Achtergrondcontroles, screening en verbeterde zorgvuldigheid (OSINT)

• Regulation (EU) 2016/679 — GDPR, Articles 10, 14 and 27
• Directive (EU) 2015/849 — anti-money laundering
• Regulation (EU) 2024/1689 — AI Act
• Regulation (EU) 2022/2065 — DSA where reports are hosted

Wie moet aanwijzen

Leveranciers gevestigd buiten de Unie die zorgvuldigheidsrapporten, screeningresultaten of onderzoeksdossiers over personen in de EU opstellen: OSINT-platforms, leveranciers van negatieve media en sanctiescreening, achtergrondcontroleservices en onderzoeksbureaus die verkopen aan banken, advocatenkantoren en bedrijven. De verplichting geldt ongeacht of het onderwerp een klant van uw cliënt is of een derde partij die nooit contact heeft gehad met iemand: de test is of u persoonsgegevens van mensen in de Unie verwerkt, niet of zij u hebben gevraagd.

Drempels en vrijstellingen

Geen drempel. Wat de analyse verandert is de rol: een leverancier die alleen de zoekopdracht van de cliënt uitvoert op instructie van de cliënt kan een verwerker zijn, maar op het moment dat u entiteitsgrafieken over cliënten opbouwt, verzameld materiaal langer dan levering bewaart, of rapporten gebruikt om uw modellen te trainen of te verbeteren, bent u een verwerkingsverantwoordelijke voor die doeleinden en heeft u een vertegenwoordiger in uw eigen recht nodig.

Wat op het etiket moet

Geen fysiek label. Wat gepubliceerd moet worden is de identiteit en contactgegevens van de vertegenwoordiger in de privacyverklaring, samen met de informatie die vereist is door Artikel 14 voor mensen wiens gegevens u heeft verkregen uit andere bronnen dan henzelf — wat in deze sector bijna iedereen is.

Marktplaatsvelden

Banken, advocatenkantoren en gereguleerde instellingen voeren leveranciersdue diligence uit voordat ze onboarden, en de antwoorden op gegevensbescherming bepalen contracten. Verschillende nationale toezichthoudende autoriteiten hebben screening- en negatieve mediaverkopers onderzocht, en de bevindingen betroffen de bewaring, nauwkeurigheid en de afwezigheid van de Artikel 14 kennisgeving in plaats van de screening zelf.

Documentatie die u moet bewaren

Artikel 30 registraties die elke bron, elke verrijkingsstap en elke output in kaart brengen. De Artikel 27 aanwijzing met een reikwijdte die expliciet Artikel 10 gegevens dekt als u deze verwerkt. Een gegevensbeschermingseffectbeoordeling, die hier verplicht is: profilering, systematische monitoring en grootschalige speciale categorie of gegevens over strafbare feiten staan allemaal op de Artikel 35(3) lijst. Documentatie van de Artikel 14(5) uitzondering waarop u zich beroept en van de redenering daarachter. Nauwkeurigheids- en rectificatieprocedures, inclusief hoe een verkeerde match wordt gecorrigeerd in de geleverde rapporten. Bewaarplannen per gegevenscategorie. Overdrachtsdocumentatie. Waar een AI-systeem wordt gebruikt, de technische documentatie en classificatie volgens de AI-wet.

Normen en tests

Geen producttesten, maar twee op bewijs gebaseerde controles bepalen de handhavingresultaten. Nauwkeurigheid: valse positieven in screening veroorzaken echte schade, dus de matchinglogica, de foutenmarge en de menselijke beoordelingsstap moeten worden gedocumenteerd. En bias-evaluatie waar het systeem mensen profileert of scoreert, wat de AI-wet vereist voor risicovolle systemen en wat de discriminatiewet vereist ongeacht.

Taalvereisten

De privacyverklaring, de Artikel 14 informatie en elke communicatie met betrokkenen in de taal van de betrokken persoon. Rapporten zelf zijn zakelijke documenten en volgen de taal van de cliënt.

Vanaf wanneer

De vertegenwoordiger vóór de verwerking begint. Artikel 14 informatie binnen een redelijke termijn en uiterlijk binnen een maand na het verkrijgen van de gegevens, tenzij een uitzondering van toepassing is. AI-wet risicovolle verplichtingen vanaf 2 augustus 2026 waar het systeem valt onder Bijlage III.

Bewaartermijn

Dit is het scherpste punt in de categorie. Rapporten en het onderliggende verzamelde materiaal mogen alleen zo lang worden bewaard als nodig is, en de bewaarplicht van de cliënt op basis van AML is die van de cliënt, niet die van u: dossiers onbeperkt bewaren omdat ze later nuttig kunnen zijn heeft geen wettelijke basis. Waar u als verwerker optreedt, moet verwijdering op instructie van de cliënt echt en aantoonbaar zijn.

Bij niet-naleving

Tot €20 miljoen of 4% van de totale wereldwijde jaarlijkse omzet. De blootstelling in deze sector is versterkt omdat onderwerpen die een rapport ontdekken agressief gebruik maken van toegangrechten, en een toegang verzoek onthult de hele verwerking: bronnen, afleidingen, bewaring en ontvangers. Laster- en rectificatieclaims lopen parallel via nationale rechtbanken, op kortere tijdschema's dan een toezichthoudend onderzoek.

Wie handhaaft

Gegevensbeschermingsautoriteiten in elke lidstaat waar onderwerpen zich bevinden, aangezien een verwerkingsverantwoordelijke zonder EU-vestiging geen leidende autoriteit heeft. Financiële toezichthouders waar de cliënt een gereguleerde instelling is. AI-wet markttoezichtautoriteiten vanaf 2026. Nationale rechtbanken voor nauwkeurigheids- en reputatieclaims.

Waar de grens ligt

Artikel 10 is de muur. Verwerking van persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en misdrijven mag alleen plaatsvinden onder controle van een officiële autoriteit of wanneer toegestaan door Unie- of lidstaatwetgeving die passende waarborgen biedt. Een particulier bedrijf dat screening voor strafregisters uitvoert, heeft die nationale autorisatie nodig, en deze verschilt per lidstaat: sommige staan het toe voor AML-verplichte entiteiten, anderen staan het helemaal niet toe voor commerciële verkopers. Sancties en PEP-lijsten zijn een andere zaak en zijn over het algemeen legaal, maar negatieve media bevatten routinematig beschuldigingen van crimineel gedrag, wat Artikel 10 weer via de zijdeur binnenbrengt. Een vertegenwoordigersmandaat dat dit niet expliciet dekt, is waardeloos in een onderzoek.

Veelgestelde vragen

We zoeken alleen openbare bronnen — is dat nog steeds verwerking?

Ja. Het verzamelen, structureren en analyseren van openbaar beschikbare informatie over identificeerbare personen is verwerking, en het feit dat een bron openbaar is, creëert geen wettelijke basis of verwijdert de verplichting van Artikel 14.

Moeten we het onderwerp vertellen dat we hen hebben geprofileerd?

Artikel 14 vereist dit, met uitzonderingen in Artikel 14(5) waaronder waar kennisgeving onmogelijk zou zijn of onevenredige inspanning zou vereisen, of waar het de doelstellingen van de verwerking onmogelijk zou maken of ernstig zou belemmeren. Die uitzonderingen moeten geval per geval worden gedocumenteerd en beoordeeld, niet voor de hele onderneming worden aangenomen.

Zijn we een verwerkingsverantwoordelijke of een verwerker?

Als de cliënt het onderwerp en het doel definieert en u alleen uitvoert, is verwerker betwistbaar. Als u verrijkt over cliënten, materiaal daarna bewaart, of uw modellen ermee verbetert, bent u een verwerkingsverantwoordelijke voor die doeleinden, ongeacht wat het contract zegt.

Is ons systeem risicovol onder de AI-wet?

Het hangt af van het gebruik. Systemen die kredietwaardigheid of toegang tot essentiële diensten evalueren, vallen onder Bijlage III. Systemen die door de wetshandhaving voor risicobeoordeling worden gebruikt, ook. Een hulpmiddel dat alleen aan particuliere compliance-teams wordt verkocht, kan buiten de reikwijdte vallen, maar de classificatie moet worden gedocumenteerd, niet aangenomen.