ANSPDCP Румъния: GDPR рискове в BPO
Румънският орган за защита на данните засилва прилагането на GDPR. Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP) обхваща един от най-бързо развиващите се сектори на аутсорсинг в ЕС.
Бухурещ, Клуж-Напока и Яши обработват записи на граждани на ЕС от Германия, Франция, Великобритания и Нидерландия. ANSPDCP е наложила глоби от 1,8 млн. евро по GDPR за периода от 2022 до 2024 г. BPO и аутсорсинг компаниите присъстват в повечето от тези случаи.
Риск в BPO: четири основни области
Голям обем лични данни. Кол центровете обработват спорове за плащания. Те обработват имена, адреси, номера на сметки и история на плащанията. Екипите за IT поддръжка имат достъп до системи на клиенти. Тези системи съдържат лична информация.
Записи на граждани на ЕС, обработвани в чужбина. Засегнатите лица са често германски, френски, нидерландски или британски граждани. При нарушение те се обръщат към своя домашен регулатор. Това добавя риск пред BfDI, CNIL, ICO или AP NL в допълнение към собствения надзор на ANSPDCP. За повече информация относно трансграничните случаи вижте нашето ръководство за GDPR на BfDI Германия.
Слаби вериги от обработващи лица. ANSPDCP е установила, че 45% от местните компании нямат валидни договори за обработка на данни с обработващите си лица. Всеки такъв договор трябва да изброява конкретните технически стъпки, които обработващото лице ще предприеме.
Пропуски при отнемане на достъп. BPO секторът се характеризира с висока текучество на персонала. ANSPDCP открива бивши служители с активен достъп седмици след напускането им. Това се появява в случай след случай.
CNP: ключовият идентификатор на Румъния
Cod Numeric Personal (CNP) е 13-цифрен национален идентификационен номер. В него са кодирани ключови лични данни:
- Цифра 1: Пол и век на раждане (1=мъж 1900–1999, 2=жена 1900–1999, 5=мъж 2000+, 6=жена 2000+, 7=мъж чужд гражданин, 8=жена чужд гражданин)
- Цифри 2–7: Дата на раждане (ГГММДД)
- Цифри 8–9: Код на окръга на раждане
- Цифри 10–12: Поредностен номер
- Цифра 13: Контролна цифра (претеглен модул 11)
CNP съдържа пол, дата на раждане, регион на раждане и статут на пребиваване. Това го прави много по-богат от повечето ЕС идентификатори. ANSPDCP е поставила CNP близо до статут на данни от специална категория.
Пропастта в засичането. Прегледът на ANSPDCP от 2024 г. е установил, че 78% от PII инструментите при аутсорсинг компаниите не могат да засекат CNP. Повечето нямат проверки на контролната сума. CNP номерата в данните на клиенти и служителите остават незабелязани. Записите, изпращани до компании-майки, могат да съдържат реални данни за граждани. Прегледите след нарушения разкриват CNP в файлове, обозначени като "анонимизирани".
Фокус на прилагането: 2024–2025 г.
Аудио от кол центрове. ANSPDCP е насочила вниманието си към записи без план за съхранение или контроли на достъпа. Запазването на аудио "безсрочно за нуждите на съответствието" без срок за изтриване нарушава GDPR.
Аутсорсинг в здравеопазването. Компаниите, обработващи медицински досиета, претенции или файлове за рецепти, са изложени на най-висок риск. Здравните записи са данни от специална категория по член 9. Те изискват изрично правно основание, DPIA и силни технически контроли.
Журнали за достъп. Одитите на ANSPDCP разкриват слаби журнали. Компаниите не могат да покажат до кои записи е осъществен достъп, от кого или кога. Журналите трябва да са достатъчно пълни, за да може след нарушение да се определи обхватът му.
Езикът: скрита пропаст
Местните документи съдържат идентификатори, които общите инструменти пропускат.
Cartea de identitate (CI). Това е националната лична карта. Тя има собствен формат на номера. Сканираните копия в досиетата за наемане изискват специфична логика за засичане.
Специфичен за езика NER. Тикетите за поддръжка и съобщенията на клиентите изискват NLP, изграден за този език. Инструментите, обучени на английски, показват лоши резултати тук.
Формати на адреси. Термини като Strada, Bulevardul и Numarul са специфични за този пазар. Модели, обучени на английски или немски, често ги пропускат.
За стъпки за постигане на стандарта на ANSPDCP вижте нашето ръководство за последователност на анонимизацията при одити по GDPR.
От какво се нуждаят BPO компаниите
Четири неща покриват техническия стандарт на ANSPDCP:
- Засичане на CNP с валидация на контролна сума
- Засичане на Cartea de identitate и паспорт
- Специфичен за езика NER
- Договори с обработващи лица с посочени технически стъпки