Mengapa Excel Adalah Jenis Fail Berisiko Tertinggi Anda
Fail Excel adalah salah satu risiko GDPR terbesar dalam kebanyakan perniagaan. Rekod perubatan mungkin membawa data yang lebih sensitif setiap baris. Tetapi hamparan mengumpulkan PII dengan cepat — dan pasukan pematuhan sering terlepasnya.
Tiga perkara menjadikan fail Excel sukar diurus.
Volum: Satu fail XLSX boleh memegang 50,000 baris dan 100 lajur. Itu lima juta sel. Tiada semakan manual boleh memeriksa semuanya.
Susun atur grid: Teks mengalir dalam satu arah. Excel menyebar data merentasi baris dan lajur. Data peribadi boleh bersembunyi di mana sahaja dalam grid itu.
Kandungan bercampur: Band gaji, kod jabatan, dan gred kerja duduk dalam fail yang sama dengan SSN dan alamat e-mel. Memadam segalanya menjadikan fail tidak berguna.
Pengekalan lama: Senarai kakitangan dan rekod pelanggan kekal dalam Excel selama bertahun-tahun. Perkara 5(1)(e) GDPR menyatakan data mesti disimpan "tidak lebih lama daripada yang perlu." Fail yang "mungkin berguna" sering kekal jauh melepasi titik itu.
Mengapa Imbasan Teks Standard Gagal pada Hamparan
Alat analisis teks dibina untuk dokumen. Mereka pecah pada hamparan dalam beberapa cara biasa.
Masalah SSN-sebagai-Nombor
Excel menyimpan Nombor Keselamatan Sosial tanpa sengkang (123456789) sebagai nombor biasa — bukan teks. Pengimbas yang dibina untuk mencari ###-##-#### akan terlepasnya. Alat yang baik mesti mengetahui bahawa nombor 9 digit dalam lajur yang dipanggil "SSN" adalah Nombor Keselamatan Sosial.
Masalah Tarikh-sebagai-Nombor
Excel menyimpan tarikh sebagai nombor siri. 6 Februari 2024 disimpan sebagai 45329. Eksport CSV akan menunjukkan "45329" dalam lajur "Tarikh Lahir". Pengimbas mesti menukar nombor itu ke tarikh sebenar sebelum boleh menanda nilai tersebut.
Masalah SSN Separa
Beberapa sistem hanya menunjukkan empat digit terakhir SSN (*--1234). Nombor penuh duduk dalam lajur yang dikunci. Nilai separa masih perlu dianonimkan — walaupun ia tidak kelihatan seperti SSN penuh.
Masalah PII Formula
Beberapa sel membina PII dari sel lain. Sel dengan =CONCATENATE(B2," ",C2) menunjukkan nama penuh. Jika anda mengosongkan lajur B dan C, nama penuh itu masih kelihatan dalam sel formula. Alat yang hanya membaca nilai yang disimpan — bukan pautan formula — akan meninggalkan PII di tempatnya.
Masalah Berbilang Helaian
Buku kerja besar mungkin mempunyai lima helaian: Senarai Pelanggan, Pesanan, Tiket Sokongan, Pengebilan, dan Analitik. Nama pelanggan muncul dalam kesemua lima. "John Smith" dalam satu helaian mesti menjadi token yang sama — "PERSON_0047" — dalam setiap helaian lain. Dua token berbeza memecahkan pautan rekod.
Pengepala Lajur sebagai Isyarat
Peningkatan terbaik dalam pengesanan PII hamparan adalah analisis pengepala lajur.
Lajur yang dipanggil "SSN" memberitahu alat bahawa semua nilai dalam lajur itu adalah Nombor Keselamatan Sosial. Ini berfungsi walaupun nilai adalah separa, berformat pelik, atau disimpan sebagai nombor.
| Pengepala lajur | Apa yang ia isyaratkan |
|---|---|
| SSN / Social Security / Tax ID | Anggap nombor 9 digit sebagai SSN |
| Email / E-mail / Email Address | Tandakan walaupun corak e-mel separa |
| Phone / Telephone / Mobile / Cell | Terima sebarang format telefon |
| DOB / Date of Birth / Birthday | Tukar nombor siri ke tarikh |
| First Name / Last Name / Full Name | Turunkan bar untuk pengesanan nama |
| Address / Street / City / ZIP | Gabungkan medan lokasi berdekatan |
| Patient ID / MRN / Record Number | Gunakan corak ID penjagaan kesihatan |
Konteks lajur tidak menggantikan pengimbasan kandungan. Ia menambahkannya. Lajur yang dipanggil "SSN" dengan 100 nilai: pengimbasan kandungan menangkap 99 yang berformat baik. Konteks lajur menangkap satu yang kelihatan pelik.
Kekalkan Struktur, Buang Nama
Matlamat dalam kebanyakan kes GDPR Excel bukan untuk memusnahkan fail. Ia untuk melucutkan data peribadi sambil mengekalkan bahagian yang menjadikan fail berguna.
Untuk fail rekod kakitangan 15,000 baris, pegawai pematuhan memerlukan:
Buang:
- Nama pekerja → token PERSON_XXXX
- SSN → REDACTED
- Alamat e-mel → REDACTED
- Nombor telefon → REDACTED
- Alamat rumah → REDACTED
Kekalkan:
- Kod jabatan
- Jawatan (peranan umum sahaja)
- Band gaji (kategori luas)
- Skor prestasi (data kumpulan)
- Tarikh mula (untuk statistik tempoh perkhidmatan)
- Kod pengurus (jika dipseudonymkan)
Alat yang mengetahui perbezaan antara "data yang menamakan orang" dan "data yang menerangkan kerja" memberikan anda fail yang masih berfungsi untuk analisis HR — dan memenuhi peraturan minimisasi data GDPR.
Kes Sebenar: Pemindahan Data HR dalam Pemerolehan
Syarikat yang mengambil alih mendapat rekod kakitangan dari firma sasaran: XLSX 15,000 baris dengan 40 lajur. Fail itu mesti pergi ke firma HR luar untuk perancangan faedah. GDPR menyatakan hanya data yang diperlukan untuk tugas itu boleh dikongsi.
Sebelum pemprosesan: 40 lajur dengan nama penuh, SSN, e-mel, alamat rumah, kenalan kecemasan, dan butiran bank.
Selepas pemprosesan konteks lajur:
- 12 lajur mengenal pasti orang secara langsung (nama, SSN, e-mel, telefon, alamat, data bank): digantikan dengan token yang konsisten
- 3 lajur mengenal pasti orang secara tidak langsung (ID kakitangan, kod pengurus, kod kerja): digantikan dengan token pseudonim yang sepadan dalam fail
- 25 lajur adalah data agregat (band gaji, jabatan, tempoh perkhidmatan, gred): dibiarkan tidak berubah
Masa: 8 minit untuk 600,000 sel
Output: Susun atur XLSX yang sama, 40 lajur, 15 dianonimkan, 25 tidak berubah
Log audit: Rekod peringkat sel bagi setiap tindakan dengan jenis entiti, skor keyakinan, dan isyarat lajur yang digunakan
Firma HR mendapat set data penuh untuk kerjanya — tanpa nama atau ID. Rekod pematuhan mendapat bukti bahawa hanya data yang betul dikongsi.
Cabaran ini bukan unik untuk Excel. Setiap format fail gagal dengan caranya sendiri. Lihat bagaimana pemecahan format mempengaruhi pengesanan PII untuk pandangan merentasi jenis fail.
Tiga Peraturan Perkara 5 GDPR, Satu Proses
Anonimisasi hamparan berstruktur memenuhi tiga peraturan sekaligus.
Minimisasi data (Perkara 5(1)(c)): Hanya lajur yang diperlukan untuk tugas itu pergi ke penerima. Lajur pengenalpastian dipadamkan.
Had penyimpanan (Perkara 5(1)(e)): Fail asal kekal untuk pengekalan undang-undang. Salinan bersih dibuat untuk perkongsian — dengan keperluan pengekalan yang lebih pendek atau tiada.
Integriti dan kerahsiaan (Perkara 5(1)(f)): Tiada data pengenalpastian meninggalkan zon kawalan. Hanya salinan bersih dikongsi.
Log audit dari proses itu juga adalah bukti Perkara 5(2) anda. Ia menunjukkan bagaimana setiap peraturan dipenuhi untuk setiap fail.
Jika pasukan anda mengendalikan DSAR atau eksport data besar, logik yang sama terpakai pada peringkat API. Lihat bagaimana minimisasi data GDPR berfungsi dalam API masa nyata.
Untuk pasukan yang menangani volum tinggi di bawah tarikh akhir yang ketat, lihat pemprosesan kumpulan DSAR GDPR pada skala untuk corak aliran kerja yang terpakai di sini juga.