Чеський Úřad pro ochranu osobních údajů (ÚOOÚ) виніс 58 рішень про виконання у 2024 році. Одне з висновків з'являється в кількох справах: rodné číslo (номер народження) оброблявся без виявлення, оскільки розгорнутий інструмент PII було налаштовано для німецької або англійської мови, і він не мав логіки чеських ідентифікаторів. Рекомендації ÚOOÚ чіткі — інструменти повинні реалізовувати виявлення rodné číslo з валідацією контрольної суми та правильною обробкою кодування статі.
Rodné Číslo: Дані особливої категорії за структурою
Формат rodné číslo (скорочено RČ): RRMMDD/XXXX, де:
- RR = останні дві цифри року народження
- MM = місяць народження (для жінок: додається 50 — місяць 01 стає 51, місяць 12 стає 62)
- DD = день народження
- XXXX = порядковий номер (3-4 цифри) + контрольна цифра (модуль 11)
Кодування місяця для жінок (MM + 50) робить rodné číslo структурним показником біологічної статі. Це не є випадковим — чеська система реєстрації цивільного стану навмисно вбудовує стать у номер для адміністративних цілей пошуку. Стаття 9 GDPR охоплює дані, що «розкривають» характеристики фізичних осіб — стать є однією з них. Інтерпретація ÚOOÚ: будь-який документ, що містить rodné číslo, де-факто містить дані, наближені до особливої категорії, що вимагають підвищеного захисту.
Контрольна цифра: Для rodné číslo з 10 цифрами (видані після 1954 року) контрольна цифра робить весь 9-значний номер кратним 11. Для 9-значних номерів (до 1954 року) контрольна цифра не застосовується. Інструменти повинні обробляти обидва варіанти.
Технічні рекомендації ÚOOÚ: що означає «адекватне виявлення»
Технічні рекомендації ÚOOÚ 2024 року для чеських інструментів PII визначають:
Обробка зміщення статі: Інструменти повинні правильно ідентифікувати номери rodné číslo зі значеннями місяця 51–62 (кодування жінок) як дійсні RČ, а не розпізнавати їх як невалідні дати. Більшість чеських дорослих жінок мають rodné číslo зі значеннями місяця 51–62 — інструменти, що відхиляють їх як «невалідний формат дати», пропускають приблизно половину основних ідентифікаторів чеського жіночого населення.
9-значні та 10-значні: Народжені до 1954 року використовують 9-значні rodné čísla без контрольної цифри. Після 1954 року — 10-значні з контрольною цифрою. Інструменти повинні підтримувати обидва формати.
Контекстне виявлення: У чеськомовних документах rodné číslo зазвичай з'являється в одному з кількох контекстів: «Rodné číslo:», «RČ:», «r.č.:» або вбудовано у форми. Чеський NER допомагає ідентифікувати ці контексти навіть коли документ явно не структурований.
Чеський виробничий контекст: конфігурація для материнської компанії в Німеччині
67% чеських підприємств розгортають інструменти PII, налаштовані для Німеччини або англійської мови — задокументовано в опитуванні ÚOOÚ. Режим збою у чеському виробництві:
- Материнська компанія в Німеччині розгортає інструмент сканування PII з інтеграцією SAP, налаштований для німецьких ідентифікаторів
- Чеські HR-дані (трудові договори, медичні записи, нарахування заробітної плати) містять rodné čísla
- Німецький інструмент не реалізує логіку rodné číslo — пропускає всі чеські номери народження співробітників
- Дані про здоров'я та заробітну плату чеських співробітників обробляються без захисту на рівні ідентифікаторів, якого вимагає ÚOOÚ
- У разі витоку даних або аудиту ÚOOÚ чеська дочірня компанія не може продемонструвати «відповідні технічні заходи» згідно зі статтею 32 GDPR
ÚOOÚ притягує до відповідальності чеського контролера (місцеву дочірню компанію) — а не постачальника німецького інструменту. Аргумент «наша материнська компанія обрала цей інструмент» не задовольняє вимогу підзвітності GDPR.
Контрольний список відповідності для чеського виробництва
Для чеських виробничих та промислових організацій з інструментами від материнської компанії в Німеччині:
- Виявлення rodné číslo: Обидва формати — 9-значний та 10-значний, з обробкою місяця зі зміщенням статі (50+), з перевіркою контрольної цифри за модулем 11 для 10-значних варіантів
- Чеський NER: spaCy cs_core_news або аналог — на 23% нижча точність порівняно з німецьким для загальних інструментів; чеські моделі закривають цей розрив
- Číslo OP (občanský průkaz): Виявлення номера національного посвідчення особи (9 символів)
- IČO/DIČ: Ідентифікаційні та реєстраційні номери платника ПДВ в договорах
- Багатомовний конвеєр: Обробка чеської + німецької + англійської мов для змішаномовних виробничих документних середовищ
Практи правозастосування ÚOOÚ показують, що чеські виробничі організації, які можуть продемонструвати ці можливості у відповідь на питання аудиту — з технічними доказами, а не лише заявами про політику — мають значно менший ризик штрафних санкцій, ніж ті, що не можуть.
Джерела: