Sera ya faragha nchini Uholanzi: sheria inahitaji nini na jinsi ya kuandika ile inayodumu

Karibu kila kampuni yenye tovuti inayoelekea Uholanzi huchapisha sera ya faragha — taarifa ya faragha au taarifa ya faragha. Ni wachache sana huchapisha ile ambayo ingeendelea kuhifadhiwa ikiwa itaonekana kutoka kwa Autoriteit Persoonsgegevens (mamlaka ya ulinzi wa data ya Uholanzi, AP). Hati hiyo inachukuliwa kama sehemu ya ziada, inanakiliwa kutoka kwa mshindani na kuachwa bila kuguswa huku biashara ikibadilika chini yake. 2026 ni mwaka mbaya kwa hilo: mnamo Machi Bodi ya Ulinzi wa Data ya Ulaya ilizindua hatua iliyoratibiwa ya utekelezaji kote Ulaya kuhusu wajibu huu haswa.

Wajibu unatoka wapi

Hakuna kifungu cha GDPR kinachoongozwa na kichwa "sera ya faragha". Taarifa hiyo ni njia ya kawaida ya kutekeleza wajibu ambao GDPR inauelezea tofauti - kama haki ya mtu binafsi ya kupewa taarifa. Uwazi ni kanuni katika sanaa. 5 GDPR; sanaa. 12, 13 na 14 GDPR huigeuza kuwa orodha halisi ya mambo ambayo lazima uwaambie watu, na kiwango cha jinsi ya kufanya hivyo.

Mgawanyiko kati ya art. 13 na art. 14 ni muhimu zaidi kuliko makampuni mengi yanavyotambua.

• Kifungu cha 13 GDPR inatumika pale unapokusanya data binafsi kutoka kwa mtu binafsi — fomu ya mawasiliano, malipo, usajili wa jarida. Taarifa lazima itolewe wakati huo data hupatikana: kabla ya fomu kuwasilishwa, si baada ya.
• Kifungu cha 14 GDPR inatumika pale ambapo data ilitoka kwingineko — dalali wa data, rejista ya umma, chanzo kilichofutwa, mshirika, mwajiri. Lazima umjulishe mtu huyo ndani ya kipindi kinachofaa na kwa muda mfupi zaidi ndani ya mwezi mmoja, au kwa mawasiliano ya kwanza naye, au wakati data inapofichuliwa kwa mpokeaji mwingine, chochote kinachokuja kwanza.

Kifungu cha 14 kina seti ndogo ya vighairi - mtu binafsi tayari ana taarifa, kuzifahamisha haiwezekani au kungehusisha juhudi zisizo na uwiano, kupata au kutoa taarifa kumewekwa wazi na sheria, au data hiyo inafichwa kwa siri ya kitaaluma. Hizi ni finyu. "Haifai" si juhudi zisizo na uwiano, na kampuni inayonunua au kuchakata data ya mawasiliano na kamwe haimwambii mtu yeyote kwamba inategemea ubaguzi ambao haupo.

Kifungu cha 12 GDPR kinatawala jinsi : mafupi, uwazi, kueleweka, kupatikana kwa urahisi, kwa lugha iliyo wazi na rahisi.

Maudhui ya lazima, kipengee kwa kipengee

Hii si menyu. Taarifa inayokosa mojawapo ya vipengee hivi haijakamilika kisheria.

Tatu zinastahili kuangaliwa kwa karibu, kwa sababu hapo ndipo umakini wa AP unapoanzia.

Wapokeaji, na tatizo la "washirika"

Kifungu cha 13 na Kifungu cha 14 cha GDPR huruhusu wapokeaji au kategoria za wapokeaji. Hilo ni chaguo la kweli, lakini kategoria lazima iwe na maana fulani. "Washirika wetu" si kategoria; ni kukataa kujibu. "Mtoa huduma wetu wa malipo, mtoa huduma wetu mwenyeji nchini Ujerumani, jukwaa letu la uuzaji wa barua pepe nchini Marekani, na mitandao ya matangazo iliyotajwa katika taarifa yetu ya vidakuzi" ni. Ikiwa huwezi kuelezea mpokeaji bila utata, labda hujui ni nani aliye na data - tatizo kubwa zaidi.

Kuhifadhiwa ambapo hakuna kipindi maalum kinachowezekana

GDPR inakubali kwamba idadi ya siku haiwezi kutolewa kila wakati, ndiyo maana kifungu cha 13 kinaruhusu vigezo vinavyotumika kubaini kipindi badala yake. Kile ambacho hakiruhusu ni kutojibu. Katika uamuzi wake wa tarehe 11 Desemba 2023 wa kutotoza faini Uber Technologies Inc. na Uber BV €10,000,000, AP iligundua hilo haswa: taarifa hiyo ilisema data ingehifadhiwa kwa muda mrefu iwezekanavyo, jambo ambalo ililichukulia kuwa la jumla sana. Kigezo kinachoweza kutumika kinasomeka "kwa muda wa mkataba na miaka saba baada ya muamala wa mwisho, sambamba na sheria ya kodi ya Uholanzi".

Uhamisho wa kimataifa

Kusema data "inaweza kuhamishwa nje ya Eneo la Uchumi la Ulaya" hakumwambii msomaji chochote. Msimamo wa AP katika uamuzi huo huo wa Uber ulikuwa kwamba nchi za mwisho zinapaswa kutajwa na ulinzi kutambuliwa - uamuzi wa kutosha, vifungu vya kawaida vya mikataba, sheria za kampuni zinazofunga - na jinsi ya kupata nakala. Makampuni yanayotumia uchanganuzi wa Marekani, CRM au wingu yanahamisha; swali pekee ni kama taarifa hiyo inakubali hilo.

Mahitaji ya fomu

Kifungu cha 12 GDPR kinaweka kiwango ambacho ni rahisi kueleza na mara nyingi hushindwa:

• Kwa ufupi na uwazi — imewasilishwa kwa ufanisi na waziwazi tofauti na sheria na masharti. Kuizika kwa ujumla hakuzingatii.
• Inaeleweka — inaeleweka na mwanachama wa kawaida wa hadhira inayokusudiwa. Taarifa iliyoandikwa kwa ajili ya wanasheria wa Marekani haieleweki kwa watumiaji wa Uholanzi, na wala taarifa ya Kiingereza pekee kwenye tovuti ya lugha ya Uholanzi haieleweki.
• Inapatikana kwa urahisi — msomaji hapaswi kulazimika kuwinda. Mwongozo wa Ulaya unachukulia kama jambo linalohitaji kuonekana mara moja: kiungo cha moja kwa moja kutoka kila ukurasa, kiungo cha muktadha katika sehemu ya ukusanyaji, na katika programu ni migonge michache tu.
• Lugha wazi na wazi — thabiti na dhahiri badala ya kuwa ya kufikirika. Mwongozo wa Ulaya huchagua maneno ya kuzuia kama vile "huenda", "huenda" na "inawezekana", na hushughulikia "tunaweza kutumia data yako binafsi kutengeneza huduma mpya" au "kwa madhumuni ya utafiti" kama mifano ya mambo yasiyopaswa kuandikwa.

Pale ambapo huduma inaelekezwa kwa watoto, au unajua watoto wanaitumia sana, sanaa. 12 inahitaji msamiati, sauti na mtindo kurekebishwa ili mtoto aweze kuielewa. Nchini Uholanzi hii inauma mapema: chini ya kifungu cha 5 cha Uitvoeringswet AVG, umri ambao idhini ya wazazi inahitajika kwa huduma za jamii ya habari zinazotolewa moja kwa moja kwa mtoto ni kumi na sita, kiwango cha juu zaidi ambacho GDPR inaruhusu. Taarifa iliyoandikwa kwa ajili ya watu wazima kuhusu huduma inayotumiwa na watoto wa miaka kumi na minne inashindwa, na haki ya mtoto mwenyewe ya kupewa taarifa haiondolewi kwa kumjulisha mzazi.

Mbinu ya tabaka, imefanywa ipasavyo

Kuweka tabaka ni jibu linalopendekezwa kwa mvutano kati ya ukamilifu na usomaji, na mwongozo wa AP na Ulaya unaidhinisha. Ikiwa imefanywa vizuri, safu ya kwanza hubeba utambulisho wa kidhibiti, madhumuni, usindikaji wenye athari kubwa au uwezo wa kushangaza, na jinsi ya kutumia haki - kwa mbofyo mmoja wa maandishi kama hati moja.

Ikiwa imefanywa vibaya inakuwa njia ya kuficha mambo. Tabaka hazipaswi kupingana, taarifa kamili lazima ibaki mahali pamoja, na hakuna kinachoweza kushushwa cheo kwa sababu ni aibu. Ikiwa operesheni ya usindikaji itashangaza msomaji, hiyo ni hoja ya safu ya kwanza, sio ya nne.

Pale ambapo taarifa za faragha zinashindwa

Kushindwa mara kwa mara ni kudogo, na kunatabirika.

• Madhumuni yasiyoeleweka na kushiriki bila kufichuliwa. "Kuboresha huduma zetu" haielezi chochote, na "tunaweza kushiriki data yako na washirika waliochaguliwa" ndio kasoro ya kawaida zaidi - kwa kawaida huficha teknolojia ya matangazo. Jaribio ni kama msomaji anaweza kujua kinachotokea kwa data yake na kuamua kama atajali.
• Taarifa inayopingana na tovuti. Hii inabadilisha tatizo la makaratasi kuwa tatizo la utekelezaji. Taarifa inasema hakuna vidakuzi vya ufuatiliaji vinavyowekwa bila idhini wakati meneja wa lebo anapoanza kupakia ukurasa; inasema data inabaki katika EU wakati dawati la usaidizi linatumika kwenye jukwaa la Marekani. Mdhibiti hahitaji kusoma taarifa hiyo kwa makini ili kupata hili. Inahitaji kufungua kichupo cha mtandao.
• Taarifa iliyonakiliwa. Sera iliyochukuliwa kutoka kwa mshindani inaelezea usindikaji wa mshindani: inataja wapokeaji ambao hutumii, huacha wale unaowatumia, na hutaja vipindi vya uhifadhi ambavyo huvizingatii. Ni seti ya taarifa za uongo kuhusu biashara yako.

Taarifa ya faragha si notisi ya kuki

Hizi ni wajibu mbili chini ya hati mbili, na kuziunganisha ni njia ya kuaminika ya kuzingatia yoyote kati ya hizo.

Vidakuzi na mbinu zinazofanana zinasimamiwa nchini Uholanzi kwa mujibu wa kifungu cha 11.7a cha Mawasiliano, kinachotekeleza Maagizo ya Faragha ya Kielektroniki. Mtu yeyote anayehifadhi taarifa kwenye, au kufikia taarifa zilizohifadhiwa ndani, ya kifaa cha mtumiaji lazima atoe taarifa iliyo wazi na kamili na kupata idhini, huku kukiwa na msamaha mdogo kwa kile kinachohitajika kabisa ili kusambaza mawasiliano au kutoa huduma inayohitajika. Hii inasimamia kitendo cha kusoma au kuandika kwenye kifaa , iwe data ya kibinafsi inahusika au la. GDPR inasimamia kile unachofanya na data yoyote ya kibinafsi inayotokana.

Kwa hivyo: bango ni mahali ambapo idhini inatolewa au kukataliwa; taarifa ya vidakuzi huorodhesha vidakuzi, madhumuni na muda wake; taarifa ya faragha inaelezea usindikaji wa data binafsi. Taarifa ya faragha haiwezi kupata idhini, na bango haliwezi kutekeleza sanaa. 13 na 14. Zirejelee kwa njia ya mseto, na uzidumishe kwa njia thabiti.

AP imekuwa ikifanya kazi hapa. Mnamo tarehe 30 Aprili 2025 ilitangaza ufuatiliaji wa kimuundo wa mabango ya vidakuzi vya Uholanzi na kuandikia mashirika hamsini ya kwanza, ikielezea mpango wa mamia kadhaa kwa mwaka. Mnamo tarehe 11 Novemba 2025 iliripoti kwamba zaidi ya tovuti 200 zilikuwa zimeonywa, takriban robo tatu zilikuwa zimerekebishwa, na ilikuwa imefungua uchunguzi kuhusu zingine. Visanduku vilivyowekwa alama mapema, mibofyo ya ziada ya kukataa na chaguzi zilizofichwa ndizo mifumo inayotaja.

Toa taarifa kutoka kwa rejista, si kutoka kwa mshindani

Kifungu cha 30 cha GDPR kinahitaji mashirika mengi kudumisha rejista ya shughuli za usindikaji — verwerkingsregister . Kwa kila shughuli inarekodi madhumuni, kategoria za mada ya data na data binafsi, wapokeaji ikiwa ni pamoja na wale walio katika nchi za tatu, ulinzi wa uhamisho na vipindi vya uhifadhi.

Linganisha hilo na jedwali hapo juu: mwingiliano ni karibu jumla. Rejista ni hesabu ya ukweli; taarifa ya faragha ni uwasilishaji wake hadharani. Imejengwa katika mpangilio huo taarifa hiyo ni sahihi kwa ujenzi na inabaki kuwa sahihi, kwa sababu kusasisha rejista husasisha chanzo. Ikiandikwa kinyume chake, hizo mbili hutengana - na mdhibiti anayeuliza rejista na kusoma tovuti anaona pengo.

Kuiweka katika hali ya sasa

Taarifa ya faragha inaelezea mfumo unaotumika, kwa hivyo hupotea kila wakati mfumo unapobadilika: zana mpya ya uchanganuzi, CRM mpya, kichakataji kipya nje ya nchi, kusudi jipya la data ambayo tayari imehifadhiwa.

Sheria mbili zinafuata. Mabadiliko ya usindikaji ni mabadiliko ya taarifa, na yanapaswa kurekebishwa kabla ya mabadiliko kuanza kutumika. Na mabadiliko muhimu lazima yawasilishwe kikamilifu: Mwongozo wa Ulaya uko imara kwamba kuwaacha watu binafsi watambue sera iliyorekebishwa wenyewe si tu kwamba haitoshi bali pia si haki. Mabadiliko makubwa - kusudi jipya, mabadiliko ya mtawala, mabadiliko katika jinsi haki zinavyotekelezwa - yanapaswa kuelezwa kwa watu kwa barua pepe au taarifa ya ndani ya tovuti, mapema vya kutosha kwamba wanaweza kuondoa idhini au pingamizi. Uchapishaji wa makosa hauhitaji tangazo. Kusudi jipya linahitajika.

Toa tarehe ya toleo kwenye taarifa na uhifadhi matoleo ya awali. Ukihitaji kuonyesha kile ulichomwambia mteja mwaka wa 2024, ukurasa wa moja kwa moja usio na tarehe hautafanya hivyo.

Makampuni yaliyoanzishwa nje ya EU

Kampuni isiyo na taasisi ya EU inakamatwa na kifungu cha 3. GDPR ikiwa inatoa bidhaa au huduma kwa watu katika EU au inafuatilia tabia zao huko. Ufikiaji tu wa tovuti haitoshi; kinachohitajika ni ushahidi wa kulenga — toleo la lugha ya Kiholanzi, bei ya euro, uwasilishaji hadi Uholanzi, kikoa cha .nl, matangazo ya Uholanzi. Ufuatiliaji wa tabia wa wageni wa EU ni kichocheo huru.

Ikiwa kifungu cha 3 kinatumika, kifungu cha 27 GDPR kwa ujumla inahitaji mwakilishi katika Muungano, aliyeanzishwa katika nchi mwanachama ambapo watu husika wa data wako, ambaye utambulisho wake na maelezo ya mawasiliano yake yanahusika katika taarifa ya faragha. Msamaha huo ni mdogo: usindikaji ambao ni wa mara kwa mara, hauhusishi data kubwa ya kategoria maalum, na hakuna uwezekano wa kusababisha hatari. Duka la mtandaoni linalouza mara kwa mara katika soko la Uholanzi si la mara kwa mara.

AP imetekeleza hili kwa kujitenga, ikitoza faini ya €525,000 Locatefamily.com kwa kushindwa kumteua mwakilishi wa EU. Uamuzi huo umetolewa tarehe 10 Desemba 2020 na ulichapishwa na AP tarehe 12 Mei 2021; pamoja na faini hiyo, ilitoa amri inayohitaji malipo ya faini inayohitaji mwakilishi huyo kuteuliwa. Ukiukaji huo ulikuwa wa kifungu cha 27 kilichosomwa na kifungu cha 3 GDPR. Tovuti hiyo haikuwa na uanzishwaji wa EU na mahali pake pa kuanzishwa hapakuwahi kutambuliwa kwa uthabiti, jambo ambalo halikuzuia faini hiyo - ishara kwa mhudumu yeyote asiye wa EU anayedhani umbali ni sawa na kinga.

Utekelezaji

Chini ya kifungu cha 6 cha Uitvoeringswet AVG, Autoriteit Persoonsgegevens ni mamlaka ya usimamizi ya Uholanzi. Mamlaka yake yanatokana na kifungu cha 58 GDPR — maonyo, makaripio, maagizo, vikwazo katika usindikaji — na kifungu cha 83 GDPR inaweka ukiukaji wa sheria. Kifungu cha 12, 13 na 14 katika kiwango cha juu cha faini: hadi €20 milioni au 4% ya jumla ya mauzo ya kila mwaka duniani kote, yoyote iliyo juu zaidi.

AP inachukulia wajibu wa taarifa kama uvunjaji wa kujitegemea, si tanbihi. Faini ya €10,000,000 kwa Uber ya tarehe 11 Desemba 2023 ilitegemea ibara. 12 na 13 GDPR — taarifa za uhifadhi ni za jumla sana, maeneo ya uhamisho hayajatajwa, haki ya kubebeka data haijatajwa hivyo. AP ilitangaza pingamizi la Uber kwa faini hiyo kuwa isiyo na msingi mnamo tarehe 8 Mei 2026, na Uber imepeleka suala hilo mahakamani, kwa hivyo uamuzi huo unasimama kwa sasa bila hatimaye kutatuliwa. Hiyo ni faini kwa kile ambacho taarifa ya faragha haikusema. Kando na hilo, mnamo tarehe 22 Julai 2024 AP ilitoza Uber faini ya €290,000,000 kwa kuhamisha data ya madereva kwenda Marekani bila kifaa halali cha uhamisho, kilichotangazwa mnamo tarehe 26 Agosti 2024.

Hatari ya muda mfupi ni kubwa kuliko kawaida. Mnamo tarehe 14 Oktoba 2025, Bodi ya Ulinzi wa Data ya Ulaya ilichagua uwazi na majukumu ya taarifa kama mada ya hatua yake ya tano ya utekelezaji iliyoratibiwa, na kuizindua mnamo tarehe 19 Machi 2026 huku mamlaka ishirini na tano za ulinzi wa data zikishiriki, zikilenga moja kwa moja arts. 12, 13 na 14 GDPR. Mamlaka hizo huwafikia wadhibiti katika sekta mbalimbali ama kupitia hatua za utekelezaji au kupitia mazoezi ya kutafuta ukweli, pamoja na ufuatiliaji ambapo matokeo yanahitajika; matokeo yanashirikiwa na kukusanywa katika nusu ya pili ya 2026 na kuunganishwa katika ripoti ya kupitishwa na Bodi. Ushiriki ni wa hiari na Bodi haijachapisha ni mamlaka gani ilijiunga, kwa hivyo hakuna dhana inayopaswa kufanywa kwa njia yoyote kuhusu Autoriteit Persoonsgegevens. Jambo hilo linashikilia bila kujali: uwazi ni mada ya utekelezaji wa mwaka kote Ulaya, na ikiwa umekuwa ukikusudia kuangalia taarifa yako ya faragha, huu ndio mwaka ambao swali linaulizwa.