BDAR, CCPA ir PDPA viename įrankyje
Atnaujinta 2026 m.
Jūsų ES darbuotojai patenka po BDAR. Jūsų Kalifornijos darbuotojai tvarko CCPA įrašus. Jūsų Singapūro darbuotojai dirba pagal PDPA. Trys sistemos. Viena bendra duomenų bazė.
Tai yra globalaus privatumo iššūkis nuotolinėms komandoms. Klientų įrašai, kuriuos jie pasiekia, yra tie patys. Taisyklės, reguliuojančios tuos įrašus, nėra.
Kelių jurisdikcijų spraga
Palaikymo grupė Vokietijoje, Kalifornijoje ir Singapūre gali atidaryti tą pačią kliento paskyrą. Vardas, el. paštas ir paskyros duomenys tame įraše patiria skirtingas taisykles kiekvienoje šalyje.
Pagal BDAR, kiekvienam naudojimui turi būti teisinis pagrindas. Pagal CCPA, klientas gali prašyti ištrynimo ir atsisakyti. Pagal PDPA, taikomi sutikimo ir perdavimo taisyklės.
Kliento failo dalinimasis su DI asistentu gali sukelti pareigas pagal visus tris įstatymus vienu metu. Vienas veiksmas. Trys sistemos.
Regioninė programinė įranga to negali išspręsti. Ji dar labiau apsunkina problemą.
Kodėl viena platforma regionui neveikia
Instinktas yra suderinti programinę įrangą su vieta. JAV darbuotojai gauna JAV sprendimą. ES darbuotojai gauna ES sprendimą. APAC darbuotojai gauna APAC sprendimą.
Praktikoje tai žlunga.
Duomenys neseka platformos. Kalifornijos agentas, tvarkantis Vokietijos kliento skundą, vis dar yra saistomas BDAR. Taikoma ES kliento teisė į ištrynimą. JAV sprendimas gali neapimti Vokietijos nacionalinių asmens tapatybės numerio formatų ar IBAN numerių. Tai yra spraga.
Konfigūracija skyla į tris sistemas. Trys platformos reiškia tris audito takelius. Tris aprėpties konfigūracijas. Tris objektų tipų rinkinius, kurie gali nesutapti. Viena bendra ataskaita tampa rankinio sujungimo užduotimi.
Tarptautiniams perdavimams nėra aiško atsakymo. JAV analitikas gali gauti eksportą su ES klientų įrašais. Pagal BDAR, įstatymas seka duomenų subjektą, o ne analitiko buvimo vietą. Tik JAV sprendimas to neišsprendžia.
Žr. teisinės atitikties vadovą, kaip tarptautinės pareigos kaupiasi.
Objektų aprėptis pagal regionus
Asmens duomenų identifikatoriai skiriasi pagal šalį. Platforma, sukurta vienai rinkai, praleids identifikatorius iš kitos.
ES objektai (BDAR):
- Vokietijos Personalausweis ir Steuernummer.
- Prancūzijos Numéro de Sécurité Sociale.
- Ispanijos DNI ir NIE.
- IBAN ir BIC ES bankininkystei.
JAV objektai (CCPA / HIPAA):
- Socialinio draudimo numeris (SSN) ir EIN.
- Valstijos vairuotojo pažymėjimo formatai.
- Medicare ir Medicaid numeriai.
- HIPAA 18 saugomų sveikatos identifikatorių.
APAC objektai (PDPA, PIPL, PDPB):
- Singapūro NRIC ir FIN.
- Tailando nacionalinis asmens tapatybės numeris (13 skaitmenų).
- Kinijos gyventojo tapatybės kortelė (18 skaitmenų) ir mobiliojo telefono numeriai.
- Indijos Aadhaar ir PAN kortelė.
Tik JAV orientuotas sprendimas patikimai aptinka SSN. Jis praleis Vokietijos Personalausweis. ES sprendimas aptinka IBAN ir nacionalinius asmens tapatybės numerius. Jis gali neaptikti Aadhaar numerio.
Visa aprėptis reiškia objektų tipus kiekvienai susijusiai rinkai. Ne tik programinės įrangos namų regionui.
Naršykite visą objektų biblioteką /entities.
Išankstinių nustatymų konfigūracija pagal jurisdikciją
Praktinis atsakymas: vienas aptikimo variklis su išankstiniais nustatymais pagal regioną.
BDAR standartinis išankstinis nustatymas (ES darbuotojai): Visi 18 BDAR asmens duomenų tipų. ES nacionalinių asmens tapatybės numerių formatai. ES bankininkystės numeriai. Ribos nustatytos BDAR plačiai apimčiai.
CCPA / HIPAA išankstinis nustatymas (JAV darbuotojai): SSN, EIN, Medicare ir Medicaid numeriai. Valstijos asmens tapatybės ir pažymėjimo formatai. JAV finansinės sąskaitos numeriai. HIPAA 18 PHI tipų darbuotojams, tvarkantiems sveikatos įrašus.
APAC privatumo išankstinis nustatymas (APAC darbuotojai): Singapūro NRIC ir FIN. Tailando nacionalinis asmens tapatybės numeris. Kinijos gyventojo asmens tapatybės numeris ir mobiliojo telefono numeriai. Indijos Aadhaar ir PAN. Šalies vėliavos ten, kur reikia.
Kiekvienas išankstinis nustatymas konfigūruojamas vieną kartą centre. Jis prieinamas kiekvienam asmeniui. Taikykite jį pagal darbuotojo regioną arba pagal duomenų subjekto regioną. Naudokite griežtesnį. Variklis taiko griežtesnę taisyklę.
Perskaitykite, kaip veikia išankstiniai nustatymai, DUK.
Atvejis: 50 asmenų SaaS įmonė
Nuotoliniu būdu dirbanti SaaS įmonė atliko metinį privatumo auditą. Darbuotojai buvo Vokietijoje (18), Kalifornijoje (22) ir Singapūre (10).
Prieš perėjimą:
Vokietijos grupė naudojo ES maskavimo platformą. Kalifornijos grupė naudojo JAV sprendimą su ribota ES objektų aprėptimi. Singapūro grupė neturėjo maskavimo programinės įrangos. Auditas rado nevienodus standartus visose trijose regionuose. Singapūro radinys buvo atvira spraga.
Po perėjimo prie vienos platformos:
- BDAR išankstinis nustatymas Vokietijai su ES objektų tipais ir 48 kalbų palaikymu.
- CCPA išankstinis nustatymas Kalifornijai, apimantis JAV objektų tipus ir CCPA tipus.
- PDPA išankstinis nustatymas Singapūrui, apimantis APAC identifikatorius.
- Vienas centrinis audito takelys, apimantis visus 50 darbuotojų.
- ES apgyvendinimas visiems per paslaugą apdorotiems įrašams.
Ši konfigūracija atitinka BDAR 46 straipsnį dėl tarptautinių perdavimų paslaugoje.
2025 m. audito rezultatas: Nulis radinių dėl maskavimo neatitikimų. Ankstesnė Singapūro spraga buvo uždaryta.
Žr., kaip įmonių grupės dokumentuoja technines priemones, /security-compliance.
Išvada
Globalios privatumo atitikties negalima išspręsti kaip trijų atskirų problemų. Tai yra viena: nuoseklūs techniniai valdikliai visame regione.
Tas pats aptikimo variklis. Tas pats audito takelys. Skirtingi išankstiniai nustatymai skirtingiems įstatymams. Viena paslauga aptarnauja visas tris.
Sužinokite, kaip anonym.legal palaiko globalias komandas, /pricing.
Šaltiniai
- BDAR 3 straipsnis: Teritorinė taikymo sritis. gdpr-info.eu/art-3-gdpr/
- Kalifornijos vartotojų privatumo aktas (CCPA/CPRA). oag.ca.gov/privacy/ccpa
- Tailando asmens duomenų apsaugos aktas (PDPA). pdpa.go.th
- BDAR 46 straipsnis: Tarptautiniai perdavimai. gdpr-info.eu/art-46-gdpr/