Nīderlandes Datu aizsardzības iestāde: uzdevumi, pilnvaras un sūdzības

Autoriteit Persoonsgegevens (AP) ir Nīderlandes Datu aizsardzības iestāde: neatkarīga uzraudzības iestāde, kas īsteno GDPR Nīderlandē. Tā tika izveidota ar GDPR īstenošanas likumu (Uitvoeringswet AVG), kas to nosaka par GDPR 51. pantā minēto uzraudzības iestādi un piešķir tai juridiskas personas statusu. AP uzrauga publiskā un privātā sektora organizācijas, izskata personu sūdzības, saņem paziņojumus par datu pārkāpumiem un var piemērot rīkojumus un naudas sodus.

AP nav tiesa. Tā neizšķir strīdus starp personu un uzņēmumu, un tā nevar piespriest kompensāciju; šie ceļi ved caur civiltiesām un tiem ir savi termiņi. Šajā rakstā ir izklāstīti AP uzdevumi un pilnvaras, kā sūdzības izskatīšana notiek praksē, kas notiek, ja AP sāk izmeklēšanu jūsu organizācijā, un kā AP uzraudzība ir saistīta ar tiesvedību.

Kas ir AP un no kurienes rodas tā pilnvaras

AP ir neatkarīga administratīva iestāde. Tās neatkarību pieprasa pati GDPR un tā ir noteikta Īstenošanas aktā: valdība nevar tai dot norādījumus par atsevišķiem gadījumiem, un tās valdes locekļi tiek iecelti uz noteiktu laiku. Vienlaikus tā ir administratīva iestāde Nīderlandes izpratnē, kas nozīmē, ka Vispārējais administratīvo tiesību likums regulē to, kā tā sagatavo un pieņem lēmumus, un kā šos lēmumus var apstrīdēt.

Tās kompetence ir plašāka nekā tikai GDPR. Līdztekus GDPR un Īstenošanas likumam AP uzrauga konkrētus datu aizsardzības tiesību aktus, tostarp noteikumus par policijas un tiesu iestāžu datiem, un piešķir licences, kas privātpersonām nepieciešamas noteiktiem brīdinājumu sarakstiem un reģistriem, kuros ir krimināltiesību dati. Tai ir arī koordinējoša loma algoritmu uzraudzībā, un turpmāki uzdevumi mākslīgā intelekta jomā izriet no valstu uzraudzības iestāžu noteikšanas saskaņā ar Eiropas Mākslīgā intelekta regulu, kas ir noteikta īstenošanas tiesību aktos.

Teritoriāli AP uzrauga apstrādi, ko veic organizācijas, kas dibinātas Nīderlandē, un apstrādi, kas vērsta uz personām Nīderlandē, ko veic organizācijas, kas dibinātas ārpus Eiropas Savienības. Ja pēdējās piedāvā preces vai pakalpojumus personām Savienībā vai uzrauga viņu uzvedību, tām ir jāieceļ pārstāvis Savienībā. Šāda pārstāvja neesamība praksē ir bijis neatkarīgs pamats AP izpildes nodrošināšanai.

Ko dara AP: uzraudzība, norādījumi un licences

GDPR 57. pantā ir uzskaitīti katras uzraudzības iestādes uzdevumi, un AP darbs cieši seko tam. Tā uzrauga un nodrošina GDPR piemērošanu, veicina sabiedrības informētību, konsultē valdību un parlamentu par tiesību aktiem, kas ietekmē personas datus, izskata sūdzības, sadarbojas ar citām Eiropas iestādēm un publicē norādījumus par to, kā noteikumi būtu jāpiemēro praksē. Šie norādījumi nav tiesību akti, taču tie parāda, kā regulators risinās lietu, tāpēc ir vērts tos izlasīt pirms apstrādes darbības izstrādes, nevis pēc tam.

Ir jāpiemin divas konkrētas funkcijas, jo tās ietver iepriekšēju saziņu ar piekļuves sniedzēju (AP), nevis vēlāku atbildības saukšanu. Pirmā ir iepriekšēja apspriešanās: ja datu aizsardzības ietekmes novērtējums liecina par augstu atlikušo risku, ko pārzinis nevar mazināt, VDAR 36. pants paredz, ka pārzinim pirms apstrādes uzsākšanas ir jāapspriežas ar AP. Otrā ir licences režīms noteiktiem brīdinājumu sarakstiem, saskaņā ar kuru privātpersonas var dalīties ar informāciju, piemēram, par krāpšanu, tikai tad, ja AP ir atļāvis šādu kārtību.

AP pilnvaras: izmeklēšana un labošana

GDPR 58. pants iedala AP pilnvaras divās grupās, un šī atšķirība ir svarīga, lai noteiktu, kā jūs reaģējat. Izmeklēšanas pilnvaras ļauj AP likt pārzinim vai apstrādātājam sniegt informāciju, veikt revīzijas un pārskatus, iegūt piekļuvi personas datiem, kā arī telpām un iekārtām. Sadarbība ir obligāta, un Nīderlandes vidē Vispārējā administratīvo tiesību likuma vispārējie uzraudzības noteikumi nosaka, kā inspektori īsteno šīs pilnvaras.

Korektīvās pilnvaras ir no vieglas līdz stingrām. AP var izdot brīdinājumu, ka paredzētā apstrāde, iespējams, pārkāps noteikumus, vai izteikt rājienu, ja apstrāde tos ir pārkāpusi. Tā var likt pārzinim izpildīt datu subjekta pieprasījumu, noteiktā laika posmā saskaņot apstrādi ar VDAR vai informēt personas par datu pārkāpumu. Tā var noteikt pagaidu vai galīgu apstrādes ierobežojumu, tostarp aizliegumu, un tā var noteikt datu pārsūtīšanas apturēšanu uz valsti ārpus Savienības. Visbeidzot, tā var noteikt administratīvu naudas sodu jebkura no šiem pasākumiem vietā vai papildus tiem.

Ir vērts zināt divas Nīderlandes prakses iezīmes. Rīkojums parasti tiek apvienots ar periodisku soda maksājumu, tāpēc turpmāka neatbilstība automātiski rada izmaksas, nepieņemot jaunu lēmumu. Un naudas soda apmērs netiek izvēlēts brīvi: GDPR nosaka likumā noteikto maksimālo apmēru, un AP ir publicējusi naudas sodu politikas noteikumus, kas klasificē pārkāpumu kategorijā un nosaka joslu tās ietvaros, ņemot vērā pārkāpuma smagumu, ilgumu, nodomu, skarto cilvēku skaitu un sadarbību izmeklēšanā. Tā kā naudas sods ir soda sankcija, turpmāk aprakstītie drošības pasākumi ir spēkā no brīža, kad AP sāk uzdot jautājumus. Mūsu rakstā par administratīvo naudas sodu Nīderlandē šis režīms ir vispārīgi izskaidrots.

Sūdzības iesniegšana AP

GDPR 77. pants piešķir ikvienai personai tiesības iesniegt sūdzību uzraudzības iestādē, ja tā uzskata, ka tās personas datu apstrāde pārkāpj noteikumus. Nīderlandē šī iestāde ir AP, un sūdzības tiek iesniegtas, izmantojot tās sūdzību kanālu.

Rezultātu secība ir vienkārša. Vispirms rakstiski iesniedziet pieprasījumu vai iebildumu pašai organizācijai un norādiet tiesības, uz kurām atsaucaties; organizācijai ir jāatbild bez nepamatotas kavēšanās un principā viena mēneša laikā. Saglabājiet visu: pieprasījumu, atbildi, datumus, paziņojumu par privātumu tā attiecīgajā brīdī un visus ekrānuzņēmumus. Pēc tam iesniedziet sūdzību, aprakstot, kas apstrādāja kādus datus, kad, kuras tiesības tika pārkāptas un kādas bija sekas jums. Sūdzība, kurā norādīti dokumenti un datumi, tiek izskatīta daudz ātrāk nekā tāda, kurā aprakstīta nemiera sajūta.

Esiet reālistiski attiecībā uz turpmāko rīcību. AP saņem daudz vairāk sūdzību, nekā tā var izmeklēt individuāli, un atlasa tās, pamatojoties uz publicētajām prioritātēm, tāpēc sūdzība var tikt reģistrēta kā signāls, nevis izmeklēšanas rezultāts. Tā nevar likt organizācijai izmaksāt jums kompensāciju, un tā nedarbojas kā jūsu pārstāvis. Tā var tikai likt organizācijai ievērot noteikumus, un labi dokumentēta sūdzība par strukturālu problēmu ir tāda veida lieta, kas noved pie uzraudzības. Saskaņā ar VDAR 78. pantu jums ir tiesības trīs mēnešu laikā saņemt informāciju par jūsu sūdzības virzību vai rezultātu, un, ja AP nerīkojas, jūs varat vērsties tiesā par šo bezdarbību.

Ziņošana par datu noplūdi AP

Par personas datu pārkāpumu ir jāpaziņo AP bez nepamatotas kavēšanās un, ja iespējams, septiņdesmit divu stundu laikā no brīža, kad pārzinis par to uzzinājis, izņemot gadījumus, kad pārkāpums, visticamāk, neradīs risku personu tiesībām un brīvībām (VDAR 33. pants). Ja pārkāpums, visticamāk, radīs augstu risku, par to ir jāinformē arī attiecīgās personas skaidrā valodā un bez nepamatotas kavēšanās (34. pants). Katrs pārkāpums ir jāreģistrē iekšēji neatkarīgi no tā, vai par to ir paziņots, un šis reģistrs ir pirmā lieta, ko AP pieprasa.

Šo lietu iznākumu nosaka trīs praktiski punkti. Septiņdesmit divas stundas skaitās no brīža, kad informācija par pārkāpumu tiek uzzināta, nevis no brīža, kad izmeklēšana ir pabeigta; nepilnīgs paziņojums, kas tiek papildināts vēlāk, ir labāks nekā novēlots. Riska novērtējums ir jādokumentē, jo lēmums nepaziņot ir jāpamato vēlāk. Un, ja organizācijas galvenā iestāde atrodas citur Savienībā, paziņojums tiek nosūtīts šīs valsts vadošajai iestādei, nevis piekļuves punktam. Apstrādātājam, kas atklāj pārkāpumu, bez nepamatotas kavēšanās ir jāinformē savs pārzinis, tāpēc datu apstrādes līgumā jānosaka iekšējs termiņš, kas ir īsāks par likumā noteikto.

Ja AP uzsāk izmeklēšanu jūsu organizācijā

Izmeklēšana parasti sākas ar rakstisku informācijas pieprasījumu, nevis ar inspektoriem pie durvīm. Atbildiet uz to precīzi un savlaicīgi, un atbildei jāatbilst jūsu pašu dokumentācijai; pretrunas starp jūsu rakstīto un jūsu ierakstos redzamo nodara lielāku kaitējumu nekā sākotnējais trūkums. Norīkojiet vienu personu koordinēšanai, parasti datu aizsardzības speciālistu, un veiciet reģistrēšanu par sniegto informāciju un tās sniegšanas laiku.

Piemērojamie drošības pasākumi ir paredzēti Nīderlandes administratīvajās tiesībās. Pirms AP pieņem jums nelabvēlīgu lēmumu, tai ir jādod jums iespēja tikt uzklausītam un iepazīties ar secinājumu ziņojumu, uz kuru tā balstās. Ja AP apsver soda sankciju, piemēram, naudas sodu, nopratinātajai personai nav pienākuma sniegt paziņojumus par iespējamo pārkāpumu, un tā ir jābrīdina par to; šīs tiesības pieder arī organizācijai, pret kuru tiek veikta izmeklēšana. Pārkāpuma pierādīšanas pienākums ir AP.

Kad lēmums ir pieņemts, sākas laika atskaite. Jums ir sešas nedēļas, lai iesniegtu iebildumu paziņojumu AP, un vēl sešas nedēļas, lai pārsūdzētu lēmumu par šo iebildumu rajona tiesā, galīgo pārsūdzību iesniedzot Valsts padomes Administratīvās jurisdikcijas nodaļā. Steidzamos gadījumos, piemēram, ja apstrādes aizliegums apturētu darbību, kopā ar iebildumu no tiesas var pieprasīt pagaidu pasākumu. Publicēšana ir atsevišķs apsvērums: AP publicē savus izpildes lēmumus, un šīs publikācijas laiku pašu var apstrīdēt.

AP un tiesas: divi atsevišķi ceļi

AP uzraudzība un tiesvedība tiesā ir paralēli maršruti, nevis viena un tā paša procesa posmi, un nepareiza maršruta izvēle maksā laiku un dažreiz arī pašu prasību.

Ja privāta organizācija noraida vai ignorē pieprasījumu īstenot jūsu tiesības, GDPR īstenošanas likums paredz īpašu procedūru: datu subjekts var vērsties apgabaltiesā ar lūgumrakstu, un tas jādara sešu nedēļu laikā pēc pārziņa atbildes saņemšanas. Šis periods ir īss un to var viegli nokavēt, kamēr sūdzība AP vēl tiek izskatīta, jo sūdzība AP to nepagarina. Ja organizācija ir administratīva iestāde, tās lēmums par tiesību pieprasījumu ir administratīvs lēmums, tāpēc tā vietā tiek piemērota Vispārējā administratīvo tiesību likuma iebildumu un apelācijas kārtība.

Kompensācija ir tikai tiesu kompetencē. GDPR 82. pants paredz tiesības uz kompensāciju par pārkāpuma rezultātā nodarīto materiālo un nemateriālo kaitējumu, un šādas prasības tiek celtas civiltiesā; Nīderlandes tiesas piespriež nelielas summas par nemateriālo kaitējumu un pieprasa prasītājam pierādīt konkrētas nelabvēlīgas sekas, nevis tikai satraukumu. Administratīvajam iecirknim (AP) šajā prasībā nav nekādas lomas, lai gan tā konstatējumus var izmantot kā pierādījumus. Turpretī administratīvais iecirknis (AP) pieņem lēmumu par jūsu sūdzību, tostarp lēmumu neveikt darbību, un tas pats par sevi ir administratīvs lēmums, ko var apstrīdēt, iesniedzot iebildumus un apelāciju.

Pārrobežu lietas un vienas pieturas aģentūra

Ja apstrāde ietekmē personas vairāk nekā vienā dalībvalstī, VDAR nosaka vadošo lomu tās valsts uzraudzības iestādei, kurā atrodas organizācijas galvenā mītne. Ja tā ir Nīderlande, AP darbojas kā vadošā iestāde un koordinē darbību ar citām attiecīgajām iestādēm; ja tā atrodas citur, AP piedalās kā attiecīgā iestāde un var pieprasīt, lai tās iebildumi tiktu ņemti vērā. Domstarpības starp iestādēm risina Eiropas Datu aizsardzības kolēģija, kuras saistošie lēmumi ir izšķiruši vairākas augsta līmeņa lietas.

Organizācijām sekas ir praktiskas. Pirms incidenta nosakiet, kura iestāde ir jūsu vadošā iestāde, un pierakstiet pamatojumu, jo galvenā iestāde ir vieta, kur faktiski tiek pieņemti lēmumi par apstrādes mērķiem un līdzekļiem, nevis vieta, kur grupa ir reģistrēta. Paziņojiet par pārkāpumiem šai iestādei. Un nepieņemiet, ka vadošās iestādes atrašanās citur izslēdz AP no lomas: tā saglabā pilnvaras attiecībā uz apstrādi, kas nav pārrobežu, un attiecībā uz iestādēm Nīderlandē.

Gatavošanās AP uzmanībai

Lielākā daļa tiesībaizsardzības pasākumu atbilst noteiktam modelim: sūdzība vai pārkāpuma paziņojums piesaista organizācijas uzmanību, un sekojošie jautājumi ir par atbildību, nevis tikai par incidentu. Fails, kas sniedz atbildes uz šiem jautājumiem, ir tas pats fails, kas jums jebkurā gadījumā būtu jābūt. Tajā ir reģistrēti katras apstrādes darbības mērķi un juridiskais pamats, glabāšanas periodi un to izpildes veids, informācija par privātumu, kas faktiski tiek parādīta personām, tehniskie un organizatoriskie drošības pasākumi un piekļuve kam, ietekmes novērtējumi, kas veikti augsta riska apstrādei, apstrādes līgumi ar piegādātājiem, drošības pasākumi, kas izmantoti pārsūtīšanai ārpus Savienības, un pārkāpumu un tiesību pieprasījumu reģistrs ar datumiem, kuros uz tiem tika atbildēts.

Praksē atšķirību rada divas lietas. Pirmā ir tiesību pieprasījumu darba process ar žurnālu un standarta atbildi, jo nespēja atbildēt mēneša laikā ir visizplatītākais sūdzības iemesls. Otrā ir privātuma paziņojums , kas atbilst tam, kas faktiski notiek organizācijā. Regulatoriem nav nepieciešama izmeklēšana, lai pamanītu neatbilstību starp publicētu paziņojumu un sīkfailu reklāmkarogu vai lietotnes atļauju; tas ir tas, ko viņi vispirms izskata. Papildu materiāli par šo jomu ir apkopoti mūsu IT tiesību ceļvežos , un AP publicē savas vadlīnijas un veidlapas savā tīmekļa vietnē.

Law & More konsultē organizācijas un privātpersonas par darījumiem ar Autoriteit Persoonsgegevens: sūdzības, paziņojumi par pārkāpumiem, informācijas pieprasījumi, iebildumi un apelācijas pret rīkojumiem un naudas sodiem, kā arī paralēlās tiesvedības civiltiesās un administratīvajās tiesās. Ja AP ir vērsusies pie jums vai vēlaties uzzināt, vai sūdzības iesniegšana ir pareizais ceļš jūsu lietā, privātuma tiesību juristi vietnē Law & More labprāt sniegs padomus.