Nizozemský úřad pro ochranu osobních údajů – Autoriteit Persoonsgegevens (AP) – je nezávislým regulátorem ochrany soukromí v Nizozemsku. Zajišťuje, aby organizace působící v Nizozemsku nebo cílící na Nizozemsko dodržovaly GDPR, vyšetřuje podezření z porušení, ukládá pokuty a příkazy a vysvětluje, jak se musí s osobními údaji nakládat. Jednotlivci se mohou na úřad obrátit, pokud bylo s jejich údaji nakládáno nesprávně nebo pokud organizace ignoruje jejich práva na ochranu soukromí. Organizace musí úřad do 72 hodin informovat o příslušných únicích údajů a prokázat odpovědnost za to, jak zpracovávají osobní údaje, a to i v případech, kdy se spoléhají na zvláštní kategorie nebo přenášejí data do zahraničí.

Tato praktická příručka vysvětluje, co dělá pověřenec pro ochranu osobních údajů (AP) a kdy zasáhne, zda se na vás GDPR vztahuje a kdy a jak kontaktovat pověřence pro ochranu osobních údajů. Najdete v ní práva, která pověřenec pro ochranu osobních údajů pomáhá chránit, podrobný postup pro podávání stížností, hlášení úniků dat pro organizace, základní povinnosti GDPR a co pověřenci pro ochranu osobních údajů a zástupci EU dělají v praxi. Budeme se také zabývat přeshraničními případy a mechanismem jednotného kontaktního místa, nedávnými příklady vymáhání práva, oficiálními zdroji a kontaktními kanály a také tím, jak se připravit na šetření ze strany pověřence pro ochranu osobních údajů. Pojďme vám pomoci zorientovat se a získat jistotu ohledně dalších kroků.

Mandát a pravomoci Autoriteit Persoonsgegevens (AP)

Nizozemský úřad pro ochranu osobních údajů je nezávislý dozorový orgán, který dohlíží na dodržování s GDPR v Nizozemsku. Dohlíží na veřejné i soukromé organizace, které zpracovávají osobní údaje lidí v Nizozemsku, řeší stížnosti a signály o nedodržování předpisů a v případě potřeby přijímá nápravná opatření.

• Vyšetřovací pravomoci: vyžadovat informace, provádět kontroly a vyšetřovat podezření z porušení GDPR.
• Nápravné pravomoci: vydávat příkazy k dodržování předpisů (včetně příkazů podléhajících pravidelným penále), udělovat napomenutí a ukládat správní pokuty.
• Porušení dohledu: přijímat a posuzovat povinná oznámení o narušení bezpečnosti údajů (v případě potřeby do 72 hodin) a kontrolovat, zda jsou dotčené osoby informovány.
• Vymáhání práv: zajistit, aby organizace usnadňovaly přístup a další práva subjektů údajů; jednat, pokud jsou žádosti ignorovány nebo nesprávně vyřízeny.
• Zaměření na vedení a dohled: zveřejňovat pokyny a dohlížet na vysoce rizikové zpracování, včetně údajů zvláštní kategorie a mezinárodních přenosů.
• Vymáhání zastoupení: vyžadovat, aby správci údajů ze zemí mimo EU, kteří se zaměřují na osoby v Nizozemsku, v případě potřeby jmenovali zástupce EU.

Vztahuje se na vás v Nizozemsku GDPR?

jestli ty působí v Nizozemsku nebo cílit na lidi tam a zpracovávat osobní údaje, pravděpodobně se na vás vztahuje GDPR – bez ohledu na to, kde se vaše servery nacházejí. Nizozemský úřad pro ochranu osobních údajů (AP) dohlíží na dodržování předpisů u organizací všech velikostí, od freelancerů až po nadnárodní společnosti.

• se sídlem v EU: Jste usazeni v EU a zpracováváte osobní údaje.
• Sídlo mimo EU: Nabízíte zboží/služby lidem v EU nebo monitorujete jejich chování v EU.

Organizace mimo EU, na které se vztahuje působnost, musí jmenovat zástupce EU.

Kdy a proč kontaktovat AP

Pokud jsou rizika pro soukromí významná nebo vaše pokusy o vyřešení problému s organizací nevedou k ničemu, obraťte se na nizozemský úřad pro ochranu osobních údajů (AP). Jednotlivci mohou podat stížnosti na nesprávné nakládání s osobními údaji. Organizace musí nahlásit kvalifikované úniky dat do 72 hodin a pro určité vysoce rizikové činnosti mohou potřebovat schválení AP.

• Nezákonné zpracování nebo zneužití ve zvláštní kategorii: např. biometrické údaje bez právního základu.
• Ignorované žádosti o práva: selhání v přístupu, výmazu, námitkách nebo transparentnosti.
• Úniky dat (organizace): povinné oznámení AP do 72 hodin.
• Žádné oznámení o porušení bezpečnosti pro jednotlivce: kdy měli být lidé informováni.
• Žádný zástupce EU (kontroloři mimo EU): a zároveň cílí na lidi v Nizozemsku.
• Sdílené černé listiny: když je vyžadována licence od AP.

Vaše práva dle GDPR, která AP chrání

Úřad pro ochranu osobních údajů (AP) chrání vaše základní práva podle GDPR tím, že zajišťuje, aby vás organizace jasně informovaly, včas reagovaly a zpracovávaly data zákonným způsobem. Pokud společnost žádost ignoruje nebo nesprávně vyřídí, může nizozemský úřad pro ochranu osobních údajů provést vyšetřování a nařídit dodržování předpisů. Toto jsou klíčová práva, která AP v praxi vymáhá.

• Právo být informován: jasná a transparentní oznámení, a to i v případech, kdy jsou údaje získávány od jiných osob.
• Právo na přístup: kopii vašich údajů a údajů o zpracování; odpověď bez zbytečného odkladu (obvykle do jednoho měsíce).
• Usnadnění práv: Organizace musí žádosti vyřizovat snadno a včas – bez neodůvodněných odmítnutí nebo zpoždění.
• Ochrana údajů zvláštní kategorie: dodatečná ochranná opatření pro biometrické nebo zdravotní údaje; nezákonné použití spouští akci ze strany AP.
• Informace o porušení: Lidé musí být informováni, pokud únik představuje vysoké riziko; AP kontroluje, zda k tomu dochází.

Jak podat stížnost na porušení soukromí (krok za krokem)

Pokud organizace nesprávně nakládá s vašimi osobními údaji nebo ignoruje vaši žádost o porušení vašich práv, můžete si stěžovat u nizozemského úřadu pro ochranu osobních údajů (Autoriteit Persoonsgegevens, AP). Ve většině případů se pokuste problém nejprve vyřešit s organizací a uchovávejte si jasnou papírovou stopu. Cílená a dobře zdokumentovaná stížnost pomáhá úřadu rychleji posoudit situaci, zejména pokud se jedná o údaje zvláštní kategorie nebo přeshraniční zpracování.

1. Zkuste přímé rozlišení: Napište organizaci (nebo jejímu pověřenci pro ochranu osobních údajů) a vysvětlete problém a právo, kterého se dovoláváte; dejte jim na odpověď až jeden měsíc.
2. Shromážděte důkazy: Uschovejte si kopie vaší žádosti, všech odpovědí, dat, snímků obrazovky, oznámení o ochraně osobních údajů a veškeré újmy, kterou jste utrpěli.
3. Podejte svou stížnost agentuře AP: Použijte kanál pro stížnosti AP a popište, kdo, co, kdy, o jaké právo GDPR se jedná a jaký to mělo dopad.
4. Spolupracujte s následnými kroky: AP si může vyžádat další informace nebo se v případě přeshraničních případů koordinovat s jiným orgánem EU.
5. Zvažte paralelní nápravná opatření: AP může nařídit organizacím zajišťujícím dodržování předpisů a sankcionovat je; odškodnění vyžaduje samostatné občanskoprávní řízení.

Jak nahlásit únik dat AP (pro organizace)

Když dojde k narušení bezpečnosti osobních údajů, organizace působící v Nizozemsku nebo cílící na Nizozemsko Musíte jednat rychle: v případě potřeby do 72 hodin informovat nizozemský úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens, AP), informovat dotčené osoby a incident zaznamenat. Přeshraniční narušení se obvykle hlásí úřadu pro ochranu osobních údajů v zemi vašeho sídla v EU. Pozdní oznámení může být pokutováno.

1. Posoudit a zahrnout: Rozhodněte, zda se jedná o incident, který podléhá hlášení.
2. Informujte AP (72 hodin): K podání oznámení použijte kanál AP pro hlášení úniků dat.
3. V případě potřeby upozornit jednotlivce: Informujte dotčené osoby a poskytněte jim praktické rady.
4. Interní dokument: Zaznamenejte si fakta, důsledky a nápravná opatření do svého registru porušení.
5. Přeshraniční koordinace: Informujte vedoucí orgán (úřad pro ochranu osobních údajů vašeho ústředí EU) a koordinujte následná opatření.

Uschovejte si důkazy o rozhodnutích a časových lhůtách; AP si může vyžádat doplňující informace.

Co AP očekává od organizací: základní povinnosti GDPR

Úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens) očekává, že organizace prokáží skutečnou odpovědnost v souladu s GDPR: zvolí platný právní základ, jasně vysvětlí zpracování, minimalizují objem dat, řádně je zabezpečí, včas budou respektovat žádosti o narušení práv, budou posuzovat vysoce rizikové aktivity, v případě potřeby hlásit porušení a přenášet data do zahraničí pouze s řádnými ochrannými opatřeními.

• Právní základ a transparentnost: uveďte jasné účely, právní důvody a s kým sdílíte data; poskytněte přístupné informace o ochraně osobních údajů.
• Minimalizace a uchovávání dat: shromažďovat pouze to, co je nezbytné, a stanovovat/dodržovat doby uchovávání.
• Bezpečnostní opatření: zavést přiměřené technické a organizační kontroly a omezit interní přístup.
• Zpracování s vysokým rizikem: v případě potřeby provést posouzení vlivu na ochranu osobních údajů; přidat ochranná opatření pro data zvláštní kategorie.
• Usnadnění práv: usnadnit uplatňování práv; reagovat bez zbytečného odkladu (obvykle do jednoho měsíce).
• Řízení porušení: v případě potřeby upozornit AP do 72 hodin; informovat jednotlivce o vysokých rizicích; vést registr narušení.
• Mezinárodní transfery: používat rozhodnutí o přiměřenosti nebo vhodná ochranná opatření (např. vzorové doložky).
• Regulační požadavky: získat licence AP pro určité sdílené černé listiny; v případě potřeby jmenovat pověřence pro ochranu osobních údajů; správci z zemí mimo EU musí mít při cílení na Nizozemsko zástupce z EU.

Pověřenci pro ochranu osobních údajů, zástupci EU a odpovědnost v praxi

Odpovědnost podle GDPR je trvalou povinností, nikoli zaškrtávacím políčkem. V případě potřeby jmenujte pověřence pro ochranu osobních údajů (DPO), který bude monitorovat, jak jsou osobní údaje zpracovávány, radit zaměstnancům a sloužit jako kontaktní osoba pro nizozemský úřad pro ochranu osobních údajů (AP). Pokud jste správcem mimo EU, který nabízí zboží/služby lidem v EU nebo je monitoruje, musíte jmenovat zástupce EU. AP očekává důkazy o tom, že tyto role v praxi fungují – neurčení zástupce již vedlo k vymáhání práva, jak je vidět v případu Clearview.

• Pověřenec pro ochranu osobních údajů, pokud je to vyžadováno: Pověřenec pro ochranu osobních údajů monitoruje zpracování, informuje a radí zaměstnancům a je kontaktní osobou pro AP.
• Zástupce EU (správci mimo EU): při cílení na osoby v EU/Nizozemsku určete zástupce.
• Zpracování s vysokým rizikem: provádět posouzení vlivu na ochranu osobních údajů v případě potřeby a přidávat ochranná opatření pro data zvláštní kategorie.
• Zacházení s právy: usnadnit vyřizování žádostí a reagovat na ně bez zbytečného odkladu (obvykle do jednoho měsíce).
• Připravenost na porušení: vést registr narušení a v případě potřeby informovat AP do 72 hodin.
• Mezinárodní transfery: spoléhat se na rozhodnutí o odpovídající ochraně nebo vhodné záruky (např. vzorové smlouvy).

Přeshraniční případy a mechanismus jednotného kontaktního místa

Pokud se zpracování nebo narušení bezpečnosti týká osob ve více zemích EU, uplatňuje se jednotné kontaktní místo dle GDPR. Vedoucím dozorovým orgánem je úřad pro ochranu osobních údajů (DPA) vaší „hlavní provozovny“ v EU (obvykle ústředí). Pokud se tato provozovna nachází v Nizozemsku, vede nizozemský úřad pro ochranu osobních údajů (AP); v opačném případě AP jedná jako příslušný orgán. V případě přeshraničních narušení bezpečnosti organizace obvykle informují vedoucí dozorový orgán.

• Identifikujte svého hlavního DPA: Určete hlavní provozovnu a ověřte, kdo ji vede.
• Zpráva prostřednictvím hlavního úřadu pro ochranu osobních údajů: Využijte jeho komunikační kanál/kanál pro případ narušení a veďte záznamy.
• Koordinovat: Očekávejte žádosti o informace a jejich společné vyřizování s dalšími orgány pro ochranu osobních údajů v EU.

Vymáhání práva v praxi: pokuty, příkazy a významné případy

Nizozemský úřad pro ochranu osobních údajů používá kombinaci vyšetřovacích a nápravných nástrojů k rychlé změně chování. Očekávejte správní pokuty, napomenutí a příkazy k dodržování předpisů – často s pravidelnými penálemi za ukončení probíhajícího porušování. Mezi typické spouštěče patří nezákonné zpracování, zneužití údajů zvláštní kategorie, ignorování žádostí o porušení práv, absence zastoupení v EU ze strany správců mimo EU a pozdní nebo nedostatečná oznámení o porušení (za která může být uložena pokuta).

• Správní pokuty a příkazy: AP může nařídit nápravu a ukládat pravidelné penále k zajištění dodržování předpisů.
• Časté porušení: Žádný právní základ, nezákonné zpracování biometrických údajů, nízká transparentnost, neusnadnění přístupu a slabé řešení narušení bezpečnosti.
• Pozoruhodný případ – Clearview AI (2024): Pokuta ve výši 30 500 000 eur za nezákonný sběr údajů a zpracování biometrických údajů, nedostatky v transparentnosti a přístupu a za absenci zástupce EU; plus čtyři příkazy k zastavení probíhajícího porušování předpisů.

Oficiální zdroje a kontaktní kanály

Pro směrodatné pokyny a formuláře použijte nizozemský Úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens, AP). Toto jsou oficiální kanály pro informace, stížnosti a hlášení porušení bezpečnosti.

• Webové stránky AP (EN/NL): pokyny, aktualizace a novinky.
• Formulář pro stížnost (jednotlivci): podat stížnost na porušení soukromí; přiložit důkazy.
• Portál pro případ úniku dat (organizace, Nizozemsko): v případě potřeby upozorněte do 72 hodin; interně se zaregistrujte.
• Kontaktní stránka: obecné dotazy nebo sledování případu.
• Vedení: bezpečnostní opatření, posouzení vlivu na ochranu osobních údajů a mezinárodní přenosy.

Příprava na dotaz nebo inspekci AP

Dotaz od úřadu Autoriteit Persoonsgegevens se nemusí stát požárním cvičením. Nejúčinnějším způsobem, jak snížit riziko, je ukázat si, co jste si připravili, a včas opravit nedostatky. Využijte tuto cílenou přípravu, abyste byli připraveni na inspekci v případě žádostí o informace, vzdálených kontrol nebo šetření na místě.

• Jmenujte vedoucího reakce: Pověřenec pro ochranu osobních údajů/zástupce EU jako jediný kontakt; sledování všech termínů.
• Sestavte si soubor s informacemi o odpovědnosti: účely, právní základy, oznámení, uchovávání, kontroly přístupu.
• Nakládání s důkazními právy: protokol požadavků, šablony odpovědí a záznamy o vyřízení za jeden měsíc.
• Prokázat bezpečnost a posouzení vlivu na ochranu osobních údajů: zahrnovat zpracování vysoce rizikových/speciálních kategorií a zdokumentovaná zmírňující opatření.
• Vypracovat dokumentaci o porušení: registr incidentů, 72hodinová oznámení a veškerá komunikace s uživateli.
• Ověření mezinárodních převodů a zastoupení: doložky o přiměřenosti nebo vzorové doložky a doklad o zástupci EU (pokud je vyžadován).

Klíčové poznatky a další kroky

Sečteno a podtrženo: AP je nizozemský dozorčí orgán pro GDPR. Jednotlivci mohou eskalovat stížnosti; organizace musí prokázat zákonné zpracování, zajistit práva, zabezpečit data a hlásit porušení do 72 hodin, se zvláštním zřetelem na data zvláštní kategorie a přeshraniční nastavení. Potřebujete pomoc na míru nebo plánování urgentní reakce? Promluvte si s našimi právníci na ochranu osobních údajů v Law & More.