ANSPDCP Romania: Risiko GDPR dalam BPO
Pihak berkuasa privasi Romania sedang meningkatkan penguatkuasaan GDPR. Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP) merangkumi salah satu sektor pengalihdayaan EU yang paling pesat berkembang.
Bucharest, Cluj-Napoca, dan Iasi semuanya memproses rekod warganegara EU dari Jerman, Perancis, UK, dan Belanda. ANSPDCP mengeluarkan €1.8 juta denda GDPR dari 2022 hingga 2024. Syarikat BPO dan pengalihdayaan terlibat dalam kebanyakan kes tersebut.
Pendedahan BPO: Empat Bidang Risiko Teras
Rekod peribadi bervolum tinggi. Pusat panggilan mengendalikan pertikaian pengebilan. Mereka memproses nama, alamat, nombor akaun, dan sejarah pembayaran. Pasukan sokongan IT mengakses sistem pelanggan. Sistem tersebut menyimpan maklumat peribadi.
Rekod warganegara EU diproses di luar negara. Orang yang terjejas selalunya berbangsa Jerman, Perancis, Belanda, atau British. Apabila pelanggaran berlaku, mereka pergi kepada pengawal selia asal mereka. Itu menambah pendedahan BfDI, CNIL, ICO, atau AP NL di atas pendedahan ANSPDCP sendiri. Untuk maklumat lanjut mengenai kes rentas sempadan, lihat panduan GDPR BFDI Jerman kami.
Rantaian subpemproses yang lemah. ANSPDCP mendapati 45% syarikat tempatan tidak mempunyai Perjanjian Pemprosesan Data yang sah dengan subpemproses mereka. Setiap DPA mesti menyenaraikan langkah teknikal yang akan diambil oleh subpemproses.
Jurang pembatalan akses. BPO mempunyai kadar perolehan kakitangan yang tinggi. ANSPDCP mendapati bekas kakitangan dengan akses aktif berminggu-minggu selepas meninggalkan. Ini muncul dalam kes demi kes.
CNP: Pengecam Utama Romania
Cod Numeric Personal (CNP) ialah nombor ID nasional 13 digit. Ia menyimpan fakta peribadi utama:
- Digit 1: Jantina dan abad lahir (1=lelaki 1900-1999, 2=perempuan 1900-1999, 5=lelaki 2000+, 6=perempuan 2000+, 7=lelaki pemastautin asing, 8=perempuan pemastautin asing)
- Digit 2-7: Tarikh lahir (HHBBTT)
- Digit 8-9: Kod daerah kelahiran
- Digit 10-12: Nombor berurutan
- Digit 13: Digit semak (modulus 11 berwajaran)
CNP menyimpan jantina, tarikh lahir, wilayah kelahiran, dan status pemastautin. Ini menjadikannya jauh lebih kaya daripada kebanyakan ID EU. ANSPDCP telah menempatkan CNP hampir dengan status kategori khas.
Jurang pengesanan. Ulasan 2024 ANSPDCP mendapati bahawa 78% alat PII di syarikat pengalihdayaan gagal mengesan CNP. Kebanyakan tidak mempunyai semakan checksum. Nombor CNP dalam rekod pelanggan dan fail pekerja tidak disedari. Rekod yang dihantar kepada syarikat induk mungkin mengandungi butiran warganegara sebenar. Ulasan selepas pelanggaran mendedahkan CNP dalam fail berlabel "tanpa nama."
Tumpuan Penguatkuasaan: 2024-2025
Audio pusat panggilan. ANSPDCP telah menyasarkan rakaman tanpa pelan pengekalan atau kawalan akses. Menyimpan audio "tanpa had untuk pematuhan" tanpa jadual pemadaman melanggar GDPR.
Pengalihdayaan penjagaan kesihatan. Syarikat yang memproses rekod perubatan, tuntutan, atau fail preskripsi menghadapi risiko tertinggi. Rekod kesihatan adalah kategori khas Artikel 9. Mereka memerlukan asas undang-undang yang jelas, DPIA, dan kawalan teknikal yang kukuh.
Pengelogan akses. Audit ANSPDCP mendapati log yang lemah. Syarikat tidak dapat menunjukkan rekod mana yang diakses, oleh siapa, atau bila. Log mesti cukup lengkap untuk menentukan skop pelanggaran selepas ia berlaku.
Bahasa: Jurang Tersembunyi
Dokumen tempatan mengandungi pengecam yang terlepas oleh alat generik.
Cartea de identitate (CI). Ini ialah kad pengenalan nasional. Ia mempunyai format nombor tersendiri. Salinan yang diimbas dalam fail orientasi memerlukan logik pengesanan khusus.
NER khusus bahasa. Tiket sokongan dan mesej pelanggan memerlukan NLP yang dibina untuk bahasa ini. Alat yang dilatih dalam bahasa Inggeris berprestasi lemah di sini.
Format alamat. Istilah seperti Strada, Bulevardul, dan Numarul adalah unik untuk pasaran ini. Model yang dilatih pada bahasa Inggeris atau Jerman sering terlepas mereka.
Untuk langkah-langkah memenuhi standard ANSPDCP, lihat panduan kami mengenai konsistensi anonymisasi untuk audit GDPR.
Apa yang Diperlukan Syarikat BPO
Empat perkara memenuhi standard teknikal ANSPDCP:
- Pengesanan CNP dengan pengesahan checksum
- Pengesanan Cartea de identitate dan pasport
- NER khusus bahasa
- Perjanjian subpemproses dengan langkah teknikal yang dinyatakan