Globalna zgodność z przepisami o danych osobowych: trzy przepisy, trzy formaty identyfikatorów
Brytyjski marketplace obsługuje dokumenty sprzedawców z 80 krajów. Jednocześnie obowiązują trzy reżimy prawne: RODO dla sprzedawców unijnych, LGPD dla brazylijskich i indyjska ustawa DPDP dla sprzedawców z Indii. Każda z tych regulacji wskazuje inne krajowe identyfikatory jako chronione. Każdy format ma własną logikę walidacji.
Brazylijskie CPF: format i status w LGPD
CPF (Cadastro de Pessoas Físicas) to brazylijski numer identyfikacji podatkowej. Składa się z 11 cyfr w formacie XXX.XXX.XXX-XX. Dwie ostatnie cyfry to cyfry kontrolne. Oblicza się je matematycznie na podstawie pierwszych dziewięciu cyfr.
Brazylijska ustawa LGPD traktuje CPF jako chroniony identyfikator osobowy, porównywalny pod względem wrażliwości z amerykańskim SSN. Narzędzie, które nie zna formatu CPF, nie jest w stanie go wykryć. Narzędzie pomijające sumę kontrolną będzie generować fałszywe trafienia.
Indyjskie Aadhaar: format i przepisy DPDP
Aadhaar to 12-cyfrowy numer wydawany przez indyjski UIDAI. Numery są przypisywane losowo. Ostatnia cyfra to cyfra kontrolna Verhoeffa.
Indyjska ustawa DPDP nakłada obowiązki na każdy podmiot przetwarzający dane powiązane z Aadhaar. Wykrywanie wymaga dwóch kroków. Pierwszy: dopasowanie formatu 12-cyfrowego i weryfikacja cyfry Verhoeffa. Drugi: filtrowanie kontekstowe. Nie każdy 12-cyfrowy ciąg to numer Aadhaar.
Amerykański SSN: znana struktura
SSN składa się z dziewięciu cyfr. Pierwsze trzy to numer obszaru. Kolejne dwa to numer grupy. Ostatnie cztery to numer seryjny. Każdy segment ma określone reguły. Walidacja jest dobrze udokumentowana.
Przepaść między narzędziami jednoregionowymi a globalnymi przepisami
Te trzy identyfikatory nie mają wspólnego formatu ani wspólnych reguł walidacji. Narzędzie zbudowane z myślą o rynku USA wykryje SSN. CPF i Aadhaar mogą mu całkowicie umknąć.
Większość zespołów odkrywa tę lukę, gdy pyta o nią organ regulacyjny — nie wcześniej. Luka stwarza realne ryzyko w świetle każdej z tych ustaw:
- RODO Artykuł 28 wymaga pisemnej Umowy Powierzenia Przetwarzania Danych z każdym podmiotem przetwarzającym. DPIA, w której jako główną kontrolę wskazano „wykrywanie SSN” — gdy zbiór danych zawiera również numery CPF — ma udokumentowaną lukę. Audytor może ją znaleźć.
- LGPD przewiduje kary do 2% brazylijskiego przychodu, maksymalnie 50 mln R$ za naruszenie. Niewykryte CPF to bezpośrednie naruszenie LGPD.
- DPDP jest przepisem nowym. Podmioty, które już teraz dokumentują zakres swojego pokrycia, będą lepiej przygotowane, gdy pierwsze orzeczenia wytyczą standardy.
Trzy reżimy kar jednocześnie tworzą warstwowe ryzyko. Narzędzia jednoregionowe zostawiają globalne zespoły bez ochrony.
Czego wymaga pełne pokrycie
Narzędzie musi znać format każdego identyfikatora, algorytm kontrolny i kontekst prawny. CPF wymaga modularnej sumy kontrolnej. Aadhaar wymaga sprawdzenia algorytmu Verhoeffa i filtrowania kontekstowego. SSN wymaga weryfikacji numeru obszaru i grupy. To trzy odrębne problemy. Żaden pojedynczy wzorzec wyszukiwania ich nie obejmie.
Zobacz też: globalna luka w identyfikatorach PII: SSN, CPF, Aadhaar, przewodnik po egzekwowaniu LGPD przez ANPD w Brazylii i techniczna zgodność z indyjską ustawą DPDPA.