DSGVO an den hollänneschen Ëmsetzungsgesetz (UAVG): wat gëllt?

Den Dateschutz an Holland baséiert op zwou Instrumenter: der Allgemenger Dateschutzveruerdnung (GDPR), déi direkt an der ganzer EU gëllt, an dem hollännesche Gesetz zur Ëmsetzung vun der GDPR (Uitvoeringswet AVG, UAVG), deen nëmmen déi national Méiglechkeeten ausfëllt, déi d'Veruerdnung oppe léisst. D'UAVG designéiert och déi hollännesch Dateschutzautoritéit (Autoriteit Persoonsgegevens, AP) als Iwwerwaachungsautoritéit; si schaaft kee méi einfache Regime.

Well d'Regulatioun direkt uwendbar ass, ass et d'DSGVO selwer, wat Är Organisatioun muss respektéieren. D'UAVG ass wichteg, wa eng national Wiel getraff gouf, an dat sinn genee déi Punkten, déi Organisatiounen, déi a verschiddene Memberstaaten aktiv sinn, tendéieren ze iwwersinn.

Wat bréngt den Ëmsetzungsgesetz derbäi?

Eng limitéiert Zuel vun nationalen Optiounen. Fir Informatiounsgesellschaftsdéngschter, déi direkt un e Kand ugebuede ginn, huet Holland den Standardalter vun der DSGVO vu siechzéng Joer ënner Artikel 8 vun der DSGVO bäibehalen, an Artikel 5 vun der UAVG erweidert dës Regel: an anere Situatiounen, wou d'Zoustëmmung d'Basis ass, brauch e Kand ënner siechzéng Joer och d'Zoustëmmung vun engem Elterendeel oder engem Erzéiungsberechtegten, deen se zu all Moment zréckzéie kann.

D'UAVG setzt och Ausname fir speziell Kategoriedaten fest. Artikel 29 vum UAVG erlaabt d'Veraarbechtung vu biometreschen Daten fir eng eenzegaarteg Identifikatioun, wa dat fir Authentifikatiouns- oder Sécherheetszwecker néideg ass, eng Ausnam déi fir Zougangskontroll- a Login-Systemer benotzt gëtt. D'Artikelen 31 bis 33 vum UAVG reguléieren d'Veraarbechtung vu kriminellen Daten, an d'Gesetz enthält Ausname fir Journalismus, Fuerschung an Archivéierung.

Wéi eng Verpflichtungen hunn an der Praxis eng Roll?

Véier Saache maachen de gréissten Deel vun der Aarbecht aus. Éischtens, eng Opzeechnung vun den Veraarbechtungsaktivitéiten no Artikel 30 vun der DSGVO: den Dokument, deen d'AP als éischt verlaangt, an deen, deen Iech forcéiert ze wëssen, wat Dir tatsächlech späichert. Zweetens, eng gesetzlech Basis no Artikel 6 vun der DSGVO fir all Veraarbechtungsoperatioun, déi bewosst gewielt gëtt anstatt eng Standardzoustëmmung ze benotzen, an déi zu all Moment zréckgezunn ka ginn.

Drëttens, eng Dateveraarbechtungsofkommes mat all Veraarbechter no Artikel 28 GDPR, an adäquat Sécherheetsmoossnamen, wa perséinlech Donnéeën den Europäesche Wirtschaftsraum verloossen. Véiertens, eng Aarbechtsprozedur fir Ufroen vun de betraffene Persounen an fir d'Meldung vun enger Datenverletzung un den AP bannent 72 Stonnen no Artikel 33 GDPR.

Wéi gëtt d'GDPR ëmgesat?

D'AP kann Ermëttlungen ausféieren, Moossnamen uweisen, Veraarbechtungsverbueter verhängen a Strofe géint Organisatiounen ausleeën. No Artikel 83 vun der DSGVO kënne Strofe bis zu 10 Milliounen Euro oder 2% vum weltwäite Joresëmsaz fir Verstéiss géint administrativ Verpflichtungen a bis zu 20 Milliounen Euro oder 4% vum Ëmsaz belafe, jee nodeem wat méi héich ass, fir Verstéiss géint d'Grondprinzipien, d'Rechter vun de betraffene Persounen oder d'Iwwerdroungsregelen.

Eenzelpersoune kënnen och eng Entschädigung no Artikel 82 vun der GDPR fuerderen, an zënter datt de kollektive Schuedenersazregime (WAMCA) am Joer 2020 a Kraaft getrueden ass, sinn kollektiv Handlungen wéinst Datenverletzungen an Holland zu enger reeller Belaaschtung ginn.

Wat sollt Dir als Controller kontrolléieren?

• Ass Äre Register vun den Veraarbechtungsaktivitéiten (Artikel 30 DSGVO) komplett an aktuell?
• Hutt Dir eng gesetzlech Basis fir all Veraarbechtung dokumentéiert?
• Gëtt et e Veraarbechtungsvertrag mat all Veraarbechter ënnerschriwwen?
• Kënnt Dir eng Verletzung bannent 72 Stonnen un d'AP mellen?
• Braucht Dir eng Impaktbeurteilung vum Dateschutz (Artikel 35 DSGVO) fir Veraarbechtung mat héijem Risiko?

Wat sollt Dir als Prozessor iwwerpréiwen?

• Veraarbecht Dir perséinlech Donnéeën nëmmen op Basis vun den dokumentéierten Instruktioune vum Verantwortlechen (Artikel 28 DSGVO)?
• Benotzt Dir Ënnerveraarbechter nëmme mat der Autorisatioun vum Verantwortlechen?
• Sinn Är Sécherheetsmoossname beschriwwen an getest?
• Informéiert Dir de Verantwortleche ouni onnéideg Verspéidung no enger Verletzung?

Wat kënne mir fir Iech am Beräich vun der GDPR-Konformitéit maachen.

Eis IT-Affekote fänken domat un, wat Är Organisatioun tatsächlech mat den Donnéeën mécht, net vun enger Schabloun. Mir kënnen:

• Äre Veraarbechtungsprotokoll an Är Dateschutzerklärung opstellen oder iwwerpréiwen.
• Iwwerpréift déi gesetzlech Basis fir all Veraarbechtung.
• Datenveraarbechtungsverträg an Iwwerdroungsklauselen opstellen an aushandelen.
• Begleet Iech duerch eng Impaktanalyse vum Dateschutz.
• Hëllef bei enger Meldung vun engem Verstouss géint d'AP a bei enger Enquête oder enger Geldstrof vun der AP.

Resumé

• D'DSGVO setzt déi materiell Reegelen direkt fest; d'UAVG fëllt nëmmen déi national Wiel aus.
• Kanner ënner siechzéng Joer brauchen d'Zoustëmmung vun den Elteren, wa se d'Zoustëmmung als Basis hunn (Artikel 8 DSGVO an Artikel 5 UAVG).
• Artikel 29 UAVG erlaabt biometresch Donnéeën fir Authentifikatiouns- oder Sécherheetszwecker.
• E Veraarbechtungsprotokoll, eng gesetzlech Basis pro Operatioun, Veraarbechtungsverträg an eng 72-Stonne-Verletzungsprozedur maachen déi meescht Compliance-Aarbecht aus.
• Geldstrofe no Artikel 83 vun der GDPR belafe sech op bis zu 20 Milliounen Euro oder 4% vum weltwäiten Ëmsaz; Eenzelpersounen a Gruppe kënnen separat eng Entschädigung fuerderen.

Oft gestallten Froen