Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) supraveghează o transformare a conformității în unul dintre cele mai rapid crescătoare sectoare de tehnologie și externalizare din UE. București, Cluj-Napoca și Iași procesează datele cetățenilor UE din Germania, Franța, Marea Britanie și Țările de Jos la scară — iar aplicarea ANSPDCP urmează o tendință puternic ascendentă.
ANSPDCP a emis amenzi GDPR de 1,8 milioane euro între 2022 și 2024, sectorul BPO/externalizare reprezentând cea mai mare concentrare de cazuri de aplicare.
CNP-ul: Identificatorul PII Principal al României
Codul Numeric Personal (CNP) este un număr național de identificare de 13 cifre care codifică:
- Cifra 1: Gen și secol (1=masculin 1900-1999, 2=feminin 1900-1999, 5=masculin 2000+, 6=feminin 2000+, 7=masculin rezident străin, 8=feminin rezident străin)
- Cifrele 2-7: Data nașterii (AALLZZ)
- Cifrele 8-9: Codul județului de naștere
- Cifrele 10-12: Număr secvențial
- Cifra 13: Cifra de control (suma ponderată modulo 11)
CNP-ul codifică genul, data nașterii, regiunea nașterii și statutul de cetățenie — ceea ce îl face mult mai bogat în informații personale decât majoritatea identificatorilor din Europa de Vest. ANSPDCP a clasificat CNP-ul ca necesitând protecție sporită care se apropie de statutul categoriei speciale.
Problema detectării: Analiza de aplicare ANSPDCP din 2024 a constatat că 78% din instrumentele PII implementate în externalizarea românească nu detectează CNP-ul cu validarea corectă a sumei de control. Consecințele:
- Numerele CNP din înregistrările clienților, dosarele angajaților și copiile scanate ale documentelor de identitate trec nedetectate
- Datele partajate cu companiile-mamă din Europa de Vest pentru analize sau instruire AI conțin cetățeni români identificabili
- Analiza post-breșă relevă expunerea CNP în date certificate ca „anonimizate"
Prioritățile de Aplicare ANSPDCP 2024-2025
Înregistrarea audio a centrelor de apeluri: ANSPDCP a vizat practicile de înregistrare care nu au programe de retenție adecvate sau controale de acces. Înregistrările păstrate „pe termen nelimitat pentru conformitate" fără scopuri documentate reprezintă o categorie de aplicare recurentă.
Fără acord cu subprocesori: ANSPDCP a constatat că 45% din întreprinderile românești nu au Acorduri de Procesare a Datelor adecvate cu subprocesorii lor — o categorie de aplicare de bază.
Surse: Raport Anual ANSPDCP 2024; Registrul de Aplicare GDPR.eu; Studiu de Piață BPO România 2024