Privātuma politika Nīderlandē: ko pieprasa likums un kā uzrakstīt atbilstošu politiku

Gandrīz katrs uzņēmums ar tīmekļa vietni, kas vērsta uz Nīderlandi, publicē privātuma politiku — privacyverklaring jeb paziņojumu par privātumu. Daudz mazāk publicē tādu, kas izturētu Autoriteit Persoonsgegevens (Nīderlandes datu aizsardzības iestādes, AP) izskatīšanu. Dokuments tiek uzskatīts par standarta dokumentu, kopēts no konkurenta un atstāts neskarts, kamēr zem tā mainās uzņēmums. Tagad tas ir dārgs ieradums: 2026. gada martā Eiropas Datu aizsardzības kolēģija uzsāka koordinētu izpildes pasākumu visā Eiropā, kas vērsts tieši uz šī pienākuma izpildi.

No kurienes rodas pienākums

Neviens VDAR pants nav nosaukts par “privātuma politiku”. Šis paziņojums ir vienkārši parasts veids, kā izpildīt pienākumu, ko VDAR formulē citādi — kā indivīda tiesības tikt informētam. Caurspīdīgums ir princips, kas noteikts VDAR 5. pantā; VDAR 12., 13. un 14. pants to pārvērš konkrētā lietu sarakstā, kas jums jāpastāsta cilvēkiem, un standartā, kā to darīt.

Atšķirība starp 13. un 14. pantu ir svarīgāka, nekā vairums uzņēmumu apzinās.

• GDPR 13. pants attiecas uz gadījumiem, kad jūs vācat personas datus no indivīda — kontaktforma, norēķināšanās, jaunumu saņemšanas abonēšana. Informācija ir jānorāda tajā laikā dati tiek iegūti: pirms veidlapas iesniegšanas, nevis pēc tam.
• GDPR 14. pants attiecas uz gadījumiem, kad dati iegūti no citur — datu starpnieka, publiska reģistra, nokopētas informācijas avota, partnera, darba devēja. Jums ir jāinformē persona saprātīgā termiņā un ne vēlāk kā viena mēneša laikā vai pirmās saziņas laikā ar viņu, vai arī tad, kad dati pirmo reizi tiek izpausti citam saņēmējam, atkarībā no tā, kurš notikums iestājas pirmais.

14. pantā ir paredzēts neliels izņēmumu kopums — informācija jau ir indivīdam, informēt viņu nav iespējams vai prasītu nesamērīgas pūles, informācijas iegūšana vai izpaušana ir skaidri noteikta likumā vai dati ir pakļauti profesionālajam noslēpumam. Šie izņēmumi ir šauri. “Neērti” nenozīmē nesamērīgas pūles, un uzņēmums, kas pērk vai nokopē kontaktinformāciju un nekad nevienam to nestāsta, paļaujas uz izņēmumu, kura neeksistē.

GDPR 12. pants nosaka veidu , kā tas jādara : kodolīgi, pārredzami, saprotami, viegli pieejami, skaidrā un vienkāršā valodā.

Obligātais saturs, pa vienumiem

Šī nav ēdienkarte. Apgalvojums, kurā trūkst viena no šiem elementiem, no likuma viedokļa ir nepilnīgs.

Trīs ir pelnījuši rūpīgāk aplūkot, jo tieši tur nonāk AP uzmanība.

Saņēmēji un “partneru” problēma

GDPR 13. un 14. pants atļauj saņēmējus vai saņēmēju kategorijas . Tā ir patiesa izvēle, taču kategorijai ir jānozīmē kaut kas. “Mūsu partneri” nav kategorija; tā ir atteikšanās atbildēt. “Mūsu maksājumu pakalpojumu sniedzējs, mūsu mitināšanas pakalpojumu sniedzējs Vācijā, mūsu e-pasta mārketinga platforma Amerikas Savienotajās Valstīs un reklāmas tīkli, kas minēti mūsu sīkfailu paziņojumā” ir. Ja nevarat aprakstīt saņēmēju bez neskaidrībām, jūs, iespējams, nezināt, kam ir dati — lielāka problēma.

Saglabāšana, ja nav iespējams noteikt noteiktu periodu

GDPR atzīst, ka ne vienmēr var norādīt noteiktu dienu skaitu, tāpēc 13. pants tā vietā atļauj izmantot kritērijus perioda noteikšanai. Tas, ko tas nepieļauj, ir atbildes nesniegšana. Savā 2023. gada 11. decembra lēmumā, ar kuru Uber Technologies Inc. un Uber BV tika piespriests 10 000 000 eiro sods, AP konstatēja tieši to: paziņojumā bija teikts, ka dati tiks glabāti tik ilgi, cik nepieciešams, ko tā uzskatīja par pārāk vispārīgu. Praktisks kritērijs skan šādi: “līguma darbības laikā un septiņus gadus pēc pēdējā darījuma saskaņā ar Nīderlandes nodokļu likumiem”.

Starptautiskie pārskaitījumi

Apgalvojums, ka dati “var tikt pārsūtīti ārpus Eiropas Ekonomikas zonas”, lasītājam neko nepasaka. AP nostāja tajā pašā Uber lēmumā bija tāda, ka jānorāda galamērķa valstis un jānosaka drošības pasākumi — lēmums par atbilstību, standarta līguma klauzulas, saistoši uzņēmuma noteikumi — ar to, kā iegūt kopiju. Uzņēmumi, kas izmanto ASV analītiku, klientu attiecību pārvaldības (CRM) sistēmu vai mākoņdatošanas mitināšanu, pārsūta datus; vienīgais jautājums ir, vai paziņojumā tas ir atzīts.

Formas prasības

GDPR 12. pants nosaka standartu, ko ir viegli formulēt, taču tas bieži vien neizdodas:

• Kodolīgs un caurspīdīgs — noformēts efektīvi un skaidri atdalīts no noteikumiem un nosacījumiem. Tā iekļaušana vispārīgajos noteikumos neatbilst prasībām.
• Saprotams — saprotams paredzētas auditorijas vidusmēra loceklim. Paziņojums, kas rakstīts amerikāņu juristiem, nav saprotams nīderlandiešu patērētājiem, un tāds nav arī tikai angļu valodā rakstīts paziņojums nīderlandiešu valodas vietnē.
• Viegli pieejama — lasītājam nevajadzētu meklēt. Eiropas vadlīnijās tam jābūt uzreiz redzamam: tiešai saitei no katras lapas, kontekstuālai saitei apkopošanas brīdī un lietotnē ne vairāk kā pāris pieskārienu attālumā.
• Skaidra un vienkārša valoda — konkrēta un noteikta, nevis abstrakta. Eiropas vadlīnijās tiek izcelti tādi ierobežojoši vārdi kā “var”, “varētu” un “iespējams”, un vārdi “mēs varam izmantot jūsu personas datus, lai izstrādātu jaunus pakalpojumus” vai “pētniecības nolūkos” tiek uzskatīti par piemēriem tam, ko nerakstīt.

Ja pakalpojums ir adresēts bērniem vai ja ir zināms, ka bērni to bieži izmanto, 12. pants nosaka, ka vārdu krājums, tonis un stils jāpielāgo tā, lai bērns to varētu saprast. Nīderlandē tas ir svarīgi jau agri: saskaņā ar Informācijas sabiedrības likuma (Uitvoeringswet AVG) 5. pantu vecums, līdz kuram ir nepieciešama vecāku piekrišana informācijas sabiedrības pakalpojumu sniegšanai tieši bērnam, ir sešpadsmit gadi, kas ir augstākais GDPR atļautais vecums. Pieaugušajiem rakstīts paziņojums par pakalpojumu, ko izmanto četrpadsmit gadus veci bērni, nav derīgs, un bērna paša tiesības tikt informētam netiek izpildītas, informējot vecāku.

Slāņveida pieeja, pareizi īstenota

Slāņošana ir ieteicamā atbilde uz spriedzi starp pilnīgumu un lasāmību, un gan AP, gan Eiropas vadlīnijas to atbalsta. Pareizi izpildīts, pirmais slānis ietver pārziņa identitāti, mērķus, apstrādi ar vislielāko ietekmi vai spēju pārsteigt un to, kā īstenot tiesības — pilnu tekstu viena klikšķa attālumā kā vienu dokumentu.

Nepareizi izpildīts, tas kļūst par veidu, kā lietas slēpt. Slāņi nedrīkst būt pretrunā viens otram, visai informācijai jāpaliek pieejamai vienuviet, un nekas nedrīkst tikt pazemināts tikai tāpēc, ka tas ir neērti. Ja apstrādes darbība pārsteigtu lasītāju, tas ir arguments par labu pirmajam slānim, nevis ceturtajam.

Kur konfidencialitātes paziņojumi neizdodas

Atkārtotās neveiksmes ir nelielas un paredzamas.

• Neskaidri mērķi un neizpausta koplietošana. “Lai uzlabotu mūsu pakalpojumus” neko neapraksta, un “mēs varam kopīgot jūsu datus ar atlasītiem partneriem” ir visizplatītākais trūkums — tas parasti slēpj reklāmas tehnoloģijas. Pārbaude ir tā, vai lasītājs var pateikt, kas notiek ar viņa datiem, un izlemt, vai viņam tas ir pret.
• Apgalvojums, kas ir pretrunā ar vietnes saturu. Tas pārvērš problēmu ar dokumentiem par izpildes problēmu. Paziņojumā teikts, ka izsekošanas sīkfaili netiek ievietoti bez piekrišanas, kamēr tagu pārvaldnieks aktivizē lapu ielādējot; teikts, ka dati paliek ES, kamēr atbalsta dienests darbojas ASV platformā. Regulatoram nav rūpīgi jāizlasa paziņojums, lai to atrastu. Tam ir jāatver tīkla cilne.
• Kopētais paziņojums. No konkurenta pārņemta politika apraksta konkurenta apstrādes metodes: tajā ir norādīti saņēmēji, kurus jūs neizmantojat, izlaisti tie, kurus jūs izmantojat, un norādīti saglabāšanas periodi, kurus jūs neievērojat. Tas ir nepatiesu apgalvojumu kopums par jūsu uzņēmumu.

Paziņojums par konfidencialitāti nav paziņojums par sīkfailiem.

Šie ir divi pienākumi saskaņā ar diviem instrumentiem, un to apvienošana ir uzticams veids, kā izpildīt nevienu no tiem.

Nīderlandē sīkfailus un salīdzināmas metodes regulē Telekomunikāciju likuma 11.7.a pants, ar kuru tiek īstenota ePrivātuma direktīva. Ikvienam, kurš glabā informāciju lietotāja gala iekārtā vai piekļūst tajā glabātajai informācijai, ir jāsniedz skaidra un pilnīga informācija un jāsaņem piekrišana, ar šauriem izņēmumiem attiecībā uz to, kas ir absolūti nepieciešams, lai pārraidītu saziņu vai sniegtu pieprasīto pakalpojumu. Tas regulē lasīšanas vai rakstīšanas darbību ierīcē neatkarīgi no tā, vai ir iesaistīti personas dati. GDPR regulē to, ko jūs pēc tam darāt ar jebkādiem iegūtajiem personas datiem.

Tātad: reklāmkarogs ir vieta, kur tiek sniegta vai atteikta piekrišana; sīkfailu paziņojumā ir uzskaitītas sīkdatnes, to mērķi un ilgums; paziņojumā par konfidencialitāti ir paskaidrota personas datu apstrāde. Ar paziņojumu par konfidencialitāti nevar iegūt piekrišanu, un reklāmkarogs nevar izpildīt 13. un 14. panta prasības. Savienojiet tos ar atsaucēm un saglabājiet to konsekvenci.

AP šeit ir aktīvi darbojusies. 2025. gada 30. aprīlī tā paziņoja par holandiešu sīkfailu reklāmkarogu strukturālo uzraudzību un rakstīja pirmajām piecdesmit organizācijām, aprakstot programmu, kas ietver vairākus simtus ziņojumu gadā. 2025. gada 11. novembrī tā ziņoja, ka vairāk nekā 200 tīmekļa vietņu ir brīdinātas, aptuveni trīs ceturtdaļas ir pielāgojušās, un par pārējām ir uzsākta izmeklēšana. Iepriekš atzīmētas rūtiņas, papildu klikšķi, lai atteiktos, un slēptas opcijas ir modeļi, ko tā nosauc.

Izrakstu ģenerējiet no reģistra, nevis no konkurenta.

VDAR 30. pants nosaka, ka lielākajai daļai organizāciju ir jāuztur apstrādes darbību reģistrs — verwerkingsregister . Katrai darbībai tajā tiek reģistrēti apstrādes mērķi, datu subjektu un personas datu kategorijas, saņēmēji, tostarp trešās valstīs, pārsūtīšanas drošības pasākumi un glabāšanas periodi. Ja saņēmējs ir apstrādātājs, tiem pašiem faktiem jau jābūt iekļautiem datu apstrādes līgumā ar šo pusi, kas ievērojami atvieglo reģistra un paziņojuma saskaņošanu.

Salīdziniet to ar iepriekš minēto tabulu: pārklāšanās ir gandrīz pilnīga. Reģistrs ir faktu inventarizācija; privātuma paziņojums ir tā publiska atveidošana. Šādā secībā veidots paziņojums ir precīzs pēc struktūras un paliek precīzs, jo reģistra atjaunināšana atjaunina arī avotu. Rakstot otrādi, abi attālinās viens no otra — un regulators, kas pieprasa reģistru un lasa tīmekļa vietni, pamana plaisu.

Atjaunināšanas nodrošināšana

Konfidencialitātes paziņojums apraksta aktīvu sistēmu, tāpēc tas noveco ikreiz, kad sistēma mainās: jauns analīzes rīks, jauna klientu attiecību pārvaldības sistēma (CRM), jauns apstrādātājs ārzemēs, jauns mērķis jau glabātajiem datiem.

Seko divi noteikumi. Apstrādes izmaiņas ir paziņojuma izmaiņas, un tās ir jāpārskata pirms izmaiņu stāšanās spēkā. Un būtiskas izmaiņas ir aktīvi jāpaziņo: Eiropas vadlīnijas stingri nosaka, ka ļaut indivīdiem pašām pamanīt pārskatīto politiku ir ne tikai nepietiekami, bet arī negodīgi. Būtiskas izmaiņas — jauns mērķis, pārziņa maiņa, izmaiņas tiesību īstenošanas veidā — ir jāpaziņo cilvēkiem pa e-pastu vai paziņojumā vietnē pietiekami laicīgi, lai viņi varētu atsaukt piekrišanu vai iebilst. Drukas kļūdai nav nepieciešams paziņojums. Jauns mērķis ir nepieciešams.

Versijas datumam pievienojiet paziņojumam un saglabājiet iepriekšējās versijas. Ja jums ir jāpierāda, ko teicāt klientam 2024. gadā, nedatēta tiešsaistes lapa to nevarēs izdarīt.

Uzņēmumi, kas dibināti ārpus ES

Uzņēmums, kuram nav ES uzņēmuma, ietilpst GDPR 3. panta darbības jomā, ja tas piedāvā preces vai pakalpojumus personām ES vai uzrauga viņu uzvedību tur. Vienkārša tīmekļa vietnes pieejamība nav pietiekama; svarīgi ir pierādījumi par mērķauditorijas atlasi — versija holandiešu valodā, cenas eiro, piegāde uz Nīderlandi, .nl domēns, reklāma holandiešu valodā. ES apmeklētāju uzvedības uzraudzība ir neatkarīgs faktors.

Ja piemērojams 3. pants, VDAR 27. pants parasti paredz pārstāvi Savienībā, kas ir reģistrēts dalībvalstī, kurā atrodas attiecīgie datu subjekti, un kura identitāte un kontaktinformācija ir jāiekļauj paziņojumā par privātumu. Izņēmums ir šaurs: apstrāde, kas ir neregulāra, neietver liela mēroga īpašu kategoriju datus un, visticamāk, neradīs risku. Interneta veikals, kas nepārtraukti pārdodas Nīderlandes tirgū, nav neregulārs.

AP to ir piemērojusi atsevišķi, piespriežot Locatefamily.com 525 000 eiro sodu par ES pārstāvja nenorādīšanu. Lēmums ir datēts ar 2020. gada 10. decembri, un AP to publicēja 2021. gada 12. maijā; līdz ar naudas sodu tā noteica rīkojumu par soda naudas samaksu, kas paredz pārstāvja norīkošanu. Pārkāpums bija VDAR 27. pants, lasot to kopā ar 3. pantu. Vietnei nebija ES uzņēmuma, un tās uzņēmējdarbības vieta nekad netika precīzi identificēta, kas netraucēja naudas soda piemērošanai — signāls jebkuram ārpussavienības operatoram, pieņemot, ka attālums ir vienāds ar imunitāti.

izpilde

Saskaņā ar Uitvoeringswet AVG 6. pantu Nīderlandes uzraudzības iestāde ir Autoriteit Persoonsgegevens. Tās pilnvaras izriet no VDAR 58. panta — brīdinājumi, rājieni, rīkojumi, apstrādes ierobežojumi —, un VDAR 83. pants paredz, ka 12., 13. un 14. panta pārkāpumi ir augstākā līmeņa administratīvais sods : līdz 20 miljoniem eiro vai 4 % no kopējā gada apgrozījuma pasaulē, atkarībā no tā, kura summa ir lielāka.

AP uzskata informācijas sniegšanas pienākumu par atsevišķu pārkāpumu, nevis par zemsvītras piezīmi. Uber 2023. gada 11. decembrī piespriestais 10 000 000 eiro sods bija balstīts uz VDAR 12. un 13. pantu — informācijas glabāšana bija pārāk vispārīga, pārsūtīšanas galamērķi nebija nosaukti, tiesības uz datu pārnesamību nebija minētas kā tādas. AP 2026. gada 8. maijā atzina Uber iebildumus pret šo sodu par nepamatotiem, un Uber ir iesniedzis lietu tiesā, tāpēc lēmums pagaidām ir spēkā un nav galīgi izšķirts. Tas ir sods par to, kas nebija minēts paziņojumā par konfidencialitāti. Atsevišķi, 2024. gada 22. jūlijā, AP piesprieda Uber 290 000 000 eiro sodu par vadītāju datu pārsūtīšanu uz Amerikas Savienotajām Valstīm bez derīga pārsūtīšanas rīka, kas tika paziņots 2024. gada 26. augustā.

Tuvākā termiņa risks ir lielāks nekā parasti. 2025. gada 14. oktobrī Eiropas Datu aizsardzības kolēģija par piektās koordinētās izpildes darbības tēmu izvēlējās pārredzamību un informācijas sniegšanas pienākumus un uzsāka to 2026. gada 19. martā, piedaloties divdesmit piecām datu aizsardzības iestādēm, kas ir tieši vērstas uz VDAR 12., 13. un 14. panta izpildi. Šīs iestādes vēršas pie pārziņiem dažādās nozarēs, vai nu veicot izpildes darbības, vai faktu vākšanas pasākumus, un, ja konstatējumi to prasa, veic turpmākus pasākumus; rezultāti tiek kopīgoti un apkopoti 2026. gada otrajā pusē un konsolidēti ziņojumā, ko kolēģija pieņems. Dalība ir brīvprātīga, un kolēģija nav publicējusi, kuras iestādes pievienojās, tāpēc nevajadzētu izdarīt nekādus pieņēmumus par Autoriteit Persoonsgegevens. Šis arguments paliek spēkā jebkurā gadījumā: pārredzamība ir šī cikla Eiropas izpildes tēma, un paziņojums, kas kopš tā sagatavošanas nav nolasīts pret uzņēmumu, ir tieši tāds dokuments, kas nav saglabājies, izskatot šo jautājumu.

Law & More konsultē Nīderlandes un ārvalstu uzņēmumus par informācijas sniegšanas pienākumiem saskaņā ar GDPR 12.–14. pantu: esoša privātuma paziņojuma pārskatīšana, salīdzinot to ar apstrādes darbību reģistru, tā sagatavošana no nulles un atbildes uz Autoriteit Personsgegevens jautājumiem vai veiktajām izmeklēšanām. Ja vēlaties, lai jūsu paziņojums tiktu pārbaudīts, pirms to pārbauda kāds cits, lūdzu, sazinieties ar mums.