· Yair Knijn
Vous avez filtré un client européen contre une liste américaine, et votre DPDP ne peut pas nommer la base légale
L'équipe de lutte contre la criminalité financière a construit le pipeline de filtrage ; le DPDP a signé l'enregistrement du traitement sans lire la configuration de la liste. Maintenant, un assuré européen a déposé une demande d'article 15 expliquant pourquoi son nom a été exécuté contre la liste SDN du Trésor américain. Le DPDP ouvre le fichier et trouve une base légale pour l'ensemble du pipeline : Art. 6(1)(c), obligation légale. C'est la mauvaise réponse pour la moitié de ce que fait le système, et la bonne réponse n'a jamais été consignée.
L'hypothèse qui a causé les problèmes est courante : \"nous filtrons pour la conformité aux sanctions\" est une activité de traitement sur une seule base. Ce n'est pas le cas. La base dépend contre quelle liste le nom est vérifié.
Pourquoi les listings UE/ONU vous donnent 6(1)(c) mais les listings américains peuvent ne pas le faire
Un règlement européen de gel des actifs ou une désignation du Conseil de sécurité de l'ONU, transposé dans le droit européen, lie directement votre entreprise. Filtrer un sujet de données européen contre ces listes repose clairement sur Art. 6(1)(c) : traitement nécessaire pour respecter une obligation légale à laquelle le responsable du traitement est soumis. Documenté, défendable, accepté.
Les listings OFAC américains sont différents par nature. Les sanctions primaires OFAC lient les personnes américaines ; en règle générale, elles n'imposent pas une obligation de droit européen à un assureur européen filtrant un résident européen. Un tribunal suédois et l'autorité suédoise de protection des données ont examiné exactement cela pour une entreprise filtrant contre OFAC : vouloir se conformer aux sanctions américaines peut être un intérêt légitime, mais ce n'est pas une obligation légale au regard du droit européen et ne peut pas automatiquement passer outre les droits du sujet de données. Donc votre filtrage contre les listes américaines ne bénéficie pas de 6(1)(c) gratuitement. Il relève de Art. 6(1)(f), et cela vous impose un test de balance.
Intérêts légitimes, proportionnalité et minimisation des données pour le filtrage
Exécuter sur la base des intérêts légitimes signifie que vous devez une évaluation documentée des intérêts légitimes, pas une phrase dans une politique. Le but doit être spécifique : votre propre exposition aux sanctions sur les correspondants en dollars, pas un geste vers la \"conformité mondiale\". Ensuite, vous testez la nécessité. Exécutez-vous chaque partie contre chaque liste lorsque le risque ne justifie qu'un sous-ensemble ?
La minimisation des données mord plus fort que ce que les gens attendent. Un résultat de filtrage est adjacent aux catégories spéciales : il implique, à juste titre ou à tort, une suspicion de Terrorisme, prolifération ou criminalité grave. Conservez ce dont vous avez besoin pour lever ou escalader l'alerte et rien d'autre.
Le DPIA que vous devez en vertu de l'Article 35 pour le traitement de filtrage à haut risque
L'article 35 rend une EIP obligatoire lorsque le traitement est susceptible de générer un risque élevé, et l'évaluation systématique des personnes produisant des effets juridiques ou analogues constitue le déclencheur classique. Le dépistage peut entraîner le refus d'une police ou le signalement à une CRF. Il s'agit d'un traitement à haut risque selon toute lecture honnête, et la « validation conformité » ne constitue pas une EIP. L'évaluation doit couvrir au moins :
- Base légale par liste : UE/ONU vers
6(1)(c), États-Unis et autres listes extraterritoriales vers6(1)(f)avec la LIA jointe. - Position de décision automatisée : si un résultat bloque un client sans revue humaine, vous êtes dans le territoire de l'
Art. 22et devez le mentionner.
Rétention, gestion des faux positifs et droits des personnes dans un pipeline de sanctions
Le faux positif est le point de collision entre la protection des données et la criminalité financière. Une correspondance floue qualifiée de « pas notre client » génère toujours un enregistrement affirmant qu'une personne nommée pourrait être sanctionnée. Vous avez besoin d'une règle de rétention qui sépare un résultat confirmé que vous devez conserver comme preuve AML d'un faux positif effacé que vous ne devez pas accumuler. L'accès à l'article 15, la rectification de l'article 16 en cas de correspondance erronée, la restriction de l'article 18 pendant un litige : tout s'applique, et les exclusions AML sont plus étroites que ce que suppose l'équipe de lutte contre la criminalité financière.
InsureGuardAI a été conçu pour que la base légale soit une propriété du dépistage, et non une réflexion ultérieure. Chaque correspondance dans un espace de travail enregistre quelle source de liste l'a générée, le seuil qui l'a produite, la décision de l'analyste qui l'a levée ou escaladée, et la réponse brute comme preuve, de sorte que l'EIP et le régulateur lisent le même fichier. Lorsque votre DPO est invité à-named la base pour un résultat donné, la réponse se trouve dans l'enregistrement, et non dans une hypothèse. Voyez comment cela s'intègre dans votre propre pipeline ici.