Table of Contents

Кириш сөз: Ирландиядагы финансылык маалыматтарды коргоонун негизи

Ирландия ири банктарды, финтех инноваторлорун жана көп улуттуу маалымат иштетүүчүлөрдү кабыл алган финансылык кызматтар жана технологиялар үчүн глобалдык борбор катары пайда болду. бул экосистеманын өзөгүндө финансылык операцияларда маалыматтарды иштетүү үчүн катуу укуктук алкак бар. бул алкак жөн гана шайкештик тоскоолдуктарынын топтому эмес; бул керектөөчүлөрдүн купуялуулугун, системалык туруктуулукту жана инновацияны тең салмакташтыруу үчүн иштелип чыккан кылдат курулган архитектура.

Бул макалада мыйзамдык талаптар, жөнгө салуучу көзөмөл, практикалык шайкештик көйгөйлөрү жана Ирландиянын финансылык операцияларында маалыматтарды иштетүүнү аныктоочу жаңы тенденциялар кылдат изилденет.

Мыйзамдуу ландшафт: Маалыматтарды коргоо жөнүндө мыйзам 2018 жана GDPR

Маалыматтарды коргоо жөнүндө мыйзам 2018

2018-жылдын 24-майында кабыл алынган Маалыматтарды коргоо жөнүндө мыйзам (DPA 2018) - бул Ирландияда GDPRди толуктап жана ишке ашырган негизги ички мыйзам.Бул GDPR мүчө мамлекеттерге жумуш менен камсыз кылуу, архивдөө максатында жеке маалыматтарды иштетүү жана, эң негизгиси, финансылык жана акчаны адалдоого каршы мыйзамдарды сактоо үчүн атайын жоболорду киргизүүгө мүмкүнчүлүк берген бир нече тармактарды камтыйт.

GDPR - жалпы регламент

GDPR (FLT:0) (EU) 2016 679 (FLT:1) регламенти бардык мүчө мамлекеттерде, анын ичинде Ирландияда түздөн-түз колдонулат.

  • Макулдашуу: Айрым маркетингдик же факультативдүү маалыматтарды колдонуу үчүн талап кылынат, бирок негизги транзакцияларды иштетүү үчүн сейрек жетиштүү.
  • Келишимдик зарылчылык: Төлөмдү аткаруу же эсепти сактоо үчүн зарыл болгон иштетүү.
  • Мыйзамдык милдеттенме: Акчаны адалдоого каршы күрөшүү же салык мыйзамдары менен милдеттүү түрдө иштетүү.
  • Мыйзамдуу кызыкчылыктар: Алдамчылыкты алдын алуу жана кредиттик тобокелдиктерди баалоо үчүн колдонулат, тең салмактуулук сыноосуна дуушар болот.

Бул негиздер менен төмөндө көрсөтүлгөн принциптердин өз ара аракеттенүүсү кылдат документтерди талап кылган катмарлуу шайкештик чөйрөсүн түзөт.

Финансылык операцияларда маалыматтарды иштетүүнүн негизги принциптери

GDPRдин алты принциби, 2018-жылдагы DPAда чагылдырылгандай, мыйзамдуу иштетүүнүн негизи болуп саналат.

Мыйзамдуулук, адилеттүүлүк жана ачыктык

Финансылык мекемелер кардарларды кандай маалыматтар чогултулуп жаткандыгы жана эмне үчүн чогултулуп жатканы жөнүндө ачык, жеткиликтүү тилде билдириши керек. бул, адатта, эсеп ачууда жана транзакцияларды иштетүүдөн мурун берилген купуялык билдирүүлөрү аркылуу ишке ашат. ачык-айкындык ошондой эле автоматташтырылган чечим кабыл алууга, мисалы, кредиттик баллдоо же алдамчылыкты аныктоо алгоритмдерине да тиешелүү.

Максатын чектөө

"Компаниянын ""Компаниянын"" жаңы эрежелери боюнча, бул эрежелер кардарлардын профилин түзүү үчүн транзакциялык маалыматтарды колдонгон финансылык мекемеге тиешелүү эмес максаттарда олуттуу айып пул салууга алып келет."

Маалыматтарды минималдаштыруу

Мисалы, жөнөкөй дебеттик картаны сатып алууну иштетүү үчүн кардардын киреше деңгээли же жумуш тарыхы талап кылынбайт, бирок насыя алуу үчүн кеңири финансылык маалыматтар негиздүү болушу мүмкүн. маалыматтарды минималдаштыруу принциби да жазууларды сактоого таасир этет: финансылык мекемелер көбүнчө жөнгө салуу (мисалы, AML мыйзамдары) мамиле аяктагандан кийин беш жыл бою маалыматтарды сактоого милдеттүү, бирок алар ошол мезгилден кийин ашыкча маалыматтарды сактабашы керек.

Тууралык

Туура эмес финансылык маалыматтар транзакциялардын төмөндөшүнө, туура эмес кредиттик отчетторго же жөнгө салуучу жазаларга алып келиши мүмкүн.Институциялар кардарлардын маалыматтарын тез арада жаңыртуу үчүн процедураларды ишке ашырышы керек, мисалы, өзгөрүүлөрдү же статусту жаңыртуу.

Сактоонун чектөөсү

"Кененирээк маалымат алуу үчүн, ""Кененирээк маалымат алуу"" деген сөздү колдонсоңуз болот, бирок бул сөздү колдонсоңуз болот, анткени бул сөздү колдонсоңуз болот, анткени бул сөздү колдонсоңуз болот, анткени бул сөздү колдонсоңуз болот, анткени бул сөздү колдонсоңуз болот, анткени бул сөздү колдонсоңуз болот."

Адилеттүүлүк жана купуялуулук

Финансылык операциялар боюнча маалыматтар кибер кылмышкерлер үчүн негизги максат болуп саналат. GDPR шифрлөө, кирүү контролдоосу жана үзгүлтүксүз коопсуздук тестирлөө сыяктуу техникалык жана уюштуруу чараларын (TOM) талап кылат.Европалык банктык орган (FLT:0) ИКТ жана коопсуздук тобокелдиктерин башкаруу боюнча ЕБК көрсөтмөлөрү (FLT:1) төлөм кызматтарын көрсөтүүчүлөр үчүн атайын коопсуздук чараларын белгилейт.

Регулятордук органдар: Эрежелерди сактоонун коргоочулары

Маалыматтарды коргоо комиссиясы (DPC)

"Компаниянын ""Компаниянын"" милдети - жеке адамдардын маалыматты коргоо укуктарын коргоо, арыздарды иликтөө, аудит жүргүзүү, укук коргоо жөнүндө билдирүүлөрдү берүү жана 20 миллион еврого чейинки административдик айып пулдарды же жылдык дүйнөлүк айлык кирешенин 4% га чейинки суммасын киргизүү."

Ирландиянын Борбордук банкы

"Компаниянын ""Керектөөчүлөрдү коргоо кодекси"" (FLT) боюнча, кардарларды коргоо боюнча эрежелер жана эрежелер, ошондой эле кардарларды аутентификациялоо (SCA) жана төлөм эсебинин маалыматтарын үчүнчү тараптын провайдерлери (TPPs) тарабынан колдонууга катуу чектөөлөрдү киргизет."

Кызматташтыкты көзөмөлдөө

Иш жүзүндө, DPC жана Борбордук банк бөлүшүлгөн юрисдикция маселелери боюнча координациялашат. мисалы, банкта чоң маалымат бузулушу болгондо, эки жөнгө салуучу тең иликтөө жүргүзүшү мүмкүн: DPC купуялык көз карашынан жана Борбордук банк финансылык туруктуулук жана керектөөчүлөрдү коргоо көз карашынан.

Маалыматтарды иштетүүгө таасир этүүчү тармактык эрежелер

Төлөм кызматтары жөнүндө директива (PSD2)

"Өткөрүү кызматтары жөнүндө жаңы директива (EU 2015 2366) Ирландия мыйзамдарына Европа Биримдигинин (Төлөм кызматтары жөнүндө) 2018-жылдагы эрежелери катары киргизилген, финансылык операциялар жөнүндө маалыматтарды иштетүүнүн жолун түп-тамырынан бери өзгөрттү. PSD2 банктардан үчүнчү тараптын төлөмдөрдү баштоо кызматтарын көрсөтүүчүлөргө (PISP) жана эсеп маалымат кызматтарын көрсөтүүчүлөргө (AISP) кардарлардын эсептерине кирүүгө уруксат берүүнү талап кылат, бирок кардарлардын ачык макулдугу менен гана. """

  • Күчтүү кардарларды аутентификациялоо (SCA): Көпчүлүк электрондук төлөмдөр билим, ээлик жана инеренттик факторлорду колдонуу менен эки факторлуу аутентификацияны талап кылат.
  • Маалыматтарга кирүү контролдоосу: Банктар TPPлерге атайын интерфейсти (API) бериши керек, ал маалыматтарга өтүнмө берилген кызмат үчүн зарыл болгон нерселерге гана дуушар болууну чектейт.
  • Жоопкерчилик эрежелери: Маалыматтарды бөлүшүүнүн көбөйүшү менен уруксатсыз операциялар же маалыматтарды бузуулар үчүн жоопкерчиликтин ачык-айкын алкактары пайда болот.

Акчаны адалдоого каршы күрөшүү (AML) жана терроризмге каршы каржылоо (CTF)

Кылмыш-жаза адилеттүүлүгү (Акчаны адалдоо жана терроризмди каржылоо) жөнүндө 2010-2021-жылдардагы мыйзамдар "белгиленген адамдарга", анын ичинде банктарга, кредиттик союздарга, төлөм уюмдарына жана виртуалдык активдерди тейлөөчүлөргө кеңири маалыматтарды иштетүү милдеттенмелерин киргизет.

  • Кардарларды тийиштүү түрдө текшерүү (CDD): Ар кандай ишкердик мамилелерден мурун идентификациялык маалыматтарды (аты-жөнү, дареги, туулган күнү) чогултуу жана текшерүү.
  • Пайдалуу менчик реестрлери: Корпоративдик кардарлардын акыркы ээлерин аныктоо.
  • Транзакцияны көзөмөлдөө: Шектүү иш-аракеттерди аныктоо үчүн бардык операцияларды үзгүлтүксүз көзөмөлдөө.
  • Жазууну сактоо: Бизнес мамилеси аяктагандан кийин, жок дегенде, беш жыл бою транзакцияларды жана идентификациялык жазууларды сактоо.

GDPR менен кесилиш татаал: мисалы, AML милдеттенмелери маалымат субъектисинин өчүрүү укугун жокко чыгарууну актоосу мүмкүн, бирок өтө зарыл болгон деңгээлде гана.

Төлөм кызматтары жөнүндө эрежелер жана электрондук акча жөнүндө эрежелер

Европа Биримдигинин (Төлөм кызматтары) 2018-жылдын эрежелери жана Европа Биримдиктеринин (Электрондук акча) 2011 эрежелери төлөм жана электрондук акча мекемелери үчүн маалымат коопсуздугунун стандарттарын түзөт.Бул кардарлардын каражаттарын коргоо, жогорку тобокелдикке дуушар болгон иштетүү үчүн маалыматтарды коргоо боюнча таасир баалоону (DPIA) ишке ашыруу жана Борбордук банкка ири операциялык окуяларды (анын ичинде олуттуу маалымат бузууларды) билдирүү талаптарын камтыйт.

Финансылык мекемелер үчүн практикалык шайкештик стратегиялары

Маалыматтарды коргоо боюнча таасирин баалоо (DPIA)

"БУУнун финансылык жөнгө салуу боюнча конвенциясынын 35-беренесине ылайык, ""тазалоонун бир түрү физикалык адамдардын укуктарына жана эркиндиктерине чоң тобокелдикке алып келиши мүмкүн болгон учурда"" DPIA милдеттүү болуп саналат."

  • Чоң масштабдагы системалуу профилдештирүү (мисалы, кредиттик баллдоо моделдери).
  • Биометрикалык маалыматтарды иштетүү (мисалы, телефон банк иши үчүн үн аутентификациясы).
  • ИИ колдонуу менен жаңы транзакцияларды көзөмөлдөө системаларын ишке ашыруу.
  • Ачык банктык APIлерди ишке киргизүү.

DPIA - бул иштетүүнүн максатын, зарылдыгын, пропорционалдуулугун жана тобокелдиктерди азайтуу чараларын документтештирүү.

Маалыматтарды карталоо жана иштетүү иш-аракеттеринин жазуулары (ROPA)

Финансылык мекемелер GDPR 30-беренесине ылайык, транзакциялык маалыматтардын бүтүндөй жашоо циклин картага түшүрүшү керек: онлайн банктык порталдар же банкоматтар аркылуу чогултуудан баштап, негизги банктык системалар аркылуу, үчүнчү тараптын иштетүүчүлөрүнө чейин (мисалы, карта схемалары, төлөм шлюздары) жана акыры архивдөө же өчүрүү.

Сатуучу жана үчүнчү жактын тобокелдиктерди башкаруу

Банктар жана финтехтер, адатта, булут хостинг, аналитика, алдамчылыкты аныктоо жана кардарларды колдоо үчүн үчүнчү жактарды жалдашат. GDPR боюнча, финансылык мекеме маалыматты контролдоочу бойдон калууда жана процессор тарабынан келтирилген бардык бузуулар үчүн жооптуу.

  • Сатуучунун коопсуздук практикасын тийиштүү түрдө текшерүү.
  • "28-беренеге ылайык, ""GDPR"" эрежелерин сактоо жана субпроцесстерди чектөө боюнча милдеттүү келишимди ишке ашыруу."
  • Сатуучунун маалыматтарын иштетүү (же SOC2 аудиттерин талап кылуу)
  • ЕЭАдан тышкары өткөрүлүп берилген жеке маалыматтарды тиешелүү коргоо чаралары (мисалы, стандарттык келишимдик шарттар же милдеттүү корпоративдик эрежелер) менен коргоону камсыз кылуу.

Окутуу жана маалымдуулук

Адамдын катасы маалымат бузуулардын негизги себеби бойдон калууда.Операциялык кызматкерлер маркетинг үчүн макулдук талаптарын түшүнүшү керек, шайкештик топтору мыйзамдуу бир айлык мөөнөттүн ичинде субъекттерге кирүү өтүнүчтөрүн кантип иштетүүнү билиши керек жана IT кызматкерлери PSD2 SCA ишке ашыруу боюнча окутулушу керек.

Учурдагы ландшафттагы кыйынчылыктар

Кибер коркунучтардын өсүшү

"Кайберчабуулдар, фишинг жана API алсыздыктары ири масштабдагы маалыматтарга дуушар болууга алып келиши мүмкүн.2022-жылы Ирландиянын Борбордук Банкынын Финансылык туруктуулукту карап чыгуусу кибер окуялардан келип чыккан операциялык тобокелдикти негизги маселе катары белгиледи. ""Кайберчабуулдар жана коркунучтар менен актуалдуу болуу - бул туруктуу кыйынчылык, айрыкча чектелген бюджети бар чакан мекемелер үчүн."

Регуляциянын татаалдашуусу

"Электрондук операциялык туруктуулук жөнүндө мыйзам (DORA) жана электрондук купуялык жөнүндө регламент сыяктуу жаңы эрежелер талаптардын кошумча катмарларын кошот.Дора 2025-жылдын январь айынан баштап күчүнө кирет, ал ИКТ тобокелдиктерин катуу башкарууну, окуяларды билдирүүнү жана үчүнчү жактын туруктуулугун текшерүүнү талап кылат. "" - деп айтылат билдирүүдө."

Ачык банктык кызматтарды купуялык менен тең салмакташтыруу

PSD2 инновацияны өнүктүрдү, бирок ошондой эле маалыматтарды бөлүшүү тобокелдиктерин көбөйттү.DPC үчүнчү тараптын провайдерлери тарабынан жеткиликтүү болгон маалыматтардын майда-чүйдөсүнө чейин жана макулдук агымдарынын ачык-айкындыгы жөнүндө тынчсызданууларды жаратты. Финансылык мекемелер кардарларга жалпы уруксат катары эмес, кызмат боюнча жеткиликтүүлүктү берүүгө же жокко чыгарууга мүмкүндүк берген макулдук интерфейстерин иштеп чыгышы керек.

Эл аралык маалымат которуулар II бөлүмдөн кийин

"2020-жылы Европа Биримдигинин Соттун ""Приваттык калкан"" алкагын жокко чыгаруусу Ирландиядан Америка Кошмо Штаттарына жана башка үчүнчү өлкөлөргө маалыматтарды өткөрүүнү татаалдаштырат.АКШда жайгашкан булут провайдерлерине таянган финансылык мекемелер азыр бардык маалымат агымдарын картага түшүрүп, ЕЭАда негизги башкаруу менен шифрлөө сыяктуу кошумча чараларды ишке ашырышы керек."

Келечектеги өнүгүүлөр жана кантип даярдануу керек

Европа Биримдигинин маалымат мыйзамы жана финансылык маалыматтарга жетүү

"Эми Евробиримдиктин маалымат мыйзамынын максаты - ""байланышкан шаймандар аркылуу түзүлгөн маалыматтарга жетүү жана пайдалануу эрежелерин гармониядаштыруу."""

ИИ жөнүндө жөнгө салуу жана чечимдерди автоматташтырылган кабыл алуу

"2024-жылы кабыл алынган ""АИ жөнүндө"" мыйзам кредиттик баллдоо, алдамчылыкты аныктоо жана тобокелдиктерди баалоодо колдонулган жогорку тобокелдикке дуушар болгон АИ системаларына катуу талаптарды киргизет."

Аткаруу ресурстарын күчөтүү

"2023-жылы, DPC бир нече ири технологиялык компанияларга рекорддук айып пулдарды камсыз кылган жана финансылык секторго көбүрөөк көңүл бургандыгын билдирген. мекемелер реактивдүү абалдан активдүү шайкештик позициясына өтүшү керек, ар бир жаңы продуктка же кызматка дизайн боюнча купуялуулукту киргизүү. """

Жыйынтык

"Ирландиянын финансылык операцияларында маалыматтарды иштетүү үчүн укуктук алкак - бул динамикалуу, көп катмарлуу система, ал туруктуу сергек болууну талап кылат. GDPR жана DPA 2018 негизги принциптеринен баштап, PSD2, AML мыйзамдары жана Борбордук банктын коддорунун секторго тиешелүү диктаттарына чейин, финансылык мекемелер маалыматты коргоону өз операцияларынын түзүлүшүнө токушу керек. бул жөн гана айып пулдардан качуу эмес, кардарларга ишенимди куруу жана туруктуу инновацияларды камсыз кылуу. жөнгө салуу ландшафтын түшүнүү, күчтүү шайкештик программаларына инвестиция салуу жана жаңы өнүгүүлөрдөн алдыга жылуу менен уюмдар укуктук татаалдыкты атаандаштык артыкчылыгына айланта алышат. """