ANSPDCP Ρουμανία: Κίνδυνοι GDPR στο BPO
Η ρουμανική αρχή προστασίας δεδομένων εντείνει την επιβολή του GDPR. Η Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) εποπτεύει έναν από τους ταχύτερα αναπτυσσόμενους τομείς ανάθεσης εξωτερικών υπηρεσιών στην ΕΕ.
Το Βουκουρέστι, η Κλουζ-Ναπόκα και το Ιάσιο επεξεργάζονται αρχεία πολιτών της ΕΕ από τη Γερμανία, τη Γαλλία, το Ηνωμένο Βασίλειο και τις Κάτω Χώρες. Η ANSPDCP επέβαλε πρόστιμα €1,8 εκατομμυρίων για παραβάσεις GDPR από το 2022 έως το 2024. Οι εταιρείες BPO και ανάθεσης εξωτερικών υπηρεσιών συμμετείχαν στη συντριπτική πλειονότητα αυτών των υποθέσεων.
Έκθεση BPO: Τέσσερις Βασικοί Τομείς Κινδύνου
Μεγάλος όγκος προσωπικών αρχείων. Τα call centers χειρίζονται διαφορές χρέωσης. Επεξεργάζονται ονόματα, διευθύνσεις, αριθμούς λογαριασμών και ιστορικό πληρωμών. Τα τμήματα τεχνικής υποστήριξης αποκτούν πρόσβαση σε συστήματα πελατών που περιέχουν προσωπικές πληροφορίες.
Αρχεία πολιτών της ΕΕ που επεξεργάζονται στο εξωτερικό. Τα θιγόμενα άτομα είναι συχνά Γερμανοί, Γάλλοι, Ολλανδοί ή Βρετανοί. Όταν συμβαίνει παραβίαση, απευθύνονται στη ρυθμιστική αρχή της χώρας τους. Αυτό προσθέτει έκθεση στις αρχές BfDI, CNIL, ICO ή AP NL πέρα από αυτή της ANSPDCP. Για περισσότερες πληροφορίες σχετικά με διασυνοριακές υποθέσεις, δείτε τον οδηγό GDPR για τη Γερμανία BfDI.
Αδύναμες αλυσίδες υπεργολάβων. Η ANSPDCP διαπίστωσε ότι το 45% των τοπικών εταιρειών δεν διαθέτουν έγκυρες Συμβάσεις Επεξεργασίας Δεδομένων με τους υπεργολάβους τους. Κάθε σύμβαση πρέπει να απαριθμεί τα τεχνικά μέτρα που θα λάβει ο υπεργολάβος.
Κενά στην ανάκληση πρόσβασης. Ο τομέας BPO χαρακτηρίζεται από υψηλή κινητικότητα προσωπικού. Η ANSPDCP εντοπίζει πρώην υπαλλήλους με ενεργή πρόσβαση εβδομάδες μετά την αποχώρησή τους. Αυτό επαναλαμβάνεται σε υποθέσεις μετά από υπόθεση.
Ο CNP: Το Βασικό Αναγνωριστικό της Ρουμανίας
Ο Cod Numeric Personal (CNP) είναι ένας 13ψήφιος εθνικός αριθμός ταυτότητας. Αποθηκεύει βασικά προσωπικά στοιχεία:
- Ψηφίο 1: Φύλο και αιώνας γέννησης (1=άνδρας 1900–1999, 2=γυναίκα 1900–1999, 5=άνδρας 2000+, 6=γυναίκα 2000+, 7=άνδρας αλλοδαπός κάτοικος, 8=γυναίκα αλλοδαπή κάτοικος)
- Ψηφία 2–7: Ημερομηνία γέννησης (ΕΕΜΜΗΗ)
- Ψηφία 8–9: Κωδικός νομού γέννησης
- Ψηφία 10–12: Αύξων αριθμός
- Ψηφίο 13: Ψηφίο ελέγχου (σταθμισμένο modulus 11)
Ο CNP αποθηκεύει φύλο, ημερομηνία γέννησης, περιοχή γέννησης και καθεστώς διαμονής. Αυτό τον καθιστά πολύ πλουσιότερο σε πληροφορίες από τα περισσότερα ευρωπαϊκά αναγνωριστικά. Η ANSPDCP έχει τοποθετήσει τον CNP κοντά σε ειδική κατηγορία δεδομένων.
Το κενό εντοπισμού. Η αναθεώρηση της ANSPDCP για το 2024 διαπίστωσε ότι το 78% των εργαλείων PII σε εταιρείες ανάθεσης εξωτερικών υπηρεσιών αποτυγχάνει να εντοπίσει τον CNP. Τα περισσότερα δεν διαθέτουν ελέγχους αθροίσματος ελέγχου. Αριθμοί CNP σε αρχεία πελατών και υπαλλήλων περνούν απαρατήρητοι. Αρχεία που αποστέλλονται σε μητρικές εταιρείες μπορεί να περιέχουν αληθινά στοιχεία πολιτών. Αναθεωρήσεις μετά από παραβίαση αποκαλύπτουν CNP σε αρχεία με ετικέτα «ανωνυμοποιημένα».
Εστίαση Επιβολής: 2024–2025
Ηχητικά αρχεία call center. Η ANSPDCP στόχευσε ηχογραφήσεις χωρίς σχέδιο διατήρησης ή ελέγχους πρόσβασης. Η διατήρηση ηχητικών αρχείων «επ' αόριστον για λόγους συμμόρφωσης» χωρίς χρονοδιάγραμμα διαγραφής παραβιάζει το GDPR.
Ανάθεση εξωτερικών υπηρεσιών υγειονομικής περίθαλψης. Οι εταιρείες που επεξεργάζονται ιατρικά αρχεία, αιτήματα ή αρχεία συνταγογράφησης αντιμετωπίζουν τον υψηλότερο κίνδυνο. Τα ιατρικά αρχεία είναι ειδική κατηγορία του Άρθρου 9. Απαιτούν ρητή νομική βάση, ΕΑΠΔ και ισχυρά τεχνικά μέτρα ελέγχου.
Καταγραφή πρόσβασης. Οι έλεγχοι της ANSPDCP εντοπίζουν αδύναμα αρχεία καταγραφής. Οι εταιρείες δεν μπορούν να αποδείξουν σε ποια αρχεία έγινε πρόσβαση, από ποιον ή πότε. Τα αρχεία καταγραφής πρέπει να είναι αρκετά πλήρη για να προσδιορίσουν την έκταση μιας παραβίασης αφού συμβεί.
Γλώσσα: Ένα Κρυμμένο Κενό
Τα τοπικά έγγραφα περιέχουν αναγνωριστικά που τα γενικά εργαλεία παραλείπουν.
Cartea de identitate (CI). Αυτή είναι η εθνική ταυτότητα. Έχει τη δική της μορφή αριθμού. Τα σαρωμένα αντίγραφα σε αρχεία επισκόπησης απαιτούν συγκεκριμένη λογική εντοπισμού.
Ανάλυση οντοτήτων ειδική για τη γλώσσα. Τα δελτία εξυπηρέτησης και τα μηνύματα πελατών απαιτούν NLP σχεδιασμένο για τη ρουμανική γλώσσα. Τα εργαλεία εκπαιδευμένα στα αγγλικά αποδίδουν κακώς.
Μορφές διεύθυνσης. Όροι όπως Strada, Bulevardul και Numărul είναι μοναδικοί σε αυτή την αγορά. Τα μοντέλα εκπαιδευμένα στα αγγλικά ή γερμανικά τους χάνουν συχνά.
Για βήματα για να πληροίτε τις απαιτήσεις της ANSPDCP, δείτε τον οδηγό μας για συνέπεια ανωνυμοποίησης για ελέγχους GDPR.
Τι Χρειάζονται οι Εταιρείες BPO
Τέσσερα στοιχεία καλύπτουν το τεχνικό πρότυπο της ANSPDCP:
- Εντοπισμός CNP με επικύρωση αθροίσματος ελέγχου
- Εντοπισμός Cartea de identitate και διαβατηρίου
- Ανάλυση οντοτήτων ειδική για τη γλώσσα
- Συμβάσεις υπεργολάβων με ονομαστικά τεχνικά βήματα