Romanya'nın Kişisel Verilerin İşlenmesini İzleme Otoritesi (ANSPDCP), çarpıcı bir bulgu ile 2024 teknik değerlendirmesini yayımladı: Romanya dış kaynaklı operasyonlarında kullanılan PII araçlarının %78'i, Cod Numeric Personal (CNP) numarasını uygun kontrol toplama doğrulaması ile tespit edemiyor. Bu, Batı Avrupa müşterileri için AB vatandaş verilerini ölçekli olarak işleyen bir ülke için sistemik uyum riski yaratıyor.
CNP: Romanya'nın En Zengin Kişisel Tanımlayıcısı
CNP, 13 haneli bir ulusal kimlik numarasıdır:
- Hane 1: Cinsiyet ve yüzyıl kodu (1=erkek 1900-1999, 2=kadın 1900-1999, 5=erkek 2000+, 6=kadın 2000+, 7=erkek yabancı ikamet eden, 8=kadın yabancı ikamet eden, 9=diğer ikamet eden)
- Haneler 2-3: Doğum yılının son iki hanesi
- Haneler 4-5: Doğum ayı (01-12)
- Haneler 6-7: Doğum günü (01-31)
- Haneler 8-9: İl kodu (01-52, Romanya'nın 41 ili + Bükreş sektörleri)
- Haneler 10-12: Gün ve il içindeki ardışık doğum numarası
- Hane 13: Kontrol hanesi (ağırlıklı toplam modül 11)
CNP, cinsiyet, doğum tarihi (tam), doğum ili ve vatandaşlık durumunu kodlar - bu da onu Avrupa'nın en bilgi zengin ulusal tanımlayıcılarından biri yapar. Hane 1'deki cinsiyet kodlaması, CNP'yi GDPR Madde 9 uyarınca de facto özel kategori göstergesi haline getirir (biyolojik cinsiyeti açığa çıkarır), bu da artırılmış koruma gerektirir.
Kontrol toplama doğrulaması: Kontrol hanesi algoritması, ilk 12 haneyi ağırlıklarla (2,7,9,1,4,6,3,5,8,2,7,9) çarpar, ürünleri toplar ve modül 11 alır. Sonuç 10 ise, kontrol hanesi 1'dir. Sonuç 11 ise, CNP geçersizdir. Aksi takdirde kontrol hanesi sonucu eşittir.
Araçların %78'i bu doğrulamayı atlıyor - hem yanlış pozitifler (herhangi bir 13 haneli numara işaretleniyor) hem de yanlış negatifler (bozulmuş CNP numaraları desen eşleştirmeyi geçiyor ancak kontrol toplama işlemlerini geçemediği için potansiyel olarak geçersiz veri olarak gözden kaçıyor).
Romence Dil NER: Eksik Katman
CNP'nin ötesinde, Romence dil işleme belirli NER zorlukları yaratır:
Romence diakritikleri: Romence, ș (s-cedilla), ț (t-cedilla), ă, â ve î karakterlerini kullanır. Romence olmayan metinler üzerinde eğitilmiş araçlar, bu karakterleri içeren Romence isimleri tanımakta başarısız olabilir. Eski Romence belgelerdeki kodlama sorunları (UTF-8 vs. Latin-2) ek tespit zorlukları yaratır.
Romence adres formatları: "Strada" (kısaltması "Str."), "Bulevardul" (kısaltması "Bd."), "Aleea" (kısaltması "Al."), "Calea" (kısaltması "Cal.") sokak türleri için. Romence yerleşim yerleri, Batı Avrupa adres formatlarından farklı adlandırma geleneklerine sahip şehirleri (municipii) ve komünleri (comune) içerir.
Romence isim kalıpları: Romence isimler belirli patronimik ve gramer kurallarını takip eder. Aynı isim, cümledeki gramer rolüne bağlı olarak farklı gramer durumlarında görünür (nominatif, genitif-datif). NER modelleri, belge bağlamlarında Romence isimleri doğru bir şekilde tanımlamak için durum varyasyonunu yönetmelidir.
ANSPDCP'nin Uygulama Deseni
ANSPDCP'nin uygulama vakaları, ihlallere yol açan belirli teknik hataları ortaya çıkaran tutarlı bir deseni takip eder:
BPO veri ihlali vakaları: Çağrı merkezi veya BT destek organizasyonları bir veri ihlali yaşar. Soruşturma, Romanyalı çalışan CNP numaralarını ve AB müşteri kişisel verilerini içeren paylaşılan dosyaların yeterli şifreleme olmadan saklandığını ortaya çıkarır. İhlal kapsamı değerlendirmesi yetersiz günlüğe alma nedeniyle engellenir - organizasyon tam olarak hangi kayıtların erişildiğini belirleyemez.
Sağlık verisi ifşası: CNP numaraları, sağlık kartı numaraları ve teşhis bilgilerini içeren hasta kayıtları, yetkisiz taraflarla yanlışlıkla paylaşılır (yanlış alıcıya e-posta gönderilir, yanlış bulut klasörüne yüklenir). CNP numaraları, organizasyonun PII aracı Romanya tanımlayıcı desteği içermediği için paylaşım öncesinde tespit edilmemiş veya takma adlandırılmamıştır.
Koruma olmadan sınır ötesi transfer: Romanyalı BPO organizasyonu, yeterli Transfer Etki Değerlendirmesi ve Standart Sözleşme Hükümleri olmadan, AB müşteri verilerini (CNP ile bağlantılı kayıtlar dahil) veri girişi veya işleme için Hindistan alt yüklenicisine aktarır. Aktarılan dosyalardaki CNP numaraları, GDPR özel kategori transfer riski yaratır.
Romanya GDPR uyumu için: Modulo-11 kontrol toplama doğrulaması ile CNP tespiti, diakritik farkındalığı olan Romence dil NER ve Romanya ulusal kimlik kartı tespiti, ANSPDCP'nin uygulama kaydının gösterdiği teknik temel gereksinimlerdir.
Kaynaklar: