O Urząd Ochrony Danych Osobowych (UODO) da Polônia — a autoridade de proteção de dados que aplica o RODO (o nome polonês para o GDPR) — identificou uma lacuna técnica sistêmica em sua pesquisa de aplicação de 2024: 89% das ferramentas de PII implantadas em organizações polonesas não conseguem detectar corretamente o número PESEL. Para um país que processa 2,3 milhões de registros de clientes da UE diariamente por meio de seu setor de BPO, essa lacuna cria uma exposição à conformidade que abrange a jurisdição do UODO e as DPAs de cada país da UE cujos dados de cidadãos as organizações polonesas manipulam.
PESEL: O Padrão Técnico que o UODO Exige
O PESEL (Powszechny Elektroniczny System Ewidencji Ludności) é um número de registro nacional da população de 11 dígitos que codifica:
- Dígitos 1-2: Ano de nascimento (últimos dois dígitos)
- Dígitos 3-4: Mês de nascimento (modificado pelo século: 1800s = 80+mês, 1900s = mês como está, 2000s = 20+mês, 2100s = 40+mês, 2200s = 60+mês)
- Dígitos 5-6: Dia de nascimento
- Dígitos 7-10: Número sequencial (número ímpar para homens, par para mulheres)
- Dígito 11: Dígito de verificação usando o algoritmo: multiplicar os dígitos por pesos (1,3,7,9,1,3,7,9,1,3), somar, módulo 10, se o resultado ≠ 0 subtrair de 10
A codificação século-mês (80+mês para nascimentos de 1800, 20+mês para nascimentos de 2000) é exclusiva do PESEL e causa falsos negativos sistemáticos em ferramentas que reconhecem apenas o formato padrão de 1900.
Requisito técnico do UODO: as ferramentas devem implementar o algoritmo completo do dígito de verificação e lidar com todas as cinco codificações século-mês. Ferramentas que apenas validam o formato do ano de nascimento de 1900 perdem os poloneses nascidos nos anos 2000 (que usam códigos de mês 21-32 em vez de 01-12) — a demografia de 25 anos mais ativa em serviços digitais.
NIP e REGON: A Lacuna de Documentos Empresariais
NIP (Numer Identyfikacji Podatkowej): número de identificação fiscal polonês de 10 dígitos com dígito de verificação. O dígito de verificação usa um algoritmo de soma ponderada: multiplicar os primeiros 9 dígitos por pesos (6,5,7,2,3,4,5,6,7), somar, módulo 11, verificar contra o dígito 10.
O NIP aparece em virtualmente todos os documentos empresariais poloneses — faturas, contratos, declarações fiscais, registros de folha de pagamento. É tanto um identificador individual (NIP osoby fizycznej) quanto empresarial (NIP podmiotu).
REGON: número estatístico de empresa de 9 dígitos ou 14 dígitos. O REGON de 9 dígitos usa um algoritmo de dígito de verificação; o REGON de 14 dígitos (identificando unidades específicas da empresa) usa um algoritmo diferente. Ambos aparecem em contratos comerciais e documentação de fornecedores.
A combinação de NIP e REGON em documentos empresariais, juntamente com identificadores pessoais como PESEL em registros de RH, significa que a detecção abrangente de PII polonesa requer suporte para todos os três tipos de identificadores simultaneamente.
O Setor de BPO da Polônia: A Exposição à Conformidade Multiplicada
O setor de terceirização de processos de negócios da Polônia processa dados pessoais em nome de empresas da Europa Ocidental:
- Registros financeiros de clientes de bancos alemães tratados por centros de processamento poloneses
- Sinistros de segurados franceses processados em centros de serviços compartilhados poloneses
- Dados administrativos de saúde do Reino Unido processados por equipes de back-office de saúde digital polonesas
Quando uma organização de BPO polonesa falha em detectar o PESEL em um arquivo de registros de funcionários poloneses — ou falha em detectar os Steuer-IDs alemães em registros de clientes alemães processados juntamente com dados poloneses — a violação cria exposição simultânea a:
- UODO (DPA polonês): Por medidas técnicas inadequadas que afetam os dados de nacionais poloneses
- BfDI/Landesdatenschutzbehörden: Por medidas técnicas inadequadas que afetam os dados de nacionais alemães
- CNIL: Por dados de nacionais franceses
- ICO: Por dados de nacionais do Reino Unido
A conformidade RODO em múltiplas jurisdições requer ferramentas de PII que cobrem todos os identificadores nacionais presentes no ambiente de processamento — não apenas identificadores poloneses para organizações de BPO polonesas, mas todo o panorama de identificadores da UE para organizações que manipulam dados de cidadãos da UE na Polônia.
Fontes: