ÚOOÚ e Rodné Číslo: Codifica del sesso e GDPR
Aggiornato al 2026
L'autorità ceca per la protezione dei dati è l'ÚOOÚ, il cui nome completo è Úřad pro ochranu osobních údajů. Nel 2024 ha emesso 58 decisioni. Una constatazione ricorre frequentemente: il rodné číslo (numero di nascita) veniva trattato senza alcun rilevamento. Lo strumento PII utilizzato era configurato per l'identificazione tedesca o inglese e non conteneva alcuna logica per questo identificativo. L'ÚOOÚ è categorica: gli strumenti devono rilevare il rodné číslo con validazione del checksum e corretta gestione dell'offset di sesso.
Rodné číslo: dato di categoria speciale per struttura
Il rodné číslo, o RČ, utilizza il formato AAММGG/XXXX.
- AA — ultime due cifre dell'anno di nascita.
- MM — mese di nascita. Per le donne viene aggiunto 50: il mese 01 diventa 51, il mese 12 diventa 62.
- GG — giorno di nascita.
- XXXX — una sequenza di 3–4 cifre con valore di controllo (modulo 11).
L'offset sul mese per le donne rende questo numero un marcatore del sesso biologico. Tale offset non è casuale: il sistema di registrazione civile lo utilizza per le ricerche amministrative. L'Articolo 9 del GDPR copre i dati che rivelano caratteristiche personali, tra cui il sesso. La posizione dell'ÚOOÚ è chiara: qualsiasi documento contenente un rodné číslo porta dati assimilabili a una categoria speciale, con conseguente applicazione di protezioni più stringenti.
Come funziona il valore di controllo: Per i numeri a 10 caratteri (emessi dopo il 1954), la base a 9 caratteri deve essere divisibile per 11 senza resto. Per i numeri a 9 caratteri (emessi prima del 1954), non esiste un valore di controllo. Gli strumenti devono supportare entrambi i formati.
Cosa l'ÚOOÚ definisce come rilevamento adeguato
Le linee guida tecniche del 2024 dell'ÚOOÚ per gli strumenti PII stabiliscono tre requisiti.
Gestione dell'offset di sesso: I numeri con valori del mese compresi tra 51 e 62 sono identificativi validi per le donne. Uno strumento che li interpreta come date non valide ignora circa la metà della popolazione femminile adulta nel proprio principale documento identificativo.
Varianti di formato: I numeri a 9 caratteri per i nati prima del 1954 non hanno un valore di controllo; quelli a 10 caratteri per i nati dopo il 1954 ne hanno uno. Entrambi devono essere supportati.
Segnali contestuali: Nei documenti in lingua originale, l'identificativo compare vicino a etichette come "Rodné číslo:", "RČ:" o "r.č.:". Un NER consapevole della lingua aiuta a individuare questi segnali anche nel testo in forma libera.
Il problema degli strumenti della casa madre tedesca
Il 67% delle aziende ceche utilizza strumenti PII configurati per il tedesco o l'inglese — lo ha rilevato l'ÚOOÚ in un'indagine. La catena di errori nel settore manifatturiero è prevedibile.
Una casa madre tedesca implementa uno strumento di scansione configurato per gli identificativi tedeschi. I dati HR — contratti, cartelle sanitarie, paghe — contengono numeri di nascita, ma lo strumento non ha alcuna logica per questo tipo di identificativo: ogni numero di nascita viene ignorato. I dati sanitari e retributivi dei dipendenti vengono trasmessi senza i controlli richiesti dall'ÚOOÚ. In caso di audit o violazione, l'azienda locale non è in grado di dimostrare l'adozione di "misure tecniche adeguate" ai sensi dell'Articolo 32 del GDPR.
L'ÚOOÚ ritiene responsabile il titolare del trattamento locale: "Lo strumento è stato scelto dalla casa madre" non è una difesa valida. La regola di accountability del GDPR non lo consente.
Checklist di conformità per le aziende manifatturiere
Queste misure di controllo si applicano alle aziende industriali che utilizzano strumenti della casa madre tedesca.
- Rilevamento del numero di nascita: Sia il formato a 9 che a 10 caratteri. Gestione dell'offset sul mese per le donne (50+). Valore di controllo modulo 11 per le varianti a 10 caratteri.
- NER in lingua locale: spaCy
cs_core_newso un modello equivalente. Gli strumenti generici mostrano un'accuratezza NER inferiore del 23% per questa lingua; i modelli locali colmano il divario. - Rilevamento del číslo OP: Il documento d'identità nazionale (občanský průkaz) è un numero a 9 caratteri che compare accanto al numero di nascita in molte tipologie documentali.
- IČO e DIČ: Il numero identificativo aziendale e il codice fiscale compaiono nei contratti e richiedono entrambi copertura.
- Pipeline multilingue: Gli ambienti misti contengono documenti in lingua locale, tedesco e inglese. Una pipeline monolingue ignora le co-occorrenze tra lingue diverse.
L'enforcement dell'ÚOOÚ è costante: le aziende in grado di fornire prove tecniche durante un audit ricevono sanzioni significativamente inferiori rispetto a quelle che non ne dispongono.
Per una panoramica più ampia del rischio GDPR creato dagli identificativi nazionali, consulta la nostra guida al rilevamento dei codici fiscali nazionali UE.
Per un identificativo nordico analogo, consulta la nostra guida tecnica CPR del Datatilsynet.