荷兰的数据保护基于两项法律文书。《通用数据保护条例》（GDPR）直接适用于整个欧盟，并规定了实质性规则：原则、法律依据、数据主体的权利以及数据控制者和处理者的义务。与此同时，《荷兰GDPR实施法》（Uitvoeringswet AVG，简称UAVG）填补了条例留给成员国的选择余地，并指定荷兰数据保护局（Autoriteit Persoonsgegevens）为监管机构。
由于该条例具有直接适用性，因此组织必须遵守的是GDPR本身。如果已做出国家层面的选择，则实施法案至关重要——而这恰恰是那些在多个成员国运营的组织往往会忽略的。
该实施法案增加了哪些内容？
《通用数据保护法》（UAVG）涵盖了有限的国家选择。根据UAVG第5条，未满十六周岁的儿童在获得信息社会服务之前，必须获得父母或监护人的同意；年满十六周岁的儿童可以自行同意。
该法案还规定了在特定情况下处理特殊类别数据。第29条允许在出于身份验证或安全目的需要时处理生物识别数据以进行唯一识别，组织机构可将此例外情况用于访问控制和登录系统。此外，该法案还包含关于处理犯罪数据的规定，并规范了新闻、研究和存档等领域的豁免，同时规定了数据保护机构的权力和相关程序。
但它并没有建立一个更宽松的制度。如果将该条例和法案结合起来解读，条例规定了标准，而法案则决定了如何回答少数几个国家层面的问题。
在实践中，哪些义务比较重要？
大部分工作集中在四件事上。首先，根据《通用数据保护条例》(GDPR)第30条，需要记录处理活动。这是监管机构首先要求提供的文件，它迫使组织了解其实际掌握的信息。其次，需要为每项处理操作选择合法依据，而不是默认使用同意。同意通常是最薄弱的依据，因为它必须是自愿给予的，并且可以随时撤回。
根据《通用数据保护条例》(GDPR)第28条，与所有数据处理者签订数据处理协议，并在个人数据离开欧洲经济区时采取充分的保障措施。此外，还需建立数据主体权利和违规通知的工作程序，该程序必须能够在GDPR第33条规定的72小时通知期内有效运作。
GDPR是如何执行的？
荷兰数据保护局有权对相关机构进行调查、责令采取措施、禁止数据处理并对相关机构处以罚款。根据《通用数据保护条例》（GDPR）第83条，违反行政义务的罚款最高可达1000万欧元或全球年营业额的2%；违反核心原则、数据主体权利或国际数据传输规则的罚款最高可达2000万欧元或营业额的4%，以较高者为准。
除了监管执法外，个人还可以要求赔偿，自 2020 年引入集体损害赔偿制度 (WAMCA) 以来，荷兰在这一领域的集体诉讼已成为真正的风险。
综上所述
- GDPR 直接规定了实质性规则；UAVG 只是填补了该条例留下的国家选择空白。
- 根据《通用航空法》第 5 条规定，未满十六周岁的儿童使用信息社会服务需要获得父母的同意。
- 《无人机法》第 29 条允许将生物特征数据用于身份验证或安全目的，作为一般禁止的例外。
- 处理活动记录、每次处理操作的合法依据、处理者协议以及涵盖 72 小时通知期的违约程序构成了大部分合规工作。
- 根据 GDPR 第 83 条规定，罚款最高可达 20 万欧元或全球营业额的 4%，个人和团体可以分别申请赔偿。
常见问题
我们需要设立数据保护官吗？
只有在法规要求的情况下才需要设立数据保护官：公共机构，以及其核心活动涉及大规模定期监测或大规模处理特殊类别数据的组织。许多组织自愿设立数据保护官，这样就能获得相应的法定地位和保护。
同意是最安全的依据吗？
通常情况恰恰相反。同意必须是自愿的，并且可以随时撤回，撤回后必须停止数据处理。合法利益或履行合同通常是更可靠的依据，前提是评估过程有书面记录。
如果我们不在欧盟境内，GDPR 是否适用于我们？
可以。无论组织机构的注册地在哪里，只要向欧盟境内的人们提供商品或服务，或者在欧盟境内对他们的行为进行监控，该条例均适用。
数据保护建议
合规工作要想取得最佳效果，关键在于从组织实际的数据处理方式出发，而不是照搬模板。我们提供关于处理记录、法律依据、数据处理协议、国际数据传输、影响评估和违规应对等方面的咨询服务。
不确定您的处境？请告诉我们您的情况。我们将在一个工作日内告知您有哪些选择。
创新中心 Law & More 我们网站上有相关说明，可以帮助您解决这个问题。 信息技术律师 页面。
