Hollanda Veri Koruma Kurumu — Autoriteit Persoonsgegevens (AP), Hollanda'nın bağımsız gizlilik düzenleyicisidir. Hollanda'da faaliyet gösteren veya Hollanda'yı hedefleyen kuruluşların GDPR'ye uymasını sağlar, şüpheli ihlalleri araştırır, para cezaları ve emirler verir ve kişisel verilerin nasıl işlenmesi gerektiğini açıklar. Bireyler, verileri kötüye kullanıldığında veya bir kuruluş gizlilik haklarını ihlal ettiğinde AP'ye başvurabilirler. Kuruluşlar, nitelikli veri ihlallerini 72 saat içinde AP'ye bildirmeli ve özel kategorilere başvurdukları veya verileri yurtdışına aktardıkları durumlar da dahil olmak üzere kişisel verileri nasıl işledikleri konusunda hesap verebilirliklerini göstermelidir.

Bu pratik rehber, AP'nin ne yaptığını ve ne zaman devreye girdiğini, GDPR'nin sizin için geçerli olup olmadığını ve AP ile ne zaman ve nasıl iletişime geçeceğinizi açıklamaktadır. AP'nin korumaya yardımcı olduğu hakları, adım adım şikayet sürecini, kuruluşlar için veri ihlali bildirimini, temel GDPR yükümlülüklerini ve DPO'ların ve AB temsilcilerinin uygulamada neler yaptığını bulacaksınız. Ayrıca, sınır ötesi davaları ve tek noktadan hizmet mekanizmasını, son uygulama örneklerini, resmi kaynakları ve iletişim kanallarını ve bir AP soruşturmasına nasıl hazırlanacağınızı da ele alacağız. Sonraki adımlar konusunda sizi yönlendirelim ve güven kazandıralım.

Autoriteit Persoonsgegevens'in (AP) görev ve yetkileri

Hollanda Veri Koruma Otoritesi, verilerinizin korunmasını denetleyen bağımsız bir gözetim otoritesidir. uyma Hollanda'da GDPR ile uyumludur. Hollanda'da kişilerin kişisel verilerini işleyen hem kamu hem de özel kuruluşları denetler, şikayetler ve uyumsuzluk sinyalleri üzerine harekete geçer ve gerektiğinde düzeltici önlemler alır.

• Soruşturma yetkileri: bilgi talep etmek, incelemeler yapmak ve şüpheli GDPR ihlallerini araştırmak.
• Düzeltme yetkileri: uyum emirleri (periyodik ceza ödemelerine tabi emirler dahil) vermek, uyarıda bulunmak ve idari para cezaları uygulamak.
• İhlal denetimi: Zorunlu veri ihlali bildirimlerini alın ve değerlendirin (gerektiğinde 72 saat içinde) ve etkilenen kişilerin bilgilendirilip bilgilendirilmediğini kontrol edin.
• Hakların uygulanması: kuruluşların erişimi ve diğer veri sahibi haklarını kolaylaştırmasını sağlayın; talepler göz ardı edildiğinde veya yanlış işlendiğinde harekete geçin.
• Rehberlik ve denetim odağı: Özel kategori verileri ve uluslararası transferler de dahil olmak üzere, rehberlik yayınlamak ve yüksek riskli işlemleri denetlemek.
• Temsilin uygulanması: Hollanda'daki kişileri hedef alan AB dışındaki denetleyicilerin, uygun olduğu durumlarda bir AB temsilcisi atamasını zorunlu kılmak.

GDPR Hollanda'da sizin için geçerli mi?

Eğer sen Hollanda'da faaliyet göstermek Veya oradaki insanları hedef alıp kişisel verileri işliyorsa, sunucularınız nerede olursa olsun, GDPR muhtemelen geçerlidir. Hollanda Veri Koruma Kurumu (AP), serbest çalışanlardan çok uluslu şirketlere kadar her ölçekteki kuruluşun uyumluluğunu denetler.

• AB merkezli: AB'de yerleşiksiniz ve kişisel verileri işliyorsunuz.
• AB dışı: AB'deki insanlara mal/hizmet sunuyorsunuz veya AB'deki davranışlarını izliyorsunuz.

Kapsam dahilindeki AB dışı kuruluşlar bir AB temsilcisi atamak zorundadır.

AP ile ne zaman ve neden iletişime geçmelisiniz?

Gizlilik riskleri önemli olduğunda veya bir kuruluşla ilgili bir sorunu çözme girişimleriniz sonuçsuz kaldığında Hollanda Veri Koruma Kurumu (AP) ile iletişime geçin. Bireyler, kişisel verilerin kötüye kullanımıyla ilgili şikayette bulunabilirler. Kuruluşlar, nitelikli veri ihlallerini 72 saat içinde bildirmek zorundadır ve bazı yüksek riskli faaliyetler için AP onayına ihtiyaç duyabilirler.

• Hukuka aykırı işleme veya özel kategori kötüye kullanımı: örneğin, yasal bir dayanağı olmayan biyometrik veriler.
• Göz ardı edilen hak talepleri: erişim, silme, itiraz veya şeffaflık hataları.
• Veri ihlalleri (kuruluşlar): 72 saat içinde zorunlu AP bildirimi.
• Bireylere ihlal bildirimi yapılmayacak: İnsanlara bilgi verilmesi gerekirken.
• AB temsilcisi yok (AB dışı kontrolörler): Hollanda'daki insanları hedef alırken.
• Paylaşılan kara listeler: AP'den lisans gerektiğinde.

GDPR haklarınız AP güvenceleri

Autoriteit Persoonsgegevens (AP), kuruluşların sizi açık bir şekilde bilgilendirmesini, zamanında yanıt vermesini ve verileri yasalara uygun şekilde işlemesini sağlayarak temel GDPR haklarınızı korur. Bir şirket bir talebi görmezden gelir veya yanlış ele alırsa, Hollanda Veri Koruma Kurumu soruşturma başlatabilir ve uyum sağlanmasını emredebilir. Bunlar, AP'nin uygulamada uyguladığı temel haklardır.

• Haber alma hakkı: Başkalarından veri elde edildiğinde de dahil olmak üzere açık ve şeffaf bildirimler.
• Erişim hakkı: Verilerinizin ve işlem ayrıntılarınızın bir kopyası; gereksiz gecikme olmaksızın yanıt (normalde bir ay içinde).
• Hakların kolaylaştırılması: Kuruluşlar talepleri kolay ve zamanında yapmalı; haksız ret veya gecikmelere izin vermemeli.
• Özel nitelikli verilerin korunması: Biyometrik veya sağlık verileri için ek güvenlik önlemleri; hukuka aykırı kullanım AP eylemini tetikler.
• İhlal bilgisi: Yüksek riskli bir sızıntı durumunda kişilere bildirimde bulunulmalı; AP bunun gerçekleşip gerçekleşmediğini kontrol etmelidir.

Gizlilik şikayeti nasıl yapılır (adım adım)

Bir kuruluş kişisel verilerinizi kötü kullanır veya hak talebinizi görmezden gelirse, Hollanda Veri Koruma Kurumu'na (Autoriteit Persoonsgegevens, AP) şikayette bulunabilirsiniz. Çoğu durumda, sorunu önce kuruluşla çözmeye çalışın ve net bir evrak izi bırakın. Odaklı ve iyi belgelenmiş bir şikayet, özellikle özel kategorideki veriler veya sınır ötesi işleme söz konusu olduğunda, AP'nin durumu daha hızlı değerlendirmesine yardımcı olur.

1. Doğrudan çözümü deneyin: Kuruluşa (veya veri koruma görevlisine) konuyu ve başvurduğunuz hakkı açıklayan bir mektup yazın; yanıt vermeleri için kendilerine bir aya kadar süre verin.
2. Kanıt toplayın: Talebinizin, aldığınız yanıtların, tarihlerin, ekran görüntülerinin, gizlilik bildirimlerinin ve yaşadığınız herhangi bir zararın kopyalarını saklayın.
3. Şikayetinizi AP'ye iletin: AP'nin şikayet kanalını kullanın ve kimin, neyi, ne zaman, GDPR hakkının dahil olduğunu ve etkisini açıklayın.
4. Takip ile işbirliği yapın: AP, sınır ötesi vakalar için daha fazla bilgi talep edebilir veya başka bir AB otoritesiyle koordinasyon sağlayabilir.
5. Paralel çözümleri düşünün: AP, uyum ve yaptırım emri verebilir; tazminat için ayrı bir hukuk davası açılması gerekir.

Veri ihlalinin AP'ye nasıl bildirileceği (kuruluşlar için)

Kişisel veri ihlali meydana geldiğinde, kuruluşlar Hollanda'da faaliyet gösteren veya Hollanda'yı hedefleyen Hızlı hareket etmelisiniz: Gerektiğinde 72 saat içinde Hollanda Veri Koruma Kurumu'na (Autoriteit Persoonsgegevens, AP) bildirin, etkilenen kişileri bilgilendirin ve olayı kayda geçirin. Sınır ötesi ihlaller genellikle AB merkezinizin bulunduğu ülkedeki Veri Koruma Yetkilisine (DPA) bildirilir. Geç bildirim durumunda para cezası uygulanabilir.

1. Değerlendirin ve kontrol altına alın: Olayın raporlanabilir bir kişisel veri ihlali olup olmadığına karar verin.
2. AP'ye bildirin (72 saat): Bildiriminizi göndermek için AP'nin veri ihlali bildirim kanalını kullanın.
3. Gerektiğinde bireylere haber verin: Etkilenen kişileri bilgilendirin ve pratik rehberlik sağlayın.
4. Dahili belge: Gerçekleri, etkileri ve düzeltici eylemleri ihlal kayıt defterinize kaydedin.
5. Sınır ötesi koordinasyon: Yetkili makamı (AB Genel Merkezinizin Veri Koruma Yetkilisi) bilgilendirin ve takibini koordine edin.

Kararların ve zaman çizelgelerinin kanıtlarını saklayın; AP ek bilgi talep edebilir.

AP'nin kuruluşlardan beklentileri: temel GDPR yükümlülükleri

Autoriteit Persoonsgegevens, kuruluşların gerçek GDPR hesap verebilirliğini göstermesini bekler: geçerli bir yasal dayanak seçin, işlemenizi açıkça açıklayın, verileri minimumda tutun, uygun şekilde güvence altına alın, hak taleplerini zamanında yerine getirin, yüksek riskli faaliyetleri değerlendirin, gerektiğinde ihlalleri bildirin ve verileri yalnızca uygun güvenlik önlemleriyle yurt dışına aktarın.

• Hukuki dayanak ve şeffaflık: Amaçlarınızı, yasal dayanaklarınızı ve verilerinizi kiminle paylaştığınızı açıkça belirtin; erişilebilir gizlilik bilgileri sağlayın.
• Veri minimizasyonu ve saklama: Sadece gerekli olanı toplayın ve saklama sürelerini belirleyin/gözetin.
• Güvenlik önlemleri: Orantılı teknik ve organizasyonel kontrolleri uygulayın ve iç erişimi kısıtlayın.
• Yüksek riskli işleme: Gerektiğinde bir DPIA çalıştırın; özel kategori verileri için güvenlik önlemleri ekleyin.
• Hakların kolaylaştırılması: Haklarınızın kullanılmasını kolaylaştırın; gereksiz gecikmeye mahal vermeden (normalde bir ay içinde) yanıt verin.
• İhlal yönetimi: Gerektiğinde AP'yi 72 saat içinde bilgilendirin; riskler yüksek olduğunda bireyleri bilgilendirin; ihlal kaydı tutun.
• Uluslararası transferler: yeterlilik kararlarını veya uygun güvenceleri (örneğin, model maddeleri) kullanın.
• Düzenleme gereksinimleri: Belirli paylaşılan kara listeler için AP lisansları edinin; zorunlu olan yerlerde bir DPO atayın; AB dışındaki denetleyicilerin Hollanda'yı hedef alırken bir AB temsilcisine sahip olması gerekir.

Veri Koruma Görevlileri, AB temsilcileri ve uygulamada hesap verebilirlik

GDPR kapsamındaki hesap verebilirlik, bir kutucuğu işaretlemek değil, sürekli bir yükümlülüktür. Gerektiğinde, kişisel verilerin nasıl işlendiğini izlemek, çalışanlara tavsiyelerde bulunmak ve Hollanda Veri Koruma Kurumu (AP) için irtibat kişisi olarak görev yapmak üzere bir Veri Koruma Görevlisi (DPO) atayın. AB'de yaşayan kişilere mal/hizmet sunan veya onları izleyen AB dışından bir denetleyiciyseniz, bir AB temsilcisi atamalısınız. AP, bu rollerin pratikte işe yaradığına dair kanıt beklemektedir; Clearview davasında görüldüğü gibi, bir temsilci atanmaması zaten yaptırım uygulanmasına yol açmıştır.

• Gerektiğinde VPO: DPO, işlemleri izler, personeli bilgilendirir ve tavsiyelerde bulunur ve AP'nin iletişim noktasıdır.
• AB temsilcisi (AB dışı kontrolörler): AB/Hollanda'daki kişilere yönelik hedeflemelerde bir temsilci belirleyin.
• Yüksek riskli işleme: Gerektiğinde DPIA'ları gerçekleştirin ve özel kategori verileri için güvenlik önlemleri ekleyin.
• Hak yönetimi: Taleplerin yerine getirilmesini kolaylaştırın ve gereksiz gecikmelere yol açmadan (normalde bir ay içinde) yanıt verin.
• İhlal hazırlığı: İhlal kayıtlarını tutun ve gerektiğinde 72 saat içinde AP'ye bildirin.
• Uluslararası transferler: yeterliliğe ilişkin kararlara veya uygun güvenlik önlemlerine güvenmek (örneğin, model sözleşmeler).

Sınır ötesi davalar ve tek elden hizmet mekanizması

İşleme veya ihlaller birden fazla AB ülkesindeki kişileri etkilediğinde, GDPR'nin tek noktadan hizmet verme ilkesi geçerlidir. Baş denetim makamı, AB'deki "ana kuruluşunuzun" (genellikle merkez) Veri Koruma Yetkilisi'dir (DPA). Merkez Hollanda'daysa, Hollanda Veri Koruma Yetkilisi (AP) yetkilidir; aksi takdirde, AP ilgili makam olarak hareket eder. Sınır ötesi ihlaller için, kuruluşlar genellikle baş DPA'yı bilgilendirir.

• Başlıca DPA'nızı belirleyin: Ana kuruluşu belirleyin ve kimin liderlik ettiğini teyit edin.
• Öncü DPA aracılığıyla raporlama: İhlal/iletişim kanalını kullanın ve kayıtlarını tutun.
• Koordinat: Diğer AB Veri Koruma Kurumlarıyla bilgi talepleri ve ortak işlem yapılması bekleniyor.

Uygulamada yaptırım: para cezaları, emirler ve önemli davalar

Hollanda Veri Koruma Kurumu, davranışları hızla değiştirmek için soruşturma ve düzeltme araçlarının bir karışımını kullanır. İdari para cezaları, uyarılar ve uyum emirleri bekleyebilirsiniz; genellikle devam eden ihlalleri sona erdirmek için periyodik ceza ödemeleri de buna dahildir. Tipik tetikleyiciler arasında hukuka aykırı işleme, özel kategori verilerinin kötüye kullanımı, hak taleplerinin göz ardı edilmesi, AB dışındaki veri sorumlularının AB temsilciliğini kaçırması ve geç veya yetersiz ihlal bildirimleri (ki bu durum para cezasına çarptırılabilir) yer alır.

• İdari para cezaları ve emirler: AP, uyumluluğun sağlanması için düzeltme emri verebilir ve periyodik ceza ödemeleri ekleyebilir.
• Yaygın ihlaller: Yasal dayanak yok, hukuka aykırı biyometrik işleme, zayıf şeffaflık, erişimi kolaylaştırmada başarısızlık ve zayıf ihlal yönetimi.
• Önemli vaka — Clearview AI (2024): Yasadışı veri toplama ve biyometrik işleme, şeffaflık ve erişim ihlalleri ve AB temsilcisinin bulunmaması nedeniyle 30,500,000 avro para cezası; ayrıca devam eden ihlalleri durdurmak için dört uyum emri.

Resmi kaynaklar ve iletişim kanalları

Yetkili rehberlik ve formlar için Hollanda Veri Koruma Kurumu'nu (Autoriteit Persoonsgegevens, AP) kullanın. Bunlar, bilgi, şikayet ve ihlal bildirimi için resmi kanallardır.

• AP web sitesi (EN/NL): rehberlik, güncellemeler ve haberler.
• Şikayet formu (bireysel): gizlilik şikayetinde bulunun; kanıt ekleyin.
• Veri ihlali portalı (kuruluşlar, NL): Gerektiğinde 72 saat içinde bildirin; dahili olarak kaydedin.
• İletişim sayfası: genel sorular veya vaka takibi.
• Rehberlik: güvenlik önlemleri, DPIA'lar ve uluslararası transferler.

AP soruşturması veya denetimine hazırlanma

Autoriteit Persoonsgegevens'a yapılan bir soruşturma, yangın tatbikatına dönüşmek zorunda değil. Riski azaltmanın en etkili yolu, ödevlerinizi yapmak ve eksiklikleri erkenden gidermektir. Bu odaklı hazırlığı, bilgi talepleri, uzaktan kontroller veya yerinde incelemeler için denetime hazır olmak için kullanın.

• Bir müdahale lideri atayın: Tek irtibat kişisi olarak DPO/AB temsilcisi; tüm teslim tarihlerini takip edin.
• Hesap verebilirlik dosyanızı oluşturun: amaçlar, yasal dayanaklar, bildirimler, saklama, erişim kontrolleri.
• Delil hakları kullanımı: talep günlüğü, yanıt şablonları ve bir aylık geri dönüş kayıtları.
• göstermek güvenlik ve DPIA'lar: yüksek riskli/özel kategori işlemlerini ve belgelenmiş hafifletmeleri kapsar.
• İhlal belgelerini hazırlayın: olay kaydı, 72 saatlik bildirimler ve tüm kullanıcı iletişimleri.
• Uluslararası transferleri ve temsili doğrulayın: yeterlilik veya model maddeleri, artı AB temsilcisinin kanıtı (gerekirse).

Önemli çıkarımlar ve sonraki adımlar

Özetle: AP, Hollanda'nın GDPR denetçisidir. Bireyler şikayetlerini iletebilir; kuruluşlar ise yasal işlemeyi kanıtlamalı, hakları kolaylaştırmalı, verileri güvence altına almalı ve ihlalleri 72 saat içinde bildirmelidir; özel kategorideki veriler ve sınır ötesi kurulumlar için ise ekstra özen gösterilmelidir. Kişiye özel yardıma veya acil müdahale planlamasına mı ihtiyacınız var? Bizimle görüşün gizlilik avukatları Law & More.