כלי PII לאנגלית בלבד: אחריות GDPR
עודכן ל-2026
מציאות האכיפה
GDPR עוסק בתוצאות, לא במאמץ. חברה יכולה להשתמש בכלי זיהוי PII בתום לב. אך אם הכלי מחמיץ תעודות צרפתיות, גרמניות או פולניות, החברה עדיין כשלה ב-Article 32. הכלל דורש "אמצעים טכניים מתאימים." כלי שאינו יכול למצוא את התעודות ברשומות שלך נכשל בכך. כוונות טובות אינן משנות זאת.
הגנת "השתמשנו בכלי" אינה מחזיקה מים. גופי פיקוח בוחנים את הכלים הספציפיים שנעשה בהם שימוש. כאשר כלי המיועד לאנגלית בלבד עיבד רשומות רב-לשוניות, Article 32 הופך לשאלה המרכזית.
זהו דפוס אכיפה אמיתי. הוא נצפה בתיקי GDPR ברחבי ה-EU.
מה מוצאים הרשויות המפקחות
נתוני GDPR מ-2024 מראים כי הפרות Article 32 מדורגות בין הסיבות העיקריות לקנסות. חברות מציינות כלי אנונימיזציה אוטומטיים כהוכחה לאמצעים טכניים. גופי הפיקוח בודקים אז האם הכלים האלה עובדים.
עבור מעסיקים גלובליים, הסיכון הוא מערכתי. קחו פלטפורמת HR. היא מסירה נתונים אישיים לפני אנליטיקה. היא עשויה להסיר כתובות דוא"ל ומספרי טלפון אנגליים. אך היא משאירה מספרי NIR צרפתיים, Steuer-IDs גרמניים ומספרי PESEL פולניים שלמים. גם Personnummers שוודיים נשארים.
החברה חושבת שהרשומות נקיות. גוף הפיקוח מוצא ש-40% מהתעודות במערך הנתונים ה"מאונונים" עדיין שם. אלה תעודות לאומיות שהכלי מעולם לא כיסה.
פורמטי מזהה שכלים לאנגלית בלבד מחמיצים
תעודות לאומיות ב-EU שונות מפורמטים אמריקאיים וגנריים. כלים לאנגלית בלבד לא מצליחים לזהות אותם:
Steuer-Identifikationsnummer גרמנית: פורמט 11 ספרות עם סיכום בדיקה. כלים שנבנו לדפוסי SSN אמריקאיים (9 ספרות) לא תופסים אותו.
NIR צרפתי (numéro de sécurité sociale): פורמט 15 ספרות. הוא מקודד מין, שנת לידה ומחלקה. דפוסי תעודה גנריים לא מתאימים לו.
Personnummer שוודי: 10 או 12 ספרות עם ספרת בדיקה Luhn. הפורמט משתנה לאנשים שנולדו לפני 1990. לדפוסים גנריים חסר זה.
PESEL פולני: 11 ספרות עם תאריך לידה ומין מקודדים. ללא בדיקות סיכום בדיקה, שיעורי תוצאות חיוביות שגויות גבוהים מדי.
אלה מזהים נפוצים. כל מעסיק ב-EU, ספק בריאות או חברה פיננסית המטפלים ברשומות גרמניות, צרפתיות, שוודיות או פולניות יתקלו בהם. הם אינם נדירים. ראו את רשימת הישויות שלנו לרשימה מלאה של סוגי תעודות נתמכים.
GDPR מבוסס תוצאות
GDPR Article 32 קורא ל"אמצעים טכניים וארגוניים מתאימים." הסטנדרט הוא על תוצאות. האם הארגון השתמש בכלי? זו אינה השאלה הנכונה. האם הכלי הגן על הרשומות האישיות שעיבד? זו השאלה הנכונה.
עבור ארגונים עם רשומות EU רב-לשוניות, "מתאים" פירושו זיהוי Steuer-IDs גרמניים באותה סריקה כמו כתובות דוא"ל אנגליות. ארגון שתופס 95% מהתוכן האנגלי אך 0% מהתעודות הלאומיות הגרמניות לא עמד בסטנדרט. הפער כושל ברשומות הגרמניות שלו.
כיסוי רב-לשוני אינו אופציונלי. הוא חלק ממה ש-Article 32 דורש.