Румынская Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) наблюдает за трансформацией соответствия в одном из самых быстрорастущих технологических и аутсорсинговых секторов ЕС. Бухарест, Клуж-Напока и Яссы обрабатывают данные граждан ЕС из Германии, Франции, Великобритании и Нидерландов в масштабе — и правоприменение ANSPDCP резко растёт.
ANSPDCP выдала штрафы GDPR на €1,8 млн в 2022–2024 годах, причём сектор BPO/аутсорсинга представляет наибольшую концентрацию дел правоприменения.
Профиль уязвимости румынского BPO к GDPR
Высокообъёмная обработка персональных данных: Колл-центры, обрабатывающие споры по биллингу, работают с именами, адресами, номерами счетов, историей платежей и данными об использовании услуг. Службы ИТ-поддержки получают доступ к системным конфигурациям клиентов, содержащим персональные данные.
Данные граждан ЕС в румынских руках: Субъекты данных в основном являются немецкими, французскими, нидерландскими или британскими гражданами. Когда что-то идёт не так, затронутые субъекты данных эскалируют к своему домашнему DPA — создавая трансграничную уязвимость правоприменения от BfDI, CNIL, ICO или AP NL в дополнение к юрисдикции ANSPDCP.
Сложность цепочки субобработчиков: ANSPDCP выявила, что у 45% румынских предприятий нет адекватных соглашений об обработке данных с субобработчиками. DPA должны указывать технические меры, которые субобработчик будет реализовывать.
Нарушения отзыва доступа: Сектор BPO имеет высокую текучесть кадров. ANSPDCP неоднократно выявляет, что бывшие сотрудники сохраняют активные учётные данные в течение нескольких недель после ухода — повторяющееся нарушение в румынских делах правоприменения.
CNP: основной идентификатор PII Румынии
Cod Numeric Personal (CNP) — это 13-значный национальный идентификационный номер, кодирующий:
- Цифра 1: Пол и столетие (1=мужской 1900–1999, 2=женский 1900–1999, 5=мужской 2000+, 6=женский 2000+, 7=мужской иностранный резидент, 8=женский иностранный резидент)
- Цифры 2–7: Дата рождения (GGMMGG)
- Цифры 8–9: Код округа рождения
- Цифры 10–12: Порядковый номер
- Цифра 13: Контрольная цифра (взвешенный модуль 11)
CNP кодирует пол, дату рождения, регион рождения и статус гражданства — делая его значительно богаче персональной информацией, чем большинство западноевропейских идентификаторов. ANSPDCP классифицировал CNP как требующий повышенной защиты, приближающейся к статусу специальной категории.
Проблема обнаружения: Обзор правоприменения ANSPDCP 2024 года выявил, что 78% инструментов PII, развёрнутых в румынском аутсорсинге, не обнаруживают CNP с надлежащей валидацией контрольной суммы. Последствия:
- Номера CNP в записях клиентов, файлах сотрудников и копиях сканов удостоверений не обнаруживаются
- Данные, передаваемые западноевропейским материнским компаниям для аналитики или обучения ИИ, содержат идентифицируемых румынских граждан
- Послебрешный анализ выявляет раскрытие CNP в данных, сертифицированных как «анонимизированные»
Приоритеты правоприменения ANSPDCP 2024–2025
Аудиозапись в колл-центрах: ANSPDCP нацелился на практики записи, не имеющие адекватных расписаний хранения или мер контроля доступа. Записи, хранящиеся «бессрочно для соответствия» без задокументированной цели и расписаний удаления, нарушают GDPR.
Аутсорсинг данных здравоохранения: Румынские компании, обрабатывающие медицинские записи, страховые претензии или данные о рецептах для западноевропейских клиентов, сталкиваются с наибольшей уязвимостью к штрафам. Данные здравоохранения (специальная категория Статьи 9) требуют явного правового основания, DPIA и повышенных технических мер.
Контроль доступа и журналирование: Аудиты ANSPDCP последовательно выявляют неадекватное журналирование — организации не могут продемонстрировать, к каким данным был получен доступ, кем и когда. Для румынских компаний BPO, обрабатывающих данные клиентов ЕС, журналы доступа должны быть достаточно полными, чтобы определить масштаб нарушения в случае инцидента.
Румынский язык: недостающий слой
Помимо CNP, румынские документы содержат идентификаторы, которые общие инструменты пропускают:
Cartea de identitate (CI): Румынское национальное удостоверение личности с уникальным форматом номера. Сканированные копии в файлах адаптации клиентов требуют обнаружения.
NER на румынском языке: Переписка с клиентами, тикеты поддержки и внутренние документы на румынском языке требуют обработки естественного языка на румынском языке. Инструменты, полагающиеся на английский NLP, применённый к румынским текстам, значительно недорабатывают.
Форматы адресов: Румынские соглашения об адресах («Strada», «Bulevardul», «Numărul») отличаются от западноевропейских форматов и часто неправильно обрабатываются NLP-моделями, обученными на английском или немецком языках.
Для румынских аутсорсинговых организаций: обнаружение CNP с валидацией контрольной суммы, обнаружение румынских национальных удостоверений и паспортов, NER на румынском языке и задокументированное управление субобработчиками являются четырьмя возможностями, удовлетворяющими техническому стандарту адекватности ANSPDCP.
Источники: