GDPR, CCPA и PDPA в одном инструменте
Обновлено в 2026 году.
Ваши сотрудники в ЕС работают под GDPR. Ваши сотрудники в Калифорнии обрабатывают данные по CCPA. Ваши сотрудники в Сингапуре работают под PDPA. Три регуляторных режима. Одна общая база данных.
Вот в чём суть глобального вызова в области конфиденциальности для распределённых команд. Клиентские записи, к которым они обращаются, одинаковые. Правила, регулирующие эти записи, — нет.
Разрыв в многоюрисдикционном соответствии
Группа поддержки в Германии, Калифорнии и Сингапуре может открыть один и тот же клиентский аккаунт. Имя, email и данные аккаунта в этой записи подчиняются разным правилам в каждой стране.
По GDPR для каждого использования требуется правовое основание. По CCPA клиент может запросить удаление данных и отказаться от их использования. По PDPA применяются правила согласия и передачи данных.
Обмен клиентским файлом с ИИ-ассистентом может одновременно активировать обязательства по всем трём законам. Одно действие. Три режима.
Региональное программное обеспечение не решает эту проблему. Оно её усугубляет.
Почему отдельная платформа для каждого региона не работает
Естественный импульс — подобрать ПО под локацию. Американские сотрудники получают американское решение. Европейские — европейское. Азиатско-тихоокеанские — региональное.
На практике это ломается.
Данные не следуют за платформой. Агент из Калифорнии, разбирающий жалобу немецкого клиента, всё равно связан GDPR. Право на удаление данных гражданина ЕС действует. Американское решение может не включать форматы немецких национальных ID или номера IBAN. Это пробел.
Настройка разбивается на три системы. Три платформы означают три журнала аудита. Три конфигурации охвата. Три набора типов сущностей, которые могут не совпадать. Один сводный отчёт превращается в задачу ручного объединения.
Трансграничные передачи не имеют чёткого ответа. Американский аналитик может получить выгрузку с записями клиентов из ЕС. По GDPR закон следует за субъектом данных — а не за местонахождением аналитика. Только американское решение этого не исправляет.
Подробнее о трансграничных обязательствах см. в руководстве по правовому соответствию.
Охват типов персональных данных по регионам
Идентификаторы персональных данных различаются по странам. Платформа, созданная для одного рынка, пропустит идентификаторы из другого.
Сущности ЕС (GDPR):
- Немецкий Personalausweis и Steuernummer.
- Французский Numéro de Sécurité Sociale.
- Испанские DNI и NIE.
- IBAN и BIC для банков ЕС.
Сущности США (CCPA / HIPAA):
- Номер социального страхования (SSN) и EIN.
- Форматы водительских прав по штатам.
- Номера Medicare и Medicaid.
- 18 защищённых медицинских идентификаторов HIPAA.
Сущности АТР (PDPA, PIPL, PDPB):
- Сингапурские NRIC и FIN.
- Тайский национальный ID (13 цифр).
- Китайское удостоверение личности (18 цифр) и мобильные номера.
- Индийские Aadhaar и PAN.
Американское решение надёжно охватывает SSN. Оно пропустит немецкий Personalausweis. Европейское решение охватывает IBAN и национальные ID. Оно может не обнаружить Aadhaar.
Полное покрытие означает типы сущностей для каждого релевантного рынка. Не только для домашнего региона платформы.
Полная библиотека сущностей доступна на странице /entities.
Настройка пресетов по юрисдикции
Практический ответ: один движок обнаружения с пресетами для каждого региона.
Стандартный пресет GDPR (сотрудники ЕС): Все 18 типов персональных данных GDPR. Форматы национальных ID стран ЕС. Банковские реквизиты ЕС. Пороги, соответствующие широкому охвату GDPR.
Пресет CCPA / HIPAA (сотрудники США): SSN, EIN, номера Medicare и Medicaid. Форматы удостоверений и прав по штатам. Номера финансовых счетов США. 18 типов PHI HIPAA для сотрудников, работающих с медицинскими данными.
Пресет конфиденциальности АТР (сотрудники APAC): Сингапурские NRIC и FIN. Тайский национальный ID. Китайское удостоверение личности и мобильные номера. Индийские Aadhaar и PAN. Флаги стран при необходимости.
Каждый пресет настраивается один раз централизованно. Он доступен каждому пользователю. Применяйте его для региона сотрудника или для региона субъекта данных. Используйте более строгий из них. Движок применяет более жёсткое правило.
Как работают пресеты, читайте в FAQ.
Кейс: SaaS-компания с 50 сотрудниками
Удалённая SaaS-компания провела ежегодный аудит конфиденциальности. Сотрудники находились в Германии (18), Калифорнии (22) и Сингапуре (10).
До перехода:
Германская группа использовала платформу маскировки для ЕС. Калифорнийская группа использовала американское решение с ограниченным охватом сущностей ЕС. Сингапурская группа не имела программного обеспечения для маскировки. Аудит выявил неравные стандарты во всех трёх регионах. Пробел в Сингапуре оставался незакрытым.
После перехода на единую платформу:
- Пресет GDPR для Германии с типами сущностей ЕС и поддержкой 48 языков.
- Пресет CCPA для Калифорнии с типами сущностей США и категориями CCPA.
- Пресет PDPA для Сингапура с идентификаторами АТР.
- Единый центральный журнал аудита для всех 50 сотрудников.
- Серверы ЕС для всех записей, обрабатываемых через сервис.
Эта конфигурация соответствует статье 46 GDPR для трансграничных передач внутри сервиса.
Результат аудита 2025 года: Ноль замечаний по несоответствию маскировки. Предыдущий пробел в Сингапуре устранён.
Как корпоративные группы документируют технические меры, смотрите на странице /security-compliance.
Заключение
Глобальное соответствие требованиям конфиденциальности — это не три отдельные проблемы. Это одна: последовательные технические контроли во всех регионах.
Один движок обнаружения. Один журнал аудита. Разные пресеты для разных законов. Один сервис обрабатывает все три режима.
Узнайте, как anonym.legal поддерживает глобальные команды, на странице /pricing.
Источники
- GDPR, статья 3: Территориальная сфера применения. gdpr-info.eu/art-3-gdpr/
- Калифорнийский закон о конфиденциальности потребителей (CCPA/CPRA). oag.ca.gov/privacy/ccpa
- Закон Таиланда о защите персональных данных (PDPA). pdpa.go.th
- GDPR, статья 46: Трансграничные передачи. gdpr-info.eu/art-46-gdpr/