APD België: IAB, financiën & NIS2
Belgische gegevensbescherming neemt een unieke positie in de EU in. Het land herbergt de EU- en NAVO-hoofdkwartieren en heeft meer mondiale banken en financiële instellingen dan elk EU-land behalve Luxemburg. Dat geeft de Autorité de protection des données/Gegevensbeschermingsautoriteit (APD/GBA) een ruime reikwijdte en gezag.
Het IAB Europe-besluit
In februari 2022 besliste de Belgische toezichthouder tegen IAB Europe. De zaak betrof het Transparency and Consent Framework (TCF). Het TCF stuurt jaarlijks circa €220 miljard aan EU-digitale reclame aan.
Wat de toezichthouder vaststelde: De TCF-consentstring is een persoonsgegeven. Ze is gekoppeld aan een pseudonieme ID van de gebruiker. IAB Europe werd aangemerkt als medeverantwoordelijke, wat haar aansprakelijk maakt voor hoe uitgevers en adverteerders die gegevens gebruiken.
De boete van €250.000 was bescheiden. De werkelijke impact was veel groter. De autoriteit eiste een volledige TCF-herontwerp. Elke EU-uitgever die een consenttool gebruikt, voelde dit. Zo ook elke advertentie-inkoper.
De les: sectorbreed gebruik van technologie kan de AVG schenden. Niet alleen individuele bedrijven lopen risico — de hele keten kan ter verantwoording worden geroepen.
Financiële sector: NIS2 en AVG gecombineerd
België herbergt de EBA, EIOPA en de SWIFT-wereldhub. Banken en verzekeraars moeten voldoen aan zowel AVG Artikel 32 als NIS2 Artikel 21. De twee wetten overlappen aanzienlijk.
NIS2 Artikel 21 vereist:
- Risicobeoordelingen op menselijk, fysiek en digitaal vlak
- Incidentmeldingen binnen 24 uur
- Bedrijfsherstelplannen
- Controles op beveiliging van de toeleveringsketen
- Versleuteling van data in transit en in rust
- Multifactorauthenticatie
AVG Artikel 32 vereist:
- Pseudonimisering en versleuteling van persoonsgegevens
- Herstelmogelijkheid na een incident
- Regelmatige testing van beveiligingsmaatregelen
- Risicogebaseerde technische waarborgen
Deze maatregelen komen in beide wetten terug: versleuteling, toegangscontrole, incidentrespons en ketenbeveiliging. Een stevig AVG Artikel 32-programma dekt de meeste NIS2 Artikel 21-vereisten. Één geïntegreerde set maatregelen is de meest efficiënte aanpak. Zie onze AVG-nalevingsgids voor een volledig overzicht van beide wetten.
Handhaving in 2024: voornaamste thema's
De Belgische toezichthouder nam in 2024 82 beslissingen. Zaken in de financiële sector stegen met 56% ten opzichte van 2023. Vier thema's vallen op.
Profilering zonder toestemming: Banken die transactiedata gebruiken voor bestedingsanalyse of productaanbiedingen moeten aan de AVG-regels voldoen. "Serviceverbetering" als rechtvaardiging werd afgewezen wanneer profilering op dergelijke gegevens berust.
AI-kredietscorig: AVG Artikel 22 regelt geautomatiseerde krediietbeslissingen. Het vereist menselijke beoordeling en duidelijke uitleg. Diverse fintech-bedrijven misten deze waarborgen.
Gegevensfusies na fusies: Banken die na overnames gegevens samenvoegden, schonden doelbindingsregels. De oorspronkelijke toestemming dekte het nieuwe gecombineerde gebruik niet.
Uitbesteding zonder overdrachtstools: Bedrijven die IT-werk naar derde landen stuurden zonder geldige juridische instrumenten, kregen te maken met handhaving. Zaken betroffen India, Marokko en de Filippijnen.
Voor bedrijven met Belgische bankactiviteiten: gecombineerde AVG- en NIS2-maatregelen zijn de beste verdediging vóór een audit. Ons beveiligings- en nalevingsoverzicht laat zien hoe zero-knowledge-ontwerp de blootstelling aan de bron aanpakt.