GDPR, CCPA e PDPA in un unico strumento.
Aggiornato al 2026.
Il tuo personale in UE è soggetto al GDPR. Il tuo personale in California gestisce i dati CCPA. Il tuo personale a Singapore opera sotto il PDPA. Tre normative. Un database condiviso.
Questa è la sfida della privacy globale per i team distribuiti. I dati dei clienti a cui accedono sono gli stessi. Le regole che li governano non lo sono.
Il divario multi-giurisdizionale
Un team di assistenza in Germania, California e Singapore può aprire lo stesso account cliente. Il nome, l'email e i dettagli dell'account in quell'archivio sono soggetti a regole diverse in ogni paese.
Ai sensi del GDPR, deve esistere una base giuridica per ogni utilizzo. Ai sensi del CCPA, il cliente può richiedere la cancellazione e il diritto di opposizione. Ai sensi del PDPA, si applicano regole sul consenso e sul trasferimento.
Condividere un file cliente con un assistente AI può attivare obblighi ai sensi di tutte e tre le normative contemporaneamente. Una sola azione. Tre normative.
Il software regionale non risolve questo problema. Lo aggrava.
Perché una piattaforma per regione non funziona
L'impulso istintivo è abbinare il software alla localizzazione. Al personale statunitense va una soluzione americana. Al personale UE va una soluzione europea. Al personale APAC va una soluzione asiatica.
Nella pratica questo approccio si inceppa.
I dati non seguono la piattaforma. Un operatore californiano che gestisce il reclamo di un cliente tedesco è comunque vincolato dal GDPR. Il diritto alla cancellazione del cliente europeo si applica. La soluzione statunitense potrebbe non includere i formati del documento d'identità tedesco o i numeri IBAN. Questa è una lacuna.
La configurazione si frammenta in tre sistemi. Tre piattaforme significano tre registri di audit. Tre configurazioni di copertura. Tre set di tipi di entità che potrebbero non allinearsi. Un report unificato diventa un'operazione manuale di consolidamento.
I trasferimenti transfrontalieri restano senza una risposta chiara. Un analista statunitense potrebbe ricevere un'esportazione con dati di clienti europei. Ai sensi del GDPR, la normativa segue l'interessato — non la posizione geografica dell'analista. Una soluzione solo statunitense non risolve questo problema.
Consulta la guida alla conformità legale per capire come si sovrappongono gli obblighi transfrontalieri.
Copertura delle entità per regione
Gli identificatori di dati personali variano da paese a paese. Una piattaforma costruita per un solo mercato non rileverà gli identificatori di un altro.
Entità UE (GDPR):
- Personalausweis e Steuernummer tedeschi.
- Numéro de Sécurité Sociale francese.
- DNI e NIE spagnoli.
- IBAN e BIC per la bancaria UE.
Entità statunitensi (CCPA / HIPAA):
- Social Security Number (SSN) e EIN.
- Formati di patente di guida statale.
- Numeri Medicare e Medicaid.
- I 18 identificatori sanitari protetti dall'HIPAA.
Entità APAC (PDPA, PIPL, PDPB):
- NRIC e FIN di Singapore.
- Codice fiscale nazionale tailandese (13 cifre).
- Carta d'identità cinese (18 cifre) e numeri di telefono cellulare.
- Aadhaar e carta PAN indiani.
Una soluzione incentrata sugli USA copre in modo affidabile i codici SSN. Non rileverà un Personalausweis tedesco. Una soluzione UE copre IBAN e documenti d'identità nazionali. Potrebbe non rilevare un numero Aadhaar.
Una copertura completa richiede tipi di entità per ogni mercato rilevante. Non solo il mercato di origine del software.
Sfoglia la libreria completa delle entità su /entities.
Configurazione dei preset per giurisdizione
La risposta pratica: un unico motore di rilevamento con preset per regione.
Preset GDPR Standard (personale UE): Tutti i 18 tipi di dati personali GDPR. Formati di documenti d'identità nazionali UE. Numeri bancari europei. Soglie calibrate sulla portata ampia del GDPR.
Preset CCPA / HIPAA (personale statunitense): SSN, EIN, numeri Medicare e Medicaid. Formati di carte d'identità e patenti statali. Numeri di conto finanziario statunitensi. I 18 tipi di PHI dell'HIPAA per il personale che gestisce dati sanitari.
Preset Privacy APAC (personale APAC): NRIC e FIN di Singapore. Codice fiscale tailandese. Carta d'identità cinese e numeri di cellulare. Aadhaar e PAN indiani. Flag per paese dove necessario.
Ogni preset viene configurato una volta a livello centrale. È disponibile per ogni persona. Applicalo in base alla regione del dipendente o alla regione dell'interessato. Usa quello più restrittivo. Il motore applica la regola più severa.
Scopri come funzionano i preset nelle FAQ.
Caso di studio: SaaS da 50 persone
Una società SaaS remote-first ha condotto il suo audit annuale sulla privacy. Il personale era in Germania (18), California (22) e Singapore (10).
Prima del cambiamento:
Il gruppo in Germania utilizzava una piattaforma di mascheramento UE. Il gruppo californiano usava una soluzione statunitense con copertura limitata delle entità europee. Il gruppo di Singapore non aveva software di mascheramento. L'audit ha rilevato standard disomogenei in tutte e tre le regioni. La lacuna di Singapore era una vulnerabilità aperta.
Dopo il passaggio a un'unica piattaforma:
- Preset GDPR per la Germania, con tipi di entità UE e supporto per 48 lingue.
- Preset CCPA per la California, con tipi di entità statunitensi e categorie CCPA.
- Preset PDPA per Singapore, con identificatori APAC.
- Un unico registro di audit centrale che copre tutti i 50 dipendenti.
- Residenza UE per tutti i dati elaborati attraverso il servizio.
Questa configurazione soddisfa l'Articolo 46 del GDPR per i trasferimenti transfrontalieri all'interno del servizio.
Risultato dell'audit 2025: zero rilievi sulle incongruenze di mascheramento. La precedente lacuna di Singapore è stata colmata.
Scopri come i team aziendali documentano le misure tecniche su /security-compliance.
Conclusione
La conformità alla privacy globale non è tre problemi separati. È uno solo: controlli tecnici coerenti in ogni regione.
Stesso motore di rilevamento. Stesso registro di audit. Preset diversi per normative diverse. Un unico servizio gestisce tutto.
Scopri come anonym.legal supporta i team globali su /pricing.
Fonti
- GDPR Articolo 3: Ambito territoriale. gdpr-info.eu/art-3-gdpr/
- California Consumer Privacy Act (CCPA/CPRA). oag.ca.gov/privacy/ccpa
- Thailand Personal Data Protection Act (PDPA). pdpa.go.th
- GDPR Articolo 46: Trasferimenti transfrontalieri. gdpr-info.eu/art-46-gdpr/