Национальные идентификаторы ЕС, которые пропускает ваш инструмент для работы с ПДн
Налоговые идентификаторы — данные высокой чувствительности. Они фигурируют в расчётных листках, налоговых формах и заявках в банк. Их утечка открывает путь к мошенничеству и краже персональных данных.
GDPR относит их к персональным данным. Реальный риск высок. Каждая страна ЕС использует собственный формат национального идентификатора. Большинство инструментов для работы с ПДн созданы под американский или британский рынок. Они без труда находят SSN и NINO, но нередко пропускают Steueridentifikationsnummer, Codice Fiscale и BSN — форматы, с которыми европейские команды работают ежедневно.
Национальные налоговые идентификаторы стран ЕС
Каждая страна ЕС использует собственный формат. Вот наиболее распространённые.
Германия — Steueridentifikationsnummer
Steuer-ID состоит из 11 цифр, присваивается при рождении. Первая цифра — от 1 до 9 (не 0). Три одинаковые цифры подряд не допускаются. Пример: 12345678901. Также используется Steuernummer: 10–11 цифр, формат варьируется по землям.
Франция — Numéro fiscal de référence
SPI состоит из 13 цифр. Его выдаёт DGFiP, французская налоговая служба. В налоговых документах обозначается как «Identifiant fiscal».
Италия — Codice Fiscale
Codice Fiscale состоит из 16 алфавитно-цифровых символов. Он кодирует фамилию, имя, год, месяц и день рождения, а также муниципалитет. Пример: RSSMRA85M01H501Z. Формат поддаётся проверке по контрольной сумме.
Испания — NIF и NIE
Граждане Испании используют номер DNI с контрольной буквой: 8 цифр + буква, например 12345678A. Иностранные резиденты используют NIE: префикс X/Y/Z + 7 цифр + контрольная буква, например X1234567A. Юридические лица используют CIF: буква + 8 цифр, например B12345678.
Нидерланды — BSN
BSN (Burgerservicenummer) состоит из 9 цифр. Использует алгоритм проверки «11-proef». Очень распространён в документах по расчёту заработной платы и социальных выплат.
Польша — PESEL
PESEL состоит из 11 цифр. Первые 6 кодируют дату рождения. Последние цифры кодируют пол и порядковый номер.
Бельгия — Numéro de registre national
RN состоит из 11 цифр. Кодирует дату рождения, порядковый номер и контрольные цифры.
Португалия — NIF
Португальский NIF (Número de Identificação Fiscal) состоит из 9 цифр с контрольной цифрой. Аббревиатура совпадает с испанским NIF, но формат другой.
Швеция — Personnummer
Personnummer состоит из 10 или 12 цифр. Кодирует дату рождения и порядковый номер. Форматы: YYYYMMDD-XXXX или YYMMDD-XXXX.
Финляндия — Henkilötunnus
HETU состоит из 11 символов. Кодирует дату, разделитель, порядковый номер и контрольный символ. Формат: DDMMYY-XXXC.
Что пропускают стандартные инструменты
Американские и британские инструменты включают следующие паттерны по умолчанию:
- US SSN (XXX-XX-XXXX).
- UK NINO (XX 99 99 99 X).
- Номера американских паспортов.
- Паттерны американских водительских удостоверений.
- Номера основных кредитных карт.
Национальные идентификаторы ЕС нередко отсутствуют. Инструменты, построенные на наборе распознавателей Presidio по умолчанию, пропускают их. Без специфических для ЕС расширений покрытие Европы отсутствует.
Реальный пробел в соответствии
Немецкая компания по расчёту заработной платы обслуживает 500 клиентских организаций. Её рабочий процесс удаляет имена, адреса электронной почты, IBAN и номера телефонов. Но он пропускает немецкие Steueridentifikationsnummern. Этот формат никогда не был включён в стандартную конфигурацию.
Аудит надзорного органа обнаруживает нередактированные Steuer-ID в расчётных листках в формате PDF. Компании грозят затраты на исправление прошлых документов. Ей грозит санкция надзорного органа по статье 83 GDPR. Ей грозит договорная ответственность перед клиентами.
Пробел нашёл не сам бизнес. Его нашёл регулятор.
Проведите собственную проверку покрытия с помощью нашего руководства по соответствию GDPR.
Приоритетный порядок обеспечения покрытия ЕС
Добавляйте паттерны идентификаторов в следующем порядке, если вы работаете в нескольких странах ЕС.
Уровень 1 — наибольший объём:
- Германия: Steueridentifikationsnummer.
- Франция: Numéro fiscal.
- Италия: Codice Fiscale.
- Испания: NIF/NIE.
- Нидерланды: BSN.
Уровень 2 — значительные, но меньшие рынки:
- Польша: PESEL.
- Бельгия: RN.
- Швеция: Personnummer.
- Португалия: NIF.
- Австрия: Sozialversicherungsnummer.
Уровень 3 — специфические случаи использования:
Оставшиеся 17 государств — членов ЕС. Добавляйте в зависимости от того, где ваша команда обрабатывает данные.
Добавление Steueridentifikationsnummer
Немецкий Steuer-ID — лучший первый паттерн для добавления. Его формат чётко определён и хорошо документирован.
Steuer-ID состоит из 11 цифр. Первая цифра — от 1 до 9. Три одинаковые цифры подряд не допускаются. Специальный алгоритм проверяет контрольную цифру.
Описание на простом языке для генерации паттерна: «Немецкие налоговые номера: 11 цифр. Первая цифра — от 1 до 9. Остальные 10 цифр могут включать нули».
После генерации паттерна протестируйте его на немецких расчётных листках и налоговых сертификатах. Проверьте долю обнаружения и количество ложных срабатываний. Внедряйте только после прохождения валидации.
Добавьте паттерн в ваш немецкоязычный пресет. Для наборов документов на смешанных языках сочетайте его с определением языка. Это применяет правильные паттерны к правильным документам.
Один пресет или несколько?
Вариант 1 — пресеты по странам:
Создайте один пресет на страну. Направляйте документы по происхождению. Это даёт меньшее количество ложных срабатываний. Требует больше логики маршрутизации.
Вариант 2 — объединённый пресет для ЕС:
Создайте один пресет со всеми активными паттернами идентификаторов ЕС. Проще в эксплуатации. Выше риск ложных срабатываний на обобщённых текстах. Хорошо работает, когда идентификаторы встречаются по всему документу.
Для документов по расчёту заработной платы: используйте вариант 1 с маршрутизацией по происхождению. Для смешанных наборов документов: используйте вариант 2 с настройкой порогов.
О том, как конфигурация пресетов вписывается в полный рабочий процесс соответствия, см. в обзоре безопасности и соответствия.
Устраните пробел до аудита
GDPR применяется одинаково во всех государствах — членах ЕС. Американские инструменты нередко не соответствуют этому стандарту. Codice Fiscale, BSN и Steuer-ID несут тот же риск, что и SSN. В общих документах они встречаются не реже.
Паттерны пользовательских сущностей закрывают пробел в обнаружении за несколько часов. Добавьте паттерн Steuer-ID. Протестируйте его на образцах немецких расчётных листков. Внедрите во все рабочие процессы. Ждать поставщика инструмента не нужно. Обнаруживать пробел в ходе аудита надзорного органа не нужно.
anonym.legal позволяет добавлять пользовательские типы сущностей через интерфейс конфигурации пресетов. Паттерны проходят валидацию на ваших образцах документов до внедрения.
Источники
- Bundeszentralamt für Steuern: Steueridentifikationsnummer. VERIFIED-EXTERNAL.
- Статьи 4, 9, 32 GDPR — gdpr-info.eu. VERIFIED-EXTERNAL.
- EDPB: Руководство о компетенции надзорных органов. VERIFIED-EXTERNAL.