Global PII-efterlevnad: Tre lagar, tre ID-format
En brittisk marknadsplats hanterar säljarhandlingar från 80 länder. Tre lagar gäller samtidigt: GDPR för EU-säljare, LGPD för brasilianska säljare och Indiens DPDP-lag för indiska säljare. Varje lag namnger olika nationella ID-nummer som skyddade. Varje format har sin egen kontrolllogik.
Brasilianskt CPF: Format och LGPD-status
CPF (Cadastro de Pessoas Físicas) är Brasiliens skatteregistreringsnummer. Det har 11 siffror i formatet XXX.XXX.XXX-XX. De sista två siffrorna är kontrollsiffror. En matematisk algoritm på de första nio siffrorna producerar dem.
Brasiliens LGPD behandlar CPF som en skyddad personidentifierare, liknande i känslighet som ett amerikanskt SSN. Ett verktyg som inte känner till CPF-formatet kan inte hitta det. Ett verktyg som hoppar över kontrollsumman flaggar falska träffar.
Indiskt Aadhaar: Format och DPDP-regler
Aadhaar är ett 12-siffrigt nummer utfärdat av Indiens UIDAI. Numren tilldelas slumpmässigt. Den sista siffran är en Verhoeff-kontrollsiffra.
Indiens DPDP-lag skapar skyldigheter för varje organisation som hanterar Aadhaar-kopplad data. Detektering kräver två steg. Först matcha 12-siffrigt format och kontrollera Verhoeff-siffran. Sedan filtrera efter kontext. Inte varje 12-siffrig sträng är ett Aadhaar-nummer.
Amerikanskt SSN: En känd struktur
SSN består av nio siffror. De tre första är areanumret. De två nästa är gruppnumret. De sista fyra är serienumret. Varje segment har fastställda regler. Valideringen är väl dokumenterad.
Gapet mellan nationella verktyg och globala regler
Dessa tre ID-nummer delar inget format och ingen kontrollregel. Ett verktyg byggt för amerikanskt bruk hittar SSN. Det kan missa CPF och Aadhaar helt.
De flesta team hittar detta gap när en tillsynsmyndighet frågar — inte innan. Gapet skapar verklig risk enligt varje lag:
- GDPR artikel 28 kräver ett skriftligt personuppgiftsbiträdesavtal med varje processor. En DPIA som listar "SSN-detektering" som huvudkontroll — när datasetet även innehåller CPF-nummer — har ett dokumenterat gap. En revisor kan hitta det.
- LGPD-böter kan nå 2 % av brasilianska intäkter, upp till R$50M per incident. Ett CPF-nummer som går oupptäckt är en direkt LGPD-överträdelse.
- DPDP-verkställigheten är fortfarande ny. Team som loggar sin täckning nu är bättre förberedda när tidiga avgöranden sätter standarden.
Tre böteregimer på en gång skapar skiktat ansvar. Nationella verktyg lämnar globala team exponerade.
Vad fullständig täckning kräver
Ett verktyg behöver varje ID:s format, kontrollalgoritm och juridiska kontext. CPF behöver en modulär kontrollsumma. Aadhaar behöver Verhoeff-kontrollen plus kontextfiltrering. SSN behöver area- och gruppregler. Det är tre separata problem. Inget enda sökmönster täcker dem alla.
Se även: globalt PII-identifierargap: SSN, CPF, Aadhaar, ANPD Brasilien LGPD-efterlevnadsguide och DPDPA Indien teknisk integritetsefterlевnad.