Политика за приватност во Холандија: што бара законот и како да се напише таква што ќе биде валидна

Речиси секоја компанија со веб-страница со холандски јазик објавува политика за приватност - изјава за приватност или изјава за приватност. Далеку помалку објавуваат таква што би преживеала еден поглед од Autoriteit Persoonsgegevens (холандскиот орган за заштита на податоци, AP). Документот се третира како стандарден, се копира од конкурент и останува недопрен додека бизнисот се менува под него. Тоа сега е скапа навика: во март 2026 година, Европскиот одбор за заштита на податоци започна координирана акција за спроведување низ цела Европа насочена токму кон оваа обврска.

Од каде доаѓа обврската

Ниту еден член од GDPR не е насловен како „политика за приватност“. Изјавата е едноставно вообичаен начин за исполнување на обврската што GDPR ја формулира поинаку - како право на поединецот да биде информиран. Транспарентноста е принцип во член 5 од GDPR; членовите 12, 13 и 14 од GDPR ја претвораат во конкретен список на работи што мора да им ги кажете на луѓето и стандард за тоа како.

Разликата помеѓу член 13 и член 14 е поважна отколку што сфаќаат повеќето компании.

• чл. 13 GDPR важи кога собирате лични податоци од поединецот — формулар за контакт, наплата, пријавување за билтен. Информациите мора да бидат дадени во тоа време Податоците се добиваат: пред да се поднесе формуларот, а не потоа.
• чл. 14 GDPR се применува кога податоците доаѓаат од друго место - брокер на податоци, јавен регистар, извлечен извор, партнер, работодавач. Мора да го известите поединецот во разумен рок, а најдоцна во рок од еден месец, или при првата комуникација со него, или кога податоците првпат се откриваат на друг примател, што и да се случи прво.

Член 14 содржи мал сет исклучоци - поединецот веќе ги има информациите, информирањето е невозможно или би вклучувало непропорционален напор, добивањето или откривањето е изречно утврдено со закон или податоците се предмет на професионална тајна. Овие се тесни. „Незгодно“ не е непропорционален напор, а компанија која купува или собира контакт податоци и никогаш не кажува никому се потпира на исклучок што не постои.

Член 12 од GDPR го регулира начинот : концизен, транспарентен, разбирлив, лесно достапен, на јасен и едноставен јазик.

Задолжителната содржина, ставка по ставка

Ова не е мени. Изјава во која недостасува една од овие ставки е нецелосна според законот.

Три заслужуваат подетално разгледување, бидејќи токму таму го привлекува вниманието на АП.

Примателите и проблемот со „партнерите“

Член 13 и член 14 од GDPR дозволуваат приматели или категории на приматели. Тоа е вистински избор, но категоријата мора да значи нешто. „Нашите партнери“ не е категорија; тоа е одбивање да се одговори. „Нашиот давател на услуги за плаќање, нашиот давател на хостинг во Германија, нашата платформа за е-маркетинг во Соединетите Американски Држави и рекламните мрежи наведени во нашата изјава за колачиња“ е. Ако не можете да опишете примател без нејасност, веројатно не знаете кој ги има податоците - поголем проблем.

Задржување каде што не е можно одреден период

GDPR прифаќа дека не може секогаш да се даде одреден број денови, поради што член 13 дозволува критериумите што се користат за одредување на периодот. Она што не го дозволува е недавањето одговор. Во својата одлука од 11 декември 2023 година со која ги казни Uber Technologies Inc. и Uber BV со 10,000,000 евра, АП утврди токму тоа: во изјавата се вели дека податоците ќе се чуваат колку што е потребно, што го смета за премногу општо. Применлив критериум гласи „за времетраењето на договорот и седум години по последната трансакција, во согласност со холандскиот даночен закон“.

Меѓународни трансфери

Велејќи дека податоците „може да се пренесат надвор од Европската економска зона“ не му кажува ништо на читателот. Ставот на АП во истата одлука за Убер беше дека земјите-дестинации треба да бидат именувани и да се идентификува заштитната мерка - одлука за соодветност, стандардни договорни клаузули, обврзувачки корпоративни правила - со тоа како да се добие копија. Компаниите што користат аналитика во САД, CRM или cloud hosting префрлаат; единственото прашање е дали изјавата го признава тоа.

Барањата за формата

Член 12 од GDPR поставува стандард кој е лесен за наведување, а честопати не успева:

• Концизен и транспарентен — презентирано ефикасно и јасно одвоено од условите и одредбите. Закопувањето во општите услови не е во согласност.
• Разбирливо — разбирливо за просечен член на наменетата публика. Изјава напишана за американски адвокати не е разбирлива за холандските потрошувачи, ниту пак изјава само на англиски јазик на веб-страница на холандски јазик.
• Лесно достапен — читателот не треба да бара. Европските упатства го третираат тоа како потреба да биде веднаш очигледно: директна врска од секоја страница, контекстуална врска на местото на собирањето и во апликација на неколку допири оддалеченост најмногу.
• Јасен и едноставен јазик — конкретно и дефинитивно, а не апстрактно. Европските упатства ги издвојуваат заштитните зборови како што се „може“, „можеби“ и „можно“, а „можеби ги користиме вашите лични податоци за развој на нови услуги“ или „за истражувачки цели“ ги третираат како примери за тоа што не треба да се пишува.

Кога услугата е наменета за деца или знаете дека децата ја користат многу, член 12 бара вокабуларот, тонот и стилот да бидат прилагодени за да може детето да ја разбере. Во Холандија ова е рано: според член 5 од Uitvoeringswet AVG, возраста под која е потребна родителска согласност за услуги на информатичкото општество што се нудат директно на дете е шеснаесет години, највисоката што ја дозволува GDPR. Изјава напишана за возрасни за услуга што ја користат четиринаесетгодишници не е во ред, а правото на детето да биде информирано не се исполнува со информирање на родителот.

Слоевит пристап, направен правилно

Слојувањето е препорачаниот одговор на тензијата помеѓу комплетноста и читливоста, а и AP и европските упатства го поддржуваат. Правилно направено, првиот слој го содржи идентитетот на контролорот, целите, обработката со најголемо влијание или капацитет за изненадување и како да се остварат правата - со целиот текст на еден клик како единствен документ.

Ако се направи неправилно, тоа станува начин за криење на работите. Слоевите не смеат да се контрадикторни едни со други, целокупните информации мора да останат достапни на едно место и ништо не смее да се деградира бидејќи е срамно. Ако операцијата на обработка би го изненадила читателот, тоа е аргумент за првиот слој, а не за четвртиот.

Каде што изјавите за приватност не успеваат

Повторливите неуспеси се малку и предвидливи.

• Нејасни цели и неоткриено споделување. „За да ги подобриме нашите услуги“ не опишува ништо, а „можеби ќе ги споделиме вашите податоци со одбрани партнери“ е најчестиот дефект од сите - обично ја прикрива рекламната технологија. Тестот е дали читателот може да каже што се случува со неговите податоци и да одлучи дали му пречи.
• Изјава што е во спротивност со страницата. Ова го претвора проблемот со документацијата во проблем со спроведувањето. Во изјавата се вели дека не се поставуваат колачиња за следење без согласност додека менаџерот на ознаки се активира при вчитување на страницата; се вели дека податоците остануваат во ЕУ додека службата за поддршка работи на американска платформа. Регулаторот не треба внимателно да ја прочита изјавата за да го пронајде ова. Треба да го отвори мрежниот таб.
• Копираната изјава. Политика преземена од конкурент го опишува процесот на обработка од страна на конкурентот: ги именува примателите што не ги користите, ги изоставува оние што ги користите и ги наведува периодите на задржување што не ги почитувате. Тоа е збир на лажни изјави за вашиот бизнис.

Изјавата за приватност не е известување за колачиња

Ова се две обврски според два инструмента, а нивното спојување е сигурен начин да се исполни ниту еден од нив.

Колачињата и сличните техники се регулирани во Холандија со член 11.7a од Законот за телекомуникации, со кој се спроведува Директивата за е-приватност. Секој што складира информации на терминалната опрема на корисникот или пристапува до информации складирани во неа мора да даде јасни и целосни информации и да добие согласност, со тесни исклучоци за она што е строго неопходно за пренесување на комуникацијата или испорака на бараната услуга. Ова го регулира чинот на читање или пишување на уредот , без разлика дали се вклучени лични податоци или не. GDPR регулира што потоа правите со сите добиени лични податоци.

Значи: банерот е местото каде што се дава или одбива согласност; изјавата за колачиња ги наведува колачињата, нивните цели и времетраење; изјавата за приватност го објаснува процесот на обработка на лични податоци. Изјавата за приватност не може да добие согласност, а банерот не може да ги поништи членовите 13 и 14. Вкрстено наведете ги и одржувајте ги конзистентни.

АП беше активна овде. На 30 април 2025 година објави структурно следење на холандските банери за колачиња и им пиша на првите педесет организации, опишувајќи програма од неколку стотици годишно. На 11 ноември 2025 година, објави дека повеќе од 200 веб-страници биле предупредени, околу три четвртини се прилагодиле, а за останатите отворила истраги. Претходно штиклирани полиња, дополнителни кликови за одбивање и скриени опции се шемите што ги именува.

Генерирајте го изводот од регистарот, а не од конкурент

Член 30 од GDPR бара од повеќето организации да водат регистар на активности за обработка — verwerkingsregister . За секоја активност се евидентираат целите, категориите на субјектот на податоци и на личните податоци, примателите, вклучувајќи ги и оние во трети земји, заштитните мерки за пренос и периодите на чување. Кога примателот е обработувач, истите факти треба веќе да се појават во договорот за обработка на податоци со таа страна, што го олеснува усогласувањето на регистарот и изјавата.

Споредете го тоа со табелата погоре: преклопувањето е речиси целосно. Регистарот е фактички инвентар; изјавата за приватност е негово јавно прикажување. Направена по тој редослед, изјавата е точна по конструкција и останува точна, бидејќи ажурирањето на регистарот го ажурира изворот. Напишано обратно, двете се оддалечуваат - а регулаторот кој го бара регистарот и ја чита веб-страницата го гледа јазот.

Одржување на актуелноста

Изјавата за приватност опишува систем во живо, така што тој станува застарен секогаш кога системот се менува: нова алатка за аналитика, нов CRM, нов процесор во странство, нова намена за веќе чуваните податоци.

Следат две правила. Промената во обработката е промена на изјавата и таа треба да се ревидира пред промената да стапи во сила. А материјалната промена мора активно да се комуницира: Европските упатства се цврсти дека оставањето на поединците сами да ја забележат ревидираната политика не е само недоволно, туку и неправедно. Суштинските промени - нова цел, промена на контролор, промена во начинот на остварување на правата - треба да им се достави внимание на луѓето преку е-пошта или известување на лице место, доволно однапред за да можат да ја повлечат согласноста или да приговорат. Печатната грешка не бара најава. Новата цел бара.

Датирајте ја изјавата со верзија и задржете ги претходните верзии. Ако треба да покажете што сте му кажале на клиентот во 2024 година, недатирана активна страница нема да го стори тоа.

Компании основани надвор од ЕУ

Компанија без седиште во ЕУ е опфатена со член 3 од GDPR ако нуди стоки или услуги на луѓе во ЕУ или го следи нивното однесување таму. Само достапноста на веб-страница не е доволна; она што е важно е доказ за таргетирање - верзија на холандски јазик, цени во евра, испорака во Холандија, домен .nl, холандско рекламирање. Мониторингот на однесувањето на посетителите од ЕУ е независен фактор.

Доколку се применува член 3, член 27 од GDPR генерално бара претставник во Унијата, со седиште во земја-членка каде што се наоѓаат релевантните субјекти на податоци, чиј идентитет и контакт информации се наведени во изјавата за приватност. Исклучокот е тесен: обработка што е повремена, не вклучува податоци од посебна категорија во голем обем и веројатно нема да резултира со ризик. Веб-продавница што континуирано продава на холандскиот пазар не е повремена.

АП го спроведе ова изолирано, казнувајќи го Locatefamily.com со 525,000 евра за неопределување претставник од ЕУ. Одлуката е датирана од 10 декември 2020 година и беше објавена од АП на 12 мај 2021 година; заедно со казната, беше изречена и наредба предмет на плаќање казна со која се бара да се назначи претставникот. Прекршувањето беше во согласност со член 27 во врска со член 3 од GDPR. Локацијата немаше седиште во ЕУ и нејзиното место на основање никогаш не беше точно идентификувано, што не ја спречи казната - сигнал за секој оператор надвор од ЕУ, претпоставувајќи дека растојанието е еднакво на имунитет.

спроведување

Според член 6 од Законот за заштита на лични податоци (Uitvoeringswet AVG), Авторитетот за персонални податоци е холандски надзорен орган. Неговите овластувања произлегуваат од член 58 од GDPR - предупредувања, опомени, наредби, ограничувања за обработка - а член 83 од GDPR ги сместува прекршувањата на членовите 12, 13 и 14 во повисок степен за административна казна : до 20 милиони евра или 4% од вкупниот годишен промет во светот, кое и да е поголемо.

АП ја третира обврската за информирање како самостојно прекршување, а не како фуснота. Казната од 10,000,000 евра за Убер од 11 декември 2023 година се темели на членовите 12 и 13 од GDPR - информациите за задржување се премногу општи, дестинациите за пренос не се именувани, правото на преносливост на податоци не е споменато како такво. АП го прогласи приговорот на Убер на таа казна за неоснован на 8 мај 2026 година, а Убер го поднесе предметот на суд, па одлуката засега важи без да биде конечно решена. Тоа е казна за она што не е наведено во изјавата за приватност. Одделно, на 22 јули 2024 година, АП го казни Убер со 290,000,000 евра за пренос на податоци на возачите во Соединетите Држави без валидна алатка за пренос, објавена на 26 август 2024 година.

Краткорочниот ризик е поголем од вообичаеното. На 14 октомври 2025 година, Европскиот одбор за заштита на податоци ги избра обврските за транспарентност и информирање како тема на својата петта координирана акција за спроведување и ја започна на 19 март 2026 година, со учество на дваесет и пет органи за заштита на податоци, насочени директно кон членовите 12, 13 и 14 од GDPR. Овие органи им пристапуваат на контролорите низ секторите или преку акција за спроведување или преку вежби за утврдување факти, со следење каде што наодите го оправдуваат тоа; резултатите се споделуваат и агрегираат во втората половина на 2026 година и се консолидираат во извештај за усвојување од страна на Одборот. Учеството е доброволно и Одборот не објавил кои органи се приклучиле, па затоа не треба да се прават претпоставки во врска со Autoriteit Persoonsgegevens. Поентата е иста: транспарентноста е европската тема за спроведување на законите во овој циклус, а изјавата што не е прочитана против бизнисот откако е изготвена е токму таков документ што не го преживува прашањето.

Law & More советува холандски и странски компании за обврските за информирање во членовите 12 до 14 од GDPR: преглед на постоечки извештај за приватност во однос на регистарот на активности за обработка, составување на таков од нула и одговарање на прашања или истраги од Autoriteit Persoonsgegevens. Доколку сакате вашата изјава да биде проверена пред некој друг да ја провери, ве молиме контактирајте не.