GDPR, CCPA og PDPA i ett verktoy.
Oppdatert for 2026.
Dine EU-ansatte er underlagt GDPR. Dine California-ansatte haandterer CCPA-poster. Dine Singapore-ansatte arbeider under PDPA. Tre regelverk. En delt database.
Dette er den globale personvernutfordringen for fjernarbeidende team. Kundepostene de har tilgang til er de samme. Reglene som styrer disse postene er ikke det.
Gapet mellom jurisdiksjoner
En supportgruppe i Tyskland, California og Singapore kan alle aapne den samme kundekontoen. Navnet, e-posten og kontodetaljene i den posten er underlagt ulike regler i hvert land.
Under GDPR ma det finnes et rettslig grunnlag for hver bruk. Under CCPA kan kunden kreve sletting og reservere seg. Under PDPA gjelder samtykke- og overforingsregler.
Aa dele en kundefil med en KI-assistent kan utlose plikter under alle tre lovene samtidig. En handling. Tre regelverk.
Regional programvare kan ikke lose dette. Det gjor problemet verre.
Hvorfor en plattform per region ikke fungerer
Instinktet er aa matche programvaren med lokasjonen. Amerikanske ansatte faar en amerikansk losning. EU-ansatte faar en EU-losning. APAC-ansatte faar en APAC-losning.
Dette bryter sammen i praksis.
Dataene folger ikke plattformen. En California-medarbeider som haandterer en tysk kundes klage er fremdeles bundet av GDPR. EU-kundens rett til sletting gjelder. Den amerikanske losningen inkluderer kanskje ikke tyske nasjonale ID-formater eller IBAN-numre. Det er et hull.
Oppsettet splittes i tre systemer. Tre plattformer betyr tre revisjonsspor. Tre dekningsoppsett. Tre sett med enhetstyper som kanskje ikke stemmer overens. En samlet rapport blir en manuell sammenslaaingsoppgave.
Grenseoverskridende overforinger mangler et klart svar. En amerikansk analytiker kan motta en eksport med EU-kundeposter. Under GDPR folger loven den registrerte -- ikke analytikerens plassering. En amerikansk losning alene loser ikke det.
Se juridisk samsvarsguide for hvordan grenseoverskridende plikter stables.
Enhetsdekning pa tvers av regioner
PII-identifikatorer varierer etter land. En plattform bygget for ett marked vil miste identifikatorer fra et annet.
EU-enheter (GDPR):
- Tysk Personalausweis og Steuernummer.
- Fransk Numéro de Sécurité Sociale.
- Spansk DNI og NIE.
- IBAN og BIC for EU-banktjenester.
Amerikanske enheter (CCPA / HIPAA):
- Personnummer (SSN) og EIN.
- Statlige forerkortformater.
- Medicare- og Medicaid-numre.
- HIPAAs 18 beskyttede helseidentifikatorer.
APAC-enheter (PDPA, PIPL, PDPB):
- Singaporsk NRIC og FIN.
- Thailandsk nasjonalt ID (13 sifre).
- Kinesisk oppholdskort (18 sifre) og mobilnumre.
- Indisk Aadhaar og PAN-kort.
En amerikansk losning dekker SSN pa en palitelig mate. Den vil miste et tysk Personalausweis. En EU-losning dekker IBAN og nasjonale ID-er. Den kan kanskje ikke detektere et Aadhaar-nummer.
Full dekning betyr enhetstyper for alle relevante markeder. Ikke bare programvarens hjemmarked.
Bla gjennom det fullstendige enhetsbiblioteket pa /entities.
Forhansinnstillingsoppsett per jurisdiksjon
Det praktiske svaret: en deteksjonsmotor med forhansinnstillinger per region.
GDPR Standard-forhansinnstilling (EU-ansatte): Alle 18 GDPR-persondata-typer. EU-nasjonale ID-formater. EU-banknumre. Terskler satt for GDPRs brede omfang.
CCPA / HIPAA-forhansinnstilling (amerikanske ansatte): SSN, EIN, Medicare- og Medicaid-numre. Statlig ID og lisensformater. Amerikanske finanskontonumre. HIPAAs 18 PHI-typer for ansatte som haandterer helsepost.
APAC-personvern-forhansinnstilling (APAC-ansatte): Singapore NRIC og FIN. Thailandsk nasjonalt ID. Kinesisk oppholdskort og mobilnumre. Indisk Aadhaar og PAN. Landsflagg der det er nodvendig.
Hver forhansinnstilling settes opp en gang sentralt. Den er tilgjengelig for alle. Bruk den for den ansattes region eller for den registrertes region. Bruk den som er strengest. Motoren anvender den strengeste regelen.
Les om hvordan forhansinnstillinger fungerer i FAQ.
Casestudie: SaaS-selskap med 50 ansatte
Et remote-forst SaaS-selskap gjennomforte sin arlige personvernrevisjon. Ansatte befant seg i Tyskland (18), California (22) og Singapore (10).
For byttet:
Tyskland-gruppen brukte en europeisk maskeringsplattform. California-gruppen brukte en amerikansk losning med begrenset EU-enhetsdekning. Singapore-gruppen hadde ingen maskeringsprogramvare. Revisjonen fant ujevne standarder pa tvers av alle tre regionene. Singapore-funnet var et apent hull.
Etter bytte til en plattform:
- GDPR-forhansinnstilling for Tyskland, med EU-enhetstyper og stotte for 48 sprak.
- CCPA-forhansinnstilling for California, som dekker amerikanske enhetstyper og CCPA-typer.
- PDPA-forhansinnstilling for Singapore, som dekker APAC-identifikatorer.
- Et sentralt revisjonsspor som dekker alle 50 ansatte.
- EU-oppholdssted for alle poster behandlet gjennom tjenesten.
Dette oppsettet oppfyller GDPR artikkel 46 for grenseoverskridende overforinger innenfor tjenesten.
2025-revisjonsresultat: Null funn pa maskerings-avvik. Det tidligere Singapore-hullet ble lukket.
Se hvordan virksomheter dokumenterer tekniske tiltak pa /security-compliance.
Konklusjon
Globalt personvernsamsvar er ikke tre separate problemer. Det er ett: konsistente tekniske kontroller pa tvers av alle regioner.
Samme deteksjonsmotor. Samme revisjonsspor. Ulike forhansinnstillinger for ulike lover. En tjeneste haandterer alle tre.
Laer hvordan anonym.legal stotter globale team pa /pricing.
Kilder
- GDPR artikkel 3: Territorialt omfang. gdpr-info.eu/art-3-gdpr/
- California Consumer Privacy Act (CCPA/CPRA). oag.ca.gov/privacy/ccpa
- Thailands Personal Data Protection Act (PDPA). pdpa.go.th
- GDPR artikkel 46: Grenseoverskridende overforinger. gdpr-info.eu/art-46-gdpr/