin skala besar atau pemrosesan data kategori khusus skala besar. Banyak organisasi menunjuk seseorang secara sukarela, yang membawa serta posisi dan perlindungan hukum.
Apakah persetujuan merupakan dasar yang paling aman?
Biasanya justru sebaliknya. Persetujuan harus diberikan secara bebas dan dapat ditarik kapan saja, setelah itu pemrosesan harus dihentikan. Kepentingan yang sah atau pelaksanaan kontrak seringkali menjadi dasar yang lebih kuat, asalkan penilaian tersebut didokumentasikan.
Apakah GDPR berlaku bagi kami jika kami berada di luar Uni Eropa?
Bisa. Peraturan ini berlaku jika barang atau jasa ditawarkan kepada orang-orang di Uni Eropa atau perilaku mereka dipantau di sana, terlepas dari tempat organisasi tersebut didirikan.
Saran tentang perlindungan data
Upaya kepatuhan akan lebih efektif jika dimulai dari apa yang sebenarnya dilakukan organisasi terhadap data, bukan dari templat. Kami memberikan saran mengenai pencatatan data, dasar hukum, perjanjian pengolah data, transfer internasional, penilaian dampak, dan respons terhadap pelanggaran data.
Tidak yakin dengan situasi Anda? Ceritakan kepada kami tentang keadaan Anda. Kami akan memberi tahu Anda pilihan yang tersedia dalam satu hari kerja.
Seterpercayaapakah Olymp Trade? Kesimpulan Law & More Yang dapat membantu Anda dalam hal ini dijelaskan di halaman kami. Pengacara TI .
