ANSPDCP România: riscuri GDPR în BPO
Autoritatea de supraveghere a datelor din România intensifică aplicarea GDPR. Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) acoperă unul dintre cele mai dinamice sectoare de externalizare din UE.
București, Cluj-Napoca și Iași procesează înregistrări ale cetățenilor UE din Germania, Franța, Regatul Unit și Țările de Jos. ANSPDCP a emis amenzi GDPR de 1,8 milioane de euro între 2022 și 2024. Firmele BPO și de externalizare au fost implicate în majoritatea acelor cazuri.
Expunerea BPO: patru zone de risc principale
Înregistrări personale în volum mare. Centrele de apel gestionează dispute de facturare. Procesează nume, adrese, numere de cont și istoricul plăților. Echipele de suport IT accesează sistemele clienților. Acele sisteme conțin informații personale.
Înregistrări ale cetățenilor UE procesate în străinătate. Persoanele afectate sunt adesea germani, francezi, olandezi sau britanici. Când are loc o breșă, aceștia se adresează autorității din țara lor de origine. Aceasta adaugă expunere la BfDI, CNIL, ICO sau AP NL pe lângă propria investigație a ANSPDCP. Pentru mai multe informații despre cazurile transfrontaliere, consultați ghidul nostru GDPR BfDI Germania.
Lanțuri slabe de subprocesori. ANSPDCP a constatat că 45% dintre firmele locale nu au Acorduri de Prelucrare a Datelor valide cu subprocesorii lor. Fiecare DPA trebuie să specifice măsurile tehnice pe care subprocesorul le va lua.
Lacune în revocarea accesului. BPO are o rotație mare a personalului. ANSPDCP găsește foști angajați cu acces activ la săptămâni după plecare. Această situație apare caz după caz.
CNP-ul: identificatorul cheie al României
Codul Numeric Personal (CNP) este un număr de identificare națională din 13 cifre. Stochează fapte personale esențiale:
- Cifra 1: Gen și secolul nașterii (1=masculin 1900–1999, 2=feminin 1900–1999, 5=masculin 2000+, 6=feminin 2000+, 7=masculin rezident străin, 8=feminin rezident străin)
- Cifrele 2–7: Data nașterii (AALLZZ)
- Cifrele 8–9: Codul județului de naștere
- Cifrele 10–12: Număr secvențial
- Cifra 13: Cifra de control (modulus 11 ponderat)
CNP-ul stochează genul, data nașterii, regiunea de naștere și statutul de rezidență. Aceasta îl face mult mai bogat în informații decât majoritatea ID-urilor din UE. ANSPDCP a acordat CNP-ului un statut aproape echivalent cu cel al datelor din categorii speciale.
Lacuna de detectare. Revizuirea ANSPDCP din 2024 a constatat că 78% dintre instrumentele PII din firmele de externalizare nu detectează CNP-ul. Majorității le lipsesc verificările sumei de control. Numerele CNP din înregistrările clienților și fișierele angajaților trec nedetectate. Înregistrările trimise firmelor-mamă pot conține date reale ale cetățenilor. Revizuirile post-breșă dezvăluie CNP-ul în fișiere etichetate „anonimizate”.
Focalizarea aplicării: 2024–2025
Înregistrările audio din centrele de apel. ANSPDCP a vizat înregistrările fără un plan de retenție sau controale de acces. Păstrarea audio „pe termen nelimitat pentru conformitate” fără un calendar de ștergere încalcă GDPR.
Externalizarea în sănătate. Firmele care procesează dosare medicale, cereri de despăgubire sau fișiere cu prescripții se confruntă cu cel mai mare risc. Dosarele de sănătate sunt date din categorii speciale conform Articolului 9. Necesită temei juridic explicit, un DPIA și controale tehnice solide.
Jurnalizarea accesului. Auditurile ANSPDCP găsesc jurnale slabe. Firmele nu pot demonstra ce înregistrări au fost accesate, de cine sau când. Jurnalele trebuie să fie suficient de complete pentru a delimita o breșă după ce a avut loc.
Limba: o lacună ascunsă
Documentele locale conțin identificatori pe care instrumentele generice îi ratează.
Cartea de identitate (CI). Aceasta este cartea de identitate națională. Are propriul format de număr. Copiile scanate din fișierele de angajare necesită logică specifică de detectare.
NER specific limbii. Tichetele de asistență și mesajele clienților necesită NLP construit pentru această limbă. Instrumentele antrenate pe engleză sau germană performează slab în română.
Formatele adreselor. Termeni precum Strada, Bulevardul și Numărul sunt specifici acestei piețe. Modelele antrenate pe engleză sau germană îi ratează adesea.
Pentru pași de respectare a standardului ANSPDCP, consultați ghidul nostru privind consecvența anonimizării pentru auditurile GDPR.
Ce au nevoie firmele BPO
Patru elemente acoperă standardul tehnic al ANSPDCP:
- Detectarea CNP cu validarea sumei de control
- Detectarea cărții de identitate și a pașaportului
- NER specific limbii române
- Acorduri cu subprocesorii cu pași tehnici denumiți