Vain englanninkieliset henkilötietotyökalut: GDPR-vastuu
Päivitetty vuodelle 2026
Täytäntöönpanon todellisuus
GDPR keskittyy tuloksiin, ei pyrkimyksiin. Yritys voi vilpittömässä mielessä käyttää henkilötietojen tunnistustyökalua. Mutta jos työkalu jättää huomaamatta ranskalaiset, saksalaiset tai puolalaiset tunnisteet, yritys on silti rikkonut 32 artiklaa. Sääntö edellyttää "asianmukaisia teknisiä toimenpiteitä". Työkalu, joka ei löydä tunnisteita tietueistasi, ei täytä tätä edellytystä. Hyvät aikomukset eivät muuta tätä.
Puolustus "käytimme työkalua" ei kestä. Valvontaviranomaiset tutkivat käytetyt konkreettiset työkalut. Jos englantikeskeinen työkalu käsitteli monikielisiä tietueita, 32 artikla nousee keskeiseksi kysymykseksi.
Tämä on todellinen täytäntöönpanomalli. Sitä on havaittu GDPR-tapauksissa kaikkialla EU:ssa.
Mitä valvontaviranomaiset havaitsevat
Vuoden 2024 GDPR-tiedot osoittavat, että 32 artiklan rikkomukset kuuluvat yleisimpiin sakkojen syihin. Yritykset viittaavat automaattisiin anonymisointityökaluihin todisteena teknisistä toimenpiteistä. Valvontaviranomaiset tutkivat sitten, toimivatko nämä työkalut.
Globaaleille työnantajille riski on järjestelmällinen. Otetaan esimerkiksi henkilöstöalusta. Se poistaa henkilötiedot ennen analyyttistä käsittelyä. Se saattaa poistaa englanninkieliset sähköpostiosoitteet ja puhelinnumerot. Mutta ranskalaiset NIR-numerot, saksalaiset Steuer-ID:t ja puolalaiset PESEL-numerot jätetään koskemattomiksi. Ruotsalaiset personnummerin jäävät myös.
Yritys luulee, että tietueet ovat puhtaat. Valvontaviranomainen havaitsee, että 40 % anonymisoidun tietoaineiston tunnisteista on edelleen läsnä. Ne ovat kansallisia tunnisteita, joita työkalu ei koskaan kattanut.
Tunnisteen muodot, jotka vain englanninkieliset työkalut jättävät huomaamatta
EU:n kansalliset tunnisteet eroavat yhdysvaltalaisista ja yleisistä muodoista. Vain englanninkieliset työkalut eivät voi tunnistaa niitä:
Saksan Steuer-Identifikationsnummer: 11-numeroinen muoto tarkistussummalla. Yhdysvaltain SSN-malleihin (9 numeroa) rakennetut työkalut eivät sitä nappaa.
Ranskan NIR (numéro de sécurité sociale): 15-numeroinen muoto. Koodaa sukupuolen, vuoden ja syntymäpaikan. Yleiset tunnistemalleja ei tunnista sitä.
Ruotsin Personnummer: 10 tai 12 numeroa Luhn-tarkistusnumerolla. Muoto vaihtelee ennen vuotta 1990 syntyneillä. Yleiset mallit eivät kata tätä.
Puolan PESEL: 11 numeroa koodatulla syntymäajalla ja sukupuolella. Ilman tarkistussumman tarkistuksia väärän positiivisen asteet ovat liian korkeat.
Nämä ovat yleisiä tunnisteita. Jokainen EU:ssa toimiva työnantaja, terveydenhuollon tarjoaja tai rahoitusyritys, joka käsittelee saksalaisia, ranskalaisia, ruotsalaisia tai puolalaisia tietueita, kohtaa ne. Ne eivät ole harvinaisia. Täydellinen luettelo tuetuista tunnistetyypeistä löytyy entiteettien viiteyhteenvedosta.
GDPR keskittyy tuloksiin
GDPR:n 32 artikla edellyttää "asianmukaisia teknisiä ja organisatorisia toimenpiteitä". Tavoite asetetaan tulosten perusteella. Käyttikö organisaatio työkalua? Tämä ei ole oikea kysymys. Suojasiko työkalu käsittelemänsä henkilötietueet? Tämä on oikea kysymys.
EU:n monikielisiä tietueita käsitteleville organisaatioille "asianmukainen" tarkoittaa saksalaisten Steuer-ID:iden tunnistamista samassa läpikäynnissä kuin englanninkielisten sähköpostiosoitteiden. Organisaatio, joka nappaa 95 % englanninkielisestä sisällöstä mutta 0 % saksalaisista kansallisista tunnisteista, ei täytä tätä vaatimusta. Aukko epäonnistuu saksalaisissa tietueissa.
Monikielinen kattavuus ei ole valinnainen. Se on osa sitä, mitä 32 artikla edellyttää. Ilman poikkeuksia. GDPR-vaatimustenmukaisuusoppaamme kattaa koko kehyksen.
Miten arvioida työkalusi
Oikea kysymys työkalullesi on yksinkertainen. Löytääkö se sähköpostiosoitteet millä tahansa kielellä? Se on vähemmän olennaista. Löytääkö se kansallisten tunnisteiden muodot todellisista tietueistasi? Tämä on todellinen testi.
EU-toiminnoille, jotka palvelevat Saksaa, Ranskaa, Puolaa tai Ruotsia, tämä tarkoittaa aluekohtaisten tunnistimien kattavuutta. Jos työkalusi ei pysty osoittamaan hyviä tunnistusasteita näille muodoille, kohtele aukkoa aktiivisena vaatimustenmukaisuusriskinä. Tietoturva- ja vaatimustenmukaisuussivumme selittää, miten käsittelemme monikielistä kattavuutta.
anonym.legal tunnistaa saksalaiset Steuer-ID:t, ranskalaiset NIR-numerot, ruotsalaiset Personnummerit, puolalaiset PESEL-numerot ja kaikkien EU-jäsenvaltioiden kansalliset tunnisteet. Jokainen tunnistin käyttää tarkistussumman vahvistusta tarkkuuden varmistamiseksi.