GDPR, CCPA och PDPA i ett verktyg
Uppdaterad för 2026.
Dina EU-anställda omfattas av GDPR. Dina California-anställda hanterar CCPA-register. Dina Singapore-anställda arbetar under PDPA. Tre ramverk. En delad databas.
Detta är den globala integritetssäkringsutmaningen för distribuerade team. Kundregister de har tillgång till är desamma. Reglerna som styr dessa register är det inte.
Luckan med flera jurisdiktioner
En supportgrupp i Tyskland, Kalifornien och Singapore kan alla öppna samma kundkonto. Namnet, e-postadressen och kontoinformationen i det registret möter olika regler i varje land.
Enligt GDPR måste det finnas en rättslig grund för varje användning. Enligt CCPA kan kunden begära radering och välja bort. Enligt PDPA gäller samtyckes- och överföringsregler.
Att dela en kundfil med en AI-assistent kan utlösa skyldigheter enligt alla tre lagarna samtidigt. En åtgärd. Tre ramverk.
Regional programvara kan inte lösa detta. Den förvärrar problemet.
Varför en plattform per region misslyckas
Instinkten är att matcha programvaran med platsen. Amerikansk personal får en amerikansk lösning. EU-personal får en EU-lösning. APAC-personal får en APAC-lösning.
Detta fungerar inte i praktiken.
Datan följer inte plattformen. En Kalifornien-handläggare som hanterar en tysk kunds klagomål är fortfarande bunden av GDPR. EU-kundens rätt till radering gäller. Den amerikanska lösningen kanske inte inkluderar tyska personnummer eller IBAN-nummer. Det är en lucka.
Installationen delas upp i tre system. Tre plattformar innebär tre revisionsspår. Tre täckningsinställningar. Tre uppsättningar entitetstyper som kanske inte stämmer överens. En enhetlig rapport blir en manuell sammanfogningsuppgift.
Gränsöverskridande överföringar saknar ett tydligt svar. En amerikansk analytiker kan få en export med EU-kundposter. Enligt GDPR följer lagen den registrerade — inte analytikerns plats. En USA-baserad lösning löser inte det.
Se den juridiska efterlevnadsguiden för hur gränsöverskridande skyldigheter staplas.
Entitetstäckning per region
PII-identifierare skiljer sig åt per land. En plattform byggd för en marknad missar identifierare från en annan.
EU-entiteter (GDPR):
- Tyskt Personalausweis och Steuernummer.
- Franskt Numéro de Sécurité Sociale.
- Spanskt DNI och NIE.
- IBAN och BIC för EU-bankärenden.
Amerikanska entiteter (CCPA / HIPAA):
- Social Security Number (SSN) och EIN.
- Statliga körkortformat.
- Medicare- och Medicaid-nummer.
- HIPAAs 18 skyddade hälsoidentifierare.
APAC-entiteter (PDPA, PIPL, PDPB):
- Singapores NRIC och FIN.
- Thailändskt nationellt ID (13 siffror).
- Kinesiskt identitetskort (18 siffror) och mobilnummer.
- Indiskt Aadhaar och PAN-kort.
En USA-centrerad lösning täcker SSN på ett tillförlitligt sätt. Den missar ett tyskt Personalausweis. En EU-lösning täcker IBAN och nationella ID-nummer. Den kanske inte identifierar ett Aadhaar-nummer.
Full täckning innebär entitetstyper för varje relevant marknad. Inte bara programvarans hemregion.
Bläddra i det fullständiga entitetsbiblioteket på /entities.
Förinställningskonfiguration per jurisdiktion
Det praktiska svaret: en identifieringsmotor med förinställningar per region.
GDPR Standard-förinställning (EU-personal): Alla 18 GDPR personuppgiftstyper. EU-nationella ID-format. EU-banknummer. Tröskelvärden satta för GDPRs breda omfattning.
CCPA/HIPAA-förinställning (USA-personal): SSN, EIN, Medicare- och Medicaid-nummer. Statliga ID- och körkortformat. Amerikanska finanskonto-nummer. HIPAAs 18 PHI-typer för personal som hanterar hälsoposter.
APAC Integritet-förinställning (APAC-personal): Singapores NRIC och FIN. Thailändskt nationellt ID. Kinesiskt personnummer och mobilnummer. Indiskt Aadhaar och PAN. Landsmarkeringar där det behövs.
Varje förinställning ställs in en gång centralt. Den är tillgänglig för alla. Tillämpa den för den anställdes region eller för den registrerades region. Använd vilket som är strängare. Motorn tillämpar den strängare regeln.
Läs om hur förinställningar fungerar i FAQ.
Fallstudie: 50-personers SaaS-företag
Ett distansbaserat SaaS-företag genomförde sin årliga integritetsgranskning. Personal fanns i Tyskland (18), Kalifornien (22) och Singapore (10).
Före bytet:
Tysklandgruppen använde en EU-maskeringplattform. Kaliforniengruppen använde en amerikansk lösning med begränsad EU-entitetstäckning. Singaporegruppen hade ingen maskeringprogramvara. Revisionen hittade ojämna standarder i alla tre regionerna. Singapore-fyndet var en öppen lucka.
Efter bytet till en plattform:
- GDPR-förinställning för Tyskland, med EU-entitetstyper och 48-språksstöd.
- CCPA-förinställning för Kalifornien, som täcker amerikanska entitetstyper och CCPA-typer.
- PDPA-förinställning för Singapore, som täcker APAC-identifierare.
- Ett centralt revisionsspår som täcker alla 50 anställda.
- EU-hemvist för alla poster som behandlas via tjänsten.
Denna konfiguration uppfyller GDPR artikel 46 för gränsöverskridande överföringar inom tjänsten.
2025 revisionsresultat: Noll fynd om maskeringmissmatchningar. Den tidigare Singapore-luckan stängdes.
Se hur företagsgrupper dokumenterar tekniska åtgärder på /security-compliance.
Slutsats
Global integritetssäkring är inte tre separata problem. Det är ett: konsekventa tekniska kontroller i varje region.
Samma identifieringsmotor. Samma revisionsspår. Olika förinställningar för olika lagar. En tjänst hanterar alla tre.
Lär dig hur anonym.legal stöder globala team på /pricing.
Källor
- GDPR artikel 3: Territoriell räckvidd. gdpr-info.eu/art-3-gdpr/
- California Consumer Privacy Act (CCPA/CPRA). oag.ca.gov/privacy/ccpa
- Thailands Personal Data Protection Act (PDPA). pdpa.go.th
- GDPR artikel 46: Gränsöverskridande överföringar. gdpr-info.eu/art-46-gdpr/