APD Bélgica: IAB, Finanças & NIS2
O regulador belga de proteção de dados ocupa um lugar único na UE. O país abriga as sedes da UE e da OTAN. Tem mais bancos e organismos financeiros globais do que qualquer outro Estado-Membro da UE, exceto o Luxemburgo. Isso confere à Autorité de protection des données/Gegevensbeschermingsautoriteit (APD/GBA) uma ampla influência.
A Decisão contra a IAB Europe
Em fevereiro de 2022, o regulador belga decidiu contra a IAB Europe. O caso envolveu o Transparency and Consent Framework (TCF). O TCF movimenta cerca de 220 mil milhões de euros em publicidade digital na UE por ano.
O que a autoridade constatou: A cadeia de consentimento do TCF é um dado pessoal. Ela está vinculada ao ID pseudónimo do utilizador. A IAB Europe foi designada como responsável conjunto pelo tratamento. Isso tornou-a responsável pela forma como editores e empresas de publicidade utilizam esses dados.
A coima de 250 000 euros foi pequena. O impacto real foi muito maior. A autoridade exigiu uma reformulação completa do TCF. Todos os editores da UE que utilizam uma ferramenta de consentimento o sentiram. Também todos os compradores de publicidade.
A lição: a tecnologia de todo um setor pode violar o RGPD. Não são apenas as empresas isoladas que estão em risco. Toda a cadeia pode ser responsabilizada. Nenhum elo está a salvo de escrutínio.
Setor Financeiro: NIS2 e RGPD Juntos
A Bélgica alberga a Autoridade Bancária Europeia, a EIOPA e a sede global do SWIFT. Os bancos e as seguradoras devem cumprir tanto o artigo 32.º do RGPD como o artigo 21.º da NIS2. Estas duas leis partilham muito terreno comum.
O artigo 21.º da NIS2 exige:
- Verificações de riscos em áreas humanas, físicas e digitais
- Relatórios de incidentes apresentados em 24 horas
- Planos de continuidade de negócio
- Verificações de segurança da cadeia de abastecimento
- Encriptação de dados em trânsito e em repouso
- Controlos de acesso multifator
O artigo 32.º do RGPD exige:
- Pseudonimização e encriptação de dados pessoais
- Capacidade de restaurar o acesso após um incidente
- Testes regulares dos controlos de segurança
- Medidas técnicas proporcionais ao risco
Estas medidas aparecem em ambas as leis: encriptação, controlo de acesso, resposta a incidentes e segurança da cadeia de abastecimento. Programas sólidos do artigo 32.º do RGPD cobrem a maioria dos requisitos do artigo 21.º da NIS2. Um conjunto único de controlos integrados é o caminho mais eficiente. Consulte o nosso guia de conformidade com o RGPD para uma análise completa das duas leis.
Aplicação em 2024: Temas Principais
O regulador belga emitiu 82 decisões em 2024. Os casos no setor financeiro aumentaram 56 % em relação a 2023. Quatro temas se destacam.
Perfilagem sem consentimento: Os bancos que utilizam dados de transações para análise de despesas ou ofertas de produtos devem cumprir o RGPD. A autoridade rejeitou "melhoria do serviço" como razão válida quando a perfilagem assenta nesses dados.
Pontuação de crédito por IA: O artigo 22.º do RGPD rege as decisões de crédito automatizadas. Exige revisão humana e razões claras. Várias empresas fintech careciam dessas salvaguardas. Este foi um foco principal.
Fusão de bases de dados após aquisições: Os bancos que fundiram registos após aquisições violaram frequentemente as regras de limitação da finalidade. O consentimento original não cobria o novo uso combinado.
Externalização sem instrumentos de transferência: As empresas que enviaram trabalho de TI para países terceiros sem instrumentos jurídicos adequados enfrentaram medidas. Os casos incluíram a Índia, Marrocos e as Filipinas.
Para empresas com operações bancárias na Bélgica: controlos integrados de RGPD e NIS2 são a melhor defesa antes de uma auditoria. A nossa visão geral de segurança e conformidade explica como a anonym.legal trata os dados.
Fontes
- APD/GBA: Autoridade Belga de Proteção de Dados — VERIFIED-EXTERNAL
- APD: Decisão TCF da IAB Europe, fevereiro de 2022 — VERIFIED-EXTERNAL
- EBA: Guia de Implementação da NIS2 — VERIFIED-EXTERNAL