L'Autorità Nazionale di Sorveglianza della Prevenzione dei Dati Personali (ANSPDCP) della Romania ha pubblicato una valutazione tecnica per il 2024 con un risultato sorprendente: il 78% degli strumenti PII utilizzati nelle operazioni di outsourcing romene non riesce a rilevare il Cod Numeric Personal (CNP) con una corretta validazione del checksum. Per un paese che elabora dati di cittadini dell'UE su larga scala per clienti dell'Europa occidentale, questo crea un'esposizione sistematica alla conformità.
CNP: Il più ricco identificatore personale della Romania
Il CNP è un numero di identificazione nazionale di 13 cifre:
- Cifra 1: Codice di genere e secolo (1=maschio 1900-1999, 2=femmina 1900-1999, 5=maschio 2000+, 6=femmina 2000+, 7=maschio residente straniero, 8=femmina residente straniera, 9=altro residente)
- Cifre 2-3: Ultime due cifre dell'anno di nascita
- Cifre 4-5: Mese di nascita (01-12)
- Cifre 6-7: Giorno di nascita (01-31)
- Cifre 8-9: Codice della contea (01-52, corrispondente alle 41 contee della Romania + settori di Bucarest)
- Cifre 10-12: Numero sequenziale di nascita all'interno del giorno e della contea
- Cifra 13: Cifra di controllo (somma pesata modulo 11)
Il CNP codifica genere, data di nascita (completa), contea di nascita e stato di cittadinanza - rendendolo uno dei più ricchi identificatori nazionali d'Europa. La codifica del genere nella cifra 1 rende il CNP un indicatore di categoria speciale de facto ai sensi dell'Articolo 9 del GDPR (rivelando il sesso biologico), richiedendo una protezione elevata.
Validazione del checksum: L'algoritmo della cifra di controllo moltiplica le prime 12 cifre per pesi (2,7,9,1,4,6,3,5,8,2,7,9), somma i prodotti, prende il modulo 11. Se il risultato è 10, la cifra di controllo è 1. Se il risultato è 11, il CNP è invalido. Altrimenti, la cifra di controllo è uguale al risultato.
Il 78% degli strumenti non riesce a effettuare questa validazione - generando sia falsi positivi (qualsiasi numero di 13 cifre viene segnalato) che falsi negativi (numeri CNP corrotti superano il matching del pattern ma falliscono i checksum e quindi vengono persi come dati potenzialmente invalidi che richiedono revisione).
NER in lingua romena: Il livello mancante
Oltre al CNP, l'elaborazione in lingua romena crea sfide specifiche per il NER:
Diacritici romeni: Il romeno utilizza caratteri ș (s-cedilla), ț (t-cedilla), ă, â e î. Gli strumenti addestrati su testi non romeni potrebbero non riconoscere i nomi romeni che contengono questi caratteri. Problemi di codifica (UTF-8 vs. Latin-2) in documenti romeni legacy creano ulteriori sfide di rilevamento.
Formati degli indirizzi romeni: "Strada" (abbreviato "Str."), "Bulevardul" (abbreviato "Bd."), "Aleea" (abbreviato "Al."), "Calea" (abbreviato "Cal.") per i tipi di strada. Le località romene includono sia città (municipii) che comuni (comune) con convenzioni di denominazione diverse dai formati di indirizzo dell'Europa occidentale.
Modelli di nomi romeni: I nomi romeni seguono specifiche convenzioni patronimiche e grammaticali. Lo stesso nome appare in diversi casi grammaticali a seconda del suo ruolo grammaticale nella frase (nominativo, genitivo-dativo). I modelli NER devono gestire la variazione dei casi per identificare correttamente i nomi romeni nei contesti documentali.
Modello di applicazione dell'ANSPDCP
I casi di applicazione dell'ANSPDCP seguono un modello coerente che rivela i fallimenti tecnici specifici che portano a violazioni:
Casi di violazione dei dati BPO: Le organizzazioni di call center o supporto IT subiscono una violazione dei dati. L'indagine rivela che i file condivisi contenenti numeri CNP di dipendenti romeni e dati personali di clienti dell'UE sono stati memorizzati senza una crittografia adeguata. La valutazione dell'ambito della violazione è ostacolata da una registrazione inadeguata - l'organizzazione non può determinare esattamente quali registri sono stati accessibili.
Esposizione dei dati sanitari: I registri dei pazienti contenenti numeri CNP, numeri di carta sanitaria e informazioni sulla diagnosi vengono condivisi involontariamente con parti non autorizzate (inviati via email al destinatario sbagliato, pubblicati nella cartella cloud errata). I numeri CNP non sono stati rilevati o pseudonimizzati prima della condivisione perché lo strumento PII dell'organizzazione non includeva il supporto per identificatori romeni.
Trasferimento transfrontaliero senza garanzie: L'organizzazione BPO romena trasferisce dati di clienti dell'UE (inclusi i registri collegati al CNP) a un subappaltatore indiano per l'immissione o l'elaborazione dei dati, senza una valutazione adeguata dell'impatto del trasferimento e clausole contrattuali standard. I numeri CNP nei file trasferiti creano un'esposizione al trasferimento di categoria speciale ai sensi del GDPR.
Per la conformità al GDPR romeno: la rilevazione del CNP con validazione del checksum modulo-11, NER in lingua romena con elaborazione consapevole dei diacritici e rilevazione della carta d'identità nazionale romena sono la base tecnica che il record di applicazione dell'ANSPDCP mostra essere necessaria.
Fonti: