ANSPDCP Romania: Rischi GDPR nel Settore BPO
L'autorità garante romena sta intensificando l'applicazione del GDPR. L'Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) sovrintende uno dei settori di outsourcing in più rapida crescita dell'UE.
Bucarest, Cluj-Napoca e Iași elaborano tutte dati di cittadini europei provenienti da Germania, Francia, Regno Unito e Paesi Bassi. L'ANSPDCP ha irrogato €1,8 milioni di sanzioni GDPR tra il 2022 e il 2024. La maggior parte dei casi ha coinvolto aziende BPO e di outsourcing.
Esposizione nel BPO: Quattro Aree di Rischio Principali
Grandi volumi di dati personali. I call center gestiscono controversie di fatturazione ed elaborano nomi, indirizzi, numeri di conto e storico dei pagamenti. I team di supporto IT accedono ai sistemi dei clienti, che contengono informazioni personali.
Dati di cittadini UE elaborati all'estero. Le persone interessate sono spesso tedesche, francesi, olandesi o britanniche. In caso di violazione, si rivolgono all'autorità garante del proprio paese. Questo aggiunge un'esposizione verso BfDI, CNIL, ICO o AP NL, oltre a quella dell'ANSPDCP stessa. Per approfondire i casi transfrontalieri, consulta la nostra guida GDPR della BfDI tedesca.
Catene di subprocessori deboli. L'ANSPDCP ha riscontrato che il 45% delle aziende locali non dispone di Accordi di Trattamento dei Dati validi con i propri subprocessori. Ogni DPA deve elencare le misure tecniche adottate dal subprocessore.
Lacune nella revoca degli accessi. Il BPO è caratterizzato da un elevato turnover del personale. L'ANSPDCP riscontra regolarmente ex dipendenti con accessi attivi settimane dopo la cessazione del rapporto di lavoro.
Il CNP: L'Identificativo Chiave della Romania
Il Cod Numeric Personal (CNP) è un numero d'identità nazionale a 13 cifre che contiene informazioni personali fondamentali:
- Cifra 1: Genere e secolo di nascita (1=maschio 1900–1999, 2=femmina 1900–1999, 5=maschio 2000+, 6=femmina 2000+, 7=maschio residente straniero, 8=femmina residente straniera)
- Cifre 2–7: Data di nascita (AAMMGG)
- Cifre 8–9: Codice della contea di nascita
- Cifre 10–12: Numero progressivo
- Cifra 13: Cifra di controllo (modulo 11 ponderato)
Il CNP contiene genere, data di nascita, regione di nascita e stato di residenza. Questo lo rende molto più ricco della maggior parte degli ID europei. L'ANSPDCP ha attribuito al CNP uno status prossimo a quello dei dati di categoria speciale.
Il gap nel rilevamento. La revisione 2024 dell'ANSPDCP ha rilevato che il 78% degli strumenti PII presso le aziende di outsourcing non rileva il CNP. La maggior parte è priva di controlli checksum. I numeri CNP presenti nei dati dei clienti e nei fascicoli dei dipendenti passano inosservati. I file inviati alle capogruppo possono contenere dati reali dei cittadini. Le revisioni post-violazione rivelano CNP in file etichettati come «anonimizzati».
Priorità di Enforcement: 2024–2025
Audio dei call center. L'ANSPDCP ha preso di mira le registrazioni prive di policy di conservazione o controlli di accesso. Conservare audio «indefinitamente per motivi di conformità» senza un piano di cancellazione viola il GDPR.
Outsourcing sanitario. Le aziende che elaborano cartelle cliniche, rimborsi o file di prescrizioni affrontano il rischio più elevato. Le cartelle sanitarie sono dati di categoria speciale ai sensi dell'articolo 9 e richiedono una base giuridica esplicita, una DPIA e solidi controlli tecnici.
Registrazione degli accessi. Gli audit dell'ANSPDCP rilevano log lacunosi. Le aziende non riescono a dimostrare quali record siano stati consultati, da chi e quando. I log devono essere sufficientemente dettagliati da consentire la ricostruzione dell'impatto di una violazione.
La Lingua: Un Gap Nascosto
I documenti locali contengono identificativi che gli strumenti generici non rilevano.
Cartea de identitate (CI). Si tratta della carta d'identità nazionale, con un proprio formato numerico. Le copie scansionate nei fascicoli di onboarding richiedono logica di rilevamento specifica.
NER specifico per la lingua. I ticket di supporto e i messaggi dei clienti richiedono elaborazione NLP sviluppata per questa lingua. Gli strumenti addestrati sull'inglese hanno prestazioni scarse.
Formati degli indirizzi. Termini come Strada, Bulevardul e Numărul sono specifici di questo mercato. I modelli addestrati sull'inglese o sul tedesco spesso non li riconoscono.
Per adeguarsi allo standard tecnico dell'ANSPDCP, consulta la nostra guida sulla coerenza dell'anonimizzazione per gli audit GDPR.
Cosa Serve alle Aziende BPO
Quattro elementi soddisfano lo standard tecnico dell'ANSPDCP:
- Rilevamento del CNP con validazione checksum
- Rilevamento della Cartea de identitate e del passaporto
- NER specifico per la lingua romena
- Accordi con i subprocessori che specificano le misure tecniche adottate