GDPR Съответствие в държавите-членки на ЕС: Кои национални идентификатори липсват във вашия инструмент за лична информация
Данъчните идентификационни номера са сред най-чувствителните лични идентификатори във всяка юрисдикция. Те се използват за данъчна отчетност, държавни помощи, проверка на заетостта и откриване на финансови сметки. В грешни ръце те позволяват кражба на самоличност, измама и неразрешени искове за облаги.
GDPR ги категоризира като обикновени лични данни (не специална категория), но тяхната чувствителност е висока и излагането им създава значителен риск в реалния свят. Всяка държава-членка на ЕС има свой собствен формат на национален идентификатор — и повечето инструменти за лична информация, създадени за пазара на САЩ или Обединеното кралство, откриват свободно SSN и NINO, като напълно им липсват Steueridentifikationsnummer, Codice Fiscale и BSN, които европейските организации обработват ежедневно.
Пейзажът на Европейския данъчен номер
Всяка държава-членка на ЕС прилага националната идентификация по различен начин:
Германия: Steueridentifikationsnummer (Steuer-ID)
- 11 цифри, присвоени при раждането
- Формат: ненулева първа цифра, без водещи нули в 10-цифрената част
- Пример: 12345678901
- Също така: Steuernummer (варира според държавата: 10-11 цифри със специфични за държавата формати)
Франция: Numéro fiscal de référence (SPI)
- 13 цифри
- Издава се от данъчната администрация (DGFiP)
- Често се появява като "Идентификационен фискален" на данъчни документи
Италия: Codice Fiscale
- 16 буквено-цифрови знака
- Структура: 3 букви (фамилия) + 3 букви (собствено име) + 2 цифри (година на раждане) + 1 буква (месец) + 2 цифри (ден) + 4 буквено-цифрови (код на общината)
- Пример: RSSMRA85M01H501Z
- Формат с висока специфичност, проверяем чрез контролна сума
Испания: NIF (Número de Identificación Fiscal)
- За испански граждани: DNI номер + контролна буква (8 цифри + буква), напр. 12345678A
- За чужденци: NIE (X/Y/Z + 7 цифри + буква), напр. X1234567A
- За юридически лица: CIF (буква + 8 цифри), напр. B12345678
Холандия: BSN (Burgerservicenummer)
- 9 цифри с проверка с контролна цифра (алгоритъм с 11 доказателства)
- Използва се за всички държавни услуги и често се появява в документите за работа и обезщетения
Полша: PESEL
- 11 цифри, кодиращи дата на раждане, пол и пореден номер
- Формат: YYMMDDXXXXX (дата на раждане, кодирана в първите 6 цифри)
Белгия: Numéro de registre national (RN)
- 11 цифри, кодиращи дата на раждане, последователност и контролни цифри
Португалия: NIF (Número de Identificação Fiscal)
- 9 цифри с контролна цифра
- Форматът се различава от испанския NIF въпреки същото съкращение
Швеция: Личен номер
- 10 или 12 цифри, кодиращи дата на раждане и последователност
- Формат: YYYYMMDD-XXXX или YYMMDD-XXXX
Финландия: Henkilötunnus (HETU)
- 11 знака за кодиране на дата, разделител, последователност и контролна цифра
- Формат: DDMMYY-XXXC
Какво пропускат стандартните инструменти
Инструментите за откриване на PII, създадени за пазарите в САЩ/Великобритания, обикновено включват:
- US SSN (XXX-XX-XXXX)
- UK NINO (XX 99 99 99 X)
- Номера на американски паспорти
- Модели на шофьорски книжки в САЩ
- Основни номера на кредитни карти
Европейските национални идентификатори – дори основните като Codice Fiscale, BSN и Steuer-ID – често отсъстват от конфигурациите по подразбиране. Инструментите, които поддържат набора за разпознаване по подразбиране на Presidio без специфични за ЕС разширения, ще ги пропуснат напълно.
Оперативното въздействие за мултинационалните организации
Германска аутсорсинг фирма за заплати обработва документи за 500 фирми клиенти. Техният работен процес за анонимизиране премахва правилно:
- Имена на служители ✓
- Имейл адреси ✓
- IBAN номера ✓
- Телефонни номера ✓
- Немски Steueridentifikationsnummern ✗ — не е в стандартната им конфигурация
Констатация от одит на DPA отбелязва, че PDF файловете на фишовете за заплати, споделени със счетоводните отдели на клиенти, съдържат нередактирани Steuer-ID. Фирмата е изправена пред:
- Разходи за възстановяване на исторически документи
- Принудително действие на DPA (потенциална глоба съгласно член 83 от GDPR)
- Договорна отговорност към клиенти, чиито данни на служители са били разкрити
Пропускът в съответствието не беше открит проактивно — той беше открит от регулатора.
Добавяне на национални идентификатори на ЕС: списък с приоритети
За организации, работещи в множество юрисдикции на ЕС, приоритетният ред за персонализирана конфигурация на обект:
Ниво 1 (най-голям обем на обработка на данни):
- Германия: Steueridentifikationsnummer (тежки документи за работа)
- Франция: Numéro fiscal (ведомост за заплати, данъчни документи)
- Италия: Codice Fiscale (изключително разпространен, фигурира във всички официални документи)
- Испания: NIF/NIE (ведомости за заплати, договори, данъчни документи)
- Холандия: BSN (заетост, държавни помощи)
Ниво 2 (значителни, но по-малки пазари): 6. Полша: PESEL (нарастващо значение с размера на работната сила в Полша) 7. Белгия: RN (Белгия е домакин на много институции на ЕС) 8. Швеция: Personnummer (висока информираност за поверителността, стриктно прилагане) 9. Португалия: NIF (разрастващ се технологичен сектор) 10. Австрия: Sozialversicherungsnummer (контекст на социалното осигуряване)
Ниво 3 (специфични случаи на употреба): Останалите 17 държави-членки на ЕС въз основа на това къде вашата организация обработва данни.
Пример за внедряване: Добавяне на Steueridentifikationsnummer
Германският данъчен идентификационен номер (Steuer-ID) следва специфичен формат, който може да бъде открит с висока точност:
Характеристики на модела:
- 11 цифри
- Първа цифра: 1-9 (никога 0)
- Няма три еднакви последователни цифри
- Проверка на цифрата за проверка (персонализиран алгоритъм)
Описание на обикновен език за генериране на модел: „Германски данъчни идентификационни номера: 11-цифрени номера, където първата цифра е между 1 и 9, а останалите 10 цифри могат да включват нули“
Генериран образец: Валидиран регулярен израз за Steueridentifikationsnummer с подходящо контекстно съвпадение (контекстът на данъчния документ на немски език подобрява прецизността)
Потвърждение: Тествайте срещу примерен набор от немски фишове за заплати и данъчни удостоверения. Проверете честотата на откриване и честотата на фалшивите положителни резултати преди производственото внедряване.
Интеграция: Добавете към вашата предварително зададена обработка на документи на немски език. Ако обработвате набори от смесени езици, комбинирайте с откриване на език, за да приложите подходящи шаблони на национален идентификатор за всеки език.
Работа с множество национални идентификатори в един работен процес
За мултинационални процесори за заплати, обработващи документи от множество държави от ЕС:
Опция 1: Отделни предварителни настройки за държава Създайте предварителна настройка „Германия GDPR“, „Франция GDPR“ и т.н. Приложете съответната предварителна настройка въз основа на произхода на документа.
Опция 2: Комбинирана предварителна настройка за ЕС Създайте единична предварително зададена настройка с всички активни модели на национални идентификатори на ЕС. По-висок фалшив положителен риск за общ текст (11-цифрени числа, които съвпадат с шаблон на Steuer-ID, но не са данъчни номера), но по-опростени оперативно. Подходящо за типове документи, където се очакват национални идентификатори навсякъде.
За документи за заплати: Вариант 1 (специфични за страната предварително зададени) с подходящо маршрутизиране За смесени комплекти документи: Опция 2 с настройка на прага
Заключение
GDPR се прилага еднакво в целия ЕС, но инструментите за откриване на PII, създадени за пазарите в САЩ, често не го правят. Codice Fiscale, BSN и Steueridentifikationsnummer са толкова чувствителни, колкото и SSN – и е толкова вероятно да се появят в документи, които организациите споделят, експортират и анализират.
Създаването на персонализиран обект затваря празнината в откриването за всеки формат на национален идентификатор за часове. Екипите за съответствие могат да добавят модела на Steuer-ID, да тестват спрямо примерни немски фишове за заплати и да внедряват във всички работни потоци на обработка, без да чакат доставчикът на инструмента да го добави към тяхната конфигурация по подразбиране.
Одитната констатация на DPA, която открива липсващото откриване на Steuer-ID, може да е била уловена в проактивен преглед на съответствието, който отне един следобед.
Източници:
- [Bundeszentralamt für Steuern: Steueridentifikationsnummer] (https://www.bzst.de/DE/Privatpersonen/SteuerlicheIdentifikationsnummer/steuerlicheidentifikationsnummer_node.html)
- [GDPR Членове 4, 9, 32: Категории лични данни и технически мерки] (https://gdpr-info.eu)
- EDPB: Насоки относно компетентността на надзорния орган