Globální soulad s ochranou osobních údajů: tři zákony, tři formáty identifikátorů
Britské tržiště zpracovává dokumenty prodejců z 80 zemí. Zároveň se na ně vztahují tři zákony: GDPR pro prodejce z EU, LGPD pro prodejce z Brazílie a indický zákon DPDP pro prodejce z Indie. Každý zákon označuje jiné národní identifikátory jako chráněné. Každý formát má vlastní kontrolní logiku.
Brazilské CPF: formát a ochrana podle LGPD
CPF (Cadastro de Pessoas Físicas) je brazilské daňové identifikační číslo. Má 11 číslic ve formátu XXX.XXX.XXX-XX. Poslední dvě číslice jsou kontrolní číslice. Vypočítají se matematickým algoritmem z prvních devíti číslic.
Brazilský zákon LGPD zachází s CPF jako s chráněným osobním identifikátorem, jehož citlivost je srovnatelná s americkým SSN. Nástroj, který formát CPF nezná, jej nedokáže najít. Nástroj, který přeskočí kontrolní součet, bude generovat falešné shody.
Indické Aadhaar: formát a pravidla DPDP
Aadhaar je 12místné číslo vydávané indickým úřadem UIDAI. Čísla jsou přidělována náhodně. Poslední číslice je Verhoeffova kontrolní číslice.
Indický zákon DPDP ukládá povinnosti každému subjektu nakládajícímu s daty propojenými s Aadhaar. Detekce vyžaduje dva kroky. Nejprve porovnat 12místný formát a ověřit Verhoeffovu číslici. Poté filtrovat podle kontextu. Ne každý 12místný řetězec je Aadhaar.
Americké SSN: známá struktura
SSN má devět číslic. První tři jsou číslo oblasti. Další dvě jsou číslo skupiny. Poslední čtyři jsou pořadové číslo. Každý segment má pevná pravidla. Validace je dobře zdokumentována.
Propast mezi nástroji pro jednu zemi a globálními pravidly
Tyto tři identifikátory nesdílejí ani formát, ani pravidla ověřování. Nástroj navržený pro americký trh zachytí SSN. CPF a Aadhaar může zcela přehlédnout.
Většina týmů tuto mezeru odhalí až tehdy, když se zeptá regulátor — ne dříve. Mezera vytváří reálné riziko v rámci každého zákona:
- GDPR článek 28 vyžaduje písemnou smlouvu o zpracování dat s každým zpracovatelem. DPIA, která jako hlavní kontrolní opatření uvádí „detekce SSN” — přičemž datová sada obsahuje také čísla CPF — má zdokumentovanou mezeru. Auditor ji může najít.
- LGPD pokuty mohou dosáhnout 2 % brazilských příjmů, maximálně R$50M za jeden případ porušení. Neodhalené CPF je přímým porušením LGPD.
- DPDP vymáhání je teprve v počátcích. Týmy, které nyní dokumentují své pokrytí, budou lépe připraveny, až první rozhodnutí stanoví standard.
Tři sankční režimy najednou vytvářejí vrstvená rizika. Nástroje pro jednu zemi globální týmy vystavují nebezpečí.
Co úplné pokrytí vyžaduje
Nástroj potřebuje formát každého identifikátoru, algoritmus pro ověření a právní kontext. CPF vyžaduje modulární kontrolní součet. Aadhaar vyžaduje Verhoeffovu kontrolu a kontextové filtrování. SSN vyžaduje pravidla pro oblast a skupinu. Jde o tři samostatné problémy. Jediný vyhledávací vzor je všechny nepokryje.
Viz také: Globální mezera v identifikátorech PII: SSN, CPF, Aadhaar, Průvodce vymáháním brazilského LGPD ze strany ANPD a Technický soulad s indickým zákonem DPDPA o ochraně soukromí.