ANSPDCP Rumänien: GDPR-risker inom BPO
Rumäniens integritetsmyndighet intensifierar sin GDPR-tillsyn. Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) övervakar en av EU:s snabbast växande outsourcingsektorer.
Bukarest, Cluj-Napoca och Iași behandlar alla EU-medborgaruppgifter från Tyskland, Frankrike, Storbritannien och Nederländerna. ANSPDCP utfärdade €1,8 miljoner i GDPR-böter från 2022 till 2024. BPO- och outsourcingföretag var inblandade i de flesta av dessa ärenden.
BPO-exponering: fyra centrala riskområden
Stora volymer personuppgifter. Callcenter hanterar fakturatvister. De behandlar namn, adresser, kontonummer och betalningshistorik. IT-supportteam har åtkomst till kundsystem. Dessa system innehåller personuppgifter.
EU-medborgaruppgifter behandlas utomlands. De berörda personerna är ofta tyska, franska, nederländska eller brittiska. När ett intrång inträffar vänder de sig till sin hemtillsynsmyndighet. Det lägger till BfDI, CNIL, ICO eller AP NL-exponering ovanpå ANSPDCP:s egna. För mer om gränsöverskridande ärenden, se vår BfDI Tyskland GDPR-guide.
Svaga underbiträdeskedjor. ANSPDCP fann att 45 % av lokala företag saknar giltiga personuppgiftsbiträdesavtal med sina underbiträden. Varje avtal måste specificera de tekniska åtgärder underbiträdet ska vidta.
Luckor i återkallelse av åtkomst. BPO har hög personalomsättning. ANSPDCP finner att tidigare anställda har aktiv åtkomst veckor efter att de slutat. Detta dyker upp fall efter fall.
CNP: Rumäniens viktigaste identifierare
Cod Numeric Personal (CNP) är ett 13-siffrigt nationellt ID-nummer. Det lagrar viktiga personliga fakta:
- Siffra 1: Kön och födelsesekel (1=man 1900–1999, 2=kvinna 1900–1999, 5=man 2000+, 6=kvinna 2000+, 7=manlig utländsk bosatt, 8=kvinnlig utländsk bosatt)
- Siffrorna 2–7: Födelsedatum (ÅÅMMDD)
- Siffrorna 8–9: Födelseläns kod
- Siffrorna 10–12: Löpnummer
- Siffra 13: Kontrollsiffra (viktat modulus 11)
CNP lagrar kön, födelsedatum, födelseregion och bostadsstatus. Det gör det mycket rikare än de flesta EU-ID:n. ANSPDCP har placerat CNP nära status som känsliga uppgifter av särskild kategori.
Detekteringsluckan. ANSPDCP:s granskning 2024 fann att 78 % av PII-verktygen hos outsourcingföretag misslyckas med att detektera CNP. De flesta saknar checksummakontroll. CNP-nummer i kundposter och personalfiler går oupptäckta. Post som skickas till moderbolag kan innehålla levande medborgaruppgifter. Granskningar efter intrång avslöjar CNP i filer märkta "anonymiserade".
Tillsynsfokus: 2024–2025
Callcenter-ljud. ANSPDCP har riktat in sig på inspelningar utan lagringsplan eller åtkomstkontroller. Att spara ljud "på obestämd tid för efterlevnadsändamål" utan raderingsschema bryter mot GDPR.
Outsourcing av hälso- och sjukvård. Företag som behandlar medicinska journaler, anspråk eller receptfiler löper den högsta risken. Hälsojournaler är artikel 9-känsliga uppgifter av särskild kategori. De kräver uttrycklig rättslig grund, en DPIA och starka tekniska kontroller.
Åtkomstloggning. ANSPDCP:s revisioner finner svaga loggar. Företag kan inte visa vilka poster som åtkoms, av vem eller när. Loggar måste vara tillräckligt fullständiga för att avgränsa ett intrång i efterhand.
Språk: en dold lucka
Lokala dokument innehåller identifierare som generiska verktyg missar.
Cartea de identitate (CI). Det är det nationella ID-kortet. Det har ett eget nummerformat. Skannade kopior i onboardingfiler kräver specifik detekteringslogik.
Språkspecifikt NER. Supportärenden och kundmeddelanden behöver NLP byggt för detta språk. Engelsktränade verktyg presterar dåligt här.
Adressformat. Termer som Strada, Bulevardul och Numărul är unika för denna marknad. Modeller tränade på engelska eller tyska missar dem ofta.
För steg att uppfylla ANSPDCP:s standard, se vår guide om anonymiseringskonsekvens för GDPR-revisioner.
Vad BPO-företag behöver
Fyra saker täcker ANSPDCP:s tekniska standard:
- CNP-detektering med checksummavalidering
- Detektering av Cartea de identitate och pass
- Språkspecifikt NER
- Underbiträdesavtal med namngivna tekniska åtgärder