APD بلجيكا: IAB والقطاع المالي وNIS2
تحتل جهة مراقبة البيانات البلجيكية مكانة فريدة في الاتحاد الأوروبي؛ إذ تحتضن البلاد مقرَّي الاتحاد الأوروبي وحلف الناتو، ويوجد فيها عدد من المصارف والهيئات المالية العالمية أكثر من أي دولة عضو في الاتحاد الأوروبي باستثناء لوكسمبورغ، مما يمنح Autorité de protection des données/Gegevensbeschermingsautoriteit (APD/GBA) نفوذًا ونطاق تأثير واسعَين.
حكم IAB Europe
في فبراير 2022، أصدرت الجهة التنظيمية البلجيكية حكمًا ضد IAB Europe يتعلق بإطار الشفافية والموافقة (TCF)، الذي يُحرّك نحو 220 مليار يورو من حجم الإعلانات الرقمية في الاتحاد الأوروبي سنويًا.
ما خلصت إليه الجهة التنظيمية: سلسلة موافقة TCF هي بيانات شخصية، إذ ترتبط بمعرّف المستخدم المُزيف الهوية، وسُمّيت IAB Europe متحكمةً مشتركة في البيانات، مما جعلها مسؤولة عن طريقة استخدام الناشرين وشركات الإعلانات لتلك البيانات.
كانت الغرامة البالغة 250,000 يورو محدودة، أما الأثر الحقيقي فكان أوسع بكثير؛ إذ استلزمت الهيئة إعادة تصميم TCF بالكامل، فشعر بذلك كل ناشر أوروبي يستخدم أداة موافقة، وكذلك كل مشترٍ للإعلانات.
الدرس المستفاد: التقنية المتعلقة بقطاع بأكمله قد تُخالف اللائحة GDPR؛ فالأمر لا يقتصر على الشركات المنفردة، بل يمكن مساءلة السلسلة بأكملها.
القطاع المالي: NIS2 وGDPR معًا
تحتضن بلجيكا هيئة البنوك الأوروبية وهيئة EIOPA ومركز SWIFT العالمي. يتعيّن على المصارف وشركات التأمين استيفاء متطلبات المادة 32 من اللائحة GDPR والمادة 21 من توجيه NIS2 معًا. يتقاطع هذان القانونان في نقاط كثيرة.
تُحدد المادة 21 من NIS2 هذه المتطلبات:
- إجراء فحوصات المخاطر في المجالات البشرية والمادية والرقمية
- تقديم تقارير الحوادث خلال 24 ساعة
- وضع خطط استمرارية الأعمال
- إجراء فحوصات أمن سلسلة التوريد
- تشفير البيانات المتحركة والساكنة
- ضوابط الوصول متعددة العوامل
تُحدد المادة 32 من اللائحة GDPR هذه المتطلبات:
- إخفاء هوية البيانات الشخصية وتشفيرها
- القدرة على استعادة الوصول عقب الحوادث
- الاختبار الدوري للضوابط الأمنية
- الضمانات التقنية القائمة على تقييم المخاطر
تظهر هذه الضوابط في كلا القانونين: التشفير والتحكم في الوصول والاستجابة للحوادث وفحوصات سلسلة التوريد. تُعدّ منظومة الضوابط الموحّدة المسار الأكفأ؛ فبرامج المادة 32 القوية تستوفي معظم متطلبات المادة 21 من NIS2. راجع دليل الامتثال للائحة GDPR للاطلاع على مراجعة شاملة لكلا القانونين.
تنفيذ 2024: المحاور الرئيسية
أصدرت الجهة التنظيمية البلجيكية 82 قرارًا في 2024، وارتفعت قضايا القطاع المالي بنسبة 56% مقارنة بعام 2023. أربعة محاور تبرز بوضوح.
التنميط دون موافقة: المصارف التي تستخدم بيانات المعاملات لتحليل الإنفاق أو عروض المنتجات يجب أن تستوفي قواعد اللائحة GDPR. رفضت الجهة التنظيمية «تحسين الخدمة» سببًا مقبولًا حين يعتمد التنميط على هذه البيانات.
التقييم الائتماني بالذكاء الاصطناعي: تُنظّم المادة 22 من اللائحة GDPR القرارات الائتمانية الآلية، وتستلزم المراجعة البشرية وتقديم أسباب واضحة. افتقرت عدة شركات تكنولوجيا مالية إلى هذه الضمانات، وكان ذلك محور تركيز رئيسيًا.
دمج البيانات بعد الاندماج: كثيرًا ما انتهكت المصارف التي دمجت سجلات بعد عمليات الاستحواذ قواعد الغرض من الاستخدام؛ إذ لم تشمل الموافقة الأصلية الاستخدام الجديد المدمج.
الاستعانة بمصادر خارجية دون أدوات نقل: واجهت الشركات التي أرسلت أعمال تقنية المعلومات إلى دول ثالثة دون أدوات قانونية مناسبة إجراءات تنفيذية، وشملت القضايا الهند والمغرب والفلبين.
للشركات ذات العمليات المصرفية في بلجيكا: الضوابط الموحّدة لـ GDPR وNIS2 هي أفضل درع قبل أي تدقيق. يوضح نظرة عامة على الأمن والامتثال كيف يُقلّص التصميم المعتمد على عدم المعرفة التعرض للمخاطر من جذوره.