ANSPDCP Roemenië: CNP-detectie en AVG-controles
Bijgewerkt voor 2026
De Roemeense gegevensbeschermingsautoriteit is ANSPDCP. Haar beoordeling uit 2024 toonde aan dat 78% van de PII-tools er niet in slaagt de Cod Numeric Personal (CNP) te detecteren. De meeste slaan de controlesomstap over. Dat hiaat creëert reële nalevingsrisico's. Roemenië verwerkt EU-data voor vele westerse klanten. De blootstelling is breed.
Het rijkste nationale ID van Roemenië aan persoonsgegevens
Het CNP is een 13-cijferig nationaal identificatienummer. Elke cijfergroep bevat persoonsgegevens:
- Cijfer 1: Geslachts- en eeuwcode. Man geboren 1900–1999 = 1. Vrouw geboren 1900–1999 = 2. Man geboren 2000+ = 5. Vrouw geboren 2000+ = 6. Mannelijke buitenlandse ingezetene = 7. Vrouwelijke buitenlandse ingezetene = 8. Overige ingezetene = 9.
- Cijfers 2–3: Laatste twee cijfers van het geboortejaar.
- Cijfers 4–5: Geboortemaand (01–12).
- Cijfers 6–7: Geboortedag (01–31).
- Cijfers 8–9: Districtscode. Omvat 41 districten en de zes sectoren van Boekarest (codes 01–52).
- Cijfers 10–12: Geboortevolgorde binnen die dag en dat district.
- Cijfer 13: Controlecijfer.
Cijfer 1 alleen onthult al het biologische geslacht. Onder artikel 9 van de AVG maakt dit het nummer een bijzondere categorie persoonsgegevens. Het heeft sterkere bescherming nodig dan gewone persoonsgegevens.
Hoe het controlecijfer werkt: Neem de eerste 12 cijfers. Vermenigvuldig elk met het bijbehorende gewicht (2, 7, 9, 1, 4, 6, 3, 5, 8, 2, 7, 9). Tel de uitkomsten op. Deel door 11 en neem de rest. Een rest van 10 geeft controlecijfer 1. Een rest van 11 betekent dat de code ongeldig is. Elke andere rest is het controlecijfer.
Tools die deze test overslaan, hebben twee soorten fouten. Ten eerste wordt elke 13-cijferige reeks als match gemarkeerd (valse positieven). Ten tweede slaagt een beschadigd nummer de patrooncontrole maar bevat het slechte data. Die data heeft review nodig en wordt gemist (valse negatieven).
NER-problemen in Roemeenstalige documenten
Het vinden van identifiers is slechts een deel van het werk. Roemeense tekst voegt meer detectiedrempels toe.
Diakritische tekens: Roemeens gebruikt ș, ț, ă, â en î. Tools die getraind zijn op andere talen missen vaak namen met deze letters. Oude documenten in Latin-2-codering voegen nog meer fouten toe.
Adresformaten: Straattypes worden in verkorte vorm geschreven — Str., Bd., Al., Cal. Stads- en gemeentenamen volgen lokale regels. Parsers gebouwd voor Franse of Duitse adressen presteren hier slecht.
Naamverbuiging: Namen veranderen van vorm naargelang de grammaticale naamval in het Roemeens. Dezelfde persoonsnaam ziet er anders uit in verschillende delen van een zin. NER-modellen moeten dit aankunnen om namen door een document heen te koppelen.
Zie onze APAC PII-detectiegids voor hoe taalkloven detectie beïnvloeden bij niet-westerse scripts.
Hoe ANSPDCP-zaken zich ontwikkelen
ANSPDCP-zaken vertonen drie patronen.
BPO-inbreukzaken: Gedeelde bestanden bevatten werknemers-ID-nummers en EU-klantgegevens zonder versleuteling. Slechte logboeken betekenen dat het bedrijf niet kan vaststellen welke records werden ingezien. Dit verlengt het onderzoek en verhoogt de boete.
Blootstelling in de gezondheidszorg: Patiëntdossiers — het nationale ID, het zorgkas-ID en de diagnose — bereiken de verkeerde persoon. De PII-tool had geen ondersteuning voor dit formaat. De gegevens zijn vertrokken zonder maskering.
Fouten bij grensoverschrijdende transfers: Een uitbestedingsbedrijf stuurt aan identifiers gekoppelde records naar een niet-EER-partij. Geen Transfer Impact Assessment. Geen Standaard Contractuele Bepalingen. De artikel 9-status van de data verandert een routinematig hiaat in een ernstiger schending.
Drie maatregelen voor ANSPDCP-naleving
Deze drie vormen de minimale technische basislijn:
- CNP-detectie met modulo-11-validatie — patroonherkenning alleen is niet voldoende.
- Diakritiekbewuste NER — dek ș, ț, ă, â en î in zowel UTF-8- als Latin-2-bronnen.
- Identiteitskaartdetectie — de nationale identiteitskaart verschijnt naast het CNP in veel documenttypen.
Voor een breder overzicht van hoe nationale ID's AVG-risico's creëren, zie onze gids voor Europese nationale belasting-ID-detectie.