નેધરલેન્ડ્સમાં ગોપનીયતા નીતિ: GDPR હેઠળ તેમાં શું હોવું જોઈએ

Under arts. 12, 13 and 14 of the GDPR you must tell people who you are, why and on what legal basis you process their data, who receives it, how long you keep it and which rights they have; on a website, a privacy statement (ગોપનીયતા નિવેદન) is the practical way to do that. A statement copied from a competitor or a generator usually fails, and in 2026 the European Data Protection Board chose these transparency obligations as the theme of a coordinated enforcement action by national supervisors. In the Netherlands that supervisor is the Autoriteit Persoonsgegevens (AP).

ગોપનીયતા નિવેદન પ્રકાશિત કરવાની ફરજ ક્યાંથી આવે છે?

GDPR ના કોઈપણ લેખમાં "ગોપનીયતા નીતિ" શીર્ષક નથી. આ નિવેદન એ GDPR દ્વારા અલગ રીતે નક્કી કરાયેલી જવાબદારીને પૂર્ણ કરવાની સામાન્ય રીત છે - જેમ કે વ્યક્તિનો માહિતી મેળવવાનો અધિકાર. પારદર્શિતા એ કલામાં એક સિદ્ધાંત છે. 5 GDPR; કલા. 12, 13 અને 14 GDPR તેને એવી વસ્તુઓની નક્કર સૂચિમાં ફેરવે છે જે તમારે લોકોને કહેવાની જરૂર છે, અને કેવી રીતે તે માટેનું ધોરણ.

આર્ટ. ૧૩ અને આર્ટ. ૧૪ વચ્ચેનું વિભાજન મોટાભાગની કંપનીઓ જે સમજે છે તેના કરતાં વધુ મહત્વનું છે.

• કલમ ૧૪ GDPR જ્યાં તમે વ્યક્તિગત ડેટા એકત્રિત કરો છો ત્યાં લાગુ પડે છે વ્યક્તિ પાસેથી — સંપર્ક ફોર્મ, ચેકઆઉટ, ન્યૂઝલેટર સાઇન-અપ. માહિતી આપવી આવશ્યક છે તે સમયે ડેટા મેળવવામાં આવે છે: ફોર્મ સબમિટ કરતા પહેલા, પછી નહીં.
• કલમ ૧૪ GDPR ડેટા બીજે ક્યાંયથી આવ્યો હોય ત્યાં લાગુ પડે છે - ડેટા બ્રોકર, પબ્લિક રજિસ્ટર, સ્ક્રેપ્ડ સ્ત્રોત, ભાગીદાર, નોકરીદાતા. તમારે વ્યક્તિને વાજબી સમયગાળાની અંદર અને ઓછામાં ઓછા એક મહિનાની અંદર, અથવા તેમની સાથે પ્રથમ વાતચીત સમયે, અથવા જ્યારે ડેટા પ્રથમ વખત બીજા પ્રાપ્તકર્તાને જાહેર કરવામાં આવે, જે પણ પહેલા આવે ત્યારે, જાણ કરવી આવશ્યક છે.

કલમ ૧૪ માં અપવાદોનો એક નાનો સમૂહ છે - વ્યક્તિ પાસે પહેલેથી જ માહિતી છે, તેમને જાણ કરવી અશક્ય છે અથવા તેમાં અપ્રમાણસર પ્રયાસનો સમાવેશ થશે, પ્રાપ્તિ અથવા ખુલાસો કાયદા દ્વારા સ્પષ્ટપણે નિર્ધારિત કરવામાં આવ્યો છે, અથવા ડેટા વ્યાવસાયિક ગુપ્તતાને આધીન છે. આ સંકુચિત છે. "અસુવિધાજનક" એ અપ્રમાણસર પ્રયાસ નથી, અને જે કંપની સંપર્ક ડેટા ખરીદે છે અથવા સ્ક્રેપ કરે છે અને ક્યારેય કોઈને કહેતી નથી તે એવા અપવાદ પર આધાર રાખે છે જે અસ્તિત્વમાં નથી.

કલમ ૧૨ GDPR આ રીતે નિયમન કરે છે : સંક્ષિપ્ત, પારદર્શક, સુગમ, સરળતાથી સુલભ, સ્પષ્ટ અને સરળ ભાષામાં.

ગોપનીયતા નિવેદનમાં શું હોવું જોઈએ?

આ મેનુ નથી. આમાંથી કોઈ એક વસ્તુ ખૂટતી હોય તો તે નિવેદન કાયદાની દ્રષ્ટિએ અધૂરું ગણાય.

ત્રણ બાબતો નજીકથી જોવા જેવી છે, કારણ કે એપીનું ધ્યાન ત્યાં જ જાય છે.

પ્રાપ્તકર્તાઓ માટે "આપણા ભાગીદારો" શા માટે પૂરતો સારો જવાબ નથી?

કલમ ૧૩ અને કલમ ૧૪ GDPR પ્રાપ્તકર્તાઓ અથવા પ્રાપ્તકર્તાઓની શ્રેણીઓને મંજૂરી આપે છે . તે એક વાસ્તવિક પસંદગી છે, પરંતુ શ્રેણીનો કંઈક અર્થ હોવો જોઈએ. "અમારા ભાગીદારો" એ શ્રેણી નથી; તે જવાબ આપવાનો ઇનકાર છે. "અમારા ચુકવણી સેવા પ્રદાતા, જર્મનીમાં અમારા હોસ્ટિંગ પ્રદાતા, યુનાઇટેડ સ્ટેટ્સમાં અમારા ઇમેઇલ માર્કેટિંગ પ્લેટફોર્મ અને અમારા કૂકી સ્ટેટમેન્ટમાં નામ આપવામાં આવેલા જાહેરાત નેટવર્ક્સ" છે. જો તમે અસ્પષ્ટતા વિના પ્રાપ્તકર્તાનું વર્ણન કરી શકતા નથી, તો તમને કદાચ ખબર નથી કે કોની પાસે ડેટા છે - એક મોટી સમસ્યા.

જો તમે નિશ્ચિત રીટેન્શન પીરિયડ ન આપી શકો તો શું?

GDPR સ્વીકારે છે કે હંમેશા ઘણા દિવસો આપી શકાતા નથી, તેથી જ કલમ 13 સમયગાળો નક્કી કરવા માટે ઉપયોગમાં લેવાતા માપદંડોને મંજૂરી આપે છે . તે જે પરવાનગી આપતું નથી તે બિન-જવાબ છે. 2023 માં Uber Technologies Inc. અને Uber BV ને €10,000,000 દંડ ફટકારવાના નિર્ણયમાં, AP એ બરાબર શોધી કાઢ્યું: નિવેદનમાં કહેવામાં આવ્યું હતું કે ડેટા જરૂરી હોય ત્યાં સુધી રાખવામાં આવશે, જેને તે ખૂબ સામાન્ય માનતો હતો. એક કાર્યક્ષમ માપદંડ "કોન્ટ્રાક્ટના સમયગાળા માટે અને છેલ્લા વ્યવહાર પછીના સાત વર્ષ માટે, ડચ કર કાયદા અનુસાર" વાંચે છે.

EEA ની બહાર ટ્રાન્સફર વિશે શું કહેવું જોઈએ?

"યુરોપિયન ઇકોનોમિક એરિયાની બહાર ડેટા ટ્રાન્સફર થઈ શકે છે" એમ કહેવાથી વાચકને કંઈ કહેવાતું નથી. ઉબેરના આ જ કેસમાં, એપીનો અભિપ્રાય એવો હતો કે ગંતવ્ય દેશોના નામ આપવામાં આવે અને સલામતીની ઓળખ કરવામાં આવે - પર્યાપ્તતાનો નિર્ણય, માનક કરાર કલમો, બંધનકર્તા કોર્પોરેટ નિયમો - અને નકલ કેવી રીતે મેળવવી. યુએસ એનાલિટિક્સ, સીઆરએમ અથવા ક્લાઉડ હોસ્ટિંગનો ઉપયોગ કરતી કંપનીઓ ટ્રાન્સફર કરી રહી છે; એકમાત્ર પ્રશ્ન એ છે કે શું નિવેદન તેને સ્વીકારે છે.

નિવેદન કયા સ્વરૂપમાં હોવું જોઈએ?

કલમ ૧૨ GDPR એક એવું ધોરણ નક્કી કરે છે જે જણાવવામાં સરળ છે અને ઘણીવાર નિષ્ફળ જાય છે:

• સંક્ષિપ્ત અને પારદર્શક — નિયમો અને શરતોથી અલગ કરીને કાર્યક્ષમ અને સ્પષ્ટ રીતે રજૂ કરવામાં આવ્યું છે. તેને સામાન્ય શરતોમાં દફનાવવું એ પાલન નથી.
• સમજદાર — ઇચ્છિત પ્રેક્ષકોના સરેરાશ સભ્ય દ્વારા સમજી શકાય તેવું. અમેરિકન વકીલો માટે લખાયેલ નિવેદન ડચ ગ્રાહકો માટે સમજી શકાતું નથી, અને ન તો ડચ ભાષાની સાઇટ પર ફક્ત અંગ્રેજીમાં લખાયેલું નિવેદન છે.
• સરળતાથી સુલભ — વાચકે શિકાર કરવાની જરૂર ન હોવી જોઈએ. યુરોપિયન માર્ગદર્શન તેને તાત્કાલિક સ્પષ્ટ થવાની જરૂર તરીકે ગણે છે: દરેક પૃષ્ઠથી સીધી લિંક, સંગ્રહ બિંદુ પર સંદર્ભિત લિંક, અને એપ્લિકેશનમાં વધુમાં વધુ બે ટેપ દૂર.
• સ્પષ્ટ અને સરળ ભાષા — અમૂર્ત કરતાં ચોક્કસ અને નિર્ણાયક. યુરોપિયન માર્ગદર્શન "કદાચ", "કદાચ" અને "શક્ય" જેવા હેજિંગ શબ્દોને અલગ પાડે છે, અને "અમે નવી સેવાઓ વિકસાવવા માટે તમારા વ્યક્તિગત ડેટાનો ઉપયોગ કરી શકીએ છીએ" અથવા "સંશોધન હેતુઓ માટે" જેવા શબ્દસમૂહોને શું ન લખવું તેના ઉદાહરણો તરીકે ગણે છે.

જ્યાં કોઈ સેવા બાળકોને સંબોધવામાં આવે છે, અથવા તમે જાણો છો કે બાળકો તેનો ભારે ઉપયોગ કરે છે, ત્યાં આર્ટ. 12 માં શબ્દભંડોળ, સ્વર અને શૈલીને અનુકૂલિત કરવાની જરૂર છે જેથી બાળક તેને સમજી શકે. નેધરલેન્ડ્સમાં આ વહેલું કામ કરે છે: Uitvoeringswet AVG (ડચ GDPR અમલીકરણ અધિનિયમ) ના આર્ટ. 5 હેઠળ, બાળકને સીધી ઓફર કરવામાં આવતી માહિતી સમાજ સેવાઓ માટે માતાપિતાની સંમતિ જરૂરી ઉંમર સોળ છે, જે GDPR દ્વારા મંજૂરી આપવામાં આવતી સૌથી વધુ ઉંમર છે. ચૌદ વર્ષના બાળકો દ્વારા ઉપયોગમાં લેવાતી સેવા પર પુખ્ત વયના લોકો માટે લખાયેલ નિવેદન નિષ્ફળ જાય છે, અને માતાપિતાને જાણ કરીને બાળકનો પોતાનો માહિતી મેળવવાનો અધિકાર છીનવાઈ જતો નથી.

સ્તરીય ગોપનીયતા નિવેદન કેવી રીતે કાર્ય કરે છે?

પૂર્ણતા અને વાંચનક્ષમતા વચ્ચેના તણાવનો ભલામણ કરેલ જવાબ લેયરિંગ છે, અને AP અને યુરોપિયન માર્ગદર્શન બંને તેને સમર્થન આપે છે. યોગ્ય રીતે કરવામાં આવે તો, પ્રથમ સ્તર નિયંત્રકની ઓળખ, હેતુઓ, સૌથી વધુ અસર અથવા આશ્ચર્યચકિત કરવાની ક્ષમતા સાથે પ્રક્રિયા અને અધિકારોનો ઉપયોગ કેવી રીતે કરવો તે દર્શાવે છે - સંપૂર્ણ ટેક્સ્ટ એક ક્લિક દૂર એક દસ્તાવેજ તરીકે.

અયોગ્ય રીતે કરવામાં આવે તો તે વસ્તુઓ છુપાવવાનો એક માર્ગ બની જાય છે. સ્તરો એકબીજાનો વિરોધાભાસ ન કરે, સંપૂર્ણ માહિતી એક જ જગ્યાએ ઉપલબ્ધ રહેવી જોઈએ, અને કંઈપણ ડિમોટ કરી શકાતું નથી કારણ કે તે શરમજનક છે. જો કોઈ પ્રક્રિયા કામગીરી વાચકને આશ્ચર્યચકિત કરે છે, તો તે પ્રથમ સ્તર માટે દલીલ છે, ચોથા સ્તર માટે નહીં.

ગોપનીયતા નિવેદનો ક્યાં ખોટા પડે છે?

વારંવાર થતી નિષ્ફળતાઓ ઓછી છે અને અનુમાનિત છે.

• અસ્પષ્ટ હેતુઓ અને અપ્રગટ શેરિંગ. "અમારી સેવાઓ સુધારવા માટે" કંઈ વર્ણવતું નથી, અને "અમે તમારો ડેટા પસંદ કરેલા ભાગીદારો સાથે શેર કરી શકીએ છીએ" એ સૌથી સામાન્ય ખામી છે - તે સામાન્ય રીતે જાહેરાત તકનીકને છુપાવે છે. પરીક્ષણ એ છે કે શું વાચક તેમના ડેટાનું શું થાય છે તે કહી શકે છે અને નક્કી કરી શકે છે કે તેમને વાંધો છે કે નહીં.
• એક નિવેદન જે સાઇટનો વિરોધાભાસ કરે છે. આ કાગળકામની સમસ્યાને અમલીકરણની સમસ્યામાં ફેરવે છે. નિવેદનમાં કહેવામાં આવ્યું છે કે જ્યારે ટેગ મેનેજર પેજ લોડ પર ફાયરિંગ કરે છે ત્યારે સંમતિ વિના કોઈ ટ્રેકિંગ કૂકીઝ મૂકવામાં આવતી નથી; તે કહે છે કે જ્યારે સપોર્ટ ડેસ્ક યુએસ પ્લેટફોર્મ પર ચાલે છે ત્યારે ડેટા EU માં રહે છે. આ શોધવા માટે નિયમનકારને નિવેદન કાળજીપૂર્વક વાંચવાની જરૂર નથી. તેને નેટવર્ક ટેબ ખોલવાની જરૂર છે.
• નકલ કરેલું નિવેદન. સ્પર્ધક પાસેથી લેવામાં આવેલી નીતિ સ્પર્ધકની પ્રક્રિયાનું વર્ણન કરે છે: તે એવા પ્રાપ્તકર્તાઓના નામ આપે છે જેનો તમે ઉપયોગ કરતા નથી, તમે જે પ્રાપ્તકર્તાઓનો ઉપયોગ કરો છો તેને બાકાત રાખે છે, અને તમે જે સમયગાળાનું પાલન કરતા નથી તે દર્શાવે છે. તે તમારા પોતાના વ્યવસાય વિશે ખોટા નિવેદનોનો સમૂહ છે.

શું ગોપનીયતા નિવેદન અને કૂકી નોટિસ સમાન છે?

ના. આ બે દસ્તાવેજો હેઠળ બે જવાબદારીઓ છે, અને તેમને ભેગા કરવા એ બંનેમાંથી કોઈનું પણ પાલન કરવાનો વિશ્વસનીય માર્ગ છે.

નેધરલેન્ડ્સમાં કૂકીઝ અને તુલનાત્મક તકનીકોનું સંચાલન ટેલિકોવેટના આર્ટ 11.7a દ્વારા કરવામાં આવે છે, જે ઇ-પ્રાઇવસી ડાયરેક્ટિવનો અમલ કરે છે. વપરાશકર્તાના ટર્મિનલ સાધનો પર માહિતી સંગ્રહિત કરતી અથવા તેમાં સંગ્રહિત માહિતીને ઍક્સેસ કરતી કોઈપણ વ્યક્તિએ સ્પષ્ટ અને સંપૂર્ણ માહિતી આપવી જોઈએ અને સંમતિ મેળવવી જોઈએ, જેમાં સંદેશાવ્યવહાર ટ્રાન્સમિટ કરવા અથવા વિનંતી કરેલી સેવા પહોંચાડવા માટે સખત રીતે જરૂરી હોય તે માટે સાંકડી છૂટછાટોનો સમાવેશ થાય છે. આ ઉપકરણ પર વાંચવા અથવા લખવાની ક્રિયાને નિયંત્રિત કરે છે , પછી ભલે તે વ્યક્તિગત ડેટા સામેલ હોય કે ન હોય. GDPR કોઈપણ પરિણામી વ્યક્તિગત ડેટા સાથે તમે શું કરો છો તેનું સંચાલન કરે છે.

તેથી: બેનર એ સ્થાન છે જ્યાં સંમતિ આપવામાં આવે છે અથવા નકારવામાં આવે છે; કૂકી સ્ટેટમેન્ટ કૂકીઝ, તેમના હેતુઓ અને અવધિની યાદી આપે છે; ગોપનીયતા સ્ટેટમેન્ટ વ્યક્તિગત ડેટાની પ્રક્રિયા સમજાવે છે. ગોપનીયતા સ્ટેટમેન્ટ સંમતિ મેળવી શકતું નથી, અને બેનર આર્ટ્સ ડિસક્રિપ્ચર કરી શકતું નથી. 13 અને 14. તેમને ક્રોસ-રેફરન્સ કરો, અને તેમને સુસંગત રાખો.

2025 થી AP એ ડચ કૂકી બેનરોનું નિરીક્ષણ વધાર્યું છે, જે સંસ્થાઓના બેનરો પહેલાથી જ ટિક કરેલા બોક્સનો ઉપયોગ કરે છે, નકારવા કરતાં સ્વીકારવાનો સરળ માર્ગ છે, અથવા એવા વિકલ્પો શોધવા મુશ્કેલ છે જે શોધવા મુશ્કેલ છે તેમને પત્ર લખ્યો છે. ત્યારથી સંપર્ક કરાયેલી મોટાભાગની સંસ્થાઓએ તેમના બેનરો ગોઠવ્યા છે; AP એ એવા સંસ્થાઓની તપાસ શરૂ કરી છે જેમણે નથી કર્યા.

એક સચોટ વિધાન કેવી રીતે બનાવશો, તેની નકલ કરવાને બદલે?

કલમ ૩૦ GDPR મુજબ મોટાભાગની સંસ્થાઓએ પ્રોસેસિંગ પ્રવૃત્તિઓનું રજિસ્ટર - verwerkingsregister - જાળવવું જરૂરી છે. દરેક પ્રવૃત્તિ માટે તે હેતુઓ, ડેટા વિષય અને વ્યક્તિગત ડેટાની શ્રેણીઓ, ત્રીજા દેશોમાં રહેલા પ્રાપ્તકર્તાઓ સહિત, ટ્રાન્સફર સલામતી અને રીટેન્શન સમયગાળા રેકોર્ડ કરે છે. જ્યાં પ્રાપ્તકર્તા પ્રોસેસર હોય, ત્યાં તે જ હકીકતો તે પક્ષ સાથેના ડેટા પ્રોસેસિંગ કરારમાં પહેલાથી જ દેખાવા જોઈએ , જે રજિસ્ટર અને સ્ટેટમેન્ટને ગોઠવવાનું ખૂબ સરળ બનાવે છે.

ઉપરના કોષ્ટક સાથે તેની સરખામણી કરો: ઓવરલેપ લગભગ સંપૂર્ણ છે. રજિસ્ટર એ વાસ્તવિક ઇન્વેન્ટરી છે; ગોપનીયતા નિવેદન એ તેનું જાહેર પ્રદર્શન છે. તે ક્રમમાં બનેલ, નિવેદન રચના દ્વારા સચોટ છે અને સચોટ રહે છે, કારણ કે રજિસ્ટર અપડેટ કરવાથી સ્રોત અપડેટ થાય છે. બીજી રીતે લખાયેલ, બંને અલગ થઈ જાય છે - અને એક નિયમનકાર જે રજિસ્ટર માટે પૂછે છે અને વેબસાઇટ વાંચે છે તે અંતર જુએ છે.

તમે નિવેદનને કેવી રીતે અદ્યતન રાખો છો?

ગોપનીયતા નિવેદન જીવંત સિસ્ટમનું વર્ણન કરે છે, તેથી જ્યારે પણ સિસ્ટમ બદલાય છે ત્યારે તે જૂની થઈ જાય છે: એક નવું વિશ્લેષણ સાધન, એક નવું CRM, વિદેશમાં એક નવું પ્રોસેસર, પહેલાથી જ રાખવામાં આવેલા ડેટા માટે એક નવો હેતુ.

બે નિયમો અનુસરે છે. પ્રક્રિયામાં ફેરફાર એ નિવેદનમાં ફેરફાર છે, અને ફેરફાર લાઇવ થાય તે પહેલાં તેને સુધારવો જોઈએ. અને એક મહત્વપૂર્ણ ફેરફાર સક્રિયપણે જણાવવો જોઈએ: યુરોપિયન માર્ગદર્શન મક્કમ છે કે વ્યક્તિઓને સુધારેલી નીતિની જાતે નોંધ લેવા દેવાનું પૂરતું નથી. વાસ્તવિક ફેરફારો - એક નવો હેતુ, નિયંત્રકમાં ફેરફાર, અધિકારોનો ઉપયોગ કેવી રીતે થાય છે તેમાં ફેરફાર - લોકોના ધ્યાન પર ઇમેઇલ અથવા સ્થળ પર સૂચના દ્વારા લાવવા જોઈએ, એટલા અગાઉથી કે તેઓ સંમતિ પાછી ખેંચી શકે અથવા વાંધો ઉઠાવી શકે. ટાઇપોને કોઈ જાહેરાતની જરૂર નથી. એક નવા હેતુને જરૂર છે.

સ્ટેટમેન્ટને વર્ઝન-ડેટ કરો અને પાછલા વર્ઝન રાખો. જો તમારે 2024 માં ગ્રાહકને શું કહ્યું હતું તે બતાવવાની જરૂર હોય, તો તારીખ વગરનું લાઇવ પેજ તે કરી શકશે નહીં.

શું આ જવાબદારી EU ની બહાર સ્થાપિત કંપનીઓને લાગુ પડે છે?

EU સ્થાપના વિનાની કંપની કલમ 3 GDPR દ્વારા પકડાય છે જો તે EU માં લોકોને માલ અથવા સેવાઓ પ્રદાન કરે છે અથવા ત્યાં તેમના વર્તનનું નિરીક્ષણ કરે છે. ફક્ત વેબસાઇટની સુલભતા પૂરતી નથી; લક્ષ્યીકરણના પુરાવા મહત્વપૂર્ણ છે - ડચ-ભાષાનું સંસ્કરણ, યુરો કિંમત, નેધરલેન્ડ્સમાં ડિલિવરી, .nl ડોમેન, ડચ જાહેરાત. EU મુલાકાતીઓનું વર્તણૂકીય નિરીક્ષણ એક સ્વતંત્ર ટ્રિગર છે.

જો કલમ ૩ લાગુ પડે છે, તો કલમ ૨૭ GDPR સામાન્ય રીતે યુનિયનમાં એક પ્રતિનિધિની જરૂર પડે છે, જે સભ્ય રાજ્યમાં સ્થાપિત થાય છે જ્યાં સંબંધિત ડેટા વિષયો હોય છે, જેની ઓળખ અને સંપર્ક વિગતો ગોપનીયતા નિવેદનમાં હોય છે. મુક્તિ સાંકડી છે: પ્રક્રિયા જે પ્રસંગોપાત હોય છે, તેમાં મોટા પાયે વિશેષ શ્રેણીનો ડેટા શામેલ હોતો નથી, અને જોખમમાં પરિણમવાની શક્યતા ઓછી હોય છે. ડચ બજારમાં સતત વેચાણ કરતી વેબશોપ પ્રસંગોપાત નથી.

AP એ આને એકલા અમલમાં મૂક્યું છે, Locatefamily.com ને EU પ્રતિનિધિ નિયુક્ત કરવામાં નિષ્ફળ રહેવા બદલ €525,000 નો દંડ ફટકાર્યો છે. આ ઉલ્લંઘન કલમ 27 મુજબ હતું. 3 GDPR. સાઇટ પર કોઈ EU સ્થાપના નહોતી અને તેની સ્થાપનાનું સ્થળ ક્યારેય નિશ્ચિતપણે ઓળખવામાં આવ્યું ન હતું, જે દંડને અટકાવી શક્યું નથી - કોઈપણ બિન-EU ઓપરેટર માટે એક સંકેત છે કે અંતર પ્રતિરક્ષા સમાન છે.

AP આ નિયમો કેવી રીતે લાગુ કરે છે?

Uitvoeringswet AVG ના આર્ટિકલ 6 હેઠળ, Autoriteit Persoonsgegevens એ ડચ સુપરવાઇઝરી ઓથોરિટી છે. તેની સત્તાઓ આર્ટિકલ 58 GDPR - ચેતવણીઓ, ઠપકો, આદેશો, પ્રક્રિયા પર પ્રતિબંધો - અને આર્ટમાંથી આવે છે. 83 GDPR આર્ટિકલના ભંગને સ્થાન આપે છે. 12, 13 અને 14 વહીવટી દંડ માટે ઉચ્ચ સ્તરમાં : €20 મિલિયન સુધી અથવા કુલ વિશ્વવ્યાપી વાર્ષિક ટર્નઓવરના 4%, જે પણ વધારે હોય તે.

The AP treats the information obligation as a standalone breach, not a footnote. Its €10,000,000 fine on Uber rested on arts. 12 and 13 GDPR — retention information too general, transfer destinations not named, the right to data portability not mentioned as such. That is a fine for what a privacy statement did not say. Separately, the AP fined Uber €290,000,000 in 2024 for transferring drivers’ data to the United States without a valid transfer tool.

The near-term risk is higher than usual. The 2026 coordinated enforcement action of the European Data Protection Board targets arts. 12, 13 and 14 GDPR directly: participating authorities approach controllers across sectors through investigations or fact-finding exercises, with follow-up where the findings warrant it.

વ્યવસાય તરીકે તમારે શું તપાસવું જોઈએ?

Compare your statement with what your website and systems actually do; that is how the AP tests it.

• Check that every purpose has a stated legal basis under art. 6 GDPR, and that legitimate interests are named where you rely on them.
• Name recipients or meaningful categories, not “our partners”, and match them against your processing agreements.
• Give a retention period or a usable criterion for each category of data.
• Name the countries outside the EEA you transfer to and the safeguard used for each.
• Check that the statement matches your cookie banner and the tags that actually fire under art. 11.7a Telecommunicatiewet.
• Version-date the statement and update it before a new tool or purpose goes live.

What can we do for you with your privacy statement?

અમારી આઇટી વકીલો advise Dutch and foreign companies on the GDPR duty to inform.

• We review your current privacy statement against arts. 12, 13 and 14 GDPR and list the gaps.
• We draft a statement based on your register of processing activities (art. 30 GDPR).
• We check your cookie banner and cookie statement for consistency with the privacy statement.
• We assess whether you need an EU representative under art. 27 GDPR.
• We assist you when the AP sends questions or opens an investigation.

સારાંશ

• GDPR "ગોપનીયતા નીતિ" શબ્દોનો ઉપયોગ કરતું નથી, પરંતુ આર્ટ્સ. ૧૨, ૧૩ અને ૧૪ પ્રકાશનને માહિતી આપવાની ફરજ પૂરી કરવાનો એકમાત્ર વ્યવહારુ માર્ગ બનાવે છે.
• કલમ ૧૩ વ્યક્તિ પાસેથી એકત્રિત કરવામાં આવેલા ડેટાને લાગુ પડે છે; કલમ ૧૪ બીજે ક્યાંક મેળવેલા ડેટાને લાગુ પડે છે, તેના પોતાના સમય નિયમો અને અપવાદોના સાંકડા સમૂહ સાથે.
• નિવેદન સંક્ષિપ્ત, સમજી શકાય તેવું, સરળતાથી સુલભ અને સરળ ભાષામાં હોવું જોઈએ - પ્રાપ્તકર્તાઓ, રીટેન્શન અને ટ્રાન્સફર વિશે અસ્પષ્ટ શબ્દોનો ઉપયોગ અમલીકરણ માટે થાય છે.
• તમારા પ્રોસેસિંગ પ્રવૃત્તિઓના રજિસ્ટર (કલમ 30 GDPR) માંથી સ્ટેટમેન્ટ બનાવો, સ્પર્ધકની નીતિ કે જનરેટરમાંથી નહીં, અને જ્યારે પણ અંતર્ગત પ્રક્રિયા બદલાય ત્યારે તેને સુધારો.
• જો તમારી પાસે કોઈ EU સંસ્થા નથી પરંતુ તમે ડચ બજારને લક્ષ્ય બનાવી રહ્યા છો, તો તપાસો કે તમને કલમ 27 GDPR હેઠળ EU પ્રતિનિધિની જરૂર છે કે નહીં.

વારંવાર પૂછાતા પ્રશ્નો