ANSPDCP Roumanie : Détection du CNP et Contrôles RGPD
Mis à jour pour 2026
L'autorité de protection des données roumaine est l'ANSPDCP. Son évaluation de 2024 a révélé que 78 % des outils DCP ne détectent pas correctement le Cod Numeric Personal (CNP). La plupart ignorent l'étape de vérification de la somme de contrôle. Cette lacune crée un vrai risque de conformité. La Roumanie traite des données européennes pour de nombreux clients occidentaux. L'exposition est large.
L'Identifiant National Roumain le Plus Riche en Données
Le CNP est un identifiant national à 13 chiffres. Chaque groupe de chiffres contient des données personnelles :
- Chiffre 1 : Code de genre et de siècle. Homme né en 1900–1999 = 1. Femme née en 1900–1999 = 2. Homme né en 2000+ = 5. Femme née en 2000+ = 6. Homme résidant étranger = 7. Femme résidant étrangère = 8. Autre résident = 9.
- Chiffres 2–3 : Deux derniers chiffres de l'année de naissance.
- Chiffres 4–5 : Mois de naissance (01–12).
- Chiffres 6–7 : Jour de naissance (01–31).
- Chiffres 8–9 : Code de département. Couvre 41 départements et les six secteurs de Bucarest (codes 01–52).
- Chiffres 10–12 : Ordre de naissance dans ce jour et ce département.
- Chiffre 13 : Chiffre de contrôle.
Le chiffre 1 révèle à lui seul le sexe biologique. Sous l'article 9 du RGPD, ce numéro devient une donnée de catégorie particulière. Il nécessite une protection plus forte que les données personnelles ordinaires.
Fonctionnement du chiffre de contrôle : Prenez les 12 premiers chiffres. Multipliez chacun par son poids (2, 7, 9, 1, 4, 6, 3, 5, 8, 2, 7, 9). Additionnez les résultats. Divisez par 11 et prenez le reste. Un reste de 10 donne le chiffre de contrôle 1. Un reste de 11 signifie que le code est invalide. Tout autre reste est le chiffre de contrôle.
Les outils qui ignorent ce test présentent deux modes d'échec. Premièrement, toute chaîne de 13 chiffres est signalée comme une correspondance (faux positifs). Deuxièmement, un numéro corrompu passe la vérification du modèle mais contient de mauvaises données. Ces données passent inaperçues et ne sont pas examinées (faux négatifs).
Problèmes NER dans les Documents en Roumain
Détecter les identifiants n'est qu'une partie du travail. Le texte roumain crée des obstacles supplémentaires à la détection.
Diacritiques : Le roumain utilise ș, ț, ă, â et î. Les outils entraînés sur d'autres langues ratent souvent les noms contenant ces lettres. Les anciens documents en encodage Latin-2 ajoutent d'autres erreurs.
Formats d'adresse : Les types de rues utilisent des abréviations — Str., Bd., Al., Cal. Les noms de villes et de communes suivent des règles locales. Les analyseurs conçus pour les adresses françaises ou allemandes sont peu performants ici.
Inflexion des noms : Les noms changent de forme selon le cas grammatical en roumain. Le même nom d'une personne apparaît différemment dans différentes parties d'une phrase. Les modèles NER doivent gérer cela pour relier les noms dans un document.
Consultez notre guide de détection des DCP en APAC sur la manière dont les lacunes linguistiques affectent la détection pour les écritures non occidentales.
Comment les Affaires ANSPDCP se Développent
Les affaires ANSPDCP montrent trois schémas.
Violations dans les centres d'externalisation (BPO) : Des fichiers partagés contiennent des numéros d'identification des employés et des données clients de l'UE sans chiffrement. De mauvais journaux empêchent l'entreprise de savoir quels enregistrements ont été consultés. Cela prolonge l'enquête et alourdit l'amende.
Exposition de données de santé : Des dossiers patients — l'identifiant national, le numéro de carte de santé et le diagnostic — parviennent à la mauvaise personne. L'outil DCP ne prenait pas en charge ce format. Les données ont été transmises sans masquage.
Échecs de transfert transfrontalier : Une entreprise d'externalisation envoie des enregistrements liés à des identifiants à une partie hors EEE. Aucune Transfer Impact Assessment. Aucune Standard Contractual Clauses. Le statut Article 9 des données transforme une lacune ordinaire en violation plus grave.
Trois Contrôles pour la Conformité ANSPDCP
Ces trois éléments forment la base technique minimale :
- Détection CNP avec validation modulo 11 — la correspondance de modèles seule ne suffit pas.
- NER sensible aux diacritiques — couvrir ș, ț, ă, â et î dans les sources UTF-8 et Latin-2.
- Détection de la carte d'identité — la carte nationale apparaît aux côtés du CNP dans de nombreux types de documents.
Pour une vue plus large de la façon dont les identifiants nationaux créent des risques RGPD, consultez notre guide de détection des numéros fiscaux nationaux de l'UE.