A Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) da Romênia publicou uma avaliação técnica de 2024 com uma descoberta impressionante: 78% das ferramentas de PII implantadas em operações de terceirização romenas falham em detectar o Cod Numeric Personal (CNP) com a validação adequada do checksum. Para um país que processa dados de cidadãos da UE em larga escala para clientes da Europa Ocidental, isso cria uma exposição sistêmica à conformidade.
CNP: O Identificador Pessoal Mais Rico da Romênia
O CNP é um número de identificação nacional de 13 dígitos:
- Dígito 1: Código de gênero e século (1=masculino 1900-1999, 2=feminino 1900-1999, 5=masculino 2000+, 6=feminino 2000+, 7=masculino residente estrangeiro, 8=feminino residente estrangeiro, 9=outro residente)
- Dígitos 2-3: Últimos dois dígitos do ano de nascimento
- Dígitos 4-5: Mês de nascimento (01-12)
- Dígitos 6-7: Dia de nascimento (01-31)
- Dígitos 8-9: Código do condado (01-52, correspondente aos 41 condados da Romênia + setores de Bucareste)
- Dígitos 10-12: Número sequencial de nascimento dentro do dia e do condado
- Dígito 13: Dígito de verificação (soma ponderada módulo 11)
O CNP codifica gênero, data de nascimento (completa), condado de nascimento e status de cidadania — tornando-se um dos identificadores nacionais mais ricos em informações da Europa. A codificação de gênero no dígito 1 torna o CNP um indicador de categoria especial de fato sob o Artigo 9 do GDPR (revelando sexo biológico), exigindo proteção aumentada.
Validação de checksum: O algoritmo do dígito de verificação multiplica os primeiros 12 dígitos por pesos (2,7,9,1,4,6,3,5,8,2,7,9), soma os produtos, e calcula o módulo 11. Se o resultado for 10, o dígito de verificação é 1. Se o resultado for 11, o CNP é inválido. Caso contrário, o dígito de verificação é igual ao resultado.
78% das ferramentas falham nessa validação — gerando tanto falsos positivos (qualquer número de 13 dígitos é sinalizado) quanto falsos negativos (números de CNP corrompidos passam na correspondência de padrões, mas falham nos checksums e, portanto, são perdidos como dados potencialmente inválidos que requerem revisão).
NER em Língua Romena: A Camada Faltante
Além do CNP, o processamento em língua romena cria desafios específicos de NER:
Diacríticos romenos: O romeno usa caracteres ș (s-cedilha), ț (t-cedilha), ă, â e î. Ferramentas treinadas em texto não romeno podem falhar em reconhecer nomes romenos que contêm esses caracteres. Problemas de codificação (UTF-8 vs. Latin-2) em documentos romenos legados criam desafios adicionais de detecção.
Formatos de endereço romenos: "Strada" (abreviado "Str."), "Bulevardul" (abreviado "Bd."), "Aleea" (abreviado "Al."), "Calea" (abreviado "Cal.") para tipos de rua. As localidades romenas incluem tanto cidades (municipii) quanto comunas (comune) com convenções de nomenclatura diferentes dos formatos de endereço da Europa Ocidental.
Padrões de nomes romenos: Os nomes romenos seguem convenções patronímicas e gramaticais específicas. O mesmo nome aparece em diferentes casos gramaticais dependendo de seu papel gramatical na frase (nominativo, genitivo-dativo). Modelos de NER devem lidar com variação de caso para identificar corretamente nomes romenos em diferentes contextos de documentos.
Padrão de Aplicação da ANSPDCP
Os casos de aplicação da ANSPDCP seguem um padrão consistente que revela as falhas técnicas específicas que levam a violações:
Casos de violação de dados de BPO: Organizações de call center ou suporte de TI sofrem uma violação de dados. A investigação revela que arquivos compartilhados contendo números de CNP de funcionários romenos e dados pessoais de clientes da UE foram armazenados sem criptografia adequada. A avaliação do escopo da violação é dificultada por registros inadequados — a organização não consegue determinar exatamente quais registros foram acessados.
Exposição de dados de saúde: Registros de pacientes contendo números de CNP, números de cartão de saúde e informações de diagnóstico são compartilhados inadvertidamente com partes não autorizadas (enviados por e-mail para o destinatário errado, postados na pasta de nuvem incorreta). Os números de CNP não foram detectados ou pseudonimizados antes do compartilhamento porque a ferramenta de PII da organização não incluía suporte para identificadores romenos.
Transferência transfronteiriça sem salvaguardas: A organização de BPO romena transfere dados de clientes da UE (incluindo registros vinculados ao CNP) para um subprocessador indiano para entrada de dados ou processamento, sem uma Avaliação de Impacto de Transferência adequada e Cláusulas Contratuais Padrão. Números de CNP em arquivos transferidos criam exposição de transferência de categoria especial do GDPR.
Para a conformidade com o GDPR romeno: detecção de CNP com validação de checksum módulo-11, NER em língua romena com processamento ciente de diacríticos, e detecção de cartão de identidade nacional romeno são a base técnica que o registro de aplicação da ANSPDCP mostra ser necessária.
Fontes: