डच डाटा संरक्षण प्राधिकरण: कार्य, शक्ति र गुनासोहरू

डच डाटा संरक्षण प्राधिकरण (Autoriteit Persoonsgegevens, AP) नेदरल्याण्ड्समा GDPR लागू गर्ने स्वतन्त्र नियामक हो: यसले गुनासोहरू ह्यान्डल गर्छ, डाटा उल्लंघन सूचनाहरू प्राप्त गर्छ, संस्थाहरूको अनुसन्धान गर्छ र आदेश र जरिवाना लगाउन सक्छ। यो अदालत होइन: यसले कम्पनीसँगको तपाईंको विवाद समाधान गर्दैन र तपाईंलाई क्षतिपूर्ति दिन सक्दैन, जुन नागरिक अदालतहरूको मामिला हो।

GDPR कार्यान्वयन ऐन (Uitvoeringswet AVG) ले धारा ५१ GDPR अन्तर्गत AP लाई पर्यवेक्षक अधिकारको रूपमा तोकेको छ र यसलाई कानुनी व्यक्तित्व दिन्छ। यो लेखले यसको कार्य र शक्तिहरू, उजुरी र उल्लङ्घन सूचनाले कसरी काम गर्छ, र AP ले तपाईंको संस्थाको अनुसन्धान गरेमा के गर्ने भनेर व्याख्या गर्दछ।

AP ले के को सुपरिवेक्षण गर्छ?

एपीले नेदरल्याण्ड्समा सार्वजनिक निकाय र निजी संस्थाहरूद्वारा व्यक्तिगत डेटाको प्रशोधनको पर्यवेक्षण गर्दछ। यसले नेदरल्याण्ड्सका मानिसहरूलाई सामान वा सेवाहरू प्रदान गर्ने वा निगरानी गर्ने EU बाहिरका संस्थाहरूको पनि पर्यवेक्षण गर्दछ।

त्यस्ता गैर-EU संस्थाहरूले धारा २७ GDPR अन्तर्गत EU मा एक प्रतिनिधि नियुक्त गर्नुपर्छ; एक प्रतिनिधिको अनुपस्थिति कार्यान्वयनको लागि छुट्टै आधार हो। GDPR बाहेक, AP ले प्रहरी र न्यायिक डेटा सम्बन्धी नियमहरूको पर्यवेक्षण गर्दछ, निजी चेतावनी सूचीहरूको लागि इजाजतपत्र जारी गर्दछ (उदाहरणका लागि धोखाधडीमा) र एल्गोरिदमहरूको पर्यवेक्षण समन्वय गर्दछ।

एपी एक प्रशासनिक निकाय हो। त्यसैले सामान्य प्रशासनिक कानून ऐन (अल्जेमेन वेट बेस्टुर्सरेच्ट, एडब्ल्यूबी) ले यसले कसरी निर्णय लिन्छ र तपाईंले तिनीहरूलाई कसरी चुनौती दिनुहुन्छ भन्ने कुरालाई नियन्त्रण गर्दछ। सरकारले व्यक्तिगत मामिलाहरूमा यसलाई निर्देशन दिन सक्दैन।

एपीको काम के हो?

धारा ५७ GDPR ले कार्यहरू सूचीबद्ध गर्दछ: GDPR को अनुगमन र कार्यान्वयन, जागरूकता बढाउने, सरकार र संसदलाई कानूनमा सल्लाह दिने, गुनासोहरू सम्हाल्ने र अन्य युरोपेली नियामकहरूसँग सहकार्य गर्ने। AP ले नियमहरू कसरी लागू गर्छ भन्ने बारे मार्गदर्शन पनि प्रकाशित गर्दछ।

मार्गदर्शन कानून होइन, तर यसले नियामकले तपाईंको मुद्दाको मूल्याङ्कन कसरी गर्नेछ भनेर देखाउँछ। एउटा कार्यको लागि तपाईंले पहिले नै AP मा जान आवश्यक छ: धारा ३६ GDPR अन्तर्गत, यदि डेटा सुरक्षा प्रभाव मूल्याङ्कन (DPIA) ले तपाईंले कम गर्न नसक्ने उच्च जोखिम देखाउँछ भने प्रशोधन सुरु गर्नु अघि तपाईंले AP सँग परामर्श गर्नुपर्छ।

एपीसँग कस्ता शक्तिहरू छन्?

धारा ५८ GDPR ले AP लाई अनुसन्धान र सुधारात्मक शक्ति दिन्छ। अनुसन्धानमा सहयोग अनिवार्य छ।

अनुसन्धान शक्तिहरूमा जानकारी आदेश दिने, लेखा परीक्षण गर्ने र डेटा, परिसर र उपकरणहरूमा पहुँच प्राप्त गर्ने समावेश छ। सुधारात्मक शक्तिहरूमा चेतावनी वा हप्काउनेदेखि लिएर डेटा विषयको अनुरोधको पालना गर्ने आदेश, उल्लङ्घनको बारेमा व्यक्तिहरूलाई जानकारी दिने आदेश, प्रशोधनमा अस्थायी वा स्थायी प्रतिबन्ध र EU बाहिर डेटा स्थानान्तरणको निलम्बन सम्म समावेश छ।

एपीले धारा ८३ जीडीपीआर अन्तर्गत प्रशासनिक जरिवाना पनि लगाउन सक्छ: सबैभन्दा गम्भीर उल्लङ्घनका लागि €२० मिलियन वा विश्वव्यापी वार्षिक कारोबारको ४ प्रतिशत, जुन बढी होस्, सम्म। त्यो अधिकतम भित्र, एपीका प्रकाशित जरिवाना नीति नियमहरूले गम्भीरता, अवधि, अभिप्राय, प्रभावित व्यक्तिहरूको संख्या र सहयोगको आधारमा ब्यान्डविथ सेट गर्दछ। आदेशलाई प्रायः जरिवाना (अन्तिम पटक) लाग्ने आदेशसँग जोडिन्छ। नेदरल्याण्डमा प्रशासनिक जरिवानाको बारेमा हाम्रो लेखमा थप पढ्नुहोस् ।

तपाईं AP मा कसरी उजुरी दर्ता गर्नुहुन्छ?

यदि तपाईंलाई आफ्नो व्यक्तिगत डेटा गैरकानूनी रूपमा प्रशोधन गरिएको छ भन्ने लाग्छ भने धारा ७७ GDPR अन्तर्गत तपाईंले AP मा उजुरी दर्ता गर्न सक्नुहुन्छ। तपाईंले AP वेबसाइटमा रहेको उजुरी फारम मार्फत यो गर्नुहुन्छ।

पहिले आफ्नो अनुरोध संस्थालाई लिखित रूपमा राख्नुहोस् र तपाईंले प्रयोग गर्नुभएको अधिकार, जस्तै पहुँच वा मेटाउने, उल्लेख गर्नुहोस्। धारा १२(३) GDPR अन्तर्गत संस्थाले एक महिना भित्र जवाफ दिनुपर्छ, जटिल अनुरोधहरूको लागि दुई महिनासम्म बढाउन सकिन्छ। गोपनीयता सूचनाको अनुरोध, जवाफ, मिति र स्क्रिनसटहरू राख्नुहोस्।

AP ले अनुसन्धान गर्न सक्ने भन्दा धेरै गुनासोहरू प्राप्त गर्दछ र प्रकाशित प्राथमिकताहरू प्रयोग गरेर मुद्दाहरू छनौट गर्दछ। गुनासो केवल संकेतको रूपमा दर्ता गर्न सकिन्छ। धारा ७८ GDPR अन्तर्गत AP ले तपाईंलाई तीन महिना भित्र प्रगति वा परिणामको बारेमा जानकारी दिएन भने तपाईं अदालत जान सक्नुहुन्छ।

डेटा उल्लंघनको रिपोर्ट कहिले गर्नुपर्छ?

धारा ३३ GDPR अन्तर्गत, नियन्त्रकले व्यक्तिगत डेटा उल्लंघनको बारेमा अनावश्यक ढिलाइ नगरी र सम्भव भएसम्म, ७२ घण्टा भित्र AP लाई सूचित गर्दछ। यदि उल्लंघनले सम्बन्धित व्यक्तिहरूलाई जोखिम निम्त्याउने सम्भावना छैन भने तपाईंले सूचित गर्नु पर्दैन।

यदि जोखिम उच्च छ भने, धारा ३४ GDPR ले तपाईंलाई ती व्यक्तिहरूलाई पनि स्पष्ट भाषामा जानकारी गराउन आवश्यक छ। प्रत्येक उल्लङ्घन तपाईंको आन्तरिक दर्तामा जान्छ, सूचित गरिएको होस् वा नहोस्; AP ले पहिले त्यो दर्ताको लागि सोध्छ।

७२ घण्टा जागरूकताबाट चल्छ, तपाईंको अनुसन्धानको अन्त्यबाट होइन, त्यसैले अपूर्ण सूचना फाइल गर्नुहोस् र पछि यसलाई पूरक गर्नुहोस्। प्रोसेसरले अनावश्यक ढिलाइ बिना आफ्नो नियन्त्रकलाई सूचित गर्नुपर्छ, त्यसैले तपाईंको डेटा प्रशोधन सम्झौताले छोटो आन्तरिक समयसीमा सेट गर्नुपर्छ। यदि तपाईंको मुख्य प्रतिष्ठान अर्को EU देशमा छ भने, तपाईंले त्यो देशको प्रमुख अधिकारीलाई सूचित गर्नुहुन्छ।

यदि AP ले तपाईंको संस्थाको अनुसन्धान गर्छ भने के हुन्छ?

अनुसन्धान सामान्यतया जानकारीको लागि लिखित अनुरोधबाट सुरु हुन्छ। सही र समयमै जवाफ दिनुहोस्, र आफ्ना उत्तरहरू आफ्नो रेकर्डसँग मिल्दोजुल्दो राख्नुहोस्।

AP ले प्रतिकूल निर्णय लिनु अघि, तपाईंलाई सुनुवाइ हुने र निष्कर्षहरूको रिपोर्ट हेर्ने अधिकार छ। यदि जरिवाना सम्भव छ भने, धारा 5:10a Awb ले प्रश्न उठाएको व्यक्तिलाई उल्लङ्घनको बारेमा मौन बस्ने अधिकार दिन्छ, र उनीहरूलाई त्यो अधिकारको बारेमा सतर्क गराउनुपर्छ।

निर्णय पछि तपाईंसँग AP मा आपत्ति (बेज्वार) दर्ता गर्न छ हप्ता हुन्छ। आपत्तिको निर्णय विरुद्ध तपाईंले छ हप्ता भित्र जिल्ला अदालतमा अपील गर्नुहुन्छ, र त्यसपछि राज्य परिषद्को प्रशासनिक क्षेत्राधिकार डिभिजन (राड वान स्टेट) मा। यदि प्रशोधन प्रतिबन्धले तपाईंको व्यवसायलाई रोक्छ भने, तपाईं अदालतलाई अस्थायी उपाय (voorlopige voorziening) को लागि अनुरोध गर्न सक्नुहुन्छ।

एउटा संस्थाको रूपमा तपाईंले के जाँच गर्नुपर्छ?

• उद्देश्य, कानुनी आधार र अवधारण अवधि सहितको प्रशोधन गतिविधिहरूको तपाईंको दर्ता।
• तपाईंले सूचित नगर्नुभएको प्रत्येक उल्लङ्घनको लागि तपाईंको उल्लङ्घन दर्ता र दस्तावेजीकृत जोखिम मूल्याङ्कन।
• एक महिनाको समयसीमा पूरा गर्ने अधिकार अनुरोधहरूको लागि कार्य प्रक्रिया।
• तपाइँको हो कि गोपनीयता कथन तपाईंको कुकी ब्यानर, एप अनुमतिहरू र वास्तविक अभ्याससँग मेल खान्छ।
• उच्च जोखिम प्रशोधनका लागि DPIAs र EU बाहिर स्थानान्तरणका लागि सुरक्षा उपायहरू।
• यदि तपाईं एक भन्दा बढी EU देशहरूमा काम गर्नुहुन्छ भने कुन प्राधिकरण तपाईंको प्रमुख प्राधिकरण हुनेछ?

व्यक्तिगत रूपमा तपाईंले के जाँच गर्नुपर्छ?

• तपाईंले पहिले संस्थालाई लिखित अनुरोध पठाउनुभयो र एक महिना पर्खनुभयो कि भएन?
• तपाईंले कुन अधिकारको प्रयोग गर्नुहुन्छ: पहुँच, सुधार, मेटाउने, आपत्ति वा प्रतिबन्ध।
• तपाईंसँग अनुरोध, जवाफ र मिति लिखित रूपमा छ कि छैन।
• यदि तपाईं क्षतिपूर्ति चाहनुहुन्छ भने; त्यसो भए तपाईंलाई एपी होइन, सिभिल अदालत चाहिन्छ।
• संस्थाले तपाईंको अनुरोध अस्वीकार गरेमा अदालत जानको लागि छ हप्ताको समयसीमा।

तपाईं एपी जानु पर्छ कि अदालत?

एपी र अदालतहरू छुट्टाछुट्टै मार्ग हुन्, एउटै प्रक्रियाका चरण होइनन्। एपीमा गरिएको उजुरीले कुनै पनि अदालतको म्याद चल्नबाट रोक्दैन।

यदि कुनै निजी संस्थाले तपाईंको अधिकार अनुरोध अस्वीकार गर्छ भने, GDPR कार्यान्वयन ऐनले तपाईंलाई अस्वीकार प्राप्त गरेको छ हप्ता भित्र जिल्ला अदालतमा निवेदन दायर गर्न दिन्छ। यदि संस्था सार्वजनिक निकाय हो भने, यसको निर्णय प्रशासनिक निर्णय हो र तपाईंले Awb अन्तर्गत आपत्ति र अपील प्रयोग गर्नुहुन्छ।

धारा ८२ GDPR अन्तर्गत क्षतिपूर्ति सधैं नागरिक अदालतमा दावी गरिन्छ। डच अदालतहरूले गैर-भौतिक क्षतिको लागि मामूली रकम प्रदान गर्छन् र ठोस प्रतिकूल परिणामहरू आवश्यक पर्दछ। AP को निष्कर्षहरू प्रमाणको रूपमा काम गर्न सक्छन्।

सीमापारका मुद्दाहरूमा एक-स्टप-शपले कसरी काम गर्छ?

यदि प्रशोधनले धेरै EU देशहरूमा मानिसहरूलाई असर गर्छ भने, संस्थाको मुख्य स्थापना भएको नियामकले प्रमुख अधिकारीको रूपमा काम गर्दछ (धारा ५६ GDPR)। यदि त्यो नेदरल्याण्ड हो भने, AP ले सम्बन्धित अन्य नियामकहरूसँग समन्वय गर्दछ।

नियामकहरू बीचको विवाद युरोपेली डेटा संरक्षण बोर्ड (EDPB) द्वारा निर्णय गरिन्छ। तपाईंको मुख्य प्रतिष्ठान त्यो हो जहाँ प्रशोधन सम्बन्धी निर्णयहरू वास्तवमा लिइन्छ, समूह दर्ता भएको ठाउँमा होइन। AP ले डच प्रतिष्ठानहरू र सीमापार नभएको प्रशोधनमाथि आफ्नो अधिकार राख्छ।

डच डाटा संरक्षण प्राधिकरणसँग हामी तपाईंको लागि के गर्न सक्छौं?

हाम्रा IT र गोपनीयता वकिलहरूले संस्था र व्यक्तिहरूलाई AP सँगको व्यवहारमा सहयोग गर्छन्।

• हामी जानकारीको लागि AP अनुरोधको तपाईंको जवाफको मस्यौदा तयार गर्छौं र फाइलको समन्वय गर्छौं।
• हामी डेटा उल्लंघनको मूल्याङ्कन गर्छौं र ७२ घण्टा भित्र सूचना तयार गर्छौं।
• हामी छ हप्ताको समयसीमा भित्र AP आदेश वा जरिवाना विरुद्ध आपत्ति वा अपील दायर गर्छौं।
• हामी अस्वीकृत अधिकार अनुरोधको बारेमा एपीमा उजुरी वा जिल्ला अदालतमा निवेदनको मस्यौदा तयार गर्छौं।
• हामी तपाईंको गोपनीयता कथन, प्रशोधन दर्ता र डेटा प्रशोधन सम्झौताहरूको समीक्षा गर्छौं।

थप पृष्ठभूमि हाम्रो IT कानून गाइडहरूमा छ , र AP ले आफ्नो वेबसाइटमा आफ्नै गाइडलाइन प्रकाशित गर्दछ ।

सारांश

• एपी स्वतन्त्र डच नियामक हो जसले GDPR लागू गर्दछ; यसले क्षतिपूर्ति प्रदान गर्दैन।
• कुनै जोखिम नभएसम्म, जानकारी उल्लंघन भएको थाहा पाएको ७२ घण्टा भित्र रिपोर्ट गर्नुहोस्।
• AP को निर्णय विरुद्ध तपाईंले छ हप्ता भित्र आपत्ति जनाउनुहुन्छ, त्यसपछि जिल्ला अदालतमा अपील गर्नुहुन्छ।
• अस्वीकृत अधिकार अनुरोध छ हप्ता भित्र जिल्ला अदालतमा जान्छ; एपीमा उजुरी गर्दा त्यो समयसीमा बढ्दैन।

बारम्बार सोधिने प्रश्नहरू