GDPR, CCPA og PDPA i Ét Værktøj.
Opdateret for 2026.
Dine EU-medarbejdere er underlagt GDPR. Dine californiske medarbejdere håndterer CCPA-registre. Dine Singapore-medarbejdere arbejder under PDPA. Tre regelsæt. Én fælles database.
Dette er den globale privatlivsudfordring for fjernteams. De kunderegister, de tilgår, er de samme. Reglerne, der gælder for disse registre, er ikke.
Kløften på Tværs af Jurisdiktioner
En supportgruppe i Tyskland, Californien og Singapore kan alle åbne den samme kundekonto. Navnet, e-mailen og kontooplysningerne i det register møder forskellige regler i hvert land.
Under GDPR skal der være et retsgrundlag for hver brug. Under CCPA kan kunden anmode om sletning og frameldelse. Under PDPA gælder samtykkeregler og overførselsregler.
At dele en kundefil med en AI-assistent kan udløse forpligtelser under alle tre love på én gang. Én handling. Tre regelsæt.
Regionalt software kan ikke løse dette. Det gør problemet værre.
Hvorfor Én Platform Per Region Fejler
Instinktet er at matche softwaren til lokationen. Amerikanske medarbejdere får en amerikansk løsning. EU-medarbejdere får en EU-løsning. APAC-medarbejdere får en APAC-løsning.
Dette bryder sammen i praksis.
Data følger ikke platformen. En californisk agent, der håndterer en tysk kundes klage, er stadig bundet af GDPR. EU-kundens ret til sletning gælder. Den amerikanske løsning inkluderer måske ikke tyske national-ID-formater eller IBAN-numre. Det er et hul.
Opsætningen splittes i tre systemer. Tre platforme betyder tre revisionsspor. Tre dækningsopsætninger. Tre sæt enhedstyper, der måske ikke er på linje. Én samlet rapport bliver en manuel sammenfatningsopgave.
Grænseoverskridende overførsler mangler et klart svar. En amerikansk analytiker kan modtage et eksport med EU-kunderegister. Under GDPR følger loven den registrerede — ikke analytikerens lokation. En kun-amerikansk løsning løser ikke det.
Se den juridiske overholdelsesvejledning for, hvordan grænseoverskridende forpligtelser stakkes.
Enhedsdækning på Tværs af Regioner
PII-identifikatorer varierer fra land til land. En platform bygget til ét marked vil misse identifikatorer fra et andet.
EU-enheder (GDPR):
- Tysk Personalausweis og Steuernummer.
- Fransk Numéro de Sécurité Sociale.
- Spansk DNI og NIE.
- IBAN og BIC til EU-bankvirksomhed.
Amerikanske enheder (CCPA / HIPAA):
- Social Security Number (SSN) og EIN.
- Statslige kørekortsformater.
- Medicare- og Medicaid-numre.
- HIPAA's 18 beskyttede sundhedsidentifikatorer.
APAC-enheder (PDPA, PIPL, PDPB):
- Singapore NRIC og FIN.
- Thailandsk national-ID (13 cifre).
- Kinesisk bopælsidentitetskort (18 cifre) og mobilnumre.
- Indisk Aadhaar og PAN-kort.
En USA-centreret løsning dækker SSN'er pålideligt. Den vil misse et tysk Personalausweis. En EU-løsning dækker IBAN og nationale ID'er. Den registrerer måske ikke et Aadhaar-nummer.
Fuld dækning kræver enhedstyper for hvert relevant marked. Ikke kun softwarens hjemmeregion.
Se hele enhedsbiblioteket på /entities.
Forudindstillingsopsætning Per Jurisdiktion
Det praktiske svar: én detektionsmotor med forudindstillinger per region.
GDPR Standard-forudindstilling (EU-medarbejdere): Alle 18 GDPR-persondata-typer. EU nationale ID-formater. EU-banknumre. Tærskler sat til GDPR's brede anvendelsesområde.
CCPA / HIPAA-forudindstilling (amerikanske medarbejdere): SSN, EIN, Medicare- og Medicaid-numre. Stats-ID og kørekortsformater. Amerikanske finansielle kontonumre. HIPAA's 18 PHI-typer for medarbejdere, der håndterer sundhedsregistre.
APAC Privacy-forudindstilling (APAC-medarbejdere): Singapore NRIC og FIN. Thailandsk national-ID. Kinesisk bopæls-ID og mobilnumre. Indisk Aadhaar og PAN. Landeflag efter behov.
Hver forudindstilling sættes op én gang centralt. Den er tilgængelig for alle. Anvend den for medarbejderens region eller for den registreredes region. Brug den, der er strengest. Motoren anvender den strengeste regel.
Læs om, hvordan forudindstillinger fungerer, i FAQ.
Casestudie: 50-Person SaaS-Virksomhed
En remote-first SaaS-virksomhed kørte sit årlige privatlivsaudit. Medarbejdere befandt sig i Tyskland (18), Californien (22) og Singapore (10).
Før skiftet:
Tyskland-gruppen brugte en EU-maskerings-platform. Kaliforni en-gruppen brugte en amerikansk løsning med begrænset EU-enhedsdækning. Singapore-gruppen havde ingen maskeringssoftware. Auditet fandt ujævne standarder på tværs af alle tre regioner. Singapore-fundet var et åbent hul.
Efter skiftet til én platform:
- GDPR-forudindstilling for Tyskland med EU-enhedstyper og 48-sprogsstøtte.
- CCPA-forudindstilling for Californien, der dækker amerikanske enhedstyper og CCPA-typer.
- PDPA-forudindstilling for Singapore, der dækker APAC-identifikatorer.
- Ét centralt revisionsspor dækkende alle 50 medarbejdere.
- EU-opbevaring af alle registre behandlet via tjenesten.
Denne opsætning opfylder GDPR Artikel 46 for grænseoverskridende overførsler inden for tjenesten.
2025-auditresultat: Nul fund om maskerings-uoverensstemmelser. Det tidligere Singapore-hul er lukket.
Se, hvordan virksomhedsgrupper dokumenterer tekniske foranstaltninger på /security-compliance.
Konklusion
Global privatlivsoverholdelse er ikke tre separate problemer. Det er ét: konsistente tekniske kontroller på tværs af alle regioner.
Samme detektionsmotor. Samme revisionsspor. Forskellige forudindstillinger til forskellige love. Én tjeneste håndterer alle tre.
Lær, hvordan anonym.legal støtter globale teams på /pricing.
Kilder
- GDPR Artikel 3: Territorialt anvendelsesområde. gdpr-info.eu/art-3-gdpr/
- California Consumer Privacy Act (CCPA/CPRA). oag.ca.gov/privacy/ccpa
- Thailand Personal Data Protection Act (PDPA). pdpa.go.th
- GDPR Artikel 46: Grænseoverskridende overførsler. gdpr-info.eu/art-46-gdpr/