Prèske tout konpayi k ap opere nan Peyi Ba yo externalize yon bagay ki touche done pèsonèl: pewòl, hosting, CRM, maketing, rekritman, sipò. Lè yon founisè trete done pèsonèl sou enstriksyon ou, atik 28 GDPR a egzije yon kontra alekri, an neyèlandè yon verwerkersovereenkomst . Gid sa a kouvri kilè li obligatwa, sa li dwe genyen, kijan otorite sipèvizyon neyèlandè a abòde li, ak kijan yo negosye kloz ki enpòtan yo.
Kilè yon akò sou pwosesis nesesè, e kilè li pa nesesè
Li nesesè nan yon sèl sitiyasyon sèlman: kote yon pati trete done pèsonèl pou yon lòt moun. Pati k ap deside poukisa e, an esans, kijan done yo trete se kontwolè a; pati k ap aji sou enstriksyon li yo se moun k ap trete a. Devwa a desann nan chèn lan, kidonk yon moun k ap trete ki angaje yon sou-pwosesè dwe fè yon kontra ekivalan avè l. Pa gen okenn ki nesesè lè pati yo se kontwolè endepandan k ap pouswiv pwòp objektif pa yo, lè yo se kontwolè jwenti, ki mande yon aranjman anba atik 26 GDPR pito, oswa lè pa gen okenn done pèsonèl ki enplike.
Siyen youn ak yon pati ki an reyalite se yon kontwolè endepandan pa danjere: li mal endike ki moun ki responsab la epi li kreye yon ilizyon ke okenn pati pa ka onore enstriksyon. Erè glas la komen menm jan, lè yon founisè k ap aji pou pwòp kont li aksepte kondisyon enstriksyon sèlman li pa ka konfòme li avèk yo.
Kontwolè oswa procesè: kijan yo evalye diferans lan tout bon vre
Evalyasyon an fonksyonèl, li pa fòmèl: sa kontra a rele pati yo se prèv, se pa repons lan. Pwen referans lan se Gid EDPB 07/2020 sou kontwolè ak procesè, ki gen vèsyon final la te adopte nan dat 7 Jiyè 2021.
Objektif ak mwayen esansyèl
Kontwolè a detèmine objektif yo ak mwayen esansyèl yo: ki kategori done yo trete, sou ki moun, pou konbyen tan, ak bay ki moun yo divilge yo. Desizyon sa yo lye ak legalite ak nesesite epi yo pa ka delege. Mwayen ki pa esansyèl yo, detay aplikasyon an, ka rete pou founisè a: ki lojisyèl li itilize ak kijan li konsevwa kontwòl li yo.
Se poutèt sa, yon òganizasyon kapab yon kontwolè byenke li pa janm manyen done yo. Nan jijman li nan dat 5 desanm 2023 nan ka C-683/21 (Nacionalinis visuomenės sveikatos centras), Tribinal Jistis la te deside ke yon antite ki detèmine objektif ak mwayen tretman ki fèt atravè yon aplikasyon li te komisyone se te yon kontwolè, epi ke kontwòl jwenti ka soti nan desizyon konvèjan san okenn aranjman fòmèl. Okontrè, yon moun ki trete done ki ale pi lwen pase enstriksyon pou trete pou pwòp objektif li yo trete pa atik 28 GDPR kòm yon kontwolè pou tretman sa a.
Sitiyasyon ki fè konpayi yo bite
- Biwo pewòl yo. Lè biwo a antre done ou bay yo epi li pwodui fichye peman, li se yon moun ki trete enfòmasyon yo. Lè travay la rive nan konsèy endepandan ak verifikasyon konfòmite selon pwòp jijman kabinè a, gidans kò pwofesyonèl Olandè yo nan dat 1ye oktòb 2019 pou kontab, konseye fiskal ak pwofesyonèl nan pewòl trete li kòm yon kontwolè.
- Kontab ak konseye taks. Odit legal, konpilasyon ak travay deklarasyon taks yo fèt anba pwòp devwa pwofesyonèl ak legal kabinè avoka a, avèk jijman endepandan. Sa endike estati kontwolè, epi yon akò tretman se move dokiman.
- Ajans maketing yo. Yon ajans k ap fè yon kanpay kont lis kliyan ou an se yon moun ki trete done yo. Yon ajans ki bati oswa anrichi odyans, oswa ki dirije teknoloji piblisite kote platfòm nan fikse paramèt yo, gen pwòp objektif li, epi kontwòl ansanm ak platfòm nan se yon posibilite reyèl.
- Founisè IT, hébergement ak SaaS. Nòmalman, se moun ki trete done yo, men tcheke kloz ki rezève dwa pou itilize done "agregasyon" oswa "itilizasyon" pou amelyorasyon sèvis, evalyasyon pèfòmans oswa fòmasyon modèl. Nan limit ke sa enplike done pèsonèl, se pwòp objektif founisè a epi li se yon kontwolè pou li.
- Rekritè yo. Yon ajans ki kenbe pwòp baz done kandida li se kontwolè li. Anjeneral, de kontwolè ap travay sou kandida ki nonmen pou pòs vid ou a, epi ant yo gen yon pwosesis limite sou enstriksyon.
Kontwòl konjwen ak aranjman li mande nan plas li
Lè de pati detèmine objektif ak mwayen ansanm, kit se pa yon desizyon komen oswa pa desizyon ki konvèje epi ki lye yon fason enseparab, atik 26 GDPR a egzije yon aranjman olye de yon akò sou tretman. Li dwe detèmine yon fason transparan ki moun ki reponn moun ki konsène yo e ki moun ki jere enfòmasyon transparans, sekirite, notifikasyon vyolasyon, evalyasyon enpak ak transfè yo. Esans li dwe disponib pou moun ki konsène yo, ki ka egzèse dwa kont nenpòt pati kèlkeswa jan pati yo te divize bagay yo, epi li pa angaje ni Otoriteit Persoonsgegevens ni yon tribinal.
Kontni obligatwa anba atik 28 GDPR la
Kontra a dwe fèt alekri, ki gen ladan fòm elektwonik, epi li dwe angaje moun ki trete tretman an. Atik 28 GDPR la etabli yon lis fiks, epi EDPB a byen presize ke resite règleman an poukont li pa sifi.
| Eleman obligatwa | Sa kontra a dwe mete ladan l |
|---|---|
| Deskripsyon pwosesis la | Sijè, dire, nati ak objektif, kalite done, kategori moun ki konsène yo, ak dwa ak obligasyon kontwolè a. Anjeneral li nan aneks, epi anjeneral li twò jeneral. |
| Enstriksyon dokimante | Tretman sèlman dapre enstriksyon dokimante kontwolè a, ki gen ladan transfè yo. Fè atansyon pou "jan akò a pèmèt otreman", ki anile règ la. |
| Konfidansyalite | Moun otorize ki lye pa konfidansyalite, pa kontra oswa pa lalwa; li ta dwe rive jwenn anplwaye sou-procesè yo tou. |
| sekirite | Mezi ki nesesè anba atik 32 GDPR la. Yon referans kwaze pa vo anyen: mete mezi yo nan aneksè. |
| Sou-procesè yo | Kondisyon pou angaje yon lòt procesè, ak rejim otorizasyon an |
| Dwa sijè done yo | Mezi apwopriye pou ede kontwolè a reponn a demann yo; fikse dat limit epi konfime li nan limit frè a. |
| Sekirite, vyolasyon, evalyasyon enpak | Asistans ak sekirite, notifikasyon bay otorite a ak moun ki konsène yo, evalyasyon enpak ak konsiltasyon alavans |
| Sipresyon oswa retou | Selon chwa kontwolè a, sipresyon oswa retounen nan fen sèvis yo, ak sipresyon kopi sof si depo a obligatwa lalwa. |
| Enfòmasyon sou konfòmite ak odit | Enfòmasyon ki nesesè pou demontre konfòmite, epi pou pèmèt epi kontribye nan odit yo. |
| Enstriksyon ilegal | Processeur a enfòme kontwolè a si yon enstriksyon vyole lalwa pwoteksyon done yo. |
Moun ki trete anba tretman an ak rejim otorizasyon an
Yon moun k ap trete pa ka angaje yon sou-pwosesè san otorizasyon kontwolè a. Yon otorizasyon espesifik alavans apwouve chak moun endividyèlman, sa ki mache pou yon ti chèn ki estab men pa pou yon gwo sèvis nwaj. Yon otorizasyon jeneral alekri pèmèt moun k ap trete a ajoute oswa ranplase sou-pwosesè yo depi li enfòme kontwolè a sou chanjman li gen entansyon fè epi li pèmèt li fè objeksyon.
Prèske tout akò estanda ak founisè yo ofri otorizasyon jeneral, yon lis ak yon peryòd avi, kidonk negosyasyon an chita sou sa avi sa a vo: yon wout ki pa depann de ou k ap siveye yon paj wèb, yon peryòd ki ase long pou ou aji, ak yon konsekans deklare si ou fè objeksyon, an reyalite revokasyon san penalite. Nan tou de ka yo, moun ki trete a dwe enpoze menm obligasyon yo youn apre lòt epi li rete responsab pou moun ki sou-pwosesè a. Nan Avi 22/2024 ki date 9 oktòb 2024, EDPB a te konfime ke responsablite a pwolonje nan tout chèn lan: kontwolè a ta dwe kapab idantifye chak sou-pwosesè epi asire tèt li ke garanti yo kenbe pandan tout chèn nan.
Obligasyon sekirite a, konkretize
"Moun ki trete done yo dwe aplike mezi teknik ak òganizasyonèl ki apwopriye yo an akò avèk atik 32 GDPR la" se yon klişe: li pa di w anyen epi li pa pwouve anyen. Yon aneks itil endike chifreman an tranzit ak an repo epi kijan kle yo jere; kontwòl aksè, ki gen ladan pwosesis joiner-mover-leaver ak otantifikasyon plizyè faktè; sa ki anrejistre e pou konbyen tan; frekans backup ak restorasyon teste; delè pou mete patch ak tès penetrasyon; sètifikasyon yo itilize yo, ak dimansyon yo; epi ki kote done yo estoke ak jwenn aksè , enkli pèsonèl sipò a.
Sa enpòtan anpil. Nan jijman li nan dat 14 desanm 2023 nan ka C-340/21 (Natsionalna agentsia za prihodite), Tribinal Jistis la te deside ke yon ensidan sekirite pa poukont li etabli ke mezi yo te ensifizan, men ke kontwolè a gen responsablite pou montre yo te apwopriye. Yon aneks ki date se prèv sa a; yon referans kwaze pa ye.
Asistans ak dwa moun ki konsène yo ak notifikasyon vyolasyon done yo
Toulede obligasyon yo baze sou delè, epi delè yo se pou kontwolè a. Anrapò ak dwa moun ki gen done yo, kontwolè a dwe reponn nan yon mwa, kidonk "asistans rezonab" san yon delè kite ou pou absòbe reta a. Ranje pwoblèm nan: nenpòt demann founisè a resevwa, li voye l nan yon kantite jou ouvrab espesifik epi li pa janm reponn li; yo pwodui yon ekstrè konplè nan yon fòma itilizab nan senk a dis jou ouvrab; epi sa a chita nan frè a olye pou l deklanche yon fakti.
Pou vyolasyon done yo, kontwolè a dwe notifye Autoriteit Persoonsgegevens san pèdi tan epi, lè sa posib, nan 72 èdtan apre li vin okouran, dapre atik 33 GDPR la. Konkrè devwa moun k ap trete a: notifikasyon nan 24 èdtan, bay yon kontak nonmen ak yon wout deyò lè travay, ak yon seri kontni minimòm defini menm lè enfòmasyon yo pa konplè; koperasyon ak forensik yo; ak yon entèdiksyon pou notifye otorite a oswa moun ki konsène yo san apwobasyon ou. Òganizasyon ki nan domèn nan rapòte ensidan yo bay CSIRT yo tou anba Cyberbeveiligingswet Olandè a, ki aplike Direktiv NIS2 la epi ki an aplikasyon depi 15 out 2026.
Dwa odit ak kijan yo negosye yo
Atik 28 GDPR a egzije pou moun ki trete done yo rann disponib enfòmasyon ki nesesè pou demontre konfòmite epi pou pèmèt epi kontribye nan odit, ki gen ladan enspeksyon, pa kontwolè a oswa yon oditè li mandate. Yon kloz ki ofri sèlman "dènye sètifikasyon nou an" pa sifi. Konpwomi pifò negosyasyon Olandè yo rive jwenn: yon rapò asirans anyèl kòm dwa, ak dokiman sou sijè ki abòde li; yon odit dokimante yon fwa pa ane, plis yon lòt odit apre yon vyolasyon ki afekte done ou yo oswa sou demann yon otorite sipèvizyon; yon avi trant jou; sijè ki abòde limite a sèvis ou yo; yon oditè ki pa yon konpetitè; epi ou menm ki peye depans yo sof si yo jwenn yon vyolasyon materyèl.
Retounen oswa sipresyon nan fen an
Chwa a se pou kontwolè a, epi kontra a ta dwe di sa olye pou l rezève l pou founisè a. Espesifye fòma ekspòtasyon an, dat limit la, jeneralman trant jou apati revokasyon an, konfimasyon alekri pou sipresyon an, ak kijan yo jere sovgad yo, ki vle di an reyalite done yo rete nan yon sik dokimante, pwoteje epi san yo pa itilize, jiskaske yo efase yo. Antann asistans pou sòti a ak pri yo davans, epi eskli nenpòt dwa pou kenbe done yo sou frè ki an kontestasyon.
Responsablite, endemnite ak pwòp rejim responsablite GDPR la
Atik 82 GDPR a bay yon moun ki konsène dwa pou jwenn konpansasyon pou domaj materyèl ak domaj imoral. Yon kontwolè responsab pou domaj ki koze pa yon tretman ki vyole règleman an; yon moun k ap trete a responsab lè li pa respekte obligasyon ki dirije espesyalman pou moun k ap trete yo, oswa lè li aji deyò oswa kontrèman ak enstriksyon legal yo. Lè tou de moun patisipe nan menm tretman an, yo chak ka responsab pou tout domaj la, avèk yon rekous apre sa. Yo pa ka retire ekspozisyon sa a nan kontra a; kontra a asiyen pòsyon entèn lan. Amann yo separe: vyolasyon atik 28 GDPR a tonbe nan kategori ki pi ba a nan atik 83 GDPR a.
- Tèm estanda yo limite responsablite a yon miltip frè epi yo eskli "pèt endirèk ak konsekans". Si amann regilasyon, depans notifikasyon ak depans forensik ansanm ak konpansasyon pou moun ki konsène yo tonbe anba esklizyon sa a, endemnite a se dekoratif: mete yo nan lis kòm pèt dirèk ki ka reprann.
- Chèche yon eksepte, oubyen yon limit ranfòse, pou vyolasyon akò tretman an, vyolasyon konfidansyalite, ak vyolasyon volontè oswa enpridan.
- Yon amann yo enpoze sou ou pa ka pase kòm yon amann, men ou ka rekipere kòm pèt anba yon endemnite byen ekri. Aksyon kolektif Olandè yo anba rejim WAMCA a fè reklamasyon agregasyon yo yon ekspozisyon reyalis, ki kont yon plafon ridikil.
Transfè entènasyonal yo, kloz kontra estanda ak pozisyon aktyèl la
Si moun ki trete done yo, moun ki sou-trete done li yo oswa anplwaye sipò li yo ka jwenn aksè a done yo andeyò EEE a, Chapit V GDPR la aplike anplis atik 28 la. Aksè a distans konte, epi yon biwo sipò aletranje konte tou.
Si pa gen yon desizyon adekwa anba atik 45 GDPR a, zouti abityèl la se kloz kontra estanda yo adopte pa Desizyon Aplikasyon Komisyon an (Inyon Ewopeyen) 2021/914 nan dat 4 jen 2021, anba atik 46 GDPR a. De pwen yo souvan rate. Modil ki kouvri transfè kontwolè-a-pwosesè ak pwosesisè-a-sou-pwosesè satisfè egzijans atik 28 GDPR yo tou, kidonk yon akò pwosesis apa pa nesesè pou etap sa a, byenke anpil kontra anpile tou de. Epi apre jijman Tribinal Jistis la nan dat 16 jiyè 2020 nan ka C-311/18 (Schrems II), siyen an pa fini: pati yo dwe evalye si lalwa ak pratik peyi destinasyon an anpeche enpòtatè a konfòme li, epi ajoute mezi siplemantè kote yo fè sa. Dokimante evalyasyon sa a; Rekòmandasyon EDPB 01/2020 yo, adopte nan dat 18 jen 2021, toujou fikse apwòch la.
Pou Etazini, desizyon adekwa Komisyon an nan dat 10 Jiyè 2023 pou Kad Konfidansyalite Done Inyon Ewopeyen-Etazini an rete an vigè, men li ede sèlman lè moun k ap resevwa a oto-sètifye aktivman pou kategori done ki enpòtan yo, kidonk verifye sètifikasyon an. Li te siviv premye defi li a: Tribinal Jeneral la te rejte aksyon an pa jijman 3 Septanm 2025 nan ka T-553/23 (Latombe v Komisyon). Yo te depoze yon apèl nan dat 31 Oktòb 2025 kòm ka C-703/25 P epi Tribinal Jistis la pa t fèmen ka a nan dat paj sa a an 2026; pandansetan, desizyon adekwa a pa ni sispann ni modifye. Pa kite l vin tounen yon sèl pwen echèk: kenbe kloz yo ak yon evalyasyon dokimante kòm yon rezèv, epi trete apèl annatant la kòm yon rezon pou gen youn olye de yon rezon pou tann. Otoriteit Persoonsgegevens (Otorite pou Kontwòl Pèsonèl) te bay Uber yon amann 290 milyon ero nan yon desizyon ki date 22 jiyè 2024 pou transfere done chofè yo Ozetazini san yon zouti transfè apwopriye apre li te fin sispann itilize kloz yo; Uber te deklare ke li te gen entansyon fè objeksyon, AP pa pibliye okenn desizyon sou objeksyon sa a, e pakonsekan amann lan ta dwe konsidere kòm yon deklarasyon pozisyon regilatè a olye de yon presedan etabli.
Gen yon twou ki toujou ouvè nan bwat zouti a. Komisyon an di l ap prepare yon lòt seri kloz kontra estanda pou enpòtatè ki andeyò Inyon Ewopeyen an, ki gen pwosesis ki sijè dirèkteman a GDPR anba atik 3 la — sitiyasyon kote kloz 2021 yo pa byen chita. Yo pa t adopte kloz sa yo nan dat paj sa a an 2026, kidonk pou konfigirasyon sa a, evalyasyon an ak garanti yo dwe entegre nan kontra a alamen.
Èske kloz kontwolè-pwosesè Komisyon an obligatwa?
Non. Desizyon Aplikasyon Komisyon an (Inyon Ewopeyen) 2021/915 nan dat 4 jen 2021 an bay kloz kontra estanda ant kontwolè ak moun k ap trete done yo pou itilize nan EEE a, men itilizasyon yo se opsyonèl: pati yo ka negosye pwòp kontra yo depi li gen tout sa atik 28 GDPR la egzije. Kloz yo ka chita andedan yon kontra ki pi laj ak tèm adisyonèl ki pa kontradiktwa, men yo pa ka modifye tèt yo, kidonk pèsonalizasyon fèt nan aneks yo. Akò espesyal ak modèl sektè yo rete nòm Olandè a, ki akseptab depi sibstans lan la.
Ranfòsman pa Autoriteit Persoonsgegevens
AP a egzamine sa dirèkteman. Li te revize akò tretman yo ke 31 òganizasyon sektè prive nan komès, swen sante, medya, lwazi ak enèji te itilize, epi li te pibliye rezilta li yo an 2020 anba tit ke "akò tretman an" pa egziste. Li te jwenn akò ki pa fè plis pase site règleman an, langaj sekirite ki note ke te gen yon règleman san di sa li te egzije, ak akò ki toujou ekri anba ansyen lwa pwoteksyon done Olandè a.
Nan yon ankèt, atann pou AP a travay apati dosye aktivite tretman ou an pou rive nan kontra yo genyen ak founisè yo nonmen ladan l, answit nan aneks sekirite a, lis sou-processeur yo ak dokiman transfè a, epi answit nan prèv ki montre ou te fè yon bagay avèk yo: yon rapò asirans ki pa li pa yon sipèvizyon. Fòt la enpòtan tou, piske nan ka C-683/21 an, Lakou Jistis la te konfime ke yon amann mande pou vyolasyon entansyonèl oswa neglijan. Oryantasyon estratejik AP a pou 2026 rive 2028 kouvri siveyans mas, entèlijans atifisyèl ak rezistans dijital, dènye a ki gen ladan eksplisitman sekirite chèn ekipman pou.
Yon lis verifikasyon pou revize akò pwosesis estanda yon founisè
- Èske wòl yo kòrèk? Si founisè a se yon kontwolè endepandan, pa siyen yon akò tretman ditou.
- Èske deskripsyon pwosesis la konplè, oswa se yon aneks vid, epi èske gen yon bagay ki pèmèt pwosesis pou pwòp amelyorasyon, analiz oswa fòmasyon modèl founisè a?
- Èske mezi sekirite yo aneks epi espesifik, avèk sètifikasyon ki nonmen ak dimansyon yo?
- Èske lis moun ki trete done ki sou-apre-midi a disponib, èske yo voye yon avi ba ou, èske objeksyon an gen konsekans, epi èske moun ki trete done ki sou-apre-midi yo lye youn apre lòt?
- Èske notifikasyon vyolasyon an fèt nan yon peryòd kout fiks, epi èske founisè a entèdi pou l notifye otorite a li menm?
- Èske dat limit pou demann moun ki konsène yo fiks epi yo nan limit frè a, epi èske gen yon dwa odit reyèl olye de yon sètifika sèlman?
- Èske ou chwazi siprime oswa retounen yon dokiman, avèk fòma, dat limit ak tretman pou backup?
- Ki kote done yo estoke epi aksese, epi èske gen bon zouti transfè an plas pou chak etap?
- Èske plafon an ak esklizyon pèt endirèk la kite endemnite a ak kontni reyèl, epi èske gen yon pwopriyetè entèn ak yon dat revizyon?
Èske gen yon akò sou pwosesis ant de konpayi gwoup yo?
Wi, si yo se antite legal separe epi youn trete done pèsonèl pou lòt la. Lefèt ke yo fè pati menm gwoup la pa fè okenn diferans. Gwoup yo souvan itilize yon sèl kad intragwoup ki kouvri tout antite yo, ak orè pou chak sèvis. Lè antite yo trete pou pwòp rezon pa yo, yo se kontwolè separe epi yon lòt enstriman apwopriye.
Èske akò a dwe an neyèlandè?
Non. Pa gen okenn egzijans lang, epi akò an anglè yo totalman nòmal nan pratik neyelandè a. Si ekip operasyonèl yo oswa yon komite travay ap li l, yon vèsyon neyelandè ede, epi kote tou de egziste ou ta dwe presize kilès ki pi enpòtan. Autoriteit Persoonsgegevens aksepte anglè nan pifò korespondans, men se pa toujou.
Founisè nou an refize negosye kondisyon estanda li yo. Ki opsyon nou genyen?
Ou rete responsab kanmenm. Evalye si kondisyon yo vrèman konfòm ak atik 28 GDPR a; anpil gwo founisè kondisyon yo konfòm, epi vrè twou vid ki genyen yo se sa ki komèsyal tankou limit ak dimansyon odit. Dokimante evalyasyon an ak risk rezidyèl la, chèche konsesyon sou aneks yo olye de kò a, epi anrejistre desizyon an.
Èske nou bezwen yon akò tretman apa si nou te siyen kloz kontra estanda yo?
Anjeneral, se pa pou relasyon sa a. Kloz transfè yo te adopte an 2021 pou transfè kontwolè-a-moun k ap trete ak moun k ap trete-a-soti yo te fèt pou kouvri egzijans atik 28 GDPR yo tou, epi anpile yon akò apa sou tèt kreye tèm konfli. Si ou kenbe tou de, mete yon lòd priyorite epi tcheke si aneks yo konsistan.
Kisa k ap pase si nou pa gen okenn akò sou pwosesis la ditou?
Absans lan li menm se yon vyolasyon atik 28 GDPR pa tou de pati yo, ki pini anba kategori amann ki pi ba nan atik 83 GDPR la, epi li pami premye bagay yon otorite sipèvizyon verifye. Li kite ou tou san baz kontra sou sekirite, notifikasyon vyolasyon, odit ak sipresyon, epi san rekous si founisè a lakòz domaj ou dwe konpanse.
