ANSPDCP Rumænien: CNP-detektion og GDPR-kontroller
Opdateret til 2026
Rumæniens databeskyttelsesmyndighed hedder ANSPDCP. Dens vurdering fra 2024 viste, at 78% af PII-værktøjerne ikke kan detektere Cod Numeric Personal (CNP). De fleste springer kontrolsumstrinnet over. Det skaber reel overholdelsesrisiko. Rumænien behandler EU-data for mange vestlige kunder, og eksponeringen er bred.
Rumæniens mest datamættede nationale ID
CNP er en 13-cifret national identifikator, hvor hvert cifergruppe indeholder persondata:
- Ciffer 1: Køns- og århundredekode. Mænd født 1900–1999 = 1. Kvinder født 1900–1999 = 2. Mænd født 2000+ = 5. Kvinder født 2000+ = 6. Mandlige udenlandske beboere = 7. Kvindelige udenlandske beboere = 8. Andre beboere = 9.
- Ciffer 2–3: De to sidste cifre i fødselsåret.
- Ciffer 4–5: Fødselsmåned (01–12).
- Ciffer 6–7: Fødselsdato (01–31).
- Ciffer 8–9: Amtskode. Dækker 41 amter og Bukarests seks sektorer (koder 01–52).
- Ciffer 10–12: Løbenummer inden for den pågældende dag og det pågældende amt.
- Ciffer 13: Kontrolciffer.
Ciffer 1 alene afslører biologisk køn. Ifølge GDPR artikel 9 gør det dette nummer til et element med særlige kategorier af data, som kræver stærkere beskyttelse end almindelige personoplysninger.
Sådan beregnes kontrolcifferet: Tag de første 12 cifre. Gang hvert med sin vægt (2, 7, 9, 1, 4, 6, 3, 5, 8, 2, 7, 9). Læg resultaterne sammen. Divider med 11 og noter resten. En rest på 10 giver kontrolcifferet 1. En rest på 11 betyder, at koden er ugyldig. Enhver anden rest er kontrolcifferet.
Værktøjer, der springer denne test over, har to fejltyper. For det første markeres enhver 13-cifret streng som et muligt match (falske positiver). For det andet passerer et beskadiget nummer mønsterkontrollen, men indeholder forkerte data, der kræver gennemgang — og som overses (falske negativer).
NER-udfordringer i rumænsksprogede dokumenter
At finde identifikatorer er kun en del af arbejdet. Rumænsk tekst tilføjer yderligere detektionshindringer.
Diakritiske tegn: Rumænsk bruger ș, ț, ă, â og î. Værktøjer trænet på andre sprog overser ofte navne med disse bogstaver. Ældre dokumenter i Latin-2-kodning giver yderligere fejl.
Adresseformater: Gadestyper bruger forkortelser — Str., Bd., Al., Cal. By- og kommunenavne følger lokale regler. Parsere bygget til franske eller tyske adresser klarer sig dårligt her.
Navnebøjning: Navne ændrer form efter grammatisk kasus på rumænsk. Samme persons navn ser forskelligt ud i forskellige dele af en sætning. NER-modeller skal håndtere dette for at koble navne på tværs af et dokument.
Se vores APAC PII-detektionsguide for, hvordan sproglige huller påvirker detektion på tværs af ikke-vestlige skriftsystemer.
Sådan udvikler ANSPDCP-sager sig
ANSPDCP-sager følger tre mønstre.
BPO-brudssager: Delte filer indeholder medarbejder-ID-numre og EU-kundedata uden kryptering. Mangelfulde logfiler betyder, at virksomheden ikke kan fastslå, hvilke registre der er tilgået — det forlænger undersøgelsen og øger bøden.
Sundhedseksponering: Patientfiler — national-ID, sundhedskort-ID og diagnose — havner hos den forkerte person. PII-værktøjet understøttede ikke dette format. Dataene forlod systemet uden maskering.
Fejl i grænseoverskridende overførsler: En outsourcingvirksomhed sender ID-koblet data til en part uden for EØS. Ingen Transfer Impact Assessment. Ingen standardkontraktklausuler. Dataenes artikel 9-status forvandler et rutinegab til en alvorligere overtrædelse.
Tre kontroller for ANSPDCP-overholdelse
Disse tre udgør det tekniske minimumskrav:
- CNP-detektion med modulo-11-validering — mønstermatchning alene er ikke tilstrækkeligt.
- Diakritisk-bevidst NER — dæk ș, ț, ă, â og î i både UTF-8- og Latin-2-kilder.
- ID-kortdetektion — det nationale ID-kort optræder ved siden af CNP i mange dokumenttyper.
For en bredere forståelse af, hvordan nationale ID-numre skaber GDPR-risiko, se vores EU-nationale skatte-ID-detektionsguide.