Verplichtingen · wat de wet al vraagt
De wet vraagt al om de registratie. Ze zegt niet hoe u ze zult bewijzen.
Vijf Europese wetten vragen een gereglementeerde onderneming iets te doen en later aan te tonen dat ze het deed: de behoeften van een klant vaststellen, een aanbeveling motiveren, de logs van een AI-systeem bewaren, een incident registreren. Elk laat u die registratie in uw eigen systemen bewaren. Geen enkele zegt hoe u jaren later zult aantonen dat de registratie die u voorlegt, de registratie is die toen bestond. Elk systeem dat een registratie bewaart, kan ze ook wijzigen: op de dag dat ze wordt betwist, is dat de beslissende vraag.
Deze pagina toont per wet wat de artikelen vragen, wanneer de registratie op de proef wordt gesteld, en wat een in het bewijslogboek verzegelde registratie toevoegt. De samenvattingen zijn van ons en de tekst op EUR-Lex is de wet. Het is oriëntatie, geen juridisch advies: of een artikel op u van toepassing is, en vanaf wanneer, stelt u zelf vast.
Vijf wetten, één vraag
| Wet | Wanneer de registratie op de proef wordt gesteld | Wat een verzegelde registratie toevoegt |
|---|---|---|
| Richtlijn verzekeringsdistributie (IDD) | Een klacht bij de verzekeraar of de Ombudsman, een schadegeval dat wordt geweigerd omdat de dekking niet bij de behoefte paste, een inspectie door de toezichthouder. | De nota over verlangens en behoeften en het advies worden verzegeld op het moment dat ze worden opgesteld: de nota die u voorlegt, is aantoonbaar de nota die vóór het contract bestond, en niet een nota die na de klacht werd geschreven. |
| MiFID II | Een klant betwist het advies na een verlies; de toezichthouder vraagt u elke fase ervan te reconstrueren. | Een correctie is een nieuwe verzegelde registratie die de registratie noemt die zij corrigeert, en de eerdere blijft bestaan: wat werd gewijzigd en wat ervoor stond, kan worden vastgesteld, zoals artikel 72, lid 1, beschrijft. |
| AI-verordening | Iemand die door een besluit wordt geraakt, vraagt om uitleg; een markttoezichtautoriteit vraagt om de logs. | Elk logsegment wordt verzegeld wanneer het wordt geschreven, met het aantal gebeurtenissen en het voorgaande segment: een ingekort, gewijzigd of ontbrekend segment valt op. |
| AVG, artikel 22 | Iemand betwist een geautomatiseerd besluit; de gegevensbeschermingsautoriteit vraagt u aan te tonen dat u de regels naleeft. | De grondslag van het besluit, en elke menselijke tussenkomst daarin, zijn aantoonbaar op het moment zelf vastgelegd, terwijl de registratie, die persoonsgegevens bevat, bij u blijft en kan worden gewist. |
| DORA | Uw autoriteit onderzoekt een ernstig incident; een auditor vergelijkt het rapport dat u bezit met het rapport dat u hebt verzonden. | De registratie van het incident en elk rapport worden verzegeld wanneer ze worden opgesteld: het rapport dat u vandaag bezit, is aantoonbaar het rapport dat u bezat op de dag dat u het indiende. |
Richtlijn verzekeringsdistributie (IDD)
- Voor wie
- Verzekeringsdistributeurs: makelaars, agenten, en verzekeraars die rechtstreeks verkopen. Of het op u van toepassing is, en vanaf wanneer, stelt u zelf vast aan de hand van de tekst.
- Wanneer het op de proef wordt gesteld
- Een klacht bij de verzekeraar of de Ombudsman, een schadegeval dat wordt geweigerd omdat de dekking niet bij de behoefte paste, een inspectie door de toezichthouder.
- Wat een verzegelde registratie toevoegt
- De nota over verlangens en behoeften en het advies worden verzegeld op het moment dat ze worden opgesteld: de nota die u voorlegt, is aantoonbaar de nota die vóór het contract bestond, en niet een nota die na de klacht werd geschreven.
- Hoe lang bewaren
- Dit pakket legt geen bewaartermijn vast. Ga na welke termijn voor u geldt bij uw toezichthouder of uw beroepsfederatie. In België is de richtlijn omgezet door de wet van 4 april 2014 betreffende de verzekeringen, en de FSMA houdt toezicht op de gedragsregels ervan.
- Wat vast te leggen
- Het Richtlijn verzekeringsdistributie (IDD)-pakket (in het Engels):
idd.demands-needs,idd.recommendation,idd.ipid-provided
| Artikel (link naar de tekst op EUR-Lex) | Wat het vraagt (onze samenvatting; de gelinkte tekst is de wet) |
|---|---|
| Richtlijn (EU) 2016/97, artikel 20, lid 1, eerste alinea | Vóór de sluiting van een contract de verlangens en behoeften van de klant vaststellen op basis van de van de klant verkregen informatie, en objectieve informatie over het product in een begrijpelijke vorm verstrekken. |
| Richtlijn (EU) 2016/97, artikel 20, lid 1, tweede alinea | Elk voorgesteld contract moet in overeenstemming zijn met de verlangens en behoeften van de klant op het gebied van verzekeringen. |
| Richtlijn (EU) 2016/97, artikel 20, lid 1, derde alinea | Wanneer vóór de sluiting van een specifiek contract advies wordt gegeven, de klant een gepersonaliseerde aanbeveling verstrekken waarin wordt uitgelegd waarom een bepaald product het best aan zijn verlangens en behoeften voldoet. |
| Richtlijn (EU) 2016/97, artikel 20, leden 4 tot en met 9 | Voor schadeverzekeringsproducten de productinformatie verstrekken via het gestandaardiseerde informatiedocument over het verzekeringsproduct (IPID). |
| Richtlijn (EU) 2016/97, artikel 23 | Hoe de informatie de klant bereikt: op papier, of op een andere duurzame drager of een website wanneer aan de voorwaarden daarvoor is voldaan. |
MiFID II
- Voor wie
- Beleggingsondernemingen die beleggingsadvies verlenen of portefeuillebeheer uitoefenen. Of het op u van toepassing is, en vanaf wanneer, stelt u zelf vast aan de hand van de tekst.
- Wanneer het op de proef wordt gesteld
- Een klant betwist het advies na een verlies; de toezichthouder vraagt u elke fase ervan te reconstrueren.
- Wat een verzegelde registratie toevoegt
- Een correctie is een nieuwe verzegelde registratie die de registratie noemt die zij corrigeert, en de eerdere blijft bestaan: wat werd gewijzigd en wat ervoor stond, kan worden vastgesteld, zoals artikel 72, lid 1, beschrijft.
- Hoe lang bewaren
- Dit pakket legt geen bewaartermijn vast. Ga na welke termijn voor u geldt bij uw bevoegde autoriteit; in België houdt de FSMA toezicht op deze gedragsregels.
- Wat vast te leggen
- Het MiFID II-pakket (in het Engels):
mifid.suitability,mifid.suitability-statement
| Artikel (link naar de tekst op EUR-Lex) | Wat het vraagt (onze samenvatting; de gelinkte tekst is de wet) |
|---|---|
| Richtlijn 2014/65/EU, artikel 25, lid 2 | Bij beleggingsadvies of portefeuillebeheer de nodige informatie inwinnen over de kennis en ervaring van de klant op het betrokken beleggingsgebied, zijn financiële situatie, inclusief zijn vermogen om verliezen te dragen, en zijn beleggingsdoelstellingen, inclusief zijn risicotolerantie, om te kunnen aanbevelen wat geschikt is. |
| Richtlijn 2014/65/EU, artikel 25, lid 6 | Bij beleggingsadvies, vóór de uitvoering van de transactie, de niet-professionele klant een geschiktheidsverklaring op een duurzame drager verstrekken waarin het verleende advies wordt vermeld en hoe het aansluit bij zijn voorkeuren, doelstellingen en andere kenmerken. |
| Gedelegeerde Verordening (EU) 2017/565 van de Commissie, artikel 54 | Hoe de geschiktheidsbeoordeling wordt uitgevoerd, en wat het geschiktheidsrapport moet bevatten. |
| Gedelegeerde Verordening (EU) 2017/565 van de Commissie, artikel 72, lid 1 | Registraties worden zo bewaard dat de bevoegde autoriteit er gemakkelijk toegang toe heeft en elke belangrijke fase kan reconstrueren, dat elke correctie of wijziging en de inhoud van vóór die wijziging gemakkelijk kunnen worden vastgesteld, en dat ze niet anderszins kunnen worden gemanipuleerd of gewijzigd. |
AI-verordening
- Voor wie
- Aanbieders en gebruiksverantwoordelijken van AI-systemen met een hoog risico, waaronder risicobeoordeling en prijszetting met betrekking tot natuurlijke personen bij levens- en ziektekostenverzekeringen, en de beoordeling van de kredietwaardigheid van natuurlijke personen (bijlage III, punt 5). Of het op u van toepassing is, en vanaf wanneer, stelt u zelf vast aan de hand van de tekst.
- Wanneer het op de proef wordt gesteld
- Iemand die door een besluit wordt geraakt, vraagt om uitleg; een markttoezichtautoriteit vraagt om de logs.
- Wat een verzegelde registratie toevoegt
- Elk logsegment wordt verzegeld wanneer het wordt geschreven, met het aantal gebeurtenissen en het voorgaande segment: een ingekort, gewijzigd of ontbrekend segment valt op.
- Hoe lang bewaren
- De artikelen 19, lid 1, en 26, lid 6, schrijven voor de logs die zij betreffen een minimum van zes maanden voor, tenzij ander recht anders bepaalt; dit pakket bepaalt uw termijn niet. Of uw systeem een hoog risico heeft, en vanaf wanneer deze verplichtingen erop van toepassing zijn, stelt u zelf vast aan de hand van de verordening.
- Wat vast te leggen
- Het AI-verordening-pakket (in het Engels):
ai.log-segment,ai.decision,ai.oversight
| Artikel (link naar de tekst op EUR-Lex) | Wat het vraagt (onze samenvatting; de gelinkte tekst is de wet) |
|---|---|
| Verordening (EU) 2024/1689, artikel 12, lid 1 | AI-systemen met een hoog risico moeten technisch de automatische registratie van gebeurtenissen (logs) gedurende de hele levensduur van het systeem mogelijk maken. |
| Verordening (EU) 2024/1689, artikel 12, lid 2 | De logging moet het mogelijk maken gebeurtenissen te registreren die relevant zijn om situaties te herkennen die tot een risico of een substantiële wijziging kunnen leiden, voor de monitoring na het in de handel brengen (artikel 72) en voor de monitoring van de werking van het systeem (artikel 26, lid 5). |
| Verordening (EU) 2024/1689, artikel 14, lid 4, punt d) | De personen die toezicht houden, moeten in elke specifieke situatie kunnen besluiten het systeem niet te gebruiken of de output ervan te negeren, terzijde te schuiven of terug te draaien. |
| Verordening (EU) 2024/1689, artikel 19, lid 1 | Aanbieders bewaren de logs die hun AI-systemen met een hoog risico automatisch genereren, voor zover die logs onder hun controle vallen, gedurende een periode die past bij het beoogde doel van het systeem en van ten minste zes maanden, tenzij het Unierecht of het nationale recht, met name inzake persoonsgegevens, anders bepaalt. |
| Verordening (EU) 2024/1689, artikel 19, lid 2 | Aanbieders die financiële instellingen zijn en onder interne governancevereisten van het Unierecht inzake financiële diensten vallen, bewaren die logs als onderdeel van de documentatie die zij krachtens dat recht bijhouden. |
| Verordening (EU) 2024/1689, artikel 26, lid 6 | Gebruiksverantwoordelijken bewaren de logs die het systeem automatisch genereert, voor zover die onder hun controle vallen, gedurende een periode die past bij het beoogde doel van het systeem en van ten minste zes maanden, tenzij het toepasselijke recht anders bepaalt. |
| Verordening (EU) 2024/1689, artikel 86, lid 1 | Wie geraakt wordt door een besluit dat een gebruiksverantwoordelijke neemt op basis van de output van een in bijlage III bedoeld AI-systeem met een hoog risico (behalve punt 2), met rechtsgevolgen of vergelijkbare aanzienlijke nadelige gevolgen, kan een duidelijke en zinvolle uitleg krijgen over de rol van het AI-systeem in het besluit en over de belangrijkste elementen van het genomen besluit. |
AVG, artikel 22
- Voor wie
- Elke verwerkingsverantwoordelijke wiens besluiten over personen geheel of gedeeltelijk door geautomatiseerde verwerking worden genomen. Of het op u van toepassing is, en vanaf wanneer, stelt u zelf vast aan de hand van de tekst.
- Wanneer het op de proef wordt gesteld
- Iemand betwist een geautomatiseerd besluit; de gegevensbeschermingsautoriteit vraagt u aan te tonen dat u de regels naleeft.
- Wat een verzegelde registratie toevoegt
- De grondslag van het besluit, en elke menselijke tussenkomst daarin, zijn aantoonbaar op het moment zelf vastgelegd, terwijl de registratie, die persoonsgegevens bevat, bij u blijft en kan worden gewist.
- Hoe lang bewaren
- Dit pakket legt geen bewaartermijn vast. De registraties zijn van u en bevatten persoonsgegevens onder uw controle: bewaar ze niet langer dan uw doeleinden vereisen; ze blijven wisbaar omdat ze u nooit verlaten. Alleen een gezouten vingerafdruk staat in het logboek, en zonder de registratie en haar zout kan niemand, ook wij niet, haar aan iemand koppelen.
- Wat vast te leggen
- Het AVG, artikel 22-pakket (in het Engels):
gdpr.automated-decision,gdpr.human-intervention
| Artikel (link naar de tekst op EUR-Lex) | Wat het vraagt (onze samenvatting; de gelinkte tekst is de wet) |
|---|---|
| Verordening (EU) 2016/679, artikel 5, lid 2 | De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van de beginselen van artikel 5, lid 1, en moet die kunnen aantonen. |
| Verordening (EU) 2016/679, artikel 13, lid 2, punt f), en artikel 14, lid 2, punt g) | De betrokkene informeren over het bestaan van geautomatiseerde besluitvorming, met inbegrip van profilering, als bedoeld in artikel 22, leden 1 en 4, en ten minste in die gevallen nuttige informatie verstrekken over de onderliggende logica en over het belang en de verwachte gevolgen. |
| Verordening (EU) 2016/679, artikel 22, lid 1 | Iedereen heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft. |
| Verordening (EU) 2016/679, artikel 22, lid 2 | Dat geldt niet wanneer het besluit noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst, is toegestaan bij Unierecht of lidstatelijk recht met passende waarborgen, of berust op de uitdrukkelijke toestemming van de betrokkene. |
| Verordening (EU) 2016/679, artikel 22, lid 3 | Wanneer de uitzondering van de overeenkomst of van de uitdrukkelijke toestemming van toepassing is, treft de verwerkingsverantwoordelijke passende maatregelen, ten minste het recht op menselijke tussenkomst, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten. |
DORA
- Voor wie
- Financiële entiteiten die onder DORA vallen, waaronder verzekeringsondernemingen en verzekeringstussenpersonen, behalve tussenpersonen die micro-, kleine of middelgrote ondernemingen zijn (artikel 2, lid 3). Of het op u van toepassing is, en vanaf wanneer, stelt u zelf vast aan de hand van de tekst.
- Wanneer het op de proef wordt gesteld
- Uw autoriteit onderzoekt een ernstig incident; een auditor vergelijkt het rapport dat u bezit met het rapport dat u hebt verzonden.
- Wat een verzegelde registratie toevoegt
- De registratie van het incident en elk rapport worden verzegeld wanneer ze worden opgesteld: het rapport dat u vandaag bezit, is aantoonbaar het rapport dat u bezat op de dag dat u het indiende.
- Hoe lang bewaren
- Dit pakket legt geen bewaartermijn vast. Ga die na bij uw bevoegde autoriteit.
- Wat vast te leggen
- Het DORA-pakket (in het Engels):
dora.incident,dora.incident-report,dora.register-snapshot
| Artikel (link naar de tekst op EUR-Lex) | Wat het vraagt (onze samenvatting; de gelinkte tekst is de wet) |
|---|---|
| Verordening (EU) 2022/2554, artikel 17, lid 1 | Een proces voor het beheer van ICT-gerelateerde incidenten vaststellen, opzetten en uitvoeren om die incidenten op te sporen, te beheren en te melden. |
| Verordening (EU) 2022/2554, artikel 17, lid 2 | Alle ICT-gerelateerde incidenten en significante cyberdreigingen registreren, met procedures voor consistente monitoring, afhandeling en opvolging, zodat de onderliggende oorzaken worden vastgesteld, gedocumenteerd en aangepakt. |
| Verordening (EU) 2022/2554, artikel 18 | ICT-gerelateerde incidenten classificeren en hun impact bepalen aan de hand van de criteria die het artikel vastlegt. |
| Verordening (EU) 2022/2554, artikel 19, lid 4 | Bij een ernstig ICT-gerelateerd incident bij de bevoegde autoriteit een eerste melding, een tussentijds verslag en een eindverslag indienen. |
| Verordening (EU) 2022/2554, artikel 28, lid 3 | Een register van informatie bijhouden en actualiseren over alle contractuele regelingen voor het gebruik van ICT-diensten die door derde aanbieders van ICT-diensten worden geleverd. |
Wat geen enkele wet vereist, en wat het logboek niet doet
- Geen wet noemt een product
- Geen van deze wetten vereist RiskRouter of enig ander product. U kunt elke verplichting zonder ons nakomen. Wat wij bieden, is een manier om aan te tonen dat u ze nakwam, die op niemands woord berust, ook niet op het onze.
- Het bewijst wanneer, niet of
- Een verzegelde registratie bestond aantoonbaar, ongewijzigd, uiterlijk op het moment van een ondertekende en verankerde kop. Het logboek kent de inhoud van de registratie niet: het kan haar niet juist, volledig of toereikend maken, en vastleggen maakt niemand in orde met de regels.
- De registratie blijft bij u
- Alleen een gezouten vingerafdruk van elke registratie wordt verzonden. De registratie, en de persoonsgegevens erin, bereiken ons nooit: u bewaart ze en kunt ze wissen. Gegevensbescherming (in het Engels)
- Het overleeft ons
- Elk bewijs is offline te controleren met de opensource-verificatietool, tegen gepubliceerde sleutels en verankeringen.
Om te beginnen: neem een sandboxsleutel en leg in enkele minuten een vingerafdruk vast, of lees wat u per regel vastlegt (in het Engels).