APD Belgia: IAB, finans og NIS2
Belgias datatilsyn inntar en unik posisjon i EU. Landet er hjemsted for EUs og NATOs hovedkvarterer. Det har flest internasjonale banker og finansorganer av alle EU-stater unntatt Luxembourg. Det gir Autorite de protection des donnees/Gegevensbeschermingsautoriteit (APD/GBA) bred rekkevidde og tyngde.
IAB Europe-avgjorrelsen
I februar 2022 ga Belgias tilsynsmyndighet medhold mot IAB Europe. Saken gjaldt Transparency and Consent Framework (TCF). TCF driver rundt 220 milliarder euro i EU-digital annonsering hvert ar.
Hva tilsynet fant: TCF-samtykkestrenger er personopplysninger. De er knyttet til en brukers pseudonyme ID. IAB Europe ble utpekt som fellesbehandlingsansvarlig. Det gjorde dem ansvarlige for hvordan utgivere og annonsefirmaer bruker disse dataene.
Boten pa 250 000 euro var liten. Den reelle konsekvensen var langt storre. Myndigheten krevde full TCF-redesign. Alle EU-utgivere som bruker et samtykkeverktoy, merket dette. Det gjorde ogsa alle annonsekjopere.
Lardomnmen er klar: teknologi for hele sektorer kan bryte GDPR. Det er ikke bare enkeltselskaper som er i faresonen. Hele kjeden kan holdes ansvarlig. Ingen ledd i den kjeden er trygt for gransking.
Finanssektoren: NIS2 og GDPR sammen
Belgia er hjemsted for EUs bankyndighet, EIOPA og SWIFTs globale knutepunkt. Banker og forsikringsselskaper der ma oppfylle bade GDPR artikkel 32 og NIS2 artikkel 21. Disse to lovene deler mye felles grunn.
NIS2 artikkel 21 fastsetter disse reglene:
- Risikovurderinger pa menneskelige, fysiske og digitale omrader
- Hendelsesvarsler innlevert innen 24 timer
- Gjenopprettingsplaner for virksomheten
- Sikkerhetssjekker av leverandorkjeden
- Kryptering for data i bevegelse og i ro
- Tilgangskontroll med flerfaktorautentisering
GDPR artikkel 32 fastsetter disse reglene:
- Datamaskering og kryptering av personopplysninger
- Evne til a gjenopprette tilgang etter en hendelse
- Regelmaessig testing av sikkerhetskontroller
- Risikobaserte tekniske sikringstiltak
Disse kontrollene finnes i begge lovene: kryptering, tilgangskontroll, hendelsesrespons og leverandorkjedesjekker. Sterke GDPR artikkel 32-programmer dekker ogsa de fleste NIS2 artikkel 21-krav. Ett sett med koordinerte kontroller er den mest effektive veien. Se var GDPR-veiledning for en fullstendig gjennomgang av begge lovene.
Handhevelse i 2024: Sentrale temaer
Belgias tilsynsmyndighet utstedte 82 avgjorelser i 2024. Saker fra finanssektoren okte med 56 % fra 2023. Fire temaer skiller seg ut.
Profilering uten samtykke: Banker som bruker transaksjonsdata til forbruksanalyse eller produkttilbud, ma oppfylle GDPR-reglene. Tilsynet avviste "tjenesteforbedring" som gyldig grunn nar profilering er basert pa slike data.
KI-basert kredittscore: GDPR artikkel 22 styrer automatiserte kredittavgjorelser. Det krever menneskelig gjennomgang og klare begrunnelser. Flere fintech-selskaper manglet disse sikringstiltakene. Dette var et sentralt fokusomrade.
Datasammenslapping etter fusjoner: Banker som slo sammen poster etter oppkjop, brytes ofte formal-reglene. Det opprinnelige samtykket dekket ikke den nye kombinerte bruken.
Utsetting uten overforingsverktoy: Selskaper som sendte IT-arbeid til tredjeland uten riktige juridiske verktoy, ble holdt ansvarlige. Saker gjaldt India, Marokko og Filippinene.
For selskaper med belgiske bankoperasjoner: koordinerte GDPR- og NIS2-kontroller er det beste forsvaret for en revisjon. Var oversikt over sikkerhet og samsvar forklarer hvordan null-kunnskap-design reduserer eksponeringen ved kilden.
Kilder
- APD/GBA: Belgisk datatilsynsmyndighet - VERIFIED-EXTERNAL
- APD: IAB Europe TCF-avgjorrelse, februar 2022 - VERIFIED-EXTERNAL
- EBA: NIS2 implementeringsveiledning - VERIFIED-EXTERNAL