ANSPDCP Романија: GDPR-ризици во BPO
Романскиот орган за приватност го засилува извршувањето на GDPR. Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) го покрива еден од најбрзорастечките аутсорсинг сектори во ЕУ.
Бухурешт, Клуж-Напока и Јаши обработуваат записи за ЕУ граѓани од Германија, Франција, Обединетото Кралство и Холандија. ANSPDCP издаде 1,8 милиони евра GDPR-глоби од 2022 до 2024 г. BPO- и аутсорсинг-фирмите биле во повеќето од тие предмети.
BPO-изложеност: Четири основни ризични области
Голем обем на лични записи. Кол-центрите разгледуваат спорови за фактурирање. Обработуваат имиња, адреси, броеви на сметки и историја на плаќања. IT-поддршката пристапува до системите на клиентите. Тие системи содржат лични информации.
Записи за ЕУ граѓани обработени во странство. Погодените лица се честопати Германци, Французи, Холанѓани или Британци. Кога се случува кршење, тие се обраќаат до домашниот регулатор. Тоа додава изложеност пред BfDI, CNIL, ICO или AP NL врз ANSPDCP. За повеќе информации за прекугранични предмети, видете го нашиот водич за GDPR на BfDI Германија.
Слаби синџири на субобработувачи. ANSPDCP утврди дека 45% од локалните фирми немаат валидни Договори за обработка на податоци со нивните субобработувачи. Секој DPA мора да ги наведе техничките чекори кои субобработувачот ќе ги преземе.
Пропусти во отповикувањето на пристап. BPO-секторот има висока флуктуација на персоналот. ANSPDCP утврди дека поранешни вработени имаат активен пристап со недели по напуштањето. Ова се наоѓа во предмет по предмет.
CNP: Клучниот идентификатор на Романија
Cod Numeric Personal (CNP) е 13-цифрен национален идентификатор. Тој складира клучни лични факти:
- Цифра 1: Пол и век на раѓање (1=машки 1900–1999, 2=женски 1900–1999, 5=машки 2000+, 6=женски 2000+, 7=машки странски резидент, 8=женски странски резидент)
- Цифри 2–7: Датум на раѓање (GGMMDD)
- Цифри 8–9: Код на округот на раѓање
- Цифри 10–12: Сериски број
- Цифра 13: Контролна цифра (пондерирано modulus 11)
CNP складира пол, датум на раѓање, регион на раѓање и статус на резидентност. Тоа го прави побогат отколку повеќето ЕУ идентификатори. ANSPDCP го приближи CNP до статусот на податоци од посебна категорија.
Пропустот во откривањето. Прегледот на ANSPDCP за 2024 г. покажа дека 78% од PII-алатките кај аутсорсинг-фирмите не успеваат да го откријат CNP. На повеќето им недостасуваат проверки на контролната сума. CNP-броевите во записите за клиенти и вработените поминуваат незабележани. Записи испратени до матичните фирми може да содржат живи детали за граѓани. Прегледите по кршења откриваат CNP во досиња означени како "анонимизирани".
Фокус на извршувањето: 2024–2025 г.
Аудио-записи на кол-центри. ANSPDCP ги таргетираше снимките без план за задржување или контроли на пристап. Чување на аудио "на неопределено за усогласеност" без распоред за бришење го крши GDPR.
Аутсорсинг на здравствена грижа. Фирмите кои обработуваат медицински записи, барања или датотеки за рецепти се соочуваат со највисок ризик. Здравствените записи се посебна категорија по член 9. Бараат изрична правна основа, DPIA и силни технички контроли.
Дневници на пристап. Ревизиите на ANSPDCP наоѓаат слаби дневници. Фирмите не можат да покажат до кои записи е пристапено, од кого или кога. Дневниците мора да бидат доволно целосни за да се определи опфатот на кршење по неговото настанување.
Јазикот: Скриен пропуст
Локалните документи содржат идентификатори кои генеричките алатки ги пропуштаат.
Cartea de identitate (CI). Ова е националната лична карта. Таа има свој формат на број. Скенираните копии во досиињата за вработување бараат специфична логика за откривање.
NER специфичен за јазикот. Тикети за поддршка и пораки од клиенти бараат NLP изграден за овој јазик. Алатките обучени на англиски слабо се снаоѓаат тука.
Формати на адреси. Термини како Strada, Bulevardul и Numărul се единствени за овој пазар. Моделите обучени на англиски или германски јазик честопати ги пропуштаат.
За чекори за исполнување на стандардот на ANSPDCP, видете го нашиот водич за конзистентност на анонимизација за GDPR-ревизии.
Што им е потребно на BPO-фирмите
Четири работи го покриваат техничкиот стандард на ANSPDCP:
- Откривање на CNP со валидација на контролната сума
- Откривање на Cartea de identitate и пасоши
- NER специфичен за јазикот
- Договори со субобработувачи со именувани технички чекори