Globális személyes adat-megfelelőség: három törvény, három azonosítóformátum
Egy brit piactér 80 ország kereskedőinek dokumentumait kezeli. Egyszerre három jogszabály vonatkozik rá: a GDPR az EU-s eladókra, az LGPD a brazilokra, India DPDP-törvénye az indiai kereskedőkre. Mindegyik jogszabály más nemzeti azonosítót nevez meg védendőként, és mindegyiknek saját ellenőrzési logikája van.
Brazil CPF: formátum és LGPD-státusz
A CPF (Cadastro de Pessoas Físicas) Brazília adófizetői azonosítószáma. 11 jegyből áll, formátuma: XXX.XXX.XXX-XX. Az utolsó két jegy ellenőrzőjegy, amelyet az első kilenc jegyre alkalmazott matematikai algoritmus állít elő.
Brazília LGPD-törvénye a CPF-et védett személyes azonosítóként kezeli, az amerikai SSN-hez hasonló érzékenységi szinten. Egy eszköz, amely nem ismeri a CPF-formátumot, nem képes megtalálni azt. Amelyik kihagyja az ellenőrzőösszeg-számítást, hamis egyezéseket fog jelölni.
Indiai Aadhaar: formátum és DPDP-szabályok
Az Aadhaar India UIDAI-szervezete által kiadott 12 jegyű szám. A számok véletlenszerűen kerülnek kiosztásra, az utolsó jegy Verhoeff-féle ellenőrzőjegy.
India DPDP-törvénye kötelezettségeket ír elő minden Aadhaar-hoz kapcsolódó adatot kezelő szervezet számára. A detektálás két lépést igényel: először illeszteni kell a 12 jegyű formátumra és ellenőrizni a Verhoeff-jegyet, majd szűrni kell a kontextus alapján, hiszen nem minden 12 jegyű szám Aadhaar-azonosító.
Amerikai SSN: jól ismert struktúra
Az SSN kilenc jegyből áll. Az első három a területszám, a következő kettő a csoportszám, az utolsó négy a sorozatszám. Mindegyik szegmensnek meghatározott szabályai vannak, az érvényesítés jól dokumentált.
A különbség az egyországi eszközök és a globális szabályok között
Ennek a három azonosítónak nincs közös formátuma és közös ellenőrzési szabálya. Az Egyesült Államok számára fejlesztett eszköz megtalálja az SSN-eket, de esetleg teljesen elmulasztja a CPF-et és az Aadhaar-t.
A legtöbb csapat akkor ütközik ebbe a résbe, amikor egy felügyeleti hatóság kérdőre vonja őket — és nem korábban. A rés valós kockázatot jelent mindhárom jogszabály szerint:
- A GDPR 28. cikke írásbeli adatfeldolgozási megállapodást ír elő minden adatfeldolgozóval. Az a DPIA, amely a „SSN-detektálást” jelöli meg fő ellenőrzési intézkedésként — miközben az adathalmaz CPF-számokat is tartalmaz —, dokumentált hiányosságot mutat, amelyet egy auditor megtalálhat.
- Az LGPD bírságai elérheti a brazil bevétel 2%-át, adatsértésenként legfeljebb 50 millió BRL összegig. Egy nem detektált CPF közvetlen LGPD-jogsértést jelent.
- A DPDP végrehajtása még újkeletű. Az a szervezet, amely most dokumentálja a lefedettségét, kedvezőbb helyzetből vészeli át az első szabályozói döntések megszületését.
Egyszerre három bírságolási rendszer rétegzett kockázatot teremt. Az egyországi eszközök globálisan működő csapatokat tesznek ki veszélynek.
Mit igényel a teljes lefedettség?
Egy eszköznek minden azonosítóhoz ismernie kell annak formátumát, ellenőrzési algoritmusát és jogi kontextusát. A CPF moduláris ellenőrzőösszeget igényel. Az Aadhaar Verhoeff-ellenőrzést és kontextuális szűrést kíván. Az SSN területi és csoportszabályokat követel. Ez három különálló probléma — egyetlen keresési minta nem fedi le mindet.
Lásd még: globális személyes adat azonosítók rése: SSN, CPF, Aadhaar, ANPD Brazil LGPD végrehajtási útmutató és DPDPA India adatvédelmi jogi technikai megfelelés.