ANSPDCP Rumunia: wykrywanie CNP i weryfikacja RODO
Zaktualizowano na 2026 rok
Rumuński organ ochrony danych to ANSPDCP. Jego ocena z 2024 roku wykazała, że 78% narzędzi do wykrywania danych osobowych nie radzi sobie z detekcją Cod Numeric Personal (CNP). Większość z nich pomija etap weryfikacji sumy kontrolnej. Luka ta stwarza realne ryzyko w zakresie zgodności z przepisami. Rumunia przetwarza dane unijne na rzecz wielu zachodnich klientów, co sprawia, że ekspozycja jest szeroka.
Najbogatszy w dane rumuński numer krajowy
CNP to trzynastocyfrowy krajowy identyfikator. Każda grupa cyfr zawiera dane osobowe:
- Cyfra 1: Kod płci i wieku. Mężczyzna urodzony w latach 1900–1999 = 1. Kobieta urodzona w latach 1900–1999 = 2. Mężczyzna urodzony po 2000 = 5. Kobieta urodzona po 2000 = 6. Mężczyzna — cudzoziemiec zamieszkały w Rumunii = 7. Kobieta — cudzoziemka zamieszkała w Rumunii = 8. Inny rezydent = 9.
- Cyfry 2–3: Dwie ostatnie cyfry roku urodzenia.
- Cyfry 4–5: Miesiąc urodzenia (01–12).
- Cyfry 6–7: Dzień urodzenia (01–31).
- Cyfry 8–9: Kod województwa — obejmuje 41 województw i 6 sektorów Bukaresztu (kody 01–52).
- Cyfry 10–12: Numer porządkowy w ramach danego dnia i województwa.
- Cyfra 13: Cyfra kontrolna.
Sama cyfra pierwsza ujawnia płeć biologiczną. Na gruncie artykułu 9 RODO czyni to CNP daną szczególnej kategorii, wymagającą silniejszej ochrony niż zwykłe dane osobowe.
Obliczanie cyfry kontrolnej: Pierwsze 12 cyfr mnoży się przez odpowiednie wagi (2, 7, 9, 1, 4, 6, 3, 5, 8, 2, 7, 9). Wyniki się sumuje, a następnie oblicza resztę z dzielenia przez 11. Reszta równa 10 daje cyfrę kontrolną 1. Reszta równa 11 oznacza, że numer jest nieprawidłowy. Każda inna reszta jest cyfrą kontrolną.
Narzędzia pomijające ten test generują dwa rodzaje błędów. Po pierwsze, każdy trzynastocyfrowy ciąg jest oznaczany jako dopasowanie (fałszywe alarmy). Po drugie, uszkodzony numer przechodzi weryfikację wzorca, choć zawiera błędne dane wymagające przeglądu — i zostaje pominięty (fałszywe negatywy).
Problemy z NER w dokumentach w języku rumuńskim
Wykrywanie identyfikatorów to tylko część zadania. Język rumuński stawia dodatkowe wyzwania.
Znaki diakrytyczne: Rumuński używa liter ș, ț, ă, â i î. Narzędzia uczone na innych językach często nie rozpoznają imion i nazwisk zawierających te litery. Starsze dokumenty w kodowaniu Latin-2 generują kolejne błędy.
Formaty adresów: Typy ulic są zapisywane w skrótach — Str., Bd., Al., Cal. Nazwy miast i gmin podlegają lokalnym konwencjom. Parsery zaprojektowane dla adresów francuskich lub niemieckich zawodzą w tym kontekście.
Odmiana imion: W języku rumuńskim imiona i nazwiska odmieniają się przez przypadki gramatyczne. Imię tej samej osoby może wyglądać inaczej w różnych częściach zdania. Modele NER muszą obsługiwać tę właściwość, aby łączyć odniesienia do tej samej osoby w całym dokumencie.
Zob. nasz przewodnik po wykrywaniu danych osobowych w regionie Azji i Pacyfiku, w którym omawiamy wpływ luk językowych na wykrywanie danych w pismach nieeuropejskich.
Jak kształtują się sprawy ANSPDCP
Sprawa rozpatrywane przez ANSPDCP układają się w trzy wzorce.
Naruszenia w sektorze BPO: Pliki współdzielone zawierają numery identyfikacyjne pracowników i dane klientów unijnych bez szyfrowania. Braki w logach uniemożliwiają ustalenie, do jakich rekordów uzyskano dostęp — co wydłuża dochodzenie i zwiększa karę.
Ujawnienie danych medycznych: Dokumentacja pacjenta — numer krajowy, numer karty zdrowia i rozpoznanie — trafia do nieuprawnionej osoby. Narzędzie do wykrywania PII nie obsługiwało tego formatu, a dane opuściły system bez maskowania.
Naruszenia przy transgranicznych transferach: Firma outsourcingowa przesyła rekordy powiązane z identyfikatorami do podmiotu spoza EOG bez oceny skutków transferu (TIA) i bez Standardowych Klauzul Umownych. Status danych z artykułu 9 zamienia rutynową lukę w poważniejsze naruszenie.
Trzy mechanizmy kontrolne dla zgodności z ANSPDCP
Trzy poniższe środki stanowią minimalny poziom techniczny:
- Wykrywanie CNP z weryfikacją modulo 11 — samo dopasowanie wzorca nie wystarczy.
- NER uwzględniający znaki diakrytyczne — obsługa ș, ț, ă, â i î w źródłach UTF-8 i Latin-2.
- Wykrywanie dowodu osobistego — karta krajowa pojawia się obok CNP w wielu typach dokumentów.
Szersze omówienie ryzyka RODO związanego z krajowymi numerami identyfikacyjnymi znajdziesz w naszym przewodniku po wykrywaniu unijnych numerów podatkowych.