Integritetsadvokat

Vi hjälper företag och organisationer i Nederländerna att följa GDPR och agera snabbt när något går fel. Som integritetsjurist utarbetar vi integritetspolicyer och personuppgiftsavtal, ger råd om dataintrång och bistår i kontakten med den nederländska dataskyddsmyndigheten (Autoriteit Persoonsgegevens). Vi arbetar på engelska och nederländska; det första steget är ett kostnadsfritt introduktionsmöte där vi kartlägger era dataflöden och risker.

Kundernas betyg Law & More 9.6 av 10 på Klientförklaring, den holländska recensionsplattformen (81 recensioner, från och med oktober 2026).

Vad kan jag hjälpa dig med?

• du behöver en integritetspolicy för din webbplats, app eller dina anställda;
• en leverantör eller kund ber dig att underteckna ett databehandlingsavtal;
• du har ett dataintrång och måste inom 72 timmar besluta om huruvida du ska anmäla det;
• en kund eller anställd skickar in en begäran om åtkomst eller radering;
• du vill dela data med en partner eller överföra data utanför Europeiska ekonomiska samarbetsområdet;
• du planerar kameraövervakning, biometrisk åtkomstkontroll eller personalövervakning;
• Den nederländska dataskyddsmyndigheten har inlett en utredning eller utdömt böter.

Vad kräver GDPR av ditt företag?

GDPR kräver att du endast behandlar personuppgifter för ett specifikt ändamål och på en giltig rättslig grund, och att du kan bevisa efterlevnad. Den gäller alla organisationer i EU som behandlar personuppgifter, oavsett storlek.

Den allmänna dataskyddsförordningen (GDPR, på nederländska: AVG) har gällt sedan den 25 maj 2018. I Nederländerna kompletteras den av GDPR-implementeringslagen (UAVG). Artikel 6 listar sex rättsliga grunder, såsom samtycke, fullgörande av avtal och berättigat intresse. Artikel 5 lägger till principer som dataminimering och lagringsbegränsning.

I praktiken behöver de flesta företag åtminstone dessa dokument:

• en integritetspolicy som informerar personer om din behandling (artiklarna 13 och 14);
• en förteckning över behandlingsaktiviteter (artikel 30), vilket är obligatoriskt för de flesta organisationer med anställda;
• behandlingsavtal med leverantörer som hanterar personuppgifter för din räkning (artikel 28);
• en konsekvensbedömning avseende dataskydd (DPIA) för högriskbehandling (artikel 35);
• en intern procedur för dataintrång och förfrågningar från registrerade.

Ett dataskyddsombud är obligatoriskt för offentliga organ och för organisationer vars kärnverksamhet innefattar storskalig övervakning eller särskilda kategorier av uppgifter (artikel 37).

När behöver man ett databehandlingsavtal?

Du behöver ett databehandlingsavtal när en leverantör behandlar personuppgifter för din räkning. Exempel är en löneleverantör, molnvärd eller SaaS-plattform. Artikel 28 i GDPR anger vad avtalet minst måste innehålla.

Avtalet registrerar behandlingens föremål, varaktighet, art och syfte, datatyper och säkerhetsåtgärder. Det täcker även underbiträden, hjälp med förfrågningar från registrerade samt radering eller återlämnande av uppgifter i slutet. Många leverantörer erbjuder en standardversion. Kontrollera den, eftersom ansvar och revisionsrättigheter ofta är utformade till leverantörens fördel.

Inte alla leverantörer är personuppgiftsbiträden. En part som bestämmer sina egna syften, såsom en revisor eller en bank, är ofta en separat personuppgiftsansvarig. Vår artikel om personuppgiftsansvarigs och personuppgiftsbiträdes roller förklarar skillnaden.

Vad måste du göra efter ett dataintrång?

Du måste anmäla till den nederländska dataskyddsmyndigheten inom 72 timmar efter att du blivit medveten om ett personuppgiftsintrång, såvida inte intrånget sannolikt inte medför någon risk för enskilda personer. Om risken är hög måste du också informera de berörda personerna utan onödigt dröjsmål.

Dessa skyldigheter följer av artiklarna 33 och 34 i GDPR. Ett intrång är mer omfattande än ett dataintrång: ett e-postmeddelande till fel mottagare, en borttappad bärbar dator eller ransomware räknas alla. Anmäl via onlineformuläret från Autoriteit Persoonsgegevens . Om du ännu inte har alla fakta, anmäl i tid och komplettera senare.

Ett personuppgiftsbehandlare måste informera dig om ett intrång utan onödigt dröjsmål. Kom överens om en konkret tidsperiod i personuppgiftsbehandlaravtalet, till exempel 24 eller 48 timmar.

Hur hanterar ni den nederländska dataskyddsmyndigheten?

Autoriteit Persoonsgegevens övervakar efterlevnaden av GDPR i Nederländerna och kan utfärda förelägganden och administrativa böter. Böterna kan uppgå till 20 miljoner euro eller 4 procent av den globala årsomsättningen, beroende på vilket som är högst (artikel 83 i GDPR).

En utredning börjar vanligtvis med en skriftlig begäran om information. Svara korrekt och i tid, och håll den dokumentation du tillhandahåller konsekvent. Innan böter utdöms får du möjlighet att ge din synpunkt. Mot böter kan du lämna in en invändning till myndigheten och sedan överklaga till tingsrätten. Vår sida om förvaltningsrätt förklarar invändning och överklagande.

Även privatpersoner kan hålla dig ansvarig för skada orsakad av ett GDPR-brott (artikel 82). De kan också lämna in ett klagomål om dig till myndigheten.

Hur fungerar det att arbeta med Law & More arbete?

1. Introduktionsmöte: ni förklarar er organisation eller incident, och vi identifierar de brådskande punkterna.
2. Rådgivning och kostnadsberäkning: vi bedömer era dataflöden, dokument och risker och ger en kostnadsberäkning.
3. Tillvägagångssätt och förhandling: vi utarbetar eller granskar policyer och avtal, samt hanterar kontakt med leverantörer, registrerade eller myndighet.
4. Förfarande eller slutförande: vi avslutar med en compliance-akt eller bistår med invändningar och överklaganden av ett beslut.

Vad kostar en integritetsadvokat?

Vår timtaxa är 250 till 350 euro exklusive moms för en advokat och 300 till 400 euro exklusive moms för en partner. Vi diskuterar taxa och en offert i förväg. Det inledande mötet är kostnadsfritt. Ett engångsrådgivningsmöte utan ytterligare hjälp kostar 300 euro inklusive moms.

Externa kostnader, såsom domstolsavgifter, debiteras separat. Rättshjälp finns via Rättshjälpsnämnden (Raad voor Rechtsbijstand), men vi arbetar inte utifrån den grunden.

Vem hanterar ditt ärende?

Integritets- och GDPR-frågor hanteras av Tom Meevis . Du kan se hela teamet på vår teamsida . För IT-avtal och cybersäkerhet, se även vår sida om IT-jurister .

Vanliga frågor och svar

Inom vilken tidsfrist måste jag anmäla ett dataintrång?

Du måste anmäla ett personuppgiftsintrång till den nederländska dataskyddsmyndigheten inom 72 timmar efter att du blivit medveten om det, enligt artikel 33 i GDPR. Ingen anmälan behövs om det är osannolikt att intrånget kommer att resultera i en risk för enskilda individer. Varje intrång måste registreras internt, inklusive de som du inte anmäler.

Måste även ett litet företag följa GDPR?

Ja. GDPR gäller alla företag som behandlar personuppgifter, inklusive enskilda näringsidkare. Vissa skyldigheter är lindrigare för små organisationer, såsom register över behandlingsaktiviteter i begränsade fall. En integritetspolicy, behandlingsavtal och ett förfarande för intrång behövs oavsett storlek.

Hur snabbt måste jag svara på en åtkomstförfrågan?

Du måste svara utan onödigt dröjsmål och inom en månad efter mottagandet, enligt artikel 12 i GDPR. För komplexa eller många förfrågningar kan du förlänga detta med ytterligare två månader, förutsatt att du informerar personen inom den första månaden. Själva åtkomsten är i allmänhet kostnadsfri.

När bör jag kontakta en integritetsjurist?

Kontakta en integritetsjurist innan du påbörjar högriskbehandling, såsom personalövervakning eller biometri, och när du skriver under viktiga behandlingsavtal. Vid ett dataintrång, kontakta oss omedelbart, eftersom 72-timmarsperioden löper från det ögonblick du blir medveten om det. Tidig rådgivning är vanligtvis billigare än att reparera ett dataintrång senare.

Kan jag överföra personuppgifter till en leverantör utanför EU?

Endast med en giltig överföringsmekanism. Det kan vara ett beslut om adekvat skydd från Europeiska kommissionen, eller standardavtalsklausuler i kombination med en konsekvensbedömning för överföring. För certifierade amerikanska företag kan EU:s och USA:s ramverk för dataskydd fungera som grund. Kontrollera detta innan du skriver under, inte efteråt.

Kan anställda begära ersättning för ett GDPR-brott?

Ja. Enligt artikel 82 i GDPR kan alla som lider skada till följd av ett dataintrång kräva ersättning från den registeransvarige eller registerföraren. Detta inkluderar ideell skada, men personen måste visa faktisk skada. Nederländska domstolar har tilldömt individer mestadels blygsamma belopp. Stiftelser kan också väcka kollektiv talan för en stor grupp människor, vilket ökar den ekonomiska risken för organisationer.

Är du osäker på din position? Boka ett kostnadsfritt introduktionsmöte. På det mötet diskuterar vi om vi kan hjälpa till och vad det kostar. Kontakta oss , ring +31 40 369 06 80.

Law & More, Marconilaan 13, 5612 HM Eindhoven (+31 40 369 06 80) och besöksplats Pietersbergweg 291, 1105 BM Amsterdam (+31 20 369 71 21). Tillgänglig måndag till fredag ​​08:00-22:00, lördag och söndag 09:00-17:00.

Den här sidan ger allmän information och ersätter inte råd om din specifika situation.