ANSPDCP Rumunia: Ryzyka RODO w Sektorze BPO
Rumuński organ ochrony prywatności intensyfikuje egzekwowanie przepisów RODO. Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) nadzoruje jeden z najszybciej rozwijających się sektorów outsourcingowych w UE.
Bukarest, Kluż-Napoka i Jassy przetwarzają dane obywateli UE — Niemców, Francuzów, Brytyjczyków i Holendrów. ANSPDCP nałożył kary RODO w łącznej wysokości 1,8 mln euro w latach 2022–2024. W zdecydowanej większości tych spraw figurowały firmy BPO i outsourcingowe.
Cztery Główne Obszary Ryzyka dla Sektora BPO
Duże wolumeny danych osobowych. Call center obsługują spory dotyczące rozliczeń. Przetwarzają imiona i nazwiska, adresy, numery kont i historię płatności. Zespoły wsparcia IT mają dostęp do systemów klientów zawierających dane osobowe.
Dane obywateli UE przetwarzane za granicą. Osoby poszkodowane często są Niemcami, Francuzami, Holendrami lub Brytyjczykami. W przypadku naruszenia danych zwracają się do swojego krajowego organu nadzorczego. To dodaje ryzyko ze strony BfDI, CNIL, ICO lub AP NL do sankcji ANSPDCP. Więcej o sprawach transgranicznych — w naszym przewodniku RODO BfDI Niemcy.
Słabe ogniwa łańcucha podprzetwarzania. ANSPDCP stwierdził, że 45% lokalnych firm nie posiada ważnych Umów o Przetwarzaniu Danych z podprzetwarzającymi. Każda umowa DPA musi określać konkretne środki techniczne, które podprzetwarzający zobowiązuje się zastosować.
Luki w cofaniu dostępu. W sektorze BPO rotacja pracowników jest wysoka. ANSPDCP regularnie stwierdza, że byli pracownicy zachowują aktywny dostęp tygodniami po odejściu. Ten problem pojawia się w kolejnych sprawach.
CNP: Kluczowy Rumuński Identyfikator
Cod Numeric Personal (CNP) to 13-cyfrowy krajowy numer identyfikacyjny. Przechowuje kluczowe informacje osobiste:
- Cyfra 1: Płeć i wiek (1=mężczyzna 1900–1999, 2=kobieta 1900–1999, 5=mężczyzna 2000+, 6=kobieta 2000+, 7=mężczyzna — rezydent zagraniczny, 8=kobieta — rezydent zagraniczny)
- Cyfry 2–7: Data urodzenia (RRMMDD)
- Cyfry 8–9: Kod powiatu urodzenia
- Cyfry 10–12: Numer kolejny
- Cyfra 13: Cyfra kontrolna (ważona modulo 11)
CNP przechowuje płeć, datę urodzenia, region urodzenia i status rezydenta. Jest zatem znacznie bogatszy w treść niż większość unijnych identyfikatorów. ANSPDCP przypisał CNP status zbliżony do danych szczególnej kategorii.
Luka w wykrywaniu. Przegląd ANSPDCP z 2024 roku wykazał, że 78% narzędzi do ochrony danych osobowych stosowanych w firmach outsourcingowych nie wykrywa CNP. Większość z nich nie wykonuje weryfikacji sumy kontrolnej. Numery CNP w rekordach klientów i dokumentach pracowniczych umykają uwadze. Pliki przesyłane do spółek matek mogą zawierać aktywne dane obywateli. Analizy przeprowadzone po incydentach ujawniają CNP w plikach opisanych jako „zanonimizowane”.
Priorytety Egzekwowania: 2024–2025
Nagrania call center. ANSPDCP objął nadzorem nagrania bez planu retencji ani kontroli dostępu. Przechowywanie dźwięku „bezterminowo dla celów compliance” bez harmonogramu usuwania narusza RODO.
Outsourcing w ochronie zdrowia. Firmy przetwarzające dokumentację medyczną, roszczenia lub recepty ponoszą najwyższe ryzyko. Dane medyczne są daną szczególnej kategorii na mocy art. 9 RODO. Wymagają wyraźnej podstawy prawnej, DPIA i rygorystycznych zabezpieczeń technicznych.
Rejestrowanie dostępu. Audyty ANSPDCP ujawniają braki w logach. Firmy nie są w stanie wykazać, kto, kiedy i do jakich danych uzyskał dostęp. Logi muszą być na tyle kompletne, by umożliwić określenie zakresu naruszenia po jego wystąpieniu.
Język: Ukryta Luka
Lokalne dokumenty zawierają identyfikatory, które ogólne narzędzia pomijają.
Cartea de identitate (CI). To krajowy dowód tożsamości z własnym formatem numeru. Zeskanowane kopie w dokumentach rekrutacyjnych wymagają specyficznej logiki wykrywania.
NER dla języka rumuńskiego. Zgłoszenia serwisowe i wiadomości od klientów wymagają NLP zbudowanego pod ten język. Narzędzia trenowane na angielskich lub niemieckich tekstach działają tu słabo.
Formaty adresów. Terminy takie jak Strada, Bulevardul i Numărul są unikalne dla tego rynku. Modele trenowane na angielskim lub niemieckim często je pomijają.
Kroki potrzebne do spełnienia standardu ANSPDCP opisuje nasz przewodnik po spójności anonimizacji dla audytów RODO.
Czego Potrzebują Firmy BPO
Cztery elementy spełniają standard techniczny ANSPDCP:
- Wykrywanie CNP z walidacją sumy kontrolnej
- Wykrywanie Cartea de identitate i paszportu
- NER specyficzny dla języka rumuńskiego
- Umowy z podprzetwarzającymi z wymienionymi środkami technicznymi