ANSPDCP رومانیہ: BPO میں GDPR کے خطرات
رومانیہ کی پرائیویسی اتھارٹی GDPR نفاذ میں تیزی لا رہی ہے۔ Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) EU کے تیزی سے بڑھتے outsourcing شعبوں میں سے ایک کا احاطہ کرتی ہے۔
بخارسٹ، Cluj-Napoca، اور Iași جرمنی، فرانس، برطانیہ، اور نیدرلینڈز کے EU شہریوں کے ریکارڈ پروسیس کرتے ہیں۔ ANSPDCP نے 2022 سے 2024 تک €1.8 ملین GDPR جرمانے جاری کیے۔ ان میں زیادہ تر مقدمات BPO اور outsourcing کمپنیوں کے تھے۔
BPO نمائش: چار بنیادی خطرے کے شعبے
زیادہ حجم کے ذاتی ریکارڈ۔ کال سینٹر بلنگ تنازعات نمٹاتے ہیں۔ وہ نام، پتے، اکاؤنٹ نمبر، اور ادائیگی کی تاریخ پروسیس کرتے ہیں۔ IT سپورٹ ٹیمیں کسٹمر سسٹمز تک رسائی رکھتی ہیں۔ وہ سسٹم ذاتی معلومات رکھتے ہیں۔
بیرون ملک پروسیس کیے گئے EU شہریوں کے ریکارڈ۔ متاثرہ افراد اکثر جرمن، فرانسیسی، ڈچ، یا برطانوی ہیں۔ جب خلاف ورزی ہوتی ہے تو وہ اپنے آبائی ریگولیٹر کے پاس جاتے ہیں۔ اس سے ANSPDCP کے اپنے کام کے علاوہ BfDI، CNIL، ICO، یا AP NL کی نمائش بھی شامل ہو جاتی ہے۔ بین الاقوامی مقدمات کے بارے میں مزید جاننے کے لیے ہماری BfDI جرمنی GDPR گائیڈ دیکھیں۔
کمزور subprocessor زنجیریں۔ ANSPDCP نے پایا کہ 45% مقامی کمپنیوں کے پاس اپنے subprocessors کے ساتھ درست Data Processing Agreements نہیں ہیں۔ ہر DPA میں وہ تکنیکی اقدامات درج ہونے چاہئیں جو subprocessor کرے گا۔
رسائی منسوخی کی خامیاں۔ BPO میں عملے کی تبدیلی زیادہ ہے۔ ANSPDCP پاتا ہے کہ سابق عملے کے پاس جانے کے ہفتوں بعد بھی فعال رسائی ہے۔ یہ ایک کے بعد دوسرے مقدمے میں سامنے آتا ہے۔
CNP: رومانیہ کی کلیدی شناخت
Cod Numeric Personal (CNP) ایک 13 ہندسوں کا قومی شناختی نمبر ہے۔ اس میں اہم ذاتی حقائق محفوظ ہیں:
- ہندسہ 1: جنس اور پیدائش کی صدی (1=مذکر 1900-1999، 2=مؤنث 1900-1999، 5=مذکر 2000+، 6=مؤنث 2000+، 7=مذکر غیر ملکی مقیم، 8=مؤنث غیر ملکی مقیم)
- ہندسے 2-7: پیدائش کی تاریخ (YYMMDD)
- ہندسے 8-9: پیدائش کے ضلع کا کوڈ
- ہندسے 10-12: ترتیبی نمبر
- ہندسہ 13: چیک ڈیجٹ (weighted modulus 11)
CNP جنس، پیدائش کی تاریخ، پیدائش کا علاقہ، اور رہائشی حیثیت محفوظ کرتا ہے۔ یہ اسے زیادہ تر EU IDs سے کہیں زیادہ معلوماتی بناتا ہے۔ ANSPDCP نے CNP کو خصوصی زمرے کی حیثیت کے قریب رکھا ہے۔
ڈیٹیکشن کا خلا۔ ANSPDCP کے 2024 کے جائزے نے پایا کہ outsourcing کمپنیوں میں 78% PII ٹولز CNP ڈیٹیکٹ کرنے میں ناکام ہیں۔ زیادہ تر میں checksum جانچ نہیں ہے۔ کسٹمر ریکارڈ اور ملازم فائلوں میں CNP نمبر نظر نہیں آتے۔ parent کمپنیوں کو بھیجے گئے ریکارڈ میں زندہ شہری تفصیلات ہو سکتی ہیں۔ خلاف ورزی کے بعد کے جائزوں سے "گمنام" لیبل والی فائلوں میں CNP ملتا ہے۔
نفاذی توجہ: 2024-2025
کال سینٹر آڈیو۔ ANSPDCP نے ان ریکارڈنگز کو نشانہ بنایا جن میں برقراری کا کوئی منصوبہ یا رسائی کنٹرول نہیں تھا۔ "تعمیل کے لیے غیر معینہ مدت" تک آڈیو رکھنا اور کوئی حذف شیڈول نہ ہونا GDPR کی خلاف ورزی ہے۔
صحت کا outsourcing۔ طبی ریکارڈ، دعوے، یا نسخے کی فائلیں پروسیس کرنے والی کمپنیوں کو سب سے زیادہ خطرہ ہے۔ صحت ریکارڈ آرٹیکل 9 کا خصوصی زمرہ ہے۔ انہیں واضح قانونی بنیاد، DPIA، اور مضبوط تکنیکی کنٹرول کی ضرورت ہے۔
رسائی لاگنگ۔ ANSPDCP آڈٹ میں کمزور لاگ ملتے ہیں۔ کمپنیاں نہیں دکھا سکتیں کہ کن ریکارڈز تک، کس نے، کب رسائی کی۔ لاگ اتنے مکمل ہونے چاہئیں کہ خلاف ورزی کے بعد اس کی وسعت ماپی جا سکے۔
زبان: ایک پوشیدہ خلا
مقامی دستاویزات میں ایسی شناختیں ہیں جو عمومی ٹولز نہیں پکڑتے۔
Cartea de identitate (CI)۔ یہ قومی شناختی کارڈ ہے۔ اس کا اپنا نمبر فارمیٹ ہے۔ onboarding فائلوں میں اسکین کاپیوں کے لیے مخصوص ڈیٹیکشن منطق ضروری ہے۔
زبان-مخصوص NER۔ سپورٹ ٹکٹوں اور کسٹمر پیغامات کے لیے اس زبان کے لیے بنے NLP کی ضرورت ہے۔ انگریزی پر تربیت یافتہ ٹولز یہاں ناقص کارکردگی دکھاتے ہیں۔
پتے کے فارمیٹ۔ Strada، Bulevardul، اور Numărul جیسی اصطلاحات اس مارکیٹ کے لیے منفرد ہیں۔ انگریزی یا جرمن پر تربیت یافتہ ماڈل انہیں اکثر نظرانداز کر دیتے ہیں۔
ANSPDCP کے معیار کو پورا کرنے کے اقدامات کے لیے، ہماری GDPR آڈٹ کے لیے anonymization consistency گائیڈ دیکھیں۔
BPO کمپنیوں کو کیا چاہیے
چار چیزیں ANSPDCP کا تکنیکی معیار پورا کرتی ہیں:
- checksum توثیق کے ساتھ CNP ڈیٹیکشن
- Cartea de identitate اور پاسپورٹ ڈیٹیکشن
- زبان-مخصوص NER
- نامزد تکنیکی اقدامات کے ساتھ subprocessor معاہدے