D'Autoriteit Persoonsgegevens (AP) ass déi hollännesch Dateschutzautoritéit: déi onofhängeg Iwwerwaachungsautoritéit, déi d'DSGVO an den Nidderlanden ëmsetzt. Si gouf duerch den DSGVO-Ëmsetzungsgesetz (Uitvoeringswet AVG) gegrënnt, deen si als Iwwerwaachungsautoritéit bezeechent, déi an Artikel 51 vun der DSGVO genannt ass, a si eng Rechtsperséinlechkeet gëtt. D'AP iwwerwaacht Organisatiounen am ëffentlechen a private Secteur, behandelt Reklamatioune vu Privatpersounen, empfängt Meldungen iwwer Datenverletzungen a kann Uerder a Geldstrofe verhängen.
Wat d'AP net ass, ass e Geriicht. Si schlicht keng Sträitfäll tëscht enger Persoun an enger Firma, a si kann keng Entschiedegung zouspriechen; dës Weeër lafen iwwer d'Zivilgeriichter a verfollegen hir eege Fristen. Dësen Artikel beschreift d'Aufgaben a Befugnisser vun der AP, wéi eng Plainte an der Praxis funktionéiert, wat geschitt wann d'AP eng Enquête géint Är Organisatioun ufänkt, a wéi d'Iwwerwaachung vun der AP sech op Prozedure viru Geriicht bezitt.
Wat d'AP ass a wou hir Kompetenzen hierkommen
D'AP ass eng onofhängeg Verwaltungsautoritéit. Hir Onofhängegkeet ass vun der DSGVO selwer verlaangt a gëtt am Ëmsetzungsgesetz festgeluecht: d'Regierung kann hir keng Instruktiounen a individuellen Fäll ginn, an hir Verwaltungsrotmembere gi fir eng festgeluecht Dauer ernannt. Gläichzäiteg ass si eng Verwaltungsautoritéit am hollännesche Sënn, dat heescht, datt den Allgemengen Verwaltungsrechtsgesetz (General Administrative Law Act) regelt, wéi si Entscheedunge virbereet a trëfft, a wéi dës Entscheedunge kënne contestéiert ginn.
Säin Aufgabenberäich ass méi breet wéi nëmmen d'DSGVO. Nieft der DSGVO an dem Ëmsetzungsgesetz iwwerwaacht d'AP spezifesch Dateschutzgesetzgebung, dorënner d'Reegele fir Police- a Justizdaten, a gewährt d'Lizenzen, déi Privatpersounen fir bestëmmt Warnlëschten a Registere mat Strofrechtsdaten brauchen. Si huet och eng koordinéierend Roll bei der Iwwerwaachung vun Algorithmen, a weider Aufgaben am Beräich vun der kënschtlecher Intelligenz ergräifen aus der nationaler Bezeechnung vun Iwwerwaachungsautoritéiten am Kader vun der europäescher KI-Veruerdnung, déi an der Ëmsetzungsgesetzgebung festgeluecht ass.
Territorial iwwerwaacht d'AP d'Veraarbechtung vun Organisatiounen, déi an den Nidderlanden etabléiert sinn, an d'Veraarbechtung, déi u Persounen an den Nidderlanden geriicht ass, vun Organisatiounen, déi baussent der Europäescher Unioun etabléiert sinn. Wa leschtgenannt Wueren oder Servicer u Persounen an der Unioun ubidden oder d'Verhale vun dëse Persounen iwwerwaachen, musse si e Vertrieder an der Unioun designéieren. D'Feele vun engem sou engem Vertrieder war an der Praxis e selbstännege Grond fir d'Duerchsetzung duerch d'AP.
Wat d'AP mécht: Iwwerwaachung, Orientéierung a Lizenzen
Artikel 57 vun der DSGVO lëscht d'Aufgaben vun all Iwwerwaachungsautoritéit op, an d'Aarbecht vun der AP verfollegt dës enk. Si iwwerwaacht an duerchsetzt d'Uwendung vun der DSGVO, fërdert d'Ëffentlechkeet, beréit d'Regierung an d'Parlament iwwer Gesetzer, déi perséinlech Donnéeën betreffen, behandelt Reklamatiounen, kooperéiert mat den aneren europäeschen Autoritéiten a publizéiert Richtlinnen, wéi d'Reegelen an der Praxis ugewannt solle ginn. Hir Richtlinne sinn keng Gesetzgebung, awer si weisen, wéi d'Reguléierungsautoritéit e Fall ugoe wäert, wat et wäert ass, se ze liesen, ier eng Veraarbechtung geplangt gëtt, anstatt duerno.
Zwou spezifesch Funktiounen verdéngen d'Erwähnung, well se doran féieren, am Viraus bei der AP ze goen, anstatt duerno zur Rechenschaft geruff ze ginn. Déi éischt ass d'Virauskonsultatioun: wa eng Impaktbeurteilung vum Dateschutz e groussen Reschtrisiko weist, deen de Verantwortleche net mitigabe kann, verlaangt Artikel 36 vun der DSGVO, datt de Verantwortleche sech mat der AP auseinandersetzt, ier d'Veraarbechtung ufänkt. Déi zweet ass de Lizenzregime fir bestëmmte Warnlëschten, ënner deem Privatpersounen nëmmen Informatiounen iwwer zum Beispill Bedruch deele kënnen, wann d'AP d'Arrangement autoriséiert huet.
D'Befugnisser vun der AP: Enquête a Korrektur
Artikel 58 vun der DSGVO deelt d'Befugnisser vun der Verwaltungsvollstreckung (AP) an zwou Gruppen, an den Ënnerscheed spillt eng Roll fir d'Reaktioun. D'Ermëttlungsbefugnisser erlaben et der Verwaltungsvollstreckung, engem Verantwortlechen oder Veraarbechter ze beoptragen, Informatiounen ze liwweren, Auditen an Iwwerpréiwungen duerchzeféieren, Zougang zu perséinlechen Donnéeën a Raimlechkeeten an Ausrüstung ze kréien. D'Zesummenaarbecht ass obligatoresch, an an engem hollännesche Kontext fëllen déi allgemeng Reegele fir d'Iwwerwaachung am Allgemengen Verwaltungsrechtsgesetz aus, wéi d'Inspekteren dës Befugnisser ausüben.
D'Korrekturbefugnisser reeche vu liicht bis schwéier. D'AP kann eng Warnung erausginn, datt déi geplangt Veraarbechtung wahrscheinlech géint d'Reegele verstéisst, oder eng Ermahnung, wann d'Veraarbechtung géint dës Reegele verstouss huet. Si kann engem Verantwortlechen uweisen, der Ufro vun enger betraffener Persoun nozekommen, d'Veraarbechtung bannent enger bestëmmter Zäit un d'DSGVO anzepassen oder Persounen iwwer eng Datenverletzung z'informéieren. Si kann eng temporär oder definitiv Aschränkung vun der Veraarbechtung, dorënner e Verbuet, verhängen an d'Suspendéierung vun Dateniwwerdroungen an e Land ausserhalb vun der Unioun uweisen. Schlussendlech kann si eng administrativ Geldstrof verhängen, entweder amplaz vun oder zousätzlech zu enger vun dëse Moossnamen.
Zwee Charakteristike vun der hollännescher Praxis sinn derwäert ze kennen. Eng Uweisung gëtt normalerweis mat enger Strof kombinéiert, sou datt weider Net-Konformitéit automatesch Sue kascht, ouni datt eng nei Entscheedung néideg ass. An d'Héicht vun enger Geldstrof gëtt net fräi gewielt: d'DSGVO leet de gesetzleche Maximum fest an d'AD huet Strofregelen publizéiert, déi eng Verletzung an eng Kategorie placéieren an eng Bandbreet dran festleeën, andeems se d'Gravitéit, d'Dauer, d'Intentioun, d'Zuel vun de betraffene Persounen an d'Zesummenaarbecht mat der Enquête berücksichtegen. Well eng Geldstrof eng Strofsanktioun ass, gëllen déi hei ënnendrënner beschriwwe Sécherheetsmoossnamen ab dem Moment wou d'AD ufänkt Froen ze stellen. Eise Artikel iwwer d'administrativ Geldstrof an den Nidderlanden erkläert dëse Regime allgemeng.
Reklamatioun bei der AP areechen
Artikel 77 vun der DSGVO gëtt all Persoun d'Recht, eng Plainte bei enger Iwwerwaachungsautoritéit anzeleeën, wann si mengt, datt d'Veraarbechtung vun hire perséinlechen Donnéeën géint d'Reegele verstéisst. An Holland ass dës Autoritéit d'AP, a Plainte ginn iwwer hiren eegene Plaintekanal agereecht.
D'Sequenz, déi Resultater bréngt, ass einfach. Reecht d'Ufro oder den Einwand als éischt schrëftlech un d'Organisatioun selwer a gitt un, wéi e Recht Dir Iech invocéiert; d'Organisatioun muss ouni onnéideg Verspéidung an am Prinzip bannent engem Mount äntweren. Behält alles: d'Ufro, d'Äntwert, d'Datumer, d'Dateschutznotiz wéi se deemools war an all Screenshots. Reecht dann d'Plainte an, an där Dir beschreift, wien wéi eng Donnéeën veraarbecht huet, wéi e Recht verletzt gouf a wat d'Konsequenze fir Iech waren. Eng Plainte, déi Dokumenter an Datumer opgëtt, gëtt vill méi séier bewäert wéi eng, déi e Gefill vun Onrou beschreift.
Sidd realistesch wat d'Zukunft ugeet. D'AP kritt vill méi Reklamatiounen, wéi se individuell ënnersiche kann, a wielt op Basis vu publizéierte Prioritéiten aus, sou datt eng Reklamatioun als Signal registréiert ka ginn, anstatt zu enger Enquête ze féieren. Si kann d'Organisatioun net uweisen, Iech eng Entschiedegung ze bezuelen, an si handelt net als Äre Vertrieder. Wat se maache kann, ass d'Organisatioun ze uweisen, sech un d'Reegelen ze halen, an eng gutt dokumentéiert Reklamatioun iwwer e strukturellt Problem ass déi Zort vu Fall, déi zu enger Iwwerwaachung féiert. No Artikel 78 vun der DSGVO hutt Dir d'Recht, bannent dräi Méint iwwer de Fortschrëtt oder de Resultat vun Ärer Reklamatioun informéiert ze ginn, a wann d'AP net handelt, kënnt Dir dëse Versoen viru Geriicht bréngen.
Datenleck bei der AP mellen
Eng Verstouss géint perséinlech Daten muss der AP ouni onnéideg Verspéidung a wa méiglech bannent 72 Stonnen nodeems de Verantwortleche se gemierkt huet, gemellt ginn, ausser et ass onwahrscheinlech, datt d'Verstouss e Risiko fir d'Rechter a Fräiheete vun de Persounen duerstellt (Artikel 33 vun der DSGVO). Wann d'Verstouss e grousst Risiko mat sech bréngt, mussen déi betraffe Persounen och a klorer Sprooch an ouni onnéideg Verspéidung informéiert ginn (Artikel 34). All Verstouss muss intern registréiert ginn, egal ob se gemellt gëtt oder net, an dëse Register ass dat Éischt, wat d'AP verlaangt.
Dräi praktesch Punkte bestëmmen, wéi dës Fäll weidergoen. Déi zweeanzwanzeg Stonne lafen vun der Bewosstsinnszäit un, net vum Moment wou d'Enquête ofgeschloss ass; eng onvollstänneg Notifikatioun, déi spéider ergänzt gëtt, ass besser wéi eng spéit. D'Risikobewäertung muss dokumentéiert ginn, well eng Entscheedung, keng Notifikatioun ze maachen, muss duerno begrënnt ginn. A wann d'Organisatioun en Haaptsëtz soss anzwousch an der Unioun huet, geet d'Notifikatioun un déi féierend Autoritéit vun deem Land anstatt un den AP. E Veraarbechter, deen eng Verletzung entdeckt, muss säi Verantwortleche ouni onnéideg Verspéidung informéieren, dofir sollt an der Datenveraarbechtungsofkommes eng intern Frist festgeluecht ginn, déi méi kuerz ass wéi déi gesetzlech.
Wann d'AP eng Enquête géint Är Organisatioun ufänkt
Eng Enquête fänkt normalerweis mat enger schrëftlecher Ufro no Informatiounen un, anstatt mat Inspekteren virun der Dier. Äntwert se korrekt an zäitlech, a haalt d'Äntwert am Aklang mat Ärer eegener Dokumentatioun; Widderspréch tëscht deem wat Dir schreift an deem wat Är Opzeechnunge weisen, verursaache méi Schued wéi de urspréngleche Manktem. Ernennt eng Persoun fir ze koordinéieren, normalerweis den Dateschutzbeauftragten, a féiert e Protokoll dovun, wat geliwwert gouf a wéini.
D'Garantien, déi gëllen, sinn déi vum hollännesche Verwaltungsrecht. Ier d'AP eng Entscheedung trëfft, déi Iech negativ ass, muss se Iech d'Méiglechkeet ginn, Iech ze mellen an de Bericht vun de Resultater ze gesinn, op deen se sech baséiert. Wann d'AP eng Strofsanktioun wéi eng Geldstrof iwwerleet, ass déi befrote Persoun net verflicht, Aussoen iwwer déi mutmasslech Verletzung ze maachen a muss dofir gewarnt ginn; dëst Recht gehéiert och der Organisatioun, déi ënnersicht gëtt. D'Beweislaascht fir d'Verletzung läit bei der AP.
Soubal eng Entscheedung getraff gouf, fänkt d'Zäit un. Dir hutt sechs Wochen Zäit fir e Widdersproch beim AP anzeginn, an nach weider sechs Wochen Zäit fir beim Bezirksgeriicht géint d'Entscheedung iwwer dëse Widdersproch Appel anzeleeën, mat engem leschte Appel bei der Divisioun fir Verwaltungsgeriichtlechkeet vum Staatsrot. An dringende Fäll, zum Beispill wou e Veraarbechtungsverbuet den Operatiounen ënnerbriechen géif, kann nieft dem Widdersproch eng virleefeg Moossnam beim Geriicht ugefrot ginn. D'Publikatioun ass eng separat Iwwerleeung: den AP publizéiert seng Ëmsetzungsentscheedungen, an den Zäitpunkt vun där Verëffentlechung kann selwer a Fro gestallt ginn.
D'AP an d'Geriichter: zwou separat Weeër
Iwwerwaachung vum AP a Prozedure viru Geriicht sinn parallel Weeër, keng Etappen vum selwechte Prozess, an d'Wiel vum falschen Wee kascht Zäit a heiansdo och d'Fuerderung selwer.
Wann eng privat Organisatioun eng Ufro fir d'Ausübung vun hire Rechter refuséiert oder ignoréiert, gesäit d'GDPR-Ëmsetzungsgesetz eng spezifesch Prozedur vir: déi betraffe Persoun kann sech per Petitioun beim Bezirksgeriicht wenden, a muss dat bannent sechs Wochen nodeems si d'Äntwert vum Verantwortleche kritt huet. Dës Frist ass kuerz a gëtt liicht verpasst, soulaang eng Plainte bei der AP nach anhängeg ass, well eng Plainte bei der AP se net verlängert. Wann d'Organisatioun eng Verwaltungsautoritéit ass, ass hir Entscheedung iwwer eng Rechtsufro eng Verwaltungsentscheedung, sou datt amplaz de Reklamatiouns- a Appelwee vum Allgemengen Verwaltungsrechtsgesetz gëllt.
Entschädigung ass ausschliisslech eng Saach vun de Geriichter. Artikel 82 vun der DSGVO gëtt e Recht op Entschädigung fir materiellen a immaterielle Schued, deen duerch eng Verletzung vun der gesetzlecher Verfassung verursaacht gouf, an esou Fuerderungen ginn virum Zivilgeriicht bruecht; hollännesch Geriichter zouspriechen modest Zomme fir immaterielle Schued a verlaangen vum Kläger, konkret negativ Konsequenzen ze weisen, anstatt nëmme Stéierungen. D'AP spillt keng Roll an där Fuerderung, obwuel hir Erkenntnisser als Beweis kënne benotzt ginn. Am Géigendeel ass eng Entscheedung vun der AP iwwer Är Plainte, och eng Entscheedung, keng Aktioun ze ënnerhuelen, selwer eng administrativ Entscheedung, déi duerch Einspruch a Recours ugefochten ka ginn.
Grenziwwerschreidend Fäll an den One-Stop-Shop
Wa Veraarbechtung Persounen a méi wéi engem Memberstaat betrëfft, gëtt d'DSGVO d'Haaptroll der Opsiichtsautoritéit vum Land zou, an deem d'Organisatioun hiren Haaptsëtz huet. Wann dat Holland ass, handelt d'AP als féierend Autoritéit a koordinéiert sech mat den aneren zoustännegen Autoritéiten; wann se soss anzwousch ass, participéiert d'AP als zoustänneg Autoritéit a kann verlaangen, datt hir Einwänn berécksiichtegt ginn. Meenungsverschiddenheeten tëscht den Autoritéite gi vum Europäesche Dateschutzrot geléist, deem seng verbindlech Entscheedungen a verschiddene prominente Fäll entscheet hunn.
Fir Organisatiounen sinn d'Konsequenze praktesch. Gitt fest, wéi eng Autoritéit Är féierend Autoritéit ass, ier en Tëschefall geschitt, a schreift d'Begrënnung op, well eng Haaptautoritéit ass, wou Entscheedungen iwwer d'Zwecker an d'Mëttel vun der Veraarbechtung tatsächlech getraff ginn, net wou d'Grupp zoufälleg registréiert ass. Mellt d'Verletzunge bei där Autoritéit. An huelt net dovun aus, datt d'Tatsaach, datt eng féierend Autoritéit soss anzwousch ass, d'AP aus dem Bild hält: si behält d'Befugnisser a Bezuch op Veraarbechtung, déi net grenziwwerschreidend ass, a wat d'Etablissementer an den Nidderlanden ugeet.
Virbereedung op d'Opmierksamkeet vun der AP
Déi meescht Ëmsetzungsmoossname verfollegen engem Muster: eng Plainte oder eng Meldung iwwer Sécherheetsverletzungen zitt d'Opmierksamkeet op eng Organisatioun, an d'Froen, déi duerno kommen, dréine sech ëm d'Rechenschaftspflicht anstatt nëmmen ëm den Tëschefall. D'Datei, déi dës Froen beäntwert, ass déiselwecht Datei, déi Dir souwisou sollt hunn. Si dokumentéiert d'Zwecker an d'rechtsgrondlage fir all Veraarbechtung, d'Späicherfristen an d'Aart a Weis, wéi se ëmgesat ginn, d'Dateschutzinformatiounen, déi de Leit tatsächlech gewise ginn, déi technesch an organisatoresch Sécherheetsmoossnamen a wien Zougang zu wat huet, d'Impaktstudien, déi fir héichriskante Veraarbechtungen duerchgefouert goufen, d'Veraarbechtungsofkommes mat Fournisseuren, d'Sécherheetsmoossnamen, déi fir Iwwerdrounge baussent der Unioun benotzt ginn, an de Register vun Ufroen iwwer Sécherheetsverletzungen an Ufroen iwwer Rechter mat den Datumen, un deenen se beäntwert goufen.
Zwou Saache maachen an der Praxis den Ënnerscheed. Déi éischt ass e funktionéierende Prozess fir Rechtsufroen, mat engem Logbuch an enger Standardäntwert, well d'Net-Äntwert bannent engem Mount deen heefegsten Grond fir eng Reklamatioun ass. Déi zweet ass eng Dateschutzerklärung, déi mat deem iwwereneestëmmt, wat tatsächlech an der Organisatioun geschitt. D'Reguléierungsautoritéite brauche keng Enquête fir eng Diskrepanz tëscht enger publizéierter Erklärung an engem Cookie-Banner oder enger App-Erlaabnes ze gesinn; dat ass dat, wat se als éischt kucken. Weider Material zu dësem Beräich ass an eise Guiden zum IT-Recht gesammelt , an d'AP publizéiert seng eege Richtlinnen a Formulairen op senger Websäit.
Law & More beréit Organisatiounen an Eenzelpersounen iwwer den Ëmgang mat der Autoriteit Persoonsgegevens: Reklamatiounen, Verstoussmeldungen, Ufroen no Informatiounen, Einspruch a Recours géint Uerder a Geldstrofen, an déi parallel Prozedure viru zivilen a administrativen Geriichter. Wann d'AP Iech kontaktéiert huet, oder Dir wësse wëllt, ob eng Reklamatioun de richtege Wee fir Äre Fall ass, da kënnen d'Dateschutzaffekoten vun Law & More beroden Iech gären.
wéi Law & More kann Iech dobäi hëllefen, gëtt op eiser IT-Affekot Säit.
