Adatvédelmi irányelvek Hollandiában: mit ír elő a törvény, és hogyan kell egyet megírni, ami megállja a helyét

Szinte minden, hollandiai weboldallal rendelkező vállalat közzétesz adatvédelmi szabályzatot – egy privacyverklaringet vagy adatvédelmi nyilatkozatot. Sokkal kevesebb tesz közzé olyat, amely túlélné az Autoriteit Persoonsgegevens (a holland adatvédelmi hatóság, az AP) vizsgálatát. A dokumentumot sablondokumentumként kezelik, egy versenytárstól másolják, és érintetlenül hagyják, miközben az üzletmenet változik alatta. Ez mára költséges szokássá vált: 2026 márciusában az Európai Adatvédelmi Testület összehangolt végrehajtási intézkedést indított Európa-szerte, amelynek célja pontosan ez a kötelezettség.

Honnan ered a kötelezettség

A GDPR egyetlen cikke sem rendelkezik „adatvédelmi irányelvek” címmel. A nyilatkozat egyszerűen a GDPR által másképp megfogalmazott kötelezettség teljesítésének szokásos módja – az egyén tájékoztatáshoz való jogaként. Az átláthatóság az 5. cikkben szereplő alapelv; a 12., 13. és 14. cikk ezt egy konkrét listává alakítja, amely tartalmazza azokat a dolgokat, amelyeket el kell mondani az embereknek, valamint egy szabványt arra vonatkozóan, hogy hogyan.

A 13. és a 14. cikk közötti különbség fontosabb, mint azt a legtöbb vállalat gondolja.

• Művészet. 13 GDPR érvényes, ha személyes adatokat gyűjt az egyéntől — kapcsolatfelvételi űrlap, fizetési felület, hírlevél-feliratkozás. Az információkat meg kell adni akkor az adatokat: az űrlap benyújtása előtt, nem utána szerzik be.
• Művészet. 14 GDPR akkor alkalmazandó, ha az adatok máshonnan származnak – adatközvetítőtől, nyilvános nyilvántartásból, másolt forrásból, partnertől, munkáltatótól. Az egyént észszerű időn belül, de legkésőbb egy hónapon belül, vagy az első kommunikáció során, vagy amikor az adatokat először közlik egy másik címzettel, attól függően, hogy melyik következik be előbb.

A 14. cikk néhány kivételt tartalmaz – az egyén már rendelkezik az információval, a tájékoztatása lehetetlen vagy aránytalanul nagy erőfeszítést igényelne, a megszerzést vagy nyilvánosságra hozatalt kifejezetten törvény írja elő, vagy az adatokra szakmai titoktartás vonatkozik. Ezek szűk körűek. A „kényelmetlen” nem aránytalanul nagy erőfeszítést jelent, és egy olyan vállalat, amely elérhetőségi adatokat vásárol vagy gyűjt, és soha senkinek nem mondja el, egy nem létező kivételre támaszkodik.

A GDPR 12. cikke szabályozza a következő módot : tömör, átlátható, érthető, könnyen hozzáférhető, világos és közérthető nyelven.

A kötelező tartalom tételesen

Ez nem egy étlap. Az a kijelentés, amelyből hiányzik egy ilyen elem, jogi szempontból hiányosnak minősül.

Három megérdemli a közelebbi vizsgálatot, mert az AP figyelme erre irányul.

Címzettek és a „partnerek” problémája

Az Általános Adatvédelmi Rendelet (GDPR) 13. és 14. cikkelye címzetteket vagy címzett- kategóriákat engedélyez . Ez egy valódi választási lehetőség, de a kategóriának jelentenie kell valamit. A „Partnereink” nem kategória; ez a válasz elutasítását jelenti. A „fizetési szolgáltatónk, a tárhelyszolgáltatónk Németországban, az e-mail marketing platformunk az Egyesült Államokban és a sütikre vonatkozó nyilatkozatunkban megnevezett hirdetési hálózatok” az. Ha nem tudsz homályosan leírni egy címzettet, valószínűleg nem tudod, ki rendelkezik az adatokkal – ami nagyobb probléma.

Megőrzés, ha nem lehetséges meghatározott időtartam

A GDPR elfogadja, hogy nem mindig adható meg több nap, ezért a 13. cikk ehelyett az időszak meghatározásához használt kritériumokat engedélyezi . Amit viszont nem, az a válasz hiánya. Az AP a 2023. december 11-i, az Uber Technologies Inc.-re és az Uber BV-re 10 000 000 eurós bírságot kiszabó határozatában pontosan ezt állapította meg: a nyilatkozat szerint az adatokat a szükséges ideig őrizik meg, amit túl általánosnak tartott. Egy működőképes kritérium így hangzik: „a szerződés időtartama alatt és az utolsó tranzakciót követő hét évig, a holland adótörvényekkel összhangban”.

Nemzetközi transzferek

Az az állítás, hogy az adatok „az Európai Gazdasági Térségen kívülre is továbbíthatók”, semmit sem mond az olvasónak. Az AP álláspontja ugyanebben az Uber-döntésben az volt, hogy meg kell nevezni a célországokat, és meg kell határozni a biztosítékokat – megfelelőségi határozat, általános szerződési záradékok, kötelező erejű vállalati szabályok –, valamint azt, hogyan lehet másolatot szerezni. Az amerikai elemzéseket, CRM-et vagy felhőtárhelyet használó vállalatok adatot továbbítanak; az egyetlen kérdés az, hogy a nyilatkozat elismeri-e ezt.

A formai követelmények

A GDPR 12. cikke egy könnyen megfogalmazható, de gyakran kudarcot vallott mércét állít fel:

• Tömör és átlátható — hatékonyan és a felhasználási feltételektől egyértelműen elkülönítve bemutatva. Az általános feltételek közé rejtve nem felel meg a követelményeknek.
• Érthető — a célközönség átlagos tagja számára érthető. Egy amerikai ügyvédeknek írt nyilatkozat nem érthető a holland fogyasztók számára, és egy holland nyelvű oldalon található, csak angol nyelvű nyilatkozat sem az.
• Könnyen megközelíthető – az olvasónak nem kell keresgélnie. Az európai irányelvek szerint ennek azonnal nyilvánvalónak kell lennie: közvetlen link minden oldalról, kontextuális link a gyűjtés helyén, és egy alkalmazásban legfeljebb néhány koppintásnyira.
• Világos és közérthető nyelvezet — konkrét és végleges, nem pedig elvont. Az európai iránymutatások kiemelik az olyan óvintézkedéseket, mint a „lehet”, „lehet” és „lehetséges”, és a „személyes adatait felhasználhatjuk új szolgáltatások fejlesztésére” vagy a „kutatási célokra” kifejezéseket példaként kezelik arra, hogy mit nem szabad írni.

Amennyiben egy szolgáltatás gyermekeknek szól, vagy tudjuk, hogy a gyermekek sokat használják, a 12. cikk előírja, hogy a szókincset, a hangnemet és a stílust úgy kell átalakítani, hogy a gyermek megértse. Hollandiában ez korán jelentkezik: az Uitvoeringswet AVG 5. cikke értelmében a közvetlenül a gyermeknek kínált információs társadalommal összefüggő szolgáltatásokhoz tizenhat év alatt szükséges a szülői beleegyezés, ami a GDPR által megengedett legmagasabb életkor. A tizennégy évesek által használt szolgáltatásról felnőtteknek írt nyilatkozat nem érvényes, és a gyermek saját tájékoztatáshoz való joga nem szűnik meg a szülő tájékoztatásával.

A réteges megközelítés, megfelelően alkalmazva

A teljesség és az olvashatóság közötti feszültségre az ajánlott válasz a rétegezés, és mind az Atomtörvénykönyv, mind az európai útmutató támogatja ezt. Megfelelően alkalmazva az első réteg tartalmazza az adatkezelő kilétét, a célokat, a legnagyobb hatású vagy meglepetést okozó adatkezelést, valamint a joggyakorlás módját – a teljes szöveg egyetlen kattintással elérhető, egyetlen dokumentumban.

Ha nem megfelelően alkalmazzák, az elrejtés módjává válik. A rétegek nem mondhatnak ellent egymásnak, a teljes információnak egy helyen kell elérhetőnek lennie, és semmit sem szabad lefokozni, mert kínos. Ha egy feldolgozási művelet meglepné az olvasót, az az első réteg mellett szól, nem a negyedik mellett.

Ahol az adatvédelmi nyilatkozatok kudarcot vallanak

A visszatérő kudarcok ritkák és előre láthatóak.

• Homályos célok és nem nyilvános megosztás. A „szolgáltatásaink fejlesztése érdekében” kifejezés semmit sem ír le, és az „adatait megoszthatjuk kiválasztott partnereinkkel” a leggyakoribb hiba – általában elrejti a hirdetési technológiát. A lényeg az, hogy az olvasó meg tudja-e mondani, mi történik az adataival, és eldöntheti-e, hogy bánja-e.
• Egy állítás, ami ellentmond az oldalnak. Ez a papírmunkából végrehajtási problémát csinál. A nyilatkozat szerint nem helyeznek el követő sütiket beleegyezés nélkül, amíg a címkekezelő az oldal betöltésekor aktiválódik; azt állítja, hogy az adatok az EU-ban maradnak, amíg a támogatási szolgálat egy amerikai platformon fut. A szabályozó hatóságnak nem kell figyelmesen elolvasnia a nyilatkozatot ahhoz, hogy ezt megtalálja. Meg kell nyitnia a hálózat fület.
• A másolt állítás. Egy versenytárstól átvett szabályzat leírja a versenytárs adatkezelését: megnevezi azokat a címzetteket, akiket nem használsz, kihagyja azokat, akiket használsz, és feltünteti azokat a megőrzési időszakokat, amelyeket nem tartasz be. Ez egy sor hamis állítás az üzleti tevékenységedről.

Az adatvédelmi nyilatkozat nem sütitájékoztató

Ez két kötelezettség két eszköz alapján, és összevonásuk megbízható módja egyiknek sem való megfelelésnek.

Hollandiában a sütiket és a hasonló technikákat a Telekommunikációs Törvény 11.7. cikkének a) bekezdése szabályozza, amely az elektronikus hírközlési adatvédelmi irányelvet hajtja végre. Bárkinek, aki információt tárol a felhasználó terminálberendezésén, vagy hozzáfér az ott tárolt információkhoz, egyértelmű és teljes körű tájékoztatást kell adnia, és hozzájárulást kell kérnie, szűk kivételektől eltekintve azoktól a részektől, amelyek feltétlenül szükségesek a kommunikáció továbbításához vagy a kért szolgáltatás nyújtásához. Ez az eszközön történő olvasás vagy írás cselekményét szabályozza , függetlenül attól, hogy személyes adatokat tartalmaz-e vagy sem. A GDPR szabályozza, hogy mit tesz ezután a keletkező személyes adatokkal.

Tehát: a banner az a hely, ahol a hozzájárulást megadják vagy megtagadják; a sütikre vonatkozó nyilatkozat felsorolja a sütiket, azok céljait és időtartamát; az adatvédelmi nyilatkozat elmagyarázza a személyes adatok feldolgozását. Az adatvédelmi nyilatkozat nem alkalmas hozzájárulás megszerzésére, és a banner nem mentesítheti a 13. és 14. cikk rendelkezéseit. Kereszthivatkozásokat kell alkalmazni közöttük, és biztosítani kell az egységességet.

Az AP aktívan részt vett ebben a témában. 2025. április 30-án bejelentette a holland sütibannerek strukturális monitorozását, és levelet írt az első ötven szervezetnek, amelyben egy évi több száz levelet tartalmazó programot ismertettek. 2025. november 11-én arról számolt be, hogy több mint 200 weboldalt figyelmeztettek, amelyek nagyjából háromnegyede módosította a figyelmeztetéseket, a többivel szemben pedig vizsgálatot indítottak. Az előre kipipált négyzetek, a további elutasítási kattintások és a rejtett opciók a mintázatok, amelyeket megnevez.

A kimutatást a pénztárból kell generálni, ne egy versenytárséból

Az Általános Adatvédelmi Rendelet 30. cikke előírja a legtöbb szervezet számára, hogy nyilvántartást vezessen az adatkezelési tevékenységekről – a verwerkingsregisterről . Minden tevékenység esetében rögzíti a célokat, az érintettek és a személyes adatok kategóriáit, a címzetteket, beleértve a harmadik országbelieket is, az adattovábbítási garanciákat és a megőrzési időszakokat. Amennyiben a címzett adatfeldolgozó, ugyanezeknek a tényeknek már szerepelniük kell az adott féllel kötött adatkezelési megállapodásban , ami sokkal könnyebbé teszi a nyilvántartás és a nyilatkozat összehangolását.

Hasonlítsuk ezt össze a fenti táblázattal: az átfedés szinte teljes. A nyilvántartás a tényszerű leltár; az adatvédelmi nyilatkozat pedig annak nyilvános megjelenítése. Ebben a sorrendben leírva a nyilatkozat konstrukciója szerint pontos, és pontos is marad, mert a nyilvántartás frissítése frissíti a forrást. Fordított módon írva a kettő eltávolodik egymástól – és egy szabályozó hatóság, amely bekéri a nyilvántartást és olvassa a weboldalt, látja a hiányosságot.

Naprakészen tartás

Az adatvédelmi nyilatkozat egy élő rendszert ír le, így érvényét veszti, valahányszor a rendszer megváltozik: új elemzőeszköz, új CRM, új külföldi adatfeldolgozó, a már tárolt adatok új célja.

Két szabály következik. Az adatkezelés módosítása a nyilatkozat módosítását jelenti, és azt a módosítás életbe lépése előtt felül kell vizsgálni. A lényeges változásokat aktívan kommunikálni kell: az európai iránymutatások határozottan kimondják, hogy az egyénekre bízni a módosított szabályzat értesítését nemcsak elégtelen, de igazságtalan is. A lényeges változásokat – új cél, adatkezelő változása, a joggyakorlás módjának változása – e-mailben vagy a helyszínen történő értesítéssel kell az emberek tudomására hozni, kellő időben ahhoz, hogy visszavonhassák hozzájárulásukat vagy kifogást emelhessenek. Egy elgépelést nem kell bejelenteni. Egy új célt viszont igen.

Verziódátummal lássa el a kimutatást, és őrizze meg a korábbi verziókat. Ha be kell mutatnia, hogy mit mondott egy ügyfélnek 2024-ben, egy dátum nélküli élő oldal nem fogja ezt megtenni.

Az EU-n kívül letelepedett vállalatok

Egy uniós telephellyel nem rendelkező vállalat akkor tartozik a GDPR 3. cikkének hatálya alá, ha árukat vagy szolgáltatásokat kínál az EU-ban élő személyeknek, vagy figyelemmel kíséri az ottani viselkedésüket. Egy weboldal puszta elérhetősége nem elegendő; a célzottság bizonyítéka számít – holland nyelvű verzió, euróban meghatározott árazás, Hollandiába történő szállítás, .nl domain, holland hirdetés. Az EU-s látogatók viselkedésének megfigyelése független kiváltó ok.

Ha a 3. cikk alkalmazandó, a GDPR 27. cikke általában előír egy uniós képviselőt, akinek a székhelye egy olyan tagállamban van, ahol az érintettek tartózkodnak, és akinek a személyazonossága és elérhetőségei az adatvédelmi nyilatkozatban szerepelnek. A kivétel szűk körű: az alkalmi adatkezelés, amely nem jár nagyméretű, különleges kategóriájú adatokkal, és valószínűleg nem eredményez kockázatot. Egy folyamatosan a holland piacon értékesítő webáruház nem alkalmi jellegű.

Az AP ezt önmagában érvényesítette, és 525 000 eurós bírságot szabott ki a Locatefamily.com-ra, mert nem jelölt ki uniós képviselőt. A határozat 2020. december 10-i keltezésű, és az AP 2021. május 12-én tette közzé; a bírság mellett kényszerítő bírságot is kiszabott, amely előírta a képviselő kijelölését. A jogsértés a GDPR 27. cikkét, valamint 3. cikkét jelentette. A weboldalnak nem volt uniós telephelye, és a telephelyét soha nem azonosították egyértelműen, ami nem akadályozta meg a bírság kiszabását – ez jelzésértékű minden nem uniós gazdasági szereplő számára, amely feltételezi, hogy a távolság mentességet jelent.

Végrehajtás

Az Uitvoeringswet AVG 6. cikke értelmében az Autoriteit Persoonsgegevens a holland felügyeleti hatóság. Hatáskörei az Általános Adatvédelmi Rendelet (GDPR) 58. cikkéből erednek – figyelmeztetések, megrovások, utasítások, adatkezelési korlátozások –, a GDPR 83. cikke pedig a 12., 13. és 14. cikk megsértését magasabb szintre sorolja, közigazgatási bírsággal : akár 20 millió euróig vagy a teljes éves világpiaci forgalom 4%-áig, attól függően, hogy melyik a magasabb.

Az AP a tájékoztatási kötelezettséget önálló jogsértésként kezeli, nem pedig lábjegyzetként. Az Uberre 2023. december 11-én kiszabott 10 000 000 eurós bírság a GDPR 12. és 13. cikkén alapult – a megőrzési információk túl általánosak, az áthelyezési célállomások nincsenek megnevezve, az adathordozhatósághoz való jogot nem említik ilyenként. Az AP 2026. május 8-án megalapozatlannak nyilvánította az Uber bírsággal szembeni kifogását, és az Uber bírósághoz fordult, így a döntés egyelőre érvényben van, anélkül, hogy végleges rendezésre került volna. Ez egy bírság azért, amit az adatvédelmi nyilatkozat nem mondott ki. Külön, 2024. július 22-én az AP 290 000 000 euróra bírságolta az Ubert, amiért érvényes átviteli eszköz nélkül továbbította a sofőrök adatait az Egyesült Államokba, amit 2024. augusztus 26-án jelentettek be.

A rövid távú kockázat a szokásosnál nagyobb. 2025. október 14-én az Európai Adatvédelmi Testület az átláthatósági és tájékoztatási kötelezettségeket választotta ötödik összehangolt végrehajtási intézkedésének témájául, amelyet 2026. március 19-én indított el huszonöt adatvédelmi hatóság részvételével, kifejezetten a GDPR 12., 13. és 14. cikkére összpontosítva. Ezek a hatóságok végrehajtási intézkedések vagy tényfeltáró gyakorlatok révén közelítik meg az adatkezelőket az ágazatokon átívelően, és ahol a megállapítások indokolják, nyomon követést is végeznek; az eredményeket 2026 második felében megosztják és összesítik, majd egy jelentésben konszolidálják a Testület általi elfogadásra. A részvétel önkéntes, és a Testület nem tette közzé, hogy mely hatóságok csatlakoztak, így semmilyen feltételezést nem szabad tenni az Autoriteit Persoonsgegevens-szel kapcsolatban. A lényeg ettől függetlenül érvényes: az átláthatóság a ciklus európai végrehajtási témája, és egy olyan nyilatkozat, amelyet a megszövegezése óta nem olvastak fel a vállalkozás ellen, pontosan az a fajta dokumentum, amely nem éli túl a kérdést.

Law & More Holland és külföldi vállalatokat lát el tanácsokkal a GDPR 12–14. cikkében foglalt tájékoztatási kötelezettségekkel kapcsolatban: meglévő adatvédelmi nyilatkozat felülvizsgálata a feldolgozási tevékenységek nyilvántartásával szemben, új nyilatkozat szerkesztése a nulláról, valamint az Autoriteit Personsgegevens kérdéseinek vagy vizsgálatainak megválaszolása. Ha szeretné, hogy nyilatkozatát mások ellenőrzése előtt ellenőrizzék, kérjük, vegye fel velünk a kapcsolatot.