Responsablite pou vyolasyon done nan Peyi Ba yo: ki moun ki responsab?

Apre yon vyolasyon done nan Peyi Ba yo, òganizasyon ki deside poukisa ak kijan done pèsonèl yo trete (kontwolè a) se prensipal responsab la, ni anvè Otorite Pwoteksyon Done Peyi Ba yo ni anvè moun ki afekte yo. Eksepsyon an: yon moun ki trete done ki te aji yon fason ki pa t respekte enstriksyon kontwolè a oswa ki pa t respekte pwòp devwa sekirite li yo responsab tou, epi yon atakè ki te antre volontèman komèt yon ofans kriminèl.

Responsablite a jwe sou twa nivo: amann ak lòd regilasyon, reklamasyon sivil pou domaj, ak devwa anba Lwa sou Sibèsekirite (Cyberbeveiligingswet) pou òganizasyon ki deziyen yo. Paj sa a eksplike chak nivo, dat limit pou notifikasyon yo ak sa ou ka fè.

Ki lwa ki aplike apre yon vyolasyon done?

Règleman Jeneral sou Pwoteksyon Done (RGPD) pou done pèsonèl, ak Lwa sou Sibèsekirite pou antite esansyèl ak enpòtan ki deziyen, kit done pèsonèl enplike oswa non.

Lwa Aplikasyon GDPR Olandè a (Uitvoeringswet AVG, UAVG) konplete GDPR a epi deziyen Autoriteit Persoonsgegevens (AP) kòm otorite sipèvizyon. Gade gid nou an sou Règleman Jeneral sou Pwoteksyon Done yo ak paj nou an sou Otorite Pwoteksyon Done Olandè a.

Lwa sou Sibèsekirite a aplike direktiv NIS2 Inyon Ewopeyen an epi li te antre an vigè nan dat 15 Out 2026, ansanm ak Dekrè sou Sibèsekirite a (Cyberbeveiligingsbesluit). Li te ranplase Lwa sou Sekirite Rezo ak Sistèm Enfòmasyon (Wbni), kidonk referans ki fèt sou Wbni nan kontra ak règleman yo pa ajou. Lwa sou Rezilyans Antite Kritik yo (Wet weerbaarheid kritieke entiteiten) kouvri rezistans fizik antite kritik yo deziyen yo. Plis enfòmasyon nan atik nou an sou NIS2 ak Lwa sou Sibèsekirite Olandè a.

Ki moun ki responsab: kontwolè a, procesè a oswa founisè a?

Kontwolè a responsab sekirite tretman an epi pou l notifye vyolasyon an. Yon moun ki trete done, tankou yon founisè hosting oswa nwaj, dwe swiv enstriksyon kontwolè a, pran pwòp mezi sekirite li yo epi enfòme kontwolè a sou yon vyolasyon san pèdi tan.

• kontwolè: repons bay AP a ak moun ki konsène yo, tou pou vyolasyon nan konpayi ki trete done li yo.
• Processeur: responsab pou pwòp echèk li yo ak pou aji deyò enstriksyon li yo.
• Moun ki trete done yo sou-pwosesè ak founisè yo: responsablite a swiv akò pwosesis la ak chèn kontra a.
• Atakan an: Entrizyon volontè ak ilegal nan yon sistèm òdinatè se yon vyolasyon òdinatè (computervredebreuk) dapre Atik 138ab nan Kòd Penal Olandè a, ki pini pa jiska dezan prizon.

Lè ni kontwolè a ni procesè a echwe, AP a ka aji kont toulede. Yon kontwolè pa ka abandone responsablite li lè li sous-trete done; li dwe verifye sekirite founisè li yo epi etabli devwa sekirite ak notifikasyon nan akò tretman an. Gade atik nou an sou wòl kontwolè ak procesè anba GDPR la.

Kilè ou dwe rapòte yon vyolasyon done?

Bay AP a san pèdi tan epi, lè sa posib, nan 72 èdtan apre ou te vin okouran de li, sof si vyolasyon an gen anpil chans pou l pa kreye yon risk pou moun ki konsène yo. Revèy la kòmanse lè ou pran konesans de vyolasyon an, pa lè li te rive.

Rapò a dekri nati vyolasyon an, kategori yo ak kantite apeprè moun ak dosye ki enplike yo, konsekans posib yo ak mezi yo pran, plis yon pwen kontak tankou ofisye pwoteksyon done yo. Si yo pa konnen tout bagay nan 72 èdtan, ou ka rapòte an etap epi eksplike reta a. Anrejistre chak vyolasyon anndan konpayi an, menm sa ou pa rapòte yo.

Kilè ou dwe enfòme moun ki afekte yo?

Lè vyolasyon an gen chans pou kreye yon gwo risk pou yo, san pèdi tan epi nan yon langaj klè. Sa pa obligatwa si done yo te vin enkonpreyansib, pa egzanp pa chifreman, si mezi pita yo retire gwo risk la, oswa si yon avi endividyèl ta mande yon efò ki pa pwopòsyonèl, nan ka sa a yon anons piblik nesesè.

Ki lòt rapò ki ka nesesè?

Anba Lwa sou Sibèsekirite a, antite esansyèl ak enpòtan yo dwe rapòte yon ensidan enpòtan bay sipèvizè sektè yo a ak ekip repons pou ensidan sekirite enfòmatik (CSIRT) avèk yon avètisman bonè nan 24 èdtan ak yon notifikasyon pi konplè nan 72 èdtan, menm si pa gen okenn done pèsonèl ki enplike. Règ sektè yo, pa egzanp pou founisè telekominikasyon, enstitisyon finansye ak swen sante, ka ajoute plis rapò. Se poutèt sa, yon ensidan ka mande plizyè notifikasyon.

Ki sanksyon regilatè yo ka enpoze?

AP a ka enpoze amann, lòd ki sijè a yon peman penalite ak entèdiksyon pwosesis. Pou vyolasyon GDPR ki pi grav yo, amann maksimòm lan se yon montan fiks oswa yon pousantaj nan woulman anyèl atravè lemond, kèlkeswa sa ki pi wo a; AP a fikse montan reyèl la ki baze sou, pami lòt bagay, nati ak dire vyolasyon an, kantite moun ki afekte yo ak koperasyon ou.

Anba Lwa sou Sibèsekirite a, sipèvizyon òganize pa sektè. Pou sektè Ministè Afè Ekonomik yo, tankou enfrastrikti dijital, Otorite Olandè pou Enfrastrikti Dijital (Rijksinspectie Digitale Infrastructuur, RDI) sipèvize; lòt ministè yo deziyen pwòp sipèvizè pa yo. Yo ka bay enstriksyon obligatwa epi enpoze amann, ak maksimòm ki pi wo pou antite esansyèl pase pou antite enpòtan.

Ki jan ou ka konteste yon amann?

Atravè yon objeksyon (bezwaar) bay otorite ki te pran desizyon an, nan sis semèn (Atik 6:7 nan Lwa Jeneral Administratif la, Awb), answit fè apèl nan tribinal distri a ak nan yon tribinal apèl siperyè. Ki tribinal apèl ki konpetan depann de Lwa anba ki desizyon an te pran, kidonk verifye sa byen bonè. Lòd korektif yo anjeneral rete an vigè pandan objeksyon an. Gade tou atik nou an sou kijan pou fè apèl kont desizyon legal yo.

Èske moun ki afekte pa yon vyolasyon ka reklame domaj?

Wi. GDPR a bay nenpòt moun ki sibi domaj materyèl oswa imoral akòz yon vyolasyon dwa pou jwenn konpansasyon nan men kontwolè a oswa procesè a. Moun ki fè reklamasyon an dwe montre vyolasyon an, domaj la ak lyen kozatif la; senp vyolasyon règ yo pa sifi pou domaj imoral.

Lè plizyè pati responsab pou menm domaj la, yo chak ka responsab pou tout domaj la epi answit rekipere pati lòt yo. Yo kapab pote plent yo tou kolektivman: dapre Atik 3:305a Kòd Sivil Olandè a (BW), yon fondasyon oswa yon asosyasyon ka pote yon aksyon kolektif pou yon gwoup ki gen enterè menm jan an, epi yo te pote plizyè aksyon konsa sou vyolasyon done. Yon plent bay AP a gratis epi li fèt apa de yon reklamasyon pou domaj.

Ki jan ou limite responsablite ou anvan yon vyolasyon?

Lè ou kapab montre ke sekirite ou te apwopriye pou risk la epi ou te aji rapidman. AP a ak tribinal yo evalye sa ou te an plas, pa sa ou te gen entansyon fè.

• Dokimante yon evalyasyon risk ansanm ak mezi teknik ak òganizasyonèl ki swiv li: kontwòl aksè, otantifikasyon plizyè faktè, chifreman, koneksyon ak backup.
• Gen yon plan repons pou ensidan ki nonmen moun ki deside sou notifikasyon yo nan 24 ak 72 èdtan.
• Konkli akò sou pwosesis ki fikse devwa sekirite, notifikasyon vyolasyon nan yon kantite èdtan fiks, dwa ak responsablite pou odit.
• Tcheke si ou tonbe anba Lwa sou Sibèsekirite a epi, si se wi, si ou anrejistre.
• Fòme anplwaye yo sou èskrokri ak manyen done, epi rann konsèy administrasyon an responsab jesyon risk sibernetik.

Peye yon ranson pa retire okenn nan devwa sa yo epi li soulve pwòp kesyon legal li yo, tankou lwa sanksyon yo. Gade tou atik nou an sou sibèkrim ak piratage nan Peyiba yo.

Kisa ou ta dwe verifye antanke kontwolè?

• Si ou kapab evalye epi, si sa nesesè, rapòte yon vyolasyon bay AP a nan lespas 72 èdtan.
• Si ou gen yon akò sou tretman an avèk chak moun ki trete done, ki gen ladan notifikasyon vyolasyon ak devwa sekirite.
• Si rejis vyolasyon ou an anrejistre tout vyolasyon, menm sa yo ki pa rapòte yo.
• Kit ou tonbe anba Lwa sou Sibèsekirite a epi ou konnen sipèvizè sektè ou a.
• Kit asirans ou kouvri ensidan sibernetik, envestigasyon regilasyon ak reklamasyon.

Kisa ou ta dwe tcheke antanke yon processeur oswa yon founisè IT?

• Si ou enfòme kliyan ou yo sou yon vyolasyon san pèdi tan, jan akò tretman an egzije sa.
• Si ou trete done sèlman sou enstriksyon ki dokimante.
• Si responsablite ou anvè kliyan yo limite epi kijan limit la gen rapò ak amann ak reklamasyon GDPR yo.
• Kit ou itilize sou-procesè avèk apwobasyon kliyan an epi sou menm kondisyon yo.
• Kit ou se yon antite esansyèl oswa enpòtan anba Lwa sou Sibèsekirite a.

Kisa nou ka fè pou ou ak yon vyolasyon done?

Avoka IT nou yo konseye kontwolè, moun k ap trete done ak founisè anvan ak apre yon ensidan.

• Nou evalye nan kèk èdtan si yon vyolasyon dwe rapòte bay AP a ak bay moun ki afekte yo, epi nou ekri notifikasyon yo.
• Nou detèmine si Lwa sou Sibèsekirite a aplike epi ki sipèvizè ou rapòte bay.
• Nou revize epi negosye akò sou pwosesis ak kloz responsablite nan kontra IT yo.
• Nou ekri objeksyon an kont yon amann oswa yon lòd epi nou fè apèl la.
• Nou defann oswa nou pote plent pou domaj apre yon vyolasyon, sa gen ladan aksyon kolektif.

Rezime

• Kontwolè a se prensipal responsab la; yon processeur responsab pou pwòp echèk li yo ak pou aji deyò enstriksyon yo.
• Rapòte yon vyolasyon bay AP a san pèdi tan epi, si sa posib, nan 72 èdtan; enfòme moun ki afekte yo si risk la wo.
• Anba Lwa sou Sibèsekirite a, ki an vigè depi 15 Out 2026, yo dwe rapòte ensidan enpòtan yo nan lespas 24 ak 72 èdtan.
• Ou ka konteste amann yo pa objeksyon nan sis semèn (Atik 6:7 Awb).
• Moun ki afekte yo ka reklame domaj, endividyèlman oswa atravè yon aksyon kolektif anba Atik 3:305a BW.

Kesyon yo poze souvan