Data Protection & IT Lawyers in Netherlands

GDPR en Nederlandse Dataprotectie Regelgeving

Autoriteit Persoonsgegevens (AP) Handhaving

De Autoriteit Persoonsgegevens (AP) is de Nederlandse gegevensbeschermingsautoriteit die de AVG (Nederlandse implementatie van GDPR) handhaveert. De AP kan boetes opleggen tot:

• Maximaal €20 miljoen of 4% van wereldwijde jaaromzet (GDPR artikel 83) — welke bedrag hoger is.
• Minder ernstige inbreuken: Tot €10 miljoen of 2% van wereldwijde omzet.

Opmerkelijke AP/Europese Handhavingsgevallen

• Uber €290 miljoen (2024): Europese Gegevensbeschermingsraad (EDPB) bekeurd Uber voor ongeautoriseerde tracking en gegevensverkoop.
• TikTok €345 miljoen (2023): Ierlands Data Protection Commission (DPC) bekeurd TikTok na EDPB bindend besluit over ontoereikende gegevensoverdrachtgaranties.
• BKR €830.000 (2021): AP bekeurd het Bureau Kredietregistratie voor gebroken rechtmatigheidsgrondslag en non-naleving van GDPR-transparantie.
• Clearview AI €30,5 miljoen (2022): AP bekeurd Clearview AI, een Amerikaans gezichtsherkenningstechnologiebedrijf dat Nederlandse gegevens illegaal verzamelde.
• KNLTB €525.000 (2021): AP bekeurd de Koninklijke Nederlandse Lawn Tennis Bond (KNLTB) voor onvoldoende beveiligde persoonsgegevens van leden.

AVG Nederlands Implementatie (UAVG)

De Uitvoeringswet AVG (UAVG) geeft het Nederlandse juridische raamwerk voor:

• Toestemmingsvereisten: Organisaties moeten voorafgaande expliciete toestemming verkrijgen voordat zij persoonsgegevens verwerken, behalve op grond van andere wettelijke grondslagen (contractueel, wettelijke plicht, gerechtvaardigd belang, etc.).
• Gegevensminimalisatie: Slechts relevante en noodzakelijke gegevens voor het doel mogen worden verzameld.
• Retentie: Gegevens mogen niet langer worden opgeslagen dan nodig voor het doel.

Leeftijdstoestemming voor Kinderen

Nederland volgt de AVG-bepalingen voor minderjarigen:

• Leeftijdsgrens: 16 jaar (artikel 5 UAVG) — Dit is ouder dan andere EU-landen. Minderjarigen onder de 16 jaar hebben oudertoestemming nodig voor gegevensverwerking door informatie- en informatiediensten (bijv. sociale media).
• Dit verschilt van het VK (13 jaar) en andere EU-landen (13-16 jaar).

Datalekken - Meldingsplicht

Organisaties die datalekken ontdekken, hebben specifieke verplichtingen:

• Melden aan AP (Autoriteit Persoonsgegevens): Binnen 72 uur na ontdekking van het lek, zonder onnodige vertraging.
• Melden aan betrokkenen: Zonder onnodige vertraging als het lek "hoog risico" vormt (bijv. identiteitsdiefstal, fraudegevaar). Voor laag risico is melding niet altijd verplicht.
• Documentatie: Organisaties moeten het lek documenteren (wanneer, welke gegevens, gevolgen, maatregelen).

Casestudy: Gemeentelijke Dataleak

Scenario: Een Nederlandse gemeente ontdekt dat een niet-versleutelde database met burgergegevens (burgerservicenummers, adressen, telefoonnummers) 48 uur toegankelijk is geweest vanuit het internet vanwege een misconfiguratie van cloudopslaginstelling.

• Melding AP: Gemeente meldt het lek aan AP binnen 72 uur met details over getroffen aantal personen, type gegevens, mogelijke risico's.
• Melding betrokkenen: Omdat burgerservicenummers en adressen hoog risico vormen voor identiteitsdiefstal, moet gemeente alle betrokkenen melden zonder onnodige vertraging.
• Onderzoek: AP voert onderzoek in naar toevoeging van gegevensbeveiliging en organisatorische maatregelen.
• Boete/maatregelen: Gemeente kan met waarschuwing afkomen als maatregelen snel worden genomen (bijv. versleuteling, toegangscontroles). In geval van herhaalde inbreuken, kan AP een boete opleggen.

Rechten van Betrokkenen

Personen hebben volgende rechten onder de AVG/UAVG:

• Recht op inzage: Inzage van persoonsgegevens die een organisatie verwerkt.
• Recht op rectificatie: Foutieve gegevens corrigeren.
• Recht op verwijdering (het recht om vergeten te worden): Verwijdering van gegevens onder bepaalde omstandigheden.
• Recht op beperking van verwerking: Pauzering van gegevensverwerking in bepaalde situaties.
• Recht op bezwaar tegen verwerking: Bezwaar tegen automatische profilering of targeted marketing.

Privatebel en Compliance Verantwoordelijkheden

Organisaties moeten ingebouwde privacy (privacy by design) hanteren:

• Beoordeling van gegevensbeschermingseffect (DPIA) voor risicovolle verwerkingen.
• Aanstelling van Data Protection Officer (DPO) wanneer wettelijk verplicht.
• Verwerkersovereenkomsten met alle partijen die gegevens verwerken.
• Regelmatige controles en audits van gegevensbeveiligingsmaatregelen.