Globale PII-Compliance: Drei Gesetze, drei ID-Formate
Ein britischer Marktplatz verarbeitet Verkäuferdokumente aus 80 Ländern. Es gelten drei Gesetze gleichzeitig: die DSGVO für EU-Verkäufer, das LGPD für brasilianische Verkäufer und Indiens DPDP-Gesetz für indische Verkäufer. Jedes Gesetz benennt andere nationale IDs als schutzbedürftig. Jedes Format hat seine eigene Prüflogik.
Brasilianische CPF: Format und LGPD-Status
Die CPF (Cadastro de Pessoas Físicas) ist Brasiliens Steuernummer. Sie hat 11 Stellen im Format XXX.XXX.XXX-XX. Die letzten beiden Stellen sind Prüfziffern. Ein Rechenalgorithmus auf den ersten neun Stellen erzeugt sie.
Brasiliens LGPD behandelt die CPF als geschützten persönlichen Identifikator, ähnlich sensibel wie eine US-SSN. Ein Tool, das das CPF-Format nicht kennt, kann sie nicht finden. Eines, das die Prüfsumme überspringt, erzeugt falsche Treffer.
Indische Aadhaar: Format und DPDP-Pflichten
Aadhaar ist eine 12-stellige Nummer, die von Indiens UIDAI vergeben wird. Die Nummern werden zufällig vergeben. Die letzte Stelle ist eine Verhoeff-Prüfziffer.
Indiens DPDP-Gesetz schafft Pflichten für jede Stelle, die Aadhaar-verknüpfte Daten verarbeitet. Die Erkennung braucht zwei Schritte. Erstens: das 12-stellige Format erkennen und die Verhoeff-Ziffer prüfen. Zweitens: den Kontext filtern. Nicht jede 12-stellige Zeichenkette ist eine Aadhaar-Nummer.
US-SSN: Eine bekannte Struktur
Die SSN hat neun Stellen. Die ersten drei sind die Gebietsnummer. Die nächsten zwei sind die Gruppennummer. Die letzten vier sind die Seriennummer. Jedes Segment hat feste Regeln. Die Validierung ist gut dokumentiert.
Die Lücke zwischen Einzel-Länder-Tools und globalen Vorschriften
Diese drei IDs teilen kein Format und keine Prüfregel. Ein Tool für den US-Markt erkennt SSNs zuverlässig. CPF und Aadhaar kann es vollständig verfehlen.
Die meisten Teams entdecken diese Lücke erst, wenn ein Aufseher fragt — nicht vorher. Die Lücke birgt echtes Risiko unter jedem der drei Gesetze:
- DSGVO Artikel 28 verlangt einen schriftlichen Auftragsverarbeitungsvertrag mit jedem Auftragsverarbeiter. Ein DSFA, das „SSN-Erkennung" als Hauptkontrolle auflistet — wenn der Datensatz auch CPF-Nummern enthält — hat eine dokumentierte Lücke. Ein Prüfer kann sie finden.
- LGPD-Bußgelder können 2 % des brasilianischen Umsatzes erreichen, bis zu R$50 Mio. je Verstoß. Eine nicht erkannte CPF ist eine direkte LGPD-Verletzung.
- DPDP-Durchsetzung ist noch neu. Teams, die ihre Erkennungsabdeckung jetzt dokumentieren, sind besser aufgestellt, wenn frühe Entscheidungen den Standard setzen.
Drei Bußgeldregimes gleichzeitig erzeugen gestaffelte Risiken. Einzel-Länder-Tools lassen globale Teams exponiert.
Was vollständige Abdeckung erfordert
Ein Tool braucht das Format jeder ID, ihren Prüfalgorithmus und ihren rechtlichen Kontext. CPF braucht eine modulare Prüfsumme. Aadhaar braucht die Verhoeff-Prüfung plus Kontextfilterung. SSN braucht Gebiets- und Gruppenregeln. Das sind drei separate Probleme. Kein einzelnes Suchmuster deckt alle drei ab.
Siehe auch: Globale PII-Identifikationslücke: SSN, CPF, Aadhaar, ANPD Brasilien LGPD-Durchsetzungshandbuch und DPDPA Indien Datenschutzrecht technische Compliance.