ANSPDCP Romania: CNP-deteksjon og GDPR-kontroller
Oppdatert for 2026
Romanias datatilsynsorgan er ANSPDCP. Deres vurdering fra 2024 fant at 78% av PII-verktøy ikke klarer å detektere Cod Numeric Personal (CNP). De fleste hopper over sjekksumsteget. Det gapet skaper reell risiko for overholdelse. Romania behandler EU-data for mange vestlige kunder. Eksponeringen er bred.
Romanias mest datarrike nasjonale ID
CNP er en 13-sifret nasjonal identifikator. Hver siffergruppe inneholder persondata:
- Siffer 1: Kjønns- og århundrekode. Mann født 1900–1999 = 1. Kvinne født 1900–1999 = 2. Mann født 2000+ = 5. Kvinne født 2000+ = 6. Mannlig utenlandsk bosatt = 7. Kvinnelig utenlandsk bosatt = 8. Annen bosatt = 9.
- Siffer 2–3: De to siste sifrene i fødselsåret.
- Siffer 4–5: Fødselsmåned (01–12).
- Siffer 6–7: Fødselsdato (01–31).
- Siffer 8–9: Fylkeskode. Dekker 41 fylker og Bukarests seks sektorer (koder 01–52).
- Siffer 10–12: Rekkefølge ved fødsel innen den dagen og fylket.
- Siffer 13: Kontrollsiffer.
Siffer 1 alene avslører biologisk kjønn. I henhold til GDPR artikkel 9 gjør det dette nummeret til en opplysning av særlig kategori. Det trenger sterkere beskyttelse enn vanlige personopplysninger.
Slik fungerer kontrollsifferet: Ta de første 12 sifrene. Multipliser hvert med sin vekt (2, 7, 9, 1, 4, 6, 3, 5, 8, 2, 7, 9). Legg sammen resultatene. Del på 11 og ta resten. En rest på 10 gir kontrollsiffer 1. En rest på 11 betyr at koden er ugyldig. Enhver annen rest er kontrollsifferet.
Verktøy som hopper over denne testen har to feilmodi. For det første flagges enhver 13-sifret streng som treff (falske positiver). For det andre passerer et ødelagt nummer mønstersjekken men inneholder dårlige data. Disse dataene trenger gjennomgang og blir oversett (falske negativer).
NER-problemer i rumenskspråklige dokumenter
Å finne identifikatorer er bare en del av arbeidet. Rumensk tekst legger til flere deteksjonsutfordringer.
Diakritiske tegn: Rumensk bruker ș, ț, ă, â og î. Verktøy trent på andre språk bommer ofte på navn med disse bokstavene. Gamle dokumenter i Latin-2-koding skaper ytterligere feil.
Adresseformater: Gatetyper bruker kortformer — Str., Bd., Al., Cal. By- og kommunenavn følger lokale regler. Analysatorer bygget for franske eller tyske adresser gjør det dårlig her.
Navnebøying: Navn endrer form etter grammatisk kasus på rumensk. Samme persons navn ser forskjellig ut i ulike deler av en setning. NER-modeller må håndtere dette for å knytte navn til hverandre på tvers av et dokument.
Se vår APAC PII-deteksjonsguide for hvordan språkgap påvirker deteksjon på tvers av ikke-vestlige skrift.
Hvordan ANSPDCP-saker utvikler seg
ANSPDCP-saker viser tre mønstre.
BPO-bruddssaker: Delte filer inneholder ansatt-ID-numre og EU-kundedata uten kryptering. Dårlige logger gjør at virksomheten ikke kan si hvilke registre som ble aksessert. Det forlenger undersøkelsen og øker boten.
Eksponering i helsevesenet: Pasientfiler — det nasjonale ID-et, helsekort-ID-et og diagnosen — når feil person. PII-verktøyet hadde ingen støtte for dette formatet. Dataene forlot uten maskering.
Feil ved grensekryssende overføringer: En outsourcingfirma sender identifikator-koblede registre til en part utenfor EØS. Ingen Transfer Impact Assessment. Ingen Standard Contractual Clauses. Artikkel 9-statusen til dataene gjør et rutinegap til et mer alvorlig brudd.
Tre kontroller for ANSPDCP-overholdelse
Disse tre utgjør den tekniske minimumsgrunnlinjen:
- CNP-deteksjon med modulo-11-validering — mønstermatching alene er ikke nok.
- Diakritikkbevisst NER — dekk ș, ț, ă, â og î i både UTF-8- og Latin-2-kilder.
- ID-kortdeteksjon — det nasjonale kortet forekommer sammen med CNP i mange dokumenttyper.
For et bredere blikk på hvordan nasjonale ID-er skaper GDPR-risiko, se vår EU-guide for nasjonale skatte-ID-deteksjon.