GDPR na Sheria ya Utekelezaji ya Uholanzi (UAVG): ni nini kinachotumika?

Ulinzi wa data nchini Uholanzi unategemea vyombo viwili: Kanuni ya Jumla ya Ulinzi wa Data (GDPR), ambayo inatumika moja kwa moja kote EU, na Sheria ya Utekelezaji wa GDPR ya Uholanzi (Uitvoeringswet AVG, UAVG), ambayo inajaza tu chaguzi za kitaifa ambazo Kanuni hiyo inaacha wazi. UAVG pia inateua Mamlaka ya Ulinzi wa Data ya Uholanzi (Autoriteit Persoonsgegevens, AP) kama msimamizi; haileti mfumo mwepesi.

Kwa sababu Kanuni hii inatumika moja kwa moja, GDPR yenyewe ndiyo shirika lako linapaswa kuzingatia. UAVG ni muhimu pale ambapo uchaguzi wa kitaifa umefanywa, na hayo ndiyo mambo ambayo mashirika yanayofanya kazi katika nchi kadhaa wanachama huwa hayazingatii.

Sheria ya Utekelezaji inaongeza nini?

Idadi ndogo ya chaguzi za kitaifa. Kwa huduma za jamii ya habari zinazotolewa moja kwa moja kwa mtoto, Uholanzi iliweka umri wa msingi wa GDPR wa kumi na sita chini ya Kifungu cha 8 cha GDPR, na Kifungu cha 5 cha UAVG kinapanua sheria hiyo: katika hali zingine ambapo idhini ndiyo msingi, mtoto aliye chini ya miaka kumi na sita pia anahitaji idhini ya mzazi au mlezi, ambaye anaweza kuiondoa wakati wowote.

UAVG pia huweka vighairi kwa data maalum ya kategoria. Kifungu cha 29 UAVG huruhusu data ya kibiometriki kusindika kwa ajili ya utambulisho wa kipekee ambapo hii ni muhimu kwa madhumuni ya uthibitishaji au usalama, kighairi kinachotumika kwa mifumo ya udhibiti wa ufikiaji na kuingia. Kifungu cha 31 hadi 33 UAVG hudhibiti usindikaji wa data ya uhalifu, na Sheria hiyo ina msamaha kwa uandishi wa habari, utafiti na uhifadhi wa kumbukumbu.

Ni majukumu gani muhimu katika utendaji?

Mambo manne yanachangia sehemu kubwa ya kazi. Kwanza, rekodi ya shughuli za usindikaji chini ya Kifungu cha 30 GDPR: hati ambayo AP inaomba kwanza, na ile inayokulazimisha kujua unachoshikilia. Pili, msingi halali chini ya Kifungu cha 6 GDPR kwa kila operesheni ya usindikaji, uliochaguliwa kwa makusudi badala ya kutokubali, ambao unaweza kuondolewa wakati wowote.

Tatu, makubaliano ya usindikaji wa data na kila mchakataji chini ya Kifungu cha 28 GDPR, na ulinzi wa kutosha ambapo data binafsi inaondoka katika Eneo la Uchumi la Ulaya. Nne, utaratibu wa kufanya kazi kwa maombi ya watu wanaohusika na data na kwa arifa ya uvunjaji kwa AP ndani ya saa 72 chini ya Kifungu cha 33 GDPR.

Je, GDPR inatekelezwaje?

AP inaweza kuchunguza, kuagiza hatua, kuweka marufuku ya usindikaji na faini kwa mashirika. Chini ya Kifungu cha 83 GDPR, faini hufikia €10 milioni au 2% ya mauzo ya kila mwaka duniani kote kwa uvunjaji wa majukumu ya kiutawala, na hadi €20 milioni au 4% ya mauzo, yoyote iliyo juu zaidi, kwa uvunjaji wa kanuni za msingi, haki za mada ya data au sheria za uhamisho.

Watu binafsi wanaweza pia kudai fidia chini ya Kifungu cha 82 GDPR, na kwa kuwa utaratibu wa fidia ya pamoja (WAMCA) ulianza kutumika mwaka wa 2020, hatua za pamoja kuhusu uvunjaji wa data zimekuwa chanzo halisi nchini Uholanzi.

Unapaswa kuangalia nini kama mtawala?

• Je, rekodi yako ya shughuli za usindikaji (Kifungu cha 30 GDPR) imekamilika na ni ya sasa?
• Je, umeandika msingi halali wa kila operesheni ya usindikaji?
• Je, kuna makubaliano ya usindikaji yaliyosainiwa na kila kichakataji?
• Je, unaweza kumjulisha AP kuhusu ukiukaji wa sheria ndani ya saa 72?
• Je, unahitaji tathmini ya athari ya ulinzi wa data (Kifungu cha 35 GDPR) kwa ajili ya usindikaji wa hatari kubwa?

Unapaswa kuangalia nini kama kichakataji?

• Je, unachakata data binafsi kwa kufuata maagizo yaliyoandikwa ya mdhibiti pekee (Kifungu cha 28 GDPR)?
• Je, unatumia vichakataji vidogo pekee kwa idhini ya mdhibiti?
• Je, hatua zako za usalama zimeelezwa na kupimwa?
• Je, utamjulisha mdhibiti bila kuchelewa sana baada ya uvunjaji wa sheria?

Tunaweza kukufanyia nini kwa kufuata GDPR?

Wanasheria wetu wa TEHAMA huanza kutokana na kile ambacho shirika lako hufanya na data, si kutoka kwa kiolezo. Tunaweza:

• Andika au pitia rekodi yako ya shughuli za usindikaji na taarifa ya faragha.
• Tathmini msingi halali wa kila operesheni ya usindikaji.
• Kuandaa na kujadili mikataba ya usindikaji wa data na vifungu vya uhamisho.
• Kukuongoza kupitia tathmini ya athari za ulinzi wa data.
• Saidia kwa taarifa ya uvunjaji wa sheria kwa AP na kwa uchunguzi wa AP au faini.

Muhtasari

• GDPR huweka sheria muhimu moja kwa moja; UVG hujaza tu chaguzi za kitaifa.
• Watoto walio chini ya umri wa miaka kumi na sita wanahitaji idhini ya wazazi ambapo idhini ndiyo msingi (Kifungu cha 8 GDPR na Kifungu cha 5 UAVG).
• Kifungu cha 29 UAVG huruhusu data ya kibiometriki kwa madhumuni ya uthibitishaji au usalama.
• Rekodi ya usindikaji, msingi halali kwa kila operesheni, makubaliano ya wasindikaji na utaratibu wa uvunjaji wa saa 72 huhesabu kazi nyingi za kufuata sheria.
• Faini chini ya Kifungu cha 83 cha GDPR zinafikia €20 milioni au 4% ya mauzo ya kimataifa; watu binafsi na vikundi vinaweza kudai fidia kando.

Maswali yanayoulizwa mara kwa mara