CNP-ul este una dintre cele mai cunoscute și, în același timp, cele mai sensibile informații personale ale unui cetățean român. Fiecare dintre noi îl oferim frecvent — la medic, la bancă, la angajare, la înregistrări online sau la diverse instituții. Dar de câte ori te-ai întrebat dacă este cu adevărat necesar? Și mai ales: **în ce condiții este legal să fie folosit**?
Regulamentul GDPR aduce claritate și impune reguli stricte privind prelucrarea datelor personale, iar în România, CNP-ul este considerat informație cu risc ridicat. Asta înseamnă că firmele, instituțiile și chiar profesioniștii independenți trebuie să respecte reguli speciale dacă doresc să colecteze sau să proceseze acest identificator unic.
Într-o perioadă în care riscurile de fraudă, atacurile cibernetice și furtul de identitate sunt în continuă creștere, protejarea CNP-ului devine nu doar o obligație legală, ci o responsabilitate esențială în relația dintre organizații și cetățeni.
Ce este CNP-ul și de ce este atât de important?
Codul Numeric Personal este un identificator unic atribuit fiecărei persoane născute sau rezidente în România. El conține 13 cifre care dezvăluie informații despre:
- data nașterii;
- sex;
- judetul unde s-a făcut înregistrarea;
- un număr unic de ordine;
- o cifră de control.
Prin această structură, CNP-ul devine o cheie universală care poate conecta date din multiple sisteme — de la sănătate și fiscalitate, până la educație sau servicii bancare. Tocmai de aceea este considerat „aur digital” pentru infractorii cibernetici și un element critic de securitate pentru fiecare cetățean.
Ce spune GDPR despre CNP-ul din România
GDPR clasifică datele personale în două categorii:
- date personale obișnuite – nume, email, adresă;
- date cu caracter special – sănătate, date biometrice, orientare sexuală etc.
CNP-ul, deși nu este enumerat explicit ca „dată specială”, este considerat în România dată cu caracter personal cu grad ridicat de risc, conform Legii 190/2018. Motivul este capacitatea sa unică de a identifica o persoană în mod direct și ireversibil.
Autoritatea Națională de Supraveghere (ANSPDCP) recomandă în mod expres:
- evitarea colectării atunci când există alternative;
- interzicerea utilizării CNP-ului ca identificator unic în sistemele interne;
- folosirea pseudonimizării atunci când este posibil;
- informarea clară a persoanei vizate cu privire la scopul folosirii.
Cu alte cuvinte: colectezi CNP-ul doar dacă ești obligat prin lege sau este absolut necesar — altfel, riști sancțiuni.
Când ai voie să colectezi CNP-ul și când NU?
Prelucrarea CNP-ului este permisă doar în cazurile prevăzute de lege sau în situații în care identificarea precisă este esențială.
Când este PERMIS
- Emiterea de rețete compensate – cerută de Casa de Asigurări;
- Raportări obligatorii către ANAF, CAS, DSP, INSP, ITM;
- Încheierea unui contract de muncă (Codul Muncii);
- Proceduri bancare sau tranzacții financiare reglementate;
- Identificarea într-un sistem public (de ex. dosarul electronic de sănătate).
Când NU este permis
- Când îl ceri „doar ca să fie”;
- Pentru programări simple la medic sau la salon;
- Pentru înscrieri la newsletter sau conturi de utilizator;
- Pentru acces în clădiri, evenimente sau parcări;
- Pentru formulare interne fără temei legal;
- Pentru marketing sau sondaje.
ANSPDCP a sancționat deja companii care au folosit automat CNP-ul în formulare de programare sau de înscriere, fără justificare. Simplul fapt că nu există o obligație legală transformă colectarea într-o încălcare a GDPR.
Riscurile prelucrării ilegale a CNP-ului
Atunci când o organizație folosește incorect CNP-ul, consecințele pot fi serioase, atât juridic, cât și reputațional.
- Amenzi GDPR de până la 20 de milioane de euro sau 4% din cifra de afaceri globală;
- Investigații prelungite din partea ANSPDCP;
- Obligația de a notifica persoanele afectate în caz de breșă de securitate;
- Deteriorarea imaginii companiei în fața publicului;
- Acțiuni în instanță din partea persoanelor vizate.
Chiar și o simplă expunere accidentală — de exemplu, un e-mail trimis greșit — poate declanșa raportare obligatorie și investigație oficială.
Exemple practice de greșeli făcute în România
1. Folosirea CNP-ului pe facturi
În majoritatea cazurilor, **nu este necesară menționarea CNP-ului** pe o factură fiscală emisă către o persoană fizică. Doar în situații speciale, impuse de legislație, poate fi justificat.
2. Programări medicale care solicită automat CNP
Multe clinici introduc câmp obligatoriu pentru CNP pe formularele online. Acest lucru este ilegal, deoarece nu toate serviciile medicale cer raportare către CAS.
3. Solicitarea CNP-ului la accesul în clădire
Companii de pază sau recepție solicită CNP-ul vizitatorilor. Acest lucru NU este permis și nu are justificare legală.
4. Copierea integrală a Cărții de Identitate
Se practică frecvent, dar nu este legal decât în situații reglementate clar (ex: instituții bancare). În rest, este considerată o prelucrare excesivă.
Ce obligații are o companie care colectează CNP-ul
Dacă organizația ta procesează CNP-ul, trebuie să respecți o serie de cerințe:
- să documentezi temeiul legal clar;
- să informezi persoana vizată despre procesare;
- să implementezi măsuri tehnice de protecție: criptare, pseudonimizare, limitarea accesului;
- să ai politici interne care explică cine și cum folosește datele;
- să stabilești termene de stocare;
- să poți demonstra conformitatea în caz de control.
GDPR nu se rezumă la „aveam nevoie de CNP” — ci la „pot demonstra legal și tehnic de ce l-am cerut”.
Ce măsuri tehnice și organizaționale trebuie implementate
Protejarea CNP-ului implică măsuri suplimentare, printre care:
- criptarea bazelor de date;
- autentificarea în doi pași pentru acces;
- limitarea drepturilor de acces doar pentru personalul autorizat;
- pseudonimizarea în documentele curente;
- jurnalizarea accesării (loguri clare);
- training anual pentru angajați;
- proceduri clare de răspuns la incidente.
O companie responsabilă tratează CNP-ul ca pe un element de securitate critic, nu ca pe o simplă informație administrativă.
De ce ai nevoie de o consultantă GDPR specializată
Prelucrarea CNP-ului este un subiect sensibil, iar legislația se actualizează constant. O companie specializată în GDPR te ajută să:
- eviți sancțiunile datorate necunoașterii legii;
- implementezi politici interne corecte;
- actualizezi formularele, procedurile și documentele oficiale;
- înțelegi exact când ai voie și când nu ai voie să soliciți CNP-ul;
- protejezi eficient datele clienților și ale angajaților.
Un simplu consult poate evita amenzi de zeci sau sute de mii de lei — dar, mai ales, te poate proteja de pierderi reputaționale ireversibile.
F.A.Q – Întrebări frecvente despre GDPR și CNP
- Este CNP-ul o dată sensibilă?
Da. În România este considerat date cu risc ridicat, iar prelucrarea este strict reglementată. - Am voie să cer CNP pentru programări?
Numai dacă există o obligație legală sau un scop clar justificat. În majoritatea cazurilor: NU. - Pot păstra CNP-ul într-un tabel Excel?
Doar dacă este criptat și accesul este strict controlat. - Este legal să solicit copia CI pentru verificare?
În general, NU. Doar instituțiile reglementate prin lege pot face acest lucru. - Ce fac dacă am expus accidental CNP-ul unui client?
Trebuie să notifici ANSPDCP în 72 de ore și, uneori, persoana afectată.
Protejarea CNP-ului este mult mai mult decât o cerință legală. Este un angajament față de siguranța și demnitatea persoanelor, fie că vorbim de clienți, angajați sau pacienți. Iar companiile care respectă aceste principii devin automat mai credibile, mai solide și mai pregătite pentru un viitor digital sigur.
Echipa GDPRcomplet.ro – partenerul tău în protecția datelor și conformitate.
