Politika privatnosti u Nizozemskoj: što mora sadržavati prema GDPR-u

Under arts. 12, 13 and 14 of the GDPR you must tell people who you are, why and on what legal basis you process their data, who receives it, how long you keep it and which rights they have; on a website, a privacy statement (izjavu o privatnosti) is the practical way to do that. A statement copied from a competitor or a generator usually fails, and in 2026 the European Data Protection Board chose these transparency obligations as the theme of a coordinated enforcement action by national supervisors. In the Netherlands that supervisor is the Autoriteit Persoonsgegevens (AP).

Odakle dolazi obveza objavljivanja izjave o privatnosti?

Nijedan članak GDPR-a ne nosi naslov „pravila privatnosti“. Izjava je jednostavno uobičajen način ispunjavanja obveze koju GDPR drugačije definira - kao pravo pojedinca na informiranost. Transparentnost je načelo u članku 5. GDPR-a; članci 12., 13. i 14. GDPR-a pretvaraju ga u konkretan popis stvari koje morate reći ljudima i standard za to kako.

Razlika između članka 13. i članka 14. važnija je nego što većina tvrtki shvaća.

• Umjetnost. 13 GDPR primjenjuje se tamo gdje prikupljate osobne podatke od pojedinca — kontaktni obrazac, naplata, prijava na newsletter. Podaci moraju biti navedeni u to vrijeme podaci se dobivaju: prije slanja obrasca, a ne nakon toga.
• Umjetnost. 14 GDPR primjenjuje se kada podaci dolaze iz nekog drugog mjesta - od posrednika podataka, javnog registra, iz skidanog izvora, partnera, poslodavca. Morate obavijestiti pojedinca u razumnom roku, a najkasnije u roku od mjesec dana, ili prilikom prve komunikacije s njim, ili kada se podaci prvi put otkriju drugom primatelju, ovisno o tome što nastupi prije.

Članak 14. sadrži mali skup iznimki - pojedinac već ima informacije, informiranje je nemoguće ili bi uključivalo nerazmjeran napor, dobivanje ili otkrivanje je izričito propisano zakonom ili su podaci predmet profesionalne tajne. To su uski pojmovi. „Nezgodno“ nije nerazmjeran napor, a tvrtka koja kupuje ili prikuplja kontaktne podatke i nikada nikome ne govori oslanja se na iznimku koja ne postoji.

Članak 12. GDPR-a uređuje način : sažet, transparentan, razumljiv, lako dostupan, jasnim i jednostavnim jezikom.

Što mora sadržavati izjava o privatnosti?

Ovo nije jelovnik. Izjava kojoj nedostaje jedna od ovih stavki smatra se nepotpunom s pravnog stanovišta.

Tri stavke zaslužuju detaljniji pogled, jer upravo na njih usmjerava pozornost AP-a.

Zašto „naši partneri“ nije dovoljno dobar odgovor za primatelje?

Članak 13. i članak 14. GDPR-a dopuštaju primatelje ili kategorije primatelja. To je istinski izbor, ali kategorija mora nešto značiti. „Naši partneri“ nije kategorija; to je odbijanje odgovora. „Naš pružatelj usluga plaćanja, naš pružatelj hostinga u Njemačkoj, naša platforma za e-mail marketing u Sjedinjenim Državama i oglašivačke mreže navedene u našoj izjavi o kolačićima“ jesu. Ako ne možete opisati primatelja bez nejasnoća, vjerojatno ne znate tko ima podatke - što je veći problem.

Što ako ne možete odrediti fiksni rok čuvanja?

GDPR prihvaća da se određeni broj dana ne može uvijek odrediti, zbog čega članak 13. dopušta kriterije koji se koriste za određivanje razdoblja. Ono što ne dopušta jest nedostatak odgovora. U odluci iz 2023. kojom su Uber Technologies Inc. i Uber BV kažnjeni s 10,000,000 eura, AP je utvrdio upravo to: u izjavi je navedeno da će se podaci čuvati koliko god je potrebno, što je smatrao preopćenitim. Primjenjiv kriterij glasi „za vrijeme trajanja ugovora i sedam godina nakon posljednje transakcije, u skladu s nizozemskim poreznim zakonom“.

Što treba reći o transferima izvan EGP-a?

Izjava da se podaci „mogu prenijeti izvan Europskog gospodarskog prostora“ čitatelju ništa ne govori. U istom slučaju Ubera, stav AP-a bio je da se navedu zemlje odredišta i utvrde zaštitne mjere - odluka o adekvatnosti, standardne ugovorne klauzule, obvezujuća korporativna pravila - te kako dobiti kopiju. Tvrtke koje koriste američku analitiku, CRM ili cloud hosting prenose podatke; jedino je pitanje priznaje li to izjava.

Koji oblik mora imati izjava?

Članak 12. GDPR-a postavlja standard koji je lako navesti, a često se ne ispunjava:

• Sažeto i transparentno — učinkovito i jasno odvojeno od uvjeta i odredbi. Zakopavanje u opće uvjete nije u skladu s propisima.
• Razumljivo — razumljivo prosječnom članu ciljane publike. Izjava napisana za američke odvjetnike nije razumljiva nizozemskim potrošačima, kao ni izjava samo na engleskom jeziku na web-stranici na nizozemskom jeziku.
• Lako dostupno — čitatelj ne bi trebao morati tražiti. Europske smjernice tretiraju to kao da mora biti odmah vidljivo: izravna poveznica sa svake stranice, kontekstualna poveznica na mjestu prikupljanja i u aplikaciji najviše nekoliko dodira.
• Jasan i jednostavan jezik — konkretno i konačno, a ne apstraktno. Europske smjernice izdvajaju zaštitne riječi poput „može“, „moglo bi“ i „moguće“, a fraze poput „možemo koristiti vaše osobne podatke za razvoj novih usluga“ ili „u istraživačke svrhe“ tretiraju kao primjere onoga što ne treba pisati.

Tamo gdje je usluga namijenjena djeci ili znate da je djeca intenzivno koriste, članak 12. zahtijeva prilagodbu vokabulara, tona i stila kako bi ih dijete moglo razumjeti. U Nizozemskoj se to rano uočava: prema članku 5. Uitvoeringswet AVG-a (nizozemskog Zakona o provedbi GDPR-a), dob ispod koje je potreban roditeljski pristanak za usluge informacijskog društva koje se izravno nude djetetu je šesnaest godina, što je najviša dob dopuštena GDPR-om. Izjava napisana za odrasle o usluzi koju koriste četrnaestogodišnjaci ne ispunjava uvjete, a pravo djeteta na informiranost ne ispunjava se informiranjem roditelja.

Kako funkcionira višeslojna izjava o privatnosti?

Slojevitost je preporučeni odgovor na napetost između potpunosti i čitljivosti, a i AP i europske smjernice to podržavaju. Pravilno izveden, prvi sloj sadrži identitet kontrolora, svrhe, obradu s najvećim utjecajem ili sposobnošću iznenađenja i način ostvarivanja prava - s punim tekstom udaljenim jednim klikom kao jednim dokumentom.

Ako se ne napravi pravilno, postaje način skrivanja stvari. Slojevi se ne smiju međusobno proturječiti, potpune informacije moraju ostati dostupne na jednom mjestu i ništa se ne smije degradirati jer je neugodno. Ako bi operacija obrade iznenadila čitatelja, to je argument za prvi sloj, a ne za četvrti.

Gdje izjave o privatnosti griješe?

Ponavljajućih neuspjeha je malo i predvidljivi su.

• Nejasne svrhe i neotkriveno dijeljenje. „Kako bismo poboljšali naše usluge“ ne opisuje ništa, a „možemo podijeliti vaše podatke s odabranim partnerima“ je najčešći nedostatak od svih - obično prikriva oglasnu tehnologiju. Test je može li čitatelj reći što se događa s njegovim podacima i odlučiti ima li nešto protiv.
• Izjava koja proturječi stranici. Zbog toga se problem s papirologijom pretvara u problem provedbe. U izjavi se navodi da se kolačići za praćenje ne postavljaju bez pristanka dok se upravitelj oznaka aktivira pri učitavanju stranice; navodi se da podaci ostaju u EU dok se podrška pokreće na američkoj platformi. Regulator ne mora pažljivo pročitati izjavu da bi to pronašao. Mora otvoriti karticu mreže.
• Kopirana izjava. Politika preuzeta od konkurenta opisuje obradu koju provodi konkurent: navodi primatelje koje ne koristite, izostavlja one koje koristite i navodi razdoblja čuvanja kojih se ne pridržavate. To je skup lažnih izjava o vašem vlastitom poslovanju.

Je li izjava o privatnosti isto što i obavijest o kolačićima?

Ne. To su dvije obveze prema dvama instrumentima, a njihovo spajanje pouzdan je način da se ne ispuni nijedna.

Kolačići i usporedive tehnike u Nizozemskoj regulirani su člankom 11.7a Zakona o telekomunikacijama, kojim se provodi Direktiva o e-privatnosti. Svatko tko pohranjuje informacije na korisnikovoj terminalnoj opremi ili pristupa informacijama pohranjenim u njoj mora dati jasne i potpune informacije te dobiti privolu, s uskim izuzećima za ono što je strogo potrebno za prijenos komunikacije ili pružanje tražene usluge. Ovo regulira čin čitanja ili pisanja na uređaju , bez obzira jesu li uključeni osobni podaci ili ne. GDPR regulira što zatim radite s bilo kojim rezultirajućim osobnim podacima.

Dakle: banner je mjesto gdje se daje ili odbija privola; izjava o kolačićima navodi kolačiće, njihove svrhe i trajanje; izjava o privatnosti objašnjava obradu osobnih podataka. Izjavom o privatnosti ne može se dobiti privola, a banner ne može ispuniti uvjete iz članaka 13. i 14. Povežite ih i održavajte ih dosljednima.

AP je od 2025. pojačao praćenje nizozemskih bannera o kolačićima, pišući organizacijama čiji banneri koriste unaprijed označene kućice, lakši put za prihvaćanje nego odbijanje ili opcije koje je teško pronaći. Većina organizacija kojima je upućen pristup od tada je prilagodila svoje bannere; AP je pokrenuo istrage protiv onih koje to nisu učinile.

Kako sastaviti točnu izjavu umjesto da je kopirate?

Članak 30. GDPR-a zahtijeva od većine organizacija da vode registar aktivnosti obrade - verwerkingsregister . Za svaku aktivnost bilježi svrhe, kategorije ispitanika i osobnih podataka, primatelje, uključujući one u trećim zemljama, zaštitne mjere prijenosa i razdoblja čuvanja. Ako je primatelj izvršitelj obrade, iste činjenice već bi trebale biti navedene u ugovoru o obradi podataka s tom strankom, što znatno olakšava usklađivanje registra i izjave.

Usporedite to s gornjom tablicom: preklapanje je gotovo potpuno. Registar je činjenični popis; izjava o privatnosti je njezino javno prikazivanje. Izrađena tim redoslijedom, izjava je točna po konstrukciji i ostaje točna, jer ažuriranje registra ažurira izvor. Napisana obrnutim redoslijedom, to dvoje se udaljava - i regulator koji traži registar i čita web stranicu uočava prazninu.

Kako održavate izjavu ažurnom?

Izjava o privatnosti opisuje aktivni sustav, pa se ona zastarijeva kad god se sustav promijeni: novi alat za analitiku, novi CRM, novi obrađivač u inozemstvu, nova svrha za već pohranjene podatke.

Slijede dva pravila. Promjena obrade je promjena izjave i treba je revidirati prije nego što promjena stupi na snagu. A materijalna promjena mora se aktivno komunicirati: europske smjernice čvrsto nalažu da nije dovoljno ostaviti pojedince da sami primijete revidiranu politiku. Bitne promjene - nova svrha, promjena kontrolora, promjena u načinu ostvarivanja prava - trebale bi se dostaviti ljudima putem e-pošte ili obavijesti na licu mjesta, dovoljno unaprijed da mogu povući privolu ili prigovoriti. Tipografska pogreška ne treba najavu. Nova svrha treba.

Datirajte izjavu i sačuvajte prethodne verzije. Ako trebate pokazati što ste rekli kupcu 2024. godine, nedatirana aktivna stranica neće to učiniti.

Odnosi li se obveza na tvrtke osnovane izvan EU?

Tvrtka bez poslovnog nastana u EU podliježe članku 3. GDPR-a ako nudi robu ili usluge ljudima u EU ili prati njihovo ponašanje tamo. Sama dostupnost web stranice nije dovoljna; ono što je važno je dokaz o ciljanju - verzija na nizozemskom jeziku, cijene u eurima, dostava u Nizozemsku, .nl domena, nizozemsko oglašavanje. Praćenje ponašanja posjetitelja iz EU je neovisni okidač.

Ako se primjenjuje članak 3, članak 27. GDPR-a općenito zahtijeva predstavnika u Uniji, sa sjedištem u državi članici u kojoj se nalaze relevantni ispitanici, čiji identitet i kontaktni podaci pripadaju izjavi o privatnosti. Izuzeće je usko: obrada koja je povremena, ne uključuje velike količine podataka posebne kategorije i vjerojatno neće rezultirati rizikom. Web trgovina koja kontinuirano prodaje na nizozemskom tržištu nije povremena.

AP je ovo provodio izolirano, kažnjavajući Locatefamily.com s 525,000 eura zbog toga što nije imenovao predstavnika EU. Kršenje je bilo članka 27. u vezi s člankom 3. GDPR-a. Stranica nije imala poslovni nastan u EU, a mjesto njenog poslovnog nastana nikada nije bilo čvrsto utvrđeno, što nije spriječilo kaznu - signal za svakog operatera izvan EU koji pretpostavlja da je udaljenost jednaka imunitetu.

Kako AP provodi ta pravila?

Prema članku 6. Zakona o zaštiti podataka (Uitvoeringswet AVG), Autoriteit Persoonsgegevens je nizozemsko nadzorno tijelo. Njegove ovlasti proizlaze iz članka 58. GDPR-a - upozorenja, opomene, nalozi, ograničenja obrade - i članka 83. GDPR-a. Kršenja članaka 12., 13. i 14. stavljaju se u višu razinu za administrativnu kaznu : do 20 milijuna eura ili 4% ukupnog godišnjeg prometa diljem svijeta, ovisno o tome što je veće.

The AP treats the information obligation as a standalone breach, not a footnote. Its €10,000,000 fine on Uber rested on arts. 12 and 13 GDPR — retention information too general, transfer destinations not named, the right to data portability not mentioned as such. That is a fine for what a privacy statement did not say. Separately, the AP fined Uber €290,000,000 in 2024 for transferring drivers’ data to the United States without a valid transfer tool.

The near-term risk is higher than usual. The 2026 coordinated enforcement action of the European Data Protection Board targets arts. 12, 13 and 14 GDPR directly: participating authorities approach controllers across sectors through investigations or fact-finding exercises, with follow-up where the findings warrant it.

Što biste trebali provjeriti kao poduzeće?

Compare your statement with what your website and systems actually do; that is how the AP tests it.

• Check that every purpose has a stated legal basis under art. 6 GDPR, and that legitimate interests are named where you rely on them.
• Name recipients or meaningful categories, not “our partners”, and match them against your processing agreements.
• Give a retention period or a usable criterion for each category of data.
• Name the countries outside the EEA you transfer to and the safeguard used for each.
• Check that the statement matches your cookie banner and the tags that actually fire under art. 11.7a Telecommunicatiewet.
• Version-date the statement and update it before a new tool or purpose goes live.

What can we do for you with your privacy statement?

Naši IT pravnici advise Dutch and foreign companies on the GDPR duty to inform.

• We review your current privacy statement against arts. 12, 13 and 14 GDPR and list the gaps.
• We draft a statement based on your register of processing activities (art. 30 GDPR).
• We check your cookie banner and cookie statement for consistency with the privacy statement.
• We assess whether you need an EU representative under art. 27 GDPR.
• We assist you when the AP sends questions or opens an investigation.

Rezime

• GDPR ne koristi riječi „pravila privatnosti“, ali članci 12., 13. i 14. čine objavljivanje jedinim praktičnim načinom ispunjavanja dužnosti informiranja.
• Članak 13. primjenjuje se na podatke prikupljene od pojedinca; članak 14. na podatke dobivene drugdje, s vlastitim vremenskim pravilima i uskim skupom iznimki.
• Izjava mora biti sažeta, razumljiva, lako dostupna i napisana jednostavnim jezikom - provedba se temelji na nejasnim formulacijama o primateljima, zadržavanju i prijenosima.
• Izjavu izradite na temelju vlastitog registra aktivnosti obrade (čl. 30. GDPR-a), a ne na temelju politike konkurenta ili generatora, te je revidirajte kad god se promijeni temeljna obrada.
• Ako nemate poslovnicu u EU, ali ciljate na nizozemsko tržište, provjerite trebate li predstavnika EU prema članku 27. GDPR-a.

Često postavljana pitanja