ANSPDCP Roménia: Riscos RGPD no BPO
A autoridade de proteção de dados da Roménia está intensificando a aplicação. A Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) supervisiona um dos setores de externalização de crescimento mais rápido da UE.
Bucareste, Cluj-Napoca e Iași processam dados de cidadãos europeus da Alemanha, França, Reino Unido e Países Baixos. A ANSPDCP emitiu 1,8 milhões de euros em multas RGPD de 2022 a 2024. Empresas de BPO e externalização estiveram no centro da maioria dos casos.
Exposição BPO: Quatro Áreas de Risco Principais
Grandes volumes de dados pessoais. Os centros de atendimento tratam litígios de faturamento. Processam nomes, moradas, números de conta e históricos de pagamento. As equipas de suporte de TI acedem aos sistemas de clientes que contêm dados pessoais.
Dados de cidadãos da UE processados no estrangeiro. Os titulares de dados são frequentemente alemães, franceses, neerlandeses ou britânicos. Quando ocorre um incidente, contactam a sua autoridade nacional. Isso acrescenta exposição ao BfDI, CNIL, ICO ou AP NL além da própria competência da ANSPDCP. Para mais informações sobre casos transfronteiriços, consulte o nosso guia RGPD BfDI Alemanha.
Cadeias de subprocessadores fracas. A ANSPDCP descobriu que 45% das empresas locais não têm Acordos de Processamento de Dados válidos com os seus subprocessadores. Cada acordo deve especificar as medidas técnicas que o subprocessador aplicará.
Falhas na revogação de acessos. O BPO tem alta rotatividade de pessoal. A ANSPDCP encontra repetidamente ex-funcionários com acesso ativo semanas após a saída. Este padrão surge de caso em caso.
O CNP: O Identificador Principal da Roménia
O Cod Numeric Personal (CNP) é um número de identificação nacional de 13 dígitos. Armazena informações pessoais chave:
- Dígito 1: Género e século de nascimento (1=masculino 1900–1999, 2=feminino 1900–1999, 5=masculino a partir de 2000, 6=feminino a partir de 2000, 7=residente estrangeiro masculino, 8=residente estrangeira)
- Dígitos 2–7: Data de nascimento (AAMMDD)
- Dígitos 8–9: Código do condado de nascimento
- Dígitos 10–12: Número sequencial
- Dígito 13: Dígito de controlo (módulo 11 ponderado)
O CNP armazena género, data de nascimento, região de nascimento e estatuto de residência. Isso torna-o muito mais rico do que a maioria dos identificadores europeus. A ANSPDCP classificou o CNP próximo do estatuto de categoria especial.
A lacuna de deteção. A revisão de 2024 da ANSPDCP revelou que 78% das ferramentas PII nas empresas de externalização não detetam o CNP. À maioria faltam verificações de soma de controlo. Os números CNP em registos de clientes e ficheiros de funcionários passam despercebidos. Os registos enviados a empresas-mãe podem conter dados reais de cidadãos. As revisões pós-incidente revelam CNP em ficheiros classificados como "anonimizados".
Prioridades de Aplicação 2024–2025
Áudio em centros de atendimento. A ANSPDCP tem visado práticas de gravação sem plano de retenção ou controlos de acesso. Manter áudio "indefinidamente por conformidade" sem calendário de eliminação viola o RGPD.
Externalização na área da saúde. As empresas que processam registos médicos, reclamações ou prescrições enfrentam o maior risco de multa. Os dados de saúde são categoria especial do Artigo 9. Exigem base legal explícita, uma AIPD e controlos técnicos rigorosos.
Registos de acesso. As auditorias da ANSPDCP encontram registos insuficientes. As empresas não podem demonstrar quais registos foram acedidos, por quem ou quando. Os registos devem ser suficientemente completos para determinar o âmbito de um incidente.
Língua: Uma Lacuna de Deteção Oculta
Os documentos locais contêm identificadores que as ferramentas genéricas ignoram.
Cartea de identitate (CI). É o cartão de identificação nacional. Tem o seu próprio formato de número. As cópias digitalizadas nos ficheiros de integração requerem lógica de deteção específica.
NER específica da língua. Os tickets de suporte e as mensagens de clientes precisam de NLP desenvolvido para este idioma. As ferramentas treinadas em inglês têm fraco desempenho aqui.
Formatos de endereço. Termos como Strada, Bulevardul e Numărul são únicos neste mercado. Os modelos treinados em inglês ou alemão frequentemente os ignoram.
Para passos técnicos para satisfazer o padrão da ANSPDCP, consulte o nosso guia sobre consistência de anonimização para auditorias RGPD.
O que as Empresas de BPO Precisam
Quatro capacidades cobrem o padrão técnico da ANSPDCP:
- Deteção de CNP com validação de soma de controlo
- Deteção de Cartea de identitate e passaportes
- NER específica da língua
- Acordos de subprocessamento com medidas técnicas nomeadas