ÚOOÚ och Rodné Číslo: Könskodning under GDPR
Uppdaterat för 2026
Tjeckiens dataskyddsmyndighet är ÚOOÚ. Fullständigt namn: Úřad pro ochranu osobních údajů. Myndigheten fattade 58 beslut under 2024. Ett fynd återkommer i många ärenden. Rodné číslo (födelsenumret) bearbetades utan att identifieras. Det PII-verktyg som användes var byggt för tyska eller engelska. Det saknade helt logik för denna identifierartyp. ÚOOÚ är tydlig: verktyg måste identifiera rodné číslo med kontrollsummavalidering och korrekt könsoffsethantering.
Rodné Číslo: Uppgifter i särskild kategori per konstruktion
Rodné číslo, eller RČ, använder formatet RRMMDD/XXXX.
- RR — de två sista siffrorna i födelseåret.
- MM — födelsemånad. För kvinnor läggs 50 till. Månad 01 blir 51. Månad 12 blir 62.
- DD — födelsedag.
- XXXX — en kort sekvens på 3–4 siffror plus ett kontrollvärde (modulus 11).
Månadsförskjutningen för kvinnor gör detta nummer till en markör för biologiskt kön. Det är inte tillfälligt. Det civilrättsliga registreringssystemet använder det för administrativ sökning. GDPR artikel 9 täcker uppgifter som avslöjar personliga egenskaper. Kön är en av dem. ÚOOÚ:s ståndpunkt: varje dokument med ett rodné číslo innehåller data med koppling till särskild kategori. Starkare skydd gäller.
Hur kontrollvärdet fungerar: För 10-teckens nummer (utfärdade efter 1954) måste hela den 9-teckenslånga basen vara jämnt delbar med 11. För 9-teckens nummer (utfärdade före 1954) finns inget kontrollvärde. Verktyg måste hantera båda.
Vad ÚOOÚ anser vara tillräcklig identifiering
ÚOOÚ:s tekniska vägledning 2024 för PII-verktyg ställer tre krav.
Könsoffsethantering: Nummer med månadsvärden 51–62 är giltiga identifierare för kvinnor. Ett verktyg som behandlar dessa som ogiltiga datum missar ungefär hälften av den vuxna kvinnliga befolkningens primär-ID.
Formatvarianter: Födslar före 1954 ger 9-teckens nummer utan kontrollvärde. Födslar efter 1954 ger 10-teckens nummer med ett. Båda måste stödjas.
Kontextsignaler: I modersmålsspråkiga dokument förekommer identifieraren nära etiketter som 'Rodné číslo:', 'RČ:' eller 'r.č.:'. Språkmedveten NER hjälper till att hitta dessa signaler även i fritext.
Problemet med tyska moderbolag
67 % av företagen i landet driftsätter PII-verktyg konfigurerade för tyska eller engelska. ÚOOÚ konstaterade detta i en enkätundersökning. Felkedjan inom tillverkning är förutsägbar.
Ett tyskt moderbolag driftsätter ett skanningsverktyg. Det är konfigurerat för tyska identifierare. HR-data — avtal, hälsojournaler, löneregister — innehåller födelsenummer. Verktyget saknar logik för denna identifierartyp. Varje födelsenummer missas. Anställdas hälso- och lönedata rör sig utan de kontroller ÚOOÚ kräver. Vid en revision eller ett intrång kan det lokala företaget inte visa lämpliga tekniska åtgärder enligt GDPR artikel 32.
ÚOOÚ håller den lokala personuppgiftsansvarige ansvarig. Att moderbolaget valde verktyget är inte ett giltigt försvar. GDPR:s ansvarsskyldighetsregel tillåter det inte.
Efterlevnadschecklista för tillverkningsföretag
Dessa kontroller gäller för industriföretag med tyska moderbolagsverktyg.
- Födelsenummerdetektion: Både 9-teckens och 10-teckens format. Könsoffset-månadshantering (50+). Modulus-11 kontrollvärde för 10-teckens varianter.
- Modersmålsspråkig NER: spaCy cs_core_news eller en likvärdig modell. Generiska verktyg uppvisar 23 % lägre NER-noggrannhet för detta språk. Lokala modeller stänger luckan.
- Číslo OP-detektion: Det nationella ID-kortet (občanský průkaz) är ett 9-teckens nummer. Det förekommer tillsammans med födelsenumret i många dokumenttyper.
- IČO och DIČ: Företags-ID och skattenummer förekommer i avtal. Båda behöver täckning.
- Flerspråkig pipeline: Blandade miljöer har dokument på det lokala språket, tyska och engelska. En enspråkig pipeline missar gränsöverskridande samförekomster.
ÚOOÚ:s tillsyn är konsekvent. Företag som kan uppvisa tekniska bevis vid en revision möter betydligt lägre böter. Företag som inte kan det har högre exponering.
För en bredare bild av hur nationella ID skapar GDPR-exponering, se vår EU-guide till nationellt skatte-ID.
För en liknande nordisk identifierare, se vår tekniska guide till Datatilsynet CPR.