Grækenlands Hellenic Data Protection Authority (HDPA) udstedte 89 håndhævelsesafgørelser i 2024 — en stigning på 162 % fra 34 afgørelser i 2022. Den kraftige eskalering afspejler både øget HDPA-kapacitet og sektorspecifikke compliance-svigt inden for turisme — som tegner sig for 38 % af HDPA-sagerne — samt maritime aktiviteter.
AFM: Grækenlands primære kommercielle identifikator
ΑΦΜ (Αριθμός Φορολογικού Μητρώου, skatteregistreringsnummer) er et 9-cifret nummer, der tildeles alle græske statsborgere, beboere og virksomheder til skatteforvaltning. Kontrolcifferet beregnes med en vægtet sumalgoritme: multiplicer cifrene 1–8 med vægterne (256, 128, 64, 32, 16, 8, 4, 2), læg resultaterne sammen og tag modulo 11. Hvis resultatet er 10, er nummeret ugyldigt. Ellers er kontrolcifferet = resultatet modulo 10.
AFM fremgår af alle græske handelsdokumenter — fakturaer, kontrakter, ansættelsesaftaler og offentlige formularer. Det er den primære kommercielle identifikator for både enkeltpersoner og virksomheder i Grækenland.
Detektionsnøjagtighed: Generiske NLP-værktøjer detekterer AFM med 52 % nøjagtighed (HDPA 2024-analyse). Fejlmønstrene er:
- AFMs 9-cifrede format matcher mange referencenumre og datokomponenter i græske dokumenter
- Det tovejede modulo-11/modulo-10-kontrolciffer implementeres sjældent i generiske værktøjer
- Græske dokumenter præsenterer ofte AFM uden en eksplicit betegnelse i konteksten (indlejret i adresseblokke, ikke markeret "ΑΦΜ:")
AMKA: Grækenlands sociale forsikringsidentifikator
ΑΜΚΑ (Αριθμός Μητρώου Κοινωνικής Ασφάλισης, registreringsnummer for social forsikring) er et 11-cifret nummer, der koder fødselsdato og køn:
- Ciffer 1–6: Fødselsdato i DDMMÅÅ-format
- Ciffer 7: Køn (ulige = mand, lige = kvinde)
- Ciffer 8–11: Sekventielt nummer med kontrolciffer
Fødselsdato- og kønskodningen gør AMKA strukturelt lig med Sveriges personnummer — og skaber den samme bekymring under GDPR's særlige kategorier: nummeret afslører biologisk køn som en registreret kendsgerning.
AMKA fremgår af alle græske sundhedsdokumenter, sociale sikringsanmeldelser og arbejdsgiverregistre. Enhver græsk statsborger og lovlig beboer har et AMKA, hvilket gør det til ækvivalenten til et socialsikringsnummer for sundhedspleje og sociale ydelser.
Det græske alfabet: NLP-infrastrukturens udfordring
Græsk tekst anvender det græske alfabet — et helt andet skriftsystem end latinskriftsprog. Det skaber en grundlæggende infrastrukturudfordring for PII-detektion:
Unicode-intervaller: Græske tegn befinder sig i Unicode-intervallet U+0370 til U+03FF (Græsk og Koptisk blok) og U+1F00 til U+1FFF (Udvidet Græsk til polytone former). Værktøjer, der kun håndterer ASCII eller Latin Extended, kan slet ikke behandle græsk tekst.
Græske NER-modeller: spaCy's el_core_news-model leverer græsk NER-kapacitet — men kræver eksplicit græsk sprogkonfiguration. Organisationer, der bruger standardsprogskonfigurationer (typisk engelsk), modtager intet output fra dokumenter på det græske alfabet.
Dokumenter med blandet skrift: Græske forretnings- og offentlige dokumenter blander ofte græsk skrift (hovedindhold) med latinsk skrift (brandnavne, tekniske termer, engelske noter). NLP-pipelines skal håndtere begge skriftsystemer i det samme dokument.
Navngenkendelse på græsk: Græske navne optræder i nominativ (Γεώργιος Παπαδόπουλος), men også i genitiv/akkusativ i græske sætninger (Γεωργίου Παπαδόπουλου i genitiv). Kasusbevidst NER-genkendelse kræver græsk morfologisk analyse.
Turistsektoren: Compliance ved sæsonbestemt databehandling
Turisme tegner sig for 38 % af HDPA-håndhævelsessagerne. Compliance-udfordringen er omfang og sæsonbetoning:
Hotel-PMS-systemer: Property management-systemer behandler komplette gæsteoplysninger — pasnumre, nationalitet, fødselsdatoer, kontaktdata — for alle gæster. HDPA-håndhævelse har fundet, at mange hotel-PMS-systemer opbevarer gæstedata i over 5 år uden dokumenteret formål og uden sikkerhedsforanstaltninger svarende til datamængden.
IBAN og betalingsdata: Græske turistvirksomheder behandler betalingsdata fra EU- og internationale gæster. Gæsteregninger indeholder delvise kortnumre; reservationssystemer indeholder fulde betalingsoplysninger med udløbsdatoer. PCI DSS-compliance overlapper med GDPR-krav til betalingsdata.
Personaleomsætning: Sæsonarbejdere i gæstfrihedsbranchen afslutter typisk kontrakter på 4–6 måneder. HDPA-håndhævelse har gentagne gange fundet, at systemadgang ikke tilbagekaldes for fratrådt sæsonpersonale — et mønster der er fælles for alle brancher med høj medarbejderomsætning.
For HDPA-compliance i græsksprogede sammenhænge er de tekniske krav: AFM- og AMKA-detektion med kontrolsumvalidering, NER-understøttelse af det græske alfabet (spaCy el_core_news) samt detektion af græske pas og nationale ID-kort. For turistsektoren specifikt er de yderligere organisatoriske krav, som HDPA-håndhævelse tydeliggør: dokumentation for dataopbevaringstider i hotel-PMS og procedurer for tilbagekaldelse af sæsonpersonalets adgang.
Kilder: