APD Belgia: IAB, rahoitusala ja NIS2
Belgian tietosuojaviranomainen on ainutlaatuisessa asemassa EU:ssa. Maassa sijaitsevat EU:n ja NATOn pääkonttorit. Sillä on enemmän globaaleja pankkeja ja rahoituselimiä kuin missään muussa EU-maassa Luxemburgia lukuun ottamatta. Tämä antaa Autorité de protection des données/Gegevensbeschermingsautoriteitille (APD/GBA) laajan ulottuvuuden ja vaikutusvallan.
IAB Europe -päätös
Helmikuussa 2022 belgialainen viranomainen teki päätöksen IAB Europe -tapauksessa. Tapaus koski Transparency and Consent Framework -kehystä (TCF). TCF ohjaa noin 220 miljardia euroa EU:n digitaalisessa mainonnassa vuosittain.
Viranomaisen johtopäätökset: TCF-suostumusmerkkijono on henkilötieto. Se on yhdistetty käyttäjän pseudonyymiin tunnukseen. IAB Europe nimettiin yhteiseksi rekisterinpitäjäksi. Tämä teki järjestöstä vastuullisen siitä, miten kustantajat ja mainostoimistot käyttävät näitä tietoja.
250 000 euron sakko oli pieni. Todellinen seuraus oli paljon suurempi. Viranomainen vaati TCF:n täydellistä uudelleensuunnittelua. Kaikki EU-kustantajat, jotka käyttävät suostumustyökalua, tunsivat tämän. Sama koski kaikkia mainosten ostajia.
Opetus: toimialakohtainen teknologia voi rikkoa GDPR:ää. Vain yksittäiset yritykset eivät ole vaarassa. Koko ketju voidaan pitää vastuullisena. Mikään ketjun osa ei ole vapaa tarkastelusta.
Rahoitusala: NIS2 ja GDPR rinnakkain
Belgiassa toimivat Euroopan pankkiviranomainen, EIOPA ja SWIFT:n globaali keskus. Pankkien ja vakuutusyhtiöiden on noudatettava sekä GDPR:n 32 artiklaa että NIS2:n 21 artiklaa. Nämä kaksi lakia jakavat paljon yhteistä aluetta.
NIS2:n 21 artikla asettaa nämä säännöt:
- Riskiarviot inhimillisillä, fyysisillä ja digitaalisilla alueilla
- Tapahtumaraportit toimitettuna 24 tunnin kuluessa
- Liiketoiminnan jatkuvuussuunnitelmat
- Toimitusketjun turvallisuustarkastukset
- Tietojen salaus siirron aikana ja levossa
- Monivaiheinen pääsynhallinta
GDPR:n 32 artikla asettaa nämä säännöt:
- Henkilötietojen peittäminen ja salaus
- Kyky palauttaa pääsy tapahtuman jälkeen
- Säännöllinen tietoturvatarkastusten testaus
- Riskiperusteinen tekninen turvallisuussuojaus
Nämä tarkastukset esiintyvät molemmissa laeissa: salaus, pääsynhallinta, tapahtumavalmius ja toimitusketjun valvonta. Vahvat GDPR:n 32 artiklan ohjelmat täyttävät useimmat NIS2:n 21 artiklan vaatimukset. Yksi yhtenäinen tarkastusjoukko on tehokkain ratkaisu. Täydellisen katsauksen molemmista laeista saa GDPR-vaatimustenmukaisuusoppaastamme.
Täytäntöönpano 2024: Keskeiset teemat
Belgialainen viranomainen antoi 82 päätöstä vuonna 2024. Rahoitusalan tapaukset kasvoivat 56 % vuodesta 2023. Neljä teemaa erottuu.
Profilointi ilman suostumusta: Pankit, jotka käyttävät tapahtumatietoja kulutusanalyysiin tai tuotetarjouksiin, on noudatettava GDPR-sääntöjä. Viranomainen hylkäsi "palvelun parantamisen" pätevänä perusteena, kun profilointi perustuu tällaisiin tietoihin.
Tekoälyperusteinen luottoluokitus: GDPR:n 22 artikla säätelee automaattisia luottopäätöksiä. Se vaatii ihmisen tarkastelun ja selkeät perustelut. Useilla fintech-yrityksillä puuttui nämä suojatoimet. Tämä oli keskeinen painopiste.
Tietojen yhdistäminen fuusioiden jälkeen: Pankit, jotka yhdistivät tietoja yritysostojen jälkeen, rikkoivat usein tarkoitussääntöjä. Alkuperäinen suostumus ei kattanut uutta yhdistettyä käyttöä.
Ulkoistaminen ilman siirtovälineitä: Yritykset, jotka lähettivät IT-työtä kolmansiin maihin ilman asianmukaisia oikeudellisia välineitä, joutuivat ongelmiin. Tapaukset kattoivat Intian, Marokon ja Filippiinit.
Belgialaisille pankkitoiminnoille: yhdenmukaiset GDPR- ja NIS2-tarkastukset ovat paras puolustus ennen auditointia. Tietoturva- ja vaatimustenmukaisuuskatsauksemme selittää, miten anonym.legal käsittelee tietoja.