EU-ID-kloof: Steuer-ID, NIR, Personnummer
Amerikaanse PII-tools zijn gemaakt voor Amerikaanse data. Ze herkennen BSN-nummers, Amerikaanse telefoonformaten en rijbewijzen goed. EU-identifiers werken anders. Ze volgen andere structuren en andere validatieregels. Een Amerikaans regex-patroon herkent een Duits Steuer-ID niet. De structuurkloof is aanzienlijk.
Waarom EU-identifiers anders zijn
Het Duitse Steuer-ID heeft 11 posities. De eerste mag niet nul zijn. Geen enkele positiewaarde mag meer dan driemaal achter elkaar voorkomen. Een controlesomformule valideert de laatste positie. Dit is gepubliceerd door het Bundeszentralamt für Steuern.
Het Franse NIR (numéro de sécurité sociale) heeft 15 tekens. De eerste positie is 1 voor mannen, 2 voor vrouwen. Posities 2 en 3 coderen het geboortejaar. Posities 4 en 5 de geboortemaand. Posities 6 en 7 het departement. De laatste twee tekens zijn een controlesleutel op basis van 97 minus de rest van een deling.
Het Zweedse Personnummer heeft 10 of 12 cijfers. Het formaat is YYMMDD-NNNC of YYYYMMDD-NNNC. De N-tekens zijn een volgsequentie. Vreemde N-waarden gelden voor mannen, even voor vrouwen. Het laatste teken C is een Luhn-checkdigit.
Het Noorse Fødselsnummer heeft 11 cijfers. Het formaat is DDMMYYXXXCC. XXX is een individueel nummer: 000–499 voor de 20e eeuw, 500–999 voor andere perioden. De CC-waarden zijn twee controlechecks.
Waarom standaardtools falen
De meeste PII-tools zijn getraind op Engelse tekst en Amerikaanse identifiers. Ze omvatten patronen voor SSN (nnn-nn-nnnn), EIN (nn-nnnnnnn) en Amerikaans rijbewijs. EU-identifiers ontbreken in hun entiteitslijsten.
Een tool die het Steuer-ID mist, faalt bij elke Duits gegevensverwerkende taak. De 47 miljoen belastingplichtigen in Duitsland hebben elk een Steuer-ID. Elk HR-systeem, elke boekhoudplatform en elk belastingdocument dat in Duitsland wordt gebruikt, bevat er mogelijk een.
Hetzelfde geldt voor het NIR. De Franse Sécurité Sociale gebruikt het als primaire identifier. Elk Frans loonstrookje bevat een NIR. Elk zorgdossier ook.
De GDPR-verplichting
GDPR vereist geschikte technische maatregelen voor persoonsgegevens. Nationale identifiers worden uitdrukkelijk vermeld als gevoelige categorieën in meerdere lidstaatwetten.
Artikel 87 staat lidstaten toe aanvullende regels vast te stellen voor nationale identificatienummers. Duitsland, Frankrijk, Zweden en Noorwegen hebben allemaal sectorale regels die beperkingen stellen aan het gebruik ervan. Als u die identifiers niet detecteert, kunt u ze niet beschermen.
Een DPO die een analyse uitvoert op een dataset met Steuer-ID's maar een tool gebruikt die ze niet herkent, legt een onnauwkeurige DPIA vast. De mislukking is gedocumenteerd en controleerbaar.
Wat vereiste dekking omvat
Een EU-conforme PII-tool moet minimaal het volgende bevatten:
- Duits Steuer-ID: 11-cijferpatroon met positie 1 ≠ 0, controlesomvalidatie
- Duits Personalausweis-nummer: 9 tekens, alfanumeriek, checksum
- Frans NIR: 15 tekens, geboortejaar/maand/departement gecodeerd, mod-97 sleutel
- Zweeds Personnummer: 10 of 12 cijfers, Luhn-checkdigit
- Noors Fødselsnummer: 11 cijfers, twee controlechecks
- Nederlands BSN: 9 cijfers, elfproefvalidatie
- Italiaans Codice Fiscale: 16-teken alfanumerieke code
- Spaans NIE/DNI: 9-teken identifiers met letter-checksum
Controlesomvalidatie is essentieel. Zonder het genereert patroonmatching te veel valse positieven. Een 11-cijferig getal is niet noodzakelijk een Steuer-ID. De checksum bevestigt of dat zo is.
anonym.legal's aanpak
anonym.legal ondersteunt alle bovenstaande EU-identifiers met valide controlesomlogica. Detectie werkt zonder configuratie. Uploadbestanden met EU-belastingnummers worden herkend in dezelfde run als Amerikaanse SSN's.
Voor teams die meerdere Europese markten bedienen, maakt dit het verschil tussen een nauwkeurige DPIA en een die de toezichthouder als onvolledig beschouwt.