Hollandiyada məxfilik siyasəti: qanunun tələbləri və uyğun bir siyasətin necə yazılması

Demək olar ki, Hollandiya yönümlü veb saytı olan hər bir şirkət məxfilik siyasəti — məxfilik bəyannaməsi və ya məxfilik bəyannaməsi dərc edir. Daha az sayda şirkət Autoriteit Persoonsgegevens (Hollandiya məlumatların qorunması orqanı, AP) tərəfindən nəzərdən keçirildikdən sonra da davam edəcək bir sənəd dərc edir. Sənəd nümunə kimi qəbul edilir, rəqibdən kopyalanır və biznes dəyişərkən toxunulmaz qalır. Bu, artıq baha başa gələn bir vərdişə çevrilib: 2026-cı ilin mart ayında Avropa Məlumatların Mühafizəsi Şurası məhz bu öhdəliyə yönəlmiş bütün Avropada əlaqələndirilmiş icra tədbiri başlatdı.

Öhdəlik haradan gəlir

GDPR-in heç bir maddəsi "məxfilik siyasəti" adlanmır. Bu bəyanat sadəcə GDPR-in fərqli şəkildə müəyyən etdiyi bir öhdəliyin yerinə yetirilməsinin adi yoludur - fərdin məlumat almaq hüququ kimi. Şəffaflıq GDPR-in 5-ci maddəsindəki bir prinsipdir; GDPR-in 12, 13 və 14-cü maddələri onu insanlara deməli olduğunuz şeylərin konkret siyahısına və necə edəcəyinizə dair bir standarta çevirir.

13-cü maddə ilə 14-cü maddə arasındakı fərq əksər şirkətlərin düşündüyündən daha vacibdir.

• Maddə 13 GDPR şəxsi məlumatları topladığınız yerlərdə tətbiq olunur fərddən — əlaqə forması, ödəniş, bülletenə abunəlik. Məlumat verilməlidir vaxtında Məlumatlar forma təqdim edildikdən sonra deyil, əvvəl əldə edilir.
• Maddə 14 GDPR Məlumatların başqa yerdən - məlumat brokerindən, dövlət reyestrindən, araşdırılmış mənbədən, tərəfdaşdan, işəgötürəndən - gəldiyi hallarda tətbiq olunur. Fərdi ağlabatan müddət ərzində və ən geci bir ay ərzində, yaxud onlarla ilk əlaqə zamanı və ya məlumatlar ilk dəfə başqa bir alıcıya açıqlandıqda, hansı əvvəl gəlirsə, məlumatlandırmalısınız.

Maddə 14 kiçik bir istisna dəstini nəzərdə tutur — şəxs artıq məlumata malikdir, ona məlumat vermək mümkün deyil və ya qeyri-mütənasib səy tələb edir, məlumatların əldə edilməsi və ya açıqlanması qanunla açıq şəkildə müəyyən edilir və ya məlumatlar peşəkar sirr kimi tanınır. Bunlar məhduddur. “Narahatedici” qeyri-mütənasib səy deyil və əlaqə məlumatlarını alan və ya əldə edən və heç kimə heç vaxt deməyən şirkət mövcud olmayan bir istisnaya güvənir.

Maddə 12 GDPR aşağıdakı qaydalara riayət etməyi tənzimləyir : qısa, şəffaf, anlaşılan, asanlıqla əldə edilə bilən, aydın və sadə dildə.

Məcburi məzmun, maddə-məddə

Bu, menyu deyil. Bu elementlərdən birinin olmaması qanuna görə natamam ifadədir.

Üçü daha yaxından baxılmağa layiqdir, çünki AP-nin diqqəti məhz bura yönəlib.

Alıcılar və "tərəfdaşlar" problemi

Maddə 13 və Maddə 14 GDPR alıcılara və ya alıcı kateqoriyalarına icazə verir . Bu, əsl seçimdir, lakin kateqoriya müəyyən məna kəsb etməlidir. “Tərəfdaşlarımız” bir kateqoriya deyil; cavab verməkdən imtina etməkdir. “Ödəniş xidməti təminatçımız, Almaniyadakı hosting provayderimiz, ABŞ-dakı e-poçt marketinq platformamız və kuki bəyanatımızda adı çəkilən reklam şəbəkələri” budur. Əgər alıcını qeyri-müəyyənlik olmadan təsvir edə bilmirsinizsə, yəqin ki, məlumatların kimdə olduğunu bilmirsiniz - bu daha böyük bir problemdir.

Müəyyən bir müddətin mümkün olmadığı hallarda saxlama

GDPR qəbul edir ki, həmişə bir neçə gün verilə bilməz, buna görə də 13-cü maddə müddəti müəyyən etmək üçün istifadə edilən meyarlara icazə verir . Onun icazə vermədiyi şey cavabsızlıqdır. AP 11 dekabr 2023-cü il tarixli Uber Technologies Inc. və Uber BV şirkətlərinin 10,000,000 avro cərimələnməsi qərarında məhz bunu müəyyən etdi: bəyanatda məlumatların lazım olduğu qədər saxlanılacağı bildirilirdi ki, bu da çox ümumi hesab edildi. İşlək meyar "müqavilənin müddəti və son əməliyyatdan yeddi il sonra, Hollandiyanın vergi qanunvericiliyinə uyğun olaraq" kimi yazılır.

Beynəlxalq transferlər

Məlumatların "Avropa İqtisadi Bölgəsindən kənara ötürülə biləcəyi" demək oxucuya heç nə demir. AP-nin eyni Uber qərarında mövqeyi təyinat ölkələrinin adlandırılması və nüsxənin necə əldə ediləcəyi ilə bağlı təhlükəsizlik tədbirlərinin - adekvatlıq qərarının, standart müqavilə bəndlərinin, məcburi korporativ qaydaların müəyyən edilməsi idi. ABŞ analitikasından, CRM-dən və ya bulud hostinqindən istifadə edən şirkətlər köçürmələr edir; yeganə sual bəyanatın bunu qəbul edib-etməməsidir.

Forma tələbləri

Maddə 12 GDPR, ifadəsi asan və tez-tez uğursuz olan bir standart müəyyən edir:

• Qısa və şəffaf — şərtlərdən və qaydalardan səmərəli və aydın şəkildə ayrılmış şəkildə təqdim edilmişdir. Ümumi terminlərlə ifadə etmək uyğun deyil.
• Ağıllı — nəzərdə tutulan auditoriyanın orta səviyyəli üzvü tərəfindən başa düşülən. Amerikalı vəkillər üçün yazılmış bir ifadə, eləcə də hollanddilli saytda yalnız ingilis dilində olan bir ifadə holland istehlakçıları üçün başa düşülən deyil.
• Asanlıqla əldə edilə bilər — oxucu axtarış aparmaq məcburiyyətində qalmamalıdır. Avropa rəhbərliyi bunu dərhal aydın görünməli olduğunu düşünür: hər səhifədən birbaşa keçid, toplanma nöqtəsində kontekstual keçid və tətbiqdə maksimum bir neçə toxunuş məsafəsi.
• Aydın və sadə dil — mücərrəd deyil, konkret və qəti. Avropa rəhbərliyi “ola bilər”, “ola bilər” və “mümkün” kimi hedcinq sözlərini vurğulayır və “şəxsi məlumatlarınızdan yeni xidmətlər hazırlamaq üçün istifadə edə bilərik” və ya “tədqiqat məqsədləri üçün” ifadələrini nəyin yazılmamalı olduğuna dair nümunələr kimi qəbul edir.

Xidmət uşaqlara ünvanlandıqda və ya uşaqların ondan çox istifadə etdiyini bildiyiniz hallarda, 12-ci maddə uşağın onu başa düşməsi üçün lüğətin, tonun və üslubun uyğunlaşdırılmasını tələb edir. Niderlandda bu, erkən mərhələdə baş verir: Uitvoeringswet AVG-nin 5-ci maddəsinə əsasən, uşağa birbaşa təklif olunan informasiya cəmiyyəti xidmətləri üçün valideyn razılığının tələb olunduğu yaş on altıdır, bu da GDPR-in icazə verdiyi ən yüksək yaşdır. On dörd yaşlıların istifadə etdiyi xidmətlə bağlı böyüklər üçün yazılmış bəyanat etibarsız sayılır və uşağın məlumat almaq hüququ valideynə məlumat verməklə ləğv edilmir.

Laylı yanaşma, düzgün şəkildə həyata keçirilir

Tamlıq və oxunaqlılıq arasındakı gərginliyə qatlanma tövsiyə olunan cavabdır və həm AP, həm də Avropa rəhbərliyi bunu dəstəkləyir. Düzgün şəkildə yerinə yetirildikdə, birinci təbəqə nəzarətçinin kimliyini, məqsədlərini, ən böyük təsir və ya təəccübləndirmə qabiliyyətinə malik emalı və hüquqlardan necə istifadə etməyi özündə cəmləşdirir — tam mətn bir kliklə tək bir sənəd kimi əldə edilir.

Düzgün edilmədikdə, bu, əşyaları gizlətməyin bir yoluna çevrilir. Təbəqələr bir-biri ilə ziddiyyət təşkil etməməli, tam məlumat bir yerdə mövcud olmalıdır və utandırıcı olduğu üçün heç bir şey azaldıla bilməz. Əgər emal əməliyyatı oxucunu təəccübləndirəcəksə, bu, dördüncü deyil, birinci təbəqə üçün arqumentdir.

Məxfilik bəyannamələrinin uğursuz olduğu yer

Təkrarlanan uğursuzluqlar azdır və proqnozlaşdırıla bilər.

• Qeyri-müəyyən məqsədlər və açıqlanmayan paylaşım. “Xidmətlərimizi təkmilləşdirmək üçün” heç nəyi ifadə etmir və “məlumatlarınızı seçilmiş tərəfdaşlarla paylaşa bilərik” ən çox yayılmış qüsurdur — adətən reklam texnologiyasını gizlədir. Test oxucunun məlumatlarına nə baş verdiyini deyə bilib-bilməməsi və etiraz edib-etməməsi ilə bağlı qərar verməsidir.
• Saytla ziddiyyət təşkil edən bir açıqlama. Bu, sənədləşmə problemini icra probleminə çevirir. Bəyanatda deyilir ki, etiket meneceri səhifə yüklənməsini işə salarkən icazə olmadan heç bir izləmə kukisi yerləşdirilmir; dəstək masası ABŞ platformasında işləyərkən məlumatların AB-də qaldığı bildirilir. Tənzimləyicinin bunu tapmaq üçün bəyanatı diqqətlə oxumasına ehtiyac yoxdur. Şəbəkə sekmesini açması lazımdır.
• Kopyalanan ifadə. Rəqibdən götürülmüş siyasət rəqibin emalını təsvir edir: istifadə etmədiyiniz alıcıların adlarını çəkir, istifadə etdiyiniz alıcıları buraxır və müşahidə etmədiyiniz saxlama müddətlərini göstərir. Bu, biznesiniz haqqında bir sıra yalan ifadələrdir.

Məxfilik bəyannaməsi kuki bildirişi deyil

Bunlar iki sənəd üzrə iki öhdəlikdir və onları birləşdirmək heç birinə riayət etməyin etibarlı bir yoludur.

Kukilər və oxşar üsullar Niderlandda eMəxfilik Direktivini tətbiq edən Telecommunicationiewet-in 11.7a maddəsi ilə tənzimlənir. İstifadəçinin terminal avadanlığında məlumat saxlayan və ya orada saxlanılan məlumata daxil olan hər kəs aydın və tam məlumat verməli və razılıq almalıdır, rabitəni ötürmək və ya tələb olunan xidməti göstərmək üçün ciddi şəkildə zəruri olanlar üçün məhdud istisnalar mövcuddur. Bu, şəxsi məlumatların olub-olmamasından asılı olmayaraq, cihazda oxuma və ya yazma hərəkətini tənzimləyir . GDPR, sonradan yaranan hər hansı şəxsi məlumatlarla nə edəcəyinizi tənzimləyir.

Beləliklə: banner razılığın verildiyi və ya rədd edildiyi yerdir; kuki bəyannaməsində kukilər, onların məqsədləri və müddətləri sadalanır; məxfilik bəyannaməsi şəxsi məlumatların emalını izah edir. Məxfilik bəyannaməsi razılıq ala bilməz və banner də 13 və 14-cü maddələri ləğv edə bilməz. Onlara çarpaz istinad edin və onları ardıcıl saxlayın.

AP burada aktiv olub. 30 aprel 2025-ci ildə Hollandiya kuki bannerlərinin struktur monitorinqini elan etdi və ilk əlli təşkilata ildə bir neçə yüz nəfərlik proqramı təsvir edən məktub yazdı. 11 noyabr 2025-ci ildə 200-dən çox veb saytın xəbərdarlıq edildiyini, təxminən dörddə üçünün düzəliş etdiyini və qalanları ilə bağlı araşdırmalara başladığını bildirdi. Əvvəlcədən işarələnmiş qutular, imtina etmək üçün əlavə kliklər və gizli seçimlər adlandırdığı nümunələrdir.

Bəyanatı rəqibdən deyil, reyestrdən yaradın

Maddə 30 GDPR əksər təşkilatlardan emal fəaliyyətlərinin reyestrini - verwerkingsregister-i saxlamağı tələb edir . Hər bir fəaliyyət üçün məqsədlər, məlumat subyektinin və şəxsi məlumatların kateqoriyaları, üçüncü ölkələrdəkilər də daxil olmaqla alıcılar, köçürmə təminatları və saxlama müddətləri qeyd olunur. Alıcı emalçı olduqda, eyni faktlar həmin tərəflə məlumatların emalı müqaviləsində artıq göstərilməlidir ki, bu da reyestr və bəyanatın uyğunlaşdırılmasını daha asanlaşdırır.

Bunu yuxarıdakı cədvəllə müqayisə edin: üst-üstə düşmə demək olar ki, tamdır. Reyestr faktiki inventarizasiyadır; məxfilik bəyannaməsi isə onun ictimai təqdimatıdır. Bu qaydada qurulmuş bəyanat quruluşca dəqiqdir və dəqiq qalır, çünki reyestrin yenilənməsi mənbəni yeniləyir. Əksinə yazıldıqda, ikisi bir-birindən uzaqlaşır və reyestri soruşan və veb saytı oxuyan tənzimləyici boşluğu görür.

Aktuallığını qorumaq

Məxfilik bəyannaməsi işlək bir sistemi təsvir edir, ona görə də sistem dəyişdikcə köhnəlir: yeni analitik alət, yeni CRM, xaricdə yeni prosessor, artıq saxlanılan məlumatlar üçün yeni məqsəd.

İki qayda tətbiq olunur. Emalda dəyişiklik bəyanatda dəyişiklikdir və dəyişiklik qüvvəyə minməzdən əvvəl yenidən işlənməlidir. Və əhəmiyyətli bir dəyişiklik fəal şəkildə çatdırılmalıdır: Avropa rəhbərliyi qəti şəkildə bildirir ki, fərdlərin yenidən işlənmiş siyasəti özləri də görməsinin təkcə qeyri-kafi deyil, həm də ədalətsizdir. Əsaslı dəyişikliklər - yeni məqsəd, nəzarətçinin dəyişməsi, hüquqların həyata keçirilməsində dəyişiklik - insanların diqqətinə elektron poçt və ya yerində bildiriş vasitəsilə çatdırılmalıdır ki, onlar razılığını geri götürə və ya etiraz edə bilsinlər. Yazı səhvinin elana ehtiyacı yoxdur. Yeni məqsəd lazımdır.

Bəyanatın versiya tarixini qeyd edin və əvvəlki versiyaları saxlayın. 2024-cü ildə müştəriyə dediklərini göstərmək lazımdırsa, tarixsiz canlı səhifə bunu etməyəcək.

AB xaricində qurulan şirkətlər

AB-də heç bir müəssisəsi olmayan bir şirkət, AB-dəki insanlara mal və ya xidmət təklif edirsə və ya oradakı davranışlarını izləyirsə, GDPR-in 3-cü maddəsi ilə cəzalandırılır. Veb saytın sadəcə əlçatanlığı kifayət deyil; vacib olan hədəfləmə sübutudur — holland dilində versiya, avro qiymətləri, Hollandiyaya çatdırılma, .nl domeni, holland reklamı. AB ziyarətçilərinin davranış monitorinqi müstəqil bir tetikleyicidir.

Əgər 3-cü maddə tətbiq olunarsa, GDPR-in 27-ci maddəsi ümumiyyətlə, müvafiq məlumat subyektlərinin olduğu üzv dövlətdə təsis edilmiş, şəxsiyyəti və əlaqə məlumatları məxfilik bəyannaməsində olan Birlikdəki nümayəndəni tələb edir. İstisna məhduddur: təsadüfi emal, genişmiqyaslı xüsusi kateqoriyalı məlumatları əhatə etmir və riskə səbəb olması ehtimalı azdır. Hollandiya bazarına davamlı olaraq satış edən bir onlayn mağaza təsadüfi deyil.

AP bunu təcrid olunmuş şəkildə tətbiq edərək, Aİ nümayəndəsini təyin etmədiyinə görə Locatefamily.com saytını 525,000 avro cərimələyib. Qərar 10 dekabr 2020-ci il tarixində qəbul edilib və AP tərəfindən 12 may 2021-ci ildə dərc edilib; cərimə ilə yanaşı, nümayəndənin təyin edilməsini tələb edən cərimə ödənişi ilə bağlı qərar da qəbul edilib. Pozuntu 27-ci maddənin GDPR-in 3-cü maddəsi ilə birlikdə oxunması ilə bağlı idi. Saytın Aİ-də heç bir müəssisəsi yox idi və onun müəssisə yeri heç vaxt dəqiq müəyyən edilməmişdi ki, bu da cərimənin tətbiqinə mane olmurdu — məsafənin toxunulmazlığa bərabər olduğunu düşünən hər hansı bir Aİ üzvü olmayan operator üçün bir siqnal.

Mühafizə

Uitvoeringswet AVG-nin 6-cı maddəsinə əsasən, Autoriteit Persoonsgegevens Hollandiyanın nəzarət orqanıdır. Onun səlahiyyətləri GDPR-in 58-ci maddəsindən — xəbərdarlıqlar, töhmətlər, əmrlər, emal məhdudiyyətləri — və GDPR-in 83-cü maddəsindən irəli gəlir. 12, 13 və 14-cü maddələrinin pozulması inzibati cərimə üçün daha yüksək səviyyəyə qoyulur : 20 milyon avroya qədər və ya dünya miqyasında ümumi illik dövriyyənin 4%-i, hansı daha yüksəkdirsə.

AP məlumat öhdəliyini qeyd deyil, ayrıca pozuntu kimi qəbul edir. Uber-ə 11 dekabr 2023-cü il tarixində tətbiq edilən 10,000,000 avroluq cərimə GDPR-in 12 və 13-cü maddələrinə — məlumatların saxlanması çox ümumi, ötürmə yerlərinin adı çəkilməmiş, məlumatların daşınması hüququ belə qeyd edilməmişdir — şamil edilir. AP 8 may 2026-cı ildə Uber-in bu cəriməyə etirazını əsassız elan etdi və Uber məsələni məhkəməyə verdi, buna görə də qərar hələlik qüvvədədir, lakin yekun qərar verilməyib. Bu, məxfilik bəyannaməsində deyilməyən cərimədir. Ayrı olaraq, 22 iyul 2024-cü ildə AP Uber-i 26 avqust 2024-cü ildə elan edilmiş etibarlı ötürmə vasitəsi olmadan sürücülərin məlumatlarını ABŞ-a ötürdüyünə görə 290,000,000 avro cərimələdi.

Yaxın müddətli risk adi haldan daha yüksəkdir. 14 oktyabr 2025-ci ildə Avropa Məlumatların Mühafizəsi Şurası beşinci əlaqələndirilmiş icra tədbirinin mövzusu olaraq şəffaflıq və informasiya öhdəliklərini seçdi və 19 mart 2026-cı ildə iyirmi beş məlumatın mühafizəsi orqanının iştirakı ilə, GDPR-in 12, 13 və 14-cü maddələrinə yönəlmiş şəkildə başladı. Bu orqanlar sektorlar üzrə nəzarətçilərə ya icra tədbirləri vasitəsilə, ya da faktların araşdırılması üzrə çalışmalar vasitəsilə, tapıntıların tələb etdiyi yerlərdə isə izləmə ilə yanaşırlar; nəticələr 2026-cı ilin ikinci yarısında paylaşılır və ümumiləşdirilir və Şura tərəfindən qəbul edilməsi üçün hesabatda birləşdirilir. İştirak könüllüdür və Şura hansı orqanların qoşulduğunu dərc etməyib, buna görə də Autoriteit Persoonsgegevens haqqında heç bir fərziyyə irəli sürülməməlidir. Məsələ hər halda qüvvədədir: şəffaflıq bu dövrün Avropa icra mövzusudur və hazırlandığı vaxtdan bəri biznesə qarşı oxunmayan bir bəyanat, suala cavab verməyən sənəd növüdür.

Law & More GDPR-in 12-14-cü maddələrində göstərilən informasiya öhdəlikləri ilə bağlı Hollandiya və xarici şirkətlərə məsləhət verir: emal fəaliyyətləri reyestrinə qarşı mövcud məxfilik tələbnaməsinin nəzərdən keçirilməsi, sıfırdan hazırlanması və Autoriteit Persoonsgegevens-in suallarına və ya araşdırmalarına cavab verilməsi. Əgər bəyanatınızın başqası tərəfindən yoxlanılmadan əvvəl yoxlanılmasını istəyirsinizsə, xahiş edirik bizimlə əlaqə saxlayın.