ANSPDCP Roumanie : Risques RGPD dans l'externalisation
L'autorité de protection des données de Roumanie renforce son application. L'Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) couvre l'un des secteurs d'externalisation à la croissance la plus rapide de l'UE.
Bucarest, Cluj-Napoca et Iași traitent des données de citoyens européens en provenance d'Allemagne, de France, du Royaume-Uni et des Pays-Bas. L'ANSPDCP a infligé 1,8 million d'euros d'amendes RGPD de 2022 à 2024. Les entreprises de BPO et d'externalisation étaient au cœur de la plupart des cas.
Exposition BPO : Quatre domaines de risque clés
Données personnelles à fort volume. Les centres d'appels traitent les litiges de facturation. Ils traitent des noms, adresses, numéros de compte et historiques de paiement. Les équipes de support IT accèdent aux systèmes clients. Ces systèmes contiennent des données personnelles.
Données de citoyens UE traitées à l'étranger. Les personnes concernées sont souvent allemandes, françaises, néerlandaises ou britanniques. En cas d'incident, elles contactent leur autorité nationale. Cela ajoute l'exposition au BfDI, à la CNIL, à l'ICO ou à l'AP NL en plus de la compétence propre de l'ANSPDCP. Pour en savoir plus sur les cas transfrontaliers, consultez notre guide RGPD BfDI Allemagne.
Chaînes de sous-traitance défaillantes. L'ANSPDCP a constaté que 45 % des entreprises locales n'ont pas de contrats de traitement des données valides avec leurs sous-traitants. Chaque contrat doit préciser les mesures techniques appliquées par le sous-traitant.
Lacunes dans la révocation des accès. Le BPO présente un fort taux de rotation. L'ANSPDCP trouve régulièrement d'anciens employés avec un accès actif des semaines après leur départ. Ce schéma revient dans de nombreux cas.
Le CNP : L'identifiant principal de la Roumanie
Le Cod Numeric Personal (CNP) est un numéro d'identification national à 13 chiffres. Il contient des informations personnelles clés :
- Chiffre 1 : Genre et siècle de naissance (1=homme 1900–1999, 2=femme 1900–1999, 5=homme à partir de 2000, 6=femme à partir de 2000, 7=résident étranger masculin, 8=résidente étrangère)
- Chiffres 2–7 : Date de naissance (AAMMJJ)
- Chiffres 8–9 : Code du département de naissance
- Chiffres 10–12 : Numéro séquentiel
- Chiffre 13 : Clé de contrôle (modulo 11 pondéré)
Le CNP encode le genre, la date de naissance, la région de naissance et le statut de résidence. Il est bien plus riche que la plupart des identifiants européens. L'ANSPDCP a classé le CNP près du statut de catégorie spéciale.
Le problème de détection. L'examen 2024 de l'ANSPDCP a révélé que 78 % des outils PII utilisés dans les entreprises d'externalisation ne détectent pas le CNP. La plupart manquent de contrôles de somme de contrôle. Les numéros CNP dans les dossiers clients et les fichiers employés passent inaperçus. Les données envoyées aux sociétés mères peuvent contenir des informations sur des citoyens identifiables. Les analyses post-incident révèlent des CNP dans des fichiers étiquetés « anonymisés ».
Priorités d'application 2024–2025
Enregistrement audio en centre d'appels. L'ANSPDCP a ciblé les pratiques d'enregistrement sans plan de conservation ni contrôles d'accès. Conserver des enregistrements « indéfiniment pour la conformité » sans calendrier de suppression viole le RGPD.
Externalisation dans la santé. Les entreprises qui traitent des dossiers médicaux, des réclamations ou des prescriptions font face au risque d'amende le plus élevé. Les données de santé relèvent de l'article 9 sur les catégories spéciales. Elles nécessitent une base légale explicite, une AIPD et des contrôles techniques renforcés.
Journaux d'accès. Les audits de l'ANSPDCP relèvent régulièrement des journaux insuffisants. Les entreprises ne peuvent pas démontrer quels enregistrements ont été consultés, par qui et quand. Les journaux doivent être assez complets pour délimiter la portée d'un incident.
Langue : Une lacune de détection cachée
Les documents locaux contiennent des identifiants que les outils génériques manquent.
Cartea de identitate (CI). Il s'agit de la carte d'identité nationale. Elle a son propre format de numéro. Les copies scannées dans les dossiers d'intégration nécessitent une logique de détection spécifique.
NER spécifique à la langue. Les tickets de support et les messages clients nécessitent un NLP conçu pour cette langue. Les outils entraînés en anglais fonctionnent mal ici.
Formats d'adresse. Les termes Strada, Bulevardul et Numărul sont propres à ce marché. Les modèles entraînés en anglais ou en allemand les manquent souvent.
Pour les étapes techniques pour satisfaire le standard de l'ANSPDCP, consultez notre guide sur la cohérence de l'anonymisation pour les audits RGPD.
Ce dont les entreprises BPO ont besoin
Quatre capacités couvrent le standard technique de l'ANSPDCP :
- Détection du CNP avec validation de la somme de contrôle
- Détection de la Cartea de identitate et des passeports
- NER spécifique à la langue
- Contrats de sous-traitance avec mesures techniques nommées