APD Belgia: IAB, finantssektori GDPR ja NIS2
Belgia andmekaitseasutusel on EL-is ainulaadne positsioon. Riigis asuvad EL-i ja NATO peakorterid. Seal on rohkem ülemaailmseid panku ja finantsasutusi kui üheski teises EL-i riigis peale Luksemburgi. See annab Autorité de protection des données/Gegevensbeschermingsautoriteitile (APD/GBA) laia haarde ja mõjuvõimu.
IAB Europe'i otsus
- aasta veebruaris tegi Belgia regulaator otsuse IAB Europe'i vastu. Juhtum puudutas läbipaistvuse ja nõusoleku raamistikku (TCF). TCF juhib aastas umbes 220 miljardit eurot EL-i digitaalreklaame.
Mida amet leidis: TCF-i nõusolekustring on isikuandmed. See seob kasutaja pseudonüümse ID-ga. IAB Europe nimetati kaasühise vastutava töötlejana. See tegi ta vastutavaks selle eest, kuidas kirjastajad ja reklaamifirmad neid andmeid kasutavad.
250 000 euro suurune trahv oli väike. Tegelik mõju oli palju suurem. Amet nõudis TCF-i täielikku ümberkujundamist. Iga EL-i kirjastaja, kes kasutab nõusolekutööriista, tundis seda. Samuti iga reklaamiostja.
Õppetund: terve sektori tehnoloogia võib rikkuda GDPR-i. Ohus ei ole ainult üksikud ettevõtted. Kogu ahelat saab vastutusele võtta. Ükski lüli selles ahelas pole kontrollist vaba.
Finantssektori NIS2 ja GDPR koos
Belgias asuvad EL-i Pangandusasutus, EIOPA ja SWIFT-i ülemaailmne keskus. Seal asuvad pangad ja kindlustusandjad peavad täitma nii GDPR artiklit 32 kui ka NIS2 artiklit 21. Need kaks seadust jagavad palju ühist.
NIS2 artikkel 21 sätestab järgmised reeglid:
- Riskikontrollid inim-, füüsilises ja digitaalses valdkonnas
- Intsidentide aruandlus 24 tunni jooksul
- Äri taastamise plaanid
- Tarneahela turvakontrollid
- Krüpteerimine liikuvate ja puhkavate andmete jaoks
- Mitmefaktoriline juurdepääsukontroll
GDPR artikkel 32 sätestab järgmised reeglid:
- Isiklike andmete maskeerimine ja krüpteerimine
- Võime taastada juurdepääs pärast intsidenti
- Turvakontrollide regulaarne testimine
- Riskipõhised tehnilised kaitsemeetmed
Need kontrollid esinevad mõlemas seaduses: krüpteerimine, juurdepääsukontroll, intsidentidele reageerimine ja tarneahela kontrollid. Tugevad GDPR artikli 32 programmid täidavad enamiku NIS2 artikli 21 nõudeid. Üks koordineeritud kontrollide kogum on kõige tõhusam tee. Vaadake meie GDPR vastavusjuhendit mõlema seaduse täieliku ülevaate saamiseks.
Jõustamine 2024. aastal: peamised teemad
Belgia regulaator tegi 2024. aastal 82 otsust. Finantsektori juhtumid kasvasid 2023. aastaga võrreldes 56%. Neli teemat paistavad silma.
Profiilide koostamine ilma nõusolekuta: Pangad, kes kasutavad tehinguandmeid kulutuste analüüsimiseks või toodete pakkumiseks, peavad täitma GDPR-i reegleid. Amet lükkas tagasi "teenuse parandamise" kui kehtiva põhjuse, kui profiilide koostamine tugineb sellistele andmetele.
AI krediidiskoorimise süsteemid: GDPR artikkel 22 reguleerib automaatseid krediidiotsuseid. See nõuab inimese ülevaatust ja selgeid põhjendusi. Mitmetel finantstehnoloogia ettevõtetel puudusid need kaitsemeetmed. See oli põhifookus.
Andmete ühendamine pärast ülevõtmisi: Pangad, kes ühendasid andmed pärast ettevõtete ostmist, rikkusid sageli eesmärgi reegleid. Algne nõusolek ei hõlmanud uut kombineeritud kasutust.
Allhanke andmed ilma edastamisvahenditeta: Ettevõtted, kes saatsid IT-töid kolmandatesse riikidesse ilma nõuetekohaste õiguslike vahenditeta, seisid silmitsi meetmetega. Juhtumid hõlmasid Indiat, Marokot ja Filipiine.
Belgia pangandusoperatsioonidega ettevõtetele: koordineeritud GDPR- ja NIS2-kontrollid on parim kaitse enne auditit. Meie turvalisuse ja vastavuse ülevaade kirjeldab, kuidas nullteadmistega disain vähendab riske nende allikas.