ANSPDCP رومانيا: مخاطر اللائحة GDPR في قطاع خدمات الأعمال
تُصعّد الجهة التنظيمية الرومانية لحماية الخصوصية تطبيق اللائحة GDPR. تُشرف الوكالة الوطنية لمراقبة معالجة البيانات الشخصية (ANSPDCP) على أحد أسرع قطاعات الاستعانة بمصادر خارجية نموًا في الاتحاد الأوروبي.
تعالج بوخارست وكلوج-نابوكا وياشي سجلات مواطنين أوروبيين من ألمانيا وفرنسا والمملكة المتحدة وهولندا. أصدرت ANSPDCP غرامات بموجب اللائحة GDPR تبلغ 1.8 مليون يورو من 2022 إلى 2024، وتورطت شركات BPO والاستعانة بمصادر خارجية في معظم تلك القضايا.
التعرض في قطاع BPO: أربعة مجالات مخاطر رئيسية
سجلات شخصية بأحجام ضخمة. تتعامل مراكز الاتصال مع نزاعات الفواتير، فتعالج الأسماء والعناوين وأرقام الحسابات وسجلات المدفوعات. تصل فرق دعم تقنية المعلومات إلى أنظمة العملاء التي تحتوي على معلومات شخصية.
سجلات مواطنين أوروبيين تُعالج في الخارج. كثيرًا ما يكون المتضررون ألمانًا أو فرنسيين أو هولنديين أو بريطانيين. حين يقع خرق، يلجؤون إلى جهتهم التنظيمية المحلية، مما يُضيف تعرضًا أمام BfDI وCNIL وICO وAP NL فوق تعرض ANSPDCP المباشر. لمزيد من التفاصيل حول القضايا العابرة للحدود، راجع دليل BFDI ألمانيا للامتثال للائحة GDPR.
ضعف سلاسل المعالجين الفرعيين. وجدت ANSPDCP أن 45% من الشركات المحلية تفتقر إلى اتفاقيات معالجة البيانات (DPA) الصحيحة مع معالجيها الفرعيين، ويجب أن تُدرج كل اتفاقية الخطوات التقنية التي سيتخذها المعالج الفرعي.
ثغرات في إلغاء صلاحيات الوصول. يتسم قطاع BPO بمعدل دوران وظيفي مرتفع. تُحدد ANSPDCP موظفين سابقين يملكون وصولًا فعّالًا بعد أسابيع من مغادرتهم، وهذا ما يتكرر في القضايا.
رقم CNP: المعرّف الرئيسي في رومانيا
رقم CNP (الرمز الرقمي الشخصي) هو رقم هوية وطني من 13 رقمًا يُخزّن حقائق شخصية أساسية:
- الرقم 1: الجنس وقرن الميلاد (1 = ذكر 1900–1999، 2 = أنثى 1900–1999، 5 = ذكر 2000+، 6 = أنثى 2000+، 7 = ذكر مقيم أجنبي، 8 = أنثى مقيمة أجنبية)
- الأرقام 2–7: تاريخ الميلاد (YYMMDD)
- الأرقام 8–9: رمز مقاطعة الميلاد
- الأرقام 10–12: رقم تسلسلي
- الرقم 13: رقم تحقق (modulus 11 موزون)
يُخزّن رقم CNP الجنس وتاريخ الميلاد والمنطقة الجغرافية للولادة وحالة الإقامة، مما يجعله أغنى وأكثر دلالة من معظم المعرّفات الأوروبية. وقد صنّفت ANSPDCP رقم CNP قريبًا من مرتبة البيانات ذات الفئة الخاصة.
فجوة الكشف. وجد تدقيق ANSPDCP لعام 2024 أن 78% من أدوات تحديد المعلومات الشخصية لدى شركات الاستعانة بمصادر خارجية تفشل في الكشف عن رقم CNP؛ إذ تفتقر معظمها إلى فحوصات مجموع المراجعة، فتمر أرقام CNP في سجلات العملاء والموظفين دون أن تُلاحَظ، وقد تنتقل سجلات تحتوي على تفاصيل مواطنين حية إلى الشركات الأم، وتكشف المراجعات اللاحقة للاختراقات عن أرقام CNP في ملفات مُصنَّفة بوصفها «مجهولة الهوية».
محاور تنفيذ 2024–2025
تسجيلات مراكز الاتصال الصوتية. استهدفت ANSPDCP التسجيلات التي تفتقر إلى خطة احتفاظ أو ضوابط وصول. يُخالف الاحتفاظ بالتسجيلات الصوتية «إلى أجل غير مسمى للامتثال» دون جدول حذف اللائحةَ GDPR.
الاستعانة بمصادر خارجية في الرعاية الصحية. الشركات التي تعالج السجلات الطبية أو مطالبات التأمين أو ملفات الوصفات الطبية تواجه أعلى المخاطر؛ فالسجلات الصحية بيانات من الفئة الخاصة بموجب المادة 9، وتستلزم أساسًا قانونيًا صريحًا وتقييم أثر DPIA وضوابط تقنية قوية.
تسجيل الوصول. تُفيد مراجعات ANSPDCP بضعف السجلات؛ إذ تعجز الشركات عن إثبات أي سجلات وُصل إليها ومن ومتى. يجب أن تكون السجلات وافية بما يكفي لتحديد نطاق الخرق بعد وقوعه.
اللغة: فجوة خفية
تحتوي الوثائق المحلية على معرّفات تُغفلها الأدوات العامة.
بطاقة الهوية (CI). لها تنسيق رقم خاص بها. تحتاج النسخ الممسوحة ضوئيًا في ملفات الانضمام إلى منطق كشف خاص.
التعرف على الكيانات المسمّاة بلغة محددة. تتطلب تذاكر الدعم ورسائل العملاء معالجة لغة طبيعية مبنية لهذه اللغة؛ فالأدوات المُدرَّبة على الإنجليزية تُؤدي أداءً ضعيفًا هنا.
صيغ العناوين. مصطلحات من قبيل Strada وBulevardul وNumărul فريدة لهذا السوق؛ كثيرًا ما تُغفلها النماذج المُدرَّبة على الإنجليزية أو الألمانية.
للاطلاع على الخطوات اللازمة لاستيفاء معيار ANSPDCP، راجع دليلنا حول اتساق إخفاء الهوية لتدقيقات اللائحة GDPR.
ما تحتاجه شركات BPO
أربعة عناصر تستوفي المعيار التقني لـ ANSPDCP:
- الكشف عن رقم CNP مع التحقق من مجموع المراجعة
- الكشف عن بطاقة الهوية وجواز السفر
- التعرف على الكيانات المسمّاة بلغة محددة
- اتفاقيات المعالجين الفرعيين مع خطوات تقنية مُسمَّاة