O Problema da Fragmentação de Identificadores Globais
Uma plataforma de marketplace com vendedores em 45 países processa documentos de integração que parecem completamente diferentes dependendo do país de origem do vendedor. Um vendedor brasileiro envia um CPF (Cadastro de Pessoas Físicas) — um ID fiscal de 11 dígitos com dois dígitos de verificação calculados usando um algoritmo de ponderação específico. Um vendedor indiano fornece um PAN (Número de Conta Permanente) — um formato alfanumérico de 10 caracteres que combina letras e dígitos em um padrão posicional específico. Um vendedor alemão fornece um Steuer-ID (11 dígitos com verificação de Luhn). Um vendedor holandês fornece um BSN (Burger Service Nummer, 9 dígitos com validação mod-11).
Cada formato tem comprimento, estrutura e algoritmo de validação diferentes. Uma única regex projetada para um formato não corresponde aos outros. Um padrão genérico de "string numérica de 10-12 dígitos" produz taxas proibitivas de falsos positivos em documentos financeiros contendo preços, quantidades, datas e números de referência.
A obrigação de conformidade não diferencia por país. O GDPR cobre os dados dos vendedores da UE. A LGPD cobre os dados do vendedor brasileiro. A Lei DPDP cobre os dados do vendedor indiano. Cada estrutura regulatória exige a proteção adequada dos dados pessoais cobertos por essa estrutura — e "adequada" significa que o identificador foi detectado e protegido, não apenas que uma tentativa de detecção foi feita.
A Lacuna dos 40 Identificadores
A maioria das ferramentas de detecção de PII para empresas vem com reconhecedores para aproximadamente 40 tipos comuns de identificadores. Estes geralmente incluem:
- Número de Seguro Social dos EUA
- Formato de passaporte dos EUA
- Carteira de motorista dos EUA (específica do estado)
- Formatos genéricos de cartão de crédito (validação de Luhn)
- Endereços de e-mail
- Números de telefone (formato NANP)
- Endereços IP
Ferramentas nesse nível de cobertura atendem razoavelmente bem aos requisitos de conformidade da América do Norte de língua inglesa. Elas não cobrem o panorama de identificadores de organizações que operam globalmente.
A lacuna entre 40 identificadores e a conformidade global é substancial:
Identificadores da América do Sul: O CPF brasileiro (individual) e o CNPJ (corporativo) exigem validação de checksum específica para o formato da autoridade fiscal do Brasil. O CUIT argentino segue um algoritmo de soma ponderada diferente. O NIT colombiano usa mais um método de validação.
Identificadores Asiáticos: O PAN indiano, Aadhaar (ID biométrico de 12 dígitos), GSTIN indiano (identificação GST) e o ID do eleitor têm formatos distintos. O My Number japonês (ID nacional de 12 dígitos), o Número de Registro de Residentes da Coreia do Sul e o ID nacional chinês (18 caracteres com dígito de verificação) exigem reconhecedores separados.
Identificadores da UE: Além dos formatos comumente reconhecidos, uma cobertura abrangente da UE requer formatos de IBAN para todos os 27 estados membros da UE (cada um com comprimento e formato específicos do país), além de formatos de ID nacional para cada estado membro (Steuer-ID alemã, NIR francês, BSN holandês, PESEL polonês, Personnummer sueco, e mais).
O Que 260+ Tipos de Entidade Realmente Cobre
Uma biblioteca de entidades abrangente com mais de 260 tipos cobre:
- Todos os 27 identificadores nacionais dos estados membros da UE (incluindo os menos cobertos: EMŠO esloveno, OIB croata, EGN búlgaro, CNP romeno)
- Todos os formatos de IBAN da UE (27 formatos específicos do país com validação)
- Principais identificadores da América do Sul (CPF/CNPJ do Brasil, CUIT da Argentina, NIT da Colômbia)
- Principais identificadores da Ásia (PAN/Aadhaar/GSTIN da Índia, My Number do Japão, RRN da Coreia)
- Identificadores específicos do Reino Unido pós-Brexit (Número NI do Reino Unido, Número do NHS, variantes do NINO)
- Identificadores médicos em várias jurisdições (NPI dos EUA, números DEA, números do NHS, formatos MRN de hospitais)
- Identificadores financeiros (códigos SWIFT, formatos BIC, vários padrões de números de conta)
Para um marketplace baseado em Londres que atende vendedores de 45 países, a cobertura de 260+ entidades significa que uma única implementação lida com a identificação e proteção dos dados pessoais dos vendedores em todas as jurisdições — sem exigir ferramentas regionais separadas, pipelines de processamento separados ou enriquecimento manual para os tipos de identificadores nacionais que uma ferramenta de 40 reconhecedores perde.
A postura de conformidade muda de "protegemos identificadores comuns" para "protegemos os identificadores presentes em nossos dados reais." Para operações globais, essa distinção é a diferença entre conformidade parcial e proteção genuína.
Fontes: