Die rumänische Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) veröffentlichte eine technische Bewertung für 2024 mit einer auffälligen Feststellung: 78 % der PII-Tools, die in rumänischen Outsourcing-Operationen eingesetzt werden, erkennen die Cod Numeric Personal (CNP) nicht mit ordnungsgemäßer Prüfziffernvalidierung. Für ein Land, das Daten von EU-Bürgern in großem Maßstab für westliche europäische Kunden verarbeitet, schafft dies systematische Compliance-Risiken.
CNP: Rumäniens reichster persönlicher Identifikator
Die CNP ist eine 13-stellige nationale Identifikationsnummer:
- Ziffer 1: Geschlechts- und Jahrhundertcode (1=männlich 1900-1999, 2=weiblich 1900-1999, 5=männlich 2000+, 6=weiblich 2000+, 7=männischer ausländischer Bewohner, 8=weiblicher ausländischer Bewohner, 9=anderer Bewohner)
- Ziffern 2-3: Letzte zwei Ziffern des Geburtsjahres
- Ziffern 4-5: Geburtsmonat (01-12)
- Ziffern 6-7: Geburtstag (01-31)
- Ziffern 8-9: Landkreiscode (01-52, entsprechend Rumäniens 41 Landkreisen + Bukarester Sektoren)
- Ziffern 10-12: Sequenzielle Geburtsnummer innerhalb des Tages und Landkreises
- Ziffer 13: Prüfziffer (gewichtete Summe Modulo 11)
Die CNP kodiert Geschlecht, Geburtsdatum (vollständig), Geburtsland und Staatsbürgerschaftsstatus – was sie zu einem der informationsreichsten nationalen Identifikatoren Europas macht. Die Geschlechtskodierung in Ziffer 1 macht die CNP zu einem de facto Indikator für besondere Kategorien gemäß Artikel 9 der DSGVO (Offenlegung des biologischen Geschlechts), was einen erhöhten Schutz erfordert.
Prüfziffernvalidierung: Der Algorithmus zur Prüfziffer multipliziert die ersten 12 Ziffern mit Gewichten (2,7,9,1,4,6,3,5,8,2,7,9), summiert die Produkte und nimmt das Modulo 11. Wenn das Ergebnis 10 ist, beträgt die Prüfziffer 1. Wenn das Ergebnis 11 ist, ist die CNP ungültig. Andernfalls entspricht die Prüfziffer dem Ergebnis.
78 % der Tools übersehen diese Validierung – was sowohl zu falsch positiven (jede 13-stellige Zahl wird markiert) als auch zu falsch negativen Ergebnissen führt (beschädigte CNP-Nummern bestehen das Muster-Matching, aber scheitern an den Prüfziffern und werden daher als potenziell ungültige Daten, die überprüft werden müssen, übersehen).
Rumänische Sprache NER: Die fehlende Schicht
Über die CNP hinaus schafft die Verarbeitung der rumänischen Sprache spezifische NER-Herausforderungen:
Rumänische diakritische Zeichen: Rumänisch verwendet die Zeichen ș (s-cedille), ț (t-cedille), ă, â und î. Tools, die auf nicht-rumänischen Texten trainiert wurden, können Schwierigkeiten haben, rumänische Namen zu erkennen, die diese Zeichen enthalten. Kodierungsprobleme (UTF-8 vs. Latin-2) in älteren rumänischen Dokumenten schaffen zusätzliche Erkennungsherausforderungen.
Rumänische Adressformate: "Strada" (abgekürzt "Str."), "Bulevardul" (abgekürzt "Bd."), "Aleea" (abgekürzt "Al."), "Calea" (abgekürzt "Cal.") für Straßentypen. Rumänische Lokalitäten umfassen sowohl Städte (municipii) als auch Gemeinden (comune) mit Benennungskonventionen, die sich von westlichen europäischen Adressformaten unterscheiden.
Rumänische Namensmuster: Rumänische Namen folgen spezifischen patronymischen und grammatikalischen Konventionen. Der gleiche Name erscheint in verschiedenen grammatikalischen Fällen, abhängig von seiner grammatikalischen Rolle im Satz (Nominativ, Genitiv-Dativ). NER-Modelle müssen mit Fallvariationen umgehen, um rumänische Namen in verschiedenen Dokumentkontexten korrekt zu identifizieren.
ANSPDCPs Durchsetzungsstrategie
Die Durchsetzungsfälle der ANSPDCP folgen einem konsistenten Muster, das die spezifischen technischen Fehler aufzeigt, die zu Verstößen führen:
BPO-Datenverletzungsfälle: Callcenter oder IT-Support-Organisationen erleiden eine Datenverletzung. Die Untersuchung zeigt, dass freigegebene Dateien mit rumänischen Mitarbeiter-CNP-Nummern und persönlichen Daten von EU-Kunden ohne angemessene Verschlüsselung gespeichert wurden. Die Bewertung des Umfangs des Verstoßes wird durch unzureichendes Logging behindert – die Organisation kann nicht genau bestimmen, welche Datensätze abgerufen wurden.
Gesundheitsdatenexposition: Patientenakten, die CNP-Nummern, Gesundheitskartennummern und Diagnosen enthalten, werden versehentlich mit unbefugten Dritten geteilt (an den falschen Empfänger gesendet, in den falschen Cloud-Ordner hochgeladen). Die CNP-Nummern wurden vor dem Teilen nicht erkannt oder pseudonymisiert, da das PII-Tool der Organisation keine Unterstützung für rumänische Identifikatoren bot.
Grenzüberschreitende Übertragung ohne Schutzmaßnahmen: Rumänische BPO-Organisation überträgt EU-Kundendaten (einschließlich CNP-gebundener Datensätze) an einen indischen Unterauftragnehmer zur Dateneingabe oder -verarbeitung, ohne eine angemessene Transferauswirkungsbewertung und Standardvertragsklauseln. CNP-Nummern in übertragenen Dateien schaffen eine DSGVO-Exposition für besondere Kategorien.
Für die rumänische DSGVO-Compliance: CNP-Erkennung mit Modulo-11-Prüfziffernvalidierung, rumänische Sprache NER mit diakritikbewusster Verarbeitung und Erkennung rumänischer Personalausweise sind die technischen Grundlagen, die die Durchsetzungsbilanz der ANSPDCP zeigt, dass sie erforderlich sind.
Quellen: