APD Belgika: IAB, Finantza Sektorea eta NIS2
Belgikako datu-zaindariak EBn leku berezia du. Herrialdeak EBko eta NATOren egoitza nagusiak ditu. Luxenburgotik kanpo, inongo EBko estatuak baino banku eta finantza erakunde global gehiago ditu. Horri esker, Autorite de protection des donnees/Gegevensbeschermingsautoriteit (APD/GBA) arrakaste eta eragin handia du.
IAB Europe Epaia
2022ko otsailean, Belgikako arautzaileak IAB Europe-ren aurka eman zuen epaia. Kasua Gardentasun eta Adostasun Esparruari (TCF) buruzkoa zen. TCFak urtean 220.000 milioi euroko EBko iragarkien inguruko laguntza egiten du.
Zaindariak aurkitu zuena: TCF adostasun-katea datu pertsonalak dira. Erabiltzailearen ID pseudonimiarekin lotuta dago. IAB Europe kontrol bateratu gisa izendatu zen. Horri esker, argitaldariek eta iragarkien enpresek datu horiek nola erabiltzen dituzten erantzule bihurtu zen.
250.000 euroko isuna txikia zen. Benetako eragina askoz handiagoa izan zen. Agintariak TCFren berrdiseinua eskatu zuen. Adostasun-tresna bat erabiltzen zuen EBko argitaldar guztiek eragin hori nabaritu zuten. Iragarkien erosle guztiek ere bai.
Irakaspena: sektore osoko teknologiak GDPR hauts dezake. Ez da soilik enpresa bakarrak arriskuan daude. Kate osoa erantzule bihur daiteke. Kate horretako inork ezin du azterketari ihes egin.
Finantza Sektorea: NIS2 eta GDPR Batera
Belgika EBAko, EIOPAko eta SWIFTeko egoitza globalaren etxea da. Han dauden bankuek eta aseguruek GDPR 32. artikulua eta NIS2 21. artikulua bete behar dituzte. Bi lege horiek oinarri handia partekatzen dute.
NIS2 21. artikuluak arau hauek ezartzen ditu:
- Arrisku egiaztapenak giza, fisiko eta digital arloetan
- Inzidenteen txostenak 24 ordutan aurkeztuta
- Negozio-berreskuratze planak
- Hornidura-katearen segurtasun egiaztapenak
- Mugimenduan eta geldirik dauden datuen enkriptatzea
- Faktore anitzeko sarbide kontrolak
GDPR 32. artikuluak arau hauek ezartzen ditu:
- Datu pertsonalen maskaratzea eta enkriptatzea
- Inzidentearen ondoren sarbidea leheneratzeko gaitasuna
- Segurtasun kontrolen aldizkako probak
- Arrisku-oinarritutako babes teknikoak
Kontrol hauek bi legeetan agertzen dira: enkriptatzea, sarbide-kontrola, inzidenteen erantzuna eta hornidura-katearen egiaztapenak. GDPR 32. artikuluaren programa sendo batek NIS2 21. artikuluaren behar gehienak betetzen ditu. Bateraturiko kontrol multzo bakarra bidea eraginkorrena da. Ikusi gure GDPR betetze-gida bi legeen berrikuspena osoa egiteko.
2024ko Betearazpena: Gai Nagusiak
Belgikako arautzaileak 82 erabaki hartu zituen 2024an. Finantza-sektorearen kasuak %56 igo ziren 2023tik. Lau gai nabarmentzen dira.
Adostasunik gabeko profileatzea: Transakzio-datuak gastuen analisirako edo produktuen eskaintzarako erabiltzen dituzten bankuek GDPR arauak bete behar dituzte. Zaindariak baztertu zuen zerbitzu-hobekuntza arrazoi baliogarri gisa datu horietan oinarritutako profileatzea dagoenean.
AI kreditu-puntuazioa: GDPR 22. artikuluak automatizatutako kreditu-erabakiak arautzen ditu. Giza berrikuspena eta arrazoi argiak eskatzen ditu. Zenbait fintech enpresak babes horiek falta zituzten. Hori gune nagusia zen.
Erosketa osteko datu-bateraketa: Erosketa ostean erregistroak batu zituzten bankuek askotan helburu-arauak hautsi zituzten. Jatorrizko adostasunak ez zuen berrabilerak ezarritako erabilera berria estaltzen.
Transferentzia tresnarik gabeko azpikontratatzea: IT lana hirugarren herrialdetara tresna juridiko egokirik gabe bidali zuten enpresek neurriak hartu zituzten. Kasuak India, Maroko eta Filipinak estalita.
Belgikako banku-eragiketak dituzten enpresentzat: bateraturiko GDPR eta NIS2 kontrolak defentsa onena dira ikuskatze aurretik. Gure segurtasun eta betetze-ikuspegiak azaltzen du zero-knowledge diseinuak esposizioa nola murrizten duen bere oinarrian.