APD Belgija: IAB, financijski sektor i NIS2
Belgijski nadzornik za zastitu podataka zauzima jedinstveno mjesto u EU-u. Zemlja je domacinstvo glavnih ureda EU-a i NATO-a. Ima vise globalnih banaka i financijskih tijela nego ikoja EU drzava osim Luksemburga. To daje Autorite de protection des donnees/Gegevensbeschermingsautoriteit (APD/GBA) sirok doseg i ugled.
Presuda o IAB Europe
U veljaci 2022. belgijski regulator presudio je protiv IAB Europe. Predmet se odnosio na Okvir transparentnosti i pristanka (TCF). TCF pokrece oko 220 milijardi eura u EU digitalnom oglasavanju godisnje.
Sto je nadzornik utvrdio: Niz pristanka TCF-a je osobni podatak. Vezan je uz pseudonimni ID korisnika. IAB Europe je imenovan zajednickim voditeljem obrade. To ga je ucinilo odgovornim za nacin na koji izdavaci i oglasivacke tvrtke koriste te podatke.
Kazna od 250.000 eura bila je mala. Pravi utjecaj bio je daleko veci. Tijelo je zahtijevalo potpuno preoblikovanje TCF-a. Svi EU izdavaci koji koriste alat za pristanak osjetili su to. Kao i svaki kupac oglasa.
Pouka: sektorska tehnologija moze prekrsiti GDPR. U riziku nisu samo pojedine tvrtke. Cijeli lanac moze biti pozvan na odgovornost. Nijedna karika u tom lancu nije izvan dometa provjere.
Financijski sektor: NIS2 i GDPR zajedno
Belgija je domacinstvo Europskog bankarskog tijela, EIOPA-e i globalnog SWIFT-ovog hubba. Banke i osiguratelji tamo moraju ispunjavati i GDPR clanak 32. i NIS2 clanak 21. Ova dva zakona imaju puno zajednickog.
NIS2 clanak 21. propisuje ova pravila:
- Provjere rizika u ljudskim, fizickim i digitalnim podrucjima
- Izvjesca o incidentima podnesena u roku 24 sata
- Planovi za nastavak poslovanja
- Provjere sigurnosti lanca opskrbe
- Enkripcija za podatke u prijenosu i u mirovanju
- Visestruka autentifikacija pristupa
GDPR clanak 32. propisuje ova pravila:
- Maskiranje i enkripcija osobnih zapisa
- Mogucnost obnove pristupa nakon incidenta
- Redovito testiranje sigurnosnih kontrola
- Tehnicke zastite temeljene na riziku
Ove kontrole pojavljuju se u oba zakona: enkripcija, kontrola pristupa, odgovor na incidente i provjere lanca opskrbe. Jaki GDPR clanak 32 programi ispunjavaju vecinu zahtjeva NIS2 clanka 21. Jedan integriran skup kontrola je najucinkovitiji put. Pogledajte nas vodic za GDPR uskladivanje za potpuni pregled oba zakona.
Provedba u 2024.: kljucne teme
Belgijski regulator izdao je 82 odluke u 2024. godini. Slucajevi financijskog sektora porasli su 56% u usporedbi s 2023. Cetiri teme su istaknute.
Profiliranje bez pristanka: Banke koje koriste podatke o transakcijama za analizu potrosnje ili ponudu proizvoda moraju ispuniti GDPR pravila. Nadzornik je odbio "poboljsanje usluge" kao valjan razlog kada se profiliranje oslanja na takve podatke.
AI kreditno bodovanje: GDPR clanak 22. regulira automatske kreditne odluke. Zahtijeva ljudsku provjeru i jasne razloge. Nekoliko fintech tvrtki nije imalo te zastite. Ovo je bio kljucni fokus.
Spajanje podataka nakon preuzimanja: Banke koje su spajale evidencije nakon akvizicija cesto su krsilr pravila namjene. Izvorni pristanak nije pokrivao novu kombiniranu upotrebu.
Externalizacija bez alata za prijenos: Tvrtke koje su slale IT posao u trece zemlje bez odgovarajucih pravnih alata suocile su se s mjerama. Slucajevi su obuhvatili Indiju, Maroko i Filipine.
Za tvrtke s belgijskim bankarskim operacijama: integrirane GDPR i NIS2 kontrole su najbolja obrana prije revizije. Nas pregled sigurnosti i uskladivanja pokriva kako zero-knowledge dizajn smanjuje izlozenost iz korijena.