Dasar privasi di Belanda: apa yang dikehendaki oleh undang-undang dan cara menulis dasar yang sah

Hampir setiap syarikat yang mempunyai laman web yang menghadap Belanda menerbitkan dasar privasi — privacyverklaring atau pernyataan privasi. Jauh lebih sedikit yang menerbitkan dasar yang akan bertahan jika disemak oleh Autoriteit Persoonsgegevens (pihak berkuasa perlindungan data Belanda, AP). Dokumen tersebut dianggap sebagai standard, disalin daripada pesaing dan dibiarkan tidak disentuh sementara perniagaan berubah di bawahnya. 2026 merupakan tahun yang buruk untuk itu: pada bulan Mac, Lembaga Perlindungan Data Eropah melancarkan tindakan penguatkuasaan yang diselaraskan di seluruh Eropah mengenai kewajipan ini.

Dari mana datangnya kewajipan itu

Tiada artikel dalam GDPR yang bertajuk "dasar privasi". Pernyataan ini hanyalah cara biasa untuk melaksanakan kewajipan yang dibingkai secara berbeza oleh GDPR — sebagai hak individu untuk dimaklumkan. Ketelusan adalah prinsip dalam perkara 5 GDPR; perkara 12, 13 dan 14 GDPR menjadikannya senarai konkrit perkara yang mesti anda beritahu orang ramai, dan standard tentang caranya.

Pemisahan antara seni 13 dan seni 14 lebih penting daripada yang disedari oleh kebanyakan syarikat.

• Perkara 13 GDPR terpakai di tempat anda mengumpul data peribadi daripada individu — borang hubungan, pembayaran, pendaftaran surat berita. Maklumat mesti diberikan pada masa itu data diperoleh: sebelum borang dihantar, bukan selepas.
• Perkara 14 GDPR terpakai jika data datang dari tempat lain — broker data, daftar awam, sumber yang dikikis, rakan kongsi, majikan. Anda mesti memaklumkan individu tersebut dalam tempoh yang munasabah dan selewat-lewatnya dalam tempoh satu bulan, atau pada komunikasi pertama dengan mereka, atau apabila data pertama kali didedahkan kepada penerima lain, yang mana lebih awal.

Perkara 14 membawa beberapa pengecualian — individu tersebut sudah mempunyai maklumat tersebut, memaklumkannya adalah mustahil atau akan melibatkan usaha yang tidak seimbang, pemerolehan atau pendedahan tersebut ditetapkan secara nyata oleh undang-undang, atau data tersebut tertakluk kepada kerahsiaan profesional. Ini adalah sempit. "Menyusahkan" bukanlah usaha yang tidak seimbang, dan syarikat yang membeli atau mengikis data hubungan dan tidak pernah memberitahu sesiapa bergantung pada pengecualian yang tidak wujud.

Perkara 12 GDPR mengawal cara : ringkas, telus, mudah difahami, mudah diakses, dalam bahasa yang jelas dan mudah difahami.

Kandungan wajib, item demi item

Ini bukan menu. Pernyataan yang tiada salah satu item ini adalah tidak lengkap dari segi undang-undang.

Tiga patut diteliti dengan lebih dekat, kerana di situlah perhatian AP tertumpu.

Penerima, dan masalah "rakan kongsi"

Perkara 13 dan perkara 14 GDPR membenarkan penerima atau kategori penerima. Itu adalah pilihan yang tulen, tetapi kategori mesti bermaksud sesuatu. "Rakan kongsi kami" bukanlah kategori; ia adalah penolakan untuk menjawab. "Penyedia perkhidmatan pembayaran kami, penyedia hosting kami di Jerman, platform pemasaran e-mel kami di Amerika Syarikat dan rangkaian pengiklanan yang dinamakan dalam penyata kuki kami" adalah. Jika anda tidak dapat menggambarkan penerima tanpa kekaburan, anda mungkin tidak tahu siapa yang mempunyai data tersebut — masalah yang lebih besar.

Pengekalan jika tiada tempoh tetap yang mungkin

GDPR menerima bahawa bilangan hari tidak selalunya boleh diberikan, itulah sebabnya perkara 13 membenarkan kriteria yang digunakan untuk menentukan tempoh tersebut. Apa yang tidak dibenarkannya ialah ketidakpastian jawapan. Dalam keputusannya pada 11 Disember 2023 yang mendenda Uber Technologies Inc. dan Uber BV €10,000,000, AP mendapati dengan tepat bahawa: kenyataan itu menyatakan data akan disimpan selama yang diperlukan, yang dianggap terlalu umum. Kriteria yang boleh dilaksanakan berbunyi "sepanjang tempoh kontrak dan tujuh tahun selepas transaksi terakhir, selaras dengan undang-undang cukai Belanda".

Pemindahan antarabangsa

Mengatakan data "mungkin dipindahkan ke luar Kawasan Ekonomi Eropah" tidak memberitahu pembaca apa-apa. Pendirian AP dalam keputusan Uber yang sama ialah negara destinasi harus dinamakan dan perlindungan dikenal pasti — keputusan kecukupan, klausa kontrak standard, peraturan korporat yang mengikat — dengan cara mendapatkan salinannya. Syarikat yang menggunakan analitik AS, CRM atau pengehosan awan sedang memindahkan; satu-satunya persoalan ialah sama ada kenyataan itu mengakuinya.

Keperluan borang

Perkara 12 GDPR menetapkan piawaian yang mudah dinyatakan dan sering gagal:

• Ringkas dan telus — dibentangkan dengan cekap dan jelas diasingkan daripada terma dan syarat. Menyembunyikannya dalam terma umum tidak mematuhi.
• Boleh difahami — difahami oleh ahli purata khalayak yang dimaksudkan. Kenyataan yang ditulis untuk peguam Amerika tidak dapat difahami oleh pengguna Belanda, dan begitu juga kenyataan yang hanya berbahasa Inggeris di laman web berbahasa Belanda.
• Mudah diakses — pembaca tidak perlu mencari maklumat. Panduan Eropah menganggapnya perlu jelas serta-merta: pautan terus dari setiap halaman, pautan kontekstual pada titik pengumpulan dan dalam aplikasi hanya beberapa ketikan sahaja.
• Bahasa yang jelas dan mudah difahami — konkrit dan muktamad dan bukannya abstrak. Panduan Eropah mengetengahkan perkataan lindung nilai seperti "mungkin", "mungkin" dan "mungkin", dan menganggap "kami mungkin menggunakan data peribadi anda untuk membangunkan perkhidmatan baharu" atau "untuk tujuan penyelidikan" sebagai contoh perkara yang tidak boleh ditulis.

Jika sesuatu perkhidmatan ditujukan kepada kanak-kanak, atau anda tahu kanak-kanak kerap menggunakannya, Perkara 12 memerlukan perbendaharaan kata, nada dan gaya untuk disesuaikan supaya kanak-kanak dapat memahaminya. Di Belanda, perkara ini amat penting: di bawah Perkara 5 Uitvoeringswet AVG, umur di bawah mana persetujuan ibu bapa diperlukan untuk perkhidmatan masyarakat maklumat yang ditawarkan secara langsung kepada kanak-kanak adalah enam belas tahun, iaitu umur tertinggi yang dibenarkan oleh GDPR. Kenyataan yang ditulis untuk orang dewasa mengenai perkhidmatan yang digunakan oleh kanak-kanak berumur empat belas tahun gagal, dan hak kanak-kanak itu sendiri untuk dimaklumkan tidak dilepaskan dengan memaklumkan kepada ibu bapa.

Pendekatan berlapis, dilakukan dengan betul

Pelapisan merupakan jawapan yang disyorkan kepada ketegangan antara kesempurnaan dan kebolehbacaan, dan kedua-dua panduan AP dan Eropah menyokongnya. Jika dilakukan dengan betul, lapisan pertama membawa identiti pengawal, tujuan, pemprosesan dengan impak atau kapasiti terbesar untuk mengejutkan, dan cara melaksanakan hak — dengan teks penuh satu klik sahaja sebagai satu dokumen.

Jika dilakukan dengan tidak betul, ia menjadi satu cara untuk menyembunyikan sesuatu. Lapisan tidak boleh bercanggah antara satu sama lain, maklumat lengkap mesti kekal tersedia di satu tempat, dan tiada apa yang boleh diturunkan pangkat kerana ia memalukan. Jika operasi pemprosesan akan mengejutkan pembaca, itu adalah hujah untuk lapisan pertama, bukan lapisan keempat.

Jika pernyataan privasi gagal

Kegagalan berulang adalah sedikit, dan boleh diramalkan.

• Tujuan samar-samar dan perkongsian yang tidak didedahkan. "Untuk menambah baik perkhidmatan kami" tidak menggambarkan apa-apa, dan "kami mungkin berkongsi data anda dengan rakan kongsi terpilih" adalah kecacatan yang paling biasa — ia biasanya menyembunyikan teknologi pengiklanan. Ujiannya adalah sama ada pembaca boleh mengetahui apa yang berlaku kepada data mereka dan memutuskan sama ada mereka keberatan.
• Kenyataan yang bercanggah dengan laman web tersebut. Ini menjadikan masalah kertas kerja menjadi masalah penguatkuasaan. Kenyataan tersebut menyatakan tiada kuki penjejakan diletakkan tanpa persetujuan semasa pengurus tag diaktifkan semasa pemuatan halaman; menyatakan data kekal di EU sementara meja sokongan berjalan di platform AS. Pengawal selia tidak perlu membaca kenyataan dengan teliti untuk mencarinya. Ia perlu membuka tab rangkaian.
• Kenyataan yang disalin. Polisi yang diambil daripada pesaing menerangkan pemprosesan pesaing: ia menamakan penerima yang tidak anda gunakan, menghilangkan penerima yang anda gunakan dan menyatakan tempoh pengekalan yang tidak anda patuhi. Ia merupakan satu set kenyataan palsu tentang perniagaan anda.

Pernyataan privasi ini bukanlah notis kuki

Ini adalah dua kewajipan di bawah dua instrumen, dan menggabungkannya adalah cara yang boleh dipercayai untuk mematuhi kedua-duanya.

Kuki dan teknik yang setanding ditadbir di Belanda oleh perkara 11.7a Telekomunikasi, yang melaksanakan Arahan ePrivasi. Sesiapa yang menyimpan maklumat pada, atau mengakses maklumat yang disimpan dalam, peralatan terminal pengguna mesti memberikan maklumat yang jelas dan lengkap serta mendapatkan persetujuan, dengan pengecualian terhad untuk apa yang sangat diperlukan untuk menghantar komunikasi atau menyampaikan perkhidmatan yang diminta. Ini mengawal tindakan membaca atau menulis pada peranti , sama ada data peribadi terlibat atau tidak. GDPR mengawal apa yang anda lakukan kemudian dengan sebarang data peribadi yang terhasil.

Jadi: sepanduk ialah tempat persetujuan diberikan atau ditolak; pernyataan kuki menyenaraikan kuki, tujuan dan tempohnya; pernyataan privasi menerangkan pemprosesan data peribadi. Pernyataan privasi tidak boleh mendapatkan persetujuan, dan sepanduk tidak boleh melaksanakan seni. 13 dan 14. Rujuk silangnya, dan pastikan ia konsisten.

AP telah aktif di sini. Pada 30 April 2025, ia mengumumkan pemantauan struktur sepanduk kuki Belanda dan menulis surat kepada lima puluh organisasi pertama, menerangkan program beberapa ratus setahun. Pada 11 November 2025, ia melaporkan bahawa lebih daripada 200 laman web telah diberi amaran, kira-kira tiga suku telah membuat pelarasan, dan ia telah membuka siasatan ke atas yang lain. Kotak yang telah ditandakan terlebih dahulu, klik tambahan untuk menolak dan pilihan tersembunyi adalah corak yang dinamakannya.

Jana penyata daripada daftar, bukan daripada pesaing

Perkara 30 GDPR mewajibkan kebanyakan organisasi untuk menyelenggara daftar aktiviti pemprosesan — verwerkingsregister . Bagi setiap aktiviti, ia merekodkan tujuan, kategori subjek data dan data peribadi, penerima termasuk mereka yang berada di negara ketiga, perlindungan pemindahan dan tempoh pengekalan.

Bandingkan dengan jadual di atas: pertindihannya hampir menyeluruh. Daftar ialah inventori fakta; pernyataan privasi ialah pemaparannya kepada umum. Dibina dalam susunan itu, pernyataan itu tepat dari segi pembinaan dan kekal tepat, kerana pengemaskinian daftar mengemas kini sumbernya. Ditulis sebaliknya, kedua-duanya terpisah — dan pengawal selia yang meminta daftar dan membaca laman web melihat jurang tersebut.

Mengekalkannya terkini

Pernyataan privasi menerangkan sistem langsung, jadi ia menjadi lapuk apabila sistem berubah: alat analitik baharu, CRM baharu, pemproses baharu di luar negara, tujuan baharu untuk data yang telah disimpan.

Dua peraturan perlu dipatuhi. Perubahan pemprosesan adalah perubahan pada pernyataan, dan ia harus disemak semula sebelum perubahan tersebut dilaksanakan. Dan perubahan penting mesti disampaikan secara aktif: Panduan Eropah tegas bahawa membiarkan individu melihat sendiri dasar yang disemak semula bukan sahaja tidak mencukupi tetapi juga tidak adil. Perubahan substantif — tujuan baharu, perubahan pengawal, perubahan dalam cara hak dilaksanakan — harus dimaklumkan kepada orang ramai melalui e-mel atau notis di lokasi, cukup awal supaya mereka boleh menarik balik persetujuan atau membantah. Kesalahan taip tidak memerlukan pengumuman. Tujuan baharu memerlukan pengumuman.

Tetapkan tarikh versi pada penyata dan kekalkan versi sebelumnya. Jika anda perlu menunjukkan apa yang anda beritahu pelanggan pada tahun 2024, halaman langsung tanpa tarikh tidak akan mencukupi.

Syarikat yang ditubuhkan di luar EU

Sebuah syarikat yang tidak mempunyai pertubuhan EU akan ditangkap oleh artikel 3 GDPR jika ia menawarkan barangan atau perkhidmatan kepada orang ramai di EU atau memantau tingkah laku mereka di sana. Kebolehcapaian laman web sahaja tidak mencukupi; apa yang penting ialah bukti penyasaran — versi bahasa Belanda, harga euro, penghantaran ke Belanda, domain .nl, pengiklanan Belanda. Pemantauan tingkah laku pelawat EU adalah pencetus bebas.

Jika perkara 3 terpakai, perkara 27 GDPR secara amnya memerlukan wakil dalam Kesatuan, yang ditubuhkan di negara anggota di mana subjek data yang berkaitan berada, yang identiti dan butiran hubungannya termasuk dalam pernyataan privasi. Pengecualian adalah terhad: pemprosesan yang sekali-sekala, tidak melibatkan data kategori khas berskala besar, dan tidak mungkin mengakibatkan risiko. Kedai web yang menjual secara berterusan ke pasaran Belanda bukanlah sekali-sekala.

AP telah menguatkuasakan perkara ini secara berasingan, dengan mendenda Locatefamily.com sebanyak €525,000 kerana gagal melantik wakil EU. Keputusan itu bertarikh 10 Disember 2020 dan telah diterbitkan oleh AP pada 12 Mei 2021; bersama-sama denda itu, ia mengenakan perintah yang tertakluk kepada pembayaran penalti yang memerlukan wakil tersebut dilantik. Pelanggaran itu adalah daripada perkara 27 dibaca bersama perkara 3 GDPR. Tapak tersebut tidak mempunyai premis EU dan tempat penubuhannya tidak pernah dikenal pasti dengan pasti, yang tidak menghalang denda tersebut — isyarat untuk mana-mana pengendali bukan EU yang menganggap jarak bersamaan dengan imuniti.

Penguatkuasaan

Di bawah perkara 6 Uitvoeringswet AVG, Autoriteit Persoonsgegevens ialah pihak berkuasa penyeliaan Belanda. Kuasanya datang daripada perkara 58 GDPR — amaran, teguran, perintah, sekatan ke atas pemprosesan — dan perkara 83 GDPR meletakkan pelanggaran perkara 12, 13 dan 14 dalam peringkat denda yang lebih tinggi: sehingga €20 juta atau 4% daripada jumlah perolehan tahunan di seluruh dunia, yang mana lebih tinggi.

AP menganggap kewajipan maklumat sebagai pelanggaran kendiri, bukan nota kaki. Denda €10,000,000 ke atas Uber pada 11 Disember 2023 terletak pada perkara 12 dan 13 GDPR — pengekalan maklumat terlalu umum, destinasi pemindahan tidak dinamakan, hak untuk kebolehgunaan data tidak disebut sedemikian. AP mengisytiharkan bantahan Uber terhadap denda itu tidak berasas pada 8 Mei 2026, dan Uber telah membawa perkara itu ke mahkamah, jadi keputusan itu kekal buat masa ini tanpa penyelesaian muktamad. Itu adalah denda untuk apa yang tidak dinyatakan dalam pernyataan privasi. Secara berasingan, pada 22 Julai 2024, AP mendenda Uber €290,000,000 kerana memindahkan data pemandu ke Amerika Syarikat tanpa alat pemindahan yang sah, yang diumumkan pada 26 Ogos 2024.

Risiko jangka pendek adalah lebih tinggi daripada biasa. Pada 14 Oktober 2025, Lembaga Perlindungan Data Eropah memilih ketelusan dan obligasi maklumat sebagai topik tindakan penguatkuasaan terselaras kelimanya, dan melancarkannya pada 19 Mac 2026 dengan dua puluh lima pihak berkuasa perlindungan data mengambil bahagian, yang disasarkan tepat pada GDPR seni 12, 13 dan 14. Pihak berkuasa tersebut mendekati pengawal merentas sektor sama ada melalui tindakan penguatkuasaan atau melalui latihan pencarian fakta, dengan susulan jika penemuan tersebut memerlukannya; keputusan dikongsi dan diagregatkan pada separuh kedua tahun 2026 dan disatukan dalam laporan untuk diterima pakai oleh Lembaga. Penyertaan adalah secara sukarela dan Lembaga belum menerbitkan pihak berkuasa yang menyertai, jadi tiada andaian yang harus dibuat tentang Autoriteit Persoonsgegevens. Perkara ini tetap sama: ketelusan adalah tema penguatkuasaan tahun ini di seluruh Eropah, dan jika anda ingin melihat pernyataan privasi anda, inilah tahun soalan itu akan ditanya.