II.3.2 Financiële instellingen

De FTC is eveneens de handhavende instantie voor de Gramm Leach Bliley Act (‘GLBA’).1 Deze federale wet heeft betrekking op financiële gegevens en is van toepassing op financiële instellingen, banken, verzekeraars en andere financiële dienstverleners. De GLBA bevat regels over het verzamelen, gebruiken, delen en openbaar maken van niet-openbare2 financiële gegevens. Daarnaast is in de GLBA het transparantiebeginsel terug te zien in de verplichting voor financiële instellingen om hun klanten3 minstens één keer per jaar te informeren over de gegevens die worden gedeeld, met welke partijen wordt gedeeld en op welke wijze de gegevens worden beschermd.4 Bovendien moeten financiële instellingen hun klanten een (begrijpelijke en uitvoerbare) opt-out mogelijkheid bieden voor het geval zij het niet eens zijn met het delen van informatie.5

In de Safeguards Rule, onderdeel van de GLBA, is nader uitgewerkt welke beveiligingsmaatregelen financiële instellingen moeten treffen.6 Zij moeten onder andere een informatiebeveiligingsprogramma ontwikkelen, implementeren en bijhouden. Daarin moeten administratieve, technische en fysieke waarborgen zijn opgenomen. Deze waarborgen dienen passend te zijn voor de aard en omvang van de financiële instelling en haar activiteiten, en recht te doen aan de aard van de verwerkte gegevens.7

Naast de FTC speelt ook de Security Exchange Commission (‘SEC’) een actieve rol in de handhaving van de privacyregelgeving. De SEC ontleent haar bevoegdheid aan de GLBA. Haar taak is om privacyregelgeving te ontwikkelen voor een specifieke groep bedrijfstakken en deze regelgeving te handhaven.8

De SEC heeft deze regels – die grotendeels gelijk zijn aan de voornoemde Safeguards Rule – opgenomen in de Regulation S-P.9 Zij heeft deze al meermaals strikt gehandhaafd. Zo betaalde R.T. Jones in 2015 na een datalek waarbij de persoonsgegevens van circa 100.000 betrokkenen werden buitgemaakt een forse afkoopsom aan de SEC. Ook Morgan Stanley koos in 2016 voor betaling van een bedrag van één miljoen dollar nadat een werknemer gegevens van duizenden personen had gestolen.10 Zeker dit laatste geval, waarin Morgan Stanley in feite slachtoffer werd van haar eigen personeel, illustreert de strenge lijn die de SEC hanteert.

De GLBA en de Regulation S-P kennen beide geen meldplicht bij datalekken.