APDベルギー：IAB、金融、NIS2
ベルギーのデータ保護機関は、EU内で独自の立場を持っています。同国はEUとNATOの本部を擁しています。ルクセンブルクを除くEU加盟国の中で、最も多くのグローバル銀行・金融機関が集まっています。そのためAutorité de protection des données/Gegevensbeschermingsautoriteit（APD/GBA）は広い影響力を持ちます。
IABヨーロッパに対する裁定
2022年2月、ベルギーの規制当局はIABヨーロッパに対して裁定を下しました。この事案はTransparency and Consent Framework（TCF）に関するものでした。TCFはEU内で年間約2,200億ユーロのデジタル広告を支えています。
当局が認定した事実： TCFの同意文字列は個人データです。これはユーザーの仮名IDに結びついています。IABヨーロッパは共同管理者として認定されました。これにより、出版社や広告企業がそのデータをどう利用するかについて責任を負うことになりました。
罰金25万ユーロは小さな金額でした。しかし実際の影響ははるかに大きなものでした。当局はTCF全体の再設計を求めました。同意ツールを使用するすべてのEU出版社がその影響を受けました。広告購入者も同様でした。
教訓：セクター全体の技術がGDPRに違反しうるということです。個々の企業だけがリスクを負うわけではありません。チェーン全体が責任を問われる可能性があります。どのリンクも審査から免れることはできません。
金融セクター：NIS2とGDPRの統合
ベルギーにはEU銀行監督機構、EIOPA、そしてSWIFTのグローバル本部があります。そこの銀行と保険会社はGDPR第32条とNIS2第21条の両方を満たす必要があります。これら2つの法律は多くの共通点を持っています。
NIS2第21条が求める事項：
- 人的・物理的・デジタル領域でのリスク確認
- 24時間以内のインシデント報告
- 事業継続計画
- サプライチェーンのセキュリティ確認
- 送受信データと保存データの暗号化
- 多要素アクセス制御
GDPR第32条が求める事項：
- 個人データのマスキングと暗号化
- インシデント後のアクセス復元能力
- セキュリティ管理の定期的なテスト
- リスクに基づく技術的保護措置
暗号化、アクセス制御、インシデント対応、サプライチェーンセキュリティはどちらの法律にも含まれます。GDPR第32条の強固なプログラムは、NIS2第21条の要件のほとんどを満たします。統合された一組の管理策が最も効率的な方法です。両法律の全体的な概要についてはGDPRコンプライアンスガイドをご参照ください。
2024年の執行：主なテーマ
ベルギーの規制当局は2024年に82件の決定を下しました。金融セクターの案件は2023年比で56%増加しました。4つのテーマが際立っています。
同意なしのプロファイリング： 支出分析や商品提案に取引データを使用する銀行はGDPRを遵守する必要があります。当局は、そのようなデータに基づくプロファイリングを行う場合、「サービス改善」を有効な理由として認めませんでした。
AIによる信用スコアリング： GDPR第22条は自動化された信用判断を規制しています。人間によるレビューと明確な理由を求めています。複数のフィンテック企業でこれらの保護措置が不十分でした。これは重点分野でした。
買収後のデータベース統合： 買収後に記録を統合した銀行は、目的制限のルールに違反することが多くありました。元の同意は新たな統合使用をカバーしていませんでした。
移転ツールなしのアウトソーシング： 適切な法的ツールなしに第三国にIT業務を委託した企業は対応措置を受けました。インド、モロッコ、フィリピンへのアウトソーシングに関する事案が含まれていました。
ベルギーで銀行業務を行う企業にとって：GDPRとNIS2を統合した管理策が、監査前の最善の防御となります。セキュリティとコンプライアンスの概要では、anonym.legalがデータをどのように扱っているかを説明しています。
出典
- APD/GBA：ベルギーデータ保護機関 — VERIFIED-EXTERNAL
- APD：IABヨーロッパTCF裁定、2022年2月 — VERIFIED-EXTERNAL
- EBA：NIS2実施ガイダンス — VERIFIED-EXTERNAL