APD Belgique : IAB, Finance & NIS2
Le chien de garde belge de la protection des données occupe une place unique dans l'UE. Le pays abrite les sièges de l'UE et de l'OTAN. Il compte plus de banques et d'organismes financiers mondiaux que tout autre État de l'UE, sauf le Luxembourg. Cela confère à l'Autorité de protection des données/Gegevensbeschermingsautoriteit (APD/GBA) un large pouvoir.
La Décision contre IAB Europe
En février 2022, le régulateur belge a statué contre IAB Europe. L'affaire portait sur le Transparency and Consent Framework (TCF). Le TCF régit environ 220 milliards d'euros de publicité numérique dans l'UE chaque année.
Ce que l'autorité a constaté : La chaîne de consentement TCF est une donnée personnelle. Elle est liée à l'identifiant pseudonymisé de l'utilisateur. IAB Europe a été désigné comme coresponsable du traitement. Cela l'a rendu responsable de la manière dont les éditeurs et les entreprises publicitaires utilisent ces données.
L'amende de 250 000 euros était modeste. L'impact réel a été bien plus grand. L'autorité a exigé une refonte complète du TCF. Chaque éditeur de l'UE utilisant un outil de consentement l'a ressenti. Les acheteurs publicitaires également.
La leçon : une infrastructure sectorielle peut violer le RGPD. Ce ne sont pas seulement les entreprises isolées qui sont exposées. Toute la chaîne peut être tenue responsable. Aucun maillon n'est à l'abri d'un contrôle.
Secteur Financier : NIS2 et RGPD Ensemble
La Belgique accueille l'Autorité bancaire européenne, l'EIOPA et le siège mondial de SWIFT. Les banques et les assureurs doivent respecter à la fois l'article 32 du RGPD et l'article 21 de NIS2. Ces deux lois partagent beaucoup de terrain commun.
L'article 21 de NIS2 exige :
- Des contrôles des risques dans les domaines humain, physique et numérique
- Des rapports d'incident déposés dans les 24 heures
- Des plans de continuité d'activité
- Des vérifications de sécurité de la chaîne d'approvisionnement
- Le chiffrement des données en transit et au repos
- Des contrôles d'accès multifacteurs
L'article 32 du RGPD exige :
- La pseudonymisation et le chiffrement des données personnelles
- La capacité de restaurer l'accès après un incident
- Des tests réguliers des contrôles de sécurité
- Des mesures techniques proportionnées au risque
Ces mesures figurent dans les deux lois : chiffrement, contrôle d'accès, réponse aux incidents et sécurité de la chaîne d'approvisionnement. Des programmes RGPD article 32 robustes couvrent la plupart des exigences NIS2 article 21. Un ensemble unique de contrôles est la voie la plus efficace. Consultez notre guide de conformité RGPD pour une vue d'ensemble des deux lois.
Application en 2024 : Thèmes Clés
Le régulateur belge a rendu 82 décisions en 2024. Les affaires du secteur financier ont augmenté de 56 % par rapport à 2023. Quatre thèmes se démarquent.
Profilage sans consentement : Les banques utilisant des données transactionnelles pour l'analyse des dépenses ou des offres de produits doivent respecter le RGPD. L'autorité a rejeté « l'amélioration du service » comme raison valable lorsque le profilage repose sur ces données.
Notation de crédit par IA : L'article 22 du RGPD régit les décisions de crédit automatisées. Il exige un examen humain et des explications claires. Plusieurs sociétés fintech manquaient de ces garanties. C'était un domaine clé.
Fusion de bases de données post-acquisition : Des banques ayant fusionné des dossiers après des rachats ont souvent violé les règles de limitation des finalités. Le consentement d'origine ne couvrait pas le nouvel usage combiné.
Externalisation sans outils de transfert : Les entreprises ayant confié des travaux informatiques à des pays tiers sans outils juridiques appropriés ont fait l'objet de mesures. Les cas couvrent l'Inde, le Maroc et les Philippines.
Pour les entreprises ayant des activités bancaires belges : des contrôles RGPD et NIS2 unifiés constituent la meilleure défense avant un audit. Notre vue d'ensemble sécurité et conformité explique comment l'architecture zéro-connaissance réduit l'exposition à la source.
Sources
- APD/GBA : Autorité belge de protection des données — VERIFIED-EXTERNAL
- APD : Décision TCF IAB Europe, février 2022 — VERIFIED-EXTERNAL
- EBA : Guide de mise en œuvre NIS2 — VERIFIED-EXTERNAL