מהו Quasi-PII?
סעיף 4 ל-GDPR מכסה כל מידע שיכול לזהות אדם. המידע אינו חייב לנקוב בשמו של מישהו ישירות. מספיק שהוא יהפוך זיהוי אפשרי דרך שלבים נוספים.
מזהי עובדים פנימיים הם דוגמה ברורה. קחו את הערך "EMP-EU-123456". המחרוזת הזו אינה מזהה אף אחד. אבל מערכת ה-HR מחזיקה טבלת lookup פשוטה. EMP-EU-123456 מופיע שם כמריה שמידט, מהנדסת בכירה, מינכן. כל מי שיש לו גישה לאותה טבלה יכול למצוא אותה. לפי GDPR, המזהה הוא נתון אישי.
אותו כלל חל על קודים פנימיים אחרים:
- מספרי חשבון לקוח שמקושרים לרשומות CRM
- קודי פרויקט שמקושרים לשמות לקוחות במערכות חוזים
- מספרי סימוכין בתיקי משפטים
- מספרי רשומות רפואיות שמקושרים לרשומות מטופל
הסרת שמות וכתובות דואר אלקטרוני אינה מספיקה. אם מזהים פנימיים נשארים בקובץ, זיהוי מחדש רחוק רק שני שלבים.
מדוע פער זה מוביל לקנסות
34% מכלל קנסות GDPR כרוכים באמצעים טכניים בלתי מספקים לפי סעיף 32. נתון זה מגיע מדו"ח GDPR השנתי של DLA Piper לשנת 2025. כשל בזיהוי מזהים פנימיים מסוג quasi-PII נכלל בקטגוריה זו.
ה-EDPB טיפל ביותר מ-900 מקרים של מנגנון עקביות בשנת 2024. אכיפה חוצת גבולות משמעותה שפרצה אחת בערכת נתונים משותפת יכולה להוביל לפעולה מתואמת של מספר מדינות חברות.
כלי PII סטנדרטיים מאתרים תבניות אוניברסליות: שמות, כתובות דואר אלקטרוני, מספרי טלפון, מספרי זהות לאומיים. הם אינם מכירים את פורמט המזהה הפנימי שלכם. אף כלי לא מכיר אותו עד שתודיעו לו. זהו הפער.
כיצד פועל בונה התבניות ללא קוד
חברת לוגיסטיקה גלובלית צריכה לאנונם רשומות עובדים לביקורת חיצונית. מזהי העובדים שלה בפורמט: EMP-[אזור]-[6 ספרות]. שלוש דוגמאות: EMP-EU-123456, EMP-APAC-789012, EMP-AMER-345678.
צוות הציות מכניס שלוש דוגמאות לעוזר תבניות ה-AI. ה-AI מחזיר:
- תבנית:
EMP-[A-Z]{2,4}-\d{6} - תואם לכל שלוש הדוגמאות
- שם ישות מוצע: EMPLOYEE-ID
- שלב הבא מומלץ: בדוק עם קודי אזור נוספים
הצוות בודק עשרה דוגמאות נוספות. התבנית עובדת על כולן.
הם שומרים את הישות המותאמת ב-preset ה-GDPR המשותף של הצוות. כל 47 המסמכים בחבילת הביקורת מעובדים ב-batch אחד. כל מזהה עובד מוחלף בתווית מבוססת תפקיד. חברת הביקורת מקבלת קבצים שאינם מקושרים עוד לאף אדם ספציפי.
אין צורך בעזרת הנדסה. כל ההגדרה לוקחת פחות משעה.
מה קורה בהמשך
ברגע שהישות המותאמת נשמרת ב-preset משותף, כל חברי הצוות משתמשים באותה הגדרה. עובדים חדשים מקבלים אותה ביום הראשון. משימות batch, קריאות API והעלאות ידניות — כולן מיישמות את אותה תבנית.
mסלול הביקורת מציג איזה preset שימש לכל קובץ. אם רשות הגנת מידע תבקש הוכחה לתהליך האנונימיזציה, תוכלו להציג אותה.
לתהליך הגדרת ישויות מותאמות במלואו, ראו מזהי PII מותאמים לאנונימיזציה ארגונית. לשמירת עקביות בהגדרה זו על פני צוותים, ראו presets עקביות אנונימיזציה לביקורת GDPR.