Cumplimiento global de PII: tres leyes, tres formatos de identificador
Un marketplace del Reino Unido procesa documentos de vendedores de 80 países. Se aplican tres leyes a la vez: el RGPD para vendedores de la UE, la LGPD para vendedores brasileños y la Ley DPDP de India para vendedores indios. Cada ley designa identificadores nacionales diferentes como protegidos. Cada formato tiene su propia lógica de verificación.
CPF brasileño: formato y estatus LGPD
El CPF (Cadastro de Pessoas Físicas) es el número de contribuyente de Brasil. Tiene 11 dígitos en el formato XXX.XXX.XXX-XX. Los dos últimos dígitos son dígitos de control. Un algoritmo matemático aplicado a los primeros nueve los genera.
La LGPD de Brasil trata el CPF como un identificador personal protegido, con una sensibilidad similar al SSN estadounidense. Una herramienta que no conoce el formato del CPF no puede encontrarlo. Una que omite la suma de verificación generará falsos positivos.
Aadhaar indio: formato y obligaciones DPDP
El Aadhaar es un número de 12 dígitos emitido por el UIDAI de India. Los números se asignan de forma aleatoria. El último dígito es un dígito de control según el algoritmo de Verhoeff.
La Ley DPDP de India crea obligaciones para cualquier grupo que maneje datos vinculados al Aadhaar. La detección requiere dos pasos. Primero, coincidir con el formato de 12 dígitos y verificar el dígito de Verhoeff. Segundo, filtrar por contexto. No toda cadena de 12 dígitos es un número Aadhaar.
SSN estadounidense: una estructura conocida
El SSN tiene nueve dígitos. Los tres primeros son el número de área. Los dos siguientes son el número de grupo. Los últimos cuatro son el número de serie. Cada segmento tiene reglas fijas. La validación está bien documentada.
La brecha entre herramientas de un solo país y las reglas globales
Estos tres identificadores no comparten ningún formato ni regla de verificación. Una herramienta diseñada para el mercado estadounidense detectará SSNs de forma fiable. Puede pasar por alto completamente los CPF y Aadhaar.
La mayoría de los equipos descubren esta brecha solo cuando un regulador pregunta, no antes. La brecha crea riesgo real bajo cada ley:
- El Artículo 28 del RGPD exige un Acuerdo de Tratamiento de Datos por escrito con cada encargado del tratamiento. Una EIPD que liste "detección de SSN" como control principal —cuando el conjunto de datos también contiene números CPF— tiene una brecha documentada. Un auditor puede encontrarla.
- Las multas de la LGPD pueden alcanzar el 2 % de los ingresos brasileños, hasta R$50M por infracción. Un CPF no detectado es una violación directa de la LGPD.
- La aplicación del DPDP es todavía nueva. Los equipos que registren su cobertura de detección ahora estarán mejor posicionados cuando las primeras resoluciones establezcan el estándar.
Tres regímenes de multas simultáneos crean un riesgo acumulado. Las herramientas de un solo país dejan expuestos a los equipos globales.
Lo que requiere una cobertura completa
Una herramienta necesita el formato de cada identificador, su algoritmo de verificación y su contexto legal. El CPF necesita una suma de comprobación modular. El Aadhaar necesita la verificación de Verhoeff más filtrado de contexto. El SSN necesita las reglas de área y grupo. Son tres problemas distintos. Ningún patrón de búsqueda único los cubre todos.
Véase también: brecha de identificadores PII globales: SSN, CPF, Aadhaar, guía de aplicación LGPD Brasil ANPD y cumplimiento técnico de la Ley de Privacidad DPDPA India.