ANSPDCP Rumunija: BDAR rizikos BPO sektoriuje
Rumunijos privatumo institucija stiprina BDAR vykdymą. Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) prižiūri vieną sparčiausiai augančių ES autsorsingo sektorių.
Bukareštas, Kluž-Napoka ir Jašiai apdoroja ES piliečių įrašus iš Vokietijos, Prancūzijos, Jungtinės Karalystės ir Nyderlandų. ANSPDCP 2022–2024 m. skyrė 1,8 milijono EUR BDAR baudų. BPO ir autsorsingo įmonės buvo daugumoje tų bylų.
BPO poveikis: keturios pagrindinės rizikos sritys
Didelio kiekio asmens įrašai. Skambučių centrai nagrinėja sąskaitų ginčus. Jie apdoroja vardus, adresus, sąskaitų numerius ir mokėjimų istoriją. IT palaikymo komandos pasiekia klientų sistemas. Tos sistemos saugo asmeninę informaciją.
ES piliečių įrašai apdorojami užsienyje. Paveikti asmenys dažnai yra vokiečiai, prancūzai, olandai ar britai. Kai įvyksta pažeidimas, jie kreipiasi į savo namų reguliatorių. Tai prideda BfDI, CNIL, ICO ar AP NL poveikį be ANSPDCP savo poveikio. Daugiau apie tarpvalstybines bylas žr. mūsų BfDI Vokietijos BDAR vadovą.
Silpnos subprocesoriaus grandinės. ANSPDCP nustatė, kad 45 % vietos įmonių neturi galiojančių duomenų tvarkymo sutarčių su savo subprocesoriais. Kiekviena DPA turi išvardyti technines priemones, kurių imsis subprocesorius.
Prieigos atšaukimo spragos. BPO pasižymi dideliu darbuotojų kaitumu. ANSPDCP nustato, kad buvę darbuotojai turi aktyvią prieigą savaites po išvykimo. Tai atsiranda byloje po bylos.
CNP: Rumunijos pagrindinis identifikatorius
Cod Numeric Personal (CNP) yra 13 skaitmenų nacionalinis ID numeris. Jame saugomi pagrindiniai asmens faktai:
- 1 skaitmuo: Lytis ir gimimo amžius (1=vyras 1900–1999, 2=moteris 1900–1999, 5=vyras 2000+, 6=moteris 2000+, 7=vyras užsienietis, 8=moteris užsienietė)
- 2–7 skaitmenys: Gimimo data (YYMMDD)
- 8–9 skaitmenys: Gimimo apskrities kodas
- 10–12 skaitmenys: Eilės numeris
- 13 skaitmuo: Kontrolinis skaitmuo (svorinė modulus 11)
CNP saugo lytį, gimimo datą, gimimo regioną ir gyvenimo statusą. Tai daro jį kur kas turiningesnį nei dauguma ES ID. ANSPDCP suteikė CNP statusą, artimą ypatingos kategorijos.
Aptikimo spraga. ANSPDCP 2024 m. apžvalga parodė, kad 78 % PII įrankių autsorsingo įmonėse neaptinka CNP. Daugeliui trūksta kontrolinės sumos patikrų. CNP numeriai klientų ir darbuotojų failuose lieka nepastebėti. Patronuojančiosioms įmonėms siunčiami įrašai gali turėti tiesioginių piliečių duomenų. Pažeidimų analizė atskleidžia CNP failuose, pažymėtuose kaip anoniminiais.
Vykdymo dėmesys: 2024–2025 m.
Skambučių centro garso įrašai. ANSPDCP taikosi į įrašus be saugojimo plano ar prieigos kontrolių. Garso saugojimas neribotą laiką atitikties tikslais be ištrynimo grafiko pažeidžia BDAR.
Sveikatos priežiūros autsorsinga. Įmonės, apdorojančios medicinos įrašus, reikalavimus ar receptų failus, susiduria su didžiausia rizika. Sveikatos įrašai yra 9 straipsnio ypatingoji kategorija. Jiems reikia aiškaus teisinio pagrindo, DPIA ir stiprių techninių kontrolės priemonių.
Prieigos registravimas. ANSPDCP auditai nustato silpnus žurnalus. Įmonės negali parodyti, prie kurių įrašų buvo prieita, kas tai darė ar kada. Žurnalai turi būti pakankamai išsamūs, kad po pažeidimo būtų galima nustatyti jo mastą.
Kalba: paslėpta spraga
Vietos dokumentuose yra identifikatoriai, kuriuos praleidžia bendrieji įrankiai.
Cartea de identitate (CI). Tai nacionalinė tapatybės kortelė. Ji turi savo numerio formatą. Nuskaitytos kopijos registracijos failuose reikalauja specifinės aptikimo logikos.
Kalbai būdinga NER. Palaikymo bilietai ir klientų žinutės reikalauja NLP, sukurto šiai kalbai. Anglų kalba apmokyti įrankiai čia veikia prastai.
Adresų formatai. Tokie terminai kaip Strada, Bulevardul ir Numărul yra unikalūs šiai rinkai. Anglų ar vokiečių kalbomis apmokyti modeliai dažnai juos praleidžia.
Dėl žingsnių, skirtų atitikti ANSPDCP standartą, žr. mūsų vadovą apie anonimizacijos nuoseklumą BDAR auditams.
Ko reikia BPO įmonėms
Keturi dalykai atitinka ANSPDCP techninį standartą:
- CNP aptikimas su kontrolinės sumos tikrinimu
- Cartea de identitate ir paso aptikimas
- Kalbai būdinga NER
- Subprocesoriaus sutartys su konkrečiais techniniais žingsniais