Chiński citizen identification number (公民身份号码, gōngmín shēnfèn hàomǎ) jest osiemnastoznakowym, państwowym identyfikatorem osoby fizycznej. W materiałach technicznych spotyka się skróty CitizenID, Citizen ID, ID number, resident identity card number oraz pole gmsfhm. Nie są to nazwy odrębnych scoringów. Chodzi o numer, który pozwala jednoznacznie wskazać człowieka w rejestrze ludności, dokumencie tożsamości i systemach korzystających z państwowej identyfikacji.

To jeden z najważniejszych elementów chińskiej infrastruktury danych, a zarazem element najmniej widowiskowy. Kamera, model rozpoznawania twarzy i lista sankcyjna przyciągają uwagę, ale bez trwałego klucza nie da się bezpiecznie stwierdzić, czy rekord podatkowy, orzeczenie sądu i konto świadczeniowe dotyczą tej samej osoby. CitizenID nie wydaje decyzji i nie przyznaje punktów. Umożliwia natomiast łączenie zdarzeń ponad granicami systemów.

Numer, karta i tożsamość to trzy różne rzeczy

Warto od początku rozdzielić trzy warstwy:

  • osoba i jej wpis w rejestrze ludności — stan prawny zarządzany przez organy bezpieczeństwa publicznego;
  • numer identyfikacyjny — niezmienny kod przypisany obywatelowi;
  • karta mieszkańca (居民身份证) — fizyczny dokument z okresem ważności, fotografią, chipem i danymi wydawcy.

Kartę można zgubić, wymienić po upływie ważności albo unieważnić. Numer co do zasady pozostaje ten sam przez całe życie. Zmiana adresu zameldowania również nie nadaje nowego numeru. Prawo o kartach mieszkańca określa CitizenID jako unikalny i niezmienny kod każdego obywatela, tworzony przez organy bezpieczeństwa publicznego według normy państwowej.1

Numer nie jest też tym samym co hukou, czyli system rejestracji gospodarstw domowych i miejsca stałego zameldowania. Hukou opisuje status i relacje administracyjne. CitizenID jest kluczem osoby. Pierwsze sześć cyfr numeru pochodzi z miejsca rejestracji w chwili nadania, ale nie stanowi aktualnego pola adresowego. Próba odczytywania z nich obecnego miejsca zamieszkania będzie często błędna.

Od piętnastu do osiemnastu znaków

Pierwsza wersja normy GB 11643 powstała w 1989 roku. Ówczesne numery miały piętnaście cyfr: sześciocyfrowy kod obszaru, sześciocyfrową datę urodzenia w formacie skróconym oraz trzycyfrowy numer porządkowy. Dwucyfrowy rok był wygodny w dokumentach papierowych, lecz nie rozróżniał stulecia i nie zapewniał kontroli błędów przepisywania.

Norma GB 11643-1999 „Citizen identification number” zastąpiła wydanie z 1989 roku. Została opublikowana 19 stycznia 1999 roku i weszła w życie 1 lipca. Nadal figuruje w państwowym katalogu jako obowiązująca norma obligatoryjna.2 Rządowa decyzja z sierpnia 1999 roku ustanowiła ogólnokrajowy system numerów od 1 października 1999 roku.3

W nowym układzie rok ma cztery cyfry, a na końcu pojawił się znak kontrolny. Migracja z piętnastu do osiemnastu pozycji nie polegała więc na dopisaniu dowolnych trzech cyfr. Do daty dodawano właściwe stulecie, zachowywano logiczne części starego numeru i wyliczano kontrolę dla siedemnastu pierwszych pozycji. W systemach istniejących od lat dziewięćdziesiątych do dziś można spotkać pola dopuszczające obie długości albo pomocnicze mapowania starego numeru na nowy.

Budowa numeru

Osiemnaście pozycji ma cztery części:

Pozycje Długość Znaczenie
1–6 6 kod jednostki administracyjnej miejsca rejestracji
7–14 8 data urodzenia YYYYMMDD
15–17 3 kod porządkowy dla osób z tego samego obszaru i dnia
18 1 znak kontrolny MOD 11-2; cyfra albo X

Norma nazywa pierwsze siedemnaście cyfr master number, a ostatnią pozycję check number. CitizenID jest zatem kodem znaczącym: część jego treści można odczytać bez dostępu do rejestru. To ułatwia kontrolę danych, lecz jest gorsze dla prywatności niż całkowicie losowy identyfikator.

Kod adresowy

Pierwsze sześć cyfr odwołuje się do GB/T 2260, klasyfikacji jednostek administracyjnych na poziomie powiatu i wyżej. Pierwsza para wskazuje prowincję, region autonomiczny, miasto wydzielone albo specjalny region administracyjny. Druga para opisuje poziom prefektury, a trzecia — powiat, dzielnicę, miasto na prawach powiatu lub jednostkę równorzędną.

Na przykład kod nie powinien być traktowany jako współrzędne ani aktualny adres. Jest etykietą administracyjną z chwili nadania. Jednostki są łączone, dzielone i przemianowywane, więc historyczne kody pozostają w numerach osób urodzonych wcześniej. W jednej rodzinie mogą występować różne pierwsze szóstki mimo urodzenia i zamieszkania w tej samej miejscowości. Szanghajskie władze wyjaśniają ten przypadek na przykładzie zmian kodu dawnego powiatu i dzielnicy Nanhui.4

Od 2018 roku karty pobytowe mieszkańców Hongkongu, Makau i Tajwanu używają kompatybilnych osiemnastoznakowych numerów z kodami odpowiednio 810000, 820000 oraz 830000.5 Nie należy na tej podstawie wnioskować, że każdy mieszkaniec tych terytoriów automatycznie ma taki numer. Dotyczy on posiadacza odpowiedniej karty pobytowej wydanej w kontynentalnym systemie.

Data urodzenia

Pozycje 7–14 zapisują rok, miesiąc i dzień bez separatorów. Data ma format zgodny z chińską normą reprezentacji czasu przywołaną przez GB 11643. Osiem cyfr rozwiązuje problem stulecia występujący w starych numerach.

Walidator powinien sprawdzać rzeczywistą datę kalendarzową, nie tylko osiem cyfr. 20000229 jest poprawną datą, 20010229 już nie. Powinien też odrzucać datę z przyszłości i stosować rozsądne granice wieku. Sam poprawny układ nie dowodzi jednak, że numer istnieje lub należy do osoby przedstawiającej dokument.

Kod porządkowy i płeć

Trzy kolejne cyfry rozróżniają osoby z tym samym kodem obszaru i datą urodzenia. Ostatnia cyfra tej części, czyli siedemnasta pozycja całego numeru, koduje płeć w chwili nadania: liczba nieparzysta oznacza mężczyznę, parzysta kobietę.

Jest to cecha historyczna zapisana w identyfikatorze, a nie wiarygodne źródło aktualnego stanu każdego rekordu. W razie urzędowej korekty płci, błędu numeru lub szczególnej procedury dane autorytatywne muszą pochodzić z rejestru. Projektant nie powinien stale wyprowadzać pola sex z numeru i nadpisywać nim późniejszych informacji.

Znak kontrolny

Ostatnia pozycja wykrywa wiele pomyłek przy wpisywaniu numeru. Dla siedemnastu cyfr a1...a17 stosuje się wagi:

7, 9, 10, 5, 8, 4, 2, 1, 6, 3, 7, 9, 10, 5, 8, 4, 2

Oblicza się ważoną sumę i resztę z dzielenia przez 11:

remainder = Σ(ai × wi) mod 11

Reszty od 0 do 10 mapują się kolejno na znaki:

1, 0, X, 9, 8, 7, 6, 5, 4, 3, 2

X reprezentuje wartość dziesięć, aby kontrola nadal zajmowała jedną pozycję. Nie jest literą opisującą kategorię osoby. W systemach należy akceptować małe x na wejściu, normalizować je do wielkiego X, ale przechowywać cały numer jako tekst. Typ liczbowy jest błędem: utrudnia obsługę X, może usuwać zera wiodące i w niektórych środowiskach przekracza bezpieczną precyzję.

Znak kontrolny wykrywa przypadkowe błędy, a nie fałszerstwo. Każdy może wyliczyć poprawną końcówkę dla zmyślonych siedemnastu cyfr. Poprawna suma kontrolna mówi tylko, że zapis jest matematycznie spójny.

Cztery poziomy walidacji

Bezpieczna integracja rozdziela cztery pytania, które często błędnie sprowadza się do jednego wyrażenia regularnego.

1. Walidacja formatu

Sprawdza długość, cyfry na pierwszych siedemnastu pozycjach i cyfrę lub X na końcu. Usuwa spacje i typograficzne separatory, ale nie powinna po cichu poprawiać cyfr.

2. Walidacja struktury

Sprawdza datę, dopuszczalny kod administracyjny i MOD 11-2. Na tym etapie można wykryć literówkę, niemożliwy dzień lub nieznaną pierwszą szóstkę. Lista kodów musi zawierać również wartości historyczne; ograniczenie jej do aktualnego GB/T 2260 odrzuci ważne numery nadane przed reformą terytorialną.

3. Weryfikacja istnienia

Wymaga zapytania do uprawnionego źródła. Dopiero odpowiedź rejestru potwierdza, że numer został nadany. Kopia bazy lokalnej może być nieaktualna, a zgodność numeru, nazwiska i daty urodzenia jest silniejsza niż samo istnienie klucza.

4. Uwierzytelnienie osoby

Nawet prawdziwy numer może podać oszust. Należy zweryfikować posiadanie dokumentu, chip, fotografię, biometrię, kod jednorazowy lub inną metodę adekwatną do ryzyka. Numer identyfikuje rekord; nie dowodzi, kto siedzi przed terminalem.

To rozróżnienie ma bezpośrednie znaczenie dla social scoringu. Błędne przypisanie zdarzenia do prawidłowo istniejącego numeru jest groźniejsze niż rekord odrzucony na kontroli formatu. Zdarzenie może przejść przez wiele rejestrów i wywołać konsekwencje wobec niewłaściwej osoby.

CitizenID jako klucz łączenia danych

Chińska administracja używa numeru w podatkach, zabezpieczeniu społecznym, ochronie zdrowia, edukacji, bankowości, telekomunikacji, sądach i wielu usługach lokalnych. Nie znaczy to, że istnieje jedna tabela ze wszystkimi informacjami. Te same osiemnaście znaków może występować jako:

  • klucz główny rekordu osoby;
  • klucz obcy przy świadczeniu, rachunku albo sprawie;
  • kryterium wyszukiwania w interfejsie urzędowym;
  • element podpisanego komunikatu wymiany danych;
  • atrybut używany tylko podczas dopasowania, po którym system przechodzi na identyfikator wewnętrzny;
  • wartość zaszyfrowana, skrócona lub tokenizowana.

Oficjalny opis zastosowań w audycie państwowym pokazuje praktyczny mechanizm. Numer służy jako główny klucz do porównania list osób otrzymujących pomoc z danymi o zatrudnieniu publicznym, działalności gospodarczej, ubezpieczeniach i funduszach mieszkaniowych. Wynikiem nie jest automatycznie ustalenie winy, lecz lista przypadków wymagających sprawdzenia.6

W Social Credit System CitizenID może wiązać osobę z orzeczeniem, wpisem na liście niewykonujących wyroków, licencją, ulgą lub zdarzeniem administracyjnym. Nie każde źródło udostępnia numer każdemu odbiorcy. Wiele integracji działa przez zapytanie punktowe, dopasowanie po kilku cechach albo identyfikator zastępczy. Obraz „jednego numeru otwierającego każdą bazę” jest równie mylący jak mit jednego wyniku punktowego.

Numer osoby a kod organizacji

Dla przedsiębiorstw i innych organizacji podstawową rolę pełni Unified Social Credit Code (统一社会信用代码, USCC). On również ma osiemnaście pozycji, ale inną strukturę, alfabet i algorytm. Nie jest „firmowym CitizenID” w sensie technicznej zgodności formatu.

To rozróżnienie jest ważne w modelu danych. Pole subject_id VARCHAR(18) nie wystarcza, jeśli bez dodatkowego typu ma przechowywać ludzi i organizacje. Bezpieczniejszy klucz składa się co najmniej z jurysdykcji, rodzaju podmiotu, rodzaju identyfikatora i wartości:

CN | PERSON       | CITIZEN_ID | 110105...
CN | ORGANIZATION | USCC       | 911100...

Pozwala to później dodać paszport, kartę pobytową, identyfikator cudzoziemca lub numer historyczny bez kolizji. W systemie grafowym człowiek i firma powinny być różnymi typami węzłów, nawet jeśli oba zewnętrzne klucze mają po osiemnaście znaków.

Problemy jakości danych

Określenie „unikalny i dożywotni” opisuje cel prawny, nie gwarantuje doskonałości każdej historycznej bazy. W praktyce występują:

  • stare numery piętnastocyfrowe;
  • rekordy z małym x, spacją lub błędem kodowania znaków;
  • omyłki ręcznego przepisywania;
  • historyczne numery zdublowane lub nieprawidłowo nadane;
  • kopie dokumentów z nieaktualnym nazwiskiem albo adresem;
  • wiele rekordów lokalnych odnoszących się do jednej osoby;
  • numer poprawny strukturalnie, ale przypisany w systemie biznesowym niewłaściwemu klientowi.

Procedury administracyjne przewidują zmianę numeru w wyjątkowych przypadkach, między innymi gdy stwierdzono duplikat albo błąd.7 System nie może więc zakładać, że wartość nigdy nie zostanie zastąpiona. Powinien prowadzić tabelę aliasów i historii, w której stary identyfikator kieruje do właściwego podmiotu, lecz nie jest ponownie używany jako aktywny numer.

Najgorszym rozwiązaniem jest masowe scalanie wyłącznie po podobnym nazwisku i dacie urodzenia. Chińskie nazwiska są mało zróżnicowane, transliteracje niejednoznaczne, a w dużej populacji identyczne zestawy cech są normalne. Przy braku CitizenID wynik dopasowania powinien zawierać poziom pewności i trafiać do kolejki wyjaśniającej, nie automatycznie przejmować cudzą historię.

Ryzyko używania jawnego numeru wszędzie

Znaczący, stały identyfikator jest znakomitym kluczem integracyjnym i niebezpiecznym hasłem. Część cyfr można przewidzieć z miejsca oraz daty urodzenia, płeć zawęża kod porządkowy, a znak kontrolny jest publicznym algorytmem. CitizenID nie ma entropii sekretu i nie powinien służyć do logowania bez dodatkowego czynnika.

Powielanie jawnego numeru w setkach tabel zwiększa skutki wycieku i pozwala odbiorcom łączyć zbiory bez zgody właściciela danych. Maskowanie w interfejsie, na przykład pokazanie tylko pierwszych i ostatnich pozycji, ogranicza przypadkowy podgląd, ale nie zabezpiecza bazy. Zwykły hash również bywa niewystarczający: przestrzeń poprawnych numerów jest strukturalna, więc atakujący może przygotować słownik.

Lepszy projekt rozdziela:

  • identyfikator źródłowy, dostępny tylko w chronionej usłudze tożsamości;
  • wewnętrzny losowy identyfikator osoby, używany w domenie operacyjnej;
  • tokeny sektorowe, różne dla zdrowia, podatków, bankowości i analityki;
  • klucze korelacyjne jednorazowe lub ograniczone celem, wystawiane dla konkretnej wymiany;
  • dziennik rozwiązań tożsamości, rejestrujący kto, kiedy i dlaczego przeszedł od tokenu do osoby.

Jeśli dwa systemy dostaną różne tokeny dla tego samego człowieka, nie połączą baz samodzielnie. Uprawniona usługa nadal może wykonać kontrolowane dopasowanie. To kompromis między użytecznością państwowego klucza a ograniczeniem niekontrolowanej korelacji.

Od numeru jawnego do 网号 i 网证

W 2025 roku Chiny uruchomiły ogólnokrajową usługę uwierzytelniania tożsamości sieciowej. Jej dwa podstawowe pojęcia to 网号 (network number) i 网证 (network credential). Numer sieciowy jest alfanumerycznym oznaczeniem powiązanym z osobą, ale pozbawionym jawnych danych tożsamości. Poświadczenie przenosi informacje potrzebne do weryfikacji bez ujawniania pełnego CitizenID.

Rozporządzenie obowiązujące od 15 lipca 2025 roku określa korzystanie z usługi jako dobrowolne. Platforma internetowa, która musi sprawdzić realną tożsamość, lecz nie musi przechowywać danych dokumentu, ma otrzymać jedynie wynik weryfikacji. Gdy użytkownik wybierze tę metodę, podmiot internetowy co do zasady nie powinien ponownie żądać jawnych danych dokumentu.8

To nie likwiduje centralnej zdolności identyfikacji. Przenosi ją do kontrolowanej usługi i ogranicza kopiowanie numeru przez podmioty komercyjne. Z punktu widzenia architektury jest to właściwy kierunek: tożsamość ma być weryfikowalna, ale nie wszędzie widoczna.

Trzeba jednak rozróżnić pseudonim sektorowy od anonimowości. Operator usługi państwowej może rozwiązać numer sieciowy do osoby w przypadkach przewidzianych prawem. Dla systemu kontroli społecznej jest to zaleta operacyjna; dla ochrony prywatności wymaga ścisłych uprawnień, rejestrowania zapytań i kontroli celu.

Jak modelować CitizenID w nowym systemie

Minimalny rekord identyfikatora powinien zawierać więcej niż sam ciąg znaków:

identifier_type: CN_CITIZEN_ID
identifier_value: zaszyfrowana wartość
subject_id: losowy klucz wewnętrzny
valid_from / valid_to
status: active, replaced, disputed, historical
issuing_authority
source_system
verified_at
verification_method

Numer powinien być szyfrowany na poziomie aplikacji lub kolumny, a deterministyczny indeks do dokładnego wyszukiwania przechowywany osobno. Klucze szyfrujące wymagają rotacji i izolacji od bazy. Logi nie mogą zawierać pełnego CitizenID, ponieważ logowanie błędów jest częstą drogą niekontrolowanego kopiowania danych osobowych.

Warstwa przyjęcia danych powinna zachowywać wartość surową w wydzielonej kwarantannie, tworzyć wersję znormalizowaną i zapisywać wynik każdej kontroli. Nie wolno zastępować „prawie poprawnego” numeru najbliższą wartością ze słownika. Jedna poprawiona cyfra może wskazać realnego, lecz zupełnie innego człowieka.

W zdarzeniach biznesowych lepiej zapisywać stabilny subject_id niż kopię CitizenID. Dzięki temu wyjątkowa zmiana numeru nie wymaga przepisania miliardów rekordów. Tabela tożsamości zachowuje relację między dawnym i aktualnym identyfikatorem a jednym węzłem osoby.

Czego CitizenID nie rozwiązuje

Stały numer usuwa tylko część niepewności. Nie odpowiada na pytania:

  • czy zdarzenie rzeczywiście miało miejsce;
  • czy operator wybrał właściwą osobę;
  • czy dokument nie został użyty przez kogoś innego;
  • czy źródło miało prawo przekazać informację;
  • czy dwie obserwacje przedstawiają tę samą twarz;
  • czy sankcja jest proporcjonalna;
  • czy rekord został później sprostowany.

Wideo bez rozpoznanej osoby nie staje się danymi imiennymi tylko dlatego, że państwo ma dobry rejestr identyfikatorów. Potrzebny jest jeszcze wiarygodny proces identity resolution: powiązanie obrazu, urządzenia, rachunku, pojazdu albo interakcji z właściwym człowiekiem. Im bardziej automatyczne konsekwencje, tym wyższy powinien być wymagany poziom pewności.

CitizenID nie usuwa także granic organizacyjnych. Urząd może znać numer, lecz nie mieć API; system lokalny może przechowywać skan zamiast pola tekstowego; bank może udostępniać tylko wynik dopasowania; archiwum papierowe może wymagać ręcznego wniosku. Wspólny klucz jest warunkiem interoperacyjności, ale nie jest interoperacyjnością samą w sobie.

Lekcja dla Polski

Chiński CitizenID i polski PESEL mają podobną filozofię: oba są trwałymi, znaczącymi identyfikatorami z datą urodzenia, informacją o płci i kontrolą błędu. Różnią się długością, szczegółami algorytmu i umieszczeniem kodu terytorialnego. Polska nie potrzebuje kopiować GB 11643, aby zbudować system zdarzeń i relacji — ma już wystarczająco silny klucz państwowy.

Warto natomiast przejąć dwie nowsze lekcje. Po pierwsze, jawny numer nie powinien wędrować przez każdy system jako uniwersalne pole. Po drugie, usługa może potwierdzać „to ta osoba”, nie ujawniając odbiorcy całego identyfikatora. Tokeny sektorowe i kontrolowane rozwiązywanie tożsamości nie osłabiają ambitnego systemu analitycznego. Ograniczają liczbę podmiotów, które mogą budować jego nieautoryzowane kopie.

Z punktu widzenia social scoringu najcenniejsza nie jest informacja zakodowana w osiemnastu znakach. Najcenniejsza jest spójna referencja do człowieka, działająca od rejestru lokalnego przez platformę wymiany po decyzję i procedurę korekty. CitizenID zapewnia Chinom taki fundament. Cała trudność zaczyna się dopiero przy ustalaniu, kto może go użyć, z czym wolno go połączyć i jak naprawić skutki błędnego powiązania.

Najważniejsze wnioski

  • CitizenID jest identyfikatorem, nie oceną ani wynikiem social scoringu.
  • Norma GB 11643-1999 definiuje sześć cyfr obszaru, osiem daty, trzy porządkowe i znak kontrolny.
  • Numer jest co do zasady unikalny i dożywotni; dokument tożsamości ma osobny cykl życia.
  • Pierwsze sześć cyfr opisuje rejestrację przy nadaniu, nie obecny adres.
  • Kontrola MOD 11-2 wykrywa błędy zapisu, ale nie potwierdza istnienia numeru ani tożsamości użytkownika.
  • W systemach integracyjnych potrzebne są aliasy historyczne, poziomy weryfikacji i oddzielny klucz wewnętrzny.
  • Stały numer nie powinien być hasłem ani jawnym identyfikatorem kopiowanym do każdej tabeli.
  • Chińskie 网号 i 网证 pokazują przejście od ujawniania numeru do potwierdzania tożsamości przez token i poświadczenie.
  • Dla SCS najważniejszą funkcją CitizenID jest bezpieczne łączenie zdarzeń z właściwą osobą oraz propagowanie późniejszych korekt.