我们帮助荷兰的企业和组织遵守 GDPR，并在出现问题时迅速采取行动。作为隐私律师，我们起草隐私政策和数据处理协议，就数据泄露提供咨询，并协助您与荷兰数据保护局 (Autoriteit Persoonsgegevens) 联系。我们提供英语和荷兰语服务；第一步是免费的初步咨询，我们会分析您的数据流和风险。
客户评分 Law & More 10 分中的 9.6 分 客户评价荷兰评论平台（截至 2026 年 10 月，共有 81 条评论）。
我们能帮到你什么？
- 你需要为你的网址、应用程序或员工制定隐私声明；
- 供应商或客户要求您签署数据处理协议；
- 您遭遇数据泄露，必须在 72 小时内决定是否通知；
- 客户或员工提交访问或删除请求；
- 您想与合作伙伴共享数据或将数据传输到欧洲经济区以外；
- 您计划实施摄像头监控、生物识别门禁或员工监控；
- 荷兰数据保护局已展开调查或处以罚款。
GDPR对贵公司有哪些要求？
《通用数据保护条例》（GDPR）要求您仅出于特定目的并在有效的法律依据下处理个人数据，并且能够证明您遵守了该条例。它适用于欧盟境内所有处理个人数据的组织，无论其规模大小。
《通用数据保护条例》（GDPR，荷兰语：AVG）自2018年5月25日起生效。在荷兰，该条例由《GDPR实施法》（UAVG）补充。第6条列出了六项法律依据，例如同意、履行合同和合法利益。第5条补充了数据最小化和存储限制等原则。
实际上，大多数企业至少需要以下文件：
- 一份隐私声明，告知人们您的数据处理情况（第 13 条和第 14 条）；
- 加工活动记录（第 30 条），这是大多数有雇员的组织必须遵守的规定；
- 与为您处理个人数据的供应商签订处理协议（第 28 条）；
- 对高风险处理进行数据保护影响评估（DPIA）（第 35 条）；
- 数据泄露和数据主体请求的内部处理程序。
公共机构和核心活动涉及大规模监控或特殊类别数据的组织必须设立数据保护官（第 37 条）。
什么情况下需要数据处理协议？
当供应商代表您处理个人数据时，您需要签订数据处理协议。例如，薪资服务提供商、云托管商或SaaS平台。GDPR第28条规定了该协议必须包含的内容。
该协议记录了数据处理的主体、期限、性质和目的、数据类型以及安全措施。它还涵盖子处理者、协助处理数据主体请求以及最终的数据删除或返还。许多供应商提供标准版本。请务必仔细查看，因为责任和审计权利条款通常有利于供应商。
并非所有供应商都是数据处理者。像会计师事务所或银行这样自行决定数据处理目的的机构，通常是独立的数据控制者。我们关于数据控制者和数据处理者角色的文章解释了二者的区别。
数据泄露后您必须采取哪些措施？
除非个人数据泄露不太可能对个人造成风险，否则您必须在发现个人数据泄露后的72小时内通知荷兰数据保护局。如果风险较高，您还必须立即通知受影响的人员。
这些义务源于《通用数据保护条例》(GDPR) 第 33 条和第 34 条。数据泄露的范围比黑客攻击更广：例如，向错误的收件人发送电子邮件、丢失笔记本电脑或遭受勒索软件攻击等都属于数据泄露。请通过意大利个人数据保护局 (Autoriteit Persoonsgegevens)的在线表格进行报告。如果您尚未掌握全部事实，请及时报告，并在之后补充说明。
| 步骤 | 截止时间 |
|---|---|
| 控制事态并妥善保管证据 | 立即 |
| 评估个人风险 | 数小时内 |
| 通知荷兰数据保护局 | 意识清醒后72小时内 |
| 如果风险较高，应告知受影响的个人。 | 不无故拖延 |
| 将违规行为记录在内部登记册中。 | 即使您不通知，也始终如此 |
数据处理者必须在发生违约时立即通知您。请在数据处理协议中约定具体的通知期限，例如 24 小时或 48 小时。
您如何与荷兰数据保护局打交道？
荷兰个人数据保护局 (Autoriteit Persoonsgegevens) 负责监督荷兰境内 GDPR 的遵守情况，并可下达命令和处以行政罚款。罚款金额最高可达 20 万欧元或全球年营业额的 4%，以较高者为准（GDPR 第 83 条）。
调查通常从书面信息请求开始。请准确、及时地答复，并保持所提供文件的一致性。在罚款前，您有机会表达意见。对于罚款，您可以向主管机关提出异议，然后向地方法院提起上诉。我们的行政法页面详细解释了异议和上诉程序。
个人也可以因违反 GDPR 规定而追究您的责任（第 82 条）。他们还可以向有关当局投诉您。
如何与 Law & More 工作？
- 介绍性会议：您介绍您的组织或事件，我们确定紧急事项。
- 建议和成本估算：我们评估您的数据流、文档和风险，并给出成本估算。
- 方法和谈判：我们起草或审查政策和协议，并处理与供应商、数据主体或主管机构的联系。
- 程序或完成：我们以合规文件作为最终结果，或者协助对决定提出异议和上诉。
聘请隐私律师需要多少费用？
律师的咨询费为每小时250至350欧元（不含增值税），合伙人的咨询费为每小时300至400欧元（不含增值税）。我们会提前与您讨论具体费用并提供预估。首次咨询免费。单次咨询（不包含后续服务）费用为300欧元（含增值税）。
外部费用，例如诉讼费，另行收取。法律援助可通过法律援助委员会（Raad voor Rechtsbijstand）获得，但我们不以此为基础开展工作。
谁负责你的案子？
隐私和GDPR相关事宜由Aylin Acar负责处理。您可以在我们的团队页面查看整个团队。有关IT合同和网络安全方面的信息，请参阅我们的IT律师页面。
常见问题
我必须在多长时间内报告数据泄露事件？
根据《通用数据保护条例》(GDPR)第33条，您必须在知悉个人数据泄露后的72小时内向荷兰数据保护局报告。如果泄露事件不太可能对个人造成风险，则无需通知。所有泄露事件都必须在内部记录，包括您未报告的泄露事件。
小型企业也需要遵守GDPR吗？
是的。GDPR适用于所有处理个人数据的企业，包括个体经营者。小型组织在某些方面义务较轻，例如在特定情况下只需记录处理活动。无论规模大小，都需要隐私声明、数据处理协议和违规处理程序。
我必须在多长时间内回复访问请求？
根据《通用数据保护条例》(GDPR)第12条，您必须在收到请求后一个月内立即作出回应。对于复杂或数量众多的请求，您可以将期限延长两个月，但前提是您必须在第一个月内通知对方。通常情况下，访问本身是免费的。
我应该在什么情况下联系隐私律师？
在开始高风险数据处理（例如员工监控或生物识别）以及签署重要数据处理协议之前，请务必联系隐私律师。一旦发生数据泄露，请立即联系我们，因为72小时期限是从您发现泄露的那一刻起算。及早寻求建议通常比事后修复泄露更经济。
我可以将个人数据传输给欧盟以外的供应商吗？
只有通过有效的数据传输机制才能实现数据传输。这可以是欧盟委员会的充分性决定，也可以是标准合同条款加上数据传输影响评估。对于已获得认证的美国公司，欧盟-美国数据隐私框架可以作为基础。务必在签署合同前进行核实，而不是事后。
员工能否就违反 GDPR 的行为索赔？
是的。根据《通用数据保护条例》（GDPR）第82条，任何因数据泄露而遭受损失的人都可以向数据控制者或处理者索赔。这包括非物质损失，但当事人必须证明存在实际损失。荷兰法院判决的个人赔偿金额大多不高。基金会也可以代表一大群人提起集体诉讼，这会增加组织的财务风险。
对自身处境有疑问？请告诉我们您的情况。我们将在一个工作日内告知您有哪些选择。 联系我们或致电 +31 40 369 06 80 或发送电子邮件 info@lawandmore.nl.
Law & More, Marconilaan 13, 5612 HM Eindhoven （+31 40 369 06 80）及访问地点 Pietersbergweg 291, 1105 BM Amsterdam （+31 20 369 71 21）。服务时间：周一至周五 08:00-22:00，周六和周日 09:00-17:00。
本页面提供一般信息，不能替代针对您具体情况的建议。
最新IT法律文章
近期文章 Law & More 关于信息技术法律。
