Это ключевое положение в законе, реализация которого требует установления соответствующих обязанностей других субъектов закона, прежде всего оператора. Так как субъект данных доверяет управление своими данными на определенных условиях, закон возлагает обязанность на оператора по информированию об изменениях условий обработки данных. Поэтому информация о произошедшем или возможном инциденте должна быть сообщена субъекту данных в любом случае, и это требование стало одним из последних в регулировании рассматриваемой области.

В ст. 1 нидерландского закона вместо термина «оператор данных» употребляется термин «ответственное лицо» (как и во французском законе, например), означающий физическое лицо, юридическое лицо, административный орган или любую другую организацию, которые самостоятельно или совместно с другими определяют цели и средства обработки персональных данных.

Согласно ст. 1 закона Нидерландов «обработчик» – это лицо или орган, которые обрабатывают персональные данные для ответственного лица, не находясь в его прямом подчинении.

Следует отметить, что в Нидерландах, в отличие от России, функции по определению целей обработки персональных данных, т. е. по организации собственно такой деятельности, и по технической обработке разделены. Так, Закон о защите персональных данных разграничивает таких субъектов, как «ответственная сторона» и «обработчик». Первый означает «физическое лицо, юридическое лицо, административный орган или любое другое юридическое лицо, которые самостоятельно или совместно с другими определяют цели и средства обработки персональных данных», второй – «лицо или орган, которые обрабатывают персональные данные для ответственной стороны, не находясь в ее непосредственном подчинении» (ст. 1). В России же возможно, что оператор организует «и (или)» осуществляет обработку данных, «а также» определяет цель обработки (ст. 1 Федерального закона), что не вполне логично с точки зрения последовательности действий и конечной ответственности за обращение с данными. Технический обработчик несет ответственность перед оператором, а последний – перед субъектом данных.

Возможно, следовало бы обозначить оператора в российском законодательстве в первую очередь как лицо, определяющее цели обработки, и только затем как организатора обработки данных и (или) обработчика, если невозможно разделить функции оператора и обработчика.

Согласно ст. 4 закона его нормы распространяются на обработку персональных данных в рамках деятельности ответственного лица (государственного органа в том числе), учрежденного в Нидерландах, либо если обработка совершается средствами, расположенными в Нидерландах (за исключением трансграничной передачи данных). В российском законе это выражено не так явно и акцент сделан на регулируемых субъектах, а не на деятельности. Таким образом, не вполне ясно, как регулируется обработка данных российских граждан за рубежом или иностранных граждан в России.

Закон требует предварительно уведомлять Надзорный орган по защите персональных данных (Dutch Data Protection Authority – College bescherming persoonsgegevens [82] ) о факте частичной или полной автоматизированной обработки данных, не ожидая санкционирования таких действий. Поскольку Надзорный орган по защите данных несет ответственность прежде всего перед субъектом данных, это требование вполне логично. Отсутствие же уведомления о факте обработки создает презумпцию ненадлежащей обработки.

В ст. 1 закона «третье лицо» означает любое лицо, кроме субъекта данных, ответственного лица, обработчика или любого лица, находящегося в непосредственном подчинении ответственного лица или обработчика, которое имеет право на обработку персональных данных.

Конечную ответственность за действия третьего лица несут ответственное лицо и обработчик. Именно они отвечают перед субъектом персональных данных и надзорным органом в силу положений нидерландского закона об обязанностях указанных лиц (в частности, по обеспечению надлежащего обращения с данными).

В связи с утечками данных и нарушениями Закона о персональных данных в 2014 г. Надзорный орган Нидерландов оштрафовал на 15 млн евро компанию Google за использование персональных данных пользователей в целях создания персонализированной рекламы [83] .

Поскольку передача третьим лицам персональных данных требует согласия субъекта, а сохранность данных обеспечивают оператор и обработчик, именно они несут первостепенную ответственность за нарушение режима обращения с данными. В случае любого его нарушения Надзорный орган по защите данных может проводить расследования инцидентов как по просьбе затронутых лиц, так и по собственной инициативе.

26 мая 2015 г. был принят Закон о нарушении персональных данных, в соответствии с которым операторы данных (т. е. субъекты, определяющие цель и способы их обработки) должны уведомлять Надзорный орган по защите данных и затронутых лиц о произошедшем или потенциальном инциденте и его характере. Данный закон повышает штраф за нарушение Закона о нарушении персональных данных до 810 тыс. евро или до 10 % чистого годового оборота за прошедший год. Штрафу могут быть подвержены как оператор данных, так и обработчик [84] .