Conformité PII mondiale : trois lois, trois formats d'identifiant
Une marketplace britannique traite des documents de vendeurs provenant de 80 pays. Trois lois s'appliquent simultanément : le RGPD pour les vendeurs de l'UE, le LGPD pour les vendeurs brésiliens, et la loi DPDP de l'Inde pour les vendeurs indiens. Chaque loi désigne des identifiants nationaux différents comme protégés. Chaque format a sa propre logique de vérification.
CPF brésilien : format et statut LGPD
Le CPF (Cadastro de Pessoas Físicas) est le numéro de contribuable brésilien. Il comporte 11 chiffres au format XXX.XXX.XXX-XX. Les deux derniers chiffres sont des chiffres de contrôle. Un algorithme mathématique appliqué aux neuf premiers chiffres les génère.
Le LGPD brésilien traite le CPF comme un identifiant personnel protégé, d'une sensibilité comparable au SSN américain. Un outil qui ne connaît pas le format CPF ne peut pas le détecter. Celui qui ignore la somme de contrôle génère de faux positifs.
Aadhaar indien : format et obligations DPDP
L'Aadhaar est un numéro à 12 chiffres délivré par l'UIDAI indien. Les numéros sont attribués aléatoirement. Le dernier chiffre est un chiffre de contrôle selon l'algorithme de Verhoeff.
La loi DPDP de l'Inde crée des obligations pour tout groupe traitant des données liées à l'Aadhaar. La détection nécessite deux étapes. Premièrement, faire correspondre le format à 12 chiffres et vérifier le chiffre de Verhoeff. Deuxièmement, filtrer selon le contexte. Toute séquence de 12 chiffres n'est pas un numéro Aadhaar.
SSN américain : une structure connue
Le SSN comporte neuf chiffres. Les trois premiers sont le numéro de zone. Les deux suivants sont le numéro de groupe. Les quatre derniers sont le numéro de série. Chaque segment obéit à des règles fixes. La validation est bien documentée.
L'écart entre les outils mono-pays et les règles mondiales
Ces trois identifiants ne partagent ni format ni règle de vérification. Un outil conçu pour le marché américain détecte les SSN de manière fiable. Il peut manquer complètement les CPF et Aadhaar.
La plupart des équipes découvrent cet écart seulement lorsqu'un régulateur pose la question — pas avant. L'écart crée un risque réel sous chaque loi :
- L'article 28 du RGPD exige un contrat de traitement des données écrit avec chaque sous-traitant. Un AIPD qui liste « détection SSN » comme contrôle principal — quand l'ensemble de données contient aussi des numéros CPF — comporte une lacune documentée. Un auditeur peut la trouver.
- Le LGPD prévoit des amendes pouvant atteindre 2 % du chiffre d'affaires brésilien, plafonnées à R$50M par infraction. Un CPF non détecté constitue une violation directe du LGPD.
- L'application du DPDP est encore récente. Les équipes qui documentent leur couverture de détection maintenant seront mieux placées quand les premières décisions fixeront la norme.
Trois régimes d'amendes simultanés créent un risque cumulé. Les outils mono-pays exposent les équipes mondiales.
Ce que requiert une couverture complète
Un outil a besoin du format de chaque identifiant, de son algorithme de contrôle et de son contexte juridique. Le CPF nécessite une somme de contrôle modulaire. L'Aadhaar nécessite la vérification de Verhoeff et un filtrage contextuel. Le SSN nécessite les règles de zone et de groupe. Ce sont trois problèmes distincts. Aucun motif de recherche unique ne couvre les trois.
Voir aussi : Écart d'identification PII mondial : SSN, CPF, Aadhaar, Guide d'application LGPD Brésil ANPD et Conformité technique DPDPA Inde.