ANSPDCP Rumunija: GDPR rizici u BPO sektoru
Rumunski organ za zastitu privatnosti pojacava GDPR primenu propisa. Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP) pokriva jedan od najbrze rastucih sektora autsorsinga u EU.
Bukurest, Kluz-Napoka i Jasi svi obradjuju evidencije gradjana EU iz Nemacke, Francuske, Ujedinjenog Kraljevstva i Holandije. ANSPDCP je od 2022. do 2024. izrekao 1,8 miliona evra GDPR kazni. BPO i outsourcing firme bile su u vecini tih predmeta.
BPO izlozenost: cetiri kljucne oblasti rizika
Velika kolicina licnih evidencija. Pozivni centri obradjuju sporove po racunima. Obradjuju imena, adrese, brojeve racuna i istorijate placanja. IT timovi za podrsku pristupaju korisnickim sistemima. Ti sistemi sadrze licne informacije.
Evidencije gradjana EU obradjene u inostranstvu. Pogodjene osobe su cesto Nemci, Francuzi, Holandjani ili Britanci. Kad dodje do krsenja bezbednosti, oni se obracaju svom maticnom regulatoru. To dodaje izlozenost pred BfDI, CNIL, ICO ili AP NL pored ANSPDCP-a. Za vise informacija o prekogranicnim predmetima, pogledajte nas GDPR vodic BfDI Nemacka.
Slabi lanci subprocesora. ANSPDCP je utvrdio da 45% lokalnih firmi nema validne Ugovore o obradi podataka sa svojim subprocesorima. Svaki DPA mora navoditi tehnicke korake koje ce subprocesor preduzeti.
Praznine u opozivu pristupa. BPO sektor ima visoku fluktuaciju zaposlenih. ANSPDCP otkriva byvse zaposlene s aktivnim pristupom nedeljama nakon odlaska. To se pojavljuje u predmetu za predmetom.
CNP: rumunski kljucni identifikator
Cod Numeric Personal (CNP) je 13-cifreni nacionalni identifikacioni broj. Cuva kljucne licne podatke:
- Cifra 1: Pol i vek rodjenja (1=muski 1900–1999, 2=zenski 1900–1999, 5=muski 2000+, 6=zenski 2000+, 7=muski strani rezident, 8=zenski strani rezident)
- Cifre 2–7: Datum rodjenja (GGMMDD)
- Cifre 8–9: Kod okruga rodjenja
- Cifre 10–12: Sekvencijalni broj
- Cifra 13: Kontrolna cifra (ponderisani modulus 11)
CNP cuva pol, datum rodjenja, region rodjenja i status prebivalista. To ga cini daleko bogatijim od vecine EU identifikatora. ANSPDCP je svrstao CNP blizu statusa posebne kategorije.
Praznina u detekciji. ANSPDCP-ov pregled iz 2024. otkrio je da 78% PII alata u outsourcing firmama ne uspeva da detektuje CNP. Vecini nedostaju provere kontrolnih suma. CNP brojevi u evidencijama korisnika i zaposlenima prolaze nezapazeno. Evidencije koje se salju maticnim firmama mogu sadrzati aktivne podatke gradjana. Pregledi posle krsenja bezbednosti otkrivaju CNP u kartonima oznacenim kao "anonimizovani".
Primena propisa: fokus 2024–2025.
Audio-zapisi pozivnih centara. ANSPDCP je ciljao snimke bez plana zadrzavanja ili kontrole pristupa. Cuvanje audio-zapisa "na neodredjeno vreme radi uskladjenosti" bez rasporeda brisanja krsi GDPR.
Zdravstveni autsorsing. Firme koje obradjuju medicinske kartone, zahteve ili evidencije recepata izlozene su najvecem riziku. Zdravstvene evidencije su posebna kategorija prema clanu 9. Potreban je izricit pravni osnov, DPIA i snazne tehnicke kontrole.
Evidencije pristupa. ANSPDCP-ove revizije otkrivaju slabe dnevnike. Firme ne mogu pokazati kojim evidencijama se pristupalo, ko je to ucinio i kad. Dnevnici moraju biti dovoljno detaljni da bi se utvrdio obim krsenja bezbednosti nakon sto se dogodi.
Jezik: skrivena praznina
Lokalni dokumenti sadrze identifikatore koje genericki alati propustaju.
Cartea de identitate (CI). Ovo je licna karta. Ima sopstveni format broja. Skeniranim kopijama u dosijei ma o prijavi potrebna je specificna logika detekcije.
NER specificna za jezik. Tiketi podrske i poruke korisnika zahtevaju NLP izgraden za ovaj jezik. Alati trenirani na engleskom losije funkcionisu ovde.
Formati adresa. Izrazi poput Strada, Bulevardul i Numarul jedinstveni su za ovo trziste. Modeli trenirani na engleskom ili nemackom ih cesto propustaju.
Za korake ka ispunjavanju ANSPDCP standarda, pogledajte nas vodic o doslednosti anonimizacije za GDPR revizije.
Sta BPO firmama treba
Cetiri stvari pokrivaju ANSPDCP-ov tehnicki standard:
- Detekcija CNP-a s validacijom kontrolne sume
- Detekcija Cartea de identitate i pasosa
- NER specificna za jezik
- Sporazumi sa subprocesorima s navedenim tehnickim koracima