APD Belgien: IAB, finans og NIS2
Belgiens datatilsyn indtager en unik position i EU. Landet huser EU's og NATO's hovedsæder. Det har flere globale banker og finansorganer end noget andet EU-land undtagen Luxembourg. Det giver Autorité de protection des données/Gegevensbeschermingsautoriteit (APD/GBA) bred rækkevidde og gennemslagskraft.
IAB Europe-afgørelsen
I februar 2022 afgjorde den belgiske myndighed sagen mod IAB Europe. Sagen handlede om Transparency and Consent Framework (TCF). TCF driver omkring 220 milliarder euro i EU's digitale reklamer om året.
Myndighedens konklusioner: TCF-samtykkestrengen er personoplysninger. Den er knyttet til en brugers pseudonyme ID. IAB Europe blev udpeget som fælles dataansvarlig. Det gjorde organisationen ansvarlig for, hvordan udgivere og reklamefirmaer bruger disse data.
Bøden på 250.000 euro var lille. Den reelle konsekvens var langt større. Myndigheden krævede en komplet redesign af TCF. Alle EU-udgivere, der bruger et samtykkeredskab, mærkede dette. Det samme gjaldt alle annoncekøbere.
Lærdommen: sektordækkende teknologi kan overtræde GDPR. Det er ikke kun enkeltfirmaer, der er i fare. Hele kæden kan holdes ansvarlig. Ingen del af kæden er fri for kontrol.
Finanssektoren: NIS2 og GDPR side om side
Belgien huser Den Europæiske Banktilsynsmyndighed, EIOPA og SWIFT's globale hub. Banker og forsikringsselskaber der skal overholde både GDPR artikel 32 og NIS2 artikel 21. Disse to love deler meget fælles terræn.
NIS2 artikel 21 fastsætter disse regler:
- Risikovurderinger på menneskelige, fysiske og digitale områder
- Hændelsesrapporter indgivet inden for 24 timer
- Planer for forretningskontinuitet
- Sikkerhedskontroller af forsyningskæder
- Kryptering af data under transport og i hvile
- Multifaktor adgangskontroller
GDPR artikel 32 fastsætter disse regler:
- Maskering og kryptering af personoplysninger
- Evne til at gendanne adgang efter en hændelse
- Regelmæssig afprøvning af sikkerhedskontroller
- Risikobaserede tekniske sikkerhedsforanstaltninger
Disse kontroller fremgår af begge love: kryptering, adgangskontrol, hændelsesberedskab og kontrol af forsyningskæder. Stærke GDPR artikel 32-programmer opfylder de fleste NIS2 artikel 21-krav. Ét sammenhængende sæt kontroller er den mest effektive løsning. Se vores GDPR-efterlevelsesguide for en fuld gennemgang af begge love.
Håndhævelse i 2024: Centrale temaer
Den belgiske myndighed udstedte 82 afgørelser i 2024. Sager i finanssektoren steg 56 % fra 2023. Fire temaer skiller sig ud.
Profilering uden samtykke: Banker, der bruger transaktionsdata til udgiftsanalyse eller produkttilbud, skal overholde GDPR-reglerne. Myndigheden afviste "serviceforbedring" som gyldig begrundelse, når profilering baseres på sådanne data.
AI-kreditvurdering: GDPR artikel 22 regulerer automatiserede kreditbeslutninger. Det kræver menneskelig gennemgang og klare begrundelser. Adskillige fintech-firmaer manglede disse sikkerhedsforanstaltninger. Dette var et centralt fokusområde.
Sammenlægning af data efter fusioner: Banker, der sammenlagde data efter opkøb, overtrådte ofte formålsreglerne. Det oprindelige samtykke dækkede ikke den nye kombinerede brug.
Outsourcing uden overførselsværktøjer: Firmaer, der sendte IT-arbejde til tredjelande uden korrekte juridiske instrumenter, blev ramt. Sager dækkede Indien, Marokko og Filippinerne.
For virksomheder med belgiske bankoperationer: sammenhængende GDPR- og NIS2-kontroller er det bedste forsvar inden en revision. Vores oversigt over sikkerhed og efterlevelse forklarer, hvordan zero-knowledge-design reducerer eksponeringen ved kilden.
Kilder
- APD/GBA: Belgisk databeskyttelsesmyndighed — VERIFICERET-EKSTERN
- APD: IAB Europe TCF-afgørelse, februar 2022 — VERIFICERET-EKSTERN
- EBA: NIS2-implementeringsvejledning — VERIFICERET-EKSTERN