CNP-uri în contabilitate: ce zice GDPR și cum le ții în siguranță

În contabilitate lucrezi zilnic cu CNP-uri — angajați, co-asigurați, administratori, clienți persoane fizice. E una dintre cele mai sensibile categorii de date personale din România: identifică unic persoana, combinat cu alte date permite furt de identitate, credite frauduloase, acces la conturi. GDPR o tratează ca pe un identificator național cu risc ridicat. Acest articol e despre ce trebuie să faci ca să fii conform.

De ce CNP-ul e tratat diferit

• Unic — spre deosebire de un email sau nume, un CNP identifică persoana fără ambiguitate.
• Permanent — nu se schimbă. Dacă e compromis, nu poți „reset-a parola".
• Conține informații personale — sexul, data nașterii, județul de naștere sunt codificate în cele 13 cifre.
• Cheie pentru alte sisteme — CNP + nume poate da acces la ANAF, ANOFM, bănci, operatori telecom.

Ce cere GDPR concret

Regulamentul general (GDPR) impune câteva obligații clare când procesezi CNP-uri:

• Temei legal pentru procesare — nu poți colecta CNP-uri „pentru orice eventualitate". Ai nevoie de justificare: obligație legală (raportare D112), contract de muncă, consimțământ explicit.
• Minimizare — dacă poți face raportarea cu inițiale și număr de contract, nu cere CNP. Pentru salarizare, CNP e obligatoriu; pentru o programare la cursuri interne, nu.
• Securitate tehnică — criptare în repaus și în tranzit, control de acces, logare a accesărilor. Asta e partea cea mai nouă și cea pe care o ignoră multe firme.
• Retenție limitată — CNP-ul unui angajat plecat nu se șterge pentru 75 ani (cerință de pensii), dar accesul la el e strict controlat.
• Informarea persoanei vizate — când colectezi CNP-ul, angajatul trebuie să știe exact ce faci cu el.

Criptarea la nivel de bază de date — ce înseamnă

Există 3 niveluri de criptare într-un program care stochează CNP-uri:

• Niciun nivel (inacceptabil) — CNP-urile sunt stocate ca text simplu în baza de date. Oricine are acces la baza (administrator IT, hacker în caz de breach) le vede direct.
• Criptare la disc — baza de date trăiește pe un disc criptat. Protejează dacă cineva fură fizic serverul, dar NU dacă obține acces logic la baza de date (prin SQL injection, credențiale expuse).
• Criptare la nivel de câmp — CNP-ul e criptat înainte să fie scris în baza de date, cu o cheie păstrată separat (în managerul de secrete al aplicației). Chiar dacă baza de date e dump-uită, CNP-urile apar ca șiruri criptate inutilizabile fără cheie.

Pentru CNP, standardul e criptarea la nivel de câmp. Celelalte niveluri sunt plase mai largi pentru date mai puțin sensibile (nume, adrese, telefon).

Controlul accesului — cine vede ce

GDPR impune principiul „need to know" — fiecare user are acces doar la CNP-urile de care are nevoie pentru rolul lui:

• Contabilul firmei — vede CNP-urile angajaților firmei respective. Nu le vede pe ale altor firme.
• Administratorul firmei — de regulă vede CNP-urile propriilor angajați. La firmele mari, doar HR-ul.
• Suport tehnic al furnizorului de software — NU ar trebui să aibă acces la CNP-urile în clar. Dacă e nevoie de debug, se folosesc date de test.

Ce verifici la furnizorul de software

Când alegi un program de salarizare sau contabilitate, întreabă concret:

• Sunt CNP-urile criptate la nivel de câmp în baza de date?
• Unde sunt găzduite datele? (UE e preferabil — transfer în afara UE necesită analiză separată.)
• Există audit-log care înregistrează accesările la CNP-uri?
• Cum se face ștergerea la cerere (drept la ștergere GDPR)?
• Cine are acces la datele de producție în cadrul furnizorului? Există o politică de acces minim?
• Ai un Data Processing Agreement (DPA) semnat cu furnizorul? E obligatoriu.

Ce faci tu ca angajator sau contabil

• Registru de evidență a prelucrărilor — document scris care listează: ce date procesezi, pentru ce scop, cu ce temei, cât timp le păstrezi.
• Informarea angajaților — la semnarea CIM-ului, informare scrisă despre procesarea datelor (CNP, cont bancar, date medicale etc.).
• Incident response plan — dacă afli de un breach la furnizor, ai 72 de ore să notifici ANSPDCP.
• DPO (Data Protection Officer) — opțional pentru firme mici; obligatoriu dacă procesarea e mare sau sensibilă (cazul contabililor cu portofoliu mare).

Pe scurt

CNP-ul nu e un simplu număr — e o cheie. Stocarea lui fără criptare e echivalentul lăsării cheii în ușă. Cerințele GDPR nu sunt birocratice; sunt proiectate pentru scenariul în care se întâmplă un breach. Când ai criptare la câmp + audit-log + acces minim necesar, un incident rămâne gestionabil. Fără ele, e titlu de presă.