ANSPDCP Rumänien: CNP-detektion och GDPR-kontroller
Uppdaterat för 2026
Rumäniens dataskyddsmyndighet är ANSPDCP. Myndighetens bedömning 2024 visade att 78 % av PII-verktygen misslyckas med att identifiera Cod Numeric Personal (CNP). De flesta hoppar över kontrollsummasteget. Den bristen skapar verklig efterlevnadsrisk. Rumänien hanterar EU-data för många västerländska kunder. Exponeringen är bred.
Rumäniens mest dataintensiva nationella ID
CNP är ett 13-siffrigt nationellt identifieringsnummer. Varje siffergrupp innehåller personuppgifter:
- Siffra 1: Kön och sekelkod. Man född 1900–1999 = 1. Kvinna född 1900–1999 = 2. Man född 2000+ = 5. Kvinna född 2000+ = 6. Manlig utländsk bosatt = 7. Kvinnlig utländsk bosatt = 8. Annan bosatt = 9.
- Siffra 2–3: De två sista siffrorna i födelseåret.
- Siffra 4–5: Födelsemånad (01–12).
- Siffra 6–7: Födelsedag (01–31).
- Siffra 8–9: Länskod. Täcker 41 județe och Bukarests sex sektorer (koder 01–52).
- Siffra 10–12: Födelseordning den dagen i det länet.
- Siffra 13: Kontrollsiffra.
Siffra 1 avslöjar ensam biologiskt kön. Enligt GDPR artikel 9 gör det detta nummer till en uppgift i särskild kategori. Det kräver ett starkare skydd än vanliga personuppgifter.
Hur kontrollsiffran fungerar: Ta de första 12 siffrorna. Multiplicera varje med sin vikt (2, 7, 9, 1, 4, 6, 3, 5, 8, 2, 7, 9). Addera resultaten. Dela med 11 och ta resten. En rest på 10 ger kontrollsiffran 1. En rest på 11 innebär att koden inte är giltig. Alla andra rester är kontrollsiffran.
Verktyg som hoppar över detta test har två fellägen. För det första: vilken som helst 13-siffrig sträng flaggas som en träff (falskt positiva). För det andra: ett korrupt nummer klarar mönsterkontrollen men innehåller felaktiga data. Dessa data behöver granskning men missas (falskt negativa).
NER-problem i rumänskspråkiga dokument
Att hitta identifierare är bara en del av arbetet. Rumänsk text lägger till fler detekteringshinder.
Diakritiska tecken: Rumänska använder ș, ț, ă, â och î. Verktyg tränade på andra språk missar ofta namn med dessa bokstäver. Gamla dokument i Latin-2-kodning ger ytterligare fel.
Adressformat: Gatutyper använder förkortningar — Str., Bd., Al., Cal. Stads- och kommunnamn följer lokala regler. Parser byggda för franska eller tyska adresser fungerar dåligt här.
Namnböjning: Namn förändrar form beroende på grammatiskt kasus på rumänska. Samma persons namn ser olika ut i olika delar av en mening. NER-modeller måste hantera detta för att kunna koppla samman namn i ett dokument.
Se vår guide till APAC PII-detektion för hur språkbrister påverkar detektion i icke-västerländska skriftsystem.
Hur ANSPDCP-ärenden utvecklas
ANSPDCP-ärenden uppvisar tre mönster.
BPO-intrångsfall: Delade filer innehåller anställningsnummer och EU-kunddata utan kryptering. Dåliga loggar innebär att företaget inte kan avgöra vilka poster som nåtts. Det förlänger utredningen och höjer böterna.
Hälso- och sjukvårdsexponering: Patientfiler — nationellt ID, hälsokorts-ID och diagnos — når fel person. PII-verktyget saknade stöd för detta format. Data läckte ut utan maskering.
Misslyckade gränsöverskridande överföringar: Ett outsourcingföretag skickar identifieringslänkade poster till en part utanför EES. Ingen konsekvensbedömning för överföring. Inga standardavtalsklausuler. Artikel 9-statusen hos data förvandlar en rutinbrist till en allvarligare överträdelse.
Tre kontroller för ANSPDCP-efterlevnad
Dessa tre utgör den lägsta tekniska baslinjen:
- CNP-detektion med modulo-11-validering — mönstermatchning ensam räcker inte.
- Diakritikmedveten NER — täck ș, ț, ă, â och î i både UTF-8 och Latin-2-källor.
- ID-kortsdetektion — det nationella kortet förekommer bredvid CNP i många dokumenttyper.
För en bredare bild av hur nationella ID skapar GDPR-risk, se vår EU-guide till nationellt skatte-ID.