ANSPDCP Румунія: ризики GDPR у сфері BPO
Румунський орган із захисту конфіденційності посилює правозастосування GDPR. Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) охоплює один із найбільш динамічних секторів аутсорсингу в ЄС.
Бухарест, Клуж-Напока та Яси обробляють записи громадян ЄС з Німеччини, Франції, Великої Британії та Нідерландів. ANSPDCP наклав штрафи за GDPR на суму €1,8 мільйона з 2022 по 2024 рік. BPO-компанії та аутсорсингові фірми фігурували в більшості цих справ.
Ризики BPO: чотири ключові зони
Великі обсяги персональних записів. Кол-центри вирішують питання виставлення рахунків. Вони обробляють імена, адреси, номери рахунків та історію платежів. Команди IT-підтримки мають доступ до клієнтських систем. Ці системи містять персональну інформацію.
Записи громадян ЄС, що обробляються за кордоном. Постраждалі особи часто є громадянами Німеччини, Франції, Нідерландів або Великої Британії. У разі витоку вони звертаються до свого регулятора за місцем проживання. Це додає ризик відповідальності перед BfDI, CNIL, ICO або AP NL на додаток до власних санкцій ANSPDCP. Докладніше про транскордонні справи читайте в нашому посібнику щодо GDPR BfDI Німеччина.
Слабкі ланцюжки субпроцесорів. ANSPDCP встановив, що 45% місцевих компаній не мають чинних Угод про обробку даних із субпроцесорами. Кожна DPA повинна містити перелік технічних заходів, яких зобов'язується дотримуватися субпроцесор.
Прогалини у відкликанні доступу. У BPO-секторі висока плинність кадрів. ANSPDCP виявляє, що колишні співробітники зберігають активний доступ через тижні після звільнення. Це фігурує в справах раз за разом.
CNP: ключовий ідентифікатор Румунії
Cod Numeric Personal (CNP) — це 13-значний національний ідентифікаційний номер. Він зберігає ключові персональні відомості:
- Цифра 1: стать та сторіччя народження (1=чоловік 1900–1999, 2=жінка 1900–1999, 5=чоловік 2000+, 6=жінка 2000+, 7=чоловік-іноземний резидент, 8=жінка-іноземний резидент)
- Цифри 2–7: дата народження (РРММДД)
- Цифри 8–9: код повіту народження
- Цифри 10–12: порядковий номер
- Цифра 13: контрольна цифра (зважений модуль 11)
CNP зберігає стать, дату народження, регіон народження та статус резидента. Це робить його значно інформативнішим, ніж більшість ідентифікаторів ЄС. ANSPDCP фактично прирівнює CNP до даних особливої категорії.
Прогалина у виявленні. Огляд ANSPDCP 2024 року виявив, що 78% інструментів для роботи з персональними даними в аутсорсингових компаніях не виявляють CNP. Більшість із них не мають перевірки контрольної суми. Номери CNP у клієнтських записах та кадрових файлах залишаються непоміченими. Записи, що надсилаються материнським компаніям, можуть містити реальні дані громадян. Перевірки після витоків виявляють CNP у файлах, позначених як «анонімізовані».
Правозастосування у 2024–2025 роках
Аудіозаписи кол-центрів. ANSPDCP цілеспрямовано перевіряє записи без плану зберігання або засобів контролю доступу. Зберігання аудіо «без обмеження терміну для цілей відповідності» без графіка видалення є порушенням GDPR.
Аутсорсинг охорони здоров'я. Компанії, що обробляють медичні записи, страхові претензії або дані про рецепти, стикаються з найвищим ризиком. Медичні записи є даними особливої категорії за статтею 9. Вони потребують явної правової підстави, DPIA та надійних технічних засобів контролю.
Ведення журналів доступу. Аудити ANSPDCP виявляють слабкі журнали. Компанії не можуть показати, до яких записів, ким і коли здійснювався доступ. Журнали повинні бути достатньо повними, щоб визначити масштаб витоку після його настання.
Мова: прихована прогалина
Локальні документи містять ідентифікатори, які стандартні інструменти пропускають.
Cartea de identitate (CI). Це національне посвідчення особи. Воно має власний формат номера. Відскановані копії у файлах прийому на роботу потребують спеціальної логіки виявлення.
Мовно-специфічна NER. Тікети підтримки та повідомлення клієнтів потребують обробки природної мови, розробленої для цієї мови. Інструменти, навчені на англійській мові, дають погані результати тут.
Формати адрес. Такі слова, як Strada, Bulevardul та Numărul, є унікальними для цього ринку. Моделі, навчені на англійській або німецькій, часто пропускають їх.
Кроки для відповідності стандарту ANSPDCP описані в нашому посібнику зі стабільності анонімізації для аудитів GDPR.
Що потрібно BPO-компаніям
Чотири заходи відповідають технічному стандарту ANSPDCP:
- Виявлення CNP із перевіркою контрольної суми
- Виявлення Cartea de identitate та паспорта
- Мовно-специфічна NER
- Угоди із субпроцесорами з конкретними технічними заходами