नेदरल्याण्ड्समा डेटा सुरक्षा दुई उपकरणहरूमा आधारित छ: सामान्य डेटा संरक्षण नियमन (GDPR), जुन EU भरि सिधै लागू हुन्छ, र डच GDPR कार्यान्वयन ऐन (Uitvoeringswet AVG, UAVG), जसले नियमनले खुला छोडेका राष्ट्रिय विकल्पहरू मात्र भर्छ। UAVG ले डच डेटा संरक्षण प्राधिकरण (Autoriteit Persoonsgegevens, AP) लाई पर्यवेक्षकको रूपमा पनि तोकेको छ; यसले हल्का शासन सिर्जना गर्दैन।
नियमन प्रत्यक्ष रूपमा लागू हुने भएकोले, GDPR आफैंमा तपाईंको संस्थाले पालना गर्नुपर्ने कुरा हो। राष्ट्रिय छनौट कहाँ गरिएको छ भन्ने कुरा UAVG ले महत्त्वपूर्ण मान्छ, र धेरै सदस्य राष्ट्रहरूमा सक्रिय संस्थाहरूले बेवास्ता गर्ने बुँदाहरू ती हुन्।
सामग्रीको तालिका
कार्यान्वयन ऐनले के थप्छ?
सीमित संख्यामा राष्ट्रिय विकल्पहरू। बालबालिकालाई सिधै प्रदान गरिने सूचना समाज सेवाहरूको लागि, नेदरल्याण्ड्सले धारा ८ GDPR अन्तर्गत GDPR को पूर्वनिर्धारित उमेर सोह्र वर्ष राखेको छ, र धारा ५ UAVG ले त्यो नियमलाई विस्तार गर्दछ: अन्य परिस्थितिहरूमा जहाँ सहमति आधार हो, सोह्र वर्ष मुनिको बच्चालाई अभिभावक वा अभिभावकको पनि सहमति चाहिन्छ, जसले जुनसुकै बेला यसलाई फिर्ता लिन सक्छन्।
UAVG ले विशेष श्रेणीको डेटाको लागि अपवादहरू पनि सेट गर्दछ। धारा २९ UAVG ले बायोमेट्रिक डेटालाई प्रमाणीकरण वा सुरक्षा उद्देश्यका लागि आवश्यक पर्ने ठाउँमा अद्वितीय पहिचानको लागि प्रशोधन गर्न अनुमति दिन्छ, पहुँच नियन्त्रण र लगइन प्रणालीहरूको लागि प्रयोग गरिने अपवाद। धारा ३१ देखि ३३ UAVG ले आपराधिक डेटाको प्रशोधनलाई नियमन गर्दछ, र ऐनमा पत्रकारिता, अनुसन्धान र अभिलेखको लागि छुटहरू छन्।
व्यवहारमा कुन दायित्वहरू महत्त्वपूर्ण छन्?
धेरैजसो कामको लागि चार कुराहरू जिम्मेवार छन्। पहिलो, धारा ३० GDPR अन्तर्गत प्रशोधन गतिविधिहरूको रेकर्ड: AP ले पहिले माग्ने कागजात, र त्यो जसले तपाईंलाई वास्तवमा के राख्नुहुन्छ भनेर जान्न बाध्य पार्छ। दोस्रो, प्रत्येक प्रशोधन कार्यको लागि धारा ६ GDPR अन्तर्गत कानुनी आधार, सहमतिमा पूर्वनिर्धारित हुनुको सट्टा जानाजानी छनौट गरिएको, जुन कुनै पनि समयमा फिर्ता लिन सकिन्छ।
तेस्रो, धारा २८ GDPR अन्तर्गत प्रत्येक प्रोसेसरसँग डेटा प्रशोधन सम्झौता, र व्यक्तिगत डेटा युरोपेली आर्थिक क्षेत्र छोड्ने ठाउँमा पर्याप्त सुरक्षा उपायहरू। चौथो, धारा ३३ GDPR अन्तर्गत ७२ घण्टा भित्र डेटा विषय अनुरोधहरू र AP लाई उल्लङ्घन सूचनाको लागि कार्य प्रक्रिया।
GDPR कसरी लागू गरिन्छ?
एपीले अनुसन्धान गर्न, उपायहरू आदेश दिन, प्रशोधन प्रतिबन्ध लगाउन र संस्थाहरूलाई जरिवाना गर्न सक्छ। धारा ८३ GDPR अन्तर्गत, प्रशासनिक दायित्वहरूको उल्लङ्घनको लागि €१० मिलियन वा विश्वव्यापी वार्षिक कारोबारको २% सम्म जरिवाना र मुख्य सिद्धान्तहरू, डेटा विषय अधिकार वा स्थानान्तरण नियमहरूको उल्लङ्घनको लागि €२० मिलियन वा कारोबारको ४%, जुन बढी हुन्छ, सम्म जरिवाना हुन्छ।
व्यक्तिहरूले धारा ८२ GDPR अन्तर्गत पनि क्षतिपूर्ति दाबी गर्न सक्छन्, र २०२० मा सामूहिक क्षति व्यवस्था (WAMCA) लागू भएदेखि, नेदरल्याण्ड्समा डेटा उल्लंघनमा सामूहिक कारबाहीहरू वास्तविक पर्दाफास भएका छन्।
नियन्त्रकको रूपमा तपाईंले के जाँच गर्नुपर्छ?
- के तपाईंको प्रशोधन गतिविधिहरूको रेकर्ड (धारा ३० GDPR) पूर्ण र अद्यावधिक छ?
- के तपाईंले प्रत्येक प्रशोधन कार्यको लागि वैध आधार दस्तावेजीकरण गर्नुभएको छ?
- के प्रत्येक प्रोसेसरसँग हस्ताक्षर गरिएको प्रशोधन सम्झौता छ?
- के तपाईं ७२ घण्टा भित्र एपीलाई उल्लङ्घनको बारेमा जानकारी दिन सक्नुहुन्छ?
- के तपाईंलाई उच्च जोखिम प्रशोधनको लागि डेटा सुरक्षा प्रभाव मूल्याङ्कन (धारा ३५ GDPR) चाहिन्छ?
प्रोसेसरको रूपमा तपाईंले के जाँच गर्नुपर्छ?
- के तपाईं नियन्त्रकको दस्तावेजीकृत निर्देशनहरू (धारा २८ GDPR) मा मात्र व्यक्तिगत डेटा प्रशोधन गर्नुहुन्छ?
- के तपाईं नियन्त्रकको अनुमति लिएर मात्र सब-प्रोसेसरहरू प्रयोग गर्नुहुन्छ?
- के तपाईंको सुरक्षा उपायहरू वर्णन र परीक्षण गरिएको छ?
- के तपाईं उल्लंघन पछि अनावश्यक ढिलाइ नगरी नियन्त्रकलाई जानकारी गराउनुहुनेछ?
GDPR अनुपालनको सन्दर्भमा हामी तपाईंको लागि के गर्न सक्छौं?
हाम्रा IT वकिलहरूले तपाईंको संस्थाले वास्तवमा डेटासँग गर्ने कामबाट सुरु गर्छन्, टेम्प्लेटबाट होइन। हामी गर्न सक्छौं:
- तपाईंको प्रशोधन गतिविधिहरूको रेकर्ड र गोपनीयता कथनको मस्यौदा वा समीक्षा गर्नुहोस्।
- प्रत्येक प्रशोधन कार्यको लागि वैध आधारको मूल्याङ्कन गर्नुहोस्।
- डेटा प्रशोधन सम्झौता र स्थानान्तरण खण्डहरूको मस्यौदा र वार्ता गर्नुहोस्।
- डेटा सुरक्षा प्रभाव मूल्याङ्कन मार्फत तपाईंलाई मार्गदर्शन गर्नुहोस्।
- AP लाई उल्लङ्घनको सूचना दिन र AP अनुसन्धान वा जरिवानामा सहयोग गर्नुहोस्।
सारांश
- GDPR ले सिधै ठोस नियमहरू सेट गर्दछ; UAVG ले राष्ट्रिय छनौटहरू मात्र भर्छ।
- सोह्र वर्ष मुनिका बालबालिकाहरूलाई अभिभावकको सहमति चाहिन्छ जहाँ सहमति आधार हो (धारा ८ GDPR र धारा ५ UAVG)।
- धारा २९ UAVG ले प्रमाणीकरण वा सुरक्षा उद्देश्यका लागि बायोमेट्रिक डेटालाई अनुमति दिन्छ।
- धेरैजसो अनुपालन कार्यको लागि प्रशोधन रेकर्ड, प्रति सञ्चालनको कानुनी आधार, प्रशोधन सम्झौता र ७२-घण्टा उल्लङ्घन प्रक्रिया खाता हो।
- धारा ८३ GDPR अन्तर्गत जरिवाना €२० मिलियन वा विश्वव्यापी कारोबारको ४% सम्म हुन्छ; व्यक्ति र समूहहरूले छुट्टाछुट्टै क्षतिपूर्ति दाबी गर्न सक्छन्।
बारम्बार सोधिने प्रश्नहरू
के हामीलाई डेटा सुरक्षा अधिकारी चाहिन्छ?
धारा ३७ GDPR ले एउटा आवश्यक पर्ने ठाउँमा मात्र: सार्वजनिक निकायहरू, र ती संस्थाहरू जसको मुख्य गतिविधिहरूमा ठूलो मात्रामा नियमित अनुगमन वा विशेष श्रेणीको डेटाको ठूलो मात्रामा प्रशोधन समावेश हुन्छ। यदि तपाईंले स्वेच्छाले कसैलाई नियुक्त गर्नुभयो भने, वैधानिक स्थिति र सुरक्षाहरू लागू हुन्छन्।
के सहमति सबैभन्दा सुरक्षित आधार हो?
सामान्यतया हुँदैन। सहमति स्वतन्त्र रूपमा दिनुपर्छ र जुनसुकै बेला फिर्ता लिन सकिन्छ, त्यसपछि प्रशोधन रोकिनुपर्छ। वैध हित वा सम्झौताको कार्यसम्पादन (धारा ६ GDPR) प्रायः बढी बलियो हुन्छ, यदि मूल्याङ्कन दस्तावेज गरिएको छ भने।
यदि हामी EU बाहिर छौं भने के GDPR हामीमा लागू हुन्छ?
यो गर्न सकिन्छ। धारा ३ GDPR अन्तर्गत, यो नियमन लागू हुन्छ जहाँ तपाईंले EU मा रहेका मानिसहरूलाई सामान वा सेवाहरू प्रदान गर्नुहुन्छ वा त्यहाँ उनीहरूको व्यवहारको निगरानी गर्नुहुन्छ, जहाँ तपाईंको संस्था स्थापित छ।
