Belgický Autorité de protection des données/Gegevensbeschermingsautoriteit (APD/GBA) zaujímá mezi dozorovými úřady EU pro ochranu dat výjimečné postavení. Belgie hostí sídla institucí EU, NATO a více mezinárodních finančních institucí než jakákoli jiná země EU s výjimkou Lucemburska. APD je proto zároveň de facto referenčním bodem pro shodu s GDPR ve finančním sektoru a dozorovým úřadem pro nejzávažnější rozhodnutí EU týkající se rámců pro souhlas.
Rozhodnutí ve věci IAB Europe: nejzávažnější rozhodnutí APD
Rozhodnutí APD z února 2022 proti rámci pro transparentnost a souhlas IAB Europe (TCF) zasáhlo mechanismus, který ročně podkládá odhadem 220 miliard eur v evropské digitální reklamě.
Co APD zjistil: TCF „řetězec souhlasu“ — signál nabídkového řízení v reálném čase kódující preference sledování uživatelů používaný každým velkým vydavatelem v EU — představuje osobní data, protože je propojen s pseudonymním identifikátorem uživatele. IAB Europe byl shledán společným správcem těchto dat, odpovědným za to, jak je stovky tisíc vydavatelů a uchazečů zpracovávají.
Pokuta 250 000 eur byla symbolická. Zásadním požadavkem bylo fundamentální přepracování TCF — zasahující každého vydavatele v EU využívajícího platformy pro správu souhlasu, každého programatického inzerenta a každého dodavatele reklamních technologií na evropském trhu.
Pro odborníky na shodu: rozhodnutí APD dokládá, že infrastruktura celého odvětví může porušovat GDPR, nejen jednotlivé organizace.
Belgický finanční sektor: dvojí shoda s NIS2 a GDPR
Belgie hostí Evropský orgán pro bankovnictví (EBA), EIOPA a globální ústředí SWIFT. Belgické finanční instituce musí splňovat jak článek 32 GDPR, tak článek 21 NIS2 (kybernetická bezpečnost pro základní služby). Oba rámce se do značné míry překrývají:
Požadavky článku 21 NIS2 pro základní finanční služby:
- Řízení rizik zahrnující lidská, fyzická a digitální rizika
- Zvládání incidentů s počátečním hlášením do 24 hodin
- Kontinuita provozu a obnova po havárii
- Hodnocení bezpečnosti dodavatelského řetězce
- Šifrování dat při přenosu i v klidovém stavu
- Vícefaktorové ověřování pro řízení přístupu
Požadavky článku 32 GDPR:
- Pseudonymizace a šifrování osobních dat
- Schopnost obnovit přístup k osobním datům po incidentech
- Testování a hodnocení bezpečnostních opatření
- Technická opatření odpovídající riziku
Překrytí je podstatné: šifrování, řízení přístupu, reakce na incidenty a bezpečnost dodavatelského řetězce se vyskytují v obou rámcích. Belgické finanční instituce, které komplexně implementují článek 32 GDPR, splňují většinu požadavků článku 21 NIS2 — integrovaná dokumentace shody je tak nejefektivnějším přístupem.
Vymáhání APD v roce 2024: zaměření na finanční sektor
APD vydal v roce 2024 celkem 82 rozhodnutí o vymáhání — což ve finančním sektoru představuje 56% nárůst oproti roku 2023. Hlavní témata vymáhání:
Behaviorální profilování bez adekvátního souhlasu: Belgické finanční instituce využívající transakční data zákazníků k profilování (analýza výdajů, modelování úvěruschopnosti, doporučování produktů) musí splňovat požadavky GDPR na oprávněný zájem nebo výslovný souhlas. APD shledal, že „zlepšování služeb“ není dostatečným oprávněným zájmem pro profilování na základě transakčních dat.
Automatizované kreditní hodnocení: Automatizovaná úvěrová rozhodnutí podle článku 22 GDPR vyžadují mechanismy pro lidský přezkum a vysvětlitelnost. APD zjistil, že více fintech společností používá modely AI pro kreditní hodnocení bez odpovídajících záruk podle článku 22.
Konsolidace marketingových databází: Banky a pojišťovny, které slučovaly zákaznické databáze z akvizic — kombinující data z různých původních rozsahů souhlasu — opakovaně porušovaly zásadu omezení účelu GDPR.
Selhání v řetězci zpracovatelů: Finanční instituce, které outsourcovaly IT do třetích zemí (Indie, Maroko, Filipíny) bez odpovídajících mechanismů přenosu a smluv DPA, čelily vymáhacím opatřením.
Pro organizace s belgickými operacemi ve finančním sektoru: integrovaná dokumentace shody s GDPR/NIS2 pokrývající šifrování, protokolování přístupu, reakci na incidenty a hodnocení zpracovatelů poskytuje před auditem APD nejobhajitelnější technické postavení.
Zdroje: